Quali sono i requisiti per la sicurezza fisica dei sistemi di rete e informazione?

Le fonti si concentrano principalmente sulla cybersecurity e non forniscono dettagli espliciti sui requisiti di sicurezza fisica per i sistemi di rete e informazione.

Tuttavia, offrono alcuni spunti che indirettamente riguardano la sicurezza fisica:

L’importanza di un approccio multi-rischio

• Considerare l’ambiente fisico: La Direttiva NIS2 promuove un approccio multi-rischio alla cybersecurity, che prende in considerazione rischi che vanno oltre le minacce digitali. Questo approccio evidenzia l’importanza della sicurezza fisica:
  • Articolo 21, paragrafo 2: Definisce le misure per la gestione del rischio informatico.
  • Comunicazione della Commissione: Specifica che queste misure “devono proteggere non solo le reti e i sistemi informativi dell’entità, ma anche l’ambiente fisico di tali sistemi da eventi come sabotaggi, furti, incendi, inondazioni, problemi di telecomunicazione o interruzioni di corrente, o da qualsiasi accesso fisico non autorizzato che possa compromettere la disponibilità, l’autenticità, l’integrità o la riservatezza dei dati memorizzati, trasmessi o elaborati, o dei servizi offerti dalle reti e dai sistemi informativi o accessibili tramite essi.”

Requisiti e considerazioni specifiche

• Sedi sicure per i CSIRT: La Direttiva richiede che i Computer Security Incident Response Teams (CSIRT) siano situati in strutture sicure:
  • Articolo 11, paragrafo 1(b): Stabilisce che “i locali e i sistemi informatici che supportano i CSIRT devono essere situati in siti sicuri”. Questo suggerisce che la sicurezza fisica è fondamentale per garantire la cybersecurity. Per approfondire gli obblighi legati ai CSIRT, vedi anche l’obbligo di designazione del referente CSIRT per i soggetti NIS.
• Sicurezza dei data center: Sebbene non affronti direttamente la sicurezza fisica, l’inclusione dei fornitori di data center tra le entità essenziali o importanti implica la necessità di adottare misure di sicurezza robuste, che probabilmente comprendono anche salvaguardie fisiche.
• Principi generali di riservatezza e gestione del rischio: Le fonti sottolineano l’importanza di proteggere la riservatezza delle informazioni e di adottare un approccio basato sul rischio per la sicurezza. Questi principi si estendono anche alla sicurezza fisica, implicando la necessità di proteggere le risorse fisiche e le strutture che, se compromesse, potrebbero compromettere i sistemi informativi o i dati.

Inferenze e buone pratiche

Sebbene non espressamente richiesti, le organizzazioni soggette alla Direttiva NIS2 dovrebbero considerare l’implementazione di misure di sicurezza fisica in linea con i principi più ampi della Direttiva. Chi sta valutando il proprio livello di conformità può trovare utile il percorso di adeguamento alla NIS2 offerto da ISGroup, che include anche la verifica delle misure di protezione dell’ambiente fisico. Esempi di tali misure includono:

• Controllo degli accessi alle strutture: Implementare sistemi di controllo accessi per limitare l’ingresso fisico nelle aree sensibili dove sono presenti attrezzature di rete o dati.
• Controlli ambientali: Proteggere da minacce ambientali, come incendi, inondazioni e interruzioni di corrente, attraverso misure come sistemi antincendio, pavimentazioni rialzate nei data center e generatori di corrente di backup.
• Personale di sicurezza fisica: Impiegare personale di sicurezza per dissuadere accessi non autorizzati, monitorare i sistemi di sorveglianza e rispondere agli incidenti di sicurezza.
• Smaltimento sicuro delle risorse ICT: Implementare procedure per garantire lo smaltimento o la distruzione sicura delle apparecchiature ICT, evitando la possibile esposizione di dati sensibili.

Nota importante: È fondamentale ricordare che queste inferenze ed esempi sono basati sull’interpretazione dei principi e dei requisiti generali della Direttiva NIS2. Le organizzazioni dovrebbero condurre proprie valutazioni del rischio e consultare esperti di cybersecurity per determinare le misure di sicurezza fisica più appropriate in base alle proprie specifiche esigenze. Il testo ufficiale della Direttiva NIS2 rimane il riferimento normativo primario per qualsiasi verifica.