Cybersicurezza: Dall'Ingegneria Sociale alla Resilienza Quotidiana - parte 2 GDPR, NIS2 e Governance in Italia.

 Nel primo articolo abbiamo esplorato qualche trappola nascosta dietro il vivere onlife delle azioni umane quotidiane (phishing, password deboli, BYOD, etc) e accennato in breve a qualche best practice per favorire l’utente, spesso dipendente, a diventare resiliente per combattere "da umano a umano" l’hacker. 

Ci spostiamo adesso sul quadro normativo, evoluto in particolare dagli anni 90 che gradualmente ha imposto, in particolare alle aziende, l’utilizzo di azioni preventive, guardando alla sicurezza informatica come un’azione condivisa tra Stati a protezione universale.

Il viaggio parte dalla Convenzione di Budapest del 2001, il primo accordo internazionale volto a disciplinare i reati informatici e a istituire meccanismi di cooperazione tra Stati.

La Convenzione, cui hanno aderito 76 Stati, ha introdotto la definizione dei concetti fondamentali di sicurezza informatica e di traffico dei dati, promuovendo la collaborazione internazionale come principale strumento per contrastare gli attacchi informatici. In questo contesto sono stati creati punti di contatto cooperativi accessibili 24/7 in ogni Paese aderente, inclusi gli Stati Uniti e il Giappone.

Il concetto di partenza è che un reato informatico, a differenza di un reato classico, può essere compiuto da un qualunque luogo del Mondo. Lo Stato vittima deve poter individuare agevolmente l’autore del reato, anche se quest’ultimo agisce da una diversa giurisdizione. 

Ogni singolo Stato ha iniziato a creare proprie regolamentazioni inerenti il tema dotandosi di quadri normativi interni. 

Il Regolamento (UE) 2016/679 – noto come GDPR – ha rappresentato un cambio di paradigma per la protezione dei dati personali. Con principi quali la trasparenza, la responsabilizzazione del titolare del trattamento (accountability), il diritto all’oblio e la definizione dettagliata di responsabilità e sanzioni, il GDPR ha uniformato le regole su tutto il territorio europeo.

Il GDPR impone che il trattamento dei dati sia legale, corretto e trasparente, e consente all’interessato di cancellare o modificare i propri dati una volta terminata la finalità del trattamento. Il titolare del trattamento deve comunicare tempestivamente le modifiche a tutta la catena che tratta i dati, prevedendo anche sanzioni proporzionate e dissuasive in caso di violazioni.

La NIS2, Direttiva UE 2022/2555, amplia sensibilmente rispetto alla precedente direttiva NIS la platea delle organizzazioni chiamate a garantire la sicurezza informatica, estendendo la normativa a 18 settori critici, tra cui energia, trasporti, sanità, farmaceutico, alimentare, servizi digitali e manifatturiero. La classificazione delle entità coinvolte avviene in base a dimensioni e settore d’appartenenza, con una definizione chiara di "entità essenziali" e "entità importanti".

Gli obblighi imposti alle organizzazioni sono vincolanti e includono una lunga lista di misure minime: gestione continua del rischio, piani di risposta e recupero dagli incidenti, audit regolari, cifratura, autenticazione a più fattori, protezione della supply chain e, non meno importante, la formazione continua del personale in materia di cybersecurity.

Un elemento innovativo è la responsabilizzazione diretta del top management, che risponde personalmente dell’adempimento degli obblighi, con sanzioni anche economiche significative fino al 2% del fatturato globale, determinando una forte spinta a far evolvere la cultura aziendale anche sotto il profilo della sicurezza.

L’Italia ha costruito un sistema robusto di governance della cybersicurezza. Si è dotata di leggi a tutela della sicurezza informatica e della privacy.

Dopo aver istituito il Codice Privacy (D.lgs. 196/2003), ha recepito la Convenzione di Budapest con il D.lgs. 48/2008, introducendo nuovi reati informatici nel Codice penale (accesso abusivo, frode informatica, danneggiamento sistemi).

L’implementazione del GDPR si è concretizzata nel D.lgs. 101/2018, integrando modifiche al Codice Privacy e introducendo strumenti particolari come la figura del Data Protection Officer (DPO), che funge da garante e punto di contatto tra titolare e autorità di controllo. Inoltre, gli aggiornamenti per l’identificazione dei reati informatici (accesso abusivo, intercettazioni, danneggiamento di sistemi) hanno rappresentato tappe fondamentali del percorso.

La Direttiva NIS 2 è stata invece recepita con il D.lgs. 138/2024.

Tra gli altri organismi nazionali: nel 2018 nasce il CSIRT Italia, operativo presso l’Agenzia per la Cybersicurezza Nazionale (ACN), con il compito di monitorare, prevenire e gestire gli incidenti cibernetici a livello nazionale; l’ACN stessa, istituita nel 2021, assume un ruolo centrale nella definizione e applicazione della Strategia Nazionale di Cybersicurezza, attuando un coordinamento efficace e la promozione dell’autonomia tecnologica, fungendo da autorità nazionale competente per il NIS2; il Centro di Valutazione e Certificazione Nazionale (CVCN) è responsabile della sicurezza e affidabilità di prodotti e infrastrutture ICT. 

Nel prossimo articolo approfondiremo i principali strumenti tecnico-organizzativi e le best practice che aziende e pubbliche amministrazioni devono adottare per conformarsi a queste normative, concentrandoci in particolare sulle misure di gestione del rischio, la gestione degli incidenti e la formazione del personale, elementi chiave per costruire una resilienza digitale efficace e duratura.

Grazie intanto per essere arrivato fin qui.