giovedì 20 settembre 2012
Modifiche al CAD (commento)
A settembre 2012 avevo scritto un articolo sulle modifiche al Codice dell'Amministrazione Digitale:
- http://blog.cesaregallotti.it/2012/07/modifiche-al-codice-dellamministrazione.html
Io avevo scritto che "la Pubblica Amministrazione è invitata ad acquisire software freeware e non solo open source". Andrea Rui mi ha scritto la precisazione che segue e lo ringrazio.
Il CAD vuole specificare meglio, rispetto alla precedente edizione, che è d'obbligo (a meno di motivatissime ragioni) l'utilizzo di software che viene tecnicamente (non nel testo) identificato come FLOSS (Free/Libre Open Source Software).
Faccio questa precisazione perché il termine 'open source' non sempre implica gratuità, ed in generale il freeware è software a codice chiuso, ma disponibile gratuitamente.
Agenzia per l'Italia Digitale
Il Decreto Legge 83 del 22 giugno 2012 ("Misure urgenti per la crescita del Paese") ha sancito la chiusura di DigitPA per passarne le funzioni alle neonata Agenzia per l'Italia Digitale. Il Decreto Legge è stato convertito con modificazioni dalla Legge 134 del 7 agosto 2012.
Ricordo che DigitPA era nata a dicembre 2009 come erede del CNIPA, a sua volta erede dell'AIPA. Chissà se la catena si fermerà per un po' di tempo.
L'operazione è ovviamente lodevole, visto che promuove l'accentramento delle funzioni della Pubblica Amministrazione sull'informatizzazione.
L'articolo 20 del DL afferma che l'Agenzia prenderà le funzioni di DigitPA, eccetto "ogni altra funzione prevista da leggi e regolamenti già attribuita al CNIPA, nell'ambito delle direttive del Presidente del Consiglio dei Ministri o del Ministro delegato". Mi chiedo allora chi svolgerà quelle funzioni.
Ho notato con dispiacere che il sito di DigitPA non dà la notiza (cita le attività dell'Agenzia per l'Italia Digitale, ma nulla più) e non ho ancora capito se esite un sito web dell'Agenzia per l'Italia Digitale. Capisco che non ci sia, visto che è appena nata; se qualcuno avrà notizie, prego di fornirle.
Comunque, l'Agenzia ha già iniziato a lavorare sui servizi di Disaster Recovery nelle Pubbliche Amministrazioni (la pubblicazione è sul sito di DigitPA): http://www.digitpa.gov.it/sites/default/files/Raccomandazioni_PROFILI%20MINIMI%20SERVIZI%20DI%20DR_v_2_4_0.pdf
Assicurazioni e sicurezza informatica (commenti)
A settembre ho scritto un articolo sul mercato delle assicurazioni nell'ambito della sicurezza informatica:
- http://blog.cesaregallotti.it/2012/08/assicurazioni-e-sicurezza-informatica.html
Ho ricevuto questo commento da Fabrizio Monteleone del DNV Italia: "ci sono articoli del codici civile che trattano i rischi nelle assicurazioni; in particolare il 1897 "Diminuzione del rischio". Esso afferma che se il contraente comunica all'assicuratore mutamenti che producono una diminuzione del rischio (perchè ha fatto l'analisi dei rischi, si è certificato.....), l'assicuratore deve abbassare il premio corrispondente.
Quante aziende certificate ISO/IEC 27001 o BS 25999 lo usano coi loro broker assicurativi? Come potremmo aiutarli?"
Le mie risposte sono facili:
- non so quante aziende certificate ISO/IEC 27001 o BS 25999 usano questo articolo coi loro broker assicurativi. Ho delle supposizioni, ma preferirei avere prima dei dati (se i miei lettori vorranno contribuire, ne sarò ben lieto)
- potremmo aiutarli dicendo loro questa cosa
Per leggere l'articolo del CC: http://www.studiocataldi.it/codicecivile/assicurazione.asp
Stefano Ramacciotti ha trovato interessante il fatto che qualcuno orienti le assicurazioni a riconoscere la bontà del prodotto se sottoposto a 2700x e/o Common Criteria. Infine ragiona: "Forse... dove non poté la politica, poté il dio denaro".
European Cyber Security Month
Mi segnala Simone Tomirotti che "una volta c'era il mese della prevenzione dentale; oggi c'è l'European Cyber Security Month!"
Si tratta di ottobre 2012. Il materiale è in inglese, francese, tedesco e spagnolo. Manca l'italiano e ho un sospetto del perché non ne ho ancora sentito parlare.
Ad ogni modo, il materiale (poster, video, illustrazioni) è interessante anche per chi vuole cominciare una campagna di sensibilizzazione sulla sicurezza informatica nella propria azienda.
Il sito: http://www.enisa.europa.eu/activities/cert/security-month
Standardizzazione: le regole del gioco
La UNI ha pubblicato il libro "Le regole del gioco", in cui sono spiegati in modo chiaro e scorrevole i processi che portano alla definizione degli standard nazionali e internazionali. Sono descritti quasi tutti i termini gergali e gli acronimi che non sempre sono facili da capire.
L'ho letto con piacere e con gusto. Ho trovato spiegate le relazioni tra UNI, UNINFO, EN, CEI e ISO; la definizione di PAS, TS e IS; la storia della normazione internazionale. Non sono neanche nascoste le difficoltà che ogni tanto emergono e le limitazioni della normazione.
La pagina ufficiale al libro "Le regole del gioco", scaricabile in pdf:http://www.uni.com/index.php?option=com_content&view=article&id=1555
Le mie critiche ai processi di normazione:http://blog.cesaregallotti.it/2012/05/chi-partecipa-ai-comitati-iso_10.html
Architetti e ingegneri
Nel contesto dell'organizzazione aziendale, negli anni '80 e '90 del XX secolo andava di moda l'ingegneria. Schiere di consulenti promuovevano la "reingegnerizzazione" dei processi (business process reengineering; BPR); ma tantissimi progetti fallirono o ebbero grossi problemi: troppe analisi, troppa complessità nella definizione delle soluzioni, troppe difficoltà nel realizzarle, troppi soldi per i consulenti. Per tutto l'inizio degli anni 2000, non si è quasi più sentito parlare di questa materia.
In questi ultimi anni stanno prendendo la scena gli architetti e si sente parlare assai di "Enterprise architecture" (EA), soprattutto in ambito IT. I loro riferimenti sono principalmente il TOGAF e ArchiMate, ambedue mantenuti (e venduti) dal The Open Group (già dal nome, fanno capire che nel marketing sono bravi).
Ho guardato velocemente Wikipedia e quanto disponibile liberamente sul web. Mi pare che questi architetti non siano diversi dai precedenti ingegneri: tanti modelli, tanta astrazione, tanti nomi difficili, tanto approccio top-down (ossia: scrivere le procedure senza sapere cosa fa attualmente chi le dovrà applicare e, quindi, le difficoltà che avrà nell'adottarle). Immagino che ciò voglia anche dire tanti soldi per i consulenti. Consulenti che amano scrivere documenti, parlare con i dirigenti e non affaticarsi a capire cosa succede veramente tra gli operatori.
Io sono un matematico e già ho una naturale diffidenza per ingegneri e architetti. Ho anche avuto modo di imparare a fare consulenza scrivendo pochi e sintetici documenti, parlando e discutendo con gli operatori e cercando di capire visivamente i processi aziendali prima di proporre modifiche. Ho scoperto in un secondo tempo che si potrebbe apporre l'etichetta "Kaizen" a questo approccio (sarebbe comunque limitativo; il Kaizen è materia molto complessa). E ho scoperto che i miei progetti durano poco tempo, lasciano dietro di sé qualcosa (non tutto) che dura qualche annetto, mi fanno fare delle amicizie che ancora durano.
Non è pubblicità a me stesso: ci sono anche altri che la pensano come me, da cui ho imparato molto e lavorano quasi sicuramente meglio di me. Chiamateci artigiani, se volete.
Perché scrivo tutto ciò? Per dire perché studio superficialmente i modelli BPR e EA e ne diffido. Forse sbaglio, forse molti non condividono il mio punto di vista. Meno male.
- Il TOGAF: http://pubs.opengroup.org/architecture/togaf9-doc/arch/index.html
- ArchiMate: http://www.opengroup.org/archimate/
- Il DoDAF, il modello EA del DoD USA: http://dodcio.defense.gov/dodaf20.aspx
Infine, segnalo l'articolo che mi ha spinto a scrivere questo, segnalato sul itSMF Italia Group di LinkedIn:
- http://www.twitlonger.com/show/j63qc9?goback=.gde_43531_member_159589784
lunedì 17 settembre 2012
CERT-EU
Non sapevo che esistesse, ma la notizia sul SANS Newsbyte dice che dopo un anno di sperimentazione il CERT europeo è stato confermato in modo permanente.
Il sito mi sembra molto ricco di informazioni, forse fin troppe.
Per chi fosse interessato: http://cert.europa.eu
mercoledì 12 settembre 2012
10 steps to cyber security: la guida del UK GCHQ
Dalla newsletter del SANS, si ha la notizia che il UK Government Communications Headquarters ha attivato il programma "Cyber security guidance for business". Nella pagina dedicata si trovano alcune guide certamente interessanti. Nulla di nuovo, ma il promotore è degno di nota:
- http://www.bis.gov.uk/policies/business-sectors/cyber-security/downloads
martedì 11 settembre 2012
Garante privacy: regole per le scuole
Il Garante Privacy ha pubblicato un opuscolo con le regole applicabili alle scuole.
La maggior parte sembrano regole di buon senso.
Ringrazio Daniela Quetti della DFA per la segnalazione:
- la pagina del Garante: http://www.garanteprivacy.it/garante/doc.jsp?ID=1922676
giovedì 30 agosto 2012
Guida alla sicurezza informatica personale
Dal blog Over Security ho avuto la notizia della pubblicazione di "Il giornalista Hacker. Piccola guida per un uso sicuro e consapevole della tecnologia" di Giovanni Ziccardi.
Un pdf di 36 pagine con riportati, tra gli altri, gli strumeni utili per cifrare i propri dati, navigare in modo anonimo su Internet, cancellare in modo sicuro i file.
Il link:
- blog.marsilioeditori.it/files/2012/04/Il_giornalista_hacker.pdf
Qualche tool per analizzare la sicurezza
Io seguo da diversi mesi e con interesse il blog Over Security. E' dedicato maggiormente alla tecnologia rispetto al mio, ma è spesso interessante.
Il blog segnala anche diversi strumenti per la verifica tecnologica della sicurezza. Io ho raccolto alcune segnalazioni e, pur senza averle mai testate, mi sento di elencarle:
- W3af (Web Application Attack and Audit Framework) è un web scanner dedicato alla sicurezza delle applicazioni Web; il sito ufficiale è http://sourceforge.net/projects/w3af/; sono convinto che gli sviluppatori di applicazioni web dovrebbero imparare ad usarlo oppure utilizzare altri prodotti simili (cosa che spesso non succede)
- Nessus è il più famoso strumento di analisi della rete e ora è disponibile la verisione 5; il sito è www.nessus.org
- Nmap, il famoso software di port scanning, è ora alla versione 6; il sito web è http://nmap.org/6/
- WPA tester: un simpatico strumento Android da utilizzare nel caso in cui abbiate perso la chiave della vostra wi-fi (ehm ehm ehm); mi piacerebbe averlo per pc (solo perché ogni volta che perdo la chiave della mia wi-fi non ho voglia di fare copia incolla dal cellulare al pc); il sito è https://carlomandroid.wordpress.com/download-wpa-tester/
Modifiche alla normativa sul Segreto di Stato
Dal blog Over Security apprendo che è stata approvata la Legge 133 del 2012 che modifica la Legge 124 del 2007, quella sul Segreto di Stato (il titolo è "Sistema di informazione per la sicurezza della Repubblica e nuova disciplina del segreto").
Le modifiche non mi sembrano rilevanti per le finalità delle imprese private.
E' possibile leggere il testo su www.normattiva.it.
E' anche possibile leggere il comunicato dell'AdnKronos:
- http://www.adnkronos.com/IGN/News/Politica/Servizi-segreti-Senato-approva-la-riforma-e-legge_313560499627.html
Pubblicata la ISO/IEC 20000-3:2012
Dall'ITSM (ITIL) Professionals Group Members di LinkedIn ho avuto notizia, poi confermata dal sito ISO, che il 14 agosto è stata pubblicata la nuova versione della ISO/IEC 20000-3 "Guidance on scope definition and applicability of ISO/IEC 20000-1".
Come noto, la ISO/IEC 20000-1 può essere applicata a tutti i fornitori di servizi IT, ma non tutti possono conformarsi completamente a tutti i suoi requisiti. Questo perché, per ottemperare a tutti i requisiti, è necessario avere il pieno governo di tutti i processi descritti dalla norma e quando si utilizzano fornitori esterni non sempre è possibile.
La norma descrive quindi i criteri da utilizzare per comprendere se un'organizzazione (o parte di essa) può essere conforme a tutta la ISO/IEC 20000-1.
La norma non si limita però a questo e fornisce anche ulteriori utili requisiti per condurre delle verifiche ad un sistema di gestione dei servizi IT.
Rispetto alla precedente versione del 2009, questa è stata completamente riscritta, presenta più esempi e prende in carico le esperienze accumulate in questi anni.
mercoledì 29 agosto 2012
Assicurazioni e sicurezza informatica
L'ENISA, il 28 giugno, ha pubblicato lo studio "Incentives and barriers of the cyber insurance market in Europe". E' possibile scaricarlo dalla pagina ufficiale (io ne ho avuto notizia dalla newsletter del Clusit):
- https://www.enisa.europa.eu/activities/Resilience-and-CIIP/national-cyber-security-strategies-ncsss/incentives-and-barriers-of-the-cyber-insurance-market-in-europe
Lo studio è molto interessante e provo di seguito a fornirne alcuni spunti.
I rischi di sicurezza informatica rispondono alle caratteristiche dei modelli di assicurazione e, pertanto, potrebbero essere oggetto di polizze.
Nonostante ciò, il mercato delle assicurazioni per la ciber-sicurezza in Europa non è maturo. I motivi individuati sono i seguenti:
- non ci sono sufficienti dati attuariali (ma questo non ha impedito di avviare il mercato delle assicurazioni sull'inquinamento delle piattaforme petrolifere, sul danno ai satelliti, sulle controversie di lavoro);
- le perdite potenziali sono incerte: anche perché i danni maggiori sono dovuti al valore di beni intangibili (le informazioni), per i quali non sono disponibili metodi di valutazione
- ci sono difficoltà a comprendere quali rischi assicurare (attacchi criminali, attacchi terroristici, rotture di apparecchiature, perdita di dati), a loro volta non sempre facili da distinguere in caso di incidente
- le innovazioni tecnologiche non permettono di fare previsioni basate su casi precedenti
- difficoltà a definire quale possa essere il limite superiore delle perdite da assicurare; a questo aspetto sono collegate le caratteristiche di "interdipendenza della sicurezza" (il livello di rischio non dipende solo dalle carattersitiche dell'assicurato, ma anche di altri quali partner, fornitori vari, eccetera) e di "rischi correlati" (un singolo evento può danneggiare più assicurati o essere talmente distruttivo da richiedere un risarcimento non conveniente per l'assicuratore)
- ridotta visibilità sull'efficacia delle misure di sicurezza (lo studio tratta anche delle certificazioni ISO/IEC 27001 e Common Criteria; io ritengo anche che ogni meccanismo è difficile da valutare);
- la percezione che i prodotti assicurativi ora disponibili sono sufficienti per i potenziali assicurati (tranne poi scoprire che non è così al momento della richiesta di risarcimento)
- il possibile "azzardo morale", per cui l'assicurato non realizza un buon livello di prevenzione perché si sente già coperto dall'assicurazione
- collegato a questa, c'è la possibilità che l'assicurato, a fronte di un incidente, investa in campagne di comunicazione per ridurre il danno consequenziale o secondario (di immagine), non occupandosi delle cause per cui si è verificato l'incidente e lasciando quindi aperte delle vulnerabilità
- la possibile "selezione avversa", ossia il fatto che la disponibilità di informazioni per calcolare il premio è assimetrica: il potenziale assicurato non fornisce tutti i dati a sua disposizione all'assicuratore (io aggiungo che forse neanche li ha)
- mancanza di meccanismi di ri-assicurazione, ossia della possibilità per l'assicuratore di assicurarsi a sua volta nel caso in cui riceva numerose richieste di risarcimento nello stesso momento (fatto che può capitare in occasione di certi attacchi o eventi naturali)
Si aggiunge che il Lloyds ha dichiarato che il mercato delle ciber-assicurazioni è in crescita (ma chissà quanto questa dichiarazione ha fini pubblicitari) e potrebbe avere una spinta dal futuro Regolamento UE sulla privacy che richiede di notificare ogni violazione alle autorità preposte.
Concludo scivolando sul personale: sul rapporto ho trovato che "la sicurezza quantitativa (uno dei pezzi fondamentali per le assicurazioni) è supportata da metodi di validità non chiara, secondo alcuni studi recenti" e cita un articolo del 2009. Io lo dico almeno dal 2002 che non è possibile quantificare la sicurezza: non è difficile arrivarci, basta aver fatto almeno un'analisi dei rischi. Purtroppo, anche recentemente, ho avuto alcune discussioni con chi sosteneva la possibilità di fare analisi quantitative.
martedì 28 agosto 2012
Conservazione delle registrazioni
Finalmente, causa anche mia pigrizia, ho trovato i punti normativi per cui la documentazione contabile debba essere conservata per almeno 10 anni: si tratta dell'articolo 2220 del Codice Civile che recita:
<< Le scritture devono essere conservate per dieci anni dalla data dell'ultima registrazione.
- Per lo stesso periodo devono conservarsi le fatture, le lettere e i telegrammi ricevuti e le copie delle fatture, delle lettere e dei telegrammi spediti.
- Le scritture e documenti di cui al presente articolo possono essere conservati sotto forma di registrazioni su supporti di immagini, sempre che le registrazioni corrispondano ai documenti e possano in ogni momento essere rese leggibili con mezzi messi a disposizione dal soggetto che utilizza detti supporti.>>
Questo è quanto ho trovato su http://www.studiocataldi.it/codicionline.asp.
Ho trovato questo riferimento in un dossier de Il Mondo (segnalatomi da Franco Ferrari del DNV), che riporta una comunicazione commerciale dell'azienda Faber System dal titolo "meglio conservare le e-mail". Io penso che l'articolo in questione (anche richiamato dall'articolo 22 della Legge 600 del 1973) faccia riferimento alle sole scritture contabili e non bisognerebbe esagerare. Penso anche che i documenti aziendali non dovrebbero essere conservati nelle caselle di posta, ma in altri archivi.
POST SCRIPTUM
Aggiorno questo articolo su una segnalazione che mi è arrivata che riporto di seguito.
Il Codice Civile riporta anche i seguenti articoli:
- art. 2946 "prescrizione ordinaria": salvi i casi in cui la legge dispone diversamente, i diritti si estinguono per prescrizione con il decorso di dieci anni;
- art. 2945 "Effetti e durata dell'interruzione": per effetto dell'interruzione s'inizia un nuovo periodo di prescrizione.
L'art 2945 è particolarmente insidioso; infatti sottointende che se si interrompe la conservazione (per esempio si estrae un documento per fornirlo ad un cliente) si riparte con il periodo di 10 anni.
Inoltre per le banche vale ciò che indica il Testo Unico Bancario (d. lgs n.385 del 1 settembre 1993) all'art. 119 "Comunicazioni periodiche alla clientela" che il cliente ha «diritto di ottenere, a proprie spese, entro un congruo termine e comunque non oltre novanta giorni, copia della documentazione inerente a singole operazioni poste in essere negli ultimi dieci anni.»
Oracle non corregge una vulnerabilità
Oracle ha deciso di non correggere una vulnerabilità al TNS listener presente nelle versioni 10g e 11g del proprio database. Gli utenti sono quindi invitati ad adottare il workaround descritto in un Security Alert.
Oracle ha detto chiaramente che la correzione costerebbe troppo:
- http://www.h-online.com/security/news/item/No-patch-for-critical-Oracle-database-vulnerability-1649106.html
Ecco le lezioni che si traggono da questa notizia:
- in ambito ITIL e ISO/IEC 20000: un ottimo esempio per spiegare le definizioni di workaround, problema, known error e soluzione di un problema
- in ambito sicurezza: un ottimo esempio del fatto che non è possibile accontentarsi dei patch e dei fix pubblicati dai produttori, ma è anche necessario leggere i bollettini, le newsletter e i security alert per vedere se ci sono dei workaround da adottare.
Ringrazio Vito Losacco che mi ha inoltrato la newsletter Minded Security Early Warning del Minded Security Research Lab su cui era riportata questa notizia.
lunedì 27 agosto 2012
Attack Surface Analyzer 1.0 della Microsoft
La Microsoft ha rilasciato il tool Attack Surface Analyzer. Questo è uno strumento gratuito che analizza le applicazioni e segnala se introducono vulnerabilità nei sistemi Windows.
Lodevole iniziativa che, come anche indicato dalla newsletter SANS NewsBites, ha due facce: da una parte mette a disposizione uno strumento che si spera sia adottato, dall'altra parte potrebbe avallare l'idea che la sicurezza possa essere verificata alla fine dello sviluppo (e non anche prima e durante).
Il link:
- https://blogs.msdn.com/b/sdl/archive/2012/08/02/attack-surface-analyzer-1-0-released.aspx
Garante privacy: comunicazione delle violazioni di dati personali
Riporto pari pari la segnalazione che ha fatto Daniela Quetti di Lombardia Informatica.
Segnalo che l'Autorità Garante per la Protezione dei dati personali ha aperto la consultazione pubblica per le Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali:
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1915485
Seppur ad oggi è previsto l'obbligo di comunicazione delle violazioni per soli fornitori di servizi telefonici e di accesso a Internet, penso sia importante una lettura dato che, la riforma della legislazione comunitaria prevederà probabilmente tale obbligo per tutti i titolari e certamente queste linee rappresentano l'orientamento verso cui si sta andando.
Spero che dopo a consultazione, ci saranno dei riferimenti più precisi rispetto alle variabili da considerare per decidere se una violazione è meritevole o meno di comunicazione (in particolare viste le sanzioni per omessa o ritardata comunicazione).
TAR di Puglia: se il documento non è firmato digitalmente
Se ho capito correttamente la notizia (riportata dalla newsletter DFA): l'Azienda Sanitaria Locale Barletta Andria Trani emette una richiesta di offerta a cui è necessario rispondere attraverso una specifica procedura telematica alla quale si può accedere solo con user-id e PIN personali; il vincitore si vede successivamente escluso perché l'offerta non era firmata digitalmente. Ovviamente, l'accesso attraverso user-id e password personali può essere considerato come forma di firma elettronica, ma non equivalente alla sottoscrizione, richiesta dalla normativa vigente.
La sentenza: http://www.giustizia-amministrativa.it/DocumentiGA/Bari/Sezione%201/2011/201100350/Provvedimenti/201201019_01.XML
Il commento: http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2798
ACTA: bocciato dalla UE
Dalla newsletter di DFA trovo la notizia sulla bocciatura da parte del Parlamento UE dell'accordo ACTA per l'anti-pirateria. Da quanto avevo letto in merito, sembra che abbiamo evitato una legge repressiva.
- http://www.bbc.co.uk/news/technology-18704192
- http://www.wired.com/threatlevel/2012/07/eu-kills-acta
Sono il primo a voler vedere garantiti i diritti economici di quanti creano e producono opere d'arte, mi parrebbe giusto. Ma la normativa proposta sembrava decisamente repressiva. Inoltre, è anche opportuno chiarire quanto sia difficile, oggi, trovare e-book, film e telefilm se non si ha l'hardware specifico di Amazon, Barnes & Nobles o Apple. Per le altre piattaforme, l'offerta è notevolmente meno vasta e più dispersa; per avere un livello di offerta simile ad Amazon (che richiede di usare solo le sue piattaforme) o ad Apple (idem), bisogna rivolgersi a eMule o al circuito Torrent. E allora: che le società produttrici di intrattenimento si diano come priorità la creazione di un mercato degno di questo nome.
Tribunali e Dropbox
Mi hanno segnalato che la consegna agli avvocati delle copie dei fascicoli della Procura del Tribunale di Pisa avviene attraverso Dropbox dopo opportuna richiesta dell'avvocato stesso.
Trovate conferma al link http://www.procura.pisa.it/rilascio_digitale.aspx e poi leggendo il "Modulo di adesione al servizio di rilascio copie atti in formato digitale".
La cosa, inizialmente, mi ha lasciato perplesso. Però poi ho pensato queste cose:
- l'uso di DropBox coinvolge solo un fornitore esterno contro i due della mail (uno per mittente e uno per destinatario, senza contare i partner intermedi utilizzati per la trasmissione)
- DropBox obbliga ad avere una connessione cifrata verso il server, cosa che non sempre succede con l'email
- il Tribunale potrebbe comunque gestire le connessioni verso i propri sistemi informatici, ma non è detto che i propri sistemisti siano più affidabili di quelli di DropBox (a meno che non si soffra della sindrome di Fort Apache)
- se il Tribunale gestisse delle connessioni verso sistemi interni, difficilmente potrebbe gestire le credenziali in modo più efficiente e efficace di quanto non faccia DropBox
- DropBox soddisfa i criteri di privacy previsti dalla nostra normativa (aderisce a Safe Harbour, come mi ha segnalato Valerio Vertua, Legal & Privacy Director di CSA)
Alla fine, ho concluso che DropBox è un'ottima soluzione per la consegna di documenti tra aziende diverse, anche riservati. Potrei anche non avere considerato qualche cosa e per questo attendo contributi dai miei lettori.
Una sola cosa mi ha lasciato perplesso: se il Tribunale sta usando DropBox in modalità gratuita, cosa succederà quando avrà superato i 2 GB di capacità (i fascicoli, se poi hanno fotografie, mi immagino possano essere anche pesanti)? Viste le complesse procedure seguite dalla Pubblica Amministrazione per i pagamenti, non oso immaginarlo.
sabato 28 luglio 2012
Modifiche al Codice dell'Amministrazione Digitale
Il Decreto Semplificazioni (DL 5 del 2012, poi convertito e modificato dalla Legge 35 del 2012, ha anche modificato il Codice dell'Amministrazione Digitale.
Le modifiche hanno impatto maggiormente sui rapporti con la Pubblica Amministrazione:
- la messa a disposizione di una piattaforma di interoperabilità tra Pubblica Amministrazione e prestatori di servizi di pagamento
- l'obbligo di permettere i pagamenti alla Pubblica Amministrazione anche via bonifico
- ulteriori obblighi alla Pubblica Amministrazione ad usare gli strumenti informatici, inclusa la PEC, per le comunicazioni anche con i cittadini
- è stato chiarito meglio che la Pubblica Amministrazione è invitata ad acquisire software freeware e non solo open source
- l'obbligo per i piccoli Comuni a concentrare con altri enti i servizi IT a scopo risparmio
Maggiori dettagli sul numero 02 del 2012 di IGED:
www.omat360.it/iged-ultimo
ISO/IEC 20000-1 in italiano
Questo mese, la UNI ha pubblicato la traduzione in italiano della ISO/IEC 20000-1:2011. Visto che la traduzione è di quest'anno, la norma prende il codice UNI CEI ISO/IEC 20000-1:2012 e titolo "Tecnologie informatiche - Gestione del servizio - Parte 1: Requisiti per un sistema di gestione del servizio".
Non c'è nulla da dire oltre a quanto ho già scritto in occasione dell'uscita della versione in inglese:http://blog.cesaregallotti.it/2010/12/20000-1isoiecfdis.html
Sulla traduzione italiana, dico solo che avrei usato più spesso il plurale laddove in inglese è stato usato il singolare e in italiano è stato mantenuto. In altre parole, avrei iniziato dal titolo utilizzando "Tecnologie informatiche - Gestione dei servizi - Parte 1: Requisiti per un sistema di gestione dei servizi". Mi suona buffo e inappropriato parlare di "Gestione del problema", "Gestione dell'incidente" e così via. Così come si sembra buffo e inappropriato parlare di "sicurezza dell'informazione". Dovrei chiedere ad un inglese cosa ne pensa.
Detto ciò, potete acquistare la norma in italiano presso l'UNI Store:http://store.uni.com/
sabato 7 luglio 2012
Anonimizzare i documenti
Pasquale Stirparo della DFA ha segnalato un link ad una sentenza pubblicata dopo "anonimizzazione":
- http://www.oppic.it/index2.php?option=com_docman&task=doc_view&gid=467&Itemid=60
LOL
Se non lo trovate più in rete, ve lo inoltro.
- http://www.oppic.it/index2.php?option=com_docman&task=doc_view&gid=467&Itemid=60
LOL
Se non lo trovate più in rete, ve lo inoltro.
venerdì 6 luglio 2012
Classificazione incidenti
Su @ISACA Volume 14 del 3 luglio 2012 è riportata un'interessante classificazione degli incidenti di sicurezza (così, anche coloro che vogliono distinguere tra "incidenti" e "incidenti di sicurezza" possono sentirsi soddisfatti):
- http://isaca.informz.net/z/cjUucD9taT0yNDcxNjk2JnA9MSZ1PTEwMjAwOTQ5NDUmbGk9MTIyOTU2NTk/index.html
Per i pigri, le classificazioni sono le seguenti:
- Accesso non autorizzato
- Denial of Service
- Malware
- Uso improprio
- Scansioni - Tentativi di accesso non autorizzato
Viene riportato un'ulteriore classificazione: "Investigazione", per i casi non ancora diagnosticati.
- http://isaca.informz.net/z/cjUucD9taT0yNDcxNjk2JnA9MSZ1PTEwMjAwOTQ5NDUmbGk9MTIyOTU2NTk/index.html
Per i pigri, le classificazioni sono le seguenti:
- Accesso non autorizzato
- Denial of Service
- Malware
- Uso improprio
- Scansioni - Tentativi di accesso non autorizzato
Viene riportato un'ulteriore classificazione: "Investigazione", per i casi non ancora diagnosticati.
giovedì 28 giugno 2012
Cassazione su videosorveglianza
La Cassazione Penale, con Sentenza 22611 del 11 giugno 2012, ha stabilito che la videosorveglianza presso i luoghi di lavoro è legittima se il lavoratore ha prestato il proprio consenso.
La Cassazione ha basato la propria decisione considerando che lo Statuto dei Lavoratori tutela verso forme "subdole di sorveglianza". A mio modesto parere, ha dimenticato che tutela anche verso forme palesi ma eccessive di sorveglianza, richiedendo pertanto che siano autorizzate da organismi di categoria e non dai singoli lavoratori, i cui rapporti di forza con il datore di lavoro sono necessariamente squilibrati.
Questo non per fare polemica sindacale, ma per segnalare come questa interpretazione della Cassazione vada presa con le dovute cautele.
La notizia:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3810
La Cassazione ha basato la propria decisione considerando che lo Statuto dei Lavoratori tutela verso forme "subdole di sorveglianza". A mio modesto parere, ha dimenticato che tutela anche verso forme palesi ma eccessive di sorveglianza, richiedendo pertanto che siano autorizzate da organismi di categoria e non dai singoli lavoratori, i cui rapporti di forza con il datore di lavoro sono necessariamente squilibrati.
Questo non per fare polemica sindacale, ma per segnalare come questa interpretazione della Cassazione vada presa con le dovute cautele.
La notizia:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3810
mercoledì 20 giugno 2012
Esami di maturità e sicurezza
Sandro Sanna mi segnala questa ANSA dal titolo "Miur, hacker? 3 anni per decriptare chiave - Nessuna preoccupazione su ipotesi di eventuali assalti di pirati informatici" e si chiede: "sembra il lancio di una sfida... no?".
- http://www.ansa.it/web/notizie/maturita2012/news/2012/06/18/Miur-hacker-3-anni-decriptare-chiave-_7057957.html
Condivido il dubbio, anche se questa mattina (20 giugno) alla radio hanno detto che è andato tutto bene.
Mi sono fatto altre due domande:
- dicono che "la chiave è di 25 caratteri e può essere decifrata in 3 anni"; come è stato calcolato il tempo di tre anni?
- dopo anni di studi e di ricerche su come gestire lo scambio delle chiavi, il MIUR la scambia rendendola disponibile sul proprio sito web, al TG1 e su Televideo; nel futuro saranno adottate altre tecniche più conformi allo stato dell'arte in materia, con uso di algoritmi crittografici asimmetrici? (immagino di no: forse il metodo seguito, ancorché non tecnologicamente affascinante, è forse il più efficace)
Sono contento che sia andato tutto bene per la prova di italiano (anche se non mi piace la parola "decriptare").
- http://www.ansa.it/web/notizie/maturita2012/news/2012/06/18/Miur-hacker-3-anni-decriptare-chiave-_7057957.html
Condivido il dubbio, anche se questa mattina (20 giugno) alla radio hanno detto che è andato tutto bene.
Mi sono fatto altre due domande:
- dicono che "la chiave è di 25 caratteri e può essere decifrata in 3 anni"; come è stato calcolato il tempo di tre anni?
- dopo anni di studi e di ricerche su come gestire lo scambio delle chiavi, il MIUR la scambia rendendola disponibile sul proprio sito web, al TG1 e su Televideo; nel futuro saranno adottate altre tecniche più conformi allo stato dell'arte in materia, con uso di algoritmi crittografici asimmetrici? (immagino di no: forse il metodo seguito, ancorché non tecnologicamente affascinante, è forse il più efficace)
Sono contento che sia andato tutto bene per la prova di italiano (anche se non mi piace la parola "decriptare").
Il mercato delle vulnerabilità
Segnalo questo articolo della newsletter Crypto-gram di Bruce Scheneir dal titolo "The Vulnerabilities Market and the Future of Security":
- https://www.schneier.com/blog/archives/2012/06/the_vulnerabili.html
In poche parole, Bruce Schneier segnala la crescita del mercato delle vulnerabilità: diverse organizzazioni, incluse quelle governative, si stanno attrezzando per comprare vulnerabilità non ancora note e corrette per poi utilizzarle in segreto.
Questo ha due gravi conseguenze: la prima è che, ora, chi trova vulnerabilità non è più incentivato a segnalarle al produttore del software affinché le corregga e renda Internet più sicura; la seconda è che ci potrebbero essere sviluppatori invogliati a creare vulnerabilità nei software che producono.
- https://www.schneier.com/blog/archives/2012/06/the_vulnerabili.html
In poche parole, Bruce Schneier segnala la crescita del mercato delle vulnerabilità: diverse organizzazioni, incluse quelle governative, si stanno attrezzando per comprare vulnerabilità non ancora note e corrette per poi utilizzarle in segreto.
Questo ha due gravi conseguenze: la prima è che, ora, chi trova vulnerabilità non è più incentivato a segnalarle al produttore del software affinché le corregga e renda Internet più sicura; la seconda è che ci potrebbero essere sviluppatori invogliati a creare vulnerabilità nei software che producono.
domenica 17 giugno 2012
LinkdIn non ha né CIO né CISO
Andrea Rui mi ha segnalato, questo articolo dal titolo "LinkedIn Has Neither CIO nor CISO".
L'articolo è conseguente a quanto successo a inizio giugno 2012 con il furto delle password di molti utenti del social network (ecco il mio post in proposito: http://blog.cesaregallotti.it/2012/06/furto-delle-password-da-linkedin.html).
L'articolista è scandalizzato dal fatto che LinkedIn non abbia un Chief information officer né un Chief information security officer. Io invece non critico questa impostazione: meglio attribuire direttamente la responsabilità alla direzione, piuttosto che avere un pupazzo con il titolo altisonante di CIO, CISO, "capo xxx", "manager yyy", con la sola funzione di dire qualcosa sulla sicurezza e fare da capo espiatorio in caso di incidente.
L'articolo:
- http://www.govinfosecurity.com/blogs/linkedin-has-neither-cio-nor-ciso-p-1289?goback=.gna_60173
L'articolo è conseguente a quanto successo a inizio giugno 2012 con il furto delle password di molti utenti del social network (ecco il mio post in proposito: http://blog.cesaregallotti.it/2012/06/furto-delle-password-da-linkedin.html).
L'articolista è scandalizzato dal fatto che LinkedIn non abbia un Chief information officer né un Chief information security officer. Io invece non critico questa impostazione: meglio attribuire direttamente la responsabilità alla direzione, piuttosto che avere un pupazzo con il titolo altisonante di CIO, CISO, "capo xxx", "manager yyy", con la sola funzione di dire qualcosa sulla sicurezza e fare da capo espiatorio in caso di incidente.
L'articolo:
- http://www.govinfosecurity.com/blogs/linkedin-has-neither-cio-nor-ciso-p-1289?goback=.gna_60173
venerdì 15 giugno 2012
Usare il cloud in sicurezza - Una mia presentazione
Il 24 gennaio tenni un intervento dal titolo "Usare il Cloud in sicurezza: spunti tecnici" per il "Cloud seminar" organizzato da Assintel a Milano il 24 gennaio 2012.
E' un riassunto delle cose già dette in diversi contesti sulla materia, seguito da qualche mia riflessione in merito a tutto questo parlare di cloud e non parlare del resto.
La presentazione è ora pubblicata sul mio sito web:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2012-Presentazione-Cloud.pdf
E' un riassunto delle cose già dette in diversi contesti sulla materia, seguito da qualche mia riflessione in merito a tutto questo parlare di cloud e non parlare del resto.
La presentazione è ora pubblicata sul mio sito web:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2012-Presentazione-Cloud.pdf
VERA 3.0 ITA
Dopo aver ricevuto qualche richiesta, ho tradotto VERA in italiano. Fanno eccezione i titoli dei controlli della 27001, perché la traduzione ufficiale in italiano non mi convince appieno.
Ho colto l'occasione anche per cambiare parecchie cose, tra cui:
- le istruzioni sono cambiate
- ora le caselle di incrocio tra controllo e minaccia non riportano solo la "X", ma il livello di rischio calcolato
- nel foglio principale, sull'estrema sinistra si trova il livello di rischio corrispondente ad ogni singolo controllo
Rimane sempre un metodo non user-friendly (o non stupid-proof, se volete...), ossia per persone abbastanza esperte della materia. Per renderlo più fruibile, è comunque possibile modificarlo un po' senza troppa fatica.
Lo potete scaricare da questo link:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2012-VERA-3.0-ITA.xls
Ho colto l'occasione anche per cambiare parecchie cose, tra cui:
- le istruzioni sono cambiate
- ora le caselle di incrocio tra controllo e minaccia non riportano solo la "X", ma il livello di rischio calcolato
- nel foglio principale, sull'estrema sinistra si trova il livello di rischio corrispondente ad ogni singolo controllo
Rimane sempre un metodo non user-friendly (o non stupid-proof, se volete...), ossia per persone abbastanza esperte della materia. Per renderlo più fruibile, è comunque possibile modificarlo un po' senza troppa fatica.
Lo potete scaricare da questo link:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2012-VERA-3.0-ITA.xls
sabato 9 giugno 2012
Furto delle password da LinkedIn
La notizia è nota: è stato dichiarato che sono state compromesse 6 milioni e mezzo di password di utenti di LinkedIn. Io ho modificato la mia non appena avuta la notizia:
- https://mashable.com/2012/06/06/6-5-million-linkedin-passwords/ <https://mashable.com/2012/06/06/6-5-million-linkedin-passwords/>
Poco dopo, LinkedIn ha pubblicato un post, spiegando cosa è successo e come ha reagito:
- http://blog.linkedin.com/2012/06/06/linkedin-member-passwords-compromised/ <http://blog.linkedin.com/2012/06/06/linkedin-member-passwords-compromised/>
In pochissime parole: hanno confermato, hanno spiegato che stanno ancora investigando il caso, hanno spiegato agli utenti con password compromessa che il loro account è stato bloccato e che riceveranno una mail con la procedura per la riattivazione, hanno informato tutti che hanno realizzato un miglioramento alla sicurezza, si scusano con gli utenti.
Un comunicato di 242 parole che mi è sembrato ben fatto: un ottimo esempio di gestione della crisi.
Mi hanno però fatto notare che questo comunicato non è stato inviato a tutti gli utenti di LinkedIn, ma solo quelli con le password compromesse. Un errore evitabile.
Un ulteriore articolo con alcuni approfondimenti (nella prima parte; poi c'è un insieme di nozioni teoriche forse non interessantissime):
- http://securityaffairs.co/wordpress/6205/hacking/linkedin-passwords-compromised-social-network-poisoning-other-risks.html
Ringrazio Vito Losacco per le segnalazioni.
- https://mashable.com/2012/06/06/6-5-million-linkedin-passwords/ <https://mashable.com/2012/06/06/6-5-million-linkedin-passwords/>
Poco dopo, LinkedIn ha pubblicato un post, spiegando cosa è successo e come ha reagito:
- http://blog.linkedin.com/2012/06/06/linkedin-member-passwords-compromised/ <http://blog.linkedin.com/2012/06/06/linkedin-member-passwords-compromised/>
In pochissime parole: hanno confermato, hanno spiegato che stanno ancora investigando il caso, hanno spiegato agli utenti con password compromessa che il loro account è stato bloccato e che riceveranno una mail con la procedura per la riattivazione, hanno informato tutti che hanno realizzato un miglioramento alla sicurezza, si scusano con gli utenti.
Un comunicato di 242 parole che mi è sembrato ben fatto: un ottimo esempio di gestione della crisi.
Mi hanno però fatto notare che questo comunicato non è stato inviato a tutti gli utenti di LinkedIn, ma solo quelli con le password compromesse. Un errore evitabile.
Un ulteriore articolo con alcuni approfondimenti (nella prima parte; poi c'è un insieme di nozioni teoriche forse non interessantissime):
- http://securityaffairs.co/wordpress/6205/hacking/linkedin-passwords-compromised-social-network-poisoning-other-risks.html
Ringrazio Vito Losacco per le segnalazioni.
ISO 22301:2011 - Un'analisi
Come già detto, è uscita da pochi giorni la ISO 22301 con i requisiti (per la certificazione) di un Sistema di gestione per la business continuity (Business continuity management system, BCMS).
L'ho letta velocemente e, ovviamente, non l'ho ancora mai applicata. Tenendo conto di queste premesse, non mi pare ci siano importanti modifiche sostanziali a quanto già previsto dalla precedente BS 25999.
Grazie anche al documento "Moving from BS 25999-2 to ISO 22301" del BSI e alla presentazione fatta dal BSI Italia il 24 maggio a Milano (grazie a Max Cottafavi di Reply per la condivisione della conoscenza), provo ad elencare nel seguito i punti di interesse, con alcuni miei commenti:
- il testo si basa sulla ISO Guide 83, ossia su uno schema comune a tutte le norme dei sistemi di gestione (bisognerà poi vedere come sarà recepito dalla ISO 9001, ISO/IEC 27001, eccetera)
- l'adozione alla ISO Guide 83 implica che non si parli più di procedure documentate o registrazioni, ma di informazioni documentate
- l'adozione alla ISO Guide 83 implica che i requisiti per il miglioramento siano drasticamente ridotti; su questo punto credo ci sarà necessità di approfondimenti nei prossimi anni, anche dopo l'uscita della futura ISO 9001 tra qualche anno; si potranno comunque trovare le azioni preventive nelle "azioni volte ad affrontare rischi e opportunità"
- l'adozione alla ISO Guide 83 implica che vi sia un chiaro obbligo di prendere in considerazione le parti interessate e non solo l'organizzazione (azienda)
- l'interpretazione dei requisiti della ISO Guide 83 da parte del Technical Committee ISO/TC 223 (che non condivido) ha portato all'introduzione di due risk assessment: uno nella parte di pianificazione dove si parla di "issues" e uno propriamente detto; ci sarà da discutere nei prossimi anni
- l'adozione alla ISO Guide 83 implica che la norma non sia più impostata sul concetto di "BCM programme", ma sul concetto di "Sistema di gestione" e sul ciclo PDCA
- fornisce due definizioni per la stessa cosa: "Maximum acceptable outage (MAO)" e "Maximum tolerable period of disruption (MTPD)"; poi, nel corpo del testo, non ne usa neanche una (stranezze della standardizzazione)
- esplicita il concetto di "Minimum business continuity objective (MBCO)", ossia di livelli minimo di servizi da ripristinare a seguito di un'interruzione delle attività
- esplicita la necessità di dare delle priorità alle diverse attività di ripristino (Prioritized timeframes), simile ma non uguale al ben noto termine di RTO
- approfondisce alcune aree quali: valutazione dei rischi, comunicazione, gestione degli incidenti (costruendo così un collegamento tra eventi "ordinari" e straordinari)
- introduce il concetto di "ritorno alla normalità",
Il documento del BSI si trova al seguente link:
- shop.bsigroup.com/upload/Shop/22301-Transition-Guide.pdf
La ISO ha in programma per "fine 2012 o inizio 2013" la pubblicazione della ISO 22313, guida alla realizzazione di un BCMS. Immagino che anche il The BCI modificherà le sue GPG.
Per la transizione: gli audit sulla ISO 22301 potranno essere condotti dal 1 novembre 2012 (anche per garantire la disponibilità di tempo per modificare le procedure e la formazione di tutte le parti coinvolte), non potranno più essere effettuati audit sulla BS 25999 dopo il 31 dicembre 2013 e tutti i BCMS certificati dovranno essere conformi alla ISO 22301:2012 ento fine 2014.
L'ho letta velocemente e, ovviamente, non l'ho ancora mai applicata. Tenendo conto di queste premesse, non mi pare ci siano importanti modifiche sostanziali a quanto già previsto dalla precedente BS 25999.
Grazie anche al documento "Moving from BS 25999-2 to ISO 22301" del BSI e alla presentazione fatta dal BSI Italia il 24 maggio a Milano (grazie a Max Cottafavi di Reply per la condivisione della conoscenza), provo ad elencare nel seguito i punti di interesse, con alcuni miei commenti:
- il testo si basa sulla ISO Guide 83, ossia su uno schema comune a tutte le norme dei sistemi di gestione (bisognerà poi vedere come sarà recepito dalla ISO 9001, ISO/IEC 27001, eccetera)
- l'adozione alla ISO Guide 83 implica che non si parli più di procedure documentate o registrazioni, ma di informazioni documentate
- l'adozione alla ISO Guide 83 implica che i requisiti per il miglioramento siano drasticamente ridotti; su questo punto credo ci sarà necessità di approfondimenti nei prossimi anni, anche dopo l'uscita della futura ISO 9001 tra qualche anno; si potranno comunque trovare le azioni preventive nelle "azioni volte ad affrontare rischi e opportunità"
- l'adozione alla ISO Guide 83 implica che vi sia un chiaro obbligo di prendere in considerazione le parti interessate e non solo l'organizzazione (azienda)
- l'interpretazione dei requisiti della ISO Guide 83 da parte del Technical Committee ISO/TC 223 (che non condivido) ha portato all'introduzione di due risk assessment: uno nella parte di pianificazione dove si parla di "issues" e uno propriamente detto; ci sarà da discutere nei prossimi anni
- l'adozione alla ISO Guide 83 implica che la norma non sia più impostata sul concetto di "BCM programme", ma sul concetto di "Sistema di gestione" e sul ciclo PDCA
- fornisce due definizioni per la stessa cosa: "Maximum acceptable outage (MAO)" e "Maximum tolerable period of disruption (MTPD)"; poi, nel corpo del testo, non ne usa neanche una (stranezze della standardizzazione)
- esplicita il concetto di "Minimum business continuity objective (MBCO)", ossia di livelli minimo di servizi da ripristinare a seguito di un'interruzione delle attività
- esplicita la necessità di dare delle priorità alle diverse attività di ripristino (Prioritized timeframes), simile ma non uguale al ben noto termine di RTO
- approfondisce alcune aree quali: valutazione dei rischi, comunicazione, gestione degli incidenti (costruendo così un collegamento tra eventi "ordinari" e straordinari)
- introduce il concetto di "ritorno alla normalità",
Il documento del BSI si trova al seguente link:
- shop.bsigroup.com/upload/Shop/22301-Transition-Guide.pdf
La ISO ha in programma per "fine 2012 o inizio 2013" la pubblicazione della ISO 22313, guida alla realizzazione di un BCMS. Immagino che anche il The BCI modificherà le sue GPG.
Per la transizione: gli audit sulla ISO 22301 potranno essere condotti dal 1 novembre 2012 (anche per garantire la disponibilità di tempo per modificare le procedure e la formazione di tutte le parti coinvolte), non potranno più essere effettuati audit sulla BS 25999 dopo il 31 dicembre 2013 e tutti i BCMS certificati dovranno essere conformi alla ISO 22301:2012 ento fine 2014.
martedì 5 giugno 2012
Privacy & telecomunicazioni: pubblicati i Dlgs 69 e 70 del 2012
A fine maggio sono stati approvati e pubblicati i Dlgs 69/2012 e 70/2012, di recepimento delle Direttive 2009/136/CE e 2009/140/CE e con modifiche al Codice privacy (Dlgs 196/2003) e al Codice delle comunicazioni elettroniche (Dlgs 259/2003).
Le novità riguardano i "fornitori di servizi di comunicazione elettronica".
Per quanto riguarda il Codice Privacy, il Dlgs 69/2012 prescrive quanto segue:
- esplicita richiesta di protezione dei dati relativi al traffico ed all'ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti
- limitazione agli accessi del fornitore ai dati e ai dispositivi dei propri clienti
- richiesta di segnalare al Garante ogni violazione di dati personali
- richiesta di segnalare agli interessati ogni violazione di dati personali che possa arrecare pregiudizio ai dati personali (se capisco correttamente, questo caso si differenzia dal primo nel caso in cui i dati compromessi non siano intellegibili dai non autorizzati)
- richiesta di mantenere un registro delle violazioni di dati personali
- i subfornitori dovranno comunicare gli eventi al fornitore, in modo che poi segnali l'evento al Garante e, ove necessario, agli interessati (tra l'altro, qui accenno solo al fatto che questa misura conferma la mia interpretazione sul fatto che i fornitori non devono essere necessariamente Responsabili esterni; ma questa è un'altra storia)
Per quanto riguarda il Codice delle comunicazioni elettronico, il Dlgs 70/2012 prescrive quanto segue:
- misure di controllo del mercato, incluse richieste di interoperabilità
- l'adozione di specifiche misure di sicurezza (saranno stabilite dal Ministero dello sviluppo economico)
- la comunicazione al Ministero di violazioni della sicurezza o perdita dell'integrità significative ai fini del corretto funzionamento delle reti o dei servizi
- la creazione di un CERT nazionale
- la necessità di sottostare a verifiche della sicurezza da parte del Ministero dello sviluppo economico
- argomenti da inserire nei contratti
Il Dlgs 69/2012 introduce anche una misura per quanto riguarda le comunicazioni indesiderate, richiedendo che il mittente o il chiamante sia riconoscibile e che eventuali riferimenti a siti web devono essere a siti conformi alle prescrizioni del Dlgs 70 del 2003.
Una riflessione finale: questi Decreti valgono per i "fornitori di servizi di comunicazione elettronica", ossia per i fornitori di "servizi consistenti... nella trasmissione di segnali su reti di comunicazioni elettroniche...". Mi pare siano quindi esclusi i fornitori di servizi applicativi quali email o simili. Dovrei pensare a lungo se si tratta di un peccato o di una fortuna.
Ringrazio Fabrizio Monteleone per una prima segnalazione (auspicando l'adozione della 27001 dagli operatori di TLC, con un mio corollario anche alla ISO/IEC 27011), Max Cottafavi di Reply per una seconda segnalazione e Daniela Quetti della DFA per avermi dato i riferimenti precisi dai due Decreti Legislativi.
Le novità riguardano i "fornitori di servizi di comunicazione elettronica".
Per quanto riguarda il Codice Privacy, il Dlgs 69/2012 prescrive quanto segue:
- esplicita richiesta di protezione dei dati relativi al traffico ed all'ubicazione e degli altri dati personali archiviati o trasmessi dalla distruzione anche accidentale, da perdita o alterazione anche accidentale e da archiviazione, trattamento, accesso o divulgazione non autorizzati o illeciti
- limitazione agli accessi del fornitore ai dati e ai dispositivi dei propri clienti
- richiesta di segnalare al Garante ogni violazione di dati personali
- richiesta di segnalare agli interessati ogni violazione di dati personali che possa arrecare pregiudizio ai dati personali (se capisco correttamente, questo caso si differenzia dal primo nel caso in cui i dati compromessi non siano intellegibili dai non autorizzati)
- richiesta di mantenere un registro delle violazioni di dati personali
- i subfornitori dovranno comunicare gli eventi al fornitore, in modo che poi segnali l'evento al Garante e, ove necessario, agli interessati (tra l'altro, qui accenno solo al fatto che questa misura conferma la mia interpretazione sul fatto che i fornitori non devono essere necessariamente Responsabili esterni; ma questa è un'altra storia)
Per quanto riguarda il Codice delle comunicazioni elettronico, il Dlgs 70/2012 prescrive quanto segue:
- misure di controllo del mercato, incluse richieste di interoperabilità
- l'adozione di specifiche misure di sicurezza (saranno stabilite dal Ministero dello sviluppo economico)
- la comunicazione al Ministero di violazioni della sicurezza o perdita dell'integrità significative ai fini del corretto funzionamento delle reti o dei servizi
- la creazione di un CERT nazionale
- la necessità di sottostare a verifiche della sicurezza da parte del Ministero dello sviluppo economico
- argomenti da inserire nei contratti
Il Dlgs 69/2012 introduce anche una misura per quanto riguarda le comunicazioni indesiderate, richiedendo che il mittente o il chiamante sia riconoscibile e che eventuali riferimenti a siti web devono essere a siti conformi alle prescrizioni del Dlgs 70 del 2003.
Una riflessione finale: questi Decreti valgono per i "fornitori di servizi di comunicazione elettronica", ossia per i fornitori di "servizi consistenti... nella trasmissione di segnali su reti di comunicazioni elettroniche...". Mi pare siano quindi esclusi i fornitori di servizi applicativi quali email o simili. Dovrei pensare a lungo se si tratta di un peccato o di una fortuna.
Ringrazio Fabrizio Monteleone per una prima segnalazione (auspicando l'adozione della 27001 dagli operatori di TLC, con un mio corollario anche alla ISO/IEC 27011), Max Cottafavi di Reply per una seconda segnalazione e Daniela Quetti della DFA per avermi dato i riferimenti precisi dai due Decreti Legislativi.
lunedì 4 giugno 2012
Flame
In questi giorni, l'ambiente della sicurezza informatica è emozionato per il virus Flame. Non ho molto da dire in proposito, se non dare il link ad un ottimo articolo (segnalazione di Vito Losacco) e fare solo commento riassuntivo:
- http://www.wired.com/threatlevel/2012/05/flame/
Se ho capito bene, si tratta in realtà di un virus associato ad un toolkit: di per se, non è una grande notizia. La cosa interessante è che nessuno aveva ancora visto né il virus (e infatti, al 28 maggio, l'articolo dice che "Researchers aren't certain how Flame infects its initial target"; sembra però che sfrutti alcune vulnerabilità già note e forse altre non ancora note), né il toolkit (anche se il web ne è pieno; vuol dire che è stato appositamente programmato da zero). Per questi motivi, i ricercatori credono si tratti di uno strumento di spionaggio sviluppato da qualche Nazione.
Una cosa l'ho capita bene: questo virus è in circolazione dal 2007 o dal 2010 ed è stato scoperto solo oggi. Ancora una volta, un argomento per la mia piccola battaglia contro certi indicatori di sicurezza: le misure quantitative misurano quello che sappiamo, mentre l'elemento fondamentale, in questo campo, è quello che non abbiamo ancora visto.
Nota: i commenti all'articolo sono solo di tipo politico, sulla situazione in Medio-Oriente.
- http://www.wired.com/threatlevel/2012/05/flame/
Se ho capito bene, si tratta in realtà di un virus associato ad un toolkit: di per se, non è una grande notizia. La cosa interessante è che nessuno aveva ancora visto né il virus (e infatti, al 28 maggio, l'articolo dice che "Researchers aren't certain how Flame infects its initial target"; sembra però che sfrutti alcune vulnerabilità già note e forse altre non ancora note), né il toolkit (anche se il web ne è pieno; vuol dire che è stato appositamente programmato da zero). Per questi motivi, i ricercatori credono si tratti di uno strumento di spionaggio sviluppato da qualche Nazione.
Una cosa l'ho capita bene: questo virus è in circolazione dal 2007 o dal 2010 ed è stato scoperto solo oggi. Ancora una volta, un argomento per la mia piccola battaglia contro certi indicatori di sicurezza: le misure quantitative misurano quello che sappiamo, mentre l'elemento fondamentale, in questo campo, è quello che non abbiamo ancora visto.
Nota: i commenti all'articolo sono solo di tipo politico, sulla situazione in Medio-Oriente.
sabato 26 maggio 2012
Obbligo di aggiornamento delle notizie pubblicate online
Dalla newsletter della DFA, segnalo questo interessante articolo dal titolo "Diritto all’oblio: Cassazione ne conferma il riconoscimento", sulla Corte di Cassazione che ha imposto l’obbligo per gli editori di aggiornare gli archivi online delle notizie pubblicate.
Il caso è semplice: una persona accusata negli anni '90 di corruzione è stata successivamente prosciolta. Purtroppo per lei, sul web e sui motori di ricerca sono ancora facilmente reperibili i vecchi articoli, senza che questi siano accompagnati da un aggiornamento della vicenda.
La Cassazione ha appoggiato la lamentela: è necessaria una misura che consenta l’effettiva fruizione della notizia aggiornata, non essendo sufficiente la mera generica possibilità di rinvenire all’interno del «mare di internet» ulteriori notizie concernenti il caso di specie, ma richiedendosi la predisposizione di sistema idoneo a segnalare (nel corpo o a margine) la sussistenza nel caso di un seguito e di uno sviluppo della notizia.
La notizia
giovedì 24 maggio 2012
ISO 22301 sui Business continuity management systems
Il 15 maggio 2012, l'ISO ha pubblicato la ISO 22301 dal titolo "Business Continuity management systems – Requirements".
Si tratta di uno standard certificabile, che sostituisce la BS 25999-2:2007. Ricordo che questo standard riguarda i Sistemi di gestione per la continuità operativa, applicabile ad ogni tipologia di attività e non solo all'IT.
Per chi fosse completamente a digiuno sulla materia, posso segnalare il "BCM statement" del BCI:
- http://www.thebci.org/index.php?option=com_content&view=article&id=62&Itemid=105
Altre norme correlate, ma non certificabili, sono:
- ISO/PAS 22399:2007 "Societal security - Guideline for incident preparedness and operational continuity management".
- BS 25777: 2008 "Information and communications technology continuity management - Code of Practice" (solo per l'IT, quindi)
- ISO/IEC 24762: 2008 "Guidelines for information and communications technology disaster recovery services" (sempre solo per l'IT)
Segnalo anche una pubblicazione correlata al BCM: la BSI PAS 200:2011 sul crisis management.
Non l'ho ancora letta, ma credo che la struttura sarà la stessa della futura ISO/IEC 27001. In altre parole, seguirà la cosiddetta Common Structure a cui via via si uniformeranno tutte le specifiche dei sistemi di gestione ISO. Ovviamente, questo vuole anche dire che la ISO 22301 non seguirà l'impostazione della attuale BS 25999-2 anche se, presumo, la sostanza sarà simile.
Ringrazio quanti, nei giorni scorsi, mi hanno preannunciato l'uscita di questa norma; ho preferito comunque darne notizia solo quando disponibile sul sito della ISO (www.iso.org).
Aggiungo che proprio mentre scrivo è in corso un convegno organizzato dal BSI dal titolo "Nuovo standard ISO 22301 per la continuità operativa". Spero che sarà disponibile il materiale per chi non ha potuto partecipare.
Si tratta di uno standard certificabile, che sostituisce la BS 25999-2:2007. Ricordo che questo standard riguarda i Sistemi di gestione per la continuità operativa, applicabile ad ogni tipologia di attività e non solo all'IT.
Per chi fosse completamente a digiuno sulla materia, posso segnalare il "BCM statement" del BCI:
- http://www.thebci.org/index.php?option=com_content&view=article&id=62&Itemid=105
Altre norme correlate, ma non certificabili, sono:
- ISO/PAS 22399:2007 "Societal security - Guideline for incident preparedness and operational continuity management".
- BS 25777: 2008 "Information and communications technology continuity management - Code of Practice" (solo per l'IT, quindi)
- ISO/IEC 24762: 2008 "Guidelines for information and communications technology disaster recovery services" (sempre solo per l'IT)
Segnalo anche una pubblicazione correlata al BCM: la BSI PAS 200:2011 sul crisis management.
Non l'ho ancora letta, ma credo che la struttura sarà la stessa della futura ISO/IEC 27001. In altre parole, seguirà la cosiddetta Common Structure a cui via via si uniformeranno tutte le specifiche dei sistemi di gestione ISO. Ovviamente, questo vuole anche dire che la ISO 22301 non seguirà l'impostazione della attuale BS 25999-2 anche se, presumo, la sostanza sarà simile.
Ringrazio quanti, nei giorni scorsi, mi hanno preannunciato l'uscita di questa norma; ho preferito comunque darne notizia solo quando disponibile sul sito della ISO (www.iso.org).
Aggiungo che proprio mentre scrivo è in corso un convegno organizzato dal BSI dal titolo "Nuovo standard ISO 22301 per la continuità operativa". Spero che sarà disponibile il materiale per chi non ha potuto partecipare.
Come scrivere i documenti
Le procedure non devono essere prodotti di alta letteratura, anche se alcuni redattori hanno velleità artistiche.
La scrittura di procedure deve rispondere ai criteri di chiarezza, precisione, uniformità, semplicità, economia.
Per questo ci sono delle regole che dovrebbero essere studiate e seguite: inizialmente con qualche sforzo, poi sempre più facilmente. L'individuazione di cosa scrivere costituisce il processo creativo del redattore di procedure, non la scelta di caratteri, colori e parole non diffuse.
Lungi dal propugnare la diffusione della neo-lingua di Orwell, condivido le premesse e le conclusioni di chi, in questi anni, ha scritto delle regole per la redazione dei testi normativi. Sappiamo bene che non sono stati molto seguiti, ma molti dei principi esposti sono applicabili alle nostre finalità:
- frasi brevi
- evitare la forma passiva dei verbi
- evitare frasi negative e non usare mai le doppie negazioni
- ripetere i termini senza paura
- evitare le maiuscole
- inserire prima le decisioni prese e poi la loro giustificazione
- eccetera
Duole dirlo, ma alcuni non dovrebbero solo studiare le regole di stile, ma tornare a studiare l'italiano, ad esempio l'uso dei congiuntivi e della virgola che non deve mai essere tra soggetto e verbo se non per inserire degli incisi.
Purtroppo, da nessuna parte viene riportato un principio fondamentale: avere un lettore spietato.
Sul web ho trovato queste interessanti e veloci letture, con utili esempi:
- "Progetto di semplificazione del linguaggio - Manuale di stile" (si trova con un qualsiasi motore di ricerca)
- "Regole e suggerimenti per la redazione dei testi normativi":http://www.consiglio.regione.toscana.it/leggi-e-banche-dati/Oli/Manuale/man-ed-3.asp
- "Il progetto per la semplificazione del linguaggio amministrativo":http://www.mef.gov.it/documenti/open.asp?idd=4500
Infine, segnalo il sito della Rete per l'eccellenza dell'italiano istituzionale (solo la prima lettera è in maiuscolo, come da regole):
- http://ec.europa.eu/dgs/translation/rei/
La scrittura di procedure deve rispondere ai criteri di chiarezza, precisione, uniformità, semplicità, economia.
Per questo ci sono delle regole che dovrebbero essere studiate e seguite: inizialmente con qualche sforzo, poi sempre più facilmente. L'individuazione di cosa scrivere costituisce il processo creativo del redattore di procedure, non la scelta di caratteri, colori e parole non diffuse.
Lungi dal propugnare la diffusione della neo-lingua di Orwell, condivido le premesse e le conclusioni di chi, in questi anni, ha scritto delle regole per la redazione dei testi normativi. Sappiamo bene che non sono stati molto seguiti, ma molti dei principi esposti sono applicabili alle nostre finalità:
- frasi brevi
- evitare la forma passiva dei verbi
- evitare frasi negative e non usare mai le doppie negazioni
- ripetere i termini senza paura
- evitare le maiuscole
- inserire prima le decisioni prese e poi la loro giustificazione
- eccetera
Duole dirlo, ma alcuni non dovrebbero solo studiare le regole di stile, ma tornare a studiare l'italiano, ad esempio l'uso dei congiuntivi e della virgola che non deve mai essere tra soggetto e verbo se non per inserire degli incisi.
Purtroppo, da nessuna parte viene riportato un principio fondamentale: avere un lettore spietato.
Sul web ho trovato queste interessanti e veloci letture, con utili esempi:
- "Progetto di semplificazione del linguaggio - Manuale di stile" (si trova con un qualsiasi motore di ricerca)
- "Regole e suggerimenti per la redazione dei testi normativi":http://www.consiglio.regione.toscana.it/leggi-e-banche-dati/Oli/Manuale/man-ed-3.asp
- "Il progetto per la semplificazione del linguaggio amministrativo":http://www.mef.gov.it/documenti/open.asp?idd=4500
Infine, segnalo il sito della Rete per l'eccellenza dell'italiano istituzionale (solo la prima lettera è in maiuscolo, come da regole):
- http://ec.europa.eu/dgs/translation/rei/
lunedì 21 maggio 2012
Common Criteria 3.1
I Common Criteria, detta in pochissime parole, sono uno standard internazionale (ISO/IEC 15408, dal 2009 alla versione 3.1) per la valutazione della sicurezza dei prodotti e sistemi IT.
La materia non è banalissima, anche perché, come tutte le certificazioni, si basa su dei concetti non facili da capire ad un primo approccio.
Per chi fosse interessato, raccomando la lettura di questo articolo (segnalatomi da Stefano Ramacciotti del Ce.Va. Difesa), in cui sono descritte le caratteristiche dello schema, insieme alle critiche che sollevano:
- http://www.difesa.it/SMD/Staff/Reparti/II-reparto/CeVa/pubblicazioni/estere/Documents/CommonCriteria_ISSA%20Journal_0411.pdf
Stefano mi ha anche segnalato una sua presentazione del 2009. Si trova nello zip del seminario tecnico "Le novità nel campo degli standard per la sicurezza It" tenuto al Security Summit 2009; il file di interesse è "10.06.09_Ramacciotti.pdf" con la presentazione dal titolo "I Common Criteria 3.1 ad un anno di distanza dalla loro entrata in vigore. Cosa è cambiato dalla versione 2.3 alla 3.1R2".
- http://roma.securitysummit.it/upload/file/Seminari/Seminario-Clusit-10-giugno.zip
Per saperne ancora di più, segnalo il portale dedicato proprio ai Common Criteria:
- http://www.commoncriteriaportal.org/
La materia non è banalissima, anche perché, come tutte le certificazioni, si basa su dei concetti non facili da capire ad un primo approccio.
Per chi fosse interessato, raccomando la lettura di questo articolo (segnalatomi da Stefano Ramacciotti del Ce.Va. Difesa), in cui sono descritte le caratteristiche dello schema, insieme alle critiche che sollevano:
- http://www.difesa.it/SMD/Staff/Reparti/II-reparto/CeVa/pubblicazioni/estere/Documents/CommonCriteria_ISSA%20Journal_0411.pdf
Stefano mi ha anche segnalato una sua presentazione del 2009. Si trova nello zip del seminario tecnico "Le novità nel campo degli standard per la sicurezza It" tenuto al Security Summit 2009; il file di interesse è "10.06.09_Ramacciotti.pdf" con la presentazione dal titolo "I Common Criteria 3.1 ad un anno di distanza dalla loro entrata in vigore. Cosa è cambiato dalla versione 2.3 alla 3.1R2".
- http://roma.securitysummit.it/upload/file/Seminari/Seminario-Clusit-10-giugno.zip
Per saperne ancora di più, segnalo il portale dedicato proprio ai Common Criteria:
- http://www.commoncriteriaportal.org/
Andamento delle norme della famiglia ISO/IEC 270xx
Ecco qui la situazione delle norme della famiglia ISO/IEC 270xx dopo l'incontro di Stoccolma del SC 27:
- ISO/IEC 27000: è attualmente allo stadio di DIS
- ISO/IEC 27001: rimarrà allo stadio di CD; si suppone di rilasciarla in stadio di DIS a ottobre, poi in aprile 2013 come FDIS, per pubblicare la nuova versione della ISO/IEC 27001 a ottobre 2013
- ISO/IEC 27004 (misurazione dei controlli): ne è stata lanciata la revisione
- ISO/IEC 27006 (norma per gli Organismi di Certificazione ISO/IEC 27001):
ne è stata lanciata la revisione
- ISO/IEC 27013 (relazioni tra ISO/IEC 27001 e ISO/IEC 20000-1): è ora in stato di FDIS e dovrebbe quindi essere rilasciata ad ottobre
- ISO/IEC 27014 (Governance of information security): è ora in stato di FDIS e dovrebbe quindi essere rilasciata ad ottobre
- ISO/IEC TR 27015 (linee guida per i Financial Services): è ora in stato di DTR (corrispondente allo stadio DIS)
- ISO/IEC 27036 (gestione fornitori): è allo stato di CD; questa norma è in
3 parti, la seconda delle quali mi pare essere certificabile
- ISO/IEC 27037 (digital evidence): è allo stato di Final Draft, dovrebbe essere quindi pubblicata entro fine 2012
- ISO/IEC 27041, 27042 e 27043 (sulla computer forensics): sono allo stadio di Committee Draft
- ISO/IEC 24762 (linee guida sul DR): è stata avviata la revisione
Sono attualmente in corsi degli studi per le norme su: Capability Maturity Framework for Information Security Management, Privacy / Personal Information Management Systems, Information Security within Smart Grid Environments, International Certification of Information Security Management Specialists.
Al di fuori delle norme della famiglia ISO/IEC 270xx, anche se di pertinenza del SC27, ho notato che sono in corso i lavori (ora allo stadio di Working
Draft) per la ISO TS 30104, dal titolo "Physical security attacks, mitigation techniques and security requirements". Pare interessante, viste alcune richieste del mercato in tal senso.
Fabio Guasconi, Presidente del comitato SC 27 di Uninfo, mi ha fatto notare che lo stato delle norme sopra indicato, per quanto sembri corretto, sarà da verificare quando sarà emessa la roadmap aggiornata.
- ISO/IEC 27000: è attualmente allo stadio di DIS
- ISO/IEC 27001: rimarrà allo stadio di CD; si suppone di rilasciarla in stadio di DIS a ottobre, poi in aprile 2013 come FDIS, per pubblicare la nuova versione della ISO/IEC 27001 a ottobre 2013
- ISO/IEC 27004 (misurazione dei controlli): ne è stata lanciata la revisione
- ISO/IEC 27006 (norma per gli Organismi di Certificazione ISO/IEC 27001):
ne è stata lanciata la revisione
- ISO/IEC 27013 (relazioni tra ISO/IEC 27001 e ISO/IEC 20000-1): è ora in stato di FDIS e dovrebbe quindi essere rilasciata ad ottobre
- ISO/IEC 27014 (Governance of information security): è ora in stato di FDIS e dovrebbe quindi essere rilasciata ad ottobre
- ISO/IEC TR 27015 (linee guida per i Financial Services): è ora in stato di DTR (corrispondente allo stadio DIS)
- ISO/IEC 27036 (gestione fornitori): è allo stato di CD; questa norma è in
3 parti, la seconda delle quali mi pare essere certificabile
- ISO/IEC 27037 (digital evidence): è allo stato di Final Draft, dovrebbe essere quindi pubblicata entro fine 2012
- ISO/IEC 27041, 27042 e 27043 (sulla computer forensics): sono allo stadio di Committee Draft
- ISO/IEC 24762 (linee guida sul DR): è stata avviata la revisione
Sono attualmente in corsi degli studi per le norme su: Capability Maturity Framework for Information Security Management, Privacy / Personal Information Management Systems, Information Security within Smart Grid Environments, International Certification of Information Security Management Specialists.
Al di fuori delle norme della famiglia ISO/IEC 270xx, anche se di pertinenza del SC27, ho notato che sono in corso i lavori (ora allo stadio di Working
Draft) per la ISO TS 30104, dal titolo "Physical security attacks, mitigation techniques and security requirements". Pare interessante, viste alcune richieste del mercato in tal senso.
Fabio Guasconi, Presidente del comitato SC 27 di Uninfo, mi ha fatto notare che lo stato delle norme sopra indicato, per quanto sembri corretto, sarà da verificare quando sarà emessa la roadmap aggiornata.
Articolo "Everyone Has Been Hacked. Now What?"
Simone Tomirotti mi segnala questo articolo di Wired che suggerisce di: "learning to live with the threat, rather than trying to eradicate it, is the new normal. Just detecting attacks and mitigating against them is the best that many companies can hope to do. (...) We have to manage the way we assess the risk".
- http://www.wired.com/threatlevel/2012/05/everyone-hacked/ <http://www.wired.com/threatlevel/2012/05/everyone-hacked/>
Sempre Simone fa alcuni commenti:
- Wired non è una rivista indirizzata verso la cultura del controllo, ma punta verso l'innovazione, eppure anche tra le loro colonne la soluzione è "valutare il rischio";
- negli USA c'è bisogno di un "FBI's former top cyber-cop", che sottolinei l'importanza del risk assessment;
- c'è vita dopo l'auditing
Dopo aver letto questa segnalazione di Simone, ho trovato una riflessione di Bruce Schneier molto simile nella newsletter Crypto-Gram a fronte di un articolo di Kelly Jackson Higgins (si tratta, in realtà, di una serie di articoli sullo stesso tema; quello segnalato è il secondo):
- http://www.darkreading.com/advanced-threats/167901091/security/attacks-breaches/232800395/damage-mitigation-as-the-new-defense.html
- http://www.wired.com/threatlevel/2012/05/everyone-hacked/ <http://www.wired.com/threatlevel/2012/05/everyone-hacked/>
Sempre Simone fa alcuni commenti:
- Wired non è una rivista indirizzata verso la cultura del controllo, ma punta verso l'innovazione, eppure anche tra le loro colonne la soluzione è "valutare il rischio";
- negli USA c'è bisogno di un "FBI's former top cyber-cop", che sottolinei l'importanza del risk assessment;
- c'è vita dopo l'auditing
Dopo aver letto questa segnalazione di Simone, ho trovato una riflessione di Bruce Schneier molto simile nella newsletter Crypto-Gram a fronte di un articolo di Kelly Jackson Higgins (si tratta, in realtà, di una serie di articoli sullo stesso tema; quello segnalato è il secondo):
- http://www.darkreading.com/advanced-threats/167901091/security/attacks-breaches/232800395/damage-mitigation-as-the-new-defense.html
lunedì 14 maggio 2012
Articolo sul caso Wikileaks
Segnalo questo articolo di Stefano Ramacciotti dal titolo "La sicurezza delle informazioni al tempo di Wikileaks".
Il caso è ormai vecchio e l'articolo è di inizio 2011. Però mi sembra interessante per i seguenti punti:
- pone molto bene il problema che c'è nella percezione di "sicurezza delle informazioni" e "sicurezza informatica"
- introduce molto bene i paradigmi di need-to-know e need-to-share
- parla della "Sindrome di Fort Apache" che non conoscevo; è "quell'atteggiamento secondo il quale si pensa che i "cattivi" stiano tutti fuori, e dentro il forte ci siano solo i buoni"; per saperne di più dovrei leggere il libro di Giustozzi, ma già il nome è interessante
- propone alcune misure di sicurezza che non sono normalmente trattate nell'ambito civile e che potrebbero essere mutuate intelligentemente dall'ambito militare
- segnala un attacco ovvio, ma di cui non sapevo il nome ("Pod slurping") e a cui raramente si pensa
L'articolo:
- http://www.difesa.it/Pubblicistica/info-difesa/Infodifesa140/2011/Documents/Rivista%203-2011/3_Articolo3.pdf
Il caso è ormai vecchio e l'articolo è di inizio 2011. Però mi sembra interessante per i seguenti punti:
- pone molto bene il problema che c'è nella percezione di "sicurezza delle informazioni" e "sicurezza informatica"
- introduce molto bene i paradigmi di need-to-know e need-to-share
- parla della "Sindrome di Fort Apache" che non conoscevo; è "quell'atteggiamento secondo il quale si pensa che i "cattivi" stiano tutti fuori, e dentro il forte ci siano solo i buoni"; per saperne di più dovrei leggere il libro di Giustozzi, ma già il nome è interessante
- propone alcune misure di sicurezza che non sono normalmente trattate nell'ambito civile e che potrebbero essere mutuate intelligentemente dall'ambito militare
- segnala un attacco ovvio, ma di cui non sapevo il nome ("Pod slurping") e a cui raramente si pensa
L'articolo:
- http://www.difesa.it/Pubblicistica/info-difesa/Infodifesa140/2011/Documents/Rivista%203-2011/3_Articolo3.pdf
Privacy e responsabilità dell'acquirente di liste di contatti
Il Garante della Privacy, il 5 aprile, ha emesso un Provvedimento su "responsabilità dell'acquirente di liste di contatti":
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1891156
Il Provvedimento è molto lungo e di difficile lettura. Questo articolo riassuntivo è più semplice:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3739
Considerazione 1: nella lunga premessa si evince quanto vado a dire da tempo (e non sono un legale), ossia che non è sempre corretto nominare le altre aziende come "Responsabili esterni". In questo Provvedimento è chiaro come le diverse aziende coinvolte si siano nominate reciprocamente "Responsabili" seguendo l'interpretazione più diffusa, senza considerare gli impatti e gli obblighi reciproci derivanti.
Considerazione 2: la lamentela è stata sollevata da una persona iscritta al Registro delle Opposizioni, ma poi questo particolare viene dimenticato nel corso del Provvedimento.
Considerazione 3: credo che il discorso si faccia ora complesso per coloro che vogliono utilizzare elenchi non pubblici di nominativi per fare telemarketing, visto che "chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente acconsentito all'invio di materiale pubblicitario". Come può farlo se le garanzie contrattuali, così come richiamate dal Provvedomento, non sono ritenute sufficienti?
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1891156
Il Provvedimento è molto lungo e di difficile lettura. Questo articolo riassuntivo è più semplice:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3739
Considerazione 1: nella lunga premessa si evince quanto vado a dire da tempo (e non sono un legale), ossia che non è sempre corretto nominare le altre aziende come "Responsabili esterni". In questo Provvedimento è chiaro come le diverse aziende coinvolte si siano nominate reciprocamente "Responsabili" seguendo l'interpretazione più diffusa, senza considerare gli impatti e gli obblighi reciproci derivanti.
Considerazione 2: la lamentela è stata sollevata da una persona iscritta al Registro delle Opposizioni, ma poi questo particolare viene dimenticato nel corso del Provvedimento.
Considerazione 3: credo che il discorso si faccia ora complesso per coloro che vogliono utilizzare elenchi non pubblici di nominativi per fare telemarketing, visto che "chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente acconsentito all'invio di materiale pubblicitario". Come può farlo se le garanzie contrattuali, così come richiamate dal Provvedomento, non sono ritenute sufficienti?
venerdì 11 maggio 2012
Lavori sulla futura ISO/IEC 27001 e 27006
Come già detto in altro articolo, ho partecipato all'incontro del WG1 dell'SC27 della ISO del 7-11 a Stoccolma per scrivere la futura ISO/IEC 27001.
Tralascio il resoconto su come si è svolta la riunione e procedo a dare notizie sui punti tecnici più rilevanti.
Alcuni punti relativi alla futura ISO/IEC 27001.
- Uso del Common Text for Management Systems: la ISO ha emesso la ISO Guide 83, in cui sono specificate le regole per la scrittura degli standard sui sistemi di gestione (inclusa la 27001) e l'SC 27 ha confermato che la userà con alcune modifiche; in effetti, il testo proposto dalla ISO Guide 83 presenta alcuni punti che sono difficili da unire con la 27001 (presenta anche alcuni errori nell'inglese, per la verità).
- Risk Assessment: uno dei problemi della ISO Guide 83 è che richiede una gestione dei rischi dell'organizzazione (la troveremo quindi anche nella ISO 9001), che presenta difficoltà di unione con il risk assessment per la sicurezza delle informazioni; molto dibattito si è fatto sulla distinzione tra "risk assessment per il sistema di gestione" e "risk assessment per la sicurezza delle informazioni"; per me, l'Italia e altri Paesi non ci dovrebbe essere distinzione, per altri sì; alla fine ha prevalso la prima posizione
- Risk Assessment 2: nella bozza iniziale i requisiti sul R.A. erano veramente ridotti, ora sembra che si sia arrivati ad una giusta via di mezzo tra quello troppo prescrittivo della ISO/IEC 27001:2005 e quello troppo vago della bozza iniziale
- Riferimenti ad altri documenti: saranno tolti i riferimenti ad altri documenti e sarà fatta un'operazione simile alla ISO 9001, in cui i riferimenti ad altri standard saranno limitati ad una specifica sezione
- Uso dello Statement of Applicability: è stato deciso di continuare a richiedere lo Statement of Applicability con riferimento all'Annex A
- è stato chiarito che non si richiederanno misurazioni di efficacia di tutti i controlli, ma si richiederà di individuare per quali misurare e misurare
- è stato chiarito che il piano di trattamento del rischio deve riportare tutti i rischi, anche quelli per cui non è richiesta nessuna azione (meglio: per cui l'azione è la accettazione).
Purtroppo, non ho avuto l'occasione di assistere alla discussione sulla ISO/IEC 27002.
Ho anche avuto l'occasione di discutere di ISO/IEC 27006. Da questo punto di vista non ci saranno grosse novità, se non la necessità di allinearla alla attuale ISO/IEC 17021. Il punto più "caldo" riguarda l'Annex C, ossia la tabella con le giornate uomo da prevedere per gli audit. L'Italia ha espresso l'opinione che la tabella ha valori troppo elevati (cioè, richiede troppe giornate di audit) e ha fatto una prima proposta di eliminazione.
Attualmente si è deciso di mantenere l'Annex C ed è stato richiesto all'Italia di presentare una tabella alternativa.
Altre norme sono state discusse, ma la delegazione italiana (vedere altro articolo) era troppo ridotta per poterne seguire i lavori.
Tralascio il resoconto su come si è svolta la riunione e procedo a dare notizie sui punti tecnici più rilevanti.
Alcuni punti relativi alla futura ISO/IEC 27001.
- Uso del Common Text for Management Systems: la ISO ha emesso la ISO Guide 83, in cui sono specificate le regole per la scrittura degli standard sui sistemi di gestione (inclusa la 27001) e l'SC 27 ha confermato che la userà con alcune modifiche; in effetti, il testo proposto dalla ISO Guide 83 presenta alcuni punti che sono difficili da unire con la 27001 (presenta anche alcuni errori nell'inglese, per la verità).
- Risk Assessment: uno dei problemi della ISO Guide 83 è che richiede una gestione dei rischi dell'organizzazione (la troveremo quindi anche nella ISO 9001), che presenta difficoltà di unione con il risk assessment per la sicurezza delle informazioni; molto dibattito si è fatto sulla distinzione tra "risk assessment per il sistema di gestione" e "risk assessment per la sicurezza delle informazioni"; per me, l'Italia e altri Paesi non ci dovrebbe essere distinzione, per altri sì; alla fine ha prevalso la prima posizione
- Risk Assessment 2: nella bozza iniziale i requisiti sul R.A. erano veramente ridotti, ora sembra che si sia arrivati ad una giusta via di mezzo tra quello troppo prescrittivo della ISO/IEC 27001:2005 e quello troppo vago della bozza iniziale
- Riferimenti ad altri documenti: saranno tolti i riferimenti ad altri documenti e sarà fatta un'operazione simile alla ISO 9001, in cui i riferimenti ad altri standard saranno limitati ad una specifica sezione
- Uso dello Statement of Applicability: è stato deciso di continuare a richiedere lo Statement of Applicability con riferimento all'Annex A
- è stato chiarito che non si richiederanno misurazioni di efficacia di tutti i controlli, ma si richiederà di individuare per quali misurare e misurare
- è stato chiarito che il piano di trattamento del rischio deve riportare tutti i rischi, anche quelli per cui non è richiesta nessuna azione (meglio: per cui l'azione è la accettazione).
Purtroppo, non ho avuto l'occasione di assistere alla discussione sulla ISO/IEC 27002.
Ho anche avuto l'occasione di discutere di ISO/IEC 27006. Da questo punto di vista non ci saranno grosse novità, se non la necessità di allinearla alla attuale ISO/IEC 17021. Il punto più "caldo" riguarda l'Annex C, ossia la tabella con le giornate uomo da prevedere per gli audit. L'Italia ha espresso l'opinione che la tabella ha valori troppo elevati (cioè, richiede troppe giornate di audit) e ha fatto una prima proposta di eliminazione.
Attualmente si è deciso di mantenere l'Annex C ed è stato richiesto all'Italia di presentare una tabella alternativa.
Altre norme sono state discusse, ma la delegazione italiana (vedere altro articolo) era troppo ridotta per poterne seguire i lavori.
giovedì 10 maggio 2012
Chi partecipa ai comitati ISO (Lamentazione)
Dal 7 al 15 maggio 2012 si è tenuto l'incontro dell'SC 27 a Stoccolma per scrivere, tra le altre, le future ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27006 (requisiti per gli organismi di certificazione), norme sulla computer forensics, norme sulla certificazione di prodotti (queste ultime, in Italia, anche richiamate in alcuni dispositivi di legge o norme).
In tutto, la delegazione italiana era composta da 3 persone: me stesso (ho seguito le attività su 27001, 27002 e 27006), Stefano Ramacciotti (Ce.Va. Difesa, che si è occupato dei criteri di valutazione della sicurezza, che generalmente hanno a che fare con la valutazione dei prodotti ai fini della loro certificazione, dei sistemi, dell'implementazione di algoritmi crittografici e di processi di "security engineering") e Fabio Guasconi (di @mediaservice.net, ha seguito il comitato principale in qualità di Capo delegazione). Aggiungo anche Dario Forte che però ha partecipato solo per poche ore via Skype sulle norme di computer forensics. C'era un altro italiano, in rappresentanza della Commissione Europea, Pasquale Stirparo (JRC di Ispra e DFA, che ha seguite le norme sulla forensics).
Alcuni dettagli li ho dati in un altro articolo e spero di riceve contributi dagli altri.
Perché "Lamentazione"? Perché 3 sono troppo poche persone. Il problema è che per partecipare a queste iniziative bisogna pagarsi il viaggio e l'hotel. Ma mi sorprende che dall'Italia non c'era:
- nessuno da Organismi di Certificazione accreditati per la ISO/IEC 27001 (si capisce: o era a Stoccolma o era a fare audit fatturabili; la scelta è facile da capire, non da giustificare)
- nessuno da Accredia (quelli che controllano gli Organismi di Certificazione ISO/IEC 27001, apparentenemente e inspiegabilmente non interessati ad una norma come la 27006; ma in ottima compagnia nel loro disinteresse, visto che a parlare di 27006 eravamo 3 auditor di OdC e 2 rappresentanti degli organismi di accreditamento),
- nessuno delle società di consulenza (anche loro hanno il problema di pagare le spese e non fatturare 7-8 giornate, però si presentano lo stesso sul mercato come "espertissimi" e applicano tariffe coerenti; facciamo eccezione Fabio e io... e io non riesco ad applicare le tariffe che vorrei! (non so nulla di Fabio)),
- nessuno dalla Pubblica Amministrazione o Autorità collegate (anche se poi emettono schemi "conformi" alla 27001, o chiedono la certificazione 27001 nei contratti; forse su suggerimento dei consulenti di cui sopra; solo i francesi e tedeschi avevano referenti dei loro Garanti Privacy), con l'eccezione del Ce.Va. Difesa
- nessuno dalle nostre imprese più rappresentative (anche se dicono di applicare la 27001 o norme collegate e chiedono di avere fornitori certificati)
- nessuno dalle forze dell'ordine (che pur fanno computer forensics)
- nessuno dai laboratori di valutazione della sicurezza dei prodotti informatici (ad eccezione di Stefano Ramacciotti)
Le ragioni sono sicuramente tante e non credo che sia interessante un ulteriore approfondimento in questa sede. Ma non riesco a capire perché non sia ritenuto né utile né interessante un investimento di spesa sulla 27001 variabile dai 4 ai 10mila Euro annui (ci sono 2 incontri all'anno, in posti anche lontani) da TUTTE le aziende italiane che si vantano di fare sicurezza delle informazioni (con la dovuta eccezione di @mediaservice).
(Rimane sempre il problema che per scrivere le norme devo pagare per iscrivermi a UNINFO e per il viaggio e poi per leggere la versione definitiva devo pagare per averla).
PS: ringrazio Stefano Ramacciotti per avermi segnalato refusi e imprecisioni e futuri potenziali articoli di approfondimento sugli ultimi due paragrafi
In tutto, la delegazione italiana era composta da 3 persone: me stesso (ho seguito le attività su 27001, 27002 e 27006), Stefano Ramacciotti (Ce.Va. Difesa, che si è occupato dei criteri di valutazione della sicurezza, che generalmente hanno a che fare con la valutazione dei prodotti ai fini della loro certificazione, dei sistemi, dell'implementazione di algoritmi crittografici e di processi di "security engineering") e Fabio Guasconi (di @mediaservice.net, ha seguito il comitato principale in qualità di Capo delegazione). Aggiungo anche Dario Forte che però ha partecipato solo per poche ore via Skype sulle norme di computer forensics. C'era un altro italiano, in rappresentanza della Commissione Europea, Pasquale Stirparo (JRC di Ispra e DFA, che ha seguite le norme sulla forensics).
Alcuni dettagli li ho dati in un altro articolo e spero di riceve contributi dagli altri.
Perché "Lamentazione"? Perché 3 sono troppo poche persone. Il problema è che per partecipare a queste iniziative bisogna pagarsi il viaggio e l'hotel. Ma mi sorprende che dall'Italia non c'era:
- nessuno da Organismi di Certificazione accreditati per la ISO/IEC 27001 (si capisce: o era a Stoccolma o era a fare audit fatturabili; la scelta è facile da capire, non da giustificare)
- nessuno da Accredia (quelli che controllano gli Organismi di Certificazione ISO/IEC 27001, apparentenemente e inspiegabilmente non interessati ad una norma come la 27006; ma in ottima compagnia nel loro disinteresse, visto che a parlare di 27006 eravamo 3 auditor di OdC e 2 rappresentanti degli organismi di accreditamento),
- nessuno delle società di consulenza (anche loro hanno il problema di pagare le spese e non fatturare 7-8 giornate, però si presentano lo stesso sul mercato come "espertissimi" e applicano tariffe coerenti; facciamo eccezione Fabio e io... e io non riesco ad applicare le tariffe che vorrei! (non so nulla di Fabio)),
- nessuno dalla Pubblica Amministrazione o Autorità collegate (anche se poi emettono schemi "conformi" alla 27001, o chiedono la certificazione 27001 nei contratti; forse su suggerimento dei consulenti di cui sopra; solo i francesi e tedeschi avevano referenti dei loro Garanti Privacy), con l'eccezione del Ce.Va. Difesa
- nessuno dalle nostre imprese più rappresentative (anche se dicono di applicare la 27001 o norme collegate e chiedono di avere fornitori certificati)
- nessuno dalle forze dell'ordine (che pur fanno computer forensics)
- nessuno dai laboratori di valutazione della sicurezza dei prodotti informatici (ad eccezione di Stefano Ramacciotti)
Le ragioni sono sicuramente tante e non credo che sia interessante un ulteriore approfondimento in questa sede. Ma non riesco a capire perché non sia ritenuto né utile né interessante un investimento di spesa sulla 27001 variabile dai 4 ai 10mila Euro annui (ci sono 2 incontri all'anno, in posti anche lontani) da TUTTE le aziende italiane che si vantano di fare sicurezza delle informazioni (con la dovuta eccezione di @mediaservice).
(Rimane sempre il problema che per scrivere le norme devo pagare per iscrivermi a UNINFO e per il viaggio e poi per leggere la versione definitiva devo pagare per averla).
PS: ringrazio Stefano Ramacciotti per avermi segnalato refusi e imprecisioni e futuri potenziali articoli di approfondimento sugli ultimi due paragrafi
Privacy on Cloud & Mobile
Alessandro Vallega di Oracle mi segnala un lavoro fatto a più a
mani e in ambito Clusit sulla privacy sul cloud e in ambito mobile (cellulari,
smartphone, tavolette, BYOD, eccetera). In entrambi i documenti si assume il
punto di vista di un'azienda italiana titolare dei trattamenti relativi a dati
personali.
Gli argomenti sono ormai noti, ma la lettura è comunque interessante per chi non avesse avuto ancora la possibilità di affrontare questi argomenti. Per chi invece li dovesse già conoscere, se ha un po' di pazienza potrebbe trovare alcuni spunti originali.
Ecco il link:
- https://privacycloudmobile.clusit.it/
Gli argomenti sono ormai noti, ma la lettura è comunque interessante per chi non avesse avuto ancora la possibilità di affrontare questi argomenti. Per chi invece li dovesse già conoscere, se ha un po' di pazienza potrebbe trovare alcuni spunti originali.
Ecco il link:
- https://privacycloudmobile.clusit.it/
martedì 24 aprile 2012
Videosorveglianza, eliminati alcuni vincoli per l'autorizzazione
Copio e incollo (con qualche modifica) quanto riportato alla paginahttp://www.consulentidellavoro.it/browse.php?mod=article&opt=view&id=10522
Il Ministero del lavoro è intervenuto con la nota n. 7162 del 16 aprile 2012 per semplificare l'installazione dei sistemi di controllo a distanza, soprattutto in quegli esercizi commerciali (ricevitorie, tabaccherie, oreficerie, farmacie, edicole, distributori di carburante) dove non ci sono rappresentanze sindacali.
Finora la procedura di istallazione richiedeva che personale ispettivo, prima di procedere al rilascio dell'autorizzazione, procedesse con un accertamento tecnico dello stato dei luoghi (planimetria dei locali, numero impianti da installare ecc..).
Il Ministero ha riconosciuto sufficiente la richiesta espressa del datore di lavoro e, per il rilascio dell'autorizzazione, sarà sufficiente la sola documentazione tecnica prodotta.
Ringrazio Max Cottafavi di Reply per la segnalazione.
Il Ministero del lavoro è intervenuto con la nota n. 7162 del 16 aprile 2012 per semplificare l'installazione dei sistemi di controllo a distanza, soprattutto in quegli esercizi commerciali (ricevitorie, tabaccherie, oreficerie, farmacie, edicole, distributori di carburante) dove non ci sono rappresentanze sindacali.
Finora la procedura di istallazione richiedeva che personale ispettivo, prima di procedere al rilascio dell'autorizzazione, procedesse con un accertamento tecnico dello stato dei luoghi (planimetria dei locali, numero impianti da installare ecc..).
Il Ministero ha riconosciuto sufficiente la richiesta espressa del datore di lavoro e, per il rilascio dell'autorizzazione, sarà sufficiente la sola documentazione tecnica prodotta.
Ringrazio Max Cottafavi di Reply per la segnalazione.
lunedì 23 aprile 2012
Privacy e controllo dei conti correnti
Riporto tale e quale la segnalazione di Daniela Quetti della DFA e di Lispa.
Il 18 aprile è comparsa sul sito del Garante la seguente notizia: "Fisco: sí del Garante agli schemi di provvedimento dell'Agenzia delle entrate sui conti correnti dei cittadini e sulla partecipazione dei Comuni alla lotta all'evasione fiscale. Necessaria una rigorosa protezione dei dati".
Il Garante ha richiesto, tra le misure di sicurezza, la cifratura di tutti i passaggi interni (interessante pensare che a livello di dato sanitario, per il dato non genetico, questo non sia richiesto).
http://www.garanteprivacy.it/garante/doc.jsp?ID=1886812
Il 18 aprile è comparsa sul sito del Garante la seguente notizia: "Fisco: sí del Garante agli schemi di provvedimento dell'Agenzia delle entrate sui conti correnti dei cittadini e sulla partecipazione dei Comuni alla lotta all'evasione fiscale. Necessaria una rigorosa protezione dei dati".
Il Garante ha richiesto, tra le misure di sicurezza, la cifratura di tutti i passaggi interni (interessante pensare che a livello di dato sanitario, per il dato non genetico, questo non sia richiesto).
http://www.garanteprivacy.it/garante/doc.jsp?ID=1886812
Approccio al change management
Segnalo questo interessante articolo sul change management postato su ITSM Portal.
L'autore è Glen Taylor, dirigente IT della Walt Disney Parks & Resorts (sempre che non si tratti di un furto di identità).
Glen Taylor dice che un processo di approvazione e gestione dei change troppo rigido è un errore. In modo simile, afferma che il classico processo "andiamo avanti senza regole" è altrettanto sbagliato.
Il processo giusto dovrebbe considerare il livello di rischio di ciascun change e richiedere il corrispondente livello di documentazi e attività. Ovviamente, il livello di rischio non potrà essere calcolato solo con "dati, regole e punteggi", ma con "informazioni, linee guida, esperienza" e, soprattutto, non deve essere fatto in un modo qualunque "tanto per soddisfare un requisito".
Il passaggio però al change management basato sul rischio deve passare inesorabilmente per il change management basato sulle regole, in caso contrario non è possibile costruire le linee guida e le esperienze necessarie.
L'articolo:
- http://www.itsmportal.com/news/why-%E2%80%9Crules-based%E2%80%9D-approach-change-management-always-fails
L'autore è Glen Taylor, dirigente IT della Walt Disney Parks & Resorts (sempre che non si tratti di un furto di identità).
Glen Taylor dice che un processo di approvazione e gestione dei change troppo rigido è un errore. In modo simile, afferma che il classico processo "andiamo avanti senza regole" è altrettanto sbagliato.
Il processo giusto dovrebbe considerare il livello di rischio di ciascun change e richiedere il corrispondente livello di documentazi e attività. Ovviamente, il livello di rischio non potrà essere calcolato solo con "dati, regole e punteggi", ma con "informazioni, linee guida, esperienza" e, soprattutto, non deve essere fatto in un modo qualunque "tanto per soddisfare un requisito".
Il passaggio però al change management basato sul rischio deve passare inesorabilmente per il change management basato sulle regole, in caso contrario non è possibile costruire le linee guida e le esperienze necessarie.
L'articolo:
- http://www.itsmportal.com/news/why-%E2%80%9Crules-based%E2%80%9D-approach-change-management-always-fails
mercoledì 18 aprile 2012
Malware per Mac
Non è bello da dirsi, ma la leggenda che i Mac sono immuni da malware sembra falsa.
Altri avevano detto che il malware per Windows è molto numeroso per il semplice fatto che il suo installato è abbondantemente superiore a qualsiasi altro sistema operativo. Mac sta evidentemente prendendo quote di mercato e/o i simpatici produttori di malware ora hanno accesso a piattaforme di sviluppo per Mac.
Il link da SANS Newsbyte del 17 aprile 2012:http://www.usatoday.com/tech/news/story/2012-04-16/apple-mac-java/54317794/1
Altri avevano detto che il malware per Windows è molto numeroso per il semplice fatto che il suo installato è abbondantemente superiore a qualsiasi altro sistema operativo. Mac sta evidentemente prendendo quote di mercato e/o i simpatici produttori di malware ora hanno accesso a piattaforme di sviluppo per Mac.
Il link da SANS Newsbyte del 17 aprile 2012:http://www.usatoday.com/tech/news/story/2012-04-16/apple-mac-java/54317794/1
lunedì 16 aprile 2012
Lavoro al videoterminale
Il tema dei rischi della sicurezza dei lavoratori videoterminalisti è un tema apparentemente marginale alla qualità e alla sicurezza delle informazioni. Di fatto, è importante capire come un buon ambiente di lavoro porti poi ad avere migliore efficienza ed efficacia nell'esecuzione delle attività.
Il riferimento migliore per trattare di questo tema è certamente quello dell'INAIL; in particolare l'opuscolo "Il lavoro al videoterminale" aggiornato al 2010:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/Il_lavoro_al_videoterminale/index.jsp
Dalla pagina "Prevenzione e sicurezza" è anche possibile effettuare ricerche per trovare altro materiale in materia:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/index.jsp
Il riferimento migliore per trattare di questo tema è certamente quello dell'INAIL; in particolare l'opuscolo "Il lavoro al videoterminale" aggiornato al 2010:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/Il_lavoro_al_videoterminale/index.jsp
Dalla pagina "Prevenzione e sicurezza" è anche possibile effettuare ricerche per trovare altro materiale in materia:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/index.jsp
mercoledì 11 aprile 2012
L'uso dell'identità di terzi è reato
La Corte di Cassazione - Sezione Terza Penale, con Sentenza n.12479 del 3 aprile 2012, ha stabilito che è reato utilizzare i dati anagrafici di terzi (veri ed esistenti) per aprire a loro nome un account di un sito.
Parrebbe cosa ovvia, però la difesa ha obiettato che "l'imputato avrebbe utilizzato i dati anagrafici della vittima solo per iscriversi al sito di aste on-line, partecipando poi alle aste con un nome di fantasia". Meno male che la Cassazione ha confermato che rimane comunque applicabile l'articolo 494 del Codice Penale ("Chiunque... induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato,...").
Per la cronaca: il danneggiato si è accorto della cosa perché il reo non ha pagato quanto acquistato e si è visto arrivare a casa una qualche richiesta di pagamento.
Ogni tanto la Legge conferma le nostre modeste intuizioni.
L'articolo e la notizia su Filodiritto:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682 <http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682>
Parrebbe cosa ovvia, però la difesa ha obiettato che "l'imputato avrebbe utilizzato i dati anagrafici della vittima solo per iscriversi al sito di aste on-line, partecipando poi alle aste con un nome di fantasia". Meno male che la Cassazione ha confermato che rimane comunque applicabile l'articolo 494 del Codice Penale ("Chiunque... induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato,...").
Per la cronaca: il danneggiato si è accorto della cosa perché il reo non ha pagato quanto acquistato e si è visto arrivare a casa una qualche richiesta di pagamento.
Ogni tanto la Legge conferma le nostre modeste intuizioni.
L'articolo e la notizia su Filodiritto:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682 <http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682>
COBIT 5
E' stato pubblicato il COBIT 5, che segue il COBIT 4.1.
Ricordo che COBIT è il riferimento per gli audit sui processi di governo dell'IT, in particolare quando compresi negli audit di revisione di bilancio, SOC e/o Accordi di Basilea.
Le pubblicazioni ufficiali sono le seguenti:
COBIT 5 Framework
COBIT 5: Enabling Processes
COBIT 5 Implementation
COBIT 5 Toolkit
Traduco l'annuncio di ISACA: "COBIT 5 fornisce una visione di business complessiva sulla governo dell'IT aziendale. I principi, le pratiche, gli strumenti di analisi e i modelli di COBIT 5 comprendono le direzioni e le guide di esperti in business, IT e governance di tutto il mondo. In breve, COBIT 5 aiuta coloro che lo utilizzano a ottenere il più alto ROI dalle proprie informazioni e risorse tecnologiche.
Per scaricarlo:
- http://www.isaca.org/COBIT/Pages/default.aspx
Segnalo anche le slide dell'interessantissima presentazione di Alberto Piamonte, a cui ho assistito l'8 marzo in occasione di una Sessione di Studio AIEA:
- http://www.aiea.it/pdf/sessioni%20di%20studio%20e%20di%20formazione/2012/Milano%2008032012%20Alberto%20Piamonte.pdf
Ricordo che COBIT è il riferimento per gli audit sui processi di governo dell'IT, in particolare quando compresi negli audit di revisione di bilancio, SOC e/o Accordi di Basilea.
Le pubblicazioni ufficiali sono le seguenti:
COBIT 5 Framework
COBIT 5: Enabling Processes
COBIT 5 Implementation
COBIT 5 Toolkit
Traduco l'annuncio di ISACA: "COBIT 5 fornisce una visione di business complessiva sulla governo dell'IT aziendale. I principi, le pratiche, gli strumenti di analisi e i modelli di COBIT 5 comprendono le direzioni e le guide di esperti in business, IT e governance di tutto il mondo. In breve, COBIT 5 aiuta coloro che lo utilizzano a ottenere il più alto ROI dalle proprie informazioni e risorse tecnologiche.
Per scaricarlo:
- http://www.isaca.org/COBIT/Pages/default.aspx
Segnalo anche le slide dell'interessantissima presentazione di Alberto Piamonte, a cui ho assistito l'8 marzo in occasione di una Sessione di Studio AIEA:
- http://www.aiea.it/pdf/sessioni%20di%20studio%20e%20di%20formazione/2012/Milano%2008032012%20Alberto%20Piamonte.pdf
Plug computing
Segnalo la pagina web di Marco Mattiucci dedicata al Plug Computing.
Lo ammetto: non credo di avere mai visto un plug computer ("sono generalmente server con funzionalità limitate e mirate che operano soprattutto fornendo servizi in rete; spesso si tratta di box direttamente collegati all'alimentazione elettrica; i servizi più comuni che realizzano sono: NAS, CloudPlugging, Security, Encryption e non sono esclusi servizi di routing e VoIP"), ma da oggi in poi, se qualcuno me ne farà vedere uno, non farò la faccia sorpresa... e poi mi farò spiegare meglio come funziona.
http://www.marcomattiucci.it/plugcomputer.php
Lo ammetto: non credo di avere mai visto un plug computer ("sono generalmente server con funzionalità limitate e mirate che operano soprattutto fornendo servizi in rete; spesso si tratta di box direttamente collegati all'alimentazione elettrica; i servizi più comuni che realizzano sono: NAS, CloudPlugging, Security, Encryption e non sono esclusi servizi di routing e VoIP"), ma da oggi in poi, se qualcuno me ne farà vedere uno, non farò la faccia sorpresa... e poi mi farò spiegare meglio come funziona.
http://www.marcomattiucci.it/plugcomputer.php
martedì 10 aprile 2012
Linee guida ABILab sulla Digital Forensics
Max Cottafavi di Reply mi ha segnalato un interessante documento di ABILab a cui ha collaborato, intitolato "Linee Guida sulla digital forensics nel settore bancario italiano".
Il titolo è forse riduttivo, visto che la linea guida potrebbe essere applicabile a qualsiasi realtà. E' però evidente che si parte dal presupposto che le dimensioni debbano essere medio-grandi.
Il concetto chiave e importante di queste linee guida prende il nome di "digital forensics preventiva". Questa richiede di: identificare i possibili reati da trattare, identificare i criteri organizzativi e tecnologici e legali per individuarli tempestivamente e per raccogliere correttamente le prove da utilizzare eventualmente in sede legale.
Il concetto è importante e originale perché quasi tutti gli articoli sulla computer forensics partono dal presupposto di trovarsi in un'indagine quasi da telefilm (anche se la realtà è meno spettacolare) e non contemplano le necessità di un'impresa di tutelarsi anche in ottica preventiva a fronte di frodi o altre attività illecite che possono coinvolgere i propri sistemi informatici.
Si richiede quindi un certo sforzo di analisi preventiva dei possibili reati, dei propri sistemi informatici e dei piani di azione. Sforzo che in alcune realtà (come quelle bancarie) è sempre più necessario.
Le linee guida sono anche accompagnate da ottime analisi sull'uso delle prove nel processo penale e nel processo civile.
Nota: confesso che le ho lette con una certa calma, visto che sono datate "Maggio 2011".
Il titolo è forse riduttivo, visto che la linea guida potrebbe essere applicabile a qualsiasi realtà. E' però evidente che si parte dal presupposto che le dimensioni debbano essere medio-grandi.
Il concetto chiave e importante di queste linee guida prende il nome di "digital forensics preventiva". Questa richiede di: identificare i possibili reati da trattare, identificare i criteri organizzativi e tecnologici e legali per individuarli tempestivamente e per raccogliere correttamente le prove da utilizzare eventualmente in sede legale.
Il concetto è importante e originale perché quasi tutti gli articoli sulla computer forensics partono dal presupposto di trovarsi in un'indagine quasi da telefilm (anche se la realtà è meno spettacolare) e non contemplano le necessità di un'impresa di tutelarsi anche in ottica preventiva a fronte di frodi o altre attività illecite che possono coinvolgere i propri sistemi informatici.
Si richiede quindi un certo sforzo di analisi preventiva dei possibili reati, dei propri sistemi informatici e dei piani di azione. Sforzo che in alcune realtà (come quelle bancarie) è sempre più necessario.
Le linee guida sono anche accompagnate da ottime analisi sull'uso delle prove nel processo penale e nel processo civile.
Nota: confesso che le ho lette con una certa calma, visto che sono datate "Maggio 2011".
Le responsabilità nella certificazione
Con colpevole ritardo, segnalo questo articolo del Presidente dell'Organismo di vigilanza di Accredia sulle semplificazioni introdotte nel 2008:
- http://www.uni.com/index.php?option=com_content&view=article&id=572%3Ale-nuove-responsabilita-nella-certificazione-ambientale-e-di-qualita&Itemid=741&lang=it
L'articolo è apparentemente obsoleto, ma è invece validissomo perché anche il nuovo Decreto Semplificazioni del Governo Monti prevede che i controlli amministrativi potranno essere ridotti per le imprese in possesso di certificazioni ISO (articolo 14 del DL 5 del 2012, convertito con Legge 35 del 2012). La notizia la diedi a marzo:
- http://blog.cesaregallotti.it/2012/03/certificazioni-iso-9001-e-controlli.html
L'aricolo fa notare che "Questa interpretazione, se verrà confermata nella sua estensione applicativa dalla determinazione regolamentare degli ambiti nei quali dovrà trovare applicazione l'efficacia sostitutiva della certificazione, comporterà necessariamente conseguenze rilevanti, non tutte al momento prevedibili, soprattutto in tema di responsabilità amministrativa degli enti certificatori e di responsabilità diretta, anche sul piano penale, del personale di questi enti addetto alle verifiche ed ai controlli".
Il punto problematico per il "sistema certificazione" sarà la corretta formazione del personale, forse attualmente non adeguato per questo genere di responsabilità.
Il tutto dovrà essere meglio specificato in regolamenti di cui, al momento, non si ha notizia.
- http://www.uni.com/index.php?option=com_content&view=article&id=572%3Ale-nuove-responsabilita-nella-certificazione-ambientale-e-di-qualita&Itemid=741&lang=it
L'articolo è apparentemente obsoleto, ma è invece validissomo perché anche il nuovo Decreto Semplificazioni del Governo Monti prevede che i controlli amministrativi potranno essere ridotti per le imprese in possesso di certificazioni ISO (articolo 14 del DL 5 del 2012, convertito con Legge 35 del 2012). La notizia la diedi a marzo:
- http://blog.cesaregallotti.it/2012/03/certificazioni-iso-9001-e-controlli.html
L'aricolo fa notare che "Questa interpretazione, se verrà confermata nella sua estensione applicativa dalla determinazione regolamentare degli ambiti nei quali dovrà trovare applicazione l'efficacia sostitutiva della certificazione, comporterà necessariamente conseguenze rilevanti, non tutte al momento prevedibili, soprattutto in tema di responsabilità amministrativa degli enti certificatori e di responsabilità diretta, anche sul piano penale, del personale di questi enti addetto alle verifiche ed ai controlli".
Il punto problematico per il "sistema certificazione" sarà la corretta formazione del personale, forse attualmente non adeguato per questo genere di responsabilità.
Il tutto dovrà essere meglio specificato in regolamenti di cui, al momento, non si ha notizia.
sabato 7 aprile 2012
DPS addio. E' ufficiale
Il 4 aprile, la Camera ha definitivamente approvato con modificazioni il DL 5/2012 "Semplifica Italia" con la Legge 35 del 2012.
Per quanto riguarda la sorte del DPS, non ci sono state sorprese: è stato abrogato.
Il testo attuale del Dlgs 196 del 2003 è reperibile su www.normattiva.it.
Ricordo due miei post:
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Simone Tomirotti mi ha anche segnalato questo link:
- http://www.ipsoa.it/News/PA/privacy_il_dps_non_serve_piu_id1067535_art.aspx
Max Cottafavi di Reply mi ha ricordato che alla fine la formazione non e' stata salvata. Peccato.
Per quanto riguarda la sorte del DPS, non ci sono state sorprese: è stato abrogato.
Il testo attuale del Dlgs 196 del 2003 è reperibile su www.normattiva.it.
Ricordo due miei post:
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Simone Tomirotti mi ha anche segnalato questo link:
- http://www.ipsoa.it/News/PA/privacy_il_dps_non_serve_piu_id1067535_art.aspx
Max Cottafavi di Reply mi ha ricordato che alla fine la formazione non e' stata salvata. Peccato.
venerdì 6 aprile 2012
ISO/IEC 27010:2012 - Comunicazioni intersettoriali e interaziendali
E' stata pubblicata la ISO/IEC 27010 dal titolo "Information technology - Security techniques - Information security management for inter-sector and inter-organizational communications".
Ci sono cose interessanti in questo documento, anche se non ritengo che siano tali da giustificare la spesa di 110 Euro per il documento. L'impostazione è piuttosto teorica e si basa sulle "sharing community".
Non sono fornite linee guida sulla classificazione, sull'etichettamento e sul conseguente trattamento delle informazioni.
Peccato sia stata discussa e prodotta in questo periodo in cui le forze sono concentrate soprattutto sulla revisione della ISO/IEC 27001.
Ci sono cose interessanti in questo documento, anche se non ritengo che siano tali da giustificare la spesa di 110 Euro per il documento. L'impostazione è piuttosto teorica e si basa sulle "sharing community".
Non sono fornite linee guida sulla classificazione, sull'etichettamento e sul conseguente trattamento delle informazioni.
Peccato sia stata discussa e prodotta in questo periodo in cui le forze sono concentrate soprattutto sulla revisione della ISO/IEC 27001.
Rapporto Clusit 2012 sulla sicurezza ICT in Italia
Al Security Summit del 20-22 marzo 2012 a Milano è stato presentato il Rapporto Clusit 2012 sulla sicurezza ICT in Italia.
Qualche considerazione "sparsa":
- il titolo conferma il forte orientamento alla sicurezza ICT; nella illustrazione degli incidenti registrati nel 2011 sono comunque sottolineati i numerosi casi in cui le tecniche di attacco si sono basate soprattutto sul social engineering
- il rapporto illustra quasi unicamente gli incidenti di cyber-crime, nella sua accezione più ampia; una sezione molto interessante è quella sugli incidenti registrati a livello internazionale: gli attacchi alla Sony, alla HBGary, ai certificati SSL
- i casi per me più emblematici sono quelli "Operation Nitro" ed "Operation Night Dragon": sono stati individuate attività di spionaggio in corso da lungo tempo, che dimostrano ancora una volta che uno dei problemi della sicurezza non è "cosa si individua", ma "cosa non si individua"
- molto interessante è il confronto tra le "Aree di maggior interesse" per i vendor e per gli "users": oltre ad risultati facilmente prevedibili (la "Compliance" è ugualmente importante per vendor e user, "standard e metodologie", ahimé, sono più importanti per i vendor che per gli user), mi ha colpito il risultato del Cloud Computing: per i vendor ha importanza pari a 3,5 su 5, mentre per gli user ha importanza 1,5 su 5.
- un dato dimostra come queste ricerche vadano sempre prese con cautela: gli user dichiarano che il parametro "economicità" è il meno importante nella selezione dei vendor, quando sappiamo bene che questo non corrisponde alla realtà
- altrettanto importanti sono le figure professionali richieste: i vendor puntano soprattutto su figure tecniche, mentre gli user puntano in egual misura su figure tecniche e gestionali
Complimenti agli autori, anche per gli interessanti articoli di approfondimento.
Per richiedere il rapporto, vi invito a leggere la pagina web:https://www.securitysummit.it/page/rapporto_clusit
Qualche considerazione "sparsa":
- il titolo conferma il forte orientamento alla sicurezza ICT; nella illustrazione degli incidenti registrati nel 2011 sono comunque sottolineati i numerosi casi in cui le tecniche di attacco si sono basate soprattutto sul social engineering
- il rapporto illustra quasi unicamente gli incidenti di cyber-crime, nella sua accezione più ampia; una sezione molto interessante è quella sugli incidenti registrati a livello internazionale: gli attacchi alla Sony, alla HBGary, ai certificati SSL
- i casi per me più emblematici sono quelli "Operation Nitro" ed "Operation Night Dragon": sono stati individuate attività di spionaggio in corso da lungo tempo, che dimostrano ancora una volta che uno dei problemi della sicurezza non è "cosa si individua", ma "cosa non si individua"
- molto interessante è il confronto tra le "Aree di maggior interesse" per i vendor e per gli "users": oltre ad risultati facilmente prevedibili (la "Compliance" è ugualmente importante per vendor e user, "standard e metodologie", ahimé, sono più importanti per i vendor che per gli user), mi ha colpito il risultato del Cloud Computing: per i vendor ha importanza pari a 3,5 su 5, mentre per gli user ha importanza 1,5 su 5.
- un dato dimostra come queste ricerche vadano sempre prese con cautela: gli user dichiarano che il parametro "economicità" è il meno importante nella selezione dei vendor, quando sappiamo bene che questo non corrisponde alla realtà
- altrettanto importanti sono le figure professionali richieste: i vendor puntano soprattutto su figure tecniche, mentre gli user puntano in egual misura su figure tecniche e gestionali
Complimenti agli autori, anche per gli interessanti articoli di approfondimento.
Per richiedere il rapporto, vi invito a leggere la pagina web:https://www.securitysummit.it/page/rapporto_clusit
lunedì 2 aprile 2012
Agenda Digitale
Dalla newsletter del Clusit segnalo il documento ufficiale della Cabina di Regia dell'Agenda Gigitale con tutti i dettagli dell'attività di Governo varato dal Governo Monti e dai ministri Profumo e Passera.
Si parla della costituzione di un CERT, di attivazione di sistemi di allerta per i cittadini, progetti per la sicurezza dei pagamenti e dell'identità digitale, nonché di nuovi CED.
La presentazione:http://www.slideshare.net/micheleficara/agenda-digitale-ecco-il-documento-ufficiale-della-cabina-di-regia
Si parla della costituzione di un CERT, di attivazione di sistemi di allerta per i cittadini, progetti per la sicurezza dei pagamenti e dell'identità digitale, nonché di nuovi CED.
La presentazione:http://www.slideshare.net/micheleficara/agenda-digitale-ecco-il-documento-ufficiale-della-cabina-di-regia
Social Media e sicurezza in azienda
Protiviti ha pubblicato un interessante documento intitolato "Social Media e sicurezza in azienda: verso un nuovo approccio".
Forse l'approccio non è così nuovo, ma è importante capire su cosa si basa: i social media, oggi, non possono essere ignorati dalle imprese, ma questi introducono nuovi fattori di vulnerabilità e di rischio che devono essere trattati. La tesi del documento è quindi che "cresce pertanto l‟esigenza di dotarsi di un modello di governo dell„utilizzo dei Social Media, che consenta di trarne i maggiori benefici, ma anche di minimizzare gli impatti negativi, soprattutto perché non sempre direttamente identificabili".
I rischi vengono suddivisi in due famiglie: "Rischi derivanti dalla partecipazione consapevole dell'azienda in ambito Social Media" e "Rischi derivanti dalla presenza non gestita da parte dell'azienda in ambito Social Media".
Infine, viene proposto un modello di intervento, certamente banale nella sua formulazione teorica, ma sicuramente complesso nella sua applicazione. Vale la pena ricordarne le fasi più significative:
1- Individuazione degli obiettivi e finalità dei Social Media nel contesto della realtà aziendale
2- Valutazione dei profili di rischio di sicurezza
3- Gestione della sicurezza delle informazioni
4- Individuazione delle responsabilità
5- Gestione dei flussi comunicativi e decisionali
6- Tutela dell'immagine aziendale, tramite la definizione di un processo di monitoraggio
7- Valutazione periodica dell‟efficacia e dell‟efficienza delle misure di sicurezza
8- Predisposizione di policy e di procedure
9- Formazione e informazione interna
Il documento (Newsletter numero 37 del Marzo 2012) dovrebbe essere disponibile sul sito di Protiviti:
- http://www.protiviti.it/it-IT/Pagine/Newsletter-di-Protiviti-Italia.aspx
Forse l'approccio non è così nuovo, ma è importante capire su cosa si basa: i social media, oggi, non possono essere ignorati dalle imprese, ma questi introducono nuovi fattori di vulnerabilità e di rischio che devono essere trattati. La tesi del documento è quindi che "cresce pertanto l‟esigenza di dotarsi di un modello di governo dell„utilizzo dei Social Media, che consenta di trarne i maggiori benefici, ma anche di minimizzare gli impatti negativi, soprattutto perché non sempre direttamente identificabili".
I rischi vengono suddivisi in due famiglie: "Rischi derivanti dalla partecipazione consapevole dell'azienda in ambito Social Media" e "Rischi derivanti dalla presenza non gestita da parte dell'azienda in ambito Social Media".
Infine, viene proposto un modello di intervento, certamente banale nella sua formulazione teorica, ma sicuramente complesso nella sua applicazione. Vale la pena ricordarne le fasi più significative:
1- Individuazione degli obiettivi e finalità dei Social Media nel contesto della realtà aziendale
2- Valutazione dei profili di rischio di sicurezza
3- Gestione della sicurezza delle informazioni
4- Individuazione delle responsabilità
5- Gestione dei flussi comunicativi e decisionali
6- Tutela dell'immagine aziendale, tramite la definizione di un processo di monitoraggio
7- Valutazione periodica dell‟efficacia e dell‟efficienza delle misure di sicurezza
8- Predisposizione di policy e di procedure
9- Formazione e informazione interna
Il documento (Newsletter numero 37 del Marzo 2012) dovrebbe essere disponibile sul sito di Protiviti:
- http://www.protiviti.it/it-IT/Pagine/Newsletter-di-Protiviti-Italia.aspx
Iscriviti a:
Post (Atom)