Fin dal 2015, in linea con quanto definito a suo tempo dal Piano Nazionale per la sicurezza cibernetica e la sicurezza informatica, il Ministero dell’Economia e delle Finanze, ha avviato la costituzione di un CERT Dicasteriale (CERT-MEF), definendone i compiti e la costituency (ovvero l’insieme dei “clienti” del CERT-MEF).
Attraverso tale scelta il MEF ha intrapreso un percorso di coordinamento centrale delle iniziative volte a rafforzare il sistema di sicurezza del Dicastero anche attraverso la designazione di un gruppo interistituzionale, composto dai quattro Dipartimenti, dalle Agenzie Fiscali (compresa la ex Equitalia) e dalla Guardia di Finanza, che potesse garantire il confronto costruttivo di differenti realtà ognuna con proprie modalità organizzative e mandati istituzionali.
L’obiettivo del gruppo è stato realizzare, in primis, lo studio di fattibilità per la costituzione del CERT stesso, curarne la progettazione esecutiva e definire i primi flussi e processi operativi focalizzando gli sforzi principali sulla definizione di una linea comune di esigenze da soddisfare in ambito cybersecurity pur nel rispetto dell’eterogeneità degli enti di provenienza.
Sempre in questa logica, ed allo scopo di alimentare un processo di crescita coerente delle competenze di tutti i soggetti coinvolti, il gruppo interistituzionale ha definito ed attuato iniziative di formazione ed alta specializzazione su tematiche di cybersecurity, sia per i futuri funzionari del CERT-MEF che per i funzionari che operano nelle varie realtà della costituency.
Una volta conclusa la fase di progettazione, set up ed avvio del CERT-MEF, che ha iniziato la sua attività a settembre del 2016, il gruppo interistituzionale è stato mantenuto attivo favorendo la condivisione dei piani d’azione, degli investimenti e l’allineamento strategico delle strutture dalla constituency, proprio per il valore riconosciuto di cabina di compensazione delle diversità dei soggetti convolti.
Grazie alla vision che ha portato alla costituzione del CERT e del gruppo interistitituzionale, il MEF sta rispondendo prontamente a tutte le iniziative nazionali in ambito cybersecurity che sono state messe in atto nel corso del 2017.
In piena coerenza con l’adozione del nuovo Piano Nazionale per la sicurezza cibernetica e la sicurezza informatica, il gruppo intersitituzionale sta promuovendo il miglioramento delle capacità tecnologiche e la diffusione della cultura della sicurezza cibernetica.
In relazione al Piano triennale per l’Informatica nella Pubblica amministrazione 2017-2019, dell’Agenzia per l’Italia digitale (AgID) e alle Linee guida per lo sviluppo del software sicuro nella Pubblica amministrazione pubblicate a dicembre del 2017, si stanno svolgendo attività di studio ed analisi con lo scopo di verificare l’aderenza al modello di riferimento per lo sviluppo dell’informatica pubblica italiana attivando un approccio metodologico e framework di riferimento condivisi.
Per le Misure Minime di sicurezza ICT della PA, il gruppo interistituzionale ha lavorato congiuntamente a livello operativo, mettendo sul tavolo i risultati degli assessment condotti dalle singole strutture e verificandone congiuntamente i risultati, attuando di fatto quella apertura e conoscenza reciproche necessarie per poter accrescere il livello di sicurezza di un sistema dicasteriale nel suo complesso.
Il fattore di successo dell’approccio adottato dal gruppo interistituzionale, nell’intercettare le differenti esigenze della propria costituency ed indirizzarle nel rispetto del quadro normativo nazionale, è sicuramente l’allineamento strategico dei vari attori, nella logica di cooperazione e collaborazione che da subito si è instaurata. Sono ritenute pertanto di fondamentale importanza tutte le iniziative di formazione ed informazione, volte ad aumentare la consapevolezza del personale della PA su temi di cybersecurity, al fine di creare una cultura diffusa e mitigare i rischi legati ai comportamenti.
Attraverso queste iniziative si auspica un cambio di approccio al tema della cybersecurity, che non può essere un tema esclusivamente destinato ad esperti e “addetti ai lavori” ma un fattore di cambiamento culturale, che pone in primo piano la sensibilizzazione e la consapevolezza rispetto al rischio di attacchi informatici.
In conclusione, il MEF con determinazione sta perseguendo l’idea che solo con un approccio sinergico e organico alla cyber security si possano efficacemente utilizzare le risorse in campo e che ‘fare sistema’ attraverso la sensibilizzazione delle persone, la definizione di processi ed un aggiornamento tecnologico che tenga in considerazione un approccio di “security by design”, possa garantire efficienza nei risultati e negli investimenti, con una piena valorizzazione delle attività a livello centrale del CERT-MEF e in linea con tutte le iniziative nazionali in ambito cybersecurity.
