La sicurezza informatica nelle aziende non si limita più a sovrapporre strati di protezione perimetrale. I resoconti pubblicati dalla CNIL nel 2024 sulle violazioni massicce di dati mostrano che le vulnerabilità sfruttate sono spesso strutturali: insufficiente isolamento tra frontend e backend, assenza di registrazione utilizzabile, subappaltatori non auditati. Qui affrontiamo gli aspetti tecnici e normativi che cambiano realmente la postura difensiva di un’organizzazione.
Registrazione e isolamento dei flussi: i due angoli morti ricorrenti
La maggior parte delle compromissioni analizzate dalla CNIL nel 2024 condivide un punto in comune: le aziende colpite non disponevano di una registrazione sufficiente per ricostruire la catena d’attacco. Registrare non significa semplicemente archiviare log in un angolo. La CNIL raccomanda una registrazione sistematica degli accessi applicativi, API, sistema e rete, abbinata a allerta automatizzate che consentono un rapido chiarimento da parte di un operatore umano.
Il secondo insegnamento riguarda l’isolamento effettivo dei dati tra i livelli applicativi. Un attaccante che compromette un server web non dovrebbe mai accedere direttamente ai database aziendali. Raccomandiamo di segmentare le reti in zone di fiducia, con regole di filtraggio rigorose tra ogni segmento, e di verificare periodicamente che queste regole non siano state eluse da evoluzioni infrastrutturali.
Per approfondire queste pratiche, le informazioni del sito Simpler Computing dettagliano gli approcci adatti alle strutture che non hanno ancora formalizzato la loro architettura di sicurezza.
Trasposizione NIS2 in Francia: obblighi concreti per le aziende
La direttiva NIS2 modifica profondamente il perimetro delle aziende soggette a obblighi di cybersicurezza. La sua trasposizione nel diritto francese impone alle entità interessate di nominare un responsabile della sicurezza dei sistemi informativi (RSSI), di effettuare un’analisi dei rischi annuale e di notificare qualsiasi incidente significativo entro 24 ore.
Le sanzioni previste possono raggiungere il 2% del fatturato mondiale o 10 milioni di euro. Questo livello di penalità colloca la conformità alla cybersicurezza allo stesso livello della conformità al GDPR in termini di rischio finanziario.
L’errore frequente consiste nel trattare NIS2 come un esercizio documentale. Produrre una politica di sicurezza senza verificare la sua attuazione tecnica non protegge né dagli attacchi né dalle sanzioni. Osserviamo che le aziende che traggono il massimo vantaggio da questo vincolo normativo sono quelle che integrano l’analisi dei rischi nel loro ciclo di gestione dei progetti, non in un rapporto annuale statico.
Misure tecniche e organizzative attese
- Implementazione di un processo di rilevamento degli incidenti con indicatori di compromissione aggiornati e un circuito di escalation definito prima che si verifichi una crisi.
- Integrazione di requisiti di sicurezza nei contratti con i subappaltatori, inclusi un diritto di audit e un obbligo di notifica in caso di compromissione del proprio sistema informativo.
- Verifica periodica della sicurezza dei fornitori che hanno accesso ai dati o ai sistemi, tramite test tecnici o questionari strutturati.
Cyber Resilience Act: cosa cambia per i software e gli oggetti connessi nelle aziende
Il regolamento europeo 2024/2847, noto come Cyber Resilience Act (CRA), pubblicato nella Gazzetta ufficiale dell’UE il 20 novembre 2024, introduce requisiti di sicurezza per design per tutti i prodotti che contengono elementi digitali. In concreto, ogni software o oggetto connesso commercializzato nell’UE dovrà rispettare criteri di sicurezza fin dal suo immissione sul mercato.
Per le aziende utilizzatrici, l’impatto è indiretto ma reale. Gli editori di software e i produttori di attrezzature dovranno fornire aggiornamenti di sicurezza per tutta la durata prevista del prodotto. Un prodotto senza supporto per le patch non potrà più essere commercializzato legalmente. Questo cambia il modo di valutare i fornitori: il criterio di manutenzione software diventa un criterio di conformità normativa, non solo un vantaggio commerciale.
Le aziende che utilizzano soluzioni software su misura o oggetti connessi industriali devono anticipare fin da ora la questione del ciclo di vita sicuro di questi prodotti. Un sensore IoT distribuito senza una politica di aggiornamento diventerà un punto di vulnerabilità e un rischio di non conformità.
Gestione dei subappaltatori: il collegamento che le politiche di sicurezza ignorano
Le violazioni massicce di dati analizzate dalla CNIL mostrano che la compromissione passa regolarmente attraverso un fornitore. Un subappaltatore che accede al tuo sistema informativo con credenziali ad alto privilegio e senza supervisione rappresenta un rischio equivalente all’assenza di un firewall.
La CNIL raccomanda di integrare esplicitamente nei contratti i requisiti di sicurezza applicabili ai subappaltatori. Questo va oltre una clausola generica di riservatezza:
- Definire le misure di protezione attese (crittografia, autenticazione a più fattori, isolamento degli accessi) con criteri verificabili.
- Prevedere un diritto di audit tecnico, esercitato almeno una volta all’anno o dopo qualsiasi incidente dichiarato dal fornitore.
- Richiedere una notifica rapida in caso di compromissione del sistema del subappaltatore, anche se i dati della tua azienda non sembrano essere direttamente coinvolti.
Un subappaltatore non auditato è una porta aperta sul tuo sistema informativo. La formalizzazione contrattuale da sola non basta: senza verifica tecnica, rimane dichiarativa.
Le aziende che rafforzano la loro sicurezza informatica nel 2024 non possono più limitarsi a proteggere il proprio perimetro. Tra NIS2, il Cyber Resilience Act e i resoconti della CNIL, il quadro normativo impone ora un approccio esteso a tutta la catena del valore digitale. La sicurezza si gioca tanto nei contratti e negli audit quanto nei firewall.
