Libreria di prompt del NIST Cybersecurity Framework

Valuta la nostra postura attuale di cybersicurezza utilizzando il framework NIST CSF 2.0:

Contesto organizzativo:
- Settore: [settore delle infrastrutture critiche o altro]
- Dimensione dell'organizzazione: [dipendenti, sedi, fatturato]
- Ambiente di rischio: [panorama delle minacce, requisiti normativi]
- Maturità attuale della sicurezza: [base/in via di sviluppo/matura/avanzata]

Per ogni funzione del CSF 2.0, valuta lo stato attuale:

GOVERN (GV): Strategia di gestione del rischio di cybersicurezza, ruoli, politiche
- GV.OC: Contesto organizzativo e strategia di gestione del rischio
- GV.RM: Strategia di gestione del rischio integrata con il rischio aziendale
- GV.RR: Ruoli, responsabilità e autorità
- GV.PO: Politiche, processi e procedure
- GV.OV: Gestione del rischio di cybersicurezza nella catena di fornitura

IDENTIFY (ID): Comprensione degli asset, dei rischi e delle vulnerabilità
- ID.AM: Gestione degli asset (inventario, classificazione)
- ID.RA: Valutazione del rischio (minaccia, vulnerabilità, impatto)
- ID.IM: Miglioramento (lezioni apprese, miglioramento continuo)

PROTECT (PR): Salvaguardie per limitare l'impatto
- PR.AA: Gestione delle identità e controllo degli accessi
- PR.AT: Consapevolezza e formazione
- PR.DS: Sicurezza dei dati (protezione a riposo e in transito)
- PR.PS: Sicurezza della piattaforma (configurazione sicura, manutenzione)
- PR.IR: Resilienza dell'infrastruttura tecnologica

DETECT (DE): Attività per scoprire eventi di cybersicurezza
- DE.CM: Monitoraggio continuo
- DE.AE: Analisi degli eventi avversi

RESPOND (RS): Azioni in seguito a un incidente di cybersicurezza rilevato
- RS.MA: Gestione degli incidenti
- RS.AN: Analisi degli incidenti
- RS.MI: Mitigazione degli incidenti
- RS.CO: Segnalazione e comunicazione degli incidenti

RECOVER (RC): Piani per la resilienza e il ripristino
- RC.RP: Pianificazione del ripristino
- RC.CO: Comunicazioni di ripristino

Per ogni categoria e sottocategoria rilevante per la nostra organizzazione:
- Livello di Implementazione Attuale (0=Non Implementato, 1=Parziale, 2=Informato sul Rischio, 3=Ripetibile, 4=Adattivo)
- Evidenze di implementazione (politiche, procedure, strumenti, controlli)
- Lacune e debolezze
- Priorità di miglioramento (Critica/Alta/Media/Bassa)

Riassumi la maturità complessiva per funzione e fornisci una roadmap di miglioramento prioritaria.

Definisci la nostra postura obiettivo di cybersicurezza (Profilo Obiettivo) utilizzando NIST CSF 2.0:

Contesto strategico:
- Obiettivi aziendali: [crescita, trasformazione digitale, nuovi mercati, M&A]
- Propensione al rischio: [conservativa/moderata/aggressiva]
- Driver normativi: [requisiti di conformità]
- Panorama delle minacce: [minacce specifiche che affrontiamo]
- Vincoli di risorse: [budget, personale, competenze]
- Tempistica: [1 anno, 3 anni, 5 anni]

Per ogni funzione e categoria del CSF:
- Livello di Implementazione Obiettivo (livello di maturità desiderato)
- Motivazione del livello obiettivo (perché questo livello è appropriato per il nostro rischio)
- Risultati prioritari e riferimenti informativi da implementare
- Risorse e tempistica stimate
- Dipendenze e prerequisiti

Crea un Profilo Obiettivo che bilanci la riduzione del rischio con l'abilitazione del business e la realtà delle risorse.

Affronta aree di interesse specifiche:
- Govern: Migliorare la supervisione della cybersicurezza a livello di consiglio di amministrazione, integrare con l'ERM
- Identify: Completare l'inventario degli asset, condurre valutazioni annuali dei rischi
- Protect: Implementare l'architettura zero trust, distribuire l'autenticazione a più fattori (MFA) universalmente
- Detect: Implementare EDR/SIEM, istituire un SOC o servizio MDR 24/7
- Respond: Sviluppare playbook per gli incidenti, condurre esercitazioni tabletop
- Recover: Raggiungere [obiettivi RTO/RPO], testare il DR trimestralmente

Fornisci un'analisi delle lacune: Profilo Attuale vs. Profilo Obiettivo, evidenziando i miglioramenti prioritari per colmare le lacune.

Stabilisci la governance della cybersicurezza secondo la funzione GOVERN del NIST CSF 2.0:

GV.OC: Contesto Organizzativo
- Missione e obiettivi: [la nostra missione aziendale e come la cybersicurezza la supporta]
- Asset e funzioni critiche: [cosa deve essere protetto]
- Requisiti legali, normativi e contrattuali: [GDPR, HIPAA, PCI DSS, SLA contrattuali]
- Stakeholder: [clienti, regolatori, partner, consiglio di amministrazione]

GV.RM: Strategia di Gestione del Rischio
- Dichiarazione di propensione al rischio di cybersicurezza: [rischi accettabili vs. inaccettabili]
- Integrazione con la gestione del rischio aziendale (ERM)
- Metodologia e frequenza di valutazione del rischio
- Priorità e criteri di trattamento del rischio
- Segnalazione del rischio alla leadership esecutiva e al consiglio di amministrazione

GV.RR: Ruoli, Responsabilità, Autorità
- CISO o equivalente: [ruolo, linea di reporting, autorità]
- Struttura del team di sicurezza: [SOC, GRC, ingegneria, ecc.]
- Responsabilità delle unità di business: [cosa possiede il business]
- Supervisione del consiglio di amministrazione: [comitato del consiglio, frequenza delle riunioni, reporting]
- Ruoli di terze parti: [MSSP, consulenti, revisori]

GV.PO: Politiche, Processi, Procedure
- Quadro delle politiche di sicurezza delle informazioni
- Politiche di uso accettabile, controllo degli accessi, protezione dei dati, risposta agli incidenti
- Documentazione e manutenzione delle procedure
- Ciclo di approvazione e revisione delle politiche

GV.OV: Gestione del Rischio di Cybersicurezza nella Catena di Fornitura
- Politica di gestione del rischio nella catena di fornitura
- Requisiti di sicurezza per i fornitori
- Valutazione e monitoraggio del rischio dei fornitori
- Clausole contrattuali di sicurezza
- Sicurezza della catena di fornitura del software (SBOM, scansione delle dipendenze)

Crea un charter di governance, una matrice RACI e un documento del quadro delle politiche.

Implementa la gestione degli asset secondo NIST CSF ID.AM:

ID.AM-01: Inventario dei dispositivi e sistemi fisici
- Server, workstation, dispositivi mobili, apparecchiature di rete, IoT
- Attributi degli asset: proprietario, ubicazione, funzione, criticità
- Strumenti di scoperta automatizzata: [CMDB, piattaforma di gestione degli asset]

ID.AM-02: Inventario delle piattaforme e applicazioni software
- Sistemi operativi, applicazioni, abbonamenti SaaS
- Licenze e versioni del software
- Tracciamento della fine del ciclo di vita

ID.AM-03: Flussi di comunicazione e dati organizzativi
- Diagrammi di rete e mappe dei flussi di dati
- Sistemi informativi esterni e connessioni
- Percorsi e protocolli di comunicazione

ID.AM-04: Sistemi informativi esterni
- Servizi cloud (IaaS, PaaS, SaaS)
- Partner e organizzazioni interconnesse
- Accordi di condivisione dei dati

ID.AM-05: Risorse (hardware, dispositivi, dati, personale) prioritarie
- Classificazione della criticità (Tier 1 critico, Tier 2 importante, Tier 3 di routine)
- Impatto aziendale in caso di indisponibilità
- Classificazione dei dati (pubblico, interno, confidenziale, ristretto)

Crea un registro completo degli asset con valutazioni di criticità e proprietà per il nostro ambiente:
[Descrivi infrastruttura, applicazioni, dati, utenti]

Mappa ai Riferimenti Informativi: ISO 27001 A.8.1, CIS Controls 1-2, NIST SP 800-53 CM-8

Sviluppa un programma di valutazione del rischio secondo NIST CSF ID.RA:

ID.RA-01: Vulnerabilità degli asset identificate e documentate
- Scansione delle vulnerabilità (interna, esterna, applicativa)
- Penetration testing (frequenza: [annuale/biennale])
- Valutazioni e audit di sicurezza
- SLA per la rimozione delle vulnerabilità (Critiche: X giorni, Alte: Y giorni)

ID.RA-02: Intelligence sulle minacce cyber ricevuta da forum di condivisione delle informazioni
- Fonti di intelligence sulle minacce: [ISAC, feed dei fornitori, open source]
- Analisi e integrazione dell'intelligence sulle minacce
- Condivisione degli indicatori di minaccia con pari e autorità

ID.RA-03: Minacce (interne ed esterne) identificate e documentate
- Threat modeling per asset e applicazioni critiche
- Scenari di attacco (ransomware, phishing, minaccia interna, catena di fornitura)
- Tattiche, tecniche e procedure degli avversari (MITRE ATT&CK)

ID.RA-04 a ID.RA-07: Analisi dell'impatto
- Impatti potenziali identificati e documentati (riservatezza, integrità, disponibilità)
- Determinazione della probabilità
- Valutazione del rischio (probabilità x impatto)
- Decisioni di risposta e trattamento del rischio
- Accettazione del rischio residuo

ID.RA-08 a ID.RA-10: Miglioramento continuo
- Lezioni apprese da incidenti ed esercitazioni
- Aggiornamenti della valutazione del rischio basati sui cambiamenti (nuovi sistemi, minacce, business)
- Profilo di rischio comunicato agli stakeholder

Il nostro approccio alla valutazione del rischio:
- Metodologia: [qualitativa/quantitativa/ibrida]
- Frequenza: [valutazione formale annuale, monitoraggio continuo]
- Ambito: [tutti i sistemi, sistemi critici, progetti specifici]
- Strumenti: [software di valutazione del rischio, piattaforme GRC]

Crea un registro dei rischi, procedure di valutazione e modelli di reporting.

Implementa il controllo delle identità e degli accessi secondo NIST CSF PR.AA:

PR.AA-01: Identità e credenziali gestite per utenti, servizi, hardware
- Provisioning/deprovisioning degli utenti (processo joiner/mover/leaver)
- Gestione degli account di servizio e delle chiavi API
- Gestione dei dispositivi e dei certificati
- Gestione del ciclo di vita delle identità

PR.AA-02: Identità autenticate
- Autenticazione a più fattori (MFA) per [tutti gli utenti / accesso remoto / account privilegiati]
- Tecnologie di autenticazione: [SSO, SAML, OAuth, FIDO2]
- Politiche per le password (lunghezza, complessità, nessuna rotazione forzata secondo NIST 800-63B)
- Strategia di autenticazione senza password

PR.AA-03 a PR.AA-06: Autorizzazione e gestione degli accessi
- Controllo degli accessi basato sui ruoli (RBAC) o basato sugli attributi (ABAC)
- Applicazione del principio del privilegio minimo
- Gestione degli accessi privilegiati (PAM) per gli account amministrativi
- Revisioni degli accessi (frequenza: [trimestrale/annuale])
- Workflow di richiesta e approvazione degli accessi
- Separazione dei compiti per le funzioni sensibili

PR.AA-07: Identità federata e condivisione degli attributi
- Implementazione SSO: [Okta, Azure AD, Google Workspace]
- Accesso federato per partner e clienti
- Controllo degli accessi basato sugli attributi per le risorse cloud

Il nostro ambiente:
- Numero di utenti: [dipendenti, contractor, clienti]
- Sistemi di identità: [Active Directory, Entra ID, Okta, custom]
- Utenti privilegiati: [numero, ruoli]
- Sistemi critici che richiedono controlli degli accessi potenziati: [elenco]

Crea una politica IAM, procedure di provisioning e una matrice di controllo degli accessi.

Implementa misure di sicurezza dei dati secondo NIST CSF PR.DS:

PR.DS-01: Dati a riposo protetti
- Standard di crittografia: [AES-256, TDE per i database]
- Crittografia completa del disco per gli endpoint
- Crittografia dei backup e degli archivi
- Gestione e rotazione delle chiavi

PR.DS-02: Dati in transito protetti
- TLS 1.2+ per il traffico web
- VPN per l'accesso remoto: [IPsec, WireGuard]
- Email crittografata (S/MIME, PGP) per le comunicazioni sensibili
- Trasferimento sicuro dei file (SFTP, FTPS)

PR.DS-03 a PR.DS-05: Gestione degli asset e della configurazione
- Smaltimento degli asset e sanitizzazione dei supporti (cancellazione, distruzione)
- Baseline di configurazione sicura (CIS Benchmarks, guide di hardening dei fornitori)
- Gestione della configurazione e controllo delle modifiche
- Protezione contro modifiche non autorizzate (FIM, controllo delle versioni)

PR.DS-06 a PR.DS-08: Integrità e disponibilità dei dati
- Meccanismi di verifica dell'integrità (hashing, firme digitali)
- Separazione degli ambienti di sviluppo, test e produzione
- Procedure di backup e ripristino (frequenza, retention, testing)

PR.DS-09 a PR.DS-11: Monitoraggio e conformità della protezione dei dati
- Prevenzione della perdita dei dati (DLP) per i dati sensibili
- Monitoraggio per l'esfiltrazione non autorizzata dei dati
- Conformità alla protezione dei dati (GDPR, CCPA, HIPAA)

Il nostro panorama dei dati:
- Tipi di dati e classificazione: [PII dei clienti, dati di pagamento, proprietà intellettuale proprietaria, pubblico]
- Ubicazioni di archiviazione: [database on-prem, storage cloud, applicazioni SaaS]
- Flussi di dati: [raccolta, elaborazione, condivisione, retention]

Crea una politica di protezione dei dati, standard di crittografia e regole DLP.

Stabilisci un monitoraggio continuo secondo NIST CSF DE.CM:

DE.CM-01 a DE.CM-03: Monitoraggio della rete e dei sistemi
- Monitoraggio della rete (analisi del traffico, IDS/IPS)
- Monitoraggio dei sistemi (log degli eventi, prestazioni, configurazioni)
- Monitoraggio dell'ambiente fisico (se applicabile: data center, strutture)

DE.CM-04 a DE.CM-05: Rilevamento delle attività dannose
- Rilevamento del codice dannoso (antivirus, EDR)
- Rilevamento di codice mobile, hardware e software non autorizzati
- Analisi delle anomalie e del comportamento (UEBA)

DE.CM-06 a DE.CM-09: Capacità e copertura del monitoraggio
- Monitoraggio dei fornitori di servizi esterni (sicurezza del fornitore, conformità agli SLA)
- Monitoraggio e scansione delle vulnerabilità (continuo, non solo periodico)
- Configurazioni di base per il monitoraggio (normale vs. anomalo)
- Copertura completa di tutti gli asset critici

Architettura di monitoraggio:
- Fonti di log: [server, dispositivi di rete, applicazioni, cloud, endpoint]
- Logging centralizzato: [piattaforma SIEM, gestione dei log]
- Strumenti di monitoraggio: [EDR, NDR, SIEM, scanner di vulnerabilità]
- Copertura: [SOC 24/7, orari lavorativi, alerting automatizzato]

Casi d'uso e alert di monitoraggio:
- Tentativi di autenticazione falliti (forza bruta, credential stuffing)
- Escalation dei privilegi
- Indicatori di movimento laterale
- Pattern di esfiltrazione dei dati
- Indicatori di malware e ransomware
- Modifiche alla configurazione dei sistemi critici
- Tentativi di sfruttamento delle vulnerabilità

Crea una politica di monitoraggio, una libreria di casi d'uso, procedure di tuning degli alert e una matrice di escalation.

Implementa l'analisi degli eventi avversi secondo NIST CSF DE.AE:

DE.AE-01: Baseline delle operazioni di rete e dei flussi di dati attesi
- Pattern di traffico normali e baseline
- Comportamenti attesi degli utenti
- Prestazioni tipiche dei sistemi e utilizzo delle risorse

DE.AE-02 a DE.AE-04: Rilevamento e correlazione degli eventi
- Eventi rilevati analizzati per comprendere obiettivi e metodi di attacco
- Correlazione degli eventi tra più fonti (regole di correlazione SIEM)
- Impatto degli eventi determinato (gravità, portata, asset interessati)

DE.AE-05 a DE.AE-08: Alerting e risposta
- Soglie di alert per gli incidenti definite (quando escalare a incidente)
- Incidente dichiarato e documentato quando le soglie sono raggiunte
- Informazioni condivise con gli stakeholder secondo il piano di comunicazione
- Processi di rilevamento testati e migliorati

Le nostre capacità di rilevamento:
- SIEM: [piattaforma, fonti di log, regole di correlazione]
- Integrazione dell'intelligence sulle minacce: [feed, matching degli IOC]
- Team di analisi: [analisti SOC, struttura tier 1/2/3, o MSSP]
- Volume degli alert e tasso di falsi positivi: [stato attuale]

Crea un playbook di analisi degli eventi:
- Procedure di triage degli alert
- Passaggi di indagine per tipo di alert
- Criteri di escalation (quando un alert diventa un incidente)
- Requisiti di documentazione
- Miglioramento continuo (tuning degli alert, nuovi rilevamenti)

Mappa a MITRE ATT&CK per la copertura del rilevamento tra tattiche e tecniche.

Sviluppa la gestione degli incidenti secondo NIST CSF RS.MA:

RS.MA-01 a RS.MA-02: Piano e esecuzione della risposta agli incidenti
- Piano di risposta agli incidenti documentato e approvato
- Ruoli e responsabilità nella risposta agli incidenti (comandante dell'incidente, tecnico, comunicazioni, legale)
- Esecuzione della risposta agli incidenti secondo il piano
- Procedure di gestione degli incidenti (rilevamento, analisi, contenimento, eradicazione, ripristino)

RS.MA-03 a RS.MA-05: Comunicazione e gestione degli stakeholder
- Informazioni sugli incidenti condivise con gli stakeholder rilevanti (interni, clienti, regolatori, forze dell'ordine)
- Coordinamento con stakeholder interni ed esterni
- Condivisione volontaria di informazioni con comunità esterne (ISAC, gruppi di intelligence sulle minacce)

Quadro di risposta agli incidenti:

1. Preparazione
- Team di risposta agli incidenti: [membri, rotazione di reperibilità]
- Strumenti e risorse: [strumenti forensi, sistemi di backup, canali di comunicazione]
- Playbook di risposta agli incidenti per scenario (ransomware, violazione dei dati, DDoS, minaccia interna)

2. Rilevamento e Analisi
- Fonti di rilevamento degli incidenti (alert di monitoraggio, segnalazioni degli utenti, intelligence sulle minacce)
- Classificazione e gravità degli incidenti (Critico/Alto/Medio/Basso)
- Analisi e definizione dell'ambito iniziale

3. Contenimento, Eradicazione, Ripristino
- Contenimento a breve termine (isolamento dei sistemi interessati)
- Contenimento a lungo termine (patch, hardening)
- Eradicazione (rimozione del malware, chiusura delle vulnerabilità, rimozione dell'accesso dell'attaccante)
- Ripristino e recupero (ricostruzione dei sistemi, ripristino da backup puliti, ritorno alle operazioni normali)

4. Attività Post-Incidente
- Revisione delle lezioni apprese (cosa ha funzionato, cosa no, come migliorare)
- Conservazione delle prove per scopi legali e normativi
- Aggiornamento dell'intelligence sulle minacce e delle regole di rilevamento

Contesto della nostra risposta agli incidenti:
- Storia degli incidenti: [tipi e frequenza degli incidenti che abbiamo affrontato]
- MTTR: [tempo medio di risoluzione attuale]
- Requisiti di comunicazione: [leggi sulla notifica delle violazioni, SLA dei clienti]

Crea un piano di risposta agli incidenti, playbook per scenari comuni, modelli di comunicazione e un programma di formazione (esercitazioni tabletop, simulazioni).

Sviluppa capacità di ripristino secondo NIST CSF RC.RP:

RC.RP-01 a RC.RP-03: Esecuzione del piano di ripristino
- Piano di ripristino eseguito durante o dopo un incidente di cybersicurezza
- Strategia di ripristino allineata con i piani di continuità operativa e disaster recovery
- Obiettivi di tempo e punto di ripristino raggiunti (obiettivi RTO/RPO: [specificare])

RC.RP-04 a RC.RP-05: Aggiornamenti e miglioramenti
- Piano di ripristino aggiornato in base alle lezioni apprese
- Pianificazione del ripristino integrata con la gestione degli incidenti

Quadro di ripristino:

1. Analisi dell'Impatto sul Business
- Funzioni aziendali critiche: [identificare i processi critici]
- Tempo massimo tollerabile di inattività (MTD): [per funzione]
- Obiettivo di tempo di ripristino (RTO): [tempo target per il ripristino]
- Obiettivo di punto di ripristino (RPO): [perdita di dati accettabile]

2. Strategie di Ripristino
- Ripristino dei dati: [procedure di backup e ripristino]
- Ripristino dei sistemi: [ricostruzione, ripristino da immagine, failover al sito DR]
- Elaborazione alternativa: [soluzioni manuali, operazioni in modalità degradata]
- Servizi di ripristino di terze parti: [DRaaS, sito freddo/tiepido/caldo]

3. Procedure di Ripristino
- Procedure di ripristino passo-passo per i sistemi critici
- Sequenza e dipendenze del ripristino
- Passaggi di validazione e testing
- Procedure di rollback in caso di fallimento del ripristino

4. Testing del Ripristino
- Scenari di test (ripristino da ransomware, guasto dell'infrastruttura, corruzione dei dati)
- Frequenza dei test: [test DR completo annuale, test trimestrali dei componenti]
- Documentazione e risultati dei test
- Rimedio delle lacune basato sui risultati dei test

5. Comunicazione Durante il Ripristino
- Comunicazioni interne (aggiornamenti sullo stato, progresso del ripristino)
- Comunicazioni ai clienti (stato del servizio, ripristino atteso)
- Aggiornamenti agli stakeholder (leadership, consiglio di amministrazione, regolatori)

Le nostre priorità di ripristino:
- Sistemi critici Tier 1: [devono essere ripristinati entro X ore]
- Sistemi importanti Tier 2: [devono essere ripristinati entro Y ore]
- Sistemi di routine Tier 3: [ripristino entro Z giorni]

Crea piani di ripristino, un programma di testing e modelli di comunicazione per gli scenari di ripristino.

Valuta il nostro Livello di Implementazione del NIST CSF e pianifica la progressione:

I Livelli del CSF rappresentano la maturità organizzativa nella gestione del rischio di cybersicurezza:

Livello 1: Parziale
- Gestione del rischio: Ad hoc, reattiva
- Gestione integrata del rischio: Consapevolezza limitata
- Partecipazione esterna: Collaborazione limitata o assente
- Forza lavoro: Consapevolezza limitata della cybersicurezza

Livello 2: Informato sul Rischio
- Gestione del rischio: Politiche approvate, non tutte coerenti
- Gestione integrata del rischio: Consapevolezza del rischio cyber a livello organizzativo
- Partecipazione esterna: L'organizzazione conosce le entità esterne
- Forza lavoro: Consapevolezza dei ruoli e delle responsabilità

Livello 3: Ripetibile
- Gestione del rischio: Politiche formali, regolarmente aggiornate
- Gestione integrata del rischio: Approccio a livello organizzativo, decisioni informate sul rischio
- Partecipazione esterna: Collaborazione e condivisione regolari delle informazioni
- Forza lavoro: Adeguatamente dotata di risorse e formata

Livello 4: Adattivo
- Gestione del rischio: Adattiva, miglioramento continuo
- Gestione integrata del rischio: Consapevolezza del rischio in tempo reale in tutta l'organizzazione
- Partecipazione esterna: Condivisione e collaborazione proattiva
- Forza lavoro: La cybersicurezza è parte della cultura organizzativa

Valutazione del Livello Attuale:
- Livello complessivo: [1-4]
- Livello del Programma di Gestione del Rischio: [valuta]
- Livello di Gestione Integrata del Rischio: [valuta]
- Livello di Partecipazione Esterna: [valuta]
- Livello della Forza Lavoro: [valuta]

Livello Obiettivo: [livello di maturità desiderato]
Motivazione: [perché questo livello si allinea con la nostra propensione al rischio e le risorse]

Piano di Progressione:
- Anno 1: Raggiungere il Livello [X]
  - Azioni: [formalizzare le politiche, implementare strumenti, formare la forza lavoro]
- Anno 2: Raggiungere il Livello [Y]
  - Azioni: [integrare con l'ERM, stabilire partnership esterne, miglioramento continuo]
- Anno 3: Raggiungere il Livello [Z]
  - Azioni: [capacità adattive, monitoraggio in tempo reale, cultura della cybersicurezza]

Crea una roadmap di progressione dei livelli con traguardi, requisiti di risorse e metriche di successo.