Italia
Il sistema informatico della Pubblica amministrazione italiana è a rischio di attacchi e virus a causa dei ritardi accumulatisi nell’adozione di strumenti e modelli organizzativi di sicurezza, determinati da una inadeguata cultura e dalla carenza di risorse. È il monito che emerge dalle conclusioni del convegno promosso dal CNIPA (Centro Nazionale per l’Informatica nella Pubblica Amministrazione) presso il CNR (Consiglio Nazionale delle Ricerche) e a cui sono intervenuti il ministro delle Comunicazioni, Mario Landolfi, rappresentanti delle istituzioni, nonché esperti italiani e stranieri.
Quello della sicurezza informatica non è un aspetto secondario ma essenziale nel momento in cui i progetti di eGovernment nazionale e locale stanno entrando in operatività e ogni giorno cresce il numero dei servizi online della Pubblica amministrazione e, di conseguenza, anche l’afflusso telematico di cittadini ed imprese.
Livio Zoffoli, presidente del CNIPA, aprendo i lavori del convegno, ha messo in evidenza che “…le tecnologie digitali devono agire per consentire di costruire un sistema di certezze su cui implementare il moderno Stato di Diritto. Le applicazioni su reti aperte sono una necessità per una PA moderna: la sicurezza informatica è elemento fondamentale che risponde al compito di dare fiducia a tutti gli attori, garantendo riservatezza e integrità dei contenuti, continuità operativa, disponibilità dei servizi“.
Aggiungendo che dal 2002 il coordinamento delle attività in tale campo è affidato al Comitato Tecnico Nazionale sulla Sicurezza Informatica, la cui presidenza è affidata al CNIPA che ha costituito al proprio interno l’unità GovCERT, per la prevenzione e gestione degli attacchi informatici. Zoffoli ha assicurato che “il CNIPA è impegnato affinché nessuna PA resti indietro: collegare la dimensione federale alle grandi opportunità dell’innovazione digitale è oggi un valore riconosciuto“.
In questo quadro il CNIPA sta realizzando il Sistema Pubblico di Connettività-SPC, con servizi di comunicazione e di interoperabilità, che si avvale di reti Internet ‘dedicate’ alla PA, di concezione moderna, con prestazioni eccellenti ed elevati livelli di sicurezza che lo collocano all’avanguardia in Europa: si tratta dell’infrastruttura fondamentale che consentirà di semplificare e velocizzare l’intera PA, centrale, regionale e locale, con la circolarità dell’informazione e dei dati tra i diversi livelli di governo e l’accesso dei cittadini a tutti i servizi erogati, indipendentemente dall’ubicazione geografica.
Claudio Manganelli, presidente del Comitato Tecnico Nazionale sulla Sicurezza Informatica nella PA, ha poi delineato lo scenario nazionale, dove sussistono ancora molte ombre soprattutto per ragioni culturali e finanziarie. “Dai dati del CNIPA, relativi al 2004 e limitatamente alle Amministrazioni Centrali – ha detto – si ricava un insieme di informazioni sullo stato della loro sicurezza ICT: tema che è generalmente piuttosto avvertito ma, a fronte di una predisposizione in termini tecnologici relativamente elevata si pongono in evidenza lacune per gli aspetti organizzativi e per quelli attinenti alla pia-nificazione, alla formazione ed alla gestione”.
In particolare, “a tre anni dalla Direttiva del gennaio 2002, solo il 43% delle Amministrazioni Centrali dichiara di avere nominato un responsabile della sicurezza ICT; solo il 37% di avere definito formalmente una policy della sicurezza; solo il 53% di avere avviato un piano di formazione e sensibilizzazione; solo il 22% dichiara di disporre di un gruppo interno di gestione degli incidenti. E che vi siano ancora posizioni di retroguardia sulla materia ‘sicurezza ICT’ lo dimostrano i continui rinvii delle misure ‘minime’ di sicurezza per le pubbliche amministrazioni, previste dal Codice in materia di protezione dei dati personali”.
Insomma, ha aggiunto Manganelli, “poche amministrazioni hanno fatto molto, ma molte hanno fatto molto poco”. Pochi hanno capito che quando saranno milioni i cittadini e le imprese che accederanno ai servizi pubblici online, la semplicità e rapidità di accesso/risposta e il livello di sicurezza saranno gli unici parametri del livello di qualità e di efficienza della PA. E se non saranno soddisfacenti, si rischia di dover tornare a fare le fila agli sportelli. Non solo, ma visto che gli attacchi ai sistemi informativi dal 2000 sono cresciuti al ritmo di oltre il 50% l’anno (52 mila nel 2001; 82 mila l’anno dopo, 140 mila nel 2003), non si può nascondere il fondato timore di una sorta di ‘pandemia’ per i sistemi informatici della PA. È stato calcolato che un attacco al sistema informatico di un Comune di 50 mila abitanti comporta un danno economico di circa 30 mila euro al giorno.
Manganelli ha inoltre reso noto che il Comitato da lui presieduto con il forte impegno del CNIPA ha redatto il Piano Nazionale e il Modello organizzativo per la Sicurezza ICT nelle PPAA.
Gli elementi più significativi emergenti da questi elaborati, ritenuti più urgenti dal Comitato, sono:
-
necessità di un programma di informazione e sensibilizzazione rivolto all’intera comunità sulla sicurezza informatica e nelle comunicazioni;
-
potenziamento delle strutture di prevenzione e gestione degli incidenti informatici e delle reti, nonché di quelle destinate alla continuità operativa dei sistemi informativi delle PPAA;
-
istituzione di un organismo di vertice che raggruppi e coordini tutte le attività nel settore;
-
standardizzazione e promozione di attività di certificazione per la sicurezza ICT , tutti fattori importantissimi non solo come momento di verifica, ma anche di mantenimento nel tempo delle caratteristiche fondamentali di sicurezza ICT.
Ad avviso del Comitato, ha aggiunto Manganelli, “la prossima legislatura potrebbe far sue queste conclusioni e operare in modo di ricondurre all’unità le numerose iniziative sulla materia che si sono moltiplicate in quest’ultimo periodo: gruppi di lavoro, accordi con i maggiori player delle tecnologie dell’informazione e dei servizi di connettività, per una più efficace azione di tutela delle infrastrutture dell’informazione, una educazione al loro uso da parte dei cittadini e la predisposizione, a fianco di tecnologie di protezione affidabili e di facile utilizzo massivo, di un adeguato pacchetto normativo che imponga adeguate difese e contrasti l’inerzia nella loro adozione”.
Infine, Claudio Manganelli ha auspicato che “nella PA e nelle leggi finanziarie si instauri l’abitudine ad esporre previsioni di spesa congrue per tutelare l’efficienza e l’efficacia degli investimenti strumentali in tecnologia. Non può essere sufficiente che la spesa in sicurezza ICT sia dell’1,5% di quella complessiva, ma dovrebbe spingersi sino al 3%. Non solo, ma non si possono adeguare i sistemi di sicurezza ICT se non si revisionano anche i processi organizzativi, un fattore umano e non tecnologico. E questo è quanto le Amministrazioni, assieme al CNIPA, stanno impegnandosi a fare“.