Sulla G.U. n. 96 del 26 aprile 2022 è stata pubblicata la Circolare n. 4336 del 21 aprile 2022 dell’Agenzia per la cybersicurezza nazionale, in riferimento all’attuazione dell’art. 29, comma 3, del Dl. n. 21 del 21 marzo 2022, riguardante la diversificazione dei prodotti e dei servizi tecnologici per la Sicurezza informatica.
Nella Circolare si fa riferimento alle misure volte al rafforzamento dei presìdi per la Sicurezza, la Difesa nazionale, le Reti di comunicazione elettronica e degli approvvigionamenti di materie prime.
A tal riguardo, l’art. 29, comma 1, del Dl. n. 21/2022, prevede che, al fine di prevenire problematiche di diversa natura alla Sicurezza delle reti, dei Sistemi informativi e dei Servizi informatici delle P.A., derivanti dal rischio che le Aziende produttrici dei prodotti e dei servizi tecnologici di sicurezza informatica, legate alla Federazione Russa, non siano più in grado di fornire servizi e aggiornamenti ai propri prodotti, in conseguenza della crisi in Ucraina, viene ordinato alle P.A. di procedere tempestivamente alla “diversificazione dei prodotti in uso”.
La Circolare è volta ad indicare le categorie di prodotti e servizi tecnologici di Sicurezza informatica per le quali le P.A. dovranno procedere alla diversificazione.
Tra le Categorie indicate nella Circolare dall’Agenzia per la diversificazione dei prodotti e dei servizi, si riportano quelli concernenti direttamente alla Sicurezza dei dispositivi “endpoint security”, ivi compresi gli applicativi antivirus ed antimalware, gli “endpoint detection and response”, e gli “web application firewall – W.a.f.”.
Ai fini dell’individuazione dei prodotti e servizi tecnologici di Sicurezza informatica di Aziende produttrici legate alla Federazione Russa, ciascuna Amministrazione dovrà procedere alla diversificazione dei prodotti e servizi tecnologici di sicurezza informatica, anche commercializzati tramite canale di rivendita indiretta e/o anche veicolati tramite Accordi-quadro o Contratti-quadro in modalità “on-premise” o “da remoto”, delle Società “Kaspersky Lab”, “Group-IB” e “Positive Technologies”.
Alle Amministrazioni destinatarie della Circolare vengono fornite inoltre raccomandazioni procedurali, nella conduzione delle operazioni di configurazione dei nuovi servizi e dei prodotti acquisiti, anche in relazione alla precisa conoscenza dei propri asset (Reti, Sistemi informativi e Servizi informatici) e degli impatti sulla continuità dei servizi e della protezione dei dati.
Viene raccomandato di adottare tutte le misure e le buone prassi di gestione di Servizi informatici e del Rischio cibernetico e, in particolare, di tenere conto di quanto definito dal Framework nazionale per la cybersecurity e per la “data protection”, edizione 2019, realizzato dal “Centro di ricerca di cyber intelligence and information security – Cis” dell’Università Sapienza di Roma e dal “Cybersecurity national lab” del Consorzio interuniversitario nazionale per l’Informatica, con il supporto dell’Autorità garante per la Protezione dei dati personali e del Dis.
Più nel dettaglio, si raccomanda di:
- censire dettagliatamente i servizi e prodotti, analizzando gli impatti degli aggiornamenti sull’operatività, quali i tempi di manutenzione necessari;
- identificare e valutare i nuovi servizi e prodotti, validandone la compatibilità con i propri asset, nonché la “complessità della gestione operativa delle strutture di supporto in essere”;
- definire, condividere e comunicare i piani di migrazione con tutti i soggetti interessati a titolo diretto o indiretto, quali organizzazioni interne alle Amministrazioni e ai soggetti terzi;
- validare le modalità di esecuzione del Piano di migrazione sugli asset di test significativi, assicurandosi di procedere con la migrazione dei servizi e prodotti sugli asset più critici soltanto dopo la validazione di alcune migrazioni e con l’ausilio dei piani di ripristino a breve termine, al fine di garantire la necessaria continuità operativa. Il Piano di migrazione dovrà garantire che in nessun momento venga interrotta la funzione di protezione garantita dagli strumenti oggetto della diversificazione;
- analizzare e validare le funzionalità e integrazioni dei nuovi servizi e prodotti, assicurando l’applicazione di regole e configurazioni di sicurezza proporzionate a scenari di rischio elevati (quali, ad esempio, autenticazione multi-fattore per tutti gli accessi privilegiati, attivazione dei soli servizi e funzioni strettamente necessari, adozione di Principi di “zero-trust”);
- assicurare adeguato monitoraggio e audit dei nuovi prodotti e servizi, prevendendo adeguato supporto per l’aggiornamento e la revisione delle configurazioni in linea.
Nella predisposizione, migrazione e gestione dei nuovi prodotti e servizi, si raccomanda l’adozione di Principi trasversali di indirizzo, quali a titolo esemplificativo quello della “gestione del rischio”, in termini di identificazione, valutazione e mitigazione dei rischi di diversa fattispecie che concorrono nell’attuazione della diversificazione dei servizi.
E’ infine raccomandato alle Amministrazioni di controllare costantemente i canali istituzionali di comunicazione dell’Agenzia per la cybersicurezza nazionale.
