Come proteggere atti, accessi e dati nella Pubblica Amministrazione

Due fronti che si sovrappongono. La legge 90/2024, in vigore dal 17 luglio 2024, impone ad amministrazioni centrali, Regioni, Province autonome, Comuni sopra i 100.000 abitanti, città metropolitane, ASL e ad alcune società di servizi pubblici di segnalare un incidente entro 24 ore e notificarlo entro 72, di nominare un referente per la cybersicurezza e di adottare gli interventi indicati dall'ACN. La tassonomia degli incidenti da notificare è stata pubblicata in Gazzetta Ufficiale n. 39 del 17 febbraio 2026. In parallelo il D.Lgs. 138/2024 recepisce la NIS2 e include gran parte della PA tra soggetti essenziali e importanti, con misure di gestione del rischio e obblighi sulla catena di fornitura. Il riferimento operativo più aggiornato è la Determinazione ACN 127437 del 13 aprile 2026.

Non impone un algoritmo: chiede misure adeguate al rischio e dimostrabili. In pratica cifratura dei dati a riposo e in transito, controllo degli accessi per ruolo, tracciabilità delle operazioni, gestione del rischio dei fornitori e capacità di notificare un incidente nei tempi previsti. La differenza rispetto al passato è che l'ente deve poter dimostrare le misure, non dichiararle: un audit trail per singolo documento, con utente, data e IP, è la prova più semplice da produrre in sede di verifica. Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024 e le misure operative sono attese entro ottobre 2026.

Cifrando il file, non solo il canale. Un allegato inviato via PEC o posta ordinaria viaggia protetto, ma a destinazione torna leggibile e copiabile senza limiti. Con FileGrant il documento nasce cifrato in un vault e si condivide con un link a permessi RBAC differenziati per ente, ufficio e fornitore, con scadenza e blocco di download, stampa e cattura schermo. Ogni apertura finisce in un audit trail con utente, data e IP. Se un incarico si chiude o il destinatario è sbagliato, l'accesso si revoca in un clic e la copia già scaricata resta cifrata e inutilizzabile.

Perché un atto pubblico dura più della crittografia che lo protegge. Fascicoli, atti anagrafici e documenti sottoposti a conservazione restano sensibili per decenni, ben oltre l'orizzonte in cui gli algoritmi a chiave pubblica di oggi diventeranno attaccabili. È la logica "harvest now, decrypt later": chi archivia oggi dati cifrati potrà leggerli domani. La Raccomandazione (UE) 2024/1101 chiede agli Stati membri di avviare la transizione post-quantum entro la fine del 2026 e di completarla sulle infrastrutture critiche entro la fine del 2030. FileGrant usa CRYSTALS-Kyber, standard NIST FIPS 203 (ML-KEM) dall'agosto 2024.

Sì, se l'AI resta dentro. AIGrant è un'AI privata on-premise che indicizza gli atti dell'ente e risponde in linguaggio naturale solo sui documenti a cui l'utente ha già accesso, con segregazione per ufficio e log di ogni interazione. È l'alternativa praticabile al divieto, che non regge: secondo IBM lo shadow AI ha inciso sul 20% delle violazioni analizzate nel 2025 aggiungendo in media 670.000 dollari al costo, e il 97% delle violazioni legate all'AI ha riguardato sistemi senza controlli di accesso adeguati. Sul piano normativo, AI Act e GDPR chiedono governance e tracciabilità, non astinenza.

Si affiancano, non sostituiscono. FileGrant non rimpiazza SharePoint o OneDrive: aggiunge la protezione che manca quando il file esce, cioè cifratura quantum-safe persistente, revoca dopo la condivisione, blocco di cattura schermo e di scraping da parte di AI pubbliche, audit trail sul singolo documento. AIGrant non sostituisce Copilot: copre i casi in cui i dati non possono lasciare la rete dell'ente. Il deployment è modulare, compatibile con i sistemi legacy, disponibile in cloud su territorio nazionale o on-premise con chiavi a conoscenza zero, e non richiede di migrare gli archivi esistenti.