Cyber security per la pubblica amministrazione
Comuni, consorzi e società partecipate gestiscono servizi che i cittadini non possono comprare altrove. Le regole sono molte e si sovrappongono: conviene partire da quelle che chiedono prove tecniche.
Cyber security nella PA: servizi che non possono fermarsi
Quando un ente locale viene colpito, si fermano l'anagrafe, i tributi, i pagamenti ai fornitori, il protocollo, a volte la polizia locale. I cittadini se ne accorgono subito, e i dati che l'ente custodisce, dai certificati ai dati dei servizi sociali, possono finire pubblicati online. La cyber security nella pubblica amministrazione è quindi prima di tutto continuità del servizio.
Le debolezze ricorrono: sistemi gestiti da più fornitori esterni con accessi propri, applicativi in uso da molti anni, uffici distaccati collegati alla stessa rete, personale che cambia e utenze che restano attive, siti istituzionali e portali dei servizi online esposti a chiunque. In molti enti piccoli l'informatica è in mano a una o due persone, che si occupano anche di tutto il resto.
Gli attacchi tipici non sono diversi da quelli contro le imprese: phishing verso gli uffici, credenziali riutilizzate, vulnerabilità note mai corrette su un server raggiungibile da Internet. Cambia l'impatto, che ricade su una comunità intera.
Misure minime AgID, NIS2 per le PA e legge 90/2024
Quattro riferimenti con destinatari diversi. È utile sapere quali ti riguardano prima di decidere da dove partire.
Misure minime di sicurezza ICT
La circolare AgID n. 2/2017 vale per tutte le amministrazioni. Prevede tre livelli (minimo, standard, alto), con il minimo obbligatorio, e chiede al responsabile per la transizione digitale di firmare e conservare il modulo di implementazione. I controlli derivano dai CIS Controls.
NIS2 per le pubbliche amministrazioni
Il decreto legislativo 138/2024, all'allegato III, include le amministrazioni centrali, Regioni e Province autonome, città metropolitane, Comuni con più di 100.000 abitanti, Comuni capoluogo di regione e aziende sanitarie locali, oltre ad altre categorie di enti pubblici. L'allegato IV permette di includere società in house, partecipate e a controllo pubblico.
Legge 90/2024
Per amministrazioni centrali, Regioni, città metropolitane, grandi Comuni, capoluoghi e altri soggetti elencati: segnalazione degli incidenti all'Agenzia per la Cybersicurezza Nazionale entro 24 ore, notifica completa entro 72 ore, una struttura e un referente per la cybersicurezza.
GDPR e Piano triennale
Ogni ente è titolare del trattamento: registro dei trattamenti, misure dell'articolo 32 e notifica dei data breach al Garante entro 72 ore. Il Piano triennale per l'informatica nella PA, aggiornato ogni anno, ha la sicurezza informatica fra i suoi assi.
Il Comune piccolo è fuori dalla NIS2? Oggi i Comuni sotto i 100.000 abitanti che non sono capoluogo di regione non compaiono nell'allegato III, ma restano soggetti alle misure minime AgID e al GDPR. Per una verifica puntuale leggi chi è obbligato dalla NIS2 e consulta il portale dell'Agenzia per la Cybersicurezza Nazionale.
Le misure minime AgID, controllo per controllo
Le famiglie di controlli della circolare sono le stesse da cui conviene partire per la NIS2. Ecco quali servizi Dottor Box producono l'evidenza per ciascuna.
| Famiglia di controlli (ABSC) | Cosa produce Dottor Box |
|---|---|
| 1 · Inventario dei dispositivi | Asset Management: macchine con agent e dispositivi trovati dalla mappa di rete della sonda Cyber Drill |
| 2 · Inventario dei software | Software Autorizzati: cosa è installato, chi lo ha autorizzato, avviso sulle applicazioni nuove |
| 3 · Configurazioni sicure | Controlli di configurazione del Cyber Agent e postura di Microsoft 365 o Google Workspace |
| 4 · Valutazione e correzione delle vulnerabilità | Vulnerability Assessment interno, esterno e del sito istituzionale, con storico e confronto fra scansioni |
| 5 · Privilegi amministrativi | Log Accessi con le utenze amministrative, in linea con il provvedimento sugli amministratori di sistema |
| 8 · Difesa contro il malware | Stato dell'antivirus sugli endpoint e segnalazione delle macchine non protette |
| 10 · Copie di sicurezza | Questionario Backup & Recovery della Continuità operativa |
| 13 · Protezione dei dati | Condivisioni aperte e credenziali esposte trovate dal Dark Web Monitoring |
Evidenze che restano anche quando cambiano le persone
Il modulo che si può sostenere
Il modulo di implementazione delle misure minime poggia su scansioni e inventari, non su caselle spuntate a memoria.
Memoria dell'ente
Report archiviati, procedure versionate e storico delle scansioni restano anche quando il referente cambia ufficio.
Fornitori sotto controllo
Questionari di qualifica dei fornitori ICT compilati da un link, con le evidenze allegate.
Incidenti con un metodo
Ruoli assegnati e fasi tracciate con Incident Response, per rispettare i tempi di segnalazione.
Dottor Marc è certificata ISO/IEC 27001 e ISO 9001. I dati dell'ente stanno in un ambiente dedicato, su infrastruttura cloud Google e datacenter proprietari di Dottor Marc, con un responsabile della protezione dei dati nominato.
Dettagli tecnici e contrattuali sono nella pagina Sicurezza e conformità. Per le modalità di attivazione presso un ente, scrivici.
Domande sulla cyber security nella pubblica amministrazione
Le misure minime AgID sono ancora obbligatorie?
Sì. La circolare AgID n. 2/2017 fissava al 31 dicembre 2017 il termine per adeguarsi, e da allora tutte le amministrazioni devono applicare almeno il livello minimo. Le misure non sono state sostituite dalla NIS2: per gli enti che rientrano anche nel decreto 138/2024 si aggiungono gli obblighi di quest'ultimo. Il modulo di implementazione va tenuto aggiornato, non compilato una volta sola.
Quali pubbliche amministrazioni rientrano nella NIS2?
L'allegato III del decreto legislativo 138/2024 elenca le amministrazioni centrali, le Regioni e le Province autonome, le città metropolitane, i Comuni con più di 100.000 abitanti, i Comuni capoluogo di regione, le aziende sanitarie locali e alcune categorie di altri enti pubblici. L'allegato IV consente di includere, se individuati dall'Agenzia per la Cybersicurezza Nazionale, le società in house, partecipate e a controllo pubblico e i gestori del trasporto pubblico locale.
Entro quanto un ente deve segnalare un incidente informatico?
La legge 90/2024 chiede ai soggetti che elenca di segnalare l'incidente all'Agenzia per la Cybersicurezza Nazionale entro 24 ore e di completare la notifica entro 72 ore. Se l'ente è anche soggetto NIS2 valgono i tempi del decreto 138/2024; se sono coinvolti dati personali c'è in più la notifica al Garante entro 72 ore. La nostra guida al data breach riepiloga i passaggi.
Una società partecipata deve applicare le misure minime AgID?
La circolare si rivolge alle pubbliche amministrazioni. Per le società partecipate e in house conviene verificare caso per caso, anche alla luce dei contratti di servizio con l'ente socio, che spesso richiamano le stesse misure. Rispetto alla NIS2, l'allegato IV le rende includibili se l'Agenzia le individua: adottare oggi i controlli di base evita di rincorrere domani.
Che cosa sono i CIS Controls e che legame hanno con le misure AgID?
Sono un elenco di controlli tecnici di sicurezza, in ordine di priorità, pubblicato dal Center for Internet Security. Le misure minime AgID ne sono un adattamento alla pubblica amministrazione italiana. In Dottor Box puoi fare l'autovalutazione sui CIS Controls e usare gli stessi dati delle scansioni come evidenza per entrambi.
I moduli per un ente pubblico
Asset Management
L'inventario IT unificato di dispositivi e software, con la mappa a grafo della rete.
Scopri di più VedereVulnerability Assessment
Sei controlli dall'interno e dall'esterno, con severità CVSS, storico e avvisi sulle novità.
Scopri di più VedereSoftware autorizzati
Il software installato confrontato con quello approvato, per scoprire ciò che non dovrebbe esserci.
Scopri di più VedereLog accessi
Gli accessi degli amministratori di sistema raccolti e conservati come chiede il Garante.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più ConformitàCIS Controls · IG1
L'igiene informatica di base: il punto di partenza per ogni PMI.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.