Il documento di strategia di crescita digitale 2014-2020 dedica una sezione alla “Digital Security”: si tratta di un ottimo passo avanti rispetto al passato. Si sta finalmente riconoscendo il principio che non può esistere Agenda Digitale senza sicurezza, come è già accaduto in altri settori, ad esempio in quello aereo. Ma con una sostanziale differenza: i cittadini e le imprese non percepiscono il rischio, o lo percepiscono solo in parte. E’ per questo motivo che il Governo ricopre un ruolo fondamentale nel tutelare e salvaguardare i diritti dei cittadini e delle imprese: finalmente dopo anni non si parla più solo di privacy, ma anche di sicurezza: entrambi sono sanciti dalla carta dei diritti dell’Unione Europea e nella pratica i due concetti sono fortemente correlati.
L’aspetto estremamente positivo dell’impostazione data dalla Strategia di Crescita Digitale è dato dalla centralità degli standard e delle linee guida. Si tratta di un passaggio importante, perché chiarisce bene il ruolo che il Governo e l’AgID debbano avere in merito alla sicurezza e di quali strumenti si debbano avvalere. L’uso degli standard è un approccio avanzato, adottato con molto successo dalla maggioranza dei paesi avanzati. E’ un approccio importante perché responsabilizza gli attori e definisce ruoli chiari: uno o più soggetti sono chiamati a definire gli standard e a verificarne la corretta aderenza, mentre le pubbliche amministrazioni e le aziende nell’adottare gli standard hanno quel grado di libertà che fa si che la sicurezza non diventi un vincolo negativo o una zavorra.
Un tale approccio richiede però un quadro di riferimento (framework) che in questo momento non esiste. Il quadro individua gli attori e i loro ruoli e definisce gli obblighi dei soggetti chiamati all’adozione degli standard. Al momento questo impianto manca.
La strategia fa l’errore di indirizzare il tema del Cert-PA con quello degli standard, con il rischio di spostare l’attenzione più sul primo aspetto. E’ importante ricordare che l’obiettivo finale per l’AgID è di favorire nelle PA l’avviamento di processi e procedure di gestione operativa della sicurezza, con particolare attenzione agli incidenti e a tutti quegli eventi di particolare rilevanza. Queste attività possono essere portate avanti dall’Agid proprio attraverso l’uso di Standard. Il Cert-PA sarà il punto di raccordo e di coordinamento fra le diverse capacità di gestione degli incidenti delle PA. La sua costituzione prima ancora di avere queste capacità diffuse nella PA di per se non è un errore, visto che può fungere da stimolo e da punto di riferimento, ma rischia di alterare l’agenda, diventando lui stesso un obiettivo, più che un mezzo.
Una nota per gli addetti ai lavori: la sezione di Digital Security del Documento non fa riferimento al Quadro Strategico Nazionale e al Piano Nazionale per la Sicurezza Informatica, entrambi pubblicati all’inizio del 2014: si tratta di documenti importanti che forniscono il quadro di riferimento e le priorità per il paese, inclusa la PA. Non solo, il documento fa riferimento ad un modello di Governance in contrasto proprio con il Quadro Strategico Nazionale. Ad esempio, la Cabina di Regia per la Cyber Security non è mai stata definita prima, né nel decreto del presidente del consiglio del 23/1/2013, né nel Quadro Strategico e nel Piano Nazionale per la Sicurezza dello Spazio Cibernetico. Inoltre il ruolo dell’AgID per l’emissione degli standard è già correttamente definito nel Quadro Strategico. Dubito si tratti di una scelta intenzionale, è comunque un indicatore del livello di approssimazione con cui si sta affrontando la materia.
Un altro aspetto trascurato dal documento di crescita digitale riguarda le aziende private. Anche per l’aspetto sicurezza, l’attenzione è esclusivamente per la PA, quando invece lo spazio Cyber Italiano vede una maggioranza di attori privati. Se nel Piano di Crescita Digitale non vi sono menzioni, nel Quadro Strategico Nazionale le indicazioni sono alquanto chiare, in particolare per le infrastrutture critiche e per le aziende di rilevanza nazionale. Si tratta di principi, che in futuro auspico vengano tradotti in raccomandazioni e obblighi molto precisi. A scanso di equivoci, le osservazioni sopra riportate sono state anche sottoposte al Governo attraverso la consultazione pubblica. Purtroppo a quanto risulta, nessuna di queste è stata accettata.
In conclusione, bene lo sforzo di evidenziare l’importanza della Digital Security, ma inutile il contributo: meglio riferirsi alle disposizioni di legge già esistenti, forniscono un quadro e un piano molto precisi e accurati. E’ l’ora di passare all’azione.
