L’impegno del Governo in materia di cybersecurity

L’Italia inizia ad occuparsi di sicurezza informatica con un approccio nazionale, strategico e accentrato, laddove finora questi problemi erano affidati a una selva di enti pubblici o soggetti privati.

Con il DPCM del 24 gennaio 2013, pubblicato nella gazzetta ufficiale n° 66 del 19- 3-2013, il presidente del Consiglio e i ministri membri del Comitato interministeriale per la sicurezza della Repubblica hanno emanato la direttiva recante indirizzi per la protezione cibernetica, volta ad accrescere le capacità del Paese e a confrontarsi con le minacce alla sicurezza informatica.

Tale direttiva pone le basi per un sistema organico, all’interno del quale, sotto la guida del presidente del Consiglio, le varie istanze possono esercitare in sinergia le loro competenze inerenti alla sicurezza delle informazioni.

Questo decreto rappresenta una svolta sulla percezione da parte dello stato sulla sicurezza delle informazioni; infatti, non dimentichiamo né quanto successo negli anni scorsi, ovvero nel 2007 in Lituania e nel 2008 in Estonia, nazioni altamente informatizzate in cui, a causa di un attacco cyber, le maggiori risorse del paese sono state rese inservibili, né i recenti attacchi alle principali strutture governative americane, europee e italiane.

Negli ultimi anni gli attacchi informatici sono cresciuti in modo esponenziale, le maggiori associazioni di settore hanno stimato che circa il 40% di essi necessitano di almeno 4 giorni prima di essere risolti. Gli attacchi nella maggioranza dei casi vanno a buon fine a causa di un’errata configurazione dei sistemi di sicurezza, per la mancanza di specifiche competenze e soprattutto per l’assenza di procedure atte a regolamentare le attività in caso di attacco o incidente informatico; a fronte di ciò, i costi sostenuti sia dai privati che dalla Pubblica Amministrazione per proteggersi, ma soprattutto per riparare i danni eventuali, sono elevatissimi.

Con questo provvedimento il governo si impegna a realizzare un’architettura istituzionale, che assicuri coerenza d’azione per ridurre le vulnerabilità dello spazio cibernetico e aumentare le capacità d’individuazione della minaccia, al fine di prevenirne i rischi.

Anche per il Parlamento la cybersecurity è un tema di grande interesse. La commissione Trasporti, poste e telecomunicazioni della Camera, nel chiudere l’indagine conoscitiva sulla sicurezza informatica delle reti, chiede l’introduzione del reato di furto di identità digitale, prevedendo adeguate sanzioni penali e propone anche “la costituzione di squadre di livello nazionale per la risposta ad emergenze informatiche (Cert nazionali), l’adozione di una strategia di sicurezza informatica nazionale, l’elaborazione di piani di emergenza nazionali, l’organizzazione di esercitazioni nazionali e la partecipazione, come già avvenuto nel recente passato, ad esercitazioni europee”.

A tal proposito, non tutti sanno che ogni anno l’ENISA organizza una esercitazione denominata Cyber Europe; a tale esercitazione nel 2012 hanno partecipato oltre 500 professionisti della sicurezza informatica di tutta Europa, i cui risultati sono disponibili sul sito dell’ENISA alla voce cybereurope 2012.

Anche in Italia vengono effettuate delle esercitazioni su tale tematica ma attualmente queste sono limitate al solo comparto militare con il coinvolgimento di alcune infrastrutture critiche nazionali. La speranza con l’approvazione del decreto sulla cybersecurity è che dette esercitazioni vedano sempre di più il coinvolgimento delle aziende e delle infrastrutture nazionali informatizzate, oltre alle realtà militari che per loro missione sono già preposte a questo.

A cura di Bruno Carbone, ICT Security & Privacy Expert

Articolo pubblicato sulla rivista ICT Security – Maggio 2014