Intervista esclusiva a Fabrizio Bottacchiari: esperto in cybersecurity e GDPR nel settore scolastico
Scenario attuale e rischi emergenti nelle istituzioni scolastiche
Nel contesto della crescente digitalizzazione, le scuole italiane sono sempre più nel mirino di cybercriminali e autorità di vigilanza. Fabrizio Bottacchiari, consulente di rilievo sulla sicurezza informatica e sulla protezione dei dati personali (GDPR), evidenzia un allarmante aumento degli attacchi informatici. Secondo le statistiche del 2025, si registrano più di 8.500 tentativi di intrusione settimanali per ogni istituto, con un incremento superiore al 50% rispetto alla media globale.
Molte scuole, convinte di non detenere dati di valore, custodiscono invece informazioni sensibili come dati sanitari, valutazioni, progetti personalizzati e dati familiari. Questi dati rappresentano un vero e proprio bottino per i cybercriminali, come dimostrato dall'episodio dell’attacco all’Università di Pisa, che ha richiesto un riscatto di 4,5 milioni di dollari.
La febbrile attività del Garante Privacy porta a controlli più severi e sanzioni più ferme, richiedendo un cambio di paradigma nella gestione della privacy scolastica.
Le sfide di natura tecnica e normativa
Tra le principali criticità troviamo l’introduzione di tecnologie come l’intelligenza artificiale (AI), regolamentata dal Decreto Legislativo 166/2025, e la transizione verso servizi di identità digitale tramite SPID. Questi strumenti comportano nuove vulnerabilità legate a aspetti tecnologici, legali e sociali.
In particolare, l’intervista mette in luce i rischi di social engineering, l’importanza di formare il personale scolastico in modo pratico e costante, e la necessità di adottare un approccio sistematico che si basi su backup affidabili, autenticazione multifattore e cultura della sicurezza.
Fabrizio Bottacchiari sottolinea che investire in cybersecurity rappresenta un elemento imprescindibile per garantire la continuità del servizio e tutelare la reputazione delle scuole.
Linee guida per evitare i principali errori di gestione dati
- Pubblicare dati sensibili senza precauzioni: foto di minori o informazioni identificative devono essere trattate con attenzione e autorizzate preventivamente.
- Diffondere informazioni in modo inappropriato: elenchi di studenti, graduatorie e codici fiscali devono essere protetti e accessibili solo a soggetti autorizzati.
- Errori nelle comunicazioni via email: utilizzare il campo “A:” per più indirizzi espone gli indirizzi a tutti. È preferibile usare “CCN” (Copia Carbone Nascosta).
Per ridurre il rischio di sanzioni, si raccomanda di:
- Verificare sempre la base di legge prima di pubblicare o condividere dati personali;
- Seguire circa le disposizioni del codice privacy e delle norme di trasparenza.
Impatto e regolamentazioni dell’intelligenza artificiale nelle scuole
Con l’avvento dell’AI, il Decreto 166/2025 impone alle istituzioni educative di effettuare valutazioni di impatto e di designare responsabili del trattamento dei dati. È fondamentale adottare soluzioni di AI certificate, come Microsoft Copilot for Education o Google Gemini for Education, che rispettano i principi di non utilizzo dei dati senza consenso.
Inoltre, i dirigenti devono valutare attentamente l’impatto sui diritti umani e sulla democrazia, adottando procedure chiare e trasparenti per l’uso di questi strumenti avanzati.
Gestione del sistema SPID e disparità territoriali
La normativa prevede che tutte le scuole accedano ai registri elettronici tramite SPID. Tuttavia, la differenza tra regioni più digitalizzate (Lombardia e Nord Italia) e quelle meno avanzate (Sud Italia) sta creando disparità significative. I fondi stanziati sono spesso ancora bloccati, determinando un divario che si traduce in costi maggiori e in un minore livello di sicurezza per alcune aree.
Le spese di servizi come InfoCert o Aruba possono incidere per circa 12-15 euro a famiglia, aggravando il divario digitale e creando una distinzione tra territori.
La guerra contro il social engineering e le tecniche di formazione
- Attacchi sofisticati: domini falsi, phishing mirato e attacchi ibridi come Emotet sono all’ordine del giorno.
- Strategie di difesa: formazione continua, simulazioni di phishing, uso di procedure di doppia verifica, consolidamento della cultura della segnalazione.
Per contenere le minacce di social engineering, occorre formare il personale in modo permanente e promuovere una cultura della condivisione delle informazioni e della segnalazione tempestiva di tentativi sospetti.
Misure operative contro i ransomware e come proteggersi efficacemente
- Backup regolari e testati: preferibilmente offline o in data center distanti.
- Autenticazione a più fattori: su tutti i sistemi critici.
- Segmentazione di rete: per limitare la diffusione di eventuali attacchi.
Infine, Fabrizio Bottacchiari ricorda che il fattore umano rappresenta il rischio principale: un semplice clic sbagliato può compromettere l’intera infrastruttura.
Consigli pratici per i dirigenti scolastici
Al fine di garantire la sicurezza e la conformità normativa, i dirigenti devono adottare alcune strategie immediate:
- Costituire il “triangolo della protezione digitale”: responsabile DPO, sistemi di backup testati e formazione anti-phishing per tutto il personale.
- Implementare l’autenticazione multi-fattore sui sistemi più sensibili.
- Effettuare audit regolari sulla sicurezza di siti web e sistemi di gestione dati, eliminando dati inutilmente esposti.
- Verificare la conformità di tutte le piattaforme adottate in ottica GDPR.
Le istituzioni devono adottare un nuovo paradigma di sicurezza, privacy e resilienza, considerando che le sfide di oggi richiedono una gestione proattiva e strategica.
Conclusione: investire nella cybersecurity come strategia di crescita
Le minacce informatiche e le sanzioni per la privacy rappresentano rischi concreti, ma l’adozione di pratiche rivolte alla sicurezza e alla tutela dei dati può trasformare le sfide in opportunità di innovazione. Investire nella cybersecurity non è un costo, ma un elemento essenziale per garantire la continuità educativa, rafforzare la fiducia delle famiglie e tutelare la reputazione delle scuole italiane. La capacità di anticipare e gestire le minacce digitali definirà il futuro del sistema scolastico nel contesto digitale.
FAQs
Proteggere le scuole dai cyberattacchi e rispettare le normative sulla privacy: gli errori da evitare e le best practice
Domande frequenti sulla sicurezza delle scuole tra cyber-minacce e sanzioni privacy
Le scuole sono vulnerabili a attacchi come phishing, malware, ransomware e social engineering, spesso sfruttando falle nei sistemi di sicurezza, nella formazione del personale e nella gestione dei dati sensibili, come testimonia l'aumento delle intrusioni e le recenti minacce emergenti.
Tra gli errori più frequenti vi sono la pubblicazione di dati sensibili senza adeguate precauzioni, la diffusione incontrollata di informazioni riservate come elenchi di studenti o codici fiscali, e errori nelle comunicazioni email, come l'uso improprio del campo “A:” che espone a rischi di violazione della privacy.
L’intelligenza artificiale, regolamentata dal Decreto Legislativo 166/2025, se da un lato può migliorare l’efficienza educativa, dall’altro introduce nuove vulnerabilità. È fondamentale valutare l’impatto sulla privacy, condurre valutazioni di impatto e sancire chiaramente le responsabilità del trattamento dei dati, scegliendo soluzioni certificate e conformi alle normative.
Mentre lo SPID rappresenta un elemento chiave per l’accesso ai servizi digitali, la disparità tra regioni più digitalizzate come Lombardia e Nord Italia e quelle meno avanzate del Sud crea dislivelli in sicurezza e costi maggiori, aggravando il divario digitale che richiede interventi tempestivi e mirati.
Per contrastare il social engineering, è fondamentale investire in formazione continua del personale, organizzare simulazioni di phishing, utilizzare procedure di doppia verifica e promuovere una cultura della segnalazione tempestiva di tentativi sospetti, rendendo la sicurezza una priorità quotidiana.
Implementare backup regolari e testati, preferibilmente offline o in data center separati, adottare l’autenticazione a più fattori su sistemi critici e segmentare le reti per limitare la diffusione di eventuali attacchi rappresentano le principali strategie di difesa contro i ransomware.
I dirigenti devono costituire il “triangolo della protezione digitale” coinvolgendo il DPO, garantendo sistemi di backup affidabili e formando il personale anti-phishing. Inoltre, è importante effettuare audit regolari e verificare la conformità di tutte le piattaforme in ottica GDPR.
Investire nella cybersecurity non solo protegge i dati e garantisce la continuità educativa, ma rafforza anche la fiducia delle famiglie e la reputazione delle istituzioni scolastiche. A fronte di rischi crescenti, una strategia proattiva di sicurezza diventa un vero e proprio volano di innovazione e crescita sostenibile.
Il Garante Privacy, insieme a dirigenti scolastici e responsabili della protezione dei dati (DPO), deve vigilare sull’adozione di pratiche corrette, garantendo la conformità alle norme di privacy e prevenendo sanzioni derivanti da una gestione inadeguata.
Attraverso corsi di formazione pratici, campagne di sensibilizzazione, simulazioni periodiche e l’integrazione della security awareness nel curriculum scolastico, si può sviluppare una cultura condivisa della sicurezza digitale tra studenti e personale.
