Le nuove normative NIS2 e DORA hanno segnato una trasformazione della cybersecurity in Europa. Adeguarsi alla nuova asticella è una sfida complessa per migliaia di aziende, in particolare per quelle che operano in ambienti Cloud Native. Ma non si tratta solo di rispettare un obbligo: si tratta di cogliere l’opportunità per rafforzare la propria resilienza operativa e ottenere un vantaggio competitivo.

In questo secondo approfondimento della nostra serie dedicata a NIS2 e DORA esploriamo le strategie e le best practices concrete che abbiamo identificato per un'implementazione efficace, partendo da un approccio DevSecOps e dalla cultura della sicurezza. Se non l'hai ancora fatto, puoi iniziare dal nostro primo articolo per scoprire le caratteristiche delle normative e le sfide specifiche per il mondo delle architetture Cloud Native.

DevSecOps: il framework per integrare la sicurezza

L'approccio DevSecOps rappresenta una solida base per implementare i requisiti di NIS2 e DORA in ambienti Cloud Native, grazie alla sua capacità di integrare la sicurezza in ogni fase del ciclo di vita del software, comprese le fasi iniziali di sviluppo.

Come implementare la sicurezza shift-left nella pratica

La considerazione degli aspetti della security fin dalle fasi iniziali del development cycle è un cambiamento importante per le organizzazioni, ed un grande miglioramento del punteggio di sicurezza di qualunque applicazione. 

Questo approccio si allinea perfettamente con i requisiti di gestione proattiva del rischio previsti dalle nuove normative europee. Inoltre, permette di identificare e risolvere le vulnerabilità non solo in modo più tempestivo, ma anche quando il costo di remediation è ancora basso, quindi con vantaggi sia in termini di sicurezza, sia di business.

Alcune best practices per implementare efficacemente la sicurezza shift-left sono:

• Threat Modeling: Adottare internamente un processo strutturato per identificare potenziali minacce e definire appropriate contromisure. Tramite sessioni dedicate a questi aspetti all'inizio di un progetto è possibile integrare la sicurezza direttamente nel design dell'applicazione (“security by design”).
  Tali sessioni non devono però essere condotte solo nella fase iniziale, ma anche prima di nuove funzionalità o cambiamenti architetturali significativi. Inoltre, il threat modeling diventa veramente efficace quando coinvolge tutti gli attori coinvolti (developers, architects, specialisti di sicurezza, ma potenzialmente anche altri stakeholders). In questo modo non solo sono prese in considerazione prospettive variegate, ma si favorisce la comprensione condivisa dei rischi di sicurezza e delle conseguenti strategie di mitigazione.
  
  
• Security requirements come user stories: Integrare i requisiti di sicurezza nel normale flusso di lavoro dello sviluppo, trattandoli come user stories nel backlog di prodotto, con criteri di accettazione chiari e misurabili.
  In altre parole, gli aspetti di sicurezza devono venire considerati al pari delle altre funzionalità “di business” e parti integranti del prodotto.  Questo contribuisce anche a rispecchiare e cementificare una cultura di “security by design”, in cui la sicurezza è un tassello “normale” nel processo di sviluppo, e non una considerazione successiva.
  
  
• Security Champions: Identificare sviluppatori con interesse per la sicurezza e investire nella loro formazione specifica. Questi campioni saranno i promotori delle best practices di sicurezza all’interno del team e dell’intera organizzazione, favorendone la comprensione e l’adozione. Identificare dei Security Champions è una strategia particolarmente efficace nel caso di team distribuiti o organizzazioni con risorse limitate da dedicare ai temi della sicurezza.

Automazione dei controlli di sicurezza nel ciclo di sviluppo

Come in molti altri ambiti, anche nel mondo della cybersecurity l’automazione è uno dei modi più efficaci per efficientare operazioni e processi. Con applicazioni e infrastrutture sempre più complesse, integrare controlli di sicurezza automatici è ormai una best practice imprescindibile.

Un approccio maturo alla sicurezza prevede l'implementazione di diversi tipi di controlli automatizzati al fine di ridurre rischi ed errori, evitare ritardi nel ciclo di sviluppo, identificare tempestivamente vulnerabilità ed intervenire rapidamente. I principali strumenti di sicurezza che possono essere integrati nelle pipeline di sviluppo sono riassunti nella tabella seguente.

L'integrazione di questi controlli nelle pipeline CI/CD richiede un bilanciamento tra sicurezza e velocità. Per quanto questi tool agiscano in modo automatico, è altresì importante configurarli con precisione, in modo da minimizzare i falsi positivi e priorizzare le vulnerabilità in base alla loro severità e al contesto. Un approccio graduale all'implementazione, partendo dai controlli più critici per poi estendere progressivamente la copertura, può facilitare l'adozione da parte del team e l’integrazione nei processi di sviluppo.

Le best practice suggeriscono inoltre di definire policy chiare su quali vulnerabilità bloccano la pipeline e quali possono invece essere gestite come warning non bloccante, formalizzando anche il processo per la gestione delle eccezioni. Questo approccio permette di mantenere il giusto equilibrio tra agilità di sviluppo e sicurezza, garantendo che le vulnerabilità critiche vengano affrontate tempestivamente.

L'importanza di questi controlli si estende anche alla supply chain security, un aspetto cruciale per le architetture Cloud Native. La supply chain security si riferisce alla sicurezza dei componenti software e hardware che compongono un'applicazione, ovvero tutte le dipendenze, librerie e immagini container che non sono sviluppate internamente ma provengono da fonti esterne. Proteggere la supply chain significa garantire che questi componenti non introducano vulnerabilità o codici malevoli nei nostri sistemi, un requisito fondamentale per la conformità a normative come NIS2 e DORA. 

Per un approfondimento su questo tema, invitiamo alla visione del talk del nostro CTO Paolo Mainardi che spiega la sua importanza e come gestirla in modo efficace. Per approfondimenti in merito alle vulnerabilità più comuni, le strategie di mitigazione, case studies e best practices sono anche disponibili le registrazioni del nostro evento Talks On My Machine dedicato alla Supply Chain Security.

Monitoraggio e rilevamento delle minacce

Le normative NIS2 e DORA pongono particolare enfasi sulla capacità di identificare, classificare e rispondere agli incidenti di sicurezza in modo tempestivo. Gli ambienti Cloud Native, essendo per definizione di natura distribuita, effimera e dinamica, richiedono approcci avanzati al monitoraggio e al rilevamento delle minacce. 

Un sistema di monitoraggio efficace in ambito Cloud Native deve sicuramente prevedere:

• Centralizzazione dei log: Raccogliere log da tutte le componenti dell'ecosistema (applicazioni, container, orchestratori, infrastruttura) e aggregarli in un unico repository centrale. Questo consente di ottenere visibilità completa e facilitare la correlazione degli eventi, permettendo di identificare, mappare e patchare vulnerabilità e violazioni della sicurezza.
  Per gestire il volume e la complessità dei log generati in ambienti Cloud Native, sono disponibili strumenti di log management dedicati, tra i quali citiamo Elasticsearch, Splunk o Loki. Queste soluzioni permettono di archiviare e indicizzare log complessi e di grandi dimensioni, e sono dotate di funzionalità avanzate di ricerca e analisi automatica che facilitano l’identificazione di anomalie.
  
  
• Monitoraggio della sicurezza runtime: Identificare comportamenti anomali che potrebbero indicare un attacco in corso, come tentativi di privilege escalation, accessi anomali a risorse sensibili o comunicazioni non autorizzate. Il monitoraggio runtime tramite strumenti dedicati è particolarmente importante in caso di ambienti containerizzati, dato che la natura effimera dei componenti rende altresì complesso identificare comportamenti anomali.
  
  
• Sicurezza di rete: Implementare un approccio zero-trust, in cui nessuna comunicazione è considerata sicura per default, è particolarmente adatto agli ambienti Cloud Native. Altre best practices sono la segmentazione di rete, l’encryption in transit e la previsione di controlli granulari sulle comunicazioni tra servizi.
  
  
• Dashboard di compliance: è buona pratica creare visualizzazioni specifiche che traccino metriche rilevanti come vulnerabilità aperte per severità, tempi di remediation e stato di implementazione dei controlli di sicurezza richiesti dalle normative. Una dashboard condivisa contribuisce anche a responsabilizzare il team sui temi della security e della compliance.

Resilienza operativa e business continuity

La resilienza operativa, ovvero la capacità di mantenere i servizi operativi anche in presenza di incidenti o interruzioni, è un pilastro fondamentale sia di NIS2 che di DORA. Si tratta di un vero e proprio requisito delle due normative per garantire la continuità dei servizi chiave dell’economia Europea, con particolare enfasi nel settore finanziario. Vediamo le best-practices principali per massimizzare la resilienza.

Architetture fault-tolerant

Le architetture Cloud Native offrono vantaggi intrinseci in termini di resilienza: per natura, hanno la capacità di distribuire carichi di lavoro su infrastrutture diverse e di scalare dinamicamente. Tuttavia, è comunque necessario un design consapevole per sfruttarne al massimo caratteristiche e funzionalità. Fondamentale è anche prevedere gli inevitabili scenari di failure e le conseguenti strategie di mitigazione.

• Distribuzione geografica dei workload su multiple zone di disponibilità o regioni
• Meccanismi di autoscaling per adattarsi dinamicamente alle variazioni di carico
• Pattern di resilienza come circuit breaker e bulkhead per prevenire failure a cascata
• Sistemi di failover automatico per minimizzare i tempi di interruzione

Chaos Engineering per testare la resilienza

Il Chaos Engineering, inizialmente adottato da organizzazioni tecnologiche avanzate, sta diventando una pratica sempre più mainstream come strumento per verificare che i sistemi rispondano come previsto in caso di problemi. Questa metodologia permette di identificare proattivamente punti deboli che potrebbero rimanere nascosti fino al verificarsi di un incidente reale.

• Esperimenti controllati di failure deliberata per testare le capacità di recovery
• Approccio incrementale partendo da test semplici in ambienti non produttivi
• Monitoraggio dei risultati per identificare punti deboli nell'architettura
• Miglioramento continuo basato sui risultati degli esperimenti

Backup e recovery strutturati

Una vera e propria costante fin dagli albori dell’informatica, una solida strategia di backup e recovery rimane sempre un elemento fondamentale di qualsiasi strategia di cybersicurezza, anche in architetture Cloud Native. I backup proteggono da errori umani e malfunzionamenti tecnici. Inoltre, sono anche un'importante linea di difesa contro gli attacchi ransomware, che sono una minaccia sempre più diffusa e sofisticata.

• Policy di backup chiare e complete (frequenza, retention, copertura)
• Test periodici di recovery per verificare l'efficacia delle procedure
• Misure di sicurezza per proteggere i backup da accessi non autorizzati
• Automazione dei processi di backup per ridurre i rischi di errore umano

Procedure documentate di incident response

La documentazione delle procedure di incident response, oltre ad essere un requisito esplicito delle normative, è essenziale per garantire una risposta rapida ed efficace in caso di incidente. Le esercitazioni periodiche permettono di verificare l'efficacia delle procedure e aiutano a creare esperienza pratica, necessaria per rispondere in modo efficace in situazioni di stress e di reale emergenza.

• Playbook dettagliati per diversi scenari di incidente
• Ruoli e responsabilità chiaramente definiti
• Template di comunicazione per interazioni interne ed esterne
• Esercitazioni periodiche per testare l'efficacia delle procedure

5 best practices per implementare la compliance

L'implementazione efficace dei requisiti di NIS2 e DORA richiede non solo strumenti e tecnologie appropriate, ma anche un approccio culturale e organizzativo che integri la sicurezza come valore fondamentale e come obiettivo costante.

1. Adottare un approccio di security by design.
   Integrando la sicurezza nel DNA del processo di sviluppo, le organizzazioni possono prevenire molti problemi che altrimenti richiederebbero interventi costosi e complessi. La security by design permette infatti di identificare al più presto vulnerabilità e falle della sicurezza, intervenendo prontamente e riducendo costo e complessità delle remediation tardive.
   Best practices:
   • Integrare la sicurezza sin dalle fasi iniziali della progettazione
   • Definire principi di sicurezza che guidano le decisioni architetturali
   • Utilizzare pattern e architetture di riferimento già security-hardened
   • Condurre regolarmente sessioni di threat modeling
     
     
2. Automatizzare il più possibile.
   L'automazione gioca un ruolo fondamentale nel rendere la compliance sostenibile nel tempo. Investire in automazione può sembrare costoso inizialmente, ma offre ritorni significativi nel medio-lungo termine, riducendo il carico manuale e minimizzando il rischio di errori umani.
   Best practices:
   • Implementare controlli di sicurezza nei pipeline CI/CD
   • Automatizzare la generazione di documentazione di compliance
   • Utilizzare policy-as-code per enforcing automatico
   • Implementare alert e remediation automatizzati dove possibile
     
     
3. Investire nella formazione e nella cultura.
   La formazione e la cultura organizzativa sono elementi spesso sottovalutati ma cruciali per il successo. Creando un ambiente in cui la sicurezza è responsabilità di tutti, non solo del team specializzato, si ottiene un livello di protezione significativamente più elevato. I Security Champions sono un modo efficace di promuovere la cultura della sicurezza.
   Best practices:
   • Formare tutti i team sui requisiti normativi
   • Creare security champions in ogni team
   • Incentivare la segnalazione di problemi di sicurezza
   • Promuovere una cultura di responsabilità condivisa sulla sicurezza
     
     
4. Adottare un approccio basato sul rischio.
   Questo approccio permette di allocare le risorse in modo efficiente, concentrando gli sforzi dove possono avere il maggiore impatto. Sempre rilevante, diventa fondamentale in contesti con risorse limitate in cui è necessario massimizzare il ritorno degli investimenti in sicurezza.
   Best practices:
   • Valutare criticità e sensitivity di sistemi e dati
   • Allocare le risorse in base alla valutazione del rischio
   • Definire controlli proporzionati al valore da proteggere
   • Implementare protezioni più robuste per i sistemi mission-critical
     
     
5. Documentare sistematicamente.
   La documentazione permette di avere un snapshot sempre aggiornato di asset e risorse, ma anche di best practices interne che permettono di capire rapidamente come agire in caso di emergenza.
   Best practices:
   • Mantenere un inventario aggiornato di asset e risorse
   • Documentare le decisioni di architettura e le mitigazioni del rischio
   • Preparare documentazione audit-ready
   • Implementare un sistema di gestione documentale efficace

Il percorso verso la compliance: da dove iniziare

L'implementazione della compliance, soprattutto per le organizzazioni che si approcciano per la prima volta ai requisiti della sicurezza introdotti o rafforzati da NIS2 e DORA, richiede un approccio strutturato e incrementale, che bilanci l'urgenza di soddisfare i requisiti normativi con la necessità di mantenere l'operatività del business. Un percorso efficace di implementazione si articola tipicamente nelle seguenti fasi:

1. Awareness e formazione iniziale.
   Il primo passo è creare consapevolezza a tutti i livelli dell'organizzazione. È importante che la formazione non coinvolga solo gli sviluppatori, ma anche il management e le altre funzioni. Solo in questo modo è possibile porre le basi di una cultura diffusa della security.
   Best practices:
   • Workshop introduttivi sui requisiti normativi e il loro impatto
   • Programmi di sensibilizzazione per i team tecnici
   • Executive briefing per l'allineamento strategico del management
   • Benchmark di settore per comprendere come altre organizzazioni affrontano la compliance
     
     
2. Assessment e gap analysis.
   In ogni metodologia, un passaggio fondamentale è sempre una valutazione approfondita che permetta di comprendere lo stato attuale e identificare le aree di intervento prioritarie.
   Best practices:
   • Security posture assessment per valutare lo stato attuale
   • Analisi di tutti gli aspetti rilevanti: architettura, processi, tecnologie
   • Identificazione dei gap rispetto ai requisiti normativi
   • Definizione di una baseline per misurare i progressi
     
     
3. Definizione della roadmap.
   La pianificazione è cruciale per un’implementazione efficace. La roadmap di implementazione deve essere realistica e bilanciata, considerando non solo l'urgenza normativa ma anche l'impatto operativo degli interventi.
   Best practices:
   • Prioritizzazione degli interventi in base al rischio e all'impatto sul business
   • Identificazione di "quick wins" implementabili rapidamente, preziosissimi per creare slancio e visibilità per l'intero programma di compliance
   • Pianificazione di interventi più complessi e di lungo termine, con obiettivi chiari e misurabili
   • Allocazione di risorse e definizione di tempistiche realistiche
     
     
4. Controlli fondamentali.
   Anche se lo stato iniziale ed i gap variano per ogni organizzazione, vi sono sicuramente alcuni controlli fondamentali che ogni organizzazione dovrebbe implementare con la massima priorità.
   Best practices:
   • Access management: implementazione di controlli di accesso robusti e applicazione rigorosa del principio del minimo privilegio (PoLP)
   • Vulnerability management: processo strutturato di identificazione e remediation
   • Security monitoring: implementazione di sistemi di rilevamento di base
   • Incident response: definizione di procedure iniziali di risposta agli incidenti, un requisito esplicitamente previsto da NIS2, compreso l’obbligo di notifica alle autorità (notifica entro 24 ore, report completo entro 30 giorni)
     
     
5. Implementazione incrementale.
   La cybersecurity è in continua evoluzione, dopo l’implementazione delle features fondamentali è necessario un processo di miglioramento continuo. L'approccio incrementale è particolarmente adatto in contesti complessi come quelli Cloud Native. Questo permette di testare l'efficacia delle soluzioni su scala ridotta prima di estenderle all'intera organizzazione, con una importante minimizzazione dei rischi. Ma non si tratta solo di features, anche di cultura ed esperienza di fronte ad emergenze reali: una maturità che si costruisce nel tempo.
   Best practices:
   • Adozione di un approccio iterativo con cicli di implementazione-verifica-adattamento
   • Focus iniziale sugli elementi fondamentali e a maggiore impatto
   • Ampliamento dei controlli implementati
   • Coinvolgimento degli stakeholder chiave in ogni fase
   • Adattamento della roadmap in base ai feedback e ai risultati ottenuti
     
     
6. Verifica e miglioramento continuo.
   Le pratiche di sicurezza non possono limitarsi alla fase iniziale di sviluppo di un progetto, oppure al momento in cui si inizia il percorso di compliance normativa. La security deve piuttosto ricoprire un ruolo centrale ed essere considerata al pari delle features “di business”, prevedendo un monitoraggio e miglioramento continuo. In quest’ottica, la sicurezza diventa essa stessa una “business feature” a tutti gli effetti.
   Best practices
   • Conduzione di audit interni regolari
   • Vulnerability assessment periodici
   • Revisione e aggiornamento delle procedure
   • Adattamento a nuove minacce e all'evoluzione dei requisiti normativi

La cybersecurity è una materia ampissima e delicata, che richiede competenze ed expertise che vanno necessariamente costruite nel tempo. Nella fase iniziale di approccio alla sicurezza è particolarmente importante bilanciare l'urgenza normativa con la sostenibilità operativa. Cercare di implementare tutte le funzionalità e tutti i controlli contemporaneamente può risultare controproducente, portando ad implementazioni superficiali e ad una pericolosa resistenza organizzativa.

L'approccio incrementale permette invece di ottenere risultati tangibili in tempi ragionevoli, costruendo al contempo le competenze e la cultura necessarie per un'implementazione efficace dei controlli più avanzati. Identificando e partendo dalle “quick wins”, è possibile ottenere rapidamente delle facili vittorie che creano momentum interno. Ogni successo ottenuto contribuisce quindi a creare slancio e a guadagnare supporto sia per le fasi successive del percorso di adeguamento, sia per il futuro impegno di miglioramento continuo.

Approccio strategico alla compliance

Adottando una prospettiva moderna e strategica della compliance, è possibile trasformare un obbligo normativo in un vantaggio competitivo. Uno shift mentale, culturale ed organizzativo che trasforma un semplice adempimento obbligatorio in un’opportunità per migliorare i nostri processi e le nostre architetture.

In questa visione si inserisce perfettamente l’approccio del security enablement, in contrasto con il tradizionale security enforcement. Piuttosto che imporre controlli dall’alto che potrebbero essere percepiti come ostacoli, con il security enablement il focus diventa rendere autonomi i team nell’implementare la sicurezza, fornendo strumenti, conoscenze, risorse e supporto.

Una metodologia efficace anche in ambito security è quella del miglioramento continuo. La sicurezza non solo viene integrata nei processi esistenti, ma sono integrati anche controlli e verifica continua delle misure di protezione adottate, nonché la valutazione e l’integrazione di nuove misure. Questo ciclo di miglioramento continuo permette di adattarsi alla continua evoluzione delle minacce informatiche, diventando anche più reattivi a nuovi requisiti normativi.

Nell’ambito della cultura organizzativa, vi deve essere uno shift volto a considerare la security allo stesso livello di tutte le altre funzionalità. Ma non solo: affinché si instauri una vera “cultura della sicurezza”, trasparenza e collaborazione devono essere valori fondamentali. Solo così è possibile creare un ambiente di comunicazione aperta sui problemi di sicurezza, basato sull'analisi degli incidenti e sull’apprendimento piuttosto che sulla colpevolizzazione, e sulla creazione di spazi di confronto e condivisione.

Non da ultimo, una visione sostenibile della sicurezza, mantenendo i requisiti di compliance nel tempo senza sacrificare agilità ed innovazione, non può non prevedere l’automazione. Automatizzare consente di ridurre il carico manuale, integrare la sicurezza nei workflow quotidiani, implementare un monitoraggio continuo ed intervenire tempestivamente, tutti aspetti imprescindibili per una cybersecurity efficace.

Conclusioni e prossimi passi

Come abbiamo visto, l'implementazione dei requisiti NIS2 e DORA in ambienti Cloud Native rappresenta una sfida significativa, soprattutto per le organizzazioni che affrontano per la prima volta a questi aspetti, ma con l'approccio giusto diventa un'opportunità per migliorare sicurezza, resilienza operativa, competenze e cultura organizzativa.

Le organizzazioni che adottano un approccio strutturato, con enfasi su automazione, formazione e miglioramento continuo, saranno in grado non solo di soddisfare i requisiti normativi, ma anche di ottenere vantaggi competitivi in termini di affidabilità, sicurezza e capacità di innovazione.

Per iniziare il percorso di compliance, consigliamo di:

1. Valutare lo stato attuale attraverso un assessment iniziale
2. Definire una roadmap realistica con priorità chiare
3. Implementare controlli fondamentali e procedere incrementalmente, cominciando dai “quick wins”
4. Misurare i progressi e celebrare i successi
5. Adottare un approccio di miglioramento continuo

In SparkFabrik seguiamo con grande attenzione ed interesse l'evoluzione delle normative sulla sicurezza e la loro applicazione in contesti Cloud Native. Il nostro CTO, Paolo Mainardi, guida in prima persona l'impegno dell'azienda sulla sicurezza, agendo come Security Champion e promuovendo la specializzazione interna in supply chain security e DevSecOps. Questo focus si riflette anche nella nostra attiva partecipazione a comunità internazionali, in quanto siamo membri di organizzazioni di riferimento come CNCF, Linux Foundation Europe e OpenSSF.

La nostra esperienza nel settore ci permette di offrire consulenza strategica e supporto nell'implementazione di soluzioni che bilanciano compliance, sicurezza e innovazione. Per supportare le organizzazioni nel loro percorso di compliance, abbiamo anche realizzato il Compendio per NIS2 & DORA, una guida completa e gratuita per aiutarti a navigare tra i requisiti normativi e le sfide degli ambienti Cloud Native.

Per approfondire questi temi o discutere le specifiche esigenze della vostra organizzazione, vi invitiamo a esplorare la nostra offerta di servizi o a contattarci direttamente:

• Supply Chain Security
• Cloud Native Journey
• DevOps & Automation
• Kubernetes Consultancy
• Managed Services
• Cloud Migration

Oppure contattaci direttamente per una consulenza personalizzata sul vostro specifico contesto.