Il settore pubblico del Regno Unito affronta una trasformazione critica della sua resilienza cibernetica, spinta da nuove politiche, riorganizzazioni governative e avanzamenti tecnologici. La convergenza tra safety e security diventa un obbligo giuridico.
Il settore pubblico del Regno Unito si trova di fronte a una profonda revisione delle sue strategie di resilienza cibernetica. Il mutato scenario politico, segnato da un nuovo Primo Ministro e da significative riorganizzazioni, come la recente dissoluzione del Dipartimento per la Scienza, Innovazione e Tecnologia (DSIT), sta ridisegnando le politiche e la gestione della sicurezza informatica.
Per lungo tempo, la cybersecurity è stata considerata una disciplina prettamente operativa, affidata a team tecnici specializzati. Tuttavia, questo modello sta mostrando i suoi limiti sotto la spinta di tre fattori principali: l'evoluzione delle politiche che impongono maggiori responsabilità ai consigli di amministrazione e alla dirigenza; le riforme organizzative che modificano le interconnessioni tra servizi, sistemi e fornitori; e il rapido progresso tecnologico, dall'adozione diffusa del cloud al lavoro ibrido e all'intelligenza artificiale, che amplifica sia le opportunità che le esposizioni.
Di conseguenza, la resilienza cibernetica non può più essere relegata a un livello operativo inferiore. I servizi pubblici, che spaziano dalla sanità all'istruzione, dai trasporti alla gestione delle emergenze, sono ormai così interconnessi con la tecnologia che un incidente informatico non si traduce più solo in un'interruzione dei sistemi IT. Diventa un rischio tangibile per la fiducia pubblica, la sicurezza dei cittadini e la stessa continuità operativa del governo.
L'attacco ransomware che ha colpito Synnovis nel 2024, un fornitore di servizi di patologia per diverse aree del Servizio Sanitario Nazionale (NHS), ha gravemente compromesso la capacità di elaborare test diagnostici, causando disagi diffusi e ritardi significativi per migliaia di pazienti. Episodi come questo trasformano il rischio cibernetico da un concetto astratto a un'interruzione concreta dei servizi essenziali, elevando la resilienza a una priorità strategica per i vertici aziendali.
Le direttive del governo e del National Cyber Security Centre (NCSC) sono sempre più stringenti. Il "Cyber Resilience Pledge" sollecita le organizzazioni a elevare la cybersecurity a responsabilità di consiglio di amministrazione, a registrarsi per il servizio "NCSC Early Warning" e ad adottare un approccio basato sul rischio per i requisiti "Cyber Essentials" lungo le catene di fornitura. Il "Cyber Governance Code of Practice" dell'NCSC rafforza l'idea che il rischio cibernetico debba essere gestito come qualsiasi altro rischio organizzativo di rilievo.
Inoltre, il futuro "Cyber Security and Resilience Bill" è destinato ad ampliare ulteriormente le aspettative nei confronti dei servizi essenziali e digitali, migliorando la segnalazione degli incidenti e includendo un numero maggiore di fornitori critici. Questo cambiamento è una risposta diretta all'aumento esponenziale delle minacce informatiche. L'NCSC ha gestito 204 incidenti cibernetici di rilevanza nazionale nell'anno fino a settembre 2025, un dato in forte aumento rispetto ai 89 dell'anno precedente, con una media di quattro attacchi significativi a settimana nel Regno Unito.
Le domande che i leader devono porsi sono cambiate: non si tratta più solo di investire in strumenti di sicurezza, ma di poter dimostrare la capacità di resilienza, l'attribuzione chiara delle responsabilità e la continuità dei servizi critici anche in scenari avversi, come la compromissione di fornitori, l'interruzione dell'accesso ai dati o la presenza di attaccanti nella rete.
Le riforme strutturali, come la riorganizzazione del governo locale e i cambiamenti nella proprietà dei servizi critici, stanno ridisegnando le responsabilità e la gestione dei dati. La dissoluzione del DSIT e la redistribuzione delle sue funzioni (trasformazione digitale, adozione dell'IA nel settore pubblico, resilienza delle informazioni) creano potenziali lacune operative. Ogni transizione richiede un'attenta integrazione di sistemi, una rivalutazione degli accessi, il trasferimento sicuro dei dati e la ridefinizione dei contratti. Durante questi periodi di cambiamento, la superficie d'attacco tende ad espandersi e la responsabilità può diventare meno chiara.
È fondamentale integrare la resilienza cibernetica fin dall'inizio nei processi di riforma, garantendo che i cittadini possano continuare ad accedere ai servizi in modo sicuro durante le transizioni. Una riorganizzazione priva di una solida strategia di resilienza rappresenta un rischio inaccettabile per il pubblico.
Il lavoro nel settore pubblico si svolge ora in ambienti ibridi, piattaforme cloud, ecosistemi di partner e complesse catene di fornitura. I modelli di sicurezza tradizionali, concepiti per un mondo più statico, non sono più adeguati. L'adozione di nuove tecnologie come l'Intelligenza Artificiale (AI), sebbene promettente, introduce nuove sfide in termini di sicurezza, governance dei dati e potenziale uso improprio. La continua evoluzione tecnologica richiede un'assicurazione costante e l'adattamento dei meccanismi di difesa per garantire che i sistemi rimangano protetti e resilienti di fronte a minacce in costante mutamento.
Le nuove normative, come il GDPR e la direttiva NIS 2, stanno rendendo sempre più evidente l'insufficienza di una distinzione rigida tra Safety (protezione dai rischi accidentali) e Security (protezione dalle minacce intenzionali). Queste normative convergono nel richiedere un approccio integrato che intrecci la protezione contro rischi accidentali e intenzionali, coinvolgendo persone, beni, il mondo fisico e quello digitale. La conformità a queste direttive impone una visione olistica della gestione del rischio, dove la sicurezza informatica non è più un silos separato, ma parte integrante della strategia complessiva di gestione del rischio e della continuità operativa.
Contenuto generato automaticamente da intelligenza artificiale a partire da fonti pubbliche. Non garantiamo l'accuratezza assoluta delle informazioni: consulta sempre la fonte originale. I diritti sui contenuti originali appartengono ai rispettivi editori.
