Gli attacchi che nelle ultime settimane hanno colpito i sistemi di refrigerazione di supermercati e banche del sangue in Europa sono stati ricondotti a problemi tecnici. Dal punto di vista della conformità, però, fanno emergere tre criticità già note.
La prima riguarda il perimetro. Molti sistemi di gestione della sicurezza delle informazioni sono stati costruiti attorno all’IT e includono server, applicativi, postazioni e dati. Gli impianti, come i sistemi di refrigerazione, climatizzazione e controllo accessi, spesso restano esclusi. Questa impostazione può lasciare fuori dal perimetro asset essenziali per la continuità operativa, anche quando l’organizzazione risulta conforme sulla carta. La ISO/IEC 27001 chiede di definire l’ambito considerando il contesto e le parti interessate. La valutazione dovrebbe quindi includere anche i sistemi e i processi da cui dipende il funzionamento dell’organizzazione.
Il secondo aspetto è la catena di fornitura. Nel caso francese, l’ente sanitario non era il bersaglio diretto: l’incidente sarebbe passato dal fornitore della refrigerazione e, secondo quanto emerso, da un componente fornito da un’altra azienda. È il cosiddetto rischio di “quarta parte”, che coinvolge i fornitori dei propri fornitori. Un questionario compilato al momento della qualifica offre una fotografia iniziale, ma difficilmente basta a tenere sotto controllo questo rischio nel tempo. La NIS2 richiama esplicitamente la sicurezza della catena di approvvigionamento e la necessità di valutarla con continuità. Nei percorsi di adeguamento che seguiamo con le PMI, una domanda aiuta spesso a chiarire subito la situazione: quali soggetti esterni possono accedere da remoto ai vostri sistemi? Tra questi, raramente vengono citati subito i tecnici che si occupano della manutenzione degli impianti.
Il terzo aspetto è la classificazione dell’incidente. Quando una cella frigorifera supera la soglia di temperatura prevista, la prima chiamata va di solito al manutentore. Per la NIS2, però, i tempi di notifica decorrono da quando l’organizzazione viene a conoscenza dell’incidente. Per questo le procedure devono aiutare a riconoscere quando un guasto può essere anche un evento di sicurezza. Senza indicazioni chiare, il tempo può passare prima che la situazione venga valutata da chi si occupa di sicurezza.
Le banche del sangue francesi sono riuscite a proteggere i prodotti grazie al monitoraggio e a procedure di continuità operativa già attive. È un esempio concreto di quanto una preparazione adeguata possa fare la differenza: quando è progettata e testata con attenzione, la continuità operativa permette di contenere gli effetti di un incidente e tutelare le attività più critiche. Per ogni organizzazione, il primo passo è mappare i sistemi, i fornitori e le procedure da cui dipende la continuità operativa. Questo consente di individuare per tempo eventuali elementi esclusi dal perimetro e di intervenire prima che si verifichi un incidente.
