Chiunque si occupi di cyber security ha letto il rapporto ACN di recente pubblicazione. Se così fosse, tutti dovrebbero avere notato qualcosa di veramente singolare che si presenta alla figura “Figura 41” di pagina 105.
Indice degli argomenti
La mappatura di servizi e informazioni personali
Lasciamo un po’ di suspence e torniamo indietro di qualche pagina. La 103 si apre con il tema della classificazione di dati e servizi delle PA. Obiettivo quello di definire l’impatto della compromissione riservatezza, integrità, disponibilità. A tal proposito è stata prevista una classificazione su tre livelli che riportiamo integralmente, per comodità e perché sarà utile averla a portata di mano per comprendere quanto si scriverà in seguito. Servizi e informazioni devono essere mappati sulla seguente scala:
- strategici, la cui compromissione può avere impatto sulla sicurezza nazionale, che includono quelli ricompresi nel D.L. n. 105/2019, i servizi essenziali ai sensi del D.Lgs. n. 65/2018 erogati a livello nazionale e le banche dati a carattere nazionale;
- critici, la cui compromissione potrebbe determinare un pregiudizio per il mantenimento di funzioni rilevanti per la società, la salute, la sicurezza e il benessere economico e sociale del Paese, che includono i servizi essenziali ai sensi del D.Lgs. n. 65/2018 erogati a livello locale, nonché quelli che trattano grandi moli di dati personali;
- ordinari, i rimanenti dati e servizi.
Che cosa hanno risposto le pubbliche amministrazioni
A pagina 104 si precisa che il compito delle pubbliche amministrazioni sarà compilare un questionario di 23 domande sulla base del quale un algoritmo sviluppato dall’Agenzia ha definito la classe dei diversi dati e servizi. A fondo pagina viene specificato che, alla data di pubblicazione del rapporto, l’80 per cento delle pubbliche amministrazioni ha risposto al questionario (senza dubbio un campione statistico molto attendibile).
Eccoci, dunque, alla fatidica pagina 105 e alla “Figura 41” che mostra la “percentuale di servizi classificati come ordinari, critici e strategici, per categorie di PA”. La tabella riserva la vera “sorpresa” di tutto il rapporto: gli ospedali e le ASL considerano il 62 per cento dei propri dati come critici; gli enti regionali l’11; le amministrazioni centrali il 4, ma con un 2 per cento di dati strategici, le province si fermano all’1.
Quello “zero” fa un certo effetto
E gli altri? Tutte le altre amministrazioni, compresi comuni, scuole e università, dichiarano che i servizi e i dati critici a loro afferenti sono pari a “zero”, un dato che fa un certo effetto se comparato con quello del sistema sanitario. Non ci sono dubbi che un ospedale sia per definizione “critico”, ma tra “62” e “0” ci sono un gran numero di vie di mezzo.
Proviamo a fare una rapida analisi sui comuni. In Italia, alla fine del 2022, l’ISTAT segnalava la presenza di 137 comuni con più di 50 mila abitanti. Posso immaginare che almeno una parte significativa di essi abbia risposto al questionario; quindi, appare strano che tutte queste amministrazioni possano pensare di non trattare “grandi moli di dati personali” e parimenti questi non siano implicati in “funzioni rilevanti”.
Per quanto attiene i dati ci sono pochi dubbi sul fatto che tra essi vi sia una quota parte di essi qualificabile come “sensibile” sia dal punto di vista del GDPR sia termini più generali. Senza troppa fantasia possiamo pensare ai servizi sociali che spaziano dalla gestione di situazioni disagio alle agevolazioni per i portatori di handicap, fino alle graduatorie per l’ammissione agli asili nido.
Il data breach dell’ASL Abruzzo e il risarcimento del danno da violazione del GDPR
Eppure quei dati sono molto sensibili
Basterebbe questa considerazione per comprendere che, se venisse compromessa la riservatezza di questi dati, senza peraltro alcuna interruzione dei servizi, le conseguenze per i cittadini potrebbero essere decisamente gravi (furti di identità, truffe on line, possibili ricatti, discriminazioni, frodi finanziarie e via dicendo). A tal proposito sarebbe interessante sapere cosa ne pensa il nostro Garante per la Protezione dei Dati.
Se poi i comuni italiani pensano che le loro funzioni non siano rilevanti per la “società, la salute, la sicurezza” forse sottovalutano la loro importanza. I comuni in generale offrono decine e quelli più grandi centinaia di servizi diversi. Il fatto che i cittadini siano “sopravvissuti” ai diversi attacchi che hanno colpito in passato queste amministrazioni locali (per esempio Brescia e Palermo) non significa che debba diventare la regola.
Scopriamo quanto sono al sicuro i dati sensibili degli studenti italiani
Perché questi risultati. Qualche ipotesi
Non entriamo nel merito di scuole e università, ma quanto detto per i comuni vale almeno in parte anche per queste istituzioni. Piuttosto può valere la pena fare qualche valutazione su come siano saltati fuori questi risultati.
Una prima considerazione è di carattere psicologico. È innegabile che da molti mesi le strutture sanitarie sono state obiettivo privilegiato di attacchi e senza dubbio questo ha giocato a favore dello sviluppo di una maggiore “sensibilità”.
Un secondo elemento che potrebbe avere influenzato gli intervistati sono gli “elenchi di servizi in cui viene proposta una classificazione predefinita, che l’Amministrazione può accettare o modificare”. Potrebbe essere scattata una sorta di sudditanza psicologica del tipo: “se lo dicono loro…”
Terzo fattore che potrebbe avere giocato a “sfavore” di una più equilibrata classificazione è la misurabilità delle conseguenze. In effetti, se prendiamo come esempio gli attacchi ransomware si potrebbe dire che al blocco dei sistemi tutte le organizzazioni sono in qualche modo sopravvissute, hanno superato la crisi e i danni sembrano essersi risolti in semplici “disagi”.
Le successive divulgazioni di dati personali, invece, difficilmente potranno essere direttamente correlate a crimini commessi sfruttando quelle stesse informazioni. Se a distanza di due mesi un cittadino, i cui dati sono stati esfiltrati nell’ambito di un data breach di un comune, subisce un furto d’identità sarà pressoché impossibile stabilire la provenienza dei dati utilizzati.
Che fare se manca cultura cyber nella PA? Puntare a un’analisi più di dettaglio
L’insieme di questi fattori potrebbe avere prodotto l’insolito risultato finale. Se questa analisi fosse anche parzialmente vera, riproporrebbe un tema più volte sottolineato e ribadito da più parti: quello della cultura in materia di sicurezza cyber all’interno della pubblica amministrazione.
Questo dovrebbe spingere l’Agenzia a fare alcuni approfondimenti sulle risposte ai questionari che sono arrivate, per esempio dai comuni più grandi, diciamo al di sopra dei 500 mila abitanti. In queste sei città risiede poco più del 10 per cento della popolazione italiana e forse varrebbe la pena fare un’analisi più di dettaglio, nell’impossibilità di realizzare una classificazione puntuale su tutti i quasi 8 mila comuni italiani.
