Gli organismi dell'UE devono rafforzare la loro preparazione alla sicurezza informatica

Il numero di attacchi informatici agli organismi dell'UE è in forte aumento. Il livello
della preparazione alla cibersicurezza all'interno degli organismi dell'UE varia e nel complesso non lo è
proporzionata alle crescenti minacce. Dal momento che gli organi dell'UE sono fortemente
interconnessi, una debolezza in uno può esporre gli altri a minacce alla sicurezza.
Questa la conclusione di una relazione speciale della Corte Europea del
Revisori dei conti che esamina la preparazione degli organi di governo dell'UE
contro le minacce informatiche. I revisori dei conti raccomandano che la sicurezza informatica vincolante
dovrebbero essere introdotte regole e la quantità di risorse a disposizione del
Il team di risposta alle emergenze informatiche (CERT-UE) dovrebbe essere aumentato. Il
La Commissione europea dovrebbe anche promuovere un'ulteriore cooperazione tra l'UE
organismi, affermano i revisori dei conti, mentre CERT-EU e l'Agenzia dell'Unione Europea per
La cibersicurezza dovrebbe concentrarsi maggiormente sugli organismi dell'UE che hanno meno risorse
esperienza nella gestione della sicurezza informatica.*

Gli incidenti significativi in ​​materia di sicurezza informatica negli organi dell'UE sono aumentati di più
dieci volte tra il 2018 e il 2021; il lavoro a distanza è notevolmente aumentato
il numero di potenziali punti di accesso per gli aggressori. Incidenti significativi
sono generalmente causati da attacchi informatici complessi che in genere implicano l'uso
di nuovi metodi e tecnologie e possono richiedere settimane se non mesi
indagare e recuperare da. Un esempio è stato l'attacco informatico al
Agenzia europea per i medicinali, dove i dati sensibili sono stati trapelati e manipolati
per minare la fiducia nei vaccini.

“*Le istituzioni, gli organi e le agenzie dell'UE sono obiettivi interessanti per il potenziale
aggressori, in particolare gruppi in grado di eseguire operazioni altamente sofisticate
attacchi invisibili per spionaggio informatico e altri scopi nefasti*”, ha affermato
Bettina Jakobsen, il membro della Corte dei conti europea che ha guidato l'audit. “*Questi attacchi possono avere
implicazioni politiche significative, danneggiano la reputazione generale dell'UE,
e minare la fiducia nelle sue istituzioni. L'UE deve intensificare i suoi sforzi per
proteggere le proprie organizzazioni.*”

La principale conclusione dei revisori dei conti è stata che le istituzioni, gli organi e gli organi dell'UE
le agenzie non sono sempre ben protette dalle minacce informatiche. Loro non
affrontare la sicurezza informatica in modo coerente, controlli essenziali e chiave
le buone pratiche di sicurezza informatica non sono sempre in atto e la sicurezza informatica
la formazione non è sistematicamente erogata. L'allocazione delle risorse a
la sicurezza informatica varia ampiamente e diversi organismi dell'UE stanno effettuando delle spese
notevolmente inferiore rispetto ai coetanei comparabili. Sebbene le differenze in
i livelli di sicurezza informatica potrebbero teoricamente essere giustificati dal diverso rischio
profili di ciascuna organizzazione e i diversi livelli di sensibilità della
dati che gestiscono, i revisori sottolineano che le debolezze della sicurezza informatica in a
un unico organismo dell'UE può esporre diverse altre organizzazioni alla sicurezza informatica
minacce (gli organismi dell'UE sono tutti collegati tra loro, e spesso al pubblico e
organizzazioni private negli Stati membri).

Il Computer Emergency Response Team (CERT-EU) e l'Unione Europea
L'Agenzia per la cibersicurezza (ENISA) sono le due principali entità dell'UE incaricate
fornendo supporto sulla sicurezza informatica. Tuttavia, non sono stati in grado di farlo
fornire agli organismi dell'UE tutto il supporto di cui hanno bisogno, grazie alle risorse
vincoli o priorità data ad altre aree. La condivisione delle informazioni è
anche una lacuna, dicono i revisori dei conti: per esempio, non tutti gli organismi dell'UE portano
report tempestivi sulle vulnerabilità e sulla sicurezza informatica significativa
incidenti che hanno avuto un impatto su di loro e potrebbero avere un impatto su altri.

Attualmente, non esiste un quadro giuridico per la sicurezza delle informazioni e
sicurezza informatica nelle istituzioni, nelle agenzie e negli organi dell'UE. Non sono soggetti
alla più ampia legislazione dell'UE sulla sicurezza informatica, la direttiva NIS del 2016, o
alla sua proposta di revisione, la direttiva NIS2. C'è anche n
informazioni complete sull'importo speso dagli organismi dell'UE
sicurezza informatica. Le regole comuni sulla sicurezza delle informazioni e via
la cibersicurezza per tutti gli organismi dell'UE è inclusa nella comunicazione sull'UE
Strategia dell'Unione della sicurezza per il periodo 2020-2025, pubblicata dal
Commissione nel luglio 2020. Nella strategia dell'UE per la cibersicurezza per il digitale
Decennio, pubblicato nel dicembre 2020, la Commissione si è impegnata a proporre a
regolamento sulle norme comuni di sicurezza informatica per tutti gli organismi dell'UE. Anche
ha proposto l'istituzione di una nuova base giuridica da rafforzare per CERT-EU
suo mandato e finanziamento.

e>

pubblicità

Condividi questo articolo: