Si tratta di uno studio che traccia una fotografia della capacità di difesa cyber di queste amministrazioni e che rappresenta il punto di partenza ideale per capire come sviluppare azioni a livello nazionale e regionale per migliorare la capacità di difesa della pubblica amministrazione da attacchi informatici.

L’esperienza della Regione FVG è uno dei tre casi di studio che sono stati illustrati, accanto a quelli della Corte dei Conti e dell’Inps. La scelta del Fvg nasce anche dal fatto che è stata la prima regione italiana ad essersi dotata, nel 2005, del CERT - raFVG (computer emergency response team - Regione Autonoma FVG), punto di riferimento per le attività di sicurezza informatica in ambito regionale che opera in vari settori dell’IT Security, per garantire la protezione e la sicurezza delle informazioni. 

In sintesi, il documento dà conto di come vengono affrontate le problematiche relative alla sicurezza ICT in FVG, in ambito SIIR (Sistema Informativo Integrato Regionale), ne descrive gli elementi peculiari del modello basato sull’integrazione, il ruolo della Regione FVG e della società informatica in house, Insiel spa.

Come riportato nel case study, l’organizzazione ICT e le funzioni IT sono i punti di forza che contribuiscono alla virtuosità del sistema regionale con al centro il SIIR che comprende, oltre alla Regione stessa, la maggior parte delle PA del territorio (enti locali, enti del sistema socio sanitario, enti pubblici economici) e mette a fattor comune infrastrutture di comunicazione di rete, infrastrutture applicative e servizi IT a vantaggio di PA, cittadini e imprese che agiscono sul territorio. In questo contesto, grazie al sistema integrato tutti gli enti che rientrano in quest’ ambito godono di un meccanismo complessivo di sistemi di sicurezza (protezione antimalware, canale di navigazione Internet e posta elettronica protetti).

Il caso di studio evidenzia, inoltre, le linee di azione per lo sviluppo dell’ICT regionale nel quadriennio 2014-2018 come previsto nel piano strategico regionale 2014-2018, fra cui lo sviluppo di un Data Center a beneficio del territorio, il completamento del programma Ermes per la costruzione della Rete Pubblica Regionale tramite il collegamento con infrastrutture a banda larga di tutti i comuni della regione e le strutture sanitarie e il coordinamento dello sviluppo da parte di Insiel di un sistema di gestione informatizzata delle procedure di acquisizione di beni e servizi finalizzato alla realizzazione di una Centrale di Acquisto al servizio delle Pubbliche amministrazioni regionali.

Una parte della relazione è dedicata ai presidi di sicurezza a disposizione del SIIR che includono i controlli tecnologici (protezione della rete e dei sistemi), i presidi operativi e i servizi CERT - raFVG. Questi ultimi comprendono un insieme di servizi che forniscono informazioni su vulnerabilità di sicurezza, intrusione informatiche, virus o altre minacce, con indicazioni sui comportamenti da adottare per la gestione del potenziale problema; identificano le situazioni di eventuale violazione alla sicurezza informatica, le analizzano e pongono in essere le azioni necessarie volte ad eliminare le cause e a ripristinare le condizioni di regolare servizio.

Il rapporto offre, sul punto, alcuni dati mensili: 600mila eventi gestiti dal sistema IPS (dispositivo volto a bloccare i tentativi di anti intrusione informatica), 3milioni di blocchi effettuati dal sistema di navigazione web su circa 25mila utenti, 30mila malware (software creato per causare danni al pc, ai dati degli utenti del computer o ad un sistema informatico) bloccati su circa 20mila postazioni di lavoro, 30mila malware bloccati su oltre 26mila caselle di posta elettronica, 800mila mail di spam bloccate su oltre 26mila caselle di posta, 15milioni di connessioni rifiutate dal sistema antispam perché provenienti da spammers.

Ampio spazio viene dedicato alla gestione della continuità operativa dei servizi con particolare interesse al disaster recovery, agli aspetti relativi alla cultura organizzativa della sicurezza con attenzione alla formazione e all’incremento della cultura della sicurezza.