Cloud Hosting e NIS2: criteri enterprise per scegliere un’infrastruttura sicura e resiliente

Per un’organizzazione strutturata, il Cloud Hosting non è soltanto la piattaforma su cui eseguire applicazioni e servizi: è una dipendenza operativa che può incidere su continuità, sicurezza dei dati, reputazione e capacità di rispondere agli incidenti.

La Direttiva NIS2, recepita in Italia dal Decreto Legislativo 4 settembre 2024, n. 138 ed entrata in vigore il 16 ottobre 2024, richiede ai soggetti interessati l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi informatici.

La scelta dell’infrastruttura e del provider diventa quindi una decisione di governance. Oltre a prestazioni e prezzo, direzione, IT, security e procurement devono valutare architettura, supply chain, responsabilità, SLA, evidenze, continuità e condizioni di uscita.

Che cos’è la Direttiva NIS2

La NIS2 innalza il livello comune di cybersicurezza nell’Unione europea, amplia i settori coinvolti e rafforza governance, gestione del rischio e risposta agli incidenti. L’approccio è multirischio e considera anche ambiente fisico, fornitori e servizi esterni.

Tra gli ambiti principali previsti dal quadro normativo rientrano:

• Analisi e gestione dei rischi informatici
• Gestione e notifica degli incidenti di sicurezza
• Continuità operativa, backup e ripristino dei servizi
• Sicurezza della catena di approvvigionamento
• Gestione delle vulnerabilità
• Controllo degli accessi e protezione delle comunicazioni
• Utilizzo della crittografia
• Formazione e sensibilizzazione del personale
• Valutazione dell’efficacia delle misure adottate
• Responsabilità degli organi di amministrazione e direzione

Il quadro normativo NIS2 richiede quindi un processo continuativo e verificabile. Acquistare singole tecnologie non basta: servono responsabilità definite, misure proporzionate, procedure documentate e controlli capaci di evolvere insieme a sistemi e minacce.

Perché il Cloud Hosting è una decisione di business

Siti, applicazioni, database, piattaforme e servizi essenziali dipendono sempre più da infrastrutture cloud e fornitori esterni. In questo contesto, per Cloud Hosting si intende l’insieme delle risorse infrastrutturali, dei servizi gestiti e dei controlli operativi utilizzati per erogare applicazioni e servizi aziendali, non il semplice spazio web associato a un sito.

Un’interruzione o una compromissione può causare perdita di ricavi, blocco operativo, violazioni contrattuali e danni reputazionali. Per i soggetti NIS2, la capacità di prevenire, rilevare e gestire questi eventi entra anche nel perimetro degli obblighi organizzativi.

La sicurezza della supply chain impone di conoscere non soltanto le misure interne, ma anche dipendenze, subfornitori e capacità operative dei partner tecnologici.

La selezione del provider non dovrebbe quindi fermarsi a CPU, spazio e prezzo. Deve includere data center, architettura, identità, patch, monitoraggio, backup, incident response, SLA, portabilità e modello di responsabilità condivisa.

Vanno quindi aggiunti tra i criteri di valutazione:

• Gestione dei subfornitori;
• Notifica delle variazioni rilevanti nella catena di fornitura
• Impegni contrattuali in materia di sicurezza
• Disponibilità di evidenze e possibilità di effettuare audit

Otto aree da valutare prima di scegliere

1. Data center e resilienza fisica

La protezione dell’infrastruttura inizia dal data center. È opportuno verificare la presenza di sistemi di controllo degli accessi, videosorveglianza, alimentazione elettrica ridondata, connettività multipla e sistemi antincendio.

La ridondanza degli impianti e delle componenti consente di ridurre i punti singoli di guasto e contribuisce alla disponibilità dei servizi anche in presenza di anomalie o interruzioni.

2. Protezione della rete, dei sistemi e degli accessi

Un’infrastruttura orientata alla sicurezza deve prevedere sistemi di protezione perimetrale, segmentazione delle reti, monitoraggio del traffico e strumenti per il rilevamento delle attività anomale.

È inoltre importante verificare come vengono gestiti:

• Autenticazione multifattore (MFA) per gli accessi amministrativi
• Applicazione del principio del minimo privilegio
• Revisione periodica delle autorizzazioni
• Gestione degli account privilegiati
• Aggiornamenti e patch di sicurezza
• Vulnerabilità note
• Protezione dagli attacchi DDoS
• Firewall e controllo del traffico
• Accessi amministrativi
• Autenticazione e autorizzazioni
• Registrazione e conservazione dei log

3. Backup e capacità di ripristino

Il backup rappresenta uno degli elementi fondamentali per la continuità operativa. Le copie dei dati devono essere protette, controllate e, quando previsto dal progetto, conservate separatamente dall’ambiente principale.

Non basta però disporre di un backup: è necessario assicurarsi che i dati siano effettivamente recuperabili. Per questo è importante prevedere verifiche periodiche e test delle procedure di ripristino.

In fase di progettazione devono essere definiti anche:

• Il Recovery Point Objective, cioè la quantità massima di dati che si può accettare di perdere
• Il Recovery Time Objective, cioè il tempo massimo previsto per il ripristino del servizio

4. Continuità operativa e Disaster Recovery

Il quadro NIS2 richiede alle organizzazioni di prepararsi a gestire eventi capaci di compromettere la disponibilità dei sistemi.

Un’infrastruttura cloud adeguatamente progettata può prevedere ridondanza delle risorse, replica dei dati e soluzioni di Disaster Recovery. La configurazione deve però essere definita in funzione della criticità dei servizi e degli obiettivi di continuità dell’organizzazione.

Occorre inoltre verificare la disponibilità di procedure documentate per la gestione delle emergenze e per il ripristino dell’operatività.

5. Monitoraggio e gestione degli incidenti

Il rilevamento tempestivo degli incidenti è indispensabile per limitarne gli effetti e rispettare gli obblighi di comunicazione previsti dalla normativa.

Il Decreto Legislativo n. 138/2024 prevede, per gli incidenti significativi, comunicazioni articolate in più fasi: una pre-notifica senza ingiustificato ritardo e, comunque, entro 24 ore, e una notifica dell’incidente entro 72 ore dal momento in cui il soggetto è venuto a conoscenza dell’incidente significativo. Il rispetto di queste tempistiche richiede procedure interne adeguate, processi di escalation definiti e una collaborazione tempestiva da parte del provider.

È quindi importante verificare che il servizio preveda la disponibilità di log e informazioni pertinenti, oltre a canali di escalation utili all’analisi, al contenimento e agli eventuali obblighi di comunicazione dell’organizzazione.

6. Certificazioni, audit ed evidenze

Le certificazioni non determinano automaticamente la conformità alla NIS2, ma possono offrire evidenze utili sulla maturità dei sistemi di gestione adottati dal provider.

Standard come ISO/IEC 27001, 27017, 27018, ISO 22301 e ISO/IEC 20000-1 aiutano a valutare sicurezza delle informazioni, servizi cloud, privacy, continuità operativa e gestione dei servizi IT nei rispettivi campi di applicazione.

È essenziale verificare che il campo di applicazione delle certificazioni sia coerente con infrastruttura, data center e servizi effettivamente acquistati.

7. Localizzazione, accesso e portabilità dei dati

Occorre conoscere dove risiedono dati e copie, quali soggetti possono accedervi, quali fornitori sono coinvolti e come vengono protette le informazioni durante l’intero ciclo di vita.

La localizzazione in Italia o nell’Unione europea può semplificare alcune valutazioni normative e contrattuali, ma deve essere accompagnata da misure tecniche, organizzative e contrattuali adeguate.

8. SLA, assistenza e responsabilità contrattuali

Il contratto deve descrivere chiaramente:

• Livelli di servizio garantiti
• Disponibilità dell’infrastruttura
• Tempi di presa in carico
• Modalità di escalation
• Responsabilità delle parti
• Gestione degli incidenti
• Restituzione o cancellazione dei dati
• Condizioni di uscita dal servizio
• Eventuali fornitori coinvolti nell’erogazione

Uno SLA utile non è soltanto un numero sulla disponibilità: chiarisce perimetro, tempi, escalation, evidenze, limiti e responsabilità che rimangono al cliente.

Cloud gestito o non gestito: la scelta delle responsabilità

Il modello di gestione determina quali attività vengono presidiate dal provider e quali richiedono competenze, procedure e disponibilità del team interno.

In un cloud non gestito, il provider eroga normalmente infrastruttura e rete, mentre sistema operativo, configurazioni, patch, applicazioni, accessi e backup possono restare sotto la responsabilità del cliente.

Con un servizio Cloud Gestito, attività come monitoraggio, aggiornamenti, backup, firewall e assistenza possono essere affidate a personale specializzato, secondo un perimetro contrattuale definito.

La scelta deve partire dalla criticità dei workload, dalla copertura richiesta e dalle competenze disponibili. In entrambi i modelli, la ripartizione delle responsabilità deve essere chiara e riesaminata nel tempo.

Un’infrastruttura sicura rende automaticamente conformi alla NIS2?

No. Nessun Cloud Hosting o provider rende automaticamente conforme l’intera organizzazione.

La conformità dipende da governance, analisi del rischio, persone, processi, applicazioni, accessi, continuità operativa e capacità di gestire gli incidenti.

Un’infrastruttura affidabile e un provider qualificato possono però supportare specifiche misure del percorso di adeguamento, purché servizi e responsabilità siano configurati e governati correttamente.

L’approccio Netsons al Cloud enterprise

Netsons mette a disposizione infrastrutture cloud e servizi gestiti, sostenuti da un ecosistema di data center italiani che comprende DATA4 e CDLAN, per aziende che richiedono sicurezza, affidabilità, scalabilità e un confronto progettuale con competenze specialistiche.

Il percorso può integrare, in funzione del progetto:

• Infrastrutture ospitate in data center italiani
• Protezione e monitoraggio dei sistemi
• Soluzioni di backup e Disaster Recovery
• Servizi cloud gestiti
• Supporto tecnico specializzato
• Processi strutturati per la gestione della sicurezza e della continuità operativa
• Sistemi di gestione certificati secondo standard internazionali in ambito qualità, ambiente, sicurezza delle informazioni, cloud, privacy, continuità operativa, servizi IT e intelligenza artificiale, nei rispettivi campi di applicazione

Ogni iniziativa può essere analizzata a partire da workload, dati, dipendenze, criticità, RPO, RTO e competenze interne, così da individuare architettura, livello di gestione e servizi coerenti con il rischio.

L’obiettivo non è proporre una configurazione standard, ma costruire un’architettura coerente con il livello di rischio, le responsabilità organizzative e gli obiettivi di continuità operativa del cliente.

Conclusioni

La NIS2 non è soltanto un adempimento: porta sicurezza, continuità e supply chain all’interno delle decisioni di direzione.

Scegliere il Cloud Hosting significa valutare insieme infrastruttura, processi, persone e contratto. Significa inoltre conoscere responsabilità, evidenze disponibili e comportamento del servizio durante un incidente o una fase di uscita.

Netsons può affiancare aziende e organizzazioni nell’analisi dei requisiti infrastrutturali e nella progettazione di soluzioni orientate a sicurezza, continuità operativa e protezione dei dati.

Riferimenti normativi principali

• Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022
• Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale ed entrato in vigore il 16 ottobre 2024