Gli eventi nei sistemi sono registrati e conservati?

La registrazione rientra tra i vari obblighi dell'articolo 21 paragrafo 2

Non esiste una voce separata "logging" nell'articolo 21 paragrafo 2 della direttiva NIS2. La domanda sulla registrazione e la conservazione degli eventi nei sistemi riguarda principalmente il punto b, relativo alla gestione degli incidenti, e il punto d, relativo alla continuità aziendale e alla gestione delle crisi. La registrazione è la documentazione con cui è possibile ricostruire un incidente: chi ha fatto cosa, quando, da quale sistema. Senza log, la procedura di gestione degli incidenti nella pratica è difficile da dimostrare, anche se quella procedura esiste sulla carta.

Ciò che il cliente chiede esattamente varia da lista a lista. Alcuni portali chiedono solo se avviene la registrazione, altri chiedono il periodo di conservazione, quali sistemi vengono registrati, o chi ha accesso ai log. Quest'ultimo aspetto riguarda nuovamente la politica di accesso: se i log possono essere modificati dalle stesse persone che dovrebbero controllarli, è la politica di accesso e la gestione dei beni aziendali rilevante menzionarlo. Se non hai una registrazione centralizzata o nessun periodo di conservazione stabilito, rispondi con "no" o "in parte" — un file Excel separato con messaggi di errore non conta automaticamente come prova, e una risposta inventata "sì" non lo è meno.

Articolo 21 paragrafo 2, in particolare sotto b e d

L'articolo 21 paragrafo 2 della direttiva NIS2 elenca dieci categorie di misure che un'entità deve adottare, basate su un approccio "all-hazards". La registrazione non è letteralmente menzionata come categoria propria, ma nella pratica rientra nel punto b (gestione degli incidenti) e nel punto d (continuità aziendale, come gestione dei backup e gestione delle crisi), perché gli eventi registrati sono necessari per identificare, indagare e giustificare a posteriori un incidente. Il requisito esatto che un cliente vi collega — periodo di conservazione, copertura, controllo di accesso ai log stessi — non è elaborato nella direttiva stessa ma è spesso specificato ulteriormente nella trasposizione nazionale o nel portale del cliente.