Report Luiss: “Sicurezza informatica deve evolversi con la tecnologia”
Il costante incremento di attacchi informatici contro la Pubblica amministrazione e l’aumento del livello di sofisticazione degli stessi minacciano il corretto funzionamento delle istituzioni italiane.
A spiegarlo è il documento ‘Cybersecurity nella pubblica amministrazione – policy paper 2017‘, redatto a valle di un corso per dirigenti pubblici organizzato dalla School of Government dell’Università Luiss Guido Carli in collaborazione con alcune imprese (Bv Tech, Ids, Leonardo, Microsoft e Unipol) e con il patrocinio dell’Agenzia per l’Italia digitale (AgID).
La direzione del corso è stata curata dal prof. Raffaele Marchetti (Luiss), con Roberta Mulas (Luiss) a svolgere il ruolo di tutor. Il comitato scientifico, invece, ha visto la partecipazione del prof. Marco Mayer (direttore del master in Intelligence e sicurezza alla Link Campus University e docente di Conflict e peace building alla Luiss) e Adriano Soi (già prefetto e responsabile della Comunicazione istituzionale del Dis, oggi docente di Security studies alla Scuola “Cesare Alfieri” dell’Università di Firenze).
“Nato con l’obiettivo di contribuire al dialogo fra soggetti pubblici e privati nella lotta al cyber crimine”, spiegano gli organizzatori, il corso ha visto riuniti responsabili della sicurezza cibernetica di vari enti della Pa nazionale, che hanno condiviso informazioni su criticità e migliori pratiche raccolte nel policy paper.
Sia la prevenzione sia la risoluzione delle vulnerabilità, spiega il documento, vanno perseguite affiancando all’ottimizzazione delle prestazioni delle strutture ICT un impegno sul versante delle risorse umane. Spesso, infatti, sembrerebbe che gli stessi dirigenti, pur conoscendo le opportunità offerte dalla crescente integrazione di reti e sistemi, non ne colgano con sufficiente consapevolezza i rischi.
Si suggerisce, dunque, la ridefinizione delle competenze e dei ruoli dei dirigenti pubblici, nonché delle stesse strutture della pubblica amministrazione in vista della necessità di un’evoluzione delle competenze e delle capacità che vadano di pari passo con quella endemica della tecnologia.
I consigli pratici proposti dal report
- Irrobustire i presidi tecnologici per la protezione delle reti e dei perimetri organizzativi della Pa, anche attraverso la collaborazione fra i Computer emergency response team (Cert) nazionali ed esteri;
- rafforzare il ruolo delle istituzioni centrali preposte alla sicurezza informatica, come il Cert-Pa, ampliandone il ruolo con mansioni esecutive e di consulenza;
- investire nella formazione e nella sensibilizzazione del capitale umano della Pa;
- promuovere fra i dipendenti la condivisione di informazioni; garantire un livello standard minimo di awareness sulla sicurezza di tutti i dipendenti;
- istituire linee-guida condivise e l’adozione di regolamenti e standard come, ad esempio, le “Misure minime di sicurezza ICT” diffuse da AgID;
- stabilire una coerenza organizzativa;
- istituire un servizio assistenza di AgID cui la Pa possa rivolgersi in caso di necessità;
- promuovere e consolidare la partnership pubblico-privato;
- incentivare l’industria nazionale a sviluppare prodotti innovativi e all’avanguardia.
La sicurezza informatica, conclude il documento, deve essere vista come un processo e non come uno stato che, una volta raggiunto, si mantiene unicamente attraverso la manutenzione dell’esistente, suggerendo dunque la proposizione di penetration testing attraverso cui valutare le vulnerabilità delle infrastrutture della pubblica amministrazione e delle infrastrutture critiche di interesse nazionale per poi proporre contromisure disegnate su di esse.
