Sicurezza

L’AGID – Agenzia per L’Italia Digitale - ha pubblicato un modello di assessment in data 5/5/17 sulla Gazzetta Ufficiale della Repubblica Italiana relativo alle «Misure minime di sicurezza ICT per le pubbliche amministrazioni (direttiva del Presidente del Consiglio dei Ministri 1/8/15).

Vengono indicate le misure minime di sicurezza ICT per le pubbliche amministrazioni, in attuazione della direttiva del Presidente del Consiglio dei ministri 1/8/15, al fine di fornire alle pubbliche amministrazioni dei criteri di riferimento per stabilire se il livello di protezione offerto da un’infrastruttura risponda alle esigenze operative, individuando anche gli interventi idonei per il suo adeguamento.

Le Amministrazioni dovranno attuare gli adempimenti previsti nella norma entro il 31 dicembre 2017. La normativa prende le mosse dall’insieme di controlli noto come SANS 20, oggi pubblicato dal Center for Internet Security come CCSC «CIS Critical Security Controls for Effective Cyber Defense» nella versione 6.0 di ottobre 2015.

L’elenco dei venti controlli in cui esso si articola, normalmente riferiti come Critical Security Control (CSC), è ordinato sulla base dell’impatto sulla sicurezza dei sistemi.
I primi cinque controlli sono quelli indispensabili per assicurare il minimo livello di protezione nella maggior parte delle situazioni.

Occorre inoltre osservare che il CCSC è stato concepito essenzialmente nell’ottica di prevenire e contrastare gli attacchi cibernetici, ragione per la quale non viene data particolare rilevanza agli eventi di sicurezza dovuti a casualità quali guasti ed eventi naturali. Pertanto, oltre alle prime cinque classi, abbiamo qui considerato i controlli della CSC8 (relativa alle difese contro i malware), della CSC10 (relativa alle copie di sicurezza) e della CSC13 (riferita alla protezione dei dati rilevanti contro i rischi di esfiltrazione).