Lo stato dell'informatizzazione nella Pubblica ... - Archivio CNIPA

RELAZIONE ANNUALE 2006 VOLUME IILo stato dell’informatizzazione nella Pubblica AmministrazioneFigura 14: KPI 3: Sicurezza dei servizi, anno 200631%32%8%29%alto medio basso scarso82La fascia con valori “alto” del coefficiente KPI3 si restringe al 32%, ma la fascia al di sotto dellasoglia critica si allarga all’8% denunciando la necessità di intervenire specificamente su quelle amministrazioniche ha ottenuto punteggi particolarmente bassi su questo indicatore.Per quanto riguarda il tema continuità operativa, solo il 14% del campione ha redatto un pianodi disaster recovery con copertura totale ed il 28% con copertura parziale, mentre quasi la metàdel campione denuncia di non aver mai affrontato il tema.Il secondo quesito che ha contribuito negativamente sull’andamento dell’indicatore KPI3 èquello relativo alla capacità di rilevare, classificare e quindi prevenire eventuali intrusioni nel sistemainformativo. L’interpretazione di questo quesito è estremamente difficile: infatti se da unlato emerge che oltre il 61% del campione non ha subito intrusioni, dall’altro sembrerebbe chechi ne ha subite è stato in media ripetutamente oggetto dello stesso tipo di attacco. In questi casiper interpretare correttamente il dato occorre sicuramente stabilire con precisione le condizionidi contesto e le contromisure in atto. Anche il dato fornito da chi afferma di non aver subitoalcuna intrusione andrebbe valutato attentamente, perché potrebbe anche nascere dalla comunemancanza di strumenti per la rilevazione di intrusioni (già rilevata in un altro quesito delKPI2).7.4 La sicurezza dell’organizzazioneSolo alcune amministrazioni, circa la metà, ha definito ed approvato un piano di sicurezza ICT.Tale dato non collima con la diffusa attenzione alle regole (policy) che emerge dalle domandesulla sicurezza logica. La ragione di tale discrepanza deriva probabilmente dal fatto che l’organizzazionedella sicurezza è ancora orientata alla risposta puntuale ai problemi e difetta di attività dinatura più strategica (divulgazione della cultura, sensibilizzazione, formazione, preparazione all’emergenza,ecc.) che possono realizzarsi solo mediante una adeguata pianificazione. In sostanza,quasi tutte le amministrazioni definiscono regole, politiche e ruoli, ma solo la metà di esse pianificagli interventi di sicurezza e meno di un terzo pianifica le attività di formazione. Occorre comunqueosservare che i valori rilevati sono in crescita rispetto alla rilevazione precedente, denotandouna tendenza positiva.Poco più della metà delle amministrazioni dichiara di avere un centro di gestione ed amministrazionedella sicurezza ICT ed un gruppo di gestione degli incidenti. Nel valutare questo dato,Centro nazionale per l’informatica nella pubblica amministrazione