I dati sono al centro della trasformazione digitale. L'accesso e la capacità di utilizzare volumi di dati in costante aumento sono fattori essenziali per l'innovazione. L'importanza dei dati, soprattutto nei settori critici, sta attirando l'attenzione del crimine informatico. La questione della sicurezza informatica e degli attacchi informatici è sempre più importante per la nostra società, di fronte a un massiccio aumento degli attacchi in tutto il mondo, con enormi danni economici per le aziende colpite, sia pubbliche che private. Le minacce informatiche al sistema del paese sono diventate sempre più sofisticate e diffuse.
I risultati del Threat Landscape 2023, il rapporto annuale dell'Agenzia dell'Unione Europea per la sicurezza informatica (ENISA) che fornisce uno sguardo dettagliato sul panorama delle minacce informatiche, mostrano un aumento degli incidenti di sicurezza informatica; Da luglio 2022 a giugno 2023, ci sono stati circa 2.580 incidenti, 220 dei quali riguardano specificamente due o più Stati membri dell'UE. I settori più colpiti includono le autorità pubbliche con il 19% e la sanità con l'8%. Tuttavia, il 6% di tutti gli eventi è rivolto ai settori manifatturiero, dei trasporti e finanziario.
In risposta alle sfide del crimine informatico, nel 2022 sono stati compiuti sforzi per rafforzare il quadro legislativo per la sicurezza informatica, sia a livello europeo che nazionale, con una serie di politiche e proposte normative, certificazioni e nuove direttive UE e nazionali volte a gestire il rischio informatico.
Legislazione sulla sicurezza informatica: la panoramica europea
Nel pacchetto di misure per il futuro digitale dell'Europa, la Strategia europea per i dati è di grande importanza nel tessuto sociale, proposta a febbraio 2022 con l'obiettivo di creare un mercato unico per i dati che garantisca la competitività globale dell'Europa e la sovranità dei dati.
Consiste in un insieme di iniziative legislative presentate dalla Commissione Europea e già in vigore: Digital Services Act (DSA); Digital Markets Act (DMA); Data Governance Act (DGA); Data Act (DA). Inoltre, molto recentemente, l'11 gennaio 2024 è entrato in vigore il Data Act (DA), che garantirà equità nell'ambiente digitale chiarendo chi può creare valore dai dati e a quali condizioni. La legge sui dati entrerà in vigore tra oltre un anno, il 12 settembre 2025.
A livello europeo e a cascata tra gli Stati membri, è importante ricordare l'adozione a novembre 2022 della Direttiva NIS II che ha aggiornato e rivisto la NIS (Direttiva UE 2016/1148) con obblighi più chiari e stringenti sulla sicurezza informatica, oltre alla previsione di maggiori oneri e responsabilità in relazione a questa questione.
La Direttiva NIS 2 si integra con le varie normative e linee guida europee sulla protezione dei dati e la privacy, in primo luogo il Regolamento generale sulla protezione dei dati dell'UE 2016/679 (GDPR) ma anche il Regolamento DORA (Digital Operational Resilience Act, Regolamento UE 2022/2554), la Direttiva CER (Critical Entity Resilience), il Cyber Resilience Act e a livello nazionale, il Perimetro Nazionale di Sicurezza Cibernetica, istituito dal Decreto-Legge n. 105 del 2019. Questo garantisce che le organizzazioni implementino misure ritenute appropriate per mitigare i rischi e garantisce che i prodotti e i servizi digitali siano sviluppati con un livello minimo di sicurezza informatica.
Gli obblighi della NIS 2
L'articolo 21 della Direttiva NIS 2 definisce al paragrafo 1 che le entità obbligate devono adottare misure tecniche, operative e organizzative appropriate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e delle reti che utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o minimizzare l'impatto degli incidenti sui destinatari dei loro servizi e su altri servizi.
Se sei una delle entità obbligate, è necessario definire, attraverso un'analisi delle lacune, quali saranno le misure tecniche, operative e organizzative "adeguate", con riferimento diretto al principio di "Accountability" del GDPR, per proteggere i sistemi e le reti IT adottando un tipo di approccio multi-rischio. Rispetto al GDPR, la Direttiva NIS 2 chiarisce meglio quali possono essere queste misure. L'elenco include anche politiche e procedure relative all'uso della crittografia e, se necessario, all'anonimizzazione o alla pseudonimizzazione.
In base alla Direttiva, sarà essenziale essere in grado di monitorare costantemente i propri livelli di sicurezza IT e aggiornare le misure adottate di conseguenza in base alle vulnerabilità e alle minacce effettive, sia interne che esterne, che possono influire sulla sicurezza. Pertanto, la Direttiva NIS 2 richiede un approccio continuo alla gestione della sicurezza informatica, attraverso la definizione di obiettivi chiari e il monitoraggio costante dei risultati ottenuti.
Conformarsi alla NIS2 non è solo un'opportunità per rispettare le normative, ma anche un'opportunità per introdurre una cultura della sicurezza oltre a best practice tecniche e organizzative che possono aumentare il livello di sicurezza IT.
Certificazioni e standard di sicurezza
Allo stesso tempo, i sistemi di certificazione e gli standard di sicurezza delle informazioni, come ISO 27001:2022 e il quadro di sicurezza informatica NIST, sono stati aggiornati, in relazione ai quali è stata annunciata la Versione 2.0 per il rilascio a febbraio 2024. È uno degli strumenti più pratici ed efficaci per l'analisi del rischio informatico, che le organizzazioni possono utilizzare per esaminare la loro infrastruttura e adottare misure proattive per identificare e affrontare le vulnerabilità. Recentemente, a dicembre 2023, è stata pubblicata una modifica al disegno di legge dell'UE del 2022 sulla sicurezza informatica dei prodotti connessi, il Cyber Resilience Act (o CRA), con l'obiettivo di rafforzare le normative sulla sicurezza informatica e garantire prodotti hardware e software più sicuri.
Con riferimento al quadro normativo italiano, tra le iniziative per contrastare il fenomeno degli attacchi informatici, vale anche la pena menzionare l'adozione, con decreto del Presidente del Consiglio dei Ministri del 17 maggio 2022, della Strategia Nazionale di Sicurezza Cibernetica 2022-2026 con un Piano di Attuazione allegato, e l'avvio delle operazioni da parte del Centro Nazionale di Valutazione e Certificazione (CVCN). La strategia, definita dall'Agenzia Nazionale per la Sicurezza Cibernetica (ACN), mira a raggiungere 82 misure entro il 2026 per rendere il paese più ciber-resiliente su più fronti.
SECO: protezione garantita di hardware e software
Lo scopo di questo complesso e articolato scenario normativo è, da un lato, creare le condizioni per lo sviluppo di prodotti digitali sicuri, riducendo le loro vulnerabilità, e dall'altro, portare coloro che sviluppano soluzioni e tecnologie per la nuova generazione di dispositivi digitali a prestare maggiore attenzione alla sicurezza durante l'intero ciclo di vita del prodotto, considerando che le scelte fatte dagli utenti sono sempre più focalizzate su prodotti sicuri.
SECO si impegna a garantire la sicurezza dei suoi prodotti, sia in termini di hardware che di software, garantendo una risposta proattiva alle sfide della sicurezza informatica. Attraverso un design orientato alla sicurezza, i dispositivi hardware di SECO e la suite software Clea sono sviluppati per facilitare la conformità dei clienti alle normative del settore, come il Cyber Resilience Act, CRA, migliorando la sicurezza dei dispositivi IoT e rafforzando la resilienza digitale.
I dispositivi hardware SECO integrano componenti di sicurezza dedicati, come il Trusted Platform Module (TPM), un processore crittografico progettato per implementare misure di sicurezza avanzate come la crittografia dei dati, e il watchdog timer, un componente che garantisce la stabilità e la sicurezza di un dispositivo. Monitorando costantemente il funzionamento del sistema, il watchdog rileva malfunzionamenti o blocchi e può attivare azioni correttive automatiche, minimizzando i tempi