Tutto quello che devi sapere sulla Cybersecurity

Con il termine cybersecurity si devono intendere quegli aspetti di sicurezza delle informazioni attuate attraverso l’uso di strumenti tecnologici. La sicurezza delle informazioni è prima di tutto un approccio completo alla gestione della sicurezza, di cui la cybersecurity è solo un sottoinsieme.

In questo articolo vediamo cos’è la cybersecurity e quale il quadro normativo di riferimento.

Cybersecurity definizione

La Cybersecurity può essere definita come le attività poste in essere per la difesa e la sicurezza degli strumenti informatici e delle reti, e delle informazioni, da attacchi volti a creare un danno o il blocco degli stessi.

Secondo l’art. 2, punto 1) del Regolamento (UE) 2019/881 relativo all’ENISA, per cybersecurity si intende “l’insieme delle attività necessarie per proteggere la rete e i sistemi informativi, gli utenti di tali sistemi e altre persone interessate dalle minacce informatiche”. Le azioni di cybersicurezza, pertanto, hanno quale mission la protezione dalle “minacce informatiche”, intese come “qualsiasi circostanza, evento o azione che potrebbe danneggiare, perturbare o avere un impatto negativo di altro tipo sulla rete e sui sistemi informativi, sugli utenti di tali sistemi e altre persone” (Art. 2, punto 8) del regolamento (UE) 2019/881.
La Cybersecurity, inoltre, è stata definita dagli standard ISO 27000 come: “conservazione della confidenzialità dei dati, integrità e disponibilità dell’informazione, inoltre dispone che altre caratteristiche tra cui l’autenticità del dato, la responsabilità del dato e l’affidabilità del dato possono essere utilizzate per spiegare il concetto di Cybersecurity”.

Confidenzialità, integrità e disponibilità

Analizziamo le tre caratteristiche citate per comprendere il concetto di Cybersecurity.

• Confidentiality indica che l’informazione non è rivelata ai soggetti non autorizzati;
• Integrity, ovvero accuratezza dell’informazione;
• Availability of information, ovvero disponibilità dell’informazione da parte dei soggetti autorizzati.

I principi di integrità, confidenzialità e disponibilità sono i fattori chiave per la gestione in sicurezza dell’informazione. Detti fattori, noti anche come CIA factors (dall’inglese Confidentiality, Integrity e Availability), sono pertanto gli elementi da considerare quando si individuano i parametri attraverso i quali si pianifica e si esegue una corretta impostazione della sicurezza informatica.

Di contro, data la complessità ormai raggiunta dall’ecosistema digitale, sussistono innumerevoli minacce ai fattori CIA e, di conseguenza, altrettante possibilità di perdita di valore del dato e del sistema che lo gestisce. Queste possibilità, per chi gestisce la security, sono analizzate congiuntamente agli impatti sui sistemi informatici e sulle informazioni qualora si concretizzino.

Cybersecurity: a cosa si applica

È bene provare a creare una prima suddivisione delle categorie alle quali si applica la cybersecurity. Vediamole nel dettaglio:

1. Sicurezza di rete, ovvero la difesa delle reti informatiche da attacchi informatici (come ad esempio attacchi malware).
2. Sicurezza delle informazioni, che mira a proteggere la riservatezza e l’integrità dei dati.
3. Sicurezza delle applicazioni. Con questa categoria si intende la sicurezza dei dispositivi e dei software da attacchi informatici. Le applicazioni costituiscono la parte vitale (ormai) delle imprese e più in generale degli Stati, in quanto in essi sono contenuti tutti i dati e le informazioni.
4. Sicurezza operativa, intesa come la predisposizione di misure di sicurezza e procedure per prevenire e rispondere prontamente ad eventuali attacchi.
5. Disaster Recovery e business continuity, procedura che comprende tutte le misure tecniche per garantire una continuità dei sistemi in caso di attacchi informatici, anche in assenza di determinate risorse, ed una ripresa veloce dei sistemi.”

Cybersecurity e formazione

La formazione che è uno degli aspetti fondamentali della Cybersecurity. La mancanza di un’idonea formazione è una delle principali cause di attacchi informatici e soprattutto del mancato utilizzo di procedure per gestire le minacce scaturite dagli attacchi.

A conferma di quanto sia importante la formazione in tale ambito è il numero di attacchi informatici che continua a crescere di anno in anno, colpendo principalmente infrastrutture sanitarie, ed infrastrutture strategiche per gli Stati. Per tale motivo, i governi di tutto il mondo stanno stanziando ingenti capitali per aiutare la ricerca e la prevenzione in tale ambito per evitare l’espandersi di minacce cibernetiche implementando delle procedure efficaci di difesa e prevenzione.

La cybersecurity è il mezzo di contrasto alle diverse tipologie di minacce cibernetiche come ad esempio Cyberstalking e Cyberbullismo, ma anche di altre tipologie di minacce cibernetiche tra le quali rientrano il Cybercrime, i Cyberattacchi ed il Cyberterrorismo.

Cybersecurity: il quadro normativo

E’ solo dalla seconda metà del 2019 che il quadro normativo europeo e nazionale in materia ha assunto maggiore concretezza: a livello europeo con il citato Regolamento UE 2019/881 e sul piano nazionale con il decreto legge n. 105 del 2019, convertito con modificazioni dalla legge 18 novembre 2019, n. 133 e ss.mm.ii.

I due atti non hanno un diretto legame normativo – nel D.L. 105/2019 non c’è alcun riferimento al Reg. 881/19 –, tuttavia il decreto ha introdotto disposizioni che, senza trascurare il necessario raccordo con la direttiva NIS, mirano ad assicurare un livello elevato di sicurezza delle reti, dei sistemi informativi e dei servizi informatici necessari allo svolgimento di funzioni o alla prestazione di servizi di rilievo strategico.

La direttiva NIS

Con la direttiva (UE) 2016/1148 del Parlamento e del Consiglio, sulla sicurezza delle reti e dei sistemi informativi nell’Unione (cd. Direttiva NIS – Network and Information Security), approvata il 6 luglio 2016, viene adottato il primo strumento legislativo a livello dell’UE sulla cybersicurezza, con lo scopo di assicurare un elevato livello comune di sicurezza delle reti e dell’informazione nell’Unione, superando i diversi livelli di adeguatezza della capacità tecnica degli Stati Membri e ricondurre a sistema e unitarietà le diverse competenze coinvolte nella gestione delle situazioni di crisi. La direttiva impone agli Stati membri di adottare una serie di misure strategiche e organizzative comuni in materia di sicurezza cibernetica.

L’Italia ha recepito la direttiva NIS con il D.Lgs. 18 maggio 2018, n. 65 (cd. Decreto NIS), che detta la cornice legislativa delle misure da adottare per la sicurezza delle reti e dei sistemi informativi ed individua i soggetti competenti per dare attuazione agli obblighi previsti dalla citata direttiva, i cui obiettivi principali sono:

1. promuovere una cultura di gestione del rischio e di segnalazione degli incidenti tra i principali attori economici, in particolare gli operatori che forniscono servizi essenziali per il mantenimento di attività economiche e sociali e i fornitori di servizi digitali;

2. migliorare le capacità nazionali di cybersecurity;

3. rafforzare la cooperazione a livello nazionale e in ambito UE.

Il Perimetro di Sicurezza Nazionale Cibernetica (PSNC)

Il decreto-legge 21 settembre 2019, n. 105 (Disposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica – cd. “D.L. perimetro”), convertito, con modificazioni, dalla Legge 18 novembre 2019, n. 133, ha istituito il perimetro di sicurezza nazionale cibernetica (PSNC), con il fine di garantire la sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche, degli enti e degli operatori pubblici e privati aventi una sede nel territorio nazionale, da cui dipende l’esercizio di una funzione essenziale dello Stato o la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato e dal cui malfunzionamento, interruzione, anche parziali, o dall’utilizzo improprio, possa derivare un pregiudizio per la sicurezza nazionale.

Agenzia nazionale per la Cybersicurezza

La nascita dell’Agenzia per la Cybersicurezza Nazionale, è stataistituita con l’art. 5 del D.L. 14 giugno 2021, n. 82, convertito, con modificazioni, nella legge 4 agosto 2021, n. 10.  Come evidenziato nel documento relativo alla Strategia nazionale per la cybersicurezza, con il D.L. 82/2021 viene, pertanto, attuata una riforma dell’architettura cyber del nostro Paese, mediante il riordino e la razionalizzazione delle competenze nazionali in materia di sicurezza cibernetica (prima frammentate e poste in capo a una pluralità di attori istituzionali) e creando un ente centrale con competenza in materia, che possa anche rappresentare il punto di raccordo tra i diversi soggetti interessati.
Il sistema italiano di sicurezza cibernetica, delineato dal D.L. 82/2021, attribuisce al Presidente del Consiglio dei Ministri l’alta direzione e la responsabilità generale delle politiche di cybersicurezza e l’adozione della relativa strategia nazionale.

Strategia nazionale di Cybersicurezza (2022-2026)

Il 18 maggio 2022 è stata approvata la nuova Strategia Nazionale di Cybersicurezza ed il relativo piano di implementazione, per il quadriennio 2022-2026. La strategia prevede il raggiungimento di 82 misure entro il 2026.

Per affrontare al meglio tali sfide, sono stati individuati tre obiettivi fondamentali:

• la protezione degli asset strategici nazionali, attraverso un approccio orientato alla gestione e mitigazione del rischio, formato sia da un quadro normativo che da misure, strumenti e controlli per abilitare una transizione digitale resiliente del Paese;
• la risposta alle minacce, agli incidenti e alle crisi cyber nazionali, attraverso sistemi di monitoraggio, rilevamento, analisi e attivazione di processi che coinvolgano l’intero ecosistema di cybersicurezza nazionale;

lo sviluppo sicuro delle tecnologie digitali, per rispondere alle esigenze del mercato, attraverso strumenti e iniziative volti a supportare i centri di eccellenza, le attività di ricerca e le imprese.

Per saperne di più consulta i volumi di EPC Editore