A partire dalle 14 circa di ieri pomeriggio, 30 marzo, sono risultati irraggiungibili molti servizi di Sogei, azienda controllata del Ministero dell’Economia e delle Finanze e che gestisce moltissimi servizi informatici della pubblica amministrazione.

L’azienda ha comunicato su Twitter di non essere vittima di un attacco informatico, ma di aver subìto un problema tecnico, causato secondo Wired da caduta di tensione nella linea elettrica fornita da Areti.

Il disservizio ha reso irraggiungibili siti web e servizi fondamentali per cittadini, imprese e diversi settori della pubblica amministrazione. Tra i servizi inutilizzabili per tutto il pomeriggio di ieri ci sono:

  • Emissione di nuovi Green Pass: non era possibile scaricare le nuove certificazioni
  • Sistema nazionale di contact tracing per i contatti con positive dal Covid 19, inclusa l’app Immuni
  • Sistema centrale delle ricette elettroniche (medici e farmacie non hanno potuto prescrivere o consegnare farmaci)
  • Agenzia delle Entrate, ancora irraggiungibile mentre scriviamo, nella mattina di giovedì
  • Agenzia delle Dogane e dei Monopoli, da cui dipendono giochi online e scommesse, con un danno stimato dalla rivista Agimeg di 1 milione di euro di mancato gettito fiscale
  • Dipartimento delle Finanze del ministero del Tesoro
  • Piattaforma per la fattura elettronica, con l’aggravante di essere in prossimità della chiusura del mese

Come è stato possibile?

Come commenta Matteo Flora in un video su YouTube, si stenta a credere che una caduta di tensione su un singolo data center possa mettere in ginocchio l’infrastruttura tecnologica su cui poggiano servizi tanto importanti per i cittadini.

Data center che gestiscono servizi tanto importanti dovrebbero avere più di una fonte energetica, e soprattutto testare regolarmente i sistemi che devono intervenire in caso di guasto: gruppi di continuità e generatori. I data center dovrebbero inoltre essere replicati in un sito distante, collegato con linee a bassa latenza in modo da replicare continuamente i dati ed essere pronti a subentrare in caso di evento catastrofico sul sito principale.

Si tratta di principi ben sottolineati da AgID in diverse occasioni e inseriti come requisito in molti bandi pubblici per servizi informatici, e che però la più grande organizzazione per l’erogazione di servizi IT alla pubblica amministrazione non sembra in grado di rispettare.

Tra creazione del Cloud della pubblica amministrazione, Polo Strategico Nazionale e Agenzia per la Cyber Sicurezza, e grazie ai fondi del PNRR, nei prossimi mesi e anni l’Italia getterà le basi per una trasformazione che può avere enormi impatti positivi sulla competitività, sui servizi ai cittadini e sull’efficienza dell’intero Paese.

Sulla carta, le premesse sembrano valide. Ma sulla carta era impossibile che si verificasse un evento come quello che è avvenuto ieri a Sogei.

Visto che Sogei insieme a Tim, Leonardo e Cassa Depositi e Prestiti, ha presentato l’offerta finale per la creazione del Polo Strategico Nazionale, è bene che chiarisca al più presto cause, responsabilità e misure messe in atto per evitare che un incidente del genere possa accadere ancora. Perché il Paese non può permetterselo.

L’inesistente comunicazione della crisi

Non è solo l’aspetto tecnico a preoccupare, ma anche la totale assenza di comunicazione sull’incidente e la sua evoluzione. Solo due ore e mezza dopo i primi disservizi Sogei ha pubblicato un tweet in cui comunica di “non essere sottoposta ad alcun attacco cyber e che i servizi sono momentaneamente non disponibili per problemi tecnici”.

Da allora, l’unico altro tweet è di due ore dopo e contiene lo stesso messaggio, ma con una immagine su carta intestata (perché, certo, è quella la cosa importante in questi casi). Non si ha notizia di una pagina pubblica di stato, con cui in casi simili le aziende serie di solito offrono aggiornamenti costanti sullo stato dei servizi e informazioni utili agli utenti. O per lo meno delle scuse.

Nessun aggiornamento è stato pubblicato nemmeno quando alcuni servizi sono tornati disponibili, a partire dalle 19.00.

Ironia della sorte, il tweet precedente comunica l’adesione di Sogei alla campagna EarthHour del WWF, con lo spegnimento delle luci degli uffici e corridoi per un’ora dalle 20:30 del 26 marzo. Che si siano fatti prendere la mano, staccando la corrente all’intero data center?