E’ stata presentata il 25 maggio la strategia del governo per la Cybersicurezza: in conferenza stampa, l’Autorità delegata per la sicurezza della Repubblica, Franco Gabrielli, e il Direttore dell’Agenzia per la Cybersicurezza Nazionale (ACN), Roberto Baldoni, hanno presentato la Strategia nazionale di cybersicurezza per il periodo 2022-2026 e l’annesso Piano di implementazione. Entrambi i documenti (scaricabili online sul sito ACN) sono stati approvati lo scorso 18 maggio dal Comitato Interministeriale per la Cybersicurezza (presieduto dal Presidente del Consiglio Mario Draghi).
Garantire fondi e misure da perseguire con continuità
Con attacchi che quotidianamente colpiscono siti di istituzioni, banche ed aziende italiane, e che a partire dall’inizio del conflitto tra Russia e Ucraina si sono intensificati, è fondamentale assicurare azioni e fondi adeguati ad assicurare Sovranità tecnologica e capacità di risposta.
Secondo il piano, al settore saranno destinati l’1,2% degli investimenti nazionali lordi del Paese. Dai progetti di Orizzonte Europa, Europa Digitale e del PNRR arriveranno 623 milioni di euro. Il piano di implementazione si articola in 82 misure: vanno dalla creazione di una rete (per mettere insieme tutte le competenze del Paese) all’adozione di schemi di certificazione europea di cybersecurity, a linee guida per la gestione automatizzata del rischio cyber secondo un approccio “zero trust”, alla migrazione sicura dei servizi e dei dati della Pubblica Amministrazione sul cloud, alla promozione dell’uso della crittografia in ambito non classificato, alla creazione di un’infrastruttura di High Performance Computing per la cybersicurezza nazionale, con strumenti di simulazione, basati su AI/ML, per supportare le fasi di prevenzione, scoperta, risposta e predizione degli impatti di attacchi cyber di natura sistemica.
Il tutto, in linea con quanto previsto dalla Strategia dell’Unione europea per la cybersicurezza del dicembre 2020, dalla Bussola Strategica per la sicurezza e la difesa dell’Ue del marzo 2022 e dai recenti indirizzi strategici della Nato (come sottolinea Mario Draghi nell’introduzione del documento).
Gli obiettivi della Strategia nazionale
Gli obiettivi sono molteplici: si punta innanzi tutto a rafforzare la resilienza nella transizione digitale del sistema Paese; ad avere una autonomia nazionale in ambito cybersecurity; a essere in grado di anticipare l’evoluzione delle minacce cyber; a gestire le eventuali crisi e contrastare la disinformazione online. Per raggiungere questi obiettivi, l’ACN punterà a realizzare un “Parco per la Cybersicurezza”, uno spazio virtuale di lavoro che metta insieme diverse competenze maturate nel Paese, che proverranno dalla PA, dall’industria e dal mondo accademico e della ricerca.
Baldoni: la situazione con riferimento agli attacchi cyber potrebbe peggiorare
Baldoni ha commentato la situazione di cyberwarfare del recente periodo sottolineando il rischio che arrivino nuovi attacchi hacker, anche più gravi di quelli attuali. “Siamo oggi di fronte ad attacchi simbolici e non a vere e proprie campagne – ha detto Baldoni. Occorre prepararsi a campagne che potrebbero portare a decine di attacchi in contemporanea”. Finora molti attacchi hacker subiti dall’Italia hanno puntato soprattutto alla disinformazione, ha spiegato il direttore dell’Agenzia: “Non si punta a danneggiare l’infrastruttura digitale ma si colpisce invece il nostro inconscio, portando a una polarizzazione delle opinioni”, un condizionamento delle persone che può essere utile nello sviluppo di ulteriori strategie.
L’ACN però non si occuperà direttamente della gestione degli attacchi: “L’agenzia fornisce linee guida ma poi queste strategie devono essere adottate all’interno delle singole organizzazioni”. Un punto importante quindi la sottolineatura che l’impegno deve essere comune e il più possibile sinergico: come si esplicita infatti nel documento: “Trasversale agli obiettivi di protezione, risposta e sviluppo, nonché ai fattori abilitanti della formazione, della promozione della cultura della cybersicurezza e della cooperazione, è la Partnership Pubblico-Privato (PPP), la quale permea interamente la presente strategia”. Ossia, la Strategia “vede il settore pubblico agire sinergicamente con quello privato, il mondo accademico e della ricerca, i media, le famiglie e gli individui per rafforzare la resilienza cibernetica della nazione e della società nel suo insieme”.
Come aiutare il Paese a recuperare il gap sulla cybersecurity
“Il Paese vive una condizione di deficit complessivo di sicurezza del dominio cibernetico, la maggior parte dei server della PA non ha standard minimi di sicurezza dei dati. È un ritardo che pesa”, ha osservato Gabrielli. “Non serve però – ha aggiunto – un atteggiamento isterico”. Il punto, infatti, non è tanto l’attacco in sé, ma piuttosto, le conseguenze che porta. In alcuni casi le strutture sono in grado di reggere le operazioni malevole, in altri meno, quello che è certo è che il mondo del cyber crime è molto variegato e genera profitti altissimi in molte parti del mondo, non solo in Russia. Per affrontarlo è indispensabile un fronte comune di tutti, oltre che tanta “consapevolezza, sangue freddo, cultura” (citando testualmente Gabrielli).
Il potenziamento dell’Agenzia per la cybersecurity
L’Agenzia prevede, in 2 anni, di aumentare il numero del personale impiegato e quello della dotazione finanziaria: 41 milioni di euro per il 2022, destinati a crescere fino ai 122 milioni previsti nel 2027. Si aggiungono le risorse dei programmi Orizzonte Europa ed Europa Digitale, e quelle del PNRR, che ha stanziato 623 milioni di euro per la cybersicurezza della PA.
Dal punto di vista operativo, previsto anche un “Hyper SOC”, ossia, un centro (Security Operation center) per la raccolta, correlazione e analisi di eventi di interesse, ottenuti anche tramite convenzioni dagli ISP (Internet service provider), in modo da individuare precocemente eventuali “pattern” di attacco complessi.
—————-
La diretta della conferenza da Palazzo Chigi: Cybersicurezza, Gabrielli e Baldoni presentano la Strategia nazionale
