NIST CSF 2.0, la griglia per leggere la tua sicurezza
Governare, identificare, proteggere, rilevare, rispondere, recuperare. Il framework più usato al mondo come linguaggio comune, e il punto di partenza consigliato a chi non ha un obbligo preciso.
Un framework, non un obbligo
Il NIST Cybersecurity Framework è pubblicato dal National Institute of Standards and Technology statunitense. La versione 2.0, uscita nel 2024, ha allargato esplicitamente il campo a organizzazioni di ogni dimensione e settore, non solo alle infrastrutture critiche.
Non è una norma certificabile e non impone nulla: è un quadro di riferimento per organizzare la sicurezza, descriverne lo stato attuale e definire quello obiettivo. Per questo è utile a chi non ha un obbligo normativo ma vuole capire da dove cominciare.
In Italia lo conosci anche senza saperlo: il Framework Nazionale per la Cybersecurity è costruito sulla sua impostazione per funzioni.
Le sei funzioni del NIST CSF 2.0
La versione 2.0 aggiunge Govern alle cinque funzioni storiche, e mette la governance al centro di tutte le altre.
Govern · Governare
Strategia, ruoli, politiche, gestione del rischio e dei fornitori: chi decide e con quali regole.
Identify · Identificare
Asset, dati, rischi e opportunità di miglioramento.
Protect · Proteggere
Identità e accessi, formazione, sicurezza dei dati e delle piattaforme, resilienza dell'infrastruttura.
Detect · Rilevare
Monitoraggio continuo e analisi degli eventi avversi.
Respond · Rispondere
Gestione, analisi, comunicazione e contenimento degli incidenti.
Recover · Recuperare
Ripristino delle attività e comunicazione durante il recupero.
Non solo una valutazione: la griglia di tutte le altre
Oltre all'autovalutazione CSF, le funzioni del framework sono la griglia con cui ogni punteggio della gap analysis viene ripartito, qualunque norma tu stia seguendo.
| Funzione NIST CSF | Come la copre Dottor Box |
|---|---|
| Govern | Compliance e GRC per politiche e ruoli, Supply Chain per i fornitori |
| Identify | Asset Management, Superficie di Attacco e Risk Assessment |
| Protect | Posture Microsoft Entra ID e Google Workspace, Formazione, Cyber Awareness |
| Detect | Vulnerability Assessment, Cyber Agent, Dark Web Monitoring |
| Respond | Incident Response e Data Breach: CSIRT e fasi dell'incidente |
| Recover | Continuità operativa: BIA, piano di continuità, verifica dei backup |
Scopri gli squilibri prima che li scopra un attaccante
Un linguaggio comune
Lo stesso vocabolario per il tecnico, la direzione e il consulente esterno.
Gli squilibri in vista
Molte aziende proteggono bene e non rilevano nulla: il punteggio per funzione lo mostra.
Una lente su ogni norma
NIS2, ISO 27001 o GDPR: i punteggi si leggono sempre sulle stesse funzioni.
Un punto di partenza
Utile anche senza obblighi, e il lavoro fatto vale per le norme che arriveranno.
Il framework del NIST non si certifica: serve a mettere ordine. Separa cose che spesso si confondono: difendersi, accorgersi di essere attaccati, reagire, tornare operativi.
NIST CSF 2.0: domande frequenti
Che differenza c'è fra NIST CSF 1.1 e 2.0?
La versione 2.0 aggiunge la funzione Govern, che porta la governance della sicurezza (strategia, ruoli, politiche, fornitori) allo stesso livello delle altre, e allarga esplicitamente il campo a organizzazioni di ogni dimensione e settore.
Il NIST CSF si può certificare?
No. È un framework volontario per organizzare la sicurezza e comunicarne lo stato. Per una certificazione il riferimento è la ISO/IEC 27001, con cui il CSF si integra bene.
Ha senso per un'azienda italiana?
Sì: il Framework Nazionale per la Cybersecurity si basa sulla stessa impostazione per funzioni, e molte richieste di NIS2 e DORA si leggono facilmente su questa griglia.
Da dove conviene cominciare?
Dall'autovalutazione: il punteggio per funzione mostra dove sei più debole. Se cerchi una lista di controlli tecnici concreti in ordine di priorità, affiancala ai CIS Controls IG1.
I moduli che lavorano per il NIST CSF
Asset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più GovernareContinuità operativa
Business Impact Analysis, piano di continuità e verifica dei backup, guidati da questionari.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più ConformitàCIS Controls · IG1
L'igiene informatica di base: il punto di partenza per ogni PMI.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.