Ransomware Sapienza, Bergamotto (Mimit): “Nessun dato perso”. Pd: “Manca una strategia contro il ransomware“

Interrogazione a risposta orale alla Camera sui fatti della Sapienza. La sottosegretaria del Mimit Fausta Bergamotto difende l’azione del Governo. Andrea Casu del PD attacca: “Manca una strategia nazionale contro il ransomware”.

Il ransomware che ha colpito l’Università La Sapienza di Roma approda alla Camera e apre un confronto tra Governo e opposizione sulla gestione dell’emergenza e, più in generale, sulla strategia nazionale di cybersicurezza. I deputati Andrea Casu e Matteo Mauri (quest’ultimo primo firmatario della proposta di legge presentata il 24 marzo 2025 che punta a dotare il Paese di una strategia nazionale strutturata per contrastare il fenomeno) hanno presentato un’interrogazione a risposta orale alla Camera, indirizzata al Presidente del Consiglio e al Ministro dell’Interno, per chiedere chiarimenti sull’accaduto e sulle misure che il Governo intende adottare.

A rispondere all’interrogazione è stata oggi la sottosegretaria al Mimit Fausta Bergamotto, che ha rivendicato l’impegno dell’esecutivo sul tema. “Il Governo, fin dal suo insediamento, ha rivolto specifica attenzione alle infrastrutture critiche e agli asset più sensibili per il Paese, anche per i profili di sicurezza cibernetica”, ha dichiarato, sottolineando come siano state introdotte “ulteriori norme, con la finalità di elevare la resilienza sistemica dell’Italia”.

Ransomware Sapienza, Bergamotto: “CSIRT intervenuto tempestivamente senza la perdita di alcun dato”

Nel dettaglio, Bergamotto ha richiamato “la legge 28 giugno 2024, numero 90” e il recepimento della direttiva NIS2, “volta a garantire un livello comune elevato di cybersicurezza nell’Unione Europea”, evidenziando che “l’Italia è stata, infatti, tra i primi Stati membri a completare l’iter di adozione”.

Sul caso specifico della Sapienza, il Governo ha spiegato che “il personale del CSIRT dell’Agenzia della Cybersecurity Nazionale ha fornito supporto fin dai primi momenti”, con un team di esperti che ha gestito le attività di risposta all’incidente. L’intervento ha consentito “la progressiva e rapida riattivazione dei servizi IT dell’Ateneo impattati dall’attacco cyber, compreso il portale Infostud”, e “senza la perdita di alcun dato”.

“La fase emergenziale della gestione dell’incidente” è quindi considerata conclusa, mentre resta in corso un lavoro di rafforzamento della sicurezza: personale dell’ACN “partecipa alla task force istituita dalla rettrice con l’obiettivo di ottenere un innalzamento generale della sicurezza informatica dell’università”.

Casu: “Manca una strategia strutturata contro il ransomware“

Una ricostruzione che però non convince l’opposizione. Il deputato del PD Andrea Casu ha criticato la risposta del Governo: “La risposta non può essere considerata soddisfacente”, afferma, sottolineando che il problema non è solo l’episodio specifico ma la fragilità complessiva del sistema. “Se c’è il sospetto che una semplice scelta di qualche singolo dipendente, una password non abbastanza sicura, possa avere generato una vulnerabilità di un’infrastruttura così importante, è chiaro che c’è una debolezza del sistema”.

Casu punta il dito soprattutto sull’assenza di una strategia strutturata contro il ransomware: “Il tema del ransomware oggi è un tema di assoluta urgenza, però non vediamo un’azione di Governo e non troviamo traccia nella risposta di questa necessaria azione”.

Che fine ha fatto le legge Mauri contro i ransomware?

Sui ransomware ci chiediamo che fine ha fatto la proposta di legge presentata dal PD e firmata dall’on. Mauri. La proposta, al momento ferma in Parlamento, renderebbe l’Italia uno dei Paesi più avanzati riguardo la lotta ai ransomware grazie i 9 principi e criteri direttivi:

1. Istituzione del Fondo nazionale di risposta agli attacchi informatici a scopo di estorsione, destinato a supportare i soggetti pubblici e privati nel ristoro (anche solo parziale) delle perdite economiche, accessibile solo a chi dimostri di aver notificato l’attacco nei termini e di aver applicato quanto previsto dal piano ACN.
2. Previsione del divieto di pagamento di un riscatto per i soggetti pubblici e privati di cui all’art. 1, comma 2-bis, del d.l. 105/2019 (convertito con modificazioni dalla legge 133/2019), per i soggetti “essenziali” e “importanti” ai sensi dell’art. 7, comma 2, del d.lgs. 138/2024, e per i soggetti di cui all’art. 1, comma 1, della legge 90/2024. Il divieto è derogabile solo tramite atto del Presidente del Consiglio in presenza di un rischio grave e imminente per la sicurezza nazionale.
3. Introduzione di una disposizione che consenta di qualificare l’attacco, indipendentemente dal soggetto responsabile, come incidente o compromissione pregiudizievole per la sicurezza nazionale, secondo quanto definito dal d.P.C.M. 131/2020.
4. Attribuzione al Presidente del Consiglio della facoltà di decidere l’applicazione delle misure di intelligence di contrasto in ambito cibernetico (ai sensi del d.l. 174/2015 convertito dalla legge 198/2015), anche in situazioni di crisi o emergenza fronteggiabili con la sola resilienza.
5. Estensione delle attività sotto copertura agli ufficiali di polizia giudiziaria delle Forze dell’ordine, anche su reti, sistemi informativi e servizi informatici posti al di fuori dei confini nazionali.
6. Previsione di un obbligo di notifica al CSIRT Italia per qualsivoglia soggetto pubblico o privato che subisca un attacco, ad esclusione dei casi in cui gli effetti dell’attacco siano neutralizzati prima della sua esecuzione. La notifica, da effettuare entro sei ore, deve essere trasmessa da CSIRT Italia a Polizia Postale, autorità DORA, organismi di intelligence e, ove rilevante, al Ministero della Difesa.
7. Predisposizione da parte dell’ACN di un piano di azione a sostegno dei soggetti colpiti, incluse PA locali e PMI, comprendente misure di gestione, contenimento, recupero operativo e indicazioni di buone prassi preventive.
8. Istituzione di un nucleo d’intervento nazionale incardinato nel CSIRT Italia, con ruolo di coordinamento, attuazione del piano ACN, supporto alle vittime e raccolta/condivisione di informazioni a livello nazionale e internazionale.
9. Introduzione di incentivi economici a favore dell’ACN per realizzare le attività previste.

Casu: “Sui ransomware serve un approccio condiviso”

Per una strategia nazionale sul contrasto agli attacchi estorsivi e insiste sulla necessità di un approccio condiviso: “Non dovrebbe vedere una contrapposizione fra opposizione e maggioranza, dovrebbe vederci tutti uniti per essere meno fragili. Vediamo che proprio sulla sicurezza dei nostri dati, su chi sta utilizzando i nostri dati, vi è una totale indisponibilità anche alla risposta del Governo”, ha aggiunto Casu.

Il riferimento è anche alle indiscrezioni su accordi con soggetti esterni: “Ci sono importanti indiscrezioni giornalistiche: accordi con la difesa, accordi con gli interni, la sicurezza dei nostri dati nelle mani di un soggetto che sta dimostrando la propria pericolosità per l’uso politico che sta facendo della sua tecnologia”.

Da qui la richiesta di maggiore trasparenza e di un rafforzamento degli strumenti nazionali ed europei: “Noi vi chiediamo di attivare sempre più strumenti italiani ed europei e tecnologie proprietarie, dare più strumenti all’ACN”, conclude Casu.

Seguici anche sul nostro canale WhatsApp