Conformità NIS2 o fortuna: il tuo AS400 è al sicuro?
- 1 giorno fa
- Tempo di lettura: 3 min
Aggiornamento: 10 ore fa
La conoscenza che vive in una testa sola non è un asset. Un rischio.
Hai le policy. Hai il registro delle modifiche. Hai il bollino di conformità NIS2 appeso in bacheca. Sulla carta, sei in regola. Ma c'è una domanda che dovresti farti prima di chiudere il laptop stasera, e riguarda quella bomba a orologeria che nessuno in azienda vuole toccare: il sistema IBM i (AS/400) che nessuno padroneggia più completamente.
La prova del nove
Immagina che domani mattina uno sviluppatore modifichi un programma RPG. Riesci a dire, adesso, prima che accada:
Quali flussi si interromperebbero?
Quali applicazioni web smetterebbero di dialogare con il DB2?
Quale webservice andrebbe in tilt perché si appoggiava a quelle credenziali ODBC ferme dal 2016?
Se per rispondere devi convocare "quello che c'era una volta" o sfogliare una documentazione aggiornata l'ultima volta durante il passaggio all'euro, allora non hai un controllo. Hai una speranza. E la speranza non è un framework di sicurezza.
Il change management come teatro
Questo è il punto che fa male. Buona parte delle procedure di change management sull'IBM i è, di fatto, una recita. La platea è soddisfatta, l'auditor firma, le luci si spengono. Poi resta la verità: nessuno sa davvero cosa tiene in piedi quel sistema.
La conoscenza vive nella testa di due persone. Una è già in pensione. L'altra ha un piede fuori dalla porta. È una configurazione che ha funzionato per vent'anni per pura inerzia, ma che con la NIS2 diventa insostenibile.
Cosa chiede davvero la NIS2
La direttiva non si accontenta della recita.
L'art. 21 impone di governare e tracciare le modifiche che incidono sulla sicurezza. Ma non puoi governare ciò che non conosci, e non puoi tracciare l'impatto di una modifica se ignori cosa quella modifica va a toccare. Senza una mappa reale delle dipendenze, la tracciabilità è solo una casella spuntata.
E qui arriva il colpo che quasi nessuno mette in conto: la NIS2 ti chiama in causa anche per le modifiche che NON fai.
Credenziali di servizio mai ruotate. Connettori legacy mai aggiornati. Sistemi lasciati intoccati perché "se li tocchiamo non sappiamo cosa succede". Quel "non sappiamo cosa succede" non è prudenza operativa: in sede di vigilanza suona esattamente per ciò che è, ovvero la confessione di una carenza di sicurezza.
E adesso la parte che riguarda te, personalmente
Con la NIS2 la responsabilità esce dal recinto dell'IT. L'art. 20 coinvolge direttamente gli organi di gestione, chiamati ad approvare e vigilare sulle misure di sicurezza. Per il CISO e per chi guida l'azienda questo si traduce in tre rischi molto concreti:
Sanzioni pesanti. Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali. Non è un'ipotesi teorica: è la cifra che l'autorità può effettivamente comminare.
Responsabilità personale dei vertici. L'autorità competente può ritenere gli organi direttivi responsabili della violazione degli obblighi e, nei casi più gravi, sospenderne temporaneamente le funzioni dirigenziali. Il "non lo sapevo" ha smesso di essere una difesa: la formazione e la vigilanza sono un obbligo esplicito.
L'impossibilità di dimostrare la diligenza. Se dopo un incidente non riesci a produrre l'impact analysis, il grafo delle dipendenze e la tracciabilità delle modifiche, non hai modo di provare di aver agito con diligenza. E in sede ispettiva l'onere della prova è tuo.
Tradotto senza giri di parole: se il controllo sul tuo IBM i vive nella testa di una persona sola, quella persona non è un rischio operativo. È il tuo rischio personale.
Smetti di indovinare con X-Analysis
È esattamente qui che uno strumento di analisi del codice cambia le regole del gioco.
X-Analysis ti restituisce la conoscenza che oggi è dispersa o dimenticata:
Analisi statica del codice, per capire cosa fa davvero ogni programma RPG, COBOL o CL.
Grafo automatico delle dipendenze, che mostra chi chiama cosa e cosa succede se lo tocchi.
Impact analysis reale prima di ogni riga modificata, così sai in anticipo cosa crolla e cosa regge.
La mappa autentica di come il tuo mondo web dialoga con il legacy, DB2 e connettori compresi.
Non la documentazione che pensavi di avere. Quella che hai davvero.
Chiamarlo semplicemente "compliance" è riduttivo. È la differenza tra sapere cosa accade quando premi il pulsante e chiudere gli occhi sperando che il sistema regga un altro giorno.
Ultima domanda, zero retorica:
Il controllo sul tuo IBM i è un processo documentato e verificabile, o ti affidi ancora alla memoria di chi sta per andare in pensione?
Se vuoi la risposta scritta nera su bianco, e opponibile a un auditor, parliamone.
SCOPRI COME POSSIAMO AIUTARTI
NIS2 | Cybersecurity | IBM i | AS400 | Compliance | ChangeManagement
Commenti