La iniciativa está prevista en el Plan trienal para la informática en la Administración Pública 2020-2022 y tiene como objetivo aumentar la concienciación sobre los riesgos cibernéticos en el sector público. Los servicios digitales que presta la Administración Pública son cruciales para el funcionamiento del sistema país.
La ciberseguridad de la Administración Pública en el PNRR: ¿qué pasará?
La amenaza cibernética crece continuamente tanto en cantidad como en calidad y también está determinada por la evolución de las técnicas de ingeniería social destinadas a engañar a los usuarios finales de los servicios digitales públicos.
Para poder programar y calibrar las acciones adecuadas de apoyo y respaldo a la seguridad preventiva, es necesario disponer de una línea de base que permita medir el nivel medio de conocimiento y concienciación sobre el tema.
Al mismo tiempo, y de nuevo según lo establecido en el Plan, Agid ha publicado, en colaboración con el Departamento para la Transformación Digital, las recomendaciones sobre los protocolos de seguridad y, en particular, sobre el protocolo Transport Layer Security (TLS) y las Cipher Suites.
Transport Layer Security (TLS) y su predecesor Secure Sockets Layer (SSL) son protocolos criptográficos de presentación utilizados en el ámbito de las telecomunicaciones y la informática que permiten una comunicación segura desde el origen hasta el destinatario (end-to-end) en redes TCP/IP (como, por ejemplo, Internet), proporcionando autenticación, integridad de los datos y confidencialidad, y operando por encima de la capa de transporte.
Diversas versiones del protocolo se utilizan ampliamente en aplicaciones como los navegadores, el correo electrónico, la mensajería instantánea y la voz sobre IP. Un ejemplo de aplicación de SSL/TLS es el protocolo HTTPS.
Una Cipher Suite, en cambio, es un conjunto de algoritmos utilizados para proteger las conexiones de red basadas en Transport Layer Security (TLS) o en su predecesor Secure Socket Layer (SSL).
El conjunto de algoritmos que constituye una suite comprende normalmente: un algoritmo para el intercambio de claves criptográficas, un algoritmo de cifrado y un algoritmo de message authentication code (MAC).
¿Qué ocurrió en 2021?
Se aprobó el PNRR, el Plan Nacional de Recuperación y Resiliencia. Según Draghi, el Next Generation EU supondrá para Italia una recuperación desde el punto de vista económico, un frente en el que el país lleva décadas bloqueado.
Veamos qué está previsto en el ámbito cibernético.
El Dpcm de aplicación del perímetro de seguridad nacional cibernética, relativo al art. 1, apartado 3, “medidas destinadas a garantizar elevados niveles de seguridad de las redes, de los sistemas de información y de los servicios informáticos”.
Contiene las indicaciones para notificar los incidentes de forma oportuna al CSIRT de la Presidencia del Consejo de Ministros.
La rapidez se mide en horas, lo que hará interesante su aplicación por parte de los operadores públicos y privados, que necesariamente deberán establecer procedimientos ágiles de evaluación de los posibles impactos de un incidente, incluso a falta de evaluaciones específicas sobre la naturaleza y la posible evolución del propio incidente.
Identificación de las prioridades de intervención
Para aplicar plenamente la metodología de contextualización del Framework Nacional, las empresas que deben aplicar las medidas mínimas también tendrán que identificar sus prioridades de intervención.
En cualquier caso, se ha realizado una contextualización del Framework para los sujetos del Perímetro, única para todos.
También se proporciona un mapeo entre las áreas de seguridad previstas en el Perímetro (estructura organizativa, políticas de seguridad y gestión del riesgo, protección física y lógica de los datos, etc.) y las subcategorías del Framework.
Qué es el Plan Nacional de Recuperación y Resiliencia
El “Plan Nacional de Recuperación y Resiliencia” (PNRR) define el programa de inversiones y de intervenciones con el que Italia pretende responder a la crisis económica y social provocada por la pandemia de Covid-19.
El documento identifica tres ejes estratégicos: digitalización e innovación, transición ecológica e inclusión social.
El PNRR cita el DESI, según el cual Italia ocupa el 17.º puesto entre los países de la UE en términos de conectividad. La tasa de cobertura de los hogares italianos con redes ultrarrápidas es del 24 %, frente a la media del 60 % de los 28 países europeos.
El PNRR establece el reparto de las inversiones con un enfoque que debería ser estratégico y operativo, respecto al cual habrá que ver después los detalles tácticos de su posible aplicación.
Sin embargo, la visión estratégica parece aún construida de abajo arriba, a partir de instancias particulares concretas en lugar de una visión global, innovadora y consciente.
El PNRR intenta aprovechar la oportunidad que ofrece la Comisión Europea para transformar los costes de la reactivación en inversiones para el futuro.
El objetivo principal que se debe perseguir en la fase de recuperación es reforzar las infraestructuras económicas y sociales e invertir en una profunda transformación digital, social y sostenible del país.
Con el aumento de la digitalización, tanto en el ámbito privado como en el público, es necesario, de hecho, reforzar de forma significativa la capacidad de prevención, supervisión y defensa de los ciudadanos, de las empresas privadas y de la Administración Pública frente a ataques e incidentes cibernéticos.
Este periodo de pandemia ha generado una involución social y cultural y, por otro lado, ha impulsado la digitalización promoviendo las actividades en línea y el teletrabajo.
El PNRR parece pasar por alto los aspectos de esta “nueva digitalización”, que constituye, en cambio, una buena práctica de resiliencia que permite a las empresas seguir trabajando, al menos en los servicios inmateriales, y que se basa, en la nueva disciplina de la gestión de las crisis prolongadas surgida tras la pandemia, en la inmediatez del paso al “full digital” (también desde casa y desde conexiones privadas y residenciales) y en la continuidad del uso de conexiones privadas y residenciales.
Esto es cierto tanto para las empresas públicas como para las privadas. Sin embargo, la parte de ciberseguridad no contiene un análisis en profundidad de estos temas.
El PNRR debería ser, en cambio, un instrumento para avanzar, también en las formas organizativas que respaldan la seguridad, y para hacer crecer el país en la tecnología segura y en la tecnología de la seguridad.
Podría ser el lugar ideal, por ejemplo, para destinar fondos a la formación, a la información y al lanzamiento de pequeñas y medianas empresas que desarrollan tecnologías seguras.
Podría ser el lugar ideal para financiar proyectos de normalización que mantengan a nuestro país entre los principales actores de la seguridad mundial.
Podría ser el lugar para relanzar una Italia donde “el negocio es seguro”, con el fin de atraer inversiones e innovaciones también desde el extranjero.
¿Cómo aprovechará Italia la ocasión?
Italia será la primera en Europa en beneficiarse de los dos instrumentos del Next Generation EU: el Mecanismo de Recuperación y Resiliencia, RRF, que garantizará recursos por valor de 191,5 mil millones de euros para el quinquenio 2021-2026, de los cuales 68,9 mil millones a fondo perdido, y el Paquete de Ayuda a la Recuperación para la Cohesión y los Territorios de Europa, REACT-EU.
Como declaró el propio Draghi, Italia recurrirá a esta financiación mediante los préstamos del RRF, estimados en 122,6 mil millones.
¿Qué prevé el PNRR en materia de ciberseguridad?
El PNRR recién aprobado prevé, por tanto, ante todo un programa de digitalización de la Administración Pública basado en la eficacia, la rapidez y la seguridad para ciudadanos y empresas en el uso de servicios como infraestructuras, interoperabilidad, plataformas y servicios y ciberseguridad.
Además, se incluirán “medidas preparatorias para la plena realización de las reformas clave de las Administraciones Centrales, como el desarrollo y la adquisición de (nuevas) competencias para el personal de la Administración Pública (también mediante la mejora de los procesos de upskilling y de actualización de las propias competencias) y una significativa simplificación/desburocratización de los procedimientos clave, incluido un esfuerzo específico del Ministerio de Justicia para eliminar el atraso acumulado de expedientes”.
También te puede interesar este artículo:⬇️
