Sicurezza informatica a Roma
Servizi di cybersecurity per enti e aziende romane
Fidem è una società italiana di sicurezza informatica con sede a Verona. Su Roma non abbiamo un ufficio e non fingiamo di averlo: se cercate un fornitore che possa presentarsi in sede nel giro di un’ora, non siamo noi.
Quello che facciamo su Roma è definito e verificabile. I servizi continuativi — sorveglianza, gestione, analisi, riunioni operative — sono erogati da remoto, esattamente come per qualsiasi altro cliente, perché è così che funziona un centro operativo di sicurezza. Le attività che richiedono presenza fisica, in primo luogo le acquisizioni forensi, si programmano e ci si sposta.
Le richieste che arrivano da Roma si concentrano su tre cose: perizie e informatica forense, DPO esterno, e i requisiti di sicurezza che la pubblica amministrazione trasferisce ai propri fornitori. Questa pagina tratta le tre nell’ordine in cui ce le chiedono.
Perché il contesto romano ha regole sue
Roma non è semplicemente la città più grande del centro Italia. È il luogo dove si concentrano amministrazioni centrali, enti, agenzie, concessionari di pubblico servizio, aziende sanitarie, associazioni di categoria e organizzazioni del terzo settore. È anche la sede dell’Agenzia per la Cybersicurezza Nazionale.
La conseguenza pratica è che qui la sicurezza informatica raramente è una scelta discrezionale di un imprenditore: è un requisito che discende da una norma, da una gara o da una convenzione. Cambia il modo in cui si lavora. Contano la documentabilità di ogni passaggio, la tracciabilità delle decisioni e la capacità di reggere un controllo — non la brochure della tecnologia installata.
Cambia anche chi decide: l’interlocutore è un responsabile dei sistemi informativi o un responsabile per la transizione al digitale che deve motivare la spesa in un procedimento amministrativo, con tempi e vincoli che nessuna azienda privata ha.
DPO per enti pubblici: qui l’obbligo non ammette valutazioni
È la differenza più netta rispetto al settore privato, e vale la pena dirla senza giri di parole. Per le autorità pubbliche e gli organismi pubblici la designazione del Data Protection Officer è prevista dall’articolo 37, paragrafo 1, lettera a) del GDPR a prescindere dal tipo e dal volume dei trattamenti. Non c’è una soglia da superare né una valutazione di larga scala da fare: l’obbligo c’è perché il soggetto è pubblico.
Per un’azienda privata, invece, l’obbligo dipende dall’attività — trattamenti su larga scala come attività principale, monitoraggio sistematico, categorie particolari di dati o dati giudiziari. Molte organizzazioni romane si trovano in mezzo: società partecipate, concessionari, enti del terzo settore che gestiscono servizi per conto di un’amministrazione. Per loro la risposta va costruita sul caso concreto, guardando la natura giuridica e l’attività svolta.
Il DPO deve inoltre essere indipendente e non trovarsi in conflitto di interessi: non può essere chi decide le finalità dei trattamenti, il che esclude di fatto il responsabile dei sistemi informativi e il vertice amministrativo. È la ragione per cui la designazione esterna è la strada più frequente. Compiti, perimetro dell’incarico e rapporto con il Garante sono descritti in Data Protection Officer; il quadro più ampio in Consulenza GDPR.
Informatica forense e perizie a Roma
È la richiesta più frequente che riceviamo dal territorio romano, e nasce quasi sempre da un procedimento già avviato: un contenzioso civile o del lavoro, una verifica interna, una contestazione su documenti e comunicazioni da portare in giudizio.
Il lavoro si divide in due fasi con esigenze logistiche opposte, e questo rende la distanza molto meno rilevante di quanto sembri.
L’acquisizione richiede di essere fisicamente sul supporto — disco, telefono, server, casella di posta, spazio cloud. Si concorda la data, ci si sposta, si acquisisce in copia forense con calcolo dei valori di hash e redazione del verbale. Da quel momento l’originale non viene più toccato.
L’analisi si svolge invece sulla copia ed è lavoro di laboratorio. Dove sia il laboratorio non ha alcuna rilevanza giuridica, purché la catena di custodia risulti documentata in ogni passaggio: è esattamente ciò che l’impianto introdotto dalla Legge 48/2008, di ratifica della Convenzione di Budapest, chiede di dimostrare perché il reperto sia utilizzabile.
Il prodotto finale è una relazione tecnica comprensibile a un giudice e a un avvocato, con allegati verificabili da un altro perito. Interveniamo come consulente tecnico di parte a supporto del legale, oppure su incarico diretto per una valutazione preliminare prima di decidere se procedere. Metodo e deliverable in Digital Forensics.
Fornire la pubblica amministrazione: i requisiti arrivano dalla gara
Molte aziende romane non hanno obblighi diretti di sicurezza, ma li ricevono per via contrattuale perché lavorano per un’amministrazione. È un canale che negli ultimi anni si è fatto molto più esigente.
Le richieste ricorrenti riguardano dove risiedono i dati e chi può accedervi, la qualificazione dei servizi cloud destinati alla pubblica amministrazione, i tempi e le modalità di notifica degli incidenti all’ente, le evidenze su gestione degli accessi, registrazione degli eventi e ripristino, e la tracciabilità dei subfornitori, perché la catena va documentata oltre il primo anello.
Sono domande a cui si risponde bene solo se il lavoro è stato fatto prima. Presentarsi in gara e scoprire che non si sa elencare chi ha accesso amministrativo ai propri sistemi è il modo più comune di perdere punti su requisiti che sarebbero stati soddisfacibili. L’attività di ricognizione è descritta in Vulnerability Assessment, la parte di registrazione e conservazione in Log Analysis.
NIS2 per le amministrazioni e i soggetti del perimetro
La Direttiva NIS2, recepita con il D.Lgs. 138/2024, include tra i settori considerati anche la pubblica amministrazione, oltre a sanità, energia, trasporti, acqua e infrastrutture digitali — tutti ampiamente rappresentati nel contesto romano. L’autorità competente è l’Agenzia per la Cybersicurezza Nazionale, presso cui i soggetti in ambito si registrano nella finestra annuale prevista.
Accanto a questo esiste un impianto distinto e più risalente, il perimetro di sicurezza nazionale cibernetica introdotto dal D.L. 105/2019, che riguarda un insieme ristretto di soggetti individuati con provvedimento e comporta obblighi propri su notifica e approvvigionamento di beni e servizi ICT. Chi vi rientra lo sa; il punto utile è non confondere i due regimi, che hanno presupposti, elenchi e adempimenti diversi.
Il nostro intervento resta sul piano tecnico e documentale: assessment di applicabilità, misure, evidenze. Il percorso è in Adeguamento NIS2.
Come si parte
Con una videochiamata per capire due cose: la natura giuridica del soggetto, che determina quali obblighi si applichino davvero, e qual è il problema concreto che ha fatto nascere il contatto — una perizia, una gara, una designazione da fare.
Da lì, la proposta è sempre circoscritta: non proponiamo un programma pluriennale a chi ha bisogno di una relazione tecnica entro un termine processuale.
Seguiamo organizzazioni in tutta Italia. Le altre pagine territoriali: Milano, Padova, Vicenza, Modena e Verona, dove abbiamo sede. Per scriverci: Contatti.
Domande frequenti sulla sicurezza informatica a Roma
Fidem ha una sede a Roma?
No. La sede è a Verona. I servizi continuativi — sorveglianza, gestione, analisi — sono erogati da remoto, che è la modalità normale di un centro operativo di sicurezza anche per i clienti vicini. Le attività che richiedono presenza fisica, in primo luogo le acquisizioni forensi, si programmano e vengono svolte sul posto.
Un ente pubblico deve sempre nominare un DPO?
Sì. Per le autorità pubbliche e gli organismi pubblici la designazione è prevista dall’articolo 37, paragrafo 1, lettera a) del GDPR a prescindere dal tipo e dal volume dei trattamenti: non c’è soglia da superare. Per i soggetti privati l’obbligo dipende invece dall’attività svolta. Società partecipate, concessionari ed enti del terzo settore vanno valutati sul caso concreto.
Potete svolgere una perizia informatica a Roma avendo sede a Verona?
Sì, perché il lavoro si divide in due fasi. L’acquisizione richiede presenza sul supporto e per quella ci si sposta, con data concordata, copia forense, calcolo degli hash e verbale. L’analisi si svolge poi sulla copia ed è lavoro di laboratorio: la sua collocazione non ha rilevanza giuridica, purché la catena di custodia sia documentata secondo l’impianto della Legge 48/2008.
Lavoriamo per un'amministrazione: quali requisiti di sicurezza ci verranno chiesti?
In genere: dove risiedono i dati e chi vi accede, la qualificazione dei servizi cloud destinati alla pubblica amministrazione, tempi e modalità di notifica degli incidenti all’ente, evidenze su gestione degli accessi, registrazione degli eventi e ripristino, e la tracciabilità dei subfornitori. Arrivano come requisiti di gara o clausole di convenzione.