Dal bollettino CERT-AGID ai controlli: responsabilità, fornitori e prove di attuazione

Tra la ricezione di un bollettino sulle minacce e la modifica di un controllo ci sono decisioni che l'organizzazione deve assegnare. La sintesi pubblicata dal CERT-AGID il 23 ottobre 2026 offre un caso sul quale verificare questo passaggio: fra le 202 campagne analizzate nella settimana dal 17 al 23 ottobre, 162 avevano obiettivi italiani. Il conteggio riguarda campagne osservate, non vittime o attacchi riusciti, e da solo non misura l'andamento nazionale del fenomeno. Per usarlo nel lavoro quotidiano occorre individuare chi valuta la pertinenza delle informazioni, chi decide l'intervento e quale esito resta consultabile. Una procedura breve può rendere verificabili queste responsabilità.

Assegnare la presa in carico

La pagina del CERT-AGID dedicata all'accreditamento riserva il flusso gratuito degli indicatori di compromissione alla Pubblica Amministrazione. Le aziende private e le società in house non possono accreditarsi direttamente; per queste ultime la richiesta deve passare dal referente della PA. Questo limite riguarda quel servizio. Non descrive tutte le fonti informative alle quali un'impresa possa accedere.

La prima verifica proposta riguarda le fonti ricevute dall'organizzazione, chi le gestisce e le prestazioni comprese nel servizio. Un ente accreditato può individuare il referente del flusso; un'impresa che affida la sicurezza a un fornitore può chiedere quali fonti siano comprese nella prestazione. La risposta serve a definire il lavoro effettivamente disponibile, prima di attribuire compiti che nessuno ha gli strumenti per svolgere.

Una procedura può assegnare a un referente la valutazione iniziale e indicare chi autorizza gli interventi che incidono sui servizi. Per una struttura piccola, le attività tecniche possono essere affidate allo stesso fornitore; resta da individuare chi, nell'organizzazione, riceve gli esiti e decide sulle questioni che il contratto non risolve. Conviene stabilire anche chi sostituisce il referente assente. Se la presa in carico dipende dalla disponibilità occasionale di una persona, la procedura lascia scoperti proprio i periodi nei quali quella persona non è presente.

Valutare l'indicatore prima di applicarlo

Gli indicatori di compromissione, o IoC, sono elementi tecnici utilizzabili per riconoscere attività malevole, come un dominio o l'impronta di un file. La RFC 9424 dell'Internet Engineering Task Force ne descrive impiego e limiti: occorre valutarne provenienza, aggiornamento e contesto, quindi scegliere se usarli per osservare eventi o per bloccare attività. La loro utilità dipende anche dalla visibilità dei sistemi che li impiegano.

La durata utile varia. Quando un indicatore non è più pertinente, mantenerlo senza riesame può produrre falsi positivi, ossia segnalazioni o blocchi di attività legittime. Il riesame dovrebbe quindi tenere conto del tipo di indicatore e del contesto nel quale è impiegato. Un riscontro richiede una valutazione, mentre l'assenza di riscontri non dimostra che ogni minaccia sia stata esclusa.

Per verificare il servizio, si può chiedere al responsabile tecnico di scegliere periodicamente una singola informazione ricevuta e ricostruire che cosa ne sia seguito. Questa prova circoscritta permette alla direzione di esaminare un'attività terminata: chi l'ha valutata, quale decisione ha preso e dove è registrato l'esito. Se un passaggio manca, il riesame può riguardare quel passaggio preciso, senza trasformarsi in una richiesta generica di maggiore sicurezza.

Dal tema SEND alla verifica del pagamento

L'avviso del CERT-AGID del 27 maggio 2026 sulle campagne a tema SEND descrive messaggi email e SMS che simulano sanzioni, con riferimenti a pratiche, importi e scadenze plausibili. Il messaggio rimanda a un sito falso per indurre il destinatario a inserire i dati della carta. L'avviso descrive un abuso del nome del servizio, non una violazione accertata della piattaforma SEND.

Per un ufficio amministrativo, una possibile applicazione è una regola di verifica prima del pagamento. Se arriva un messaggio di quel tipo, l'addetto sospende l'operazione richiesta e consulta il servizio attraverso un accesso già noto, indipendente dal collegamento ricevuto. Controlla l'esistenza della pratica e la corrispondenza della richiesta. In assenza di riscontro, trasmette il messaggio al referente indicato dall'organizzazione.

L'esempio consente di discutere anche un problema di autorizzazioni: l'addetto deve poter sospendere il pagamento per effettuare il controllo, senza dover scegliere fra rispettare la procedura e rispondere a una presunta urgenza. La direzione può rendere esplicita questa facoltà nelle istruzioni di lavoro e indicare chi risolve il dubbio quando la verifica non basta.

La formazione può esercitare questa sequenza con materiale didattico riconoscibile come tale. L'esito da osservare è ciò che il partecipante fa: quale canale usa per la verifica, a chi inoltra la segnalazione, quali informazioni conserva. La sola presenza al corso non descrive queste capacità. Un errore nell'esercitazione può richiedere di correggere le istruzioni o il canale di assistenza, oltre che di ripetere una spiegazione.

Chiedere al fornitore una risposta controllabile

Una richiesta utile al fornitore dovrebbe individuare la prestazione da verificare. La formula "aggiornamento delle protezioni" lascia aperto che cosa sia compreso e quale documento ne attesti l'esecuzione. In sede di definizione o riesame del servizio, l'organizzazione può chiedere di collegare ogni attività rilevante a un incarico riconoscibile e a un esito consultabile.

Per un controllo a campione, si propone una registrazione essenziale:

• data in cui l'informazione è stata acquisita;
• decisione presa e responsabile;
• data dell'intervento, se eseguito;
• esito della verifica ed eventuali anomalie ancora aperte.

Il campione può comprendere anche una decisione di non intervenire, purché motivata. Contare soltanto le modifiche eseguite rischierebbe infatti di premiare il volume di attività, senza permettere di valutare la ragione delle scelte. L'organizzazione deve poter distinguere un'informazione esaminata e ritenuta non pertinente da un'informazione rimasta senza valutazione.

Questa proposta non richiede un nuovo applicativo: la registrazione può trovare posto nel sistema già utilizzato per gestire le richieste al fornitore. Occorre però che il referente interno possa consultarla e comprendere che cosa resti da decidere. Quando una parte del servizio è affidata a un subfornitore, conviene precisare chi raccoglie gli esiti e chi risponde delle attività rimaste aperte. Il referente interno deve poter rivolgersi a un interlocutore identificato.

La decisione che resta alla direzione

Per i soggetti essenziali e importanti rientranti nel decreto legislativo 4 settembre 2024, n. 138, il collegamento con le responsabilità della direzione è esplicito. L'articolo 23 attribuisce agli organi di amministrazione e direttivi l'approvazione delle modalità di attuazione delle misure dell'articolo 24 e la supervisione dell'attuazione degli obblighi. L'articolo 24 richiede misure tecniche, operative e organizzative adeguate e proporzionate al rischio. Le misure comprendono, fra gli altri elementi, gestione degli incidenti, sicurezza dei rapporti con i fornitori, valutazione dell'efficacia e formazione. Queste disposizioni non impongono l'uso del feed CERT-AGID; richiedono ai soggetti destinatari di governare misure coerenti con i propri rischi.

L'impostazione proposta può essere adottata anche da un'organizzazione che non rientra in quel perimetro, come scelta di gestione. Nel riesame del servizio, la direzione può verificare se il referente dispone delle informazioni necessarie, se le richieste rimaste aperte hanno un responsabile e se il personale sa come segnalare un dubbio. Può quindi assegnare risorse o correggere una prestazione contrattuale sulla base di un problema identificato.

Il primo passo può essere limitato a una prova: scegliere una notizia recente e ricostruire, insieme al referente e al fornitore, la decisione che ha prodotto. Se manca una decisione, va assegnato chi la prenderà e quando. Se manca l'esito, va stabilito chi lo verificherà. Sono impegni sui quali il successivo riesame può dare una risposta.