NIST CSF e ISO 27001: scegliere il ruolo operativo

NIST CSF e ISO 27001 aiutano le organizzazioni a strutturare la sicurezza, ma svolgono ruoli operativi diversi. La decisione del vertice diventa più chiara quando ci si chiede quale risultato serva all’azienda: una visione condivisa delle priorità di cybersicurezza, un programma di sicurezza delle informazioni gestito formalmente, una garanzia indipendente per i clienti o una combinazione di questi elementi.

Scegliere un framework non trasferisce altrove la responsabilità della direzione. Il vertice deve comunque definire il perimetro, finanziare i miglioramenti, assegnare i responsabili e decidere quali rischi residui l’azienda accetterà. La domanda utile non è quindi «Quale framework è migliore?», ma «Quale ruolo deve svolgere ciascuno nel modo in cui gestiamo e dimostriamo la sicurezza?».

Confrontate i risultati, non solo gli elenchi di controlli

Il NIST Cybersecurity Framework, attualmente CSF 2.0, descrive risultati di cybersicurezza. Offre ai team tecnici e ai dirigenti un linguaggio comune per discutere di rischi, capacità e priorità, senza prescrivere un’unica implementazione valida per ogni organizzazione.

La ISO/IEC 27001 specifica i requisiti per un sistema di gestione della sicurezza delle informazioni, o SGSI. Tale sistema stabilisce come un’organizzazione individua i rischi per la sicurezza delle informazioni, seleziona i trattamenti, assegna le responsabilità, valuta le prestazioni e si migliora. Una certificazione indipendente può fornire garanzie sulla conformità del sistema di gestione entro il perimetro definito.

Entrambi sono utilizzabili da organizzazioni di dimensioni e livelli di maturità diversi. Il NIST CSF non è riservato ai principianti o alle imprese statunitensi, e la ISO 27001 non è riservata alle grandi aziende internazionali. Il grado di preparazione incide sull’impegno richiesto, non sull’idoneità concettuale dell’approccio.

Che cosa apporta il NIST CSF alle decisioni del vertice

Il CSF 2.0 organizza i risultati in sei funzioni. Queste operano insieme; non sono sei fasi di progetto che si concludono definitivamente in sequenza.

Govern è particolarmente importante per i dirigenti. Collega la cybersicurezza agli obiettivi aziendali, alla responsabilità, alle politiche e alla supervisione. Impedisce che la sicurezza diventi un backlog tecnico privo di un responsabile aziendale esplicito.

Trasformate i risultati in un piano di investimenti

Un Current Profile descrive i risultati di cybersicurezza che l’organizzazione consegue attualmente. Un Target Profile descrive i risultati che intende conseguire, sulla base dei suoi obiettivi, delle minacce, degli obblighi e delle aspettative degli stakeholder. Il divario tra i due fornisce una base per stabilire le priorità del lavoro.

Per esempio, un’azienda potrebbe disporre di backup ma avere poche evidenze che il suo servizio più importante possa essere ripristinato in condizioni realistiche. Il divario utile non è semplicemente «recovery incompleto». È un risultato definito, un servizio interessato, un responsabile, un’esercitazione di ripristino proposta e una decisione sull’interruzione accettabile.

I CSF Tiers descrivono le caratteristiche delle pratiche di governance e gestione del rischio di cybersicurezza. Forniscono un contesto per discutere di rigore e coerenza; non sono livelli di certificazione né un punteggio di maturità universale che ogni organizzazione debba massimizzare.

Il CSF in sé non è una norma di certificazione sul modello ISO. Un’organizzazione può commissionare una valutazione e sostanziare il proprio Profile con evidenze, ma non dovrebbe presentarla come una certificazione rilasciata dal NIST. Il valore per l’azienda deriva dalla chiarezza della valutazione e dai miglioramenti che essa promuove.

Che cosa aggiunge la ISO 27001 al modello operativo

La ISO 27001 si concentra su un sistema di gestione con un perimetro definito. I suoi punti da 4 a 10 riguardano contesto dell’organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento. Implementarla significa avviare un ciclo di gestione funzionante, non limitarsi a raccogliere politiche per un auditor.

La sicurezza delle informazioni comprende riservatezza, integrità e disponibilità. La riservatezza riguarda l’accesso appropriato; l’integrità riguarda accuratezza, completezza e protezione da modifiche improprie; la disponibilità riguarda l’accesso autorizzato quando serve. Integrità non significa che le informazioni non possano mai cambiare: le modifiche legittime richiedono autorizzazione e controllo adeguati.

Il SGSI applica questi principi attraverso la valutazione e il trattamento dei rischi. Non è un’istruzione generica a implementare ogni possibile tecnologia di sicurezza.

Mantenete distinti i principali deliverable del SGSI

Diversi documenti sono strettamente collegati, ma rispondono a domande diverse:

• Perimetro: quali attività organizzative, sedi, informazioni, sistemi e interfacce copre il SGSI?
• Valutazione dei rischi: che cosa potrebbe accadere, quanto sarebbe significativo e come si garantisce la coerenza di questo giudizio?
• Piano di trattamento dei rischi: quali azioni affronteranno i rischi individuati, chi ne è responsabile e quali approvazioni sono necessarie?
• Dichiarazione di applicabilità: quali controlli necessari sono inclusi, perché sono inclusi, se sono implementati e perché eventuali controlli dell’Annex A sono esclusi?
• Audit interno: il SGSI è conforme ai requisiti applicabili e funziona in modo efficace, sulla base di un esame adeguatamente imparziale?
• Riesame della direzione: il vertice prende in considerazione prestazioni, cambiamenti, rilievi ed esigenze di miglioramento e assume le decisioni conseguenti?

Un registro dei rischi non sostituisce una Dichiarazione di applicabilità. Una riunione della direzione non costituisce automaticamente un riesame della direzione. Ogni deliverable richiede uno scopo, degli input e conclusioni registrate propri.

L’Annex A della ISO 27001:2022 contiene 93 controlli raggruppati nelle categorie organizzativa, persone, fisica e tecnologica. L’applicabilità si basa sul rischio. Le organizzazioni determinano i controlli necessari e li confrontano con l’Annex A per non trascurare controlli necessari; possono aver bisogno di controlli che vanno oltre questo insieme di riferimento. La ISO 27002 fornisce linee guida per l’implementazione dei controlli.

La nostra guida all’Annex A illustra più nel dettaglio la struttura dei controlli. Per il vertice, il punto essenziale è che una checklist completata non equivale a un SGSI funzionante.

Comprendete che cosa dimostra la certificazione

La certificazione è facoltativa, a meno che un contratto o un altro obbligo applicabile non la richieda. Un’organizzazione può gestire un SGSI senza richiedere un certificato.

Quando la certificazione è necessaria, un organismo di certificazione indipendente valuta il SGSI; non è l’ISO a rilasciare il certificato. La certificazione iniziale prevede in genere una prima fase di esame della prontezza e delle disposizioni documentate, seguita da una seconda fase di valutazione dell’attuazione. Il mantenimento della certificazione comporta valutazioni continuative e la ricertificazione secondo le modalità dell’organismo di certificazione.

Leggete il perimetro prima di fare affidamento su un certificato. La certificazione di un servizio o di un’unità di business non dovrebbe essere presentata come se coprisse ogni prodotto, controllata o sede. Inoltre non garantisce che non si verificheranno mai incidenti, né attesta la conformità a ogni legge applicabile.

Scegliete in base alla decisione che l’azienda deve prendere

Partite dalle aspettative esterne, poi esaminate le esigenze operative interne. Chiedete ai team commerciali e di procurement di distinguere ciò che i clienti richiedono effettivamente da ciò che si limitano a preferire.

«Conforme alla ISO 27001», «certificato ISO 27001» e «allineato al NIST CSF» sono affermazioni diverse. Se un contratto richiede un certificato, una valutazione CSF non soddisferà quella formulazione. Se il consiglio di amministrazione ha bisogno di un piano di miglioramento chiaro, un certificato da solo potrebbe non spiegare dove l’organizzazione debba investire in seguito.

Usate questi criteri decisionali:

• Scegliete il CSF come struttura di comunicazione principale quando l’esigenza immediata è stabilire una base di riferimento condivisa, confrontare risultati attuali e desiderati e definire le priorità degli investimenti in cybersicurezza.
• Scegliete la ISO 27001 come struttura di gestione principale quando l’organizzazione ha bisogno di un SGSI formale con trattamento dei rischi, valutazione e miglioramento coerenti.
• Perseguite la certificazione quando una garanzia indipendente con perimetro definito serve a un obiettivo documentato dei clienti, contrattuale o aziendale.
• Usate entrambi quando il SGSI può governare la realizzazione mentre i Profili CSF comunicano i risultati attesi al vertice e agli stakeholder.

Un’organizzazione matura può usare il CSF per rivalutare le priorità dopo un’acquisizione. Una piccola impresa può avviare presto un SGSI ISO 27001 perché lo richiedono le aspettative del procurement. Evitate di usare le dimensioni aziendali come sostituto della comprensione dell’esigenza effettiva.

Nessuno dei due approcci elimina la necessità di analizzare separatamente gli obblighi di legge. Per esempio, un certificato ISO non attesta la conformità al GDPR o alla NIS2. Gli obblighi di legge applicabili dovrebbero orientare la valutazione dei rischi e la selezione dei controlli, con evidenze e responsabilità proprie.

Adottate un unico modello di realizzazione, con mappature riesaminate

Usare entrambi gli approcci non dovrebbe significare creare due programmi di sicurezza scollegati. Come raccomandazione pratica, organizzate l’implementazione attorno a servizi, rischi, controlli, responsabili ed evidenze, poi collegate questo lavoro a ciascun framework.

Una registrazione utile dell’implementazione contiene quanto segue:

Le mappature sono molti-a-molti. Un unico processo di risposta agli incidenti può supportare diversi risultati del CSF e più requisiti del SGSI. Al contrario, un singolo risultato può dipendere da politiche, misure tecniche, formazione e accordi con i fornitori.

Per la risposta agli incidenti, il CSF descrive capacità attese come il coordinamento della risposta e l’analisi degli incidenti. Il SGSI aggiunge disposizioni gestionali relative a titolarità, trattamento dei rischi, valutazione e miglioramento. La registrazione di un’esercitazione può supportare entrambi, ma non dimostra che ogni requisito mappato sia stato soddisfatto.

Mantenete espliciti il perimetro e le versioni dei framework. Non applicate a una controllata acquisita una mappatura sviluppata per un servizio di produzione senza riesaminarne le differenze. La nostra guida alla mappatura tra framework spiega come condividere il lavoro senza trattare requisiti diversi come equivalenti.

Esempio pratico: un’azienda di servizi di fronte a due richieste

Si consideri, a titolo illustrativo, un’azienda software con un servizio rivolto ai clienti. Supponiamo che il suo consiglio di amministrazione voglia un piano di investimenti in sicurezza più chiaro e che un potenziale cliente richieda una certificazione ISO 27001 che copra quel servizio. Si tratta di ipotesi, non di un caso cliente.

Il CEO nomina uno sponsor esecutivo responsabile e chiede al responsabile della sicurezza di proporre un perimetro che includa la gestione del servizio e i relativi processi di supporto. La proposta individua infrastruttura cloud, assistenza clienti, sviluppo, amministrazione delle identità e fornitori esterni. Il vertice verifica che il confine corrisponda al requisito del cliente, anziché scegliere il perimetro più ristretto e comodo.

Il team elabora un Current Profile CSF. Rileva che le approvazioni degli accessi vengono registrate, ma i riesami degli accessi privilegiati sono discontinui. I backup esistono, ma le evidenze di ripristino sono incomplete. I ruoli in caso di incidente sono documentati, ma l’escalation verso i fornitori non è mai stata esercitata.

Il Target Profile fissa tre priorità: una governance coerente degli accessi privilegiati, una capacità di ripristino dimostrata e una risposta agli incidenti coordinata. La valutazione dei rischi del SGSI valuta le conseguenze per l’azienda corrispondenti e stabilisce le decisioni di trattamento.

La direzione riesamina i progressi rispetto al Target Profile e agli obiettivi del SGSI. Finanzia le dipendenze di recovery irrisolte e decide come gestire le eccezioni temporanee sugli accessi. L’audit interno verifica il sistema di gestione e l’implementazione; le azioni correttive vengono affrontate prima della valutazione di certificazione.

Il risultato non sono due raccolte di screenshot. È un unico corpus di evidenze di implementazione, interpretato rispetto a requisiti diversi, con titolarità e decisioni del vertice visibili.

Prevedete a budget l’implementazione e la gestione continuativa

Il NIST CSF è disponibile gratuitamente, ma applicarlo non è privo di costi. Entrambi gli approcci richiedono tempo del personale per comprendere i rischi, migliorare i controlli, raccogliere evidenze, formare le persone e mantenere le pratiche. La ISO 27001 comporta inoltre l’acquisto della norma e, se la si persegue, le tariffe dell’organismo di certificazione.

Costruite il budget attorno a pacchetti di lavoro anziché a un presunto prezzo di mercato:

• Valutazione di base e definizione del perimetro.
• Modifiche ai controlli, compreso il lavoro di engineering e con i fornitori.
• Documentazione, riesame delle evidenze e formazione del personale.
• Audit interno, riesame della direzione e azioni correttive.
• Valutazione di certificazione esterna, se necessaria.
• Titolarità, monitoraggio, esercitazioni e rivalutazioni ricorrenti.

Richiedete proposte di certificazione sullo stesso perimetro, in modo da poterle confrontare in modo significativo. Chiedete quali valutazioni, sedi, attività di follow-up e spese siano incluse. Tenete separati i costi di rimedio dei controlli dalle tariffe di certificazione: un preventivo di audit economico non rende pronto un programma di sicurezza sottofinanziato.

Valutate il valore commerciale sulla base di requisiti e opportunità documentati dei clienti, non della promessa che la certificazione generi automaticamente ricavi.

Evitate affermazioni che le evidenze non possono sostenere

Gli errori più comuni sono dichiarare la «conformità al NIST» senza spiegare il Profile e il perimetro, presentare un certificato dal perimetro ristretto come una garanzia estesa a tutta l’azienda e considerare i controlli mappati come prova di efficacia.

Un altro errore è misurare il successo solo in base ai documenti completati. Il vertice dovrebbe chiedersi anche se i servizi importanti dispongano di percorsi di ripristino testati, se le eccezioni abbiano un responsabile, se i trattamenti scaduti vengano sottoposti a escalation e se i rilievi precedenti si ripresentino. Queste domande collegano il sistema di gestione alle prestazioni operative.

Non esiste una percentuale universale difendibile che indichi quanto un’implementazione del CSF sia vicina alla conformità alla ISO 27001. I controlli esistenti possono essere riutilizzabili, ma i requisiti mancanti del sistema di gestione, le differenze di perimetro e le evidenze deboli vanno comunque valutati.

Fate del passo successivo una decisione gestionale con un perimetro definito

Redigete un breve documento decisionale che indichi il risultato richiesto, il confine proposto, le aspettative dei clienti, lo sponsor responsabile, le principali lacune e le risorse necessarie. Decidete se il prossimo traguardo è un Profile CSF riesaminato, un SGSI operativo o la prontezza alla certificazione. Assegnate a ogni traguardo criteri di accettazione che comprendano le evidenze, non solo il completamento dei documenti.

Secani supporta questo flusso di lavoro modellando sistemi e servizi, collegando le evidenze a requisiti, controlli e decisioni e assegnando responsabili e attività di riesame. I team possono conservare link alle fonti, commenti, approvazioni e marche temporali, trattando i suggerimenti assistiti dall’IA come bozze che richiedono un riesame umano. Iniziate con un perimetro rappresentativo e con le evidenze già esistenti prima di ampliare la copertura.

La responsabilità del vertice resta esplicita: approvare le priorità, dotare il lavoro delle risorse necessarie e verificare se le evidenze sostengono le affermazioni dell’azienda.