Log di sicurezza nella PA: guida pratica su cosa conservare e cosa scartare

Per una Pubblica Amministrazione, la gestione dei log non è solo una necessità tecnica, ma un preciso obbligo normativo dettato dalle linee guida dell’Agenzia per la Cybersicurezza Nazionale (ACN) e dal GDPR. In un ecosistema digitale dove i dati dei cittadini devono essere protetti h24, sapere quali tracce digitali conservare può fare la differenza tra identificare una violazione in pochi minuti o restare al buio per mesi.

Ecco la strategia di Cyberdef.it per una corretta Log Retention nell’ente pubblico.

Perché non puoi conservare tutto

L’approccio “raccogliamo tutto” è inefficiente per due motivi: i costi di storage diventano insostenibili e, in caso di incidente, il team IT si troverebbe a cercare un ago in un pagliaio di milioni di eventi inutili. La gestione dei log deve essere guidata dal valore forense e dalla conformità normativa.

Cosa DEVI conservare assolutamente

Secondo le best practice di cybersecurity e le direttive AgID/ACN, i log prioritari sono:

• Log di Autenticazione (Logon/Logoff): Ogni accesso ai sistemi, fallito o riuscito, specialmente se effettuato con privilegi amministrativi o tramite VPN.
• Modifiche ai privilegi: Qualsiasi evento che riguardi la creazione di nuovi utenti o il cambio di permessi (es. aggiunta di un utente al gruppo “Domain Admins”).
• Accesso ai dati sensibili: Tracciare chi accede ai database dell’anagrafe, dello stato civile o dei tributi.
• Eventi di sistema critici: Arresti anomali dei servizi di sicurezza, cancellazione dei log stessi e modifiche alle regole del firewall.
• Log del traffico di rete perimetrale: Connessioni verso IP esterni sospetti o volumi di traffico anomali che indicano una possibile esfiltrazione.

Cosa puoi (e dovresti) scartare

Per ottimizzare le prestazioni, è possibile filtrare:

• Notifiche di routine dei servizi di sistema che non hanno impatto sulla sicurezza.
• Log di debug delle applicazioni (da attivare solo in fase di manutenzione).
• Informazioni ridondanti sul traffico di rete interno non critico (es. traffico broadcast).

La centralizzazione: il ruolo di Wazuh e del SOC

Conservare i log localmente sui singoli server è un errore critico: se un hacker prende il controllo del server, la prima cosa che farà sarà cancellare i log per nascondere le proprie tracce. La soluzione adottata da Cyberdef.it prevede la centralizzazione tramite Wazuh:

• Invio in tempo reale: I log vengono spediti istantaneamente a un server sicuro e separato.
• Analisi automatizzata: Il sistema correla gli eventi e genera alert solo quando rileva schemi di attacco reali.
• Rispetto della Compliance: Garantisce l’integrità e la disponibilità del dato per i periodi richiesti dalla legge (spesso 6 o 12 mesi a seconda della tipologia).

Conclusione

Una corretta gestione dei log è il fondamento della resilienza per ogni Comune o Ente locale. Sapere cosa guardare permette di fermare le minacce prima che diventino emergenze pubbliche.

La tua PA sta conservando i log nel modo corretto o stai sprecando risorse preziose? Contatta gli esperti di Cyberdef.it per un piano di gestione log conforme alle direttive ACN.