Pianificazione della sicurezza informatica: un ciclo continuo di valutazione del rischio e controllo
Pianificazione della sicurezza ≠ Installare un antivirus. È una disciplina di governance.
La pianificazione della sicurezza è il processo strutturato e continuo di identificare cosa proteggi, cosa lo minaccia e come prevenire, rilevare e rispondere agli incidenti. È il progetto; gli strumenti sono i mattoni.
Componenti principali di un piano di sicurezza
- Valutazione del rischio
- Inventario degli asset (hardware, software, dati, persone).
- Modeling delle minacce (STRIDE, ATT&CK).
- Scansione delle vulnerabilità + penetration testing.
- Rischio = Probabilità × Impatto → Priorizza.
- Policy e procedure
- Uso accettabile, Classificazione dei dati, Controllo degli accessi, Risposta agli incidenti, BYOD, Crittografia, Ritenzione.
- Riviste annualmente; firmate da tutto il personale.
- Controlli di sicurezza (NIST 800-53 / ISO 27001 Allegato A)
- Preventivi: Firewall, MFA, privilegio minimo, patching, WAF, filtraggio email.
- Detettivi: SIEM, EDR, IDS/IPS, monitoraggio log, UEBA.
- Correttivi: Backup (3-2-1), sito di ripristino di emergenza, playbook di risposta agli incidenti, rollback patch.
- Compensativi: Segmentazione quando i sistemi legacy non possono essere aggiornati.
- Piano di risposta agli incidenti (IRP)
- Fasi: Preparazione → Rilevamento → Contenimento → Eradicazione → Ripristino → Lezioni apprese.
- Ruoli: Responsabile IR, Comunicazioni, Legale, Forense, Sponsor esecutivo.
- Test: Esercitazioni da tavolo trimestrali; red team annuale.
- Ripristino di emergenza / Continuità operativa (DR/BCP)
- RTO (Obiettivo di tempo di ripristino) e RPO (Obiettivo di punto di ripristino) per livello di sistema.
- Backup offsite, infrastruttura di failover, area di lavoro alternativa.
- Formazione sulla consapevolezza della sicurezza
- Simulazioni di phishing, igiene delle password, ingegneria sociale, segnalazione.
- Minimo trimestrale; basato sul ruolo per IT/finanza/HR.
- Budget e allocazione delle risorse
- Mappa i controlli alla riduzione del rischio → giustifica la spesa.
- Persone (SOC, GRC, AppSec), Strumenti (SIEM, SAST/DAST, CSPM), Servizi (MDR, penetration test).
- Conformità e aspetti legali
- Mappa i controlli a GDPR, HIPAA, PCI DSS, SOX, NIS2, CMMC se applicabile.
- Raccolta prove per gli audit.
- Monitoraggio continuo e miglioramento
- KPI: MTTR, MTTD, invecchiamento delle vulnerabilità, conformità al patching, tasso di clic sul phishing.
- Revisione annuale del piano + aggiornamenti basati su trigger (violazione, nuova regolamentazione, M&A).
Framework da adottare
- NIST CSF (Identifica, Proteggi, Rileva, Rispondi, Recupera) — standard USA, usato a livello globale.
- ISO 27001 — Standard ISMS certificabile.
- CIS Controls v8 — 18 salvaguardie prioritarie (IG1/IG2/IG3).
Un piano che rimane su uno scaffale è una responsabilità. Il piano vive nelle operazioni quotidiane, nelle code dei ticket e nelle revisioni trimestrali.