NIST SP 800-61 Rev. 3

Scopo, ambito e autorità

Rev. 3 segue CSF 2.0: Govern, Identify e Protect preparano; Detect, Respond e Recover gestiscono incidenti con miglioramento continuo. Non è solo il vecchio modello rinominato. [1]

Principi e logica operativa [1]

1. Preparazione

Stabilire autorità, ruoli, coordinamento e risorse; conservazione e accesso rendono possibile l’indagine.

2. Rilevamento

Correlare osservazioni, impatto e ambito; definire dichiarazione e limiti delle prove.

3. Gestione

Prioritizzare, coordinare e autorizzare contenimenti dirompenti, prevedendo indisponibilità.

4. Indagine

Preservare integrità e provenienza, registrare azioni e risultati.

5. Contenimento e comunicazione

Trattare danni, cause e persistenza; comunicare secondo obblighi reali. Cancellare un file non basta.

6. Ripristino e miglioramento

Validare servizi, comunicare stato e apprendere anche durante operazioni ed esercizi.

Applicazione · raccomandazioni editoriali

Esercizio proposto: identità compromessa e messaggistica indisponibile. Chi dichiara, isola, conserva prove e autorizza recupero? Adattare procedure alle piattaforme reali.

Prove per il CISO · dossier proposto

Piano, contatti, escalation, conservazione, procedure provate, criteri di ripresa e miglioramenti. Chiusura rapida non prova eradicazione.

Errori e limiti

Evitare modello solo SOC, ipotesi fornitori non testate, chiusura prematura e Rev. 2 presentata come attuale. Leggere le tabelle complete.

Fonti ufficiali e percorso di lettura

Sezioni da leggere nella fonte: Sections 2–3; CSF 2.0 Community Profile.

1. NIST SP 800-61 Rev. 3 · 2025-04 · supersedes Rev. 2