Cambio al vertice per l’Agenzia per la Cybersicurezza Nazionale: ma era tutta colpa di Baldoni?

Redazione RHC : 13 Marzo 2023 08:13

Come in ogni azienda pubblica o privata, dopo la nomina di un nuovo CEO o di un Direttore, al suo interno c’è fermento per comprendere il cambiamento e se quanto fatto fino a quel momento risulta in linea con il nuovo management.

Pertanto ogni cambio di un vertice porta con sé grandi opportunità, ma anche grandi rischi.

Nel caso dell’Agenzia per la Cybersicurezza Nazionale (ACN), abbiamo visto rassegnare le dimissioni (cosa non scontata nel nostro paese) da parte del Prof. Roberto Baldoni che è stato immediatamente sostituito dal prefetto Bruno Frattasi. Ma ora occorre comprendere se la direzione intrapresa nel recente passato era corretta o meno e quindi, qualora necessario, aggiustare il tiro. Pertanto ci potranno essere delle manovre organizzative per poter riequilibrare il tutto, ma questo lo scopriremo tra qualche tempo.

Ma la direzione ad oggi intrapresa dall’Agenzia risulta corretta?

Sicuramente gli allarmi di dicembre sugli hacktivisti filorussi e il ransomware che sfruttava un bug obsoleto di VMware hanno reso evidente che il reale stato della minaccia non era stato pesato correttamente generando un forte allarmismo. Inoltre la logica nel gridare “al lupo, al lupo”, funziona qualche volta, ma poi se le notizie non sono seguite da sostanza, diventa inevitabile perdere di credibilità.

Inoltre, il cambio del governo, gli avvicendamenti sulla comunicazione e i nomi di consulenti tra i metadati dei documenti sicuramente non hanno giocato a favore. Ma a parte tutto questo, è importante sottolineare che è un errore grave pensare solo a Baldoni in quanto una organizzazione è fatta da una classe dirigente che prende decisioni in modo autonomo e fa scelte autonome.

Cambiando discorso, a nostro avviso, come prima cosa, occorrere fermarsi e rileggere cosa riporta il DECRETO DEL PRESIDENTE DEL CONSIGLIO DEI MINISTRI 9 dicembre 2021, n. 223 che definisce l’Agenzia per la Cybersicurezza Nazionale.

All’interno del decreto viene riportato che ACN:

“Cura lo sviluppo e il mantenimento di capacità nazionali di prevenzione, monitoraggio, rilevamento, analisi e risposta, per prevenire e gestire gli incidenti di sicurezza informatica e gli attacchi informatici, anche attraverso il CSIRT Italia;”.

Interpretando questa frase – una tra le più importanti del decreto a nostro avviso – viene sancito che l’Agenzia deve avere un ruolo operativo ed attivo nel rilevamento delle minacce e nella sua prevenzione. Non si parla ovviamente di “mitigazione” in quanto, facendo un esempio, rilevata una falla all’interno di un sito governativo, tale mitigazione spetta all’organismo di competenza.

Ma questa falla deve essere rilevata dall’ACN!

La cosa che più ci preme portare all’attenzione in questo momento di cambiamento è incentivare il pensiero critico su quello che si è fatto fino ad oggi rispetto a quello che è necessario fare in una fase di delicata “contingency” per il paese. Siamo il paese più bersagliato al mondo da parte della criminalità informatica e abbiamo bisogno di attività operative e tecniche per ripristinare le nostre infrastrutture IT e avviare una corretta gestione del rischio informatico.

Quindi, almeno noi ritorniamo sempre dove il dente duole. Un criminale informatico per poterlo isolare ed arginare, occorre conoscerlo bene sotto il profilo tecnico.

Solo dopo aver capito come utilizza le minacce per irrompere nelle infrastrutture (che in gergo tecnico si chiamano tecniche tattiche e procedure), si potrà astrarre il modello, standardizzarlo e quindi definire le normative a supporto e poi farle agire.

Ma ora la parola d’ordine è “Azione”!

Con azione intendiamo, tanto per iniziare:

• Classificare IP e entry point web relativi alle applicazioni del PSNC;
• Scansionare il perimetro del PSNC con cadenza, rilevando le falle di sicurezza;
• Creare e monitorare dei piani di rientro fornendo deadline per la loro risoluzione;
• Rilevare l’obsolescenza tecnologica e definire piani di re-platforming;
• Attivare programmi di bug bounty e responsible disclosure.

Sarà importante aprire le porte alla community hacker italiana (che freme dalla voglia di dare un contributo fattivo per un fine comune) e collaborare con entità pubbliche e private, soprattutto con quelle che da anni hanno sviluppando programmi cyber efficaci.

Questo per dire che occorre iniziare a comprendere che per ridurre gli incidenti informatici bisogna ridurre le minacce e per ridurre le minacce occorre agire ed avviare tante iniziative operative che richiedono competenza, sforzo, dedizione, passione e fermezza.

Dal nostro punto di vista, Baldoni essendo un accademico, ha fatto molto per gettare delle basi concrete per l’implementazione dell’Agenzia. Bruno Frattasi, come ex prefetto, conosce molto bene i problemi di comunicazione e affiancato dalla Dott. Ssa Ciardi, potrà beneficiare anche di una esperienza nel campo delle forze dell’ordine e della cybersecurity. Pertanto ora aspettiamo questo cambiamento così tanto necessario per l’Italia.