Il futuro dei Comuni è in cloud: la sicurezza non è solo un adempimento normativo

Investita dal Piano Nazionale di Ripresa e Resilienza di un ruolo centrale per il rilancio della competitività del nostro Paese, la Pubblica Amministrazione locale ha intrapreso un percorso di digitalizzazione scandito da un ritmo incalzante e ambiziosi traguardi da raggiungere, allo scopo di modernizzarsi e migliorare i servizi per cittadini e imprese. Con la misura 1.2 del Piano, che prevede la migrazione verso ambienti cloud qualificati di quasi 16.500 Enti fra locali, sanitari e scolastici, il principio del cloud first per la PA introdotto dal Piano Triennale diventa obbiettivo e opportunità, sostenuto da investimenti pari a 1 miliardo di €.

In questo scenario, fin dalle prime righe del testo della misura 1.2, emerge chiaramente come la sicurezza sia uno degli aspetti più cruciali di questa trasformazione, aspetto che, in un momento storico in cui gli attacchi informatici alle istituzioni sono in continua crescita, non possiamo dare per scontato. Infatti, sebbene il cloud rappresenti un’alternativa più sicura rispetto a soluzioni On Premise, installate cioè in locale, questo non significa che sia esente da minacce e vulnerabilità.

Come evidenziato dal Rapporto Clusit 2023, nel 2022 si è registrato il più alto numero di sempre di attacchi informatici e la più elevata percentuale di crescita annua, trend accompagnati da un aumento anche della gravità degli stessi. 

Il Rapporto evidenzia come, in Italia, il settore governativo e quello della sanità siano tra i principali bersagli dei cyberattacchi, con una percentuale che supera il 24 % del totale. Sebbene ripensando al 2022 molti ricorderanno episodi come il colpo subìto dalla Rete di Ferrovie dello Stato, che ha causato disservizi e ritardi in tutto il Paese, è bene sottolineare come anche gli Enti locali siano entrati più volte nel mirino di queste operazioni malevole. 

La normativa diventa più puntuale, dettagliata e tecnica, tanto da impattare inevitabilmente e in modo significativo le infrastrutture e gli strumenti tecnologici già in uso presso gli Enti pubblici. Realizzata dal Dipartimento per la Trasformazione Digitale e dall'ACN, la strategia prevede, tra le altre cose, un nuovo percorso di qualificazione dei fornitori di Cloud pubblico e dei servizi SaaS, al via dal 1 agosto 2023, sulla base di criteri di verifica aggiornati per garantire che le caratteristiche e i livelli di servizio dichiarati siano in linea con i requisiti necessari di sicurezza, affidabilità e rispetto delle normative rilevanti. 

In qualità di partner tecnologico di quasi 850 Enti locali con il gestionale SaaS cloud nativo CiviliaNext, ci siamo chiesti, già prima della partenza del PNRR, come affrontare questo percorso e i suoi impatti sul nostro sistema. Attendere l’estate 2023 e le linee guida per la nuova qualificazione per poi adeguare più in fretta possibile il software, o riconoscere la validità del disegno tracciato dalla Strategia Cloud Italia e dall’ACN, lavorando fin da subito per rafforzare ulteriormente CiviliaNext e la nostra organizzazione? Abbiamo scelto la seconda strada, perché la sicurezza informatica non può essere ridotta soltanto a una mera questione di conformità alla legge, e al crescere delle minacce devono crescere anche le misure per contenerle. 

In Deda Next crediamo ancora fermamente nel filo conduttore che da oltre un decennio, a partire dall’Agenda Digitale del 2012, guida questa evoluzione alla base delle iniziative per la PA digitale. Un disegno dimostratosi, secondo noi, logico e coerente nei fatti, seppur con qualche discontinuità. È per questo che CiviliaNext è stato il primo gestionale SaaS ad ottenere la qualificazione AgID nel 2018, perché poggia le sue basi proprio su questi principi: nasce in cloud, non è stato semplicemente adattato alle nuove normative. Ed è per questo che oggi lavoriamo scrupolosamente affinché sia sicuro e continueremo a farlo in futuro. 

Un SaaS sicuro è innanzitutto protetto dagli attacchi informatici. Non esiste una misura in grado di garantire questa protezione, bensì essa è frutto di una strategia costruita con un approccio, strumenti, competenze, monitoraggio: CiviliaNext è basato esclusivamente su servizi di tipo Platform as a Service (PaaS) che offrono diverse garanzie, tra cui l’assenza di macchine fisicamente attaccabili e l’accesso, senza disservizi, alle ultime versioni dei software di sistema con i fix di sicurezza gestiti dal CSP (Cloud Service Provider). Vengono inoltre verificate regolarmente le vulnerabilità del sistema verso attacchi malevoli con i più avanzati test, da persone con competenze certificate. In corrispondenza di queste analisi, ma in generale sempre, qualsiasi intervento si renda necessario viene eseguito e rilasciato in tempo reale per tutte le utenze, senza impatti sull’operatività degli Enti. Un ruolo importante nel proteggere il sistema viene inoltre garantito dall’autenticazione multi-fattore e dalla possibilità di integrare sistemi terzi di autenticazione: è infatti frequente che le amministrazioni dispongano di propri sistemi di accesso. 

La protezione dai cyberattacchi è un aspetto di assoluta rilevanza, ma la sicurezza di un Software as a Service va anche oltre: significa, per citare alcuni tra gli aspetti più importanti, protezione dei dati e trattamento conforme al GDPR, continuità del servizio, anche in caso di incidenti o disastri, e pieno controllo sulle operazioni effettuate. 

I Comuni custodiscono un’enorme mole di dati, relativi al territorio, ai servizi, ai cittadini, e dunque spesso sensibili: un patrimonio fondamentale che sta alla base dell’attività amministrativa degli Enti stessi. Questo è uno degli aspetti più importanti da tutelare sotto molti punti di vista, dalla sicurezza del database e dello storage che li ospitano alla loro accessibilità e portabilità, fino alla privacy e alla protezione dalla loro perdita. Grazie alla sua architettura, in CiviliaNext le informazioni di ciascun Ente sono isolate e protette. I Comuni restano titolari dei dati, ai quali hanno sempre accesso attraverso apposite API di integrazione.

In aggiunta, la continuità operativa è garantita dalla disponibilità del servizio certificata del 99,95%, e dalla sua scalabilità: grazie al sistema di monitoraggio attivo delle risorse, la sua capacità può aumentare in base al carico richiesto in maniera pressoché immediata. Questo è uno dei principali vantaggi del cloud, perché non obbliga all’installazione di nuovo hardware di archiviazione presso l’Ente, ma prevede solo un aumento del canone. 

In questo articolo abbiamo sostenuto che la sicurezza informatica è anche intrinseca nel modo di lavorare di un’organizzazione: che cosa significa? In questo ci viene in aiuto la gestione della qualità, intesa, semplificando, come l’insieme di tutte le attività e misure adottate per far sì che in ogni processo aziendale vengano rispettati elevati standard: questi criteri sono disciplinati dalle norme ISO, ampiamente riconosciute a livello internazionale, come anche da AgID e ACN. 

In Deda Next ci impegniamo costantemente per il continuo rinnovo delle certificazioni che garantiscono l’elevato livello del nostro sistema di gestione per la qualità (ISO 9001), del nostro sistema di gestione per la sicurezza delle informazioni (ISO 27001) e la sua conformità agli standard 27017, 27018, che ne garantiscono l’aderenza a criteri specifici di protezione e rispetto della privacy per i dati nel cloud. Abbiamo inoltre un’organizzazione orientata all’erogazione di servizi IT, certificata ISO/IEC 20000-1: questo garantisce agli Enti che lavorano con noi la nostra capacità di fornire il nostro servizio in modo vantaggioso, assicurando la massima aderenza agli SLA concordati.