Articolo Pubblicazioni

Best practice per la sicurezza delle reti: dal NIST CSF 2.0 ai controlli CIS

di · Pubblicato il 15 marzo 2025 - Aggiornato il 14 novembre 2026 · Tratto da «Best practices per la sicurezza delle reti»

Abstract

L’articolo riprende la lezione «Best practices per la sicurezza delle reti» tenuta nel marzo 2025 in un master in cybersecurity per la resilienza delle reti. Parte da due premesse, cioè che la sicurezza completa non è raggiungibile e che la sicurezza è un processo iterativo, e presenta i framework di riferimento, in particolare il NIST Cybersecurity Framework 2.0 e i CIS Controls. Segue poi le funzioni del framework con le pratiche più utili per le reti, dall’inventario degli asset alla gestione delle identità, dalla segmentazione al monitoraggio continuo, dalla risposta agli incidenti al ripristino.

Vincenzo Calabrò | Best practice per la sicurezza delle reti: dal NIST CSF 2.0 ai controlli CIS
 

Due premesse

La lezione partiva da due corollari. Il primo è che la sicurezza completa non è raggiungibile. Il perimetro è diventato indefinito, la superficie d’attacco cresce, le minacce sono sofisticate e una protezione generalizzata costerebbe più di quanto renda. Serve quindi una sicurezza basata sul rischio. Il secondo è che la sicurezza è un processo iterativo ed evolutivo. Contesto, processi, tecnologie e minacce cambiano, e la strategia va rimodulata periodicamente per non perdere resilienza, cioè la capacità di continuare a operare nonostante attacchi, guasti o disastri.
Il contesto è cambiato rispetto al passato. Utenti e dispositivi erano noti e omogenei, oggi sono sconosciuti ed eterogenei. I sistemi erano in sede o a silos, oggi sono in cloud e distribuiti. Il perimetro era delimitato, oggi non lo è più, e la sicurezza da perimetrale deve diventare adattiva.

I framework di riferimento

Il NIST Cybersecurity Framework 2.0 organizza la gestione del rischio in sei funzioni, cioè governare, identificare, proteggere, rilevare, rispondere e ripristinare, e prevede quattro livelli di attuazione, da parziale ad adattivo, con cui misurare la maturità dell’organizzazione e definire il profilo attuale e quello obiettivo. I CIS Critical Security Controls sono un elenco di buone pratiche in 18 gruppi, con tre gruppi di implementazione a complessità crescente, utile per applicare e verificare le misure. Accanto a questi ci sono la ISO/IEC 27001 per il sistema di gestione, la ISO/IEC 27005 per il rischio e i modelli quantitativi come FAIR. Molte organizzazioni combinano elementi di più framework.

Governare

La versione 2.0 del framework ha aggiunto la funzione di governo, che precede e orienta le altre. Le sue categorie riguardano il contesto dell’organizzazione, cioè missione, obblighi e aspettative delle parti interessate, la strategia di gestione del rischio con la propensione al rischio, i ruoli e le responsabilità, le politiche, la supervisione dei risultati e la gestione del rischio della catena di fornitura. Per le reti significa che le scelte tecniche, come la segmentazione o l’apertura di un accesso remoto, discendono da decisioni prese e approvate a livello direttivo, con un responsabile e un criterio di accettazione del rischio.

Identificare

Tutto parte dall’inventario. Si censiscono hardware, software, servizi, flussi di dati e servizi dei fornitori, indicando per ogni asset tipologia, scopo, fornitore e classe di criticità. Lo stesso inventario serve alla privacy, alla continuità operativa e alla gestione del rischio. Si valutano poi vulnerabilità, minacce, impatti e probabilità, anche con il supporto di MITRE ATT&CK, che descrive tattiche, tecniche e procedure osservate negli attacchi reali, e di piattaforme di vulnerability assessment che classificano le vulnerabilità con CVSS v4 ed EPSS.

Proteggere

  • Identità e accessi, con single sign-on, autenticazione a più fattori, controllo degli accessi basato sui ruoli, sistemi di gestione delle identità e il principio Zero Trust, per cui nessun accesso è fidato a priori e tutto va verificato;
  • Formazione del personale, compresi i dirigenti, sui rischi e sulle responsabilità;
  • Fornitori, con accessi limitati ai soli sistemi necessari, monitoraggio e requisiti di sicurezza nei contratti, perché un attacco a un fornitore può colpire a cascata centinaia di clienti;
  • Dati, classificati per criticità e protetti a riposo, in transito e in uso, con cifratura e backup testati;
  • Piattaforme, con gestione delle configurazioni, patch, registri per il monitoraggio, blocco del software non autorizzato e sicurezza fin dalla progettazione e per impostazione predefinita;
  • Infrastruttura, con firewall perimetrali e interni, IDS e IPS, segmentazione in VLAN, VPN per gli accessi remoti, firewall applicativi, filtri DNS, controllo degli accessi alla rete (NAC), protezione dagli attacchi DDoS, EDR sugli endpoint, controllo delle periferiche USB e gestione centralizzata dei dispositivi mobili.

Rilevare

Il monitoraggio continuo regge l’intero modello. Si identificano gli asset critici, si distribuiscono sensori e fonti di dati, si centralizza la raccolta in un SIEM o in una piattaforma XDR, si separa la gestione del monitoraggio dal resto dell’IT e la si protegge, si stabiliscono priorità degli allarmi, correlazione degli eventi e contestualizzazione. L’analisi si alimenta di threat intelligence, con vulnerabilità note, tattiche e tecniche, indicatori di compromissione e di attacco, e la lezione mostrava un SIEM/XDR open source con verifica delle configurazioni, rilevamento di malware, controllo dell’integrità dei file, threat hunting mappato su ATT&CK e rilevamento delle vulnerabilità.

Rispondere e ripristinare

La risposta agli incidenti si prepara prima, con un gruppo dedicato, un piano, una piattaforma e un programma di miglioramento, e si svolge per fasi, dalla scoperta all’indagine, dall’eradicazione al ripristino. La resilienza è operativa, con ridondanza, backup, continuità operativa, disaster recovery e gestione delle crisi, e tecnologica, con architetture distribuite, servizi replicati in più regioni, bilanciamento del carico e applicazioni progettate per degradare in modo controllato quando qualcosa si guasta.

Da dove partire

Per un’organizzazione piccola o con poche risorse la lezione indicava come punto di partenza il primo gruppo di implementazione dei CIS Controls, che raccoglie 56 salvaguardie considerate di igiene informatica di base, dall’inventario dei dispositivi e del software alla gestione degli account, dai backup alla formazione. Raggiunto questo livello si passa al profilo obiettivo del NIST CSF, scegliendo le categorie su cui investire in base al rischio.
Ogni ciclo si chiude con una misura dei risultati e con l’aggiornamento del profilo attuale, coerentemente con la seconda premessa, quella di una sicurezza che si rivede nel tempo.
 
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn