Sicurezza fisica e ambientale

Perché la sicurezza fisica è parte della NIS2

L’art. 24 chiede misure basate su un approccio multirischio. Oltre agli attacchi informatici vanno considerati eventi fisici e ambientali: furti, incendi, allagamenti, interruzioni di corrente, accessi non autorizzati. Tra le misure elencate c’è in modo esplicito la sicurezza fisica e ambientale dei sistemi e dei locali che li ospitano.

Un server ben configurato in una stanza senza serratura, sotto un tubo dell’acqua, con un UPS mai testato, è un rischio concreto. Spesso è anche il più semplice da ridurre.

C’è poi un tema di coerenza. Le misure fisiche, gli accessi ai locali e la continuità dell’alimentazione sono parte delle misure di base da documentare: se mancano le prove dei controlli, la misura è difficile da dimostrare anche quando esiste.

Cosa guardiamo nel sopralluogo

Il sopralluogo segue un percorso per aree, dall’esterno verso i locali più protetti. Per ogni area annotiamo cosa c’è, cosa manca e quali prove esistono che i controlli vengano fatti.

• Perimetro e ingressi: recinzioni, cancelli, portineria, ingressi secondari e uscite di emergenza, illuminazione esterna, zone di carico e scarico.
• Controllo degli accessi: badge, chiavi e codici; chi li assegna e chi li ritira quando una persona lascia l’azienda; registro di visitatori, manutentori e corrieri; accompagnamento nelle aree riservate.
• Locali tecnici: sale server, armadi di rete, quadri elettrici. Chiusura, chi ha le chiavi, condizionamento, pulizia, materiali estranei depositati, ordine dei cablaggi.
• Videosorveglianza e allarmi: copertura dei punti sensibili, chi riceve gli allarmi, conservazione delle immagini, coordinamento con le regole privacy e con quelle sul lavoro.
• Alimentazione: UPS e gruppi elettrogeni dove presenti, autonomia reale rispetto ai sistemi da tenere accesi, manutenzione, data dell’ultima prova.
• Incendio e allagamento: rilevazione, spegnimento compatibile con le apparecchiature, posizione dei locali rispetto a tubazioni, piani interrati e coperture.
• Postazioni e uffici: schermi visibili dall’esterno, documenti sulle scrivanie, stampanti condivise, dispositivi rimovibili, smaltimento di supporti e apparati dismessi.
• Sedi secondarie: magazzini, filiali, armadi di rete in locali condivisi o in affitto, spesso meno protetti della sede principale.

Come lavoriamo

1. 01
   Sopralluogo

   Visitiamo le sedi rilevanti con chi le gestisce: facility, IT, responsabile della sicurezza. Fotografiamo e annotiamo ciò che vediamo.

2. 02
   Analisi dei rischi

   Inseriamo i rischi fisici e ambientali nella stessa analisi dei rischi della cybersicurezza, con la stessa scala e gli stessi criteri.

3. 03
   Misure e priorità

   Proponiamo interventi proporzionati: alcuni organizzativi (registri, chiavi, procedure), altri da affidare a installatori e manutentori.

4. 04
   Procedure ed evidenze

   Scriviamo le regole di accesso e manutenzione e definiamo quali prove conservare: registri, verbali di prova degli UPS, controlli periodici.

5. 05
   Collegamento con la continuità

   Gli scenari fisici entrano nei playbook di incidente e nei piani di continuità operativa e disaster recovery.

Il sopralluogo si fa negli orari normali di lavoro, per vedere le sedi come sono davvero: porte lasciate aperte, visitatori in attesa, manutentori al lavoro. Quando serve, una parte si ripete fuori orario per verificare chiusure e allarmi.

Cosa ricevi

• Il rapporto di sopralluogo per ogni sede, con osservazioni e fotografie.
• I rischi fisici e ambientali integrati nel registro dei rischi aziendale.
• Un piano di interventi con priorità e referenti.
• Le procedure per accessi, locali tecnici, visitatori e manutentori.
• Un calendario di controlli periodici con le evidenze da conservare.

Il rapporto distingue gli interventi organizzativi, che si possono fare subito e a costo contenuto, da quelli impiantistici, che richiedono budget e tempi di realizzazione. Il vertice vede le due liste separate e decide con più facilità.

Chi coinvolgiamo in azienda

• Ufficio tecnico o facility: conosce impianti, contratti di manutenzione e storia delle sedi.
• IT: sa quali sistemi stanno dove e cosa deve restare acceso.
• Chi si occupa di sicurezza sul lavoro: per coordinare le misure con quelle già esistenti.
• Risorse umane: badge, ingressi e uscite del personale.
• DPO o referente privacy: videosorveglianza e registri dei visitatori.
• Direzione: decide sugli interventi che richiedono investimenti.

Gli errori più comuni

• Proteggere con cura la sala server e lasciare aperto l’armadio di rete del piano.
• Avere un UPS mai provato, o con batterie a fine vita.
• Badge e chiavi che restano a ex dipendenti e vecchi fornitori.
• Manutentori che entrano nei locali tecnici senza registrazione né accompagnamento.
• Supporti di backup conservati nella stessa stanza dei sistemi che dovrebbero proteggere.
• Valutare il rischio fisico a parte, con criteri diversi da quelli usati per il rischio informatico.

Sono problemi che si notano solo camminando per le sedi. Per questo il sopralluogo non si sostituisce con un questionario.

Per chi è

Lavoriamo con il personale che gestisce le sedi ogni giorno. Spesso conosce già i punti deboli, ma non ha avuto un canale per farli arrivare al vertice.

Per i soggetti NIS2 con sedi operative, stabilimenti, magazzini o locali tecnici propri, e per chi ha sistemi in più sedi con livelli di protezione diversi. Utile anche ai fornitori che ospitano sistemi o dati dei loro clienti.

Domande frequenti