Non giriamoci intorno: la digitalizzazione della Pubblica Amministrazione non è solo una questione di software più veloci o di pratiche che finalmente si chiudono con un clic.

È, prima di tutto, un cambio di paradigma che ci espone a nuovi rischi, trasformando ogni ufficio, fisico o virtuale che sia, in una potenziale frontiera del conflitto cibernetico che rischia di compromettere non solo sistemi informatici ma anche elementi fondamentali per il funzionamento della società.

Spesso immaginiamo i pirati informatici come geni del male rinchiusi in scantinati bui, capaci di abbattere muri digitali con stringhe di codice incomprensibili.

La realtà è molto più banale e, per certi versi, più preoccupante: il “vettore d’attacco” preferito dai criminali non è una falla nel software, ma il fattore umano. Siamo noi, con le nostre distrazioni, la nostra fretta o la semplice mancanza di consapevolezza, a lasciare la porta socchiusa.

Promuovere la Cybersecurity Awareness, la consapevolezza sulla cyber sicurezza – che potremmo tradurre semplicemente con la capacità di non cadere nelle trappole della rete – è diventato il pilastro centrale delle strategie dell’Agenzia per l’Italia Digitale (AgID) e dell’Agenzia per la Cybersicurezza Nazionale (ACN).

Non si tratta di trasformare ogni dipendente pubblico in un esperto informatico, ma di dare a tutti la bussola necessaria per navigare in sicurezza, proteggendo il proprio lavoro e i dati dei cittadini.

Confidenzialità, integrità, disponibilità

Quando parliamo di sicurezza, l’obiettivo non è solo proteggere un dispositivo fisico, ma tutelare il valore immateriale dei dati che gestiamo. Dobbiamo garantire che restino riservati secondo il principio della confidenzialità, che non vengano manomessi da mani non autorizzate garantendo l’integrità e che siano sempre accessibili quando un cittadino o un collega ne ha bisogno per una completa disponibilità.

Se uno solo di questi pilastri crolla, l’intero servizio pubblico vacilla.
I rischi sono concreti: dall’accesso abusivo ai sistemi fino al furto di identità, dove un malintenzionato ruba le nostre credenziali per agire a nostro nome all’interno dei portali istituzionali.

L’arsenale dei malintenzionati è vario e sempre più sofisticato. Esistono i virus e i Trojan che si nascondono in file apparentemente innocui, gli spyware che ci spiano in silenzio per mesi e i famigerati ransomware.
Questi ultimi sono la minaccia più temibile per una PA: programmi che sequestrano i file dell’ufficio criptandoli e chiedono un riscatto per sbloccarli.

Esistono poi malware “psicologici” come gli scareware, che ci bombardano di falsi messaggi d’errore, un tipo di malware che sfrutta tecniche di social engineering per spaventarti e indurti a scaricare o acquistare un software di sicurezza fasullo che in realtà sono porte aperte per i ladri. Conoscere queste definizioni non serve a superare un esame, ma a capire che ogni nostra azione digitale ha un peso.

La tua impronta digitale: password e buone abitudini

Ridurre il rischio a zero è tecnicamente impossibile, ma il contributo consapevole di ogni utente può fare una differenza enorme. Tutto parte dalla gestione delle password, la chiave d’accesso al nostro mondo professionale.

Spesso le consideriamo un fastidio burocratico, ma sono la nostra prima linea di difesa contro attacchi a “forza bruta” o “a dizionario”, in cui software automatici testano milioni di combinazioni possibili di una password finché non si trova quella corretta.
Una password sicura non deve essere solo lunga, ma anche variata e imprevedibile. Le policy che ci impongono di cambiarla periodicamente o di non riutilizzare la stessa chiave per servizi diversi, evitando, ad esempio, di usare per il lavoro la stessa password dei social, sono protezioni necessarie per evitare che una singola falla faccia crollare l’intero castello.

Un altro tema caldissimo è quello della posta elettronica. Il phishing rimane la tecnica più efficace perché non colpisce il computer, ma la nostra psicologia: un’email che sembra arrivare da un superiore, da una banca o da un ente pubblico ci invita a cliccare su un link o a scaricare un allegato urgente.

Oggi l’intelligenza artificiale aiuta i filtri anti-spam a intercettare molte di queste minacce prima che arrivino nei nostri messaggi, ma l’occhio critico dell’utente resta l’ultimo baluardo indispensabile. Se un messaggio ci mette fretta o presenta anomalie, la regola d’oro è fermarsi e verificare, magari contattando il mittente attraverso un altro canale.

La sfida del lavoro agile con ele VPN e i VDI

Con l’avvento del lavoro agile, l’ufficio non è più un luogo fisico delimitato da mura e guardie giurate. Questo ha reso le postazioni di lavoro più esposte. Lavorare su un PC “in dominio”, ovvero gestito centralmente dall’amministrazione, assicura che il sistema sia costantemente aggiornato con le ultime “patch” di sicurezza. Quando però usiamo dispositivi personali o reti domestiche meno protette, il livello di rischio si moltiplica e sale esponenzialmente.

In questi contesti, strumenti come le connessioni VPN, Virtual Private Network, che creano un tunnel cifrato per i dati, o i desktop virtuali VDI diventano essenziali per separare la nostra vita privata da quella professionale, per proteggere i dati sensibili quando si lavora da remoto, per evitare che reti pubbliche espongano informazioni personali.
Attraverso una VPN il traffico internet viene incapsulato in un canale protetto, i dati vengono cifrati, così nessuno può leggerli durante il percorso e all’esterno si vede solo la connessione verso il server VPN, non ciò che stai facendo.

Con i desktop virtuali ospitati su server aziendali invece tu non lavori realmente sul tuo PC ma ti colleghi a un “computer remoto” che vive nel data center: Accedi a un desktop virtuale tramite un’app o un browser, tutti i dati e le applicazioni restano sui server aziendali, non sul tuo dispositivo ed il tuo PC diventa solo una “finestra” per visualizzare e controllare quel desktop.

Un aspetto fondamentale è anche la prevenzione della perdita accidentale: salvare documenti importanti esclusivamente sul desktop del proprio PC è un azzardo. L’uso sistematico delle cartelle condivise sui server e dei backup centralizzati è ciò che garantisce che, anche in caso di guasto hardware o di un attacco ransomware, l’attività dell’ente possa ripartire in poche ore.

Impegno e consapevolezza

Le linee guida emanate da AgID fin dal 2017 definiscono livelli di sicurezza precisi – minimo, standard e avanzato – che ogni amministrazione è tenuta ad adottare.

Ma la normativa, da sola, rimane carta se non è accompagnata da una cultura della sicurezza diffusa e dalla formazione.

Il Piano Triennale per l’Informatica nella PA pone la cybersecurity awareness al centro della strategia nazionale: la tecnologia è solo metà della soluzione; l’altra metà siamo noi. Essere consapevoli non significa vivere con l’ansia di un attacco imminente, ma adottare una corretta “igiene digitale”.

Strumenti utili

Esistono oggi molti strumenti online gratuiti per verificare se un file è infetto o se un link è dannoso prima di aprirlo. Qualche esempio: MetaDefender Cloud (OPSWAT), Filescan.io, VirusTotal,Dr.Web Online Scanner, filescanner.online. E per una verifica più solida, puoi usare due o tre servizi in parallelo: ogni motore ha le sue firme e tecniche di rilevamento, quindi una doppia conferma riduce il rischio di falsi negativi.
Utilizzarli e segnalare tempestivamente ogni anomalia ai servizi di assistenza informatica, al CED del tuo ente, sono gesti di responsabilità civile.

In fondo, proteggere i dati della Pubblica Amministrazione non è un compito astratto: significa proteggere i diritti, la privacy e i servizi essenziali di tutti i cittadini, compresi i nostri.

Altri articoli di DigitalePopolare sul tema:

Cyber Security Italy Foundation: Formazione sia priorità del Paese – Digitale Popolare

Cyber attacchi, l’evoluzione degli ultimi 20 anni ed i possibili scenari futuri – Digitale Popolare

La cybersecurity nell’era dell’intelligenza artificiale – Digitale Popolare

Approvato il ddl sulla cybersecurity: le novità – Digitale Popolare