ACN: buone pratiche di cybersecurity per i dipendenti delle P.A.

La trasformazione digitale della Pubblica Amministrazione porta grandi opportunità, ma anche rischi significativi. Gli attacchi informatici sono ormai all’ordine del giorno: phishing, ransomware, furti di credenziali e persino un uso improprio dell’intelligenza artificiale possono compromettere servizi essenziali e mettere a rischio dati sensibili di milioni di cittadini. Non servono tecniche sofisticate: spesso basta un clic sbagliato su un’email sospetta per aprire la porta agli hacker. Secondo i dati diffusi dall’Agenzia per la Cybersicurezza Nazionale (ACN), oltre il 20% degli attacchi registrati in Italia ha colpito proprio le Pubbliche Amministrazioni, causando blocchi a ospedali, università, comuni e sistemi di pagamento.
Per questo ACN e Dipartimento della Funzione Pubblica hanno predisposto un vademecum con 12 regole pratiche, pensato per i dipendenti pubblici, con l’obiettivo di trasformare ciascun utente da possibile vulnerabilità a prima linea di difesa. Il vademecum è scaricabile dal box qui sotto. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon. Per approfondire questi temi abbiamo organizzato il corso di formazione Master in Cybersecurity e compliance integrata

1. Il fattore umano: la prima barriera di protezione

Le statistiche parlano chiaro: più della metà degli incidenti di sicurezza nasce da errori umani. È il cosiddetto “anello debole” tra tastiera e sedia, ovvero l’utente. Tuttavia, lo stesso utente può diventare il più importante punto di difesa se adotta comportamenti corretti e consapevoli. L’esperienza degli ultimi anni lo conferma: molte violazioni nei sistemi della PA hanno avuto origine da email fasulle, allegati aperti distrattamente o dispositivi smarriti. La consapevolezza, dunque, è cruciale.
La protezione della PA non dipende solo da sistemi tecnologici avanzati o da regole di governance ben strutturate: richiede comportamenti quotidiani, semplici ma costanti. Ogni dipendente pubblico, a prescindere dal ruolo, deve sapere che un piccolo gesto di prudenza può evitare danni enormi non solo all’Amministrazione, ma anche ai cittadini che usufruiscono dei servizi. Per approfondire il tema, abbiamo pubblicato il volume Investigazioni e prove digitali – Blockchain e Crypto Asset, disponibile su Shop Maggioli e su Amazon

2. Le 12 buone pratiche di cybersecurity: come applicarle ogni giorno

1. Attivare l’autenticazione a più fattori (MFA)
La password da sola non basta più: l’uso di un secondo fattore (OTP via SMS o app) riduce drasticamente i rischi di accessi non autorizzati.
2. Usare password robuste e diverse per lavoro e vita privata
Le password devono essere uniche, non banali e mai condivise. Evitare date di nascita o nomi comuni: un gestore di password può aiutare a gestire credenziali complesse.
3. Bloccare sempre il dispositivo quando ci si allontana
Un PC sbloccato è come una porta aperta. Bastano pochi minuti di distrazione perché chiunque possa accedere a dati e sistemi.
4. Aggiornare sempre i sistemi senza rimandare
Gli aggiornamenti correggono falle note. Un computer non aggiornato equivale a lasciare una finestra socchiusa a disposizione degli attaccanti.
5. Installare solo software autorizzato dalla PA
Scaricare programmi da fonti non ufficiali è rischioso. Anche applicazioni apparentemente innocue possono nascondere malware.
6. Usare solo supporti e dispositivi autorizzati
Chiavette USB o hard disk personali possono introdurre virus e compromettere l’intera rete. È fondamentale attenersi alle dotazioni ufficiali.
7. Diffidare di email urgenti o con link sospetti
Il phishing è ancora l’arma preferita degli hacker. Mai cliccare su link o aprire allegati senza verificare il mittente. In caso di dubbio, meglio chiedere conferma al team IT.
8. Segnalare subito lo smarrimento di un dispositivo
La tempestività fa la differenza. Avvisare immediatamente il team di sicurezza in caso di perdita di laptop, smartphone o supporti di memoria è un atto di responsabilità.
9. Evitare connessioni Wi-Fi pubbliche non protette
Le reti aperte (hotel, bar, stazioni) sono facilmente intercettabili. Se necessario, usare sempre una VPN.
10. Segnalare ogni anomalia, anche piccola
Un rallentamento inspiegabile o un file sospetto possono essere i primi segnali di un attacco. Non ignorarli: meglio una segnalazione in più che una violazione grave.
11. Usare la mail istituzionale solo per attività di lavoro
Non iscriversi a servizi esterni o newsletter private con la mail della PA: espone l’Amministrazione a rischi di spam e attacchi mirati.
12. Non inserire mai dati sensibili in chat di intelligenza artificiale
Gli strumenti di IA generativa non garantiscono riservatezza, a meno che non siano forniti e gestiti direttamente dalla PA. Mai condividere documenti riservati o informazioni critiche.

3. Perché la sicurezza digitale è un dovere civico

La cybersecurity non è un aspetto tecnico riservato agli addetti ai lavori: riguarda tutti. Ogni dipendente pubblico custodisce una parte di fiducia che i cittadini ripongono nello Stato. Un servizio bloccato, un database compromesso o dati sanitari pubblicati online non sono solo incidenti informatici: hanno conseguenze concrete su migliaia di persone.
Seguire le buone pratiche del vademecum significa proteggere la continuità dei servizi pubblici, evitare danni economici e reputazionali e rafforzare il rapporto di fiducia tra istituzioni e cittadini. Inoltre, il mancato rispetto delle regole di sicurezza può comportare anche responsabilità disciplinari e sanzioni amministrative.

4. Conclusione: la sicurezza parte da ciascuno di noi

Le guerre moderne non si combattono solo con le armi tradizionali: i conflitti cibernetici colpiscono ovunque, senza confini. Le Pubbliche Amministrazioni italiane sono un bersaglio privilegiato e devono rispondere con una cultura diffusa della sicurezza digitale.
Il vademecum ACN–Funzione Pubblica è uno strumento concreto e semplice, pensato per la quotidianità dei dipendenti pubblici. Non servono conoscenze tecniche avanzate, ma attenzione, responsabilità e consapevolezza. La prima linea di difesa contro gli attacchi informatici non è un firewall o un antivirus, ma il comportamento di chi, ogni giorno, accede ai sistemi della PA.

Formazione per professionisti

Master in Cybersecurity e compliance integrata
Il Master è un percorso formativo avanzato per imprese e pubbliche amministrazioni, professionisti, DPO e consulenti legali che operano nel settore della sicurezza informatica e della governance normativa delle tecnologie digitali.
L’obiettivo del programma è fornire una visione sistematica e integrata della normativa europea e italiana in materia di cybersicurezza, affrontando in chiave applicativa gli step degli adempimenti richiesti, e la complessa interazione delle normative di riferimento, dalla Direttiva NIS 2 al GDPR, alla regolamentazione dei sistemi di intelligenza artificiale, passando per i regolamenti complementari e gli atti attuativi nazionali.
Attraverso un approccio teorico-pratico, il Master esplora: 
•  L’evoluzione della strategia europea di cybersicurezza
•  L’impianto della Direttiva NIS 2 e il D.lgs. 138/2024, con approfondimento su soggetti obbligati, misure tecniche e regimi sanzionatori
•  Il perimetro nazionale di sicurezza cibernetica e la Legge n. 90/2024 come strumenti di difesa strategica dello Stato
•  Le interazioni con normative chiave come il GDPR, il Cybersecurity Act, il Digital Operational Resilience Act (DORA) e il Cyber Resilience Act (CRA)
•  Il nuovo AI Act, che disciplina lo sviluppo, l’uso e il controllo dei sistemi di intelligenza artificiale in Europa
•  Ruoli e poteri dell’ACN: atti attuativi e misure tecniche
•  Le responsabilità aziendali e degli amministratori, la governance interna della cybersicurezza e le strategie di compliance integrata
Il percorso è arricchito da esempi pratici, simulazioni di audit, check list operative e riferimenti normativi aggiornati, utili per implementare con efficacia le disposizioni di legge nei diversi contesti organizzativi.
>>>Per info ed iscrizioni<<<

Ti interessano questi contenuti?

Salva questa pagina nella tua Area riservata di Diritto.it e riceverai le notifiche per tutte le pubblicazioni in materia. Inoltre, con le nostre Newsletter riceverai settimanalmente tutte le novità normative e giurisprudenziali!
Iscriviti!