L’entrata in vigore della Direttiva NIS2 segna un punto di svolta nella gestione della sicurezza informatica: se in passato molte organizzazioni concentravano gli investimenti sull’adozione di singole tecnologie di protezione, oggi il quadro normativo europeo richiede un approccio molto più ampio, in cui cyber security, resilienza operativa e governance del rischio diventano elementi strettamente interconnessi.

Per i CISO questo significa cambiare prospettiva: non basta più ridurre la probabilità di un attacco, ma occorre dimostrare di conoscere il proprio patrimonio digitale, monitorarlo costantemente, gestire le vulnerabilità secondo criteri di rischio e garantire processi strutturati di risposta agli incidenti.

È in questo scenario che si inserisce DefeniX, il framework di Cyber Resilience sviluppato da AD Consulting che verrà presentato ai Cybersecurity360 Awards, applicato nel progetto realizzato per CISL Emilia-Romagna, organizzazione distribuita su 58 sedi territoriali, oltre 1.500 utenti e più di 2.000 asset digitali.

Cyber resilience: perché la sola protezione non è più sufficiente

Negli ultimi anni il panorama delle minacce si è evoluto rapidamente. Gli attacchi ransomware sono diventati più sofisticati, la diffusione degli endpoint ha ampliato la superficie d’attacco e la crescente distribuzione delle infrastrutture IT rende sempre più difficile mantenere una visione completa degli asset aziendali.

In organizzazioni multisede questa complessità aumenta ulteriormente.

Ogni sede può rappresentare un punto di ingresso per un attaccante; ogni asset non censito può trasformarsi in una vulnerabilità invisibile; ogni processo di Incident Response non standardizzato può rallentare il contenimento di un incidente.

Per questo motivo la resilienza informatica non può essere costruita esclusivamente attraverso nuovi strumenti tecnologici, ma richiede un modello di governo che renda il rischio misurabile e gestibile.

DefeniX: un framework integrato per la gestione del rischio cyber

Il progetto sviluppato da AD Consulting si fonda su un framework che integra diverse componenti normalmente gestite separatamente.

Dal censimento degli asset alla visione unificata del rischio

L’architettura comprende:

• Asset Discovery e Inventory Management centralizzato;
• Vulnerability Assessment continuo;
• monitoraggio degli eventi di sicurezza;
• dashboard dedicate al cyber risk e alla compliance;
• processi di incident response;
• controlli di sicurezza per endpoint e infrastrutture distribuite;
• reportistica direzionale per il management.

L’obiettivo non è semplicemente raccogliere dati tecnici, ma trasformarli in informazioni utili per prendere decisioni e definire le priorità di intervento.

È questo uno degli aspetti più interessanti del progetto: la cyber security viene trattata come un processo di governance, non soltanto come un insieme di controlli tecnologici.

Il caso CISL Emilia-Romagna: sicurezza uniforme in un’organizzazione distribuita

Uno degli elementi di maggiore complessità affrontati dal progetto riguarda la natura stessa dell’infrastruttura.

CISL Emilia-Romagna opera, infatti, attraverso 58 sedi territoriali, oltre 1.500 utenti e più di 2.000 asset digitali distribuiti sul territorio.

In questo contesto, il progetto, sviluppato in circa otto mesi, ha previsto un percorso articolato che ha incluso:

• assessment iniziale della postura di sicurezza;
• inventario completo degli asset;
• analisi e prioritizzazione delle vulnerabilità;
• attivazione del monitoraggio centralizzato;
• definizione dei workflow di incident response;
• formazione del personale;
• realizzazione della roadmap di adeguamento alla Direttiva NIS2, completata in 90 giorni.

Dal punto di vista metodologico emerge un principio particolarmente rilevante: prima di proteggere è necessario conoscere. La piena visibilità sugli asset rappresenta infatti il presupposto indispensabile per qualsiasi strategia efficace di gestione del rischio.

I benefici: meno vulnerabilità, maggiore controllo e decisioni più rapide

Secondo quanto riportato dal progetto, l’adozione del framework DefeniX ha prodotto risultati misurabili.

Tra i principali indicatori figurano:

• inventario del 100% degli asset critici;
• riduzione del 70% dei tempi necessari per identificare le vulnerabilità;
• controllo centralizzato delle sedi distribuite;
• standardizzazione dei processi di gestione degli incidenti;
• rafforzamento della governance attraverso dashboard dedicate e KPI;
• riduzione del rischio di interruzione dei servizi critici.

Al di là dei numeri, il beneficio più significativo è probabilmente la possibilità di fornire al management una rappresentazione unificata dello stato di sicurezza dell’organizzazione, facilitando decisioni basate sul rischio anziché sulla sola gestione delle emergenze.

Oltre la compliance: la NIS2 come leva di trasformazione

Uno degli aspetti più interessanti del progetto riguarda il modo in cui viene interpretata la Direttiva NIS2.

Troppo spesso l’adeguamento normativo viene affrontato come un esercizio documentale o come un insieme di adempimenti tecnici. In realtà, la normativa europea punta a rafforzare la capacità delle organizzazioni di conoscere, governare e mitigare il rischio cyber.

Da questo punto di vista DefeniX dimostra come la compliance possa diventare un acceleratore della maturità organizzativa, favorendo l’integrazione tra processi, tecnologie e governance.

Per i CISO il messaggio è chiaro: la conformità rappresenta il punto di partenza, non il traguardo.

Un modello replicabile per organizzazioni multisede

Uno degli elementi distintivi del progetto è la sua replicabilità.

Il framework è stato progettato per adattarsi a organizzazioni distribuite, enti pubblici, associazioni territoriali, aziende sanitarie e, più in generale, a tutte le realtà che devono governare infrastrutture articolate mantenendo una visione centralizzata del rischio.

La possibilità di correlare informazioni provenienti dagli asset, dalle vulnerabilità, dagli eventi di sicurezza e dai processi organizzativi consente infatti di superare una delle principali criticità che ancora caratterizza molte organizzazioni: la frammentazione delle informazioni.

È proprio questa capacità di integrare cybersecurity, resilienza operativa e governance che rende il progetto sviluppato da AD Consulting un esempio interessante dell’evoluzione in atto nel mercato della sicurezza.

Lezioni per i CISO: la resilienza nasce dalla conoscenza del rischio

La principale indicazione che emerge da questo caso riguarda il ruolo sempre più strategico della governance.

Inventariare gli asset, misurare il rischio, correlare eventi e vulnerabilità, definire processi condivisi di Incident Response e monitorare indicatori di sicurezza rappresentano oggi attività imprescindibili per qualsiasi organizzazione che voglia affrontare le nuove minacce e rispondere ai requisiti della NIS2.

In quest’ottica, il progetto DefeniX mostra come la cyber resilience non sia il risultato della semplice somma di strumenti tecnologici, ma l’esito di un modello di gestione capace di trasformare dati tecnici in decisioni consapevoli.

È una direzione che molte organizzazioni saranno chiamate a intraprendere nei prossimi anni, soprattutto in un contesto in cui la capacità di garantire continuità operativa e resilienza digitale diventa un fattore sempre più determinante per la competitività e la fiducia degli stakeholder.