Cyber Security per Comuni: Proteggere i Dati dei Cittadini

Un Comune gestisce servizi che devono restare disponibili anche quando le risorse tecniche sono limitate: protocollazione, anagrafe, pagamenti, posta, portali, servizi al cittadino e collegamenti con piattaforme esterne. Un incidente informatico può fermare gli uffici, rendere indisponibili documenti e creare difficoltà concrete per cittadini, dipendenti e fornitori. Per questo la sicurezza non può ridursi al rinnovo occasionale di un antivirus.

Il punto di partenza pratico è capire cosa esiste, chi lo gestisce e cosa accadrebbe se non funzionasse. Non tutte le misure richiedono lo stesso investimento: una buona pianificazione concentra le prime azioni sui servizi più esposti, sugli account con privilegi elevati e sulla capacità di ripartire. Le scelte devono essere commisurate all'ente, coordinate con responsabili interni e fornitori, e riesaminate dopo cambiamenti rilevanti.

Questo percorso va contestualizzato alle esigenze dei Comuni e degli enti pubblici: non coincide con l'analisi di applicabilità NIS2 descritta nell'articolo dedicato alle infrastrutture IT in generale. Gli interventi tecnici possono riguardare firewall e protezione della rete nell'ambito del servizio cybersecurity, in base alle necessità concrete dell'ente.

Inventario: conoscere servizi, dati e responsabilità

Un inventario utile non è il semplice elenco dei computer acquistati. Deve includere sistemi, software, dispositivi di rete, servizi cloud, account amministrativi e relazioni con i fornitori. Per un ente può essere importante censire anche PC di sportello, stampanti multifunzione, Wi-Fi, telecamere, sistemi di controllo accessi, NAS, domini, caselle PEC, portali e integrazioni applicative.

Accanto a ogni elemento conviene annotare il proprietario del servizio, il referente tecnico, la posizione, la versione del software, la scadenza di supporto e il livello di criticità. Per le applicazioni, occorre sapere quali dati trattano e da quali identità o servizi dipendono. Questo lavoro aiuta a evitare una situazione comune: scoprire dopo un guasto che nessuno conosce credenziali, contratto di manutenzione o procedura di avvio di un sistema.

Stabilire le priorità

Il Comune non deve proteggere tutto nello stesso modo, ma deve sapere cosa viene prima. È utile definire per ciascun servizio un impatto su operatività, cittadini, dati e obblighi istituzionali, quindi indicare un tempo massimo di fermo accettabile. La valutazione serve anche a decidere quali sistemi aggiornare prima, quali log raccogliere e quali backup testare con maggiore frequenza.

Identità e MFA: chi accede deve essere riconoscibile

La compromissione di una casella email o di un account amministrativo può essere il primo passo per frodi, diffusione di malware o sottrazione di dati. L'autenticazione a più fattori è una misura concreta da applicare con priorità a posta elettronica, VPN, console cloud, account amministrativi e applicazioni che la supportano. Va accompagnata da procedure chiare per smarrimento del secondo fattore, cambio di personale e accesso in emergenza.

Ogni persona dovrebbe usare un account nominativo. Gli account condivisi rendono difficile attribuire le operazioni e revocare accessi quando cambia il personale. Gli amministratori devono usare credenziali separate da quelle della normale attività d'ufficio, con privilegi minimi e limitati nel tempo quando possibile. Una revisione periodica di utenti, gruppi, deleghe e caselle funzionali elimina molte autorizzazioni rimaste attive per inerzia.

Segmentazione e protezione della rete

Una rete unica per uffici, Wi-Fi ospiti, dispositivi di sicurezza e server espone l'intero ente agli effetti di un singolo dispositivo compromesso. La segmentazione separa le aree con VLAN e regole firewall: una rete ospiti non deve raggiungere i sistemi interni; telecamere e IoT devono comunicare solo con le destinazioni necessarie; i server vanno protetti da accessi non indispensabili provenienti dalle postazioni.

Prima di applicare regole restrittive serve osservare i flussi reali e concordare finestre di modifica. Bloccare indiscriminatamente può interrompere servizi legittimi, mentre lasciare tutto aperto annulla il beneficio. Il progetto dovrebbe includere uno schema aggiornato, indirizzamenti coerenti, configurazioni salvate e una procedura di ripristino per firewall e switch. Anche gli accessi remoti dei fornitori vanno autorizzati, tracciati e disabilitati quando non servono.

Patch, endpoint e log: manutenzione continua

L'aggiornamento di sistemi operativi, browser, applicativi, firewall e apparati di rete richiede una cadenza definita. Non basta attivare gli aggiornamenti automatici senza controllo: occorre ricevere avvisi, valutare le vulnerabilità rilevanti, testare gli interventi critici, distribuire le correzioni e registrare le eccezioni. I dispositivi non più supportati devono essere sostituiti o isolati con misure compensative e una scadenza concreta.

Le protezioni endpoint gestite centralmente aiutano a verificare stato, aggiornamenti e segnalazioni delle postazioni, ma non sostituiscono il patching né le procedure. Per poter indagare su un evento, è utile raccogliere in modo centralizzato i log di firewall, VPN, identità, posta, server e strumenti di sicurezza. Sincronizzazione dell'orario, conservazione adeguata, integrità e accesso ristretto rendono questi dati utilizzabili. Va inoltre stabilito chi controlla gli avvisi e quale canale attivare in caso di anomalia.

Backup progettati per un recupero reale

Il backup è una componente di continuità, non una copia da controllare solo dopo un incidente. Le copie devono essere pianificate in base ai servizi e ai dati, protette con credenziali separate e, secondo il rischio, affiancate da una copia isolata o immutabile. Salvare file su un disco sempre collegato alla rete non offre sufficiente protezione contro molti scenari di cifratura malevola.

Il test di ripristino è indispensabile: occorre verificare periodicamente file, database, configurazioni e, per i servizi principali, l'intera sequenza di riavvio. Il test deve misurare tempi, registrare problemi e aggiornare istruzioni e contatti. Un backup integro ma troppo lento da recuperare può non soddisfare le esigenze operative dell'ente.

Fornitori e risposta agli incidenti

Molti Comuni dipendono da software gestionali, assistenza sistemistica, connettività e servizi cloud. Il rapporto con il fornitore deve chiarire ruoli, amministratori autorizzati, canali di supporto urgente, tempi di presa in carico, aggiornamenti, backup, restituzione dei dati e modalità di notifica di eventi rilevanti. Gli accessi tecnici devono essere personali, protetti da MFA e sottoposti a revisione, non lasciati aperti in modo permanente per comodità.

Un piano di incident response essenziale può essere breve, purché praticabile. Deve indicare chi valuta l'evento, chi può isolare una postazione o disabilitare un account, come preservare evidenze, chi contattare tra direzione, tecnici e fornitori e come comunicare internamente. Le valutazioni su eventuali obblighi di notifica vanno svolte con le figure competenti, in base al caso concreto. Esercitare il piano su uno scenario realistico evidenzia numeri mancanti e decisioni non assegnate.

Errori frequenti

• Affidare tutti gli accessi a pochi account condivisi o mantenere utenti di personale non più in servizio.
• Tenere Wi-Fi ospiti, uffici e dispositivi IoT nella stessa rete.
• Rimandare patch di firewall, VPN e applicazioni esposte senza valutazione e piano di rientro.
• Dare ai fornitori accesso remoto permanente senza MFA, registro o revisione.
• Considerare completato il backup senza aver eseguito una prova di ripristino.
• Raccogliere log senza definirne controllo, conservazione e utilizzo.
• Limitare la formazione a una comunicazione generica inviata una volta l'anno.

Checklist operativa

• Censire asset, servizi, dati, contratti e responsabili tecnici.
• Classificare i servizi essenziali e definire priorità di recupero.
• Attivare MFA per posta, VPN, cloud e account amministrativi.
• Rimuovere account inutilizzati e separare le credenziali amministrative.
• Segmentare reti di ufficio, server, ospiti e dispositivi tecnici.
• Definire patching, inventario delle eccezioni e sostituzione dei sistemi obsoleti.
• Centralizzare i log più importanti e assegnare la gestione degli avvisi.
• Proteggere e testare backup, incluse configurazioni e database.
• Riesaminare accessi, responsabilità e canali di emergenza dei fornitori.
• Formare personale e amministratori con esempi legati a email, password, allegati e segnalazioni.
• Provare il piano di risposta agli incidenti almeno sugli scenari più plausibili.

Sicurezza come capacità operativa

Un ente più sicuro non è quello che accumula strumenti, ma quello che sa quali servizi difendere, chi deve agire e come recuperare dopo un problema. Inventario, MFA, segmentazione, backup verificati, log, patching, controllo dei fornitori, risposta agli incidenti e formazione costituiscono una base concreta e progressiva. Esperienze VPM documentate, come l'intervento su rete e cybersecurity per il Comune di Spezzano Albanese, mostrano come gli interventi possano riguardare l'infrastruttura concreta; una valutazione tecnica può poi aiutare a ordinare le priorità specifiche di ciascun ente.