Nella settimana appena trascorsa, l’Italia ha vissuto un nuovo campanello d’allarme in materia di sicurezza informatica e protezione dei dati: un cyberattacco ha colpito i sistemi informatici della Regione Sardegna, provocando la paralisi di numerosi servizi e sollevando perplessità sulla tenuta delle infrastrutture digitali della Pubblica Amministrazione. L’evento, che segue una sequenza di attacchi subiti da enti pubblici italiani negli ultimi mesi, rilancia l’urgenza d’integrare sicurezza, risk management e rispetto normativo nell’operatività quotidiana delle aziende e delle istituzioni pubbliche, anche alla luce dell’imminente applicazione della Direttiva NIS 2 nell’Unione Europea.
## Il caso Regione Sardegna: cosa è successo
La notte del 3 giugno, un attacco informatico di tipo ransomware ha colpito i sistemi informatici della Regione Sardegna. Gli aggressori hanno criptato dati e bloccato diverse funzionalità fondamentali, costringendo la sospensione temporanea di alcuni servizi sia per i cittadini sia per gli uffici. Le prime indagini suggeriscono una minaccia sofisticata e una preparazione accurata, che ha colpito in modo trasversale l’infrastruttura IT regionale.
L’incidente ha reso visibili le fragilità dei sistemi e ha mandato in tilt Migliaia di pratiche, dalla gestione del personale fino ai servizi per le imprese e i cittadini. Al momento in cui scriviamo, le attività di ripristino sono ancora in corso, con numerose procedure d’emergenza implementate, mentre si cerca di valutare la portata dell’eventuale esfiltrazione di dati sensibili e personali.
## Sicurezza, prevenzione e compliance: la lezione per tutte le aziende
Il caso della Regione Sardegna non è isolato: rafforza una tendenza già emersa in altri recenti attacchi agli enti pubblici italiani – basti pensare ai casi ASL Lazio, Comune di Palermo e, più in generale, agli incidenti che hanno coinvolto Aziende Sanitarie e Regioni nell’ultimo anno.
Il messaggio è chiaro anche per il mondo delle imprese private: non esiste settore o dimensione aziendale che possa sentirsi davvero al sicuro senza una strategia approfondita di cybersecurity, una valutazione continua dei rischi e il rispetto degli obblighi normativi sulla gestione e protezione delle informazioni, a partire dal GDPR fino alle nuove normative come la Direttiva NIS 2.
## L’approccio risk-based: non solo procedure, ma cultura
Il paradigma più moderno nella gestione della sicurezza informatica prevede un approccio basato sul rischio: non si tratta solo di implementare firewall o antivirus, ma di individuare gli asset critici, identificare e valutare minacce e vulnerabilità, e predisporre piani d’azione concreti. Serve una maggiore consapevolezza – diffusa a tutti i livelli, dal vertice ai collaboratori – sui comportamenti da adottare, la gestione delle emergenze, e la valorizzazione delle “lesson learned”. In casi reali come quello sardo, la rapidità e la chiarezza nella risposta fanno la differenza, non solo in termini tecnici ma anche reputazionali.
## Il nuovo scenario normativo: NIS 2, GDPR e obblighi aziendali
La Direttiva NIS 2, recentemente approvata e che dovrà essere recepita dagli Stati membri entro ottobre 2024, innalza gli standard minimi di sicurezza e impone una vera rivoluzione culturale e operativa. Non sono più interessati solo i tradizionali operatori di servizi essenziali (OES), ma un ampio ventaglio di aziende – anche private – che operano in settori strategici o svolgono funzioni critiche. Per molti sarà necessario rivedere processi, verificare la compliance alla luce delle novità e prepararsi a nuove responsabilità nei confronti degli utenti e delle autorità nazionali.
Occorre inoltre ricordare che la NIS 2 si somma alle già stringenti regole del GDPR, che prevede obblighi precisi sulle modalità di trattamento, conservazione e notifica delle violazioni dei dati personali (data breach). L’inosservanza delle regole può comportare pesanti sanzioni, danni reputazionali e conseguenze legali.
## Dal cloud alle catene di fornitura: un rischio spesso poco visibile
Uno degli insegnamenti principali del caso Regione Sardegna riguarda la crescente complessità dei sistemi informativi aziendali. L’adozione massiccia del cloud, la gestione di reti distribuite, lo smart working e i rapporti con fornitori esterni aumentano il cosiddetto “attacco di superficie”. Questo significa che la vulnerabilità di un fornitore può riflettersi direttamente sull’organizzazione, rendendo critica l’adozione di politiche di supply chain risk management e la definizione di procedure di audit periodici e valutazione dei partner.
## Cyber-resilienza: pianificare l’imprevedibile
Le nuove normative e la crescente minaccia dei cyberattacchi richiedono che ogni azienda o ente impari a essere non solo sicuro, ma anche “resiliente”: ovvero pronta a rispondere e a ripristinare i servizi il più rapidamente possibile in caso di incidente. Questo richiede l’adozione di piani di business continuity e disaster recovery, la formazione costante del personale e test di penetrazione periodici. Solo così si riduce il rischio di shock organizzativi come quello che ha vissuto la Regione Sardegna.
## Privacy e comunicazione: mantenere la fiducia
Ogni incidente informatico, specialmente quando coinvolge dati personali, è anche una questione di fiducia verso clienti, cittadini e stakeholder. La capacità di comunicare rapidamente, in modo chiaro e trasparente sulle cause e sulle soluzioni messe in campo, è un elemento decisivo per ridurre i danni reputazionali e culturali. Il GDPR impone la notifica ai soggetti interessati nei casi di data breach, ma la trasparenza deve diventare una buona pratica, anche su base volontaria.
## Cosa resta da fare? Spunti per le aziende
Il caso della Regione Sardegna deve essere uno stimolo concreto a:
– Condurre regolari valutazioni dei rischi (anche tramite audit esterni);
– Implementare misure tecnologiche aggiornate (firewall, endpoint detection & response, backup sicuri, autenticazione a più fattori);
– Formare sistematicamente le risorse umane sulla consapevolezza delle minacce e delle procedure;
– Ridefinire le proprie policy alla luce del framework NIS 2 e delle intersezioni con il GDPR;
– Sviluppare piani di risposta agli incidenti e di business continuity, testandoli su scenari realistici.
La sicurezza informatica non è più solo una questione tecnica o demandata all’IT: è diventata una priorità strategica e gestionale che riguarda direttamente la vita d’azienda e il rispetto delle norme. Ogni impresa, in particolare quelle che operano nel perimetro critico individuato da NIS 2, deve cogliere l’urgenza di agire subito, per non trovarsi impreparata di fronte alla prossima emergenza.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio