Le norme CIRMP potenziate, analizzate clausola per clausola
Le norme CIRMP potenziate sono entrate in vigore il 10 giugno 2026 e segnano la fine dell’era basata sui principi per nove classi di asset: radiodiffusione, sistemi di nomi di dominio, elettricità, operatori del mercato energetico, infrastrutture per il trasporto merci, servizi di trasporto merci, gas, combustibili liquidi e acqua. Gli obblighi in materia di sicurezza informatica sono ora specifici. Autenticazione multifattoriale resistente al phishing con registrazione centralizzata. Segregazione di rete dei sistemi critici. Sistemi critici che continuano a funzionare per almeno tre mesi mentre tutto ciò che li circonda viene ricostruito.
I periodi di grazia fissano le prime scadenze definitive a giugno 2027 e giugno 2028, date che sembrano lontane finché non si quantifica il costo della modifica progettuale.
Scarica la panoramica delle soluzioni RSA per capire in che modo ogni requisito corrisponda a una specifica funzionalità RSA, in modo da poter valutare in quali ambiti il tuo programma sia già conforme e in quali no.
Sezione 8B, rischi legati alla compromissione delle credenziali
RSA può aiutare le infrastrutture critiche australiane organizzazioni soddisfare i requisiti relativi al phishing- autenticazione FIDO2 resistente agli attacchi, in esecuzione localmente in sede nell'ambiente OT e ospitata nel cloud per l'IT, che copre i jump box Windows, Linux e macchine Unix, nonché casi d'uso SAML o OIDC. In più gli oltre 200 messaggi di autenticazione e di log amministrativo che rispondono al sistema di registrazione centrale, monitoraggio e l'obbligo di revisione.
Sezione 8C, rischi legati ai movimenti laterali
Scopri come RSA Authentication Manager consente alle organizzazioni di effettuare l'autenticazione in modo indipendente mentre i sistemi critici sono isolati; in che modo l'autenticazione rimane valida per più di 90 giorni dell'isolamento dal resto della rete e di come gli agenti, associati a endpoint, gruppi e ruoli, garantiscano il principio del privilegio minimo in tutti i sistemi che interagiscono con le risorse critiche.
Sezione 9A, rischi per il personale
Controlli di accesso per impedire l'accesso non autorizzato o non supervisionato a componenti critici, nonché accesso privilegiato associato a endpoint, gruppi e ruoli specifici.
La maggior parte delle implementazioni di identità presuppone la connettività. L'autenticazione a più fattori (MFA) resistente al phishing fornita da un provider di identità cloud costituisce una dipendenza da terze parti, e la Sezione 8C richiede che i sistemi critici rimangano operativi per almeno tre mesi mentre gli altri computer sono in fase di ripristino o recupero.
Se si isola un ambiente OT dal proprio servizio di autenticazione cloud, gli operatori si ritrovano esclusi proprio nel momento in cui il controllo degli accessi è più importante. La norma non prevede alcuna deroga in tal senso. Essa sancisce la possibilità di gestire le risorse e fornire i servizi essenziali anche in condizioni di isolamento.
RSA garantisce l'autenticazione in ambienti on-premises, in ambienti air-gapped e semi-air-gapped, sia attraverso l'evento di isolamento che attraverso la ricostruzione. Questa è la differenza tra un controllo che soddisfa il requisito 8B sulla carta e uno che supera il requisito 8C nella pratica.
Le norme CIRMP rafforzate sono state registrate il 9 giugno 2026 ed sono entrate in vigore il giorno successivo. I periodi di tolleranza decorrono dalla data di entrata in vigore.
Il periodo di dodici mesi scadrà nel giugno 2027. Esso comprende ulteriori rischi rilevanti, tra cui la proprietà, il controllo e l’influenza da parte di soggetti stranieri, i principali rischi informatici relativi a sistemi privi di patch, tecnologie obsolete e tecnologie emergenti, nonché i rischi legati alla gestione degli accessi.
Il periodo di ventiquattro mesi scadrà nel giugno 2028. Esso copre i restanti rischi legati alla sicurezza informatica e alla protezione delle informazioni, tra cui l'autenticazione a più fattori (MFA) resistente al phishing e la segregazione delle reti, oltre alla sicurezza della catena di approvvigionamento, alla sicurezza fisica e ai controlli sui precedenti del personale.
Le norme richiedono inoltre un livello di maturità più elevato per i soggetti responsabili, tra cui Essential Eight, AESCSF, ISO 27001, NIST CSF 2.0 o C2M2.
A chi si applicano le norme CIRMP rafforzate?
Soggetti responsabili per nove categorie di infrastrutture critiche: radiodiffusione, sistemi dei nomi di dominio, energia elettrica, operatori del mercato energetico, infrastrutture per il trasporto merci, servizi di trasporto merci, gas, combustibili liquidi e acqua. I soggetti che non rientrano in tali categorie mantengono i propri obblighi di base previsti dal CIRMP.
Quando entreranno in vigore le norme CIRMP potenziate?
Sono iniziati il 10 giugno 2026. I periodi di tolleranza di dodici mesi scadono nel giugno 2027, mentre quelli di ventiquattro mesi scadono nel giugno 2028, a seconda della categoria di rischio.
Cosa prevede la Sezione 8B in materia di autenticazione a più fattori?
Autenticazione a più fattori resistente al phishing su tutti i sistemi e le reti specificati, oltre a registrazione centralizzata, monitoraggio e revisione periodica dei tentativi di autenticazione sia riusciti che falliti.
L'autenticazione a più fattori (MFA) resistente al phishing deve funzionare anche senza connessione al cloud?
La sezione 8B non lo afferma esplicitamente. È la sezione 8C a chiarirlo: i sistemi critici devono rimanere operativi per almeno tre mesi mentre gli altri computer vengono ripristinati. Se l’autenticazione dipende da un servizio cloud esterno, non supera tale test nel momento stesso in cui l’ambiente viene isolato.
Cosa significa in pratica il requisito operativo di tre mesi?
I sistemi critici devono essere progettati in modo da funzionare in modo indipendente durante la risposta agli incidenti e il ripristino, compresa l'autenticazione. RSA Authentication Manager opera in modalità attiva/attiva ed è tollerante ai guasti, continuando a garantire l'autenticazione in locale mentre i sistemi vengono isolati, ricostruiti o ripristinati.
Cosa prevede la Sezione 9A in materia di accesso privilegiato?
Un processo o un sistema nell’ambito del CIRMP che riduce al minimo o elimina il rischio significativo di accesso non autorizzato o non supervisionato a componenti critiche, nonché di compromissione o uso improprio delle credenziali e degli accessi privilegiati utilizzati per raggiungere la risorsa.
RSA è in grado di supportare ambienti OT isolati fisicamente?
Sì. RSA offre l'autenticazione FIDO2 resistente al phishing, che viene eseguita localmente in sede e supporta ambienti “air-gapped” e “semi-air-gapped” oltre alle infrastrutture IT convenzionali.
