NIS2

Per adeguarsi alla Direttiva europea NIS2 sulla sicurezza informatica, la Regione Umbria ha avviato un percorso di valutazione e rafforzamento delle misure di protezione del proprio patrimonio informativo e digitale.

Classificata dall'Agenzia per la Cybersicurezza Nazionale (ACN) come soggetto Importante, la Regione ha definito un sistema di governance integrato per proteggere l'infrastruttura pubblica e i dati dei cittadini e garantire la continuità dei servizi essenziali. Il percorso si sviluppa in quattro fasi:

1. Valutazione e analisi dei rischi: un'analisi delle lacune (Gap Analysis) ha portato alla definizione di un Piano di Potenziamento della sicurezza informatica.
2. Governance e organizzazione:

• nomina formale del Referente CSIRT Italia per la gestione delle segnalazioni preventive (Early Warning) con ACN;
• adozione del Piano Operativo Gestione Incidenti, prima linea di difesa;
• individuazione e responsabilizzazione formale degli amministratori di sistema;
• regole per la sicurezza del personale (dichiarazioni di integrità) e formazione obbligatoria su più livelli (dirigenziale, specialistico e generale).

1. Strumenti tecnici e operativi:

• sicurezza della catena di approvvigionamento, con procedure di valutazione e audit preventivi sui fornitori;
• gestione proattiva delle vulnerabilità, passando dalla difesa passiva alla ricerca attiva e alla divulgazione coordinata delle falle;
• controllo rigoroso degli accessi fisici e logici, con ingresso alle sedi critiche e ai sistemi riservato agli utenti autorizzati e verificati tramite autenticazione a più fattori (MFA);
• protezione dei dati e sviluppo sicuro in ogni progetto, con l'uso della crittografia e l'applicazione dei principi di security by design e by default lungo tutto il ciclo di vita del software regionale;
• inventario completo di hardware e software (asset management), per conoscere con precisione la superficie esposta ad attacchi.

1. Consolidamento: approvazione del Framework Cybersecurity Master, che riunisce le 13 procedure operative approvate, per garantire monitoraggio continuo e gestione adattiva del rischio anche oltre la scadenza inderogabile del 14 ottobre 2026.