AgID, ovvero l’Agenzia per l’Italia Digitale, ha pubblicato a metà dicembre 2022 i risultati del terzo monitoraggio sull’utilizzo del protocollo HTTPS e lo stato di aggiornamento dei CMS nei sistemi della Pubblica Amministrazione, e i dati confermano che i siti web della PA italiana sono più sicuri rispetto al 2021.
A cosa serve il monitoraggio?
Il monitoraggio protocollo HTTPS e vulnerabilità dei CMS si inserisce all’interno del Piano Triennale per l’informatica nella Pubblica Amministrazione.
Il Piano Triennale ha lo scopo principale di “promuovere la trasformazione digitale del Paese e, in particolare quella della Pubblica Amministrazione italiana” .
Il capitolo 6 del piano è dedicato alla Sicurezza Informatica e definisce obiettivi, risultati attesi e strategie da attuarsi per contrastare la minaccia cibernetica e garantire ai cittadini servizi digitali sicuri.
L’obiettivo “OB.6.2 – Aumentare il livello di sicurezza informatica dei portali istituzionali della Pubblica Amministrazione” prevede lo sviluppo di strumenti di rilevazione e monitoraggio dell’uso del protocollo HTTPS e delle vulnerabilità dei CMS.
Cosa viene analizzato dal monitoraggio?
Come abbiamo detto, il monitoraggio serve a rilevare quali siti della Pubblica Amministrazione utilizzano il protocollo HTTPS e se i CMS utilizzati sono aggiornati o presentano vulnerabilità.
Prima di mostrare i dati, facciamo un passo indietro e approfondiamo cosa sono questi due concetti e perché sono importanti.
Protocollo HTTPS
Il termine HTTPS è l’acronimo di HyperText Transfer Protocol over Secure Socket Layer e indica un protocollo per la comunicazione di dati sicura, poiché utilizza una connessione criptata.
In questo modo, la trasmissione di dati tra il client web (di solito il browser) e il server web è crittografata e non è possibile intercettare la comunicazione da parte di terzi non autorizzati.
Se pensi a quanti dati sensibili trasmettiamo attraverso i siti della Pubblica Amministrazione (i nostri dati anagrafici, contatti, dati di pagamento, etc…) è evidente che l’utilizzo di HTTPS è una misura di sicurezza indispensabile.
CMS
Come abbiamo approfondito nell’articolo dedicato ai Siti Web, CMS sta per sistema di gestione dei contenuti (Content Management System in inglese) e sta a indicare un software che permette di gestire i contenuti di un sito web (pagine, articoli, ma anche layout e stile) utilizzando un’interfaccia di amministrazione, ovvero senza mettere mano direttamente al codice.
I CMS più famosi sono:
- WordPress, il più utilizzato al mondo, è il CMS usato per i siti web di Ministero degli Affari Esteri e della Cooperazione Internazionale, Aeronautica Militare, Ministero del Turismo;
- Drupal, un CMS più avanzato di WordPress usato dai siti web di AgID, Governo Italiano e Senato della Repubblica, Ministero dell’Interno, Ministero dell’Università e della Ricerca, Ministero delle infrastrutture e dei trasporti;
- Joomla!, un CMS avanzato usato per il sito web del Ministero delle Imprese e del Made in Italy.
Di seguito i tre CMS più usati dai siti della PA con un confronto rispetto al 2021:
- WordPress – 2021: 4490, 2022: 5205 (+715)
- Joomla! – 2021: 2248, 2022: 2251 (+3)
- Drupal – 2021: 801, 2022: 794 (-7)
I CMS, soprattutto quelli più usati e open source (cioè il cui codice sorgente è a disposizione di tutti) devono sempre essere aggiornati alla loro ultima versione.
Questo perché se il codice è obsoleto potrebbero esserci delle vulnerabilità che consentono ai malintenzionati di violare il sito web, rubare dati e interrompere il servizio.
I risultati del monitoraggio
In generale, i siti web della PA sono oggi più sicuri rispetto al 2021.
Per quanto riguarda l’utilizzo di HTTPS, la percentuali di siti sicuri, ovvero siti web che usano HTTPS con una configurazione adeguata agli standard moderni, è più che raddoppiata, come evidenziato nel grafico che segue:
Per quanto riguarda i CMS, i dati sono incoraggianti se confrontati con il 2021, sebbene ci sia ancora molta strada da fare perché il numero di CMS aggiornati si possa considerare soddisfacente.
Infatti, oltre la metà dei siti web che utilizzano un Content Management System usano un sistema non aggiornato.
Rispetto al 2021, comunque, i CMS non aggiornati sono diminuiti, e questo ci fa ben sperare che in futuro sempre più siti web della Pubblica Amministrazione utilizzeranno versioni di WordPress, Drupal e Joomla! sicure.
Conclusioni
In linea generale, i siti web della PA sono oggi più sicuri.
I dati mostrano che c’è sempre più consapevolezza dei rischi che si corrono se si utilizzano sistemi obsoleti e con errori di configurazione.
Il nostro augurio è che il trend positivo prosegua e che l’anno prossimo le percentuali di siti web della PA sicuri cresca ancora!