La cybersecurity nella Pubblica Amministrazione è oggi una componente essenziale della protezione dei dati, della continuità operativa e della sicurezza dei servizi pubblici.
Comuni, scuole, enti sanitari, istituzioni e amministrazioni pubbliche gestiscono quotidianamente grandi quantità di dati personali e informazioni amministrative attraverso sistemi informativi, piattaforme cloud, servizi digitali, posta elettronica e applicativi gestionali.
La crescente digitalizzazione rende quindi necessario adottare un approccio strutturato alla sicurezza informatica della PA, capace di integrare protezione dei dati personali, gestione del rischio cyber, misure tecniche e organizzative, formazione del personale e capacità di risposta agli incidenti.
La cybersecurity non riguarda soltanto l’ufficio IT. È una responsabilità organizzativa che coinvolge governance, processi, persone, tecnologie e fornitori.
Per questo motivo, rafforzare la cybersecurity significa oggi rafforzare la resilienza della Pubblica Amministrazione.
Per una Pubblica Amministrazione, infatti, un attacco informatico non rappresenta soltanto un problema tecnico.
Può determinare:
- indisponibilità dei servizi;
- perdita o alterazione di informazioni;
- accesso non autorizzato ai dati;
- divulgazione di informazioni personali;
- interruzione dei procedimenti amministrativi;
- danni economici e organizzativi;
- responsabilità sotto il profilo della protezione dei dati;
- perdita di fiducia da parte di cittadini, utenti e dipendenti.
La cybersecurity deve quindi essere affrontata come una componente della governance dell’organizzazione.
GDPR e cybersecurity: due facce dello stesso problema
Il Regolamento (UE) 2016/679 non prescrive un elenco rigido e immutabile di strumenti tecnologici.
L’art. 32 GDPR richiede invece l’adozione di misure tecniche e organizzative adeguate al rischio, tenendo conto dello stato dell’arte, dei costi di attuazione, della natura, dell’oggetto, del contesto e delle finalità del trattamento.
Tra gli elementi espressamente richiamati dal Regolamento rientrano la cifratura, la capacità di garantire riservatezza, integrità, disponibilità e resilienza dei sistemi, il ripristino tempestivo dei dati e la verifica periodica dell’efficacia delle misure adottate.
Il Garante Privacy chiarisce inoltre che l’art. 32 non introduce un catalogo di “misure minime” valido indistintamente per tutti i soggetti: la sicurezza deve essere valutata caso per caso, sulla base dei rischi specifici del trattamento.
Questo principio è fondamentale.
Una Pubblica Amministrazione non dovrebbe quindi chiedersi soltanto:
“Quale antivirus utilizziamo?”
ma soprattutto:
“Quali sono i nostri dati, quali sistemi li trattano, quali minacce possono comprometterli e quali misure abbiamo adottato per ridurre il rischio?”
È questo il passaggio da una sicurezza meramente tecnologica a una vera risk-based security governance.
I principali elementi da verificare
1. Inventario degli asset digitali
Non è possibile proteggere adeguatamente ciò che non si conosce.
L’organizzazione dovrebbe avere una visione aggiornata almeno dei principali:
- sistemi informativi;
- server;
- dispositivi;
- applicativi;
- piattaforme cloud;
- account;
- servizi SaaS;
- banche dati;
- connessioni e apparati di rete;
- fornitori ICT.
L’inventario costituisce la base per identificare le risorse critiche e stabilire le priorità di protezione.
2. Gestione delle identità e degli accessi
Le credenziali rappresentano uno dei principali punti di attacco.
È pertanto necessario verificare periodicamente:
- chi possiede un account;
- quali sistemi può utilizzare;
- quali dati può consultare;
- quali privilegi possiede;
- se tali privilegi sono ancora necessari;
- se gli account degli utenti cessati o trasferiti sono stati disabilitati;
- se sono presenti account condivisi;
- se è possibile utilizzare sistemi di autenticazione forte o MFA.
Il principio di riferimento deve essere quello del minimo privilegio necessario.
Un dipendente dovrebbe poter accedere esclusivamente alle risorse necessarie allo svolgimento delle proprie funzioni.
3. Aggiornamento e gestione delle vulnerabilità
Sistemi operativi, applicazioni, plugin, firmware e componenti infrastrutturali devono essere mantenuti aggiornati.
Una vulnerabilità nota e non corretta può trasformarsi in una porta d’accesso all’intera infrastruttura.
La gestione degli aggiornamenti dovrebbe quindi essere inserita in una procedura organizzativa, prevedendo almeno:
identificazione → valutazione → aggiornamento → verifica → registrazione.
4. Backup e capacità di ripristino
Il backup non deve essere considerato semplicemente come una copia dei dati.
La vera domanda è:
“Se domani il sistema viene compromesso, siamo realmente in grado di ripristinarlo?”
Occorre quindi verificare non soltanto l’esistenza dei backup, ma anche:
- frequenza;
- conservazione;
- protezione delle copie;
- separazione rispetto ai sistemi ordinari;
- accessibilità in caso di incidente;
- tempi di ripristino;
- effettiva riuscita dei test di restore.
La capacità di ripristinare tempestivamente disponibilità e accesso ai dati costituisce espressamente uno degli elementi richiamati dall’art. 32 GDPR.
5. Phishing e fattore umano
La tecnologia da sola non è sufficiente.
Un’organizzazione dotata di sistemi avanzati di protezione può essere compromessa attraverso una semplice credenziale sottratta mediante phishing.
Per questo motivo la formazione degli utenti deve essere considerata una vera misura di sicurezza organizzativa.
Il personale deve essere messo in condizione di riconoscere:
- email fraudolente;
- allegati sospetti;
- falsi messaggi provenienti da dirigenti o colleghi;
- richieste anomale di pagamento;
- tentativi di sottrazione delle credenziali;
- falsi portali di autenticazione;
- messaggi costruiti attraverso tecniche di social engineering.
La formazione dovrebbe inoltre essere periodica e non limitarsi alla consegna di una policy.
6. Gestione degli incidenti e data breach
Una Pubblica Amministrazione deve essere preparata anche all’eventualità che una misura di sicurezza fallisca.
Un incidente può riguardare, ad esempio:
- ransomware;
- compromissione di un account;
- perdita di un dispositivo;
- invio di dati al destinatario errato;
- accesso abusivo;
- cancellazione o alterazione dei dati;
- divulgazione accidentale;
- compromissione di un fornitore.
In presenza di un incidente occorre attivare una procedura strutturata:
rilevazione → contenimento → analisi → valutazione del rischio → eventuale notifica → ripristino → documentazione → azioni correttive.
Il Garante ha recentemente ribadito che la capacità di individuare, gestire e segnalare tempestivamente una violazione costituisce un elemento essenziale delle misure tecniche e organizzative richieste dall’art. 32 GDPR.
La gestione del data breach non dovrebbe quindi essere improvvisata nel momento dell’emergenza.
Deve essere preparata prima dell’incidente.
7. I fornitori sono parte della superficie di attacco
La digitalizzazione ha portato le amministrazioni a utilizzare un numero crescente di servizi forniti da soggetti esterni.
Registro elettronico, gestione documentale, protocollo, cloud, posta elettronica, software gestionali, servizi di assistenza tecnica e piattaforme online possono comportare trattamenti di dati personali affidati a soggetti terzi.
Per questo motivo la sicurezza della PA dipende anche dalla sicurezza della propria supply chain.
È necessario verificare:
- ruolo privacy del fornitore;
- art. 28 GDPR, quando applicabile;
- sub-responsabili;
- misure di sicurezza;
- gestione degli accessi;
- localizzazione dei dati;
- eventuali trasferimenti internazionali;
- procedure di gestione degli incidenti;
- tempi di conservazione;
- restituzione o cancellazione dei dati;
- modalità di cessazione del servizio.
La sicurezza non può fermarsi al perimetro fisico dell’ente.
8. NIS2 e nuova cultura della sicurezza
Il quadro normativo europeo ha ulteriormente rafforzato il concetto di resilienza cyber.
In Italia la nuova disciplina NIS è in vigore dal 16 ottobre 2024 ed è stata recepita con il D.Lgs. 138/2024. L’ambito di applicazione interessa specifici settori e categorie di soggetti: non tutte le amministrazioni sono automaticamente soggette agli stessi obblighi e occorre quindi verificare concretamente il proprio perimetro normativo.
Per i soggetti rientranti nella disciplina, la sicurezza deve essere affrontata attraverso un approccio strutturato alla gestione del rischio e degli incidenti.
Anche al di fuori del perimetro NIS2, tuttavia, i principi di prevenzione, resilienza, gestione degli incidenti e continuità operativa rappresentano un riferimento utile per qualsiasi organizzazione pubblica.
9. La sicurezza deve entrare nella governance
Il vero salto culturale consiste nel superare la separazione tra:
Privacy | ICT | Sicurezza | Trasparenza | Organizzazione
e costruire invece un sistema integrato di governance.
Privacy e cybersecurity devono dialogare con:
- gestione del rischio;
- protezione dei dati;
- continuità operativa;
- gestione documentale;
- sicurezza dei fornitori;
- formazione;
- trasparenza;
- controllo interno.
In questo modello il DPO/RPD non diventa il responsabile della sicurezza informatica.
Il suo ruolo rimane quello previsto dal GDPR.
Tuttavia, il DPO deve poter interagire con le funzioni tecniche e organizzative dell’ente affinché i rischi per i diritti e le libertà delle persone siano correttamente considerati nella progettazione e nella gestione dei trattamenti.
Una verifica pratica per la Pubblica Amministrazione
Un primo livello di assessment può essere costruito attraverso dieci domande:
- Conosciamo tutti i sistemi che trattano dati personali?
- Conosciamo tutti gli account attivi?
- I privilegi di accesso sono coerenti con le mansioni?
- Gli account non più necessari vengono tempestivamente disabilitati?
- Gli aggiornamenti di sicurezza vengono gestiti sistematicamente?
- I backup vengono verificati anche attraverso prove di ripristino?
- Esiste una procedura per la gestione degli incidenti?
- Il personale riceve formazione periodica sul phishing e sul social engineering?
- I fornitori ICT sono stati adeguatamente valutati anche sotto il profilo privacy e sicurezza?
- Le misure di sicurezza vengono periodicamente riesaminate sulla base dell’evoluzione dei rischi?
Se alcune risposte sono negative, non significa necessariamente che l’organizzazione sia “non conforme”.
Significa, più correttamente, che esiste un gap da analizzare e governare.
Dalla conformità documentale alla resilienza
Uno degli errori più frequenti consiste nel considerare la cybersecurity come un insieme di documenti da produrre per dimostrare la conformità.
La documentazione è necessaria, ma non è sufficiente.
Una policy che nessuno applica non protegge i dati.
Un backup mai testato non garantisce il ripristino.
Una procedura di data breach sconosciuta al personale non garantisce una risposta efficace.
Una formazione effettuata una sola volta non costituisce necessariamente una cultura della sicurezza.
Il vero obiettivo deve essere quindi la costruzione di un sistema nel quale persone, processi, tecnologie e documentazione siano coerenti tra loro.
La cybersecurity come investimento di resilienza
Per una Pubblica Amministrazione la domanda non dovrebbe più essere:
“Quanto ci costa mettere in sicurezza i nostri sistemi?”
La domanda corretta dovrebbe essere:
“Quale sarebbe il costo organizzativo, economico, reputazionale e giuridico di un incidente che non siamo preparati a gestire?”
La cybersecurity non è soltanto una voce del bilancio ICT.
È una componente della resilienza dell’Amministrazione.
Proteggere i dati significa proteggere le persone.
Proteggere i sistemi significa garantire la continuità dei servizi pubblici.
Prepararsi agli incidenti significa rendere l’organizzazione più resiliente.
E integrare privacy, sicurezza e governance significa trasformare la compliance da mero adempimento in uno strumento concreto di governo del rischio.
Il ruolo di Progetto PGM
In questo scenario, un approccio efficace richiede competenze complementari.
Progetto PGM opera nell’ambito della consulenza alle organizzazioni pubbliche con una visione integrata che collega protezione dei dati personali, compliance, trasparenza, organizzazione e sicurezza digitale.
L’obiettivo non è soltanto verificare l’esistenza degli adempimenti, ma supportare l’Amministrazione nella costruzione di un sistema coerente, documentato e concretamente applicabile.
La sicurezza digitale della PA, infatti, non si costruisce con una singola soluzione tecnologica.
Si costruisce attraverso un processo continuo di:
analisi → prevenzione → formazione → controllo → gestione dell’incidente → miglioramento.
Ed è proprio questa la logica che deve guidare oggi la governance digitale della Pubblica Amministrazione.
