Un cliente importante ha appena rispedito il contratto firmato con un allegato inatteso: un questionario di sicurezza, e una frase che resta di traverso a Sophie B. — «Su quale framework vi basate?». Come socia amministratrice di uno studio fiduciario, protegge ogni giorno dati contabili e salariali molto sensibili. Ma quelle tre sigle, NIST, ISO, CIS, non le dicono nulla di preciso. Deve davvero scegliere? E quale?
Scegliere un framework di cybersecurity senza salire sulla montagna sbagliata
Cominciamo dalla parola che intimidisce. Un framework di cybersecurity non è né un software né un certificato: è una mappa. Un elenco ordinato di buone pratiche che vi dice cosa guardare, e in quale ordine, per proteggere la vostra azienda. Nient'altro. Lo si può usare come una bussola senza mai puntare a un timbro ufficiale — e non serve essere informatici per trarne beneficio.
Tre nomi ritornano quasi sempre. La buona notizia: non sono in concorrenza tra loro. Rispondono a tre bisogni diversi.
NIST CSF 2.0 — la bussola per capire
NIST CSF 2.0 (il Cybersecurity Framework pubblicato dall'agenzia di normazione statunitense NIST) è il più didattico dei tre. Ordina tutta la sicurezza in sei funzioni semplici: Governare, Identificare, Proteggere, Rilevare, Rispondere, Ripristinare. In altre parole: chi decide, cosa possedete, come vi proteggete, come individuate un problema, come reagite, come vi rialzate. È volontario, flessibile e leggibile senza basi tecniche. Per Sophie B. è lo strumento ideale per mettere in chiaro «a che punto siamo, davvero?» senza annegare nei dettagli.
ISO/IEC 27001:2022 — la lingua dei grandi committenti
ISO/IEC 27001:2022 è una norma internazionale che descrive come istituire un sistema di gestione della sicurezza delle informazioni (SGSI) — in parole semplici, un'organizzazione duratura per governare la sicurezza, non solo un elenco di misure occasionali. La sua particolarità: può portare a una certificazione riconosciuta ovunque, rilasciata da un organismo indipendente. È il riferimento che parlano i grandi gruppi e gli auditor. Richiede un impegno di lungo periodo e non si improvvisa in una settimana. Ma anche senza puntare al certificato, serve come utile termine di paragone: «stiamo coprendo ciò che questa norma ritiene importante?».
CIS Controls — la cassetta degli attrezzi che agisce in fretta
I CIS Controls (pubblicati dal Center for Internet Security, un'organizzazione senza scopo di lucro) sono i più concreti dei tre. Sono un elenco di misure prioritarie, dalla più utile alla più fine, con — buona notizia — un primo gruppo pensato per le piccole strutture. Si comincia dalle azioni che riducono di più il rischio: sapere cosa si possiede, proteggere gli accessi, salvare correttamente i dati. Per una PMI senza un informatico interno, è spesso il miglior punto di partenza, ancora prima di parlare di norma o di certificato.
E per una PMI di servizi, concretamente?
Uno studio fiduciario come quello di Sophie B. non ha un reparto informatico interno e tratta dati estremamente sensibili. In questa situazione, il percorso più realistico assomiglia a questo: iniziare con le azioni prioritarie in stile CIS per abbattere in fretta il rischio, usare NIST CSF 2.0 come mappa per organizzare il ragionamento e rispondere ai clienti, e tenere ISO 27001 come traguardo di medio termine — per il giorno in cui un cliente ne farà una condizione. Ciò che non cambia mai: il diritto svizzero resta il riferimento di base, qualunque framework scegliate.
Cosa ricordare
Tre idee da tenere a mente se siete al posto di Sophie B.
- Un framework non è un esame, è una mappa. Nessuno dei tre «certifica» che siete al sicuro. Vi mostrano la strada; a percorrerla siete voi. Cyber Passport lo formula allo stesso modo: strutturiamo un'autovalutazione, non rilasciamo un'etichetta.
- Non dovete scegliere «quello giusto» una volta per tutte. I tre si combinano molto bene: CIS per agire in fretta, NIST CSF per organizzare e parlare di «postura», ISO 27001 per il giorno in cui un cliente lo richiede. Molte PMI svizzere iniziano dalle azioni CIS e tengono la ISO come orizzonte.
- In Svizzera il primo framework non è né americano né ISO: è la legge. La nLPD (la nuova legge federale sulla protezione dei dati, in vigore da settembre 2023) si aspetta una sicurezza «adeguata» ai dati che detenete. Per uno studio fiduciario è la bussola numero uno. Il GDPR europeo si aggiunge solo se trattate dati di persone nell'Unione europea.
I passi da mettere in atto questa settimana
1. Chiedetevi «perché» prima di «quale»
Prima di confrontare sigle, scrivete in una frase perché la domanda si pone. Un cliente che vi verifica? Una preoccupazione nLPD sui dati che conservate? Semplicemente il desiderio di dormire tranquilli? La risposta vi orienta verso un framework molto meglio di una tabella comparativa. Un bisogno di «rassicurare un cliente» pende verso il vocabolario ISO 27001; un bisogno di «mettere ordine» pende verso NIST CSF; un bisogno di «agire subito» pende verso CIS.
2. Fate un primo giro sulle misure che contano di più
Senza srotolare un piano d'azione completo, concedetevi mezz'ora per spuntare mentalmente i fondamentali, nello spirito delle prime misure CIS. Sapete quali strumenti e quali account esistono davvero da voi? L'autenticazione a due fattori (una seconda prova oltre alla password, per esempio un codice ricevuto sul telefono) è attiva ovunque conti? I vostri backup sono già stati testati con un ripristino? Sono anche i passi che l'UFCS (l'Ufficio federale della cibersicurezza, il riferimento svizzero per le PMI) mette in primo piano: partire dal concreto invece che dalla teoria. Tre «sì» solidi valgono più di una norma esibita.
3. Imparate a parlare la stessa lingua dei vostri clienti
Quando un committente chiede del «vostro framework», ciò che vuole soprattutto è essere rassicurato. Annotate, con le sue stesse parole, ciò che già fate: controllo degli accessi, protezione delle postazioni, gestione degli incidenti. NIST CSF 2.0 fornisce per questo un vocabolario gratuito e leggibile; ISO 27001 serve da termine di paragone per verificare che non manchi nulla di importante. Non vi serve un certificato per rispondere con onestà — vi serve un quadro chiaro di dove siete.
A che punto siete davvero?
Scegliere un framework di cybersecurity è meno una questione di «quale» che di «dove sono, e di fronte a quali requisiti?». È esattamente il compito di un'autovalutazione multi-framework: guarda la vostra organizzazione attraverso più quadri contemporaneamente — la nLPD, ISO 27001, NIST CSF — e vi mostra, domanda dopo domanda, ciò che è solido e ciò che poggia ancora sulla fiducia.
Cyber Passport non certifica nulla e non promette alcuna conformità: la piattaforma produce un'autovalutazione strutturata, condivisibile con un cliente o un auditor, che traduce quelle tre lettere intimidatorie in decisioni concrete. Il blueprint associato vi aiuta poi a stabilire le priorità — cosa, chi, quale sforzo — senza gergo.
È spesso il vero primo passo, e il più rassicurante: non si tratta di scegliere la montagna giusta al primo colpo, ma di sapere su quale versante vi trovate già e quale sentiero sale più in fretta. Il framework verrà poi, quasi da sé.
