Gestione Crittografia NIS2: la policy delle chiavi è la tua prova di conformità! Non basta cifrare: formalizza la tua strategia e rimani nella filiera delle aziende soggette a NIS2.
La gestione della crittografia è uno dei requisiti fondamentali per proteggere la riservatezza, l’autenticità e l’integrità dei dati secondo la Direttiva NIS2. Non basta cifrare: devi dimostrare ai tuoi clienti di avere una politica formale su come i dati sono protetti. E, soprattutto, come sono gestite le chiavi di accesso.
In questo decimo articolo delle linee Guida ENISA lo spieghiamo in maniera chiara. Per la tua PMI, avere una Policy di Crittografia NIS2 documentata non è solo un atto di sicurezza, ma la prova che la tua azienda ha una governance matura per la protezione dei dati dei clienti.
Gestione crittografia NIS2: requisiti basati sul rischio
La crittografia della tua PMI deve essere adeguata e proporzionata al rischio, in linea con i risultati della tua Analisi del Rischio e la classificazione dei dati richiesta dalla Direttiva NIS2.
- Ambito di applicazione: la policy aziendale deve stabilire in modo chiaro il tipo, la forza e la qualità delle misure crittografiche necessarie per proteggere i tuoi asset critici. Questo include sia i dati a riposo (es. database, archivi su disco) sia i dati in transito (es. comunicazioni via rete e accesso remoto).
- Definizione di standard: devi specificare i protocolli approvati, gli algoritmi crittografici e la forza di cifratura richiesti per l’uso nella tua azienda, seguendo gli standard più avanzati e riconosciuti a livello internazionale.
- Impegno all’agilità crittografica: devi considerare l’approccio di agilità crittografica. Questo significa che la tua infrastruttura IT non può basarsi su algoritmi statici. Deve essere in grado di passare rapidamente e senza interruzioni da un algoritmo di cifratura all’altro. Questa capacità è vitale per reagire a minacce emergenti come l’obsolescenza tecnologica o l’imminente pericolo della crittografia quantistica, garantendo una difesa dinamica e a prova di futuro.
Ciclo di vita e gestione delle chiavi crittografiche
La parte più complessa e soggetta ad audit è la gestione delle chiavi (Key Management). La tua crittografia deve avere una metodologia rigorosa che copra l’intero ciclo di vita della chiave (generazione, uso, distruzione).
La metodologia deve prevedere procedure documentate per:
- generazione e distribuzione: metodi per generare chiavi diverse per sistemi diversi e per distribuirle in modo sicuro solo ai soggetti previsti;
- archiviazione e accesso: come le chiavi sono conservate e come gli utenti autorizzati ottengono l’accesso (protezione fisica delle apparecchiature e meccanismi di controllo);
- compromissione e revoca: procedure immediate per gestire le chiavi compromesse, revocarle o disattivarle, e stabilire le date di disattivazione per garantire un uso limitato nel tempo;
- recupero e backup: mantenere la disponibilità delle informazioni in caso di perdita o danneggiamento delle chiavi, ad esempio attraverso depositi sicuri;
- audit e registrazione: conservare i registri delle attività di gestione delle chiavi (generazione, rinnovo, distruzione) per garantire la responsabilità e supportare l’analisi forense e la revisione.
Gestione crittografia NIS2: garanzie di integrità, riservatezza e controlli tecnici
La Gestione Crittografia NIS2 serve a garantire la riservatezza e l’integrità dei dati. La tua PMI deve applicare meccanismi crittografici per diversi scopi:
- protezione dei dati: utilizzare la crittografia per i dati a riposo e in transito;
- firme digitali e hash: utilizzare meccanismi come le firme digitali (per autenticazione, integrità del software/documenti) e gli hash (per l’integrità dei backup e dei log);
- smaltimento sicuro: garantire lo smaltimento sicuro dei dati dopo il loro uso legittimo, anche se sono stati crittografati;
- protezione fisica delle chiavi: proteggere fisicamente le apparecchiature utilizzate per generare, conservare e archiviare le chiavi;
- formazione: il personale che tratta informazioni sensibili deve conoscere e comprendere le politiche e le procedure di crittografia.
Revisione e vantaggio competitivo nell’audit
Una politica crittografica è efficace solo se è aggiornata. Le linee guida Enisa impongono che le politiche siano riesaminate e aggiornate almeno una volta all’anno. Oppure ogni volta che si verificano progressi significativi nello stato della crittografia.
Le prove che i tuoi clienti NIS2 esigeranno includono:
- politica e procedure documentate: la policy di crittografia NIS2 formale, che elenca gli algoritmi e i protocolli accettabili;
- tracciabilità della gestione chiavi: registri di tutte le attività di gestione delle chiavi (generazione, rinnovo, distruzione) per garantire la responsabilità;
- test di efficacia: piani e risultati dei test che dimostrino che le misure crittografiche sono state implementate correttamente;
- formazione documentata: registri che dimostrino che il personale che gestisce informazioni sensibili conosce le politiche e le procedure di crittografia.
Per saperne di più > Come affrontare la NIS2: l’intervista a Lavinia De Caro, PM di NIS2Lab
Vuoi rimanere nella filiera delle aziende NIS2 e dimostrare la massima serietà nella protezione dei dati?