Fare un inventario del “ferro” ossia dei dispositivi hardware, può essere relativamente semplice. Ma è tutt’altro rispetto all’inventario delle informazioni e degli asset ai fini del trattamento dei dati personali, della sicurezza informatica, dell’affidabilità, della confidenzialità. In questo articolo parliamo di questo e vediamo come fare.

Sempre più spesso ci troviamo a supportare le agenzie di comunicazione e le aziende di software, per quanto riguarda le procedure NIS 2, ossia sicurezza informatica. Come parte della catena di approvvigionamento, siamo certi che alcuni tuoi clienti ti hanno chiesto di sottoscrivere delle policy.

Cos’è un inventario degli asset?

Un inventario degli asset è composto dalle informazioni relative agli asset dell’organizzazione che, per quanto riguarda l’agenzia, sono: hardware, software/sistemi/piattaforme, dati/informazioni.

La parte che riguarda le informazioni è una mappatura strutturata, ragionata e mantenuta aggiornata delle categorie di informazioni rilevanti trattate dall’organizzazione. Diventa uno strumento di governance, sopratutto se viene impostato con riferimento al criterio CID.

Per un’agenzia, le informazioni sono ad esempio, per categorie: dati clienti, anagrafiche, contatti, impostazioni delle campagne, materiali creativi, account e credenziali.

Per quanto attiene invece ad hardware e software, la questione è più semplice. Spesso le agenzie sono molto ordinate su questo. Ma è fondamentale che, almeno, per quanto riguarda l’hardware ci siano le corrette configurazioni e per quanto riguarda il software, l’indicazione delle licenze.

Partiamo dal perchè un inventario

Una delle politiche di igiene informatica che un’agenzia di comunicazione dovrebbe seriamente valutare riguarda la configurazione dei dispositivi e del loro ciclo di vita, per proteggere e garantire la continuità operativa. Il considerando n. 89 della Direttiva NIS 2 fa riferimento proprio a questo profilo.

Oltre a questo, l’ISO 27001/2022 nel controllo 5.9 fa riferimento all’inventario delle informazioni e degli asset prevedendo che debba essere sviluppato e mantenuto, anche con riguardo ai responsabili.

Si tratta di un adempimento spesso sottovalutato, ma è uno degli elementi più importanti per costruire un sistema di sicurezza efficace e coerente. Nelle agenzie di comunicazione il valore delle stesse risiede spesso nelle informazioni che vengono gestite.

Il ciclo di vita dell’asset

La normativa impone un’adeguata gestione del ciclo di vita dell’asset. La vita di un asset tangibile come può essere un hardware è certamente differente rispetto alla gestione di un’informazione digitale. È quindi importante fissare una procedura interna per ciascuna categoria così da conoscere lo stadio di riferimento ed intervenire (ad esempio con aggiornamenti programmati o con l’eliminazione dell’informazione).

Per quanto riguarda l’informazione, il ciclo di vita non è altro che quello che il trattamento del dato, ai sensi dell’art 4 del GDPR: “raccolta, la registrazione, l’organizzazione, la strutturazione, la conservazione, l’adattamento o la modifica, l’estrazione, la consultazione, l’uso, la comunicazione mediante trasmissione, diffusione o qualsiasi altra forma di messa a disposizione, il raffronto o l’interconnessione, la limitazione, la cancellazione o la distruzione;“

Per quanto attiene invece all’hardware, la fase di configurazione iniziale, la gestione degli aggiornamenti, i controlli degli accessi, la collocazione, la consegna, la restituzione, il reso, il ricondizionamento..

Come fare un inventario?

La modalità viene concordata con l’agenzia di comunicazione, in base ai flussi interni e all’organizzazione. Tuttavia, può essere opportuno compiere alcune modifiche anche su questo punto, sopratutto quando non c’è un ordine.

Un inventario dovrebbe almeno avere, di base:

• un numero identificativo univoco
• la descrizione dell’asset (suggeriamo di dividere per fogli in relazione alla macro categoria=
• il soggetto responsabile
• i soggetti / categoria di soggetti che accedono
• l’analisi CID
• il grado di rischio
• le misure adottate per limitare il rischio

L’indagine sul rischio è l’attività fondamentale dal punto di vista della sicurezza informatica. Porta con sé una serie di altre valutazioni, con riguardo alla configurazione, al backup, al disaster ricoveri, alla business continuity. Un approccio basato sul rischio è quello che ha accompagnato il GDPR e che connota la NIS 2.

Attenzione: qui ci siamo focalizzati sull’inventario, ma questo è fa parte del progetto di adeguamento interno alla NIS 2, che presuppone un analisi strutturata iniziale. Infatti, la normativa prevede principi e misure generali e prevede poi l’adozione di misure adeguate e proporzionate. Vengono quindi stabiliti degli obiettivi e poi, è nell’ambito del lavoro effettivo che serve definire quelle che sono le misure che assicurano all’agenzia un livello di sicurezza adeguato ai rischi. Inoltre, è attraverso la valutazione a stretto contatto con la governance dell’agenzia che si può stabilire quelle che sono le misure proporzionate, in relazione alle dimensioni dell’azienda, alla probabilità che si verifichino i rischi, alla gravità, oltre che all’impatto che questi potrebbero avere sotto il profilo sociale ed economico.

Con questo articolo, forse poco chiaro per alcuni, vogliamo dire alle agenzie che fanno parte della c.d. catena di approvvigionamento e che su “imposizione” del cliente dichiarano di essere adeguati o di adottare determinate misure, attenzione: non è un procedimento che si può gestire in modo automatizzato ma impone un lavoro effettivo e ragionato.

Noi come Studio, in ottica multidisciplinare, ci avvaliamo di un supporto informatico professionale che interviene sin dalla fase di analisi, con l’obiettivo di acquisire una profonda conoscenza della realtà ed intervenire in modo effettivo, sia nella fase di implementazione delle misure, sia in ogni fase del ciclo di vita dell’informazione per garantire un’effettiva gestione della sicurezza all’interno dell’azienda.

Foto di alleksana