I fornitori di reti e servizi di comunicazione elettronica sono tenuti ad adottare particolari misure di sicurezza e integrità delle reti e dei servizi, come previsto dall’allegato I del decreto 12 dicembre 2018 del Ministero dello Sviluppo Economico “Misure di sicurezza ed integrità delle reti di comunicazione elettronica e notifica degli incidenti significativi”.
I fornitori di reti e servizi di documentazione elettronica dovranno provvedere ad alcuni obblighi nell’ambito di:
- a) politica di sicurezza approvata dalla Direzione aziendale
- b) gestione del rischio
- c) struttura organizzativa
- d) servizi e prodotti forniti da terze parti
- e) formazione e gestione del personale
- f) sicurezza fisica e logica
- g) integrità della rete e dei sistemi informativi
- h) gestione operativa
- i) gestione degli incidenti di sicurezza
- j) continuità operativa
- k) monitoraggio, test e controllo
Politica di sicurezza approvata dalla Direzione aziendale
I fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- predisporre una documentata politica relativamente alla sicurezza e alla integrità delle reti di comunicazione e dei servizi forniti;
- definire una dettagliata politica di sicurezza per gli asset critici e i processi aziendali;
- definire e mantenere aggiornata una politica di sicurezza per tutti gli aspetti che seguono;
Gestione del rischio
Per quanto riguarda la gestione del rischio, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- individuare i principali rischi per la sicurezza e l’integrità delle reti e dei servizi di comunicazione elettronica forniti, tenendo conto delle minacce che insistono sugli asset critici;
- definire una metodologia di gestione dei rischi e utilizzare strumenti basati sugli standard di settore;
- verificare l’effettivo utilizzo di tali metodologie e strumenti di gestione del rischio da parte del personale;
- assicurarsi che i rischi residui, anche derivanti da vincoli realizzativi, siano minimizzati rispetto alla probabilità del verificarsi di incidenti significativi e che siano accettati dalla Direzione;
Struttura organizzativa
Per quanto riguarda la struttura organizzativa, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- identificare ruoli per il personale e le relative responsabilità in autonomia di esercizio;
- conferire, con formale nomina, ruoli e responsabilità al personale;
- assicurare la reperibilità, in caso di incidenti di sicurezza, del personale responsabile;
Servizi e prodotti forniti da terze parti
Per quanto riguarda la gestione di servizi e prodotti forniti da terze parti, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- definire i requisiti di sicurezza nei contratti con terze parti;
- verificare il rispetto dei requisiti fissati nei contratti;
- assicurare che i rischi residui che non sono gestiti dalla terza parte siano minimizzati rispetto alla probabilità del verificarsi di incidenti e che siano accettati dalla Direzione;
- tenere traccia ed eventualmente gestire gli incidenti di sicurezza relativi a terze parti o da esse causati che si ripercuotono sulla rete o sul servizio erogato;
Formazione e gestione del personale
Per quanto riguarda la formazione e la gestione del personale, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- definire un piano di formazione del personale;
- prevedere un’adeguata ed aggiornata formazione del personale con ruoli di responsabilità;
- organizzare corsi di formazione e sessioni di sensibilizzazione per tutto il personale;
- verificare le conoscenze acquisite dal personale;
- definire appropriate procedure per gestire le nuove assunzioni e la rotazione del personale che ricopre ruoli di responsabilità;
- revocare diritti di accesso, se non più giustificati;
- definire procedure di intervento per violazioni delle politiche di sicurezza di cui alla lettera a), che mettano a rischio la sicurezza e l’integrità delle reti e dei servizi di comunicazione elettronica;
Sicurezza fisica e logica
Per quanto riguarda la sicurezza, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- definire condizioni, responsabilità e procedure per l’assegnazione, la revoca dei diritti di accesso, e per l’approvazione delle eventuali eccezioni;
- definire meccanismi di autenticazione appropriati, a seconda del tipo di accesso;
- adottare meccanismi di protezione da accessi fisici non autorizzati o da eventi imprevisti quali, a titolo esemplificativo ma non esaustivo, furti con scasso, incendi, inondazioni;
- adottare meccanismi di controllo di accesso logico appropriati per l’accesso alla rete e ai sistemi di informazione per consentirne solo l’uso autorizzato;
- verificare che utenti e sistemi abbiano ID univoci e possano accedere ad altri servizi e sistemi previa autenticazione;
- monitorare e registrare gli accessi;
- prevedere meccanismi di protezione degli impianti funzionali all’erogazione del servizio, quali, a titolo esemplificativo ma non esaustivo, elettricità e gas;
Integrità della rete e dei sistemi informativi
Per quanto riguarda l’integrità della rete e dei sistemi informativi, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- implementare sistemi di protezione e di rilevamento di codice malevolo che possa alterare la funzionalità dei sistemi;
- assicurarsi che il software impiegato nella rete e nei sistemi informativi non venga manomesso o alterato;
- assicurarsi che i dati critici sulla sicurezza, quali, a titolo esemplificativo ma non esaustivo, password e chiavi private, non siano divulgati o manomessi;
Gestione operativa
Per quanto riguarda la gestione operativa, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- predisporre le procedure operative e individuare i responsabili per il funzionamento dei sistemi critici;
- predisporre procedure per la gestione di eventuali cambiamenti;
- attenersi alle procedure predefinite quando si effettuano attività sui sistemi critici;
- registrare e documentare ogni modifica o attività effettuata sui sistemi critici;
- predisporre e aggiornare un database delle configurazioni dei sistemi critici per eventuali ripristini delle stesse;
- predisporre e aggiornare un inventario degli asset critici;
Gestione degli incidenti di sicurezza
Per quanto riguarda la gestione degli incidenti di sicurezza, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a:
- prevedere una struttura tecnica con adeguata competenza e disponibilità incaricata della gestione degli incidenti;
- predisporre e aggiornare un database degli incidenti;
- esaminare i principali incidenti e redigere relazioni sugli stessi, che contengano informazioni sulle azioni intraprese e sulle raccomandazioni per ridurre il rischio del ripetersi di incidenti analoghi;
- definire e implementare processi e sistemi per il rilevamento degli incidenti;
- definire procedure per informare gli utenti su incidenti in corso o risolti, oltreché il CSIRT italiano e l’Istituto superiore delle comunicazioni e delle tecnologie dell’informazione del Ministero dello sviluppo economico (di seguito anche ISCTI) secondo quanto previsto dal decreto 12 dicembre 2018 del Ministero dello Sviluppo Economico , notiziando comunque preventivamente il CSIRT e l’ISCTI;
- definire procedure per la segnalazione degli incidenti significativi ai sensi del successivo art. 5.
Continuità operativa
Per quanto riguarda la continuità operativa, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a :
- predisporre e implementare piani di emergenza per gli asset critici;
- monitorare l’attivazione e l’esecuzione di piani di emergenza, registrando i tempi di ripristino dell’operatività e del servizio;
- predisporre e mantenere una appropriata capacità di disaster recovery;
- implementare procedure per le attività di ripristino dell’operatività e dei servizi;
Monitoraggio, test e controllo
Per quanto riguarda le attività di monitoraggio, test e controllo, i fornitori di reti e servizi di comunicazione elettronica sono tenuti a
- sottoporre a test reti, sistemi informativi e nuove versioni del software prima di utilizzarli o collegarli a sistemi esistenti;
- implementare il monitoraggio e la registrazione dello stato e degli eventi dei sistemi critici;
- impostare gli strumenti per raccogliere e archiviare i registri dei sistemi critici;
- configurare strumenti per la raccolta e l’analisi automatizzata di dati e registri di monitoraggio;
- predisporre un programma per la realizzazione di esercitazioni periodiche per testare piani di disaster recovery e di ripristino dei backup;
- implementare strumenti per test automatizzati;
- assicurarsi che i sistemi critici siano sottoposti a scansioni e test di sicurezza regolarmente, in particolare quando vengono introdotti nuovi sistemi e in seguito a modifiche;
- monitorare la conformità agli standard e alle disposizioni normative.
