Modello metodologico · Operare e controllare
Sei diagrammi che coprono i processi operativi ricorrenti del ciclo di sicurezza informatica: gestione degli incidenti, detection engineering, gestione delle vulnerabilità, catena di fornitura, identità e accessi privilegiati, backup e ripristino verificato. Sono modelli che declinano l'approccio di base delle misure di sicurezza per soggetti essenziali NIS2, con ruoli assegnati, gate decisionali ed evidenze prodotte in ogni fase.
01 · Esempio metodologico
Come si gestisce un incidente di sicurezza informatica secondo il quadro NIS2.
Un incidente non si chiude quando il sistema torna operativo. Si chiude quando è stato contenuto, ricostruito, notificato dove serve e trasformato in azioni correttive misurabili. Lo schema mostra come le sei fasi — dalla rilevazione all'apprendimento — possano essere organizzate in un playbook operativo con ruoli assegnati (Utente/Service Desk, SOC, Incident Manager, IT Operations, Legal/DPO, Direzione), gate decisionali che distinguono falso positivo da incidente confermato, e una traccia di evidenze che accompagna tutto il ciclo.
Il quadro normativo di riferimento è la Direttiva (UE) 2022/2555 (NIS2) e il D.Lgs. 138/2024 con le determinazioni ACN correlate. Per gli incidenti significativi ai sensi dell'art. 25 del D.Lgs. 138/2024, decorrono dalla conoscenza le tempistiche di notifica: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. La classificazione e la valutazione di significatività seguono i criteri dell'Allegato 3 alla Determinazione ACN 379907/2025 per i soggetti importanti e dell'Allegato 4 per i soggetti essenziali, integrati dalle Linee guida ACN sulla gestione degli incidenti.
02 · Esempio metodologico
Dalla minaccia alla telemetria, dalla telemetria alla detection.
Un sistema di rilevamento non nasce configurando un SIEM. Nasce definendo quali minacce si vogliono rilevare, quale telemetria è necessaria per rilevarle, quali regole di detection trasformano la telemetria in alert, quali processi di triage separano il vero segnale dal rumore. Lo schema mostra il ciclo chiuso — modellazione minacce, mappatura telemetria, sviluppo detection, tuning, triage, feedback al modello di minaccia — con le evidenze e le metriche di efficacia lungo il percorso: tasso di alert, tasso di falsi positivi, tempo medio di triage, tempo medio di containment.
L'approccio è coerente con le misure di monitoraggio e rilevamento richieste dall'Allegato 2 alla Determinazione ACN 379907/2025 e con i framework MITRE ATT&CK e NIST CSF 2.0 per la modellazione strutturata delle minacce e delle relative contromisure.
03 · Esempio metodologico
Un processo risk-based con percorso ordinario, urgenze ed eccezioni.
Non tutte le vulnerabilità hanno lo stesso peso. Non tutte richiedono lo stesso tempo. Non tutte possono essere sanate con la stessa tempistica. Lo schema mostra il ciclo continuo — identificazione, valutazione, prioritizzazione, remediazione, verifica — con tre percorsi paralleli: ordinario (patch pianificate secondo policy), urgenze (vulnerabilità critiche che richiedono interventi fuori ciclo) ed eccezioni (mitigazioni compensative quando la patch non è applicabile per motivi tecnici o di continuità). Ogni ramo produce evidenze di trattamento tracciabili.
La disciplina è coerente con le misure di gestione delle vulnerabilità previste dall'Allegato 2 alla Determinazione ACN 379907/2025 (misure di base per i soggetti essenziali) e con le linee guida generali degli standard ISO/IEC 27002:2022 e NIST SP 800-40 per il vulnerability management.
04 · Esempio metodologico
Il rischio informatico dei fornitori non si compra con un questionario.
La sicurezza di un servizio critico dipende oggi in modo strutturale dai fornitori: cloud, software, sistemi gestiti, servizi professionali. Lo schema mostra il governo del rischio del fornitore lungo tutto il rapporto — dalla qualifica iniziale (due diligence, evidenze richieste, contratto con clausole di sicurezza) alla gestione continua (monitoraggio, incidenti nel perimetro fornitore, notifiche ricevute, esiti verifiche) fino alla chiusura (uscita, restituzione dati, cancellazione, verifiche finali). Ogni fase produce evidenze conservate lato committente.
La disciplina risponde alle previsioni dell'art. 24 del D.Lgs. 138/2024 sulla sicurezza della catena di approvvigionamento e alle misure sui fornitori dell'Allegato 2 alla Determinazione ACN 379907/2025. Rilevante anche la Determinazione ACN 127437/2026 per i profili dei fornitori rilevanti sulla piattaforma NIS.
05 · Esempio metodologico
Il ciclo delle identità ordinarie e il percorso separato degli accessi privilegiati.
Un accesso non concesso non è ancora un accesso sicuro. Un accesso concesso senza tracciamento non è ancora un accesso governato. Lo schema separa i due cicli di vita: identità ordinarie (creazione, autorizzazioni, revisione periodica, dismissione) e accessi privilegiati (percorso separato con autorizzazione dedicata, monitoraggio continuo, registrazione delle sessioni, revoca automatica). Ogni ramo produce evidenze specifiche: log di autenticazione, catalogo autorizzazioni, riesami periodici, giustificazioni operative.
L'approccio è coerente con le misure IAM previste dall'Allegato 2 alla Determinazione ACN 379907/2025 e con i principi least privilege e segregation of duties degli standard ISO/IEC 27002:2022 e NIST SP 800-53.
06 · Esempio metodologico
Perché un backup eseguito non è ancora una capacità di recupero.
La disponibilità di un backup dice solo che qualche dato è stato copiato. Non dice se è integro, se è recuperabile, se il sistema può essere ripristinato in tempi utili e se il servizio torna davvero utilizzabile per il business. Lo schema separa questi quattro livelli — copia, dato recuperabile, sistema ripristinato, servizio utilizzabile — e mostra il ciclo di validazione che li collega: dieci fasi di processo, due gate di verifica (test tecnico e validazione business) e un percorso separato per lo scenario ransomware, dove il ripristino non può avvenire nello stesso ambiente compromesso.
La sequenza è coerente con il principio di continuità operativa richiesto dall'Allegato 2 alla Determinazione ACN 379907/2025 (misure di base per i soggetti essenziali) e con le linee guida generali di gestione incidenti NIS2. RTO, RPO, frequenze di test e criteri di accettazione restano parametri organizzativi da definire caso per caso.
