Negli ultimi anni, i casi di accesso non autorizzato e utilizzo improprio di banche dati critiche hanno sollevato importanti preoccupazioni sulla sicurezza informatica. Il documento "Linee Guida per il Rafforzamento della Protezione delle Banche Dati", pubblicato dall'Agenzia per la Cybersicurezza Nazionale (ACN), nell'ambito delle attività di supporto alle Pubbliche Amministrazioni per l'incremento della resilienza digitale, offre un quadro delle principali azioni necessarie per migliorare la protezione di queste risorse essenziali. Questo articolo esplora le principali criticità, il contesto normativo e le misure di mitigazione suggerite.
Le banche dati rappresentano un elemento cardine nell’infrastruttura digitale di un’organizzazione, soprattutto quando custodiscono informazioni sensibili o strategiche, come nel caso delle Pubbliche Amministrazioni. Negli ultimi mesi, come evidenziato anche dal rapporto Clusit 2024 sulla PA, di cui avevamo già trattato in questo blog, si sono verificati diversi episodi di utilizzo improprio di banche dati di rilevanza nazionale. Tra le tecniche illecite più comuni vi sono:
Questi incidenti evidenziano debolezze non solo tecniche, ma anche organizzative e di governance. È emerso, ad esempio, un eccessivo affidamento su sistemi non conformi ai principi di security-by-design e una gestione insufficiente della supply chain.
Le principali criticità identificate includono:
Questi fattori, combinati con vulnerabilità tecnologiche, amplificano i rischi di violazioni.
Il rafforzamento della sicurezza informatica in Italia si basa su normative recenti e consolidate, tra cui:
Queste normative forniscono il quadro legale necessario per affrontare le minacce in un contesto sempre più complesso. Anche se, come già detto anche in altri articoli su questo blog, le Province non sono nell'ambito di applicazione delle normative sopra riportate, tuttavia queste, come le altre linee guida proposte, posso e dovrebbero essere un punto di riferimento per incrementare la resilienza digitale di tutte le PA.
Le azioni proposte, basate sul Framework Nazionale per la cybersecurity e la data protection (FNCN), sono le seguenti.
La base della sicurezza è conoscere i rischi per poterli gestire. La gestione del rischio è l'attività fondamentale della cybersecurity.
Un accesso controllato e monitorato è essenziale per prevenire l’utilizzo improprio delle banche dati. Le principali misure includono:
Il principio di security by design richiede che la sicurezza sia integrata fin dalle prime fasi di progettazione. Le migliori pratiche comprendono:
Ogni sistema deve essere gestito lungo l’intero ciclo di vita, dalla progettazione alla dismissione. È fondamentale:
I fornitori rappresentano spesso una vulnerabilità. È indispensabile:
Un sistema di monitoraggio efficace consente di rilevare tempestivamente comportamenti anomali. Misure chiave includono:
La consapevolezza dei rischi è un prerequisito per un sistema sicuro. È necessario:
Le linee guida prevedono un elenco dettagliato di misure selezionate per rispondere alle criticità evidenziate. Tra queste:
Queste Linee Guida, come le altre già emesse da ACN relative al rafforzamento della resilienza ICT offrono un buon punto di partenza di un percorso di incremento della cybersicurezza delle PA, utilizzando il FNCN come framework di riferimento.
