Sicurezza delle credenziali nella PA

Quadro normativo

Fonti

• GDPR art. 32: misure di sicurezza tecniche e organizzative;
• CAD: protezione dati;
• Linee guida AgID sulla sicurezza informatica;
• Codice Privacy D.Lgs. 196/2003;
• Codice Penale artt. 615-ter, 326.

Principi

• Riservatezza: solo persone autorizzate accedono;
• Integrità: dati non alterabili;
• Disponibilità: sistemi accessibili.

Password robuste

Caratteristiche minime

• Lunghezza: minimo 12-16 caratteri (più lunga = più sicura);
• Complessità: lettere maiuscole + minuscole + numeri + caratteri speciali;
• Univoca: diversa per ogni servizio;
• Cambiata periodicamente (di norma 90-180 gg).

Cosa NON fare

• Password ovvie (123456, password, qwerty);
• Date di nascita, nomi familiari;
• Stessa password per più servizi;
• Scrivere su post-it o file di testo;
• Condividere con colleghi.

Password manager

• Software che memorizza password sicure;
• Strumenti: Bitwarden, KeePass, 1Password, ecc.;
• Una master password principale;
• Migliora la sicurezza generale.

2FA / MFA — Multi-Factor Authentication

Cos'è

• Autenticazione a 2+ fattori:
  • Qualcosa che sai (password);
  • Qualcosa che hai (token, smartphone con app);
  • Qualcosa che sei (impronta, riconoscimento facciale);
• Combinazione di almeno 2 fattori.

Tipologie

• Password + OTP via SMS;
• Password + app authenticator (Google Authenticator, Microsoft Authenticator);
• Password + token hardware (chiavetta);
• Password + biometria.

Vantaggi

• Sicurezza drasticamente superiore;
• Anche se la password viene rubata, l'accesso è bloccato senza secondo fattore;
• Raccomandata per servizi sensibili.

Per la PL

• Banche dati interforze: spesso 2FA obbligatorio;
• Gestionali sensibili: 2FA crescente.

Divieto di condivisione

Principio

• Credenziali personali intransferibili;
• No condivisione con colleghi (anche se "di fiducia");
• No "fare prima" facendo entrare colleghi con le proprie credenziali.

Conseguenze della condivisione

• Disciplinare: violazione delle procedure;
• Penale eventuale:
  • Operatore che presta credenziali: responsabilità;
  • Operatore che usa credenziali altrui: art. 615-ter c.p. (accesso abusivo);
• Civile: rivalsa per eventuali data breach.

Blocco schermo

Quando bloccare

• Allontanamento momentaneo dalla postazione (anche pochi minuti);
• Pause caffè, pranzo;
• Riunioni in altre stanze.

Come bloccare

• Windows: tasto Windows + L;
• Mac: Control + Comando + Q;
• Automatico: dopo X minuti di inattività (raccomandato 5-15 min).

Importanza

• Persone che potrebbero accedere alla postazione (colleghi, visitatori);
• Tutela dei dati e dei sistemi;
• Audit: log degli accessi correlati alla persona corretta.

Logout

A fine giornata

• Logout completo dai sistemi;
• No semplicemente chiudere la finestra;
• Spegnimento della postazione (se previsto);
• Riavvio se aggiornamenti pendenti.

Accessi tracciati (log)

Sistemi che tracciano

• Banche dati: chi accede, quando, cosa consulta;
• Sistemi gestionali;
• Email aziendali;
• VPN aziendali.

Audit periodici

• Verifica anomalie;
• Controlli a campione;
• In caso di sospetti: indagine.

Per la PL

• CED interforze: log completi;
• Gestionali verbali: tracciamento operazioni;
• Cura del comportamento (consapevolezza del log).

Riconoscimento phishing

Cosa è il phishing

• Email fraudolenta che cerca di:
  • Ottenere credenziali;
  • Far installare malware;
  • Spingere a azioni dannose.

Indicatori

• Mittente sospetto (o spoofato);
• Errori di ortografia;
• Urgenza eccessiva ("la tua password scade tra 1 ora!");
• Link sospetti (verifica URL);
• Allegati non attesi;
• Richieste di dati sensibili.

Cosa fare

• Non cliccare link sospetti;
• Non aprire allegati non attesi;
• Non fornire credenziali via email;
• Verificare con il mittente (telefonata, no rispondere all'email);
• Segnalare all'IT.

Aggiornamenti

Software

• Sistema operativo: aggiornamenti automatici;
• Browser: ultima versione;
• Antivirus: definizioni aggiornate;
• Software specifici: aggiornati regolarmente.

Importanza

• Patch di sicurezza: chiudono vulnerabilità note;
• Senza aggiornamenti: sistema vulnerabile a attacchi.

Consequenze delle violazioni

Disciplinari

• Procedimento ex CCNL;
• Sanzioni: dal richiamo al licenziamento.

Penali

• Art. 615-ter c.p. (accesso abusivo a sistema informatico): fino 5 anni se PU;
• Art. 326 c.p. (rivelazione segreto): fino 3 anni;
• Art. 167 D.Lgs. 196/2003 (trattamento illecito): fino 3 anni;
• Art. 640 c.p. (truffa, se concorso).

Civili

• Rivalsa per data breach;
• Risarcimento GDPR.

Per la Polizia Locale

Strumenti tipici

• Banche dati: CED interforze, ANPR, PRA, MCTC, casellario;
• Gestionale verbali;
• Email PEC istituzionale;
• Portale SUAP.

Cura

• Credenziali personali non cedibili;
• 2FA dove possibile;
• Blocco schermo sempre;
• Logout a fine turno;
• Conservazione credenziali in modo sicuro.

Casi pratici

Caso 1 — Cessione credenziali

• Tizio dà password CED a Caio per "fargli velocità";
• Caio consulta nominativo per fini privati;
• Audit log: accessi anomali con credenziali di Tizio;
• Conseguenze:
  • Tizio: disciplinare per cessione credenziali;
  • Caio: 615-ter c.p. + 326 + 167;
• Tutela: solo Tizio può accedere con le sue credenziali.

Caso 2 — Postazione non bloccata

• Mevio lascia PC sbloccato durante pausa pranzo;
• Sempronio (estraneo) accede e consulta dati;
• Mevio: disciplinare per negligenza;
• Sempronio: eventuali reati.

Caso 3 — Phishing rilevato

• Email con falso mittente "Comune amministrazione";
• Richiesta di reset password;
• Aurelio non clicca, segnala all'IT;
• Buona pratica rilevata.

Caso 4 — Password debole compromessa

• Caia usa "Password123" come password CED;
• Hacker con dizionario tenta accesso;
• Riesce a entrare;
• Data breach + responsabilità di Caia per password debole.

Per il concorso

Domanda tipica

"Quali sono i principi di sicurezza delle credenziali nella PA?"

Risposta:

1. Password personali e robuste: lunghezza, complessità, univoche, cambiate periodicamente;
2. 2FA / MFA: autenticazione a 2+ fattori (raccomandata);
3. Divieto di condivisione: credenziali intransferibili;
4. Blocco schermo (Win+L) quando ci si allontana;
5. Logout a fine lavoro;
6. Accessi tracciati: log per audit;
7. Riconoscimento phishing: non cliccare link sospetti, no credenziali via email;
8. Aggiornamenti software/antivirus;

• Conseguenze violazioni: disciplinare + penale (art. 615-ter c.p. fino 5 anni se PU);
• Per la PL: cura cruciale per banche dati interforze e sistemi sensibili.