[sommcomm]

Nel complesso si è evidenziato come gli attori ostili abbiano sfruttato, nel periodo pandemico, il massiccio ricorso al lavoro agile e la conseguente accessibilità da internet, tramite collegamenti VPN ( Virtual Private Network ), di risorse digitali di Ministeri, aziende di profilo strategico e infrastrutture critiche, divenuti ancor più bersaglio di campagne ostili di matrice statuale, criminale o hacktivista"; per quanto riguarda le linee di tendenza quantitative e qualitative della minaccia, la stessa relazione dà conto di un generale incremento delle aggressioni (+20 per cento), che, quanto alla tipologia di target "hanno riguardato per lo più, a conferma di una tendenza già rilevata negli ultimi anni, sistemi IT di soggetti pubblici (83 per cento, in aumento di 10 punti percentuali rispetto al 2019). Tra questi ultimi, quelli maggiormente interessati dagli eventi risultano le Amministrazioni locali (48 per cento, valore in aumento di oltre 30 punti percentuali rispetto all'anno precedente), unitamente ai Ministeri titolari di funzioni critiche (+ 2 per cento nel confronto anno su anno). Le azioni digitali ostili perpetrate nei confronti dei soggetti privati hanno interessato prevalentemente il settore bancario (11 per cento, in aumento di 4 punti percentuali rispetto al 2019), quello farmaceutico/sanitario (7 per cento, in sensibile incremento rispetto allo scorso anno) e dei servizi IT (11 per cento, dato pressoché stabile)". in base alle caratteristiche e al grado di offensività, gli attacchi informatici vengono tipicamente divisi in diverse tipologie, all'interno delle due grandi categorie della sicurezza cibernetica e della difesa cibernetica. La prima riguarda in generale la sicurezza delle infrastrutture, di interesse nazionale o comunque strategiche, pubbliche o private, che possono essere oggetto di attacchi e intrusioni esterni o soggetti a incidenti. Per difesa cibernetica, invece, si intende lo spettro delle competenze dello Stato di natura prettamente militare. Proprio le caratteristiche della minaccia, però, rendono spesso arduo operare nette distinzioni tra sicurezza interna e sicurezza esterna, così come tra i profili civili e quelli più propriamente militari. Se in altri domini il carattere militare della minaccia è facilmente distinguibile, nel dominio cibernetico, viste le sue caratteristiche ibride, tale distinzione è meno agevole. Gli effetti di un attacco informatico possono del resto essere devastanti, anche maggiori di quelli di un attacco convenzionale, e possono danneggiare o paralizzare il funzionamento di organi vitali dello Stato, ma anche impedire il corretto funzionamento di infrastrutture critiche (ad esempio nei settori dell'energia, dei trasporti, delle cure mediche, della produzione di beni essenziali); alle Forze armate è in ogni caso affidato il compito di proteggere il Paese da intrusioni esterne, anche laddove dirette a obiettivi civili. Come si legge nel Libro bianco per la sicurezza internazionale e la difesa del 2015, infatti, la Difesa ha il compito di sviluppare "in piena armonia con la strategia nazionale sulla protezione informatica, le possibilità di difesa contro attacchi di natura cibernetica che dovessero eccedere le capacità predisposte dalle agenzie civili"; le componenti di natura più prettamente militare si inquadrano in una più ampia strategia nazionale per la sicurezza cibernetica, la cui architettura si è andata componendo grazie a una serie di interventi normativi, in particolare a partire dal 2013. In quell'anno, con il Decreto del Presidente del Consiglio del 24 gennaio (c.d. "decreto Monti"), il nostro Paese ha definito le diverse competenze tra i vari attori istituzionali convolti nella gestione, a livello nazionale, della cyber security . Il 17 febbraio 2017 è stato adottato un DPCM, recante la Direttiva in materia protezione cibernetica e sicurezza informatica nazionali", che ha sostituito le norme del 2013, con l'obiettivo di assicurare un maggiore coordinamento tra le diverse strutture istituzionali. Nel maggio del 2018, con il decreto legislativo 18 maggio 2018, n. 65 (di recepimento della c.d. "Direttiva NIS") sono stati delineati ulteriori interventi di rafforzamento del sistema di sicurezza cibernetica del Paese. Il Regolamento (UE) 2019/881 del 17 aprile 2019 (c.d. Cybersecurity Act) ha poi introdotto una certificazione europea della sicurezza cibernetica di hardware e software , trasponendo in campo informatico gli standard di sicurezza già applicati per i prodotti fisici prodotti e commercializzati nella Ue. Il regolamento ha anche istituito l'Agenzia europea per la sicurezza delle reti e dell'informazione (ENISA); sulla base di questa normativa, la responsabilità della politica generale del Governo nel campo della sicurezza cibernetica viene attribuita al Presidente del Consiglio, che provvede al coordinamento delle politiche per la sicurezza cibernetica, impartisce le direttive e, sentito il Comitato interministeriale per la sicurezza della Repubblica, impartisce le disposizioni per l'organizzazione e il funzionamento del sistema. Dal punto di vista operativo al centro del sistema di controllo è il Dipartimento delle informazioni per la sicurezza (DIS), al cui interno è collocato il Nucleo Sicurezza cibernetica, cui spetta la gestione delle crisi cibernetiche e il raccordo tra le diverse componenti del sistema. Al Ministero dello Sviluppo economico spetta invece il compito di svolgere le attività di valutazione e certificazione per la verifica dell'affidabilità della componentistica in uso alla pubblica amministrazione; dal 2018 è stato anche istituito un CSIRT ( Computer Security Incident Response Team ), con compiti di natura tecnica, per supportare la pubblica amministrazione e altri utenti, definendo le procedure per la prevenzione e la gestione degli incidenti informatici, oltre che la collaborazione con le analoghe strutture degli altri Paesi; la legge 18 novembre 2019, n. 133 ha poi istituito il perimetro di sicurezza nazionale cibernetica, con il fine di assicurare la sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni pubbliche e dei soggetti privati, da cui dipende l'esercizio di una funzione essenziale dello Stato o la prestazione di un servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato. A seguire sono stati approvati i criteri per l'individuazione dei soggetti pubblici e privati da includere nel Perimetro e poi l'elenco (non pubblico) di più di 100 soggetti, che erogano servizi essenziali nell'ambito delle infrastrutture nazionali. Nel gennaio di quest'anno è divenuto poi operativo il sistema che fa capo al centro di Valutazione e Certificazione Nazionale (CVCN), istituito presso il Ministero dello sviluppo economico, chiamato ad effettuare verifiche e valutazioni dei beni, dei sistemi e dei servizi ICT che i soggetti inclusi nel Perimetro di sicurezza nazionale cibernetica intendono acquisire qualora, tramite questi ultimi, vengano erogati e garantiti servizi essenziali; rilevato che: il campo cibernetico è stato da tempo individuato come teatro di possibili scontri militari, ed è di conseguenza qualificato, in ambito sia Nato che Unione europea, come il "quinto dominio di scontro", oltre a quelli tradizionali della terra, dell'aria, del mare e dello spazio.