6 Framework Nazionale per la Cybersecurity e la Data Protection 1 Executive Summary Il panorama nazionale di cybersecurity è profondamente mutato negli ultimi anni acquisendo una maggiore consapevolezza del rischio cyber e della necessità di adeguate misure di sicurezza. In particolare, la pubblicazione del “Quadro strategico nazionale per la sicurezza dello spazio cibernetico” [1] a cui è seguito il relativo piano operativo [2] (recentemente aggiornato) ha definito i rischi e le priorità nel campo; il piano, tra i vari interventi, suggeriva nell’indirizzo operativo 7 (punto 7.2) di “Elaborare e pubblicare documenti di riferimento quali manuali […] da utilizzare per lo scambio di informazioni”. In questo contesto, nel 2015 è stato presentato il Framework Nazionale per la Cybersecurity [3], frutto della collaborazione tra accademia, enti pubblici, e imprese private. Il Framework, ispirato al Cybersecurity Framework [5] ideato dal NIST (National Institute of Standards and Technology), fornisce uno strumento operativo per organizzare i processi di cybersecurity adatto alle organizzazioni pubbliche e private, di qualunque dimensione. Il panorama economico italiano è costituito, nella stragrande maggioranza, da piccole e medie imprese nelle quali personale specifico per affrontare in modo sistematico pratiche di cybersecurity non è presente per questioni strutturali e/o di fatturato. Per queste ragioni, il Framework Nazionale per la Cybersecurity è di difficile attuazione per queste imprese. Per rispondere a queste esigenze nel 2016 il CIS ha presentato il documento Controlli essenziali di Cybersecurity [4], che descrive 15 controlli essenziali di facile e, quasi sempre, economica implementazione e che rappresentano le pratiche di sicurezza che non possono essere ignorate. Il 25 maggio 2018, a due anni dalla sua entrata in vigore, è diventato operativo il Regolamento Generale sulla Protezione dei Dati (GDPR – nel seguito di questo documento anche indicato semplicemente come Regolamento) che disciplina il trattamento e la circolazione dei dati personali. Il Regolamento ha imposto un cambiamento di prospettiva rispetto alla protezione dei dati personali introducendo il principio dell’accountability. A più di sei mesi dalla piena applicazione del Regolamento l’implementazione dello stesso rappresenta un passo fondamentale per qualsiasi organizzazione che intenda trattare dati personali. Negli ultimi anni le minacce cyber sono ulteriormente evolute in qualità e quantità. Oggi un problema fondamentale è rappresentato dai data breach che sottraggono in modo fraudolento dati, anche sensibili, dalle banche dati di industrie, enti pubblici ed organizzazioni di ogni genere. I data breach rappresentano un danno spesso ingente per le organizzazioni e oggi, alla luce delle norme previste dal Regolamento, possono essere causa di consistenti multe. Questo documento propone un Framework Nazionale per la Cybersecurity e la Data Protection (in seguito indicato solamente come Framework) per supportare le organizzazioni che necessitano di strategie e processi volti alla protezione dei dati personali e alla sicurezza cyber. Rispetto alla versione presentata nel 2015 questo documento introduce contributi volti a cogliere gli aspetti fondamentali legati alla protezione dei dati secondo quanto previsto nel Regolamento. Si noti che il Framework è uno strumento di supporto alle organizzazioni e non può in alcun modo essere considerato uno strumento per il rispetto ai regolamenti vigenti. Ciononostante, la sua adozione può aiutare le organizzazioni nel definire un percorso volto alla cybersecurity e alla protezione dei dati coerente con i regolamenti stessi riducendo i costi necessari e aumentando l’efficacia delle misure realizzate. Inoltre, per le organizzazioni che già implementano misure coerenti con il Regolamento, il Framework può rappresentare un utile strumento per guidare le necessarie attività di continuo monitoraggio.