Direttiva NIS 2 Foundation

Dieci domande di esempio tratte dall'esame

Una per area di competenza, esattamente come nel simulatore.

1. Dominio 1: Concetti e definizioni fondamentali della NIS 2

   Un ransomware ha raggiunto il file server di un'impresa, ma la protezione degli endpoint lo ha bloccato prima che qualsiasi file venisse cifrato e prima che qualsiasi servizio diventasse indisponibile. Secondo la terminologia della direttiva, come deve essere classificato l'evento?

   1. Un incidente, perché un codice malevolo ha raggiunto un server di produzione.
   2. Un quasi incidente, perché l'intrusione è stata fermata prima di concretizzarsi.
   3. Un incidente significativo, perché il ransomware può causare gravi perturbazioni operative.
   4. Una vulnerabilità, perché il server era ancora raggiungibile dalla rete.

2. Dominio 2: Requisiti della Direttiva NIS 2

   Gli organi di gestione di un soggetto rientrante nell'ambito della direttiva approvano le misure di gestione dei rischi di cibersicurezza e poi affidano ogni attività al reparto informatico, senza intervenire ulteriormente. Quale dovere degli organi di gestione non viene rispettato?

   1. Redigere le specifiche tecniche di ogni misura prima della sua attuazione.
   2. Trasferire la propria responsabilità giuridica al responsabile del reparto che esegue materialmente il lavoro.
   3. Certificare il soggetto secondo una norma internazionale sui sistemi di gestione.
   4. Sorvegliare in modo continuativo l'attuazione delle misure che hanno approvato.

3. Dominio 1: Concetti e definizioni fondamentali della NIS 2

   Quale cambiamento ha introdotto la direttiva vigente rispetto alla direttiva del 2016 sulla sicurezza delle reti e dei sistemi informativi?

   1. L'obbligo di comunicare un evento alle autorità nasce soltanto dopo che questo ha già causato un danno misurabile.
   2. La procedura di segnalazione si apre con un preallarme che precede la notifica formale.
   3. Per accelerare la procedura è stato eliminato il riscontro delle autorità al soggetto notificante.
   4. L'ambito settoriale è stato ridotto ai soli operatori di infrastrutture critiche già elencati nel 2016.

4. Dominio 2: Requisiti della Direttiva NIS 2

   Un operatore postale regionale riceve dall'autorità di vigilanza l'indicazione di determinare autonomamente la propria esposizione, fissare i propri obiettivi e sottoporre il documento risultante a revisione, anziché seguire un elenco prescritto di tecnologie. Quale approccio normativo viene applicato?

   1. L'approccio basato sulla gestione, perché il soggetto si autoregolamenta e l'autorità valuta il piano.
   2. L'approccio basato sulle prestazioni, perché è fissato il risultato ma non il mezzo per conseguirlo.
   3. Il comando e controllo, perché un organismo pubblico esamina ciò che fa l'operatore.
   4. La coregolamentazione mediante istruzioni vincolanti, perché l'autorità esamina il piano e conserva l'ultima parola.

5. Dominio 1: Concetti e definizioni fondamentali della NIS 2

   Un'impresa ferroviaria che presta servizi di trasporto merci in uno Stato membro impiega 620 persone e dichiara un fatturato annuo di 95 milioni di euro. Come viene classificata?

   1. Soggetto essenziale, perché supera le soglie della media impresa in un sottosettore ad alta criticità.
   2. Soggetto importante, perché il trasporto ferroviario figura nell'allegato dedicato agli altri settori critici.
   3. Soggetto importante, perché non supera contemporaneamente entrambe le soglie della media impresa.
   4. Soggetto essenziale, perché ogni impresa operante nei trasporti riceve sempre tale qualifica, indipendentemente dalle dimensioni.

6. Dominio 2: Requisiti della Direttiva NIS 2

   Un gruppo di progetto deve stabilire come viene gestita oggi la cibersicurezza in un'organizzazione i cui dipendenti affermano che non esiste alcuna misura. Quale combinazione di attività è raccomandata in questa fase?

   1. Rinviare ogni raccolta di dati, attendere la conclusione della valutazione dei rischi, individuare prima i rischi principali e intervistare il personale soltanto in seguito.
   2. Commissionare un penetration test esterno, far eseguire una scansione delle vulnerabilità, ricevere il rapporto tecnico e considerarlo una rappresentazione completa della situazione.
   3. Osservare le misure sul posto, intervistare i responsabili, esaminare le informazioni documentate e riesaminare gli esiti degli audit interni.
   4. Accettare la dichiarazione del personale, ritenere attendibile la sua esperienza quotidiana e registrare la totale assenza di misure.

7. Dominio 1: Concetti e definizioni fondamentali della NIS 2

   Quale parte dell'atto giuridico fornisce il contesto e gli orientamenti interpretativi utili a comprendere le prescrizioni vincolanti, senza imporre essa stessa alcun obbligo?

   1. Il dispositivo, ossia la parte dell'atto le cui disposizioni sono organizzate in capi.
   2. I considerando, ossia i paragrafi numerati che precedono il dispositivo dell'atto.
   3. Gli allegati, ossia la parte dell'atto organizzata in funzione dei settori.
   4. La tavola di concordanza, che collega le disposizioni del 2016 a quelle vigenti.

8. Dominio 2: Requisiti della Direttiva NIS 2

   Chi deve convalidare gli obiettivi di cibersicurezza di un programma di conformità e tali obiettivi possono cambiare dopo l'avvio dei lavori?

   1. Il responsabile di progetto li convalida e gli obiettivi restano immutati fino alla chiusura del programma.
   2. Il responsabile della sicurezza li convalida e possono essere riesaminati soltanto su sua richiesta.
   3. L'audit interno li convalida e gli obiettivi vengono riesaminati dopo ogni ciclo di audit.
   4. Il vertice dell'organizzazione li convalida; possono essere riesaminati durante l'attuazione.

9. Dominio 1: Concetti e definizioni fondamentali della NIS 2

   Un soggetto già certificato secondo la norma sui sistemi di gestione della sicurezza delle informazioni chiede quale documento fornisca un insieme di riferimento di misure generiche e raccomandazioni per attuarle. A quale documento deve essere indirizzato?

   1. ISO/IEC 27002, utilizzabile nell'ambito di un sistema di gestione come base di buone pratiche riconosciute.
   2. ISO/IEC 27005, utilizzabile per soddisfare i requisiti relativi al trattamento del rischio.
   3. ISO/IEC 27701, utilizzabile come estensione dedicata alla gestione delle informazioni relative alla privacy.
   4. ISO 22301, utilizzabile per proteggersi dalle perturbazioni significative e favorire il ripristino.

10. Dominio 2: Requisiti della Direttiva NIS 2

    Un gruppo che prepara l'analisi del contesto di un'organizzazione cerca un unico strumento capace di separare ciò che proviene dall'interno da ciò che deriva dall'ambiente esterno. Quale strumento è concepito a questo scopo?

    1. Le cinque forze di Porter, che ponderano la rivalità settoriale e le pressioni dell'ambiente competitivo.
    2. La scala di maturità, che valuta ogni processo da inesistente a ottimizzato.
    3. L'analisi PEST, che esamina l'ambiente politico e le altre forze del mercato in cui opera l'organizzazione.
    4. L'analisi SWOT, che separa i fattori interni da quelli esterni.

Risponda alle stesse dieci domande nel simulatore e legga la spiegazione di ogni opzione, anche di quelle errate. Si apre senza registrazione →

Sull'esame ufficiale: formato, durata e numero di domande sono stabiliti dall'organismo di certificazione e possono cambiare; li verifichi nei suoi documenti prima di iscriversi. Questo materiale allena sulla norma, non sull'esame di un organismo specifico, e per questo è utile anche per certificarsi altrove.