AGGIORNAMENTO: Il presente articolo, originariamente pubblicato su 1 agosto 2024, è stato rivisto per tenere conto dell’ampliamento dell’ambito di applicazione del quadro normativo, dell’aggiornamento del contesto normativo e delle nuove linee guida relative all’attuazione degli standard di sicurezza informatica.
Nell’attuale panorama delle minacce in continua evoluzione, in cui gli attacchi sono sempre più subdoli e sofisticati, i quadri normativi in materia di sicurezza informatica sono essenziali (e, in alcuni casi, obbligatori) per garantire la sicurezza e l’integrità dei sistemi informativi di un’organizzazione.
Questi modelli aiutano i team IT a gestire i rischi, ad applicare misure di sicurezza collaudate e a soddisfare i requisiti di conformità, in particolare in settori soggetti a regolamentazione quali , le organizzazioni governative, il commercio al dettaglio e il settore sanitario.
Questo articolo del blog illustrerà in dettaglio cosa sono i framework di sicurezza informatica, perché sono importanti e come scegliere quelli più adatti alla vostra organizzazione.
Potrete confrontare direttamente dieci degli standard più diffusi — dall’ NIST e all’ PCI DSS — e imparare come allinearli al vostro profilo di rischio, ai requisiti del settore e agli obiettivi di conformità.
Sia che stiate elaborando una strategia di sicurezza partendo da zero, sia che stiate perfezionando una strategia già esistente, questo articolo vi aiuterà a districarvi nella complessità e a compiere con sicurezza i prossimi passi.
Cosa sono i quadri di riferimento per la sicurezza informatica?
Un quadro di riferimento per la sicurezza informatica è un insieme di linee guida, buone pratiche e standard concepiti per aiutare le organizzazioni a gestire e ridurre i propri rischi in materia di sicurezza informatica. Fornisce un linguaggio e una struttura comuni per allineare i team IT, di sicurezza e di conformità agli obiettivi di gestione dei rischi, tra cui l’identificazione, la protezione, il rilevamento, la risposta e il ripristino in seguito a minacce informatiche.
I sistemi di sicurezza informatica fungono inoltre da prima linea di difesa, contribuendo a proteggere le vostre risorse digitali più preziose, dai dati dei clienti e dalla proprietà intellettuale ai sistemi che garantiscono il funzionamento della vostra azienda. In un panorama delle minacce in continua evoluzione — e in cui molte organizzazioni non dispongono ancora di un approccio coerente per valutare e affrontare i rischi — i modelli di riferimento forniscono la struttura e la sicurezza necessarie per mantenere un vantaggio competitivo.
Sebbene i vantaggi siano evidenti, i framework possono anche comportare alcune difficoltà: aggiornamenti frequenti, crescente complessità, fabbisogno di risorse e necessità di allinearsi alle pratiche esistenti in materia di sicurezza dei dati e gestione dei rischi.
Tuttavia, se implementate con attenzione, non solo migliorano il Suo livello di sicurezza, ma apportano anche chiarezza e coerenza al modo in cui la Sua organizzazione gestisce il rischio informatico.
È fondamentale comprendere l’importanza di questi modelli. Essi offrono una tabella di marcia per la protezione delle informazioni critiche e lo sviluppo di una resilienza informatica a lungo termine , affrontando tutti gli aspetti chiave della sicurezza informatica: dalla governance e dalla gestione dei rischi al rilevamento e alla risposta.
Elenco dei quadri di riferimento per la sicurezza informatica: spiegazione dei 10 standard più diffusi
Esaminiamo dieci standard comuni di sicurezza informatica per comprendere quali framework potrebbero essere vantaggiosi per la vostra organizzazione e perché.
- Obiettivi di controllo per l’informazione e le tecnologie correlate (COBIT)
COBIT è un quadro di riferimento per la governance e la gestione dell’IT, compresa la sicurezza informatica, che allinea l’IT agli obiettivi aziendali gestendo al contempo i rischi e la conformità.
L’ISACA, un’organizzazione professionale globale per i professionisti dell’IT, ha sviluppato gli Obiettivi di controllo per l’informazione e le tecnologie correlate, noti come standard COBIT. Anziché prescrivere tecnologie specifiche, COBIT offre un approccio strutturato alla governance e alla gestione delle informazioni e della tecnologia aziendale.
Esso illustra in che modo le organizzazioni possano implementare processi di governance e gestione tenendo conto delle esigenze delle parti interessate e stabilendo le relative priorità. Il quadro di riferimento comprende elementi quali le strutture organizzative, i flussi di informazioni e gli indicatori di prestazione. Inoltre, rafforza le pratiche di sicurezza informatica integrandole all’interno di obiettivi aziendali più ampi. Anziché sostituire altri standard di sicurezza informatica, COBIT li integra, fungendo spesso da livello di governance a supporto dell’implementazione di quadri di riferimento quali l’ NIST.
- Certificazione del Modello di Maturità della Sicurezza Informatica (CMMC)
Il CMMC è un quadro normativo federale statunitense volto a garantire che gli appaltatori del settore della difesa proteggano le informazioni controllate non classificate (CUI). Comprende tre livelli di maturità ed è strettamente allineato agli standard SP 800-171 e SP 800-172 dell’ NIST.
La Certificazione del Modello di Maturità della Sicurezza Informatica del , o quadro CMMC, è uno standard di sicurezza federale statunitense progettato per proteggere il settore della Base Industriale della Difesa (DIB) — il consorzio globale di aziende che sviluppano sistemi d’arma militari e altre tecnologie per le forze armate statunitensi — dalle minacce informatiche.
[Legga anche: [Cosa devono sapere gli appaltatori del Dipartimento della Difesa (DoD) sulla conformità al CMMC 2,0 ]
Nello specifico, il quadro normativo CMMC è stato concepito per garantire che le aziende che sviluppano sistemi a supporto delle forze armate statunitensi soddisfino i requisiti di sicurezza informatica del Dipartimento della Difesa (DoD) applicabili ai programmi di acquisizione e ai sistemi che trattano informazioni classificate (CUI). Tali standard rivestono un’importanza particolarmente cruciale per le organizzazioni che operano nella catena di approvvigionamento del settore della difesa, dove la protezione delle informazioni classificate (CUI) è essenziale per la sicurezza nazionale. L’ultima versione del CMMC, il programma CMMC 2,0 , introduce tre caratteristiche fondamentali: un modello a livelli per gli standard di sicurezza informatica, requisiti di valutazione semplificati e un’attuazione basata sui contratti.
Il CMMC 2,0 definisce inoltre tre livelli di maturità, ciascuno caratterizzato da requisiti di sicurezza informatica sempre più rigorosi in base alla sensibilità delle informazioni trattate. Tali livelli spaziano dalle misure di base di sicurezza informatica e dalle autovalutazioni del Livello 1 fino alle protezioni avanzate, verificate dalle autorità governative, per le informazioni non classificate soggette a controllo del Livello 3.
Da notare: Il Center for Internet Security, un’organizzazione senza scopo di lucro statunitense fondata nel 2000 con l’obiettivo di «aiutare le persone, le imprese e i governi a proteggersi dalle minacce informatiche sempre più diffuse», offre una serie di controlli volti ad aiutare le organizzazioni a soddisfare i requisiti del CMMC 2,0 .
Il CIS fornisce indicazioni sulla corrispondenza tra i propri Controlli di sicurezza critici v8 e il CMMC 2,0. Questi controlli CIS ( ) aiutano le aziende del settore DIB ad attuare i controlli e i processi di sicurezza necessari per la conformità allo standard CMMC 2,0 .
- Legge federale sulla modernizzazione della sicurezza delle informazioni (FISMA)
Il FISMA impone alle agenzie federali statunitensi e ai loro appaltatori di attuare misure di protezione della sicurezza delle informazioni in base al livello di rischio.
L'originale
Legge federale sulla modernizzazione della sicurezza informatica
, nota come FISMA, è stata approvata nel 2002 e impone a ciascuna agenzia federale di elaborare, documentare e attuare un programma a livello di agenzia volto a garantire la sicurezza delle informazioni e dei sistemi che supportano le operazioni e le risorse dell’agenzia, compresi quelli forniti o gestiti da un’altra agenzia, da un appaltatore o da altre fonti. Nel 2014 è stata approvata una versione aggiornata della legge.
Il FISMA definisce un quadro normativo in materia di conformità che comprende:
☑ Creazione di un inventario dei sistemi informativi
☑ Sistemi di classificazione in base al livello di rischio
☑ Attuazione dei controlli di sicurezza descritti nei documenti “ ” ( NIST SP 800-53) ( ) e nello standard supplementare “” (FIPS-200) (), “Requisiti minimi di sicurezza per le informazioni e i sistemi informativi federali”
Nel complesso, il FISMA adotta un approccio basato sul rischio per la protezione dei sistemi informativi. Ai sensi del , le agenzie federali sono tenute a garantire «…misure di protezione della sicurezza delle informazioni commisurate al rischio e all’entità del danno derivante dall’accesso, dall’uso, dalla divulgazione, dall’interruzione, dalla modifica o dalla distruzione non autorizzati delle informazioni raccolte o conservate da un’agenzia o per suo conto, nonché dei sistemi informativi utilizzati o gestiti da un’agenzia, da un appaltatore di un’agenzia o da un’altra organizzazione per conto di un’agenzia».
- Il Regolamento generale sulla protezione dei dati (GDPR)
GDPR è un regolamento dell’Unione Europea (UE) incentrato sulla riservatezza, il controllo e la protezione dei dati dei residenti nell’UE.
Il Regolamento generale sulla protezione dei dati, denominato “ GDPR”, è entrato in vigore il 25 maggio 2018. GDPR impone alle organizzazioni che trattano i dati personali identificabili (PII) dei residenti nell'Unione europea di attuare rigorosi controlli in materia di riservatezza e sicurezza dei dati. Inoltre, garantisce alle persone il diritto di accedere ai propri dati personali, di rettificarli e di richiederne la cancellazione. Le grandi organizzazioni devono nominare un responsabile della protezione dei dati (DPO) incaricato di supervisionare la gestione dei dati dei consumatori, assicurando che siano in atto misure di sicurezza adeguate e che le organizzazioni possano rispondere tempestivamente alle richieste dei consumatori. La legge stabilisce inoltre le norme relative ai dati che possono essere raccolti e alle modalità di utilizzo degli stessi.
La violazione del GDPR può comportare costi elevati. GDPR Le sanzioni possono raggiungere fino al 4% del fatturato annuo globale dell’organizzazione o 20 milioni di euro, a seconda di quale sia l’importo più elevato. GDPR è stata la prima legge di ampio respiro in materia di protezione dei dati nell’era di Internet. Ha fatto da modello per le leggi e i regolamenti in materia di protezione dei dati in altre regioni. Ad esempio, il California Consumer Privacy Act, anch’esso approvato nel 2018, presenta molte caratteristiche in comune con GDPR. [Leggi anche: 10 modi in cui “ Tanium ” migliora la gestione dei rischi legati ai dati e la privacy] Qualsiasi organizzazione che intrattenga rapporti commerciali con residenti nell’Unione Europea deve conformarsi al Regolamento generale sulla protezione dei dati ( GDPR). Di conseguenza, la norma “ GDPR ” è diventata uno standard di fatto per la conformità in materia di protezione dei dati nelle imprese a livello globale. Poiché tale legge viene utilizzata come modello per la legislazione in altre regioni, merita l’attenzione delle aziende di tutto il mondo. Se un’azienda dispone di un programma di sicurezza informatica che prevede controlli in materia di gestione e sicurezza dei dati, in linea con il regolamento “ GDPR”, è probabilmente in una posizione adeguata per conformarsi anche alle normative sulla protezione dei dati vigenti in altre regioni o in settori specifici.
- Health Information Trust Alliance (HITRUST CSF)
HITRUST CSF è un quadro di riferimento per la protezione delle informazioni sanitarie che unifica i requisiti di conformità previsti dall’HIPAA, dall’ ISO e da altre normative.
HITRUST è una società privata a scopo di lucro con sede a Frisco, in Texas. Ha creato uno standard di sicurezza informatica, originariamente denominato HITRUST Common Security Framework, ora denominato HITRUST CSF. L’HITRUST CSF è un quadro di riferimento certificabile, il che significa che le organizzazioni possono sottoporsi a una valutazione convalidata da parte di un valutatore esterno autorizzato da HITRUST al fine di ottenere la certificazione. La certificazione viene rilasciata da organismi di valutazione indipendenti, non da HITRUST stessa.
Lo standard mira a semplificare la conformità con altri quadri normativi in materia di sicurezza informatica, quali l’HIPAA e le norme ISO /IEC 27000 , tra cui ISO/IEC 27001. Nonostante l’ampio utilizzo dell’HITRUST CSF, alcuni professionisti della sicurezza informatica ritengono che tale quadro normativo sia macchinoso e obsoleto.
Tuttavia, molte organizzazioni sanitarie scelgono di avvalersi della conformità all’HITRUST CSF non solo per ottenere la conformità all’HIPAA, ma anche per implementare controlli di sicurezza volti a ridurre al minimo le vulnerabilità e a migliorare la protezione contro le minacce informatiche, quali il malware, il phishing e il business email compromise (BEC).
- Legge sulla portabilità e la responsabilità in materia di assicurazione sanitaria (HIPAA)
L’HIPAA impone misure di controllo relative alla riservatezza e alla sicurezza dei dati al fine di proteggere le informazioni sanitarie dei pazienti in tutte le organizzazioni sanitarie degli Stati Uniti.
La Legge sulla portabilità e la responsabilità in materia di assicurazione sanitaria del 1996, nota anche come HIPAA, costituisce uno standard essenziale di sicurezza informatica per il settore sanitario statunitense. Essa impone agli operatori sanitari e agli enti pagatori (organizzazioni che sostengono i costi dell’assistenza sanitaria, quali gli operatori di piani sanitari, Medicare e Medicaid) di tutelare la riservatezza delle informazioni sanitarie personali (PHI) dei pazienti.
Per "PHI" si intendono le informazioni relative alla salute che possono essere utilizzate per identificare una persona e che sono tutelate ai sensi dell'HIPAA. Esso comprende elementi che possono essere considerati anche informazioni di identificazione personale (PII), quali nomi, cartelle cliniche o dati assicurativi. La “portabilità” a cui si fa riferimento nel titolo della legge consiste nella possibilità per i pazienti di trasferire le proprie cartelle cliniche da un operatore sanitario a un altro in situazioni quali, ad esempio, un cambio di lavoro. Al fine di garantire che la riservatezza di tali dati non venga compromessa, né intenzionalmente né accidentalmente, durante la loro conservazione o il loro trasferimento, l’HIPAA stabilisce requisiti rigorosi in materia di riservatezza e sicurezza dei dati e raccomanda misure di protezione quali la crittografia e i controlli di accesso, sebbene non imponga l’adozione di tecnologie specifiche. Le raccomandazioni dell’HIPAA mirano a promuovere le migliori pratiche in materia di sicurezza informatica e a ridurre al minimo il rischio di violazioni dei dati che interessino le informazioni di identificazione personale (PII).
Le aziende che non rispettano l’HIPAA possono incorrere in pesanti sanzioni, che possono raggiungere diversi milioni di dollari. Potrebbero inoltre subire un danno reputazionale duraturo.
Oltre alle sanzioni a carico delle organizzazioni, l’HIPAA prevede sanzioni civili e penali per i soggetti che abusino consapevolmente delle informazioni sanitarie protette (PHI), con multe fino a 250.000 dollari e la possibilità di reclusione.
- Organizzazione internazionale per la normazione (ISO) 27001, ISO 27002
ISO le norme 27001 e 27002 sono norme internazionali che adottano un approccio olistico alla sicurezza informatica, ponendo l’accento sulle persone, sulle politiche e sulla tecnologia.
ISO La norma 27001 definisce i requisiti per l'istituzione, l'attuazione, il mantenimento e il miglioramento continuo di un Sistema di gestione della sicurezza delle informazioni (ISMS). ISO Il documento 27002 entra maggiormente nel dettaglio, fornendo le migliori pratiche e gli obiettivi di controllo relativi al controllo degli accessi, alla crittografia, alla sicurezza delle risorse umane e alla risposta agli incidenti .
- L’Istituto Nazionale di Standard e Tecnologia (NIST)
NIST sviluppa standard e quadri di riferimento in materia di sicurezza informatica che aiutano le organizzazioni a gestire e ridurre i rischi di sicurezza in tutti i settori.
L’, National Institute of Standards and Technology (), è, come suggerisce il nome, la principale agenzia del governo federale degli Stati Uniti incaricata di emanare standard, compresi quelli relativi alla sicurezza informatica, quali:
• NIST La Pubblicazione Speciale (SP) 800-53 fornisce un catalogo di controlli di sicurezza e privacy per i sistemi informativi e le organizzazioni, offrendo controlli fondamentali per il programma di sicurezza di quasi tutte le organizzazioni.
• NIST La norma SP 800-171 “” definisce i requisiti di sicurezza per le organizzazioni non federali che devono produrre informazioni non classificate soggette a controllo.
• NIST La norma SP 800-172 integra la norma SP 800-171 NIST con ulteriori requisiti per la protezione delle informazioni classificate (CUI).
• NIST Il Cybersecurity Framework (CSF) è un quadro di riferimento in materia di sicurezza volto a promuovere la protezione e la resilienza delle infrastrutture critiche e di altri settori rilevanti per l’economia e la sicurezza nazionale. Per quanto riguarda l’ NIST e CSF, l’agenzia ha pubblicato delle linee guida per garantire la sicurezza di ogni aspetto, dai sistemi informatici federali ai dati genomici. Inoltre, altri quadri di riferimento per la sicurezza informatica, come il CMMC 2,0, utilizzano i quadri di riferimento per la sicurezza informatica dell’ NIST come linee guida per la definizione dei controlli di sicurezza.Gli attacchi contro le infrastrutture critiche — che comprendono le organizzazioni che forniscono servizi essenziali quali l’energia, l’assistenza sanitaria e i servizi finanziari — sono aumentati negli ultimi anni. Le organizzazioni che gestiscono infrastrutture critiche dovrebbero prendere in considerazione l’adozione del quadro di riferimento per la sicurezza informatica (CSF) dell’ NIST , al fine di migliorare il proprio livello di sicurezza informatica e difendersi da tali attacchi informatici.
Ogni azienda può trarre vantaggio dall’adesione alle linee guida dell’ NIST in materia di sicurezza informatica. Uno dei vantaggi derivanti dall’adozione dei framework dell’ NIST è che l’agenzia continua a rivedere e aggiornare i propri standard, tenendo conto delle nuove tecnologie, delle minacce alla sicurezza e dei suggerimenti degli esperti del settore.
- Lo standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS)
PCI Il DSS è uno standard volto a proteggere i dati delle carte di credito attraverso una serie completa di requisiti relativi alla sicurezza delle reti, degli accessi e dei dati.
Il Consiglio per gli standard di sicurezza del settore delle carte di pagamento (PCI SSC), un forum globale dedicato alla promozione della sicurezza dei dati relativi ai conti, ha sviluppato lo standard di sicurezza dei dati del settore delle carte di pagamento, ovvero il DSS ( PCI ), al fine di incoraggiare e migliorare la sicurezza dei dati relativi ai conti delle carte di pagamento e facilitare l’adozione su larga scala di misure di sicurezza dei dati coerenti a livello globale.
La sicurezza è fondamentale per il settore delle carte di credito e lo standard DSS ( PCI ) rappresenta una politica di sicurezza fondamentale Benchmark per i gestori di transazioni con carte di credito (carte di pagamento).
PCI Il DSS fornisce una serie di requisiti tecnici e operativi di base volti a proteggere i dati dei conti di pagamento, organizzando i relativi controlli di sicurezza in sei gruppi:
1.Realizzare e mantenere una rete e sistemi sicuri 2.Proteggere i dati dei titolari di carte 3.Mantenere un programma di gestione delle vulnerabilità conforme allo standard 4.Implementare misure rigorose di controllo degli accessi 5.Monitorare e testare regolarmente le reti 6.Mantenere una politica di sicurezza delle informazioni
Prima dell’adozione dello standard PCI DSS, i cinque principali marchi di carte di credito — American Express, Discover, JCB, MasterCard e VISA — disponevano ciascuno di propri standard di sicurezza per la protezione dei dati dei conti e la lotta alle frodi. Adottando uno standard comune, il settore delle carte di pagamento ha semplificato la conformità per gli esercenti e i fornitori di servizi, evitando la necessità di una normativa e garantendo il rispetto dei requisiti di sicurezza attraverso obblighi contrattuali.
Gli esercenti operanti in settori quali la vendita al dettaglio e l’e-commerce che accettano transazioni con carta di credito devono soddisfare i requisiti di conformità previsti dal PCI DSS e spesso necessitano di controlli fondamentali, quali firewall, crittografia e gestione degli accessi, per proteggere i dati sensibili. Le modalità con cui rendono conto della propria conformità variano in base al volume delle transazioni con carta di credito che elaborano ogni anno. Gli esercenti che gestiscono solo poche migliaia di transazioni hanno esigenze diverse rispetto a quelli che ne gestiscono molti milioni.
PCI La conformità alle norme DSS viene verificata annualmente tramite un questionario di autovalutazione (SAQ) o una relazione formale di conformità (ROC) redatta da un valutatore di sicurezza qualificato (QSA), a seconda del volume delle transazioni.
Service Organization Control Tipo 2 (SOC 2))
SOC 2 ( ) è un quadro di riferimento volontario in materia di sicurezza informatica volto a garantire che le organizzazioni di servizi conservino, gestiscano e proteggano adeguatamente i dati dei clienti.
Implementata dall’American Institute of Certified Public Accountants (AICPA), la serie di linee guida SOC 2’s è strutturata attorno a questi cinque principi:
1. Disponibilità
2. Riservatezza
3. Privacy
4. Integrità del trattamento
5. Sicurezza
Quando un’organizzazione di servizi, come ad esempio un’azienda commerciale che raccoglie ed elabora i dati dei clienti tramite un sito web, desidera dimostrare la propria gestione responsabile di tali dati, può scegliere di sottoporsi a un audit SOC 2 .
Qualora superi l’audit, l’organizzazione potrà garantire a clienti, investitori e altri soggetti di aver superato un audit SOC 2 e di aver ricevuto un rapporto di attestazione che conferma la conformità dei propri controlli ai Criteri dei Servizi di Fiducia, dimostrando così di aver implementato controlli adeguati per la gestione dei rischi di sicurezza informatica al fine di ridurre al minimo il rischio di violazioni dei dati e di altri incidenti di sicurezza informatica.
Confronto diretto tra i quadri di riferimento in materia di sicurezza informatica
Come potete constatare, data la grande varietà di framework disponibili, ciascuno con una propria specificità, requisiti e rilevanza settoriale, può risultare complesso stabilire quale o quali di essi si adattino meglio alle esigenze della vostra organizzazione.
La tabella che segue presenta un confronto diretto tra questi quadri di riferimento per la sicurezza informatica, al fine di chiarirne lo scopo, l’applicabilità e le componenti principali:
| Quadro di riferimento | Ideale per | Requisiti fondamentali |
|---|---|---|
| COBIT | Governance informatica e gestione dei rischi aziendali | Obiettivi di governance Performance , maturità dei processi gestionali, allineamento delle parti interessate |
| CMMC 2,0 | Appaltatori statunitensi del programma DIB | Livelli gerarchici (FCI/CUI) NIST Allineamento con la norma SP 800-171/172 Valutazioni di terze parti |
| FISMA | Agenzie federali statunitensi e appaltatori | Risk- Controlli di sicurezza basati su: monitoraggio continuo, inventario di sistema, Reporting |
| GDPR | Organizzazioni che trattano i dati dei residenti nell’Unione europea | Base giuridica del trattamento Consenso Diritti dell’interessato Notifica delle violazioni |
| HITRUST CSF | Settore sanitario, finanziario e altri settori soggetti a regolamentazione | Quadro di controllo unificato Personalizzazione basata sul RiskCertificazione Monitoraggio continuo |
| HIPAA | Organizzazioni sanitarie | Tutela delle informazioni sanitarie protette (PHI) – Controlli di audit – Misure di sicurezza amministrative, tecniche e fisiche |
| ISO 27001 | Imprese globali operanti in diversi settori | Sviluppo dell’ISMS Risk , valutazione, miglioramento continuo, controlli di cui all’Allegato A |
| ISO 27002 | Organizzazioni che implementano i controlli previsti dal documento “ ISO e 27001 ” | Linee guida per l’implementazione dei controlli di cui all’Allegato A del documento “ ISO 27001 ”: migliori pratiche in materia di controllo degli accessi, crittografia, sicurezza delle risorse umane e risposta agli incidenti |
| NIST CSF 2,0 | Agenzie federali statunitensi, infrastrutture critiche, imprese | Funzioni di identificazione, protezione, rilevamento, risposta e ripristino; controlli basati sui risultati |
| PCI DSS | Commercio al dettaglio, e-commerce e gestori di pagamenti | Crittografia, Controllo degli accessi, Segmentazione della rete, Gestione delle vulnerabilità |
| SOC 2 | Fornitori di servizi SaaS e organizzazioni di servizi | Sicurezza, Disponibilità, Integrità dell'elaborazione, Riservatezza, Privacy (Criteri dei servizi di fiducia) |
Sebbene il confronto sopra riportato offra una panoramica utile, la scelta del quadro di riferimento più appropriato richiede un’analisi più approfondita delle esigenze specifiche, dei rischi e del contesto normativo della vostra organizzazione.
Nella sezione seguente, esamineremo gli aspetti chiave da considerare per aiutarvi a determinare quale quadro di riferimento per la sicurezza informatica — o combinazione di quadri di riferimento — si allinei al meglio alla vostra strategia.
Qual è il framework più adatto per la sicurezza informatica?
Purtroppo non esiste una risposta valida per tutti i casi. Il quadro di riferimento adeguato in materia di sicurezza informatica dipende dal settore in cui opera la Sua azienda, dai tipi di dati che gestisce, dal contesto normativo di riferimento e dalle capacità del Suo team.
Per restringere il campo, si chieda:
🧩 Quali normative di settore si applicano alla nostra attività?
Operiamo nel settore sanitario, della difesa, finanziario o della vendita al dettaglio — ciascuno con i propri obblighi di conformità?
🔐 Quali tipi di dati trattiamo?
Trattiamo dati sanitari protetti (PHI), informazioni riservate (CUI), informazioni relative alla sicurezza nazionale ( PCI) o informazioni di identificazione personale (PII) che richiedono misure di protezione specifiche?
🌍 Operiamo a livello globale?
Siamo soggetti a normative internazionali quali il “ GDPR ” in quanto trattiamo i dati dei residenti nell’Unione Europea?
🔍 Con quale frequenza veniamo sottoposti a revisione?
Siamo tenuti a effettuare regolarmente valutazioni da parte di soggetti terzi o audit interni?
🧰 Di quali risorse disponiamo?
Il nostro team è realmente in grado di gestire e monitorare più framework, che potrebbero sovrapporsi tra loro?
Alcuni quadri normativi, come l’HIPAA e l’HITRUST CSF, sono specifici di un determinato settore, come quello sanitario, e spesso sono necessari per soddisfare standard settoriali riconosciuti in materia di protezione dei dati e conformità. Altri, come il DSS dell’ PCI , si concentrano su particolari tipi di dati; pertanto, forniscono linee guida e migliori pratiche per la protezione dei dati relativi ai conti delle carte di pagamento, ma non affrontano altri tipi di rischi. Standard di più ampio respiro, come la norma SP 800-53 dell’ NIST , offrono una serie fondamentale di misure di controllo in materia di sicurezza informatica che molte organizzazioni adottano come punto di riferimento.
Consiglio da esperto: la scelta di un quadro di riferimento per la sicurezza informatica non consiste semplicemente nel spuntare delle caselle, ma nel garantire l’allineamento con la missione della vostra organizzazione, la sua propensione al rischio e le realtà operative. Molte organizzazioni ritengono che la combinazione di più framework offra la flessibilità e la copertura di cui hanno bisogno.
In che modo i modelli di sicurezza informatica migliorano il livello di sicurezza delle organizzazioni?
I quadri di riferimento in materia di sicurezza informatica forniscono linee guida che sono state elaborate, perfezionate, testate e collaudate nel corso del tempo. Essi possono fornire indicazioni chiare e parametri di riferimento che le organizzazioni possono utilizzare per orientare le proprie iniziative in materia di sicurezza informatica e misurarne periodicamente il successo.
Possono inoltre aiutare un’organizzazione a soddisfare i requisiti normativi essenziali e a dimostrare a clienti, investitori, autorità di regolamentazione e altri soggetti che prende sul serio le sfide legate alla sicurezza informatica e che sta lavorando attivamente per mitigarle.
I quadri di riferimento per la sicurezza informatica rappresentano un approccio top-down alla sicurezza informatica. Forniscono schemi di riferimento basati su principi quali la sicurezza e la disponibilità, per poi definire nei dettagli le modalità con cui attuare tali principi nella pratica.
Un approccio complementare alla sicurezza informatica consiste nel rafforzare i controlli di sicurezza partendo dal basso, a partire dagli endpoint e dai dati con cui i dipendenti lavorano quotidianamente.
Disporre di visibilità, controllo, sicurezza e gestione in tempo reale di tutti i dispositivi endpoint — inclusi computer fissi, portatili, tablet, server e altri dispositivi presenti nella vostra azienda — può contribuire a gettare le basi per la conformità a qualsiasi quadro normativo in materia di sicurezza informatica, o combinazione di quadri normativi, che scegliate di implementare. Potete favorire una rapida mitigazione delle minacce e migliorare la vostra sicurezza monitorando costantemente, tramite , gli endpoint dell’intera azienda alla ricerca di eventuali rischi.
È qui che entra in gioco Tanium .
In che modo “ Tanium ” aiuta le organizzazioni ad allinearsi ai quadri normativi in materia di sicurezza informatica
Tanium La soluzione Autonomous Endpoint Management (AEM) consente alle organizzazioni di implementare i principali framework di sicurezza informatica — quali il CSF 2,0 dell’ NIST, il DSS dell’ PCI e il CMMC 2,0—by — garantendo visibilità, controllo e automazione in tempo reale che consentono ai team di gestire i rischi, Enforce le politiche e sostenere le iniziative di conformità su larga scala.
Una funzionalità fondamentale all’interno di Tanium AEM, Tanium Risk e Compliance fornisce le funzionalità tecniche necessarie a supportare la gestione della conformità a livello aziendale. Consente una gestione continua dei rischi, automatizza i flussi di lavoro di correzione e garantisce la conformità in tempo reale. Nel loro insieme, queste funzionalità contribuiscono a definire il ruolo di AEM ( Tanium ) come piattaforma unificata che fa da ponte tra le operazioni di sicurezza e la governance, fornendo un’unica fonte di verità per i dati relativi all’ endpoint e e consentendo un’azione coordinata tra le attività operative, di sicurezza e di conformità.
Grazie alla perfetta integrazione con piattaforme quali , Microsoft , , Intune, Entra ID, nonché , ServiceNow, , Tanium , la nostra soluzione estende la visibilità in tempo reale e l’automazione per supportare l’applicazione dell’accesso condizionato, fornisce segnalazioni in tempo reale sui rischi legati ai dispositivi e ottimizza i flussi di lavoro relativi alla risposta agli incidenti e alla risoluzione dei problemi.
Sebbene queste funzionalità sembrino potenti in teoria, nella pratica risultano ancora più convincenti. Vediamo come la società di servizi professionali JLL abbia concretizzato queste capacità, modernizzando al contempo il proprio quadro di riferimento in materia di sicurezza informatica grazie a “ Tanium”.
Caso di studio: in che modo “ Tanium ” e “ Microsoft Defender for Endpoint” hanno aiutato JLL a modernizzare il proprio quadro di sicurezza informatica
Con l’inasprirsi dei requisiti normativi, molte organizzazioni stanno rivedendo le proprie strategie di sicurezza informatica per trovare un equilibrio tra efficienza operativa e preparazione alla conformità. JLL è una di queste organizzazioni che ha modernizzato con successo il proprio quadro di riferimento in materia di sicurezza informatica integrando Tanium e Microsoft Defender for Endpoint.
Questa trasformazione non solo ha fornito a JLL una visibilità in tempo reale sull’attività delle minacce su quasi 100.000 endpoint, ma ha anche consentito all’azienda di passare da operazioni di sicurezza reattive a operazioni proattive, grazie all’introduzione del “threat hunting” e di misure preventive più avanzate.
Grazie all’implementazione di Microsoft 365 E5, JLL ha acquisito funzionalità di sicurezza avanzate che, combinate con la visibilità e il controllo offerti da Tanium, hanno rafforzato la profondità e la qualità dei propri controlli di sicurezza.
Questo allineamento con la roadmap congiunta di Microsoft e Tanium ha consentito a JLL di soddisfare le proprie esigenze a lungo termine in materia di sicurezza informatica grazie a una strategia a prova di futuro.
Per scoprire come si è svolta questa trasformazione — e quale impatto ha avuto sulla strategia di sicurezza di JLL — potete guardare il video qui sotto e consultare il caso di studio completo all’indirizzo .
Domande frequenti sui quadri di riferimento in materia di sicurezza informatica
I quadri normativi in materia di sicurezza informatica possono risultare complessi, soprattutto quando si deve districarsi tra standard che si sovrappongono e requisiti di conformità in continua evoluzione.
Per contribuire a chiarire alcuni dei punti che più spesso generano confusione, abbiamo redatto di seguito una breve sezione dedicata alle domande frequenti.
Qual è la differenza tra l’ NIST e e il CMMC?
NIST fornisce linee guida generali in materia di sicurezza informatica applicabili a tutti i settori, mentre il CMMC si applica specificatamente agli appaltatori del Dipartimento della Difesa (DoD) e ne garantisce il rispetto attraverso audit condotti da soggetti terzi.
L'HIPAA costituisce un quadro normativo in materia di sicurezza informatica?
In un certo senso. L'HIPAA è una legge sulla privacy nel settore sanitario che, attraverso la propria “Security Rule”, integra un quadro normativo in materia di sicurezza informatica. Esso definisce gli standard per la protezione delle informazioni sanitarie protette (PHI) e delinea le misure di sicurezza amministrative, fisiche e tecniche richieste alle organizzazioni sanitarie.
E il MITRE ATT&CK?
Il framework MITRE ATT&CK “ ” ( ) costituisce una potente base di conoscenze sulle tattiche e le tecniche degli avversari. Non si tratta di un quadro normativo o di conformità, bensì di uno strumento di modellizzazione delle minacce utilizzato per migliorare le strategie di rilevamento, risposta e simulazione.
Esso integra i modelli tradizionali quali NIST e ISO , aiutando i team di sicurezza a Detect, a reagire e a simulare le minacce in modo più efficace. Molte organizzazioni utilizzano ATT&CK per migliorare la modellizzazione delle minacce e la pianificazione della risposta agli incidenti.
Qual è il quadro di riferimento per la sicurezza informatica più diffuso?
Il CSF dell’ NIST , denominato “ ”, è costantemente classificato come il quadro di riferimento più prezioso in materia di sicurezza informatica dai professionisti del settore, riconosciuto per la sua flessibilità, adattabilità e allineamento con gli obiettivi di gestione del rischio e di conformità.
Esiste un quadro di riferimento per l'analisi dei rischi nel campo della sicurezza informatica?
Mentre la maggior parte dei quadri di riferimento in materia di sicurezza informatica pone l’accento sui controlli e sulla conformità, il modello FAIR (Factor Analysis of Information Risk ) dell’ , offre una prospettiva diversa per quantificare il rischio informatico in termini finanziari.
Non si tratta di un quadro normativo, bensì di una metodologia di analisi dei rischi che aiuta le organizzazioni a stabilire le priorità di investimento e a definire i rischi in termini aziendali.
È possibile che le organizzazioni adottino più di un quadro di riferimento?
Certamente. Molte organizzazioni adottano e combinano diversi framework per far fronte a requisiti che si sovrappongono in materia di conformità, sicurezza e resilienza operativa.
Orientarsi tra i vari modelli di sicurezza informatica non deve necessariamente risultare un compito arduo. Che si tratti di adeguarsi ai requisiti CSF 2,0 dell’ NIST, di prepararsi per il CMMC 2,0 o di gestire molteplici requisiti, “ Tanium ” vi aiuta a unificare e ottimizzare il vostro lavoro, senza rinunciare alla visibilità né al controllo.
Desidera semplificare la conformità normativa e rafforzare il proprio livello di sicurezza? Prenoti una demo gratuita all'indirizzo per scoprire in che modo Tanium può aiutare il Suo team a compiere il passo successivo.
