- Manca una copia di sicurezza delle informazioni criptate dagli hacker. Ed è questo «l’elemento più grave» dell’attacco subito dai server del Centro elaborazioni dati della regione Lazio, come ha ammesso lo stesso assessore alla Sanità Alessio D’Amato.
- La prima domanda da porsi è: chi si occupa della cybersicurezza delle informazioni dei cittadini laziali? Dalla regione dicono che da tre anni il supervisor della cybersicurezza è il gruppo Leonardo.
- Non ci sarebbe stato bisogno quindi di contatti con altre aziende che si occupano di sicurezza informatica e che offrono servizi per la protezione dei dati, dicono dalla regione. Così però non è stato.
Manca una copia di sicurezza delle informazioni criptate dagli hacker. Ed è questo «l’elemento più grave» dell’attacco subito dai server del Centro elaborazioni dati della regione Lazio, come ha ammesso lo stesso assessore alla Sanità Alessio D’Amato. L’assenza di un backup non pone molte alternative: per decrittare i dati, il bottino dei pirati informatici, la regione sembra non avere altre strade che negoziare con i ricattatori. Il presidente della regione, Nicola Zingaretti, ha detto da subito che nessuno sarebbe sceso a patti con i criminali, ma serve una “chiave” di decrittazione, e solo loro ne sono in possesso. Altrimenti i dati di centinaia di migliaia di cittadini, tra cui ci sono anche quelli dei vertici dello stato, potrebbero essere persi per sempre.
Ora ci si chiede però come sia stato possibile che i server che custodivano il backup delle informazioni non fossero messi al sicuro. Le linee guida dell’Agid, l’organo tecnico della presidenza del Consiglio che si occupa di digitalizzazione del paese, datate 2013, prevedono la presenza di un data center che permetta di recuperare le informazioni e ripristinare le funzionalità dei siti nel minor tempo possibile.
L’accordo con Leonardo
Laziocrea è la società della regione che si occupa della gestione dei servizi informatici, e che deve preoccuparsi di mantenere al sicuro queste informazioni. Laziocrea si appoggia a un’azienda esterna per la gestione dei server, Engineering Spa, che per prima è stata “bucata” dagli hacker. Un attacco a terzi che ha provocato il tilt del sistema della regione. Dunque la prima domanda da porsi è: chi si occupa della cybersicurezza delle informazioni dei cittadini laziali? Dalla regione dicono che da tre anni il supervisor della cybersicurezza è il gruppo Leonardo. «Nel 2018 la regione Lazio ha aderito ad una convenzione, rinnovata negli anni, di Consip con una Ati (associazione temporanea di impresa, ndr) con capofila il gruppo Leonardo. La convenzione ha come oggetto esclusivamente servizi di governance nell’ambito della progettazione di un Security Operation Center per definire processi e procedure e offrendo supporto anche nell’ambito di ciò che attiene alla normativa sulla protezione dei dati personali», scrive la regione in una nota. I servizi offerti da Leonardo sono stati subito attivati, tra l’altro, subito dopo l’attacco informatico della notte del 31 luglio. Non ci sarebbe stato bisogno quindi di contatti con altre aziende che si occupano di sicurezza informatica e che offrono servizi per la protezione dei dati, dicono dalla regione. Così però non è stato.
Le proposte a Laziocrea
Laziocrea, infatti, negli ultimi mesi ha avuto più di un colloquio con diverse aziende che si occupano di cybersecurity, nonostante l’accordo con il Gruppo Leonardo, tramite Consip, in essere dal 2018. Durante questi incontri sono stati offerti dei sistemi per la protezione dei server e per la messa in sicurezza dei backup. Non si può stabilire con certezza se questi avrebbero retto l’urto dell’attacco informatico subito dall’ente guidato da Zingaretti nell’ultimo fine settimana di luglio. Certo è che alcune delle società che si sono proposte sono tra le leader nel settore e che offrono i loro servizi ad alcune tra le principali società, attive anche nel settore della sanità e della farmaceutica, a livello nazionale.
Ad ascoltare le proposte di queste società di cybersecurity è stato Vittorio Gallinella, direttore dei sistemi infrastrutturali di Laziocrea, che lunedì scorso era seduto accanto al presidente Zingaretti e all’assessore D’Amato nel corso della conferenza stampa successiva all’attacco. Il costo dei servizi offerti – alcuni dei quali comprendevano anche il tracciamento degli allegati inviati dai dipendenti della regione, oltre che la messa in sicurezza dei backup – era inferiore al mezzo milione di euro all’anno. Molti dei servizi offerti, come la protezione delle copie dei dati, però, avrebbero già dovuto essere fornite dalle aziende a cui la regione si affida. E non è chiaro perché questo sistema non abbia funzionato.
Questi incontri sono avvenuti anche dopo il 2018, anno in cui la regione si è affidata al Gruppo Leonardo per la cybersecurity. «I dirigenti di Laziocrea incontrano decine di persone e ascoltano decine di proposte all’anno: è il loro lavoro, sentono cosa hanno da offrire. È una pratica normale», è la versione dalla regione.
3,5 milioni per gli eventi
Mille e cinquecento dipendenti, un bilancio di quasi 90 milioni di euro: Laziocrea non è una piccola società. Oltre a occuparsi della gestione dell’infrastruttura digitale della regione, che ne è la proprietaria, si dedica anche ad «attività di promozione culturale, sociale e ambientale e di valorizzazione del patrimonio regionale». Per questo, Laziocrea ha a disposizione un budget di qualche milione di euro, che proprio ieri – a distanza di nemmeno cinque giorni dall’attacco – è stato ampliato da un emendamento della regione di altri 3,5 milioni di euro. Proposta votata da 22 consiglieri regionali su 24, a eccezione dei due di Fratelli d’Italia.u «Non era il caso di investire questi soldi per rafforzare i sistemi di sicurezza?», denunciano le opposizioni in consiglio regionale. Una questione che rimane, così come quella relativa alla sicurezza del backup.
© Riproduzione riservata
