Protezione avanzata per gli Enti locali: best practice e tecnologie emergenti (Parte I)
di LUISA DI GIACOMO*
Se qualcosa stiamo imparando da questa rubrica di protezione dati e cybersecurity in pillole, è che nessun Ente locale può più permettersi di farsi trovare impreparato nella lotta costante contro gli attacchi informatici, contro gli atti di attivismo digitale (vedasi Monitora PA, di cui abbiamo parlato la settimana scorsa) che, seppur ad avviso di chi scrive del tutto destituiti di fondamento, per lo meno hanno il pregio di fare soffermare l’attenzione sul tema. In questo articolo cercheremo di affrontare insieme le migliori pratiche avanzate e le tecnologie emergenti per la protezione dei dati degli Enti locali, sempre con spirito concreto e pratico, in modo da consentire ai DPO degli Enti di affrontare in maniera tempestiva ed efficace le sfide attuali e future che si presentano.
Implementazione di crittografia end-to-end
La protezione dei dati è (o dovrebbe essere) una priorità per gli Enti locali, e l’implementazione di soluzioni di crittografia end-to-end rappresenta un fondamentale strumento per garantire la sicurezza delle informazioni durante la comunicazione e l’archiviazione. La crittografia end-to-end si riferisce a un sistema di sicurezza che consente di crittografare i dati in modo che possano essere letti solo dal mittente e dal destinatario autorizzati, garantendo l’integrità e la riservatezza delle informazioni. Sarebbe bene prendere in considerazione almeno questi aspetti:
- Crittografia dei dati in transito
La crittografia end-to-end implica che i dati siano crittografati durante il loro invio attraverso le reti di comunicazione. Questo significa che i dati vengono convertiti in una forma illeggibile (cifrata) durante la trasmissione e possono essere decifrati solo dal destinatario corretto utilizzando una chiave di decrittazione corrispondente. Ciò protegge i dati da eventuali intercettazioni o violazioni durante il trasferimento, rendendo virtualmente impossibile leggere o manipolare i dati sensibili.
- Protezione dei dati a riposo
Oltre alla crittografia durante la trasmissione, la crittografia end-to-end richiede anche che i dati siano crittografati quando sono archiviati. Ciò significa che, anche quando i dati sono salvati su server o dispositivi di archiviazione, rimangono crittografati e inaccessibili a chiunque non sia autorizzato a decifrarli. Questa misura aggiuntiva di protezione assicura che i dati rimangano sicuri anche in caso di accesso non autorizzato ai dispositivi di archiviazione o di furto fisico dei dispositivi.
- Utilizzo di algoritmi di crittografia robusti
È fondamentale che gli enti locali utilizzino algoritmi di crittografia robusti e sicuri per garantire l’efficacia della crittografia end-to-end, che utilizzano chiavi di crittografia lunghe e complesse per rendere estremamente difficile per gli attaccanti violare la crittografia e accedere ai dati protetti.
- Gestione sicura delle chiavi di crittografia
La crittografia end-to-end richiede la gestione sicura delle chiavi di crittografia utilizzate per crittografare e decrittografare i dati. Gli Enti locali dovrebbero adottare pratiche di gestione delle chiavi solide, come la generazione casuale di chiavi, la separazione delle responsabilità per la gestione delle chiavi e la protezione fisica e logica delle chiavi di crittografia (perché in caso di perdita delle chiavi non c’è alcun modo di ripristinare i dati, che sono persi per sempre).
- Verifica e autenticazione dei partecipanti alla comunicazione
La crittografia end-to-end richiede che i partecipanti alla comunicazione si autenticano reciprocamente per garantire che solo i destinatari autorizzati possano decifrare i dati crittografati. Gli enti locali dovrebbero implementare meccanismi di autenticazione affidabili, come l’utilizzo di certificati digitali o di protocolli di autenticazione robusti, per garantire che solo le persone o le entità autorizzate possano accedere ai dati crittografati.
Utilizzo di soluzioni di autenticazione a più fattori
L’autenticazione a più fattori è una misura efficace per prevenire l’accesso non autorizzato ai dati degli enti locali. Oltre alla tradizionale password, gli enti locali dovrebbero implementare metodi di autenticazione aggiuntivi come l’utilizzo di token hardware, biometria o codici OTP (One-Time Password) o MFA (MFA, Multi-Factor Authentication). Questi gli aspetti principali.
- Token hardware
L’utilizzo di token hardware è un metodo di autenticazione a più fattori che fornisce un livello aggiuntivo di sicurezza. I token hardware sono dispositivi fisici che generano codici temporanei o forniscono chiavi crittografiche per verificare l’identità dell’utente. Questi dispositivi possono essere collegati ai dispositivi di accesso o utilizzati come dispositivi separati per l’autenticazione.
- Biometria
La biometria è un’altra forma di autenticazione a più fattori che si basa sulle caratteristiche uniche del corpo umano per verificare l’identità dell’utente. Esempi comuni di biometria includono il riconoscimento facciale e l’impronta digitale, per parlare di quelli a noi più noti perché usati quotidianamente sul nostro smartphone, ma esistono anche tecniche più “da film”, come la scansione dell’iride o la scansione della retina. L’utilizzo di biometria offre un elevato livello di sicurezza, poiché le caratteristiche biometriche sono difficili da duplicare o falsificare. Di contro, tuttavia, il trattamento di dati biometrici rappresenta un trattamento ad altissimo rischio, quindi va utilizzato con estrema cautela, per evitare di aggiungersi un problema in casa, invece di risolverlo (ad esempio, va condotta una DPIA prima di implementare sistemi di autenticazione con dati biometrici).
- Codici OTP (One-Time Password)
I codici OTP sono password generate in modo casuale che possono essere utilizzate solo una volta per l’autenticazione. Questi codici temporanei vengono inviati all’utente tramite SMS, applicazioni di autenticazione o token software e devono essere inseriti insieme alla password per completare l’autenticazione. L’utilizzo di codici OTP aggiunge un ulteriore livello di sicurezza, poiché anche se la password viene compromessa, l’attaccante non può accedere senza il codice OTP corretto.
- App di autenticazione
Le app di autenticazione sono strumenti software installati sui dispositivi degli utenti che generano codici OTP o forniscono metodi di autenticazione a più fattori. Queste app possono essere sincronizzate con i servizi di autenticazione degli enti locali e richiedono all’utente di inserire il codice generato per completare il processo di autenticazione. L’utilizzo di app di autenticazione offre un’alternativa sicura ai tradizionali metodi di autenticazione basati sulla password (anche in questo caso ricordiamo l’obbligo della DPIA per la scelta dell’app più adatta).
- Autorizzazione basata sul ruolo
Oltre all’autenticazione a più fattori, gli enti locali dovrebbero implementare sistemi di autorizzazione basati sul ruolo (RBAC, Role-Based Access Control). Questi sistemi consentono di assegnare diritti e privilegi di accesso basati sul ruolo dell’utente all’interno dell’organizzazione. In questo modo, solo gli utenti autorizzati con i diritti appropriati possono accedere a determinate risorse o informazioni sensibili.
Adozione di soluzioni di monitoraggio e rilevamento delle minacce
Gli enti locali dovrebbero investire budget in soluzioni di monitoraggio e rilevamento delle minacce per individuare tempestivamente eventuali attività sospette o anomalie nei propri sistemi (procedura che comunque costerebbe meno di quanto invece peserebbe sul bilancio dell’ente un attacco di successo). L’utilizzo di strumenti di analisi dei log e di intelligenza artificiale può aiutare a identificare comportamenti anomali e prevenire attacchi cibernetici.
- Analisi dei log
L’analisi dei log è una pratica che prevede la raccolta, la gestione e l’analisi dei log di sistema, dei log di sicurezza e di altri dati di registrazione. Questa attività consente di monitorare l’attività dei sistemi informatici e individuare potenziali anomalie o comportamenti sospetti. L’adozione di strumenti di analisi dei log automatizzati semplifica l’individuazione di eventi di sicurezza rilevanti e consente di rispondere prontamente a potenziali minacce (dal punto di vista di un DPO il tracciamento dei log è fondamentale).
- Intelligenza artificiale e machine learning
Ultimamente non si parla d’altro, ma a parte la moda del momento è indubbio che l’intelligenza artificiale (AI) e il machine learning (ML) siano strumenti potenti per il monitoraggio e il rilevamento delle minacce. Queste tecnologie possono analizzare grandi quantità di dati, identificare pattern e comportamenti anomali e generare avvisi automatici in caso di attività sospette. L’implementazione di sistemi di AI e ML consente di migliorare la precisione e l’efficacia del monitoraggio delle minacce, riducendo al contempo il rischio di falsi positivi.
- Monitoraggio della rete
Il monitoraggio costante della rete è essenziale per individuare potenziali attacchi o intrusioni. L’utilizzo di strumenti di monitoraggio della rete consente di analizzare il traffico di rete in tempo reale, individuare attività sospette come tentativi di accesso non autorizzati o trasferimenti di dati insoliti e prendere provvedimenti immediati. Inoltre, il monitoraggio della rete può aiutare a identificare vulnerabilità di sicurezza e implementare misure correttive tempestive.
- Scansioni di vulnerabilità
Le scansioni di vulnerabilità sono processi automatici che consentono di identificare le potenziali debolezze nei sistemi informatici. Queste scansioni analizzano le configurazioni di sicurezza, i software utilizzati e i punti di accesso alla rete per individuare eventuali vulnerabilità che potrebbero essere sfruttate dagli attaccanti. L’adozione di strumenti di scansione delle vulnerabilità permette agli enti locali di individuare e correggere le vulnerabilità prima che possano essere sfruttate da attacchi cibernetici: non hanno costi proibitivi, e vale la pena investire qualche euro preventivo.
- Collaborazione con le forze dell’ordine
Gli enti locali dovrebbero considerare la collaborazione con le forze dell’ordine o con enti di sicurezza specializzati per ottenere informazioni sulle minacce in corso e sulle migliori pratiche per la protezione dei dati. Questa collaborazione può fornire ulteriori strumenti e risorse per il monitoraggio e il rilevamento delle minacce, nonché supporto nella gestione delle eventuali violazioni della sicurezza.
Creazione di una politica di gestione delle password robusta
Anche di questo abbiamo già ampiamente disquisito, ma resta il fatto che una delle migliori pratiche fondamentali per la protezione dei dati è l’implementazione di una politica di gestione delle password solida, che si può creare attraverso questi semplici passaggi.
- Password complesse
Le password complesse sono fondamentali per prevenire l’accesso non autorizzato ai sistemi e ai dati degli enti locali. La politica di gestione delle password dovrebbe richiedere l’utilizzo di password che contengano una combinazione di caratteri alfanumerici, lettere maiuscole e minuscole, e simboli speciali. Inoltre, dovrebbe essere imposto un numero minimo di caratteri per garantire che le password siano sufficientemente lunghe.
- Uso di gestori di password
I gestori di password sono strumenti che consentono di archiviare in modo sicuro e criptato tutte le password. Promuovere l’uso di gestori di password può aiutare gli utenti degli enti locali a creare password complesse, uniche per ogni account e a memorizzarle in modo sicuro. Questo elimina la necessità di dover ricordare una grande quantità di password e riduce il rischio di utilizzare password deboli o riutilizzare le stesse password su più account (e di scrivere le password sui post-it attaccati ai monitor dei pc!).
- Educazione degli utenti
Una politica di gestione delle password efficace richiede anche un adeguato programma di sensibilizzazione degli utenti. Gli enti locali dovrebbero fornire formazione agli utenti sull’importanza di utilizzare password sicure, sulle pratiche di sicurezza informatica e sull’utilizzo corretto dei gestori di password. L’educazione degli utenti sulla sicurezza delle password contribuisce a creare una cultura di sicurezza informatica all’interno dell’organizzazione. Peraltro, il momento è propizio per la formazione in ambito cybersecurity, grazie ai fondi del PNRR che, se non utilizzati, vengono persi. Insomma, se non ora, quando?
- Monitoraggio e applicazione delle politiche
È essenziale monitorare e applicare attivamente la politica di gestione delle password per garantire la conformità da parte degli utenti. Questo può essere fatto attraverso strumenti di conformità e monitoraggio che verificano la robustezza delle password, la loro conformità alle regole di sicurezza e l’effettivo cambiamento periodico. In caso di violazioni o non conformità, è necessario intraprendere azioni correttive immediate, come il reset delle password compromesse o l’aggiornamento delle politiche.
- Implementazione di autenticazione a più fattori:
Per ulteriormente aumentare la sicurezza, gli enti locali dovrebbero considerare l’implementazione di un’autenticazione a più fattori (MFA). Questo metodo richiede l’utilizzo di un secondo fattore di autenticazione oltre alla password, come un codice generato dall’app sullo smartphone dell’utente o un token hardware. L’uso di MFA rende l’accesso ai dati degli enti locali ancora più sicuro, anche nel caso in cui la password venisse compromessa.
Implementazione di backup e ripristino dei dati regolari
La perdita o la corruzione dei dati può avere conseguenze significative anche molto gravi per gli enti locali, sia in termini di interruzione delle attività che di violazioni della privacy, come abbiamo avuto modo di vedere nei casi del data breach ASL Abruzzo (che peraltro è solo l’ultimo della serie). Pertanto, è essenziale implementare processi regolari di backup dei dati e testare periodicamente i processi di ripristino per garantire la disponibilità e l’integrità dei dati.
- Identificazione dei dati critici
Prima di iniziare l’implementazione di un piano di backup, è importante identificare i dati critici degli enti locali. Questi possono includere informazioni personali, documenti legali, informazioni finanziarie e archivi amministrativi. Una volta identificati i dati critici, è possibile stabilire le priorità e pianificare il processo di backup di conseguenza.
- Pianificazione dei backup regolari
I backup dei dati devono essere effettuati regolarmente per garantire la protezione dei dati più recenti. È consigliabile stabilire un piano di backup che determini la frequenza e il momento dei backup, tenendo conto della quantità di dati generati e modificati dagli enti locali. Inoltre, è importante considerare la capacità di archiviazione necessaria per conservare i backup in modo sicuro.
- Scelta dell’infrastruttura di backup
Gli enti locali devono selezionare un’infrastruttura di backup adeguata per garantire la sicurezza e l’affidabilità dei dati. Questo può includere l’utilizzo di soluzioni di backup su cloud, che consentono di archiviare i dati in un ambiente sicuro e off-site. L’archiviazione dei backup in un luogo separato dalla sede principale riduce il rischio di perdita dei dati in caso di incidente o catastrofe.
- Test periodici dei processi di ripristino
Non è sufficiente eseguire solo i backup dei dati; è altrettanto importante testare periodicamente i processi di ripristino. Questo assicura che i backup siano completi, che i dati possano essere recuperati correttamente e che i tempi di ripristino siano ragionevoli. I test di ripristino consentono di identificare eventuali problemi o lacune nel processo di backup e consentono di prendere le necessarie misure correttive.
- Monitoraggio dei backup
Il monitoraggio costante dei processi di backup è essenziale per assicurarsi che i dati vengano correttamente salvati e che non si verifichino errori durante il processo di backup. Gli enti locali dovrebbero implementare strumenti di monitoraggio per verificare la corretta esecuzione dei backup, identificare eventuali errori o avvisi e intraprendere azioni correttive immediate.
- Archiviazione sicura dei backup
I backup dei dati devono essere archiviati in modo sicuro per proteggerli da accessi non autorizzati. Gli enti locali dovrebbero adottare misure di sicurezza come la crittografia dei backup, l’accesso limitato alle copie dei dati e il monitoraggio degli accessi per garantire l’integrità dei backup.
- Documentazione e procedure di ripristino
È fondamentale mantenere una documentazione accurata dei processi di backup e ripristino, inclusi i dettagli delle procedure e le informazioni sui tempi di ripristino previsti. Questa documentazione è utile in caso di emergenze o di necessità di ripristinare i dati. Inoltre, è consigliabile designare personale responsabile del ripristino dei dati e assicurarsi che siano adeguatamente addestrati sulle procedure di ripristino.
>> L’ARCHIVIO INTEGRALE DELLA RUBRICA DELL’AVV. LUISA DI GIACOMO.
L’AUTORE
* Luisa Di Giacomo è avvocato da oltre quindici anni, dal 2012 è consulente privacy presso diverse aziende nel nord Italia e dal 2018 ricopre l’incarico di DPO presso diverse Pubbliche Amministrazioni (Comuni, Enti di ricerca, Enti socio assistenziali) e società private. Dal 2022 fa parte del pool di consulenti esperti in Data Protection Law istituito presso l’European Data Protection Board.
Formata nell’ambito del diritto civile e commerciale, negli ultimi dieci anni si è dedicata in via esclusiva al diritto di internet, delle nuove tecnologie, della protezione dei dati personali e della cybersecurity.
Ha svolto periodi di studio e di lavoro all’estero, è docente e formatore per Maggioli spa, responsabile della sezione cybersecurity del portale diritto.it, redattrice per la Gazzetta degli Enti Locali.
Parla inglese e francese a livello madrelingua, ed ha una discreta conoscenza dello spagnolo e del portoghese.
Ama scrivere narrativa e dedicarsi all’attività di formazione in aula e online, già autrice per La Gazzetta degli Enti Locali della rubrica I martedì della cybersecurity.
Le piace definirsi Cyberavvocato.
© RIPRODUZIONE RISERVATA
