Il settore pubblico del Regno Unito ha raggiunto un punto di svolta nella sua resilienza informatica. Con un nuovo Primo Ministro al governo e significativi cambiamenti già annunciati, tra cui l’eliminazione del DSIT, il ministero che aveva assunto il ruolo centrale nella politica digitale, tecnologica e informatica del governo, le responsabilità ora vengono redistribute in altre parti di Whitehall. Questo sta creando un nuovo panorama di politiche e di attuazione che i leader del settore pubblico devono navigare.
Per anni, la sicurezza informatica è stata considerata una disciplina specialistica e operativa, essenziale ma prevalentemente delegata ai team tecnici. Questo modello, però, non è più sostenibile. Ora la pressione proviene da tre direzioni contemporaneamente: le politiche sollevano aspettative per i consigli e i leader senior; le riforme organizzative stanno ridefinendo come i servizi, i sistemi e i fornitori si connettono; e i cambiamenti tecnologici, dal cloud al lavoro ibrido fino all’IA, ampliano le opportunità ma anche l’esposizione al rischio.
Queste forze significano che la resilienza informatica non può più rimanere sotto il livello del consiglio. I servizi pubblici, che includono assistenza sanitaria, prestazioni, trasporti, istruzione e risposta alle emergenze, dipendono ormai così tanto dal digitale che un incidente informatico non è semplicemente un’interruzione IT, ma un rischio per la fiducia pubblica, la sicurezza dei cittadini e la continuità stessa del governo.
Cambiamenti di politica hanno reso la resilienza informatica un obbligo per la leadership
La direzione fornita dal governo e dal National Cyber Security Centre è chiara. L’impegno per la resilienza informatica richiede alle organizzazioni di rendere la sicurezza informatica una responsabilità a livello di consiglio, registrarsi per il servizio di allerta precoce dell’NCSC e adottare un approccio basato sul rischio per le Cyber Essentials in tutta la loro catena di fornitura. Il Codice di Pratica sulla Governance della Sicurezza Informatica dell’NCSC sottolinea ulteriormente che i rischi informatici devono essere gestiti come qualsiasi altro rischio organizzativo materiale. Il Cyber Security and Resilience Bill amplierà ulteriormente le aspettative riguardanti i servizi essenziali e digitali, rafforzando la segnalazione degli incidenti e includendo più fornitori critici nel proprio ambito.
Questo è fondamentale, poiché la scala e l’impatto delle minacce informatiche che il Regno Unito deve affrontare stanno aumentando rapidamente. L’NCSC ha gestito 204 incidenti informatici significativi a livello nazionale nell’anno fino a settembre 2025, rispetto ai 89 dell’anno precedente. Ciò significa che il Regno Unito sta vivendo in media quattro attacchi informatici significativi a settimana.
Di conseguenza, la domanda nel consiglio deve cambiare. I leader non devono più chiedersi solo se un’organizzazione ha investito in strumenti di sicurezza, ma se possono dimostrare la propria resilienza, fornire prove di responsabilità e continuare a erogare servizi critici quando i sistemi sono sotto pressione, i fornitori sono compromessi, l’accesso ai dati è interrotto o gli aggressori sono già all’interno della rete.
Cambiamenti organizzativi creano rischi informatici nascosti
Il secondo fattore è il cambiamento organizzativo. La riorganizzazione del governo locale sta ridisegnando strutture e responsabilità in tutta l’Inghilterra. La rinazionalizzazione delle ferrovie e altri spostamenti nella proprietà pubblica stanno cambiando chi possiede, gestisce e protegge i dati e i sistemi critici. Le priorità e i modelli di attuazione dei dipartimenti stanno anche evolvendo sotto un nuovo Primo Ministro, con l’eliminazione del DSIT e funzioni come la trasformazione digitale, l’adozione dell’IA nel settore pubblico, la resilienza delle informazioni e i danni online che si spostano in diversi dipartimenti e strutture del governo centrale.
Ognuna di queste transizioni crea potenziali lacune. I sistemi devono essere integrati, le identità e i privilegi di accesso devono essere rivalutati, i dati devono muoversi tra team, agenzie e fornitori, e i contratti e le responsabilità devono essere ridefiniti. Durante i periodi di cambiamento, la superficie di attacco si espande e la responsabilità può diventare confusa.
Per questo motivo, la resilienza informatica deve essere incorporata nella riforma del settore pubblico fin dall’inizio. La domanda non è semplicemente come ristrutturare i servizi in modo efficiente, ma come garantire che i cittadini possano continuare ad accedere a tali servizi in modo sicuro durante la transizione. La riorganizzazione senza resilienza rappresenta un rischio per il pubblico.
I cambiamenti tecnologici richiedono un’assicurazione continua
Il terzo fattore è il cambiamento tecnologico. Il lavoro del settore pubblico ora avviene in ambienti ibridi, servizi condivisi, piattaforme cloud, ecosistemi di partner e catene di fornitura complesse. I modelli di sicurezza tradizionali erano stati costruiti per un mondo più stabile, fatto di uffici fissi, reti prevedibili, utenti noti e confini organizzativi ben definiti, un contesto che non esiste più.
L’IA rende questo problema più urgente. L’IA viene già utilizzata nel settore pubblico per migliorare la produttività, analizzare informazioni e supportare una migliore erogazione dei servizi. Ma senza governance, le organizzazioni possono rapidamente perdere il controllo su quali strumenti vengono utilizzati, quali dati possono accedere e se informazioni sensibili vengono esposte. L’IA “shadow” non è un rischio futuro; è una sfida di governance presente.
La resilienza in questo ambiente richiede un’assicurazione continua. L’accesso non dovrebbe essere concesso semplicemente perché un utente si trova su una rete fidata. Ogni richiesta dovrebbe essere verificata in base a identità, contesto, postura del dispositivo e rischio. Gli utenti dovrebbero ricevere solo l’accesso di cui hanno bisogno, quando ne hanno bisogno. Le applicazioni dovrebbero essere protette da esposizioni non necessarie e i dati dovrebbero essere segmentati in modo che un compromesso in un’area non propaga automaticamente in tutta l’organizzazione.
Cosa dovrebbero fare ora i consigli del settore pubblico
Rendere la resilienza informatica una priorità a livello di consiglio non significa che ogni direttore debba diventare un esperto tecnico. Significa che i leader senior devono avere la governance, le prove e la responsabilità giuste per rispondere alle tre forze che stanno plasmando il rischio nel settore pubblico. Ciò inizia con il trattare la resilienza informatica come un punto fisso all’ordine del giorno del consiglio, legato direttamente alla continuità dei servizi, alla fiducia dei cittadini, all’esposizione normativa e all’attuazione delle riforme. Richiede anche che i consigli comprendano quali servizi critici dipendano da quali sistemi, fornitori e set di dati, dove esistono punti di guasto unici e come le interruzioni in una parte dell’ecosistema potrebbero influenzare la capacità dei cittadini di accedere ai servizi essenziali.
La garanzia della catena di fornitura deve essere parte della stessa conversazione. I servizi pubblici vengono forniti attraverso ecosistemi, quindi la resilienza non può fermarsi al confine di un singolo dipartimento, consiglio, agenzia o fiducia. Le Cyber Essentials, i controlli sui fornitori, le obbligazioni contrattuali e le chiare aspettative di segnalazione degli incidenti dovrebbero essere incorporate nella gestione degli appalti e dei contratti. Allo stesso tempo, gli enti pubblici devono spostarsi da una fiducia implicita basata su reti o luoghi verso una verifica continua basata su identità, contesto, postura del dispositivo e rischio. Gli utenti dovrebbero avere solo l’accesso di cui hanno bisogno, quando ne hanno bisogno, e l’adozione dell’IA dovrebbe essere governata prima della sua espansione, in modo che l’innovazione non crei percorsi non gestiti verso informazioni sensibili.
La resilienza è ora una prova di leadership nel settore pubblico
Il contesto politico del Regno Unito è cambiato. Le organizzazioni del settore pubblico stanno cambiando. La tecnologia sta cambiando ancora più rapidamente. L’unico modo per gestire questa complessità è costruire la resilienza informatica nel modo in cui i servizi pubblici vengono governati, trasformati e forniti.
Il settore pubblico non può permettersi di considerare la resilienza come un elemento da adattare dopo il rafforzamento della legislazione, il completamento dei programmi di riforma o l’accelerazione dell’adozione dell’IA. Deve essere progettata fin dall’inizio, misurata a livello dirigenziale e testata continuamente.
La resilienza informatica non riguarda solo la protezione dei sistemi, ma la protezione della capacità del pubblico di fare affidamento sul governo quando politiche, organizzazioni e tecnologia cambiano contemporaneamente. Questo la rende, di fatto, una priorità a livello di consiglio.
Per ulteriori informazioni su come Zscaler supporta le organizzazioni pubbliche, è possibile consultare questo link.
Articolo fornito da Zscaler
