Benvenuti al nostro quindicesimo appuntamento sulle linee guida ENISA.
“Non puoi proteggere ciò che non sai di possedere”. Questo vecchio adagio della sicurezza informatica è il cuore delle Linee Guida ENISA sulla gestione delle risorse.
Prima di installare firewall o antivirus, devi sapere esattamente cosa c’è nella tua azienda e quanto vale. Senza questi due passaggi preliminari — Censimento e Classificazione — ogni altra misura di sicurezza rischia di essere inefficace o uno spreco di budget.
L’Inventario delle risorse: la tua mappa essenziale
Come scrivono le Linee Guida Enisa, il primo passo per gestire in maniera strategica le risorse non è tecnologico, ma organizzativo: devi creare un inventario delle risorse completo.
Molte PMI commettono l’errore di limitarsi a un semplice elenco hardware (PC e stampanti). Le linee guida ENISA richiedono molto di più. L’inventario deve essere:
- completo: deve includere Hardware (server, device mobili), Software (licenze, versioni), Dati (database clienti), Servizi (SaaS, Cloud) e persino le Risorse Umane critiche;
- dettagliato: per ogni risorsa, devi tracciare attributi specifici come l’ID univoco, il proprietario (chi ne è responsabile?), l’ubicazione fisica o cloud, la versione del firmware (fondamentale per le vulnerabilità) e la data di fine vita;
- dinamico: un foglio Excel statico fatto tre anni fa non è conforme. L’inventario deve essere mantenuto aggiornato e revisionato regolarmente per riflettere i nuovi acquisti o le dismissioni.
Hai bisogno di aiuto? Contattaci, NIS2Lab ti aiuta a costruire la mappa del tuo tesoro digitale secondo la normativa!
La classificazione delle risorse: dare un valore al dato
Una volta che sai cosa hai, devi decidere quanto vale. Non tutti i dati sono uguali: la lista del menù della mensa non richiede la stessa protezione dei brevetti industriali o dei dati sanitari.
La normativa impone di stabilire dei Livelli di Classificazione basati su tre pilastri della sicurezza:
- riservatezza: Chi può vedere questo dato?
- integrità: Quanto è grave se viene modificato per errore o con dolo?
- disponibilità: Quanto tempo l’azienda può sopravvivere senza accedere a questo dato?
Non sai se hai adottato tutte le misure richieste dalla Direttiva?
Il modello a “semaforo”
ENISA suggerisce di adottare un sistema di classificazione semplice e chiaro per definire le priorità:
- livello pubblico: informazioni liberamente accessibili (es. sito web, brochure marketing);
- livello interno: accessibile solo ai dipendenti e collaboratori (es. procedure, rubriche interne);
- livello confidenziale/riservato: accessibile solo a ruoli specifici e autorizzati (es. dati finanziari, dati personali HR, password, progetti R&D).
Questa etichettatura non è un esercizio di stile: determina quali misure di sicurezza applicare. Un documento “Confidenziale” richiederà crittografia e MFA, uno “Pubblico” no.
Perché inventario e classificazione sono inseparabili
La Gestione degli risorse funziona solo se questi due elementi dialogano. Il tuo registro degli risorse deve riportare, per ogni voce, il suo livello di classificazione.
Esempio pratico: Se nel tuo inventario hai un “Server Database Clienti”, la classificazione ti dirà che contiene dati “Confidenziali”. Di conseguenza, saprai che quel server ha priorità massima per i backup e le patch di sicurezza rispetto al “PC della Reception”, che magari gestisce solo dati “Interni”. Senza questa distinzione, rischieresti di spendere budget per proteggere eccessivamente il PC della reception, lasciando scoperto il server critico.
Revisione e aggiornamento costante
La conformità non è una fotografia statica. Le linee guida richiedono una revisione periodica (almeno annuale) della classificazione e dell’inventario.
Il valore di un dato cambia nel tempo: un progetto “Segreto” diventa “Pubblico” dopo il lancio commerciale. La tua Gestione degli risorse, secondo quanto specificato da ENISA, deve riflettere questi cambiamenti per ottimizzare le risorse di difesa e dimostrare all’auditor che hai il controllo della situazione.
Costruiamo insieme la tua mappa di sicurezza
Spesso le aziende non sanno da dove iniziare per censire i propri beni immateriali. NIS2Lab ti aiuta a implementare strumenti di inventario avanzati e a definire una policy di classificazione dei dati pratica e conforme agli standard ENISA.
