Il Real Decreto 311/2022, del 3 maggio, regola l’Esquema Nacional de Seguridad (ENS), il quadro spagnolo che stabilisce la politica di sicurezza nell’uso dei mezzi elettronici da parte del settore pubblico, e ha fissato un termine di ventiquattro mesi affinché i sistemi già esistenti raggiungessero la piena conformità. Quel termine è scaduto a maggio 2024. La conformità all’ENS ha smesso di essere un orizzonte ed è diventata uno stato esigibile, verificabile tramite audit per i sistemi di categoria media e alta.
All’interno di questo quadro, la cybersecurity awareness e la formazione del personale non sono un elemento accessorio. L’ENS le annovera come misure di sicurezza con nome e numero propri, e le tratta come qualsiasi controllo tecnico: vanno applicate e vanno dimostrate.
Questo articolo non spiega cos’è l’amministrazione digitale né come si implementa l’ENS dall’inizio alla fine. Dà per acquisito quel terreno. Si concentra su un ambito più circoscritto, ovvero cosa richiede l’Esquema Nacional de Seguridad in materia di cybersecurity awareness e formazione del personale, come tale requisito cresce con la categoria del sistema, e quali evidenze un ente deve poter mettere sul tavolo quando l’auditor inizia a fare domande.
Chi è tenuto a rispettare l’Esquema Nacional de Seguridad?
L’Esquema Nacional de Seguridad è il quadro che stabilisce la politica di sicurezza nell’uso dei mezzi elettronici delle entità del settore pubblico spagnolo. Vincola tutta l’amministrazione, statale, autonomica o locale, e gli organismi ed enti di diritto pubblico ad essa collegati o da essa dipendenti.
Il confine rilevante per il settore privato è nella catena di fornitura. Il Real Decreto 311/2022 estende il proprio ambito alle entità private quando forniscono servizi o soluzioni a enti pubblici per l’esercizio delle loro competenze. In pratica, quel requisito entra attraverso i capitolati di gara: un fornitore tecnologico che voglia lavorare con un’amministrazione deve dimostrare la conformità all’ENS per la parte dei propri sistemi che sostiene quel servizio. L’obbligo smette di essere una questione del solo settore pubblico e raggiunge il suo ecosistema di fornitori.
Cosa richiede l’ENS in materia di cybersecurity awareness e formazione?
L’ENS distingue due misure all’interno del gruppo di gestione del personale dell’Allegato II. La misura mp.per.3, «Concienciación», impone di mantenere il personale attento al proprio ruolo nella sicurezza delle informazioni tramite promemoria periodici e azioni di cybersecurity awareness. La misura mp.per.4, «Formación», impone di garantire la formazione regolare di tutto il personale nelle materie necessarie a svolgere la propria funzione in modo sicuro, in misura proporzionata a tale funzione.
La distinzione non è cosmetica. La cybersecurity awareness mantiene l’attenzione sui rischi nel quotidiano; la formazione fornisce a ciascuno la conoscenza concreta che il proprio ruolo richiede. L’ENS chiede entrambe le cose, e le chiede in modo continuo, non come un atto unico al momento dell’inserimento.
Il decreto stesso rafforza questa linea a partire dalla sua prima disposizione aggiuntiva, che affida al Centro Criptológico Nacional (CCN) e all’Instituto Nacional de Administración Pública (INAP) lo sviluppo di programmi di cybersecurity awareness e formazione rivolti al personale del settore pubblico. La norma non si limita a richiedere l’attività: riconosce che sostenerla richiede un programma alle spalle.
I requisiti crescono con la categoria del sistema
L’ENS non applica un metro unico. Classifica ogni sistema in una di tre categorie di sicurezza, base, media o alta, in funzione dell’impatto che un incidente avrebbe sulle dimensioni di riservatezza, integrità, tracciabilità, autenticità e disponibilità. Più alta è la categoria, più stringenti sono le misure e, con esse, la profondità attesa del programma di cybersecurity awareness e formazione.
| Categoria | Come si accerta la conformità | Requisito sul personale |
|---|---|---|
| Base | Autovalutazione e dichiarazione di conformità | Consapevolezza e formazione proporzionate alla funzione |
| Media | Audit di certificazione | Maggiore formalizzazione e tracciabilità del programma |
| Alta | Audit di certificazione | Programma rafforzato, rivisto ed evidenziato in profondità |
La differenza operativa più importante sta in come si verifica. I sistemi di categoria media o alta necessitano di un audit per certificare la conformità; per la categoria base è sufficiente un’autovalutazione con dichiarazione di conformità. Per chi gestisce un sistema di categoria media o alta, questo significa che la cybersecurity awareness dovrà reggere lo sguardo di un terzo che chiede prove, non solo la buona volontà interna.
La distanza tra la politica dichiarata e il comportamento effettivo
Il punto in cui la maggior parte dei programmi si spezza non è la mancanza di attività, ma la distanza tra ciò che la politica dichiara e ciò che il personale fa. Un ente può avere una politica di sicurezza approvata e impeccabile, un corso annuale e un foglio firme, e comunque non poter dimostrare che quella formazione abbia cambiato qualcosa nella condotta quotidiana.
È lì che un audit dell’ENS incontra la criticità. L’auditor non valuta le buone intenzioni, bensì mette a confronto la conoscenza dichiarata con il comportamento effettivo. Un programma che accredita solo la presenza risponde alla domanda sbagliata. La domanda che conta è se il personale riconosce un tentativo di phishing quando lo ha davanti, se sa a chi segnalare un incidente e se quella reazione migliora nel tempo. È il terreno che l’ENS condivide con altri quadri, come abbiamo analizzato scomponendo il controllo 6.3 della ISO 27001:2022 e i requisiti di cybersecurity awareness della Direttiva NIS2.
Come si dimostra la conformità in un audit dell’ENS?
Per le misure mp.per.3 e mp.per.4, l’evidenza che sostiene la conformità si appoggia di solito su questi elementi:
- Registro di chi ha ricevuto cybersecurity awareness e formazione, quando e su cosa, con copertura dell’intero organico.
- Contenuti collegati alle politiche dell’ente e ai rischi reali di ciascuna funzione, non un programma generico.
- Periodicità definita e sostenuta, con promemoria e azioni di cybersecurity awareness nell’arco dell’anno.
- Prove di comprensione e di comportamento, come valutazioni o risultati di simulazioni, che vadano oltre la presenza.
- Tracciabilità proporzionata alla categoria del sistema, più esigente in media e alta.
Il punto fragile è quasi sempre lo stesso: l’ente ha l’attività, ma non ha la traccia ordinata il giorno in cui l’auditor la chiede. Progettare il programma pensando fin dall’inizio a quale dato resterà registrato è ciò che separa l’essere conformi dal poterlo dimostrare.
SMARTFENSE, come piattaforma di cybersecurity awareness con presenza in Spagna e America Latina, è costruita attorno a questa idea. Ogni azione di cybersecurity awareness, ogni contenuto erogato, ogni simulazione di phishing e ogni valutazione resta registrata e disponibile come prova, così che il team responsabile non debba ricostruire la traccia a mano prima di un audit dell’ENS. Puoi vedere come si articola nella piattaforma di cybersecurity awareness di SMARTFENSE.
Il termine di adeguamento è scaduto, e con esso è finito il margine per trattare la cybersecurity awareness come comunicazione interna. L’ENS l’ha fissata come misura di sicurezza con evidenza associata, e la scala di quella evidenza cresce con la categoria del sistema. Ciò che decide un audit non è quante ore di formazione sono state erogate, ma quale traccia l’ente può mostrare del fatto che il proprio personale agisce in modo diverso.
Lascia un commento