Le ultime notizie di cronaca sulle vulnerabilità informatiche del mondo dell’istruzione del nostro paese sono la dimostrazione che l’obiettivo di realizzare una pubblica amministrazione italiana digitalizzata e sicura è ancora un miraggio.
A disilluderci sono stati prima il ransomware che nei giorni scorsi ha paralizzato l’Università la Sapienza, costringendo i 122mila studenti a tornare a fare i compiti con carta e penna, e più di recente le enormi falle informatiche emerse nelle principali piattaforme online di registro elettronico utilizzate dalle scuole italiane con migliaia di carte d’identità, certificati, foto di minori, ed altri documenti contenenti dati sensibili che risultano liberamente accessibili da chiunque senza alcuna protezione, e in alcuni casi addirittura trovabili facendo una semplice ricerca su Google.
In barba a qualsiasi strategia nazionale di cybersicurezza, stanziamenti di decine milioni di euro, nuove istituzioni governative create per proteggere le pubbliche amministrazioni e il sistema produttivo dalle minacce cibernetiche, la realtà attuale è ben diversa dalle mirabili ambizioni di voler costruire una società digitale in cui gli algoritmi risolvono tutti i problemi al nostro posto.
Se nella vicenda che ha colpito la Sapienza si è sentito parlare solo dei cattivissimi hacker russi che hanno preso in ostaggio tutti i dati conservati nei server dell’ateneo romano, a quanto pare si è però preferito sorvolare sulle cause endogene. Dando per scontato che l’Università disponga di un efficace antivirus regolarmente aggiornato, occorre infatti ricordare che gli inneschi dei ransomware vengono tipicamente recapitati tramite mail che richiedono di cliccare su link persuasivi come “ritira il tuo premio” o “scarica la fattura”, e nel 2026 desta non poche perplessità constatare che buona parte del personale della pubblica amministrazione abbia ancora scarsa consapevolezza dei rischi informatici, evidenziando uno scarso livello di competenze tale da non permettere di riconoscere neanche le più banali trappole digitali, ma soprattutto inadeguato per sperare di riuscire a governare con successo l’intelligenza artificiale.
Invece, nel caso del “buco” trovato nelle piattaforme utilizzate dalle scuole per la gestione del registro elettronico, nessun pirata informatico e nessun altro malintenzionato hanno trafugato la marea di carte d’identità ed altri documenti di docenti, personale ammnistrativo e studenti delle scuole: è il sistema stesso a sabotarsi da solo.
Se tali piattaforme sono un colabrodo per la privacy, una delle principali cause risiede infatti nella logica della centralizzazione e standardizzazione mirata ad ottenere risparmi su vasta scala su cui è incentrato il sistema di e-procurement di CONSIP per gli acquisti della pubblica amministrazione, che attraverso il Mercato Elettronico della Pubblica Amministrazione (MEPA) premia puntualmente i fornitori che applicano il prezzo più basso, anche quando mancano adeguati requisiti di sicurezza tecnica e normativa.
Ma la sicurezza dei dati non è valorizzabile un tanto al chilo, e se ne vedono le conseguenze con data breach su larga scala, furti di identità digitale dei cittadini, interruzioni di servizi, e diffusioni accidentali di dati sensibili degli sventurati di turno.
È vero che la pubblica amministrazione italiana si trova da anni a fronteggiare la sfida complessa di dover coniugare l’efficienza e la trasparenza della spesa pubblica con la qualità dei prodotti e dei servizi acquistati, ma d’altra parte ci troviamo di fronte a un corto circuito sistemico.
Per assicurare livelli adeguati di privacy e cybersecurity nelle istituzioni pubbliche non ci si può affidare alle soluzioni low cost, che meno costano e meno garanzie forniscono.
Se davvero si vogliono realizzare gli obiettivi di una nuova società digitale, occorre quindi fare serie riflessioni sulle competenze che devono avere sia gli addetti delle PA che i professionisti di cui esse si avvalgono, sull’irragionevolezza dei meccanismi che regolano gli acquisti della pubblica amministrazione penalizzandone però l’efficienza, ma anche sulla necessità di far funzionare bene un’authority come l’Agenzia per la Cybersicurezza Nazionale (ACN), che altrimenti è destinata a diventare l’ennesimo carrozzone inutile a spese dei contribuenti.
