55. Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per …

Le autorità competenti dovrebbero valutare se l’ente disponga di un framework efficace per individuare, comprendere, misurare e mitigare il rischio di sicurezza ICT. Per questa valutazione, le autorità competenti dovrebbero, in particolar modo, considerare se il framework tenga conto di:

• a. ruoli e responsabilità definiti in modo chiaro per quanto riguarda:
• i. le persone e/o i comitati responsabili della gestione quotidiana della sicurezza ICT e dell’elaborazione delle politiche generali di sicurezza ICT, prestando particolare attenzione alla loro necessaria indipendenza;
• ii. la progettazione, attuazione, gestione e monitoraggio dei controlli di sicurezza ICT;
• iii. la protezione di sistemi e servizi ICT critici, mediante, ad esempio, un processo di valutazione delle vulnerabilità, la gestione di patch di software, la protezione degli end-point (ad es. virus malware), strumenti per la rilevazione e la protezione da intrusioni;
• iv. il monitoraggio, la classificazione e la gestione degli incidenti di sicurezza ICT, esterni o interni; tra cui l’intervento in caso di incidenti e la ripresa e il ripristino dei sistemi e dei servizi ICT;
• v. valutazioni periodiche e proattive delle minacce per mantenere adeguati controlli di sicurezza.
• b. una politica di sicurezza ICT che prenda in considerazione e, laddove appropriato, sia conforme a standard e norme di sicurezza in materia di ICT riconosciute a livello internazionale (ad esempio il “principio del privilegio minimo”, ovvero limitare l’accesso al livello minimo, che consenta il normale funzionamento per la gestione dei diritti di accesso, e il principio della “difesa in profondità”, ovvero meccanismi di sicurezza a più livelli che aumentano la sicurezza del sistema nel suo insieme per la progettazione di un’architettura di sicurezza);
• c. un processo per identificare sistemi e servizi ICT e requisiti di sicurezza adeguati che riflettano il potenziale rischio di frode e/o possibili usi impropri e/o abusi di dati riservati, nonché i presidi di sicurezza documentate da adottare per tali sistemi, servizi e dati ICT identificati, in linea con la tolleranza del rischio dell’ente e la cui corretta attuazione viene costantemente monitorata;
• d. un processo documentato di gestione e di escalation degli incidenti di sicurezza, che fornisca indicazioni sui diversi ruoli e responsabilità di gestione e di escalation degli incidenti, sui membri del/dei comitato/i di crisi e sulla catena di comando in caso di emergenze relative alla sicurezza;
• e. registrazione delle attività degli utenti e degli amministratori (logging) per consentire un monitoraggio efficace, la rilevazione e l’intervento tempestivo in caso di attività non autorizzate e per assistere o condurre indagini forensi sugli incidenti relativi alla sicurezza. L’ente dovrebbe disporre di politiche di registrazione che definiscano i tipi appropriati di registrazioni (logs) da custodire e il loro periodo di conservazione;
• f. azioni o iniziative informative e di sensibilizzazione per informare tutti i livelli organizzativi dell’ente circa l’utilizzo sicuro e la protezione dei sistemi ICT dell’ente, il loro ruolo nel mitigare le violazioni della sicurezza, nonché i principali rischi per la sicurezza ICT (e altri) di cui devono essere consapevoli, in particolare per ciò che concerne le minacce informatiche esistenti e in evoluzione (ad es. virus informatici, possibili abusi o attacchi interni o esterni, attacchi informatici);
• g. adeguate misure di sicurezza fisiche (ad es. telecamere a circuito chiuso, allarmi antifurto, porte di sicurezza) per impedire l’accesso fisico non autorizzato ai sistemi ICT critici e sensibili (ad es. centri dati);
• h. misure per proteggere i sistemi ICT da attacchi provenienti da Internet (ovvero attacchi informatici)
• o da altre reti esterne (ad es. connessioni di telecomunicazioni tradizionali o connessioni con partner di fiducia). Le autorità competenti dovrebbero valutare se il framework dell’ente consideri:
• i. un processo e soluzioni per la conservazione di un inventario completo e aggiornato e una panoramica di tutti i punti di connessione di rete verso l’esterno (ad es. siti web, applicazioni Internet, WIFI, accesso remoto) attraverso i quali terze parti potrebbero infiltrarsi nei sistemi ICT interni;
• ii. misure di sicurezza monitorate e gestite attentamente (ad es. firewall, server proxy, mail relay, antivirus e scanner per i contenuti) per rendere sicuro il traffico di rete in entrata e in uscita (ad es. posta elettronica) e le connessioni di rete verso l’esterno attraverso le quali terze parti potrebbero infiltrarsi nei sistemi ICT interni;
• iii. processi e soluzioni per proteggere siti web e applicazioni che possono essere direttamente attaccate da Internet e/o dall’esterno, che possono servire da punto di ingresso nei sistemi ICT interni. In generale, questi comprendono una combinazione di pratiche riconosciute di sviluppo sicuro, pratiche di hardening ed esame delle vulnerabilità dei sistemi ICT e/o l’attuazione di soluzioni di sicurezza aggiuntive come, ad esempio, firewall applicativi e/o sistemi di rilevamento delle intrusioni (IDS) e/o sistemi di prevenzione delle intrusioni (IPS);
• iv. periodici penetration test per valutare l’efficacia delle misure e dei processi di sicurezza ICT realizzati internamente e a difesa da attacchi esterni. Questi test dovrebbero essere eseguiti da personale e/o esperti esterni aventi le competenze necessarie; i risultati di tali test dovrebbero essere documentati e le conclusioni presentate all’alta dirigenza e/o all’organo di amministrazione. Laddove necessario e applicabile, questi test dovrebbero essere utilizzati dall’ente per capire dove è necessario perfezionare i controlli e i processi di sicurezza e/o dove ottenere maggiori garanzie sulla loro efficacia.
• (c) Controlli per la gestione dei rischi rilevanti relativi ai cambiamenti ICT

1. Panoramica

1.1 Riferimenti

1.2 Requisiti identificati

1.3 Standard correlati

2. Requisiti identificati

3. Standard correlati

• EBA - Published by the European Banking Authority at https://www.eba.europa.eu/