Il Cybersecurity Framework del NIST

Il NIST Cybersecurity Framework (CSF) è un framework volontario basato sul rischio, pubblicato dal National Institute of Standards and Technology degli Stati Uniti. È deliberatamente indipendente dalla tecnologia e adattabile a organizzazioni di qualsiasi dimensione o settore.

Il suo punto di forza è una struttura semplice e facile da ricordare per organizzare un programma di sicurezza. Nato per le infrastrutture critiche, oggi viene utilizzato ampiamente in tutto il mondo come linguaggio comune per il rischio di cybersecurity.

Il cuore del CSF è il Core, organizzato in Funzioni di alto livello. Le cinque classiche sono:

• Identify — comprendere gli asset e i rischi.
• Protect — predisporre misure di sicurezza.
• Detect — individuare gli eventi quando si verificano.
• Respond — intervenire sugli incidenti rilevati.
• Recover — ripristinare e imparare.

CSF 2.0 (2024) aggiunge una sesta funzione, Govern, che fornisce supervisione e strategia alle altre.

Identify sviluppa la comprensione dell'organizzazione necessaria per gestire il rischio. Non si può proteggere ciò che non si sa di avere.

• Gestione degli asset: hardware, software, dati e servizi.
• Contesto aziendale e dipendenze critiche.
• Valutazione del rischio e strategia di gestione del rischio.
• Rischio della catena di approvvigionamento.

Questa funzione risponde alla domanda che cosa abbiamo e da cosa è minacciato? Tutto ciò che segue dipende dal fatto di svolgerla correttamente.

Protect mette in atto salvaguardie per limitare o contenere l'impatto di un evento. Comprende la maggior parte dei controlli preventivi:

• Gestione delle identità e controllo degli accessi (principio del privilegio minimo, MFA).
• Consapevolezza e formazione.
• Sicurezza dei dati, crittografia dei dati a riposo e in transito.
• Manutenzione e tecnologie di protezione (hardening, applicazione delle patch).

Protect riduce la probabilità e il raggio d'azione degli incidenti prima che si verifichino.

Detect definisce le attività necessarie a individuare tempestivamente un evento di cybersecurity. La prevenzione prima o poi fallisce sempre, quindi il rilevamento è essenziale.

• Monitoraggio continuo della sicurezza (SIEM, EDR, sensori di rete).
• Rilevamento di anomalie ed eventi, conoscendo la propria baseline.
• Processi di rilevamento verificati e mantenuti.

La metrica in questo caso è il tempo di rilevamento: più a lungo una minaccia rimane inosservata, maggiore è il danno che provoca.

Respond comprende le azioni intraprese una volta rilevato un incidente, per contenerne l'impatto.

• Pianificazione della risposta, con un piano documentato di risposta agli incidenti.
• Comunicazioni interne ed esterne, comprese quelle legali e di PR.
• Analisi, per comprendere l'ambito e la causa radice.
• Mitigazione, contenimento ed eliminazione della minaccia.

Qui rientrano i playbook SOAR e i runbook di IR. Una risposta ben collaudata riduce l'impatto di qualsiasi violazione.

Recover ripristina le funzionalità compromesse da un incidente e reimmette nel programma le lezioni apprese.

• Pianificazione del ripristino e backup verificati.
• Miglioramenti, ossia la revisione post-incidente che aggiorna i controlli.
• Comunicazioni durante il ripristino.

Recover chiude il ciclo. La fase delle lezioni apprese dopo l'incidente trasforma una violazione dolorosa in un programma più solido, invece di lasciare che lo stesso errore si ripeta.

CSF 2.0 ha introdotto Govern come funzione trasversale alle altre. Definisce e monitora la strategia, le aspettative e le policy dell'organizzazione per la gestione del rischio di cybersecurity.

• Ruoli, responsabilità e attribuzione delle responsabilità.
• Strategia di gestione del rischio allineata agli obiettivi aziendali.
• Policy e supervisione, compreso il coinvolgimento a livello di consiglio di amministrazione.

Govern riflette il fatto che la cybersecurity è una questione di leadership e di rischio d'impresa, non solo tecnica.

Ogni Funzione si articola in Categorie e Sottocategorie (risultati specifici), identificate tramite codici.

Il CSF definisce i livelli di implementazione, che descrivono il grado di maturità e integrazione della gestione del rischio, dal Livello 1 al Livello 4:

• Livello 1 Parziale — ad hoc, reattivo.
• Livello 2 Informato sul rischio — pratiche approvate, ma non applicate in tutta l'organizzazione.
• Livello 3 Ripetibile — politiche formali, applicate in modo coerente.
• Livello 4 Adattivo — in continuo miglioramento, guidato dalle minacce.

I livelli non sono un punteggio di maturità da massimizzare alla cieca; scelga il livello che corrisponde al proprio rischio e alle proprie risorse.

Il CSF diventa operativo attraverso i profili. Ne costruisca due e li confronti:

• Un profilo attuale — i risultati che si ottengono oggi.
• Un profilo obiettivo — i risultati necessari in base al rischio e agli obiettivi aziendali.

La distanza tra i due costituisce la roadmap prioritaria. Questa analisi delle lacune trasforma il framework astratto in un piano concreto, con priorità e budget: colmi prima le lacune associate ai rischi più elevati. È così che il CSF orienta le decisioni di investimento, invece di restare un semplice documento di riferimento.

Associ un'attività alla Funzione CSF corretta.

Il NIST Cybersecurity Framework:

• Una struttura volontaria, basata sul rischio e indipendente dalla tecnologia, per organizzare un programma di sicurezza.
• Funzioni principali: Identify, Protect, Detect, Respond, Recover e Govern (aggiunta nel CSF 2.0), che le riunisce tutte.
• Identify conosce gli asset e i rischi; Protect previene; Detect individua gli eventi; Respond li contiene; Recover ripristina e trae insegnamenti.
• Le funzioni si scompongono in categorie e sottocategorie (risultati codificati); un profilo è l'insieme di risultati a cui si mira.
• I livelli di implementazione (dal Livello 1 Parziale al Livello 4 Adattivo) descrivono la maturità; scelga il livello adeguato al proprio rischio, senza massimizzarlo alla cieca.