In un mondo sempre più digitalizzato, la sicurezza delle reti e dei sistemi ad esse connessi riveste primaria importanza e permette di garantire sviluppo e benessere per Paese.
Nel corso degli ultimi anni, gli attacchi informatici nel settore pubblico e privato si sono intensificati. Appare, quindi, quanto più necessaria una efficace strategia di difesa, al passo con la rapida evoluzione delle tecnologie. Proprio quest’ultimo aspetto richiede un costante aggiornamento e competenze specialistiche tali da orientare gli organismi, sia pubblici che privati, verso una gestione della sicurezza informatica affidata a soggetti professionalmente preparati.
Numerose sono le organizzazioni che si occupano di cybersecurity: di seguito una selezione rappresentativa delle attività e iniziative a supporto della prevenzione, difesa e gestione degli attacchi informatici.Enisa European Union Agency for Network and Information SecurityObiettivo dell’Agenzia è garantire la sicurezza informatica degli Stati membri dell’Unione Europea.
Costituita nel 2004, fornisce consulenze e soluzioni per una migliore gestione della sicurezza sia informatica che delle reti di telecomunicazioni, offrendo supporto in caso di attacchi informatici che possono coinvolgere uno o più stati europei.
L’ENISA sostiene, inoltre, lo sviluppo e l’attuazione delle norme europee in materia di sicurezza delle reti e dell’informazione e lo sviluppo della cultura della sicurezza mediante numerose iniziative e pubblicazioni.
Dal 2019 progetta schemi europei di certificazione per prodotti, processi e servizi ICT conformi al Regolamento “Cybersecurity Act”, entrato in vigore in Italia a fine giugno del 2019, il cui obiettivo è la creazione di un mercato unico della sicurezza cibernetica al fine di favorire la cosiddetta “security by design” garantendo così uno standard di sicurezza informatica sin dalla progettazione dei prodotti ICT inclusi i dispositivi “IoT”.
L’Agenzia coordina, con il sotegno degli Stati membri, la campagna dell’European Cyber Security Month – ECSM, che si tiene ogni anno nel mese di Ottobre, per promuovere la conoscenza delle minacce informatiche e come contrastarle.
ACN - Agenzia per la Cybersicurezza Nazionale Istituita con D.L. n. 82/2021, l’Agenzia è l’autorità nazionale, oltre che per la cybersicurezza anche per la gestione delle crisi informatiche e la certificazione in materia. Le molteplici funzioni cui è chiamata a svolgere sono riportate all’art. 7 del citato decreto. Più precisamente l’Agenzia:
- assicura il coordinamento tra i soggetti pubblici coinvolti in materia di cybersicurezza a livello nazionale e promuove la realizzazione di azioni comuni dirette ad assicurare la sicurezza e la resilienza cibernetiche per lo sviluppo della digitalizzazione del Paese, del sistema produttivo e delle pubbliche amministrazioni, nonché per il conseguimento dell'autonomia, nazionale ed europea, riguardo a prodotti e processi informatici di rilevanza strategica a tutela degli interessi nazionali nel settore;
- predispone la Strategia nazionale di cybersicurezza (vedi apposita sezione in cui sono stati estratti gli obiettivi che coinvolgono il mondo imprenditoriale);
- assume tutte le funzioni in materia di cybersicurezza già attribuite al Ministero dello Sviluppo Economico e quelle attribuite alla Presidenza del Consiglio dei Ministri in materia di perimetro di sicurezza nazionale cibernetica, nonché le funzioni già attribuite al Dipartimento delle informazioni per la sicurezza (DIS);
- provvede, anche attraverso un'apposita sezione nell'ambito della Strategia, allo sviluppo e alla diffusione di linee guida e raccomandazioni al fine di rafforzare la cybersicurezza dei sistemi informatici; alla valutazione della sicurezza dei sistemi crittografici, nonché all'organizzazione e alla gestione di attività di divulgazione finalizzate a promuovere l'utilizzo della crittografia, anche a vantaggio della tecnologia blockchain, come strumento di cybersicurezza;
- sviluppa capacità nazionali di prevenzione, monitoraggio, rilevamento, analisi e risposta, per prevenire e gestire gli incidenti di sicurezza informatica e gli attacchi informatici.
Per avere un quadro più completo, come previsto dal decreto di istituzione, la programmazione e le attività dell’Agenzia sono presentate al Parlamento con una Relazione annuale.
Le Relazioni, pubblicate in forma sintetica sul sito dell’Agenzia, sono scaricabili integralmente.
CLUSIT. Associazione Italiana per la Sicurezza InformaticaAssociazione nata nel 2000, presso il Dipartimento di Informatica dell’Università degli Studi di Milano, il cui obiettivo è la diffusione della cultura della sicurezza informatica presso le Aziende, la Pubblica Amministrazione e privati cittadini.
Partecipa alla elaborazione di leggi, norme e regolamenti, sia nazionali che europei, per la sicurezza informatica e collabora alla definizione di percorsi formativi per la preparazione e certificazione delle figure professionali del settore sicurezza.
Fornisce supporto alle imprese in materia di sicurezza informatica e pubblica ogni anno il “Rapporto sulla sicurezza ICT in Italia”.
Promuove in Italia la campagna informativa del Mese Europeo della Sicurezza Informatica coordinata dall’ENISA.OCSI. Organismo di Certificazione della Sicurezza InformaticaIl ruolo di Organismo di Certificazione della Sicurezza Informatica nel settore della tecnologia dell’informazione (OCSI), istituito con DPCM del 30 ottobre 2003, è ricoperto dall’ISCOM (Istituto Superiore delle Comunicazioni e delle Tecnologie dell’Informazione) del Ministero dello Sviluppo Economico.
L’Organismo gestisce lo Schema Nazionale per la valutazione e certificazione della sicurezza di sistemi e prodotti nel settore della tecnologia dell’informazione, la cui funzione è la raccolta di procedure e regole necessarie per la valutazione e certificazione in conformità a standard internazionali e criteri europei.
Tra le attività dell’Organismo, si ricorda la predisposizione di regole tecniche in materia di certificazione sulla base di norme nazionali e internazionali, l’accreditamento dei Laboratori per la Valutazione della Sicurezza (LVS), l’emissione dei Rapporti di Certificazione sulla base delle valutazione eseguite dai Laboratori, l’accertamento di conformità dei dispositivi di firma elettronica qualificata e la formazione e abilitazione del personale dell’organismo di certificazione, dei valutatori degli LVS e degli Assistenti della sicurezza.
CINI. Consorzio Interuniversitario Nazionale per l’InformaticaCostituito nel1989, il Consorzio, sotto la vigilanza del Ministero competente per l ‘Università e la Ricerca, promuove e coordina attività scientifiche nel campo dell’informatica.
Le strutture del Consorzio sono le Unità di Ricerca e i Laboratori Nazionali, tra questi ultimi costituiti per il raggiungimento di scopi istituzionali, vi è quello dedicato alla sicurezza informatica: “Cybersecurity National Lab” il cui scopo è quello di invitare alla collaborazione le strutture di ricerca nel campo della cyber security, al fine implementare strategie nazionali.
Tra i progetti in atto si ricorda:
- Itasec: la Conferenza annuale sulla sicurezza informatica
- Framework Nazionale: uno strumento operativo per organizzare i processi di cybersecurity e Data Protection adatto alle organizzazioni sia pubbliche che private.
- Cyber Readiness: un progetto a supporto delle imprese e della Pubblica Amministrazione nella valutazione del proprio livello di sicurezza informatica basato sul Framework Nazionale.
Osservatorio Information Security & Privacy del Politecnico di MilanoL’Osservatorio fa parte degli Osservatori Digital Innovation della School of Management del Politecnico di Milano.
Obiettivo principale è il sostegno alle imprese per conoscere e affrontare le minacce informatiche.
L’Osservatorio programma incontri e attività di ricerca su base annuale che confluiscono in un convegno finale di presentazione dei risultati e nella pubblicazione di un Rapporto cartaceo.
Tra le varie attività si ricorda la “Guida alla gestione della sicurezza informatica in azienda” on-line e il Rapporto annuale in cui sono riportati i trend della Sicurezza informatica e Data Protection nelle aziende italiane, scaricabile gratuitamente.
CERT-AgID - Computer Emergency Response Team. Agenzia per l’Italia DigitaleI servizi erogati da CERT-PA, organismo che operava all’interno dell’AgiD, a supporto delle pubbliche amministrazioni nella prevenzione e risposta agli attacchi informatici, sono stati, da maggio 2020, riorganizzati in un nuovo organismo: il CERT- AgID con la finalità di supporto a tutti i temi riguardanti gli aspetti di sicurezza informatica in linea con le disposizioni del CAD.
OCS. Osservatorio della CybersecurityL’Osservatorio, nato nel 2018, opera all’interno dell’Istituto di Informatica e Telematica di Pisa del Consiglio Nazionale delle Ricerche (IIT-CNR).
Obiettivo dell’OCS è informare e sensibilizzare piccole e medie imprese, professionisti e enti pubblici sulla importanza della sicurezza delle reti.
L’Osservatorio mette a disposizione i risultati del Laboratorio di cyber security del CNR mediante la pubblicazione di best practice, Report e news.
Tra i servizi offerti si segnala: l’analisi e la scansione delle vulnerabilità degli hardware e dei software (exploit), sondaggi per la verifica della conformità al GDPR (General Data Protection Regulation) e il rilevamento di DGA (Domain Generating Algorithm) utilizzati da malware per registrare nuovi domini.
A vantaggio delle piccole e medie imprese è previsto un servizio di “self assessment”, che offre uno strumento semplice e rapido per l’autovalutazione del calcolo del rischio cibernetico. Richiede due tipi di input: quelli relativi alle misure di sicurezza e quelli sulle risorse dell’azienda. A questionario completo, il servizio stima le perdite annuali previste per ogni minaccia e inoltre fornisce un valore sul rischio totale.
