La cyber security, a fronte dell’aumento esponenziale delle minacce informatiche e la crescente dipendenza dalle tecnologie digitali, è diventata una priorità assoluta a livello globale.
L’Unione Europea (UE) ha intensificato sempre più, negli ultimi anni, gli sforzi per rafforzare la propria cyber resilience attuando diverse iniziative. Anche il nostro Paese, attraverso l’Agenzia per la Cybersicurezza Nazionale(ACN), si sta adoperando per supportare le organizzazioni per rafforzare la loro difesa cibernetica.
Indice degli argomenti
Strategie europee di cyber security
La strategia dell’UE per la cyber security mira a rafforzare la resilienza alle minacce informatiche, garantendo che cittadini e organizzazioni possano beneficiare delle nuove tecnologie senza compromettere la loro sicurezza informatica.
L’obiettivo è costruire ecosistemi digitali stabili e sicuri, dove lo stato di diritto, i diritti umani e i valori democratici siano protetti.
La strategia europea si concentra su tre aree principali di azione, quali:
- Resilienza, sovranità tecnica e leadership: migliorare la capacità di resistenza alle minacce e di mantenimento del controllo sulle tecnologie critiche.
- Capacità operativa di prevenzione, dissuasione e risposta: rafforzare le capacità operative per prevenire e rispondere efficacemente agli incidenti informatici.
- Cooperazione per uno spazio informatico globale e aperto: promuovere la cooperazione internazionale per garantire un cyberspazio sicuro, aperto e basato su regole condivise.
L’attuazione della strategia dell’Unione sulla sicurezza UE
Recentemente è stata pubblicata la settima relazione sullo stato di avanzamento dell’attuazione della strategia dell’UE sulla sicurezza avviata a partire dal 2020. Una strategia che si inserisce in un contesto di minacce ibride e terroristiche crescenti che impattano sia lo spazio fisico sia quello informatico.
La settima relazione sullo stato di avanzamento evidenzia le misure adottate dall’UE dal 2020 per proteggere le infrastrutture critiche e migliorare la resilienza ed i piani progettati per coordinare la risposta a incidenti e migliorare la resilienza settoriale di ecosistemi sempre più digitalizzati.
La relazione descrive anche il quadro normativo europeo in fase di attuazione, caratterizzato da un approccio olistico basato sul rischio e sulla resilienza.
Un approccio che mira a rafforzare la capacità di prevenzione, dissuasione e risposta alle minacce, garantendo al contempo la protezione dei diritti umani e dei valori democratici.
Strategie di difesa per supply chain e sistemi informatici sotto attacco
Le supply chain sono state particolarmente colpite dalle minacce informatiche e dalle vulnerabilità nei software e nei sistemi operativi.
Gli attacchi cyber mirano a vari settori, con il ransomware in crescita per numero e per sofisticazione. Ne consegue che l’UE ha adottato misure per migliorare la cibersicurezza, ampliando la direttiva NIS2 (Network and Information Systems Directive 2) per includere soggetti di medie e grandi dimensioni in 18 settori critici, oltre a introdurre quadri normativi come il Cyber Resilience Act e il regolamento sull’identità digitale, il DORA (Digital Operational Resilience Act), il CER (Cybersecurity Emergency Response) che impongono requisiti di sicurezza informatica obbligatori per hardware e software.
Le citate regolamentazioni mirano, di fatto, a rafforzare la resilienza operativa digitale delle imprese e delle infrastrutture critiche, assicurando che le misure di sicurezza siano integrate nei processi aziendali, oltre a facilitare lo sviluppo di servizi affidabili e sicuri, promuovendo la fiducia nelle tecnologie digitali e riducendo i rischi associati a eventuali attacchi informatici.
Cybersecurity Certification
Il programma di lavoro dell’Unione per la certificazione europea della cibersicurezza, adottato nel febbraio 2024, definisce le priorità strategiche per i futuri sistemi di certificazione.
La legge sulla cibersicurezza è stata modificata per permettere l’introduzione di sistemi di certificazione per i servizi di sicurezza gestiti, che la Commissione richiederà all’ENISA una volta in vigore.
Attualmente, sono in corso lavori su altri sistemi, come quello per i servizi cloud, che aiuteranno gli utenti a fare scelte informate sugli acquisti.
Più elevati sono i livelli di sensibilità dei dati e delle garanzie richieste, più rigorosi saranno i requisiti dei sistemi.
Parallelamente, l’UE ha adottato misure per rafforzare la cibersicurezza delle proprie istituzioni, organi e organismi, istituendo un quadro per la gestione, governance e controllo dei rischi, potenziando il ruolo del EU CISRT (Computer Security Incident Response Team) e creando un nuovo comitato interistituzionale per monitorare e sostenere l’attuazione delle misure.
Cyber Solidarity Act e Centro UE di competenza sulla cyber security
L’UE ha attuato, altresì, il Cyber Solidarity Act che mira a rafforzare le capacità nell’UE di individuare, preparare e rispondere a minacce e attacchi significativi e su larga scala in materia di cibersicurezza.
L’atto comprende un sistema di allerta europeo per la cibersicurezza e un meccanismo di emergenza per migliorare la preparazione e la risposta agli incidenti.
Inoltre, la creazione del Centro Europeo di Competenza sulla Cybersecurity (European Cybersecurity Competence Center) contribuisce a incrementare la competitività e la sovranità tecnologica europea.
Di fatto, il centro – insieme alla rete dei centri nazionali di coordinamento – costituisce il nuovo quadro europeo per supportare l’innovazione e la politica industriale in materia di cyber security.
L’obiettivo è di garantire l’attuazione di decisioni strategiche sugli investimenti e unire le risorse per migliorare e rafforzare le capacità tecnologiche e industriali di cyber security, conseguendo gli obiettivi dei programmi Digital Europe e Horizon Europe, oltre che ad intensificare la cooperazione operativa con gli Stati membri, creando reti transfrontaliere di centri operativi di sicurezza.
Cybersecurity Skills Academy
Un altro tema strategico affrontato dall’UE è la carenza di professionisti della cyber security e, a tal proposito, è stata costituita la Cybersecurity Skills Academy, che mira a riunire e migliorare il coordinamento delle iniziative esistenti sulle competenze informatiche al fine di colmare il divario di talenti nella sicurezza informatica, rafforzare la forza lavoro informatica dell’UE e aumentare la competitività, la crescita e la resilienza dell’UE.
È doveroso prendere consapevolezza del fatto che la sicurezza dell’UE non può essere garantita senza la sua risorsa più preziosa: le persone.
Ne consegue che l’UE ha urgentemente bisogno di professionisti con le competenze e le capacità per prevenire, rilevare, scoraggiare e difendere l’UE dagli attacchi informatici.
Altre iniziative europee su tecnologie emergenti
La settima relazione rivela, altresì, la particolare attenzione posta dall’UE ai rischi derivanti dall’utilizzo delle tecnologie emergenti, come evidenziato dal recente AI Act.
Inoltre, l’UE sta valutando criticamente la tecnologia quantistica e la transizione alla crittografia post-quantistica per proteggere le comunicazioni.
In questa ottica, è stato anche attuato il pacchetto di strumenti per la cybersecurity 5G – noto come 5G Cybersecurity Toolbox – per garantire la sicurezza di queste reti.
Il ruolo di ENISA nella politica di cyber security europea
L’ENISA (European Network and Information Security Agency), costituita nel 2004, ha giocato un ruolo cruciale nel potenziare le capacità dell’UE di prevenire, individuare, scoraggiare e rispondere agli attacchi informatici, promuovendo al contempo la resilienza informatica e proteggendo le comunicazioni e i dati per mantenere sicura la società e l’economia online.
ENISA, attraverso consulenze e un supporto specialistico su questioni di cybersecurity – incluse relazioni sulla situazione e valutazione dei rischi – facilita la cooperazione e la condivisione delle informazioni tra Stati membri, istituzioni UE e altri stakeholder, oltre a migliorare il coordinamento tra la cyber security civile e l’ecosistema militare, rafforzando la capacità di proteggere e rispondere agli attacchi, promuovendo una maggiore collaborazione pubblico-privati.
I compiti di ENISA sono stati ampliati con le nuove normative sulla cyber security.
Inoltre, il recente aggiornamento del compendio su elezioni, cyber security e resilienza, così come il rapporto sulle migliori pratiche per la gestione delle crisi informatiche, sono alcuni degli esempi del contributo di ENISA.
Italia: stato dell’arte per la cyber security
Anche il nostro Paese ha avviato diverse iniziative per garantire la cyber security dei vari ecosistemi nazionali. Di seguito le principali.
Agenzia per la Cybersicurezza Nazionale (ACN)
È l’organismo governativo italiano istituito nel 2021 e preposto alla tutela della sicurezza e della resilienza nello spazio cibernetico. Nasce con l’obiettivo di coordinare le azioni di tutti gli attori coinvolti nella cybersicurezza, promuovendo una cultura della sicurezza digitale a tutti i livelli e garantendo la protezione degli interessi nazionali in questo ambito.
L’ACN ha da tempo attuato una strategia per la sicurezza informatica per far fronte alle minacce informatiche.
Perimetro di Sicurezza Nazionale Cibernetica (PSNC)
È stato pubblicato in Gazzetta Ufficiale a novembre 2019. È doveroso evidenziare che, con l’approssimarsi della scadenza per recepire la nuova direttiva NIS2, il tema della sicurezza nazionale è diventato ancora più urgente.
Il PSNC rappresenta, di fatto, uno degli sforzi per proteggere lo spazio cibernetico da minacce informatiche sempre più sofisticate e, a differenza della NIS2 – che stabilisce un sistema comune a livello UE – si applica esclusivamente a livello nazionale.
Il PSNC è una normativa che coinvolge una vasta gamma di soggetti, inclusi amministrazioni pubbliche, enti e aziende private operanti in settori strategici sul territorio nazionale.
I settori individuati dalla normativa includono: governo, interno, difesa, spazio e aerospazio, energia, telecomunicazioni, economia e finanza, trasporti, servizi digitali, tecnologie critiche, enti previdenziali e lavoro.
Il malfunzionamento in questi settori potrebbe compromettere l’ordine pubblico, la difesa e l’autonomia dello Stato, così come il funzionamento dei servizi economico-finanziari e dei trasporti.
I soggetti identificati dal governo sono obbligati a adottare misure di cyber security specifiche, oltre a rispettare determinati standard per proteggere le loro infrastrutture critiche.
Misure di Sicurezza previste dal PSNC
Le misure di sicurezza previste dal PSNC includono:
- Politiche di valutazione e gestione del rischio: ogni soggetto deve effettuare una valutazione del rischio cibernetico per identificare le vulnerabilità delle proprie infrastrutture.
- Piani di sicurezza: devono essere elaborati piani di sicurezza con misure tecniche per mitigare i rischi identificati e prevenire gli incidenti.
- Misure di protezione: i soggetti devono implementare misure per proteggere la sicurezza dei dati.
- Monitoraggio continuo e proattivo: per rilevare tempestivamente eventuali attacchi o anomalie.
- Incident response: devono essere stabilite procedure precise per la gestione degli incidenti cibernetici. La risposta agli incidenti include la segnalazione tempestiva alle autorità competenti. In caso di incidente con impatto sui beni ICT, la notifica deve essere effettuata entro 1 o 6 ore al CSIRT (Computer Security Incident Response Team) istituito dall’ACN per monitorare gli incidenti informatici a livello nazionale.
Strategia Nazionale di Cybersicurezza 2022-2026
L’ACN, mediante questa strategia mira a garantire la resilienza del Paese e delinea le linee guida per rendere il nostro Paese più sicuro e resiliente di fronte alle crescenti minacce informatiche.
La strategia si pone obiettivi ambiziosi, tra cui:
- Protezione degli asset strategici nazionali attraverso un approccio basato sulla gestione e mitigazione del rischio, con un quadro normativo e misure specifiche.
- Transizione digitale sicura e resiliente per la Pubblica Amministrazione e il tessuto produttivo, con servizi digitali affidabili e facili da utilizzare.
- Anticipazione delle minacce: per prevenire e mitigare gli impatti delle attività cyber offensive.
La Strategia Nazionale di Cybersicurezza prevede, inoltre, la realizzazione di 82 misure entro il 2026, coprendo un ampio spettro di tematiche, quali:
- Sensibilizzazione e formazione per diffondere una cultura della sicurezza digitale tra cittadini e imprese.
- Collaborazione pubblico-privata per rafforzare la risposta alle minacce e condividere le migliori pratiche.
- Investimento in ricerca e sviluppo per sviluppare nuove tecnologie e soluzioni di sicurezza.
- Cooperazione internazionale per affrontare le sfide globali della cyber sicurezza.
ISAC Italia (Information Sharing and Analysis Center)
La recente istituzione a livello nazionale dell’ISAC Italia rientra nella Strategia per la cyber security con l’obiettivo di unire in un’unica rete gli ISAC settoriali esistenti e quelli futuri al fine di raccogliere, analizzare e condividere le informazioni prodotte dai vari servizi cyber nazionali in modo bidirezionale e multisettoriale.
È doveroso evidenziare che la struttura ISAC fa parte dello European CyberShield, previsto dalla EU Cybersecurity Strategy for Digital Decade (2020), ovvero, una strategia che mira a creare una rete europea di ISAC e Security Operation Center (SOC) che sono destinati a lavorare in collaborazione con il CSIRT network.
Legge sulla cybersicurezza e compliance integrata
Il DDL “Disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici”, in vigore dal 17 luglio 2024, si concentra principalmente sulla Pubblica Amministrazione per potenziare la cybersicurezza in Italia, preparando il terreno per l’adeguamento alla normativa europea NIS2 entro il 18 ottobre 2024.
Di seguito gli aspetti principali.
Resilienza delle Pubbliche Amministrazioni e settore finanziario
Una delle componenti principali del disegno di legge è la resilienza delle pubbliche amministrazioni e delle istituzioni finanziarie.
La normativa impone a questi enti di adottare misure adeguate a garantire la continuità operativa e la protezione dei dati in caso di incidenti informatici.
Ciò include l’obbligo di segnalare tempestivamente gli incidenti ad ACN entro 24 ore dal loro verificarsi.
La rapidità nella segnalazione è essenziale per una risposta coordinata ed efficace, riducendo al minimo l’impatto degli attacchi informatici.
Contratti pubblici e standard di sicurezza
Un’altra innovazione significativa riguarda i contratti pubblici per beni e servizi informatici. La legge stabilisce che tali contratti devono rispettare specifici requisiti di sicurezza, definiti tramite decreti della Presidenza del Consiglio su proposta dell’ACN.
Questo assicura che le forniture informatiche per il settore pubblico siano conformi a standard elevati di sicurezza, riducendo il rischio di vulnerabilità e garantendo la protezione delle infrastrutture digitali critiche.
Partecipazione di entità chiave
Il disegno di legge prevede la partecipazione di rappresentanti della Direzione Nazionale Antimafia e Antiterrorismo e della Banca d’Italia alle riunioni del Nucleo per la Cybersicurezza dell’ACN.
Questa inclusione è particolarmente rilevante in caso di questioni di particolare rilevanza, garantendo una prospettiva multidisciplinare nella gestione delle emergenze cibernetiche.
Strutture dedicate alla cyber sicurezza
Le pubbliche amministrazioni sono obbligate a istituire strutture dedicate alla cybersicurezza, con un referente unico per l’ACN.
Questa misura mira a centralizzare e coordinare le iniziative di sicurezza informatica all’interno delle amministrazioni, facilitando la comunicazione e la risposta agli incidenti.
Inoltre, all’interno dell’ACN verrà creato il Centro Nazionale di Crittografia, che avrà il compito di sviluppare e implementare soluzioni avanzate per la protezione dei dati.
Rafforzamento delle sanzioni per i reati informatici
Il disegno di legge introduce modifiche significative al Codice penale, inasprendo le pene per una serie di reati informatici, tra cui l’accesso abusivo a sistemi informatici, la diffusione di malware e l’estorsione mediante reati informatici.
Vengono inoltre previste aggravanti per la truffa aggravata e la confisca obbligatoria dei beni utilizzati per commettere tali reati, con l’obiettivo di dissuadere le attività criminali e proteggere meglio le infrastrutture critiche.
Allocazione delle risorse
Un aspetto critico della nuova normativa riguarda l’allocazione delle risorse. Il disegno di legge non prevede specifici stanziamenti per l’attuazione delle misure di sicurezza, ma dispone che i proventi delle sanzioni siano destinati all’ACN.
Questo meccanismo di finanziamento potrebbe rivelarsi insufficiente per sostenere tutte le attività necessarie, rendendo necessaria una riflessione su ulteriori fonti di finanziamento.
Opportunità di finanziamento dalla Commissione Europea
Parallelamente alla legislazione nazionale, la Commissione Europea ha lanciato un bando per progetti di cybersicurezza con un budget di 102 milioni di euro.
Questo finanziamento mira a supportare i centri operativi di sicurezza nazionali e transfrontalieri, lo sviluppo di tecnologie avanzate e l’implementazione delle normative UE in materia di sicurezza informatica.
Il bando è aperto a imprese, PMI e pubbliche amministrazioni, offrendo un’importante opportunità per rafforzare le capacità di difesa cibernetica a livello nazionale ed europeo. Le proposte potranno essere presentate dal 4 luglio al 21 gennaio prossimi.
È doveroso evidenziare che la legge sulla cyber security n. 90 è in armonia con la Direttiva NIS2, garantendo che l’Italia rispetti i protocolli di sicurezza informatica europei e possa collaborare efficacemente con altri Paesi comunitari nella lotta contro le minacce informatiche.
DDL AI, la “strategia italiana per l’Intelligenza Artificiale 2024-2026
È stata redatta da un Comitato di esperti per aiutare il Governo a definire normative nazionali e strategie legate all’IA. Questa strategia, ancora in fase di discussione, rappresenta un passo cruciale per l’Italia, che punta a diventare un leader nella tecnologia IA e nella transizione tecnologica.
Il documento evidenzia l’impegno del Governo nel creare un ambiente sicuro, etico e inclusivo per lo sviluppo dell’IA, mirando a massimizzare i benefici e ridurre al minimo i potenziali effetti negativi.
Dopo un’analisi del contesto globale e del posizionamento italiano, la strategia delinea le azioni in quattro macroaree: Ricerca, Pubblica Amministrazione, Imprese e Formazione.
Inoltre, propone un sistema di monitoraggio per l’attuazione della strategia e un’analisi del contesto regolativo per definire il quadro entro cui operare.
La cyber sicurezza come dovere comune
Le iniziative descritte sono una risposta necessaria e strategica alle crescenti minacce cibernetiche che l’Italia, l’EU ed il mondo affrontano quotidianamente.
Attraverso misure di sicurezza rigorose, valutazione del rischio, monitoraggio continuo e una gestione efficace degli incidenti, si mira a proteggere le infrastrutture critiche e a garantire la sicurezza nazionale.
Il messaggio è chiaro: qualsiasi minaccia alla sicurezza di un’organizzazione può riflettersi sulla sicurezza dell’intero Stato.
Si tratta altresì di aggiornare e potenziare l’infrastruttura informatica per il bene comune.
Il desiderata per il futuro è che la cultura dei principi di risk management, di business continuity e di cyber security si diffondano sempre più, in modo da contribuire al raggiungimento degli obiettivi di cyber resilience alla base del quadro normativo sia europeo sia nazionale, senza dimenticare l’importanza della formazione e delle esercitazioni atte ad allenare il cosiddetto muscolo della resilienza.
