Segnalo questo articolo, di cui sono co-autore, dal titolo "WAD e EAA: guida alle normative europee per l’accessibilità digitale": https://www.agendadigitale.eu/cultura-digitale/wad-e-eaa-guida-alle-normative-europee-per-laccessibilita-digitale/.
Senza presunzione, io, Chiara Ponti e Arturo Messina l'abbiamo scritto soprattutto come occasione di studiare queste due norme e capire in cosa si differenziano.
Alessandro Cosenza mi ha segnalato la pubblicazione della UNI/PdR 174:2025 "Sistema di gestione per la cybersicurezza e la sicurezza delle informazioni armonizzato alla norma UNI CEI EN ISO/IEC 27001 e al Framework NIST CSF 2.0 - Requisiti": https://store.uni.com/uni-pdr-174-2025.
Come tutte le PdR è gratuita (e non lo sapevo e su questo ho già fatto una figura di palta su LinkedIn) e questo è bene.
Si tratta di una proposta per mettere insieme ISO/IEC 27001 e le misure del NIST CSF. Non ho nulla da obiettare sulla correttezza, anzi, apprezzo il lavoro fatto.
Sono un inguaribile pessimista e temo queste cose:
1- la difficoltà di leggibilità (p.e. al 5.1 "raggiungere gli obiettivi previsti dalla sottocategoria GV.RR-01 appartenente alla funzione GOVERN e alla categoria RUOLI, RESPONSABILITÀ E AUTORITÀ");
2- l'eccesso di relazioni molti-a-molti, che rende poi difficilissimo il lavoro operativo;
3- che Accredia e ACN spingano alla certificazione su questa norma.
Ribadisco, ahinoi, il problema che ACN continua a promuovere riferimenti nazionali e non, come previsto dal D. Lgs. 138 e anche dalla necessità dei tempi, riferimenti internazionali o almeno europei. Meno male che nel gruppo di lavoro c'era almeno Fabio Guasconi che è attivo a livello internazionale sugli standard di sicurezza delle informazioni. Sarebbe bello vedere partecipare anche ACN e Accredia, per dirne due (questa mattina, a parlare della futura ISO/IEC 27004, per l'Italia eravamo... due; un consulente e un'organizzazione utilizzatrice, nessun rappresentante di organismi di accreditamento o di certificazione e neppure delle grandi società di consulenza).
Ahimè, dovrò aggiornare il VERA con i controlli NIS2. Non credo sia possibile evitarlo.
La prima tappa è quindi cercare di correlare i controlli ISO/IEC 27001:2022 con quelli dell'implementation regulation 2024/2690 e quelli ACN.
Ho provato a farlo e ho caricato il mio tentativo qui: https://github.com/CesareGallotti/VERA.
Nella colonna "Riflessioni CEG" ho inserito alcune cose che penso di fare. Se qualcuno vuole riesaminare, criticare e dare qualche suggerimento è benvenuto. Direi entro il 25 maggio. Che poi dovrò aggiornare il tutto e poi dovrò anche aggiornare il libro e già mi sento affaticato (ma almeno su quello qualche euro lo guadagno).
PS: la prima versione di questo post è del 29 aprile. Ho aggiornato il file il 30 aprile includendo tutto il FNCDP 2025 (e ho notato che è tradotto in un italiano orrendo; chissà se non ci fosse stata di mezzo un’università cosa sarebbe stato) e ripristinando le mie note interpretative, così che possiate commentare anch’esse.
Ahimè, dovrò aggiornare il VERA con i controlli NIS2. Non credo sia possibile evitarlo.
La prima tappa è quindi cercare di correlare i controlli ISO/IEC 27001:2022 con quelli dell'implementation regulation 2024/2690 e quelli ACN.
Ho provato a farlo e ho caricato il mio tentativo qui: https://github.com/CesareGallotti/VERA.
Nella colonna "Riflessioni CEG" ho inserito alcune cose che penso di fare. Se qualcuno vuole riesaminare, criticare e dare qualche suggerimento è benvenuto. Direi entro il 25 maggio. Che poi dovrò aggiornare il tutto e poi dovrò anche aggiornare il libro e già mi sento affaticato (ma almeno su quello qualche euro lo guadagno).
Segnalo questo articolo di Gianluca Dalla Riva dal titolo "Direttiva NIS 2: criticità della Determinazione ACN del 14/04/2025 N. 164179": https://www.studiodallariva.it/blog/perma/1745405040/article/determinazione-acn-164179.html.
Segnala ulteriori criticità relative all'applicabilità della Determinazione.
E' stata pubblicata la nuova versione della norma ISO 37001 dal titolo "Anti-bribery management systems — Requirements with
guidance for use": https://www.iso.org/standard/37001.
Ringrazio Monica Perego, Idraulica della privacy, per la notizia.
Non sono un esperto di questa norma, ma oggi è sempre più richiesta anche dai bandi di gara. Quindi è meglio esserne a conoscenza, anche perché alcuni punti potrebbero intersecare la sicurezza delle informazioni (separazione dei compiti, valutazione del rischio, controlli operativi), oltre a quelli dell'HLS.
In primavera sono pubblicate alcune analisi sulla sicurezza informatica e sugli incidenti. Una delle più riconosciute è quella di Verizon e può essere scaricata qui: https://www.verizon.com/business/resources/reports/dbir/.
Il rapporto è molto lungo e confesso di non averlo letto ma solo sfogliato. Leggo i 4 dati più significativi:
- sono raddoppiati gli incidenti collegati all'uso di terze parti;
- sono cresciuti gli attacchi che sfruttano vulnerabilità (ammetto di non capirlo bene);
- metà delle vulnerabilità NON sono state risolte dalle organizzazioni nel corso del 2024;
- quasi metà degli incidenti hanno comportano l'uso di ransomware.
Qualche mia considerazione:
- questo rapporto mi sembra che tratti solo di attacchi, non di guasti o errori;
- sull'uso delle terze parti, anche se ritengo essere una questione importantissima, mi chiedo quanto il dato allarmante sia effetto dell'importanza che sempre più gli viene attribuita (queste ricerche mi lasciano sempre il dubbio se i dati sono causa o effetto delle "parole d'ordine" più recenti) e quanto sull'aumento dell'esternalizzazione verso il cloud;
- sulle vulnerabilità non risolte, è chiaro che risolverle chiede investimenti; non posso non collegare questo dato su una telefonata che ho ricevuto proprio questa mattina da un utilizzatore di VERA che aveva l'auditor che gli chiedeva di abbandonarlo e rifare tutta la valutazione del rischio e quindi di investire in adempimenti non tecnici.
Sandro Sanna, che ringrazio, mi ha segnalato questo articolo dal titolo "Tranciato cavo in fibra: a Maiori aziende e hotel senza internet a Pasqua": https://www.ilvescovado.it/it/tecnologia-31/tranciato-cavo-in-fibra-a-maiori-aziende-e-hotel-154273/article.
Ci ricorda che spesso ormai si utilizzano servizi cloud, però qualche cavo potremmo averlo ancora e va protetto anche dai topi.
La norma ISO/IEC 42001 è stata tradotta in italiano e recepita come norma UNI CEI ISO/IEC 42001 con titolo "Tecnologie informatiche – Intelligenza artificiale – Sistema di gestione".
Si può trovare qui (a pagamento): https://store.uni.com/uni-cei-iso-iec-42001-2024.
Marzo e aprile sono stati mesi impegnativi per l'uomo che può fare tutto, ma non sempre ce la fa: consigli di classe, incoraggiamento per qualche test dei figli, visite mediche, eccetera.
Questo mese ho però notato che i figli chiamano sempre me per dire che stanno tornando a casa. Ogni tanto tornano nel tempo previsto (per esempio scuola - casa), ogni tanto ci mettono molto di più e mi chiedo perché mi chiamino per non dirmelo. Ogni tanto chiedono cosa c'è da mangiare e io regolarmente non lo dico (e vorrei preparare spinaci e broccoli, ma evito), ma questo non sembra influire sui tempi.
Ogni tanto mi telefonano anche per chiedere se possono stare fuori a pranzo o cena con gli amici. Ogni tanto rispondo di sì, altre volte rispondo di no, a seconda dell'ora e degli impegni previsti.
Perché telefonino a me è un mistero. Forse perché sono più spesso a casa di mia moglie.
Ricordo che è stato pubblicato il Framework Nazionale per la Cybersecurity e la Data Protection - Edizione 2025 (v2.1): https://www.cybersecurityframework.it/.
Ho già scritto le mie critiche (e neanche tutte, per fortuna dei lettori, che ne hanno già abbastanza).
In realtà sono stati pubblicati solo i controlli di sicurezza. Li ho letti e ho trovato che sono la traduzione dei controlli del NIST Cybersecurity Framework 2.0. Viene da pensare che bastava chiamarlo "traduzione del NIST CSF 2.0", non "Framework Nazionale per la Cybersecurity e la Data Protection - Edizione 2025 (v2.1)".
Però il lavoro ha una parte originale, ossia 9 controlli aggiuntivi sulla privacy (preceduti dalla sigla "DP"). Qui poi trovo una "informazione dell'interessato" che sarebbe le "informazioni da fornire agli interessati". Di più non ho voluto approfondire per evitare ulteriori lamentazioni. Mi sembra manchino però alcune cose come la cancellazione al termine dei trattamenti, un "eventualmente" sulla DPIA, la valutazione del rischio relativa alla protezione dei dati personali eccetera.
Il 14 aprile ACN ha inviato PEC per comunicare i vari soggetti se sono NIS o meno.
Sempre il 14 aprile, ACN ha pubblicato le misure tecniche e i criteri per stabilire se un incidente è significativo per i soggetti NIS: https://www.acn.gov.it/portale/w/nis-avviata-la-seconda-fase.
Ma attenzione che nella pagina indicata si trovano solo:
- Determina ACN n. 164179 del 14 aprile 2025 con le indicazioni più generali;
- Determina ACN nr. 136117/2025 con le indicazioni per i soggetti NIS affinché forniscano ulteriori informazioni sul portale ACN;
- Determina ACN nr. 136118/2025 per i soggetti NIS che hanno attivi accordi di condivisione delle informazioni sulla sicurezza informatica (qui entriamo in casi particolari che non approfondisco).
Per le misure di sicurezza e la descrizione degli incidenti significativi, è necessario andare da un'altra parte, ossia nella pagina: https://www.acn.gov.it/portale/nis/la-normativa.
Si trovano (comodamente) in fondo alla tabella "Principali provvedimenti attuativi D.Lgs. 138/2024".
Per i soggetti NIS che erogano servizi informatici (scusate la semplificazione) ricordo che va seguito l'implementing act 2024/2690 della Commissione europea.
Ora passiamo alle lamentele, che riassumo per non ricevere a mia volta altre lamentele:
- ovviamente la notizia sulle misure poteva riportare il link agli allegati tecnici, ma sappiamo che ACN vuole soggetti svegli (io non lo sono perché ho dovuto chiedere aiuto agli Idraulici della privacy);
- il manuale utente per fornire le informazioni sul portale ACN è alla versione 0.9, senza data (che avrebbe fatto comodo, perché così avrei capito al volo che non è stato aggiornato con la nuova richiesta di informazioni; questa volta l'ho capito da solo);
- le misure sono sempre impostate come da framework nazionale e sulla scelta ormai ne ho scritto e detto più che a sufficienza;
- le misure sono in due documenti diversi per i soggetti importanti e quelli essenziali; la bozza che avevo visto le riportava nello stesso documento ed era decisamente più pratico.
Ringrazio gli Idraulici della privacy, che lavorano anche come Idraulici della NIS2, per gli scambi proficui di informazioni (confesso che io non ho "scambiato", ho solo "recepito").
Mi scuso per il titolo forse fuorviante. Per la notizia, do il link dell'articolo "The Trump Administration Accidentally Texted Me Its War Plans", preso da Guerre di rete: https://www.theatlantic.com/politics/archive/2025/03/trump-administration-accidentally-texted-me-its-war-plans/682151/.
In pochissime parole, un giornalista è stato inserito accidentalmente in una chat su Signal in cui i vertici del Governo USA discutevano degli attacchi militari (poi avvenuti) nello Yemen.
La notizia, a mio parere, non sta tanto nell'errore, per quanto grave. La notizia sta che viene usato un prodotto commerciale per discutere di questioni di rilevanza mondiale.
E' vero che oggi, come in passato, dobbiamo usare servizi terzi per comunicare. Ieri era il telefono, il fax o il telegrafo, oggi sono l'email, i social network e gli instant messaging. Però l'errore dimostra che forse non sono ben controllati dagli stessi partecipanti.
Forse Signal è uno strumento ottimale per comunicazioni riservate di quel livello, ma rimane la domanda se è stato selezionato accuratamente oppure, come quasi sempre succede, il potente di turno decide senza pensarci troppo ed esegue con due clic.
Il problema è che se il potente non crede alle procedure di selezione dei servizi, neanche i suoi sottoposti ci crederanno. Le conseguenze sono facilmente intuibili.
Il ragionamento andrà esteso ai servizi di intelligenza artificiale, oggi usati da tanti gratuitamente. Infatti tanti inviano documenti riservati e dati personali a questi servizi, senza pensare che saranno riutilizzati per addestrare il sistema e che potranno poi riemergere in forme impreviste e potenzialmente dannose.
Il punto è che va tutto regolamentato, ma i primi a doverci credere sono proprio i vertici dell'organizzazione. Andrebbero anche fornite valide alternative, se no le persone cercheranno comunque di seguire la strada più facile.
Per concludere, il link all’articolo di Guerre di rete: https://guerredirete.substack.com/p/guerre-di-rete-il-signalgate-oltre.
E' stata pubblicata la nuova versione del Framework Nazionale per la Cybersecurity e la Data Protection. Per ora le misure sono in formato tabellare (Excel e altri): https://www.cybersecurityframework.it/.
Ho criticato spesso l'iniziativa, sin da quando in qualche strategia nazionale si volevano proporre schemi nazionali. Non penso che questo framework sia fatto male (come tutti ha cose migliorabili), ma penso che sia anacronistico e provinciale spingere su iniziative "nazionali" su questi temi.
Non sono neanche un promotore della globalizzazione a tutti i costi, ma ormai il mercato è globale, le aziende sono globali, anche la privacy è europea e tante altre iniziative di sicurezza sono europee o internazionali. Noi invece continuiamo ad avere regole nazionali e non promuoviamo neanche iniziative internazionali (qualcuno ho visto qualcuno di ACN nei comitati ISO? no, però stanno lavorando a una norma UNI, accipicchia!).
Inizialmente pensavo ci fossero problemi di fondi o di competenze. Invece alcuni articoli dicono che i soldi ci sono e le ricerche di personale di ACN dicono che le competenze elevate ci sono. Quindi i comitati tecnici internazionali dovrebbero essere invasi da queste persone. E invece no.
Adesso hanno anche tolto i riferimenti alla ISO/IEC 27001 perché non si tratta di una norma disponibile gratuitamente. Ovviamente si tratta di un espediente per continuare a promuovere questa iniziativa nazionale basata su un'altra iniziativa nazionale (USA), contrariamente a quanto richiesto dalla normativa italiana (il D. Lgs. 138 del 2024 chiede di promuovere standard internazionali ed europei). Infatti ACN continua a promuovere certificazioni sugli stessi standard che cerca di evitare.
La questione è ridicola anche se si pensa che si potrebbero riciclare i titoli dei controlli della ISO/IEC 27001 perché tanto ormai li conoscono tutti. Insomma: una soluzione si poteva trovare.
La questione è ovviamente nata male nel 2016 e adesso non sembra più possibile tornare indietro. Meglio permanere nel provincialismo che dichiarare che si poteva fare prima con tante scuse.
E così le aziende che dovrebbero investire nell'innovare devono spendere soldi in check list, riferimenti incrociati e questionari dei clienti basati su ulteriori schemi.
Scusate lo sfogo.
La L. 213/2023 (articolo 1, comma 101), impone alle imprese di stipulare contratti assicurativi per eventi sismi, alluvioni, frane, inondazioni e esondazioni: https://www.normattiva.it/eli/id/2023/12/30/23G00223/CONSOLIDATED/20250403.
I beni da assicurare sono quelli indicati nell'articolo 2424, primo comma, sezione Attivo, voce B-II, numeri 1), 2) e 3), del codice civile (ossia Regio Decreto 16 marzo 1942, n. 262 e successive modificazioni). Sono gentile e riporto che si tratta di 1) terreni e fabbricati; 2) impianti e macchinario; 3) attrezzature industriali e commerciali.
Immagino che negli impianti o nelle attrezzature industriali si possano rintracciare i sistemi informatici. Quindi questa è una novità che riguarda molto la sicurezza delle informazioni e le misure di sicurezza.
La notizia l'ho avuta perché, con il DL 39/2025, c'è stata una proroga (figuriamoci!): per le imprese di medie dimensioni, il termine è rinviato al 1° ottobre 2025, per le piccole e microimprese, la stipula deve effettuarsi entro il 31 dicembre 2025, per le grandi imprese, la scadenza è rimasta quella del 31 marzo.
