Log management e NIS2: cosa cambia per la conformità

Il log management è una componente fondamentale della gestione del rischio informatico. Raccogliere, proteggere e analizzare i log consente a un'organizzazione di comprendere cosa sta accadendo nei propri sistemi, individuare comportamenti anomali, ricostruire gli incidenti e produrre evidenze verificabili sull'applicazione delle misure di sicurezza. Queste capacità sono particolarmente rilevanti per i soggetti ai quali si applica la disciplina NIS2.

In Italia la Direttiva NIS2 è stata recepita dal Decreto legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. Il decreto stabilisce obblighi in materia di governance, gestione dei rischi per la sicurezza informatica e notifica degli incidenti per i soggetti essenziali e importanti compresi nel relativo ambito di applicazione.

Il log management è obbligatorio per la NIS2?

La NIS2 non impone a ogni organizzazione l'acquisto di uno specifico prodotto di log management o di un SIEM. La Direttiva richiede ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi, tenendo conto dell'esposizione dell'organizzazione, delle sue dimensioni, della probabilità degli incidenti e della loro possibile gravità. Tra le aree che devono essere presidiate rientrano:

• analisi dei rischi e politiche di sicurezza;
• gestione degli incidenti;
• continuità operativa, backup e disaster recovery;
• sicurezza della catena di approvvigionamento;
• sicurezza nello sviluppo e nella manutenzione dei sistemi;
• valutazione dell'efficacia delle misure;
• igiene informatica e formazione;
• crittografia;
• sicurezza delle risorse umane;
• controllo degli accessi e gestione degli asset;
• autenticazione a più fattori.

Il log management contribuisce concretamente a molte di queste aree. Senza registrazioni affidabili diventa difficile dimostrare chi ha effettuato un accesso, quando è stata modificata una configurazione, come è iniziato un incidente e quali sistemi sono stati coinvolti. Non rappresenta quindi, da solo, la conformità NIS2, ma costituisce una misura tecnica spesso necessaria per rendere effettive e verificabili diverse prescrizioni della disciplina.

Che cosa si intende per log management?

Per log management si intende l'insieme dei processi e degli strumenti utilizzati per generare gli eventi, raccogliere i log dalle diverse sorgenti, trasferirli in modo sicuro, normalizzarli e classificarli, proteggerli da accessi e modifiche non autorizzati, conservarli per un periodo definito, ricercarli e correlarli, individuare eventi anomali, produrre report ed evidenze ed eliminare i dati al termine del periodo di conservazione.

Un progetto di log management non coincide necessariamente con l'implementazione di un SIEM. Una piccola o media organizzazione può adottare una raccolta centralizzata e controlli mirati senza introdurre immediatamente sistemi complessi di correlazione o un Security Operation Center. La soluzione deve essere proporzionata ai rischi, ai servizi erogati e alle capacità operative dell'organizzazione.

Perché i log sono importanti per la conformità NIS2?

Rilevamento degli incidenti

I log permettono di individuare eventi che possono rappresentare un incidente o un tentativo di compromissione, ad esempio ripetuti tentativi di autenticazione falliti, accessi privilegiati in orari insoliti, collegamenti da sorgenti non riconosciute, creazione di nuovi account amministrativi, modifica anomala dei privilegi, disattivazione dei sistemi di logging, modifiche alle configurazioni critiche e accessi inattesi alle copie di backup. La registrazione degli eventi rende possibile passare da una gestione puramente reattiva a una capacità di rilevamento strutturata.

Ricostruzione della sequenza temporale

In presenza di un incidente è necessario stabilire quando è iniziato, quale account è stato utilizzato, quale sistema è stato compromesso per primo, quali risorse sono state raggiunte, quali configurazioni sono state modificate, quali dati o servizi possono essere stati coinvolti e quando l'incidente è stato contenuto. Per ricostruire una timeline affidabile occorrono log completi, protetti e temporalmente coerenti.

Gestione e notifica degli incidenti

La NIS2 prevede che gli incidenti significativi siano notificati tempestivamente. La Direttiva europea contempla un preallarme entro 24 ore dalla conoscenza dell'incidente e una successiva notifica entro 72 ore, contenente una prima valutazione della gravità, dell'impatto e, quando disponibili, gli indicatori di compromissione. Per rispettare tempi così contenuti, l'organizzazione deve poter accedere rapidamente a informazioni attendibili.

In assenza di una raccolta centralizzata, le prime ore possono essere impiegate semplicemente per individuare le sorgenti, recuperare file locali, verificare che non siano stati sovrascritti, uniformare i formati, correggere differenze di orario e identificare gli account coinvolti. Un sistema di log management riduce questi tempi e migliora la qualità delle informazioni disponibili per la classificazione e la notifica dell'incidente.

Verifica dell'efficacia delle misure

I log consentono di verificare se le misure adottate funzionano realmente. Permettono ad esempio di controllare se l'autenticazione a più fattori viene applicata, se gli accessi remoti avvengono attraverso i canali autorizzati, se gli account disabilitati tentano ancora di autenticarsi, se le policy di accesso vengono rispettate, se i fornitori accedono esclusivamente negli intervalli concordati, se gli amministratori utilizzano account personali e se gli strumenti di sicurezza generano correttamente gli eventi previsti. Questi dati possono essere utilizzati durante audit, verifiche periodiche e riesami della direzione.

Quali log sono rilevanti per la NIS2?

Il perimetro dei log deve essere definito sulla base della valutazione del rischio e dei sistemi che supportano i servizi rilevanti. Tra le sorgenti da considerare possono rientrare diverse categorie.

Log di autenticazione

Login riusciti, tentativi falliti, logout, autenticazioni MFA, accessi remoti, accessi da dispositivi non riconosciuti, blocchi e sblocchi degli account.

Log degli account privilegiati

Accessi amministrativi, elevazioni di privilegio, creazione e cancellazione di account, modifica di ruoli e autorizzazioni, utilizzo di account di emergenza, accessi dei fornitori esterni.

Log di rete

Firewall, VPN, router e switch, proxy, DNS, sistemi di rilevamento e prevenzione delle intrusioni, accessi agli apparati.

Log dei sistemi e delle applicazioni

Sistemi operativi, database, piattaforme cloud, hypervisor, applicazioni critiche, sistemi di posta, sistemi di identità, servizi di directory.

Log degli strumenti di sicurezza

Antivirus, EDR e XDR, antispam, sistemi IDS e IPS, vulnerability scanner, sistemi di protezione degli endpoint, strumenti di gestione delle identità.

Log di backup e configurazione

Esecuzione e fallimento dei backup, accesso alle copie di sicurezza, cancellazione o modifica dei backup, ripristini, modifiche alle configurazioni critiche, arresto o sospensione dei sistemi di registrazione.

Per alcune specifiche categorie di soggetti digitali, il Regolamento di esecuzione UE 2024/2690 fornisce prescrizioni particolarmente dettagliate sul monitoraggio e sulla registrazione. Indica, tra gli eventi da considerare, gli accessi ai sistemi, le autenticazioni, gli accessi privilegiati, le attività degli account amministrativi, le modifiche agli utenti, gli eventi provenienti dagli strumenti di sicurezza e l'attivazione o interruzione dei sistemi di logging. Il Regolamento si applica direttamente alle categorie digitali espressamente individuate dalla Direttiva, tra cui determinati fornitori di servizi cloud, data center, servizi gestiti e servizi di sicurezza gestiti. Per gli altri soggetti NIS costituisce comunque un riferimento tecnico significativo, da utilizzare insieme alle specifiche nazionali e alla propria valutazione del rischio.

Quali caratteristiche devono avere i log per essere utili?

Raccogliere grandi quantità di dati non è sufficiente: i log devono poter essere utilizzati durante un incidente e fornire evidenze attendibili. Cinque caratteristiche sono essenziali.

Completezza

Le sorgenti critiche devono produrre gli eventi necessari. Un inventario dei sistemi da sottoporre a logging permette di individuare i sistemi coperti, gli eventi attivati, le modalità di raccolta, i responsabili, la retention e le eventuali limitazioni tecniche.

Integrità

I log devono essere protetti da cancellazioni e modifiche non autorizzate. È opportuno impedire che la stessa persona che amministra il sistema possa modificare senza controllo anche le registrazioni che documentano i suoi accessi. Le misure possono comprendere il trasferimento verso un repository separato, il controllo degli accessi basato sui ruoli, la registrazione delle attività svolte sulla piattaforma di logging, sistemi append-only, hash crittografici, firme o marche temporali, copie protette e separazione delle responsabilità.

Disponibilità

I log devono rimanere disponibili anche quando il sistema sorgente viene compromesso, cifrato o distrutto. La raccolta centralizzata e la presenza di copie protette riducono il rischio che l'attaccante elimini le principali evidenze dell'incidente.

Sincronizzazione temporale

I sistemi devono utilizzare sorgenti temporali affidabili e coerenti. Un'infrastruttura nella quale server, firewall e applicazioni presentano orari differenti rende difficile correlare gli eventi e ricostruire correttamente la sequenza dell'incidente. Il Regolamento di esecuzione UE 2024/2690 richiede, per i soggetti ai quali si applica, la sincronizzazione delle origini dell'ora, la protezione dei registri, il backup dei log e il monitoraggio della disponibilità dei sistemi di registrazione.

Attribuibilità

Le registrazioni devono consentire di comprendere quale account, sistema o soggetto abbia generato l'evento. Gli account amministrativi condivisi riducono l'efficacia dei log: quando possibile, devono essere adottate utenze nominali e sistemi che permettano di ricondurre ogni accesso a una persona autorizzata.

Per quanto tempo devono essere conservati i log NIS2?

La NIS2 non stabilisce un unico periodo di conservazione valido per ogni tipo di log e per qualsiasi organizzazione. La retention deve essere definita considerando l'analisi dei rischi, i tempi necessari per rilevare un incidente, le esigenze di investigazione, la criticità del servizio, gli obblighi normativi e contrattuali, la capacità di archiviazione, la necessità di dimostrare l'efficacia dei controlli e il principio di minimizzazione dei dati.

Per le categorie alle quali si applica il Regolamento di esecuzione UE 2024/2690, i registri devono essere gestiti e sottoposti a backup per un periodo predefinito, oltre a essere protetti da accessi e modifiche non autorizzati. Quando i log contengono dati personali, la durata deve essere motivata e documentata: non è corretto conservarli indefinitamente sulla base di una generica finalità di sicurezza.

Log degli Amministratori di Sistema e NIS2

I log degli Amministratori di Sistema hanno una particolare rilevanza ai fini della sicurezza informatica. Gli account amministrativi possono modificare configurazioni, creare altri utenti, accedere a database, disabilitare sistemi di sicurezza, cancellare registrazioni, modificare backup, installare software, accedere a grandi quantità di dati e compromettere la continuità di un servizio.

La registrazione degli accessi privilegiati permette quindi di migliorare il controllo degli accessi, la gestione degli account, la rilevazione degli abusi, la supervisione dei fornitori, l'analisi degli incidenti, la produzione delle evidenze e la verifica delle attività amministrative. Il Regolamento di esecuzione UE 2024/2690 indica espressamente, per i soggetti interessati, gli accessi privilegiati e le attività svolte dagli account amministrativi tra gli eventi da registrare.

I log richiesti dal Garante sono sufficienti per la NIS2?

No. I log previsti dal Provvedimento del Garante sugli Amministratori di Sistema riguardano principalmente login, tentativi di accesso, logout, sistemi interessati, riferimenti temporali e sorgente dell'accesso. Queste informazioni sono molto utili ai fini NIS2, ma rappresentano soltanto una parte del possibile perimetro di logging necessario per gestire i rischi informatici.

Una strategia NIS2 può richiedere anche log relativi a traffico di rete, malware, modifiche alle configurazioni, gestione delle vulnerabilità, strumenti di sicurezza, backup, applicazioni critiche, servizi cloud, incident response, attività dei fornitori e creazione e modifica degli account. Il Provvedimento del Garante e la NIS2 devono quindi essere gestiti come due ambiti distinti ma complementari.

Per un quadro completo degli obblighi previsti dal Provvedimento del Garante, leggi Log degli Amministratori di Sistema: cosa impone il Garante Privacy.

PrivacyLog può rendere un'organizzazione conforme alla NIS2?

Nessun singolo software rende automaticamente un'organizzazione conforme alla NIS2. La conformità richiede un insieme coordinato di misure che comprende governance, analisi dei rischi, procedure, formazione, gestione degli incidenti, continuità operativa, sicurezza della supply chain, controllo degli accessi e verifiche periodiche.

PrivacyLog può contribuire a questo percorso occupandosi di uno specifico elemento: la raccolta e la conservazione degli accessi amministrativi. In particolare, può fornire evidenze utili per il controllo degli accessi privilegiati, la ricostruzione degli accessi a server, client e database, l'individuazione di tentativi di autenticazione anomali, la supervisione dei tecnici interni ed esterni, la verifica periodica degli account amministrativi, il supporto alle indagini sugli incidenti e la dimostrazione dell'applicazione di specifiche politiche di accesso.

Per una copertura NIS2 completa possono essere necessari ulteriori strumenti e processi per acquisire e analizzare eventi provenienti da reti, applicazioni, endpoint, sistemi cloud e dispositivi di sicurezza. PrivacyLog non deve quindi essere presentato come un SIEM o come una piattaforma NIS2 completa, ma come una componente specializzata della strategia di logging e controllo degli accessi privilegiati.

Come impostare un progetto di log management per la NIS2

• Definire il perimetro. Individuare sistemi, reti e servizi che supportano le attività rilevanti dell'organizzazione.
• Classificare gli asset. I sistemi vanno classificati in base a criticità, dati trattati e impatto di una loro indisponibilità o compromissione.
• Individuare gli eventi necessari. Per ogni asset devono essere stabiliti gli eventi da generare e conservare.
• Definire ruoli e responsabilità. Individuare i soggetti responsabili della raccolta, revisione, protezione e analisi dei log.
• Centralizzare le registrazioni critiche. I log più importanti dovrebbero essere trasferiti verso un repository separato e protetto.
• Proteggere integrità e disponibilità. Applicare misure contro cancellazioni, alterazioni e accessi non autorizzati.
• Sincronizzare gli orologi. Tutti i sistemi devono utilizzare riferimenti temporali coerenti.
• Stabilire la retention. Il periodo di conservazione va formalizzato in base ai rischi e agli obblighi applicabili.
• Definire alert e modalità di revisione. Stabilire quali eventi richiedono un intervento immediato e quali un riesame periodico.
• Verificare il funzionamento. La presenza dei log va controllata nel tempo: un sistema di logging disattivato o non alimentato fornisce una falsa sensazione di sicurezza.

Log management e protezione dei dati personali

I log possono contenere username, indirizzi IP, identificativi dei dispositivi, dati sulle attività degli utenti, informazioni sugli orari di lavoro e dati relativi a dipendenti e collaboratori. La loro raccolta deve pertanto rispettare anche i principi di protezione dei dati personali. L'organizzazione deve definire finalità, base giuridica, categorie di eventi raccolti, soggetti autorizzati, durata della conservazione, misure di sicurezza, modalità di esercizio dei diritti, eventuali trasferimenti verso paesi terzi e regole per fornitori e subresponsabili.

Quando il logging interessa i lavoratori, devono essere valutate anche le norme applicabili ai controlli a distanza. L'esigenza di sicurezza non giustifica automaticamente la raccolta indiscriminata di qualsiasi attività svolta sui sistemi.

Domande frequenti

La NIS2 richiede obbligatoriamente un SIEM?

No. Richiede misure adeguate e proporzionate. La necessità di un SIEM dipende da rischi, dimensioni, complessità e capacità operative.

Il log management è sufficiente per essere conformi?

No. È una componente della gestione del rischio, ma deve essere integrata con governance, procedure, formazione, continuità operativa e gestione degli incidenti.

Quali sono i log più importanti?

Dipende dal rischio. Gli eventi di autenticazione, gli accessi privilegiati, le modifiche agli account, i log di rete, gli strumenti di sicurezza e le modifiche ai sistemi critici costituiscono normalmente un punto di partenza.

Per quanto tempo devono essere conservati?

Non esiste una durata NIS2 unica per ogni organizzazione. Il periodo deve essere definito e motivato sulla base dei rischi, delle esigenze di indagine e degli altri obblighi normativi.

I log degli Amministratori di Sistema sono utili per la NIS2?

Sì. Permettono di controllare gli accessi privilegiati e di ricostruire una parte importante degli eventi. Non sostituiscono però il logging delle altre sorgenti di sicurezza.

È necessario registrare ogni attività dei dipendenti?

No. Il logging deve essere pertinente e proporzionato alle finalità di sicurezza. Il monitoraggio indiscriminato può creare problemi di protezione dei dati e di diritto del lavoro.

Conclusioni

Il log management offre un contributo concreto alla conformità NIS2 perché consente di conoscere gli eventi che si verificano sui sistemi, individuare tempestivamente comportamenti anomali, controllare gli accessi privilegiati, ricostruire gli incidenti, accelerare la classificazione e la notifica, verificare l'efficacia delle misure e produrre evidenze durante audit e controlli.

Una gestione efficace dei log deve essere basata sul rischio, documentata e proporzionata. Deve inoltre garantire completezza, protezione, disponibilità, coerenza temporale e periodi di conservazione definiti. La registrazione degli accessi degli Amministratori di Sistema rappresenta un elemento importante di questo percorso, ma deve essere integrata in una strategia più ampia di gestione degli eventi e degli incidenti informatici.

Riferimenti ufficiali

• Direttiva UE 2022/2555, articoli 20, 21 e 23.
• Decreto legislativo 4 settembre 2024, n. 138.
• Regolamento di esecuzione UE 2024/2690, sezione relativa al monitoraggio e alla registrazione.

Il presente contenuto ha finalità informativa e non sostituisce una valutazione legale o tecnica riferita allo specifico soggetto e al relativo perimetro NIS2.