Articolo Pubblicazioni
Il perimetro di sicurezza nazionale cibernetica: il DPCM 131/2020 spiegato
di Vincenzo Calabrò · Pubblicato il 16 novembre 2020
Abstract
Il DPCM 30 luglio 2020, n. 131, pubblicato in Gazzetta Ufficiale il 21 ottobre e in vigore dal 5 novembre, è il primo decreto attuativo del perimetro di sicurezza nazionale cibernetica istituito dal DL 105/2019. Stabilisce i settori e i criteri per individuare i soggetti inclusi e le regole per predisporre gli elenchi dei beni ICT. L’articolo spiega il contenuto del decreto e indica come prepararsi agli adempimenti.
Il contesto
Il decreto-legge 105 del 2019 ha istituito il perimetro di sicurezza nazionale cibernetica e rinviato a decreti attuativi la disciplina concreta. Il DPCM 131 del 30 luglio 2020 è il primo di questi. Definisce come individuare i soggetti inclusi e come questi debbano predisporre gli elenchi dei beni ICT da proteggere. Altri decreti dovranno disciplinare la notifica degli incidenti, le misure di sicurezza e le procedure del Centro di valutazione e certificazione nazionale.
Funzioni e servizi essenziali
Il decreto parte dalle funzioni dello Stato. Un soggetto esercita una funzione essenziale dello Stato quando l’ordinamento gli attribuisce compiti rivolti ad assicurare la continuità dell’azione di governo e degli organi costituzionali, la sicurezza interna ed esterna, la difesa, le relazioni internazionali, la sicurezza e l’ordine pubblico, l’amministrazione della giustizia, la funzionalità dei sistemi economico e finanziario e dei trasporti. Presta un servizio essenziale quando svolge attività civili, sociali o economiche fondamentali per gli interessi dello Stato, la cui interruzione può pregiudicare la sicurezza nazionale.
I settori
Il decreto individua i settori di attività in cui operano i soggetti che possono essere inclusi:
- governativo, con riferimento alle attività delle amministrazioni che fanno parte del CISR;
- interno, difesa e spazio e aerospazio;
- energia;
- telecomunicazioni;
- economia e finanza;
- trasporti;
- servizi digitali;
- tecnologie critiche;
- enti previdenziali e del lavoro.
Per ciascun settore un’amministrazione è incaricata di individuare i soggetti, applicando un criterio di gradualità. Si parte dai soggetti la cui compromissione avrebbe l’impatto maggiore sulla sicurezza nazionale. Il perimetro potrà quindi allargarsi nel tempo con successivi aggiornamenti.
La comunicazione ai soggetti
L’elenco dei soggetti inclusi è adottato con atto amministrativo del Presidente del Consiglio e non è pubblico. Ogni soggetto riceve una comunicazione individuale. Da quel momento decorrono i termini per gli adempimenti. È una scelta legata alla sicurezza nazionale, ma comporta che fornitori e partner possano non sapere con certezza se un loro cliente sia incluso. Nei rapporti contrattuali sarà quindi utile prevedere clausole che permettano al cliente di richiedere gli adempimenti necessari senza dover rivelare la propria posizione.
Gli elenchi dei beni ICT
Entro sei mesi dalla comunicazione ciascun soggetto deve predisporre e trasmettere l’elenco dei beni ICT di propria pertinenza necessari a svolgere la funzione o il servizio essenziale. Il lavoro richiesto si articola in più passaggi:
- individuare le funzioni e i servizi essenziali che il soggetto svolge;
- analizzare il rischio connesso a ciascuna funzione o servizio, considerando le minacce e le dipendenze;
- individuare le reti, i sistemi informativi e i servizi informatici necessari, compresi quelli che, se compromessi, avrebbero impatti sulla funzione o sul servizio;
- descrivere l’architettura e la componentistica dei beni, comprese le interconnessioni con altri sistemi e le dipendenze da fornitori;
- trasmettere l’elenco e la descrizione attraverso la piattaforma indicata, con le modalità previste per la protezione delle informazioni.
Gli elenchi devono essere aggiornati almeno una volta l’anno. Per i beni che dipendono da altri soggetti, come fornitori di connettività o di servizi cloud, l’analisi deve considerare anche queste dipendenze.
Il rapporto con l’analisi del rischio
Il decreto chiede che l’individuazione dei beni si basi su un’analisi del rischio. Per molte organizzazioni questo significa collegare l’analisi già svolta per la ISO/IEC 27001, il GDPR o la direttiva NIS alle funzioni e ai servizi rilevanti per il perimetro. Il punto di vista cambia, perché il riferimento diventa l’impatto sulla sicurezza nazionale. Un sistema poco rilevante per il business può diventare rilevante se da esso dipende un servizio essenziale.
La protezione delle informazioni
Gli elenchi dei beni ICT e la descrizione delle architetture sono informazioni molto delicate, perché indicano a un potenziale attaccante quali sistemi sono critici per lo Stato e come sono collegati. Il decreto prevede che la trasmissione avvenga attraverso una piattaforma dedicata, con misure di protezione adeguate. Anche all’interno dell’organizzazione queste informazioni vanno trattate con riservatezza, limitando la circolazione dei documenti a chi ne ha effettivamente bisogno e registrando gli accessi. Lo stesso vale per i consulenti e i fornitori coinvolti nella preparazione degli elenchi, con i quali conviene sottoscrivere accordi specifici di riservatezza.
I prossimi decreti
Il quadro sarà completo solo con i decreti successivi. Il secondo DPCM dovrà fissare le procedure di notifica degli incidenti al CSIRT italiano, con una classificazione degli eventi e tempi differenziati, e le misure di sicurezza da adottare. Un regolamento disciplinerà le procedure del CVCN per la valutazione delle forniture, e un ulteriore decreto individuerà le categorie di beni soggette a valutazione. Le organizzazioni incluse dovranno quindi aggiornare più volte le proprie procedure nel corso del prossimo anno.
Come prepararsi
Le organizzazioni che operano nei settori indicati possono avviare subito alcune attività, anche prima di ricevere la comunicazione. Conviene mappare i servizi verso lo Stato e i cittadini e i sistemi che li supportano, aggiornare l’inventario degli asset e delle interconnessioni, documentare le dipendenze da fornitori e servizi esterni, e individuare un responsabile interno per i rapporti con le autorità. Sei mesi sono pochi per chi parte senza un inventario affidabile.
Vedi anche: l’articolo del 2019 Perimetro di sicurezza nazionale cibernetica (DL 105/2019), l’articolo del 2013 DPCM 24 gennaio 2013 e l’articolo del 2025 Legge 90/2024.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn