Navigare nelle più importanti normative di cybersecurity di oggi

Perché la conformità è importante nelle normative sulla cybersecurity

Nel mondo connesso di oggi, la sicurezza dei dati e delle reti non è più solo un problema tecnico, ma un imperativo legale e di reputazione. Mentre le minacce si evolvono e l'infrastruttura digitale si espande, i quadri normativi progettati per mantenere i sistemi sicuri devono stare al passo. Ma la conformità a queste normative non è solo una questione di evitare multe o di spuntare caselle. Si tratta di integrare la sicurezza in ogni fase dello sviluppo del prodotto e dell'integrazione del sistema.

Nei primi due blog di questa serie, abbiamo esplorato il lato umano della sicurezza informatica: perché la consapevolezza è importante e come gestire le vulnerabilità in modo responsabile. Ora ci concentriamo sulle norme di cybersecurity che definiscono lo standard minimo per sistemi sicuri.

Per i gestori di immobili, gli sviluppatori immobiliari e gli integratori di sistemi, la domanda è semplice: vi fidereste di un dispositivo che non soddisfa gli ultimi standard di cybersecurity? Quando un produttore non rispetta le norme obbligatorie di cybersecurity, si pone un problema molto più grande: cos'altro potrebbe trascurare?

Normative obbligatorie: cosa è necessario seguire

Direttiva sulla sicurezza delle reti e dell'informazione 2 (NIS2): rafforzare la consapevolezza della sicurezza informatica in tutta l'UE

Cos'è la NIS2?

Adottata dall'UE nel 2022, la Direttiva sulla sicurezza delle reti e dell'informazione 2 (NIS2) estende i requisiti obbligatori di sicurezza informatica a una più ampia gamma di settori, tra cui: infrastrutture critiche, servizi digitali, produttori di dispositivi connessi, servizi postali/corrieri, scienza, ricerca e istruzione. Ai sensi della NIS2, le aziende devono:

• Adottare misure di sicurezza basate sul rischio per le proprie reti e i propri sistemi informativi.

• Segnalare gravi incidenti di sicurezza entro 24 ore dal rilevamento.

• Implementare requisiti di sicurezza più rigorosi per la catena di fornitura, garantendo che l'intero ecosistema, inclusi produttori, integratori e fornitori di servizi, aderisca a solide pratiche di sicurezza.

NIS2 svolge un ruolo cruciale nella salvaguardia dei servizi essenziali in tutta l'Unione Europea applicando misure di sicurezza informatica più rigorose e sensibilizzando la popolazione alla protezione delle infrastrutture critiche, tra cui le reti energetiche, i sistemi di approvvigionamento idrico e i sistemi sanitari. In questo modo, garantisce che i servizi essenziali quotidiani, come l'elettricità, l'acqua potabile e i servizi medici, rimangano resilienti alle minacce informatiche, preservando così sia la stabilità sociale che la sicurezza pubblica.

Scoprite di più nel nostro blog post: La strada verso la sicurezza digitale: uno sguardo alla direttiva NIS2 dell'UE. 

La direttiva sulle apparecchiature radio (RED): Requisiti di sicurezza informatica per i dispositivi wireless

Cos'è la RED?

La direttiva RED (Radio Equipment Directive), applicata dall'Unione Europea, si sta evolvendo per introdurre requisiti obbligatori di sicurezza informatica per tutti i dispositivi wireless e connessi via radio. Ciò è rilevante anche per i citofoni basati su IP e i sistemi di controllo degli accessi, poiché questi sistemi utilizzano spesso tecnologie radio per il controllo degli accessi, come i lettori di schede RFID o i lettori Bluetooth. Se un dispositivo non è conforme alla direttiva RED, potrebbe subire interruzioni operative o addirittura essere vietato alla vendita nell'UE. Queste direttive riguardano i seguenti aspetti:

• Garantire la resilienza della rete per impedire accessi non autorizzati.

• Proteggere i dati personali e la privacy richiedendo ai produttori di implementare sistemi di crittografia e autenticazione più forti.

• Prevenire le frodi assicurando che i dispositivi non possano essere sfruttati attraverso configurazioni di sicurezza deboli.

Aggiornatevi con il nostro blog: Pronti per la RED? Conformità alla direttiva sulle apparecchiature radio.

Sicurezza dei prodotti e infrastruttura delle telecomunicazioni (PSTI): requisiti minimi di sicurezza

Cos'è la PSTI?

Uno dei più significativi cambiamenti normativi recenti è il Product Security and Telecommunications Infrastructure (PSTI) Act del Regno Unito, che richiede ai produttori di dispositivi connessi di fornire informazioni chiare sulle loro politiche di aggiornamento software. Ciò significa che le aziende non possono più interrompere gli aggiornamenti di sicurezza senza preavviso, lasciando i sistemi vulnerabili. Inoltre, devono:

• Dichiarare per quanto tempo saranno disponibili gli aggiornamenti software prima della fine del ciclo di vita del prodotto.

• Disabilitare l'uso di prodotti con password predefinite, assicurando che i dispositivi impongano la configurazione di password univoche.

• Fornire pubblicamente mezzi per utenti e ricercatori per rimanere consapevoli della sicurezza informatica e segnalare potenziali difetti.

Standard di settore: andare oltre la conformità

Mentre le normative obbligatorie stabiliscono i requisiti minimi di sicurezza informatica, le certificazioni di settore dimostrano l'impegno verso standard di sicurezza più elevati. Sebbene queste certificazioni non siano obbligatorie per legge, esse fungono da potenti indicatori del fatto che un'azienda prenda sul serio la consapevolezza della sicurezza informatica e disponga di processi strutturati e ripetibili per la gestione dei rischi. I principali fornitori seguono quadri di riferimento come:

• ISO 27001 - Lo standard internazionale per la gestione della sicurezza delle informazioni

• Una certificazione riconosciuta a livello globale che garantisce che un'azienda segua politiche strutturate di sicurezza informatica e strategie di gestione del rischio.

• EN 303 645 – Uno standard di sicurezza per i dispositivi IoT

• Uno standard europeo che delinea le migliori pratiche di sicurezza per i dispositivi connessi, inclusi aggiornamenti del software sicuri, politiche relative alle password, requisiti di protezione dei dati e molto altro.

• Conformità NDAA – Garantisce la fiducia per il mercato statunitense e oltre

• Il National Defense Authorization Act (NDAA) degli Stati Uniti limita l'uso di apparecchiature di telecomunicazione e sicurezza di alcuni produttori considerati un rischio per la sicurezza informatica. Gli integratori che lavorano su progetti governativi o infrastrutture critiche devono garantire che tutti i dispositivi, come telecamere IP, citofoni e lettori di accesso, soddisfino i requisiti di conformità NDAA. Tuttavia, questo non è solo un requisito del governo degli Stati Uniti; molte organizzazioni non governative in tutto il mondo stanno adottando volontariamente gli stessi standard di sicurezza. Escludendo i marchi non affidabili, rafforzano la resilienza dei loro sistemi e garantiscono la sicurezza informatica a lungo termine.

La conformità è solo l'inizio: la leadership nella sicurezza informatica va oltre

Sebbene il rispetto di standard come RED, NIS2 o PSTI sia essenziale, la conformità da sola non è sufficiente a garantire che un'azienda sia leader nella sicurezza informatica. La conformità normativa è il requisito minimo: andare oltre e comprendere la complessità della sicurezza informatica è ciò che differenzia i marchi sicuri e lungimiranti.

Molte aziende considerano ancora la consapevolezza della sicurezza informatica come una necessità dettata dalla conformità piuttosto che un vantaggio strategico. Tuttavia, gli incidenti nel mondo reale hanno dimostrato che investire in misure di sicurezza robuste non significa solo evitare multe, ma anche proteggere la continuità aziendale, la fiducia dei clienti e persino delle vite.

Per gli integratori di sistemi e i gestori di proprietà, la scelta dei fornitori giusti è fondamentale. Prima di prendere una decisione, chiediti:

• Il produttore fornisce supporto software a lungo termine e aggiornamenti di sicurezza?

• Sono trasparenti riguardo alla divulgazione delle vulnerabilità e alle patch?

• Superano i requisiti legali aderendo alle migliori pratiche, come ISO 27001 e EN 303 645?

Se la risposta è no, potrebbe essere il momento di riconsiderare le tue scelte. Le minacce informatiche non aspettano: perché dovresti farlo tu?