TC-ACN Incident Mapper Tool

Schermata Principale

In breve

Il TC-ACN Incident Mapper Tool è uno strumento che permette di mappare rapidamente un incidente informatico utilizzando la tassonomia ufficiale ACN (Agenzia per la Cybersicurezza Nazionale). Con questo tool puoi:

1. Compilare una scheda strutturata e generare un vettore ACN, cioè una stringa standard che rappresenta l’incidente.
2. Incollare un vettore ACN esistente e ottenere la scheda compilata in automatico.

È pensato per semplificare la notifica degli incidenti al CSIRT Italia e rispettare i tempi imposti dalla Direttiva NIS2.

La tassonomia ACN (TC-ACN)

La TC-ACN è una tassonomia ufficiale sviluppata da ACN per standardizzare il linguaggio e la classificazione degli incidenti cyber. Serve a:

• garantire uniformità nella descrizione degli eventi;
• facilitare condivisione di informazioni tra enti, operatori e autorità;
• automatizzare processi come la notifica, la reportistica e l’integrazione con sistemi SIEM/SOAR.

Questa tassonomia è divisa in 4 categorie principali:

• BC — Baseline Characterization: impatto, causa, gravità, area geografica.
• TT — Threat Type: tipo di minaccia (es. phishing, ransomware, DDoS).
• TA — Threat Actor: informazioni sull’attore malevolo e motivazioni.
• AC — Additional Context: dettagli aggiuntivi, asset coinvolti, vettore d’attacco.

Le due funzioni principali dello strumento

1) Compilare lo schema e generare il vettore ACN

• Compili i campi tramite menu a tendina per le categorie BC/TT/TA/AC.
• Quando clicchi “Generate ACN Vector”, il tool crea un vettore come: BC:IM-AP TT:MC-RA AC:VE-EV
• Spiegazione del vettore di esempio riportato sopra: BC:IM-AP → Baseline Characterization, Impact = Application Compromise. TT:MC-RA → Threat Type, Malicious Code = Ransomware. AC:VE-EV → Additional Context, Vector = Exploiting Vulnerabilities

Accanto al vettore, lo strumento mostra descrizioni ufficiali ACN di ogni codice scelto.

Generated Vector

2) Incollare un vettore ACN e ottenere la scheda compilata

• Incolli un vettore esistente, ad esempio: BC:IM-DX TT:SE-PH AC:VE-E
• Il tool parsa i codici, precompila i campi corrispondenti e avvisa se qualche elemento non è riconosciuto.
• In questo modo puoi ricostruire l’intera scheda a partire da una semplice stringa.

Vantaggi:

• ideale quando ricevi solo il vettore da terzi o strumenti esterni;
• elimina la necessità di ricompilare manualmente la scheda;
• si ottiene una vista grafica e comprensibile di un vettore altrimenti difficile da tradurre in modo immediato.

Come aiuta nella notifica degli incidenti (NIS2 e CSIRT Italia)

La Direttiva NIS2 ha introdotto tempi stringenti per la notifica degli incidenti:

• Entro 24 ore: early warning con informazioni preliminari;
• Entro 72 ore: notifica con prime valutazioni di impatto e gravità;
• Entro 1 mese: report finale con analisi completa.

In Italia, NIS2 è stata recepita con il D.Lgs. 138/2024 (in vigore dal 16 ottobre 2024).

La notifica avviene tramite il Portale Segnalazioni ACN ed è regolata dalla Guida alla notifica degli incidenti, che specifica:

• quali informazioni minime fornire;
• come caratterizzare impatto, severità, vettore, e contesto.

Perché il tool è utile qui:

• la tassonomia ACN è la base dati di riferimento per CSIRT e ACN;
• avere subito il vettore corretto accelera la creazione della pre-notifica e del report finale;
• evita errori di interpretazione tra operatori e Autorità.

Struttura dello strumento

Il tool è diviso in quattro schede, in linea con la tassonomia ACN:

1. BC — Baseline Characterization: impatto, root cause, severità, geografia.
2. TT — Threat Type: categorie di minaccia (phishing, ransomware, DDoS, ecc.).
3. TA — Threat Actor: tipo di attore e motivazioni.
4. AC — Additional Context: vettore, asset, sistemi operativi coinvolti, outlook.

Funzioni aggiuntive

• Tooltip dinamici: ogni opzione ha la descrizione ufficiale ACN.
• AI integrata: opzionale, crea un riassunto in linguaggio naturale basato sul vettore e le descrizioni, utile per briefing e allegati di notifica.

AI Summary

Domande che potrebbero sorgere a questo punto:

Il tool è ufficiale ACN? No, è uno strumento di supporto che implementa la tassonomia ACN. Lo spunto è preso da uno strumento simile pubblicato da “Utilia”, qua: https://tassonomia-acn.utilia.it/ La tassonomia e le linee guida invece sono ufficiali.

Posso notificare direttamente dal tool? No, la notifica va fatta tramite il Portale Segnalazioni ACN. Il tool aiuta solo nella preparazione dei dati.

Riferimenti essenziali

• La tassonomia cyber dell’ACN: https://www.acn.gov.it/portale/w/la-tassonomia-cyber-dellacn
• Documento tecnico “LA TASSONOMIA CYBER DELL’ACN” (PDF): https://www.acn.gov.it/portale/documents/d/guest/acn_tassonomia_cyber_clear
• Guida alla notifica degli incidenti informatici — CSIRT Italia (pagina): https://www.acn.gov.it/portale/en/w/guida-alla-notifica-degli-incidenti-informatici
• Portale Segnalazioni ACN (notifica/segnalazione): https://segnalazioni.acn.gov.it/
• Direttiva (UE) 2022/2555 — NIS2 (EUR-Lex, IT): https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=it
• D.Lgs. 4 settembre 2024, n. 138 — Recepimento NIS2 (Gazzetta Ufficiale): https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG
• ACN — NIS / La normativa: https://www.acn.gov.it/portale/en/nis/la-normativa

It’s going to bee soon on GitHub for you to use hopefully.

Also in dark mode (not very nice atm):

dark mode