Cybersecurity per la Pubblica Amministrazione: VA e Penetration Test

Anagrafe, tributi e protocollo custodiscono dati
che i cittadini non hanno scelto di conferire.
Proteggerli è un dovere dell’ente, prima che un adempimento.

La cybersecurity nella pubblica amministrazione presenta una condizione che il settore privato non conosce: quando i sistemi si fermano, i cittadini non hanno alternative. Un’anagrafe bloccata, un protocollo inaccessibile, un portale dei tributi fuori servizio non sono disagi commerciali, sono servizi essenziali sospesi. Gli attacchi che hanno colpito la Regione Lazio e la Regione Sardegna hanno mostrato quanto rapidamente il blocco tecnico diventi settimane di attività amministrativa interrotta, e come le conseguenze proseguano ben oltre il ripristino dei sistemi.

A rendere il quadro più critico ci sono due fragilità strutturali degli enti pubblici:

• la convivenza tra applicativi recenti e sistemi legacy mantenuti in esercizio oltre il proprio ciclo di vita, che non si possono aggiornare senza interrompere il servizio
• la frammentazione dei fornitori, con portali, integrazioni e applicativi verticali sviluppati da soggetti diversi nel tempo.

Il risultato è una superficie esposta che quasi mai qualcuno ha mappato per intero. Per un’amministrazione la sicurezza informatica non è un adempimento formale: è la condizione della continuità del servizio pubblico e della tutela dei dati dei residenti.

La sicurezza informatica di un’amministrazione non si verifica con un singolo intervento, ma con un percorso in due fasi che conduciamo in sequenza. Si parte dal Vulnerability Assessment: una scansione sistematica e approfondita dell’intera infrastruttura — server, postazioni, applicativi verticali, dispositivi di rete — che individua le vulnerabilità note e restituisce una fotografia completa di dove l’ente è esposto, con le criticità ordinate per livello di gravità.

Il passo successivo è il Penetration Test, dove i nostri analisti non si limitano a segnalare le falle, ma provano a sfruttarle in un ambiente controllato e autorizzato, come farebbe un attaccante reale. È qui che emerge la differenza tra una vulnerabilità teorica e un rischio concreto: quali falle portano davvero alle banche dati anagrafiche e tributarie, quali permettono di raggiungere un sistema legacy partendo dalle postazioni degli uffici.

Il Vulnerability Assessment dice dove siete esposti; il Penetration Test dimostra quanto quell’esposizione è grave davvero.

Ogni amministrazione ha un’infrastruttura diversa: il perimetro dell’analisi va definito sul caso concreto.
Descriveteci la vostra situazione e vi proponiamo l’intervento più adatto, dal vulnerability assessment al penetration test.

Aree riservate, moduli di istanza e integrazioni con le piattaforme nazionali di identità e pagamento sono la parte dell’ente raggiungibile da qualsiasi punto di internet. Analizziamo le applicazioni esposte per individuare le vulnerabilità sfruttabili dall’esterno, con verifiche dedicate tramite web application penetration test.

Anagrafe, tributi, protocollo e fascicoli custodiscono dati personali che i cittadini non hanno scelto di conferire e non possono ritirare. Verifichiamo controlli di accesso, separazione dei privilegi e sicurezza degli applicativi gestionali, per accertare in quali condizioni un accesso ottenuto su un sistema secondario consente di arrivare agli archivi.

Gli applicativi non più aggiornabili spesso non si possono sostituire, ma si possono isolare. Verifichiamo se la separazione tra rete amministrativa, sistemi legacy e postazioni degli uffici esiste davvero e testiamo i percorsi di movimento laterale che un attaccante potrebbe seguire, insieme allo stato della gestione degli aggiornamenti.

Per un ente pubblico la sicurezza informatica è anche un obbligo normativo. La direttiva NIS2, recepita in Italia con il decreto legislativo 138 del 2024, include espressamente le pubbliche amministrazioni tra i soggetti destinatari, e chi ha ricevuto dall’Agenzia per la Cybersicurezza Nazionale la comunicazione di inserimento nell’elenco dei soggetti NIS deve adottare le misure di sicurezza indicate entro diciotto mesi da quella notifica.

L’obbligo non chiede di dichiarare l’adozione delle misure, chiede di dimostrarne l’implementazione: tra i documenti che le linee guida ACN richiedono di approvare formalmente agli organi di vertice figura il piano di gestione delle vulnerabilità, che presuppone di sapere quali vulnerabilità sono presenti sui sistemi dell’ente e con quali priorità vanno trattate. È l’informazione che un vulnerability assessment produce e che nessun documento può contenere senza una verifica tecnica alle spalle.

Per gli enti già rientranti nel perimetro di sicurezza nazionale cibernetica il quadro si somma a requisiti più stringenti. A questo si aggiunge il GDPR, che sul trattamento di dati personali su larga scala impone misure tecniche adeguate e verificabili, e per le aziende sanitarie pubbliche gli obblighi specifici della cybersecurity in sanità.

Gli strumenti automatici trovano ciò che è già noto: porte aperte, versioni obsolete, vulnerabilità già catalogate.

È un punto di partenza, non un risultato. Il valore reale di un penetration test sta nell’esperienza degli analisti, che ragionano come un attaccante: concatenano debolezze apparentemente minori fino a costruire uno scenario di compromissione concreto, individuano errori di configurazione e logiche applicative che nessuno scanner segnala, e distinguono il falso allarme dal rischio reale.

In un ambiente stratificato come quello di un ente pubblico — fatto di applicativi verticali personalizzati da fornitori diversi, sistemi legacy e integrazioni accumulate nel tempo — è questa capacità di analisi a fare la differenza tra un elenco di avvisi e una valutazione che vi dice davvero quanto siete esposti.