Conferenza CSE

SEN – Strategia Energetica Nazionale

454

Documento di Consultazione (stralcio pag. 133/137)

La cybersecurity

  • L’architettura istituzionale italiana per la sicurezza informatica è contenuta nel Decreto del Presidente del Consiglio dei Ministri del 17 febbraio 2017 – Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionali – che sostituisce il precedente DPCM 24 gennaio 2013. Il DPCM definisce e regolamenta il funzionamento delle componenti istituzionali incaricate della protezione cibernetica nazionale. La strategia nazionale in materia di sicurezza cyber è definita nel “Quadro Strategico Nazionale per la Sicurezza dello Spazio Cibernetico”, approvato dalla Presidenza del Consiglio nel dicembre 2013, e prevede, fra l’altro, la piena operatività del CERT Nazionale61 (Computer Emergency Response Team) presso il Ministero dello Sviluppo Economico. Contestuale all’approvazione del Quadro Strategico vi è stata quella del “Piano Nazionale per la Protezione Cibernetica e Informatica”, che dà attuazione al Quadro Strategico e che è stato recentemente aggiornato – Gazzetta ufficiale n. 125 del 31 maggio 2017.

 

  • I gestori delle infrastrutture critiche – reti di trasporto, distribuzione, impianti di stoccaggio, produzione, ecc. partecipano già oggi, in maniera volontaria, ad una collaborazione pubblico/privata, formalizzata con protocolli dedicati con il Dipartimento delle informazioni per la sicurezza (DIS) presso la Presidenza del Consiglio dei Ministri, il CERT Nazionale presso il Ministero dello Sviluppo Economico e il CNAIPIC Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche presso il Ministero dell’Interno.

 

  • Nel contesto europeo, la Direttiva (UE) 2016/1148 recante misure per un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione (“Direttiva NI S”) si prefigge i seguenti principali obiettivi:

 

  • l’operatività di Gruppi di intervento per la Sicurezza Informatica in caso di incidente (Computer Incident Response Team -CSIRT) a livello nazionale con compiti di monitoraggio e gestione della risposta agli incidenti in stretta cooperazione tra loro;

 

  • la costituzione di un gruppo di lavoro per la cooperazione europea di livello strategico coordinato dalla Commissione Europea per il coordinamento degli indirizzi di policy tra gli Stati Membri in materia di sicurezza cyber;

 

  • l’applicazione di obblighi di cybersecurity in capo agli operatori di servizi essenziali (OES).

 

  • Nello specifico, la Direttiva NIS impone agli OES di adottare misure di sicurezza appropriate e di notificare alle autorità competenti nazionali gli incidenti gravi, inclusi il numero di utenti coinvolti, la durata dell’incidente nonché la sua diffusione geografica. Le misure di sicurezza riguardano la prevenzione del rischio, la maturità della sicurezza dei sistemi, delle reti e delle informazioni, l’abilità di gestire gli incidenti. Entro maggio 2018 ogni Stato Membro dovrà comunicare l’elenco dei propri OES.

Valutazione del rischio e misure di contrasto

  • L’obiettivo principale del quadro strategico nazionale per la sicurezza dello spazio cibernetico risiede nell’individuazione degli indirizzi operativi da mettere in campo per garantire a livello Paese un grado di protezione ritenuto adeguato per le Pubbliche Amministrazioni e il settore privato.. A seguito della pubblicazione del Quadro Strategico Nazionale e del Piano Nazionale, nel 2015 è stato pubblicato il Quadro Nazionale per la Cybersecurity, un elenco di misure volontarie derivate dal NIST Cybersecurity Framework62; le aziende sono invitate ad adottare tale framework al fine di raggiungere obiettivi di
    sicurezza e resilienza delle attività aziendali.

 

  • E’ opportuno sottolineare che l’approccio del framework è basato sull’analisi dei rischi e non rappresenta uno standard di sicurezza; esso permette di identificare standard esistenti e futuri in base all’esito dell’analisi del rischio. La definizione degli standard di sicurezza è responsabilità degli enti di standardizzazione e di normazione tecnica.

Assistenza tecnica e programmi di formazione cybersecurity nel settore energetico

  • Diverse istituzioni organizzano esercizi e simulazioni a livello nazionale ed internazionale per il settore
    energetico:
  • l’esercitazione nazionale annuale, coordinata dalla Presidenza del Consiglio dei Ministri e organizzata dal Ministero dello sviluppo Economico – Istituto Superiore delle Comunicazioni e delle Tecnologie dell’Informazione, presso il quale è attivo un Tavolo Tecnico dedicato. – l’esercitazione coinvolge istituzioni pubbliche e aziende nei settori dell’energia, delle comunicazioni, della finanza, dei trasporti e di altri servizi. L’obiettivo dell’esercitazione è di testare scenari ipotetici, procedure e scambi di informazione previsti dai regolamenti del settore della cybersecurity e della protezione delle informazioni di sicurezza nazionale;

 

  • le esercitazioni coordinate e organizzate da ENISA (European Union Network and Information Security Agency) – Le Esercitazioni, denominate Cyber Europe, sono pianificate ogni due anni. Vengono simulati incidenti cyber e processi di gestione di crisi di livello UE per il settore pubblico e privato per i Paesi UE ed EFTA. Le esercitazioni comprendono scenari ispirati da eventi realmente accaduti e sviluppati da esperti di cybersecurity europei;

 

  • l’esercitazione annuale annuale NATO Crisis Management Exercise – CMX – l’esercitazione è coordinata dalla Presidenza del Consiglio dei Ministri e vede la partecipazione del CERT Nazionale relativamente allo scenario cyber dell’esercizio.

Collaborazioni internazionali

  • Oltre alla dimensione UE, L’Italia è impegnata a sviluppare cooperazioni Internazionali a live
    multilaterale, nell’Agenzia Internazionale per l’Energia tramite l’Implementing Agreement ISGAN 63, e ne
    nuova iniziativa Mission Innovation, Challenge #1 Smart Grids.

 

  • Con specifico riferimento al G7, l’Italia ha continuato il lavoro, avviato nel 2014 a Roma nel G7 dedica
    alla sicurezza energetica, proseguendo il dibattito sulle minacce e sulle strategie cybersecurity nel setto
    elettrico e in altri settori energetici durante la riunione del G7 Energia nello scorso aprile a Roma.

Interventi che si intende perseguire

  • Indirizzare la cyber security dei sistemi elettro-energetici avanzati significa affrontare la sicurezza di architetture di controllo che interconnettono sistemi di operatori di rete con quelli degli utenti attivi industriali, commerciali, residenziali e domestici e, in prospettiva, di aggregatori della generazione distribuita.

 

  • Una prima linea d’azione riguarda la ricerca e lo sviluppo. Il principale programma pubblico di ricerca e sviluppo (R&S) italiano è svolto da RSE S.p.A. (Ricerca Sistema Energetico) e supporta il Quadro Nazionale Strategico con lo sviluppo di metodologie, strumenti, piattaforme, buone pratiche e documenti di guidance per la valutazione del rischio cyber delle infrastrutture energetiche.

 

  • L’attività di ricerca dovrà considerare gli scenari energetici futuri anche dal punto di vista della cyber security, valutare il comportamento integrato dei nuovi schemi di controllo, dei protocolli di comunicazione, al passo con gli standard emergenti, contribuendo allo sviluppo tecnologico necessario e alla elaborazione di linee guida di settore per l’applicazione degli standard ai sistemi di telecontrollo dell’energia.

 

  • Il piano della ricerca cyber nel settore elettrico, considerando anche l’evoluzione attesa del sistema con nuovi attori quali aggregatori e generazione distribuita, affronterà il tema dell’innovazione delle infrastrutture energetiche attraverso:

 

  • attività di modellistica e simulazioni per l’analisi delle minacce cyber nei sistemi di controllo;

 

  • attività sperimentale nel laboratorio di controllo della resilienza dei sistemi di controllo elettrici per la
    verifica delle misure di sicurezza preventive e reattive utilizzate nei sistemi di comunicazione del
    settore elettrico;

 

  • dimostrazione di scenari cyber per rafforzare la resilienza dei sistemi;

 

  • partecipazione attiva ai comitati di standardizzazione e gruppi di lavoro dei regolamenti UE in tema
    di cybersecurity.

 

Una seconda linea d’azione riguarda il coordinamento e la cooperazione, anche a livello internazionale.
A tal fine l’Italia sta promuovendo in ambito G7 la creazione di un ambiente per consentire alle agenzie e
agli operatori di sistema competenti di esplorare modalità efficaci per implementare la collaborazione e
monitorare i progressi compiuti. La collaborazione, svolta in cooperazione con università, istituti di ricerca
e il settore privato, consiste in un confronto fra le architetture nazionali in essere, esercitazioni congiunte,
sistemi di prevenzione e risposta, la ricerca e il controllo d

Lascia una risposta

L'indirizzo email non verrà pubblicato.