Cosa fa#
La gap analysis e' un processo sistematico che confronta lo stato attuale dei controlli di sicurezza di un'organizzazione con uno stato target (un framework, uno standard normativo, una certificazione). L'output e' una lista di gap, ciascuno con priorita' e piano di remediation.
TL;DR#
Non puoi migliorare quello che non misuri. Prima di adottare NIST CSF, ISO 27001 o prepararsi a una certificazione PCI DSS, bisogna sapere da dove si parte. La gap analysis e' il delta tra "dove sei" e "dove devi arrivare".
- Definisci il target: quale framework, standard o requisito normativo deve essere soddisfatto
- Documenta il baseline: stato attuale dei controlli in produzione
- Misura il delta: per ogni requisito, il controllo attuale e' presente? E' efficace?
- Prioritizza i gap: impatto business + facilita' di remediation
- Produci il remediation plan: task concreti con owner, deadline, effort
- Ri-valuta dopo la remediation per chiudere il ciclo
Mappa globale — Gap Analysis#
Come funziona#
La gap analysis segue un ciclo strutturato. Il punto critico e' che non e' un esercizio una-tantum: i framework evolvono, i sistemi cambiano, i requisiti normativi si aggiornano. Deve essere un processo ricorrente.
graph TD
A["Define Target
Framework o Standard scelto"] --> B["Document Baseline
Inventario controlli attuali"]
B --> C["Measure Delta
Per ogni requisito: presente? efficace?"]
C --> D{"Gap
trovato?"}
D -->|"Si"| E["Prioritize Gap
Impatto x Facilita' remediation"]
D -->|"No"| F["Requisito soddisfatto
Documenta evidenza"]
E --> G["Remediation Plan
Owner + Deadline + Effort"]
G --> H["Execute
Implementa i controlli"]
H --> I["Re-assess
Verifica efficacia"]
I --> C
style A fill:#2d4a6f,color:#fff
style D fill:#4a3a0a,color:#fff
style E fill:#4a1a1a,color:#fff
style F fill:#1a3a2a,color:#fff
style I fill:#2d4a6f,color:#fff
NIST CSF Gap Analysis#
Il NIST Cybersecurity Framework e' il framework piu' usato per la gap analysis in ambito enterprise. Mappa ogni funzione su una maturity scale (Tier 1-4). Un gap e' qualsiasi funzione al di sotto del Tier target.
La gap analysis NIST CSF funziona cosi':
- Sceglie il Target Profile: quale Tier vuole raggiungere l'organizzazione per ogni funzione
- Valuta il Current Profile: dove si trova attualmente su ogni categoria
- I gap = differenza tra Current Profile e Target Profile
- Prioritizza in base a Business Impact Analysis: quali gap, se non corretti, hanno impatto operativo o normativo maggiore
Il Tier non misura la maturita' tecnica ma la misura in cui le pratiche di cybersecurity sono integrate nei processi di rischio aziendali. Un Tier 4 non significa "piu' sicuro" in assoluto, significa che il rischio cyber e' gestito come rischio di business con visibilita' executive.
Baseline vs Target#
Questi due termini sono fondamentali e spesso usati in modo intercambiabile in modo errato.
La baseline e' lo stato attuale documentato e verificato. Non e' "quello che pensiamo di avere" ma quello che e' stato verificato (tramite interviste, review di documentazione, vulnerability scan, test di configurazione).
Il target e' lo stato che si deve raggiungere, definito dal framework scelto, dal contratto con il cliente o dal requisito normativo.
Un gap e' la distanza tra baseline e target su un requisito specifico.
Dev parallel: E' identico a un audit di technical debt. Mappi cosa hai (dipendenze legacy, test coverage al 30%, zero documentazione API) contro il standard che vuoi raggiungere (test coverage 80%, API documentate con OpenAPI, dipendenze aggiornate). Ogni riga e' un gap con priorita' e effort stimato. La gap analysis di sicurezza e' lo stesso processo applicato ai controlli invece che al codice.
Business Impact Analysis (BIA)#
La BIA e' spesso abbinata alla gap analysis perche' fornisce il criterio di prioritizzazione: non tutti i gap hanno lo stesso peso.
Un gap nel controllo degli accessi privilegiati (PAM) e' piu' critico di un gap nella documentazione di un processo secondario. La BIA assegna a ogni gap il suo impatto finanziario e operativo se il gap non viene corretto.
Metriche chiave della BIA:
- RTO (Recovery Time Objective): quanto velocemente devo ripristinare?
- RPO (Recovery Point Objective): quanti dati posso permettermi di perdere?
- MTTR (Mean Time to Recover): tempo medio di recovery storico
- Impatto finanziario per ora di downtime
Strumenti operativi#
Una gap analysis si esegue con una combinazione di strumenti:
- Questionari di assessment strutturati (basati sul framework target)
- Interviste con owner dei controlli (IT, HR, Legal, Operations)
- Review di documentazione esistente (policy, procedure, log)
- Vulnerability scan per evidenza tecnica dello stato dei controlli
- Configuration review (CIS Benchmarks per hardening)
- Penetration test (per validare che i controlli funzionino davvero)
Una gap analysis basata solo su interviste e documentazione e' una gap analysis di percepito, non di reale. I vulnerability scan e i configuration review portano evidenza tecnica oggettiva che integra (e spesso corregge) quanto dichiarato nelle interviste.
Scenario Reale#
Un'azienda vuole ottenere la certificazione ISO 27001. Prima di ingaggiare il body di certificazione, commissionano una gap analysis interna usando i 93 controlli dell'Annex A come target. Il risultato: 34 controlli soddisfatti, 41 parzialmente soddisfatti, 18 assenti. I 18 controlli assenti vengono analizzati in BIA: 6 hanno impatto critico (accesso privilegiato, crittografia dei backup, incident response procedure). Questi 6 diventano la priorita' assoluta del remediation plan, con deadline di 90 giorni prima di procedere con l'audit di certificazione.
Risorse#
- NIST CSF - framework e tool di assessment ufficiali
- CIS Controls - 18 controlli prioritizzati con implementation guide
Collegato a#
- compliance-frameworks - ISO 27001, PCI DSS, NIST CSF come target
- risk-management-terms - RTO, RPO, BIA come componenti della gap analysis
- vulnerability-assessment - strumento tecnico per evidenza baseline
- zero-trust - spesso usato come target architecture nella gap analysis
- operational-plans - BIA, DRP, BCP come output della gap analysis
