Articolo Pubblicazioni
Misure minime di sicurezza ICT per la PA (circolare AgID 2/2017): guida pratica
di Vincenzo Calabrò · Pubblicato l’8 maggio 2017
Abstract
La circolare AgID n. 2 del 18 aprile 2017, pubblicata in Gazzetta Ufficiale il 5 maggio, fissa le misure minime di sicurezza ICT che tutte le pubbliche amministrazioni devono adottare entro il 31 dicembre 2017. L’articolo ne ricostruisce l’origine nella direttiva del 1° agosto 2015, spiega i tre livelli di attuazione, descrive le otto classi di controlli e indica un percorso pratico per arrivare alla scadenza con un modulo di implementazione credibile.
Da dove nascono
La direttiva del Presidente del Consiglio dei ministri del 1° agosto 2015 aveva affidato all’Agenzia per l’Italia Digitale il compito di definire regole tecniche per la sicurezza informatica delle amministrazioni. AgID ha risposto prima con la circolare 1/2017 di marzo e poi con la circolare n. 2 del 18 aprile 2017, che la sostituisce ed è stata pubblicata nella Gazzetta Ufficiale n. 103 del 5 maggio. Il testo è breve, ma l’allegato con le misure è un documento tecnico denso, organizzato in tabelle.
Il modello di riferimento è dichiarato. Le misure derivano dai Critical Security Controls del Center for Internet Security, la lista nota da anni come SANS 20, adattata alla realtà delle amministrazioni italiane. AgID ha scelto le classi di controlli che proteggono dagli attacchi più frequenti e le ha chiamate ABSC, AgID Basic Security Controls.
I tre livelli
Ogni misura è associata a un livello di attuazione:
- minimo, il livello sotto il quale nessuna amministrazione può scendere, obbligatorio per tutte;
- standard, il livello che la maggior parte delle amministrazioni dovrebbe considerare come base di riferimento;
- alto, il livello adatto alle amministrazioni più esposte per il tipo di dati e servizi che gestiscono, e l’obiettivo verso cui tutte dovrebbero tendere.
La scelta del livello va motivata. Un piccolo comune può fermarsi al minimo, un’azienda sanitaria o un ente che gestisce dati di milioni di cittadini dovrebbe puntare in alto.
Le otto classi di controlli
Le misure sono raggruppate in otto classi, che conservano la numerazione dei controlli CIS:
- ABSC 1, inventario dei dispositivi autorizzati e non autorizzati;
- ABSC 2, inventario dei software autorizzati e non autorizzati;
- ABSC 3, protezione delle configurazioni di hardware e software su dispositivi mobili, portatili, postazioni e server;
- ABSC 4, valutazione e correzione continua delle vulnerabilità;
- ABSC 5, uso appropriato dei privilegi di amministratore;
- ABSC 8, difese contro il malware;
- ABSC 10, copie di sicurezza;
- ABSC 13, protezione dei dati.
L’ordine ha una logica. Senza un inventario di dispositivi e programmi qualsiasi altra misura resta parziale, perché si protegge solo ciò che si conosce. Le classi 3, 4 e 5 riducono la superficie d’attacco, la 8 e la 10 limitano i danni, la 13 protegge le informazioni che hanno più valore.
Chi risponde
La responsabilità dell’attuazione è del responsabile della struttura per l’organizzazione, l’innovazione e le tecnologie previsto dall’articolo 17 del Codice dell’amministrazione digitale o, in sua assenza, del dirigente designato. Questa figura compila il modulo di implementazione allegato alla circolare, che riporta per ogni misura le modalità con cui è stata attuata. Il modulo va firmato digitalmente con marcatura temporale dal responsabile e dal rappresentante legale e conservato dall’amministrazione. In caso di incidente informatico deve essere trasmesso al CERT-PA insieme alla segnalazione.
Il meccanismo ha una conseguenza pratica. Il modulo diventa la prova di ciò che l’ente dichiara di aver fatto, e dopo un incidente sarà confrontato con quanto accaduto. Dichiarare misure non attuate espone il responsabile più dell’ammissione di un ritardo.
Un percorso fino al 31 dicembre
La scadenza per l’adeguamento è il 31 dicembre 2017. Per un ente di medie dimensioni i mesi a disposizione bastano se il lavoro parte subito e procede per fasi:
- censire dispositivi e software con uno strumento di inventario automatico, confrontando il risultato con gli elenchi esistenti;
- definire configurazioni standard per postazioni e server e rimuovere servizi e programmi non necessari;
- avviare scansioni periodiche delle vulnerabilità e una procedura per installare gli aggiornamenti entro tempi definiti;
- separare le utenze amministrative da quelle ordinarie e registrarne l’uso;
- verificare antivirus, filtri sulla posta e blocco dei supporti rimovibili;
- controllare che le copie di sicurezza esistano, siano conservate in luogo separato e si possano ripristinare;
- individuare i dati più sensibili e proteggerli con cifratura e controllo degli accessi;
- compilare il modulo con descrizioni concrete e conservarne le evidenze.
Il legame con il passato e con il GDPR
Chi ha lavorato con l’Allegato B del Codice privacy riconoscerà l’impostazione per elenchi. La differenza sta nella granularità e nel taglio tecnico, perché le misure AgID entrano nel dettaglio delle configurazioni e dei controlli automatici. Dal 25 maggio 2018 si applicherà anche il Regolamento europeo sulla protezione dei dati, che chiede misure adeguate al rischio. Un ente che avrà attuato bene le misure minime avrà già costruito buona parte della documentazione che il Regolamento richiede.
Il rapporto con il CERT-PA
Il CERT-PA, che opera presso AgID, pubblica bollettini su vulnerabilità e campagne di malware rivolte alle amministrazioni. Le misure della classe ABSC 4 e della classe ABSC 8 traggono beneficio da un collegamento stabile con questi avvisi. Conviene designare una persona che li legga ogni giorno, valuti se riguardano i sistemi dell’ente e avvii le azioni necessarie, registrando data e decisione. Questo registro diventa una delle evidenze più convincenti da allegare al modulo di implementazione, perché dimostra che la correzione delle vulnerabilità è un’attività continua.
Gli errori da evitare
Il rischio più comune è trattare la circolare come un adempimento cartaceo e compilare il modulo copiando le descrizioni delle misure. Un altro errore frequente riguarda le copie di sicurezza, che spesso esistono ma non sono mai state provate con un ripristino reale. Anche l’inventario tende a fermarsi ai dispositivi gestiti dall’ufficio informatico e a trascurare stampanti di rete, apparati dei fornitori e postazioni dei servizi esterni. Sono proprio questi i punti da cui partono molti attacchi.
Vedi anche: l’articolo del 2005 Il Codice dell’Amministrazione Digitale, l’articolo del 2017 Privacy by design e by default e l’articolo del 2018 GDPR e data breach.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn