Dalla Regione Lazio nel 2021 all'attacco al fornitore Westpole nel 2023, i ransomware hanno fermato servizi essenziali ai cittadini. Le lezioni utili per chi guida un ente pubblico.
Quando un ransomware colpisce un'azienda, si fermano produzione e ordini. Quando colpisce un ente pubblico, si fermano servizi da cui dipendono i cittadini: certificati, prenotazioni sanitarie, pagamenti, protocollo, sportelli. Negli ultimi anni l'Italia ha visto diversi casi rilevanti. Ripercorrerne due aiuta a capire cosa può fare chi guida un'amministrazione.
Nella notte tra il 31 luglio e il 1° agosto 2021 un ransomware colpì i sistemi della Regione Lazio. Furono coinvolti il centro elaborazione dati regionale e il portale sanitario, e le prenotazioni della campagna vaccinale contro il Covid-19 vennero sospese per giorni, nel pieno dell'estate. Secondo le ricostruzioni dell'epoca, il ransomware utilizzato era LockBit 2.0 e l'accesso iniziale sarebbe avvenuto attraverso le credenziali di un dipendente che lavorava da remoto.
Lezioni principali: un singolo accesso remoto poco protetto può aprire la porta a sistemi critici; i servizi più visibili ai cittadini diventano immediatamente il centro della crisi; la comunicazione pubblica è parte della gestione dell'incidente.
L'8 dicembre 2023 un ransomware colpì Westpole, fornitore di servizi informatici, bloccando i servizi in cloud di PA Digitale, società che fornisce software a centinaia di amministrazioni. L'attacco, rivendicato dal gruppo LockBit, rese indisponibili per giorni programmi usati da oltre 500 Comuni e da centinaia di altri enti, tra cui quelli per l'anagrafe e la gestione del personale. L'Agenzia per la Cybersicurezza Nazionale collaborò al ripristino; per alcune amministrazioni il recupero richiese più tempo e la ricostruzione di dati recenti.
Lezioni principali: molti enti, anche piccoli e senza alcuna colpa diretta, possono essere fermati dall'attacco a un unico fornitore; la dipendenza da servizi in cloud richiede piani di continuità propri; è essenziale sapere quali dati si possono recuperare e da dove.
Conoscere i servizi essenziali. Quali servizi ai cittadini non possono fermarsi per più di qualche ora? Da quali sistemi e fornitori dipendono?
Proteggere gli accessi remoti. Autenticazione a più fattori per tutti gli accessi esterni, compresi quelli dei fornitori, e nessun servizio interno esposto senza necessità.
Backup protetti e provati. Almeno una copia non raggiungibile dalla rete, ripristini provati e tempi di recupero noti, anche per i dati gestiti dai fornitori in cloud.
Governare i fornitori. Contratti con obblighi di sicurezza, notifica tempestiva degli incidenti, restituzione dei dati e piani di continuità.
Prepararsi a lavorare senza sistemi. Procedure di emergenza, anche cartacee, per i servizi essenziali: come si rilascia un certificato urgente se l'anagrafe è ferma?
Comunicare con i cittadini. Messaggi preparati in anticipo, canali alternativi, informazioni chiare su servizi sospesi e tempi.
Oltre alla NIS2 per gli enti che vi rientrano, la legge 28 giugno 2024, n. 90 ha introdotto per molte pubbliche amministrazioni, tra cui Comuni con più di 100.000 abitanti, capoluoghi di Regione e aziende sanitarie, l'obbligo di segnalare all'ACN gli incidenti entro 24 ore e di notificarli entro 72, di istituire una struttura per la cybersicurezza e di nominare un referente.
I casi italiani mostrano che un ransomware in un ente pubblico è prima di tutto una crisi di servizio ai cittadini. Prepararsi significa conoscere i servizi essenziali, proteggere gli accessi, governare i fornitori e saper lavorare anche quando i sistemi sono fermi.
File illeggibili, sistemi bloccati e una richiesta di riscatto: il ransomware è tra gli attacchi più temuti da aziende ed enti. Come funziona e cosa può fare ciascuno per prevenirlo e contenerlo.
Un attacco a un fornitore di software o servizi può colpire centinaia di clienti in un colpo solo. Come individuare i fornitori critici e governare il rischio che portano con sé.
È successo a moltissimi. Quello che conta è cosa fai subito dopo: i passaggi, in ordine, per limitare il danno e aiutare chi deve intervenire.