Cybersecurity in Italia: è finalmente operativo il CVCN

Lo scenario

Ad inizio marzo di quest’anno è stato emanato il Rapporto 2022, uno snapshot realizzato dal Clusit – Associazione Italiana per la Sicurezza Informatica – che esamina e raccoglie i dati relativi agli attacchi informatici su scala globale avvenuti negli ultimi 12 mesi.
La situazione emersa è a dir poco allarmante: rispetto all’anno precedente, nel 2021 c’è stato un aumento pari al 10% di attacchi informatici gravi nei confronti di aziende ed istituzioni, di cui il 45% in America e il 21% in Europa. I danni stimati ammontano a un totale di 6 triliardi di dollari, 5 volte tanto rispetto al 2020.

Questi valori preoccupanti hanno spinto l’Unione Europea e i vari Stati a velocizzare lo sviluppo e l’adozione di strategie finalizzate ad aumentare la sicurezza delle reti e dei sistemi. In merito alla situazione europea, in questi ultimi mesi sono stati fatti notevoli passi in avanti: si pensi alla Direttiva NIS2, ossia un insieme di misure approvate dal Consiglio e dal Parlamento europeo volte a garantire un livello omogeneo di cybersecurity in tutta l’UE, puntando al miglioramento delle capacità di risposta agli incidenti nel settore sia pubblico che privato.

Relativamente al panorama italiano, invece, è stato già da tempo pubblicato il Decreto conosciuto come “Perimetro di sicurezza nazionale cibernetica”, che definisce i criteri volti all’individuazione dei soggetti che esercitano una funzione fondamentale o che erogano un servizio essenziale nell’ambito informatico e, di conseguenza, gli obblighi che ciascuno di essi deve rispettare al fine di salvaguardare la sicurezza nazionale.

CVCN: finalmente il pezzo mancante

Il CVCN (Centro di Valutazione e Certificazione Nazionale), reso operativo dal 30 giugno 2022, rappresenta la parte mancante inserita all’interno della normativa sul Perimetro di sicurezza nazionale cibernetica.
Si tratta di un vero e proprio passo in avanti per la cybersecurity italiana.
Finora il Dl n.105 del 2019 – e annessi Dpcm e Dpr – sul quale si fonda il Perimetro, è intervenuto sulle modalità e sui processi rispetto ai quali i soggetti coinvolti dalla normativa devono necessariamente attenersi; con l’introduzione del CVCN, invece, si passa ad una nuova dimensione, quella relativa alla valutazione sui beni, sistemi e servizi ICT appartenenti e impiegati all’interno delle categorie individuate dal contenuto normativo del Perimetro.
Nello specifico, le responsabilità e i compiti del CVCN sono i seguenti:

• Fornire un aiuto nell’elaborazione delle misure di sicurezza riguardo l’affidamento di forniture di beni, sistemi e servizi ICT: se tali misure e requisiti non vengono soddisfatti, il Perimetro di sicurezza nazionale cibernetica può sospendere i contratti.
• Definire le fasi da seguire in ambito di verifica e test, potendo anche stabilire prescrizioni precise di utilizzo al committente: il CVCN potrà richiedere la realizzazione di test su hardware e software prima del loro utilizzo (valutazione preventiva) e definire le condizioni di utilizzo dei vari prodotti.
• Elaborare schemi di certificazione cibernetica, tenendo conto degli standard definiti a livello dell’UE e a livello internazionale: le normative europee e internazionali costituiscono una base fondamentale nel caso gli schemi di certificazione esistenti non siano adeguati a standard di sicurezza nazionale.

Com’è facile intendere, l’obiettivo primario del CVCN sarà quello di migliorare e potenziare la cybersecurity italiana, puntando a ridurre il rischio che le vulnerabilità dei servizi o prodotti acquistati vengano sfruttate per attacchi informatici volti a captare informazioni sensibili o a interrompere – in maniera totale o parziale – il funzionamento delle infrastrutture nazionali.

Il traguardo

Il percorso nazionale iniziato nel 2019 con la creazione e l’istituzione del Perimetro di Sicurezza Nazionale Cibernetica ha raggiunto un traguardo molto importante con la messa in opera del CVCN.
Gli aspetti appena delineati e la sempre maggiore regolamentazione del settore informatico e cibernetico definiscono la crescente importanza attribuita alla sicurezza delle infrastrutture, dei sistemi e delle reti.
L’attenzione dedicata alla Strategia Nazionale per la cybersicurezza fa ben sperare sulla capacità dell’Italia di diventare capace di prevenire/impedire gli attacchi informatici e diventare più competitiva. Un Paese in grado di realizzare una trasformazione digitale in sicurezza è infatti un Paese in grado di competere con il resto d’Europa.