Aeroporti di Puglia,
servizi a presidio della CyberSecurity

Aeroporti di Puglia S.p.A. ha per scopo primario la gestione in concessione degli aeroporti pugliesi. Tale attività si esplica nella progettazione, sviluppo e gestione delle infrastrutture per l’esercizio delle attività aeroportuali e di attività commerciali.

Rientra, pertanto, tra le attività ricomprese nell’oggetto sociale, anche la gestione dei servizi aviation e non aviation.

In particolare, le attività aviation comprendono, tra gli altri, i seguenti servizi:

• gestione delle infrastrutture centralizzate; assistenza passeggeri, di rampa e merci;
• servizi assistenza a terra (handling): attualmente ADP gestisce le attività di servizio a terra per la maggior parte dei vettori che operano sugli scali pugliesi;
• servizi di sicurezza: la Società ha acquistato tutte le attrezzature necessarie ad effettuare il controllo dei bagagli della stiva, obbligatorio dal gennaio 2003. Dal marzo 2002, negli aeroporti pugliesi (Bari, Brindisi, Foggia e Grottaglie) sono stati attivati i servizi di controllo passeggeri in partenza e transito e loro bagagli a mano e da stiva. Il servizio è affidato in outsourcing ad istituti di vigilanza autorizzati, in possesso dei requisiti previsti per legge ed autorizzati da Enac;

Le attività non aviation comprendono:

• subconcessioni di spazi a terzi: le subconcessioni si riferiscono, principalmente, ad attività di autonoleggio, ristorazione e rifornimento di combustibile agli aeromobili;
• gestione degli spazi pubblicitari: ADP è concessionaria del servizio di affissione ed affida a terzi, in subconcessione, la gestione degli spazi pubblicitari;
• gestione del servizio di parcheggio a pagamento per i passeggeri in partenza.

Attualmente al capitale sociale, pari ad Euro 25.822.845,00 e sottoscritto quasi totalmente dalla Regione Puglia, partecipano con quote minoritarie anche altri Enti territoriali ed economici. 

Le esigenze di CyberSecurity

Aeroporti di Puglia aveva la necessità di intraprendere un percorso di adozione di nuovi presidi di cybersecurity, a seguito della legislazione NIS e delle direttive di settore e per continuare ad offrire un servizio adeguatamente protetto dalle minacce cyber nel suo complesso.

Obietivi per il presidio della CyberSecurity 

Le attività di gestione della cybersecurity sono iniziate sul finire del 2021: 

E’ stata svolta una attività di assessment relativamente agli asset ICT aziendali, propedeutica all’elaborazione di documentazione prevista dalla legislazione NIS e da direttive di settore emanate da ENAC. A partire da gennaio 2022, è stata avviata una attività per fornire ad Aeroporti di Puglia un servizio di consulenza CISO per 12 mesi, che ha consentito all’organizzazione di strutturare i processi di gestione della cybersecurity a 360 gradi nell’organizzazione, e preparare le iniziative per progettare la futura gestione complessiva della cybersecurity.  Sul finire del 2023, Exprivia si è aggiudicata la gara per la fornitura complessiva dei servizi a presidio della cybersecurity di Aeroporti di Puglia.

Requisiti legislativi: la soluzione Exprivia

Il servizio realizzato da Exprivia, condotto da un team allargato di specialisti che svolge funzioni di governance “CISO as a service”, di Threat Intelligence e VAPT, gestisce un programma di awareness, unitamente al monitoraggio continuo del SOC, pone Aeroporti di Puglia nelle migliori condizioni per soddisfare i presenti e futuri requisiti legislativi , come la NIS2.

Le varie attività sia progettuali che di servizio hanno comportato un miglioramento del livello di maturità complessivo della cybersecurity, introducendo un modello virtuoso anche nella collaborazione con altre realtà presenti in Aeroporti di Puglia.

Conclusione

Miglioramento del monitoraggio degli eventi di sicurezza
Mediante l’attivazione di un SOC che monitora continuamente gli eventi di sicurezza raccolti, di un servizio di monitoraggio della superficie esposta e di una una threat intelligence ritagliata su misura. E’ stato inoltre realizzato e attivato un framework dei controlli per supportare i processi di governance.

Programma di cybersecurity awareness
Mediante l’utilizzo di una piattaforma che automatizza l’erogazione di corsi anche con il supporto di video brevi che migliorano l’esperienza utente, si diffonde la cultura della Cybersecurity nell’organizzazione. La piattaforma inoltre automatizza i test periodici di phishing, consentendo di controllare l’evoluzione della consapevolezza degli utenti sui temi della cybersecurity

Definizione di processi, procedure e comunicazioni
Tramite un piano di stato avanzamento lavori che mese per mese traccia i progressi e tiene informata l’organizzazione, migliora la consapevolezza dell’organizzazione sulle tematiche cybersecurity. Tutte le procedure di cybersecurity vengono costantemente revisionate e migliorate.

Miglioramento del processo di gestione delle vulnerabilità
L’esecuzione di VAPT periodici ha permesso di strutturare anche un processo di remediation, che congiuntamente al processo di risk assessment aiuta a mantenere sotto controllo la postura di sicurezza.