C’è un documento che giace negli archivi di ogni Pubblica Amministrazione italiana, spesso sepolto sotto strati di priorità quotidiane: è il modulo delle Misure Minime di Sicurezza AgID (MMS). Per molti addetti ai lavori rappresenta soltanto una checklist da smarcare frettolosamente per evitare sanzioni, l’ennesimo adempimento formale richiesto da Roma. Ma chi si ferma alla superficie commette un errore di valutazione che, nell’attuale scenario di cyber-warfare, può rivelarsi fatale. Dietro quelle righe di requisiti tecnici, infatti, non si nasconde semplice burocrazia, ma una strategia di difesa nazionale nata in un momento preciso, quando lo Stato ha compreso che le porte della nostra Pubblica Amministrazione erano pericolosamente spalancate.
Per cogliere il vero significato di queste misure, dobbiamo guardare oltre la nota Circolare AgID del 2017 e risalire alla sua genesi normativa: la Direttiva del Presidente del Consiglio dei Ministri del 1° agosto 2015. In quella calda estate, il Governo non si limitò a fornire suggerimenti, ma emanò un ordine perentorio volto a standardizzare la sicurezza informatica della PA. Si prese atto, per la prima volta in modo così netto, che la difesa cibernetica non poteva più essere lasciata all’improvvisazione o alla disponibilità economica del singolo ente. Quella Direttiva del 2015 rappresenta ancora oggi la “legge marziale” che ordina di alzare le mura, mentre le Misure Minime arrivate successivamente costituiscono il progetto architettonico di quelle difese. Ignorarle, dunque, non significa solo violare una circolare tecnica, ma disattendere un preciso indirizzo di sicurezza nazionale, esponendo l’amministrazione a responsabilità gravose.
Il primo “segreto” per interpretare correttamente questo framework risiede in una trappola semantica nascosta nel suo stesso nome. L’aggettivo “Minime” trae spesso in inganno i decisori politici e amministrativi, portandoli a credere che l’adeguamento base sia sinonimo di sicurezza completa. In realtà, la conformità al livello minimo garantisce, metaforicamente, di “uscire di casa con le scarpe allacciate”: evita di inciampare nei propri errori, proteggendo dagli attacchi automatizzati e opportunistici, ma risulta trasparente per un gruppo criminale organizzato. Le amministrazioni lungimiranti, pertanto, utilizzano il livello “Minimo” solo come trampolino di lancio per puntare immediatamente ai livelli Standard e Avanzato, consapevoli che la vera resilienza inizia dove l’obbligo di legge finisce.
Inoltre, è fondamentale sfatare il mito che vede queste regole come un’invenzione della burocrazia italiana scollegata dalla realtà tecnica. AgID ha costruito il framework degli ABSC (AgID Basic Security Controls) basandosi sui CIS Critical Security Controls, ovvero il “Gold Standard” internazionale della difesa cibernetica. Implementare le Misure Minime significa allinearsi, spesso senza saperlo, alle migliori pratiche mondiali utilizzate dalle grandi corporation e dagli apparati di difesa esteri; non stiamo parlando di compilazione moduli, ma di un vero e proprio hardening infrastrutturale.
C’è poi un aspetto prettamente strategico che riguarda il ruolo del Responsabile per la Transizione Digitale. Il “Modulo di Implementazione” non dovrebbe essere vissuto come un onere, bensì come la più potente leva di budget a disposizione dell’IT. Quando un tecnico dichiara formalmente nel modulo che una misura non è applicata per “mancanza di risorse”, sta di fatto trasferendo la responsabilità legale del rischio (la cosiddetta culpa in vigilando) dal reparto tecnico al vertice politico o amministrativo dell’Ente. Se usato con intelligenza politica, quel documento smette di essere un pezzo di carta e diventa la chiave per sbloccare investimenti cruciali in firewall, sistemi di backup immutabili e, soprattutto, formazione del personale.
Oggi, mentre il testimone della strategia cyber passa dall’AgID alla nuova Agenzia per la Cybersicurezza Nazionale (ACN) e ci prepariamo agli standard europei della direttiva NIS2, le Misure Minime del 2017 e la Direttiva del 2015 non perdono di valore, ma si confermano come le fondamenta imprescindibili. Non si può costruire il grattacielo della resilienza nazionale senza aver prima gettato queste basi. Smettere di vederle come un obbligo amministrativo e iniziare a considerarle come un manuale di sopravvivenza digitale è il primo passo necessario: in un mondo dove il dato è il bene più prezioso, proteggerlo non è burocrazia, è il dovere primario di ogni Pubblica Amministrazione moderna.
