Regione Lombardia – La cultura della sicurezza richiede policy rigorose

La realtà incaricata di migliorare il rapporto tra Regione Lombardia e cittadini, attraverso l’uso delle tecnologie informatiche è Lombardia Informatica, società di servizi a capitale pubblico, costituita nel dicembre 1981. In qualità di partner di fiducia, l’azienda partecipa a tutte le iniziative della Regione relative alla realizzazione di servizi telematici per l’accesso di privati e imprese ai servizi della Pubblica amministrazione, offrendo applicazioni e tecnologie all’avanguardia per il mercato della Pa locale e della sanità.

«Lombardia Informatica – esordisce Marcello Barone, presidente della società – detiene le informazioni di tutti i cittadini lombardi, in particolare quelle di carattere sanitario. Quotidianamente, l’azienda investe, quindi, tantissime risorse legate alla sicurezza, e non solo dal punto di vista economico, ma anche in termini di personale. Le tipologie di dati che gestiamo ci fa porre un’attenzione elevatissima sul modo in cui questi vengono gestiti e su come vengono resi disponibili gli accessi fisici e virtuali. Naturalmente, raggiungere il 100% della sicurezza è impossibile, ma cerchiamo di sperimentare, costruire e implementare soluzioni sempre più all’avanguardia». Lo scorso anno, per esempio, Lombardia Informatica è stata certificata secondo il modello Iso 27001, l’ex bs 7799, in merito alla gestione della sicurezza delle informazioni. «Penso che la nostra sia una delle poche società italiane ad aver ottenuto questo riconoscimento – prosegue -, dimostrando di avere adottato modelli tecnologici e organizzativi a prescindere dalle apparecchiature di security implementate che, comunque, assorbono circa il 20% del budget It».

Per difendersi con efficacia, secondo il presidente di Lombardia Informatica, è fondamentale creare in azienda la cultura della sicurezza, attraverso un costante aggiornamento e l’applicazione di policy rigorose. Senza dubbio, un supporto è dato anche dalle certificazioni, che però rappresentano solo uno stadio intermedio all’interno di un percorso che si sviluppa su periodi medio/lunghi.

«Nel nostro caso – continua Barone -, il danno peggiore causato da eventuali buchi nella sicurezza sarebbe all’immagine, dal momento che non saremmo garanti delle informazioni che Regione Lombardia e i cittadini ci affidano. Poi, ci sono i danni minuti, come i blocchi dei sistemi, la corruzione delle reti o la mancanza di produttività e di efficienza, ma questi sono secondari. Per evitarli, da tempo stiamo facendo grossi investimenti. In particolare, stiamo gestendo il progetto Sistema informativo socio sanitario che tratta le informazioni sensibili tramite un ufficio apposito, con presidio 7 giorni su 7 e 24 ore su 24, controllando costantemente tutti gli accessi al sistema».

Tra le maggiori difficoltà riscontrate nel mercato della security, il presidente di Lombardia Informatica segnala soprattutto l’eccessiva frammentazione. I numerosi fornitori offrono soluzioni di vario tipo, «integrate, non integrate, generaliste, specifiche, addirittura plug and play o caratterizzate da un uso estremamente semplice, un costo minimo e una sicurezza massima, tutti aspetti che lasciano disarmati, soprattutto in considerazione della complessità della materia. Fondamentale è, quindi, disporre di risorse specializzate, in grado di discernere tra un prodotto valido e uno di basso livello. In secondo luogo, per quanto ci riguarda, è indispensabile scegliere prodotti che rispettino le restrizioni delle policy, spesso definite sulla base di indicazioni legislative italiane ed europee. Questo rappresenta una grossa difficoltà, perché, non sempre, dall’altra parte si trovano interlocutori in grado di supportare le nostre esigenze».

I suggerimenti, per affrontare con efficacia i problemi della sicurezza, sono chiari: innanzitutto, procedere a un’analisi dei rischi, ritagliando all’interno dei budget uno spazio economico adatto ad affrontarli. Operativamente, poi, si dimostra utile scomporre i problemi a blocchi, in modo da semplificare l’individuazione delle soluzioni.