Sintesi
I backup non bastano: le prove di ripristino aiutano a verificare che i servizi prioritari possano tornare operativi dopo un incidente, in linea con gli obblighi NIS2 applicabili.
Il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, recepisce in Italia la direttiva NIS2 (UE) 2022/2555 ed è comunemente chiamato “decreto NIS2”. Gli obblighi non si applicano indistintamente a ogni organizzazione: riguardano i soggetti che ricadono nell’ambito definito dal decreto e che sono identificati come soggetti essenziali o importanti. Settore, dimensione e ulteriori criteri previsti dalla normativa concorrono a determinare l’applicabilità. L’ACN è l’Autorità nazionale competente per la NIS2 in Italia.
In breve
Molte organizzazioni possono dire: «Abbiamo i backup e un piano di disaster recovery». Per i soggetti essenziali e importanti, la domanda da porsi è più concreta: sappiamo ripristinare i servizi prioritari dopo un incidente e abbiamo definito come valutare se il ripristino è adeguato?
Per chi rientra nel perimetro della normativa NIS2, la gestione del rischio informatico deve essere adeguata e proporzionata. Continuità operativa, risposta agli incidenti e ripristino sono aspetti da integrare nella gestione della sicurezza; le specifiche applicabili e i relativi tempi dipendono anche dagli atti attuativi dell’ACN.
Per il CISO e le altre funzioni responsabili, una domanda utile è: «Sappiamo ripristinare i servizi più importanti in tempi compatibili con le esigenze operative? Come verifichiamo che il processo funzioni?»
Da “abbiamo dei backup” a “possiamo dimostrare il ripristino”
La presenza di copie di backup, da sola, non dice se un’organizzazione sia in grado di riprendere le attività dopo un incidente. Per i soggetti NIS2, il punto è gestire i rischi informatici con misure tecniche, operative e organizzative adeguate e proporzionate. La disponibilità e l’integrità dei sistemi, la continuità dei servizi e la capacità di gestire gli incidenti devono quindi rientrare nella valutazione complessiva del rischio.
La normativa non prescrive una soluzione tecnica unica per tutti. Immutabilità dei backup, esercitazioni, indicatori di prestazione e modalità di conservazione delle evidenze possono essere scelte utili nell’ambito di un approccio basato sul rischio, ma non vanno presentate come requisiti universali indistinti. Per i soggetti NIS2, occorre fare riferimento agli obblighi applicabili e alle specifiche di base pubblicate dall’ACN.
Tre aree da affrontare
1. Perimetro e governance
- La vostra organizzazione rientra nel campo di applicazione della normativa NIS2? È stata identificata e inserita nell’elenco ACN come soggetto essenziale o importante?
- Chi coordina internamente le attività di gestione del rischio e di continuità dei servizi, e come vengono coinvolte le funzioni responsabili della sicurezza, dell’IT e delle operations?
- Esiste un confronto periodico sui rischi, sulle misure adottate e sugli esiti delle verifiche o delle esercitazioni che l’organizzazione ha scelto di svolgere?
Un modello di governance chiaro aiuta a collegare le decisioni tecniche alle priorità operative e agli obblighi applicabili. L’attribuzione delle responsabilità e il coinvolgimento dei vertici vanno gestiti nel quadro previsto dal decreto, senza dedurne automaticamente una responsabilità personale per ogni incidente.
2. Fondamenta tecniche: protezione dei backup e obiettivi di ripristino
- Per i sistemi prioritari, quali misure proteggono le copie di backup da accessi, modifiche o cancellazioni non autorizzati? Tecnologie come storage WORM o funzioni che limitano la cancellazione possono essere valutate in base al rischio e all’architettura adottata.
- Le modifiche alle impostazioni di protezione o ai periodi di conservazione sono soggette a controlli e autorizzazioni coerenti con i rischi dell’organizzazione?
- Gli obiettivi di tempo e punto di ripristino (RTO e RPO) riflettono le esigenze dei servizi? Le verifiche periodiche o le esercitazioni, definite in base al contesto e agli obblighi applicabili, aiutano a individuare eventuali scostamenti?
Immutabilità, tempi di ripristino e frequenza delle prove non sono un’unica ricetta valida per tutti. Sono elementi da valutare rispetto ai sistemi, ai servizi, alle minacce e ai requisiti pertinenti; quando si applicano specifiche ACN, queste costituiscono il riferimento per i soggetti interessati.
3. Monitoraggio e gestione delle evidenze
- Gli eventi rilevanti dei sistemi di storage e backup — per esempio tentativi di cancellazione o modifiche alle policy — sono disponibili ai team di sicurezza e, ove previsto dall’architettura, ai sistemi SIEM o SOC?
- Sono stati valutati avvisi o procedure di risposta per attività anomale, come cancellazioni su larga scala o modifiche non attese alle protezioni?
- Le informazioni utili a ricostruire le decisioni e le verifiche svolte sono accessibili alle persone che ne hanno bisogno?
Il formato, il livello di dettaglio e la conservazione delle evidenze devono essere definiti in funzione degli obblighi effettivi, dei processi interni e delle esigenze di controllo. Non esiste un formato documentale unico da considerare universalmente imposto dalla normativa NIS2.
Dove Everpure dà il suo contributo qui – e dove sono i limiti
Everpure non è uno studio legale né un organismo di audit. Non interpreta le disposizioni per conto dei clienti, non fornisce pareri legali e non sostituisce la governance o il programma NIS2 dell’organizzazione.
Insieme agli strumenti di backup e di sicurezza già in uso, le soluzioni Everpure possono contribuire alla componente infrastrutturale del percorso di resilienza. A seconda della configurazione e delle esigenze, questo può includere:
- supporto a copie di backup protette a livello storage, anche tramite funzionalità di protezione come SafeMode;
- prestazioni di ripristino da valutare rispetto agli obiettivi operativi dell’organizzazione;
- funzionalità di sicurezza, registrazione degli eventi e disponibilità di informazioni utili ai processi di monitoraggio;
- supporto alla misurazione dei tempi e dei volumi durante le prove di ripristino, quando tali verifiche sono previste dal piano dell’organizzazione.
Restano in capo alle funzioni competenti la definizione del perimetro e della governance NIS2, l’interpretazione degli obblighi, il confronto con l’Autorità e la gestione complessiva dei controlli, dei rischi e degli audit.
Perché Everpure partecipa a questa conversazione
Il ripristino non è soltanto una questione di infrastruttura: richiede coordinamento tra sicurezza, IT, continuità operativa e responsabili dei servizi. Per i soggetti NIS2, la gestione del rischio e la continuità devono essere affrontate secondo gli obblighi applicabili e in modo proporzionato. Le scelte di storage e backup possono contribuire a questo obiettivo, ma non equivalgono da sole alla conformità normativa.
Everpure si propone come fornitore di infrastruttura, non come consulente per la conformità. Il suo contributo è circoscritto alla componente storage e backup: una base che può supportare la protezione dei dati, le prestazioni di ripristino e la disponibilità di informazioni utili alla verifica delle attività svolte.
