Cybersecurity: priorità per la smart city

Accordo ANCI-Polizia di Stato per prevenire e contrastare crimini informatici verso i Comuni

Il 06 Luglio 2023 è stato siglato un accordo tra l’ANCI, l’Associazione Nazione dei Comuni Italiani, e la Polizia di stato. Lo stesso è incentrato sulla prevenzione e il contrasto dei crimini informatici ai danni dei sistemi informativi dei Comuni. Alla Polizia Postale e delle Comunicazioni – particolare specialità della Polizia di Stato – è infatti devoluta (nell’ambito del framework facente capo all’Agenzia per la Cybersicurezza Nazionale) la delicata attività di difesa digitale e tutela delle infrastrutture critiche del “sistema paese”. Tra queste non potevano non figurare i Comuni, unità elementare ed ente maggiormente prossimo al cittadino.

Il contesto dell’accordo

Pressoché quotidianamente sono siglate, dal particolare comparto di Polizia, dei protocolli d’intesa con enti fornitori di servizi. L’obiettivo è il contrasto dei crimini informatici, a tutela dei sistemi informativi e delle infrastrutture tecnologiche in uso ad asset d’interesse nazionale. In linea di massima i soggetti interessati, al fine di incrementarne la sicurezza ma anche la resilienza dei sistemi, sono istituzioni universitarie, centri di ricerca, ospedali, trasporti ma anche privati, il quale marchio è una garanzia dell’italianità nel mondo, nell’ottica di una concreta sicurezza partecipata (ex art. 39, L. 16.01.2003, n.3).
I protocolli hanno l’obiettivo di condividere specifiche procedure d’intervento con il personale tecnico IT della struttura interessata. Ottimizzare i tempi di risposta per un possibile incident respons, è un primo traguardo, favorire l’apporto dell’investigazione digitale e le relative comunicazioni alle autorità di pertinenza, anche circa la violazione dei dati, è la cifra ideale.

A tal proposito è interessante dare uno sguardo alla Relazione 2022 del Garante Privacy. A pagina 163, si legge “Dal 1° gennaio al 31 dicembre 2022 sono state notificate all’Autorità n. 1.351 violazioni dei dati personali ai sensi dell’art. 33 del RGPD o dell’art. 26 del d.lgs. n. 51/2018, da parte di soggetti pubblici (31,2% dei casi) e privati (68,8% dei casi) […] In particolare, nel settore pubblico, le violazioni dei dati personali hanno riguardato soprattutto comuni, istituti scolastici e strutture sanitarie […] I fenomeni più frequentemente riscontrati sono stati la diffusione di malware di tipo ransomware, che ha compromesso la disponibilità dei dati all’interno dei sistemi server, delle postazioni di lavoro e dei database di numerose organizzazioni pubbliche e private, e che, in molti casi, ha anche inciso sulla riservatezza delle informazioni trattate […]”.

In questo ambito assume rilevanza lo scambio informativo tra le parti. Ancora di più se riferibili a centri di ricerca. Tale collaborazione consente l’aggiornamento delle rispettive conoscenze, circa la natura delle principali minacce o sulla modalità di realizzazione di attacchi informatici, quindi alla realizzazione di nuove tecnologie. Il tutto volto, appunto, a innalzare i livelli di prevenzione e contrasto, quindi alla tutela delle infrastrutture critiche. Ovviamente, laddove le intese possano interessare degli Atenei, l’ideale connubio sfocerebbe nella realizzazione di incontri formativi, utili anche per rendere noto al grande pubblico quello stato dell’arte, incrementando, contestualmente, il livello di consapevolezza dei rischi nel comune cittadino.

La logica facilmente desumibile è che l’anello debole della catena è sempre l’utente. Ovviamente, tale asserzione è valida al netto che i sistemi utilizzati siano puntualmente aggiornati, patchati rispetto alle vulnerabilità note. Il mito dell’aggiornamento del solo antivirus è oramai trascorso, al pari della figura “romantica” del pirata informatico incappucciato. È la differenza tra hacker e cracker. Tra un individuo che approccia una sfida intellettuale contro delle limitazioni di uso, con cambio di paradigma e punti di vista, contro veri e propri cybercriminale (black hat).

Al contesto tratteggiato vanno ad aggiungersi insidie sempre più verticalizzanti. Le stesse possono anche essere frutto di contrasti geopolitici, stante la difficoltà di attribuzione di un attacco (la guerra in Ucraina né è un esempio, al pari delle attività di collettivi come NoName057 o Killnet).

I termini di quanto siglato

Già dal 2021, il Ministero dell’Interno ha previsto, tra gli obiettivi operativi, l’ampliamento della sfera di tutela del C.N.A.I.P.I.C. per la tutela delle infrastrutture critiche informatizzate e per le infrastrutture sensibili presenti sul territorio, significando le Piccole e Medie Imprese (PMI) e la Pubblica Amministrazione Locale (PAL).

La firma dell’accordo, quindi, è avvenuta durante la “Missione Italia 2023” (Roma 05-06 luglio ’23). L’evento è organizzato dall’ANCI, in collaborazione con IFEL, con la partecipazione degli attori istituzionali, economici e sociali coinvolti nell’attuazione del piano Next Generation Eu. Infatti il tema principale era l’attuazione del PNRR dei Comuni e delle Città.

A margine dell’evento in parola è stato quindi siglato l’accordo, nell’ottica del “Progetto PRO-C2SI”. Il Progetto per la Cyber sicurezza dei Comuni Italiani è strutturato su due pilastri.
Il primo è dedicato alla tutela diretta delle infrastrutture dei Comuni con più di 20.000 abitanti, al fine di non comprometterne il funzionamento. Il secondo è diretto a innalzare i livelli di competenza tecnica e di awareness. Significando iniziative formative rivolte al personale dei Comuni, siano essi quadri e tecnici. Le attività in questione saranno disimpegnate dai Centri Operativi Sicurezza Cibernetica della Postale, competenti sui vari territori.

A livello locale, si soggiunge,  sono comunque presenti delle progettualità, come in Lombardia, con partneriati pubblico-privato, volte a favorire la transizione digitale e la tutela delle infrastrutture critiche.  Il Dipartimento di Informatica “Giovanni Degli Antoni” dell’Università degli Studi di Milano, nell’ambito del progetto Multilayered Urban Sustainability Action (PNRR), in collaborazione con ANCILAB, ha realizzato un insieme di incontri dedicati alla cybersecurity, e alle problematiche legate alla transizione al cloud, per i Comuni, anche considerando le buone pratiche di Vulnerability Assessment.

Arrivando alla conclusione, si riprendono le parole del presidente dell’ANCI, Antonio Decaro.

“L’accordo che firmiamo oggi è di grandissima importanza per i Comuni. La transizione digitale, che interessa e deve interessare sempre di più le pubbliche amministrazioni, porta con sé straordinarie potenzialità ma anche nuovi pericoli. È fondamentale che il personale dei Comuni [….] sia pienamente consapevole dei rischi portati da chi volesse usare le nuove tecnologie per perpetrare crimini. Il nostro personale chiede di essere messo in grado di difendere l’integrità delle reti informatiche delle amministrazioni. A questi fini, l’accordo che stipuliamo oggi con il Ministero dell’Interno ci consentirà di usufruire della grande competenza e attenzione che le articolazioni della Polizia di Stato hanno sempre dimostrato in questo campo in funzione di prevenzione e di repressione delle attività illegali”.

Silvestro Marascio