NIST CSF.
Descrivere i rischi di cybersicurezza con un linguaggio comune dei risultati e dare priorità ai miglioramenti nell'ambito adatto.
- NIST CSWP 29 · CSF 2.0
- Di Jonathan Bezdek
- Aggiornato al: 22/10/2026
- Tempo di lettura: 7 min.
Risposta breve.
NIST CSF è un quadro per governare i rischi di cybersicurezza in organizzazioni di dimensioni e settori diversi. Il NIST Cybersecurity Framework 2.0 organizza i risultati desiderati in sei funzioni. Profili attuali e obiettivo aiutano a dare priorità ai miglioramenti. Il quadro non prescrive un elenco uniforme di misure; i Tier descrivono le caratteristiche del governo dei rischi.
Il NIST Cybersecurity Framework 2.0.
NIST CSF 2.0 descrive risultati di cui direzione, funzioni aziendali e team di sicurezza possono discutere insieme. L'edizione è stata pubblicata il 26 febbraio 2024 come NIST CSWP 29. La pagina attuale dell'editore continua a riportare questa edizione di base; guide aggiuntive e Community Profiles ne integrano l'applicazione. Un documento di accompagnamento pubblicato successivamente non è quindi automaticamente una nuova versione del framework.
Il Core organizza i risultati per funzioni, categorie e sottocategorie. Un Organizational Profile registra quali risultati siano raggiunti o perseguiti per un determinato ambito. I Tier forniscono ulteriore contesto sul governo dei rischi. NIST SP 1299 spiega separatamente questi tre elementi: panoramica dei temi, profilo e caratterizzazione del modo di lavorare rispondono a domande diverse.
L'attuazione concreta dipende dal contesto. NIST CSWP 29, sezione 1, si rivolge a settori e dimensioni organizzative differenti senza prescrivere un catalogo identico di misure. Nell'applicazione operativa, un risultato va collegato ai propri servizi, rischi e responsabilità prima di diventare un compito di attuazione sensato.
A chi è adatto NIST CSF.
NIST CSF è adatto a organizzazioni che vogliono motivare in modo comprensibile le priorità di sicurezza e collegarle agli obiettivi aziendali. La pagina pubblica NIST della pubblicazione cita espressamente dimensioni, settori e situazioni iniziali diversi. Il quadro può sostenere sia un primo avvio sia la rivalutazione di un programma di sicurezza esistente. Un elevato sviluppo tecnico non rende superflua la decisione sui rischi accettabili.
L'applicazione è in linea di principio volontaria; disposizioni legali, amministrative o contrattuali concrete richiedono verifiche separate. Le FAQ attuali NIST richiamano possibili requisiti esterni. Per un'impresa tedesca, l'origine presso il Dipartimento del commercio statunitense non comporta né un obbligo generale d'uso né un'esclusione. Chiarite concretamente se un cliente si aspetta un determinato profilo, una valutazione o un'altra forma di attestazione.
Le sei funzioni del NIST CSF.
Le sei funzioni CSF organizzano risultati di cybersicurezza correlati. NIST CSWP 29, sezione 2, le tratta simultaneamente; il loro ordine non è una sequenza di fasi di progetto da completare una sola volta. Gli inquadramenti seguenti descrivono gli ambiti principali con parole proprie.
Govern: chiarire orientamento e responsabilità.
Govern collega le decisioni di sicurezza al mandato dell'organizzazione, alle aspettative sul rischio e alla sorveglianza della direzione. Responsabilità e gestione delle dipendenze esterne rientrano in questo contesto. Nella pratica, una disposizione è utilizzabile solo quando è chiaro chi può decidere sulle deviazioni.
Identify: comprendere i rischi nel contesto operativo.
Identify considera il patrimonio esistente e i rischi associati. Comprende quali informazioni, servizi e dipendenze siano essenziali per l'operatività. Un inventario sostiene questo lavoro; un semplice elenco non spiega ancora il significato aziendale o il rapporto con i fornitori.
Protect: gestire una protezione adeguata.
Protect riguarda le misure con cui le organizzazioni limitano i rischi per servizi e informazioni. Persone, procedure e tecnologia agiscono insieme. La configurazione adeguata deve derivare dal proprio contesto; il solo nome della funzione non determina un prodotto o una configurazione concreta.
Detect: riconoscere e valutare le anomalie.
Detect tratta la capacità di notare e analizzare eventi potenzialmente dannosi. Per la valutazione pratica conta quindi anche se le osservazioni portano a una decisione comprensibile. Uno strumento di monitoraggio acceso non dice ancora nulla su copertura, gestione o qualità del rilevamento.
Respond: agire in modo coordinato negli incidenti.
Respond organizza le azioni legate a un incidente di cybersicurezza riconosciuto. L'organizzazione deve coordinare la risposta con i soggetti interessati. Come avvio pratico aiuta un'esercitazione che verifichi percorsi decisionali e informazioni disponibili; le soglie legali di notifica richiedono una valutazione aggiuntiva separata.
Recover: ripristinare l'operatività.
Recover considera il ripristino delle capacità interessate e la comunicazione associata. La preparazione inizia prima di un incidente. Nella pratica quotidiana, i responsabili dovrebbero quindi poter verificare se il riavvio sia possibile con le dipendenze ipotizzate e quali decisioni servano effettivamente durante una perturbazione.
Applicare NIST CSF con i profili.
Concordare ambito e finalità.
Come avvio pratico, delimitate un servizio o un'area organizzativa e chiarite a quale domanda sul rischio la direzione vuole rispondere con il profilo.
Raccogliere le informazioni esistenti.
Secondo l'approccio NIST SP 1301, raccogliete obiettivi, rischi, requisiti, responsabilità e informazioni operative rilevanti per questo ambito.
Distinguere Current e Target Profile.
Descrivete in modo tracciabile lo stato raggiunto e definite separatamente quali risultati perseguire e con quale priorità.
Decidere sui miglioramenti.
Valutate le differenze e determinate lavoro concreto, responsabili e risorse, anziché attribuire la stessa importanza a ogni possibile miglioramento.
Attuare e rivalutare.
Seguite il piano concordato e aggiornate i profili con nuove conoscenze o rischi mutati; le fasi costituiscono un avvio ripetibile secondo NIST SP 1301.
Valutare profili e Tier in modo tracciabile.
Un profilo CSF è una rappresentazione motivata dello stato considerato. NIST SP 1301 distingue Current e Target Profile: il primo descrive i risultati raggiunti, il secondo obiettivi e priorità selezionati. Un Community Profile può orientare; la pagina NIST sui profili lo descrive come base iniziale comune di un gruppo. Restano da spiegare i propri confini e le decisioni effettive.
I quattro Tier si chiamano Partial, Risk Informed, Repeatable e Adaptive. Secondo NIST SP 1302 caratterizzano il governo e la gestione dei rischi. La loro scelta considera, tra l'altro, obiettivi, rischi, disposizioni e risorse disponibili. Integrano la metodologia del rischio; non sostituiscono né un'evidenza concreta né una decisione motivata sullo stato necessario.
Una valutazione interna o esterna commissionata dovrebbe rendere riconoscibili ambito, momento, metodo e limiti delle conclusioni. NIST non offre una certificazione CSF; una relazione privata di valutazione non va quindi chiamata certificato rilasciato da NIST. Per il mantenimento occorre definire concretamente quali modifiche attivano una rivalutazione. Dal CSF non deriva una durata generale del certificato.
Inquadrare gli altri framework.
ISO 27001 descrive i requisiti di un sistema di gestione della sicurezza delle informazioni con possibile certificazione. NIST SP 800-53 offre un catalogo dettagliato di controlli di sicurezza e protezione dei dati, mentre CIS Controls organizza pratiche di protezione per priorità. Questi strumenti possono precisare il lavoro operativo; la loro applicazione va valutata separatamente dalla rappresentazione di un profilo CSF.
In Secani.
Secani offre un catalogo redazionale di lavoro DE/EN su NIST CSF 2.0. I dati del profilo esistenti rilevano, tra l'altro, data di valutazione, ambito concordato e finalità del profilo come stato attuale, obiettivo o entrambi. Il catalogo non sostituisce né il testo inglese dell'editore né la valutazione specialistica; non promette una determinazione automatica dei Tier o una certificazione NIST.
Iniziare da una domanda concreta sul rischio.
Scegliete un servizio rappresentativo e indicate quale decisione deve preparare il profilo. Registrate l'ambito, compresi fornitori importanti e processi di supporto. Raccogliete le registrazioni esistenti prima di descrivere uno stato obiettivo. Sarà così visibile quali dichiarazioni sono già solide e dove occorre prima una verifica aggiuntiva.
Fonti.
- NIST: CSF 2.0 Resource Center attuale
- NIST CSWP 29: Cybersecurity Framework 2.0, 26 febbraio 2024
- NIST: pagina di pubblicazione CSF 2.0
- NIST SP 1299: Resource & Overview Guide
- NIST SP 1301: Organizational Profiles
- NIST: profili e modelli attuali
- NIST SP 1302: Using the CSF Tiers
- NIST: domande frequenti sul CSF
Domande frequenti.
No. CSF 2.0 è concepito per organizzazioni di paesi, dimensioni e settori diversi; eventuali disposizioni legali o contrattuali sull'utilizzo richiedono verifiche separate.
No. I Tier caratterizzano il governo e la gestione dei rischi nel rispettivo contesto; non sono livelli di certificazione assegnati da NIST né voti universali di maturità.
No. NIST SP 1302 orienta la scelta a obiettivi, rischi, disposizioni e fattibilità; una classificazione superiore non è in generale un fine a sé stesso.
No. Un profilo CSF e una certificazione dell'ISMS esprimono conclusioni diverse; un'attestazione contrattualmente richiesta va verificata rispetto al testo concordato e all'ambito.
Collegare risultati ed evidenze.
Parliamo di come strutturare in Secani il lavoro sul programma di sicurezza.
Questa pagina illustra NIST CSF 2.0 con parole proprie. Fanno fede le pubblicazioni dell'editore; una valutazione del profilo non sostituisce la verifica separata degli obblighi legali o contrattuali.