Quando ci si approccia alla sicurezza informatica della PA o di un’organizzazione complessa, essendo un processo ampio che abbraccia anche ambiti diversi, sono molti gli interrogativi che i tecnici si pongono, tra cui quali siano le minacce da cui deve essere salvaguardata l’infrastruttura informatica e come garantire una protezione a costi relativamente contenuti. La sicurezza informatica, o information security, è infatti l’insieme di tecnologie e procedure atte alla protezione da attacchi fraudolenti delle risorse sensibili dei sistemi e delle reti informatiche. In caso di attacchi informatici, l’infrastruttura, composta da reti, router e server che collegano questi sistemi, potrebbe non essere più in grado di funzionare in modo affidabile e quindi il decadimento dei servizi erogati ai cittadini.
Sicurezza informatica delle PA: perché è importante
La diffusione di internet ha aperto nuove opportunità per le Pubbliche Amministrazioni, che, attraverso la digitalizzazione, hanno potuto migliorare la loro efficienza e produttività, fornendo al contempo più servizi ai cittadini (a tutto beneficio dei tempi di attesa e di una generale sburocratizzazione). Chiaramente questa transizione verso il digitale ha esposto le PA a nuovi rischi, come quelli inerenti alla sicurezza informatica.
Infatti, alcune applicazioni utilizzate dalle PA, rappresentano un potenziale canale di accesso a dati sensibili come le informazioni personali, esponendo quindi il settore pubblico a nuovi rischi.
I malintenzionati potrebbero, quindi, violare questi sistemi e “rubare” dati personali, oppure, in un futuro scenario di smart cities, controllare la gestione delle risorse cittadine come le infrastrutture “intelligenti”.
Le conseguenze delle minacce informatiche possono potenzialmente essere considerevoli e causare interruzioni dell’attività, perdite di dati e furti di proprietà intellettuale, con un impatto significativo sia sui cittadini sia sulle stesse pubbliche amministrazioni (senza contare i gravi danni di immagine).
In questo contesto, la continuità del servizio, rappresenta un requisito fondamentale per qualsiasi condivisione di informazioni. Le pubbliche amministrazioni devono dotarsi di una serie di strumenti atti ad assicurare un opportuno livello di sicurezza informatica. La sfida a cui sono chiamate è quella di soddisfare le aspettative dei cittadini e, congiuntamente, mantenere i sistemi informatici sicuri.
Quali strumenti utilizzare?
Una delle azioni propedeutiche da intraprendere per quanto concerne la sicurezza informatica delle Pubbliche Amministrazioni è quella di accrescere la consapevolezza e le competenze del personale che deve comunque essere formato e informato sul tipo di rischi e minacce. A tal proposito è molto importante la percezione del rischio da parte del personale perché ci può essere una generale tendenza a una sottovalutazione degli attacchi.
La formazione è importante perché aiuta il personale a gestire il proprio comportamento nella postazione di lavoro (deve capire cosa può e non può fare).
Combattere efficacemente contro le fughe e le perdite di dati, i virus, i malware, i ransomware e altre minacce avanzate sono alcune sfide che il settore pubblico deve affrontare quotidianamente. Anche la gestione di device removibili, quali Hard Disk USB, smartphone, ecc, deve essere opportunamente disciplinata.
Per le pubbliche amministrazioni, i dati riservati devono essere protetti a diversi livelli: a livello di rete, separando l’architettura critica dall’ambiente di lavoro quotidiano (è importante per controllare l’accesso ai dati), e al livello dell’applicazione (per evitare eventuali intrusioni).
Il controllo degli accessi, che impedisce l’accesso non autorizzato ai sistemi e alle risorse, rimane uno dei principali servizi di sicurezza per impedire la divulgazione non autorizzata delle informazioni, impedendone la modifica non autorizzata e la relativa integrità.
Outsourcing? Perché no?
Al netto del rispetto delle Linee guida per la sicurezza ICT delle pubbliche amministrazioni, per alcune di esse l’outsourcing può essere più di una soluzione. Affidarsi a un’azienda esterna che, dopo una valutazione preliminare, è in grado di verificare il livello di sicurezza informatica, predisponendo le azioni più opportune, può essere più di una soluzione.
Il tutto deve però essere accompagnato da un adeguato monitoraggio e da azioni formative sistematiche e periodiche.
Scritto da Michele Onorato – CISO e BU Manager 
{{cta(‘2b56610d-2584-4be0-905b-1fb47975e7e1′,’justifycenter’)}}
