Quando un’organizzazione inizia a lavorare all’adattamento al NIS2, una delle prime domande è spesso:
“Quale software devo implementare?
La domanda sembra logica.
Ma questa è la domanda sbagliata. La NIS2 non richiede strumenti concreti. Richiede capacità organizzative e tecniche:
✔ Gestione del rischio
✔ Gestione degli incidenti
✔ Sicurezza della catena di approvvigionamento
✔ Continuità aziendale
✔ Gestione degli accessi
✔ Politiche e procedure
✔ Evidenze e tracciabilità
✔ Revisione e miglioramento continuo
Questo è uno degli errori più comuni: cercare un unico strumento che copra tutto.
Non esiste.
La realtà spesso assomiglia di più a un ecosistema di soluzioni che lavorano insieme.
Gestione dei dispositivi (MDM)
Non puoi proteggere ciò che non conosci. Prima di parlare di cybersicurezza, c’è una domanda molto più elementare:
Quali dispositivi esistono effettivamente nella tua organizzazione?
Un sistema MDM permette di:
- Inventario delle attrezzature
- Implementazione della politica
- Crittografia del dispositivo
- Gestione remota
- Controllo della versione e aggiornamenti
Esempi comuni:
- Microsoft Intune
- Jamf
- VMware Workspace ONE
- Kandji
- IT fattoriale
Senza visibilità, il resto inizia a essere costruito sulla sabbia.
Monitoraggio e rilevamento (SIEM)
Individuare un incidente in ritardo è spesso molto più costoso che prevenirlo.
Le organizzazioni generano migliaia o milioni di eventi:
- accesso
- modifiche
- errori
- attività sospette
- eventi di sicurezza
Esempi comuni:
Protezione degli endpoint (EDR/XDR)
L’antivirus tradizionale non è più sufficiente.
Oggi il problema non è più solo quello di bloccare le minacce informatiche.
La vera differenza sta in:
- rilevare un comportamento anomalo
- contenere gli attacchi
- isolare le apparecchiature
- rispondere rapidamente
Esempi:
Gestione delle identità e dei privilegi (IAM / PAM)
Le credenziali rimangono uno dei principali punti di ingresso per gli incidenti.
Questo implica che:
- MFA
- privilegi minimi
- recensioni periodiche
- gestione degli utenti privilegiati
- controllo delle registrazioni e delle cancellazioni
Esempi:
Gestione delle vulnerabilità
La scansione delle vulnerabilità non è sufficiente.
Hai bisogno anche di:
- priorità
- assegnazione
- tracciamento
- tracciabilità
Esempi:
Backup e ripristino
Il NIS2 parla esplicitamente di resilienza.
Non è sufficiente avere dei backup.
Le domande a cui rispondere sono:
- Quanto tempo ci vuole per recuperare?
- Cosa abbiamo da perdere?
- Vogliamo testare le copie?
- Esiste una procedura documentata?
Esempi:
Gestione di terze parti e della catena di fornitura
Uno dei maggiori cambiamenti di NIS2 è che la sicurezza non si esaurisce più nella tua azienda.
Raggiunge anche:
- fornitori
- partner
- subappaltatori
- servizi cloud
Esempi:
Formazione e sensibilizzazione
La tecnologia da sola non elimina i rischi.
Molti incidenti continuano a essere di origine umana:
- phishing
- password deboli
- errori operativi
- malasanità
Esempi:
Il problema meno visibile
Molte organizzazioni dispongono di strumenti:
✔ SIEM
✔ EDR
✔ MDM
✔ Backup
✔ Directory aziendale
Ma poi:
- I rischi vivono in Excel
- Le politiche si trovano in cartelle condivise
- I fornitori sono gestiti per posta
- Gli incidenti sono distribuiti tra ticket e documenti
- Le prove sono sparse
E quando arriva un audit, si pone sempre la stessa domanda: “Dove sono le prove?
Perché di solito il problema non è la mancanza di strumenti.
Il problema è spesso la mancanza di governance.
Lo strato che di solito manca
È qui che una piattaforma di governance e conformità apporta un valore reale.
Noi di Ithikios lavoriamo proprio su questo livello:
✔ Gestione del rischio
✔ Gestione degli incidenti
✔ Gestione delle terze parti
✔ Politiche e procedure
✔ Centro fiduciario
✔ Canale per il whistleblowing
✔ Evidenze e tracciabilità
Ithikios non intende sostituire strumenti specializzati come un SIEM, un EDR o un MDM.
La sua funzione è quella di collegare pezzi sparsi e trasformare informazioni isolate in processi eseguibili e verificabili. Perché la vera sfida di solito non è avere pochi strumenti. È farli funzionare tutti insieme.
