14 domande alla Regione Lazio: l'ex consulente ministeriale per la cybersecurity inchioda Zingaretti

Una lunga serie di domande rivolta alla Regione Lazio e a Nicola Zingaretti per far luce sul disastro dell’attacco hacker subito. Marco Mayer, Adjunt Professor presso la Scuola Superiore Sant' Anna di Pisa dove insegna Cyberspace and International Politics, nonché ex consigliere del ministro dell'Interno Marco Minniti per la cybersecurity, ha rivolto 14 interrogativi al governatore del Lazio tramite le colonne di Formiche.net:

1) Da quanto tempo i sistemi Lazio Crea Spa erano compromessi e ci sono stati altri incidenti o attacchi negli ultimi 3/4 anni?

2) Il Csirt/Dis e il Cert Pa hanno mai avuto un ruolo nella protezione informatica della Regione Lazio e in caso affermativo come si sono mossi?

3) Negli ultimi tre anni la Regione Lazio, la sua controllata Lazio Crea Spa e i loro dipendenti hanno iniziato ad applicare le disposizioni previste da Gdpr (dati personali) e dalla Nis?

4) La Regione Lazio e la sua controllata hanno utilizzato il Rti di Leonardo, Fastweb e Ibm come fornitori di Cybersecurity nell’ ambito della gara Consip SCP lotto 2?

5) È vero che il backup dei dati non è stato segregato? La Regione Lazio disponeva del piano di resilienza articolato in 4 fasi operative?

6) Quanti dipendenti e consulenti avevano le credenziali? Erano persone preparate, fidate e ben selezionate?

7) Perché la parola terrorismo è stata usata da Nicola Zingaretti dal primo momento, presumolmente senza alcun indizio in riferimento a gruppi terroristici? La domanda nasce dal fatto che a Bologna c’è stata una reazione molto negativa. Nella città colpita dalla strage del 2 agosto molti hanno giustamente o ingiustamente sospettato che fosse uno stratagemma della Regione per politicizzare l’accaduto e distrarre da inadempienze della Regione stessa e/o di Lazio Crea spa e/o dei loro fornitori ?

8) Era stato preparato un piano di comunicazione di eventuali emergenze?

9) È vero il ruolo di Engineering o esso riguarderebbe solo i casi ERG e Salini come qualcuno ha scritto? Oppure come sostenuto da altri è vero che la Salini avrebbe respinto lo stesso malware che il Lazio non è riuscito a bloccare?

10) Si è scritto di un dipendente di Frosinone (presumiblmente un’amministrazione di sistema). Se c’entra veramente è innocente, incauto e se l’indiscrezione fosse confermata ha agito in modo colposo o colpevole? In questo caso si tratterebbe di attendere una sentenza definitiva.

11) È importante anche capire se la Regione dispone di un Rdt  (obbligatorio cad art.17), il responsabile per la transizione digitale. E inoltre se la Regione Lazio e Lazio Crea Spa hanno il Ciso (Chief Information Security Officer) e in caso affermativo il soggetto dispone di qualifiche adeguate?

12) LA Regione ha adottato le Misure Minime AgID, obbligatorie dal 2017, che prevedono il mantenimento “segregato” di copie di backup ?

13) Le credenziali collegate direttamente o indirettamente ai fatti sono in vendita sul darkweb? Una testata riferisce che il primo caso di questo tipo sarebbe stato in Sardegna?

14) Ci sono possibili connessioni agli attacchi subiti in passato dallo Spallanzani? E se ci sono riguardano il vaccino “italiano” cofinanziato da Invitalia e/o altro genere di comunicazioni dedicate a Sputnik V o altri vaccini?