Il recente decreto del Presidente del Consiglio dei Ministri contenente gli “indirizzi per la protezione cibernetica e la sicurezza nazionale” è un importante primo passo per la protezione della nostra economia e della società dalle nuove emergenti minacce provenienti dal Cyber Space. Si tratta di un passo importante poiché il nostro paese punta proprio sui servizi digitali per la ripresa della nostra economia. L’Agenda Digitale Italiana non può prescindere da un sistema di sicurezza moderno che garantisca la protezione dei servizi erogati.
Con il Decreto si definisce uno schema organizzativo della Cyber Security, individuando un primo modello di Governance che porta il coordinamento direttamente sotto la responsabilità del Presidente del Consiglio dei Ministri. Quest’aspetto è forse il più significativo di tutto il decreto: viene posta l’attenzione corretta al tema della Cyber Security. Si è scelto di affidare la guida strategica al Cisr, il Comitato Interministeriale per la Sicurezza della Repubblica. Viene istituito un Nucleo per la Sicurezza Cibernetica presso l’ufficio del Consigliere Militare del Presidente del Consiglio dei Ministri. Le responsabilità di questo nucleo vengono ben descritte nel decreto: si collegano i compiti del Nucleo Operativo con quelli di un Cert Nazionale (Cert: Computer Emergency Response Team). Viene menzionato il Cert Nazionale, la cui responsabilità ricade all’interno del Ministero dello Sviluppo Economico: su questo aspetto il decreto però rimane vago, non indicando esattamente quali siano i compiti di un Cert Nazionale e come si raccorderà con le funzioni del Nucleo per la Sicurezza Cibernetica.
Il tema del Cert Nazionale è molto caro a Bruxelles, visto che buona parte della strategia dell’Eu per la Cyber Security ha puntato proprio sulla creazione di queste strutture e del loro collegamento a livello Europeo. Sebbene l’Italia sia stata indicata più volte come uno dei pochi paesi a non disporre di un Cert nazionale, a Dicembre 2012 la Gran Bretagna ha annunciato di voler realizzarne realizzare uno: Brussels e la maggioranza degli Europei informati hanno accolto con stupore la notizia, poiché la Gran Bretagna è stata una delle prime a realizzare Cert pubblici a livello Internazionale. Secondo gli inglesi però, dei quattro Cert pubblici esistenti al 2012 nessuno poteva essere definitivo “nazionale”, ovvero con una responsabilità che abbracciasse tutti gli stakeholder nazionali.
L’attenzione che la Gran Bretagna sta dedicando a questo tema dovrebbe servirci da monito: il modello del Cert, così come proposto e richiesto dall’ Eu, non è ciò di cui abbiamo bisogno. O meglio: non è sufficiente. L’Italia ha la possibilità di costruire il proprio Cert Nazionale imparando dall’esperienza e dai fallimenti di molti altri paesi.
Uno degli aspetti chiave è il raccordo tra settore pubblico e settore privato. Di fatto lo spazio cibernetico italiano è principalmente costituito da infrastrutture e servizi di proprietà e controllo del settore privato. Il coinvolgimento di questo settore è quindi determinante per lo sviluppo e l’attuazione di una strategia nazionale, nonché per la costruzione di capacità di analisi e risposta come il Cert Nazionale.
Il Cert Nazionale può svolgere funzione di raccordo e coordinamento operativo fra tutti gli stakeholder nazionali, promuovendo lo scambio di informazioni sia tra gli operatori, che tra settore pubblico e settore privato. La costruzione di un Cert di “nuova generazione” potrebbe non solo consentirci di rispondere alle richieste dell’Unione Europea, ma anche di portare un reale beneficio al paese, fornendo uno strumento necessario a fronteggiare le nuove minacce globali. A fianco della creazione del Cert Nazionale, va posta estrema attenzione alla creazione del Cert della Pubblica mministrazione, responsabilità affidata all’Agenzia per l’Italia Digitale. La creazione di una capacità di coordinamento e risposta agli situazioni di rischio è un elemento fondamentale a supporto della digitalizzazione della PA.
