Intervista a Ilaria Comelli, responsabile dell’Unità Organizzativa Sicurezza IT e DPO dell’Università di Parma

Ilaria Comelli, responsabile dell’Unità Organizzativa Sicurezza IT e DPO dell’Università di Parma

In questa era digitale in costante evoluzione, la gestione della sicurezza informatica assume un ruolo cruciale all’interno delle istituzioni accademiche. L’Università di Parma promuove attivamente la collaborazione tra docenti e studenti nell’ambito della sicurezza IT, riconoscendo quanto sia importante formare e sensibilizzare tutti su questi temi, valorizzando al contempo le risorse dell’università.

In questa intervista a Ilaria Comelli, responsabile dell’Unità Organizzativa Sicurezza IT e Responsabile della Protezione dei Dati (DPO) dell’ateneo, approfondiamo l’origine e l’evoluzione delle attività collaborative in ambito cyber tra docenti e studenti dell’Università di Parma.

In che modo viene gestita la cybersecurity dell’ateneo?

Il nostro obiettivo è quello di gestire la sicurezza delle risorse elettroniche dell’Università di Parma, prevenendo incidenti e indagando sulle loro cause. Attraverso attività di monitoraggio, adeguamento normativo e formulazione di politiche di sicurezza IT, ci impegniamo a creare e garantire un ambiente digitale sicuro e affidabile.

Nell’ambito della cybersecurity, la formazione di competenze e la condivisione di buone pratiche svolgono un ruolo chiave. Per questo motivo, organizziamo attività formative dedicate al personale universitario, mirate a diffondere consapevolezza e a potenziare le competenze nel campo della sicurezza informatica.

Come è nata la collaborazione in ambito cybersecurity tra docenti e studenti, e come si è evoluta nel tempo?

Il dialogo tra il personale tecnico e i docenti di cybersecurity ha aperto la strada a collaborazioni significative con gli studenti. Nel corso degli ultimi tre anni, gli studenti hanno avuto l’opportunità di svolgere tirocini e tesi di laurea, sia triennali che magistrali, focalizzati sui temi cruciali della sicurezza informatica. Alcuni di loro hanno preso parte a CyberChallenge, un programma formativo dedicato ai giovani talenti. Un’opportunità straordinaria che favorisce l’integrazione di diverse prospettive e competenze ed è estremamente formativa per chi nutre una forte passione e vuole accrescere le proprie conoscenze in questo ambito.

Nel contesto universitario, quali sono i punti di forza e di debolezza che si affrontano nel settore della sicurezza informatica?

In ambito security, l’eterogeneità delle risorse informatiche e degli utenti, propria delle istituzioni accademiche, costituisce una sfida significativa. Diversamente dalle aziende, nelle università non è possibile imporre in modo rigido l’utilizzo di specifici strumenti e configurazioni. La difficoltà nel far rispettare una certa omogeneità è un punto critico che si presenta nell’ambiente accademico. Un altro aspetto da considerare è la necessità di interagire con numerosi soggetti esterni, come ospiti, visiting professor, studenti Erasmus, docenti a contratto, borsisti e assegnisti. Questa varietà di attori introduce una complessità aggiuntiva nella gestione della sicurezza informatica e nella definizione di profili di protezione di dati.

Dall’altro lato, nel contesto universitario emergono punti di forza significativi. La pluralità di risorse all’interno dell’ateneo offre un ambiente diversificato e ricco di opportunità. I docenti esperti che formano gli studenti sulle tematiche della sicurezza costituiscono un vantaggio tangibile. Gli studenti, seguiti dai docenti e con la possibilità di formarsi anche esternamente, contribuiscono ad arricchire le competenze. Le relazioni consolidate e la buona reputazione dell’ateneo, inoltre, aprono le porte a collaborazioni con aziende e professionisti di alto livello.

Questi fattori positivi indicano che, nonostante la difficoltà delle sfide, le università hanno la possibilità di sfruttare le proprie risorse e competenze per affrontare con successo le complessità della sicurezza informatica nel loro contesto specifico.

Può indicarci alcuni progetti innovativi in ambito sicurezza IT svolti insieme agli studenti?

Una delle iniziative più significative è stata la simulazione di phishing condotta in collaborazione con l’Azienda Ospedaliero-Universitaria di Parma. In questa occasione, abbiamo sviluppato un’applicazione che, tramite l’Active Directory dell’ospedale, generava e inviava e-mail simulate al personale. Questa attività ha permesso di registrare e analizzare chi è caduto nel tranello, generando report dettagliati. L’intera operazione è stata gestita in stretta collaborazione con il reparto IT dell’azienda ospedaliera. Un’altra iniziativa interessante è stata la sperimentazione di honeypot a bassa, media e alta interazione, un sistema che simula vulnerabilità per attirare possibili minacce.

A causa della pandemia e il conseguente passaggio improvviso allo smart working, è emersa la necessità di estendere l’installazione dell’agente di Cloud Vulnerability Management su tutti i computer, al fine di monitorare anche quelli non gestiti centralmente. Grazie al prezioso contributo degli studenti, abbiamo sviluppato un’applicazione web per guidare gli utenti nell’installazione dell’agente che si collega al Cloud Vulnerability Management in modo del tutto autonomo. In questo modo, abbiamo potuto registrare rapidamente un elevato numero di macchine delle quali altrimenti non avremmo avuto una reale conoscenza.

Inoltre, è stata condotta un’indagine sulle vulnerabilità delle risorse informatiche dell’ateneo. Grazie all’iniziativa CyberChallenge, infatti, gli studenti hanno potuto sviluppare una vasta gamma di competenze nel campo della sicurezza informatica, concentrandosi soprattutto sulla ricerca di vulnerabilità software. L’obiettivo è stato guidare le loro abilità affinché potessero affrontare scenari reali, con un focus particolare sull’individuazione responsabile di vulnerabilità nelle risorse informatiche dell’ateneo. Un esempio emblematico di questa collaborazione coinvolge due studenti, Manuel Romei e Gianluca Altomani, i quali hanno dedicato il loro impegno a un case study volto all’identificazione di una vulnerabilità critica su specifici apparati. I due studenti hanno dimostrato un notevole impegno, che ha compreso l’estrazione del firmware, lo sviluppo di un exploit e l’implementazione di misure di mitigazione. Il loro successo nel conseguire un CVE, ovvero un identificatore unico assegnato a una particolare vulnerabilità, attraverso la scoperta di una vulnerabilità zero-day, sottolinea il livello di competenza raggiunto. Un’esperienza che evidenzia la validità delle collaborazioni accademiche nel fronteggiare sfide reali, sottolineando l’importanza di un approccio pratico e concreto.

Quali sono gli obiettivi futuri dell’Università di Parma nel campo della sicurezza informatica?

Questi progetti testimoniano il nostro impegno nell’educazione pratica degli studenti e nella ricerca di soluzioni avanzate per affrontare le sfide sempre più complesse della sicurezza informatica.

Miriamo a consolidare e ampliare le sinergie tra personale accademico e studenti, contribuendo all’avanzamento della sicurezza informatica. Guardiamo al futuro con l’obiettivo di creare una comunità di professionisti competenti e di lasciare un’impronta duratura nel campo della sicurezza informatica.