La nuova legge italiana sulla cybersecurity: una guida essenziale per i CIO e per i CISO

La questione della crittografia

C’è un altro aspetto della legge in cui alcuni esperti vedono una debolezza. L’Art. 9 tratta il “Rafforzamento delle misure di sicurezza dei dati attraverso la crittografia” e istituisce il Centro nazionale di crittografia presso l’ACN.

Il testo recita che l’ACN provvede “allo sviluppo e alla diffusione di standard, linee guida e raccomandazioni al fine di rafforzare la cybersicurezza dei sistemi informatici, alla valutazione della sicurezza dei sistemi crittografici nonché all’organizzazione e alla gestione di attività di divulgazione finalizzate a promuovere l’utilizzo della crittografia, anche a vantaggio della tecnologia blockchain, come strumento di sicurezza informatica. L’Agenzia, anche per il rafforzamento dell’autonomia industriale e tecnologica dell’Italia, promuove altresì la collaborazione con centri universitari e di ricerca per la valorizzazione dello sviluppo di nuovi algoritmi proprietari, la ricerca e il conseguimento di nuove capacità crittografiche nazionali nonché la collaborazione internazionale con gli organismi esteri che svolgono analoghe funzioni. A tale fine, è istituito presso l’Agenzia, nell’ambito delle risorse umane, strumentali e finanziarie disponibili a legislazione vigente e senza nuovi o maggiori oneri a carico della finanza pubblica, il Centro nazionale di crittografia, il cui funzionamento è disciplinato con provvedimento del direttore generale dell’Agenzia stessa. Il Centro nazionale di crittografia svolge le funzioni di centro di competenza nazionale per tutti gli aspetti della crittografia in ambito non classificato”.

Secondo Telmon, se, da un lato, “è importante occuparsi di crittografia e istituire un centro di competenza nazionale”, dall’altro, “quando si parla di algoritmi proprietari va fatta attenzione. In crittografia questo è un concetto debole, perché gli algoritmi analizzati e validati da esperti mondiali sono più sicuri di quelli sviluppati in casa. L’idea che si possa pensare a dare preferenza ad algoritmi proprietari a livello nazionale è un mal riposto nazionalismo. Sarebbe meglio puntare su algoritmi analizzati almeno su scala UE”.