Article. What i write

Approvata la strategia nazionale di cybersicurezza 2022-2026

Pubblicato il 30 maggio 2022 su IctSecurityMagazine.com

Premessa

1. la definizione di adeguate strategie di cybersicurezza rientra a pieno titolo tra i doveri dello Stato;
2. la cybersicurezza deve porsi a fondamento del processo di digitalizzazione del Paese, anche nell’ottica di conseguire l’autonomia nazionale strategica nel settore;
3. la cybersicurezza non deve essere percepita come un costo, ma come un investimento e un fattore abilitante per lo sviluppo dell’economia e dell’industria nazionale, al fine di accrescere la competitività;
4. la messa in sicurezza di infrastrutture, sistemi e informazioni dal punto di vista tecnico deve essere accompagnata da un progresso culturale ad ogni livello della società, verso un approccio “security-oriented”.

Le sfide da affrontare

• i classici attacchi cyber che sfruttano errori software, errate configurazioni, debolezze nei protocolli e/o umane, per sottrarre dati o arrecare danni ai sistemi, che hanno un impatto sull’erogazione dei servizi, anche essenziali di un Paese, sul suo PIL e sulla sua reputazione;
• le tecnologie ICT sviluppate e prodotte da grandi realtà aziendali, talvolta controllate o, comunque, influenzate nel loro operato dai Governi in cui hanno sede, con conseguenti possibili ingerenze nella catena degli approvvigionamenti, sia in termini di disponibilità sul mercato delle relative componenti, sia di affidabilità delle stesse;
• la diffusione di fake news, deepfake e campagne di disinformazione che tendono a confondere e destabilizzare i cittadini di un Paese immergendoli in uno spazio informativo non controllato con un insieme pressoché infinito di sorgenti di notizie che polarizzano le opinioni cambiando il modo in cui percepiamo la realtà.

1. Assicurare una transizione digitale cyber resiliente della Pubblica Amministrazione (PA) e del tessuto produttivo. “Non ci può essere transizione digitale senza un’adeguata resilienza agli attacchi e agli incidenti cyber”;
2. Tendere ad autonomia strategica nazionale ed europea nel settore del digitale. “Più si è autonomi dal punto di vista tecnologico e più si possono attuare politiche di sovranità delle informazioni”;
3. Anticipare l’evoluzione della minaccia cyber. “È apparso chiaro come sia necessario puntare su tattiche di difesa attiva volte ad aumentare i costi di eventuali attività cyber offensive, così da renderle economicamente svantaggiose. Occorre, per quanto possibile, anticipare la minaccia, ossia prevederla, prevenirla e mitigarne il più possibile gli impatti”;
4. Gestire le crisi cibernetiche. “Gli ultimi incidenti hanno messo in evidenza l’importanza primaria di un meccanismo efficiente di gestione delle crisi cibernetiche, che consenta, con l’apporto di tutti i soggetti interessati, di graduare le attività sulla base di scenari predefiniti della minaccia cyber”;
5. Contrastare la disinformazione online nel più ampio contesto della cd. minaccia ibrida. “Il ricorso sempre più massivo alla disinformazione online richiede, specie quando essa assume connotazioni strutturate, azioni preventive e di contrasto sinergiche e coordinate a livello sia nazionale che internazionale per ostacolare i tentativi di mettere a repentaglio il sistema di valori su cui si base la democrazia”.

Visione strategica: gli obiettivi da perseguire

1. il potenziamento delle capacità del Centro di Valutazione e Certificazione Nazionale (CVCN) e dei Centri di Valutazione (CV), nonché l’integrazione con una rete di Laboratori Accreditati di Prova, che permetterà di sviluppare capacità nazionali di valutazione delle vulnerabilità di tecnologie avanzate a servizio degli asset più critici del Paese;
2. la definizione ed il mantenimento di un quadro giuridico nazionale aggiornato e coerente in materia di cybersicurezza, che tenga conto degli orientamenti e degli sviluppi in ambito europeo ed internazionale;
3. la conoscenza approfondita del quadro della minaccia cibernetica e il possesso di adeguati strumenti tecnici, competenze specialistiche e capacità operative, in capo agli attori a vario titolo coinvolti, finalizzato all’incremento delle capacità nazionali di difesa, resilienza, contrasto al crimine informatico e cyber intelligence;
4. il potenziamento del livello di maturità delle capacità cyber della Pubblica Amministrazione, assicurando una trasformazione digitale sicura e resiliente;
5. la promozione dell’uso della crittografia, quale strumento di cybersicurezza, favorendone l’impiego lungo l’intero ciclo di vita dei sistemi e servizi ICT, in conformità ai principi della sicurezza e della tutela della privacy, nel rispetto dei principi stabiliti dalla normativa nazionale ed europea;
6. l’implementazione di un’azione di coordinamento nazionale, coerente con le iniziative adottate a livello europeo e in sinergia con i Paesi like-minded, per prevenire e contrastare la disinformazione online, che sfruttando le caratteristiche del dominio cibernetico.

1. un sistema di gestione crisi cibernetica nazionale – assicurato dal Nucleo per la Cybersicurezza (NCS) – e transnazionale, che sia fondato su procedure di collaborazione consolidate supportate da costanti flussi informativi ed elementi di conoscenza condivisi anche grazie a reti e infrastrutture nazionali e transnazionali, con il coinvolgimento delle Amministrazioni e degli operatori privati interessati;
2. l’integrazione degli attuali servizi cyber nazionali nei seguenti ambiti:
• identificazione della minaccia realizzando un “Hyper SOC”, ovvero un sistema di raccolta, correlazione e analisi di eventi di interesse da Security Operation Center (SOC), nonché dagli Internet Service Provider (ISP), al fine di individuare precocemente eventuali “pattern” di attacco complessi che potrebbero rappresentare minacce emergenti di interesse;
• assicurare e facilitare modalità di notifica unitaria degli incidenti di sicurezza cibernetica al Computer Security Incident Response Team (CSIRT), così da rendere più efficace la capacità di risposta e allarme tempestivo;
• risposta agli incidenti realizzando una rete di CSIRT/Computer Emergency Response Team (CERT) settoriali federati con lo CSIRT Italia per la condivisione di procedure, informazioni e supporto nella risposta alle minacce emergenti e agli incidenti;
• condivisione di informazioni realizzando un Information Sharing and Analysis Center (ISAC) centrale presso l’Agenzia, integrabile con una rete di ISAC settoriali sviluppati mediante iniziative pubblico-private, che possa potenziare la diffusione e l’applicazione di informazioni a maggior valore aggiunto per l’innalzamento del livello di cyber resilience del Paese;
• qualificazione di aziende in materia di incident response, in grado di fornire supporto allo CSIRT Italia nel caso in cui dovesse verificarsi una moltitudine di incidenti cyber di natura sistemica;

3. l’organizzazione di periodiche esercitazioni di sicurezza cibernetica e resilienza, anche nell’ambito del Perimetro nazionale di sicurezza cibernetica, nonché la promozione e il coordinamento della partecipazione a quelle europee e internazionali;
4. la definizione del posizionamento e della procedura nazionale in materia di attribuzione di attività cibernetiche ostili, che specifichi anche i diversi attori coinvolti e il relativo contributo;
5. il contrasto al cybercrime, declinato nella prevenzione e nel contrasto delle attività criminali di matrice comune, organizzata e terroristica, rivolte all’integrità delle infrastrutture critiche informatizzate, ma anche le altre fattispecie di reato perpetrate attraverso le tecnologie ICT;
6. il rafforzamento delle capacità di deterrenza in ambito cibernetico.

1. promuovere il ruolo del Centro Nazionale di Coordinamento (NCC) che, in stretto raccordo con il Centro europeo di competenza per la cybersicurezza nell’ambito industriale, tecnologico e della ricerca (ECCC), è chiamato a supportare lo sviluppo e il potenziamento dell’autonomia strategico-tecnologica e digitale dell’Unione europea e del nostro Paese;
2. facilitare lo sviluppo di tecnologia nazionale ed europea, così da ridurre la dipendenza da tecnologie extra-UE, attraverso l’avvio di dedicate progettualità che saranno realizzate nell’ambito di un “parco nazionale della cybersicurezza” destinato, a tendere, ad inglobare i Cluster tecnologici che svolgono attività in materia.
3. sostenere la realizzazione un “parco nazionale della cybersicurezza” che, mettendo a sistema competenze e risorse provenienti dalla Pubblica Amministrazione, dall’industria e dal mondo accademico e della ricerca, fornisca tutte le infrastrutture tecnologiche necessarie allo svolgimento di attività di ricerca e sviluppo nell’ambito della cybersecurity e delle tecnologie digitali;
4. introdurre nuovi meccanismi e soluzioni incentivanti per continuare a supportare lo sviluppo industriale, tecnologico e della ricerca. Ciò, anche con l’obiettivo di:
• continuare a favorire la competitività del sistema produttivo del Paese, sostenendo le imprese nella loro transizione digitale ed ecologica, agevolandone l’internazionalizzazione e l’attrazione di investimenti;
• realizzare prodotti e servizi ICT ad alta affidabilità, anche incoraggiando la creazione di Product Security Incident Response Team (PSIRT) da parte degli operatori privati, per accrescere le loro capacità di gestire le vulnerabilità di prodotti ICT;
5. dare un continuo impulso all’innovazione tecnologica e alla digitalizzazione della Pubblica Amministrazione e del tessuto produttivo del Paese, assicurando una costante rispondenza ai principi di cybersicurezza e facendo ricorso alle risorse messe a disposizione dal PNRR.

Conclusioni