Assessment sulla ciber-resilienza (CyRA): Quanto sono resilienti i Comuni e le aziende svizzere di fronte ai ciberattacchi?
L’Ufficio federale della cibersicurezza (UFCS) ha sviluppato uno strumento standardizzato per la valutazione della ciber-resilienza e lo ha testato per la prima volta in condizioni reali nel Cantone di Argovia. I risultati dimostrano che, sebbene siano presenti misure di protezione informatica di base, in molte organizzazioni manca ancora un approccio globale e orientato ai processi in materia di resilienza.
La capacità di garantire il funzionamento dei servizi essenziali anche a seguito di ciberattacchi e interruzioni dei sistemi IT sta assumendo un’importanza crescente per le organizzazioni. Nella pratica, tuttavia, spesso manca una base coerente per valutare il proprio livello di ciber-resilienza e confrontarlo con quello di altri attori. L’UFCS ha quindi elaborato un assessment della ciber-resilienza (CyRA) sulla base del proprio modello di sicurezza informatica e resilienza. L’assessment consente alle organizzazioni di effettuare un’autovalutazione sulla base di sei obiettivi di resilienza e getta le basi per un’analisi comparativa. A differenza di molti approcci consolidati alla sicurezza informatica, come ad esempio il NIST CSF o la norma ISO 27001, il CyRA si concentra specificamente sui processi critici per l’attività di un’organizzazione e sulle loro dipendenze dai sistemi IT e OT.
Progetto pilota nel Cantone di Argovia
Da metà febbraio a fine marzo 2026 è stato realizzato un progetto pilota nel Cantone di Argovia ai fini della verifica in condizioni reali. Vi hanno partecipato in totale 25 organizzazioni: 14 Comuni e altre 11 organizzazioni operanti nei settori dei servizi, dell’industria, dell’informatica e delle telecomunicazioni, dell’approvvigionamento energetico e dell’edilizia. Le organizzazioni hanno svolto l’autovalutazione in modo autonomo; la compilazione del questionario ha richiesto, a seconda dell’organizzazione, fino a un giorno lavorativo. Il progetto pilota non è servito soltanto a raccogliere prime informazioni, ma anche a testare lo strumento di rilevamento digitale. I feedback relativi alla guida utente e alla comprensibilità delle singole domande saranno integrati direttamente nell’ulteriore sviluppo dello strumento.
Principali risultati emersi dal progetto pilota
Dalla valutazione risulta una situazione comune a tutti i diversi settori: in molte organizzazioni sono presenti misure di protezione di base, ad esempio nel campo del backup dei dati, dei controlli di accesso o della protezione dei sistemi IT. D’altra parte, si riscontrano evidenti carenze nel collegamento sistematico di tali misure con i propri processi aziendali. Le carenze sono particolarmente evidenti in tre ambiti: in primo luogo, nella mappatura strutturata delle dipendenze IT e OT lungo i processi aziendali. In secondo luogo, nella pianificazione delle emergenze e del ripristino, dove spesso mancano chiare priorità ed esercitazioni periodiche. In terzo luogo, nella gestione delle dipendenze nei confronti dei fornitori di servizi IT esterni: un modello di vulnerabilità che si manifesta in tutti i settori. In sintesi, si può affermare che in molte organizzazioni la ciber-resilienza si basa ancora su misure isolate, non su un concetto globale e orientato ai processi. Mentre le misure di sicurezza IT di base sono spesso consolidate, la ciber-resilienza come approccio globale non è ancora sufficientemente radicata in molti casi.
Valore aggiunto per le organizzazioni, i Cantoni e la Confederazione
Per le organizzazioni partecipanti, il CyRA offre una valutazione strutturata della situazione attuale. Permette di mettere in luce i punti di forza, identificare i punti deboli e stabilire le priorità delle misure da adottare. Il benchmarking consente inoltre il confronto con attori simili e rappresenta quindi uno strumento prezioso per illustrare in modo comprensibile ai propri vertici le necessità di intervento a livello interno. Per i Cantoni e la Confederazione, un ampio utilizzo del CyRA offre una visione strutturata del livello di resilienza di interi settori. Ciò crea le basi per misure mirate di sostegno e sensibilizzazione e per una gestione basata su dati concreti, in particolare nei campi d’azione individuati quali la gestione dei fornitori e la gestione orientata ai processi della sicurezza IT e OT. L’utilità dello strumento aumenta in modo significativo con l’entità della base di dati.
I Cantoni, le associazioni e la Confederazione ottengono una visione d’insieme del livello di resilienza di interi settori.
Situazione attuale e prospettive
Il CyRA è attualmente in fase di prototipo. Il progetto pilota nel Cantone di Argovia ha rappresentato il primo test pratico in condizioni reali. Sulla base delle conoscenze acquisite, lo strumento di rilevamento digitale verrà ora ulteriormente sviluppato, con l’obiettivo di renderlo disponibile a una cerchia più ampia di utenti. Tra le altre cose, si intende migliorare la guida utente, aumentare la comprensibilità delle singole domande e ridurre l’onere per le registrazioni. In questo modo, in futuro i sistemi IT, le applicazioni e i dati condivisi non dovranno essere registrati separatamente per ogni processo, ma potranno essere assegnati a più processi critici per l’azienda. A medio termine è previsto un raggruppamento in un unico catalogo di verifica, al fine di migliorare ulteriormente la comparabilità dei risultati. Con l’ampliamento della base dati, il CyRA potrà diventare uno strumento centrale per la gestione basata su dati concreti della ciber-resilienza a livello regionale e nazionale.