AGOSTO 2025
Probabilmente molti di voi già sanno che la missione dell'Agenzia dell'Unione Europea per la Cybersecurity (ENISA) è raggiungere un elevato livello comune di sicurezza informatica in tutta l'Unione. Quello che forse potreste non sapere è che tutte le attività dell’ENISA sono finalizzate in pubblicazioni ad hoc; che sia un report, uno studio, un insieme di linee guida o una metodologia, il risultato finale è una produzione “monumentale” di approfondimenti in tema di Cyber security e dei suoi ambiti specialistici, che già da soli basterebbero a colmare lo “scibile” di sapere e guidare i meno avvezzi alla materia verso l’adozione di pratiche di sicurezza informatica.
Fra tutte le pubblicazioni più recenti (dedicate alla corretta applicazione della NIS2, agli studi sulle minacce (generali, tematici e specifici), o su questa o quella tecnologia), vi sono tre pubblicazioni che possono costituire un esempio da replicare per qualsiasi azienda in termini di metodologie di gestione e rapporto con il mercato per essere efficaci: la nuova strategia ENISA (febbraio 2025), il manuale per i Cyber stress test (maggio 2025) e l’indice di Cybersecurity dell'UE (EU-CSI emesso a giugno 2025 ma relativo al 2024).
La prima, la Strategia ENISA, rappresenta la versione aggiornata di visione e missione dell’ENISA seguita dalla lista di valori, dagli obiettivi strategici e operativi, allineati alla missione e per ciascuno di essi è riportata la lista di obiettivi verticali, senza dimenticare il set di indicatori di misurazione per la verifica degli avanzamenti. Sedici pagine in tutto che sinteticamente e in modo semplice e chiaro spiegano chi è l’ENISA e cosa si propone di fare e come. Questo documento, in questa precisa forma sintetica è un esempio da replicare per ogni organizzazione perché anno dopo anno i cambiamenti di mercato, in termini di concorrenti, tecnologie e normative possono incidere sulle modalità di raggiungere la missione aziendale e si rende necessario l’adattamento o adeguamento dell’intera postura aziendale. Potrebbero sembrare futile indicare l’ovvio; potrebbe sembrare scontato, quasi lapalissiano addirittura, ricordare di riemettere ogni anno la strategia aziendale e darne diffusione ai dipendenti, eppure, non viene fatto puntualmente da tutte le aziende, specie le piccole, a gestione familiare o quelle anche medie che hanno una gestione manageriale semplicistica. Non ci è dato sapere il motivo di tale “pigrizia”, ma emettere un aggiornamento di strategia, completa di missione aziendale, valori, etica aziendale e soprattutto obiettivi non è solo una buona prassi, ma da parte del vertice, richiede una consapevolezza di dove si è e di dove si vuole andare e fa da guida ai cambiamenti organizzativi; delinea le modifiche di ruoli e responsabilità come anche i budget e gli incentivi per obiettivo sulle risorse. In definitiva aiuta a dare la direzione da prendere per “remare” tutti insieme nella stessa traiettoria. Anche se nel mercato delle tecnologie ed in particolare nella cybersecurity come contesto di mercato, tutto corre e tutto si sviluppa rapidamente, i metodi e le modalità di gestione impresa, spesso anche certificate da sistemi di gestione ISO, vengono tralasciati in funzione di una “foga” a vendere che potrebbe perdere di significato se non si ha chiaro quale business deve essere consolidato nel tempo. Il “cosa” si fa è importante tanto quanto il “come”. Solo per citare un esempio pratico, a fronte dei requisiti imposti dalla direttiva NIS2, le aziende devono predisporsi. Come? La risposta arriva sempre dall’ENISA che ha emesso la pubblicazione “Cybersecurity roles and skills for NIS2 Essential and Important Entities” come guida di orientamento alle aziende ed esortarle ai cambi organizzativi aziendali necessari ad una migliore risposta di adeguamento alla direttiva NIS2.
Ma fra i cambiamenti di mercato che ogni azienda dovrebbe studiare, vi sono sia le normative sia i concorrenti di cui approfondire capacità e postura. Nell’esempio dell’ENISA e rispetto alla sua strategia, questo significa studiare l'ecosistema informatico dell'UE per avere una comprensione completa dello stato attuale di maturità della sicurezza informatica degli Stati membri dell'UE. Il monitoraggio continuo e coerente dei livelli di sicurezza informatica in tutta l'UE nel tempo è il mezzo principale per valutare le attuali capacità di sicurezza informatica e individuare le aree di miglioramento. Per questo motivo tale studio approfondito è stato oggetto di una specifica pubblicazione ENISA, “the EU-cybersecurity index 2024” che descrive appunto la postura a livello di stati dell’Unione grazie ad un sistema di misura basato su indici quantitativi e qualitativi e una analisi multidimensionale. In parallelo, una qualsiasi azienda che abbia come business la cybersecurity dovrebbe poter conoscere approfonditamente il mercato a cui si rivolge, i concorrenti e le loro capacità con almeno, una analisi equivalente per determinare dove si trova lei stessa rispetto ai concorrenti ed anche per delineare criteri distintivi e di miglioramento della propria performance. Attenzione, in questa valutazione la postura stessa di cyber security dell’azienda è un elemento di garanzia e solidità e non dovrebbe essere tralasciata o trascurata o affrontata superficialmente perché la propria postura di cyber sicurezza è uno dei rischi operativi dell’impresa e dovrebbe figurare proprio nella strategia aziendale come elemento di consolidamento.
Se non sapete come procedere per valutarlo, niente paura. Ci pensa ENISA. Nel suo immenso set di kit di lavoro trovate pure “l’Handbook for Cyber Stress Tests” uno strumento di valutazione mirata della resilienza per ogni organizzazione e della sua capacità di resistere e riprendersi da incidenti di sicurezza informatica significativi, continuando a garantire la fornitura di servizi critici in diversi scenari di rischio. Il manuale è un guida in cinque fasi allo stress test informatico:
- definizione dell'ambito e degli obiettivi del test, coinvolgimento degli stakeholder;
- progettazione del test, scelta della metodologia, perfezionamento degli scenari;
- esecuzione dello stress test informatico;
- analisi dei risultati e identificazione delle lacune;
- follow-up delle lacune e delle problematiche identificate nello stress test.
Gli stress test si concentrano sulla resilienza, utilizzano metriche di resilienza e possono essere utilizzati per testare sia le misure di preparazione che le misure di recupero reattivo. Le lacune evidenziate dagli stress test possono essere discusse in contesti collaborativi e volontari, ma possono anche essere analizzate in un contesto di supervisione più rigoroso generando interventi di direzione e riassetto aziendale.
Insomma, l’ENISA insegna, ma tutti gli altri dovrebbero imparare e fare pratica……
Alessia Valentini
(Newletter AIIC n. 07 (2025))
