Piano triennale AgID 2020: panoramica e obiettivo del capitolo 6, “Sicurezza informatica”
Il primo capitolo è dedicato ai servizi, e non c’è da meravigliarsene, visto che si tratta dei servizi che vengono erogati a tutti i cittadini italiani e che, grazie alla digitalizzazione, diventeranno più semplici ed efficienti. Ma c’è (almeno) un altro aspetto che vale la pena approfondire.
Il sesto capitolo del Piano triennale per l’informatica nella pubblica amministrazione per triennio 2020-22 è dedicato alla sicurezza informatica. Un argomento non di poco conto visto che, ormai, tutto passa per gli strumenti digitali. Che offrono tante possibilità ma non sono esenti da minacce. Minacce che bisogna sventare.
Temi:
Panoramica
Se, ormai e sempre di più, i servizi digitali erogati dalla pubblica amministrazione sono cruciali per il funzionamento di tutto il sistema pubblico, va da sé che in tutte le PA devono essere prese seriamente in considerazione tutte le soluzioni per evitare le possibili minacce alla sicurezza informatica.
Le PA hanno quindi l’obbligo di fronteggiare queste minacce, specialmente alla luce di una sempre maggiore fiducia dei cittadini verso i servizi erogati in modalità digitale, ritenuti più semplici ed efficienti. Allo stesso tempo, il contrasto alle minacce informatiche deve garantire la disponibilità, l’integrità e la riservatezza delle informazioni sensibili e la conservazione dei dati personali dei cittadini.
Ed è qui che entra in gioco la cyber security, visto che i punti di accesso ai servizi digitali sono i diversi portali istituzionali delle pubbliche amministrazioni. L’obiettivo è realizzare un livello omogeneo di sicurezza che riguardi tutte le PA sul territorio nazionale attraverso l’utilizzo di linee guida e guide tecniche condivise.
Obiettivi
Nella tabella qui di seguito sono raccolti tutti gli obiettivi stabiliti nel capitolo 6 del Piano triennale per l’informatica nella pubblica amministrazione per il triennio 2020-22, ovvero gli obiettivi relativi alla sicurezza informatica che ogni PA deve necessariamente raggiungere:
| Incremento del livello di Cyber Security Awareness misurato tramite questionari di self assessment ai RTD | Target 2020 – Baseline: rilevazione del livello di Cyber Security Awareness. |
| Target 2021 – Incremento del 30% rispetto alla baseline di Cyber Security Awareness. | |
| Target 2022 – Incremento del 40% rispetto alla baseline di Cyber Security Awareness. | |
| Incremento del numero dei portali istituzionali che utilizzano il protocollo HTTPS only, misurato tramite tool di analisi specifico | Target 2020 – Baseline: rilevazione del numero portali istituzionali della PA che utilizzano il protocollo HTTPS. |
| Target 2021 – Incremento del 25%, rispetto alla baseline, nell’utilizzo del protocollo HTTPS. | |
| Target 2022 – Incremento del 75%, rispetto alla baseline, nell’utilizzo del protocollo HTTPS. | |
| Massimizzare il numero dei Content Management System (CMS) non vulnerabili utilizzati nei portali istituzionali delle PA, misurato tramite tool di analisi specifico |
Target 2020 – Baseline: rilevazione delle versioni potenzialmente non vulnerabili dei CMS. |
| Target 2021 – Incremento del 25%, rispetto alla baseline dei CMS non vulnerabili. | |
| Target 2022 – Incremento del 75%, rispetto alla baseline dei CMS non vulnerabili. |
Note per comprendere appieno gli obiettivi
- Cyber security awareness. Si tratta del livello di consapevolezza che l’utente finale ha in tema di sicurezza informatica. Dal momento che si sta parlando dell’ambito pubblico, l’utente finale è il cittadino, che deve essere informato ed educato sulle possibili minacce derivanti dall’utilizzo di sistemi informatici e dall’accesso a Internet.
- Questionari di self assesment. Sono dei questionari di auto valutazione che vengono somministrati a determinati soggetti, tanto in ruoli apicali quanto a livello operativo, per valutare il grado di conoscenza di un determinato aspetto tra quelle persone o, in generale, nella società/gruppo di cui fanno parte.
- RTD. L’acronimo sta per responsabile per la transizione al digitale. Ruolo obbligatorio all’interno delle pubbliche amministrazioni, il suo compito è fare in modo che la sua PA di riferimento risponda in maniera tempestiva ed efficiente alle richieste della trasformazione digitale della pubblica amministrazione.
- Protocollo HTTPS. L’HyperText Transfer Protocol over Secure Socket Layer è un protocollo che si usa per la comunicazione su Internet. Con HTTPS, la connessione viene criptata tramite crittografia asimmetrica. Questo garantisce un alto livello di sicurezza per il sito che implementa il protocollo HTTPS.
- CMS. Altro acronimo il cui significato è content management system. Installato su un server, questo software permette a un operatore, che non deve essere necessariamente un informatico (dal momento che un CMS ha interfaccia WYSIWYG – What You See Is What You Get), di gestire i contenuti da pubblicare su un sito web
Soggetti coinvolti
I soggetti coinvolti nel raggiungimento di questi obiettivi sono essenzialmente tre:
- AgID, l’Agenzia per l’Italia digitale;
- Dipartimento per la Trasformazione Digitale, il cui scopo è definire le politiche per la modernizzazione tecnologica dell’Italia;
- Tutte le pubbliche amministrazioni, che dovranno mettere in atto politiche e strategie per raggiungere gli obiettivi.
Considerazioni e soluzioni
Rispetto ad altri obiettivi del Piano triennale AgID 2020, come ad esempio quelli previsti nel capitolo 1 “Servizi”, quelli in merito alla sicurezza informatica appaiono molto fattibili nei tempi dati. L’unica perplessità potrebbe essere data dalla necessità di fare una mappatura di tutti i portali e di tutti i CMS utilizzati, ma anche così l’obiettivo non sembra improbo.
Come garantire la sicurezza informatica
Fermo restando l’utilità e l’importanza delle soluzioni indicate dal Piano triennale AgID, ci sono altre misure che si possono attuare per garantire la sicurezza informatica, come le misure di sicurezza fisica, di sicurezza logica e implementare un indispensabile piano di business continuity.
Approfondimento: Sicurezza informatica: le migliori best practice da seguire
Area Editoriale