💻 computer science

A Design Science Approach to Zero Trust Cyber Risk Governance in Digital Government Platforms: Development and Evaluation of the CRGMM Framework

Questo articolo presenta lo sviluppo e la validazione preliminare del Cyber Risk Governance Maturity Model (CRGMM), un nuovo framework di Design Science che integra i principi di Zero Trust per valutare e guidare la governance del rischio cibernetico delle piattaforme governative digitali multi-agenzia, come dimostrato attraverso la sua applicazione al sistema Sahel del Kuwait.

Autori originali: Abdullah F. Alenezi

Pubblicato 2026-07-10

📖 7 min di lettura🧠 Approfondimento

CC BY 4.0

Autori originali: Abdullah F. Alenezi

Articolo originale sotto licenza CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Questa è una spiegazione generata dall'IA dell'articolo qui sotto. Non è stata scritta né approvata dagli autori. Per precisione tecnica, consulta l'articolo originale. Leggi il disclaimer completo

Immaginate il governo digitale del Kuwait, Sahel, come una stazione ferroviaria massiccia e super veloce. Invece di avere 433 sportelli separati, ognuno con il proprio addetto alla sicurezza e la propria sala d'attesa, il governo ha costruito un unico, enorme terminal tecnologico dove tutti entrano attraverso un unico cancello. Questo è brillante per velocità e comodità: si può acquistare un biglietto del treno, rinnovare un passaporto e pagare una bolletta delle utenze tutto in un unico posto. Ma ecco il problema: se un ladro scavalca l'ingresso di questo unico terminal, non ruba solo il biglietto di una persona; potrebbe potenzialmente impossessarsi delle chiavi dell'intero sistema di trasporto della città.

Questo documento, scritto da Abdullah F. Alenezi, sostiene che, sebbene il Kuwait abbia costruito una stazione ferroviaria molto elegante con alcuni nuovi e sofisticati sistemi di blocco (come gli scanner delle impronte digitali), il progetto per le guardie di sicurezza è mancante. La stazione funziona secondo i principi dello "Zero Trust" (un modo elegante per dire "non fidarsi mai di nessuno, controllare sempre il documento d'identità"), ma le regole su chi debba controllare i documenti e su cosa accada se le serrature vengono scassinate non sono ancora state scritte in una legge.

Il Grande Problema: Il "Paradosso della Concentrazione"

Il documento definisce questo fenomeno il Paradosso della Concentrazione. È come mettere tutte le uova in un unico cestino perché è più facile da trasportare, per poi rendersi conto che se il cestino cade, si perdono tutte le uova in un colpo solo.

La Buona Notizia: La stazione è operativa. Sono stati effettuati oltre 122 milioni di viaggi e gli scanner delle impronte digitali (chiamati Hawyti) sono funzionanti.
La Cattiva Notizia: La stazione è una Piattaforma Governativa Sistemisticamente Importante (SIGP). Ciò significa che è così importante che, se crasha, l'intero paese ne risente. Eppure, il documento rileva che il "piano di uscita di emergenza" della stazione e le "leggi sulla protezione dei dati" sono ancora in fase di stesura.

Lo Strumento "CRGMM": Un Pagella per la Sicurezza

Per risolvere questo problema, l'autore ha inventato un nuovo strumento chiamato Cyber Risk Governance Maturity Model (CRGMM). Pensate a questo come a una pagella specializzata progettata specificamente per enormi stazioni ferroviarie digitali, non solo per normali uffici.

La maggior parte delle pagelle esistenti (come CMMI o NIST CSF) sono come controllare se una singola auto ha un freno funzionante. Ma Sahel è un'intera flotta di 433 auto collegate tra loro. Le vecchie pagelle non sanno come valutare la connessione tra le auto.

La nuova pagella CRGMM ha sei dimensioni (come sei diverse materie scolastiche) e cinque livelli (da "Insufficiente" ad "A+"). L'autore ha testato questa pagella con un panel di 15 esperti (un mix di professori universitari, tecnici governativi e professionisti della sicurezza). Gli esperti hanno concordato sui voti con un punteggio di 0,76 (che è un solido livello di accordo "B+" nel mondo della statistica).

Cosa ha scoperto la Pagella

Quando l'autore ha utilizzato questa nuova pagella sulla piattaforma Sahel del Kuwait, i risultati sono stati un mix di "Ottimo Hardware" e "Regole Mancanti":

I Rischi "Critici": Il documento ha identificato due minacce come Critiche (il livello di pericolo più alto, con un punteggio di 20 su 25).
- Frode d'Identità della Piattaforma: Malintenzionati che fingono di essere la stazione (app false, messaggi di phishing). La stazione ha un pulsante per "segnalare frodi" (chiamato Aman), ma è come avere una cassetta delle lettere per i reclami senza una forza di polizia che effettivamente catturi i criminali.
- Violazione dei Dati tra Agenzie: Poiché 38 diverse agenzie governative sono collegate, se un'agenzia ha una serratura debole, i malintenzionati possono passare facilmente alle altre. Il documento afferma che non esiste una regola che obblighi queste agenzie a utilizzare un sistema "Zero Trust" (dove si controlla il documento d'identità ad ogni singola porta, non solo al cancello principale).
Le Leggi "Mancanti": Il documento evidenzia un enorme vuoto: il Kuwait non possiede ancora una Legge sulla Protezione dei Dati Personali (PDPL) né un'Autorità per la Protezione dei Dati (DPA) indipendente.
- Analogia: È come costruire una cassaforte con una porta d'acciaio all'avanguardia, ma la banca non ha una legge che stabilisca che la cassaforte debba essere chiusa, né un agente di polizia assegnato a sorvegliarla. Il documento sostiene che senza queste leggi, la porta elegante è solo una decorazione.
La Trappola "Biometrica": La stazione utilizza impronte digitali e scansioni facciali. Il documento avverte che, a differenza di una password, non si può cambiare l'impronta digitale se viene rubata. Se un hacker ruba i dati delle impronte digitali, sono persi per sempre. Il documento afferma che non esistono ancora leggi specifiche per proteggere questi dati "irreversibili".

Cosa esclude il Documento

L'autore è molto chiaro su ciò che non funzionerà:

Solo "Spuntare la Casella": Non si può semplicemente dire "Siamo certificati ISO 27001" (uno standard per la sicurezza) e considerarsi a posto. Il documento sostiene che la certificazione senza una vera legge dietro di sé è "conformità superficiale": sembra buona sulla carta, ma non ferma realmente i ladri.
Aspettare che il Tempo risolva il Problema: Il documento rifiuta l'idea che i problemi di sicurezza si risolveranno da soli man mano che la piattaforma cresce. In realtà, più servizi si aggiungono, peggio diventa il rischio perché il "gap di governance" (le regole mancanti) si allarga.
Copiare i Modelli Aziendali: Non si possono usare le regole di sicurezza progettate per un'azienda normale (come una banca o un'impresa tecnologica) perché una piattaforma governativa tratta i cittadini, non solo i dipendenti. Le regole devono essere diverse.

La Roadmap Proposta: Un Piano in Tre Fasi

Il documento suggerisce un piano passo dopo passo per sistemare la stazione, ma insiste nel fare le cose nell'ordine corretto. Non si può costruire il tetto prima di versare le fondamenta.

Fase 1 (Le Fondamenta - da 0 a 18 mesi): Prima di aggiungere altra tecnologia, bisogna scrivere le leggi.
- Approvare una Legge sulla Protezione dei Dati Personali.
- Creare un'Autorità per la Protezione dei Dati indipendente (una forza di polizia per i dati).
- Rendere pubblico un piano su cosa fare in caso di violazione (inclusa la comunicazione ai cittadini entro 72 ore).
Fase 2 (La Struttura - da 18 a 36 mesi): Ora si costruiscono le regole tecnologiche.
- Obbligare tutte le agenzie a ottenere la certificazione e a utilizzare lo Zero Trust (controllare il documento ad ogni porta).
- Creare uno scudo speciale per i dati delle impronte digitali.
Fase 3 (La Cultura - da 36 a 60 mesi): Insegnare ai passeggeri.
- Avviare un programma per insegnare ai cittadini (in più lingue) come riconoscere le truffe.

Quanto siamo sicuri?

Il documento è molto attento a ciò che sa e a ciò che ipotizza.

Provato: L'autore ha misurato lo stato attuale utilizzando documenti pubblici e un panel di esperti. L'accordo di 0,76 tra gli esperti è un dato di fatto.
Simulato/Calcolato: I "Punteggi di Rischio" (come il 20 per le frodi) sono calcolati in base a una formula (Probabilità × Impatto) utilizzando dati noti. Non sono supposizioni, ma si basano su informazioni pubblicamente disponibili, non su test interni segreti.
Suggerito: Il "Piano in Tre Fasi" è una raccomandazione. Il documento suggerisce che questo sia il modo migliore per procedere, ma non è ancora stato testato nel mondo reale e l'autore ammette di non aver potuto eseguire un "red team" (un gruppo di hacker che tenta di penetrare nel sistema) perché quei dati non sono pubblici.

Conclusione

Il documento conclude che la stazione digitale del Kuwait è un prodigio di ingegneria, ma opera in un vuoto legale. Lo strumento CRGMM mostra che la tecnologia è pronta, ma la governance (le regole e le leggi) è in ritardo. L'autore sostiene che, per mantenere la stazione sicura, il governo deve smettere di costruire nuovi servizi e iniziare a scrivere le leggi che proteggano quelli che già possiede. È un invito a costruire le "regole della strada" prima che le "auto" diventino più veloci.

Sintesi Tecnica: Un Approccio di Design Science alla Governance del Rischio Cibernetico Zero Trust nelle Piattaforme Governative Digitali

Problematica
Il documento affronta il "paradosso della concentrazione" inerente alle piattaforme governative digitali multi-agenzia: la consolidazione architettonica di servizi, dati identificativi e record transazionali in un'unica interfaccia (esemplificata dalla piattaforma Sahel del Kuwait) genera efficienza amministrativa ma, simultaneamente, crea una concentrazione sistemica di rischio digitale. I modelli di rischio legacy e le architetture di sicurezza orientate all'impresa sono insufficienti per questo contesto perché non riescono a affrontare la specifica disgiunzione tra governance e tecnologia, dove le capacità tecniche operative superano la velocità delle strutture legislative e di accountability. Nello specifico, gli attuali modelli di maturità (ad es., CMMI, i tier del NIST CSF, lo ZTA MM della CISA) sono progettati per la gestione a livello organizzativo e non catturano le sfide specifiche dell'integrazione inter-agenzia, l'irreversibilità dei dati biometrici e i contesti di vuoto regolamentare tipici delle piattaforme e-government sovrane.

Metodologia
Lo studio impiega una metodologia di Design Science Research (DSR) seguendo il ciclo in cinque fasi di Hevner et al. (2004) per costruire, operazionalizzare e validare preliminarmente un nuovo artefatto informatico: il Cyber Risk Governance Maturity Model (CRGMM).

Identificazione del Problema: Definizione della disgiunzione governance-tecnologia nelle piattaforme e-government come un problema di ingegneria che richiede uno strumento di valutazione misurabile.
Design dell'Artefatto: Il CRGMM è stato sintetizzato attraverso:
- Threat Modelling: Applicazione delle matrici STRIDE e MITRE ATT&CK v14 per identificare le superfici di attacco e le fasi della kill-chain.
- Benchmarking dei Framework: Analisi comparativa rispetto a NIST CSF 2.0, ISO/IEC 27001/27701, CISA Zero Trust Maturity Model e ai principi della Privacy by Design (PbD).
- Design degli Indicatori: Sviluppo di indicatori di punteggio quantitativi utilizzando la metodologia Goal-Question-Metric (GQM).
Costruzione dell'Artefatto: Il modello è stato istanziato come uno strumento di punteggio a sei dimensioni, cinque livelli e quattordici indicatori.
Valutazione dell'Artefatto: La validazione preliminare è stata condotta tramite un panel di esperti strutturato ( $n=15$ ) composto da accademici della cybersecurity, specialisti IT governativi e professionisti del rischio cibernetico. L'affidabilità inter-rater è stata valutata tramite l'alpha di Krippendorff.
Applicazione Pilota: Il framework è stato applicato alla piattaforma Sahel del Kuwait (433+ servizi, 9 milioni di utenti) per dimostrare la prova di concetto del punteggio e l'analisi dei gap.

Contributi Chiave
Il documento apporta cinque distinti contributi alla ricerca nell'ambito del computing e della cybersecurity engineering:

L'Artefatto CRGMM: Il primo framework di ingegneria del rischio cibernetico progettato appositamente per l'e-government di piattaforma multi-agenzia. Integra esplicitamente l'architettura Zero Trust (ZTA), l'ingegneria della privacy, la governance dell'identità biometrica e l'abilitazione del cittadino come dimensioni misurabili, affrontando le lacune dei modelli esistenti (CMMI, NIST CSF, CMMC, C2M2) che mancano di contesto relativo all'integrazione inter-agenzia e alla transizione regolamentare.
Estensione Teorica dello Zero Trust: Il documento propone tre nuove estensioni ZTA per le piattaforme governative non presenti nella letteratura enterprise:
- Eterogeneità dell'endpoint del cittadino: Adattamento dei controlli di accesso per capacità variabili dei dispositivi e alfabetizzazione digitale.
- Integrazione inter-agenzia sovrana: Gestione della complessità giurisdizionale tra entità governative indipendenti.
- Irreversibilità biometrica: Trattamento delle credenziali biometriche come non reversibili, richiedendo una protezione architettonica distinta (NIST SP 800-76).
Innovazione Metodologica: Lo sviluppo di una matrice di severità del rischio quantitativa (Probabilità $\times$ Impatto) per la valutazione a livello di governance, colmando il divario tra l'analisi qualitativa dei framework e il punteggio del rischio ingegneristico quantitativo.
Benchmarking Comparativo: Il primo confronto sistematico di una piattaforma GCC (Sahel) contro i suoi pari internazionali (UAE PASS, Estonia X-Road, Singapore SingPass/NDI, Saudi Absher) attraverso sei dimensioni architettoniche, dimostrando che i gap di governance non sono strutturalmente inevitabili nei contesti istituzionali del Golfo.
Roadmap di Riforma: La derivazione di dieci proposizioni politiche basate sull'evidenza, organizzate in un'agenda di ingegneria della riforma in tre fasi.

Risultati e Conclusioni

Validazione: Il CRGMM ha ottenuto un alpha di Krippendorff di 0.76 attraverso il panel di esperti, indicando un'accettabile affidabilità inter-rater. Tutte le sei dimensioni sono state valutate sopra il 4.3/5.0 in termini di rilevanza.
Valutazione di Sahel: L'applicazione pilota ha rivelato una critica disgiunzione strutturale. Sebbene esistano controlli operativi (autenticazione biometrica, segnalazione frodi), questi coesistono con critici deficit legislativi e di accountability.
- Rischi Critici: Una matrice di severità quantitativa ha identificato la "Frode d'Identità della Piattaforma" e la "Violazione dei Dati Inter-agenzia" come rischi a banda critica (Punteggio = 20).
- Gap di Maturità: Le dimensioni con il punteggio più basso sono state Risposta agli Incidenti e Resilienza (Livello 1.0) e Privacy e Governance dei Dati (Livello 1.5), riflettendo l'assenza strutturale di obblighi (ad es., nessuna legge approvata sulla protezione dei dati personali, nessuna autorità indipendente per la protezione dei dati) piuttosto che meri fallimenti di implementazione.
- Benchmarking: Rispetto ai propri pari, Sahel manca di un mandato Zero Trust pubblicato per le API inter-agenzia, di un regime statutario di protezione dei dati e di una notifica di violazione obbligatoria entro 72 ore.

Significatività e Rivendicazioni
Il documento sostiene che il CRGMM sia un artefatto informatico riutilizzabile che trasforma la disgiunzione governance-tecnologia da un problema di policy in un problema di ingegneria misurabile. La sua significatività risiede nel:

Fornire uno strumento diagnostico che distingua tra maturità dei controlli tecnici e maturità della governance, una distinzione assente negli standard attuali.
Dimostrare che per le Piattaforme Governative di Importanza Sistemica (SIGP), l'architettura di governance deve precedere l'espansione operativa per prevenire "incidenti normali" (Perrow, 1984) in sistemi strettamente accoppiati.
Offrire una roadmap trasferibile per i contesti di transizione regolamentare, affermando che l'approvazione legislativa (PDPL) e la supervisione indipendente (DPA) sono le riforme prioritarie più alte, seguite dalla standardizzazione tecnica (ISO 27001, mandati ZTA) e dall'abilitazione del cittadino.

Gli autori mantengono una posizione modesta, osservando che la valutazione è preliminare e limitata dall'assenza di dati di penetration testing interni e telemetria in tempo reale, che sono essi stessi sintomi dei deficit di trasparenza che il framework mira ad affrontare. Il lavoro futuro è identificato nella necessità di una validazione empirica longitudinale su dataset transnazionali.