Questa guida è destinata a vendor cybersecurity, provider MSSP/SOC e società di penetration testing che operano in Italia e devono adeguarsi al D.Lgs. 138/2024. Scoprirai gli obblighi specifici per la protezione dell'infrastruttura SOC, la gestione dati clienti e la segnalazione incidenti di sicurezza.
Rientra in questa categoria ogni fornitore di servizi gestiti di sicurezza (MSSP), gestore di Security Operations Center (SOC) o società di penetration testing che fornisca servizi critici di sicurezza informatica a clienti pubblici o privati italiani. L'applicazione è mandatoria indipendentemente dalle dimensioni aziendali se si eroga servizio in Italia, secondo l'Autorità per la Cybersicurezza Nazionale (ACN).
Come MSSP/SOC provider, devi garantire segregazione logica dei dati di monitoraggio per ciascun cliente, con crittografia in transito e a riposo. Implementa controlli di accesso basati su ruoli (RBAC) rigorosi e audit trail immutabili di tutte le operazioni su dati sensibili. I dati ingesti devono avere policy di retention ben definite e documentate, con cancellazione sicura oltre il periodo autorizzato.
Se l'infrastruttura SOC o i sistemi del vendor subiscono un incidente che compromette la sicurezza dei clienti, devi segnalarlo all'ACN entro 72 ore dal rilevamento. Parallelamente, notifica ogni cliente colpito con dettagli tecnici sull'impatto e le misure di remediation. Documentare l'incidente con evidenza forense per soddisfare i requisiti NIS2 di investigazione.
I report di penetration test e gli artefatti tecnici (dump, configurazioni, credenziali) devono essere memorizzati con crittografia end-to-end e accesso limitato. Implementa un Data Loss Prevention (DLP) per prevenire esfiltrazione di report dai sistemi aziendali. Stabilisci una policy esplicita di retention e distruzione sicura, con certificato di cancellazione.
Come penetration tester, devi stabilire un processo formale di responsible disclosure (es. CVE coordination, contatto vendor). Non divulgare vulnerabilità pubblicamente fino a che il vendor non abbia rilasciato una patch; documentare ogni comunicazione e timeline. Se scopri vulnerabilità nelle tue stesse piattaforme MSSP/SOC, segnalale immediatamente all'ACN e ai clienti interessati.
Implementa uno schema di classificazione incidenti che distingua tra compromissione diretta dell'infrastruttura MSSP e supply chain compromise (es. compromissione di vendor di terzi che accedono al tuo SOC). Per entrambe le categorie, devi notificare l'ACN entro 72 ore e fornire una root cause analysis documentata, con piano di remediation e timeline di implementazione.
Compromissione diretta: attacco ai tuoi sistemi SOC/MSSP che compromette dati o servizi clienti. Supply chain compromise: compromissione di un vendor terzo (es. orchestration tool, cloud provider) che accede alla tua infrastruttura. Entrambe vanno segnalate all'ACN, ma con asset impact assessment diversi. Documenta la catena di attacco e il perimetro di esposizione clienti per ogni categoria.
NIS2 non fissa un periodo unico; devi stabilire una policy basata su esigenze operative, requisiti contrattuali clienti e normative (GDPR, settoriali). Tipicamente 90-365 giorni. La retention deve essere documentata nel contratto di servizio e nel data processing agreement, con cancellazione sicura (wipe crittografica) al termine. Audit la retention per conformità periodica.
Contatta prima il vendor con processo di responsible disclosure (70-90 giorni), documentando tutte le comunicazioni. Se il vendor non risponde entro 30 giorni, puoi segnalare all'ACN. Non divulgare pubblicamente fino a patch disponibile. NIS2 art. 20 richiede coordinamento; l'ACN apprezzerà la notifica, ma il vendor ha priorità nel rimediare. Mantieni evidenza scritta della comunicazione.