Lo statunitense Federal Information Security Management Act (FISMA) richiede alle agenzie governative di rispondere periodicamente a dei questionari sulla sicurezza informatica definiti dal Homeland Security Department.
Per il 2011 è in circolazione un questionario di 11 pagine (pare che però non sia ancora ufficiale) che sta riscontrando il favore degli analisti perché cerca di spingere le agenzie verso il "monitoraggio continuo" (senza però specificare cosa si intenda per "continuo").
Lascio ai lettori più pazienti la possibilità di valutare il questionario e di eventualmente considerare alcune delle metriche proposte come applicabili alla propria organizzazione.
Un articolo piuttosto completo: http://www.govinfosecurity.com/articles.php?art_id=3707
Un articolo più critico: http://www.nextgov.com/nextgov/ng_20110606_5245.php?oref=topstory
Il questionario: http://www.sans.org/critical-security-controls/fisma.pdf
venerdì 10 giugno 2011
Infrastrutture critiche e Dlgs 61/2011
Simone Tomirotti mi informa della pubblicazione del Dlgs 61/2011 dal titolo
"Attuazione della Direttiva 2008/114/CE recante l'individuazione e la
designazione delle infrastrutture critiche europee e la valutazione della
necessita' di migliorarne la protezione".
E' possibile leggere il Dlgs da www.normattiva.it.
E' possibile leggere la Direttiva da http://eur-lex.europa.eu/it/index.htm
Il Dlgs è interessante, anche se riguarda solo il settore energia e il
settore trasporti. In particolare perché tratta compiutamente la sicurezza
delle informazioni, stabilisce che il "funzionario di collegamento in
materia di sicurezza" è anche il responsabile della sicurezza delle
informazioni e, infine, nell'allegato B, illustra i "Requisiti minimi del
piano di sicurezza dell'operatore (PSO)" in modo più convincente di quanto
prescritto dal Codice Privacy.
Simone Tomirotti aggiunge: la Regione Lombardia sembra intenzionata ad affrontare l'argomento Infrastrutture Critiche. E questo è già qualcosa. A giugno del 2010 c'era stato un incontro con alcuni gestori di Infrastrutture Critiche. Poiché in questa prima direttiva la tematica interessa Trasporti ed Energia, all'incontro hanno partecipato società tipo AEM o A2A. A novembre 2011 ci sarà un incontro dal titolo inglese e un po' ambizioso: 1st International Workshop on Regional Critical Infrastructure Protection.
Il sito della protezione civile Regione Lombardia: http://bit.ly/iiDo8T
"Attuazione della Direttiva 2008/114/CE recante l'individuazione e la
designazione delle infrastrutture critiche europee e la valutazione della
necessita' di migliorarne la protezione".
E' possibile leggere il Dlgs da www.normattiva.it.
E' possibile leggere la Direttiva da http://eur-lex.europa.eu/it/index.htm
Il Dlgs è interessante, anche se riguarda solo il settore energia e il
settore trasporti. In particolare perché tratta compiutamente la sicurezza
delle informazioni, stabilisce che il "funzionario di collegamento in
materia di sicurezza" è anche il responsabile della sicurezza delle
informazioni e, infine, nell'allegato B, illustra i "Requisiti minimi del
piano di sicurezza dell'operatore (PSO)" in modo più convincente di quanto
prescritto dal Codice Privacy.
Simone Tomirotti aggiunge: la Regione Lombardia sembra intenzionata ad affrontare l'argomento Infrastrutture Critiche. E questo è già qualcosa. A giugno del 2010 c'era stato un incontro con alcuni gestori di Infrastrutture Critiche. Poiché in questa prima direttiva la tematica interessa Trasporti ed Energia, all'incontro hanno partecipato società tipo AEM o A2A. A novembre 2011 ci sarà un incontro dal titolo inglese e un po' ambizioso: 1st International Workshop on Regional Critical Infrastructure Protection.
Il sito della protezione civile Regione Lombardia: http://bit.ly/iiDo8T
lunedì 6 giugno 2011
Sul downtime di Aruba
Uno dei casi più discussi di recente è il downtime di Aruba, perché tocca gli argomenti "infrastrutture", "continuità operativa" e "contrattualistica".
Segnalo qualche articolo interessante (dalla newsletter del Clusit):
- il commento di Claudio Telmon: http://blog.clusit.it/sicuramente/2011/05/considerazioni-sulla-vicenda-di-aruba.html
- il commento di Armando Leotta: http://blog.clusit.it/sicuramente/2011/04/aruba-downtime-osservazioni.html
- il commento di Andrea Draghetti: http://www.oversecurity.net/2011/04/30/incendio-nella-server-farm-di-aruba-comunicato-stampa/
Segnalo qualche articolo interessante (dalla newsletter del Clusit):
- il commento di Claudio Telmon: http://blog.clusit.it/sicuramente/2011/05/considerazioni-sulla-vicenda-di-aruba.html
- il commento di Armando Leotta: http://blog.clusit.it/sicuramente/2011/04/aruba-downtime-osservazioni.html
- il commento di Andrea Draghetti: http://www.oversecurity.net/2011/04/30/incendio-nella-server-farm-di-aruba-comunicato-stampa/
Report ENISA su resilienza e metriche
A febbraio, ENISA ha pubblicato il documento "Measurement Frameworks and Metrics for Resilient Networks and Services: Technical report" (ho visto la segnalazione sul blog del Clusit).
L'ho trovato interessante per diversi motivi, tra i quali: la presentazione di una selezione di metriche, accompagnate dai loro valori "tipici".
La parte introduttiva è un po' troppo scolastica.
Il link:
http://www.enisa.europa.eu/act/res/other-areas/metrics/reports/metrics-tech-report/at_download/fullReport
L'ho trovato interessante per diversi motivi, tra i quali: la presentazione di una selezione di metriche, accompagnate dai loro valori "tipici".
La parte introduttiva è un po' troppo scolastica.
Il link:
http://www.enisa.europa.eu/act/res/other-areas/metrics/reports/metrics-tech-report/at_download/fullReport
martedì 31 maggio 2011
Internet e politica
A inizio maggio avevo segnalato una presentazione di Atle Skjekkeland sulle nuove modalità di comunicazione:
http://blog.cesaregallotti.it/2011/05/omat-e-gestione-elettronica-di.html
Le campagne elettorali sono molto interessanti perché dimostrano
pubblicamente come alcuni mezzi sono utilizzati. Questo articolo, seppur dal
titolo "di parte" e dal tono ironico, mi sembra equilibrato nell'illustrare
come Pisapia abbia utilizzato Internet efficacemente, al contrario della
Moratti. E ci dà anche altre indicazioni sull'attenzione da porre nell'uso
di questi mezzi:
http://www.02blog.it/post/8170/the-social-letizia-moratti-una-serie-di-sciag
ure-riassunta-con-cura
http://blog.cesaregallotti.it/2011/05/omat-e-gestione-elettronica-di.html
Le campagne elettorali sono molto interessanti perché dimostrano
pubblicamente come alcuni mezzi sono utilizzati. Questo articolo, seppur dal
titolo "di parte" e dal tono ironico, mi sembra equilibrato nell'illustrare
come Pisapia abbia utilizzato Internet efficacemente, al contrario della
Moratti. E ci dà anche altre indicazioni sull'attenzione da porre nell'uso
di questi mezzi:
http://www.02blog.it/post/8170/the-social-letizia-moratti-una-serie-di-sciag
ure-riassunta-con-cura
venerdì 27 maggio 2011
I primi dieci anni di applicazione del Decreto 231
Segnalo questo interessante articolo sul Dlgs 231 del 2011:
http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2320
http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2320
Privacy: pazienti della sanità, telefonia
Daniela Quetti (DFA) ha segnalato diverse novità in materia alla privacy.
1- il Garante ha pubblicato il vademecum intitolato "Dalla parte del paziente. Privacy: le domande più frequenti".
http://www.garanteprivacy.it/garante/doc.jsp?ID=1812194
2- sono stati prorogati i termini per la realizzazione delle misure previste per gli operatori telefonici e riportate nel provvedimento del 24 febbraio 2011, "Modelli di informativa e di richiesta di consenso al trattamento dei dati personali relativi agli abbonati ai servizi di telefonia fissa e mobile"
http://www.garanteprivacy.it/garante/doc.jsp?ID=1811916
3- il Garante ha pubblicato le "Linee guida in tema di trattamento di dati per lo svolgimento di indagini di customer satisfaction in ambito sanitario", utili anche per chi conduce medesime indagini in altri ambiti.
http://www.garanteprivacy.it/garante/doc.jsp?ID=1812910
1- il Garante ha pubblicato il vademecum intitolato "Dalla parte del paziente. Privacy: le domande più frequenti".
http://www.garanteprivacy.it/garante/doc.jsp?ID=1812194
2- sono stati prorogati i termini per la realizzazione delle misure previste per gli operatori telefonici e riportate nel provvedimento del 24 febbraio 2011, "Modelli di informativa e di richiesta di consenso al trattamento dei dati personali relativi agli abbonati ai servizi di telefonia fissa e mobile"
http://www.garanteprivacy.it/garante/doc.jsp?ID=1811916
3- il Garante ha pubblicato le "Linee guida in tema di trattamento di dati per lo svolgimento di indagini di customer satisfaction in ambito sanitario", utili anche per chi conduce medesime indagini in altri ambiti.
http://www.garanteprivacy.it/garante/doc.jsp?ID=1812910
Un contributo su Business Continuity e Incident Management
Maurizio Nastro mi ha inviato un contributo su Business Continuity e Incident Management (http://blog.cesaregallotti.it/2011/04/business-continuity-e-incident.html). Copio integralmente e segnalo in particolare la seconda parte con l'esempio della barca.
Riguardo la differenza tra Business Continuity (BC) e Disaster Recovery (DR), sulla base della mia esperienza, credo che si possa riassumere concettualemente in questi termini.
Il criterio caratterizzante è rappresentato dalla sopravvivenza di un'azienda.
I piani di BC si preoccupano di mantenere, a seguito di un incidente di Business Disruption, la continuità dei servizi critici di Business almeno ad un livello predefinito considerato accettabile.
[Un incidente di Business Disruption è un evento che può intaccare le attività a supporto di servizi critici minando potenzialmente la sopravvivenza aziendale. Ogni organizzazione deve definire la propria classificazione di incidenti; il confine tra ciò che rappresenta un incidente ordinario e uno di Business Disruption è labile, e fortemente dipendente sia dall'organizzazione che dalla realtà in cui opera. A tal riguardo, prendiamo come esempio una organizzazione che opera nel settore dei trasporti, ed un'altra nel campo ICT con la maggior parte dei dipendenti che lavora da remoto via internet. E' evidente che un incidente (in questo caso legato ad un evento naturale) rappresentato da improvviso forte maltempo, che determina il formarsi di ghiaccio con conseguente inagibilità delle strade, assumerà contorni e valenza diversi per le due realtà aziendali.]
La BC è trasversale a tutte le tipologie di settori, potendosi applicare sia alle aziende erogatrici di servizi IT h24, sia, ad esempio, alle aziende manufatturiere che utilizzano laminatoi od altoforni, per le quali l'IT non rappresenta il core business.
I piani di Disaster Recovery si preoccupano di di mantenere, a seguito di un incidente (non necessariamente di Business Disruption), la continuità dei servizi erogati tramite l'infrastruttura IT almeno ad un livello predefinito considerato accettabile.
Qualora tali servizi (erogati tramite l'infrastruttura IT) siano anche servizi critici di Business, i piani di DR faranno parte dei piani di BC. Qualora, questo non avvenga, i piani di DR saranno fuori dai piani di BC. A tal riguardo, c'è però da dire che se l'infrastruttura IT non è a supporto di servizi critici, è presumibile che non vi sia neanche l'adozione di una soluzione di DR.
In altre parole, la BC si colloca ad un livello superiore rispetto al Disaster Recovery, che può essere visto come la parte tecnologica della Business Continuity, laddove l'infrastruttura IT copra un ruolo determinante per la sopravvivenza dell'azienda (in quanto a supporto di servizi critici).
Riguardo invece i piani di BC e i piani di Incident Management (IM) credo che un'analogia possa essere utile.
Se si pensa ad una piccola imbarcazione che improvvisamente presenti una falla che causi infiltrazioni d'acqua, il piano di IM, attuato dall'equipaggio, provvederà alle operazioni necessarie per tamponare la falla; il piano di BC è invece attuato dal personale adibito a scaricare fuoribordo l'acqua che entra durante le operazioni di tamponamento, per evitare che l'imbarcazione affondi.
Il piano di BC non è quindi finalizzato alla risoluzione del problema che ha causato l'incidente, ma a garantire la sopravvivenza dell'organizzazione per il tempo necessario a risolverlo.
Da quanto esposto si comprende come i piani di gestione incidenti e di BC siano diversi, ma, nel contempo, strettamente correlati. I responsabili dei due piani (che in realtà aziendali di piccole dimensioni possono anche essere in carico ad un'unica persona) devono mantenersi in stretto contatto al verificarsi di un incidente di Business Disruption. Se ci si accorge che il tempo trascorso nel tentativo di gestire a buon fine l'incidente, sommato a quello necessario per il ripristino dei servizi critici, rischia di diventare maggiore del massimo tempo tollerabile dall'azienda per la sua sopravvivenza, occorre procedere con l'attivazione dei piani di BC [attivarli subito, contestualemente ai piani di IM, non è detto che sia la soluzione migliore; questo perchè l'incidente potrebbe venire risolto per tempo, con conseguente vanificazione dei piani di BC (e costi conseguenti)].
PS: la puntata successiva è sul post http://blog.cesaregallotti.it/2011/06/business-continuity-e-incident.html
Riguardo la differenza tra Business Continuity (BC) e Disaster Recovery (DR), sulla base della mia esperienza, credo che si possa riassumere concettualemente in questi termini.
Il criterio caratterizzante è rappresentato dalla sopravvivenza di un'azienda.
I piani di BC si preoccupano di mantenere, a seguito di un incidente di Business Disruption, la continuità dei servizi critici di Business almeno ad un livello predefinito considerato accettabile.
[Un incidente di Business Disruption è un evento che può intaccare le attività a supporto di servizi critici minando potenzialmente la sopravvivenza aziendale. Ogni organizzazione deve definire la propria classificazione di incidenti; il confine tra ciò che rappresenta un incidente ordinario e uno di Business Disruption è labile, e fortemente dipendente sia dall'organizzazione che dalla realtà in cui opera. A tal riguardo, prendiamo come esempio una organizzazione che opera nel settore dei trasporti, ed un'altra nel campo ICT con la maggior parte dei dipendenti che lavora da remoto via internet. E' evidente che un incidente (in questo caso legato ad un evento naturale) rappresentato da improvviso forte maltempo, che determina il formarsi di ghiaccio con conseguente inagibilità delle strade, assumerà contorni e valenza diversi per le due realtà aziendali.]
La BC è trasversale a tutte le tipologie di settori, potendosi applicare sia alle aziende erogatrici di servizi IT h24, sia, ad esempio, alle aziende manufatturiere che utilizzano laminatoi od altoforni, per le quali l'IT non rappresenta il core business.
I piani di Disaster Recovery si preoccupano di di mantenere, a seguito di un incidente (non necessariamente di Business Disruption), la continuità dei servizi erogati tramite l'infrastruttura IT almeno ad un livello predefinito considerato accettabile.
Qualora tali servizi (erogati tramite l'infrastruttura IT) siano anche servizi critici di Business, i piani di DR faranno parte dei piani di BC. Qualora, questo non avvenga, i piani di DR saranno fuori dai piani di BC. A tal riguardo, c'è però da dire che se l'infrastruttura IT non è a supporto di servizi critici, è presumibile che non vi sia neanche l'adozione di una soluzione di DR.
In altre parole, la BC si colloca ad un livello superiore rispetto al Disaster Recovery, che può essere visto come la parte tecnologica della Business Continuity, laddove l'infrastruttura IT copra un ruolo determinante per la sopravvivenza dell'azienda (in quanto a supporto di servizi critici).
Riguardo invece i piani di BC e i piani di Incident Management (IM) credo che un'analogia possa essere utile.
Se si pensa ad una piccola imbarcazione che improvvisamente presenti una falla che causi infiltrazioni d'acqua, il piano di IM, attuato dall'equipaggio, provvederà alle operazioni necessarie per tamponare la falla; il piano di BC è invece attuato dal personale adibito a scaricare fuoribordo l'acqua che entra durante le operazioni di tamponamento, per evitare che l'imbarcazione affondi.
Il piano di BC non è quindi finalizzato alla risoluzione del problema che ha causato l'incidente, ma a garantire la sopravvivenza dell'organizzazione per il tempo necessario a risolverlo.
Da quanto esposto si comprende come i piani di gestione incidenti e di BC siano diversi, ma, nel contempo, strettamente correlati. I responsabili dei due piani (che in realtà aziendali di piccole dimensioni possono anche essere in carico ad un'unica persona) devono mantenersi in stretto contatto al verificarsi di un incidente di Business Disruption. Se ci si accorge che il tempo trascorso nel tentativo di gestire a buon fine l'incidente, sommato a quello necessario per il ripristino dei servizi critici, rischia di diventare maggiore del massimo tempo tollerabile dall'azienda per la sua sopravvivenza, occorre procedere con l'attivazione dei piani di BC [attivarli subito, contestualemente ai piani di IM, non è detto che sia la soluzione migliore; questo perchè l'incidente potrebbe venire risolto per tempo, con conseguente vanificazione dei piani di BC (e costi conseguenti)].
PS: la puntata successiva è sul post http://blog.cesaregallotti.it/2011/06/business-continuity-e-incident.html
APMG Ente di Accreditamento per la ISO/IEC 20000-1
Tony Coletta mi ha segnalato come APMG sia ora il gestore delle certificazioni aziendali ISO/IEC 20000-1 su incarico di itSMF.
Maggiori informazioni su:
http://www.apmg-international.com/faq2.asp?category=ISO/IEC%2020000%20FAQs
Sarà interessante capire come saranno gestite le relazioni tra certificati aziendali accreditati APMG e quelli accreditati da altri organismi di certificazione quali Accredia (ex Sincert).
PS: la seconda puntata è al
http://blog.cesaregallotti.it/2011/08/apmg-ente-di-accreditamento-per-la.html
Maggiori informazioni su:
http://www.apmg-international.com/faq2.asp?category=ISO/IEC%2020000%20FAQs
Sarà interessante capire come saranno gestite le relazioni tra certificati aziendali accreditati APMG e quelli accreditati da altri organismi di certificazione quali Accredia (ex Sincert).
PS: la seconda puntata è al
http://blog.cesaregallotti.it/2011/08/apmg-ente-di-accreditamento-per-la.html
Privacy e Decreto Sviluppo
A seguito del post "Privacy: ulteriori semplificazioni" (http://blog.cesaregallotti.it/2011/05/privacy-ulteriori-semplificazioni.html), segnalo una piccola analisi che ho effettuato in materia.
1- i dati dei clienti e fornitori non sono più oggetto della privacy se trattati unicamente per la gestione del rapporto di lavoro. In particolare, non è più necessario mandare loro l'informativa.
2- Attenzione però: questa esclusione sarà annullata laddove quei dati siano oggetto di trattamento per finalità commerciali, pubblicitarie e promozionali.
3- Altra esclusione: la richiesta di consenso preventivo per quanto riguarda dati contenuti nei curricula
4- Il Registro delle opposizioni vale anche per la posta cartacea (in altre parole, prima di fare mailing pubblicitario, bisogna fare uso del Registro delle Opposizioni, di cui ho già scritto in http://blog.cesaregallotti.it/2011/02/dpr-1782010-privacy-e-diritto-di.html)
5- la comunicazione di dati tra societa', enti o associazioni con societa' controllanti, controllate o collegate, nonchè tra consorzi, reti di imprese e raggruppamenti e associazioni temporanei di imprese con i soggetti ad essi aderenti, per le finalita' amministrativo contabili, non è più necessario il consenso. Però il fatto deve essere messo nell'informativa.
1- i dati dei clienti e fornitori non sono più oggetto della privacy se trattati unicamente per la gestione del rapporto di lavoro. In particolare, non è più necessario mandare loro l'informativa.
2- Attenzione però: questa esclusione sarà annullata laddove quei dati siano oggetto di trattamento per finalità commerciali, pubblicitarie e promozionali.
3- Altra esclusione: la richiesta di consenso preventivo per quanto riguarda dati contenuti nei curricula
4- Il Registro delle opposizioni vale anche per la posta cartacea (in altre parole, prima di fare mailing pubblicitario, bisogna fare uso del Registro delle Opposizioni, di cui ho già scritto in http://blog.cesaregallotti.it/2011/02/dpr-1782010-privacy-e-diritto-di.html)
5- la comunicazione di dati tra societa', enti o associazioni con societa' controllanti, controllate o collegate, nonchè tra consorzi, reti di imprese e raggruppamenti e associazioni temporanei di imprese con i soggetti ad essi aderenti, per le finalita' amministrativo contabili, non è più necessario il consenso. Però il fatto deve essere messo nell'informativa.
giovedì 19 maggio 2011
Privacy: ulteriori semplificazioni
Daniela Quetti (della DFA) segnala: la lettura del DECRETO-LEGGE 70 del 13 maggio 2011, in particolare dell'art. 6 comma 2 lettera a) che modifica il Codice Privacy (decreto legislativo 30 giugno 2003, n. 196). Il titolo dell'articolo è "Ulteriori riduzione e semplificazioni degli adempimenti burocratici"
Daniela ci ricorda che siamo ancora in fase di Decreto Legge (pertanto non ancora convertito in Legge), ma di fatto cogente.
Link al testo:
http://www.normattiva.it//dispatcher?task=attoCompleto&service=212&datagu=2011-05-13&redaz=011G0113&parControllo=si&connote=false&aggiorn=si&datavalidita=20110517#
Daniela ci ricorda che siamo ancora in fase di Decreto Legge (pertanto non ancora convertito in Legge), ma di fatto cogente.
Link al testo:
http://www.normattiva.it//dispatcher?task=attoCompleto&service=212&datagu=2011-05-13&redaz=011G0113&parControllo=si&connote=false&aggiorn=si&datavalidita=20110517#
lunedì 9 maggio 2011
Rapporto Melani (Svizzera)
Segnalo l'interessante dodicesimo rapporto semestrale MELANI (Centrale d'annuncio e d'analisi per la sicurezza dell'informazione)della Confederazione Svizzera.
La Svizzera non è l'Italia, ma almeno si tratta di uno studio più vicino a noi rispetto a quelli tipicamente USA.
http://www.melani.admin.ch/dienstleistungen/archiv/01123/index.html?lang=it
(Notizia ricavata dalla newsletter del Clusit).
Inoltre, sempre dalla Svizzera, segnalo il simpatico sito di divulgazione sulla sicurezza informatica Storie di Internet:
http://www.storiediinternet.ch/
La Svizzera non è l'Italia, ma almeno si tratta di uno studio più vicino a noi rispetto a quelli tipicamente USA.
http://www.melani.admin.ch/dienstleistungen/archiv/01123/index.html?lang=it
(Notizia ricavata dalla newsletter del Clusit).
Inoltre, sempre dalla Svizzera, segnalo il simpatico sito di divulgazione sulla sicurezza informatica Storie di Internet:
http://www.storiediinternet.ch/
martedì 3 maggio 2011
Cloud computing e incidenti
Ecco qui un'ulteriore notizia di un incidente sui servizi cloud di Amazon:
http://www.informationweek.com/news/cloud-computing/infrastructure/229402385
In breve: sono stati distrutti diversi dati di clienti.
Commento: il servizio cloud non si discosta troppo da altri servizi erogati da fornitori. Se il contratto con Amazon non prevedeva il backup dei dati, era opportuno pensarci lo stesso.
Notizia segnalata da SANS NewsBites Vol. 13 Num. 34.
http://www.informationweek.com/news/cloud-computing/infrastructure/229402385
In breve: sono stati distrutti diversi dati di clienti.
Commento: il servizio cloud non si discosta troppo da altri servizi erogati da fornitori. Se il contratto con Amazon non prevedeva il backup dei dati, era opportuno pensarci lo stesso.
Notizia segnalata da SANS NewsBites Vol. 13 Num. 34.
OMAT e gestione elettronica di documenti
Il 5 e 6 aprile 2011 si è tenuto a Milano il convegno OMAT (www.omat360.it).
Segnalo che le presentazioni del convegno sono disponibili su
http://milano2011.omat360.it/documentazione/omat.php (forse, per accedervi,
bisogna essere iscritti al convegno).
Io ho trovato interessante soprattutto la presentazione di Atle Skjekkeland
(in inglese) su come oggi sono gestite le informazioni aziendali e lo
saranno. E' stato interessante capire come le diverse generazioni
percepiscono "i dati" e le informazioni: i nuovi lavoratori comunicano via
social network, i loro predecessori via email e così via. Diverse percezioni
e diverse modalità con cui gestire le informazioni a cui forse non siamo
pienamente preparati.
La presentazione, in cui è possibile trovare ulteriori spunti di
riflessione, è disponibile anche su
https://aiimtaskforce.box.net/shared/zdfvxlvpa0.
Segnalo che le presentazioni del convegno sono disponibili su
http://milano2011.omat360.it/documentazione/omat.php (forse, per accedervi,
bisogna essere iscritti al convegno).
Io ho trovato interessante soprattutto la presentazione di Atle Skjekkeland
(in inglese) su come oggi sono gestite le informazioni aziendali e lo
saranno. E' stato interessante capire come le diverse generazioni
percepiscono "i dati" e le informazioni: i nuovi lavoratori comunicano via
social network, i loro predecessori via email e così via. Diverse percezioni
e diverse modalità con cui gestire le informazioni a cui forse non siamo
pienamente preparati.
La presentazione, in cui è possibile trovare ulteriori spunti di
riflessione, è disponibile anche su
https://aiimtaskforce.box.net/shared/zdfvxlvpa0.
lunedì 2 maggio 2011
Privacy Enhancing Technologies
Il 7 aprile, alla Statale di Milano, si è tenuta la lezione aperta dal
titolo "Privacy Enhancing Technologies vs. Antiforensics" di Marco A.
Calamari del Progetto Winston Smith.
La lezione è stata molto interessante anche per l'estesa panoramica sugli
strumenti di anonimizzazione per Internet disponibili.
Per saperne di più, consiglio di visitare il sito:
http://www.winstonsmith.info/pws/index.html
titolo "Privacy Enhancing Technologies vs. Antiforensics" di Marco A.
Calamari del Progetto Winston Smith.
La lezione è stata molto interessante anche per l'estesa panoramica sugli
strumenti di anonimizzazione per Internet disponibili.
Per saperne di più, consiglio di visitare il sito:
http://www.winstonsmith.info/pws/index.html
martedì 19 aprile 2011
Business Continuity e Incident Management
Nella newsletter di marzo, trattando del nuovo CAD, avevo segnalato come disgraziatamente si confonde la Business Continuity con la continuità dei soli sistemi IT e con il Disaster Recovery (termine utilizzato solo per i sistemi IT):
http://blog.cesaregallotti.it/2011/03/nuovo-cad-relazione-convegno-3-marzo.html
Un lettore (anonimo perché non gli ho chiesto se posso pubblicare il suo nome) mi ha fatto giustamente notare che l'approccio secondo cui la Business Continuity si deve occupare anche dei piccoli incidenti di continuità porta al fallimento delle iniziative di BCP (Business Continuity Plan).
Convengo, ma ho fatto qualche riflessione che voglio qui pubblicare:
1- la business continuity è un'attività del business e non dell'IT (questa spero sia una cosa ben chiara a tutti)
2- per fare l'analisi da cui elaborare i BCP, ossia la Business Impact Analysis o BIA, è necessario comprendere i tempi massimi di interruzione che il business può sopportare insieme alla ampiezza della interruzione (in molte realtà, un unico pc rotto per 1 settimana può avere impatti ben diversi di 100 pc per 1 ora). A seconda del business, i tempi massimi possono essere molto ridotti: deve essere la BIA a evidenziare questo parametro.
3- Quando avviene un incidente, a seconda dei tempi previsti di ripristino e dalla sua ampiezza si possono adottare diverse strategie.
4- Solitamente, quando si parla di BCP si intendono i piani da attuare nella peggiore delle ipotesi. L'unica cosa su cui riflettere è che, in realtà, negli altri casi si procede con la "normale" gestione degli incidenti (Incident Management o IM).
5- Io dico che i BCP-estremi (mi permetto di inventare questa definizione) e i piani di IM sono tutti dei BCP e la cosa fondamentale è stabilire quando bisogna adottare gli uni o gli altri (ossia, quando la prima valutazione di un incidente fornisce una previsione di interruzione compresa in un certo intervallo di tempo e una sua ampiezza di un certo tipo, si adottano le procedure A, B o C, che dispongono azioni specifiche tecniche e gestionali).
http://blog.cesaregallotti.it/2011/03/nuovo-cad-relazione-convegno-3-marzo.html
Un lettore (anonimo perché non gli ho chiesto se posso pubblicare il suo nome) mi ha fatto giustamente notare che l'approccio secondo cui la Business Continuity si deve occupare anche dei piccoli incidenti di continuità porta al fallimento delle iniziative di BCP (Business Continuity Plan).
Convengo, ma ho fatto qualche riflessione che voglio qui pubblicare:
1- la business continuity è un'attività del business e non dell'IT (questa spero sia una cosa ben chiara a tutti)
2- per fare l'analisi da cui elaborare i BCP, ossia la Business Impact Analysis o BIA, è necessario comprendere i tempi massimi di interruzione che il business può sopportare insieme alla ampiezza della interruzione (in molte realtà, un unico pc rotto per 1 settimana può avere impatti ben diversi di 100 pc per 1 ora). A seconda del business, i tempi massimi possono essere molto ridotti: deve essere la BIA a evidenziare questo parametro.
3- Quando avviene un incidente, a seconda dei tempi previsti di ripristino e dalla sua ampiezza si possono adottare diverse strategie.
4- Solitamente, quando si parla di BCP si intendono i piani da attuare nella peggiore delle ipotesi. L'unica cosa su cui riflettere è che, in realtà, negli altri casi si procede con la "normale" gestione degli incidenti (Incident Management o IM).
5- Io dico che i BCP-estremi (mi permetto di inventare questa definizione) e i piani di IM sono tutti dei BCP e la cosa fondamentale è stabilire quando bisogna adottare gli uni o gli altri (ossia, quando la prima valutazione di un incidente fornisce una previsione di interruzione compresa in un certo intervallo di tempo e una sua ampiezza di un certo tipo, si adottano le procedure A, B o C, che dispongono azioni specifiche tecniche e gestionali).
6- Il problema delle inziative di BCP è che solitamente riguardano solo i casi peggiori, per i quali è richiesta la collaborazione di persone poco preparate ad un certo tipo di riflessione e poco disposte a farle, visto che i casi sono rari. Ritengo che, in questi casi, è sufficiente trattare con loro solo della BIA e dei casi peggiori semplificando (giustamente, come dice il mio lettore) la teoria in favore della pratica.
Nella mia impostazione sono confortato dalla ISO/IEC 20000 che tratta in un unico capitolo la disponibilità dei sistemi e la continuità dei servizi e dalla ISO/PAS 22399 dal titolo "Guideline for incident management and operational continuity management".
Altri contributi alla discussione sono benvenuti.
PS: la puntata successiva è nel post http://blog.cesaregallotti.it/2011/05/un-contributo-su-business-continuity-e.html
Nella mia impostazione sono confortato dalla ISO/IEC 20000 che tratta in un unico capitolo la disponibilità dei sistemi e la continuità dei servizi e dalla ISO/PAS 22399 dal titolo "Guideline for incident management and operational continuity management".
Altri contributi alla discussione sono benvenuti.
PS: la puntata successiva è nel post http://blog.cesaregallotti.it/2011/05/un-contributo-su-business-continuity-e.html
Privacy: Pubblicazione di dati personali
Il 2 marzo, il Garante ha pubblicato le "Linee guida in materia di trattamento di dati personali contenuti anche in atti e documenti amministrativi, effettuato da soggetti pubblici per finalità di pubblicazione e diffusione sul web".
Inizialmente ho ignorato questo Provvedimento, visto che è specifico per la Pubblica Amministrazione. Lo segnalo perché comunque molti privati pubblicano sui propri siti dati personali, atti e documenti e dovrebbero comunque prendere spunto da quanto previsto per la PA.
Il Provvedimento:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1793203
Inizialmente ho ignorato questo Provvedimento, visto che è specifico per la Pubblica Amministrazione. Lo segnalo perché comunque molti privati pubblicano sui propri siti dati personali, atti e documenti e dovrebbero comunque prendere spunto da quanto previsto per la PA.
Il Provvedimento:
http://www.garanteprivacy.it/garante/doc.jsp?ID=1793203
Value Assessment Tool
Dall'articolo "Value Assessment Tool for ICT Projects at the European Commission" sul Volume 2, 2011 dell'ISACA Journal, segnalo il VAST, strumento messo a punto in seno alla EC per valutare le proposte di progetti ICT.
Evidentemente il tool è tarato per il business specifico della Commissione Europea, ma può essere un ottimo spunto per altre specializzazioni.
http://ec.europa.eu/dgs/informatics/vast/index_en.htm
Evidentemente il tool è tarato per il business specifico della Commissione Europea, ma può essere un ottimo spunto per altre specializzazioni.
http://ec.europa.eu/dgs/informatics/vast/index_en.htm
Abrogazione del SAS 70 e i nuovi SOC Report
Un articolo dell'ISACA Journal Volume 2 del 2011 dal titolo "Understanding the New SOC Reports" segnala l'abrogazione dei report SAS 70 in favore dei nuovi SOC reports.
Infatti, i report SAS 70 erano nati per gli audit sui sistemi contabili e recentemente erano stati utilizzati in modo improprio anche per dimostrare la sicurezza di un IT service provider su standard di controlli di sicurezza non definiti.
L'AICPA ha quindi definito 3 nuove tipologie di report:
- il SOC-1 o SSAE 16, che rimpiazza il SAS 70 propriamente detto e che riguarda i soli sistemi contabili
- il SOC-2 è un report più tecnico, dedicato a uno o più elementi (sicurezza, disponibilità, integrità, riservatezza e privacy), i cui relativi controlli sono descritti nel "Trust Services Principles and Criteria";
- il SOC-3 è una sorta di riassunto del SOC-2 destinato alla pubblicazione; è possibile paragonarlo alla certificazione ISO/IEC 27001 con tanto di marchio da pubblicare sul sito web.
I SOC possono essere di tipo 1 (meno estesi e più legati alla fase di pianificazione dei controlli) o di tipo 2 (con anche la valutazione di come i controlli operano in pratica e la descrizione dei test condotti dall'auditor)
Maggiori (e quasi sicuramente più precisi) dettagli:
- http://www.aicpa.org/InterestAreas/InformationTechnology/Resources/TrustServices/DownloadableDocuments/10957-378%20SOC%20Whitepaper.pdf
I "Trust Services Principles and Criteria" sono disponibili su
http://www.aicpa.org/InterestAreas/InformationTechnology/Resources/TrustServices/DownloadableDocuments/FINAL_Trust_services_PC_Only_0609.pdf
Infatti, i report SAS 70 erano nati per gli audit sui sistemi contabili e recentemente erano stati utilizzati in modo improprio anche per dimostrare la sicurezza di un IT service provider su standard di controlli di sicurezza non definiti.
L'AICPA ha quindi definito 3 nuove tipologie di report:
- il SOC-1 o SSAE 16, che rimpiazza il SAS 70 propriamente detto e che riguarda i soli sistemi contabili
- il SOC-2 è un report più tecnico, dedicato a uno o più elementi (sicurezza, disponibilità, integrità, riservatezza e privacy), i cui relativi controlli sono descritti nel "Trust Services Principles and Criteria";
- il SOC-3 è una sorta di riassunto del SOC-2 destinato alla pubblicazione; è possibile paragonarlo alla certificazione ISO/IEC 27001 con tanto di marchio da pubblicare sul sito web.
I SOC possono essere di tipo 1 (meno estesi e più legati alla fase di pianificazione dei controlli) o di tipo 2 (con anche la valutazione di come i controlli operano in pratica e la descrizione dei test condotti dall'auditor)
Maggiori (e quasi sicuramente più precisi) dettagli:
- http://www.aicpa.org/InterestAreas/InformationTechnology/Resources/TrustServices/DownloadableDocuments/10957-378%20SOC%20Whitepaper.pdf
I "Trust Services Principles and Criteria" sono disponibili su
http://www.aicpa.org/InterestAreas/InformationTechnology/Resources/TrustServices/DownloadableDocuments/FINAL_Trust_services_PC_Only_0609.pdf
lunedì 18 aprile 2011
Sicurezza dei dati in ambito farmaceutico
Il 22 marzo ho assistito al Workshop "Annex 11" organizzato a Milano da CTP System (www.ctpsystem.com), società specializzata in consulenza in ambito farmaceutico.
Per capire meglio di cosa si tratta, riporto il link alla presentazione:
http://www.ctpsystem.com/home/images/PDF/articoloncfmarzo2011_annex11.pdf
In poche parole, si tratta della pubblicazione della nuova versione del
capitolo 4 e dell'Annex 11 delle Good Manufacturing practice (GMP), di
supporto alla Direttiva 2003/94/EC, che entreranno in vigore a giugno 2011 e
che costituiscono lo standard di riferimento per la sicurezza delle
informazioni in ambito farmaceutico.
Le nuove normative hanno introdotto i concetti di risk assessment e risk
management, di ciclo di vita dei sistemi e di sistemi di gestione. E' stato
comunque fatto rilevare che le best practices di settore trattavano già
ampiamente questi temi.
Argomenti, quindi, ben noti a chi segue questo blog. In questo caso, però,
affrontati con l'ottica delle aziende di produzione e non di servizi.
Quindi, un'ottica molto pragmatica da una parte ma anche molto più rigorosa
dei molti esempi a cui siamo abituati.
Le GMP: http://ec.europa.eu/health/documents/eudralex/vol-4/index_en.htm.
Il corrispondente USA, ha sigla 21 CFR 11:
http://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm ed è
accompagnato dalle linee guida della DFA:
- http://www.fda.gov/RegulatoryInformation/Guidances/ucm125067.htm
- http://www.fda.gov/RegulatoryInformation/Guidances/ucm122046.htm
Molto diffuse in ambito farmaceutico sono le GAMP, pubblicate dalla ISPE:
(http://www.ispe.org/cs/gamp_publications_section/gamp_publications_overview
)
Sul Risk Assessment, la bibliografia comprende l'Annex 20 delle GMP, il
capitolo 5 e M3 della GAMP 5, una pubblicazione complementare delle GAMP 5,
la ISO 14971:2009 (in vigore anche per i medical devices), oltre che le ISO
31000, ISO 31010 e ISO Guide 73.
Un'ultima nota: nel calcolo del livello di rischio, alle ben note variabili
di impatto e probabilità (a sua volta funzione di minacce e vulnerabilità),
viene aggiunta la rilevabilità.
Per capire meglio di cosa si tratta, riporto il link alla presentazione:
http://www.ctpsystem.com/home/images/PDF/articoloncfmarzo2011_annex11.pdf
In poche parole, si tratta della pubblicazione della nuova versione del
capitolo 4 e dell'Annex 11 delle Good Manufacturing practice (GMP), di
supporto alla Direttiva 2003/94/EC, che entreranno in vigore a giugno 2011 e
che costituiscono lo standard di riferimento per la sicurezza delle
informazioni in ambito farmaceutico.
Le nuove normative hanno introdotto i concetti di risk assessment e risk
management, di ciclo di vita dei sistemi e di sistemi di gestione. E' stato
comunque fatto rilevare che le best practices di settore trattavano già
ampiamente questi temi.
Argomenti, quindi, ben noti a chi segue questo blog. In questo caso, però,
affrontati con l'ottica delle aziende di produzione e non di servizi.
Quindi, un'ottica molto pragmatica da una parte ma anche molto più rigorosa
dei molti esempi a cui siamo abituati.
Le GMP: http://ec.europa.eu/health/documents/eudralex/vol-4/index_en.htm.
Il corrispondente USA, ha sigla 21 CFR 11:
http://www.accessdata.fda.gov/scripts/cdrh/cfdocs/cfcfr/CFRSearch.cfm ed è
accompagnato dalle linee guida della DFA:
- http://www.fda.gov/RegulatoryInformation/Guidances/ucm125067.htm
- http://www.fda.gov/RegulatoryInformation/Guidances/ucm122046.htm
Molto diffuse in ambito farmaceutico sono le GAMP, pubblicate dalla ISPE:
(http://www.ispe.org/cs/gamp_publications_section/gamp_publications_overview
)
Sul Risk Assessment, la bibliografia comprende l'Annex 20 delle GMP, il
capitolo 5 e M3 della GAMP 5, una pubblicazione complementare delle GAMP 5,
la ISO 14971:2009 (in vigore anche per i medical devices), oltre che le ISO
31000, ISO 31010 e ISO Guide 73.
Un'ultima nota: nel calcolo del livello di rischio, alle ben note variabili
di impatto e probabilità (a sua volta funzione di minacce e vulnerabilità),
viene aggiunta la rilevabilità.
ISO/IEC 20000-1:2011 e traduzione in italiano
Tony Coletta mi annuncia:
"La nuova edizione della ISO/IEC 20000-1 è stata
pubblicata il 12 aprile 2011. Abbiamo pronta la traduzione fatta da un gruppo di volontari itSMF ed il sottoscritto. L'abbiamo sottoposta all'approvazione dell'UNI. Attendiamo fiduciosi"
Lo ringrazio per l'aggiornamento.
"La nuova edizione della ISO/IEC 20000-1 è stata
pubblicata il 12 aprile 2011. Abbiamo pronta la traduzione fatta da un gruppo di volontari itSMF ed il sottoscritto. L'abbiamo sottoposta all'approvazione dell'UNI. Attendiamo fiduciosi"
Lo ringrazio per l'aggiornamento.
venerdì 15 aprile 2011
Italiani, brava gente?
Ieri 14 aprile, alla sessione di studio dell'AIEA a Milano, Tamara Devalle e Tiziana Boffi di Protiviti hanno presentato i risultati di una ricerca sull'organizzazione IT nelle aziende italiane. Il quadro non è certo confortante.
Al termine della presentazione, un partecipante ha detto il solito luogo comune: "molti problemi sono propri di noi italiani".
Ho dovuto intervenire facendo notare che non è vero. Le mie esperienze all'estero o con multi-nazionali e le notizie da siti web di tutto il mondo dimostrano che le difficoltà dell'IT sono comuni.
Il problema del luogo comune "l'IT va male in Italia perché gli italiani non seguono le procedure, non sono educati, eccetera" è che poi diventa una giustificazione per i manager che non sanno convincere e spiegare e inserire una cultura aziendale adeguata, per i consulenti e i vari responsabili che scrivono procedure illeggibili e contorte, per i vertici aziendali che operano cambi organizzativi solo sugli organigrammi e mai sui processi e sui loro riporti che pensano solo a raggiungere gli obiettivi della propria area e mai a capire e risolvere i problemi di interrelazione con le altre aree (e il povero IT che è trasversale se la passa male...).
Concludo pregando tutti di ribellarvi a chiunque dica "siamo noi italiani che siamo fatti così": è una comoda e sbagliata giustificazione. Se vogliamo migliorare (non l'Italia, ma la piccola realtà che ci circonda), non c'è nulla di peggio di nascondersi dietro i luoghi comuni.
La presentazione di Protiviti dovrebbe essere pubblicata su http://www.aiea.it/html/anno_2011.html.
Al termine della presentazione, un partecipante ha detto il solito luogo comune: "molti problemi sono propri di noi italiani".
Ho dovuto intervenire facendo notare che non è vero. Le mie esperienze all'estero o con multi-nazionali e le notizie da siti web di tutto il mondo dimostrano che le difficoltà dell'IT sono comuni.
Il problema del luogo comune "l'IT va male in Italia perché gli italiani non seguono le procedure, non sono educati, eccetera" è che poi diventa una giustificazione per i manager che non sanno convincere e spiegare e inserire una cultura aziendale adeguata, per i consulenti e i vari responsabili che scrivono procedure illeggibili e contorte, per i vertici aziendali che operano cambi organizzativi solo sugli organigrammi e mai sui processi e sui loro riporti che pensano solo a raggiungere gli obiettivi della propria area e mai a capire e risolvere i problemi di interrelazione con le altre aree (e il povero IT che è trasversale se la passa male...).
Concludo pregando tutti di ribellarvi a chiunque dica "siamo noi italiani che siamo fatti così": è una comoda e sbagliata giustificazione. Se vogliamo migliorare (non l'Italia, ma la piccola realtà che ci circonda), non c'è nulla di peggio di nascondersi dietro i luoghi comuni.
La presentazione di Protiviti dovrebbe essere pubblicata su http://www.aiea.it/html/anno_2011.html.
Prodotti per Data Leak Prevention
L'ISACA ha pubblicato un white paper sulla Data Leak Prevention: www.isaca.org/DLP.
Lettura certamente utile, anche se il titolo è fuorviante. Infatti, si occupa di prodotti di Data Leak Prevention (DLP solutions) e solo parzialmente di altri elementi (alcuni li ho riportati in http://blog.cesaregallotti.it/2011/03/proteggersi-dal-leakage.html)
Lettura certamente utile, anche se il titolo è fuorviante. Infatti, si occupa di prodotti di Data Leak Prevention (DLP solutions) e solo parzialmente di altri elementi (alcuni li ho riportati in http://blog.cesaregallotti.it/2011/03/proteggersi-dal-leakage.html)
mercoledì 13 aprile 2011
Atti del Security Summit
Il 14-16 marzo 2011 si è tenuto a Milano il Security Summit. Sono disponibili le presentazioni dei relatori su https://www.securitysummit.it/page/atti_milano_2011
Io ho assistito (e ne raccomando le slides) a:
- La sicurezza dei pagamenti e delle carte di credito (PCI-DSS)
- La computer forensics e le investigazioni digitali tra approcci pratici e rigore scientifico: un'introduzione accademica
- Seminario a cura dell'Information Technology Service Management Forum Italia (itSMF)
- Seminario a cura dell'Information Technology Service Management Forum Italia (itSMF)
Buona lettura!
Io ho assistito (e ne raccomando le slides) a:
- La sicurezza dei pagamenti e delle carte di credito (PCI-DSS)
- La computer forensics e le investigazioni digitali tra approcci pratici e rigore scientifico: un'introduzione accademica
- Seminario a cura dell'Information Technology Service Management Forum Italia (itSMF)
- Seminario a cura dell'Information Technology Service Management Forum Italia (itSMF)
Buona lettura!
mercoledì 6 aprile 2011
ISO 28000 - Security in supply chain
Settimana scorsa, leggendo la newsletter dell'IRCA, ho trovato un articolo sulla ISO 28000:
http://www.irca.org/inform/issue29/TCummins.html?dm_i=4VM,DS56,HZSOT,151FL,1
Volevo quindi leggerlo e poi segnalarlo con il titolo "ISO 28000 - Uno standard dimenticato". Ma giusto nell'ultima settimana ho avuto conferma che sta nascendo interesse in questa norma internazionale sulla sicurezza "fisica". La norma è quindi applicabile a chi opera nella logistica e nel magazzinaggio.
La sua prima versione fu emessa come ISO PAS nel 2005; la seconda e attuale versione è del 2007 come ISO IS.
Di interesse sono le seguenti parti:
- ISO 28000:2007 "Specification for security management systems for the supply chain"; è lo standard "certificabile" e ricorda molto la ISO/IEC 27001:2005;
- ISO 28001:2007 "Security management systems for the supply chain — Best practices for implementing supply chain security, assessments and plans — Requirements and guidance"; riporta anch'esso dei requisiti (malgrado il titolo con l'ossimoro "best practices" - "requirements"), ma l'introduzione non aiuta a comprendere la sua relazione con la 28000; il suo contenuto sembra però più una best practices per il risk assessment richiesto dalla ISO 28000;
- ISO 28004:2007 "Security management systems for the supply chain — Guidelines for the implementation of ISO 28000", riporta le best practices e cita solo la 28000 e non la 28001.
http://www.irca.org/inform/issue29/TCummins.html?dm_i=4VM,DS56,HZSOT,151FL,1
Volevo quindi leggerlo e poi segnalarlo con il titolo "ISO 28000 - Uno standard dimenticato". Ma giusto nell'ultima settimana ho avuto conferma che sta nascendo interesse in questa norma internazionale sulla sicurezza "fisica". La norma è quindi applicabile a chi opera nella logistica e nel magazzinaggio.
La sua prima versione fu emessa come ISO PAS nel 2005; la seconda e attuale versione è del 2007 come ISO IS.
Di interesse sono le seguenti parti:
- ISO 28000:2007 "Specification for security management systems for the supply chain"; è lo standard "certificabile" e ricorda molto la ISO/IEC 27001:2005;
- ISO 28001:2007 "Security management systems for the supply chain — Best practices for implementing supply chain security, assessments and plans — Requirements and guidance"; riporta anch'esso dei requisiti (malgrado il titolo con l'ossimoro "best practices" - "requirements"), ma l'introduzione non aiuta a comprendere la sua relazione con la 28000; il suo contenuto sembra però più una best practices per il risk assessment richiesto dalla ISO 28000;
- ISO 28004:2007 "Security management systems for the supply chain — Guidelines for the implementation of ISO 28000", riporta le best practices e cita solo la 28000 e non la 28001.
lunedì 4 aprile 2011
Privacy: dei Titolari e dei Responsabili esterni - Parte 2
Dopo il mio post con stesso titolo di qualche giorno fa (http://blog.cesaregallotti.it/2011/04/privacy-dei-titolari-e-dei-responsabili.html), Mauro Cicognini
(sempre sul forum Clusit di LinkedIn) concorda con me e mi conferma che non
sono solo a vederla così. Aggiunge che "l'unica complicazione è che
naturalmente tutti i Titolari devono essere riportati nell'informativa".
Io ho continuato nella riflessione come segue.
Nell'ipotesi che si abbiano responsabili e non titolari, anche questi devono
essere riportati sull'informativa. Ma tutti inseriscono solo "le categorie
di soggetti" a cui comunicano i dati, come previsto dal Codice.
Perché il modello regga, bisogna leggere le due parti della disgiuntiva del
punto d del comma 1 dell'articolo 13 come completamente separati. Tradotto:
nell'informativa devo includere "1- i soggetti o le categorie di soggetti ai
quali i dati personali possono essere comunicati; 2- i soggetti o le
categorie di soggetti che possono venirne a conoscenza in qualità di
responsabili o incaricati".
E' una forzatura? Certo. Ma anche nominare degli esterni come "Responsabili"
che poi a loro volta nomineranno dei "Responsabili" è una forzatura. Oppure
nominare degli esterni come "Responsabili" e non fargli mai le verifiche
periodiche è una forzatura (alla banca, per esempio). Oppure scrivere nome e
cognome di alcuni responsabili o co-titolari nell'informativa e non inviarla
ad ogni aggiornamento è una forzatura.
Forzare per forzare, scelgo di forzare utilizzando un modello coerente, in
linea con ogni prassi gestionale di processi e di sicurezza, in linea con
quanto previsto nel resto dell'Europa (dove la Direttiva 95/46/CE è
ovviamente applicata). E scelgo di non aggrapparmi ad un modello fuori da
ogni logica e comunque passibile di contestazione rispetto a quanto si legge
nel Codice.
Ci sarebbe da riflettere mestamente su tanti (troppi) professionisti che
seguono come buoi il primo che dice una fesseria: la custodia delle password
in busta chiusa per migliaia di persone da moltiplicare per decine di
sistemi, il DPS come cosa complessissima che ha richiesto anni di proroghe,
richieste di consenso inutili ancora in circolazione, eccetera.
La smetto qui. Ma se ci sono controdeduzioni da proporre, sarò contento di
pubblicarle (e di rispondere e di pubblicare le risposte e così via; fino a
che nel botta-risposta ci saranno cose intelligenti).
PS: La puntata successiva è su: http://blog.cesaregallotti.it/2011/06/privacy-dei-titolari-e-dei-responsabili.html
(sempre sul forum Clusit di LinkedIn) concorda con me e mi conferma che non
sono solo a vederla così. Aggiunge che "l'unica complicazione è che
naturalmente tutti i Titolari devono essere riportati nell'informativa".
Io ho continuato nella riflessione come segue.
Nell'ipotesi che si abbiano responsabili e non titolari, anche questi devono
essere riportati sull'informativa. Ma tutti inseriscono solo "le categorie
di soggetti" a cui comunicano i dati, come previsto dal Codice.
Perché il modello regga, bisogna leggere le due parti della disgiuntiva del
punto d del comma 1 dell'articolo 13 come completamente separati. Tradotto:
nell'informativa devo includere "1- i soggetti o le categorie di soggetti ai
quali i dati personali possono essere comunicati; 2- i soggetti o le
categorie di soggetti che possono venirne a conoscenza in qualità di
responsabili o incaricati".
E' una forzatura? Certo. Ma anche nominare degli esterni come "Responsabili"
che poi a loro volta nomineranno dei "Responsabili" è una forzatura. Oppure
nominare degli esterni come "Responsabili" e non fargli mai le verifiche
periodiche è una forzatura (alla banca, per esempio). Oppure scrivere nome e
cognome di alcuni responsabili o co-titolari nell'informativa e non inviarla
ad ogni aggiornamento è una forzatura.
Forzare per forzare, scelgo di forzare utilizzando un modello coerente, in
linea con ogni prassi gestionale di processi e di sicurezza, in linea con
quanto previsto nel resto dell'Europa (dove la Direttiva 95/46/CE è
ovviamente applicata). E scelgo di non aggrapparmi ad un modello fuori da
ogni logica e comunque passibile di contestazione rispetto a quanto si legge
nel Codice.
Ci sarebbe da riflettere mestamente su tanti (troppi) professionisti che
seguono come buoi il primo che dice una fesseria: la custodia delle password
in busta chiusa per migliaia di persone da moltiplicare per decine di
sistemi, il DPS come cosa complessissima che ha richiesto anni di proroghe,
richieste di consenso inutili ancora in circolazione, eccetera.
La smetto qui. Ma se ci sono controdeduzioni da proporre, sarò contento di
pubblicarle (e di rispondere e di pubblicare le risposte e così via; fino a
che nel botta-risposta ci saranno cose intelligenti).
PS: La puntata successiva è su: http://blog.cesaregallotti.it/2011/06/privacy-dei-titolari-e-dei-responsabili.html
sabato 2 aprile 2011
Privacy: dei Titolari e dei Responsabili esterni
NOTA del 2018: questo articolo era di inizio 2016 e contiene errori
evidenti. Ha trovato risposte con la pubblicazione del GDPR.
Su LinkedIn, nel gruppo del Clusit, è stata sollevata la questione di un'azienda che fa monitoraggio della rete e configurazione degli apparati ed è stata nominata Responsabile Esterno da un cliente. Inoltre, il cliente ha deciso di "nominare" gli amministratori di sistema del fornitore.
Ho rabbrividito e ho risposto così:
1- Nella "nuova" Legge Privacy (Dlgs 196) il Titolare è stato definito in modo sottilmente diverso dalla "vecchia" 675/96. In particolare, nella nuova definizione, al Titolare "competono, anche unitamente ad altro titolare, le decisioni...". E' stato aggiunto "anche unitamente ad altro titolare". Articolo 1 lettera d della Legge 675/1996 e Articolo 4 lettera f del Dlgs 196/2003.
Io interpreto così: clienti e fornitori possono essere Titolari autonomi, una volta che si sono definite le finalità di ciascuno (nel caso in questione, "monitoraggio e configurazione della rete IT") e il profilo di sicurezza (dal semplice "rispetto della normativa privacy" ad una serie di procedure concordate tra le parti).
Purtroppo sembra che in pochi abbiano capito questo aspetto e si trascinano dietro le interpretazioni pre-2003 e continuano a nominare Responsabili esterni i fornitori, che dovranno anche "subire" verifiche periodiche dal Titolare (Art. 29 comma 5), eccetera.
Qualche domanda sui Responsabili Esterni: io dovrei nominare Responsabile esterno la mia banca? E il mio ISP (Wind)? E il mio gestore del telefono (Telecom)? E le Poste Italiane? Dovrei chiedere loro i nominativi degli AdS? Dovrò fare loro delle verifiche? A sua volta, il Responsabile esterno come può interfacciarsi con i propri fornitori?
Ancora: lo studio legale che ha dato quelle belle interpretazioni è stato nominato Responsabile Esterno? Permetterebbe al Titolare di fare "verifiche periodiche"? Gli ha dato il nominativo dei propri AdS (alla fine anche lo studio legale avrà un server o dei pc)?
E' ovvio che è un modello che non sta in piedi. Rimane solo una possibiltà perché il tutto regga: il fornitore è un Titolare autonomo, che tratterà i dati solo per eseguire il contratto (finalità) e con misure di sicurezza concordate con il cliente (dal "solo" rispetto della normativa a cose più complesse).
Infine: nel Dlgs 196/2003 (ultima versione da consultarsi su www.normattiva.it), non si nomina MAI il "Responsabile esterno".
2- Anche se il fornitore fosse stato nominato Responsabile, il Titolare non deve avere a disposizione i nominativi degli AdS. Questo lo diceva il Provvedimento del 28 novembre del 2008. Poi modificato opportunamente il 25 giugno del 2009. Ora dice "il titolare o il responsabile del trattamento devono conservare i nominativi". E' stato incluso il responsabile (con una bella "o" tra lui e il Titolare), che lo dovrà mantere disponibile in caso di accertamenti.
Ma ancora una volta, sembra che non sia prassi tenersi aggiornati.
Su LinkedIn, nel gruppo del Clusit, è stata sollevata la questione di un'azienda che fa monitoraggio della rete e configurazione degli apparati ed è stata nominata Responsabile Esterno da un cliente. Inoltre, il cliente ha deciso di "nominare" gli amministratori di sistema del fornitore.
Ho rabbrividito e ho risposto così:
1- Nella "nuova" Legge Privacy (Dlgs 196) il Titolare è stato definito in modo sottilmente diverso dalla "vecchia" 675/96. In particolare, nella nuova definizione, al Titolare "competono, anche unitamente ad altro titolare, le decisioni...". E' stato aggiunto "anche unitamente ad altro titolare". Articolo 1 lettera d della Legge 675/1996 e Articolo 4 lettera f del Dlgs 196/2003.
Io interpreto così: clienti e fornitori possono essere Titolari autonomi, una volta che si sono definite le finalità di ciascuno (nel caso in questione, "monitoraggio e configurazione della rete IT") e il profilo di sicurezza (dal semplice "rispetto della normativa privacy" ad una serie di procedure concordate tra le parti).
Purtroppo sembra che in pochi abbiano capito questo aspetto e si trascinano dietro le interpretazioni pre-2003 e continuano a nominare Responsabili esterni i fornitori, che dovranno anche "subire" verifiche periodiche dal Titolare (Art. 29 comma 5), eccetera.
Qualche domanda sui Responsabili Esterni: io dovrei nominare Responsabile esterno la mia banca? E il mio ISP (Wind)? E il mio gestore del telefono (Telecom)? E le Poste Italiane? Dovrei chiedere loro i nominativi degli AdS? Dovrò fare loro delle verifiche? A sua volta, il Responsabile esterno come può interfacciarsi con i propri fornitori?
Ancora: lo studio legale che ha dato quelle belle interpretazioni è stato nominato Responsabile Esterno? Permetterebbe al Titolare di fare "verifiche periodiche"? Gli ha dato il nominativo dei propri AdS (alla fine anche lo studio legale avrà un server o dei pc)?
E' ovvio che è un modello che non sta in piedi. Rimane solo una possibiltà perché il tutto regga: il fornitore è un Titolare autonomo, che tratterà i dati solo per eseguire il contratto (finalità) e con misure di sicurezza concordate con il cliente (dal "solo" rispetto della normativa a cose più complesse).
Infine: nel Dlgs 196/2003 (ultima versione da consultarsi su www.normattiva.it), non si nomina MAI il "Responsabile esterno".
2- Anche se il fornitore fosse stato nominato Responsabile, il Titolare non deve avere a disposizione i nominativi degli AdS. Questo lo diceva il Provvedimento del 28 novembre del 2008. Poi modificato opportunamente il 25 giugno del 2009. Ora dice "il titolare o il responsabile del trattamento devono conservare i nominativi". E' stato incluso il responsabile (con una bella "o" tra lui e il Titolare), che lo dovrà mantere disponibile in caso di accertamenti.
Ma ancora una volta, sembra che non sia prassi tenersi aggiornati.
lunedì 28 marzo 2011
ISO/IEC 25010 sui modelli di qualità del software
Il 1 marzo 2011 è stata pubblicata la ISO/IEC 25010 "Systems and software engineering — Systems and software Quality Requirements and Evaluation (SQuaRE) — System and software quality models".
Lo standard definisce due modelli qualità del software: il primo "quality in use" si compone di 5 caratteristiche (efficacia, efficienza, soddisfazione, assenza di rischi e copertura) ed è relativa alle sue interazioni quando utilizzato in uno specifico contesto; il secondo "product quality" riguarda le proprietà del software e del sistema informatico e si compone in 8 caratteristiche (adeguatezza fuznionale, efficienza delle prestazioni, compatibilità, usabilità, affidabilità, sicurezza, mantenibilità e portabilità.
Questo standard sostituisce la ISO/IEC 9126-1:2001 e fa parte della serie ISO/IEC 250xx dedicata alla qualità del software. Alcuni standard della serie sono già stati pubblicati, altri non ancora.
Grazie a Franco Ferrari (DNV Italia) per la segnalazione.
Lo standard definisce due modelli qualità del software: il primo "quality in use" si compone di 5 caratteristiche (efficacia, efficienza, soddisfazione, assenza di rischi e copertura) ed è relativa alle sue interazioni quando utilizzato in uno specifico contesto; il secondo "product quality" riguarda le proprietà del software e del sistema informatico e si compone in 8 caratteristiche (adeguatezza fuznionale, efficienza delle prestazioni, compatibilità, usabilità, affidabilità, sicurezza, mantenibilità e portabilità.
Questo standard sostituisce la ISO/IEC 9126-1:2001 e fa parte della serie ISO/IEC 250xx dedicata alla qualità del software. Alcuni standard della serie sono già stati pubblicati, altri non ancora.
Grazie a Franco Ferrari (DNV Italia) per la segnalazione.
Servizi di vigilanza - Nuovo Decreto
Franco Ferrari (DNV Italia) mi ha segnalato l'importante entrata in vigore del Decreto 269 del 2010, o "decreto sulla capacità tecnica degli istituti di vigilanza".
Negli allegati sono riportati, tra gli altri, i requisiti di qualità che tali istituti devono soddisfare.
E' possibile consultare il Decreto in questione su www.normattiva.it.
Negli allegati sono riportati, tra gli altri, i requisiti di qualità che tali istituti devono soddisfare.
E' possibile consultare il Decreto in questione su www.normattiva.it.
mercoledì 23 marzo 2011
ISO/IEC 27031 e BS 25777
Faccio seguito al post del 26 novembre 2010 che annunciava (e commentava) la prossima uscita della ISO/IEC 27031 "Guidelines for information and communication technology readiness for business continuity"
http://blog.cesaregallotti.it/2010/11/fdis-isoiec-27031.html
Il 1 marzo è stata pubblicata la versione finale ed è disponibile dal sito della ISO.
Il BSI segnala poi che questa norma sostituisce la BS 25777.
http://blog.cesaregallotti.it/2010/11/fdis-isoiec-27031.html
Il 1 marzo è stata pubblicata la versione finale ed è disponibile dal sito della ISO.
Il BSI segnala poi che questa norma sostituisce la BS 25777.
lunedì 21 marzo 2011
Attaccati (con successo) RSA e HBGary
Non si tratta di attacchi di poco conto perché hanno colpito in profondità aziende dove gli esperti di sicurezza sono ben preparati.
Il primo (notizia da Crpyo-Gram del 15 marzo) ha permesso a un gruppo di hacker (blackhat) di prelevare e pubblicare moltissime informazioni da HBGary, una società di informatica forense collaboratrice dell'FBI.
Tra le informazioni pubblicate, ve ne sono alcune compromettenti sulla stessa azienda.
Un articolo "normale":
http://arstechnica.com/tech-policy/news/2011/02/anonymous-to-security-firm-working-with-fbi-youve-angered-the-hive.ars
Un articolo con commenti sulle notizie compromettenti della HBGary e sui confini tra "buoni" e "cattivi":
http://threatpost.com/en_us/blogs/rsa-2011-winning-war-losing-our-soul-022211.
Il secondo (notizia ricavata dal SANS NewsBites del 18 marzo) ha colpito informazioni sui prodotti token SecurID dell'RSA. Il calcolo dice che circa 300 milioni di clienti (o token?) sono quindi potenzialmente meno sicuri.
L'articolo di Wired: http://www.wired.com/threatlevel/2011/03/rsa-hacked/
Questi due attacchi, come già detto, sono stati portati ad aziende le cui competenze di sicurezza sono molto elevate.
Lo stesso gruppo di hacker (blackhat) ha anche colpito il sito web del nostro Governo (notizia dalla DFA Newsletter del 17 marzo). Poca roba, al confronto:
http://www.webmasterpoint.org/news/governoit-sito-attaccato-e-modificata-anche-la-homepage-limmagine-e-i-motivi_p38842.html
Il primo (notizia da Crpyo-Gram del 15 marzo) ha permesso a un gruppo di hacker (blackhat) di prelevare e pubblicare moltissime informazioni da HBGary, una società di informatica forense collaboratrice dell'FBI.
Tra le informazioni pubblicate, ve ne sono alcune compromettenti sulla stessa azienda.
Un articolo "normale":
http://arstechnica.com/tech-policy/news/2011/02/anonymous-to-security-firm-working-with-fbi-youve-angered-the-hive.ars
Un articolo con commenti sulle notizie compromettenti della HBGary e sui confini tra "buoni" e "cattivi":
http://threatpost.com/en_us/blogs/rsa-2011-winning-war-losing-our-soul-022211.
Il secondo (notizia ricavata dal SANS NewsBites del 18 marzo) ha colpito informazioni sui prodotti token SecurID dell'RSA. Il calcolo dice che circa 300 milioni di clienti (o token?) sono quindi potenzialmente meno sicuri.
L'articolo di Wired: http://www.wired.com/threatlevel/2011/03/rsa-hacked/
Questi due attacchi, come già detto, sono stati portati ad aziende le cui competenze di sicurezza sono molto elevate.
Lo stesso gruppo di hacker (blackhat) ha anche colpito il sito web del nostro Governo (notizia dalla DFA Newsletter del 17 marzo). Poca roba, al confronto:
http://www.webmasterpoint.org/news/governoit-sito-attaccato-e-modificata-anche-la-homepage-limmagine-e-i-motivi_p38842.html
Abolizione Decreto Pisanu sulle wi-fi libere (parte seconda)
A dicembre avevo segnalato l'abolizione del Decreto Pisanu che, per dirla in termini molto poplari, impediva l'apertura di wi-fi libere.
http://blog.cesaregallotti.it/2010/12/abolizione-decreto-pisanu-sulle-wi-fi.html
Sul sito di Pierluigi Perri è disponibile una presentazione che mi permette di precisare alcuni dettagli.
Il Decreto Pisanu NON è stato abolito, ma è stato prorogato fino al 31 dicembre 2011. Questo grazie al Decreto Legge 225 del 2010, convertito in Legge 10 del 2011 (per leggere il testo della norma, su www.normattiva.it bisogna cercare il DL 225 del 2010; per leggere la versione aggiornata del Decreto Pisanu, bisogna cercare il DL 144 del 2005 e poi l'articolo 7).
Il nuovo Decreto Legge 225, inoltre (e positivamente secondo molti), rimuove, per gli esercizi pubblici che mettono a disposizione le wi-fi, gli obblighi di monitoraggio delle operazioni degli utenti e di identificazione degli utenti.
E ancora: precedentemente la messa a disposizione di connettività in "un pubblico esercizio o un circolo privato di qualsiasi specie" doveva essere conseguente ad una licenza fornita dalla Questura. Ora, tale misura preventiva si applica solo agli esercizi per i quali la connettività è "l'attività principale".
Per leggere la presentazione di Pierluigi Perri:
http://pierluigiperri.com/2011/01/23/legge-pisanu-cerchiamo-di-fare-chiarezza/
http://blog.cesaregallotti.it/2010/12/abolizione-decreto-pisanu-sulle-wi-fi.html
Sul sito di Pierluigi Perri è disponibile una presentazione che mi permette di precisare alcuni dettagli.
Il Decreto Pisanu NON è stato abolito, ma è stato prorogato fino al 31 dicembre 2011. Questo grazie al Decreto Legge 225 del 2010, convertito in Legge 10 del 2011 (per leggere il testo della norma, su www.normattiva.it bisogna cercare il DL 225 del 2010; per leggere la versione aggiornata del Decreto Pisanu, bisogna cercare il DL 144 del 2005 e poi l'articolo 7).
Il nuovo Decreto Legge 225, inoltre (e positivamente secondo molti), rimuove, per gli esercizi pubblici che mettono a disposizione le wi-fi, gli obblighi di monitoraggio delle operazioni degli utenti e di identificazione degli utenti.
E ancora: precedentemente la messa a disposizione di connettività in "un pubblico esercizio o un circolo privato di qualsiasi specie" doveva essere conseguente ad una licenza fornita dalla Questura. Ora, tale misura preventiva si applica solo agli esercizi per i quali la connettività è "l'attività principale".
Per leggere la presentazione di Pierluigi Perri:
http://pierluigiperri.com/2011/01/23/legge-pisanu-cerchiamo-di-fare-chiarezza/
sabato 19 marzo 2011
Errata corrige di errata corrige (sigh!)
Il 14 marzo avevo pubblicato un'errata corrige, ringraziando Max Cottafavi per la segnalazione:
http://blog.cesaregallotti.it/2011/03/errata-corrige-dpr-1782010-su-privacy-e.html
Il 16, Paolo Cupola mi ha fatto osservare che mi aveva fatto la medesima segnalazione qualche settimana prima, come commento al post "incriminato":
http://blog.cesaregallotti.it/2011/02/dpr-1782010-privacy-e-diritto-di.html#comments
Tutto ciò è successo perché non avevo configurato correttamente il blog.
Mi scuso con tutti
http://blog.cesaregallotti.it/2011/03/errata-corrige-dpr-1782010-su-privacy-e.html
Il 16, Paolo Cupola mi ha fatto osservare che mi aveva fatto la medesima segnalazione qualche settimana prima, come commento al post "incriminato":
http://blog.cesaregallotti.it/2011/02/dpr-1782010-privacy-e-diritto-di.html#comments
Tutto ciò è successo perché non avevo configurato correttamente il blog.
Mi scuso con tutti
venerdì 18 marzo 2011
Spionaggio: forse errata corrige
Avevo segnalato un articolo che citava dei casi di spionaggio industriale:http://blog.cesaregallotti.it/2011/03/non-solo-wikileaks-anche-lo-spionaggio.html
Roberto Bonalumi mi invia un link ad un recente articolo del Corriere della Sera per cui sembra tutta una montatura:http://archiviostorico.corriere.it/2011/marzo/13/Renault_spy_story_cinese_era_co_8_110313028.shtml
E un link al sito del 24 Ore:
Il commento di Roberto: "Se quanto riportato è vero, evidentemente è troppo facile ingannare il top management, e fargli prendere decisioni avventate su basi inesistenti [stranamente questo mi ricorda qualcosa che aveva a che fare con Iraq e armi di distruzione di massa... ]. A questo proposito, penso che leggerò il libro di Varanini, anche se non farà che rafforzare la mia opinione generale sul livello dei manager in Italia..."
In Italia, i manager avrebbero fatto causa. Mi stupisce che in tutto ciò gli avvocati di Renault non abbiano notato la scarsità di prove prodotte dagli investigatori. O forse gli avvocati non erano proprio stati chiamati.
Roberto Bonalumi mi invia un link ad un recente articolo del Corriere della Sera per cui sembra tutta una montatura:http://archiviostorico.corriere.it/2011/marzo/13/Renault_spy_story_cinese_era_co_8_110313028.shtml
E un link al sito del 24 Ore:
Il commento di Roberto: "Se quanto riportato è vero, evidentemente è troppo facile ingannare il top management, e fargli prendere decisioni avventate su basi inesistenti [stranamente questo mi ricorda qualcosa che aveva a che fare con Iraq e armi di distruzione di massa... ]. A questo proposito, penso che leggerò il libro di Varanini, anche se non farà che rafforzare la mia opinione generale sul livello dei manager in Italia..."
In Italia, i manager avrebbero fatto causa. Mi stupisce che in tutto ciò gli avvocati di Renault non abbiano notato la scarsità di prove prodotte dagli investigatori. O forse gli avvocati non erano proprio stati chiamati.
martedì 15 marzo 2011
Presentazioni itSMF al Security Summit
Sono disponibili le presentazioni tenute al Security Summit il 14 marzo 2011 durante la sessione dedicata all'itSMF. Una è mia.
Il link alla home dell'itSMF per la notizia:http://www.itsmf.it/index.php
Il link con le tre presentazioni:http://www.itsmf.it/index.php?method=section&action=zoom&id=2265
Il mese prossimo conto di dare ulteriori dettagli sul Security Summit.
Il link alla home dell'itSMF per la notizia:http://www.itsmf.it/index.php
Il link con le tre presentazioni:http://www.itsmf.it/index.php?method=section&action=zoom&id=2265
Il mese prossimo conto di dare ulteriori dettagli sul Security Summit.
lunedì 14 marzo 2011
Nuovo CAD - Relazione convegno 3 marzo Politecnico Milano
Giovedì 3 marzo si è tenuto un appuntamento al Politecnico di Milano sulle
novità introdotte dal Dlgs 235 del 2010 al Codice dell'Amministrazione
Digitale.
Hanno partecipato Giovanni Manca, Pierluigi Perri e Stefano Zanero. Incontro
molto interessante e molto tecnico.
Alcuni elementi emersi sono elencati di seguito.
- Tipologie di firme informatiche: ce ne sono 4. Probabilmente almeno una è
di troppo (quella "digitale", perché si sovrappone a quella "elettronica
qualificata", a sua volta un caso particolare della "elettronica avanzata",
a sua volta caso particolare della "elettronica"... sigh...)
- Firma grafometrica (ossia la firma su una sorta di tavoletta): una delle
tecnologie del futuro potrà essere proprio questa, introdotta all'articolo
25 comma 2 del CAD.
Bisognerà però poi capire come il tutto si intersecherà con la privacy,
visto che la firma grafometrica è anche una caratteristica biometrica
- Certificazione dei prodotti: il DPCM del 10 febbraio 2010 proroga
ulteriormente la possibilità dei certificatori di firma elettronica di
autodichiarare il livello di sicurezza dei propri dispositivi per
l'apposizione di firme elettroniche con procedure automatiche.
Nel corso del dibattito si è ribadito che (i) è comunque auspicabile che
tali prodotti (hardware o appliance come smart card, lettori e HSM) siano
certificati ISO/IEC 15408 (Common Criteria) rispetto a precisi Protection
Profiles e (ii) gli installatori stiano attenti a questo aspetto, di modo
che non si avrà un detrimento del sistema (tra l'altro, su questo punto, il
DPCM del 30 marzo 2009 è ancora in vigore per le altre casistiche)
- Firma remota e firma massiva: argomenti molto delicati, trattati (tra le
righe, per la verità) dall'articolo 35 ai commi 2, 3 e 5. Dovranno comunque
essere emesse delle regole tecniche (Articolo 71)
- Conservatori accreditati: si è discusso di questa nuova interessante
figura riportata dall'articolo 44-bis; i requisiti di sicurezza richiesti
non sembrano semplici da soddisfare per tutte quelle aziende di media
dimensione che potrebbero essere interessate a questo tema.
Si è anche accennato al rischio di avere modalità di accreditamento che non
garantiscono un buon livello di sicurezza (Manca ha fatto il paragone con le
certificazioni ISO 9001 e ISO/IEC 27001 aggiungendo una frase che io riporto
così "non tutti i certificatori sono bravi come il DNV"... io mi sono
sentito onorato di questo riconoscimento anche se molto indiretto)
- Business Continuity: l'articolo 50-bis dice che "le pubbliche
amministrazioni predispongono i piani di emergenza in grado di assicurare la
continuita' delle operazioni indispensabili per il servizio e il ritorno
alla normale operatività".
Manca ha ironizzato sul fatto che anche gli asili nido dovranno avere il
loro BCP.
Io ho fatto notare che questa normativa rischia di riportarci indietro:
l'argomento viene affrontato in una normativa di tipo IT e si rischia che
ritorni diffusa l'equazione Business Continuity = Continuità dei sistemi IT;
proprio quando finalmente questo errore era meno diffuso (insieme a Business
Continuity = Continuità in caso di disastri)
- Sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche
amministrazioni: l'articolo 51 prevede che vengano emesse delle regole
tecniche su questi temi. Vedremo come saranno.
- Copie di documenti: molto parlare si è fatto degli articoli 22 (Copie
informatiche di documenti analogici), 23 (Copie analogiche di documenti
informatici), 23-bis (Duplicati e copie informatiche di documenti
informatici).
Gli articoli non sono un esempio da seguire in termini di chiarezza e di
coerenza con la tecnologia attuale.
Aggiungo il link alla pagina pertinente della DigitPA:http://www.digitpa.gov.it/firma-digitale
Aggiungo il link al testo vigente del CAD:http://www.digitpa.gov.it/sites/default/files/CAD_lgs_235_2010.pdf
Nota mia finale.
Non ho avuto il coraggio di fare la domanda: "a fronte di questa normativa,
che valore hanno le e-mail? e i log dei sistemi?".
Fornisco la mia risposta: vale il comma 1-bis dell'articolo 20: "L'idoneita'
del documento informatico a soddisfare il requisito della forma scritta e il
suo valore probatorio sono liberamente valutabili in giudizio, tenuto conto
delle sue caratteristiche oggettive di qualita', sicurezza, integrita' ed
immodificabilita', fermo restando quanto disposto dall'articolo 21."
Mi auguro di ricevere (e pubblicherò) ulteriori pareri.
Ho posto la domanda a Giovanni Manca via mail e mi ha risposto: "La sua
valutazione è corretta!".
Faccio notare che la risposta di Manca è arrivata via Mail, quindi, fino a
prova contraria, ritenetela informale.
novità introdotte dal Dlgs 235 del 2010 al Codice dell'Amministrazione
Digitale.
Hanno partecipato Giovanni Manca, Pierluigi Perri e Stefano Zanero. Incontro
molto interessante e molto tecnico.
Alcuni elementi emersi sono elencati di seguito.
- Tipologie di firme informatiche: ce ne sono 4. Probabilmente almeno una è
di troppo (quella "digitale", perché si sovrappone a quella "elettronica
qualificata", a sua volta un caso particolare della "elettronica avanzata",
a sua volta caso particolare della "elettronica"... sigh...)
- Firma grafometrica (ossia la firma su una sorta di tavoletta): una delle
tecnologie del futuro potrà essere proprio questa, introdotta all'articolo
25 comma 2 del CAD.
Bisognerà però poi capire come il tutto si intersecherà con la privacy,
visto che la firma grafometrica è anche una caratteristica biometrica
- Certificazione dei prodotti: il DPCM del 10 febbraio 2010 proroga
ulteriormente la possibilità dei certificatori di firma elettronica di
autodichiarare il livello di sicurezza dei propri dispositivi per
l'apposizione di firme elettroniche con procedure automatiche.
Nel corso del dibattito si è ribadito che (i) è comunque auspicabile che
tali prodotti (hardware o appliance come smart card, lettori e HSM) siano
certificati ISO/IEC 15408 (Common Criteria) rispetto a precisi Protection
Profiles e (ii) gli installatori stiano attenti a questo aspetto, di modo
che non si avrà un detrimento del sistema (tra l'altro, su questo punto, il
DPCM del 30 marzo 2009 è ancora in vigore per le altre casistiche)
- Firma remota e firma massiva: argomenti molto delicati, trattati (tra le
righe, per la verità) dall'articolo 35 ai commi 2, 3 e 5. Dovranno comunque
essere emesse delle regole tecniche (Articolo 71)
- Conservatori accreditati: si è discusso di questa nuova interessante
figura riportata dall'articolo 44-bis; i requisiti di sicurezza richiesti
non sembrano semplici da soddisfare per tutte quelle aziende di media
dimensione che potrebbero essere interessate a questo tema.
Si è anche accennato al rischio di avere modalità di accreditamento che non
garantiscono un buon livello di sicurezza (Manca ha fatto il paragone con le
certificazioni ISO 9001 e ISO/IEC 27001 aggiungendo una frase che io riporto
così "non tutti i certificatori sono bravi come il DNV"... io mi sono
sentito onorato di questo riconoscimento anche se molto indiretto)
- Business Continuity: l'articolo 50-bis dice che "le pubbliche
amministrazioni predispongono i piani di emergenza in grado di assicurare la
continuita' delle operazioni indispensabili per il servizio e il ritorno
alla normale operatività".
Manca ha ironizzato sul fatto che anche gli asili nido dovranno avere il
loro BCP.
Io ho fatto notare che questa normativa rischia di riportarci indietro:
l'argomento viene affrontato in una normativa di tipo IT e si rischia che
ritorni diffusa l'equazione Business Continuity = Continuità dei sistemi IT;
proprio quando finalmente questo errore era meno diffuso (insieme a Business
Continuity = Continuità in caso di disastri)
- Sicurezza dei dati, dei sistemi e delle infrastrutture delle pubbliche
amministrazioni: l'articolo 51 prevede che vengano emesse delle regole
tecniche su questi temi. Vedremo come saranno.
- Copie di documenti: molto parlare si è fatto degli articoli 22 (Copie
informatiche di documenti analogici), 23 (Copie analogiche di documenti
informatici), 23-bis (Duplicati e copie informatiche di documenti
informatici).
Gli articoli non sono un esempio da seguire in termini di chiarezza e di
coerenza con la tecnologia attuale.
Aggiungo il link alla pagina pertinente della DigitPA:http://www.digitpa.gov.it/firma-digitale
Aggiungo il link al testo vigente del CAD:http://www.digitpa.gov.it/sites/default/files/CAD_lgs_235_2010.pdf
Nota mia finale.
Non ho avuto il coraggio di fare la domanda: "a fronte di questa normativa,
che valore hanno le e-mail? e i log dei sistemi?".
Fornisco la mia risposta: vale il comma 1-bis dell'articolo 20: "L'idoneita'
del documento informatico a soddisfare il requisito della forma scritta e il
suo valore probatorio sono liberamente valutabili in giudizio, tenuto conto
delle sue caratteristiche oggettive di qualita', sicurezza, integrita' ed
immodificabilita', fermo restando quanto disposto dall'articolo 21."
Mi auguro di ricevere (e pubblicherò) ulteriori pareri.
Ho posto la domanda a Giovanni Manca via mail e mi ha risposto: "La sua
valutazione è corretta!".
Faccio notare che la risposta di Manca è arrivata via Mail, quindi, fino a
prova contraria, ritenetela informale.
Errata corrige: DPR 178/2010 su Privacy e diritto di opposizione
Il mese scorso, trattando di DPR 178/2010 su Privacy e diritto di opposizione, avevo scritto che l'argomento non era trattato sul sito del Garante Privacy:http://blog.cesaregallotti.it/2011/02/dpr-1782010-privacy-e-diritto-di.html
Massimo Cottafavi (Spike Reply) mi ha contraddetto, segnalandomi due link dal sito stesso:
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1785597
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1784528
Colpito e affondato!
Massimo Cottafavi (Spike Reply) mi ha contraddetto, segnalandomi due link dal sito stesso:
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1785597
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1784528
Colpito e affondato!
mercoledì 9 marzo 2011
L'analisi del rischio operativo: il caso DB Consorzio
Segnalo questo interessante articolo di Enrico Toso di Deutsche Bank:http://www.zerounoweb.it/index.php?option=com_content&task=view&id=4464&Itemid=0
Nella sinteticità di alcuni spunti, segnalo:
- il reimpiego di contributi provenienti da precedenti analisi (tema molto complesso, ma generalmente svilito dai tanti che pensano di avere "LA soluzione" adatta per tutti i contesti e di essere molto più bravi di quelli che li hanno preceduti; qui si parla di "elemento vincente")
- il pericolo di una versione eccessivamente analitica ma poco mantenibile e quello di una descrizione generica ma inutile allo scopo (il tema della mantenibilità dell'analisi è cruciale)
- la "verifica di fondatezza perché il modello potesse essere considerato attendibile e sostenibile in sede di contraddittorio o di verifica interna o esterna, o perché lo stesso avesse un valore esimente in sede di giudizio".
Nella sinteticità di alcuni spunti, segnalo:
- il reimpiego di contributi provenienti da precedenti analisi (tema molto complesso, ma generalmente svilito dai tanti che pensano di avere "LA soluzione" adatta per tutti i contesti e di essere molto più bravi di quelli che li hanno preceduti; qui si parla di "elemento vincente")
- il pericolo di una versione eccessivamente analitica ma poco mantenibile e quello di una descrizione generica ma inutile allo scopo (il tema della mantenibilità dell'analisi è cruciale)
- la "verifica di fondatezza perché il modello potesse essere considerato attendibile e sostenibile in sede di contraddittorio o di verifica interna o esterna, o perché lo stesso avesse un valore esimente in sede di giudizio".
lunedì 7 marzo 2011
NIST SP 800-39, Managing Information Security Risk
Il NIST ha pubblicato il proprio equivalente della ISO/IEC 27003.
L'ho trovato interessante da leggere, come quasi tutte le pubblicazioni del NIST, con molte idee e considerazioni utili, in termini teorici (cito tra gli altri, le rfilessioni dulle diverse tollerabilità del rischio, la convivenza di diverse metodologie di risk assessment nella medesima organizzazione, i rapporti con le terze parti). Inoltre, è gratuito.
Il link:http://csrc.nist.gov/publications/PubsSPs.html#800-39
L'ho trovato interessante da leggere, come quasi tutte le pubblicazioni del NIST, con molte idee e considerazioni utili, in termini teorici (cito tra gli altri, le rfilessioni dulle diverse tollerabilità del rischio, la convivenza di diverse metodologie di risk assessment nella medesima organizzazione, i rapporti con le terze parti). Inoltre, è gratuito.
Il link:http://csrc.nist.gov/publications/PubsSPs.html#800-39
Proteggersi dal leakage
Dopo il caso di Wikileaks, qualcuno mi ha chiesto cosa si può fare per
prevenire il coinvolgimento di un'azienda in eventi simili.
Propongo di seguito alcune mie riflessioni. Ogni contributo per migliorarle
sarà ben accetto (e opportunamente attribuito).
Le tecniche sono quelle di prevenzione dallo spionaggio industriale e si
possono ridurre in due opzioni.
OPZIONE 1: pianificare una serie di interventi, tra i quali l'impostazione
di un preciso processo di gestione delle credenziali e delle autorizzazioni
(incluso un meccanismo basato sui ruoli), la revisione periodica e la
riduzione delle autorizzazioni, la formazione, la chiusura delle connessioni
a Internet, la limitazione dell'uso della posta elettronica al di fuori del
perimetro dell'organizzazione (alcune aziende mettono a disposizione
"funghi" per permettere l'uso illimitato dell'e-mail), il blocco delle porte
USB, la restrizione delle attività di configurazione sui pc
Sono in commercio diversi prodotti per il controllo delle comunicazioni da/a
un'organizzazione. Una molto breve ricerca su Internet mi ha portato a
questi due (non li conosco, non li ho mai provati), ma sicuramente i grossi
produttori e system integrator ne propongono altri:
- http://www.slideshare.net/mmilazzo/infomation-leakage-prevention-ita
- http://cleverconsultingsrl.createsend3.com/t/r/l/yujjfd/bmlklukr/j
Ognuno di questi interventi richiede un elevato sforzo da parte
dell'organizzazione che intende attuarli. In alcuni casi lo sforzo è
economico, in tutti è di tipo culturale e organizzativo (provate a togliere
la connessione Internet al personale e rischiate grandi malumori, se non
opportunamente previsti e gestiti).
OPZIONE 2: non fare nulla. Ogni azione non chiuderà mai tutti i buchi; basti
pensare che il dossier Mitrokin è stato costituito anche attraverso
documenti copiati a mano.
Tra queste due opzioni, vi è il "livello adeguato", individuabile a seguito
di risk assessment. Un risk assessment che si basi su due parametri
specifici:
- quali informazioni sono gestite dall'azienda, quali danni può portare una
loro diffusione al suo esterno, qual è la loro appetibilità, per chi sono
appetibili
- quali sono gli "agenti di attacco": quali sono le loro motivazioni e i
loro mezzi
prevenire il coinvolgimento di un'azienda in eventi simili.
Propongo di seguito alcune mie riflessioni. Ogni contributo per migliorarle
sarà ben accetto (e opportunamente attribuito).
Le tecniche sono quelle di prevenzione dallo spionaggio industriale e si
possono ridurre in due opzioni.
OPZIONE 1: pianificare una serie di interventi, tra i quali l'impostazione
di un preciso processo di gestione delle credenziali e delle autorizzazioni
(incluso un meccanismo basato sui ruoli), la revisione periodica e la
riduzione delle autorizzazioni, la formazione, la chiusura delle connessioni
a Internet, la limitazione dell'uso della posta elettronica al di fuori del
perimetro dell'organizzazione (alcune aziende mettono a disposizione
"funghi" per permettere l'uso illimitato dell'e-mail), il blocco delle porte
USB, la restrizione delle attività di configurazione sui pc
Sono in commercio diversi prodotti per il controllo delle comunicazioni da/a
un'organizzazione. Una molto breve ricerca su Internet mi ha portato a
questi due (non li conosco, non li ho mai provati), ma sicuramente i grossi
produttori e system integrator ne propongono altri:
- http://www.slideshare.net/mmilazzo/infomation-leakage-prevention-ita
- http://cleverconsultingsrl.createsend3.com/t/r/l/yujjfd/bmlklukr/j
Ognuno di questi interventi richiede un elevato sforzo da parte
dell'organizzazione che intende attuarli. In alcuni casi lo sforzo è
economico, in tutti è di tipo culturale e organizzativo (provate a togliere
la connessione Internet al personale e rischiate grandi malumori, se non
opportunamente previsti e gestiti).
OPZIONE 2: non fare nulla. Ogni azione non chiuderà mai tutti i buchi; basti
pensare che il dossier Mitrokin è stato costituito anche attraverso
documenti copiati a mano.
Tra queste due opzioni, vi è il "livello adeguato", individuabile a seguito
di risk assessment. Un risk assessment che si basi su due parametri
specifici:
- quali informazioni sono gestite dall'azienda, quali danni può portare una
loro diffusione al suo esterno, qual è la loro appetibilità, per chi sono
appetibili
- quali sono gli "agenti di attacco": quali sono le loro motivazioni e i
loro mezzi
venerdì 4 marzo 2011
Rischi e sistemi virtuali
Sul Volume 1 del 2011 dell'Isaca Journal è apparso l'interessante articolo
"Virtualization Benefits and Security Audit of Virtual IT Systems".
L'articolo presenta brevemente le tecnologie di virtualizzazione e infine
presenta una check list di audit di 141 punti. Come è ovvio, le check list
di audit possono anche essere usate come valido spunto per la pianificazione
e la realizzazione.
Purtroppo l'articolo completo è disponibili ai soli soci ISACA. Il riassunto
lo trovate qui: http://www.isaca.org/Journal/Blog/Lists/Posts/Post.aspx?ID=45
In alternativa, ricordo la SP-800-125 del NIST:http://csrc.nist.gov/publications/PubsSPs.html
"Virtualization Benefits and Security Audit of Virtual IT Systems".
L'articolo presenta brevemente le tecnologie di virtualizzazione e infine
presenta una check list di audit di 141 punti. Come è ovvio, le check list
di audit possono anche essere usate come valido spunto per la pianificazione
e la realizzazione.
Purtroppo l'articolo completo è disponibili ai soli soci ISACA. Il riassunto
lo trovate qui: http://www.isaca.org/Journal/Blog/Lists/Posts/Post.aspx?ID=45
In alternativa, ricordo la SP-800-125 del NIST:http://csrc.nist.gov/publications/PubsSPs.html
mercoledì 2 marzo 2011
Contenzioso penale sul lavoro e privacy
Finalmente, una notizia su un'azienda che agisce correttamente quando conduce indagini su un lavoratore.
In poche parole, l'azienda ha "solo" preso in consegna il pc aziendale per poi metterlo a disposizione dell'autorità giudiziaria.
Ribadisco un concetto importante in modo molto sintetico, parafrasando il "don't do it at home": è giusto e corretto imparare le tecniche di digital forensics, ma non usatele a casa (o nell'azienda) vostra!
La notizia sul sito del Garante: http://www.garanteprivacy.it/garante/doc.jsp?ID=1792844#3
In poche parole, l'azienda ha "solo" preso in consegna il pc aziendale per poi metterlo a disposizione dell'autorità giudiziaria.
Ribadisco un concetto importante in modo molto sintetico, parafrasando il "don't do it at home": è giusto e corretto imparare le tecniche di digital forensics, ma non usatele a casa (o nell'azienda) vostra!
La notizia sul sito del Garante: http://www.garanteprivacy.it/garante/doc.jsp?ID=1792844#3
Non solo Wikileaks (anche lo spionaggio industriale)
Dal sito del BSI, segnalo il breve articolo "Industrial espionage targets Renault electric car designs".
In breve: Renault, General Motors e Ford recentemente sono state vittime di casi di spionaggio industriale.
Mio commento: si parla tanto di Wikileaks in termini sociali o di impatti sulla politica; dovremmo veramente vederlo come punta di un iceberg e come un monito per ogni impresa.
In breve: Renault, General Motors e Ford recentemente sono state vittime di casi di spionaggio industriale.
Mio commento: si parla tanto di Wikileaks in termini sociali o di impatti sulla politica; dovremmo veramente vederlo come punta di un iceberg e come un monito per ogni impresa.
Richiami di prodotto e contro il management
Un articolo sul sito del BSI dice che in UK nel 2010 sono aumentati del 12%
rispetto al 2009 i prodotti richiamati dalle case produttrici.
L'articolo ha titolo "Cutting Corners in quality compromising brands from
Ferrari to Johnson and Johnson" e si trova a questa URL:http://shop.bsigroup.com/en/Browse-By-Subject/Quality--Sampling/Product-reca
lls-in-2010-break-records/?id=185248&utm_source=QUALB-NA&utm_medium=et_mail&
utm_content=546448&utm_campaign=QUALB-NA_2_March_2011&utm_term=article.
Non credo di poter sottoscrivere la tesi dell'articolo, secondo la quale
l'uso della ISO 9004 possa aiutare. Penso piuttosto che in tempi di crisi il
management taglia i costi avendo come unici riferimenti un foglio Excel, il
proprio stipendio e il proprio tenore di vita. Senza agire convenientemente
su processi e tecniche.
Chiunque si sia occupato di processi di qualità avrà visto come troppo
spesso i controlli sono fatti in modo anti-economico (per esempio,
innumerevoli controlli a fine linea a scapito delle attività preventive), da
personale non sempre motivato o completamente competente.
In questo periodo sto leggendo "Contro il management" di Francesco Varanini.
Il mio commento prende spunto anche da questa lettura.
Le sue argomentazioni non risultano nuove al 100% perché in molti abbiamo
visto come in alcune aziende si tagliasse sull'uso della carta, sulla
formazione, sugli strumenti di lavoro e su alcuni rimborsi (del personale
operativo, ovviamente), mentre non c'era alcun limite per alcune trasferte,
alcuni benefit e certa formazione (soft skill manageriali...), oltre a non
pianificare per tempo alcune attività in modo da conseguire risparmi
significativi. Varanini, però, mette tutto questo e anche molto di più in un
buon libro.
Per scrivere questo post, ho "scoperto" che Varanini gestisce un blog:http://www.controilmanagement.blogspot.com/
rispetto al 2009 i prodotti richiamati dalle case produttrici.
L'articolo ha titolo "Cutting Corners in quality compromising brands from
Ferrari to Johnson and Johnson" e si trova a questa URL:http://shop.bsigroup.com/en/Browse-By-Subject/Quality--Sampling/Product-reca
lls-in-2010-break-records/?id=185248&utm_source=QUALB-NA&utm_medium=et_mail&
utm_content=546448&utm_campaign=QUALB-NA_2_March_2011&utm_term=article.
Non credo di poter sottoscrivere la tesi dell'articolo, secondo la quale
l'uso della ISO 9004 possa aiutare. Penso piuttosto che in tempi di crisi il
management taglia i costi avendo come unici riferimenti un foglio Excel, il
proprio stipendio e il proprio tenore di vita. Senza agire convenientemente
su processi e tecniche.
Chiunque si sia occupato di processi di qualità avrà visto come troppo
spesso i controlli sono fatti in modo anti-economico (per esempio,
innumerevoli controlli a fine linea a scapito delle attività preventive), da
personale non sempre motivato o completamente competente.
In questo periodo sto leggendo "Contro il management" di Francesco Varanini.
Il mio commento prende spunto anche da questa lettura.
Le sue argomentazioni non risultano nuove al 100% perché in molti abbiamo
visto come in alcune aziende si tagliasse sull'uso della carta, sulla
formazione, sugli strumenti di lavoro e su alcuni rimborsi (del personale
operativo, ovviamente), mentre non c'era alcun limite per alcune trasferte,
alcuni benefit e certa formazione (soft skill manageriali...), oltre a non
pianificare per tempo alcune attività in modo da conseguire risparmi
significativi. Varanini, però, mette tutto questo e anche molto di più in un
buon libro.
Per scrivere questo post, ho "scoperto" che Varanini gestisce un blog:http://www.controilmanagement.blogspot.com/
Proposta (negli USA) di certificare la sicurezza IT
Aldo Ceccarelli, sul gruppo Clusit di LinkedIn segnala questo articolo:
http://www.linkedin.com/news?viewArticle=&articleID=380816458&gid=54878&type=member&item=44385712&articleURL=http%3A%2F%2Frss%2Eslashdot%2Eorg%2F%7Er%2FSlashdot%2Fslashdot%2F%7E3%2FajQVyVJYd7k%2FIndustry-IT-Security-Certification-Proposed&urlhash=GNav&goback=%2Egde_54878_member_44385712
In breve: alla conferenza RSA è stato proposto di certificare (in modo simile alla revisione dei conti o alla SOX) la siucrezza informatica, al fine di dare maggiore fiducia nelle aziende.
Ovviamnete, se la cosa andrà avanti, sarà interessante vedere quale approccio prenderanno.
http://www.linkedin.com/news?viewArticle=&articleID=380816458&gid=54878&type=member&item=44385712&articleURL=http%3A%2F%2Frss%2Eslashdot%2Eorg%2F%7Er%2FSlashdot%2Fslashdot%2F%7E3%2FajQVyVJYd7k%2FIndustry-IT-Security-Certification-Proposed&urlhash=GNav&goback=%2Egde_54878_member_44385712
In breve: alla conferenza RSA è stato proposto di certificare (in modo simile alla revisione dei conti o alla SOX) la siucrezza informatica, al fine di dare maggiore fiducia nelle aziende.
Ovviamnete, se la cosa andrà avanti, sarà interessante vedere quale approccio prenderanno.
NIST IR 7298, Glossary of Key Information Security Terms
Il NIST ha pubblicato il proprio glossario dei termini della sicurezza.
Non tutte le definizioni sono condivisibili o in linea con altri riferimenti.
Vale però la pena averlo sotto mano: http://csrc.nist.gov/publications/nistir/ir7298-rev1/nistir-7298-revision1.pdf
Non tutte le definizioni sono condivisibili o in linea con altri riferimenti.
Vale però la pena averlo sotto mano: http://csrc.nist.gov/publications/nistir/ir7298-rev1/nistir-7298-revision1.pdf
Ancora sul CAD (Codice Amministrazione Digitale)
L'importanza del CAD per le materie oggetto di questo blog è enorme. Basti pensare ad uno degli aspetti chiave di ogni "sistema di gestione": la rilevanza dei documenti e delle registrazioni. In particolare delle mail o di altri "documenti informatici".
Segnalo quindi un ulteriore articolo da Filodiritto:
"La firma digitale ora si fa con le dita"; http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2190
Segnalo anche il sito per iscriversi a Omat 2011 a Milano (5-6 aprile): www.omat360.it/mi11
Dal "progetto 2011" non sembra che il CAD sarà argomento di discussione, ma bisognerà verificare quando sarà disponibile il programma definitivo.
Segnalo quindi un ulteriore articolo da Filodiritto:
"La firma digitale ora si fa con le dita"; http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2190
Segnalo anche il sito per iscriversi a Omat 2011 a Milano (5-6 aprile): www.omat360.it/mi11
Dal "progetto 2011" non sembra che il CAD sarà argomento di discussione, ma bisognerà verificare quando sarà disponibile il programma definitivo.
mercoledì 16 febbraio 2011
ISO/IEC 17021:2011
Una comunicazione dell'organismo di certificazione NQA dice che il 1° febbraio 2011 è stata pubblicata la revisione della norma internazionale ISO/IEC 17021:2011 "Conformity assessment -- Requirements for bodies providing audit and certification of management systems".
Questa norma fornisce requisiti a cui devono sottostare i soli organismi di certificazione (in altre parole, se non lavorate in un OdC, non vi interessa).
Secondo quanto riportato dalla comunicazione già citata, la ISO 17021:2011 contiene, praticamente invariati, i requisiti per la conduzione degli audit da parte degli Organismi di certificazione; fornisce invece ulteriori criteri per la competenza degli auditor.
IAF (International Accreditation Forum) e ISO (International Organization for Standardization) hanno fissato al 1° febbraio 2013 il termine ultimo per l'implementazione della ISO/IEC 17021:2011 da parte degli Organismi di certificazione di sistemi di gestione.
Questa norma fornisce requisiti a cui devono sottostare i soli organismi di certificazione (in altre parole, se non lavorate in un OdC, non vi interessa).
Secondo quanto riportato dalla comunicazione già citata, la ISO 17021:2011 contiene, praticamente invariati, i requisiti per la conduzione degli audit da parte degli Organismi di certificazione; fornisce invece ulteriori criteri per la competenza degli auditor.
IAF (International Accreditation Forum) e ISO (International Organization for Standardization) hanno fissato al 1° febbraio 2013 il termine ultimo per l'implementazione della ISO/IEC 17021:2011 da parte degli Organismi di certificazione di sistemi di gestione.
lunedì 14 febbraio 2011
ISO 22301 per la Business Continuity
Il BSI ha comunicato con la "Risk and Business Continuity Management Newsletter" del 14 febbraio la possibilità di commentare la ISO 22301 "Continuity management systems – Requirements" attualmente allo stato di DIS (Draft of International Standard).
La ISO 22301 sarà uno standard certificabile, assimilabile alla BS 25999-2:2007, elaborato dallo stesso comitato tecnico che ha emesso la ISO/PAS 22399:2007 "Societal security - Guideline for incident preparedness and operational continuity management".
La struttura è la stessa della "nuova" ISO/IEC 27001. In altre parole, seguirà la cosiddetta Common Structure a cui via via si uniformeranno tutte le specifiche dei sistemi di gestione ISO. Ovviamente, questo vuole anche dire che la ISO 22301 non seguirà l'impostazione della attuale BS 25999-2.
Per leggere il draft e commentarlo:http://click.bsi-global-email.com/?ju=fe2a15717662037b771679&ls=fded127776660c7a77127373&m=fef91270746c03&l=fe94167372620c7c75&s=fe2e17707264007d7d1374&jb=ffcf14&t=
La ISO 22301 sarà uno standard certificabile, assimilabile alla BS 25999-2:2007, elaborato dallo stesso comitato tecnico che ha emesso la ISO/PAS 22399:2007 "Societal security - Guideline for incident preparedness and operational continuity management".
La struttura è la stessa della "nuova" ISO/IEC 27001. In altre parole, seguirà la cosiddetta Common Structure a cui via via si uniformeranno tutte le specifiche dei sistemi di gestione ISO. Ovviamente, questo vuole anche dire che la ISO 22301 non seguirà l'impostazione della attuale BS 25999-2.
Per leggere il draft e commentarlo:http://click.bsi-global-email.com/?ju=fe2a15717662037b771679&ls=fded127776660c7a77127373&m=fef91270746c03&l=fe94167372620c7c75&s=fe2e17707264007d7d1374&jb=ffcf14&t=
14 marzo: mio intervento a itSMF - Security Summit di Milano
Il 14 marzo dovrei intervenire alla sessione dedicata a itSMF con un intervento dal titolo "Sistemi di gestione integrati: come la ISO/IEC 20000 può essere di supporto alla ISO/IEC 27001".
Sarà un'occasione anche per parlare dei lavori sulla ISO/IEC 27013.
Il programma sarà su http://www.securitysummit.it/. Al momento, però, la situazione non è definitiva perché l'evento doveva coprire le giornate del 15, 16 e 17 marzo, ma la nuova festività del 17 ha imposto lo slittamento delle giornate al 14, 15 e 16 marzo con la conseguente necessità di rivedere tutto il programma.
Che desideriate o meno sentire il mio intervento, raccomando comunque di partecipare al Security Summit (organizzato dal Clusit) perché sempre utile per chi si occupa di sicurezza delle informazioni.
Sarà un'occasione anche per parlare dei lavori sulla ISO/IEC 27013.
Il programma sarà su http://www.securitysummit.it/. Al momento, però, la situazione non è definitiva perché l'evento doveva coprire le giornate del 15, 16 e 17 marzo, ma la nuova festività del 17 ha imposto lo slittamento delle giornate al 14, 15 e 16 marzo con la conseguente necessità di rivedere tutto il programma.
Che desideriate o meno sentire il mio intervento, raccomando comunque di partecipare al Security Summit (organizzato dal Clusit) perché sempre utile per chi si occupa di sicurezza delle informazioni.
Dataloss DB
Agli appassionati di statistiche su incidenti e per i colleghi appassionati di "storie dell'orrore informatico", questo sito piacerà:http://datalossdb.org/
Traduco la prima riga della presentazione: "DataLossDB è un progetto di ricerca che è l'obiettivo di documentare gli inciedenti con perdite di dati, conosciuti e segnalati, avvenuti a livello mondiale"
Traduco la prima riga della presentazione: "DataLossDB è un progetto di ricerca che è l'obiettivo di documentare gli inciedenti con perdite di dati, conosciuti e segnalati, avvenuti a livello mondiale"
Microsoft e Data Governance
Da un articolo dell'ISACA Journal Volume 6 del 2010, ho trovato un interessante link alla pagina della Microsoft dedicata alla Data Governance.
Nulla di nuovo sotto il cielo. Ma almeno è gratuito ed è possibile visitare le tante pagine della Microsoft dedicate a questo argomento e non solo:http://www.microsoft.com/datagovernance
Nulla di nuovo sotto il cielo. Ma almeno è gratuito ed è possibile visitare le tante pagine della Microsoft dedicate a questo argomento e non solo:http://www.microsoft.com/datagovernance
giovedì 10 febbraio 2011
Cloud Computing: BSI BIP 0117; NIST
Nel novembre del 2010, il BSI ha pubblicato il documento "BIP 0117 - Cloud
Computing. A Practical Introduction to the Legal Issues". Non uno standard,
non una linea guida: un libro pubblicato da un editore che pubblica anche
standard. Per questo non deve essere considerato come "utile per le
certificazioni ISO o BS".
E' noto che il cloud computing è un argomento forse abusato (lo stesso
documento cita Larry Ellison, CEO della Oracle, molto critico in merito
perché, dice, si sta parlando di cose note da tempo con altri nomi). Ho
comunque trovato interessante questo libro perché richiama e mette in ordine
un insieme di argomenti da tenere presente quando si stipula un contratto
con un outsourcer (cloud o non cloud, italiano o europeo o extraeuropeo).
I titoli di alcuni capitoli rendono l'idea: Security, Data protection (la
nostra "privacy"), Software licensing, Customer data, Service change and
service levels, Contracting and liability.
Come difetto, devo segnalare che il libro è incentrato sulla legislazione
UK.
Il link al BSI Shop (con Overview ufficiale)
http://shop.bsigroup.com/en/ProductDetail/?pid=000000000030215581
Grazie a Franco Ferrari (DNV Italia) per la segnalazione.
Il NIST ha inoltre pubblicato il draft della SP-800-144 "Guidelines on
Security and Privacy in Public Cloud Computing". E' una lettura più tecnica
della precedente, presenta all'inizio le diverse definizioni di cloud
computing e ha il pregio di essere gratuita.
http://csrc.nist.gov/publications/PubsDrafts.html#800-144
Computing. A Practical Introduction to the Legal Issues". Non uno standard,
non una linea guida: un libro pubblicato da un editore che pubblica anche
standard. Per questo non deve essere considerato come "utile per le
certificazioni ISO o BS".
E' noto che il cloud computing è un argomento forse abusato (lo stesso
documento cita Larry Ellison, CEO della Oracle, molto critico in merito
perché, dice, si sta parlando di cose note da tempo con altri nomi). Ho
comunque trovato interessante questo libro perché richiama e mette in ordine
un insieme di argomenti da tenere presente quando si stipula un contratto
con un outsourcer (cloud o non cloud, italiano o europeo o extraeuropeo).
I titoli di alcuni capitoli rendono l'idea: Security, Data protection (la
nostra "privacy"), Software licensing, Customer data, Service change and
service levels, Contracting and liability.
Come difetto, devo segnalare che il libro è incentrato sulla legislazione
UK.
Il link al BSI Shop (con Overview ufficiale)
http://shop.bsigroup.com/en/ProductDetail/?pid=000000000030215581
Grazie a Franco Ferrari (DNV Italia) per la segnalazione.
Il NIST ha inoltre pubblicato il draft della SP-800-144 "Guidelines on
Security and Privacy in Public Cloud Computing". E' una lettura più tecnica
della precedente, presenta all'inizio le diverse definizioni di cloud
computing e ha il pregio di essere gratuita.
http://csrc.nist.gov/publications/PubsDrafts.html#800-144
Guida NIST - Virtualizzazione
Il NIST ha pubblicato la SP 800-125 dal titolo "Guide to Security for Full Virtualization Technologies".
http://csrc.nist.gov/publications/nistpubs/800-125/SP800-125-final.pdf
La guida è al solito di facile lettura ed espone in ordine: una dissertazione sulle tecniche di virtualizzazione, un'analisi delle minacce applicabili al contesto e le misure raccomandate.
Per specifiche più tecniche, legate al singolo prodotto di VM, è necessario fare riferimento al Security Configuration Checklists Program: http://checklists.nist.gov/
Cancellazione sicura dei files
Dalla newsletter DFA, segnalo il link ad un articolo sulla cancellazione sicura dei files pubblicato dal SANS:http://computer-forensics.sans.org/blog/2011/01/25/digital-forensics-erasing-drives-quick-easy
Anche questo articolo conferma che: UN passaggio di sovrascrittura è sufficiente.
Aggiungo: chi dice che i passaggi devono essere 35 o 37 o qualcosa del genere, fa riferimento a studi degli anni '60 o '70, quando gli hard disk erano ben diversi.
Dal link sopra riportato è possibile rintracciare un altro articolo più corposo (con software freeware)http://cmrr.ucsd.edu/people/Hughes/DataSanitizationTutorial.pdf
Anche questo articolo conferma che: UN passaggio di sovrascrittura è sufficiente.
Aggiungo: chi dice che i passaggi devono essere 35 o 37 o qualcosa del genere, fa riferimento a studi degli anni '60 o '70, quando gli hard disk erano ben diversi.
Dal link sopra riportato è possibile rintracciare un altro articolo più corposo (con software freeware)http://cmrr.ucsd.edu/people/Hughes/DataSanitizationTutorial.pdf
Codice Amministrazione Digitale e Dlgs 235/2010
Dal 25 gennaio è in vigore il Dlgs 235 del 2010 che ha pesantemente modificato il Codice dell'Amministrazione Digitale (CAD) Dlgs 82 del 2005.
Questo Codice è particolarmente importante perché è il punto di riferimento per la definizione di "documento informatico" e per stabilirne la validità anche dal punto di vista legale.
Il 5 e 6 aprile a Milano è prevista l'edizione del 2011 di Omat. Spero che lì saranno discusse opportunamente le modifiche apportate e il loro impatto.
Per intanto, segnalo l'articolo di Filodiritto che mi ha portato alla notizia:http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2178
Per leggere il Dlgs 235 del 2010 e la versione consolidata del CAD, consiglio di utilizzare www.normattiva.it.
Questo Codice è particolarmente importante perché è il punto di riferimento per la definizione di "documento informatico" e per stabilirne la validità anche dal punto di vista legale.
Il 5 e 6 aprile a Milano è prevista l'edizione del 2011 di Omat. Spero che lì saranno discusse opportunamente le modifiche apportate e il loro impatto.
Per intanto, segnalo l'articolo di Filodiritto che mi ha portato alla notizia:http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2178
Per leggere il Dlgs 235 del 2010 e la versione consolidata del CAD, consiglio di utilizzare www.normattiva.it.
Norme armonizzate alle Direttive Europee
Alcune Direttive Europee stabiliscono i requisiti di sicurezza per alcuni prodotti. In particolare, ricordo che per gli strumenti elettrici ed elettronici, possono essere applicabili: la Direttiva Bassa Tensione (2006/95/EC), la Direttiva sulla compatibilità elettromagnetica (2004/108/EC), la Direttiva sugli apparati radio e di telecomunicazione (1999/5/EC). Per soddisfare i requisiti tecnici delle Direttive applicabili, è preferibile fare riferimento alle norme tecniche cosiddette "armonizzate".
Fino a poco fa, il sito www.newapproach.org era un ottimo punto di riferimento per sapere quali norme tecniche sono collegate alle Direttive, ma ho scoperto che non è più aggiornato da tempo.
Il link attuale è questo:http://ec.europa.eu/enterprise/policies/european-standards/documents/harmonised-standards-legislation/list-references/index_en.htm.
Fino a poco fa, il sito www.newapproach.org era un ottimo punto di riferimento per sapere quali norme tecniche sono collegate alle Direttive, ma ho scoperto che non è più aggiornato da tempo.
Il link attuale è questo:http://ec.europa.eu/enterprise/policies/european-standards/documents/harmonised-standards-legislation/list-references/index_en.htm.
mercoledì 9 febbraio 2011
Sicurezza: Il trasferimento dei rischi (parte 2)
Il 5 novembre 2010 avevo segnalato la pubblicazione di un articolo Clusit sui rischi trasferibili al mercato assicurativo.
L'autore aveva promesso la futura pubblicazione di una vasta panoramica di sinistri realmente avvenuti e trattati dalle Assicurazioni. Tale seconda pubblicazione è ora disponibile su: www.clusit.it/docs/rscalici_11-01-24.pdf
Devo dire che a me è parso più un elenco di attacchi, più che una descrizione utile a capire come gestire un contratto assicurativo. Certamente interessante per quanti apprezzano le "storie dell'orrore", ma continuo a non vedere una facile applicazione del "trasferimento del rischio alle assicurazioni".
L'autore aveva promesso la futura pubblicazione di una vasta panoramica di sinistri realmente avvenuti e trattati dalle Assicurazioni. Tale seconda pubblicazione è ora disponibile su: www.clusit.it/docs/rscalici_11-01-24.pdf
Devo dire che a me è parso più un elenco di attacchi, più che una descrizione utile a capire come gestire un contratto assicurativo. Certamente interessante per quanti apprezzano le "storie dell'orrore", ma continuo a non vedere una facile applicazione del "trasferimento del rischio alle assicurazioni".
Report sicurezza di CISCO
Dalla newsletter del Clusit, segnalo la pubblicazione del
- Cisco 2010 Annual Security Report
- Cisco 4Q10 Global Threat Report
Si trovano a questo indirizzo:http://www.cisco.com/en/US/prod/vpndevc/annual_security_report.html
- Cisco 2010 Annual Security Report
- Cisco 4Q10 Global Threat Report
Si trovano a questo indirizzo:http://www.cisco.com/en/US/prod/vpndevc/annual_security_report.html
DPR 178/2010: Privacy e diritto di opposizione
La Legge 166/2009 (Decreto Ronchi) stabiliva che l'uso dei numeri di telefono riportati sugli elenchi pubblici (es. Pagine Bianche) per pubblicità, vendita o ricerche di mercato è consentito nei confronti di chi non abbia esercitato il diritto di opposizione.
Il 7 settembre 2010 (con soli 6 mesi di ritardo) è stato quindi emanato il DPR 178/2010 che regola il registro pubblico degli abbonati che si oppongono all'utilizzo del proprio numero telefonico per vendite o promozioni commerciali. Anche se non enunciate nel titolo, le stesse modalità valgono per chi effettua ricerche di mercato.
E' possibile leggere il DPR su www.normattiva.it o su http://gazzette.comune.jesi.an.it/2010/256/1.htm
Su questo tema si discusse assai perché rappresentava una marcia indietro del diritto alla privacy in favore delle aziende pubblicitarie. In particolare, si vedeva (a ragione, come sappiamo bene) la vittoria di certe pratiche commerciali maleducate e irrispettose della vita privata di ciascuno.
Ad ogni modo, il Decreto Ronchi (del 25 settembre 2009) dava 6 mesi per istituire il registro dei cittadini che esercitano il diritto di opposizione.
Il registro è quindi disponibile su http://www.registrodelleopposizioni.it/.
Note polemiche:
- in pieno disaccordo con il Dlgs 196/2003 (che richiede consensi distinti per finalità distinte), non viene lasciata la possibilità di opporsi alla pubblicità e alle vendite ma di essere disponibile alle ricerche di mercato
- sul sito del Garante non viene detto nulla
- sulle newsletter del Garante non mi sembra di aver letto nulla in merito
Ringrazio Ivo Trotti di TNS per la segnalazione.
Il 7 settembre 2010 (con soli 6 mesi di ritardo) è stato quindi emanato il DPR 178/2010 che regola il registro pubblico degli abbonati che si oppongono all'utilizzo del proprio numero telefonico per vendite o promozioni commerciali. Anche se non enunciate nel titolo, le stesse modalità valgono per chi effettua ricerche di mercato.
E' possibile leggere il DPR su www.normattiva.it o su http://gazzette.comune.jesi.an.it/2010/256/1.htm
Su questo tema si discusse assai perché rappresentava una marcia indietro del diritto alla privacy in favore delle aziende pubblicitarie. In particolare, si vedeva (a ragione, come sappiamo bene) la vittoria di certe pratiche commerciali maleducate e irrispettose della vita privata di ciascuno.
Ad ogni modo, il Decreto Ronchi (del 25 settembre 2009) dava 6 mesi per istituire il registro dei cittadini che esercitano il diritto di opposizione.
Il registro è quindi disponibile su http://www.registrodelleopposizioni.it/.
Note polemiche:
- in pieno disaccordo con il Dlgs 196/2003 (che richiede consensi distinti per finalità distinte), non viene lasciata la possibilità di opporsi alla pubblicità e alle vendite ma di essere disponibile alle ricerche di mercato
- sul sito del Garante non viene detto nulla
- sulle newsletter del Garante non mi sembra di aver letto nulla in merito
Ringrazio Ivo Trotti di TNS per la segnalazione.
ISO 29990:2010 sulla formazione non scolastica
La ISO ha pubblicato con data 1 settembre 2010 la norma ISO 29990:2010
"Learning services for non-formal education and training — Basic
requirements for service providers" (notizia trovata su CertiNews di dicembre 2010).
Provo a tradurre "non-formal education" con "formazione non scolastica e non
universitaria". La norma riguarda quindi anche la formazione professionale e
la formazione con qualifica o certificato finale.
Si tratta di una norma di "requisiti" e quindi potrebbe portare ad una
certificazione.
La prima parte, al capitolo 3, definisce i requisiti quando un ente di
formazione (Learning Service Provider) determina le necessità di formazione,
progetta ed eroga la formazione. Per capire meglio la completezza e
pertinenza dei requisiti bisognerà verificare come la norma sarà applicata.
Una mia prima impressione è che alcune interpretazioni della ISO 9001
applicata alla formazione professionale siano più rigorose di questo
standard.
La seconda parte, al capitolo 4, riporta i "soliti" requisiti di sistema di
gestione basati sul ciclo di Deming e simili a quello di altre norme come la
9001, la 27001 e la 20000-1.
"Learning services for non-formal education and training — Basic
requirements for service providers" (notizia trovata su CertiNews di dicembre 2010).
Provo a tradurre "non-formal education" con "formazione non scolastica e non
universitaria". La norma riguarda quindi anche la formazione professionale e
la formazione con qualifica o certificato finale.
Si tratta di una norma di "requisiti" e quindi potrebbe portare ad una
certificazione.
La prima parte, al capitolo 3, definisce i requisiti quando un ente di
formazione (Learning Service Provider) determina le necessità di formazione,
progetta ed eroga la formazione. Per capire meglio la completezza e
pertinenza dei requisiti bisognerà verificare come la norma sarà applicata.
Una mia prima impressione è che alcune interpretazioni della ISO 9001
applicata alla formazione professionale siano più rigorose di questo
standard.
La seconda parte, al capitolo 4, riporta i "soliti" requisiti di sistema di
gestione basati sul ciclo di Deming e simili a quello di altre norme come la
9001, la 27001 e la 20000-1.
martedì 8 febbraio 2011
ISO 26000:2010 -- Guida alla responsabilità sociale
Il 28 ottobre, la ISO ha pubblicato la ISO 26000:2010 "Guidance on social
responsibility". Dal mese di novembre è anche disponibile la versione
italiana ufficiale della UNI.
Questa linea guida era molto attesa, anche in virtù del successo
dell'iniziativa SA 8000 del SAI. In molti pensavano che la 26000 avrebbe
messo sotto il cappello ISO un'iniziativa che potremmo definire "locale",
esattamente come la BS 7799 poi diventata ISO/IEC 27001, la BS 15000
diventata ISO/IEC 20000 o i Common Criteria diventati ISO/IEC 15408.
Al momento, questa iniziativa non deve essere confusa con quella della SAI
per almeno due motivi. Il primo è che la ISO 26000 esplicitamente esclude il
proprio utilizzo per condurre audit, assessment o certificazioni mentre la
SA 8000 è uno standard certificabile; il secondo è che la ISO 26000 ha
l'ambizione di coprire tutti i temi della responsabilità sociale, mentre la
SA 8000 è focalizzata alle condizioni di lavoro.
La lettura è interessante e si basa sullo stabilire i 7 principi della
responsabilità sociale (accountability, trasparenza, comportamento etico,
rispetto degli interessi degli stakeholder, rispetto del principio di
legalità, rispetto delle norme internazionali di comportamento, rispetto dei
diritti umani) e i 7 temi fondamentali della responsabilità sociale
(governance, diritti umani, rapporti e condizioni di lavoro, ambiente,
corrette prassi gestionali, aspetti specifici relativi ai consumatori,
coinvolgimento e sviluppo della comunità).
Nei temi "rapporti e condizioni di lavoro", "corrette prassi gestionali" (inerenti alla lotta alla corruzione, concorrenza leale, rispetto dei diritti di proprietà) e "consumatori" (che include il corretto trattamento dei dati personali) si trovano molti aspetti di sicurezza delle informazioni e di qualità.
Per come è scritto, il documento si scosta da altre norme ISO perché fornisce un'ampia biografia di documenti extra-ISO e un elenco di iniziative sulla responsabilità sociale (tra cui la già citata SAI e SA 8000). Inoltre, nei capitoli sono presenti diversi box di approfondimento.
Ringrazio Paola Generali di GetSolution per la segnalazione.
responsibility". Dal mese di novembre è anche disponibile la versione
italiana ufficiale della UNI.
Questa linea guida era molto attesa, anche in virtù del successo
dell'iniziativa SA 8000 del SAI. In molti pensavano che la 26000 avrebbe
messo sotto il cappello ISO un'iniziativa che potremmo definire "locale",
esattamente come la BS 7799 poi diventata ISO/IEC 27001, la BS 15000
diventata ISO/IEC 20000 o i Common Criteria diventati ISO/IEC 15408.
Al momento, questa iniziativa non deve essere confusa con quella della SAI
per almeno due motivi. Il primo è che la ISO 26000 esplicitamente esclude il
proprio utilizzo per condurre audit, assessment o certificazioni mentre la
SA 8000 è uno standard certificabile; il secondo è che la ISO 26000 ha
l'ambizione di coprire tutti i temi della responsabilità sociale, mentre la
SA 8000 è focalizzata alle condizioni di lavoro.
La lettura è interessante e si basa sullo stabilire i 7 principi della
responsabilità sociale (accountability, trasparenza, comportamento etico,
rispetto degli interessi degli stakeholder, rispetto del principio di
legalità, rispetto delle norme internazionali di comportamento, rispetto dei
diritti umani) e i 7 temi fondamentali della responsabilità sociale
(governance, diritti umani, rapporti e condizioni di lavoro, ambiente,
corrette prassi gestionali, aspetti specifici relativi ai consumatori,
coinvolgimento e sviluppo della comunità).
Nei temi "rapporti e condizioni di lavoro", "corrette prassi gestionali" (inerenti alla lotta alla corruzione, concorrenza leale, rispetto dei diritti di proprietà) e "consumatori" (che include il corretto trattamento dei dati personali) si trovano molti aspetti di sicurezza delle informazioni e di qualità.
Per come è scritto, il documento si scosta da altre norme ISO perché fornisce un'ampia biografia di documenti extra-ISO e un elenco di iniziative sulla responsabilità sociale (tra cui la già citata SAI e SA 8000). Inoltre, nei capitoli sono presenti diversi box di approfondimento.
Ringrazio Paola Generali di GetSolution per la segnalazione.
Iscriviti a:
Post (Atom)