L’Agenzia per la Cybersicurezza Nazionale (ACN) compie un passo decisivo per rafforzare la protezione delle banche dati e garantire maggiore sicurezza alle infrastrutture digitali italiane: con la pubblicazione delle nuove linee guida per contrastare accessi abusivi e insider threat, l’ACN fornisce indicazioni operative per migliorare il controllo degli accessi, la gestione dei rischi nella supply chain e la formazione del personale.
Contestualmente, l’avvio del Tavolo per la disciplina NIS consolida l’impegno italiano nell’attuazione delle normative europee sulla sicurezza informatica.
L’annuncio si inserisce nell’ambito della Strategia nazionale di sicurezza cibernetica e segna un ulteriore passo avanti verso il rafforzamento della resilienza del Paese di fronte alle crescenti minacce informatiche.
Indice degli argomenti
Centralità di un controllo rigoroso degli accessi
Il documento rappresenta una raccolta dettagliata delle misure già presenti nelle normative di settore come, ad esempio, il decreto-legge del 21 settembre 2019 n. 105, c.d. Perimetro di sicurezza nazionale cibernetica, ed è corredato da esempi utili alla loro implementazione pratica.
Negli ultimi mesi, si sono verificati episodi che hanno evidenziato l’abuso di banche dati di rilevanza nazionale, con l’accesso non autorizzato a informazioni sensibili da parte di soggetti o organizzazioni. Questi attori, utilizzando tecniche diverse, hanno raccolto dati riservati per creare report e dossier su richiesta di clienti o affiliati.
L’analisi degli eventi ha evidenziato criticità comuni, nonostante le differenze tra i casi: le azioni malevole sono spesso facilitate da permessi lavorativi eccessivamente ampi e dall’inefficacia dei sistemi di rilevamento, che non riescono a prevenire comportamenti impropri considerati leciti dai sistemi di protezione.
Le linee guida enfatizzano la centralità di un controllo rigoroso degli accessi, considerato il primo strumento per prevenire utilizzi impropri.
Interventi prioritari per la protezione delle banche dati
Tra gli interventi prioritari, l’adozione dell’autenticazione multi-fattore emerge come una misura essenziale per mitigare i rischi associati a credenziali compromesse, affiancata dal principio del privilegio minimo, che limita i permessi esclusivamente ai requisiti strettamente necessari per il ruolo dell’utente.
L’audit periodico delle credenziali e dei privilegi, insieme al monitoraggio continuo delle attività degli utenti, permettono di identificare tempestivamente comportamenti anomali o sospetti.
Queste misure, integrate da una segmentazione delle reti e dalla protezione fisica delle infrastrutture, costituiscono una solida barriera contro l’abuso delle credenziali di accesso.
Gestione dei fornitori esterni: punto chiave
Un altro punto chiave delle linee guida riguarda la gestione dei fornitori esterni.
Gli incidenti recenti, che hanno coinvolto software e hardware non adeguatamente controllati, dimostrano la necessità di implementare contratti con clausole specifiche per la protezione dei dati e verifiche periodiche sui partner tecnologici.
Punto di coordinamento per l’attuazione della NIS 2
In parallelo, è stato istituito il Tavolo per l’attuazione della disciplina NIS, presieduto dal Direttore Generale dell’ACN, Prefetto Bruno Frattasi. Questo organismo rappresenta un punto di coordinamento strategico per l’attuazione della normativa europea in materia di sicurezza informatica.
Composto da rappresentanti di amministrazioni centrali, autorità di settore e delegati regionali, è stato progettato per garantire l’implementazione coerente ed efficace della direttiva NIS 2 (Network and Information Systems), recepita in Italia con l’obiettivo di rafforzare la sicurezza delle reti e dei sistemi informativi considerati critici per il Paese.
La direttiva NIS mira a creare un quadro uniforme di sicurezza informatica in tutta l’Unione Europea, imponendo obblighi specifici a enti pubblici e privati che gestiscono infrastrutture critiche o forniscono servizi essenziali, come energia, trasporti, sanità e finanza.
Il Tavolo ha il compito di supervisionare l’adozione di tali misure, monitorare lo stato di conformità e promuovere una cultura della sicurezza condivisa tra i soggetti coinvolti.
La piattaforma per censimento e registrazione dei soggetti NIS 2
Tra le sue prime iniziative figura la messa in funzione di una piattaforma digitale per il censimento e la registrazione dei soggetti obbligati dalla normativa NIS.
Questo strumento sarà cruciale per censire le organizzazioni coinvolte e monitorare il livello di conformità agli standard di sicurezza.
La piattaforma rappresenta anche un mezzo per centralizzare i dati, migliorando la trasparenza e facilitando la gestione delle comunicazioni tra le autorità di controllo e i soggetti obbligati.
Il Tavolo rappresenta anche un’opportunità per favorire una maggiore integrazione tra i vari attori della sicurezza cibernetica, rafforzando il coordinamento operativo e strategico.
Il funzionamento della nuova piattaforma digitale dell’ACN sarà illustrato durante un evento pubblico il 27 novembre presso l’Università di Roma La Sapienza. All’incontro parteciperanno rappresentanti istituzionali di alto livello, tra cui il Direttore Generale dell’ACN, Prefetto Bruno Frattasi, e altri esponenti del governo, oltre a esperti accademici e professionisti del settore cibernetico. Sarà un’occasione per discutere temi centrali come l’implementazione delle normative europee sulla sicurezza informatica, il rafforzamento della resilienza delle infrastrutture digitali e l’integrazione di nuove tecnologie per la protezione dei dati.
L’evento mira anche a stimolare il dialogo tra le parti interessate, favorendo la condivisione di buone pratiche tra enti pubblici, privati e comunità accademiche. Il confronto diretto tra gli attori coinvolti nella sicurezza cibernetica contribuirà a creare una visione strategica condivisa, promuovendo una collaborazione più stretta e coordinata per affrontare le sfide crescenti del cyberspazio.
Conclusioni
Le iniziative annunciate dall’ACN confermano un impegno sempre più deciso nel rafforzare la sicurezza cibernetica italiana.
Le nuove linee guida, oltre a rappresentare uno strumento operativo per affrontare le minacce informatiche, costituiscono un passo concreto verso la costruzione di una cultura della sicurezza condivisa tra pubblico e privato.
Con il rafforzamento della resilienza nazionale, l’Italia punta a diventare un modello di eccellenza in Europa, adottando un approccio basato sulla prevenzione, sulla formazione e sull’innovazione tecnologica.
