Cybersecurity PA, il “fattore umano” è il problema: lo scenario

“Il più importante produttore di antivirus colpito da un attacco hacker”.

Questo il titolo che campeggiava su molti siti internet di informazione, di tecnologia, di sicurezza informatica nelle ore immediatamente successive alla notte fra il 4 e 5 maggio scorsi quando, un sito riconducibile alla Symantec, azienda leader nella produzione di antivirus e madre del software Norton, aveva subito un attacco hacker che aveva prodotto un defacement da parte del gruppo AnonPlus con sostituzione della home page con quella del gruppo attivista.

Qualcuno dirà: “questione di poco conto”, ma avvenimenti di questo genere, soprattutto ai danni di aziende del settore informatico/sicurezza informatica che detengono posizioni importanti di mercato dovrebbero far accendere i riflettori anche sulle conseguenze “indirette” che potrebbero verificarsi, in considerazione che alcune di queste aziende sono oramai “fornitori accreditati di molte Pubbliche Amministrazioni”.

Tutti gli enti e le PA nel mirino

Basta guardarsi indietro di neanche due mesi e a tutti tornerà in mente l’attacco ai danni dei server del Miur (Ministero Università e Ricerca) ad opera di un altro gruppo di hacker appartenenti sempre alla “galassia” di Anonymous. In quella occasione a seguito dell’accesso ottenuto dal gruppo di attivisti, erano stati prelevati dati relativi ad oltre 26.000 utenze (caselle e-mail con relativo user-id e password, recapiti telefonici, indirizzi ecc). Va precisato che il Miur stesso, in una nota ufficiale si era affrettato a precisare come fra i dati prelevati non vi fossero le password “in chiaro”, bensì una serie di codici hash [stringa/identificativo generato a seguito di impiego della funzione matematica di hash rendendo non praticabile il percorso inverso e quindi il recupero dei dati originari in chiaro] che a poco sarebbero potuti servire.

Partendo da questo “ultimo” evento e aumentando l’arco temporale della ricerca, l’elenco degli attacchi/violazioni ai danni di Pubbliche Amministrazioni, Enti Pubblici (e non solo) nel nostro paese aumenta in maniera considerevole (nell’anno 2017 gli alert per “siti di interesse nazionale” sono arrivati a oltre 28.000 e gli attacchi veri e propri sono stati oltre 1.000, un quintuplo rispetto al 2016). Ricordiamone alcuni: Ministero dell’Interno, Marina Militare, Ministero della Difesa, Palazzo Chigi, Ministero Giustizia, Ministero degli Esteri, Rappresentanza italiana a Bruxelles e altri ancora.

Mai sottovalutare il fattore umano

La strada verso la sicurezza digitale della Pubblica Amministrazione e dei suoi servizi sembra essere ancora in alto mare e fra le motivazioni, senza dubbio, rientra anche il fattore “umano/personale”.

Il fattore “umano” spesso viene sottovalutato, a volte addirittura ignorato, ma in un settore come la sicurezza IT, la difesa di infrastrutture critiche, dove spesso “l’anello debole della catena di sicurezza” è proprio questo, non dare il giusto peso a questa variabile potrebbe rivelarsi un errore gravissimo; se aggiungiamo che l’età media dei dipendenti della PA italiana ha ormai oltrepassato la soglia dei 50 anni e che, a ragion veduta, una nutrita fetta di personale possiede un livello di conoscenza tecnica in ambito IT o IT security, minimo o addirittura insufficiente l’attenzione dovrebbe essere massima. Non a caso, in una nota del Miur si legge che “probabilmente gli ’indirizzi e-mail con dominio istruzione.it potrebbero essere stati utilizzati per registrarsi a siti o servizi esterni…”. Affermazione che se comprovata, sarebbe il primo esempio di una carenza delle basi della sicurezza IT da parte del personale dipendente.

A riprova di questo, ad esempio,  dal rapporto DESI 2017 (Digital Economy and Society Index) si rileva come:

• l’Italia, nelle 5 aree oggetto di indagine da parte della Commissione Europea, occupava, fra i Paesi membri,  il quartultimo posto;
• il Clusit, ha rilevato in un suo rapporto in materia di sicurezza siti web, che oltre 500 siti di amministrazioni locali utilizzavano software di gestione dei contenuti (CMS) il cui supporto risultava terminato da oltre 5 anni;
•  l’Istat conferma che meno del 50% delle PA si è dotata di un piano di disaster recovery e meno del 20% utilizza tecniche sicure di cifratura per i suoi dati.

Cosa, ancora, frena la nascita di una PA 4.0

In ultimo, nell’indagine 2017 sull’informatizzazione delle Amministrazioni Locali stilata da Banca d’Italia sono stati fotografati alcuni di quelli che possono essere considerati come i reali motivi ostativi all’utilizzo corretto, consapevole e sicuro delle tecnologie IT all’interno della PA:

• Scarsità di risorse assegnate con percentuali che variano dal 65% al 88%;
• Carenza di personale con adeguata preparazione percentuali dal 40% al 56%.

Ciò che lascia perplessi è che, nonostante le condizioni in cui ad oggi versa la PA siano a conoscenza di tutti, con l’inesorabile avanzare delle richieste di una società sempre maggiormente digitale e globalizzata dove tutto ruoterà sempre più intorno al “dato”, ai “big data”, alla loro gestione, protezione, custodia, scambio, seppur in presenza di norme che permetterebbero di percorrere la giusta via, purtroppo manca la “giusta attenzione” su alcuni punti di fondamentali di interconnessione (il reperimento di figure specialistiche in ambito cyber security, data protection, risk management…) che potrebbero far seriamente partire un vero processo di creazione di una PA 4.0.

Continuando con l’attuale scenario, al contrario, si rischia di veder vanificati gli sforzi di quei (pochi) soggetti istituzionali che stanno mettendo il massimo impegno possibile per affrontare le sfide per una PA digitale, ma che nonostante tutto potrebbero trovarsi in posizioni “scomode” di fronte agli obblighi stringenti imposti dalle normative comunitarie in materia di sicurezza IT, sicurezza reti e infrastrutture critiche, data protection non avendo, purtroppo, ancore di salvezza cui aggrapparsi.

La controffensiva normativa

La materia “sicurezza” intesa nel senso più ampio possibile (cyber security, protezione dati, sicurezza infrastrutture di interesse nazionale) è stata, in questi ultimi anni, oggetto di una “pesante” offensiva normativa da parte dei legislatori sia nazionali, che comunitari.

Per citare alcuni esempi:

• Circolare Agenzia per l’Italia Digitale 18 aprile 2017, n. 2/2017 recante: «Misure minime di sicurezza ICT per le pubbliche amministrazioni (GU n.103 del 5-5-2017).
• Direttiva Ue 2016/1148 del 06-07-2016 – Direttiva NIS
• Regolamento Europeo in Materia di Protezione Dati Personali – GDPR (Reg Ue 2016/679)(Gue n. 119 del 4-5-2016).

Vediamo più nel dettaglio.

La circolare Agid 18 aprile 2017

Il testo della Circolare, all’Art. 1 -“Scopo”, specifica: “ obiettivo della presente circolare è indicare alle pubbliche amministrazioni le misure minime per la sicurezza ICT che debbono essere adottate al fine di contrastare le minacce più comuni e frequenti cui sono soggetti i loro sistemi informativi.”

E ancora, l’Art. 5 della Circolare AgiID – “Tempi di attuazione” – recitava in maniera perentoria: “entro il 31 dicembre 2017“.  Qualcosa, evidentemente,  non ha funzionato o non sta funzionando.

La Circolare è completata dalla Direttiva del Presidente del Consiglio dell’agosto 2015 che come parte integrante reca una serie di tabelle utili alle PA per l’effettuazione delle analisi e l’individuazione delle azioni da intraprendere, sulla base della situazione di partenza, delle criticità rilevate e del “grado di rischio” assegnato (una sorta di brogliaccio per un discreto risk assessment). Operazioni che se effettuate con meticolosità avrebbero evidenziato i relativi gap da colmare per una corretta (quantomeno) mitigazione dei rischi (si partiva dall’inventario dei sistemi hardware e software con relativi aggiornamenti legati a vulnerabilità di sicurezza note o rese tali, alla verifica dell’utilizzo di sistemi hardware esterni, la valutazione continua delle vulnerabilità, alle difese contro i malware, alle procedure/modalità inerenti copie di sicurezza, alla protezione dei dati).

Il GDPR

Altri articoli del Regolamento Ue per la protezione dei dati, in vigore dal 25 maggio, potrebbero essere citati, ma questi (forse) meglio si raccordano anche con quanto previsto nel Regolamento (UE) 2016/679 in materia di protezione dati personali  ormai pienamente applicabile, con particolare riferimento ai due seguenti articoli:

• Art. 32:“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio” 
• Art. 33: “In caso di violazione dei dati personali, il titolare del trattamento notifica la violazione all’autorità di controllo competente a norma dell’articolo 55 senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, a meno che sia improbabile che la violazione dei dati personali presenti un rischio per i diritti e le libertà delle persone fisiche”.

La direttiva NIS

La Direttiva Ue 2016/1148 del 06/07/2016 (la cui attuazione è passata con decreto al Consiglio dei Ministri il 16 maggio, in gazzetta ufficiale dal 9 giugno ed con entrata in vigore dal 26 giugno) prevede anch’essa una serie di passi imprescindibili per garantire un livello di sicurezza a livello reti, sistemi informativi e infrastrutture di interesse elevato.

• L’Art. 1 c. 2 lett. a) prevede che la direttiva “ fa obbligo a tutti gli Stati membri di adottare una strategia nazionale in materia di sicurezza della rete e dei sistemi informativi”,
• Art. 7 c. 1 “ ogni Stato membro adotta un strategia nazionale in materia di sicurezza della rete e dei sistemi informativi […] al fine di conseguire e mantenere un livello elevato di sicurezza […]” ,
• Art- 14 c. 1 “ […] gli operatori di servizi essenziali adottino misure tecniche e organizzative adeguate e proporzionate alla gestione dei rischi di sicurezza delle reti […]” c. 4 “ per determinare la rilevanza dell’impatto di un incidente si tiene conto in particolare dei seguenti parametri: a) numero utenti interessati; b) durata dell’incidente; c) diffusione geografica relativamente all’area interessata dall’incidente”.

Qualche domanda per sbrogliare la matassa

Altri articoli potrebbero essere citati, ma questi (forse) meglio si raccordano anche con quanto previsto nel Regolamento (UE) 2016/679 in materia di protezione dati personali, oramai in dirittura d’arrivo per la sua piena applicabilità con particolare riferimento agli Artt. 32 (“ Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio” ) – 33 (“notifica di una violazione dei dati personali […])

Più che una risposta, quindi, andrebbero fatte altre domande per individuare il bandolo di questa intricata matassa:

• Chi avrebbe dovuto (materialmente) effettuare quanto previsto nella circolare Agid?;
• Chi dovrà essere impiegato all’interno dei “team” preposti indicati all’interno della Direttiva NIS?
• Chi dovrà preoccuparsi della corretta applicazione e dell’integrale rispetto di quanto previsto all’interno del GDPR in materia di data breach?
• Con quali fondi/risorse porre rimedio a quanto di non conforme eventualmente rilevato?