La strategia nazionale di sicurezza informatica: protezione, resilienza e autonomia digitale per l'Italia

Il 18 maggio è stata approvata la Strategia nazionale di cybersicurezza (2022-2026) dall'ACN (Agenzia per la Cybersicurezza Nazionale) durante una riunione del Comitato interministeriale per la Cybersicurezza presieduto dal premier Mario Draghi. Questa decisione è stata presa in un momento di emergenza per gli attacchi cyber che hanno colpito l'Italia, anche a causa del conflitto russo-ucraino. L'approvazione della strategia è stata accompagnata dall'approvazione dello schema dell'ultimo DPCM, che definisce i criteri per l'accreditamento dei laboratori di prova del Centro di valutazione e certificazione nazionale (CVCN), responsabile della sicurezza cibernetica. La nuova Strategia Nazionale di Cybersicurezza si basa sull'analisi del contesto attuale, in cui la maggior parte delle attività umane dipende da servizi interconnessi e digitali. L'evoluzione tecnologica ha reso più conveniente la migrazione verso il digitale, ma al contempo ha aumentato la complessità e l'interdipendenza dei sistemi, richiedendo una maggiore sicurezza e resilienza per garantire la protezione della comunità, lo sviluppo economico e la difesa dello Stato. La strategia si concentra su 4 principali aspetti:

1. La cybersicurezza è un dovere dello Stato e deve essere parte integrante del processo di digitalizzazione del Paese, mirando all'autonomia strategica nazionale nel settore.
2. La cybersicurezza non deve essere considerata come un costo, ma come un investimento che favorisce lo sviluppo dell'economia e dell'industria nazionale, aumentandone la competitività.
3. La sicurezza delle infrastrutture, dei sistemi e delle informazioni deve essere accompagnata da un progresso culturale diffuso a tutti i livelli della società, promuovendo un approccio "security-oriented".
4. La strategia affronta tre macrocategorie di rischi sistemici: attacchi cyber, ingerenze nella catena di approvvigionamento delle tecnologie ICT e diffusione di fake news e disinformazione.

La strategia mira a affrontare le seguenti sfide:

1. Assicurare una transizione digitale resiliente per la Pubblica Amministrazione e il tessuto produttivo del Paese.
2. Raggiungere l'autonomia strategica nel settore digitale a livello nazionale ed europeo.
3. Anticipare l'evoluzione delle minacce cyber e adottare tattiche di difesa attiva per aumentare i costi delle attività offensive.
4. Gestire le crisi cibernetiche attraverso un meccanismo di gestione efficiente e graduato delle crisi.
5. Contrastare la disinformazione online nel contesto più ampio della minaccia ibrida.

Per attuare la strategia, sono previsti programmi di investimenti e leve finanziarie, compresi fondi nazionali, finanziamenti specifici gestiti dall'ACN e risorse del Piano Nazione di Riprese e Resilienza. Gli obiettivi principali riguardano la protezione degli asset strategici nazionali, la risposta alle minacce e agli incidenti cibernetici, lo sviluppo delle tecnologie digitali, della ricerca e della competitività industriale.

La strategia prevede anche il potenziamento del Centro di Valutazione e Certificazione Nazionale (CVCN), l'integrazione con laboratori accreditati di prova e la definizione di un quadro giuridico coerente in materia di cybersicurezza. Vengono individuate azioni per la gestione delle crisi cibernetiche, il contrasto al cybercrime e il potenziamento delle capacità di deterrenza cibernetica.

La formazione, la promozione della cultura della sicurezza cibernetica e la cooperazione sono considerati fattori abilitanti essenziali per l'attuazione della strategia. Inoltre, la partnership pubblico-privato (PPP) è un elemento trasversale che coinvolge attivamente il settore pubblico, privato, accademico, la ricerca e i media per rafforzare la resilienza cibernetica del Paese e della società nel suo complesso.

Tuttavia, la sfida principale sarà quella di mettere in atto tutti gli obiettivi stabiliti, poiché la storia ha dimostrato che gli attacchi cyber possono diventare sempre più devastanti. È necessario coinvolgere attivamente gli attori competenti e definire obiettivi strategici, roadmap e indicatori per misurare l'evoluzione dell'implementazione della strategia.