- Il Comitato nazionale per l’ordine e la sicurezza pubblica, riunito oggi al Viminale, ha indicato un monitoraggio più intenso dei sistemi informatici vulnerabili.
- I numeri di ACN: nei primi nove mesi del 2026 il CSIRT Italia ha individuato 44.835 asset e servizi a rischio e 3.259 asset potenzialmente compromessi.
- Mancano ancora i dettagli operativi: elenco dei sistemi, prescrizioni tecniche e scadenze non sono stati diffusi. Aziende e PA possono però agire subito su esposizione, patch e resilienza dei servizi.
Dopo una sequenza di attacchi, sabotaggi e intimidazioni digitali che ha interessato l’Italia e altri Paesi europei, il Viminale sposta l’attenzione dalla gestione dei singoli episodi alla ricerca delle infrastrutture ancora esposte. Lo riporta Cybersecurity360, che sottolinea però come i dettagli sui nuovi controlli non siano ancora disponibili. Per chi gestisce reti e servizi digitali l’attesa non è un buon motivo per restare fermi: le verifiche di base si possono avviare da subito.
Cosa è successo
Il Comitato nazionale per l’ordine e la sicurezza pubblica si è riunito al Viminale il 10 novembre, sotto la presidenza del ministro Matteo Piantedosi. Alla riunione, durata circa due ore secondo Cybersecurity360, hanno partecipato i vertici delle forze di polizia e dell’intelligence e rappresentanti dell’Agenzia per la cybersicurezza nazionale (ACN). L’indicazione emersa è un monitoraggio rafforzato dei sistemi più vulnerabili, con l’obiettivo di limitare la possibilità che falle informatiche vengano sfruttate per interrompere servizi, colpire impianti fisici o generare allarme pubblico.
Non è stato però diffuso un piano esecutivo: mancano l’elenco dei sistemi da controllare, le prescrizioni tecniche e le scadenze per i gestori. Il primo resoconto, secondo la testata, non indica nemmeno nuove risorse stanziate.
La dimensione del problema emerge dai dati del CSIRT Italia, presentati da ACN il 13 ottobre durante l’audizione del direttore generale Andrea Quacivi al Senato, quindi prima del vertice e non come nuova scoperta: nei primi nove mesi del 2026 sono stati individuati 44.835 asset e servizi a rischio e 3.259 asset potenzialmente compromessi. Tra gennaio e settembre il CSIRT ha rilevato 3.271 eventi cyber, contro i 2.729 registrati in tutto il 2025; di questi, 1.922 sono stati classificati come incidenti con impatto confermato. Cybersecurity360 avverte che il confronto riguarda periodi di durata diversa e che sui numeri incidono anche l’ampliamento del monitoraggio e le nuove notifiche previste dalla NIS2, che nei primi nove mesi sono state oltre 1.500.
Le categorie vanno distinte. Un asset a rischio non è una macchina violata: può essere un server con una vulnerabilità, un servizio accessibile da Internet o un sistema configurato in modo insicuro. Un asset potenzialmente compromesso presenta indizi che richiedono verifiche. Gli incidenti con impatto confermato sono una metrica a sé, che non va sommata alle altre. Nello stesso periodo il CSIRT ha inviato quasi 72mila comunicazioni di allertamento e pubblicato oltre mille avvisi.
Il rafforzamento arriva dopo episodi molto diversi tra loro: attacchi ai controllori della refrigerazione di supermercati e altri operatori della catena del freddo, allarmi bomba inviati agli aeroporti, una possibile compromissione delle caselle email di alcune scuole, ancora da accertare, e la diffusione di informazioni personali di rappresentanti delle istituzioni. La testata precisa che la concomitanza temporale non dimostra una regia comune.
Perché riguarda anche te
Il messaggio principale è che il rischio non si ferma ai soggetti regolati. Claudio Telmon, del Clusit, citato da Cybersecurity360, osserva: “Gli incidenti sulla catena del freddo mostrano come il rischio, anche dal punto di vista dell’impatto sociale, non riguardi solo le aziende che sono nel perimetro di normative specifiche come la NIS2: la distribuzione al dettaglio, ad esempio, non è di principio in perimetro.”
Per le aziende, il caso della refrigerazione è concreto: un’interfaccia industriale raggiungibile da Internet può consentire di modificare parametri fisici, con rischi per gli alimenti, la produzione e, in alcune installazioni, la sicurezza dei lavoratori. Per le PA, in particolare piccole amministrazioni e scuole che affidano l’IT a fornitori esterni, un sistema vulnerabile può diventare il punto di partenza di un attacco rivolto altrove. Per le famiglie, gli effetti possono arrivare in modo indiretto: dalla qualità della merce conservata al blocco di servizi pubblici.
C’è poi il tema della reattività. Telmon ricorda che è importante quanto previsto dalla legge 90/2024, “ovvero l’obbligo di intervenire a fronte di segnalazione da parte dello CSIRT, almeno per i soggetti NIS2”. Chi non è soggetto a questo obbligo rischia, nella sua lettura, di reagire più lentamente agli avvisi.
Come proteggersi / Cosa fare
Le prime sei azioni riprendono le verifiche indicate da Cybersecurity360. Le ultime tre sono buone pratiche di settore riconosciute.
- Mappare la superficie esposta. Censire quali apparati e servizi sono raggiungibili da Internet, chi può accedervi, quali versioni software eseguono e quali funzioni aziendali dipendono da essi. Questo vale anche per server, router e sistemi gestiti da fornitori diversi.
- Chiudere le interfacce di gestione e telecontrollo esposte. Rimuovere l’accesso diretto da Internet alle interfacce di manutenzione dei sistemi industriali e controllare i collegamenti dei manutentori.
- Separare le reti operative da quelle d’ufficio e verificare che gli allarmi critici, come quelli su temperatura e malfunzionamenti, non dipendano solo dal sistema che potrebbe essere manomesso.
- Dare priorità alle patch sulle vulnerabilità già sfruttate per portali web, servizi di posta e server amministrativi.
- Rafforzare l’autenticazione e attivare i log degli accessi. Come buona pratica, conviene usare l’autenticazione a più fattori sulle caselle email e sugli accessi amministrativi: un account poco protetto può diventare uno strumento contro altre organizzazioni.
- Non fermarsi alla patch in caso di indizi di intrusione. Occorre accertare che non siano rimasti account illeciti, modifiche alle configurazioni o altri meccanismi di persistenza.
- Trattare le segnalazioni del CSIRT come ticket prioritari. Buona pratica: definire chi le riceve, chi le gestisce e in quanto tempo, anche se l’organizzazione non è soggetta a NIS2.
- Verificare la protezione DDoS dei servizi esposti. Buona pratica: chiarire con il proprio operatore se esiste una mitigazione a monte della rete aziendale, con quali soglie e tempi di attivazione, e tenere aggiornato un piano di risposta che indichi chi chiamare e quali servizi proteggere per primi.
- Coinvolgere i fornitori. Buona pratica: chiedere a chi amministra sistemi per conto dell’organizzazione l’inventario degli accessi remoti e lo stato di aggiornamento degli apparati.
Il punto di vista Nexim
Dal punto di vista di un operatore di rete, il dato più utile non è il numero degli incidenti, ma quello degli asset esposti: è lì che si gioca la prevenzione. Ridurre i punti di accesso pubblici, chiudere le interfacce di gestione e segmentare le reti sono interventi poco visibili, ma spesso più efficaci di qualsiasi strumento aggiunto a valle. Accanto all’integrità dei sistemi va presidiata la disponibilità: un servizio online va protetto anche dal traffico malevolo che può saturarlo, con una protezione DDoS e sicurezza di rete pensata a livello di infrastruttura. In attesa dei protocolli del Viminale, la nostra lettura è che conviene arrivare preparati: con un inventario aggiornato e un piano di risposta già provato.
Fonti
- Cyberattacchi, Viminale: più controlli su 45mila sistemi e servizi a rischio – Cybersecurity360