Il Rapporto è stato realizzato con l’intento di sondare nelle PA il livello di consapevolezza della minaccia informatica e verificarne, così, le capacità di difesa.

I dati sono stati raccolti attraverso un questionario inviato insieme ad AGID alle diverse amministrazioni pubbliche – e su tre casi studio importanti: Corte dei Conti, Inps, Regione Friuli Venezia Giulia – al quale hanno riposto 213 Pubbliche Amministrazioni, tra cui tutte le Regioni, 42 pubbliche amministrazioni centrali e province, capoluoghi di provincia oltre ad Aziende Ospedaliere e Sanitarie Locali.

L’indagine, nello specifico, ha inteso prendere in esame tre livelli: la consapevolezza della sicurezza e protezione dati; il problema di competenze e responsabilità; la necessità di razionalizzazione delle infrastrutture e degli investimenti.

Partendo dalla disamina del primo livello, relativo alla consapevolezza della sicurezza, il Rapporto rileva che il 12% delle PA italiane dichiara di non subire attacchi durante tutto l’arco dell’anno; il 38% asserisce di subirne tra gli 11 e i 100, mentre il 21% rivela di subirne addirittura 10.000. 

I dati riportati, pertanto, manifestano la mancanza di una efficiente attuazione, da parte delle PA, delle pratiche di gestione e sicurezza dei dati personali, tra cui il Penetration Testing, il Piano sicurezza ICT, le verifiche periodiche organizzative e funzionali di sicurezza ICT, nonché un piano di risposta per eventuali attacchi. Difatti, è indispensabile che le pubbliche amministrazioni comprendano appieno il valore strategico ed economico dell’informazione da esse detenuta. 

Per quanto concerne il secondo livello di analisi, circa le competenze e le responsabilità emerge la necessità di aumentare il livello di sicurezza dei sistemi della PA avvalendosi soprattutto dell’ausilio di esperti in sicurezza, e di aumentare parimenti la quantità di competenze di carattere tecnico a tutti i livelli organizzativi, tanto a livello pubblico, quanto a livello privato.

Infine il terzo livello preso in esame dal Rapporto, relativo alla razionalizzazione degli investimenti, si focalizza sull’importanza di azioni pratiche volte al miglioramento e all’efficienza dei sistemi di difesa dagli attacchi cyber. 

Nello specifico è stata posta l’attenzione sulla necessità della razionalizzazione, nonché della riduzione drastica, dei centri d’Information Technology (IT), i quali risultano essere più di 5mila sparsi in tutta l’Italia, e non consentono una protezione dei dati adeguata alla percentuale di attacchi di cui il nostro Paese è bersaglio, mentre razionalizzare i centri IT significherebbe diminuire la superficie d’attacco e portare le amministrazioni ad aggregarsi su base geografica o di business in un unico data center o cloud, producendo anche un ridimensionamento delle spese. 

Risulta necessaria, a tale scopo, la necessità di proporre un cloud tutto italiano che possa incrementare l’interesse sia di piccole e medie imprese, sia degli investitori, con l’obiettivo di cogliere la cybersecurity come opportunità di sviluppo del nostro Paese.