Ente pubblico che gestisce un servizio essenziale

Il problema

Un ente pubblico che gestisce un servizio essenziale rientrava nell’ambito della direttiva NIS2 e doveva dimostrare all’autorità competente non solo di avere adottato misure di sicurezza, ma che queste fossero adeguate al rischio e verificabili. Un’interruzione del servizio avrebbe avuto impatto diretto sui cittadini.

Il livello di minaccia era elevato: attacchi persistenti e sofisticati e rischi lungo la filiera dei fornitori tecnologici. Le architetture datate, con reti piatte e accessi ampi, offrivano poche garanzie di contenimento in caso di compromissione.

Il mio approccio

Ho avviato il lavoro con una gap analysis rispetto agli obblighi NIS2 e al rischio reale, traducendo i requisiti in un piano ordinato per priorità che il vertice dell’ente potesse approvare e finanziare, con responsabilità assegnate a livello direzionale come richiede la direttiva.

Sul piano tecnico ho introdotto principi Zero Trust: segmentazione dei servizi critici, verifica esplicita di ogni accesso, privilegio minimo e monitoraggio continuo. La sicurezza della filiera è stata affrontata con requisiti contrattuali e verifiche sui fornitori tecnologici più critici.

Sul piano della continuità ho definito e provato piani di risposta e ripristino, con obblighi di notifica allineati alle scadenze normative. Il risultato è un corpo di evidenze — policy, log, esiti dei test — che rende le garanzie all’autorità dimostrabili, non dichiarate.