Misure minime di sicurezza ICT per le pubbliche amministrazioni

Le “misure minime di sicurezza informatica per la PA” sono lo strumento utilizzato dall’AgID per diffondere la cultura della sicurezza ICT nella Pubblica Amministrazione. Sostanza e forma del documento, però, risultano solo un ulteriore primo passo verso una cyber security della PA, a fronte di indicazioni basiche, soluzioni prettamente tecniche e del disvelamento, indiretto, d’inadeguatezza dell’attuale cyber security PA.

Emanate dall’AgID il 26 aprile 2016, pubblicate in Gazzetta Ufficiale il 6 aprile 2017, le “Misure minime di sicurezza informatica per la PA” contengono indicazioni per valutare e innalzare il livello di ICT security della Pubblica amministrazione. Il documento è parte delle “Regole Tecniche per la sicurezza informatica delle PA”, ex Direttiva 1 agosto 2015 del Presidente del Consiglio dei Ministri, che incarica l’Agenzia per l’Italia Digitale dello sviluppo di standard di riferimento. Le prescrizioni dovranno essere adottate entro il 31 dicembre 2017 da tutte le Amministrazioni Pubbliche, per il contrasto di minacce digitali-telematiche più comuni e frequenti. Le linee guida mostrano tre livelli di attuazione, di cui il primo stabilisce i criteri di base per la conformità tecnologica, organizzativa e procedurale; i successivi livelli, invece, prevedono strumenti di protezione più completi. In via generale, le regole tecniche concernono l’Inventario dei dispositivi autorizzati e non autorizzati, l’Inventario dei software autorizzati e non autorizzati, la Protezione delle configurazioni di hardware e software sui dispositivi mobili, laptop, workstation e server, la Valutazione e la correzione continua delle vulnerabilità, l’Uso appropriato dei privilegi di amministratore, le Difese contro i malware, le Copie di sicurezza, la Protezione dei dati. L’obiettivo sotteso al documento è di fornire alle PA un riferimento normativo, consentendo loro di intraprendere un percorso di progressiva verifica ed adeguamento per la sicurezza informatica.

Questa attività dovrà essere portata a termine entro il 31 dicembre 2017 e avrà impatto su circa 20mila pubbliche amministrazioni (Enti centrali, Regioni, Città Metropolitane, Comuni, Università, Aziende Ospedaliere, Aziende sanitarie locali, ecc.).
I controlli di sicurezza, denominati ABSC, ovvero AgID Basic Security Controls, derivano dal progetto ormai maturo dei 20 Critical Security Controls avviato nel 2008 da parte del SANS Institute e dal Center for Internet Security in collaborazione con le principali agenzie americane dedicate alla sicurezza e i principali fornitori di tecnologie del settore: a partire da una analisi legata all'esperienza professionale dei contributori e in seguito condivisa è stato stilato un elenco articolato su 20 categorie di circa 150 controlli caratterizzati da un approccio molto operativo che, se adottati, garantiscono un adeguato livello di sicurezza.
Le misure previste nei controlli ABSC sono state selezionati dalle seguenti 8 categorie di controlli:

• Inventario dei dispositivi autorizzati e non autorizzati
• Inventario del software autorizzato e non autorizzato
• Configurazione sicura di hardware e software
• Adozione di un processo di gestione delle vulnerabilità
• Utilizzo controllato dei privilegi amministrativi
• Adozione di difese contro i programmi malware
• Capacità di recuperare l'operatività in caso di incidente, ovvero Business Continuity
• Protezione dei dati

Da rilevare che nella versione AgID i controlli da verificare sono stati mappati con le specifiche del Framework Nazionale sulla Sicurezza Cibernetica e il livello della loro adozione è graduato rispetto ai seguenti livelli:

• minimo, ovvero il livello al di sotto del quale il rischio è ritenuto inaccettabile
• standard, ovvero il livello ottimale verso cui tutte le Pa dovrebbero tendere
• alto, livello di pertinenza degli Enti coinvolti nel processo di gestione della sicurezza nazionale.

Di seguito le indicazioni agID: