Sicurezza informatica negli enti locali: le misure minime AgID spiegate in pratica

Nei piccoli e medi comuni l’informatica è spesso affidata a una persona che fa anche altro, con fornitori diversi per il gestionale, i PC e la rete. In questa situazione è facile perdere di vista le regole di base. Eppure un ente gestisce dati personali delicati, dalle anagrafi ai servizi sociali, e un attacco informatico può bloccare per giorni gli sportelli e i servizi al cittadino.

Le misure minime di sicurezza ICT pubblicate dall’Agenzia per l’Italia Digitale con la circolare n. 2 del 18 aprile 2017 sono il riferimento da cui partire.

Cosa sono e a chi si applicano

Sono un elenco di controlli tecnici e organizzativi, ricavati dai controlli di sicurezza del Center for Internet Security, adattati alla realtà della pubblica amministrazione italiana. Si applicano a tutte le amministrazioni, indipendentemente dalla dimensione.

Ogni controllo ha tre livelli: minimo, standard e alto. Il livello minimo è obbligatorio per tutti. Gli altri sono traguardi da raggiungere in base ai rischi e ai dati trattati.

Gli otto gruppi di controlli

1. Inventario dei dispositivi autorizzati e non autorizzati: sapere quali computer, server e apparati sono collegati alla rete.
2. Inventario dei software autorizzati e non autorizzati: sapere cosa è installato, ed eliminare ciò che non serve.
3. Configurazioni sicure di hardware e software: partire da configurazioni standard e controllate, non da quelle di fabbrica.
4. Valutazione e correzione continua delle vulnerabilità: aggiornamenti regolari e verifiche periodiche.
5. Uso appropriato dei privilegi di amministratore: pochi account amministrativi, nominativi, usati solo quando servono.
6. Difese contro i malware: antivirus gestito centralmente e controlli su posta e dispositivi rimovibili.
7. Copie di sicurezza: backup regolari, con almeno una copia non raggiungibile dalla rete.
8. Protezione dei dati: individuare le informazioni più delicate e proteggerle, anche con la cifratura.

Il modulo di implementazione

Per ogni controllo l’ente deve indicare come lo ha messo in pratica. Il documento va firmato dal responsabile individuato dall’amministrazione e conservato, perché va esibito in caso di verifiche o di incidente. Un modulo compilato una volta nel 2017 e mai aggiornato vale poco: i sistemi cambiano e il documento deve seguirli.

Il rapporto con la NIS2 e con il GDPR

Le misure minime non sono l’unico riferimento. La direttiva NIS2 coinvolge direttamente alcune categorie di enti, tra cui regioni, città metropolitane e i comuni più grandi, con obblighi di registrazione, gestione del rischio e notifica degli incidenti. Ne abbiamo parlato nell’articolo su chi è obbligato dalla NIS2.

Il GDPR, poi, chiede a ogni ente di adottare misure adeguate per proteggere i dati personali e di notificare al Garante le violazioni entro 72 ore. Le misure minime AgID sono un buon modo per dimostrare di averlo fatto.

Per gli enti non obbligati dalla NIS2, partire dalle misure minime è comunque il percorso più sensato: coprono gran parte delle basi richieste anche dalle normative più recenti.

Come organizzarsi con poche risorse

• Nominare un referente interno, anche se non tecnico, che tenga il quadro e coordini i fornitori.
• Chiedere a ogni fornitore cosa gestisce, con quali accessi e con quali garanzie di sicurezza, e metterlo per iscritto.
• Affidare a un unico soggetto il monitoraggio di aggiornamenti, antivirus e backup, così nessun controllo resta in una zona grigia.
• Rivedere il modulo delle misure minime almeno una volta l’anno e dopo ogni cambiamento importante.

Se il tuo ente vuole verificare lo stato delle misure minime o aggiornare il modulo di implementazione, possiamo affiancarvi nell’analisi e nella gestione. Trovi i dettagli nella pagina NIS2 e compliance o puoi scriverci.