Cybersecurity, i consigli di CybergON alle aziende per adempiere alle nuove direttive dell’Ue

Secondo Cybersecurity Ventures ogni 11 secondi un’azienda è vittima di un attacco informatico e il cyber crimine nel 2022 ha registrato un fatturato di 21 miliardi di dollari. Per accompagnare le aziende a prendere coscienza dei rischi per il business, incrementare il livello di consapevolezza delle minacce informatiche e sviluppare una maggiore capacità di risposta e prevenzione, l’Unione Europea ha varato due nuove direttive in materia di sicurezza informatica: Il Regolamento DORA e la Direttiva NIS 2.

Quali conseguenze hanno queste direttive per le aziende? CybergON, la business unit di Elmec Informatica dedicata alla cybersecurity, ha identificato quali best practice devono mettere in atto le aziende per prepararsi a recepire gli adempimenti delle due norme.

Nuovi obblighi per la cybersecurity: Regolamento DORA e Direttiva NIS 2

Il Regolamento DORA (Digital Operational Resilience Act), relativo alla resilienza operativa digitale per il settore finanziario, è entrato in vigore il 16 gennaio 2023 e diventerà vincolante a partire dal 17 gennaio 2025.
A partire da questo momento, gli operatori finanziari avranno l’obbligo di segnalare alle autorità competenti gli incidenti gravi connessi alle ITC, disporre di una governance interna e di un quadro di controllo che sovrintenda la gestione del rischio affinché sia efficace e prudente, effettuare una serie di test periodici per identificare i punti deboli, le carenze o le lacune, al fine di attuare tempestivamente le misure correttive con un’applicazione proporzionata alle proprie dimensioni e al profilo di rischio, e condividere le informazioni in modo lineare e trasparente.
Ulteriori informazioni sono disponibili a questo link.

Dall’altro lato, invece, la Direttiva sulla sicurezza delle reti e dei sistemi informativi nell’Unione (Direttiva NIS2) è entrata in vigore il 17 gennaio 2023 e il recepimento sarà efficace solo a partire dal 18 ottobre 2024, lasciando così un margine di pianificazione di 21 mesi. A partire da questo momento, i soggetti interessati da un incidente informatico dovranno effettuare un iter di notifica alle autorità competenti che comprende: un preallarme entro il termine di 24 ore dalla conoscenza dell’incidente, una notifica entro il termine di 72 ore dalla conoscenza dell’incidente che aggiorni – se necessario – le informazioni del preallarme, e una relazione finale entro un mese dalla trasmissione della notifica, il cui contenuto minimo è dettagliato dal legislatore.

Come recepire gli adempimenti delle direttive europee: la proposta di CybergON

Secondo CybergON, il suggerimento è quello di procedere secondo due direzioni: affidarsi ad un Security Operation Center (SOC) che sia in grado di identificare le possibili minacce e le vulnerabilità della propria rete aziendale in tempi brevi e investire in una continua e adeguata formazione ai dipendenti.

Considerate la complessità e le specificità delle conoscenze richieste in ambito cybersecurity, molte aziende non sono in grado di poter compiere un percorso di sicurezza informatica da sole. Per questo motivo, affidarsi a qualcuno che sia in grado di gestire tutte le attività in 24/7 si rivela una soluzione vantaggiosa anche da un punto di vista economico.

Sullo sfondo di questo scenario, CybergON identifica tre efficaci modalità che, se effettuate in modo continuativo, sono in grado di monitorare lo stato della propria infrastruttura: l’erogazione di penetration test (un attacco informatico simulato autorizzato su un sistema informatico o una rete), l’assessment delle vulnerabilità presenti (il complesso di attività svolte al fine di individuare il maggior numero possibile di vulnerabilità) e, infine, il controllo delle utenze. Inoltre, avere un SOC che si prenda la responsabilità del monitoraggio dell’infrastruttura aiuta a identificare eventuali problematiche prima che queste possano compromettere l’infrastruttura stessa, riducendo così i rischi che un incidente informatico possa rivelarsi critico.

“Il nostro consiglio è quello di creare una mappa delle competenze e farsi affiancare da esperti del settore per colmare quelle lacune che inevitabilmente sono presenti in ciascuna realtà non verticale sulla cybersecurity”, afferma Elisa Ballerio, Marketing Director di CybergON. “Il mercato del cybercrime è in continua evoluzione con modalità di attacco che cambiano continuamente, ecco perché affidarsi ad un servizio efficace è il vero vantaggio competitivo che permette di rimanere al passo con i cambiamenti”.

Alla base di una buona strategia di difesa c’è sempre la formazione dei propri dipendenti; l’errore umano, infatti, continua ad essere uno dei motivi principali per cui un attacco informatico va a segno. Per questo motivo, i corsi di formazione mirati al riconoscimento di mail malevole e alla promozione di comportamenti che prendono in considerazione la sicurezza informatica, restano l’elemento chiave per limitare i danni.

“La formazione deve essere mirata per tutti i gruppi di utenti attivi in azienda”, conclude Elisa Ballerio. “Come CybergON, infatti, da un lato eroghiamo corsi tecnici volti alla gestione del proprio servizio di sicurezza, dall’altro corsi per la dirigenza”.

La Direttiva NIS 2 e il Regolamento DORA sono il primo passo di una nuova visione sul lungo periodo. Il mondo della sicurezza informatica è in continuo cambiamento, per questo, il suggerimento di CybergON è di affidarsi ad un partner in grado di portare le nuove tecnologie ed i nuovi processi all’interno dell’azienda, intraprendendo un percorso che deve essere visto in un’ottica di continuità e non come un singolo ed isolato intervento.