Sicurezza digitale PA: le 12 regole per non essere vulnerabili

Indice dei contenuti

Premessa: la minaccia crescente dei cyberattacchi nelle PA
Il vademecum nazionale: una risposta concreta alle nuove sfide
Le dodici regole chiave per lavorare in sicurezza digitale
L’importanza dell’autenticazione a più fattori e delle password robuste
Il ruolo della formazione continua: il portale Syllabus
La campagna di sensibilizzazione: comunicazione su larga scala
L’impatto sulla responsabilità individuale dei dipendenti pubblici
I rischi del “fattore umano” nelle strategie di cyber sicurezza
Il ruolo dell’Agenzia per la cybersicurezza nazionale
Il quadro normativo e la collaborazione interistituzionale
Oltre il vademecum: le prospettive future della sicurezza informatica nella PA
Sintesi e considerazioni finali

Premessa: la minaccia crescente dei cyberattacchi nelle PA

Negli ultimi anni, la sicurezza digitale pubblica amministrazione è divenuta un tema centrale nel dibattito politico e nell’agenda delle istituzioni italiane. Il 2024 ha segnato un vero e proprio punto di svolta: stando ai dati ufficiali, gli attacchi informatici rivolti alla Pubblica Amministrazione sono infatti raddoppiati rispetto all’anno precedente, raggiungendo quota 756 incidenti documentati. Un trend allarmante che vede le infrastrutture digitali della PA sempre più nel mirino dei criminali informatici, desiderosi di accedere a dati sensibili o di bloccare i servizi essenziali tramite ransomware e tecniche sempre più sofisticate.

Tale presa di coscienza arriva in un contesto in cui i sistemi di difesa si stanno affinando, ma dove resta spesso il cosiddetto “fattore umano” l’anello debole di un ecosistema fondato sempre di più sulla collaborazione virtuale e sull’interconnessione.

Il vademecum nazionale: una risposta concreta alle nuove sfide

Per rispondere con efficacia a questa situazione, il Governo e l’Agenzia per la Cybersicurezza Nazionale hanno lanciato, a partire da luglio 2025, un vademecum operativo contenente dodici regole fondamentali rivolte a tutti i dipendenti pubblici. L’obiettivo dichiarato è quello di innalzare il livello di sicurezza informatica nelle PA attraverso comportamenti uniformi, chiari e facilmente applicabili, riducendo così la possibilità che un errore umano possa tradursi in una breccia sfruttata dai cybercriminali.

L’iniziativa ha ricevuto subito ampio consenso sia da parte degli esperti del settore che da numerose amministrazioni locali e centrali, evidenziando come la formazione, l’informazione e il monitoraggio costante rappresentino ormai dimensioni imprescindibili per garantire la continuità operativa e la protezione dei dati pubblici.

Le dodici regole chiave per lavorare in sicurezza digitale

Il cuore del vademecum sicurezza informatica PA si fonda su dodici principi di buon senso, ma spesso trascurati, che possono fare la differenza nel limitare la superficie di attacco delle amministrazioni pubbliche:

Utilizzare sempre password robuste e uniche per ogni servizio.
Attivare l’autenticazione a più fattori (MFA) su tutti gli account per cui è prevista.
Aggiornare regolarmente i software, evitando l’uso di versioni obsolete o non autorizzate dall’amministrazione.
Prestare attenzione ai dispositivi mobili e alla loro sicurezza.
Diffidare di email e allegati sospetti, specialmente se provenienti da mittenti sconosciuti.
Non condividere credenziali, password o codici OTP nemmeno con colleghi.
Segnalare tempestivamente attività sospette al responsabile IT della struttura.
Utilizzare solo supporti digitali e chiavette USB autorizzate.
Minimizzare la condivisione di dati personali e sensibili sui relativi sistemi pubblici.
Non installare applicazioni non autorizzate sui dispositivi aziendali.
Effettuare backup periodici dei dati e verificare il funzionamento dei sistemi di salvataggio.
Informarsi e aggiornarsi costantemente circa le procedure di sicurezza previste dalla propria amministrazione.

Queste regole, apparentemente semplici, vengono declinate in maniera dettagliata nel vademecum nazionale con istruzioni pratiche e suggerimenti aggiornati che tengono conto delle peculiarità dello scenario di minaccia attuale.

L’importanza dell’autenticazione a più fattori e delle password robuste

Fra le direttive più rilevanti, particolare enfasi viene posta sull’autenticazione a più fattori PA e sull’uso di password robuste pubblica amministrazione. Questo perché gli attacchi di tipo brute-force, il phishing e il furto di credenziali restano alcune delle tecniche più sfruttate dai criminali informatici nel 2024.

L’autenticazione a più fattori aggiunge un ulteriore livello di protezione chiedendo, oltre a una password, almeno una seconda prova di identità che può essere un codice temporaneo, un’impronta digitale o una chiave di sicurezza fisica. In tal modo, anche se un malintenzionato dovesse scoprire la password di un dipendente, non sarebbe automaticamente in grado di accedere ai sistemi senza il secondo fattore.

Le password robuste sono invece caratterizzate da una lunghezza minima (almeno 12 caratteri), dall’uso combinato di lettere maiuscole, minuscole, numeri e simboli, evitando riferimenti ovvi come nomi personali, date di nascita o ricorrenze facilmente intuibili. Il vademecum suggerisce anche di servirsi, dove possibile, di password manager aziendali per la gestione sicura delle credenziali.

Il ruolo della formazione continua: il portale Syllabus

La semplice adozione di regole, tuttavia, rischierebbe di essere inefficace senza un costante investimento sulla formazione e sulla crescita della consapevolezza fra i lavoratori. È in questo quadro che si inserisce il progetto Syllabus, piattaforma digitale pensata per fornire contenuti formativi aggiornati su tutte le tematiche di sicurezza informatica.

Il portale, accessibile a tutti i dipendenti pubblici italiani, raccoglie corsi interattivi, videolezioni, test di autovalutazione e materiali scaricabili per approfondire sia i rischi generali sia le procedure specifiche adottate dalla propria amministrazione. Syllabus offre anche una sezione di news e aggiornamenti in tempo reale, nonché strumenti di monitoraggio della partecipazione e del livello di conoscenza acquisito dagli utenti.

Il Ministero ha dichiarato che la partecipazione a queste iniziative di formazione sicurezza informatica Syllabus costituirà, a regime, un requisito fondamentale per la valutazione periodica delle competenze digitali nel settore pubblico.

La campagna di sensibilizzazione: comunicazione su larga scala

Un altro pilastro delle iniziative volute dal Governo riguarda la campagna di sensibilizzazione cyber sicurezza che prenderà vita, nelle prossime settimane, su tutti i maggiori canali televisivi (in particolare sulla Rai) e sulle principali piattaforme social.

L’obiettivo è raggiungere non solo i dipendenti della PA, ma anche i cittadini utenti affinché riconoscano i principali rischi connessi all’accesso ai servizi digitali e contribuiscano in modo attivo al mantenimento della sicurezza collettiva. La comunicazione sarà veicolata tramite spot, video informativi, tutorial e infografiche, presentando in modo chiaro e accessibile concetti spesso percepiti come troppo tecnici o distanti dal vissuto quotidiano.

L’impatto sulla responsabilità individuale dei dipendenti pubblici

Il nuovo vademecum sicurezza informatica PA segna una svolta culturale, sottolineando come la sicurezza informatica non sia solo una questione tecnologica, ma una responsabilità condivisa da tutto il personale. La centralità dei comportamenti individuali viene ribadita nelle linee guida e nel discorso istituzionale che accompagna il lancio delle regole: ciascun lavoratore pubblico, indipendentemente dal suo ruolo, è chiamato a diventare la “prima linea di difesa” contro i cyberattacchi.

La trasgressione di tali regole, se reiterata o particolarmente grave, potrà condurre anche a sanzioni disciplinari, in ragione dell’estrema rilevanza che la protezione dei dati pubblici riveste nell’era digitale.

I rischi del “fattore umano” nelle strategie di cyber sicurezza

Un’analisi approfondita degli attacchi segnalati nel 2024 mette in luce come, nella grande maggioranza dei casi, la vulnerabilità iniziale sfruttata dai cybercriminali derivi da errori umani: clic incauti su link malevoli, utilizzo di dispositivi non protetti, scarsa attenzione nella gestione delle password, sottovalutazione di avvisi o richieste sospette.

Questa realtà impone una riflessione profonda circa la necessità di sviluppare una vera e propria “cultura della sicurezza digitale pubblica amministrazione”, che non si limiti alle pur necessarie tecnologie di protezione, ma formi cittadini consapevoli e responsabili nel loro agire quotidiano. Le regole sicurezza digitale governo mirano proprio ad arginare tali rischi, responsabilizzando ciascun individuo e promuovendo la prontezza nella segnalazione di potenziali minacce.

Il ruolo dell’Agenzia per la cybersicurezza nazionale

Al centro di questa strategia rinnovata si pone l’Agenzia per la cybersicurezza nazionale vademecum, istituzione che dall’inizio del 2024 ha potenziato i propri strumenti di monitoraggio, risposta rapida e supporto alle amministrazioni.

L’Agenzia gestisce anche una rete di referenti locali incaricati di diffondere le buone pratiche, offrire consulenza personalizzata e assicurare una corretta applicazione delle modalità operative previste dal vademecum. Questo approccio mira a creare una “catena di fiducia” che coinvolga non solo la leadership amministrativa, ma tutti i livelli gerarchici, in modo da garantire che la sicurezza non resti un principio astratto, ma si traduca in misure concrete e quotidiane.

Il quadro normativo e la collaborazione interistituzionale

Le nuove linee di indirizzo si inseriscono in un corpus normativo in costante evoluzione, segnato dalle direttive europee (come il NIS2), dalla normativa nazionale sulla protezione dei dati personali e da una crescente integrazione fra apparati pubblici e privati. La collaborazione con enti internazionali, università e organismi di ricerca è considerata essenziale per fronteggiare minacce in continua evoluzione.

A rafforzare l’efficacia degli interventi concorrono inoltre attività sinergiche condotte insieme alla Polizia Postale, alla Protezione Civile e ai centri di risposta agli incidenti (CERT), che in caso di attacco forniscono assistenza tempestiva alle amministrazioni colpite.

Oltre il vademecum: le prospettive future della sicurezza informatica nella PA

La pubblicazione del vademecum rappresenta soltanto il primo passo di un percorso ampio e articolato. Nei prossimi mesi sono già annunciati ulteriori sviluppi: dalla creazione di piattaforme di threat intelligence in tempo reale, alla promozione di esercitazioni pratiche tra enti locali e centrali, fino all’aggiornamento periodico delle regole e dei contenuti formativi per stare al passo con l’evoluzione delle tecniche di attacco.

Si prevede inoltre una speciale attenzione alla sicurezza negli appalti pubblici e nei rapporti con i fornitori, aree spesso colpite da attacchi indiretti mirati a colpire la PA attraverso servizi terzi.

Sintesi e considerazioni finali

Il 2024 ha messo in evidenza tutte le vulnerabilità di una Pubblica Amministrazione sempre più digitale, imponendo una rapida transizione verso una cultura della responsabilità, della consapevolezza e della prevenzione. Il vademecum nazionale offre un quadro operativo chiaro e facilmente adottabile, promuovendo comportamenti sicurezza informatica dipendenti, formazione continua, monitoraggio e campagne di sensibilizzazione di ampia portata.

Rendere ogni dipendente consapevole, partecipe e pronto ad affrontare le sfide della cyber sicurezza sarà la chiave di volta per garantire servizi digitali affidabili e sicuri, proteggendo dati e infrastrutture vitali per il Paese. Complementare all’azione tecnologica, la centralità della persona resta dunque il vero baluardo contro i rischi del nostro tempo, in un orizzonte che non può più fare a meno della difesa digitale come valore prioritario per lo Stato e i cittadini.