I rischi individuati

L’adozione della strategia nazionale è uno dei passaggi chiave affinché l’azione dell’agenzia e degli altri organi che si occupano del tema si sviluppi in modo coerente e sinergico. Non a caso il documento non è stato adottato in autonomia dall’Acn. Al contrario, è una responsabilità che la legge attribuisce al presidente del consiglio (art. 2 d.l. 82/2021), sentito il comitato interministeriale di cybersicurezza (Cic). Quest’organo include tutti i ministri con le responsabilità più importanti nel settore, oltre che il presidente del consiglio, l’autorità delegata e il direttore dell’agenzia, con funzioni di segretario. Si tratta dunque di un documento discusso collegialmente, in modo da tenere in considerazione tutti i possibili profili d’interesse.

Il documento si esprime su molteplici aspetti tra i quali di fondamentale importanza sono l’individuazione dei rischi e la definizione degli obiettivi.

Innanzitutto la strategia identifica 3 rischi sistemici. Questi riguardano la cybercriminalità, possibili ingerenze da parte di governi esteri tramite società tecnologiche controllate o influenzate e la diffusione di fake news e disinformazione.

Sfide e obiettivi

Tali rischi sono poi declinati in 5 sfide che l’agenzia, ma più in generale tutto il comparto della cybersicurezza, si propone di affrontare:

1. assicurare una transizione digitale cyber resiliente della pubblica amministrazione e del tessuto produttivo;
2. autonomia strategica nazionale ed europea nel settore del digitale;
3. anticipare l’evoluzione della minaccia cyber;
4. gestione di crisi cibernetiche;
5. contrastare la disinformazione.

Come si può vedere si tratta di temi che riguardano più o meno direttamente una pluralità di soggetti. Così mentre la prima sfida si riferisce soprattutto alla pubblica amministrazione, a tutti i livelli, la seconda si pone in un terreno di dialogo tra istituzioni nazionali ed europee e settore privato.

La terza e la quarta sfida invece riguardano soprattutto le capacità sia predittiva che operativa di gestione delle crisi e coinvolgono i vari attori che si occupano di sicurezza cibernetica, difesa e intelligence. Sempre l’intelligence poi è in parte coinvolta nella quinta sfida, che tuttavia assume un profilo delicato riguardando un tema costituzionalmente garantito come la libertà di espressione. Infatti da un lato è vero che assicurare che il dibattito non sia inquinato è molto importante per il libero gioco democratico. Dall’altro però proprio in questi giorni si discute su quali siano i limiti che l’intelligence dovrebbe rispettare su un tema così delicato.

In ogni caso, allo scopo di fronteggiare queste sfide, sono stati delineati 3 obiettivi volti a perseguire la protezione, la risposta e lo sviluppo.

La protezione riguarda soprattutto la capacità di creare un ambiente sicuro potenziando le capacità del centro di valutazione e certificazione nazionale (Cvcn), mantenendo il quadro giuridico aggiornato e sviluppando le capacità dei vari attori di settore.

La risposta concerne la capacità di reazione nei momenti di crisi. Questi potrebbero richiedere un intervento dei vertici politici, a cominciare dal presidente del consiglio, mentre il livello operativo è assicurato dal nucleo per la cybersicurezza e quello tecnico dal Csirt Italia.

Infine l’obiettivo sviluppo è dedicato proprio al rilancio dell’innovazione tecnologica nel nostro paese, in un’ottica sia industriale che di ricerca.

La governance

Ciascuno degli obiettivi previsti è poi dettagliato in un piano di implementazione che identifica gli attori responsabili e gli altri soggetti interessati.

Per ognuna delle 82 misure in cui è suddiviso il piano di implementazione sono indicate in maniera puntuale le organizzazioni responsabili e gli altri soggetti interessati. Analizzando questa distribuzione di competenze da un punto di vista quantitativo emerge chiaramente come l’agenzia abbia in questo settore una posizione preminente, per quanto non esclusiva.

Dunque la nascita dell'agenzia non ha esaurito tutte le competenze già attribuite ad altri organi. Ma l'analisi quantitativa non rende giustizia ad alcuni attori che invece, come si legge nel documento, rimangono ancora molto importanti in contesti specifici. Prime tra tutte le agenzie di informazione per la sicurezza in materia di cyber-intelligence, il ministero della difesa in materia di cyber-difesa e il ministero dell'interno per la cybercriminalità, in particolare attraverso il dipartimento di pubblica sicurezza e la polizia postale.

Le risorse del Pnrr

La transizione digitale è un processo fondamentale per lo sviluppo del paese, ma come abbiamo visto comporta dei rischi. Per sviluppare infrastrutture solide e organizzazioni in grado di proteggerle sono dunque necessarie molte risorse.

Per questo il Piano nazionale di ripresa e resilienza (Pnrr) ha destinato al macro tema Digitalizzazione (classificazione originale openpolis) oltre un miliardo e mezzo di euro. Di questi oltre un terzo sono destinati alla sicurezza digitale.

La misura è attribuita alla responsabilità del dipartimento della trasformazione digitale e dunque al ministro Colao. Il soggetto attuatore però è proprio l'agenzia per la cybersicurezza.

L'utilizzo di queste risorse è sottoposto al rispetto di una serie di scadenze concordate con l'Unione europea. Cinque di queste devono essere completate entro la fine del 2022 mentre altre 4 entro la fine del 2024.

Delle prime una è stata completata in anticipo, ovvero l'istituzione dell'agenzia. Altre due sono in corso ("dispiego iniziale dei servizi nazionali di cybersecurity" e "avvio della rete dei laboratori di screening e certificazione della cybersecurity") e le rimanenti devono ancora essere avviate.

Foto: Unsplash - Emile Perron

L'articolo La governance della cybersicurezza e la strategia nazionale proviene da Openpolis.

Per questo nel 2016 a livello europeo è stata emanata la direttiva Nis (Network and Information Security) di cui al momento si sta discutendo un aggiornamento. Allo stesso modo l’Italia ha ridefinito nel corso di questi anni il sistema di sicurezza cibernetica, istituendo da ultimo un’apposita agenzia.

Le nuove minacce

Secondo i risultati del rapporto Clusit 2021, anche solo considerando gli attacchi informatici di cui si ha avuto pubblicamente notizia, i numeri di questo fenomeno sono cresciuti in maniera considerevole nell'ultimo triennio.

Numeri in continuo aumento dunque che riguardano vari tipi di attacchi, con caratteristiche, motivazioni e criticità molto diversi tra loro. Se da un lato infatti a livello quantitativo sono i cybercrime, ovvero crimini comuni compiuti con l'ausilio di strumenti cibernetici, a registrare i numeri più alti, a livello di pericolosità per il sistema gli atti di cyber warfare e quelli di spionaggio o sabotaggio sono decisamente più gravi.

Proprio questi ultimi peraltro sono quelli su cui, nell'ultimo anno, si è registrata la crescita maggiore (+30,4%).

Per questo si è reso ed è tutt'ora necessario che i governi si dotino di strumenti e strutture sempre più capaci di affrontare queste minacce. Attacchi come quello alle infrastrutture sanitarie della regione Lazio nel 2021 infatti rendono del tutto evidente come lo sviluppo di sistemi tecnologici all'interno della pubblica amministrazione espongano il sistema a gravi pericoli, se non viene adeguatamente protetto.

I primi anni della cybersicurezza in Italia

Il settore della cybersicurezza ha assunto una prima definizione nel 2013, anche su impulso dell'Unione europea e della Nato.

In quell'occasione il governo Monti, attraverso un decreto della presidenza del consiglio (Dpcm 24 gennaio 2013), ha attribuito le principali competenze in materia alle agenzie di intelligence e in particolare al dipartimento d'informazioni per la sicurezza della repubblica (Dis). All'interno del Dis infatti è stato anche inserito il Nucleo per la sicurezza cibernetica (Nsc).

Nel 2016 poi l'Unione europea ha emanato la cosiddetta direttiva Nis, con lo scopo di fornire un livello elevato di sicurezza dei sistemi, delle reti e delle informazioni comune a tutti i paesi membri. L'anno successivo il governo Gentiloni ha dunque approvato un nuovo Dpcm con cui venivano recepiti alcuni primi elementi della direttiva, come ad esempio i criteri identificati a livello europeo per definire la lista degli operatori essenziali e dei fornitori di servizi digitali. Il provvedimento inoltre istituiva presso il ministero dello sviluppo economico il centro di valutazione e certificazione nazionale (Cvcn) per la verifica degli standard di sicurezza dei prodotti tecnologici destinati a essere impiegati nelle infrastrutture critiche del paese. Nel 2018 lo stesso esecutivo ha poi approvato un nuovo decreto legislativo con cui è stata recepita interamente la direttiva europea.

La nuova architettura del settore

Con questi provvedimenti si è iniziato a identificare il perimetro entro il quale operava il settore della sicurezza cibernetica. Un percorso che ha trovato pieno compimento nel 2019 quando il secondo governo Conte, appena entrato in carica, ha approvato un decreto legge intitolato per l’appunto "Disposizioni urgenti in materia di perimetro nazionale di sicurezza cibernetica".

Il decreto legge 82/2021, approvato dal governo Draghi, ha infine riformato in maniera considerevole il settore istituendo l'Agenzia per la cybersicurezza nazionale (Acn). Questa ha incorporato la maggior parte delle competenze precedentemente attribuite a vari altri organi. Primi tra tutti il Dis e il ministero dello sviluppo economico per quanto riguarda il centro di valutazione e certificazione nazionale.

L'agenzia è posta sotto il controllo della presidenza del consiglio, ed è al presidente del consiglio cui spetta la nomina del direttore e del vicedirettore. Al contempo però non si tratta di un dipartimento organico al resto dell'amministrazione. Trattandosi di un'agenzia infatti a questa è garantita autonomia regolamentare, amministrativa, patrimoniale, organizzativa, contabile e finanziaria.

Quanto alla struttura organizzativa è interessante notare che se da un lato l'agenzia non è stata inserita all'interno del sistema di informazioni per la sicurezza della repubblica dall'altro il decreto istitutivo ricalca in modo piuttosto fedele la struttura e la disciplina prevista per l'intelligence (legge 124/2007).

Come per l'intelligence infatti è attribuito al Copasir (comitato parlamentare per la sicurezza della repubblica) il controllo democratico parlamentare. Al presidente del consiglio invece è attribuita in via esclusiva l'alta direzione e la responsabilità generale delle politiche di cybersicurezza oltre che l'adozione della strategia nazionale di cybersicurezza. Le altre competenze del presidente del consiglio invece possono essere svolte all'autorità delegata (il sottosegretario con delega ai servizi di intelligence) nel caso in cui questa figura venga istituita. Anche le norme che regolano la nomina dei vertici sono Identiche quelle previste per il settore dell'intelligence. Infine anche in questo caso è istituito un organo interministeriale, il Cic (comitato interministeriale per la cybersicurezza). Una struttura del tutto simile al comitato interministeriale per la sicurezza della repubblica (Cisr) di cui assume peraltro le competenze in materia di sicurezza cibernetica.

Gli organi di coordinamento nazionali

Non tutto il settore della cybersicurezza è però di competenza della nuova agenzia, che infatti lavorerà in stretto contatto con vari altri comparti tra cui quello di intelligence. Il dialogo tra i diversi soggetti è previsto attraverso due organi. Uno è per l'appunto il Cic, l'altro è il nucleo per la cybersicurezza. Le due strutture operano su livelli istituzionali diversi.

Il primo infatti riunisce il direttore dell'agenzia, che svolge il ruolo di segretario, il presidente del consiglio, che lo presiede, l'autorità delegata e i ministri degli esteri, dell'interno, della giustizia, della difesa, dell'economia, dello sviluppo economico, della transizione ecologica, dell'università, della transizione digitale e delle infrastrutture. Tra i compiti del comitato rientrano quello di proporre al presidente del consiglio gli indirizzi generali da perseguire, l'alta sorveglianza sull'attuazione della strategia e la promozione delle iniziative per favorire la collaborazione, a livello nazionale e internazionale, tra i diversi soggetti istituzionali di settore.

Il nucleo per la cybersicurezza invece opera a un livello più operativo. Al contrario del Cic il nucleo è un organo permanente, che si occupa degli aspetti relativi alla prevenzione e alla preparazione ad eventuali situazioni di crisi. È presieduto dal direttore dell'agenzia o dal vicedirettore e ne fanno parte il consigliere militare del presidente del consiglio, un rappresentante di ciascuna delle agenzie di intelligence, della protezione civile e di ciascuno dei ministeri presenti nel Cic.

Sia del Cic che del nucleo per la cybersicurezza fanno parte il ministro della difesa o dei sui rappresentanti. In nessuno dei due casi però è esplicitamente citato il Comando operazioni in rete (Cor), che tuttavia è un organo molto importante in questo settore. Istituito nel 2020 e posto sotto la catena di comando dello stato maggiore della difesa, a questo organo spetta infatti il compito di coordinare le attività di sicurezza e difesa cibernetica delle forze armate.

Il coordinamento a livello europeo

In linea generale è utile tenere presente l'importanza e la complessità del coordinamento nelle attività di intelligence. La cybersicurezza certo non rientra propriamente in questa definizione, ma come abbiamo visto da molti punti di vista ci si avvicina molto. Sarà quindi tutta da verificare la capacità di questi organismi di superare i tradizionali problemi di intelligence sharing che possono caratterizzare sia i rapporti con altre agenzie nazionali che, a maggior ragione, con agenzie estere.

Da quest'ultimo punto di vista infatti è importante ricordare il ruolo dell'Agenzia quale nuova autorità competente Nis, ovvero il punto di contatto unico in materia di sicurezza delle reti e dei sistemi informativi. Da un punto di vista generale dunque è l'Acn a mantenere il dialogo e la condivisione con l'agenzia europea per la cybersicurezza (Enisa) e con le altre agenzie o organi dei vari paesi membri.

A un livello più operativo invece è attribuito al Csirt italiano (gruppo di intervento per la sicurezza informatica in caso di incidente) il compito di collaborare con gli altri Csirt dei paesi membri dell'Unione europea e con il computer emergency response team dell'agenzia europea.

Le potenziali criticità nella condivisione di informazioni a livello europeo e internazionale d'altra parte sono abbastanza evidenti già leggendo il testo della norma che la disciplina. Qui infatti da un lato si esprime l'obbligo di cooperazione e dall'altro si stabiliscono precisi limiti e cautele nella condivisione di queste stesse informazioni.

L'agenzia per la cybersicurezza

Istituita a metà del 2021, l'agenzia per la cybersicurezza ha ricevuto per il primo anno modeste dotazioni finanziarie. D'altronde una struttura così importante che deve assorbire da altri organi personale e infrastrutture già in uso, richiede tempo per entrare effettivamente in funzione. Già dal 2022 infatti il bilancio assegnato al nuovo organo passerà da 2 a 41 milioni di euro, per poi continuare a crescere in modo considerevole fino al 2027.

Per trasformare l'agenzia da un guscio vuoto a un organo operativo a tutti gli effetti il governo ha scelto due figure di prestigio per il ruolo di direttore e vicedirettore. Al vertice dell'agenzia infatti è stato nominato Roberto Baldoni, già vice direttore del Dis con delega proprio alla cybersicurezza. Come sua vice invece è stata nominata Nunzia Ciardi ovvero l'ex direttrice della polizia postale, il corpo addetto al contrasto del cybercrime.

Quanto al resto della struttura e del personale il regolamento dell'agenzia, recentemente posto al vaglio del parlamento, prevede un massimo di 8 servizi generali, suddivisi al loro interno in divisioni. A capo di queste potranno essere assegnati 24 dirigenti di livello non generale, mentre all'organico non dirigenziale è posto un limite massimo di 268 persone.

European data journalism network, i dati nel resto dell'Europa

Openpolis fa parte dell'European data journalism network, una rete di realtà che si occupano di data journalism in tutta Europa. Questo articolo è stato prodotto nell'ambito del progetto Panelfit, supportato dal programma Horizon 2020 della Commissione europea (grant agreement n. 788039). La commissione non ha preso parte alla produzione dell'articolo e non è responsabile per il suo contenuto.

Foto Credit: ministero dell'interno

L'articolo L’Italia e le istituzioni per la cybersicurezza proviene da Openpolis.