Tool gratuito per Gap Analysis Framework Nazionale per la Cybersecurity e la Data Protection

Tool gratuito per l’analisi del Gap di implementazione di un sistema di gestione per la sicurezza delle informazioni basato sul Framework Nazionale per la Cybersecurity e la Data Protection versione 2.0 (Framework core).

Rispondi alle domande ed otterrai una valutazione di base sul sistema di gestione implementato. E’ possibile salvare i progressi, in questo caso una copia dei dati viene memorizzata su questo server. Per motivi di sicurezza, eventuali informazioni sensibili dovranno essere reinserite alla ripresa del lavoro. I dati vengono salvati per un massimo di 30 giorni. Riceverai via mail un link per poter accedere ai dati salvati.

IDENTIFY (ID)

Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all’organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell’organizzazione.

Business Environment (ID.BE): La mission dell’organizzazione, gli obiettivi, le attività e gli attori coinvolti sono compresi e valutate in termini di priorità. Tali informazioni influenzano i ruoli, le responsabilità di cybersecurity e le decisioni in materia di gestione del rischio.

Governance (ID.GV): Le politiche, le procedure e i processi per gestire e monitorare i requisiti dell’organizzazione (organizzativi, legali, relativi al rischio, ambientali) sono compresi e utilizzati nella gestione del rischio di cybersecurity.

Risk Assessment (ID.RA): L’impresa comprende il rischio di cybersecurity inerente l’operatività dell’organizzazione (incluse la mission, le funzioni, l’immagine o la reputazione), gli asset e gli individui.

Risk Management Strategy (ID.RM): Le priorità e i requisiti dell’organizzazione e la tolleranza al rischio sono definiti e utilizzati per supportare le decisioni sul rischio operazionale.

Supply Chain Risk Management (ID.SC): Le priorità, i vincoli, le tolleranze al rischio e le ipotesi dell’organizzazione sono stabilite e utilizzate per supportare le decisioni di rischio associate alla gestione del rischio legato alla catena di approvvigionamento. L’organizzazione ha definito e implementato i processi atti a identificare, valutare e gestire il rischio legato alla catena di approvvigionamento.

Data Management (DP-ID.DM): i dati personali sono trattati attraverso processi definiti, in coerenza con le normative di riferimento.

PROTECT (PR)

Identity Management, Authentication and Access Control (PR.AC): L’accesso agli asset fisici e logici ed alle relative risorse è limitato al personale, ai processi e ai dispositivi autorizzati, ed è gestito in maniera coerente con la valutazione del rischio di accesso non autorizzato alle attività ed alle transazioni autorizzate

Awareness and Training (PR.AT): Il personale e le terze parti sono sensibilizzate in materia di cybersecurity e vengono addestrate per adempiere ai loro compiti e ruoli coerentemente con le politiche, le procedure e gli accordi esistenti

Data Security (PR.DS): I dati sono memorizzati e gestiti in accordo alla strategia di gestione del rischio dell’organizzazione, al fine di garantire l’integrità, la confidenzialità e la disponibilità delle informazioni.

Information Protection Processes and Procedures (PR.IP): Sono attuate e adeguate nel tempo politiche di sicurezza (che indirizzano scopo, ambito, ruoli e responsabilità, impegno da parte del management e coordinamento tra le diverse entità organizzative), processi e procedure per gestire la protezione dei sistemi informativi e degli assets.

Maintenance (PR.MA): La manutenzione dei sistemi informativi e di controllo industriale è fatta in accordo con le politiche e le procedure esistenti.

Protective Technology (PR.PT): Le soluzioni tecniche di sicurezza sono gestite per assicurare sicurezza e resilienza di sistemi e asset, in coerenza con le relative politiche, procedure ed accordi.

DETECT (DE)

Anomalies and Events (DE.AE): Le attività anomale sono rilevate e il loro impatto potenziale viene analizzato.

Security Continuous Monitoring (DE.CM): I sistemi informativi e gli asset sono monitorati per indentificare eventi di cybersecurity e per verificare l’efficacia delle misure di protezione.

Detection Processes (DE.DP): Sono adottati, mantenuti e verificati processi e procedure di monitoraggio per assicurare la comprensione di eventi anomali.

RESPOND (RS)

Response Planning (RS.RP): Procedure e processi di risposta sono eseguiti e mantenuti per assicurare una risposta agli incidenti di cybersecurity rilevati.

Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell’ordine).

Analysis (RS.AN): Vengono condotte analisi per assicurare un’efficace riposta e supporto alle attività di ripristino.

Mitigation (RS.MI): Vengono eseguite azioni per prevenire l’espansione di un evento di sicurezza, per mitigare i sui effetti e per risolvere l’incidente.

Improvements (RS.IM): Le attività di risposta sono migliorate incorporando le “lesson learned” da attività precedenti di monitoraggio e risposta.

RECOVER (RC)

Recovery Planning (RC.RP): I processi e le procedure di ripristino sono eseguite e mantenute per assicurare un recupero dei sistemi o asset coinvolti da un incidente di cybersecurity.

Improvements (RC.IM): I piani di ripristino ed i relativi processi sono migliorati tenendo conto delle “lesson learned” per le attività future.

Communications (RC.CO): Le attività di ripristino a seguito di un incidente sono coordinate con le parti interne ed esterne (es. le vittime, gli ISP, i proprietari dei sistemi attaccati, i vendor, i CERT/CSIRT).

Valutazione delle risposte inserite

Proseguendo potrai inoltrare il Form per essere ricontattato. Non sarà più possibile modificare le risposte.