Infrastrutture e Cybersecurity
DANILO BRUSCHI
La strategia “Cloud Italia”, pubblicata a settembre 2021, traccia un percorso per accompagnare le PA italiane nella migrazione dei dati e degli applicativi informatici verso un ambiente cloud, rappresentando una grande opportunità per una riorganizzazionestrutturale e gestionale delle pubbliche amministrazioni. Su questo percorso si innesta la recente riforma dell’architettura nazionale cyber, che ha istituito l’Agenzia per la Cybersicurezza Nazionale (ACN). Attraverso la Strategia Nazionale di Cybersicurezza, il governo considera cruciale per il corretto funzionamento del sistema-Paese la sicurezza dell’ecosistema digitale alla base dei servizi erogati dalla Pubblica Amministrazione, con specifica attenzione ai beni ICT. In questo incontro tratteremo le tematiche legate alle modifiche delle infrastrutture ICT dei comuni imposte dalla strategia cloud ed i sottostanti problemi di cybersecurity.
Elenco degli argomenti trattati:
- Cloud computing: partendo dal principio del “cloud first”, analizzeremo le diverse implicazioni che il cloud può avere per un ente locale. Entreremo nei dettagli della strategia “Cloud Italia”, valutando il ruolo del Polo Strategico Nazionale (PSN) nel panorama della PA italiana come infrastruttura centrale per ospitare dati e servizi critici in ambiente cloud sicuro. Esamineremo inoltre le modalità di adesione al modello cloud della PA e la qualificazione dei servizi cloud.
- Principi di sicurezza informatica: ci soffermeremo sulla descrizione dei principali rischi e
minacce informatiche per gli enti locali, tenendo in considerazione l’attuale contesto di
migrazione al cloud e di digitalizzazione dei servizi. Analizzeremo le tipologie di attacchi più frequenti e pericolose emerse di recente come il malware tramite phishing e altre tecniche di social engineering, e violazioni di dati (data breach). Verranno discusse le vulnerabilità più comuni negli enti locali (es. sistemi non aggiornati, scarsa consapevolezza del personale) e come queste minacce possano impattare l’erogazione dei servizi pubblici.
- Best practices per la sicurezza digitale: a partire dal Framework Nazionale per la Cybersecurity e la Data Protection (adattamento italiano del modello NIST), esamineremo gli approcci più diffusi per elaborare una strategia efficace di protezione dei sistemi informativi. Illustreremo le best practice organizzative e tecniche: ad esempio, l’adozione dipolitiche di sicurezza “by design”, l’importanza della formazione del personale e della sensibilizzazione (cyber awareness), la gestione del rischio cyber tramite analisi e controlli periodici.
- Sicurezza nel cloud: la sicurezza nel cloud è un tema centrale e, sebbene il cloud offra numerosi benefici (scalabilità, continuità operativa, costi ridotti), comporta anche rischi specifici legati alla protezione dei dati sensibili, alla conformità normativa e alla gestione delle identità digitali. In una prospettiva di migrazione al cloud è quindi importante per una Pubblica Amministrazione conoscere le principali problematiche di sicurezza legate agli ambienti cloud, per meglio definire il rapporto di collaborazione con il Cloud Service Provider. Affronteremo temi come il modello di responsabilità condivisa (cosa spetta al fornitore e cosa all’ente), la classificazione dei dati e dei servizi (es. dati critici da ospitare in cloud privati/PSN vs dati ordinari in cloud pubblici), le misure per garantire privacy e sovranità del dato, e i controlli di sicurezza darichiedere contrattualmente (certificazioni, cifratura dei dati a riposo e in transito, gestione sicura delle chiavi, ecc.).
- Gestione degli incidenti di sicurezza: è un aspetto cruciale per garantire la resilienza delle infrastrutture digitali pubbliche. Le amministrazioni devono adottare strategie efficaci per rilevare, rispondere e prevenire gli incidenti di sicurezza informatica. In questo contesto, analizzeremo il modello di incident response adatto agli enti locali, anche alla luce delle indicazioni che emergono dalle Linee Guida per lo sviluppo e la definizione del modello nazionale di riferimento per i CERT regionali pubblicate da AgID
Corso gratuito per gli aderenti al Formazione Generale