{"id":5483,"date":"2020-05-25T11:02:42","date_gmt":"2020-05-25T09:02:42","guid":{"rendered":"https:\/\/www.itstime.it\/w\/?p=5483"},"modified":"2020-06-02T11:23:26","modified_gmt":"2020-06-02T09:23:26","slug":"larchitettura-cibernetica-nazionale-analisi-del-framework-legale-by-francesco-balucani","status":"publish","type":"post","link":"https:\/\/www.itstime.it\/w\/larchitettura-cibernetica-nazionale-analisi-del-framework-legale-by-francesco-balucani\/","title":{"rendered":"L\u2019architettura cibernetica nazionale. Analisi del framework legale – by Francesco Balucani"},"content":{"rendered":"\n

L\u2019avvento, dopo le quattro dimensioni tradizionali (terra, aria, mare e spazio extra-atmosferico), di una quinta dimensione della conflittualit\u00e0 legata all\u2019elemento cyber ha imposto uno sforzo originale da parte degli Stati nazione per aggiornare le rispettive dottrine della sicurezza nazionale. La natura dual-use <\/em>(in italiano: ambivalente) delle tecnologie informatiche, facilmente reimpiegabili a scopo militare, l\u2019abbassamento della soglia di accesso agli strumenti informatici determinata dalla diffusione di hardware <\/em>a basso costo e dai processi di democratizzazione digitale, nonch\u00e9 l\u2019intrinseco trade-off<\/em>, o rapporto inversamente proporzionale, tra informatizzazione e sicurezza che contraddistingue le societ\u00e0 densamente informatizzate, determinano infatti la nascita di nuove minacce alla sicurezza nazionale sul piano cibernetico; minacce che mutano e progrediscono con la stessa velocit\u00e0 dell\u2019innovazione tecnologica e che obbligano quindi il legislatore a offrire una risposta flessibile, attenta e versatile.<\/p>\n

A questo proposito, nel maggio del 2017 la Presidenza del Consiglio dei Ministri ha rilasciato il nuovo Piano Nazionale per la Protezione Cibernetica e la Sicurezza Informatica[1]<\/strong><\/a><\/em>, concepito per individuare \u201cgli indirizzi operativi, gli obiettivi da conseguire e le linee d\u2019azione da porre in essere per dare concreta attuazione al Quadro Nazionale per la sicurezza dello spazio cibernetico[2]<\/a> (QSN), alla luce degli indirizzi per la protezione cibernetica e la sicurezza informatica indicati dal Presidente del Consiglio dei Ministri nella sua qualit\u00e0 di Organo di vertice dell\u2019architettura nazionale cyber\u201d.<\/p>\n

Gli indirizzi strategici del Quadro Strategico Nazionale (QSN), elaborato dal Tavolo Tecnico Cyber (TTC) \u2013 che opera presso il DIS e al quale partecipano i rappresentanti cyber del CISR (Affari esteri, Interno, Difesa, Giustizia, Economia e Finanze, Sviluppo Economico), dell\u2019Agenzia per l\u2019Italia Digitale e del Nucleo per la Sicurezza Cibernetica (NSC) \u2013 sono i seguenti:<\/p>\n

    \n
  1. Potenziamento delle capacit\u00e0 di difesa delle Infrastrutture Critiche nazionali e degli attori di rilevanza strategica per il sistema-Paese;<\/li>\n
  2. Miglioramento, secondo un approccio integrato, delle capacit\u00e0 tecnologiche, operative e di analisi degli attori istituzionali interessati;<\/li>\n
  3. Incentivazione della cooperazione tra istituzioni ed imprese nazionali;<\/li>\n
  4. Promozione e diffusione della cultura della sicurezza cibernetica;<\/li>\n
  5. Rafforzamento della cooperazione internazionale in materia di sicurezza cibernetica;<\/li>\n
  6. Rafforzamento delle capacit\u00e0 di contrasto alle attivit\u00e0 e contenuti illegali on-line<\/em>.<\/li>\n<\/ol>\n

    Per dare concretezza agli indirizzi strategici del QSN, il Piano Nazionale (PN) ha identificato 11 indirizzi operativi, di cui riportiamo i fondamenti.<\/p>\n

      \n
    1. Potenziamento delle capacit\u00e0 di Intelligence<\/em>, di polizia e di difesa civile e militare. \u201cLa protezione cibernetica e la sicurezza informatica nazionali, per essere efficacemente perseguite, presuppongono, in prima istanza, un\u2019approfondita conoscenza delle vulnerabilit\u00e0 \u2013 non solo del fattore tecnologico ma anche di quello umano \u2013 e delle minacce cibernetiche che le sfruttano, al fine di rendere le reti e i sistemi, in particolare nel caso delle infrastrutture critiche, pi\u00f9 resilienti, assicurando, al contempo, l\u2019efficacia del contrasto\u201d.<\/li>\n
    2. Potenziamento dell\u2019organizzazione e delle modalit\u00e0 di coordinamento e di interazione a livello nazionale tra soggetti pubblici e privati. \u201cTale indirizzo si pone l\u2019obiettivo di potenziare il coordinamento e la cooperazione non solo tra i diversi soggetti pubblici, ma anche tra questi e i soggetti privati, considerato che questi ultimi gestiscono le infrastrutture critiche nazionali. Da qui discende l\u2019esigenza di assicurare l\u2019interoperabilit\u00e0 tra i vari attori, anche a livello internazionale\u201d.<\/li>\n
    3. Promozione e diffusione della cultura della sicurezza informatica. \u201cLa formazione e l\u2019addestramento nel settore della sicurezza informatica sono stati, fino ad oggi, orientati prevalentemente al personale specialistico che opera o che \u00e8 destinato ad operare nel settore. Si pone, pertanto, l\u2019esigenza di un\u2019attivit\u00e0 di promozione della cultura della sicurezza informatica diretta ad un ampio pubblico, che includa privati cittadini e personale, sia delle imprese che della Pubblica Amministrazione\u201d.<\/li>\n
    4. Cooperazione internazionale ed esercitazioni. \u201cIl carattere per definizione transnazionale della minaccia cibernetica e la sua pervasivit\u00e0 richiedono un approccio internazionale alla tematica, posto che i singoli Stati devono necessariamente agire sinergicamente per far fronte alla stessa. Ci\u00f2 presuppone, necessariamente, un comune livello di preparazione e di interoperabilit\u00e0\u201d.<\/li>\n
    5. Operativit\u00e0 delle strutture nazionali di incident prevention, response e remediation<\/em>. \u201cL\u2019approntamento di capacit\u00e0 di prevenzione e reazione ad eventi cibernetici richiede lo sviluppo di Computer Emergency Team<\/em> (CERT) quali soggetti erogatori di servizi di assistenza tecnica, ricerca e sviluppo, formazione e informazione per i rispettivi utenti, pubblici e\/o privati. La Direttiva NIS prevede, quantomeno a favore dei gestori di servizi essenziali, la costituzione dei Computer Security Incident Response Team<\/em> (CSIRT), una nuova tipologia di organismo intesa quale evoluzione dei CERT in grado di assicurare una effettiva capacit\u00e0 di assistenza e supporto attivo alla propria constituency<\/em> in caso di evento cibernetico. Nel contesto del recepimento delle novit\u00e0 introdotte dalla Direttiva NIS, occorre ridefinire il ruolo rivestito dagli attori presenti nell\u2019attuale architettura nazionale (i vari CERT) e quelli che vi faranno ingresso (oltre a CSIRT, Autorit\u00e0 nazionale\/i e punto unico di contatto). Nelle more del recepimento della direttiva NIS, sar\u00e0 avviato un processo di progressiva unificazione dei CERT pubblici per sancire, nei settori di interesse strategico, la competenza esclusiva di un CERT nazionale unico, ovvero per creare una rete nazionale di CERT individuando un soggetto con poteri di coordinamento\u201d.<\/li>\n
    6. Interventi legislativi e compliance <\/em>con obblighi internazionali. \u201cLa rapida evoluzione tecnologico-informatica comporta un altrettanto veloce obsolescenza delle norme che disciplinano materie correlate alle tecnologie dell\u2019informazione e della comunicazione. Pertanto, esse necessitano di periodiche revisioni e aggiornamenti, oltre che di integrazioni, anche per creare un substrato giuridico alle attivit\u00e0 condotte ai fini della protezione cibernetica e della sicurezza informatica e per responsabilizzare gli amministratori e gli utenti delle operazioni da questi compiute sui sistemi loro assegnati\u201d.<\/li>\n
    7. Compliance<\/em> a standard<\/em> e protocolli di sicurezza. \u201cLa compliance a standard e protocolli di sicurezza, elaborati sia a livello nazionale che internazionale, consente di garantire un comune ed elevato livello qualitativo nell\u2019assicurare la protezione cibernetica e la sicurezza informatica dei sistemi e delle reti\u201d.<\/li>\n
    8. Supporto allo sviluppo industriale e tecnologico. \u201cLa garanzia dell\u2019affidabilit\u00e0 e della sicurezza di componenti hardware e software prodotte nell\u2019Unione Europea e nei Paesi terzi, specie di quelle impiegate da infrastrutture critiche e da soggetti che svolgono attivit\u00e0 di rilevanza strategica per il Paese, rappresenta un obiettivo conseguibile solo se tutti gli attori della catena del valore (produttori di componenti hardware, sviluppatori di software, fornitori di servizi della societ\u00e0 dell\u2019informazione) faranno della sicurezza una priorit\u00e0\u201d.<\/li>\n
    9. Comunicazione strategica. \u201cLa comunicazione circa un evento cibernetico e le relative conseguenze assume un\u2019importanza strategica, in quanto le singole Amministrazioni interessate ed i soggetti privati gestori di servizi essenziali devono essere in grado di fornire, ove necessario o opportuno, un\u2019informazione completa, corretta, veritiera e trasparente, senza con ci\u00f2 creare inutili allarmismi che verrebbero ad amplificare l\u2019impatto economico e sociale dell\u2019evento stesso\u201d.<\/li>\n
    10. \u201cPunto di partenza per un\u2019oculata pianificazione finanziaria e per la ripartizione delle risorse \u00e8 l\u2019analisi dei costi di eventi cibernetici occorsi o potenziali, in quanto la rilevanza del rischio \u00e8 direttamente proporzionale alla probabilit\u00e0 ed all\u2019entit\u00e0 del danno. Parimenti, l\u2019opportunit\u00e0 e la priorit\u00e0 d\u2019intervento su una specifica vulnerabilit\u00e0 potrebbero essere meglio supportate a livello decisionale qualora corredate degli opportuni elementi di valutazione economica. Quest\u2019ultima potrebbe meglio bilanciare l\u2019analisi dei costi correlata alle esigenze di investimento nel settore pubblico quanto in quello privato\u201d.<\/li>\n
    11. Implementazione di un sistema di Cyber Risk Management<\/em> \u201cLa protezione dei dati da minacce che ne pregiudicano l\u2019autenticit\u00e0, l\u2019integrit\u00e0, la riservatezza e la disponibilit\u00e0 \u00e8 parte integrante del presente Piano Nazionale in quanto le informazioni costituiscono un valore intrinseco all\u2019organizzazione, pubblica o privata, e imprescindibile obiettivo di ogni attacco cibernetico\u201d.<\/li>\n<\/ol>\n

      Il 24 giugno 2018, dando seguito alla direttiva europea NIS (Network and Information Security<\/em>) del luglio 2016, tesa ad affrontare il tema cyber incrementando il livello di sicurezza cibernetica nei 28 Paesi membri, \u00e8 entrato in vigore il decreto legislativo di attuazione[3]<\/a>, che oltre ad occuparsi di questioni gi\u00e0 inquadrate dal Piano Nazionale (PN), come la promozione della cultura della sicurezza, la limitazione dell\u2019impatto degli incidenti informatici e il rafforzamento della cooperazione in ambito nazionale ed europeo, istituisce nuovi \u201cobblighi in materia di sicurezza e di notifica per i cosiddetti Operatori di Servizi Essenziali <\/em>(OSE) \u2013 ossia organizzazioni pubbliche o private operanti nei settori energia, trasporti, bancario, infrastrutture dei mercati finanziari, infrastrutture digitali, sanitario e fornitura e distribuzione di acqua potabile \u2013 e per i Fornitori di Servizi Digitali <\/em>(FSD): e-commerce, <\/em>motori di ricerca, e cloud computing<\/em>\u201d[4]<\/a>. Tali obblighi sono istituiti al fine di salvaguardare la business continuity<\/em> per gli OSE e i FSD. A loro spetta dunque il compito di adottare misure tecniche e organizzative atte a prevenire eventuali incidenti informatici e approntare un efficace modello di crisis management<\/em>. \u201cLa notifica di incidenti con impatto rilevante sui servizi forniti andr\u00e0 fatta al Computer Security Incident Response Team<\/em> (CSIRT) e alle autorit\u00e0 competenti NIS, ossia i vari Ministeri\u201d. Con il decreto, in ossequio a quanto previsto dalla direttiva NIS e dal quinto indirizzo del Piano Nazionale (PN), le funzioni svolte dal CERT nazionale e dal CERT-PA vengono attribuite allo CSIRT italiano. Tale nuova struttura viene ufficialmente istituita con il DPCM dell\u20198 agosto 2019 (pubblicato in gazzetta l\u20198 novembre dello stesso anno[5]<\/a>), e viene posta, con riguardo all\u2019ormai stabile tendenza accentratrice intrapresa dopo la met\u00e0 del Duemila, presso il Dipartimento delle Informazioni per la Sicurezza (DIS). Lo CSIRT\u00a0 avr\u00e0 il \u201ccompito di definire le procedure tecniche per la prevenzione e la gestione degli incidenti informativi; ricevere le notifiche di incidente; fornire al soggetto che ha effettuato la notifica le informazioni per facilitare la gestione efficace dell\u2019evento; informare gli altri Stati membri dell\u2019Ue eventualmente coinvolti dall\u2019incidente; garantire la collaborazione nella rete di CSIRT, attraverso l\u2019individuazione di forme di cooperazione appropriate, lo scambio di informazioni e la condivisione di best practices<\/em>\u201d[6]<\/a>.<\/p>\n

      Alla luce di quanto emerso dal Piano Nazionale (PN) e degli sforzi intrapresi dalla Presidenza del Consiglio dei Ministri per rafforzare l\u2019architettura cibernetica del Paese, con riferimento al quadro delineato nel corso dei primi paragrafi, sembra che le istituzioni si stiano muovendo nella giusta direzione.<\/p>\n

      Sono tre i punti su cui \u00e8 bene soffermarsi per mettere in evidenza il lavoro positivo svolto dal Tavolo Tecnico Cyber (TTC) e dagli organi che si sono occupati di elaborare i vari asset dell\u2019odierna architettura cibernetica del Paese.<\/p>\n

        \n
      1. Concezione della protezione cibernetica e della sicurezza informatica non come un obiettivo, ma come un \u201cprocesso\u201d. La realt\u00e0 fluida, adattiva e mutevole del cyberspace<\/em> impone la costituzione di strutture difensive flessibili, modulari e dinamiche, che considerino la sicurezza informatica non come un traguardo statico, ma come una successione ininterrotta di nuove linee di arrivo e di partenza. L\u2019innovazione tecnologica comporta trasformazioni dall\u2019impatto significativo su base pressoch\u00e9 quotidiana e la crescente potenza computazionale dei moderni processori implicher\u00e0 nel breve periodo un aumento ancora pi\u00f9 marcato delle potenzialit\u00e0 offensive offerte dalla dimensione cibernetica, per di pi\u00f9 a costi decrescenti. Considerare la sicurezza informatica come un \u201cprocesso\u201d, ancorch\u00e9 ovvio, denota un\u2019attenzione speciale per questi aspetti e non pu\u00f2 che essere apprezzata.<\/li>\n
      2. Razionalizzazione complessiva dell\u2019architettura cibernetica del Paese e contrazione della catena di comando e controllo. La gestione ordinaria e straordinaria della sicurezza cibernetica nazionale viene attribuita alle strutture del DIS (Dipartimento delle informazioni per la sicurezza), il NISP viene abolito e il Nucleo per la Sicurezza Cibernetica (NSC), a cui \u00e8 demandato il coordinamento della gestione delle crisi cibernetiche, viene riposizionato presso il DIS. Inoltre, la catena di comando deputata alla gestione delle crisi subir\u00e0 un complessivo processo di contrazione, \u201cal fine di rendere tempestiva ed efficace l\u2019azione degli organi chiamati a svolgere compiti di response<\/em> e remediation<\/em> in caso di eventi cibernetici\u201d (Gazzetta ufficiale n.125 del 31 maggio 2017[7]<\/a>). I due CERT (Nazionale e della Pubblica Amministrazione), poi riuniti nello CSIRT italiano, interagiscono strettamente per consentire un allineamento operativo che assicuri \u201cuna capacit\u00e0 unitaria di rilevazione, allarme e prima analisi degli incidenti cibernetici\u201d. In nuce, tutti i segmenti della societ\u00e0 interessati alla tematica cyber<\/em> sono conglobati in un sistema unitario orbitante attorno al DIS. Questa scelta, in un contesto di balcanizzazione digitale privo di forze trainanti e punti di ancoraggio stabili, pu\u00f2 senz\u2019altro ritenersi azzeccata, specie se abbinata alla volont\u00e0 di voler creare, in ambito cyber<\/em>, un vero e proprio network istituzionale che operi all\u2019unisono per uno scopo comune, che nel caso precipuo \u00e8 la sicurezza nazionale. La costituzione di un\u2019architettura cibernetica reticolare permette un pi\u00f9 attento controllo da parte degli organi istituzionali preposti al monitoraggio degli eventi cibernetici e una capacit\u00e0 di reazione significativamente maggiore, in ossequio al principio di \u201cconcentrazione delle forze\u201d di clausewitziana memoria.<\/li>\n
      3. Responsabilizzazione di tutti gli attori interessati a vario titolo alla tematica La costituzione di un network di attori, pubblici e privati, che cooperino e collaborino al fine di consolidare la sicurezza nazionale del sistema Paese origina dalla responsabilizzazione dei medesimi, un processo che li porti a considerare s\u00e9 stessi non come unit\u00e0 distinte, ma come parte di un sistema. Collegare tutti i nodi della rete, in un mondo che della rete ha fatto il suo architrave portante, \u00e8 il solo modo per realizzare un complesso difensivo realmente efficace.<\/li>\n<\/ol>\n

        Qualora questi tre principi, ovvero la percezione della sicurezza cibernetica come un processo, la concentrazione delle forze attraverso l\u2019accentramento organizzativo e la responsabilizzazione di tutti gli attori coinvolti, restino saldi e centrali nell\u2019agenda governativa, l\u2019architettura cibernetica del sistema paese potr\u00e0 sperare di raggiungere una soglia di efficacia ancora maggiore, restare al passo con l\u2019evolversi della situazione su scala globale, reggere il confronto con il dinamismo dell\u2019innovazione tecnologica, e innalzare dunque uno stabile e resiliente bastione difensivo nella quinta dimensione della conflittualit\u00e0.<\/p>\n

        [1]<\/a> https:\/\/www.sicurezzanazionale.gov.it\/sisr.nsf\/wp-content\/uploads\/2017\/05\/piano-nazionale-cyber-2017.pdf<\/a><\/p>\n

        [2]<\/a> https:\/\/www.sicurezzanazionale.gov.it\/sisr.nsf\/wp-content\/uploads\/2014\/02\/quadro-strategico-nazionale-cyber.pdf<\/a><\/p>\n

        [3]<\/a> https:\/\/www.gazzettaufficiale.it\/eli\/id\/2018\/06\/09\/18G00092\/sg<\/a><\/p>\n

        [4]<\/a> https:\/\/www.sicurezzanazionale.gov.it\/sisr.nsf\/archivio-notizie\/cyber-la-nis-entra-in-vigore-litalia-si-rafforza-e-fa-rete-con-lue.html<\/a><\/p>\n

        [5]<\/a> https:\/\/www.sicurezzanazionale.gov.it\/sisr.nsf\/wp-content\/uploads\/2019\/11\/GAZZETTA-UFFICIALE-CSIRT.pdf<\/a><\/p>\n

        [6]<\/a> https:\/\/www.sicurezzanazionale.gov.it\/sisr.nsf\/archivio-notizie\/cybersecurity-come-cambia-larchitettura-nazionale.html<\/a><\/p>\n

        [7]<\/a> https:\/\/www.gazzettaufficiale.it\/eli\/gu\/2017\/05\/31\/125\/sg\/pdf<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"","protected":false},"author":2,"featured_media":5484,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[9],"tags":[256,446,16],"class_list":["post-5483","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-security","tag-cybersecurity","tag-cyberwar","tag-italy"],"_links":{"self":[{"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/posts\/5483","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/comments?post=5483"}],"version-history":[{"count":1,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/posts\/5483\/revisions"}],"predecessor-version":[{"id":5485,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/posts\/5483\/revisions\/5485"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/media\/5484"}],"wp:attachment":[{"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/media?parent=5483"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/categories?post=5483"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.itstime.it\/w\/wp-json\/wp\/v2\/tags?post=5483"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}