Misure minime di sicurezza ICT per la PA: cosa sono e chi le applica

Molto prima della NIS2 e della legge 90/2024, le pubbliche amministrazioni italiane avevano già un riferimento comune per la sicurezza informatica: le misure minime di sicurezza ICT, emanate dall'Agenzia per l'Italia Digitale con la circolare 18 aprile 2017, n. 2. Sono state spesso percepite come un adempimento burocratico, ma il loro contenuto resta una base concreta su cui costruire.

Da dove vengono

Le misure minime si ispirano a un insieme di controlli di sicurezza riconosciuto a livello internazionale, i CIS Controls, adattati alla realtà della pubblica amministrazione italiana. L'obiettivo era fornire a tutti gli enti, dal piccolo Comune al ministero, un elenco pratico di controlli prioritari contro le minacce più comuni.

Come sono organizzate

Le misure sono raggruppate in famiglie di controlli, che coprono le aree fondamentali della sicurezza:

• inventario dei dispositivi autorizzati e non autorizzati;
• inventario dei software autorizzati e non autorizzati;
• configurazioni sicure di computer, server e dispositivi;
• valutazione e correzione continua delle vulnerabilità;
• uso appropriato dei privilegi di amministratore;
• difese contro i programmi dannosi;
• copie di sicurezza;
• protezione dei dati.

Ogni controllo è previsto in tre livelli di attuazione:

• minimo: obbligatorio per tutte le amministrazioni;
• standard: il riferimento per la maggior parte degli enti, da considerare come base per una sicurezza adeguata;
• alto: per le amministrazioni più esposte o che gestiscono servizi e dati particolarmente critici.

Chi le applica e come

Le misure si applicano a tutte le pubbliche amministrazioni. La responsabilità della loro attuazione è affidata, all'interno dell'ente, al responsabile della struttura per l'organizzazione, l'innovazione e le tecnologie, oggi spesso identificato con il responsabile per la transizione al digitale, o in sua assenza al dirigente allo scopo designato.

L'attuazione va documentata: la circolare prevede un modulo di implementazione, firmato digitalmente e conservato, da esibire in caso di incidente informatico.

Perché restano attuali

Negli anni si sono aggiunte norme più recenti: la NIS2 per le amministrazioni che vi rientrano, la legge 90/2024 per molti enti locali e sanitari, le regole sul cloud qualificato. Le misure minime non sono superate, perché coprono proprio le basi che queste norme danno per acquisite:

• sapere quali dispositivi e programmi sono in uso;
• tenerli aggiornati e configurati in modo sicuro;
• limitare i privilegi di amministratore;
• avere backup affidabili;
• proteggersi dai programmi dannosi.

Molti degli incidenti che hanno colpito enti pubblici negli ultimi anni sono stati resi possibili proprio da carenze in queste aree.

Le domande per chi guida un ente

• Il modulo di implementazione delle misure minime è stato compilato e aggiornato?
• Chi è responsabile della loro attuazione nel nostro ente?
• Siamo almeno al livello minimo su tutte le famiglie di controlli? Dove siamo al livello standard?
• Gli aggiornamenti e i backup funzionano davvero, e chi lo verifica?

In sintesi

Le misure minime di sicurezza ICT sono il fondamento su cui poggiano tutte le norme successive per la PA. Rivederle oggi non è un esercizio burocratico, ma il modo più rapido per verificare se le basi della sicurezza dell'ente sono solide.