Il 26 marzo ho partecipato al Webinar "Direttiva NIS2: la scadenza si avvicina…": https://www.csipiemonte.it/it/webinar_direttivaNIS2.
Il webinar è stato organizzato dal CSI Piemonte, che ringrazio molto.
Nella pagina trovate, oltre alla mia presentazione, quelle di Valentina Frediani e Federico Lucia.
In post precedenti avevo segnalato gli Amendment agli standard ISO sui sistemi di gestione per introdurre la questione relativa ai cambiamenti climatici. Avevo espresso perplessità, non tanto sul tema in sé (che mi trova assolutamente attento e preoccupato), ma sulle modalità.
Il punto è la pertinenza: per molti standard, per esempio la ISO/IEC 27001, la questione relativa ai cambiamenti climatici non è pertinente. Per questo, a mio parere, andava evitata e cerco di approfondire con tre argomentazioni.
La prima riguarda l'atomicità e il fatto che uno standard dovrebbe affrontare una questione e non tante. Questo è noto a chiunque si occupa di risolvere problemi e sa che vanno ridotti in problemi specifici per poter essere risolti, se no si crea confusione. Gli standard relativi ai sistemi di gestione nascono non per essere totali, ma, giustamente, per affrontare una specifica questione (la qualità, l'ambiente, la sicurezza delle informazioni, la corruzione, la gestione dei servizi, la privacy, eccetera). Questo amendment, invece, va contro questo principio.
La seconda riguarda le competenze: io conosco la sicurezza delle informazioni, non le tecniche di controllo del clima. Per questo motivo, non posso occuparmene neanche come auditor. Già è difficile trovare consulenti e auditor preparati su disciplina, settore e tipo di organizzazione, figuriamoci trovarne adeguatamente preparati e con le giuste modalità di relazione su altri argomenti. Purtroppo gli esempi sono tanti (e abbiamo visto i danni fatti da consulenti e auditor che hanno voluto discutere di direzione generale di un'impresa, di direzione strategica, di controllo nelle PMI).
La terza è che, dopo questo amendment, anche altri dovrebbero essere considerati, tra cui: la parità di genere, la responsabilità sociale, la parità di opportunità a prescindere dalle origini, la sostenibilità economica.
Aggiungo che, proprio per questi motivi, gli auditor sono invitati a non ampliare il proprio mandato oltre alla disciplina per cui sono chiamati a operare. Faccio un esempio: se, in un audit del sistema di gestione per la sicurezza delle informazioni, dovessi rilevare che l'organizzazione non separa i rifiuti, non dovrei segnalare alcuna non conformità.
Concludo dicendo che su questo argomento, nell'ambito delle materie che seguo, come consulente e auditor, mi limiterò a raccogliere le indicazioni delle organizzazioni per le quali lavoro e a indicare loro, informalmente, esperienze viste in altre organizzazioni.
Avevo scritto brevemente degli Amendment degli standard ISO relativi ai sistemi di gestione (ISO 9001, ISO/IEC 27001, ISO/IEC 20000-1, ISO 22301, eccetera) che richiedono di considerare i cambiamenti climatici. Avevo già espresso le mie preplessità (https://blog.cesaregallotti.it/2024/03/nuove-versioni-degli-standard-per-i.html).
Sono usciti due articoli molto approfonditi su questo tema. Il primo, di Nicola Nuti e Monica Perego, ha titolo “Ambiente, il nuovo Annex SL sui sistemi di gestione ISO: cosa devono fare le aziende”: https://www.agendadigitale.eu/smart-city/climate-change-liso-aggiorna-le-norme-sui-sistemi-di-gestione-cosa-devono-fare-le-aziende/.
Il secondo, di Davide Foresti e Monica Perego, ha titolo “ISO/IEC 27001, nuovi requisiti sul climate change: cosa implicano per la sicurezza delle informazioni”: https://www.cybersecurity360.it/soluzioni-aziendali/iso-iec-27001-nuovi-requisiti-sul-climate-change-cosa-implicano-per-la-sicurezza-delle-informazioni/.
Penso che si debba stare attenti alla pertinenza dei cambiamenti climatici su alcuni sistemi di gestione. Mi spiego: usare data center attenti al risparmio energetico è cosa ecomiabile, ma la scelta non è pertinete alla sicurezza delle informazioni. Quindi, promuoviamo l’attenzione a questi temi, ma stiamo attenti a non farli diventare indigesti o un altro adempimento formale e non pratico.
Dal SANS Newsbytes, segnalo un articolo dal titolo "Microsoft confirms Windows Server issue behind domain controller crashes ": https://www.bleepingcomputer.com/news/microsoft/microsoft-confirms-windows-server-issue-behind-domain-controller-crashes.
Quindi, in breve, una patch per Windows server 2022, 2019, 2016 e 2012 R2 può causare interruzioni.
Così ricordiamo due lezioni:
1- il tempo di installazione delle patch va bilanciato con la possibilità che queste possano introdurre problemi;
2- andrebbero fatti test prima di installare le patch in ambiente di produzione.
Avevo scritto dei miei appunti sulla NIS 2. Si trovano sul mio blog (https://blog.cesaregallotti.it/2024/03/note-sulla-nis2.html) e sul mio sito in italiano (https://www.cesaregallotti.it/Pubblicazioni.html) e inglese (https://www.cesaregallotti.it/English_essays.html).
Giancarlo Caroti di Neumus mi ha segnalato che avevo scritto che la NIS 2 non è applicabile alle piccole-medie imprese, visto che comincia ad essere applicabile alle aziende con più di 50 addetti. Sbagliavo, perché la Raccomandazione 2003/361/CE della Commissione europea definisce come medie le imprese che hanno tra i 50 e i 250 addetti.
Quindi ho corretto, spero senza aggiungere altri errori.
Ringrazio Giancarlo, anche se mi ha fatto lavorare.
Iniziai questa rubrica esattamente un anno fa e mi sembrò di aver individuato un punto di vista originale sulla discriminazione di genere.
Ma ecco cosa scriveva Bianca Pitzorno nel 1979 in "Extraterrestre alla pari": "Saremo veramente liberi, noi terrestri, non tanto quando le donne diventeranno minatori o guidatori di locomotive, ma quando gli uomini si stireranno le camicie, ricameranno, cucineranno e accudiranno con piacere ai propri bambini".
Il Garante privacy approva il Codice di condotta relativo alle attività di telemarketing: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/9993833.
Iniziativa a mio parere importantissima e lodevolissima. Purtroppo non fermerà i pirati del telemarketing, ma sarà un valido punto di riferimento per chi vuole lavorare correttamente.
Articolo "McDonald's: Global outage was caused by configuration change": https://www.bleepingcomputer.com/news/technology/mcdonalds-global-outage-was-caused-by-configuration-change.
Due cose il titolo non dice:
- l'errore è dovuto a un errore di un fornitore (non a un attacco);
- l'incidente ha fatto chiudere alcuni ristoranti per tutta la giornata.
Così ripassiamo le lezioni (sempre utile):
- la sicurezza (ciber- e delle informazioni) non riguarda solo gli attacchi volontari da parte di malintenzionati, ma anche gli errori e i guasti;
- la sicurezza delle informazioni è parte integrante dell'affidabilità e della qualità dei servizi;
- i fornitori sono vettori di attacco (volontario o involontario) e quindi vanno controllati.
Segnalo l'uscita della nuova rivista digitale Digeat. Il n.1 è online: www.digeat.info.
C'è anche un articolo scritto principalmente da Stefano Ramacciotti (io ho fatto poco più della correzione di bozze): "La modifica periodica delle password: come affrontare professionalmente un argomento tecnico": https://digeat.info/articolo-rivista/la-modifica-periodica-delle-password-come-affrontare-professionalmente-un-argomento-tecnico/. Lo raccomando.
Franco Vincenzo Ferrari mi ha segnalato la pubblicazione, il 14 marzo 2024, del rapporto ENISA "Telecom security incidents 2022": https://www.enisa.europa.eu/publications/telecom-security-incidents-2022.
Il totale di incidenti segnalato è basso: 155.
Interessante notare che solo il 6% è dovuto ad azioni malevole, il resto è dovuto a guasti (72%), errori umani (15%) e fenomeni naturali (6%).
Questo non vuol dire che si debbano ignorare gli attacchi intenzionali, ma che la sicurezza riguarda anche (e forse soprattutto) la prevenzione degli errori e il controllo di guasti ed eventi naturali, spesso sottovalutati forse perché non richiamano battaglie all'ultimo bit o situazioni da film d'avventura. Da non dimenticare comunque che ogni rete è oggetto di più scansioni ogni giorno (ma questo dato non si trova in questo rapporto di ENISA e, anzi, chiedo dove ritrovarlo perché il mio riferimento risale ai primi anni 2000).
eIDAS 2.0 non è stato ancora approvato in modo definitivo, ma si può pensare che il testo sia quello. Per questo Franco Vincenzo Ferrari mi ha segnalato un articolo di Giovanni Manca dal titolo "eIDAS 2.0: tutte le novità": https://www.forumpa.it/pa-digitale/eidas-2-0-tutte-le-novita/.
Ringrazio e ne raccomando la lettura.
Negli ultimi mesi sono girate tante notizie sull'AI Act,, però prima che fosse approvato.
Il 13 marzo è stato approvato dal Parlamento Europeo. Io non ne parlo direttamente e preferisco indirizzare a Guerre di rete: https://guerredirete.substack.com/p/guerre-di-rete-ai-act-infine.
Ovviamente ci sono tantissimi altri articoli che ne parlano. Io per ora mi fermo qui.
Tanti mi segnalano variazioni a VERA o mi raccomandano aggiunte e modifiche. Io cerco di mantenere il file nel modo più semplice possibile e ho deciso di pubblicarlo su GitHub: https://github.com/CesareGallotti/VERA.
In questo modo, mi sarà forse più facile caricare gli aggiornamenti e chiunque potrà creare un fork per presentare la propria variazione (o forse lo farò io stesso).
Ogni suggerimento sull'uso di GitHub sarà gradito. Se qualcuno vorrà proporre alternative, le prenderò in considerazione (almeno finché non ci saranno fork).
Per intanto, ho caricato il VERA 7.3 (l'ultima versione con qualche correzione) in italiano e inglese e il manuale in italiano e in inglese.
Miei appunti e riflessioni sulla NIS2. In molti mi hanno chiesto cosa ne so e cosa ne penso, quindi pubblico tutto quello che ne so e ne penso.
Due parole sulla NIS 2
NIS 2 (Direttiva UE 2022/2055) entrata in vigore il 17 gennaio 2023.
NIS2 dovrà essere recepita entro ottobre 2024.
Soggetti a cui si applica la NIS2
L’applicabilità
dipende dai settori e dalla dimensione (più di 50 addetti e giro
d’affari superiore ai 10 milioni di Euro; escludendo quindi le piccole) dell’organizzazione. La NIS2 è applicabile quindi a:
La differenza pratica riguarda i controlli e le sanzioni.
La NIS2 coinvolge più aziende rispetto al PNCS.
Con
la NIS 2 le entità dovranno riconoscersi come soggetti che devono
applicare la NIS 2, non è più l’autorità che le designa come tali. E’
previsto che le entità si registrino secondo regole che saranno fornite.
Sulla
base delle registrazioni, entro il 17 aprile 2025, gli Stati membri
creano un elenco dei soggetti essenziali e importanti e dei soggetti che
forniscono servizi di registrazione dei nomi di dominio.
Lo schema seguente si trova sul sito https://ccb.belgium.be/en/nis-2-directive-what-does-it-mean-my-organization.
Rientreranno
nel perimetro di applicazione anche i soggetti definiti “critici” dalla
Direttiva (UE) 2022/2557, meglio nota come Direttiva CER.
Ulteriori soggetti potrebbero essere aggiunti dalla normativa nazionale.
Valutazione del rischio
NIS2
è multirischio: logico, fisico, governo, lock in tecnologico,
utilities. E considera l’impatto “sociale ed economico” e richiede un
“livello appropriato” di sicurezza.
Il Belgio mette a disposizione un approccio piuttosto semplice (ma non capisco bene come funziona): https://ccb.belgium.be/en/choosing-right-cyber-fundamentals-assurance-level-your-organisation.
Interessante
la tabella degli impatti, perché forse potrebbe essere riutilizzata per
identificare gli incidenti significativi (vedere sotto).
Gli Orientamenti della Commissione del 13.9.2023 indicano di considerare le seguenti minacce, sempre in una logica di multirischio:
Commento
L’auspicio
è che, se saranno date indicazioni su come condurre una valutazione del
rischio, non venga riproposto il modello formale, ma non utile, basato
su asset, minacce e vulnerabilità, ma invece un modello, come poi si
vede negli Orientamenti, basato sugli eventi, per cui non è utile avere
un dettaglio di tutti gli asset a questo scopo (è invece necessario per
attività operative).
Misure di sicurezza
La Direttiva identifica (articolo 21 paragrafo 2) le misure di gestione del rischio, ossia:
Entro il 17 ottobre 2024, la Commissione adotta atti di esecuzione che stabiliscono i requisiti tecnici e metodologici delle misure di cui sopra per quanto riguarda i fornitori di:
Il Belgio (come l’Italia) propone elenchi di misure basati sul NIST CSF: https://ccb.belgium.be/en/cyberfundamentals-framework.
Allo
stato attuale (13 marzo 2024) non sono state stabilite le misure da
adottare. In Italia sappiamo che adesso, per i soggetti sotto NIS, sono
richieste quelle del Framework Nazionale per la Cybersecurity e la Data
Protection (https://www.cybersecurityframework.it/framework2) e così in altri Paesi. Forse con la NIS 2 seguiranno altri schemi.
Attenzione
che le misure stabilite dagli Stati membri e di cui all’articolo 21
paragrafo 1 della NIS2 vanno applicate a tutte le attività operative
operazioni e a tutti i servizi del soggetto interessato, non solo a
risorse informatiche specifiche o a servizi critici forniti dal
soggetto. Mia interpretazione: per evitare che un soggetto con servizi
“sicuri” e “non sicuri” possa essere violato sfruttando le carenze dei
servizi “non sicuri” per poi, con movimenti laterali, compromettere
anche quelli “sicuri”.
Commento
Personalmente
spero sia adottata la ISO/IEC 27001. Potrebbero anche lasciare più
scelte ai soggetti. Infatti delegati italiani potrebbero partecipare
agli aggiornamenti e alle estensioni della ISO/IEC 27001, e non subire
passivamente gli aggiornamenti del NIST.
In
tutti i casi, raccomando di cominciare a implementare la ISO/IEC 27001,
su cui, eventualmente, innestare le richieste specifiche che saranno
fatte. Un’implementazione ISO/IEC 27001 può essere facilmente
convertibile per NIST CSF o altri.
Gestione incidenti
Come
già previsto dalla Direttiva NIS 1, anche NIS 2 prevede l’obbligo di
notifica al CSIRT e alle autorità competenti (oltre che ai destinatari
stessi del servizio) degli incidenti significativi (incidenti
informatici capaci di impattare in modo significativo sulla fornitura
del servizio).
Le comunicazioni al CSIRT dovranno avvenire:
Alcuni
soggetti sono soggetti a più normative e quindi a diverse modalità di
notificazione degli incidenti. In alcuni casi, il recepimento può essere
complesso.
Obbligatorietà:
Vanno quindi definiti meglio e forse la tabella degli impatti usata per valutare il rischio.
Definiti
anche i «quasi incidenti». Un evento che avrebbe potuto compromettere
la disponibilità, l'autenticità, l'integrità o la riservatezza di dati
conservati, trasmessi o elaborati o dei servizi offerti dai sistemi
informatici e di rete o accessibili attraverso di essi, ma che è stato
efficacemente evitato o non si è verificato.
La NIS2 istituisce la rete europea delle organizzazioni di collegamento per le crisi informatiche (EU-CyCLONe).
Altri argomenti
La NIS2 prevede ulteriori argomenti:
Questi però non rientrano nelle mie competenze e non li ho approfonditi.
Bibliografia
Sito web del Center for cyber security Belgium: https://ccb.belgium.be/en/choosing-right-cyber-fundamentals-assurance-level-your-organisation. Grazie ad Alessandro Cosenza per la segnalazione.
Presentazione
“Directive (EU) 2022/2555 of 14 December 2022 on measures for a high
common level of cybersecurity across the Union (“NIS2 directive”)”.
Sito web della UE: https://www.enisa.europa.eu/topics/cybersecurity-policy/nis-directive-new. Però non fornisce indicazioni che io ritengo utili.
Criteri interpretativi sulla NIS2 della Commissione: https://digital-strategy.ec.europa.eu/en/library/commission-guidelines-application-article-4-1-and-2-directive-eu-20222555-nis-2-directive. Grazie a Pierluigi Perri.
Raccomandazione della Commissione, del 6 maggio 2003, relativa alla definizione delle microimprese, piccole e medie imprese (2003/361/CE). Grazie a Giancarlo Caroti.
Pubblicata la ISO/IEC 29100:2024 "Information technology - Security techniques - Privacy framework": https://www.iso.org/standard/85938.html.
Le novità principali non sono paticolarmente significative (aggiornati i riferimenti normativi e la bibliografia, cambiato "secondary use” con “secondary purpose”).
Va detto che la ISO/IEC 29100 fissa la terminologia relativa alla privacy nell'ambito delle norme ISO/IEC, in alcuni casi significativamente diversa da quella del GDPR (per esempio usa "PII principal" al posto di "data subject", ossia "interessato").
Forse l'acquisto di 129 CHF non vale lo sforzo, visto che le definizioni sono comunque disponibili sul ISO Online Browsing Platform (OBP): https://www.iso.org/obp/ui.
Grazie a Monica Perego (Idraulica della privacy) per la segnalazione.
Grazie agli Idraulici della privacy, vengo a sapere che EA ha approvato i criteri di Europrivacy per le certificazioni secondo l'articolo 43 del GDPR: https://www.linkedin.com/posts/europrivacy_gdpr-europrivacy-datacontrollers-activity-7172870504884682752-w5x-.
Secondo l'articolo, EA ha esteso quanto già fatto da Accredia. Quindi gli altri organismi di accreditamento potranno riutilizzare il lavoro già fatto.
Dalla newsletter del Garante privacy, segnalo il Provvedimento dell'8 febbraio 2024 [9991183]: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9991183.
La cosa che mi ha fatto pensare è che la sanzione è in parte dovuta alla mancata indicazione della base giuridica sull'informativa. Un dettaglio a cui, quindi e giustamente, prestare attenzione.
Segnalo, dalla newsletter del Garante privacy, il Provvedimento dell'8 febbraio 2024: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9991020.
Le motivazioni per la sanzione, per una violazione avvenuta a ottobre 2018, sono:
- risposte HTTP del sito di home banking con in chiaro nome, cognome, codice fiscale e codice identificativo dei clienti ed ex clienti (peraltro nota a seguito di vulnerability assessment condotto proprio nei giorni in cui subiva l'attacco);
- mancato controllo della robustezza del PIN scelto dall'utente (evitando, per esempio, quelli composti da sequenze di numeri o coincidenti con la data di nascita).
E' stata condannata anche NTT Data perché aveva dato in subappalto il vulnerability assessment, nonostante il subappalto fosse proibito dal contratto con Unicredit.
C'è da meditare.
Segnalo la pubblicazione dell'SC 27 Journal Volume 3, Issue 4 Oct 2023 – Auditing Practice Articles: https://committee.iso.org/sites/jtc1sc27/home/wg2.html.
Si tratta di un insieme di chiarimenti sulla ISO/IEC 27001 non ufficiali scritti dagli stessi esperti del gruppo che ha scritto la ISO/IEC 27001.
Vale la pena leggerli, anche perché troppo spesso opportunità di miglioramento (p.e. di integrazione del SOA o di irrobustimento dei controlli) sono interpretate da troppi auditor e consulenti e docenti come requisiti.
Su questo vale la pensa osservare come molte energie sono spese nella valutazione del rischio e poi nell’implementare i controlli “come nell’Annex A o nella ISO/IEC 27002” e questo sia in contraddizione: la valutazione del rischio deve guidare la scelta dei controlli e di come realizzarli, non il fatto che siano presenti nell’Annex A.
Non c’è solo questo negli articoli e invito a leggerli.
Mi vanto un po' e segnalo questi due webinar che terrò prossimamente.
Nel primo, il 18 aprile alle 10.30, parlerò di NIS2: https://www.coretech.it/en/service/event/eventDetail.php?ID=1124.
Nel secondo, l'8 maggio alle 10.30, parlerò di whistleblowing: https://www.coretech.it/en/service/event/eventDetail.php?ID=1125.
Riccardo Lora (Idraulico della privacy, che ringrazio), mi segnala lo studio ENISA "Cyber Insurance - Models and methods and the use of AI", pubblicato il 21 febbraio: https://www.enisa.europa.eu/publications/cyber-insurance-models-and-methods-and-the-use-of-ai.
Riccardo commenta: il doc è interessante perché evidenzia come è e sarà sempre più complesso per le compagnie trovare il modo di coprire il rischio cyber con gli strumenti adottati finora come il calcolo sullo storico dei sinistri.
Io segnalo quanto segue:
Accredia ha pubblicato alcuni chiarimenti in merito al Cybersecurity Certification Scheme europeo recentemente approvato: https://www.accredia.it/2024/02/28/sistema-europeo-di-certificazione-della-cybersicurezza/.
In sostanza, le certificazioni Common criteria secondo il Cybersecurity Certification Scheme europeo dipenderanno da Accredia e ACN.
Ringrazio Franco Vincenzo Ferrari per avermi segnalato la pagina.
Pubblicata la nuova versione della ISO/IEC 27006-1 dal titolo " Information security, cybersecurity and privacy protection - Requirements for bodies providing audit and certification of information security management systems — Part 1: General": https://www.iso.org/standard/82908.html.
Questo è uno standard che usano gli organismi di certificazione per le attività di certificazione ISO/IEC 27001 e non fornisce indicazioni utili per le altre organizzazioni.
Il Garante ha sanzionato per 80 milioni di Euro Enel Energia per non aver protetto adeguatamente i dati di contatto dei propri clienti e, quindi, permettendo ad agenzie di marketing non autorizzate di usarli per contattare tali clienti per attività non autorizzate.
Il Provvedimento (documento 9988710) dell'8 febbraio 2024, segnalatomi da Monica Perego (Idraulica della privacy): https://gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9988710.
Mi interessano soprattutto le misure di sicurezza contestate:
Non mi interessa analizzare deduzioni e controdeduzioni presenti nel Provvedimento, ma solo prendere nota delle misure considerate necessarie e, per me, da considerare nelle mie attività.
Molti avranno notato la pubblicazione di Amendment di numerosi standard ISO e ISO/IEC. In particolare della ISO 9001, ISO/IEC 27001, ISO/IEC 20000-1.
Sono state aggiunte due frasi:
Monica Perego (Idraulica della privacy) mi ha segnalato la pubblicazione IAF (l'ente che coordina a livello internazionale gli organismi di accreditamento che, a loro volta, controllano gli organismi di certificazione) dal titolo "IAF-ISO Joint Communiqué on the addition of Climate Change considerations to Management Systems Standards". Si trova tra i comunicati dell'IAF su questa pagina: https://iaf.nu/en/iaf-documents/?cat_id=1.
Parere personale: io prendo molto sul serio il cambiamento climatico e sono convinto si debbano fare molte cose anche urgentemente. Non credo però che questa iniziativa, che può creare anche confusione, porterà significativi miglioramenti. Inoltre ogni edizione degli standard non può essere emendate per più di due volte e questa iniziativa ne toglie una.
Avrei preferito una nota e aggiunte in tutte le nuove edizioni degli standard, mano a mano che escono.
Almeno gli Amendment sono gratuiti per tutti gli standard sul sito www.iso.org. Però bisogna registrarsi e dare il numero di carta di credito (mi sono fermato a questo punto).
