Man mano che le aziende fanno sempre più affidamento sui sistemi digitali, è emersa chiaramente la necessità di affidarsi a sistemi di sicurezza efficaci. Gli attacchi informatici stanno diventando sempre più frequenti e sofisticati, pertanto optare per un approccio chiaro ed esaustivo alla gestione dei rischi legati alla sicurezza informatica è ormai una priorità assoluta per la maggior parte delle organizzazioni. Ma in cosa consiste questo approccio?
Contenuti:
- Cos'è il Framework di sicurezza informatica NIST?
- Perché il Framework di sicurezza informatica è importante?
- Le 6 funzioni principali del Cybersecurity Framework del NIST
- Fasi di implementazione del quadro di riferimento del NIST
- Quali sono le linee guida del NIST sulle password?
- NIST Cybersecurity Framework 800 63b
È qui che entra in gioco l’Istituto Nazionale di Standard e Tecnologia (NIST), con il suo quadro di riferimento per la sicurezza informatica. Vediamo più da vicino cos’è il Cybersecurity Framework del NIST, perché è importante e quali misure puoi adottare per ridurre i rischi informatici nella tua organizzazione.
Cos'è il Framework di sicurezza informatica NIST?
Il Cybersecurity Framework (CSF) è un insieme di linee guida, standard e best practice sviluppato dal National Institute of Standards and Technology (NIST) per aiutare le organizzazioni a comprendere, gestire e ridurre i rischi informatici. Può essere utilizzato come una mappa e una bussola per il tuo programma di sicurezza, per aiutare te e il tuo team ad adottare un approccio strutturato alla protezione delle risorse critiche.
Con il rilascio di CSF 2.0 nel febbraio 2024, il framework ha ricevuto il suo aggiornamento più significativo dalla versione 1.1: linee guida più precise e una portata più ampia.
Forse il cambiamento più significativo di CSF 2.0 è proprio l’ampiezza che ha assunto il suo ambito di applicazione. La versione 1.1 era rivolta soprattutto agli operatori di infrastrutture critiche. La versione 2.0, invece, è pensata per tutti: piccole e medie imprese, grandi aziende, organizzazioni no profit ed enti pubblici, a prescindere dal loro livello di maturità nella sicurezza informatica. Questo aggiornamento è il frutto di anni di feedback della community e di consultazioni pubbliche, il che lo rende una delle risorse sulla sicurezza informatica più condivise e partecipate oggi disponibili.
Perché il Framework di sicurezza informatica è importante?
Il Cybersecurity Framework del NIST è importante per diversi motivi:
Innanzitutto fornisce una base comune per comprendere cosa sia la sicurezza digitale e come può essere gestita; È un aspetto prezioso per le organizzazioni che vogliono valutare il proprio livello di sicurezza informatica e capire dove intervenire.
In secondo luogo, il framework offre un approccio alla sicurezza informatica strutturato e flessibile, che si adatta alle esigenze specifiche di ogni organizzazione, consente di stabilire le priorità e permette di concentrarsi sui rischi più rilevanti.
Infine, il framework favorisce la conformità normativa, offrendo un approccio di base alla sicurezza che aiuta le organizzazioni a rispettare leggi e standard, compresi quelli in materia di privacy e protezione dei dati.
Le 6 funzioni principali del Cybersecurity Framework del NIST
Gli elementi fondamentali del Cybersecurity Framework del NIST sono le 6 funzioni che, insieme, aiutano le organizzazioni a gestire e ridurre i rischi informatici. Con il rilascio del CSF 2.0, alle 5 funzioni originali se n’è aggiunta una sesta, che inserisce le decisioni sulla sicurezza informatica nel contesto più ampio della leadership e della strategia aziendale:
Governa. Questa funzione è al centro del framework e orienta il modo in cui un’organizzazione mette in pratica le altre 5. Rende la sicurezza informatica una priorità per i vertici aziendali, definendo ruoli, compiti e responsabilità in tutta l’organizzazione. La funzione Governa comprende la strategia di gestione dei rischi per la sicurezza, le aspettative in materia di supervisione da parte dei dirigenti e di reportistica al consiglio di amministrazione, la propensione al rischio dell’organizzazione e la gestione dei rischi informatici nella catena di fornitura (C-SCRM), che riguarda i rischi legati a terze parti e fornitori.
Identifica. La prima funzione del Cybersecurity Framework del NIST ruota attorno alla conoscenza: si concentra infatti sulla comprensione delle risorse, dei sistemi e dei dati dell’organizzazione, nonché delle minacce e delle vulnerabilità che potrebbero colpirli. Ciò comprende la valutazione dei rischi, la mappatura delle risorse e dei sistemi critici dell’organizzazione e l’individuazione delle tipologie di dati da proteggere.
Proteggi. Il documento definisce le linee guida per l’attuazione di controlli di sicurezza e altre misure volte a proteggere le risorse, i sistemi e i dati dell’organizzazione da una serie di minacce informatiche. Questa funzione del Quadro di riferimento per la sicurezza informatica del NIST si concentra sull’implementazione di firewall e controlli di accesso, nonché sulla protezione contro l’ingegneria sociale e altri tipi di attacchi.
Rileva. La funzione Rileva definisce gli approcci più adatti per individuare tempestivamente minacce e incidenti informatici e reagire in modo rapido. Ciò comprende l’implementazione di sistemi di rilevamento delle intrusioni.
Rispondi. La quarta funzione del Cybersecurity Framework del NIST riguarda la risposta alle minacce e agli incidenti informatici. Stabilisce le linee guida per ridurre al minimo l’impatto di un incidente informatico e garantire la continuità operativa dell’organizzazione.
Ripristina. L’ultima funzione del Cybersecurity Framework del NIST riguarda il ripristino in seguito a minacce e incidenti informatici, così che l’organizzazione possa tornare alla normale operatività il più rapidamente possibile. Ciò comprende la pianificazione dei backup e del ripristino, il collaudo dei piani di ripristino e la definizione e l’aggiornamento dei piani di continuità operativa.
Fasi di implementazione del quadro di riferimento del NIST
Il Cybersecurity Framework prevede 7 fasi di implementazione, introdotte per la prima volta nella versione 1.1, che accompagnano le organizzazioni dalla definizione dell’ambito di applicazione fino a un piano d’azione concreto per rafforzare la gestione dei rischi informatici. Il CSF 2.0 riorganizza l’implementazione attorno ai Profili e ai Livelli, ma le fasi descritte di seguito restano un utile punto di partenza.
Definisci priorità e ambito. Definisci gli obiettivi aziendali, individua i sistemi e le risorse che rientrano nell’ambito e stabilisci a quali aree dell’organizzazione applicare per prime il framework.
Orienta. Individua le minacce, le vulnerabilità e i requisiti normativi che riguardano i sistemi e le risorse inclusi nell’ambito.
Crea un profilo attuale. Confronta le tue attuali pratiche di sicurezza informatica con il framework, così da avere un quadro di riferimento della tua situazione di partenza.
Esegui una valutazione dei rischi. Valuta la probabilità e il potenziale impatto degli eventi di sicurezza informatica sui tuoi sistemi, tenendo conto dello scenario attuale delle minacce.
Crea un profilo obiettivo. Definisci i risultati che la tua organizzazione vuole raggiungere in termini di sicurezza informatica, in base alle esigenze aziendali, alla propensione al rischio e ai requisiti del settore.
Individua le lacune e stabilisci le priorità. Confronta il tuo profilo attuale con il profilo obiettivo per individuare le lacune, poi stabilisci le priorità in base a rischi, costi e impatto sull’attività.
Attua un piano d’azione. Definisci un piano concreto, con le risorse necessarie, per colmare le lacune prioritarie, assegnare le responsabilità, fissare le scadenze e monitorare i progressi nel tempo.
Chi lo dice che la sicurezza aziendale sia per forza difficile?
Proteggi la tua azienda dalle minacce informatiche senza rinunciare alla praticità
Quali sono le linee guida del NIST sulle password?
Per le aziende private, l’adozione del Cybersecurity Framework del NIST è facoltativa. Per le agenzie federali statunitensi, l’Ordine esecutivo 13800 (2017) ha reso obbligatoria l’adozione del CSF, mentre i controlli di sicurezza federali in senso più ampio sono disciplinati da obblighi distinti previsti dal FISMA e dalla pubblicazione NIST SP 800-53. La sua influenza si estende anche oltre la pubblica amministrazione: le compagnie che offrono assicurazioni contro i rischi informatici e i fornitori enterprise considerano l’allineamento al NIST CSF 2.0 un requisito di base per la sottoscrizione delle polizze e per la valutazione dei rischi legati ai fornitori.
Uno degli ambiti che il framework affronta direttamente è la sicurezza delle password, e a ragione. Le password deboli o riutilizzate restano una delle principali cause delle violazioni andate a segno. Le linee guida del NIST sulla gestione delle password, pubblicate nella SP 800-63B-3 e aggiornate nel tempo, sono considerate tra gli standard più autorevoli su come le organizzazioni dovrebbero creare, archiviare e utilizzare le password. Queste linee guida riguardano diversi aspetti della gestione delle password:
Composizione delle password. La NIST SP 800-63B Rev. 4 abbandona le tradizionali regole di composizione: l’uso combinato di maiuscole, minuscole, numeri e caratteri speciali non dovrebbe più essere imposto. L’obbligo di complessità tende a generare schemi prevedibili (ad esempio, "Password1!" che diventa "Password2!") senza migliorare davvero la sicurezza. Il NIST punta invece sulla lunghezza delle password e incoraggia l’uso di passphrase lunghe, consentendo al contempo l’intera gamma di caratteri stampabili, compresi spazi e caratteri unicode, per una maggiore flessibilità.
Lunghezza della password. Il NIST fissa una lunghezza minima di 8 caratteri per le password scelte dagli utenti e ne richiede almeno 15 quando la password è l’unico fattore di autenticazione. I sistemi devono consentire password di almeno 64 caratteri e il NIST incoraggia attivamente l’uso di passphrase lunghe, per una protezione più solida.
Archiviazione delle password. Le password dovrebbero essere archiviate in formato hash con salt, per limitare il rischio di accessi non autorizzati. Il NIST raccomanda inoltre di abbinare alle credenziali archiviate l’autenticazione a più fattori, così da aggiungere un secondo livello di protezione.
Scadenza delle password. È uno degli ambiti in cui il NIST ha cambiato posizione. Le linee guida aggiornate sconsigliano di imporre cambi periodici delle password, a meno che non ci siano prove di una compromissione. La rotazione obbligatoria spinge spesso gli utenti ad apportare piccole modifiche prevedibili (come passare da "Password1" a "Password2"), con il risultato di indebolire la sicurezza invece di rafforzarla.
Riutilizzo delle password. Il NIST sconsiglia vivamente di usare la stessa password per più account. Gli attacchi di credential stuffing, in cui gli hacker prendono le credenziali rubate in una violazione e le provano su altri servizi, rendono il riutilizzo delle password una delle vie più comuni per ottenere accessi non autorizzati.
NIST Cybersecurity Framework 800 63b
La NIST SP 800-63B, aggiornata di recente con la Revisione 4 nel 2025, fornisce ulteriori indicazioni sull’autenticazione e sulla gestione delle identità digitali. In questo modo, le organizzazioni possono gestire le identità digitali in modo sicuro ed efficiente.
Per essere conformi alla NIST 800-63B, le organizzazioni dovrebbero:
Implementare metodi di autenticazione efficaci, come l’autenticazione a più fattori, per proteggere le identità digitali.
Valutare e aggiornare periodicamente i processi di gestione delle identità, per mantenerli efficaci e al passo con i tempi.
Formare regolarmente i dipendenti sulle buone pratiche di gestione delle identità, comprese la sicurezza delle password e le tecniche di ingegneria sociale.
NIST 800-53: definizione e consigli per la conformità
Un altro insieme di controlli che fa parte del framework del NIST è la SP 800-53, un catalogo completo di oltre 1.000 controlli di sicurezza e privacy suddivisi in 20 famiglie. Coprono tutti gli ambiti, dal controllo degli accessi alla risposta agli incidenti, fino alla privacy.
Per risultare conformi alla NIST 800-53, le organizzazioni devono implementare i controlli di sicurezza pertinenti descritti nel documento ed effettuare valutazioni e audit periodici per verificarne l’efficacia. Ecco alcuni consigli per conformarti alla NIST 800-53:
Valuta regolarmente i tuoi sistemi e le tue reti per individuare le vulnerabilità e gli aspetti da migliorare.
Implementa controlli di accesso efficaci, come l’autenticazione a più fattori, per proteggere informazioni e sistemi sensibili.
Prepara un piano di risposta agli incidenti, poi rivedilo e aggiornalo periodicamente per assicurarti che resti efficace.
Forma regolarmente i dipendenti sulle buone pratiche di sicurezza informatica, comprese la sicurezza delle password e le tecniche di ingegneria sociale.
NordPass Business e la conformità al Cybersecurity Framework del NIST
Con così tante linee guida e raccomandazioni da seguire, per mantenere la conformità bisogna attuare un processo dinamico. Per quanto riguarda la gestione delle password, NordPass Business può aiutare le organizzazioni a soddisfare gli aspetti di queste linee guida legati alle password.
Sul fronte della governance, il NIST CSF 2.0 richiede alle organizzazioni di considerare la sicurezza informatica una priorità per i vertici aziendali (GV.RM / GV.PO): ciò comprende anche il modo in cui vengono gestite le credenziali all’interno dell’azienda. NordPass Business offre agli amministratori IT il controllo centralizzato dei criteri relativi alle password, dalle regole su lunghezza minima e complessità fino alla loro applicazione in tutta l’organizzazione, il tutto da un’unica dashboard. Inoltre, i Log delle attività possono essere esportati in piattaforme SIEM come Splunk o Microsoft Sentinel, offrendo ai team di sicurezza una visibilità completa sugli eventi legati alle credenziali e quel monitoraggio costante richiesto dalla funzione Governa.
Con la funzione Proteggi del NIST CSF 2.0 (PR.AA / PR.DS) si passa dalla teoria alla pratica. NordPass Business crea più livelli di protezione attorno al modo in cui le credenziali vengono create, archiviate e utilizzate:
Obbligo dell’MFA. Gli amministratori possono rendere obbligatoria l’autenticazione a più fattori in tutta l’azienda, in linea con le raccomandazioni della pubblicazione NIST SP 800-63B sui controlli di accesso multilivello.
Supporto per le passkey. NordPass supporta le passkey, il metodo di autenticazione resistente al phishing che le linee guida aggiornate del NIST preferiscono alle password tradizionali.
Crittografia zero-knowledge. Ogni credenziale archiviata è protetta con la crittografia xChaCha20 all’interno di un’architettura zero-knowledge. Nessuno,nemmeno NordPass, può accedere al contenuto della tua cassaforte.
Compilazione automatica resistente al phishing. La compilazione automatica inserisce le credenziali solo sui domini verificati, impedendo ai dipendenti di fornire le proprie password a siti contraffatti o dannosi.
Monitoraggio dello stato di salute delle credenziali. Password Health segnala le credenziali deboli, riutilizzate e obsolete in tutta l’organizzazione, così le vulnerabilità vengono individuate prima dell’utilizzo.
Tutto questo rispecchia fedelmente il nuovo orientamento della pubblicazione NIST SP 800-63B: passphrase più lunghe al posto di regole di complessità arbitrarie, passkey come metodo di autenticazione da preferire e nessun obbligo di cambiare periodicamente le password, a meno che non si sospetti una violazione. NordPass Business si basa proprio su questi principi. Genera credenziali complesse e ad alta entropia, supporta in modo nativo le passkey e non impone mai reimpostazioni inutili.
Oltre al NIST, NordPass Business aiuta le organizzazioni ad adeguarsi a diversi framework di sicurezza e conformità. Scopri di più su come NordPass risponde ai requisiti di standard come ISO 27001.