Gap analysis NIS2
Fotografiamo lo stato tecnico dell'infrastruttura e lo confrontiamo con le misure richieste, per ottenere un piano di intervento con priorità reali.
01
Dove sei davvero scoperto rispetto alle misure NIS2
Una gap analysis risponde a una domanda precisa: tra ciò che il decreto richiede e ciò che sull’infrastruttura esiste oggi, quanto manca e dove.
Non è un questionario compilato in sala riunioni: guardiamo le configurazioni reali di rete, server, endpoint e cloud, e verifichiamo se le procedure dichiarate funzionano.
L’esito è un documento leggibile anche da chi non è del mestiere, con gli interventi ordinati per rischio.
Rilevazione dello stato di fatto
Inventario di sistemi, accessi, protezioni attive e punti di esposizione verso l'esterno.
Confronto con le misure attese
Ogni area viene messa a confronto con i requisiti di gestione del rischio applicabili.
Piano di intervento
Azioni correttive con priorità, dipendenze e stima dell'impegno richiesto.
Cosa verifichiamo, area per area
Ogni voce viene confrontata con le misure attese e riceve una priorità nel piano finale.
- Governance, politiche e gestione degli accessi
- Perimetro di rete e segmentazione
- Endpoint, server e posta elettronica
- Vulnerabilità e processo di aggiornamento
- Backup, prove di ripristino e continuità
- Rilevazione, incident response e catena di fornitura
02
Cosa non è una gap analysis
Viene spesso confusa con altre due attività, ma il perimetro è diverso. Un’analisi delle vulnerabilità elenca le debolezze note dei sistemi: è uno strumento, e la gap analysis lo usa, ma non risponde alla domanda organizzativa. Un test di intrusione simula un attacco reale per dimostrare cosa è sfruttabile: serve a validare, non a inquadrare.
Questa analisi sta un livello sopra: unisce dato tecnico e procedurale e produce una mappa di priorità. È il documento con cui si decide dove spendere per primi, e il punto di partenza del percorso di adeguamento.
Si svolge in tre momenti: raccolta iniziale, verifica tecnica sulle configurazioni effettive, restituzione discussa con la direzione. La durata dipende dall’estensione dell’infrastruttura e la definiamo dopo una prima ricognizione. Se non hai ancora chiarito se rientri nell’ambito della direttiva, quella verifica viene prima.
Richiedi una gap analysis
Partiamo da un confronto per definire il perimetro dell'analisi. Da lì esce una stima seria, non un numero buttato lì.
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
Richiedi supporto
A chi potrebbe servire
Gap analysis: domande frequenti
Come si svolge, cosa produce e in cosa si distingue dalle altre verifiche di sicurezza.
Serve fermare i sistemi durante l'analisi?
No. La rilevazione è in larga parte passiva: leggiamo configurazioni, inventari e log. Le verifiche con possibile impatto vengono concordate e pianificate in finestre condivise. È una differenza sostanziale rispetto a un test di intrusione, che va sempre autorizzato e circoscritto.
Cosa riceviamo alla fine?
Un rapporto con lo stato rilevato area per area, gli scostamenti rispetto alle misure attese e un piano di intervento con priorità. È pensato per due lettori: la direzione, che decide dove investire, e chi poi mette le mani sui sistemi.
Possiamo farla da soli con un questionario?
Puoi farti un’idea, e non è tempo perso. Il limite è noto: i questionari registrano quello che si crede sia in funzione, e nella nostra esperienza lo scarto tra dichiarato e configurato è la parte più interessante del risultato.
Chi si occupa poi di chiudere i gap?
Possiamo farlo noi: le stesse persone che hanno rilevato lo scostamento sanno cosa serve per colmarlo. Non è però un vincolo, perché il rapporto è scritto per essere eseguibile anche da un altro fornitore.
