Da quest’anno, la strategia nazionale per la difesa del cyberspace sta ricevendo anche in Italia un forte impulso. Le organizzazioni pubbliche e private dispongono di nuove indicazioni e strumenti per affrontare con più efficacia queste problematiche, e anche a livello nazionale si sta profilando un sistema di protezione che punta a raggiungere (speriamo in tempi brevi), livelli più elevati di efficienza ed efficacia. Riportiamo in sintesi le principali novità dell’ultimo anno.

1. DPCM del 17 febbraio 2017. Con il nuovo Decreto del Presidente del Consiglio dei Ministri[1], il governo italiano ha sostituito il precedente DPCM del 24 gennaio 2013 (c.d. Decreto Monti), dando il via a una nuova fase per rendere più efficiente il sistema di sicurezza nazionale per la cybersecurity. E’ stata semplificata l’architettura generale di responsabilità e processi, rendendola più snella ed efficace. Il decreto è conseguenza di alcune novità legislative, intervenute successivamente all’approvazione del Decreto Monti[2]: la prima, a livello nazionale, è stata l’approvazione del DL 30 ottobre 2015, n. 174, che attribuisce al CISR (Comitato Interministeriale per la Sicurezza della Repubblica), in caso di situazioni di crisi, compiti di consulenza, proposta e deliberazione. La seconda, di livello europeo, è l’approvazione della “Direttiva NIS”[3] del 6 luglio 2016, che ha imposto a tutti gli Stati membri di adottare, entro il maggio 2018, misure volte ad incrementare i livelli di sicurezza cyber. Il nuovo Decreto Gentiloni, DPCM 17 febbraio 2017, riafferma quindi il ruolo strategico del CISR  nelle situazioni di crisi per la sicurezza nazionale legate al cyberspace, ponendo però questa volta al centro il Dipartimento delle Informazioni per la Sicurezza (DIS). Quest’ultimo, oltre a diventare braccio operativo sul piano strategico, sarà il collante tra il CISR,  l’intera PA e il settore privato[4].
2. Molto importante anche il fatto che il Nucleo Sicurezza Cibernetica sia oggi posizionato all’interno del DIS: il NSC avrà in mano tutti gli aspetti operativi legati alla cybersecurity nazionale, dal centro allertamento e risposta a situazioni di crisi cibernetica (attivo 24×7), a comunicazioni circa i casi di violazione o dei tentativi di violazione con altri enti (Forze di Polizia, CNAIPIC), alle relazioni con l’ONU, la NATO, l’UE, le altre organizzazioni internazionali e gli altri Stati. È inoltre previsto che al nucleo venga fornito un maggiore e paritetico supporto da parte del CERT Nazionale (istituito presso il MiSE) e del CERT della Pubblica Amministrazione (CERT-PA, istituito presso l’AgID) per quanto riguarda gli aspetti tecnici di risposta sul piano informatico e telematico nella gestione delle crisi, oltre che per l’acquisizione di informazioni su casi di violazioni o su minacce cibernetiche rilevanti.
3. Lo scorso 6 aprile – a conferma dell’importanza che il tema della cybersecurity sta oggi acquisendo anche per le PA italiane – sono state pubblicate in GU le “Misure minime per la sicurezza ICT delle pubbliche amministrazioni”[5] predisposte da AGID. Si tratta di misure obbligatorie, pensate nello specifico per le esigenze delle PA italiane, che avranno tempo per adeguarsi fino al 31 dicembre 2017. Significativo però che AGID avesse deciso di anticiparle rispetto alla pubblicazione in Gazzetta: sono sul sito dell’Agenzia e del CERT-PA da settembre 2016[6]. Si tratta di misure che prendono le mosse dall’insieme dei 20 controlli noti come CCSC – SANS 20[7]. Di questi 20 controlli del SANS Institute, tipicamente ordinati per importanza, nelle Misure Minime fornite da AGID sono stati scelti i primi 5 e poi successivamente, quelli preventivi nei confronti del malware (8), le copie di sicurezza (10) e la data protection (13), come riporta la tabella successiva.

 Tabella 1. MISURE MINIME DI SICUREZZA ICT PER LE PUBBLICHE AMMINISTRAZIONI (AGID, 2016)

Le misure prevedono 3 livelli di attuazione: quello minimo rappresenta la linea di base alla quale ogni PA, indipendentemente dalla sua natura e dimensione, deve necessariamente essere conforme; quello intermedio o standard rappresenta la situazione di riferimento per la maggior parte della amministrazioni; quello superiore rappresenta un optimum che dovrebbe essere adottato in caso di rischio elevato[8]. Le Misure Minime per la PA sono anche in parte coincidenti con quelle del Framework Nazionale per la Cybersecurity del 2016[9], realizzato dal CIS-Sapienza e dal Laboratorio Nazionale CINI di Cybersecurity.

L’adempienza delle PA a queste misure potrebbe però trovare alcuni ostacoli: alcune prescrizioni (come la realizzazione di inventari dettagliati per HW e SW) richiedono o la presenza di personale interno specializzato, oppure il ricorso a servizi esterni, con una spesa che sarà correlata alla dimensione del parco macchine e applicativo da controllare. Un costo che potrebbe non essere coperto dagli attuali budget di spesa di molte PA. E’ anche vero che le PA hanno oggi obiettivi di digitalizzazione che dovrebbero portare a efficienze e risparmi: è importante quindi che la sicurezza informatica sia strettamente correlata a questi progetti, che sia sinergica, un elemento abilitante alla base della Digital Transformation.

Un’ulteriore criticità da considerare è che gli enti pubblici, come anche le aziende private, subiranno fortemente nel prossimo anno l’impatto della compliance al nuovo regolamento Europeo per la privacy (GDPR) che ha numerosi requisiti in tema di Data Protection, e dovrà essere adottato entro maggio 2018. Il GDPR, che sarà obbligatorio per enti pubblici e privati, con possibili sanzioni molto rilevanti in caso di inadempienza, prima di qualsiasi misura minima raccomanda un Risk Assessment, in modo che il singolo ente o impresa possa stimare quali sono gli elementi più critici relativi al proprio contesto. Sarebbe quindi utile individuare linee di azione e misure comuni per la cybersecurity e la privacy, in modo da permettere di ridurre l’effort complessivo, non sovrapporre o complicare inutilmente i progetti.

Inoltre andrebbe anche considerato il lavoro di La Sapienza-CINI, che hanno pubblicato le misure minime di cybersecurity indirizzate alle PMI italiane, tratte dal Framework Nazionale ma molto semplificate in 15 controlli essenziali[10] (con una guida di implementazione e una stima indicativa dei costi considerando diverse tipologie di PMI), come riporta la Tabella successiva. Mettendo a confronto i controlli per le PMI con quelli emanati da AGID si osservano alcune differenze: ad esempio le maggiori indicazioni sul fronte della governance (nomi di referente, attività di formazione, ecc.) per quanto riguarda i primi, a fronte di maggiori indicazioni tecniche (Privileged Access management, gestione della configurazione di tutte le macchine e software) per quanto riguarda i secondi.

Tabella 2. I 15 CONTROLLI ESSENZIALI DI CYBERSECURITY PER LE PMI (LaSapienza, CINI, 2016)

Infine, per facilitare ulteriormente il lavoro a PA e PMI, che hanno spesso lo stesso problema di mancanza di competenze interne e risorse economiche da dedicare a questi aspetti, sarebbe utile disporre di strumenti semplificati di self assessment per analizzare in modo semplice e veloce lo status quo e le principali esigenze (per il singolo caso) di sicurezza cyber e data protection relativa alla privacy. Una best practice in questo senso è quanto è stato realizzato dall’ICO UK, con il “Data protection self assessment toolkit”[11], specificatamente rivolto alle PMI inglesi e per molti versi consigliabile (anche se oramai relativo a una norma superata, il Data Protection Act inglese del 1998).