Articolo Pubblicazioni

DPCM 24 gennaio 2013: nasce l’architettura nazionale della sicurezza cibernetica

di · Pubblicato l’8 aprile 2013

Abstract

Con il decreto del Presidente del Consiglio dei ministri del 24 gennaio 2013, pubblicato nella Gazzetta Ufficiale del 19 marzo, l’Italia si dota per la prima volta di un’architettura istituzionale per la sicurezza cibernetica. L’articolo descrive i soggetti coinvolti e i loro compiti, la gestione delle crisi, gli obblighi per gli operatori privati che gestiscono infrastrutture critiche e i documenti strategici che dovranno seguire.

Vincenzo Calabrò | DPCM 24 gennaio 2013: nasce l’architettura nazionale della sicurezza cibernetica
 

Perché un decreto

Fino a oggi la sicurezza informatica in Italia è stata affrontata da molti soggetti, ciascuno nel proprio ambito. La Polizia Postale ha il CNAIPIC per la protezione delle infrastrutture critiche, la Difesa ha le proprie strutture, l’intelligence segue le minacce allo Stato, DigitPA e ora l’Agenzia per l’Italia Digitale si occupano delle amministrazioni. Mancava un disegno che ne coordinasse il lavoro e che indicasse chi decide in caso di crisi. La legge 133 del 2012, modificando la legge sui servizi di informazione, ha attribuito al Presidente del Consiglio il compito di impartire direttive in materia di protezione cibernetica. Il DPCM del 24 gennaio 2013 è la prima attuazione.

I soggetti

L’architettura disegnata dal decreto si articola su più livelli:
  • il Presidente del Consiglio, che ha l’alta direzione e la responsabilità generale della politica di sicurezza cibernetica e adotta il quadro strategico nazionale;
  • il Comitato interministeriale per la sicurezza della Repubblica, il CISR, che propone gli indirizzi generali e partecipa alla gestione delle situazioni di crisi;
  • il Nucleo per la sicurezza cibernetica, costituito presso l’Ufficio del consigliere militare del Presidente del Consiglio, con compiti di raccordo, prevenzione, allerta e risposta;
  • il Dipartimento delle informazioni per la sicurezza e le agenzie di intelligence, per la ricerca e l’analisi delle minacce;
  • il Tavolo interministeriale di crisi cibernetica, che si riunisce in caso di crisi per coordinare la risposta;
  • il CERT nazionale, presso il Ministero dello sviluppo economico, e il CERT della pubblica amministrazione, presso l’Agenzia per l’Italia Digitale.

Il Nucleo per la sicurezza cibernetica

Il Nucleo è il perno operativo del sistema. Riunisce rappresentanti dei ministeri e delle strutture coinvolte, promuove la programmazione delle attività di prevenzione e risposta, cura il collegamento con le istituzioni internazionali e gli organismi omologhi degli altri paesi, gestisce il sistema di allertamento. Riceve le segnalazioni di eventi cibernetici di rilievo e valuta se attivare le procedure di crisi. In situazioni di crisi il coordinamento passa al Tavolo interministeriale, che opera in raccordo con il Nucleo.

Gli operatori privati

Il decreto riguarda anche gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, gestiscono infrastrutture critiche di rilievo nazionale ed europeo o il cui funzionamento è condizionato dall’operatività di sistemi informatici. Per questi soggetti sono previsti alcuni impegni:
  1. comunicare al Nucleo per la sicurezza cibernetica ogni significativa violazione della sicurezza o dell’integrità dei propri sistemi;
  2. adottare le migliori pratiche e le misure per la sicurezza;
  3. fornire informazioni agli organismi di informazione per la sicurezza e consentire l’accesso alle banche dati di interesse;
  4. collaborare alla gestione delle crisi, ripristinando la funzionalità dei sistemi e delle reti.
Le modalità concrete di queste collaborazioni saranno definite con accordi, e molto dipenderà dalla fiducia che si riuscirà a costruire tra istituzioni e aziende. Una segnalazione di incidente è utile solo se chi la riceve sa usarla e se chi la invia non teme conseguenze per la propria reputazione.

I documenti strategici

Il decreto prevede l’adozione di un quadro strategico nazionale, con i profili e le tendenze delle minacce, le vulnerabilità, i compiti dei soggetti e gli strumenti di contrasto, e di un piano nazionale, con gli obiettivi da conseguire e le linee di azione. Sono attesi nei prossimi mesi. Indicheranno le priorità di investimento, la formazione, la cooperazione pubblico privato e il rapporto con le iniziative europee, a partire dalla strategia per la sicurezza cibernetica presentata dalla Commissione europea a febbraio e dalla proposta di direttiva sulla sicurezza delle reti e dell’informazione.

Il ruolo dei CERT

Il CERT nazionale dovrà supportare cittadini e imprese nella prevenzione e nella risposta agli incidenti, diffondendo allerte e informazioni sulle minacce. Il CERT-PA svolgerà lo stesso ruolo per le amministrazioni pubbliche, raccogliendo le segnalazioni e coordinando la risposta. La presenza di due strutture distinte richiede un coordinamento stretto, perché molti attacchi colpiscono insieme soggetti pubblici e privati.

Il quadro europeo

Il decreto arriva mentre l’Unione europea definisce la propria politica. A febbraio 2013 la Commissione e l’Alto rappresentante hanno presentato la strategia dell’Unione per la sicurezza informatica, con l’obiettivo di aumentare la resilienza dei sistemi, ridurre la criminalità informatica, sviluppare capacità di difesa e una politica internazionale coerente. Insieme alla strategia è stata proposta una direttiva sulla sicurezza delle reti e dell’informazione, che chiederebbe a ogni Stato membro di avere un’autorità competente, un CERT e una strategia nazionale, e agli operatori di infrastrutture critiche e di alcuni servizi digitali di adottare misure di sicurezza e notificare gli incidenti gravi. L’architettura italiana dovrà quindi adattarsi anche a queste regole, quando saranno approvate.

Che cosa cambia per le organizzazioni

Per le aziende che gestiscono servizi di rilievo nazionale il decreto è il primo segnale di una regolazione che diventerà più stringente. Conviene prepararsi in alcune direzioni. Le procedure di gestione degli incidenti dovrebbero prevedere chi valuta la gravità di un evento e chi decide di segnalarlo all’esterno. Gli inventari dei sistemi critici e delle dipendenze da fornitori dovrebbero essere aggiornati. I contatti con il CERT nazionale e con il CNAIPIC andrebbero stabiliti prima che servano. Per le amministrazioni il riferimento diventa il CERT-PA, che dovrà affiancare le regole tecniche dell’Agenzia per l’Italia Digitale.
 
Vedi anche: l’articolo del 2007 Estonia 2007, l’articolo del 2022 Strategia nazionale di cybersicurezza 2022-2026 e l’articolo del 2024 Direttiva NIS2.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn