La digitalizzazione della Pubblica Amministrazione italiana, accelerata negli ultimi anni da investimenti pubblici significativi, ha portato con sé anche un’esposizione crescente ai rischi informatici. Comuni, aziende sanitarie locali, università e ministeri gestiscono oggi enormi quantità di dati sensibili dei cittadini, spesso su infrastrutture disomogenee, frutto di anni di stratificazione tecnologica in cui sistemi moderni convivono con applicativi legacy difficili da aggiornare o sostituire.
Questa eterogeneità rappresenta uno dei principali fattori di rischio. Non è raro che un ente pubblico si trovi a gestire contemporaneamente sistemi sviluppati in epoche diverse, con livelli di sicurezza disomogenei e una scarsa visibilità complessiva sulla propria superficie di attacco. A ciò si aggiunge una cronica carenza di personale specializzato in cybersicurezza all’interno della PA, un problema aggravato dalla difficoltà di competere, in termini salariali, con il settore privato per attrarre professionisti qualificati.
Gli enti pubblici italiani sono stati ripetutamente colpiti da attacchi di diversa natura: ransomware che hanno bloccato servizi anagrafici per giorni, attacchi DDoS dimostrativi rivendicati da collettivi hacktivisti con finalità politiche, e violazioni di dati che hanno esposto informazioni sensibili di migliaia di cittadini. Gli attacchi a sfondo politico, in particolare, sono aumentati sensibilmente negli ultimi anni, spesso legati a tensioni geopolitiche internazionali: il basso costo d’ingresso di un attacco DDoS dimostrativo, unito all’alta visibilità mediatica garantita da un bersaglio istituzionale, lo rende uno strumento particolarmente attrattivo per gruppi attivisti.
Per rispondere a queste sfide, l’Agenzia per la Cybersicurezza Nazionale ha definito linee guida specifiche per la PA, e molti enti rientrano oggi nel Perimetro di Sicurezza Nazionale Cibernetica, con obblighi rafforzati di segnalazione e protezione. Tuttavia, l’applicazione pratica di queste linee guida resta disomogenea sul territorio: le grandi amministrazioni centrali dispongono generalmente di risorse e competenze maggiori rispetto ai piccoli comuni, che faticano a implementare anche misure di base come l’autenticazione a più fattori o il monitoraggio continuo delle reti.
Un ruolo importante nella riduzione di questo divario è giocato da soggetti come PagoPA e dalle società in-house regionali per l’informatica, che offrono servizi condivisi di sicurezza a più enti, permettendo di raggiungere economie di scala altrimenti impossibili per le singole amministrazioni di piccole dimensioni. Anche la formazione del personale pubblico, spesso poco sensibilizzato ai rischi del phishing e delle truffe digitali, resta un terreno su cui investire con maggiore continuità.
Guardando al futuro, la sfida principale per la Pubblica Amministrazione italiana non è tanto l’acquisizione di nuove tecnologie di sicurezza, quanto la costruzione di processi strutturati e ripetibili: gestione del rischio, piani di continuità operativa testati periodicamente, e una cultura della sicurezza che non si limiti agli addetti ai lavori ma coinvolga ogni dipendente pubblico che, quotidianamente, gestisce dati e servizi essenziali per i cittadini.
