Attacco informatico alla piattaforma Spaggiari: sicurezza e controllo dei dati devono diventare una responsabilità sistemica

L’attacco a Modulistica Smart della piattaforma Bergantini riapre il tema della sicurezza dei dati scolastici, della...

"Il Coordinamento Nazionale Docenti della disciplina dei Diritti Umani esprime forte preoccupazione per l’attacco informatico che ha interessato Modulistica Smart della piattaforma Bergantini del Gruppo Spaggiari Parma. L’episodio, al di là degli aspetti che dovranno essere definitivamente chiariti dalle autorità competenti, pone una questione che riguarda direttamente l’affidabilità dell’ecosistema digitale scolastico e la responsabilità connessa alla gestione di informazioni riferibili a studenti, famiglie e personale.

È necessario mantenere prudenza rispetto alla quantità e alla natura dei dati eventualmente sottratti e alle circostanze relative alla possibile finalità estorsiva dell’attacco. Tale cautela non deve però produrre una lettura riduttiva dell’accaduto. Il fatto che l’incidente abbia interessato un applicativo distinto dal registro elettronico ne delimita il perimetro tecnico, ma non modifica la questione sostanziale: documenti affidati a un servizio utilizzato in ambito scolastico potrebbero essere usciti dalla sfera di controllo entro la quale avrebbero dovuto rimanere.

La progressiva digitalizzazione delle procedure ha concentrato in infrastrutture informatiche una parte considerevole delle informazioni prodotte nella relazione tra scuole e cittadini.

Questa trasformazione ha semplificato numerosi processi, ma ha anche modificato la natura del rischio. Quanto maggiore è la concentrazione dei dati, tanto più rilevanti possono diventare le conseguenze di una compromissione. La sicurezza non può pertanto essere considerata una funzione accessoria del servizio, ma deve concorrere a determinarne l’affidabilità complessiva.

La questione diventa particolarmente delicata quando sono coinvolti i minori. Gli studenti utilizzano strumenti digitali individuati nell’ambito dell’organizzazione scolastica senza poter incidere sulla scelta delle piattaforme, sulle modalità di conservazione dei dati o sulle misure adottate per proteggerli.

SEGUICI SUL GRUPPO WHATSAPP (CLICCAQUI)

ISCRIVITI AL CANALE WHATSAPP DI ASCUOLAOGGI

Questa evidente asimmetria impone un livello di responsabilità particolarmente elevato a chiunque intervenga nella raccolta, nella conservazione e nella gestione delle informazioni.

Il Regolamento (UE) 2016/679 fornisce un quadro preciso. I principi contenuti nell’articolo 5, la protezione dei dati fin dalla progettazione prevista dall’articolo 25 e la sicurezza del trattamento disciplinata dall’articolo 32 configurano un modello nel quale la prevenzione deve essere incorporata nell’organizzazione dei sistemi. Gli articoli 33 e 34 intervengono invece sulla gestione delle violazioni e, quando ne ricorrono le condizioni, sulla comunicazione alle persone interessate. Il senso complessivo della disciplina è chiaro: la protezione non può iniziare quando l’incidente è già avvenuto.

Proprio alla luce di tale impostazione, il CNDDU ritiene necessario interrogarsi sulla distanza che può determinarsi tra la rapidità con cui vengono digitalizzate le procedure e la capacità di valutarne preventivamente le conseguenze. L’efficienza amministrativa non può costituire il criterio prevalente nella scelta e nell’utilizzo di strumenti destinati a gestire informazioni personali su vasta scala. Alla funzionalità deve corrispondere una verifica altrettanto rigorosa dell’esposizione al rischio.

Anche la quantità di informazioni conservate merita maggiore attenzione. La disponibilità di grandi capacità di archiviazione può favorire una permanenza dei documenti superiore alle effettive necessità. Il principio di minimizzazione impone invece una valutazione costante della pertinenza dei dati raccolti e dei tempi della loro conservazione. Ridurre ciò che viene trattenuto senza una finalità attuale significa ridurre anche ciò che può essere compromesso.

L’episodio pone inoltre una questione che riguarda il rapporto tra autonomia delle istituzioni scolastiche, fornitori tecnologici e responsabilità pubblica. Quando una piattaforma privata viene utilizzata su larga scala per attività connesse al funzionamento delle scuole, la sicurezza del servizio non rimane confinata nella relazione contrattuale tra amministrazione e fornitore. Assume una rilevanza sistemica, perché un singolo incidente può produrre conseguenze potenzialmente estese a comunità scolastiche numerose.

La diffusione di uno stesso ecosistema tecnologico in migliaia di istituti determina infatti una concentrazione che dovrebbe essere considerata anche nella valutazione del rischio. La questione non è soltanto stabilire se un determinato applicativo sia sicuro in condizioni ordinarie, ma comprendere quali conseguenze possa produrre una sua eventuale compromissione quando viene utilizzato contemporaneamente da un numero molto elevato di soggetti.

È su questo punto che appare necessario un rafforzamento della capacità di indirizzo e verifica pubblica.

La trasformazione digitale della scuola non può tradursi in una progressiva dipendenza da infrastrutture delle quali le singole istituzioni scolastiche hanno possibilità limitate di valutare autonomamente l’architettura, la sicurezza e le vulnerabilità. All’aumento della complessità tecnologica deve corrispondere un aumento della capacità istituzionale di controllo.

Ugualmente rilevante è la gestione dell’informazione successiva a un incidente. Una comunicazione tempestiva e comprensibile non risponde soltanto a un’esigenza di trasparenza, ma consente alle persone eventualmente coinvolte di assumere comportamenti adeguati rispetto al rischio.

La comunicazione di una violazione non dovrebbe pertanto essere interpretata prevalentemente in termini reputazionali, ma come parte della stessa strategia di contenimento delle conseguenze.

La vicenda solleva anche un problema di coerenza rispetto all’educazione digitale proposta nelle scuole. Agli studenti viene richiesto di sviluppare comportamenti prudenti, comprendere i rischi connessi alla diffusione delle informazioni personali e assumere maggiore consapevolezza nell’utilizzo delle tecnologie.

Sarebbe contraddittorio concentrare l’attenzione sulla condotta individuale dei giovani senza sottoporre a un livello di valutazione molto più rigoroso gli ambienti digitali nei quali essi sono necessariamente inseriti.

La responsabilità non può essere trasferita verso il soggetto che dispone del minore potere decisionale. Quanto più limitata è la possibilità dello studente e della famiglia di incidere sulla scelta dell’infrastruttura utilizzata, tanto maggiore deve essere la responsabilità di chi quella scelta compie e di chi il servizio lo gestisce.

Per il CNDDU, l’attacco alla piattaforma di modulistica deve quindi essere considerato un segnale che riguarda l’intero processo di digitalizzazione scolastica. Non sarebbe sufficiente chiudere la vicenda con il ripristino delle condizioni tecniche di sicurezza. Occorre comprendere se i modelli attuali di affidamento, conservazione e controllo dei dati siano ancora adeguati alla dimensione raggiunta dai servizi digitali utilizzati nelle scuole.

La questione decisiva non è stabilire soltanto come reagire al prossimo incidente, ma ridurre le condizioni che possono amplificarne gli effetti.

Ciò richiede una diversa maturità istituzionale nella valutazione delle piattaforme, nella gestione della quantità di dati conservati e nella definizione delle responsabilità tra amministrazioni e fornitori.

La digitalizzazione non può essere misurata dal numero di procedure trasferite online. Deve essere valutata anche attraverso la capacità di governare i rischi che essa stessa produce.

Una scuola che dipende sempre più da infrastrutture digitali deve poter conoscere e valutare con sufficiente profondità le condizioni nelle quali vengono custodite le informazioni che le sono affidate.

Diversamente, il rischio è che alla crescita dell’efficienza corrisponda una progressiva perdita di controllo su una componente essenziale dell’organizzazione scolastica.

L’episodio Spaggiari pone quindi una domanda che non dovrebbe essere rimossa una volta superata l’emergenza: chi controlla realmente la sicurezza dell’enorme patrimonio informativo che la scuola italiana sta progressivamente trasferendo sulle piattaforme digitali?

È su questa domanda, più che sulle rassicurazioni contingenti, che appare necessario aprire una riflessione istituzionale seria. Perché quando la gestione digitale raggiunge una dimensione sistemica, anche la responsabilità della sua sicurezza deve diventare sistemica".

di La Redazione

• Calendario PAGAMENTI INPS Settembre 2026: ADI, Assegno Unico, NASPI, SFL e pensioni. Ecco tutte le date di accredito

  
  

• Supplenze 2026/27, rischio nomina errata: la domanda va ritirata. Ecco chi deve farlo

  
  

• Bonus 2026: non perdere le misure ancora richiedibili prima della loro scadenza. Quali cambieranno con la nuova legge di Bilancio 2027? Tutte le info