Cyber attacchi globali che mettono in pericolo persino il funzionamento degli ospedali (come nel caso wannacry), furti di credenziali di accesso a conti correnti bancari e carte di credito (Anti Public), blocco improvviso di sistemi informatici (British Airways) sono solo alcuni casi che evidenziano come ormai la sicurezza informatica sia diventata una primaria necessità e naturalmente il settore pubblico rimane uno dei più esposti per i milioni di informazioni che gestisce e per il carattere istituzionale che lo contraddistingue.
Ormai, come si è avuto modo di vedere, negli ultimi tempi stiamo assistendo ad una rapida evoluzione delle minacce in campo informatico (anche minacce cibernetiche) ed in particolare per quelle incombenti sulla pubblica amministrazione, che è divenuta un bersaglio specifico per alcune tipologie di attaccanti particolarmente pericolosi.
Se da un lato la PA continua ad essere oggetto di attacchi dimostrativi, provenienti da soggetti spinti da motivazioni politiche ed ideologiche, sono divenuti importanti e pericolose le attività condotte da gruppi organizzati, non solo di stampo propriamente criminale.
Le pubbliche amministrazioni, dal punto di vista sicurezza, possono essere considerate come organizzazioni fortemente regolate, in considerazione del fatto che la loro attività si svolge nell’ambito e nei limiti di norme che hanno valore di legge. Il problema è che fino ad oggi sono state poche le norme giuridiche che si siano occupate di cyber security.
In effetti le norme di maggiore rilevanza sono quelle contenute nel Codice dell’Amministrazione Digitale (CAD – D.Lgs. 7 marzo 2005 s.m.i.), che all’art. 17 al fine di garantire l’attuazione delle linee strategiche per la riorganizzazione e digitalizzazione dell’amministrazione definite dal Governo, prevede che le pubbliche amministrazioni individuino mediante propri atti organizzativi, un unico ufficio dirigenziale generale responsabile del coordinamento funzionale.
Questo Ufficio sostituisce il Centro di competenza previsto dalla normativa previgente e il responsabile dei sistemi informativi automatizzati di cui all’articolo 10 del decreto legislativo 12 febbraio 1993, n. 39. Inoltre alla luce della recente riforma del CAD (d.lgs. n. 179/2016) lo stesso ufficio deve assicurare la transizione alla modalità operativa digitale e i conseguenti processi di riorganizzazione finalizzati alla realizzazione di un’amministrazione digitale e aperta, di servizi facilmente utilizzabili e di qualità, attraverso una maggiore efficienza ed economicità.
Naturalmente anche l’Agenzia per l’Italia Digitale (AgID) deve assicurare il coordinamento delle iniziative nell’ambito delle attività di indirizzo, pianificazione, coordinamento e monitoraggio della sicurezza informatica con particolare riferimento al Sistema Pubblico di Connettività.
Nei successivi articoli 50 e 51 del CAD si parla rispettivamente di disponibilità ed accessibilità dei dati al di fuori dei limiti di carattere normativo come nel caso della protezione dei dati personali, di sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche amministrazioni, oggi regolamentati dalle misure minime di sicurezza previste dalla normativa sulla protezione dei dati personali.
In materia, difatti, occorrono ulteriori regole tecniche che in coerenza con la disciplina in materia di tutela della privacy introducano elementi utili per riconoscere l’esattezza, la disponibilità, l’integrità e per verificare l’accessibilità e la riservatezza dei dati.
Proprio per questi motivi è stata pubblicata sulla G.U. (Serie Generale n. 79 del 04/04/2017) la Circolare AgID del 17 marzo 2017 n. 1/2017 contenente le “Misure minime di sicurezza ICT per le pubbliche amministrazioni” successivamente sostituita dalla circolare n. 2/2017 del 18 aprile 2017 per correggere alcuni errori di carattere formale.
Le stesse misure sono parte integrante del più ampio disegno delle Regole Tecniche per la sicurezza informatica della Pubblica Amministrazione, emesso come previsto dalla Direttiva 1 agosto 2015 del Presidente del Consiglio dei Ministri, che assegna all’Agenzia per l’Italia Digitale il compito di sviluppare gli standard di riferimento per le amministrazioni.
Tale Direttiva in considerazione dell’esigenza di consolidare un sistema di reazione efficiente, che raccordi le capacità di risposta delle singole Amministrazioni, a fronte di eventi quali incidenti o azioni ostili che possono compromettere il funzionamento dei sistemi e degli assetti fisici controllati dagli stessi, sollecita tutte le Amministrazioni e gli Organi chiamati ad intervenire nell’ambito degli assetti nazionali di reazione ad eventi cibernetici a dotarsi, secondo una tempistica definita e comunque nel più breve tempo possibile, di standard minimi di prevenzione e reazione ad eventi cibernetici.
In tale ottica assume rilevanza anche la nuova direttiva sulla protezione cibernetica e la sicurezza informatica nazionale emanata con DPCM del 17 febbraio 2017 (pubblicato sulla GU n. 87 del 13-4-2017) che si pone l’obiettivo di aggiornare la precedente direttiva del 24 gennaio 2013 e di conseguenza anche la relativa architettura di sicurezza cibernetica nazionale e di protezione delle infrastrutture critiche.
L’esigenza di un nuovo provvedimento nasce innanzitutto dall’emanazione della direttiva (UE) 2016/1148 del Parlamento europeo e del Consiglio, del 6 luglio 2016, recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (c.d. Direttiva NIS) nonché da quanto previsto dall’art. 7-bis, comma 5, del decreto-legge 30 ottobre 2015, n. 174, convertito, con modificazioni, dalla legge n. 198 del 2015, al fine di ricondurre a sistema e unitarietà le diverse competenze coinvolte nella gestione della situazione di crisi, in relazione al grado di pregiudizio alla sicurezza della Repubblica e delle Istituzioni democratiche poste dalla Costituzione a suo fondamento.
Del resto lo stesso art. 51 del CAD specifica che l’AgID attui, per quanto di competenza e in raccordo con le altre autorità competenti in materia, il Quadro strategico nazionale per la sicurezza dello spazio cibernetico e il Piano nazionale per la sicurezza cibernetica e la sicurezza informatica. AgID, in tale ambito:
- a) coordina, tramite il Computer Emergency Response Team Pubblica Amministrazione (CERT-PA) istituito nel suo ambito, le iniziative di prevenzione e gestione degli incidenti di sicurezza informatici;
- b) promuove intese con le analoghe strutture internazionali;
- c) segnala al Ministro per la pubblica amministrazione e l’innovazione il mancato rispetto delle regole tecniche da parte delle pubbliche amministrazioni.
Purtroppo però non sono pochi anche gli incidenti di carattere normativo che sul fronte sicurezza coinvolgono il nostro paese come l’inspiegabile abrogazione dell’art. 50-bis del CAD che delineava gli obblighi, gli adempimenti e i compiti spettanti alle Pubbliche Amministrazioni ai fini dell’attuazione della continuità operativa.
In particolare, in considerazione della rilevanza dell’argomento, DigitPA (poi AgID) aveva anche elaborato delle linee guida (giunte già alla seconda versione) con l’obiettivo di fornire degli strumenti per ottemperare agli obblighi derivanti dallo stesso CAD individuando soluzioni tecniche idonee a garantire la salvaguardia dei dati e delle applicazioni.
La continuità dei sistemi informativi rappresenta per le pubbliche amministrazioni e non solo, nell’ambito delle politiche generali per la continuità operativa dell’ente, un aspetto necessario all’erogazione dei servizi a cittadini e imprese e diviene uno strumento utile per assicurare la continuità dei servizi e garantire il corretto svolgimento della vita nel Paese. Di conseguenza è apparso, quanto meno inopportuno l’art. 64, 1° comma, lett. h) della riforma Madia (d.lgs. n. 179/2016) che ha abrogato con un colpo di spugna l’art. 50-bis del CAD creando un vuoto normativo non apparso chiaro nemmeno al Consiglio di Stato.
Difatti, anche se come anticipato l’art. 51 del CAD affronta la tematica della prevenzione degli incidenti di sicurezza informatica, un articolo ad hoc sulla continuità operativa ed il disaster recovery appariva necessario per dare delle indicazioni concrete alle pubbliche amministrazioni.
Del resto a conferma dell’importanza di tale adempimento per gli enti pubblici le recenti “Linee guida per la qualità delle competenze digitali nelle professionalità ICT” elaborate dall’AgID prevedono il “Responsabile della continuità operativa (ICT)” come importante figura professionale inserita nel profilo “Technical Management”.
Inoltre molti hanno sostenuto che la mancanza di specifiche sanzioni in caso di violazioni dell’art. 50-bis aveva reso la norma del tutto inutile e di scarsa portata precettiva. Al riguardo, però, occorre precisare che al di là della rilevanza assoluta della continuità operativa che comprende sia gli aspetti strettamente organizzativi, logistici e comunicativi i quali permettono la prosecuzione delle funzionalità di un’organizzazione, sia la continuità tecnologica, che nel contesto delle pubbliche amministrazioni riguarda l’infrastruttura informatica e telecomunicativa (ICT) ed è conosciuta come “disaster recovery” (DR), non dobbiamo dimenticare l’esistenza di fondamentali principi generali del nostro ordinamento.
In effetti anche in assenza di una chiara disposizione normativa è evidente che la mancanza di uno specifico piano da parte di un ente pubblico atto a garantire la continuità operativa ed il disaster recovery comporterebbe specifiche responsabilità in attuazione dei predetti principi.
Ricordiamo che sono ben cinque le tipologie di responsabilità di un dipendente pubblico: responsabilità disciplinare (art. 55 del D.lgs. n. 165/2001), responsabilità dirigenziale (art. 21 del medesimo D.lgs. n. 165), responsabilità civile, responsabilità penale e responsabilità amministrativo-contabile.
Tali responsabilità non sono tra loro incompatibili o alternative, in quanto spesso la medesima condotta illecita viola diversi precetti legislativi o contrattuali, originando concorrenti reazioni ad opera dell’ordinamento.
Quid iuris nel caso di danni arrecati alla cittadinanza per mancata adozione di un piano di continuità operativa, con impossibilità di fornire servizi per un congruo periodo di tempo a seguito di malfunzionamenti del sistema informatico?
Lo scenario è vario e poco edificante:
- Possibili denunce dei cittadini
- Richieste risarcimento danni
- Procedimenti disciplinari
- Indagini della Corte dei Conti per il configurarsi di danno erariale (si pensi anche al danno all’immagine).
