Maria Scopece

Quanto spende la Pa per cloud e cybersecurity. Report Agid

Che cosa emerge dall’indagine Agid “La Spesa ICT 2021 nella PA italiana”

16 Gennaio 2022 08:21

Maria Scopece

Il Codice dell’Amministrazione digitale attribuisce all’Agenzia per l’Italia Digitale il compito di predisporre il Piano Triennale per l’informatica nella Pubblica Amministrazione a partire da dati e informazioni acquisiti dalle Pubbliche Amministrazioni. AGID ha redatto l’indagine “La Spesa ICT 2021 nella PA italiana”, che illustra le stime sull’andamento complessivo della spesa ICT della Pubblica amministrazione in Italia.

Le amministrazioni pubbliche analizzate

La rilevazione ha coinvolto le principali Amministrazioni centrali (Ministeri e PCM, Agenzie fiscali, Corte dei Conti, Istituti di ricerca nazionali, INPS, INAIL e ACI) e territoriali (Regioni e Province Autonome, Città metropolitane e relativi Comuni capoluogo). In particolare è stato analizzato un panel di 74 enti: 26 Amministrazioni centrali, 21 Regioni e Province Autonome, 13 Città Metropolitane e 14 Comuni capoluogo delle Città Metropolitane.

Il trend di crescita della spesa ICT

Nel periodo 2019-2022 il trend di crescita per la spesa dell’ICT è aumentato del +6% annuo rispetto al triennio precedente. Si è registrato un rallentamento 2020 (+3,9%), principalmente a seguito dell’emergenza Covid-19. Le eccezioni riguardano il settore della sanità (+5,1%) grazie al potenziamento dei sistemi di accesso e prenotazione on line, e quello dell’istruzione, che ha registrato una crescita del 10,5%, principalmente per l’implementazione dei sistemi di didattica a distanza. Le stime per il 2021 mostrano una ripresa più sostenuta in tutti i comparti, pari circa al 5,7%, per un valore complessivo stimato di circa 6,5 miliardi di euro. I dati non tengono in considerazione gli effetti degli investimenti del Piano Nazionale di Ripresa e Resilienza.

Cultura digitale: la raccolta e organizzazione dei dati

Gli Enti pubblici hanno iniziato ad affrontare con serietà il tema dei dati e della loro organizzazione e valorizzazione. Molti gli Enti che hanno partecipato all’indagine hanno predisposto un piano di Data Strategy o prevedono di farlo entro il 2022. Gli obiettivi dei piani riguardano la raccolta, la data governance dunque la gestione e l’organizzazione dei dati. A seguire vi sono obiettivi di valorizzazione dei dati dunquer “soluzioni di business analytics, l’introduzione di algoritmi di advanced analytics e il focus su tematiche di data compliance e di certificazione del dato”. Le amministrazioni più interessate a questi progetti sono le amministrazioni centrali, le Regioni e le Province autonome.

La metadatazione

L’organizzazione e la valorizzazione dei dati assegna alla “metadatazione” un ruolo fondamentale. Questo termine intende l’assegnazione ai dati conservati di dati descrittivi con un linguaggio accessibile da tutti i sistemi informatici. “I metadati, infatti, consentono una maggiore comprensione e rappresentano la chiave attraverso cui abilitare più agevolmente la ricerca, la scoperta, l’accesso e quindi il riuso dei dati stessi”.

Open data: tassello fondamentale per il dialogo con la cittadinanza

Altro punto focale riguarda la messa a disposizione di dati pubblici. Secondo le rilevazioni dell’analisi 20 Regioni e Province autonome hanno già rilasciato dataset in formato aperto sui loro datastore e l’ente restante prevede di farlo nel corso del 2021. “Gli Enti locali del panel, invece, hanno rilasciato dataset sia sui loro datastore (17 PAL) che su datastore di altri Enti pubblici (3 PAL), mentre altri 6 Enti prevedono di farlo entro la fine del 2022. Per quanto riguarda la PAC, infine, il numero di Enti che hanno rilasciato dataset in formato aperto e che prevedono di farlo entro la fine del 2022 risulta pari rispettivamente a 17 e 4”. La disponibilità di dati in formato aperto permette lo sviluppo di applicazioni web che possono riguardare la gestione di cantieri, del demanio, oppure dashboard e cruscotti che consentono l’analisi di dati in tempo reale come quelli del traffico, dell’infomobilità, del meteo, e di dati a livello regionale e comunale che riguardino lavoro, spesa, sanità, mercato immobiliare.

La diffusione capillare del cloud

Le amministrazioni pubbliche si affidano molto spesso ai cloud per conservare i dati raccolti. “I servizi cloud infatti sono molto diffusi all’interno del panel e complessivamente sono 66 gli Enti che ne fanno utilizzo. In particolare, l’uso dei servizi cloud è intenso in tutti i comparti della Pubblica Amministrazione: ne fanno ricorso il 90% delle Regioni e Province autonome (19 Enti), l’89% delle PAL (24 enti) e l’88% dalle PAC (23 enti)”. La prossima realizzazione di un Polo Strategico Nazionale verso cui dovranno migrare i Data Center con carenze strutturali e organizzative, ha indirizzato gli Enti della Pubblica Amministrazione verso la scelta di servizi cloud di tipo IaaS (Infrastructure as a Service) ovvero appoggiandosi a servizi informatici esterni nei quali organizza la propria infrastruttura cloud. “In genere, vengono adottate architetture di Private Cloud che danno maggiori garanzie in termini di sicurezza ed affidabilità”.

Le spese per i cloud

Gli Enti del panel, alla fine del 2020, hanno speso circa 70 milioni di euro per i servizi cloud “registrando una crescita di oltre il 43% sul 2019. Incremento previsto anche per il biennio 2021-2022, anche se con tassi in graduale consolidamento”. A spendere di più sono state le Regioni e Province autonome (55% del totale nel 2020), a seguire le Pubbliche Amministrazioni centrali (34%). “Sono le Regioni e Province autonome ad aver registrato la maggior crescita nel 2020 e, di conseguenza, a mostrare il maggior rallentamento nel prossimo biennio. La dinamica della spesa delle PAC, al contrario, appare più lineare ed è prevista rallentare solo nel 2022. Infine, le PAL evidenziano una flessione di circa il 10% registrata nel 2020 per poi prevedere un aumento di spesa nel biennio 2021-2022 ma caratterizzato da tassi piuttosto contenuti”.

La sicurezza informatica

Punto focale di tutta l’architettura dell’organizzazione dei dati è la sicurezza. L’attacco informatico alla Regione Lazio della scorsa estate ha dimostrato quanto le pubbliche amministrazioni possano essere esposte a azioni criminose che hanno ripercussioni reali sulla vita dei cittadini. Dalla rilevazione dell’AGID è emerso che la Governance delle tematiche di sicurezza sia gestita principalmente attraverso competenze e divisioni interne e non attraverso fornitori esterni. Nella maggioranza dei casi gli enti pubblici effettuano Cybersecurity Risk Assessment o Cybersecurity Assessment “con l’obiettivo di identificare gli asset che possono essere maggiormente soggetti ad attacchi cibernetici. Tali attività vengono tendenzialmente svolte con cadenza annuale o senza una cadenza specifica”. Sono le Pubbliche Amministrazioni locali a mostrare complessivamente una minor attenzione al tema, sia a oggi che in previsione.

Minacce informatiche: la consapevolezza del personale

La prevenzione e la difesa dalle minacce informatiche avvengono anche tramite una corretta formazione del personale dal momento che molti incidenti di sicurezza risultano imputabili a errori umani. Per aumentare la consapevolezza del personale le organizzazioni continuano a concentrarsi prevalentemente su policy generali e su iniziative dirette alla corretta formulazione di password e all’utilizzo sicuro degli strumenti IT. Purtroppo l’analisi dell’Agid evidenzia come in tutte le Amministrazioni sia scarsamente presente l’organizzazione di esercitazioni di sicurezza che consentano di fare delle vere e proprie simulazioni di attacco per verificare la capacità degli utenti di adottare la corretta postura in termini di sicurezza.

I piani di Disaster Recovery

Nel caso in cui si sviluppi un attacco informatico le Pubbliche Amministrazioni devono rispondere con un piano di Disaster Recovery che consenta di risolvere i danni causati. “ Nella maggioranza dei casi (il 65% del panel, ovvero 48 Enti), le Pubbliche Amministrazioni presentano piani di Disaster Recovery, in particolare Regioni e Province Autonome e PAC” inoltre “la metà delle CM e dei Comuni capoluogo hanno dichiarato l’adozione di un piano e un altro 22% ha segnalato di averlo previsto. Poco meno della metà di Istituzioni che non ha ancora formulato un piano di Business Continuity prevede di farlo entro il prossimo biennio o, al più tardi, entro il 2023”. Le amministrazioni locali sono le meno reattive nell’introduzione di piani Business Continuity, programmi che consentono di proseuire l’attività svolta.

La spesa per la sicurezza informatica

La spesa totale in sistemi e servizi per la sicurezza e la continuità di funzionamento si è attestata, tra le amministrazioni che hanno partecipato all’indagine, a 114 milioni di euro nel 2020, in crescita di oltre l’11% rispetto al 2019. “Le risorse destinate a questo ambito sono previste in crescita anche nel biennio 2021-2022 sebbene a fronte di un lieve consolidamento, atteso nel 2022. Complessivamente, a contribuire maggiormente alla spesa totale sono le Amministrazioni centrali (64% del totale nel 2020) e le Regioni e Province autonome (30% circa), mentre contribuiscono marginalmente gli Enti locali con il restante 6% circa”. È una spesa che presenta un’incidenza del 3%, ancora piuttosto contenuta rispetto alla spesa ICT complessiva, se si considera che nel settore privato la spesa destinata alla cybersecurity arriva ad essere pari a circa il 15-20% della spesa totale. “Il tema delle risorse economiche da destinare alla cybersecurity così come quello della carenza di competenza rappresenta uno dei nodi da sciogliere per intraprendere un percorso di digitalizzazione senza avere falle sul fronte della sicurezza”.