EdLaw
Regolamento cloud ACN n. 21007/24 — Allegato 2 — Livelli minimi di sicurezza e affidabilità, capacità elaborativa, risparmio energetico delle infrastrutture digitali
REGOLAMENTO PER LE INFRASTRUTTURE DIGITALI E PER I SERVIZI CLOUD PER LA PUBBLICA AMMINISTRAZIONE, AI SENSI DELL’ARTICOLO 33-SEPTIES, COMMA 4, DEL DECRETO-LEGGE 18 OTTOBRE 2012, N. 179, CONVERTITO, CON MODIFICAZIONI, DALLA LEGGE 17 DICEMBRE 2012, N. 221
ALLEGATO 2 — “LIVELLI MINIMI DI SICUREZZA E AFFIDABILITÀ, CAPACITÀ ELABORATIVA, RISPARMIO ENERGETICO DELLE INFRASTRUTTURE DIGITALI E DELLE INFRASTRUTTURE DEI SERVIZI PER LA PUBBLICA AMMINISTRAZIONE”
1. Premessa e definizioni
1.1. Il presente Allegato definisce, in conformità alle previsioni di cui agli articoli 6 e 7 del Regolamento, i livelli minimi di sicurezza e affidabilità, capacità elaborativa, risparmio energetico delle infrastrutture digitali per le pubbliche amministrazioni e delle infrastrutture dei servizi cloud per le pubbliche amministrazioni che possono ospitare, rispettivamente, servizi e dati digitali della pubblica amministrazione coerentemente con il relativo livello di classificazione di cui all’articolo 3 del Regolamento.
1.2. I livelli minimi sono organizzati sulla base delle sottocategorie del Framework Nazionale per la Cybersecurity e la Data Protection di seguito denominato (FNCS). Per ogni misura è fornita una specifica più dettagliata dell'implementazione minima attesa, nonché delle modalità richieste al fine di descriverne l'adozione e dimostrarne l'attuazione.
1.3. I livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali di cui al presente Allegato si applicano agli ambienti di produzione. I livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità degli ambienti di pre-produzione, test, sviluppo e ad essi assimilabili sono applicati in coerenza con i livelli minimi delle infrastrutture digitali di cui al presente Allegato, eventualmente in relazione ad un’analisi del rischio volta a individuare i potenziali impatti sul servizio e sui relativi dati gestiti ovvero sull’infrastruttura digitale relativa all’ambiente di produzione.
1.4. Ai fini del presente Allegato, si intende per:
- a) “Dati dell’amministrazione”, dati forniti, conservati, inviati, ricevuti, trattati da o per conto dell'Amministrazione dal soggetto tramite l'Infrastruttura digitale;
- b) “Metadata relativi all'amministrazione”, dati raccolti, ottenuti o generati dal soggetto, anche in forma derivata, a partire dai dati dell'amministrazione, nell'ambito dell'erogazione e dell'amministrazione dell’Infrastruttura digitale. In tale categoria rientrano, ad esempio la storicizzazione degli eventi dei sistemi e servizi, le configurazioni dei servizi e gli attributi delle risorse dell'amministrazione, derivanti anche dall'utilizzo degli stessi;
- c) “Metadata relativi al funzionamento dell'Infrastruttura digitale”, dati generati e utilizzati dal soggetto per monitorare e garantire la funzionalità dell'Infrastruttura digitale, non inclusi in Metadata dell'amministrazione o dati dell'amministrazione. In tale categoria di Metadata, che non devono quindi essere riconducibili a persone, al soggetto e non possono comunque permettere di estrarre - anche in parte - i dati dell'amministrazione, rientrano, ad esempio le metriche sulle performance d'utilizzo, bilanciamento, etc.
- d) “dipendenza esterna”, le reti, i sistemi informativi, i servizi informatici, le infrastrutture fisiche o gli altri servizi, ivi compresi quelli utilizzati per fini di manutenzione e gestione, di pertinenza di altri soggetti, da cui dipende il funzionamento dell'infrastruttura digitale;
- e) “dipendenza interna”, le reti, i sistemi informativi, i servizi informatici, le infrastrutture fisiche o gli altri servizi, ivi compresi quelli utilizzati per fini di manutenzione e gestione, esterni al servizio cloud, ma di pertinenza dell’operatore dell’infrastruttura digitale, da cui dipende il funzionamento dell'infrastruttura digitale;
- f) “catena di approvvigionamento cyber”, la catena di approvvigionamento relativa all'Infrastruttura digitale.
1.5. Ad eccezione dell'organizzazione di cybersecurity, il termine "organizzazione", che compare all'interno delle descrizioni delle categorie e sottocategorie, è da intendersi riferito almeno all'infrastruttura o al personale dell’operatore dell’infrastruttura digitale per le pubbliche amministrazioni ovvero dell’infrastrutture dei servizi cloud per le pubbliche amministrazioni preposto alla sua gestione. In aggiunta, il termine “soggetto” è da intendersi nell’accezione di “operatore di infrastruttura digitale”.
2. Livelli minimi previsti nel caso di dati e servizi ordinari
2.1 Affidabilità
2.1.1) Alta Affidabilità.
A.AA-01: Disponibilità dell'infrastruttura
- 1_O. L'indice di disponibilità dell'Infrastruttura Digitale, riferita alla percentuale di tempo in un anno in cui l'infrastruttura risulta essere accessibile e usabile, deve essere stato almeno pari:
A.AA-02: Sono disponibili soluzioni per la configurazione dei servizi in alta affidabilità
- 1_O. Il Centro di elaborazione dati (CED) deve essere dotato di soluzioni hardware e software (apparati di rete e sicurezza, storage, servizi di virtualizzazione, etc.) per la configurazione dei servizi in alta affidabilità. Devono essere inoltre messe a disposizione capability e funzionalità a supporto di configurazioni dei servizi in alta affidabilità quali:
2.1.2) Business Continuity e Disaster Recovery.
A.BC-01: Sono disponibili soluzioni di Disaster Recovery con tempi di ripristino garantiti
- 1_O. Provider di infrastruttura: L'infrastruttura digitale è dotata di soluzioni di DR, con caratteristiche coerenti con l’analisi del rischio, e deve garantire tempi di ripristino (RTO e RPO) variabili in funzione della criticità dell'applicazione ospitata conformemente con quanto definito nella BIA.
- 2_O. Con riferimento ai valori di RTO e RPO definiti al punto 1_O, devono comunque essere garantiti almeno i seguenti parametri di ripristino in caso di disastro: RTO 48 ore e RPO 48 ore.
2.1.3) Governance e processi.
A.GP-01: I Servizi IT sono gestiti conformemente agli standard di settore
- 1_O. Sono adottati processi e procedure in linea con le best practice indicate dalla ISO/IEC 20000-2.
A.GP-02: È garantito il rispetto degli indicatori di servizio obbligatori
- 1_O. Per il Centro di elaborazione dati (CED), il soggetto deve garantire il supporto tecnico per emergenze con:
- a. una copertura di 24 ore al giorno, 7 giorni a settimana per tutto l'anno;
- b. un tempo massimo di risposta agli incidenti (inteso come tempo massimo che intercorre tra la segnalazione di un evento con impatto critico sull'operatività dell'Amministrazione e la risposta da parte del soggetto) pari a 1 ora.
- 2_O. Il soggetto deve garantire, per i servizi del Centro di elaborazione dati (CED) offerti, un supporto tecnico con le seguenti caratteristiche:
Su richiesta dell’Amministrazione, il servizio di supporto è fornito almeno in lingua italiana.
2.1.4) Performance e Scalabilità.
A.PS-01: Sono garantite caratteristiche minime di connettività
- 1_O. Il soggetto deve fornire connettività su rete pubblica e rete privata. La rete privata deve consentire al soggetto di fruire di servizi di connettività dedicati e con le seguenti prestazioni minime garantite:
2.2 Capacità Elaborativa
2.2.1) Capacità Elaborativa.
CE.CE-01: Gestione della capacità di elaborazione conformemente agli standard o le best practice di settore
- 1_O. La capacità elaborativa dell'Infrastruttura Digitale è gestita attraverso un processo formale aderente alle best practice sul capacity management ITIL o alle linee guida presenti alla ISO/IEC 20000-2.
2.3 Data Center Security
2.3.1) Data Center Security.
S.DC-01: I Centri di elaborazione dati (CED) rispettano livelli minimi di sicurezza fisica e infrastrutturale
- 1_O. Il soggetto garantisce il presidio operativo all'interno del Data Center per 24 ore al giorno, 7 giorni a settimana per tutto l'anno.
- 2_O. Il Data Center è stato progettato e realizzato secondo standard di riferimento infrastrutturali, ad esempio ANSI/BICSI 002, TIA-942, EN 50600, Uptime Institute Tier Certification o analoghi.
- 3_O. Il soggetto garantisce le caratteristiche antincendio del Data Center in conformità alle norme antincendio vigenti.
- 4_O. Nei locali ospitanti i Data Center sono presenti pavimenti flottanti qualora la distribuzione dell'alimentazione elettrica e del cablaggio non avvenga per via aerea.
- 5_O. Il soggetto garantisce che tutti i server dei Data Center sono connessi ad apparati per la continuità elettrica (UPS).
S.DC-02: Sono adottate misure di sicurezza fisica e ambientale
- 1_O. Esiste un documento di dettaglio che definisce politiche e procedure inerenti allo spostamento sicuro di supporti fisici. Queste policy e procedure dovranno essere riviste su base almeno annuale.
- 2_O. Sono implementati, manutenuti e adottati sistemi di sorveglianza all'esterno dei data center e in tutti i punti di ingresso e uscita al fine di rilevare ogni tentativo di ingresso non autorizzato.
- 3_O. Sono implementati, mantenuti e adottati, all'interno dei Data Center, i sistemi di controllo ambientale al fine di monitorare e testare l'adeguatezza delle temperature e le condizioni di umidità all'interno dell'area, nel rispetto dei principali standard di settore.
2.4 Risparmio Energetico
2.4.1) Risparmio Energetico.
RE.GE-01: Gestione energetica condotta in aderenza agli standard di settore
- 1_O. Il soggetto ha formalmente adottato procedure per la gestione delle emissioni dei gas prodotti, o per la gestione dell’energia consumata o per la gestione ambientale dei propri Data Center. A tale riguardo, il soggetto può fare riferimento, rispettivamente, agli standard ISO 14064, ISO 50001 e ISO 14001, o equivalenti.
RE.GE-02: Valutazione annuale dell'efficienza energetica del Data Center
- 1_O. Il soggetto determina con frequenza annuale l'efficienza energetica dei propri Data Center, ricorrendo al calcolo dell'indicatore Power Usage Effectiveness (PUE), che deve assumere valore massimo pari a 1,5. Il PUE mette in relazione la spesa energetica dell’infrastruttura, compresa di apparati IT, impianto di climatizzazione e impianti ausiliari, con la spesa esclusivamente riferita agli apparati IT. Nello specifico, è calcolato come il rapporto tra la spesa energetica sostenuta per tutta l'infrastruttura dei Data Center e quella sostenuta per gli apparati IT.
2.5 Sicurezza
IDENTIFY (ID)
2.5.1) Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all'organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell'organizzazione.
ID.AM-01: Sono censiti i sistemi e gli apparati fisici in uso nell'organizzazione
- 1_O. Tutti i sistemi e gli apparati fisici sono censiti ed esiste un elenco di quelli approvati da attori interni al soggetto.
- 2_O. Tutti i sistemi e gli apparati fisici presenti sulle reti sono censiti e l'accesso alla rete è consentito esclusivamente a quelli approvati.
ID.AM-03: I flussi di dati e comunicazioni inerenti l'organizzazione sono identificati
- 1_O. Tutti i flussi di dati e di informazioni, inclusi quelli verso l'esterno e relativi all'infrastruttura digitale, sono identificati, censiti e approvati da attori interni al soggetto.
ID.AM-06: Sono definiti e resi noti ruoli e responsabilità inerenti la cybersecurity per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner)
- 1_O. È definita e resa nota alle articolazioni competenti del soggetto l'organizzazione di cybersecurity, anche con riferimento ai ruoli e alle responsabilità, per tutto il personale e per eventuali terze parti.
- 2_O. È nominato, nell'ambito dell'articolazione di cui al punto 1_O., un incaricato, e un eventuale sostituto, con il compito di gestire l'attuazione delle disposizioni del Regolamento in possesso di specifiche professionalità e competenze nella materia della sicurezza cibernetica, che riferisce direttamente al vertice gerarchico del soggetto ed assicura l'efficace implementazione delle misure di sicurezza di cui al presente Allegato.
- 3_O. Sono nominati, nell'ambito dell'articolazione di cui al punto 1_O., un referente tecnico, e almeno un suo sostituto, in possesso di competenze tecnico-specialistiche nella materia della sicurezza cibernetica, per lo svolgimento delle funzioni di interlocuzione con il CSIRT Italia ai fini della gestione degli incidenti aventi impatto sull'Infrastruttura digitale.
- 4_O. L'incaricato di cui al punto 2_O. e il referente tecnico di cui al punto 3_O. operano in stretto raccordo.
2.5.2) Governance (ID.GV): Le politiche, le procedure e i processi per gestire e monitorare i requisiti dell'organizzazione (organizzativi, legali, relativi al rischio, ambientali) sono compresi e utilizzati nella gestione del rischio di cybersecurity.
ID.GV-01: È identificata e resa nota una policy di cybersecurity
- 1_O. Esiste un documento aggiornato che descrive le politiche, i processi e le procedure di cybersecurity.
2.5.3) Risk Assessment (ID.RA): L'impresa comprende il rischio di cybersecurity inerente all'operatività dell'organizzazione (incluse la mission, le funzioni, l'immagine o la reputazione), gli asset e gli individui.
ID.RA-01: Le vulnerabilità delle risorse (es. sistemi, locali, dispositivi) dell'organizzazione sono identificate e documentate
- 1_O. Esiste un piano aggiornato di verifica e test di sicurezza che descrive l'insieme delle attività finalizzate alla valutazione del livello di sicurezza cibernetica dell'Infrastruttura digitale e dell'efficacia delle misure di sicurezza tecniche e procedurali e che contiene, inoltre, la periodicità e le modalità di esecuzione.
- 2_O. Esistono procedure, da aggiornare almeno su base annuale, per la gestione dei rischi associati a variazioni nell'ambito di asset organizzativi, ivi incluse applicazioni, sistemi, infrastrutture, configurazioni, ecc., indipendentemente dal fatto che gli asset siano gestiti internamente o esternamente (cioè in outsourcing).
ID.RA-05: Le minacce, le vulnerabilità, le relative probabilità di accadimento e conseguenti impatti sono utilizzati per determinare il rischio
- 1_O. L'analisi del rischio è svolta in funzione delle minacce, delle vulnerabilità, delle relative probabilità di accadimento e dei conseguenti impatti derivanti dal loro sfruttamento alla luce delle minacce considerate.
- 2_O. L'analisi del rischio tiene conto delle dipendenze interne ed esterne dell'Infrastruttura digitale.
- 3_O. Dopo aver identificato tutti i fattori di rischio e averli analizzati viene effettuata una ponderazione per determinare il livello di rischio.
PROTECT (PR)
2.5.4) Identity Management, Authentication and Access Control (PR.AC): L'accesso agli asset fisici e logici ed alle relative risorse è limitato al personale, ai processi e ai dispositivi autorizzati, ed è gestito in maniera coerente con la valutazione del rischio di accesso non autorizzato alle attività ed alle transazioni autorizzate.
PR.AC-01: Le identità digitali e le credenziali di accesso per gli utenti, i dispositivi e i processi autorizzati sono amministrate, verificate, revocate e sottoposte ad audit di sicurezza 1_O.a Le credenziali di accesso sono individuali per il personale del soggetto e rispettano il principio di segregazione delle funzioni. Le credenziali sono aggiornate con una cadenza proporzionata ai privilegi dell'utenza. 1_O.b Le credenziali di accesso sono individuali per il personale del soggetto e per il personale esterno che ha accesso all'infrastruttura e rispettano il principio di segregazione delle funzioni. Le credenziali sono aggiornate con una cadenza proporzionata ai privilegi dell'utenza.
- 2_O. Esistono politiche e procedure per la gestione delle credenziali di cui al punto 1_O., le quali dovranno essere aggiornate almeno su base annuale e rese disponibili, per la consultazione, all'Amministrazione.
- 3_O. Sono definiti meccanismi di gestione, memorizzazione e revisione delle informazioni in materia di credenziali, identità di sistema e livello di accesso.
- 4_O. Le credenziali sono aggiornate tempestivamente e senza ingiustificato ritardo qualora vi siano variazioni dell'utenza (es. trasferimento di personale).
- 5_O. Le identità di sistema sono gestite impiegando certificati digitali o tecniche alternative che assicurano un livello equivalente di sicurezza.
- 6_O. Esiste una pianificazione aggiornata degli audit di sicurezza per verificare il rispetto di quanto previsto nei punti 1_O., 2_O., 3_O., 4_O. e 5_O. ed esiste un registro degli audit effettuati con la relativa documentazione.
PR.AC-02: L'accesso fisico alle risorse è protetto e amministrato
- 1_O. Con riferimento ai censimenti della sottocategoria ID.AM-01, esiste un documento aggiornato di dettaglio contenente almeno:
- 2_O. È definito un perimetro di sicurezza fisico al fine di salvaguardare il personale, i dati e i sistemi informativi.
PR.AC-03: L'accesso remoto alle risorse è amministrato
- 1_O. Gli accessi da remoto effettuati sono monitorati da parte dell'organizzazione di cybersecurity.
- 2_O. Fatti salvi documentati limiti tecnici, sono implementate adeguate misure di controllo dell'accesso, adottando sistemi di autenticazione, autorizzazione e registrazione/contabilizzazione centralizzata degli accessi, coadiuvati da sistemi di autenticazione, la cui sicurezza è proporzionale al rischio.
- 3_O. È definito e implementato un modello di gestione degli accessi centralizzato volto ai processi di autorizzazione, logging e comunicazione degli accessi alle risorse e ai dati dell'Amministrazione.
- 4_O. Esiste un log degli accessi eseguiti da remoto.
- 5_O. Per gli accessi da remoto, sono impiegati modalità di autenticazione a fattore multiplo.
PR.AC-04: I diritti di accesso alle risorse e le relative autorizzazioni sono amministrati secondo il principio del privilegio minimo e della separazione delle funzioni
- 1_O. Sono definite, con riferimento ai censimenti di cui alla categoria ID.AM, almeno:
- 2_O. Nell'ambito di implementazione dell'accesso al sistema informativo, vengono osservati principi di separazione delle funzioni e del privilegio minimo in relazione al rischio organizzativo.
- 3_O. Sono definite e implementate politiche, procedure e misure tecniche per la segregazione dei ruoli di accesso privilegiato in modo che l'accesso amministrativo ai dati, le capacità di crittografia e gestione delle chiavi e le capacità di registrazione siano distinte e separate.
2.5.5) Awareness and Training (PR.AT): Il personale e le terze parti sono sensibilizzate in materia di cybersecurity e vengono addestrate per adempiere ai loro compiti e ruoli coerentemente con le politiche, le procedure e gli accordi esistenti.
PR.AT-01: Il personale del soggetto è informato e addestrato
- 1_O. Esiste un documento aggiornato di dettaglio che indica i contenuti dell'addestramento e della formazione fornita al personale del soggetto e le modalità di verifica dell'acquisizione dei contenuti.
- 2_O. L'addestramento e la formazione di cui al punto 1_O. fornita agli utenti del soggetto, in relazione ai ruoli, prevede, almeno, le seguenti tematiche:
- a. la tutela della confidenzialità di dati in chiaro o cifrati;
- b. la restituzione dei beni di natura aziendale al termine del rapporto di lavoro;
- c. la definizione di ruoli e delle responsabilità;
- d. politiche di accesso a sistemi, asset e risorse;
- e. politiche di gestione delle informazioni e della sicurezza;
- f. processi di comunicazione di ruoli e responsabilità ai dipendenti che hanno accesso ad asset informativi;
- g. requisiti per la non divulgazione/confidenzialità di informazioni.
PR.AT-02: Gli utenti con privilegi (es. Amministratori di Sistema) comprendono i loro ruoli e responsabilità
- 1_O. Sono definiti i contenuti dell'istruzione fornita al personale del soggetto con privilegi e le modalità di verifica dell'acquisizione dei contenuti.
- 2_O. Sono definiti, per ogni membro del personale del soggetto, i privilegi e le istruzioni ricevute.
2.5.6) Data Security (PR.DS): I dati sono memorizzati e gestiti in accordo alla strategia di gestione del rischio dell'organizzazione, al fine di garantire l'integrità, la confidenzialità e la disponibilità delle informazioni.
PR.DS-01: I dati memorizzati sono protetti
- 1_O. Esiste un documento aggiornato di dettaglio che indica, anche in relazione alla categoria ID.AM, almeno:
- 2_O. I dati dell’amministrazione, ivi inclusi quelli deputati alla sicurezza (quali, a titolo esemplificativo, i sistemi di controllo degli accessi), sono trattati mediante infrastrutture localizzate sul territorio dell'Unione europea. Salvo motivate e documentate ragioni di natura normativa o tecnica, nelle citate infrastrutture sono ricomprese quelle deputate alle funzioni di:
In tal caso, l'applicazione della misura ID.RA-05 deve tenere opportunamente conto della localizzazione al di fuori del territorio europeo, verificando altresì la compliance rispetto alla normativa in tema di protezione dei dati personali.
- 3_O. Diversamente dal caso dei Metadata relativi al funzionamento dell'infrastruttura, che possono essere trattati mediante infrastrutture localizzate anche al di fuori del territorio dell'Unione europea, i Metadata relativi all'amministrazione sono trattati mediante infrastrutture localizzate sul territorio dell'Unione europea, salvo motivate e documentate ragioni di natura normativa o tecnica. In tal caso, l'applicazione della misura ID.RA-05 deve tenere opportunamente conto della localizzazione al di fuori del territorio europeo, verificando altresì la compliance rispetto alla normativa in tema di protezione dei dati personali. In caso di trasferimento di Metadata verso infrastrutture extra-UE, l’interruzione di tale flusso di comunicazione non deve comportare comunque il mancato rispetto dei livelli minimi di servizio previsti per il servizio cloud.
- 4_O. Con riferimento al punto 3_O., nel caso in cui i Metadata relativi all'amministrazione siano finalizzati all'erogazione di servizi per la sicurezza informatica ovvero per la resilienza dell'infrastruttura digitale, essi possono essere trattati, in presenza di motivate ragioni tecniche e relative evidenze di una loro gestione conforme all'univocità delle finalità del trattamento, anche fuori del territorio europeo. In tal caso, l'applicazione della misura ID.RA-05 deve tenere opportunamente conto della localizzazione al di fuori del territorio europeo, verificando altresì la compliance rispetto alla normativa in tema di protezione dei dati personali. In caso di trasferimento di metadata verso infrastrutture extra-UE, l’interruzione di tale flusso di comunicazione non deve comportare comunque il mancato rispetto dei livelli minimi di servizio previsti per il servizio cloud.
PR.DS-05: Sono implementate tecniche di protezione (es. controllo di accesso) contro la sottrazione dei dati (data leak)
- 1_O. Sono definite in relazione alla categoria ID.AM, almeno:
- 2_O. Sono adottate politiche di Data Loss Prevention coerentemente con la valutazione dei rischi.
PR.DS-06: Sono impiegati meccanismi di controllo dell'integrità dei dati per verificare l'autenticità di software, firmware e delle informazioni
- 1_O. Sono definiti in relazione alla categoria ID.AM, almeno:
- a. l'elenco dei meccanismi di controllo dell'integrità dei dati per verificare l'autenticità di software, firmware e delle informazioni;
- b. le politiche di sicurezza adottate per assegnare un meccanismo a una risorsa e quali di questi meccanismi è applicato a quale risorsa;
- c. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza.
2.5.7) Information Protection Processes and Procedures (PR.IP): Sono attuate e adeguate nel tempo politiche di sicurezza (che indirizzano, scopo, ambito, ruoli e responsabilità, impegno da parte del management e coordinamento tra le diverse entità organizzative), processi e procedure per gestire la protezione dei sistemi informativi e degli asset.
PR.IP-01: Sono definite e gestite delle pratiche di riferimento (c.d. baseline) per la configurazione dei sistemi IT e di controllo industriale che incorporano principi di sicurezza (es. principio di minima funzionalità)
- 1_O. Sono definite politiche e procedure con riferimento alla sicurezza delle applicazioni per fornire un adeguato supporto alla pianificazione, realizzazione e manutenzione delle funzionalità di sicurezza delle applicazioni, le quali dovranno essere riviste e aggiornate almeno su base annuale.
PR.IP-04: I backup delle informazioni sono eseguiti, amministrati e verificati
- 1_Oa. Viene effettuato periodicamente un backup dei dati memorizzati. Viene assicurata la riservatezza, l'integrità e la disponibilità dei dati dei backup.
- 1_Ob. Viene effettuato periodicamente un backup delle informazioni memorizzate nel cloud necessarie per il completo ripristino del sistema, ivi incluso i dati dell’Amministrazione e i dati necessari per il ripristino del servizio. Viene assicurata la riservatezza, l'integrità e la disponibilità dei dati dei backup. A tal fine, viene anche assicurato che i supporti contenenti almeno una delle copie non siano permanentemente accessibili dal sistema onde evitare che attacchi su questo possano coinvolgere anche tutte le sue copie di sicurezza.
- 2_O. Viene verificato periodicamente il ripristino (test di restore) delle copie di backup come obiettivo (SLO) almeno 1 volta all'anno.
PR.IP-12: Viene sviluppato e implementato un piano di gestione delle vulnerabilità
- 1_O. Esiste un documento aggiornato di dettaglio che indica almeno:
- 2_O. Sono definite ed implementate procedure e misure tecniche volte all'aggiornamento degli strumenti di rilevamento, della threat signatures e degli indicatori di compromissione, le quali dovranno essere riviste e aggiornate frequentemente o su base settimanale.
2.5.8) Maintenance (PR.MA): La manutenzione dei sistemi informativi e di controllo industriale è fatta in accordo con le politiche e le procedure esistenti.
PR.MA-02: La manutenzione remota delle risorse e dei sistemi è approvata, documentata e svolta in modo da evitare accessi non autorizzati
- 1_O. La manutenzione delle risorse e dei sistemi (ivi incluse le attività relative alle funzioni di sicurezza) svolta da remoto è eseguita nel rispetto delle misure di cui alla sottocategoria PR.AC-03 e dei seguenti punti.
- 2_O. Tutti gli accessi eseguiti da remoto da personale di terze parti sono autorizzati dall'organizzazione di cybersecurity e limitati ai soli casi essenziali.
2.5.9) Protective Technology (PR.PT): Le soluzioni tecniche di sicurezza sono gestite per assicurare sicurezza e resilienza di sistemi e asset, in coerenza con le relative politiche, procedure ed accordi.
PR.PT-04: Le reti di comunicazione e controllo sono protette
- 1_O. I sistemi perimetrali, quali firewall, anche a livello applicativo, sono presenti, aggiornati, manutenuti e ben configurati.
DETECT (DE)
2.5.10) Security Continuous Monitoring (DE.CM): I sistemi informativi e gli asset sono monitorati per indentificare eventi di cybersecurity e per verificare l'efficacia delle misure di protezione.
DE.CM-01: Viene svolto il monitoraggio della rete informatica per rilevare potenziali eventi di cybersecurity
- 1_O. Sono presenti sistemi di rilevamento delle intrusioni (Intrusion Detection Systems - IDS).
- 2_O. Sono presenti dei processi per il monitoraggio degli eventi relativi alla sicurezza delle applicazioni e dell'infrastruttura sottostante.
DE.CM-04: Il codice malevolo viene rilevato
- 1_O. Sono implementati ed utilizzati appositi strumenti per la prevenzione e il rilevamento di malware, nonché sistemi di protezione delle postazioni terminali (Endpoint Protection System - EPS).
- 2_O. Sono presenti politiche di protezione anti-malware, le quali dovranno essere riviste almeno su base annuale.
DE.CM-08: Vengono svolte scansioni per l'identificazione di vulnerabilità
- 1_O. In base all'analisi del rischio, sulle piattaforme e sulle applicazioni software ritenute critiche sono eseguiti penetration test e vulnerability assessment, prima della loro messa in esercizio.
- 2_O. Sono eseguiti periodicamente penetration test e vulnerability assessment in relazione alla criticità delle piattaforme e delle applicazioni software, di cui al punto 1_O.
- 3_O. Esiste un documento aggiornato recante la tipologia di penetration test e vulnerability assessment previsti.
- 4_O. Esiste un registro aggiornato dei penetration test e vulnerability assessment eseguiti corredato dalla relativa documentazione.
2.5.11) Detection Processes (DE.DP): Sono adottati, mantenuti e verificati processi e procedure di monitoraggio per assicurare la comprensione di eventi anomali.
DE.DP-01: Ruoli e responsabilità per i processi di monitoraggio sono ben definiti al fine di garantire l'accountability
- 1_O. Le nomine di cui alla sottocategoria ID.AM-06 sono rese note all'interno del soggetto.
- 2_O. I ruoli, i processi e le responsabilità per le attività propedeutiche al rilevamento di incidenti con impatto sull'Infrastruttura digitale sono ben definiti e resi noti alle articolazioni competenti del soggetto.
RESPOND (RS)
2.5.12) Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell'ordine).
RS.CO-01: Il personale conosce il proprio ruolo e le operazioni che deve svolgere in caso sia necessaria una risposta ad un incidente
- 1_O. I ruoli e le responsabilità per lo svolgimento delle fasi e dei processi di risposta ad un incidente sono ben definiti e resi noti alle articolazioni competenti del soggetto.
2.5.13) Analysis (RS.AN): Vengono condotte analisi per assicurare un'efficace risposta e supporto alle attività di ripristino.
RS.AN-05: Sono definiti processi per ricevere, analizzare e rispondere a informazioni inerenti vulnerabilità rese note da fonti interne o esterne all'organizzazione (es. test interni, bollettini di sicurezza, o ricercatori in sicurezza)
- 1_O. I canali di comunicazione del CSIRT Italia di cui all'articolo 4 del decreto del Presidente del Consiglio dei ministri 8 agosto 2019, dell'Autorità di riferimento del proprio settore produttivo, nonché di eventuali CERT e Information Sharing & Analysis Centre (ISAC) di riferimento sono monitorati.
2.5.14) Mitigation (RS.MI): Vengono eseguite azioni per prevenire l'espansione di un evento di sicurezza, per mitigare i suoi effetti e per risolvere l'incidente.
RS.MI-03: Le nuove vulnerabilità sono mitigate o documentate come rischio accettato
- 1_O. Le vulnerabilità sono mitigate secondo quanto previsto dal piano di gestione delle vulnerabilità (PR.IP- 12), ovvero ne viene documentato e accettato il rischio residuo derivante dalla mancata mitigazione.
- 2_O. Sono definite ed implementate procedure e misure tecniche per consentire azioni di risposta (programmate o al sopraggiungere di emergenze) in caso di vulnerabilità identificate, in base al rischio.
RECOVER (RC)
2.5.15) Recovery Planning (RC.RP): I processi e le procedure di ripristino sono eseguite e mantenute per assicurare un recupero dei sistemi o asset coinvolti da un incidente di cybersecurity.
RC.RP-01: Esiste un piano di ripristino (recovery plan) e viene eseguito durante o dopo un incidente di cybersecurity
- 1_O. Esiste un piano di ripristino che prevede, almeno, i processi e le procedure necessarie al ripristino del normale funzionamento della porzione dell'infrastruttura coinvolta da un incidente di cybersecurity.
3. Livelli minimi previsti nel caso di dati e servizi critici
3.1 Affidabilità
3.1.1) Business Continuity e Disaster Recovery.
A.BC-01: Sono disponibili soluzioni di Disaster Recovery con tempi di ripristino garantiti
- 3_C. Nel caso di dati e di servizi critici delle Amministrazioni, non trovano applicazione le previsioni del requisito di cui requisito A.BC-01, punto 2_O. In particolare, con riferimento al requisito A.BC-01, punto 1_O., l'infrastruttura digitale è dotata di soluzioni di DR, con caratteristiche coerenti con l’analisi del rischio, e devono comunque essere garantiti almeno i seguenti parametri di ripristino in caso di disastro: RTO 36 ore e RPO 36 ore.
3.1.2) Governance e processi.
A.GP-02: È garantito il rispetto degli indicatori di servizio obbligatori
- 3_C. Nel caso di dati e di servizi critici delle Amministrazioni, non trovano applicazione le previsioni del requisito di cui al punto 2_O. Il servizio di supporto e assistenza è fornito, almeno in lingua italiana, tutti i giorni dell’anno a qualsiasi orario (24 ore al giorno, 7 giorni a settimana per tutto l'anno).
3.1.3) Performance e Scalabilità.
A.PS-01: Sono garantite caratteristiche minime di connettività
- 2_C. Il soggetto offre meccanismi di protezione contro eventi cyber di tipo Denial-of-Service / Distributed Denial-of-Service.
3.2 Data Center Security
3.2.1) Data Center Security.
S.DC-03: La progettazione/realizzazione del Data Center garantisce la manutenibilità a caldo, conformemente agli standard di mercato
- 1_C. L'infrastruttura digitale deve aderire ai parametri del certificato ANSI/TIA 942B con rating "Concurrent Maintainability" oppure a quello di Tier III dell'Uptime Institute. In alternativa deve essere conforme alle caratteristiche costruttive, degli impianti meccanici, elettrici e antincendio riportati alla Tabella 1.
3.3 Sicurezza
IDENTIFY (ID)
3.3.1) Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all'organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell'organizzazione.
ID.AM-02: Sono censite le piattaforme e le applicazioni software in uso nell'organizzazione
- 1_C. Tutte le piattaforme e le applicazioni software installate sono censite ed esiste un elenco di quelle approvate da attori interni al soggetto.
- 2_C. L'installazione delle piattaforme e delle applicazioni software è consentita esclusivamente per quelle approvate.
- 3_C. Esistono politiche che limitino l'aggiunta, rimozione o aggiornamento, nonché la gestione non autorizzata degli asset dell'organizzazione.
ID.AM-06: Sono definiti e resi noti ruoli e responsabilità inerenti la cybersecurity per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner)
- 5_C. I nominativi e gli estremi di contatto dell'incaricato di cui al punto 2_O. e del referente tecnico di cui al punto 3_O. sono comunicati dal soggetto all'Agenzia per la Cybersicurezza Nazionale (ACN).
- 6_C. Esiste un elenco contenente tutto il personale interno ed esterno impiegato nei processi di cybersecurity aventi specifici ruoli e responsabilità. L'elenco è disseminato presso le articolazioni competenti del soggetto.
- 7_C. Esiste un elenco delle figure analoghe all'incaricato di cui al punto 2_O. e al referente tecnico di cui al punto 3_O. presso terze parti, in relazione alle dipendenze esterne, e presso lo stesso soggetto, in relazione alle dipendenze interne. Le competenze dell'incaricato e del referente tecnico devono essere rivalutate in funzione della tipologia di dipendenza. L'elenco è disseminato presso le articolazioni competenti del soggetto.
- 8_C. L'incaricato di cui al punto 2_O. assicura, inoltre, la collaborazione con l'Agenzia per la cybersicurezza nazionale (ACN), anche in relazione alle attività connesse all'articolo 5 del decreto-legge n. 105 del 2019 e alle attività di prevenzione, preparazione e gestione di crisi cibernetiche affidate al Nucleo per la CyberSicurezza (NCS) di cui al decreto-legge n. 82 del 2021, e alle attività di verifica e ispezione.
3.3.2) Governance (ID.GV): Le politiche, le procedure e i processi per gestire e monitorare i requisiti dell'organizzazione (organizzativi, legali, relativi al rischio, ambientali) sono compresi e utilizzati nella gestione del rischio di cybersecurity.
ID.GV-01: È identificata e resa nota una policy di cybersecurity
- 2_C. Il documento di cui al punto 1_O. deve essere approvato dal soggetto e aggiornato almeno su base annuale o in corrispondenza di sostanziali variazioni all'interno dell'organizzazione.
ID.GV-04: La governance ed i processi di risk managament includono la gestione dei rischi legati alla cybersecurity
- 1_C. Esiste un programma formale di Enterprise Risk Management (ERM) che include politiche e procedure per l'identificazione, la valutazione, la proprietà, il trattamento e l'accettazione dei rischi di sicurezza e privacy dell'Infrastruttura.
3.3.3) Risk Assessment (ID.RA): L'impresa comprende il rischio di cybersecurity inerente all'operatività dell'organizzazione (incluse la mission, le funzioni, l'immagine o la reputazione), gli asset e gli individui.
ID.RA-05: Le minacce, le vulnerabilità, le relative probabilità di accadimento e conseguenti impatti sono utilizzati per determinare il rischio
- 4_C. Esiste un documento aggiornato di valutazione del rischio (risk assessment) che comprende almeno:
- a. l'identificazione delle minacce, sia interne che esterne, opportunamente descritte e valutate e le relative probabilità di accadimento;
- b. le vulnerabilità di cui alla sottocategoria ID.RA-1 e alla sottocategoria DE.CM-8;
- c. i potenziali impatti ritenuti significativi sull’infrastruttura, opportunamente descritti e valutati;
- d. l'identificazione, l'analisi e la ponderazione del rischio.
3.3.4) Supply Chain Risk Management (ID.SC): Le priorità, i vincoli, le tolleranze al rischio e le ipotesi dell'organizzazione sono stabilite e utilizzate per supportare le decisioni di rischio associate alla gestione del rischio legato alla catena di approvvigionamento. L'organizzazione ha definito e implementato i processi atti a identificare, valutare e gestire il rischio legato alla catena di approvvigionamento.
ID.SC-01: I processi di gestione del rischio inerenti la catena di approvvigionamento cyber sono identificati, ben definiti, validati, gestiti e approvati da attori interni all'organizzazione
- 1_C. Esiste un documento aggiornato di dettaglio che descrive i processi di gestione del rischio inerente la catena di approvvigionamento cyber.
- 2_C. Tali processi sono validati e approvati da parte dei vertici del soggetto.
PROTECT (PR)
3.3.5) Identity Management, Authentication and Access Control (PR.AC): L'accesso agli asset fisici e logici ed alle relative risorse è limitato al personale, ai processi e ai dispositivi autorizzati, ed è gestito in maniera coerente con la valutazione del rischio di accesso non autorizzato alle attività ed alle transazioni autorizzate.
PR.AC-01: Le identità digitali e le credenziali di accesso per gli utenti, i dispositivi e i processi autorizzati sono amministrate, verificate, revocate e sottoposte ad audit di sicurezza
- 7_C. Esiste un documento aggiornato di dettaglio contenente almeno:
- a. le politiche di sicurezza adottate per l'amministrazione, la verifica, la revoca e l'audit di sicurezza delle identità digitali e le procedure di cui ai punti 1_O., 2_O., 3_O., 4_O., 5_O., 6_O.;
- b. le politiche di sicurezza adottate per l'amministrazione, la verifica, la revoca e l'audit di sicurezza delle identità digitali e delle credenziali di accesso per gli utenti;
- c. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza.
PR.AC-02: L'accesso fisico alle risorse è protetto e amministrato
- 3_C. È definito un perimetro di sicurezza tra le aree amministrative e le aree di data storage e processing.
PR.AC-03: L'accesso remoto alle risorse è amministrato
PR.AC-04: I diritti di accesso alle risorse e le relative autorizzazioni sono amministrati secondo il principio del privilegio minimo e della separazione delle funzioni
PR.AC-05: L'integrità di rete è protetta (es. segregazione di rete, segmentazione di rete)
- 1_C. Sono presenti politiche e procedure per la sicurezza dell'infrastruttura di rete, le quali dovranno essere aggiornate almeno su base annuale.
- 2_C. È definito un piano per il monitoraggio della disponibilità, qualità e l'adeguata capacità delle risorse al fine di fornire le prestazioni di sistema richieste.
PR.AC-07: Le modalità di autenticazione (es. autenticazione a fattore singolo o multiplo) per gli utenti del soggetto, i dispositivi e altri asset sono commisurate al rischio della transazione (es. rischi legati alla sicurezza e privacy degli individui e altri rischi dell'organizzazione)
- 1_C. Sono definite e implementate politiche e procedure per l'accesso ai sistemi, alle applicazioni e ai dati, compresa l'autenticazione multifattoriale almeno per gli utenti privilegiati e l'accesso a dati.
3.3.6) Data Security (PR.DS): I dati sono memorizzati e gestiti in accordo alla strategia di gestione del rischio dell'organizzazione, al fine di garantire l'integrità, la confidenzialità e la disponibilità delle informazioni.
PR.DS-01: I dati memorizzati sono protetti
- 5_C. Nel caso di dati e di servizi critici delle Amministrazioni, non trovano applicazione le previsioni del requisito di cui punto 4_0. Con riferimento al trattamento dei Metadati relativi all'amministrazione, resta fermo, pertanto, quanto previsto dal punto 3_O..
PR.DS-02: I dati sono protetti durante la trasmissione
- 1_C. Sono utilizzati canali di comunicazione sicuri e criptati durante la migrazione di server, servizi, applicazioni o dati in ambienti cloud. Tali canali devono includere solo protocolli aggiornati e approvati.
- 2_C. Conformemente all’analisi del rischio di cui alla misura ID.RA-05, per i flussi di dati e le comunicazioni di cui alla misura ID.AM-03 sono utilizzati canali di comunicazione sicuri e criptati e protocolli aggiornati e approvati.
PR.DS-03: Il trasferimento fisico, la rimozione e la distruzione dei dispositivi atti alla memorizzazione di dati sono gestiti attraverso un processo formale
PR.DS-07: Gli ambienti di sviluppo e test sono separati dall'ambiente di produzione
- 1_C. Sono definite in relazione alla categoria ID.AM, almeno:
- a. l'architettura di massima per cui gli ambienti sono separati e, negli eventuali punti di contatto, come la separazione è realizzata;
- b. le politiche di sicurezza adottate per garantire la separazione dell'ambiente di sviluppo e test da quello di produzione;
- c. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza.
3.3.7) Information Protection Processes and Procedures (PR.IP): Sono attuate e adeguate nel tempo politiche di sicurezza (che indirizzano scopo, ambito, ruoli e responsabilità, impegno da parte del management e coordinamento tra le diverse entità organizzative), processi e procedure per gestire la protezione dei sistemi informativi e degli asset.
PR.IP-03: Sono attivi processi di controllo della modifica delle configurazioni
- 1_C. Sono definite:
- a. le politiche di sicurezza adottate per l'aggiornamento delle configurazioni dei sistemi IT e di controllo industriale e per il controllo della modifica delle configurazioni in uso rispetto a quelle previste;
- b. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza.
- 2_C. È implementata una procedura per la gestione delle eccezioni, incluse emergenze, nel processo di modifica e configurazione.
- 3_C. Sono definiti e implementati i piani di ripristino allo stato precedente (cd. rollback) in caso di errori o problemi di sicurezza.
PR.IP-04: I backup delle informazioni sono eseguiti, amministrati e verificati
- 3_C. Esiste un documento aggiornato di dettaglio che indica, anche in relazione alla categoria ID.AM, almeno:
PR.IP-09: Sono attivi ed amministrati piani di risposta (Incident Response e Business Continuity) e recupero (Incident Recovery e Disaster Recovery) in caso di incidente/disastro
- 1_C. Esiste un documento aggiornato di dettaglio che indica i livelli di servizio attesi l'infrastruttura digitale.
- 2_C. Esiste un documento aggiornato di dettaglio contenente i piani di continuità operativa, nonché quelli di risposta in caso di incidenti, che comprende almeno:
- 3_C. Esiste un documento aggiornato recante l'elenco delle attività di istruzione, formazione ed esercitazione svolte.
- 4_C. I piani di business continuity sono collaudati e comunicati alle parti interessate.
- 5_C. La documentazione di cui al punto 2_C. è resa disponibile, ove richiesto, all'Amministrazione ed è rivista periodicamente.
- 6_C. L'impatto derivante da interruzione ed eventuali rischi è determinato al fine di stabilire criteri per sviluppare strategie e capacità di business continuity.
3.3.8) Maintenance (PR.MA): La manutenzione dei sistemi informativi e di controllo industriale è fatta in accordo con le politiche e le procedure esistenti.
PR.MA-01: La manutenzione e la riparazione delle risorse e dei sistemi è eseguita e registrata con strumenti controllati ed autorizzati
PR.MA-02: La manutenzione remota delle risorse e dei sistemi è approvata, documentata e svolta in modo da evitare accessi non autorizzati
- 3_C. Sono adottati stringenti meccanismi di protezione per l'autenticazione, l'identificazione e per il tracciamento degli eventi.
- 4_C. Sono adottati meccanismi di gestione e controllo delle utenze privilegiate, in termini di limitazioni di natura temporale e delle funzionalità amministrative disponibili.
- 5_C. Tutti i log relativi alle sessioni di comunicazione remota e alle attività eseguite sui sistemi remoti, sono prodotti e custoditi su sistemi separati da quelli oggetto di intervento e non accessibili dalle utenze remote.
3.3.9) Protective Technology (PR.PT): Le soluzioni tecniche di sicurezza sono gestite per assicurare sicurezza e resilienza di sistemi e asset, in coerenza con le relative politiche, procedure ed accordi.
PR.PT-01: Esiste ed è attuata una policy per definire, implementare e revisionare i log dei sistemi
- 1_C. I log son conservati in modo sicuro, possibilmente centralizzato, per almeno 24 mesi
- 2_C. Sono definite:
PR.PT-04: Le reti di comunicazione e controllo sono protette
- 2_C. Sistemi di prevenzione delle intrusioni (intrusion prevention systems - IPS) sono presenti, aggiornati, manutenuti e ben configurati.
- 3_C. Gli strumenti tecnici di cui ai punti 1_O. e 2_C. concorrono al rispetto delle politiche di cui alla categoria ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
PR.PT-05: Sono implementati meccanismi (es. failsafe, load balancing, hot swap) che permettono di soddisfare requisiti di resilienza sia durante il normale esercizio che in situazioni avverse
- 1_C. In relazione ai piani previsti dalla sottocategoria PR.IP-09:
- 2_C. Esistono meccanismi per garantire la continuità operativa, nel rispetto delle misure di sicurezza qui elencate.
- 3_C. Sono definite:
DETECT (DE)
3.3.10) Anomalies and Events (DE.AE): Le attività anomale sono rilevate e il loro impatto potenziale viene analizzato.
DE.AE-03: Le informazioni relative agli eventi sono raccolte e correlate da sensori e sorgenti multiple
- 1_C. Ai fini di rilevare tempestivamente incidenti con impatto sull'Infrastruttura digitale, sono adottati gli strumenti tecnici e procedurali per:
- a. acquisire le informazioni da più sensori e sorgenti;
- b. ricevere e raccogliere informazioni inerenti alla sicurezza dell'Infrastruttura digitale rese note dal CSIRT Italia, da fonti interne o esterne al soggetto;
- c. analizzare e correlare, anche in maniera automatizzata, i dati e le informazioni di cui alle lettere a) e b), per rilevare tempestivamente eventi di interesse.
- 2_C. Le attività di analisi e correlazione di cui al punto precedente sono monitorate e registrate. La relativa documentazione, anche elettronica, è conservata per almeno 24 mesi.
- 3_C. Sono definite:
- a. le politiche applicate per individuare i sensori e le sorgenti di cui al punto 1_C., lettera a);
- b. le procedure e gli strumenti tecnici per ottenere le informazioni di cui al punto 1_C., lettere a) e b);
- c. le politiche, i processi e gli strumenti tecnici per l'analisi e la correlazione di cui al punto 1_C., lettera c);
- d. i processi e gli strumenti tecnici per il monitoraggio e la registrazione di cui al punto 2_C..
- 4_C. Sono presenti politiche e procedure di logging, monitoraggio, sicurezza e conservazione di registri di accesso, le quali dovranno essere aggiornate almeno su base annuale.
- 5_C. È adottato un sistema di auditing per le attività relative al rilevamento di informazioni inerenti alla sicurezza, al monitoraggio degli accessi, modifiche o cancellazioni non autorizzate di dati o Metadati.
- 6_C. Sono definiti e valutati processi, procedure e misure tecniche per la segnalazione di anomalie e guasti del sistema di monitoraggio e in grado di fornire una notifica immediata al soggetto responsabile.
3.3.11) Security Continuous Monitoring (DE.CM): I sistemi informativi e gli asset sono monitorati per indentificare eventi di cybersecurity e per verificare l'efficacia delle misure di protezione.
DE.CM-07: Viene svolto il monitoraggio per rilevare personale, connessioni, dispositivi o software non autorizzati
- 1_C. Con riferimento alla sottocategoria PR.AC-03, viene rilevata la presenza di personale con potenziale accesso fisico o remoto non autorizzato alle risorse. A tal fine, sono presenti sistemi di sorveglianza e controllo di accesso, anche automatizzati.
- 2_C. Con riferimento alla sottocategoria ID.AM-01, vengono rilevati dispositivi (anche fisici) non approvati. A tal fine, fatti salvi documentati limiti tecnici, sono presenti almeno dei sistemi di controllo di accesso di rete.
- 3_C. Gli strumenti tecnici di cui ai punti 1_C. e 2_C. sono aggiornati, mantenuti e ben configurati, nel rispetto delle politiche di cui alle categorie PR.AC, PR.DS, PR.IP e PR.MA e concorrono al rispetto delle politiche di cui alle categorie ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
- 4_C. Esiste un documento aggiornato che descrive, almeno:
3.3.12) Detection Processes (DE.DP): Sono adottati, mantenuti e verificati processi e procedure di monitoraggio per assicurare la comprensione di eventi anomali.
DE.DP-01: Ruoli e responsabilità per i processi di monitoraggio sono ben definiti al fine di garantire l'accountability
- 1_C. Le nomine di cui alla sottocategoria ID.AM-06 sono rese note all'interno del soggetto.
- 2_C. I ruoli, i processi e le responsabilità per le attività propedeutiche al rilevamento di incidenti con impatto sull'Infrastruttura digitale sono ben definiti e resi noti alle articolazioni competenti del soggetto.
- 3_C. Esiste un documento aggiornato di dettaglio che indica almeno:
- 4_C. È definito ed implementato un sistema per la notifica all'Amministrazione degli eventi anomali che coinvolgono le applicazioni e l'infrastruttura sottostante, identificati sulla base di metriche previamente concordate.
RESPOND (RS)
3.3.13) Response Planning (RS.RP): Procedure e processi di risposta sono eseguiti e mantenuti per assicurare una risposta agli incidenti di cybersecurity rilevati.
RS.RP-01: Esiste un piano di risposta (response plan) e questo viene eseguito durante o dopo un incidente
- 1_C. Il piano di risposta prevede l'esecuzione tempestiva della valutazione degli eventi rilevati tramite l'analisi e la correlazione di cui alla categoria DETECT (DE) nonché la disseminazione immediata degli esiti verso le articolazioni competenti del soggetto, anche ai fini della notifica all'Amministrazione e, su base volontaria, al CSIRT Italia, degli incidenti con impatto sull'infrastruttura digitale.
3.3.14) Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell'ordine).
RS.CO-01: Il personale conosce il proprio ruolo e le operazioni che deve svolgere in caso sia necessaria una risposta ad un incidente
- 1_C. I ruoli e le responsabilità per lo svolgimento delle fasi e dei processi di risposta ad un incidente sono ben definiti e resi noti alle articolazioni competenti del soggetto.
- 2_C. Sono eseguite periodicamente esercitazioni.
- 3_C. Esiste un documento aggiornato di dettaglio che indica almeno:
- 4_C. Il soggetto provvede a notificare l'Amministrazione di un incidente o data breach entro 1 ora dalla registrazione e classificazione dell'evento.
- 5_C. Sono presenti politiche e procedure per la gestione degli incidenti di sicurezza, E-Discovery e Cloud Forensics, le quali dovranno essere riviste e aggiornate almeno su base annuale.
RS.CO-05: E' attuata una condivisione spontanea delle informazioni con le parti interessate esterne all'organizzazione (information sharing) per ottenere una maggior consapevolezza della situazione (c.d. situational awarenesss)
- 1_C. Sono definiti e mantenuti contatti con gruppi di interesse legati all'Infrastruttura digitale e alla cyber sicurezza, nonché con altre entità rilevanti in linea con il contesto del soggetto in relazione all'Infrastruttura digitale.
- 2_C. Sono definiti e mantenuti punti di contatto con le autorità di regolamentazione applicabili, le forze dell'ordine nazionali e locali e altre autorità giurisdizionali legali.
3.3.15) Analysis (RS.AN): Vengono condotte analisi per assicurare un'efficace risposta e supporto alle attività di ripristino.
RS.AN-05: Sono definiti processi per ricevere, analizzare e rispondere a informazioni inerenti vulnerabilità rese note da fonti interne o esterne all'organizzazione (es. test interni, bollettini di sicurezza, o ricercatori in sicurezza)
- 1_C. I canali di comunicazione del CSIRT Italia di cui all'articolo 4 del decreto del Presidente del Consiglio dei ministri 8 agosto 2019, dell'Autorità di riferimento del proprio settore produttivo, nonché di eventuali CERT e Information Sharing & Analysis Centre (ISAC) di riferimento sono monitorati.
- 2_C. Gli esiti delle valutazioni di cui alla sottocategoria DE.AE-03 e dei penetration test e vulnerability assessment di cui alla sottocategoria DE.CM-08 sono diffusi alle articolazioni competenti del soggetto.
- 3_C. Esiste un documento aggiornato che descrive, almeno:
RECOVER (RC)
3.3.16) Recovery Planning (RC.RP): I processi e le procedure di ripristino sono eseguite e mantenute per assicurare un recupero dei sistemi o asset coinvolti da un incidente di cybersecurity.
RC.RP-01: Esiste un piano di ripristino (recovery plan) e viene eseguito durante o dopo un incidente di cybersecurity
- 2_C. Il piano di ripristino viene testato, su base semestrale, nell'ambito di due esercitazioni annuali.
4. Livelli minimi previsti nel caso di dati e servizi strategici
4.1 Affidabilità
4.1.1) Business Continuity e Disaster Recovery.
A.BC-01: Sono disponibili soluzioni di Disaster Recovery con tempi di ripristino garantiti
- 4_S. Nel caso di dati e di servizi strategici delle Amministrazioni, non trovano applicazione le previsioni del requisito di cui requisito A.BC-01, punto 3_O. In particolare, con riferimento al requisito A.BC-01, punto 1_O., l'infrastruttura digitale è dotata di soluzioni di DR, con caratteristiche coerenti con l’analisi del rischio, e devono comunque essere garantiti almeno i seguenti parametri di ripristino in caso di disastro: RTO 24 ore e RPO 24 ore.
4.2 Sicurezza
IDENTIFY (ID)
4.2.1) Asset Management (ID.AM): I dati, il personale, i dispositivi e i sistemi e le facilities necessari all'organizzazione sono identificati e gestiti in coerenza con gli obiettivi e con la strategia di rischio dell'organizzazione.
ID.AM-06: Sono definiti e resi noti ruoli e responsabilità inerenti la cybersecurity per tutto il personale e per eventuali terze parti rilevanti (es. fornitori, clienti, partner)
- 5_S. I nominativi e gli estremi di contatto dell'incaricato di cui al punto 2_O. e del referente tecnico di cui al punto 3_O. sono comunicati dal soggetto all'Agenzia per la cybersicurezza nazionale (ACN).
4.2.2) Governance (ID.GV): Le politiche, le procedure e i processi per gestire e monitorare i requisiti dell'organizzazione (organizzativi, legali, relativi al rischio, ambientali) sono compresi e utilizzati nella gestione del rischio di cybersecurity.
ID.GV-01: È identificata e resa nota una policy di cybersecurity
- 3_S. Ogni scostamento dai livelli minimi di sicurezza definito internamente nel documento di cui al punto
- 1_O. deve essere identificato, gestito ed eventualmente autorizzato dal soggetto attraverso un processo di governance strutturato.
- 4_S. Esiste un documento aggiornato recante indicazioni in merito alla pianificazione, ai ruoli, all'implementazione, operazione, valutazione, e miglioramento di programmi di cybersecurity sia in relazione al personale interno che per eventuali terze parti.
4.2.3) Risk Assessment (ID.RA): L'impresa comprende il rischio di cybersecurity inerente all'operatività dell'organizzazione (incluse la mission, le funzioni, l'immagine o la reputazione), gli asset e gli individui.
ID.RA-01: Le vulnerabilità delle risorse (es. sistemi, locali, dispositivi) dell'organizzazione sono identificate e documentate
- 3_S. Le relazioni periodiche devono contenere almeno:
- a. la descrizione generale delle tipologie di verifiche effettuate e gli esiti delle stesse;
- b. la descrizione dettagliata delle vulnerabilità rilevate e il relativo livello di impatto sulla sicurezza;
- c. il livello di esposizione delle risorse del sistema cui è possibile accedere a seguito dello sfruttamento delle vulnerabilità.
- 4_S. Esiste un documento per la correzione delle vulnerabilità che prevede anche, la notifica alle parti interessate.
4.2.4) Supply Chain Risk Management (ID.SC): Le priorità, i vincoli, le tolleranze al rischio e le ipotesi dell'organizzazione sono stabilite e utilizzate per supportare le decisioni di rischio associate alla gestione del rischio legato alla catena di approvvigionamento. L'organizzazione ha definito e implementato i processi atti a identificare, valutare e gestire il rischio legato alla catena di approvvigionamento.
ID.SC-01: I processi di gestione del rischio inerenti la catena di approvvigionamento cyber sono identificati, ben definiti, validati, gestiti e approvati da attori interni all'organizzazione
- 3_S. All'interno dell'organizzazione, sono presenti ed aggiornate almeno su base annuale le politiche e le procedure per la definizione, implementazione e applicazione del modello di responsabilità della sicurezza condivisa rispetto a soggetti esterni e/o Amministrazioni terze (Shared Security Responsibility Model-SSRM).
- 4_S. Il modello SSRM è applicato a tutta la catena di approvvigionamento cyber, ivi incluse le Infrastrutture digitali.
ID.SC-02: I fornitori e i partner terzi di sistemi informatici, componenti e servizi sono identificati, prioritizzati e valutati utilizzando un processo di valutazione del rischio inerente la catena di approvvigionamento cyber
- 1_S. In merito all'affidamento di forniture sono adottate misure in materia di sicurezza della catena di approvvigionamento attraverso:
- a. il coinvolgimento dell'organizzazione di cybersecurity, tra cui l'incaricato di cui alla sottocategoria ID.AM-06, punto 2_O., nel processo di fornitura, già a partire dalla fase di progettazione;
- b. fatti salvi documentati limiti tecnici, il rispetto del requisito di fungibilità, con la possibilità di ricorrere alla scadenza ad altro fornitore;
- c. fatti salvi documentati limiti tecnici, la diversificazione dei fornitori e la conseguente resilienza dell'Infrastruttura digitale;
- d. la valutazione dell'affidabilità tecnica dei fornitori e dei partner terzi, con riferimento alle migliori pratiche in materia e tenendo conto almeno: 1) della qualità dei prodotti e delle pratiche di sicurezza cibernetica del fornitore e dei partner terzi, anche considerando il controllo degli stessi sulla propria catena di approvvigionamento e la priorità data agli aspetti di sicurezza; 2) della capacità del fornitore e dei partner terzi di garantire l'approvvigionamento, l'assistenza e la manutenzione nel tempo.
- 2_S. Esiste un elenco aggiornato dei fornitori e partner terzi affidatari per la fornitura dell'Infrastruttura digitale, nonché di dipendenze esterne, corredato dalla relativa documentazione del processo di valutazione di cui al punto 1_S. lettera d..
- 3_S. Si raccomanda, ove possibile e in relazione alla criticità di:
- a. valutare l'affidabilità tecnica di cui al punto 1_S., lettera d., anche tenendo conto: 1) della disponibilità del fornitore a condividere il codice sorgente; 2) di certificazioni o evidenze utili alla valutazione della qualità del processo di sviluppo del software del produttore; 3) dell'adozione, da parte del produttore, di procedure e strumenti tecnici per garantire l'autenticità e l'integrità del software o firmware installato all'interno dei beni e dei sistemi di information and communication technology; 4) dell'adozione, da parte del produttore, di procedure e strumenti tecnici per garantire una corrispondenza univoca tra il codice sorgente e il codice oggetto installato ed eseguito,
- b. adottare processi e strumenti tecnici per: 1) valutare la qualità e la sicurezza del codice sorgente, qualora reso disponibile dal produttore; 2) acquisire il codice oggetto dai beni e sistemi di information and communication technology; 3) confermare la corrispondenza univoca tra il codice sorgente e il codice oggetto installato ed eseguito.
ID.SC-03: I contratti con i fornitori e i partner terzi sono utilizzati per realizzare appropriate misure progettate per rispettare gli obiettivi del programma di cybersecurity dell'organizzazione e del Piano di Gestione del Rischio della catena di approvvigionamento cyber
- 1_S. Le misure di sicurezza implementate dal soggetto in relazione a dipendenze interne sono coerenti, anche in relazione agli esiti dell'analisi del rischio, con le misure di sicurezza applicate all'infrastruttura digitale. A tal fine, i contratti, gli accordi o le convenzioni sono aggiornati di conseguenza.
- 2_S. Le misure di sicurezza implementate dai terzi affidatari di servizi esterni sono coerenti, anche in relazione agli esiti dell'analisi del rischio, con le misure di sicurezza applicate all'infrastruttura digitale. A tal fine, contratti, accordi o convenzioni sono aggiornati di conseguenza.
ID.SC-04: Fornitori e partner terzi sono regolarmente valutati utilizzando audit, verifiche, o altre forme di valutazione per confermare il rispetto degli obblighi contrattuali
- 1_S. Esiste un documento aggiornato che descrive il processo, le modalità, la cadenza delle valutazioni per i fornitori e partner terzi, proporzionate agli esiti dell'analisi del rischio effettuata.
- 2_S. Esiste una pianificazione aggiornata degli audit, delle verifiche o di altre forme di valutazione previste, nonché un registro di quelli effettuati e la relativa documentazione.
- 3_S. È definito ed implementato un processo di Audit Management al fine di consentire lo svolgimento di valutazioni indipendenti e di garanzia, nel rispetto dei principali standard di settore, almeno su base annuale e secondo una pianificazione che tenga conto del rischio.
- 4_S. Le politiche e le procedure di audit e garanzia degli standard, devono essere stabilite, documentate, approvate, mantenute e riviste almeno su base annuale.
- 5_S. È definito, documentato, approvato, comunicato, applicato e mantenuto un piano di Remediation, relativo alle le azioni correttive connesse alle non conformità rilevate sui fornitori e partner terzi.
PROTECT (PR)
4.2.5) Identity Management, Authentication and Access Control (PR.AC): L'accesso agli asset fisici e logici ed alle relative risorse è limitato al personale, ai processi e ai dispositivi autorizzati, ed è gestito in maniera coerente con la valutazione del rischio di accesso non autorizzato alle attività ed alle transazioni autorizzate.
PR.AC-03: L'accesso remoto alle risorse è amministrato
- 7_S. Le politiche e le procedure sono aggiornate almeno su base annuale e rese disponibili per la consultazione, dietro specifica richiesta, del soggetto.
- 8_S. È definito ed implementato un processo di autorizzazione congiunta con l'Amministrazione nel caso in cui vengano effettuati accessi ai dati dello stesso. Nel caso in cui ciò non fosse possibile, il soggetto contatta l'Amministrazione nel minor tempo possibile informandolo degli accessi effettuati.
- 9_S. Tutte le operazioni che prevedono l'accesso ai dati dell'Amministrazione devono essere gestite in linea con i criteri di user management e logging delle utenze privilegiate.
PR.AC-04: I diritti di accesso alle risorse e le relative autorizzazioni sono amministrati secondo il principio del privilegio minimo e della separazione delle funzioni
- 5_S. Il soggetto è autonomo nella gestione dell'infrastruttura, disponendo di proprie capacità per operare l'infrastruttura fisica e logica sottostante. Per casi eccezionali e sulla base di documentate limitazioni di carattere tecnico, il soggetto può avvalersi di competenze di terze parti, assicurandone, ove possibile, la fungibilità.
PR.AC-05: L'integrità di rete è protetta (es. segregazione di rete, segmentazione di rete)
- 3_S. Con riferimento ai censimenti di cui alla categoria ID.AM, esiste un documento aggiornato di dettaglio contenente almeno:
- a. le politiche di sicurezza adottate per la segmentazione/segregazione delle reti;
- b. la descrizione delle reti segregate/segmentate;
- c. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza;
- d. le modalità con cui porte di rete, protocolli e servizi in use sono limitati e/o monitorati.
PR.AC-07: Le modalità di autenticazione (es. autenticazione a fattore singolo o multiplo) per gli utenti del soggetto, i dispositivi e altri asset sono commisurate al rischio della transazione (es. rischi legati alla sicurezza e privacy degli individui e altri rischi dell'organizzazione)
- 2_S. Esiste un documento aggiornato di dettaglio che, con riferimento ai censimenti di cui alla categoria ID.AM e alla valutazione del rischio di cui alla categoria ID.RA, contiene almeno:
4.2.6) Awareness and Training (PR.AT): Il personale e le terze parti sono sensibilizzate in materia di cybersecurity e vengono addestrate per adempiere ai loro compiti e ruoli coerentemente con le politiche, le procedure e gli accordi esistenti.
PR.AT-01: Il personale del soggetto è informato e addestrato
- 3_S. Per ogni membro del personale del soggetto, esiste un registro aggiornato, comprensivo delle istruzioni ricevute.
PR.AT-02: Gli utenti con privilegi (es. Amministratori di Sistema) comprendono i loro ruoli e responsabilità
4.2.7) Data Security (PR.DS): I dati sono memorizzati e gestiti in accordo alla strategia di gestione del rischio dell'organizzazione, al fine di garantire l'integrità, la confidenzialità e la disponibilità delle informazioni.
PR.DS-01: I dati memorizzati sono protetti
- 6_S. Con riferimento all'accesso ai dati da parte di entità extra-UE, il soggetto:
- a. segnala all'Agenzia per la cybersicurezza nazionale (ACN) e all'amministrazione ogni richiesta di accesso a dati o Metadati da parte di entità extra-UE;
- b. fornisce accesso a dati dell'amministrazione o Metadati ad entità extra-UE solo a valle di un'autorizzazione esplicita da parte dell'amministrazione.
- 7_S. Sono definite ed implementate procedure e misure tecniche per la distruzione delle chiavi memorizzate al di fuori di un ambiente sicuro e revocare le chiavi memorizzate nei moduli di sicurezza hardware (HSM) quando non sono più necessari, in conformità con requisiti legali e normativi.
- 8_S. Nel caso di dati e di servizi strategici delle Amministrazioni, non trovano applicazione le previsioni del requisito di cui punto 3_O.. Al riguardo, tutte le tipologie di metadata devono essere trattate mediante infrastrutture localizzate sul territorio dell'Unione europea, ad eccezione di quelli necessari all’erogazione dei servizi indicati al punto 2_O..
PR.DS-03: Il trasferimento fisico, la rimozione e la distruzione dei dispositivi atti alla memorizzazione di dati sono gestiti attraverso un processo formale
- 2_S. Sono abilitate capacità di geo-localizzazione remota per tutti i dispositivi mobili gestiti che, qualora compromessi, possano avere impatti sulla disponibilità, integrità o confidenzialità dell'infrastruttura o dei servizi erogati dalla stessa.
- 3_S. Coerentemente con quanto previsto dal punto 2_S., sono definite ed implementate adeguate tecniche di cancellazione dei dati dell'Amministrazione da remoto.
- 4_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_C..
PR.DS-05: Sono implementate tecniche di protezione (es. controllo di accesso) contro la sottrazione dei dati (data leak)
- 3_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_O..
PR.DS-06: Sono impiegati meccanismi di controllo dell'integrità dei dati per verificare l'autenticità di software, firmware e delle informazioni
- 2_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_O..
PR.DS-07: Gli ambienti di sviluppo e test sono separati dall'ambiente di produzione
- 2_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_C..
4.2.8) Information Protection Processes and Procedures (PR.IP): Sono attuate e adeguate nel tempo politiche di sicurezza (che indirizzano scopo, ambito, ruoli e responsabilità, impegno da parte del management e coordinamento tra le diverse entità organizzative), processi e procedure per gestire la protezione dei sistemi informativi e degli asset.
PR.IP-01: Sono definite e gestite delle pratiche di riferimento (c.d. baseline) per la configurazione dei sistemi IT e di controllo industriale che incorporano principi di sicurezza (es. principio di minima funzionalità)
- 2_S. Esiste un documento aggiornato di dettaglio che indica, anche in relazione alla categoria ID.AM, almeno:
- a. le politiche di sicurezza adottate per lo sviluppo di configurazioni di sistemi IT e il dispiegamento delle sole configurazioni adottate;
- b. l'elenco delle configurazioni dei sistemi IT e impiegate e il riferimento alle relative pratiche di riferimento;
- c. i processi, le metodologie e le tecnologie impiegate che concorrono al rispetto delle politiche di sicurezza.
- 3_S. Sono definiti e documentati requisiti di base per la sicurezza delle diverse applicazioni.
- 4_S. Sono definite ed implementate metriche, di natura tecnica, utili a monitorare il livello di aderenza ai requisiti di sicurezza definiti e gli obblighi di conformità.
- 5_S. Esiste un processo di mitigazione delle vulnerabilità applicative e ripristino per la sicurezza delle applicazioni, automatizzando la riparazione quando possibile.
- 6_S. È presente un processo per la convalida della compatibilità del dispositivo con sistemi operativi e applicazioni.
- 7_S. È presente un sistema di gestione delle variazioni in termini di sistema operativo, patching e/o applicazioni.
PR.IP-03: Sono attivi processi di controllo della modifica delle configurazioni
- 4_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_C..
PR.IP-09: Sono attivi ed amministrati piani di risposta (Incident Response e Business Continuity) e recupero (Incident Recovery e Disaster Recovery) in caso di incidente/disastro
- 7_S. Esiste un documento aggiornato di dettaglio che indica i livelli di servizio attesi dall'Infrastruttura digitale e, se previsti, dalle hot-replica e/o cold-replica nonché dal sito(i) di disaster recovery.
- 8_S. Esiste un documento aggiornato di dettaglio contenente i piani di disaster recovery, nonché quelli di risposta e di recupero in caso di incidenti, che comprende almeno:
- 9_S. Esiste un documento aggiornato recante l'elenco delle attività di istruzione, formazione ed esercitazione svolte.
- 10_S. Le strategie di disaster recovery sono collaudate e comunicate alle parti interessate.
- 11_S. I dispositivi critici per il funzionamento dell'infrastruttura sono ridondati e, se situati in località diverse, ad una distanza in linea con le migliori pratiche del settore.
PR.IP-11: Le problematiche inerenti la cybersecurity sono incluse nei processi di gestione del personale (es: screening, deprovisioning)
- 1_S. Il soggetto rende disponibile all'amministrazione la metodologia utilizzata per la verifica del personale (vetting process methodology) con accesso privilegiato all'infrastruttura o ai dati dell'amministrazione.
- 2_S. Il soggetto rende disponibile all'amministrazione l'elenco dei dipendenti con accesso privilegiato all'infrastruttura o ai dati dell'amministrazione. L'amministrazione può richiedere unilateralmente la rimozione di uno o più dipendenti dal citato elenco e il soggetto provvede nel senso tempestivamente.
PR.IP-12: Viene sviluppato e implementato un piano di gestione delle vulnerabilità
- 3_S. Il documento di cui al punto 1_O. dovrà essere aggiornato su base semestrale.
- 4_S. Sono definite ed implementate misure tecniche per l'identificazione degli aggiornamenti per le applicazioni che usano librerie di terze parti o open, nel rispetto delle politiche interne di vulnerability management.
4.2.9) Maintenance (PR.MA): La manutenzione dei sistemi informativi e di controllo industriale è fatta in accordo con le politiche e le procedure esistenti.
PR.MA-01: La manutenzione e la riparazione delle risorse e dei sistemi è eseguita e registrata con strumenti controllati ed autorizzati
- 2_S. Esiste un registro aggiornato delle manutenzioni e riparazioni eseguite.
- 3_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_C..
- 4_S. In base all'analisi del rischio, ogni aggiornamento dei software ritenuti critici, fatte salve motivate esigenze di tempestività relative alla sicurezza, dovrà essere verificato in ambiente di test prima dell'effettivo impiego in ambiente operativo e il relativo codice oggetto dovrà essere custodito per almeno 24 mesi.
- 5_S. In base all'analisi del rischio di cui alla misura ID.RA-05, ogni aggiornamento hardware o software di componenti ritenuti critici, fatte salve motivate esigenze di tempestività relative alla sicurezza, dovrà essere verificato in ambiente di test prima dell'effettivo impiego in ambiente operativo e, se del caso, il relativo codice oggetto dovrà essere custodito per almeno 24 mesi. Le attività in ambiente di test sono volte a verificare anche aspetti di sicurezza.
- 6_S. Gli aggiornamenti software devono essere consentiti solo da fonti pre-autorizzate.
- 7_S. Tutti i log relativi alle attività di manutenzione e aggiornamento dovranno essere prodotti e custoditi su sistemi separati da quelli oggetto di intervento e non accessibili dalle utenze che svolgono tali attività.
- 8_S. Esiste un documento aggiornato che descrive, almeno, i processi e gli strumenti tecnici impiegati per realizzare i punti 5_S., 6_S. e 7_S..
PR.MA-02: La manutenzione remota delle risorse e dei sistemi è approvata, documentata e svolta in modo da evitare accessi non autorizzati
- 6_S. Esiste un documento aggiornato di dettaglio che descrive, almeno, i processi e gli strumenti tecnici impiegati per realizzare i punti 2_O., 3_C., 4_C. e 5_C..
4.2.10) Protective Technology (PR.PT): Le soluzioni tecniche di sicurezza sono gestite per assicurare sicurezza e resilienza di sistemi e asset, in coerenza con le relative politiche, procedure ed accordi.
PR.PT-01: Esiste ed è attuata una policy per definire, implementare e revisionare i log dei sistemi
- 3_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui al punto 1_C..
PR.PT-04: Le reti di comunicazione e controllo sono protette
- 1_S. I sistemi perimetrali, quali firewall, anche a livello applicativo, sono presenti, aggiornati, manutenuti e ben configurati.
- 2_S. Sistemi di prevenzione delle intrusioni (intrusion prevention systems - IPS) sono presenti, aggiornati, manutenuti e ben configurati.
- 3_S. Gli strumenti tecnici di cui ai punti 1_O. e 2_C. concorrono al rispetto delle politiche di cui alla categoria ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
- 4_S. L'aggiornamento, manutenzione e configurazione degli strumenti tecnici di cui ai punti 1_O. e 2_C. sono effettuati nel rispetto delle politiche di cui alla categoria PR.AC, PR.DS, PR.IP e PR.MA.
- 5_S. Gli strumenti tecnici di cui ai punti 1_O. e 2_C. sono impiegati anche per i fini di cui alla funzione DETECT (DE).
- 6_S. Esiste un documento aggiornato che descrive almeno i processi e gli strumenti tecnici impiegati per realizzare i punti 1_O., 2_C., 3_C., 4_S e 5_S..
PR.PT-05: Sono implementati meccanismi (es. failsafe, load balancing, hot swap) che permettono di soddisfare requisiti di resilienza sia durante il normale esercizio che in situazioni avverse
- 4_S. In relazione ai piani previsti dalla sottocategoria PR.IP-09:
- 5_S. Esiste un documento aggiornato di dettaglio recante i processi e le politiche di cui ai punti 1_C., 2_C.,
- 3_C. e 4_S..
DETECT (DE)
4.2.11) Anomalies and Events (DE.AE): Le attività anomale sono rilevate e il loro impatto potenziale viene analizzato.
DE.AE-03: Le informazioni relative agli eventi sono raccolte e correlate da sensori e sorgenti multiple
- 7_S. Esiste un repository centralizzato che contiene i log di accesso degli utenti del soggetto, gestito direttamente dal soggetto e segregato a livello logico rispetto ai sistemi a cui terze parti hanno accesso diretto.
- 8_S. Esiste un documento aggiornato di dettaglio, recante i processi e le politiche di cui al punto 3_C..
4.2.12) Security Continuous Monitoring (DE.CM): I sistemi informativi e gli asset sono monitorati per indentificare eventi di cybersecurity e per verificare l'efficacia delle misure di protezione.
DE.CM-01: Viene svolto il monitoraggio della rete informatica per rilevare potenziali eventi di cybersecurity
- 3_S. Il traffico in ingresso e uscita, le attività dei sistemi perimetrali, quali router e firewall, gli eventi amministrativi di rilievo, nonché gli accessi eseguiti o falliti alle risorse di rete e alle postazioni terminali sono monitorati e correlati al fine di identificare eventi di cybersecurity.
- 4_S. Gli strumenti tecnici di cui ai punti 1_O. e 3_S. sono aggiornati, manutenuti e ben configurati, nel rispetto delle politiche di cui alle categorie PR.AC, PR.DS, PR.IP e PR.MA e concorrono al rispetto delle politiche di cui alla categoria ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
- 5_S. Gli strumenti tecnici di cui al punto 1_O. sono impiegati anche per i fini di cui alla categoria DE.AE.
- 6_S. Esiste un documento aggiornato che descrive, almeno:
DE.CM-04: Il codice malevolo viene rilevato
- 3_S. Sono configurati appositi software firewall su tutti i dispositivi.
- 4_S. I file in ingresso (tramite posta elettronica, download, dispositivi removibili, etc.) sono analizzati, anche tramite sandbox.
- 5_S. Gli strumenti tecnici di cui ai punti 1_O., 3_S. e 4_S. sono aggiornati, mantenuti e ben configurati, nel rispetto delle politiche di cui alle categorie PR.AC, PR.DS, PR.IP e PR.MA e concorrono al rispetto delle politiche di cui alle categorie ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
- 6_S. Esiste un documento aggiornato che descrive, almeno:
DE.CM-07: Viene svolto il monitoraggio per rilevare personale, connessioni, dispositivi o software non autorizzati
- 5_S. Con riferimento alla sottocategoria ID.AM-02, fatti salvi documentati limiti tecnici, sono presenti sistemi di controllo per il rilevamento dei software non approvati.
- 6_S. Con riferimento alla sottocategoria ID.AM-03, sono presenti sistemi di controllo per il rilevamento delle connessioni non autorizzate.
- 7_S. Gli strumenti tecnici di cui ai punti 5_S. e 6_S. sono aggiornati, mantenuti e ben configurati, nel rispetto delle politiche di cui alle categorie PR.AC, PR.DS, PR.IP e PR.MA e concorrono al rispetto delle politiche di cui alle categorie ID.AM, ID.GV, ID.SC, PR.AC e PR.DS.
- 8_S. Esiste un documento aggiornato che descrive, almeno:
RESPOND (RS)
4.2.13) Response Planning (RS.RP): Procedure e processi di risposta sono eseguiti e mantenuti per assicurare una risposta agli incidenti di cybersecurity rilevati.
RS.RP-01: Esiste un piano di risposta (response plan) e questo viene eseguito durante o dopo un incidente
- 2_S. Le politiche e procedure per la gestione tempestiva degli incidenti di sicurezza sono riviste almeno su base annuale.
- 3_S. Il piano di risposta e le politiche e procedure di cui ai punti 1_C. e 2_S. includono dipartimenti interni critici, l'Amministrazione (se impattata) e tutte le terze parti interessate.
- 4_S. I piani di risposta agli incidenti sono collaudati e aggiornati ad intervalli pianificati o in caso di cambiamenti organizzativi o ambientali significativi.
- 5_S. Sono definite e monitorate le metriche degli incidenti rilevanti in materia di cybersecurity.
- 6_S. Sono definiti e implementati processi, procedure e misure di supporto ai processi aziendali per il triage degli eventi legati alla sicurezza.
- 7_S. Deve essere implementato un Computer Emergency Response Team (CERT), a coordinamento della fase di risoluzione degli incidenti e in aderenza a quanto definito dalle linee guida ISO/IEC 27035-2. Inoltre, deve essere previsto il coinvolgimento periodico dell'Amministrazione in momenti di condivisione e revisione dello stato degli incidenti di interesse e, ove opportuno, nella risoluzione di tali incidenti, anche secondo gli accordi contrattuali in materia.
4.2.14) Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell'ordine).
RS.CO-01: Il personale conosce il proprio ruolo e le operazioni che deve svolgere in caso sia necessaria una risposta ad un incidente
- 5_S. Sono presenti politiche e procedure per la gestione degli incidenti di sicurezza, E-Discovery e Cloud Forensics, le quali dovranno essere riviste e aggiornate almeno su base annuale.
- 6_S. Esiste un registro aggiornato delle esercitazioni effettuate e dei partecipanti, con le relative lezioni apprese (lessons learned).
- 7_S. Sono definiti ed implementati processi, procedure e misure tecniche per le notifiche di violazione della sicurezza.
- 8_S. È previsto un meccanismo di segnalazione per ogni violazione della sicurezza, reale o presunta, comprese eventuali violazioni inerenti la supply chain, nel rispetto di SLA, leggi e regolamenti applicabili.
- 9_S. Le attività di risposta condotte a seguito di un incidente vengono comunicate alle parti interessate interne ed esterne all'organizzazione, inclusi i dirigenti ed i vertici dell'organizzazione. In particolare, le attività di ripristino a seguito di un incidente sono comunicate alle parti interne ed esterne interessate (es. le vittime, gli ISP, i proprietari dei sistemi attaccati, i vendor, i CERT/CSIRT), ivi incluse le articolazioni competenti del soggetto, anche ai fini dell'eventuale interlocuzione con il CSIRT Italia.
RECOVER (RC)
4.2.15) Improvements (RC.IM): I piani di ripristino ed i relativi processi sono migliorati tenendo conto delle "lesson learned" per le attività future.
RC.IM-02: Le strategie di recupero sono aggiornate
- 1_S. Il piano di cui alla sottocategoria RC.RP-01 è mantenuto aggiornato tenendo anche conto delle lezioni apprese nel corso delle attività di ripristino occorse.
4.2.16) Communications (RC.CO): Le attività di ripristino a seguito di un incidente sono coordinate con le parti interne ed esterne (es. le vittime, gli ISP, i proprietari dei sistemi attaccati, i vendor, i CERT/CSIRT).
RC.CO-03: Le attività di ripristino condotte a seguito di un incidente vengono comunicate alle parti interessate interne ed esterne all'organizzazione, inclusi i dirigenti ed i vertici dell'organizzazione
- 1_S. Le attività di ripristino a seguito di un incidente sono comunicate alle parti interne ed esterne interessate (es. le vittime, gli ISP, i proprietari dei sistemi attaccati, i vendor, i CERT /CSIRT).
5. Livelli minimi con termini di adozione differiti
5.1. Si riporta di seguito l’elenco dei requisiti da rispettare decorsi sei mesi dalla data di applicazione del presente Regolamento, aggiuntivi rispetto a quelli immediatamente applicabili alla data di entrata in vigore:
- A.PS-01.2_C.
- DE.DP-01.1_O.
- DE.DP-01.2_O.
- ID.AM-06.5_C.
- PR.IP-04.1_Ob.
- PR.DS-02.2_C.
- PR.AC-01.1_O.b
- PR.AC-03.5_O.
- PR.PT-04.1_O.
- PR.PT-04.2_C.
- PR.PT-04.3_C.
- RS.AN-05.1_O.
- RS.CO-01.1_O.
- RS.CO-01.5_C..
6. Appendice Tabella 1: Caratteristiche costruttive, degli impianti meccanici, elettrici e antincendio
Best practices ANSI/TIA492, Normativa anti-incendio nazionale
Topic — Caratteristica
- Misure di protezione contro minacce di incendio e fumo — Sono implementate misure di protezione contro minacce di incendio e fumo.
- Sorveglianza dei parametri operativi e ambientali — I servizi di utility del Data Center e le condizioni ambientali (acqua, elettricità, controlli di temperatura e umidità, telecomunicazioni e connettività) sono protetti, monitorati, manutenuti e testati per l'efficacia continua a intervalli pianificati per garantire la protezione da eventi non autorizzati. Qualora i valori di benchmark dei parametri operativi delle utility e ambientali venga superato, devono essere avviate tempestivamente le misure necessarie per il ripristino al range di controllo.
- Sistema di raffreddamento — Il soggetto deve garantire che il sistema di raffreddamento riesce a mantenere la temperatura sotto controllo anche durante la perdita dell’alimentazione elettrica principale.
- Ridondanza sistema di connettività — Il Data Center dispone di un sistema di connettività di rete ridondato tramite l’utilizzo di almeno due distinti carrier in ingresso (connettività multi-carrier).
- Sito Geografico, prossimità corsi d'acqua — La distanza del CED dai corsi d'acqua è maggiore di 91 m.
- Sito Geografico, prossimità arterie autostradali/ferroviarie — La distanza del CED da arterie autostradali e ferroviarie è maggiore di 91 m.
- Sito Geografico, prossimità aeroporti — La distanza del CED dagli aeroporti è maggiore di 1,6 km.
- Prossimità del parcheggio visitatori ai muri perimetrali del Data Center — Il parcheggio visitatori dispone di barriere di protezione per impedire la collisione di veicoli con il muro esterno di facility e computer room, distante almeno 9,1 m.
- Parcheggio dipendenti separato dal parcheggio visitatori — ll parcheggio visitatori è separato fisicamente da quello dei dipendenti da una recinzione o da un muro e deve avere ingresso separato.
- Area carico/scarico separata dal parcheggio — L'area carico/scarico è separata fisicamente dal parcheggio mediante una recinzione o un muro con ingressi separati, o con un sistema con controllo accesso fisico, in modo da eliminare le interferenze fra le operazioni di carico/ scarico e il passaggio di auto.
- Cablaggi telecomunicazioni e percorsi orizzontali ridondanti — I cablaggi di telecomunicazione e i percorsi orizzontali sono ridondati.
- Pozzetti di Accesso della fibra — I pozzetti di accesso della fibra hanno una distanza superiore ai 20 m.
- Ridondanza area dedicata all’attestazione della fibra con gli apparati dei carrier/provider — L'area dedicata all’attestazione della fibra con gli apparati dei carrier/provider provenienti dai pozzetti di ingresso è ridondata con la logica di collegamento diretto e incrociato.
- Router e Switch hanno alimentatori e control station ridondati — Gli apparati router e switch possiedono alimentatori e control station ridondati.
- Router ridondanti e switch con uplink ridondato — Gli apparati router e switch possiedono uplink ridondato.
- Separazione antincendio corridoi sala computer e aree di supporto — I corridoi di uscita dalla sala computer e dalle aree di supporto sono separati con soluzioni antincendio con almeno resistenza REI 60.
- Larghezza dei corridoi di uscita — La larghezza dei corridoi di uscita non è inferiore a 1,2 m.
- Area spedizioni separata fisicamente dalle altre aree del Data Center — L'area spedizioni è separata fisicamente dalle altre aree del Data Center.
- Numero di banchine di carico in area di spedizione/ricezione — È presente almeno una banchina di carico in area di spedizione/ricezione.
- Prossimità locali di stoccaggio combustibile e generatori — I locali di stoccaggio combustibile e generatori alle sale dati ed alle aree di supporto sono separati dalle sale dati e dalle aree di supporto con una compartimentazione almeno REI 120. Se all'esterno, sono rispettate le prescrizioni dei Vigili del Fuoco.
- Sistema di controllo, dispositivi in campo e apparati di visualizzazione sotto continuità — Per il Sistema di controllo (TVCC, Accessi, Antiintrusione), i dispositivi in campo e gli apparati di visualizzazione è garantita la continuità con UPS dedicato al sistema di controllo e visualizzazione oppure tramite batterie locali sui dispositivi di campo, con autonomia di 8 ore.
- Personale di sicurezza fisica — Il presidio di sicurezza fisica è 24h/gg.
- Controllo accessi ai varchi di tutte le sale del Data center — Il controllo degli accessi ai varchi di tutte le sale del Data Center, compresa l'entrata principale, è effettuato con badge o biometrico, deve essere presente un sistema antiintrusione, un allarme porta/ finestra aperta.
- Misure protettive per rack /armadi di apparecchiature per telecomunicazione — I Rack / armadi di apparecchiature per telecomunicazioni sono fissati alla base o supportati in alto e alla base o sono dotati di piattaforme sismiche o di altre misure protettive.
- Ingresso dell’edificio con guardiola e bancone della sorveglianza — All'ingresso all'edificio sono presenti una guardiola ed un bancone di sorveglianza per il controllo dei documenti e delle autorizzazioni, adeguatamente protetto (requisito di vetro antiproiettile livello 3).
- Ingresso dell’edificio con porte e finestre antincendio — L'ingresso dell'edificio è protetto con porte e finestre antincendio almeno REI 60. È considerato conforme un permesso specifico rilasciato dai Vigili del Fuoco.
- Protezione Ingresso edificio — L'ingresso all'edificio è protetto con porte interbloccate con accesso singolo, sistemi fisici anti-scavalcamento e anti-passback.
- Uffici amministrativi separati dall’area del CED — Gli uffici amministrativi sono separati dall'area del Data Center.
- Prossimità di servizi igienici o sale ristoro alle sale dati — I servizi igienici o le sale ristoro adiacenti al Data Center dispongono di un sistema antiallagamento.
- Separazione antincendio dei servizi igienici e sale ristoro dalle sale dati e dalle aree di supporto — I servizi igienici e le sale ristoro adiacenti al Data Center sono separati con sistemi antincendio resistenti almeno REI 60.
- Controllo TVCC a tutte le aree ristrette con accesso tramite porte con badge — Tutte le aree ristrette con accesso tramite porte con badge sono controllate con sistemi TVCC.
- TVCC dei varchi con controllo d’accesso — I varchi di controllo di accesso sono controllati con sistemi TVCC.
- Registrazione TVCC di tutte le attività su tutte le telecamere — Il periodo di retention delle registrazioni TVCC è almeno di 30 giorni.
- Frequenza immagini TVCC (frame rate) — La frequenza delle immagini TVCC è almeno pari a 20 frame/sec.
- Il sistema di distribuzione elettrica consente la manutenzione a caldo — Il sistema di distribuzione elettrica consente la manutenzione a caldo senza esclusioni.
- Analisi del sistema elettrico — Il sistema elettrico è stato sottoposto ad analisi corredata da una relazione di progetto che deve comprendere il calcolo delle potenze di corto circuito, studio di coordinamento verticale, analisi dell'arco elettrico e studio del flusso di carico.
- Cavi elettrici per computer e apparecchiature per telecomunicazioni — I cavi elettrici per computer e apparecchiature per telecomunicazioni sono ridondanti con capacità del 100% sui rimanenti cavo o cavi.
- Ridondanza sistemi UPS — La ridondanza dei sistemi UPS è N+1.
- Bypass automatico e bypass di manutenzione — Sono stati adottati un bypass automatico alimentato con interruttore dedicato e un interruttore di bypass esterno per esclusione totale UPS.
- Distribuzione elettrica in uscita dai sistemi UPS — Il quadro elettrico relativo alla distribuzione elettrica in uscita dagli UPS ha interruttori estraibili con funzioni adjustable long time e instantaneous trip.
- Tipo di batterie dei sistemi UPS — Le batterie sono state progettate per 5-10 anni di vita media con UPS statici oppure UPS rotanti.
- Durata minima delle batterie dei sistemi UPS — La durata minima delle batterie è di 10 minuti con UPS statici o UPS rotanti.
- Sistema di monitoraggio delle batterie dei sistemi UPS — Il sistema di monitoraggio delle batterie è gestito dall'UPS a livello dei banchi delle batterie.
- Topologia sistemi UPS — Gli UPS sono ridondati e distribuiti su moduli o blocchi.
- Procedura di bypass per manutenzione del commutatore statico — La procedura di bypass per la manutenzione del commutatore è manuale guidata con dispositivo di blocco meccanico.
- Trasformatore — Il trasformatore è di tipo K-Rated / Harmonic Canceling, (o tecnologia equivalente) ad efficienza elevata.
- Impianto di protezione dalle scariche atmosferiche — È stato adottato un impianto di protezione dalle scariche atmosferiche.
- Messa a terra delle masse metalliche in Computer Room — Le masse metalliche in Computer Room dispongono di impianto di messa a terra.
- Punti monitorati — I punti monitorati sono almeno la rete elettrica pubblica, il trasformatore principale, l'UPS, il generatore, lo stato degli interruttori, i Static Transfer Switch e l'Automatic Transfer Switch, le Power Distribution Unit.
- Metodo di notifica degli allarmi — Il metodo di notifica degli allarmi innescati dal monitoraggio avviene presso la sala di controllo, tramite cercapersone, e-mail e/o SMS.
- Locale batterie separato dal locale UPS — Il locale batterie non è separato del locale UPS a meno che non sia richiesto dai VVFF. La separazione è preferibile.
- Gruppi di batterie isolati — I singoli gruppi di batterie sono isolati fra loro.
- Dimensionamento dei generatori elettrici automatici di backup (Standby generating system) — I generatori elettrici automatici di backup sono dimensionai per il carico dell'intero edificio e con ridondanza N+1
- Generatori su singola barratura — I generatori elettrici hanno la barratura di potenza opportunamente dimensionata.
- Disponibilità Load bank — È disponibile un load bank portatile (di proprietà o in affitto).
- Esecuzione test di accettazione in fabbrica (FAT) apparati elettrici — Gli UPS ed i generatori sono stati sottoposti a test di accettazione in fabbrica (FTA).
- Procedura di collaudo in produzione apparati elettrici — Gli apparati elettrici sono stati collaudati in produzione a livello di componenti e di sistema tramite opportuna procedura.
- Personale operativo e di manutenzione apparati elettrici — Il Personale operativo e di manutenzione degli apparati elettrici è presente on site 24 ore su 7 giorni.
- Manutenzione preventiva apparati elettrici — Il generatore e gli UPS sono sottoposti a manutenzione preventiva.
- Programma di formazione del personale operativo — È stato definito un programma di formazione del personale operativo rispetto al regolare esercizio degli apparati.
- Ridondanza degli apparati meccanici — Gli apparati meccanici (es. unità di condizionamento, dry cooler, pompe, torri evaporative, condensatori) hanno una ridondanza pari a N+1, allo scopo di garantire le operazioni di manutenzione a caldo. Le caratteristiche di ridondanza si applicano anche alle aree di supporto che non sono critiche alla continuità delle operazioni della computer room. Le manovre per garantire la manutenzione a caldo possono essere manuali.
- Passaggio di tubazioni non attinenti al data center all’interno dello spazio data center — Non è permesso che ci sia un passaggio di tubazioni non attinenti al Data Center all'interno dello spazio della sala CED.
- Pressione dell'aria in Computer Room e nelle aree pertinenti — La pressione all’interno della Computer Room e nelle aree pertinenti alla Computer Room è maggiore di quella delle altre aree.
- Pozzetti di scarico in Computer Room — All'interno della Computer room sono presenti pozzetti di scarico per la condensa, per gli eventuali apparati di umidificazione e per l’impianto sprinkler, se presente.
- Alimentazione Sistemi meccanici — I sistemi meccanici sono alimentati dal gruppo elettrogeno in mancanza di rete pubblica.
- Controllo dell’umidità nella Computer Room — All'interno della Computer Room è monitorata l'umidità dell'aria.
- Unità interne sistemi di raffreddamento ad acqua — Le unità interne dei sistemi raffreddati ad acqua sono ridondate (ogni 5-8 unità installate deve essere presente un'unità aggiuntiva).
- Alimentazione elettrica agli apparati meccanici — L'alimentazione elettrica dei sistemi è ridondata (N+1) e configurata per garantire la manutenzione a caldo.
- Sistema di controllo HV AC — Il sistema di controllo della ventilazione e del condizionamento dell'aria è progettato per garantire la manutenzione a caldo.
- Sistemi condensati ad acqua, Ripristino livello acqua dei circuiti — Per i sistemi condensati ad acqua, il ripristino del livello di acqua nei circuiti deve avere due punti di connessione alla rete di alimentazione dell'acqua.
- Quantità di carburante per i generatori — La quantità di carburante per i generatori garantisce un'autonomia di 48 ore (previo possesso di permesso specifico rilasciato dai Vigili del Fuoco).
- Serbatoi per Carburante per i generatori — Sono presenti serbatoi multipli per il carburante per i generatori.
- Pompaggio carburante e tubazioni per i generatori — Per ogni generatore è previsto il pompaggio del carburante e le tubazioni per i generatori.
- Impianto antincendio — È presente un impianto Sprinkler per rilevazione e spegnimento dell’incendio nella parte uffici dell’edificio, o secondo le prescrizioni dei Vigili del Fuoco.
- Rilevazione Fumi VESDA per Computer Room ed Entrance Room con presenza di apparati attivi o sistema equivalente — Nelle computer Room e nell'entrance room l'impianto antincendio è usata la tecnologia VESDA o un sistema equivalente per la rilevazione dei fumi.
- Spegnimento automatico a gas per Computer Room ed Entrance Room. — Nelle computer Room e nell'entrance room è presente un impianto per lo spegnimento automatico a gas, con la presenza di apparati attivi.
- Sistema anti-allagamento per Computer Room ed Entrance Room con presenza di apparati attivi — Nelle computer Room e nell'entrance room è presente un impianto antiallagamento, con la presenza di apparati attivi.
Sources
- ACN — Cloud: documentazione utile ("Regolamento ACN n. 21007/24", 27 giugno 2024)
- RegolamentoCloud.pdf (archived: sources/RegolamentoCloud.pdf)