Ovviamente backup, backup e backup! Come evitare attacchi esterni al sistema informatico delle scuole: in allegato le Linee guida per gli archivi delle istituzioni scolastiche

Per quanto la tecnologia sia molto recente sul posto di lavoro, la sua applicazione è una dilatazione della modalità con la quale le scuole hanno sempre condotto la propria attività. Sebbene i computer e le reti collaborino all’efficienza della tenuta dei registri scolastici, dell’accesso ai dati e dell’uso degli stessi, non solo da parte dei dipendenti ma anche degli utenti (genitori e alunni), non hanno cambiato i motivi per cui le scuole hanno bisogno di conservare, condividere e adoperare le informazioni degli studenti e del personale scolastico (docente, ATA, ausiliario, collaboratori a vario titolo impegnati nelle scuole). La comunità scolastica ha sempre desiderato e, con insistenza, utilizzato questo tipo di informazioni per svolgere la sua missione formativa ed educativa.

Analogie e differenze tra carta e file

Nonostante sia possibile disquisire sulle analogie esistenti tra i file cartacei in armadietti di legno e i file elettronici su dischi rigidi o conservati su appositi drive anche virtuali, ci sono differenze significative nei processi specifici richiesti per mantenere un’adeguata sicurezza nell’era delle reti informatiche. Schiacciando un semplice pulsante o accedendo, facilmente, a specifiche funzioni, talvolta, le informazioni possono essere danneggiate in maniera certamente irreparabile. Un disco tascabile, contenente migliaia di informazioni, riservatissima, potrebbe scomparire in pochissimi istanti. E con la connessione, talvolta, anche da remoto, il materiale sensibile potrebbe essere condiviso con milioni di utenti.

Gli scenari inquietanti anche a scuola

Sebbene questi scenari possano sembrare inquietanti e persino spaventosi, sono solo una parte della vicenda che potrebbe verificarsi. Infatti, accanto alla catastrofe, le scuole possono scegliere, invece, i virtuosismi. Premendo, infatti, un interruttore diverso, archiviando correttamente i dischi e collegando i fili giusti, le informazioni archiviate dall’istituzione scolastica sui computer e sulle reti possono essere protetti in modo più sicuro di qualsiasi file cartaceo nello schedario dell’ufficio di qualsiasi amministratore, sia che siano chiusi da un catenaccio o protetti da una guardia armata. Bisogna affidarsi a personale molto qualificato. Ecco perché, ancora una volta, ci affidiamo a Fabrizio Bottacchiari Il dottore Bottacchiari ha creato “SeeJay”, uno strumento che permette di raccogliere e ricercare contenuti sui social network e, nell’ultimo periodo, insieme a Maiora Labs e Algorithmo, si è dedicato alla sicurezza informatica e alle infrastrutture per la Pubblica Amministrazione, soprattutto dal 2018, quando è stato introdotto il GDPR. La stessa tecnologia che può essere fonte di così tante preoccupazioni quando è nelle mani di persone molto esperte può effettivamente essere utilizzata per proteggere le informazioni in modo più sicuro che mai immaginabile se utilizzata con saggezza. L’intervista che segue rappresenta, indubbiamente, un motivo in più per parlare di sicurezza informatica, con eccellente competenza.

Cosa sarebbe necessario sapere sul sito web della scuola?

«Nell’ultimo anno, grazie alla “scossa” delle numerose PEC inviate da MonitoraPA e i fondi del PNRR il sito web è tornato ad essere un argomento “caldo” per ogni Dirigente Scolastico. Il sito web nonostante l’avvento dei social network continua ad essere l’unico punto di riferimento dove reperire tutte le informazioni e comunicazioni ufficiali.Proprio per questo, ogni dirigente scolastico oltre dell’aggiornamento dei contenuti deve tenere a mente di provvedere ad una costante e profonda manutenzione dal punto di vista tecnologico. Questo perché se tralasciata il proprio sito web può essere un innesco e relativo punto di ingresso di diversi attacchi informatici. Altro fattore importante consiste nella gestione del server dove risiede il sito web della propria scuola. Anche qui AgID fortunatamente è intervenuta! Creando una lista di fornitori certificati dove collocare il sito web del proprio istituto scolastico, in questo modo si potranno evitare situazioni spiacevoli come malfunzionamenti o peggio ancora la perdita di dati a seguito di una intrusione per malagestione dell’infrastruttura. Per concludere condivido un dato importante, nel 2023 oltre il 70% del traffico nei siti web proviene da mobile e posso garantire che una buona fetta ancora non possiede una ottimizzazione per questi dispositivi. Per fortuna negli ultimi anni AgID ha imposto dei requisiti da adottare avviando così una standardizzazione anche su questo fronte, questo non significa solamente sfruttare degli strumenti all’avanguardi ma godere di una struttura facilmente fruibile da qualsiasi dispositivo».

Come è possibile effettuare un monitoraggio delle visite al sito?

«Se il sito web è stato sviluppato con WordPress il mio consiglio per monitorare gli accessi al proprio sito web è quello di installare Matomo. Matomo rispetta il Regolamento Generale sulla Protezione dei Dati (GDPR) perché fornisce ai propri utenti strumenti e opzioni per gestire in modo sicuro i dati personali raccolti durante l’utilizzo delle funzionalità di analisi del traffico sul sito web. Matomo non è una piattaforma decentralizzata e i dati raccolti da Matomo sono gestiti all’interno dello stesso server del sito web “monitorato”».

È possibile evitare attacchi dall’esterno? Come?

«Certamente, ogni bravo webmaster sa bene che mantenendo sempre aggiornato il CMS con i relativi componenti del proprio sito web applicando misure di sicurezza standard è già un passo importante per scongiurare attacchi dall’esterno. Nel pratico tengo ad elencare alcuni passaggi importanti prima di pubblicare un sito web:

• Adottare password sicure con oltre 12 caratteri alfanumerici;
• La username per accedere al CMS deve essere diversa da alcune terminologie classiche come “admin”, “user”, “administrator”, ecc. Inoltre, suggerisco di non renderla pubblica nell’autore degli articoli;
• Cambiare il nome della pagina per effettuare il login al CMS;
• Inserire un sistema anti-bot nei moduli di contatto e commenti;
• Non lasciare componenti o temi obsoleti sul server;
• Implementare un sistema di firewall che blocchi tentativi ripetuti di accesso;

Con questi punti possiamo dire di aver fatto i primi passi, ovviamente backup, backup e backup!».

Le “Linee guida per gli archivi delle istituzioni scolastiche”

In allegato le “Linee guida per gli archivi delle istituzioni scolastiche” del Ministero per i Beni e le attività Culturali, Direzione Generale per gli Archivi. Come noto, le norme in materia di autonomia delle istituzioni scolastiche (D.P.R. 8 marzo 1999, n.275), conferendo personalità giuridica alle scuole che ne erano prive, hanno esteso a tutte la natura di ente pubblico. Pertanto, ogni istituzione scolastica è destinataria dei medesimi obblighi validi per tutti gli enti pubblici, ai sensi del D.lgs. 22 genn. 2004 n.42, Codice dei beni culturali e del paesaggio. In forza di questa normativa, gli archivi delle istituzioni scolastiche sono beni culturali fin dall’origine (art.10, c.2-b D.lgs 42/2004, Codice dei beni culturali e del paesaggio) e come tali soggetti alla vigilanza (art. 18 del Codice citato) della Soprintendenza archivistica competente per territorio, la quale in tale ambito svolge anche funzioni di consulenza tecnica.

Le linee guida archivio scolastico