Se l’organizzazione appartiene ad un settore regolato dovrebbe utilizzare una delle contestualizzazioni fornite dal proprio regolatore di settore, o definirne una propria implementando eventuali prototipi che colgono i regolamenti applicabili. Se l’organizzazione non appartiene ad un settore regolato può identificare tra le contestualizzazioni disponibili quella da utilizzare nel processo di implementazione del Framework, piuttosto che definirne una specifica.

Identificare periodicamente gli obiettivi strategici e le priorità di business dell’organizzazione in modo da selezionare aree e funzioni chiave che necessitino specifica focalizzazione.

Individuazione delle informazioni e dei sistemi (sia dell’ambito IT che di quello industriale) che l’organizzazione ritiene vitali e critici per garantire Framework Nazionale per la Cybersecurity e la Data Protection 17.

È previsto che sia valutato lo stato di implementazione e il livello di maturità per ciascuna subcategory del Framework. Questo permette di definire uno o più profili correnti in relazione alle aree/funzioni previste per l’implementazione del programma.

Determinare e valutare i rischi mediante l’adozione di una metodologia considerata appropriata, in relazione alle specifiche caratteristiche organizzative e di mercato nel quale opera l’organizzazione.

Attraverso il processo di trattamento del rischio, l’organizzazione deve poter definire un profilo target che, differentemente da quello corrente, rappresenta il livello di implementazione e di maturità che si ambisce a conseguire per ciascuna subcategory del Framework.

Completare una comparazione tra il profilo target e quello corrente per identificare i gap esistenti nella gestione della cybersecurity.

Definire l’insieme di attività necessarie a raggiungere il profilo target determinato nella fase precedente. Ciò significa elaborare un piano specifico per realizzare i singoli controlli del Framework, secondo un piano temporale che varierà in relazione agli effettivi rischi individuati e in funzione delle condizioni specifiche in cui opera la singola organizzazione.

L’efficienza del profilo target deve essere oggetto di revisioni periodiche e miglioramento continuo. Per questo devono essere definite delle metriche di monitoraggio
in grado di evidenziarne anche i costi operativi. Le valutazioni sull’efficienza del profilo corrente devono essere utilizzate per definire il nuovo profilo target.
È previsto che il Framework possa essere impiegato per la valutazione del livello di maturità delle attività e processi di cybersecurity. Questa applicazione, complementare alla precedente,
prevede un processo più snello che permetta di valutare rapidamente i gap esistenti e di definire un piano di azione per il loro miglioramento.