Misure minime di sicurezza informatica per PA

Salve a tutti,
    alcuni di voi sapranno per esperienza diretta e altri forse meno che l'Agenzia per l'Italia Digitale (AgID) ha pubblicato da tempo le misure minime di sicurezza informatica per le Pubbliche Amministrazioni ma con "recente" Gazzetta Ufficiale (il 17 Marzo 2017) sono state rese obbligatorie per tutte le PA (a memoria tra 25 e 30K "enti"; se siete
curiosi: http://www.indicepa.gov.it/documentale/index.php ) entro il 31/12/2017 (indistintamente dal Governo centrale ai più piccoli enti pubblici)...
[ Rif: http://www.agid.gov.it/notizie/2017/04/07/pubblicate-gazzetta-ufficiale-misure-minime-sicurezza-informatica-pa ]

Alla luce di questo sia per ragioni ideologiche (W FLOSS) che per ragioni pratiche (ma voi vi immaginate chi in una scuola possa "Utilizzare configurazioni sicure standard per la protezione dei sistemi operativi." misura minima richiesta necessariamente) mi piacerebbe
capire se:
- qualcuno abbia già approcciato il problema (in toto o in parte) con strumenti OS
- possa nasciere un gruppo di discussione per eventuali sinergie
- altro "OS-PA" related (tenendo in considerazione che qualora ci fossero soluzioni dovrebbero essere preferite per logiche di riuso a quelle "closed")

Ciao
Nick

P.S. Eviterei di entrare nel merito del senso ed eventuale discussione delle misure minime in se o eventuale approccio "ma tanto siamo in Italia..." e mi piacerebbe ragionare su "possibili soluzioni open source".