La Cyber Security nella Pubblica Amministrazione: quali strumenti per proteggere i dati sensibili?

La sicurezza cibernetica riguarda tutti e coinvolge sia i soggetti privati sia gli enti pubblici. Nell’ambito della pubblica amministrazione, il tema della cyber security presenta ormai carattere di urgenza: negli ultimi anni, infatti, la vulnerabilità del sistema informatico della PA, che custodisce e raccoglie dati sensibili, ha causato ingenti danni.

L’evoluzione digitale degli organismi atti a garantire lo svolgimento delle funzioni essenziali dello Stato, siano esse economiche, sociali o civili, deve avere come presupposto fondamentale la sicurezza delle reti informatiche nella PA.

Relativamente alla cyber security, la situazione delle PA italiane è tutt’altro che positiva: fra i Paesi del G7, infatti, l’Italia occupa l’ultima posizione nel rapporto tra spesa per la sicurezza cibernetica e Prodotto Interno Lordo. Nel corso degli ultimi anni, la minaccia alla sicurezza informatica nella pubblica amministrazione è aumentata in misura consistente: ne è un esempio l’attacco informatico sferrato nell’estate del 2021 ai danni della Regione Lazio, che ha visto sabotati il proprio CED, i propri sistemi informatici, il portale Salute e la rete preposta alla prenotazione dei vaccini.

Ma la questione della cyber security nella PA era emersa con forza già nel 2019, in seguito al “caso Exodus”, un software spia nascosto tra le normali app scaricabili da Google Play Store utilizzato da Polizia e Procure italiane per le sole intercettazioni di reati di criminalità organizzata e terrorismo che, a causa di un bug nei sistemi operativi Android, ha invece permesso di monitorare in modo illecito i dati di centinaia di utenti estranei a qualsiasi procedimento penale.

A seguito di questo episodio, era intervenuto anche il fondatore di boolebox Valerio Pastore, che già allora, in un’intervista alla testata CorCom, aveva messo in evidenza come la sicurezza informatica nella PA (e non solo) debba essere proattiva e quanto sia fondamentale stimolare una maggiore sensibilizzazione da parte degli utenti del web. Nello specifico di “Exodus” il problema era stato causato non solo dal mancato controllo della app utilizzata, ma soprattutto dalla mancata installazione di sistemi preventivi che consentono di crittografare e proteggere i dati.

Anche se nel 2021 il mercato della sicurezza informatica in Italia ha raggiunto un valore di 1 miliardo e 550 milioni di euro ed è in continua crescita, purtroppo il processo di digitalizzazione fino a questo momento non è stato affiancato da un’adeguata formazione, soprattutto in materia di sicurezza dei dati nella pubblica amministrazione.

Cyber risk management: come gestire il rischio hacker nella PA

The management of cyber security in the public administration must cover confidentiality, integrity and availability of the information stored, and, to do so, must take into consideration the continuous threats arising from malware attacks.

Il rischio hacker è infatti in costante aumento anche in ambito pubblico, dove a rappresentare un enorme pericolo sono i ransomware, software malevoli che sfruttano le vulnerabilità della rete per entrare nei sistemi operativi e criptare i file conservati negli hard disk rendendoli illeggibili per poi chiedere un riscatto. Coinvolgendo istituzioni deputate a garantire lo svolgimento delle funzioni pubbliche e governative, quali la raccolta e la conservazione di dati sensibili di dati di massima segretezza, che hanno a che fare con la difesa e la sicurezza nazionale, il pericolo di attacchi hacker nella PA può dirsi ancora più grave.

Anche per gli organismi sovranazionali come l’UE, prevenire e salvaguardare le minacce alla pubblica sicurezza è divenuto un obiettivo primario, dal momento che la gestione di un numero sempre maggiore di attività dipenderà dalle tecnologie digitali. In termini di cyber security awareness, l’Unione Europea ha fatto passi da gigante e ha messo a punto una vera e propria strategia che punta all’autonomia e sta adottando diverse misure per affrontare questa sfida. Tra queste, anche il rafforzamento di ENISA, l’Agenzia dell’UE per la cyber sicurezza che ha il compito di sostenere gli Stati membri e le istituzioni dell’Unione che possono essere coinvolte.

Cosa prevedono le linee guida AgID in tema di sicurezza informatica

Tornando in Italia, per stimolare e supportare l’implementazione delle procedure di cyber security nella pubblica amministrazione, l’AgID – Agenzia per l’Italia digitale ha predisposto delle linee guida specifiche per la sicurezza informatica, che sono entrate in vigore quest’anno e che riguardano la formazione, la conservazione e la gestione dei documenti informatici. Si tratta di direttive destinate a tutti gli enti pubblici, oltre che alle organizzazioni private, che hanno l’obbligo di conservare i file elettronici i cui originali devono essere archiviati sulla base di obblighi fiscali e civilistici.

Le direttive di AgID riguardano quindi tutte le pubbliche amministrazioni del nostro Paese e hanno sostituito il DPCM 3 dicembre 2012 relativo alle Regole tecniche per il protocollo informatico e in materia di sistema di conservazione. Hanno anche surrogato le Regole tecniche in materia di formazione, trasmissione, copia, duplicazione, riproduzione e validazione temporale dei documenti informatici presenti nel DPCM 13 novembre 2014.

Che cosa prevedono, dunque, le linee guida per la sicurezza informatica AgID? Per esempio, l’obbligo per le PA di individuare e nominare un responsabile della conservazione, chiamato a predisporre e aggiornare il relativo Manuale. Quest’ultimo deve indicare in maniera dettagliata il modello di funzionamento e le infrastrutture utilizzate, unitamente alle misure di sicurezza impiegate e ai soggetti coinvolti. Fra le altre aree di intervento, vi è poi quella che prevede la redazione e l’aggiornamento del Manuale di Gestione documentale, relativo al sistema di gestione informatica dei documenti, che indica anche come amministrare il protocollo informatico, la gestione dei flussi documentali e gli archivi.

Il Piano Triennale ICT per la Sicurezza informatica

La situazione attuale per ciò che riguarda le misure di sicurezza ICT per le pubbliche amministrazioni è indicata nel Piano triennale per l’informatica nella Pubblica Amministrazione 2020-2022, in cui sono contenute le direttive per favorire la trasformazione digitale del Paese e le linee guida per la sicurezza informatica della PA.

Il Piano propone di favorire uno sviluppo etico, sostenibile ed inclusivo grazie alla digitalizzazione e all’innovazione, che deve avere come presupposto fondamentale la sicurezza dei dati, al fine di ottenere la fiducia nei servizi erogati e nelle piattaforme istituzionali.

Le misure minime per la cyber security nelle istituzioni e nella pubblica amministrazione sono quindi raccolte nel piano triennale ICT e sono atte a creare un livello di sicurezza coerente per tutti portali digitali di accesso ai servizi pubblici.

La cyber security nella pubblica amministrazione, cosa prevede il PNRR

Con il PNRR, Piano Nazionale di Ripresa e Resilienza, l’Italia ha stanziato risorse consistenti per la riforma e la modernizzazione della Pubblica Amministrazione. Sono oltre 40 i miliardi di euro di finanziamenti che verranno impiegati per promuovere l’infrastrutturazione del Paese e l’innovazione digitale, di cui 620 milioni di euro sono espressamente destinati alla cyber security delle PA: un’opportunità di sviluppo e trasformazione digitale per gli enti pubblici e locali che necessitano di risorse e personale per ottimizzare la sicurezza informatica e far fronte agli attacchi sempre più numerosi e sofisticati del Cybercrime.

Boolebox e strumenti per la sicurezza informatica nella PA

Per prevenire le minacce e proteggere i propri sistemi, la pubblica amministrazione deve poter fare affidamento su un fornitore affidabile, versatile e innovativo. È il caso di boolebox, che si avvale della cifratura militare per condividere e archiviare informazioni sensibili e documenti riservati, in conformità con quanto previsto dal GDPR, riuscendo a garantire gli standard di sicurezza e di privacy più elevati.

La cifratura, le cui chiavi di accesso sono note solo agli utenti, è lo strumento attraverso cui boolebox è in grado di proteggere i dati dai furti interni e dagli attacchi esterni. Questo prodotto è disponibile in versione on premise, in modalità cloud o in forma ibrida.

Boolebox propone, per esempio, Secure File Manager, una web app per la condivisione sicura dei file grazie a cui è possibile accedere a un ambiente protetto nel quale le cartelle e i file possono essere caricati, condivisi, modificati e organizzati. Secure E-Mail, invece, garantisce agli utenti la certezza di usare messaggi di posta elettronica protetti e sicuri nella Boole Suite, con tanto di allegati cifrati grazie a funzionalità di protezione avanzate. Con Secure Password, poi, si ha a disposizione una vera e propria cassaforte nella quale è possibile salvare non solo le password di accesso, ma anche qualunque altro tipo di informazione sensibile che abbia a che fare con un documento importante, come le carte di credito o le polizze assicurative. Infine, Secure Transfer permette di trasferire in maniera rapida e sicura file cifrati di qualunque dimensione, tenendo traccia di ogni operazione che viene eseguita sui file trasmessi.

Boolebox assicura la cifratura dei dati sensibili anche grazie a File Encryptor per Windows (per proteggere i file delle cartelle di rete e del computer), File Encryptor per OneDrive e SharePoint, File Encryptor per Google Drive e File Encryptor per Dropbox; la protezione delle mail e degli allegati, invece, è possibile con E-Mail Encryptor per Gmail e con E-Mail Encryptor per Outlook.

Per saperne di più su tutti gli strumenti di protezione dei dati e aumentare la sicurezza informatica nella pubblica amministrazione, rivolgiti a boolebox: ti forniremo tutte le informazioni utili.