SCADA e Ufficio acquisti

Sul gruppo LinkedIn Italian Security Professional è stata lanciata una discussione sugli SCADA, ossia sui sistemi industriali, prendendo lo spunto dalla presentazione di Alessio L.R. Pennasilico e Cristiano Cafferata al Security Summit di Milano 2014 dal titolo " Quando il frigorifero inizia ad inviare Phishing, forse andrebbe rivalutata la strategia di security":

- https://www.securitysummit.it/milano-2014/atti/atti-20-marzo/

Ci tengo a copiare e incollare un ottimo intervento che condivido al 100% (sarà che in questo periodo sono coinvolto in un paio di attività in ambienti manifatturieri):

<< 

1) Bisogna lavorare sul procurement. Gli apparati e i sistemi devono rispondere a requisiti di sicurezza. Corretto prendersela con produttori poco attenti e sensibili, ma ancor peggio c'è chi questi apparati li compra. Anni fa l'ignoranza era una buona scusa, ora non più

2) Se non si possono fare modifiche, il cliente dovrebbe valutare il costo/beneficio di passare a soluzioni più sicure, se non subito, al prossimo upgrade tecnologico. Informerei il vendor e il venditore, anche se questo potrebbe portare a poco.

Il settore dovrebbe lavorare su standard specifici, in modo da "certificare" i prodotti compliant e aiutare gli operatori nella scelta. C'è ancora MOLTA strada da fare.

>> 

E una risposta a questo commento è anch'essa molto interessante (parafraso un poco):

<< 

E' vero: il procurement va citato, ma se non ha delle linee guida in materia di sicurezza, beh, il "fallo" è dietro l'angolo.

>> 

Dlgs 21/2014 - Contratti a distanza e Codice del consumo

Da Altalex segnalo le modifiche al Codice del consumo per quanto riguarda i contratti a distanza introdotti dal Dlgs 21/2014 di recepimento della Direttiva Europea 2011/83/UE:

- http://www.altalex.com/index.php?idu=264948&cmd5=021c46ab76df2fd7050bbc8c56ed7fe1&idnot=66790

In sintesi e copiando quanto riportato da Altalex, e ricordando che l'informativa precontrattuale comprende tutte le clausole da prevedere anche negli acquisti Internet, le maggiori novità sono:

- obbligo di informativa precontrattuale più gravoso rispetto al precedente e di forma scritta;

- diritto di ripensamento: il consumatore può recedere dall'acquisto entro 14 giorni ma se l'informativa è incompleta ha 12 mesi;

- restituzione del prodotto: il consumatore ha la possibilità di restituire il prodotto, anche se deteriorato.

L'articolo di Filodiritto è più esaustivo:

- http://www.filodiritto.com/contratti-tra-consumatori-e-professionisti-litalia-recepisce-la-direttiva-europea-e-modifica-il-codice-del-consumo/

Stato Regolamento europeo privacy

Da Filodiritto segnalo questo articolo sul Regolamento in materia di protezione dei dati personali:

- www.filodiritto.com/parlamento-europeo-approvato-in-prima-lettura-il-nuovo-regolamento-in-materia-di-protezione-dei-dati-personali

In sintesi, c'eravamo quasi, ma il Parlamento è in scadenza e passerà la pratica al futuro (elezioni in Italia il 25 maggio). Ricordo che l'UK sta spingendo per posticipare il più possibile l'approvazione di questo provvedimento.

Password sempre necessarie?

Da una discussione sul gruppo LinkedIn "Italian Security Professional", trovo
questo interessantissimo intervento di Luca Savoldi che permette di riflettere
sulla necessità o meno delle password. La conclusione, mia, è ovvia: sono
sempre necessarie, ma ci possono essere alcune limitate e controllate
eccezioni.

<<
Dimostrazione che anche l'IT e la sicurezza IT, se non pensata
per l'ambiente industriale, può essere pericolosa. La regola fondamentale e
imprescindibile in ambienti SCADA è che la Security (IT) deve supportare la
Safety e quindi i sistemi di Safety.

In una sala controllo di un importante
raffineria si conclude l'audit di importante ente inglese che si occupa di dare
la valutazione agli impianti industriali. Viene assegnato un bollone rosso
perché le postazioni della sala controllo non rispettano le policy di sicurezza
per le password degli account di dominio (nominale, 7 o 11 caratteri,
maiuscola, numero, carattere speciale, logoff automatico).

Con quale criterio
si può pensare di assegnare una simile policy ad una postazione la cui priorità
è l'accessibilità in caso di emergenza?

La sala controllo ha un controllo
accessi con badge nominale e riconoscimento visivo. Solo 10 persone possono
entrare. L'interno è ovviamente videosorvegliato. Per cui chi è dentro ad
operare è un operatore riconosciuto.

Pensate se per caso succede un'emergenza
e bisogna premere il comando di apertura o chiusura di una valvola per impedire
un esplosione. Bisogna intervenire in tempi rapidissimi. E se nel momento di
panico l'operatore non riesce a digitare la sua password? o se sviene e deve
intervenire il collega sulla sua postazione?
<<

Regolamento Agcom diritto d'autore online

Dal 31 marzo è entrato in vigore il Regolamento Agcom per la tutela del
Diritto d'autore online.
-
http://www.marchiebrevettiweb.it/29-diritto-di-autore/2397-entra-in-vigore-o
ggi-il-regolamento-per-la-tutela-del-diritto-d-autore-online.html

Esso prevede che i soggetti titolari o licenziatari di un diritto d'autore
possano segnalare all'Autorità le violazioni avvenute via Internet. Per
questo è a disposizione il sito:
- https://www.ddaonline.it

Notizia dal gruppo infotechlegale.it di LinkedIn.

Quaderno su PCI-DSS

Segnalo la pubblicazione del Quaderno Clusit "PCI-DSS: Payment Card
Industry. Data Security Standard" di Fabio Guasconi.

Il quaderno è aggiornato alla versione del PCI-DSS 3.0.

Ottimo per chi vuole cominciare a conoscere questo standard:
- http://clusit.it/download/index.htm

Rapporto Clusit 2014 e atti Security Summit

E' stato pubblicato il Rapporto Clusit 2014 sulla sicurezza informatica in
Italia. Confermo che è molto interessante:
- http://clusit.it/rapportoclusit/

Sono stati anche pubblicati gli atti del Security Summit:
- https://www.securitysummit.it/milano-2014/atti/

Confesso che non ho trovato cose molto interessanti in questi atti. Ma credo
sia un problema del formato "presentazione". Se però qualcuno vuole
segnalare qualcosa che mi sono perso, lo faccia!

Full disclosure mailing list

Questa non la conoscevo, ma sembra fondamentale: una mailing list dove sono
riportate le vulnerabilità dei sistemi informatici:
- http://insecure.org/news/fulldisclosure/

Notizia tratta dal SANS NewsBites.

UNI CEI ISO/IEC 27001:2014

E' stata pubblicata la traduzione italiana della ISO/IEC 27001:2013.
Ahimè... non ce l'abbiamo fatta a pubblicarla con data 2013!

La trovate su http://store.uni.com.

Direttiva UE Network and Information Security (NIS)

Massimo Cottafavi di Security Reply mi ha segnalato questo articolo sulla
Direttiva Europea "Network and Information Security (NIS)":
-
http://www.networkworld.com/news/2014/031314-new-eu-cybersecurity-law-avoids
-279681.html

Massimo mi fornisce già un commento che copio e incollo: "Interessante
l'estensione dell'obbligo di data brech alle infrastrutture critiche anche
se ancora oggi questo termine viene utilizzato in modo improprio e con un
focus "parziale" rispetto a quelle che nella realtà potrebbero essere
considerate infrastrutture critiche. Da vedere poi i tempi di recepimento
della Direttiva a livello nazionale…".

Infatti, si intendono come strutture critiche solo quelle previste dal Dlgs
61 del 2011 (energia e trasporti); gli operatori di telecomunicazione non
sono ritenuti infrastrutture critiche (nel 2014!).

Attacco a Target e uso scorretto dei controlli di sicurezza

Dal SANS NewsBites segnalo un articolo in merito all'attacco alla Target, un
fornitore di servizi collegati alle carte di credito:
-
http://www.businessweek.com/articles/2014-03-13/target-missed-alarms-in-epic
-hack-of-credit-card-data#p1

L'attacco alla Target è avvenuto a fine 2013 e la notizia è stata pubblicata
da molte parti. Non mi dilungo, ma ricordo solo che dei malintenzionati sono
riusciti a rubare 40 milioni di numeri di carte di credito.

La cosa interessante, a mio parere, è soprattutto questa: Target aveva
superato l'audit PCI per gestire i dati delle carte di credito e aveva
installato il prodotto FireEye (da affiancare ad un prodotto Symantec) per
rilevare malware sui propri sistemi. Il prodotto FireEye era costato 1,6
milioni di dollari e ha funzionato: quando i malintenzionati avevano
installato il malware sui server della Target per poi recuperare i numeri di
carte di credito, FireEye ha lanciato allarmi al SOC e... nessuno ne ha
fatto nulla.

Qui si sono sommate due pratiche nefaste:
- certificarsi per avere il pezzo di carta e avviare progetti solo per dare
prove agli auditor (tra l'altro, allo stesso costo del miglioramento reale,
perché 1,6 milioni di dollari non sono uno scherzo);
- acquistare e, forse, installare prodotti (a costo elevato) e non pensare
ai processi.

Temo che, come sempre, nessuno imparerà la lezione.

Prossimi appuntamenti

Il giovedì 20 marzo parlo al Security Summit di Milano, con Fabio Guasconi,
di "Le nuove norme della famiglia 27000":
- https://www.securitysummit.it/milano-2014/

Il 5 giugno organizzo, come membro del Consiglio direttivo di DFA
(www.perfezionisti.it), alla Statale di Milano, il DFA Open Day 2014 su
questi due argomenti:
- OSINT e Investigazioni Digitali
- Security e Incident Response aziendale
Maggiori informazioni saranno date nei prossimi mesi.

Presentazione audit

Il 27 febbraio ho tenuto una lezione sugli audit presso la Facoltà di
giurisprudenza dell'Università statale di Milano per il modulo "Le ispezioni
e gli accertamenti del Garante: modalità di svolgimento, sanzioni comminate
e strategie di difesa " del Corso di perfezionamento in privacy e data
protection:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2014-Audit.pdf

La pagina web da cui scaricarla:
- http://www.cesaregallotti.it/Pubblicazioni.html

Progettazione, ingegnerizzazione e sviluppo (ossia, "Parole")

A febbraio mi ero chiesto e avevo chiesto quali fossero le differenze tra
progettazione (design) e ingegnerizzazione (engineering):
- http://blog.cesaregallotti.it/2014/02/principi-di-sicurezza-per.html

Premetto che, in effetti, non avevo dubbi tra progettazione e
ingegnerizzazione, ma tra sviluppo (development) e ingegnerizzazione.
Scrivendo mi sono confuso (era S. Valentino...), ma poi le risposte di
Andrea Rui e Fabrizio Monteleone (DNV GL) mi hanno segnalato l'errore.

Fabrizio Monteleone mi ha anche ricordato che " la progettazione equivale a
ideare un prodotto sulla base di requisiti; l'ingegnerizzazione significa
cercare il miglior modo di realizzarlo (quali pezzi usare, possibilità di
riutilizzare cose di un prodotto simile, futura manutenzione, ....) prima di
poter rilasciare il progetto per la produzione". In poche parole:
"l'ingegneria del software cerca di fornire le regole per il processo di
produzione e quindi le regole di ingegnerizzazione sicura e le regole di
sviluppo sicuro sono la stessa cosa".

Altri, a cui ho confidato il medesimo dubbio, la pensano più o meno allo
stesso modo, ma usano il termine "sviluppo" solo per la realizzazione del
software, ossia per la codifica. Usano il termine "ingegnerizzazione" per
modellare sistemi, oggetti e database. Loro potrebbero ingegnerizzare senza
sviluppare. Non ho approfondito oltre, ma sicuramente dovranno configurare
dei sistemi per produrre il servizio ingegnerizzato.

Per Andrea Rui (e anche per la ISO 9001, che differenzia "progettazione e
sviluppo" e "realizzazione"), invece "lo sviluppo è quella fase che ti
porta dalle specifiche al prototipo; l'ingegnerizzazione è quella fase che
ti porta da questo al prodotto finale".

Rileggendo la NIST SP 800-27, vedo che i principi di ingegnerizzazione si
applicano a tutte le fasi del ciclo di vita di un sistema: initiation,
sviluppo o acquisizione, test e installazione, conduzione e manutenzione,
eliminazione.

Riassumendo: per Fabrizio Monteleone prima si ha la progettazione, poi
l'ingegnerizzazione e infine lo sviluppo; per Andrea Rui prima si ha la
progettazione, poi lo sviluppo e infine l'ingegnerizzazione; per la NIST SP
800-27, l'ingegnerizzazione comprende la progettazione e lo sviluppo.

Questo dimostra ancora una volta come in informatica sia opportuno
condividere per bene i termini con i propri interlocutori, perché ciascuno
potrebbe utilizzarli in modi diversi. Per esperienza, quando chiedo
spiegazioni sull'uso di certi termini, mi guardano come se fossi uno
sciocco, quando sono invece loro che non hanno idea di cosa succede al di
fuori del loro piccolo mondo. Citando Andrea Rui: " sui termini occorre
spesso fare delle mappature tra i diversi significati attribuiti da enti
diversi e dai diversi contesti d'uso (insomma, occorre introdurre i
namespaces!)".

Per concludere, cito ancora Andrea Rui che mi ha ribadito dei concetti
fondamentali, a prescindere dalla terminologia utilizzata: "trattandosi di
fasi distinte, a cui lavorano figure e persone diverse attraverso attività
diverse, occorre che per ciascuna siano analizzati i rischi e definite le
appropriate misure di sicurezza da adottare; inizialmente occorre
identificare i requisiti di sicurezza legati alle caratteristiche e
funzionalità; per quanto riguarda la realizzazione, occorre identificare a
priori tutti i requisiti di sicurezza che il processo di realizzazione
(analisi, sviluppo, ecc.) deve avere per assicurare che il processo di
gestione del ciclo di vita del prodotto non limiti o riduca la sicurezza
progettata".

Malware The Mask

Da Crypto-Gram rilancio la notizia dell'individuazione di un nuovo malware
APT detto The Mask:
- http://www.wired.com/threatlevel/2014/02/mask/

Sembra che questo malware sia usato da 7 anni per spiare agenzie governative
soprattutto in Marocco e Brasile.

Standard ETSI per accessibilità

Da UNINFO ricevo la notizia della pubblicazione di alcuni nuovi standard
ETSI relativi all'accessibilità dei prodotti ICT. Il comunicato stampa, con
link alla pagina dove trovare gli standard:
- http://www.cencenelec.eu/News/Press_Releases/Pages/PR-2014-03.aspx

In particolare è stato pubblicato lo standard EN 301 549 dal titolo "
Accessibility requirements suitable for public procurement of ICT products
and services in Europe". Lo standard riporta molti requisiti tecnici per
rendere accessibili gli strumenti ICT a tutti.

Libertà di link

Segnalo questo articolo di Filodiritto dal titolo " Corte di Giustizia:
libero link in libera rete, purché verso contenuti liberamente disponibili
nel sito linkato":
-
http://www.filodiritto.com/corte-di-giustizia-libero-link-in-libera-rete-pur
che-verso-contenuti-liberamente-disponibili-nel-sito-linkato

In sintesi: " Un sito internet può contenere al suo interno diversi "link"
(collegamenti internet) con cui rinvia a opere protette dal diritto
d'autore, liberamente accessibili in altri siti, senza il consenso dei
titolari del diritto".

Meno male: sono anni che lo faccio sul blog e sulla newsletter e non mi era
mai sorto il dubbio di commettere reato. Infatti non lo facevo, ma ora ne ho
la conferma al 100%.

ATM e dispositivi medici

Sul SANS NewsBites del 18 febbraio ci sono due notizie a mio parere
collegate.

La prima riguarda gli ATM (ossia i Bancomat): in un Paese ignoto, dei
malfattori sono riusciti a manomettere gli ATM e, inserendo una chiave USB,
ottenere i soldi:
-
http://www.darkreading.com/attacks-breaches/criminals-control-cash-out-banks
-atm-mac/240166070

La seconda i dispositivi medici negli ospedali: il US Department of Health
and Human Services (HHS) Office of Inspector General (OIG) ha deciso di
effettuare degli audit presso gli ospedali per verificare se i loro
dispositivi sono configurati per garantire un adeguato livello di sicurezza
ai dati dei pazienti:
-
http://www.govinfosecurity.com/oig-to-review-medical-device-security-a-6490

Cosa hanno in comune queste due notizie? Traduco liberamente e modifico un
poco il commento sul caso degli ATM di Murray, editor del SANS NewsBites:
"un tempo questi dispositivi erano solidi, presso dei locali controllati,
utilizzavano del software proprietario ad hoc, con reti e protocolli ad hoc,
condotti e gestiti dall'ente stesso. Oggi questi dispositivi sono come degli
elettrodomestici, siti in locali non sempre controllati, con software
solitamente installato su Windows, su reti e protocolli pubblici, condotti e
gestiti da terze parti. Questo ha fatto aumentare le possibilità di attacco
e le vulnerabilità; le notizie sugli attacchi possono essere drammatiche, ma
non sorprendenti".

Qui, a mio parere, è sottintesa un'altra conclusione. Provo a riassumerla,
insieme all'ipotesi: "sono cambiate le architetture dei dispositivi e i loro
interfacciamenti, ma produttori, installatori, manutentori e utilizzatori
continuano a progettarli, installarli, mantenerli e usarli come se ciò non
fosse mai successo".

ISO/IEC 27000:2014 (errata corrige)

Avevo precedentemente annunciato la pubblicazione della ISO/IEC 27000:2012,
ma volevo annunciare la pubblicazione della versione del 2014. Grazie a
Franco Ruggieri e Fabio Guasconi per avermi avvisato per primi.

Mi scuso con tutti e confermo che la norma si può trovare a questo link:
- http://standards.iso.org/ittf/PubliclyAvailableStandards/

Ragazzi in rete

I ragazzi, come recentemente si è letto sulle prime pagine dei giornali, si
suicidano a causa del cyberbullismo:
-
http://www.corriere.it/cronache/14_febbraio_12/cerca-aiuto-online-ma-insulta
no-suicida-14-anni-c48f9e5a-93a8-11e3-84f1-d7c36ce692b4.shtml

Queste notizie non possono non turbarci.

Stefano Ramacciotti, Coordinatore GdL Educazione alla Sicurezza Informatica
per (ISC)2 Italy Chapter, ha inviato ai soci di (ISC)2 dei link
interessanti.

EU Kids Online, un'indagine effettuata a partire dal 2009 su incarico della
Commissione Europea in 25 paesi dell'Unione, con l'obiettivo di conoscere
cosa fanno i ragazzi in rete e il livello di competenza nell'utilizzo delle
TIC ha coinvolto 25.000 giovani dai 9 ai 16 anni e i genitori. Il report è
disponibile al link:
http://www.lse.ac.uk/media@lse/research/EUKidsOnline/EU%20Kids%20III/Reports
/PerspectivesReport.pdf

A guide for parents. Education and new media:
http://www.saferinternetday.org/c/document_library/get_file?uuid=15f5f3ac-e6
bb-4760-b6b0-eb4ca46a9829&groupId=10136

The Web We Want:
http://www.saferinternet.org/c/document_library/get_file?uuid=10c06ff7-9263-
4996-a7d3-116340b9fe6f&groupId=10137

US Government's Cybersecurity-Framework

Preannunciato dal SANS NewsBites, è stato pubblicato il US Government's
Cybersecurity Framework e lo si trova a questa pagina:
- http://www.nist.gov/cyberframework/

Ho cercato di capire di cosa si tratta. Riducendo al massimo, mi pare dica:
fate un risk assessment e stabilite quali funzioni di sicurezza applicare.
Mi ricorda un po' troppo la ISO/IEC 27001, se non che la descrizione delle
misure di sicurezza si riduce a circa 100 titoli.

Per la verità, per ciascun titolo sono riportati i documenti dove la
funzione è meglio descritta (CCS CSC, COBIT 5, ISA 62443-2-1:2009, ISA
62443-3-3:2013, ISO/IEC 27001:2013 e NIST SP 800-53 Rev. 4). Ma allora che
serve avere un nuovo elenco di misure (o controlli, o funzioni) di
sicurezza?

Un po' interessante è la suddivisione delle misure in 5 famiglie:
identificazione, protezione, rilevazione, risposta e ripristino.

Un altro aspetto interessante è la possibilità di stabilire il livello
(Tiers) di attuazione del framework, sulla base di valutazioni del processo
di risk managment, integrazione del programma di risk management e di
partecipazione di entità esterne. La descrizione dei livelli è ridotta
poche righe e mi pare un po' poco.

Se qualcuno vuole segnalare posizioni diverse è il benvenuto.

Principi di sicurezza per l'ingegnerizzazione IT

Lo confesso: di fronte al controllo A.14.2.5 "Principi per l'ingegnerizzazione sicura dei sistemi" della ISO/IEC 27001:2013 sono rimasto perplesso perché non capivo in cosa differisse dal controllo A.14.1.1 "Analisi e specifica dei requisiti per la sicurezza delle informazioni".

Ho trovato la SP800-27, meraviglioso documento del NIST dal titolo "Engineering Principles for Information Technology Security (A Baseline for Achieving Security)":
- http://csrc.nist.gov/publications/PubsSPs.html

Lo trovo molto interessante, anche se continuo a non capire quali possano essere le differenze tra "specificare i requisiti di sicurezza" e "applicare principi di ingegnerizzazione sicura". Non capisco neanche quali siano le differenze tra progettazione (design) e ingegnerizzazione. Forse qualche lettore mi aiuterà...

Un errore di battitura ed ecco il malware!

Dal SANS NewsBytes segnalo questa notizia sugli errori di programmazione:
- http://www.bbc.co.uk/news/technology-26016802

In breve: sui siti del National Health Service del UK alcuni link
rimandavano a siti pubblicitari o infestati da malware perché il
programmatore aveva scritto Googleaspis al posto di Googleapis. Mi chiedo
come abbiano fatto i test, ma questo caso rimane molto utile per ricordare
come la programmazione sia un lavoro molto delicato.

Phishing alla CNN

Questo caso mi sembra interessante da analizzare (dal SANS NewsBites):
-
http://www.darkreading.com/attacks-breaches/report-phishing-attacks-enabled-
sea-to-c/240165675

In sintesi:
- le spie siriane (SEA) hanno inviato messaggi di phishing ben fatti al
personale CNN;
- una persona di CNN ha creduto al messaggio e si è connessa con la propria
user-id e password ad un sito fasullo;
- quelli della SEA hanno quindi usato il suo account per inviare tweet e
post sul blog della CNN;
- la SEA ha usato il suo account anche per inviare altri messaggi di
phishing; 5 nuove persone ci hanno creduto e hanno fornito le proprie
credenziali al sito fasullo della SEA.

ISO/IEC 27000:2014

E' stata pubblicata la ISO/IEC 27000:2014 dal titolo "Information security
management systems — Overview and vocabulary". In poche parole, si tratta
delle definizioni delle norme della famiglia ISO/IEC 27000.

La norma è disponibile gratuitamente dall'URL:
- http://standards.iso.org/ittf/PubliclyAvailableStandards/

Sono anche disponibili le versioni del 2009 e del 2012, ma, ovviamente, sono superate.

NIST SP 800-53 rev 4.1

Il NIST ha annuciato la pubblicazione della rev 4.1 della Special
Publication 800-53 dal titolo "Security and Privacy Controls for Federal
Information Systems and Organizations".

Si tratta di un bel malloppone di 460 pagine; le prime 157 sono di
introduzione, mentre le restanti riportano il catalogo di misure di
sicurezza.

Interessante è la messa a disposizione di un file xml delle 4.124 misure di
sicurezza, che può quindi essere utilizzato per check list o altro.
Certamente, 4.124 misure sono tante!

Il link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-53

Creative Commons 4.0

Le Creative Commons sono licenze per chi desidera condividere i propri
lavori con "alcuni diritti riservati". Per saperne di più:
- http://www.creativecommons.it/

A novembre 2013 sono state aggiornate alla versione 4.0. Potete trovare le
novità sia sul sito italiano appena citato, sia qui:
- http://creativecommons.org/Version4

Ahimè... dovrò cambiare blog, sito e newsletter...

Le 25 peggiori password del 2013

Da gruppo Italian Security Professional di LinkedIn rilancio la notizia
della pubblicazione del rapporto "Worst Passwords of 2013".

Il rapporto originale è qui, con una brevissima descrizione del metodo
utilizzato:
- http://splashdata.com/press/worstpasswords2013.htm

La traduzione in italiano, con una comparazione dettagliata della lista del
2012 con quella del 2013:
- http://www.techeconomy.it/2014/01/22/le-peggiori-password-del-2013-e-come-scegliere-quella-giusta/

Direttiva e-commerce

La Direttiva Europea 2011/83 sui sui diritti dei consumatori è stata
recepita dal'Italia con Decreto Legislativo del 3 dicembre 2013. Purtroppo,
questo D. Lgs. non è stato ancora pubblicato in Gazzetta Ufficiale.

Esso è importante perché modifica il Codice del Consumo (Decreto Legislativo
206/2005) soprattutto nelle parti relative ai contratti a distanza ossia, se
vogliamo usare l'inglese, all'e-commerce.

Appena ne avrò la notizia, provvederò a segnalare i riferimenti esatti del
Decreto. Per intanto, segnalo l'interessante articolo di Filodiritto, in cui
sono sintetizzate le novità (piuttosto impegnative per i venditori):
-
http://www.filodiritto.com/governo-recepimento-direttiva-e-commerce-maggiori
-tutele-per-i-consumatori-che-acquistano-online/

Attenzione che, secondo le ultime notizie, le nuove disposizioni entreranno
in vigore dal 13 giugno 2014.

5 metodi per costruire una cultura di sicurezza

Segnalo questo interessante articolo dal titolo "5 Solid Ways to Build
Security Culture in Your Organization (That You Probably Never Heard Of)":
-
http://infosecisland.com/blogview/23577-5-Solid-Ways-to-Build-Security-Cultu
re-in-Your-Organization-That-You-Probably-Never-Heard-Of.html

I metodi sono i seguenti:
- insegnare alle persone a non dire NO,
- lasciar perdere i messaggi paranoici e sulle minacce,
- perseguire la felicità,
- discoraggiare la socializzazione,
- incoraggiare le camminate.

Come si vede dai titoli, sono argomenti nuovi e non abusati. Vale la pena
approfondirli, anche per discuterne.

UNI/PdR 6:2014 sulle infrastrutture critiche

Franco Ferrari di DNV GL Italia mi ha segnalato la pubblicazione, il 16
gennaio, della prassi di riferimento UNI/PdR 6:2014 dal titolo "
Infrastrutture Critiche - Sistema di gestione della resilienza - Requisiti".

Comunicato ufficiale e documento completo in pdf si trovano sul sito di
aipsa e di UNI:
-
http://www.uni.com/index.php?option=com_content&view=article&id=2596:sistema
-di-gestione-della-resilienza-delle-infrastrutture-critiche-pubblicata-la-pr
assi-di-riferimento&catid=111&Itemid=546
-
http://www.aipsa.it/in-evidenza/tavolo-unipdr-tutela-delle-infrastrutture-cr
itiche-ratifica-e-pubblicazione-unipdr-62014/

E-book "Grazie mr. Snowden"

Giusto giusto il mese scorso avevo detto che non mi sono occupato di
Snowden, NSA, PRISM e compagnia.

Continuerò a non farlo, ma Sandro Sanna mi ha segnalato questo e-book
gratuito indirizzato a chi avesse perso qualche puntata della saga:
-
http://messaggeroveneto.gelocal.it/cronaca/2014/01/17/news/grazie-mr-snowden
-scarica-gratis-l-e-book-di-fabio-chiusi-1.8486390

Microsoft Security Intelligence Report 15

Dal gruppo infotechlegale.it di LinkedIn vedo che Microsoft ha pubblicato il
suo "Microsoft Security Intelligence Report", relativo al periodo
gennaio-giugno 2013.

Come molti altri report, presenta molti esempi e casi registrati da
Microsoft, con indicazioni su come sono stati trattati:
- http://www.microsoft.com/security/sir/default.aspx

Annex SL o Annex JC o MSS HLS?

Come già detto altrove, la ISO ha promosso uno schema unico per scrivere gli
standard relativi ai sistemi di gestione.

Al momento, sono stati pubblicati sei standard aderenti allo schema unico:
ISO 30301, ISO 22301, ISO 20121, ISO 39001, ISO 14298 e ISO 27001. Nove
standard sono in fase di redazione e aderenti allo schema: ISO 9001, ISO
14001, ISO 18420, ISO 19228, ISO 19600, ISO 21101, ISO 34001, ISO 37101, ISO
55001).

Lo schema unico ha un titolo: "High level structure, identical core text,
common terms and core definitions" ed è parte dell'Annex SL delle "ISO/IEC
Directives, Part 1 - Consolidated ISO Supplement — Procedures specific to
ISO".

L'ISO/IEC ha emesso le nuove direttive del 2014 specifiche per il JTC 1 (quelle appena ricordate sono specifiche per ISO), comitato a cui fanno riferimento le attività congiunte ISO e IEC, incluse quelle dedicate alla ISO/IEC 27001. Anche in queste direttive è riportata la "High level structure, identical core text, common terms and core definitions", ma nell'Annex JC!.

Ottimo... da oggi lo chiamerò, come fanno in molti, MSS HLS (Management
system standards - High level structure)

Le backdoor dell'NSA

Dal gruppo Italian security professional di LinkedIn segnalo questi due
articoli del Der Spiegel:
-
http://www.spiegel.de/international/world/the-nsa-uses-powerful-toolbox-in-e
ffort-to-spy-on-global-networks-a-940969.html
-
http://www.spiegel.de/international/world/catalog-reveals-nsa-has-back-doors
-for-numerous-devices-a-940994.html

In pochissime parole, sembra che l'NSA disponesse di un gruppo (TAO), che a
sua volta utilizzava le tecnologie messe a disposizione dal gruppo ANT, per
compromettere qualsiasi tipo di dispositivo. In particolare, sembra che
l'ANT avesse pubblicato un catalogo in cui apparivano più o meno tutte le
marche dei prodotti di gestione delle reti informatiche.

Da una parte è certamente inquietante che i servizi di spionaggio degli USA
possano accedere a qualsiasi tipo di dispositivo e intercettare quasi ogni
comunicazione (ma quando guardiamo certi telefilm come Person of Interest ne
siamo affascinati!). Io confesso di essere più turbato dal fatto che se lo
possono fare gli USA, lo possono fare anche gli altri.

Per i fan del genere, anche le linee intercontinentali di comunicazione
erano spiate:
-
http://www.repubblica.it/tecnologia/2013/12/30/news/datagate_nsa_cavo_sottom
arino_piratato-74789471/

Attacchi DDoS via NTP

SANS NewsBites riporta la notizia dell'aumento di attacchi DDoS basati su
una vulnerabilità del Network Time Protocol (NTP):
-
http://www.darkreading.com/attacks-breaches/attackers-wage-network-time-prot
ocol-bas/240165063
- https://isc.sans.edu/forums/diary/NTP+reflection+attack/17300

Il problema del NTP è che spesso viene configurato dagli sviluppatori e
dagli amministratori di rete e poi dimenticato. Quindi, le vulnerabilità
sono ignorate da produttori e utilizzatori.

Questo ricorda la necessità di tenersi sempre aggiornati sui prodotti che si
usano.

Attacco a OpenSSL

La notizia di Capodanno, ricevuta dal SANS NewsBites, è l'attacco al sito di
OpenSSL:
-
http://arstechnica.com/security/2014/01/openssl-site-defacement-involving-hy
pervisor-hack-rattles-nerves/

La cosa interessante è il comunicato finale del 29 dicembre, in cui si dice
che l'attacco ha sfruttato una password debole utilizzata per l'accesso
all'hypervisor:
- http://www.openssl.org/news/secadv_hack.txt

Insomma: il solito caro vecchio errore nella gestione delle password!

Privacy e call center extra-UE (riflessioni - parte 2 con errata corrige)

In merito ai call-center Extra-UE ho scritto un post e una riflessione nei
mesi scorsi:
- http://blog.cesaregallotti.it/2013/10/privacy-e-call-center-extra-ue.html
- http://blog.cesaregallotti.it/2013/12/privacy-e-call-center-extra-ue.html

Giuseppe Bava di ASPErience mi ha fatto notare che ho fatto un errore e lo
ringrazio.

In particolare, dicevo che il provvedimento si applica "a tutti i soggetti
che svolgono in qualità di titolare del trattamento un'attività di call
center in maniera prevalente". In realtà ciò non è vero.

Giuseppe mi ha segnalato che, nel Provvedimento, inizialmente il Garante
richiama una circolare del Ministero del lavoro e delle politiche sociali,
dedicata alle "aziende che svolgono in via assolutamente prevalente
un'attività di call center", ma poi dice che le sue disposizioni sono
rivolte a tutte le aziende, INDIPENDENTEMENTE dalla prevalenza o meno
dell'attività di call center.

Privacy e call center extra-UE (riflessioni)

A fine ottobre avevo segnalato il Provvedimento del Garante relativo ai
call center siti in Paesi extra-UE:
- http://blog.cesaregallotti.it/2013/10/privacy-e-call-center-extra-ue.html

Alessandro Alberici di Econocomm mi ha però fatto notare che questo
Provvedimento pone dei problemi. In particolare, esso si applica "a tutti i
soggetti [...]che svolgono in qualità di titolare del trattamento
[...]un'attività di call center [...] in maniera prevalente". Quindi, se una
società vende pc e l'assistenza telefonica è offerta da personale extra-UE,
questo Provvedimento non si applica?

Io direi di sì, ma vorrei capire se ci sono posizioni diverse.

Studi sicurezza apps

Più o meno in contemporanea ho ricevuto notizia di due studi sulla sicurezza
dei sistemi di pagamento delle app per dispositivi mobili.

Il primo è stato segnalato da Enzo Ascione di Intesa Sanpaolo e riguarda la
bozza di raccomandazioni della Banca Centrale Europea dal titolo
"Recommendations for the security of mobile payments". Riguarda i pagamenti
in mobilità in generale, ma le app sono ovviamente il tema più approfondito.

La pagina da dove si può scaricare la bozza sembra nascondere il documento;
si trova a destra piccino piccino e ha il titolo "Draft recommendation":
- http://www.ecb.europa.eu/press/pr/date/2013/html/pr131120.en.html

Il secondo, segnalato dal Clusit Group di LinkedIn, è uno studio del Joint
Research Centre of European Commission (JRC) dal titolo The MobiLeak.
Segnalo la tesi di Pasquale Stirparo, collegata allo studio, dal titolo
"MobiLeak: A System for Detecting and Preventing Security and Privacy
Violations in Mobile Applications":
- http://kth.diva-portal.org/smash/record.jsf?searchId=1&pid=diva2:664617

L'intervista a Pasquale è decisamente interessante:
http://www.agendadigitale.eu/ecommerce/574_quanti-buchi-nelle-app-delle-banc
he-lo-studio-ue.htm

ENISA Threat Landscape 2013

Dal gruppo LinkedIn Italian Security Professional, ricevo notizia della
pubblicazione del "ENISA Threat Landscape 2013 - Overview of current and
emerging cyber-threats":
-
https://www.enisa.europa.eu/activities/risk-management/evolving-threat-envir
onment/enisa-threat-landscape-2013-overview-of-current-and-emerging-cyber-th
reats

La segnalazione è accompagnata dal seguente articolo riassuntivo:
-
http://securityaffairs.co/wordpress/20423/cyber-crime/enisa-threat-landscape
-2013.html

Lettura decisamente interessante, che suggerisco.

ISO/IEC 20000 parte 5 e 10

Franco Ferrari del DNV Italia mi ha segnalato la pubblicazione della ISO/IEC
TR 20000-5 dal titolo " Exemplar implementation plan for ISO/IEC 20000-1".

Propone un approccio a fasi per attuare i requisiti della ISO/IEC 20000-1.
Può essere una lettura interessante, anche se ciascuno dovrebbe sviluppare
un approccio secondo le caratteristiche dell'organizzazione in cui si vuole
attuare la ISO/IEC 20000-1.

Per chi dovesse avere già la versione del 2011, l'introduzione della nuova
versione dice che l'aggiornamento ha riguardato solo l'allineamento alla
versione del 2011 della ISO/IEC 20000-1, anche se è stata aggiunta
un'appendice di 12 pagine dal titolo "Templates".

La ISO/IEC 20000-10 dal titolo "Concepts and terminology" è invece alla
prima edizione e riporta le definizioni comuni delle norme della serie
ISO/IEC 20000, alcune considerazioni in merito, una descrizione degli altri
standard della stessa famiglia, oltre a quelli ad essi collegati (tra cui la
27001).

2013 Horizon Scan Report

Un'altra ricerca sulle minacce. Questa è proposta dal The Business
Continuity Institute con il BSI:
- http://www.thebci.org/index.php/download-the-2013-horizon-scan-report

Essa è basata sulle percezioni dei partecipanti ed è possibile parteciparvi
accedendo dalla home page del BCI (http://www.thebci.org/)

Attaccata la wi-fi del Parlamento Europeo

Dal SANS NewsBites giro la seguente notizia. La wi-fi del Parlamento Europeo
è stata attaccata in modo da intercettare le comunicazioni:
-
http://www.zdnet.com/european-parliaments-network-hacked-public-wi-fi-networ
k-shutdown-7000023733/
-
http://news.techworld.com/security/3491268/european-parliament-cuts-wi-fi-af
ter-french-researcher-breaks-into-email-accounts/

Questo per ricordarci quanto le wi-fi siano insicure.

Linee guida 2013 Agid per il Disaster Recovery

L'Agenzia per l'Italia digitale ha pubblicato l'edizione 2013 delle "Linee
guida per il disaster recovery delle pubbliche amministrazioni". Si trovano
a questo indirizzo:
- http://www.digitpa.gov.it/fruibilita-del-dato/continuita-operativa

Il documento è notevole e contiene molte informazioni interessanti.
Certamente è discutibile l'impaginazione e l'ordinamento degli argomenti. In
generale, si trovano molte riflessioni sulle normative in vigore e sono
assenti delle linee guida su come effettuare una Business impact analysis
e/o un Risk assessment. Ci sono però molte altre cose interessanti, anche se
frutto ci copia-incolla o sintesi da altri documenti.

Prassi UNI sulle Infrastrutture Critiche

Franco Ferrari del DNV Italia mi ha segnalato questo articolo dell'UNI dal
titolo " Prassi di riferimento sulle Infrastrutture Critiche: al via la
consultazione pubblica":
-
http://www.uni.com/index.php?option=com_content&view=article&id=2528:prassi-
di-riferimento-sulle-infrastrutture-critiche-al-via-la-consultazione-pubblic
a&catid=111:generale&Itemid=546

Riporto, per comodità, questo breve estratto: "Il documento è strutturato
per essere applicato a organizzazioni, siano esse titolari o gestori di
Infrastrutture Critiche che operano nel settore dell'energia e dei suoi
sottosettori (elettricità, petrolio, gas) e nel settore trasporti e nei suoi
sottosettori, così come indicati nella Direttiva 2008/114/CE del Consiglio
Europeo, ma può essere altresì applicato ad altri settori in cui
l'Infrastruttura Critica potrebbe trovarsi a operare".

Visto che l'IT è un'infrastruttura critica, anche se non (ancora)
riconosciuto come tale dal Dlgs 61 del 2011, la lettura di questo documento
potrebbe essere interessante.

La bozza è scaricabile (per ora):
-
http://www.uni.com/index.php?option=com_content&view=article&id=1354:le-pras
si-di-riferimento&catid=149&Itemid=1439&showall=&limitstart=8

ISO 31004 - Guida alla ISO 31000

Franco Ferrari mi ha segnalato l'uscita della ISO/TR 31004 dal titolo "Risk
management — Guidance for the implementation of ISO 31000".

Francamente, mi sembra strano che esista una guida per una linea guida (la
ISO 31000 ha titolo " Risk management — Principles and guidelines") e, in
effetti, la sua lettura non mi sembra illuminante.

Gran parte di essa (10 pagine su 36) è dedicata a riflessioni sugli 11
principi del risk management e un'altra parte rilevante (8 pagine) è
dedicata al monitoraggio e al riesame del rischio.

ISO Survey 2012

L'ISO ha pubblicato la survey delle certificazioni 2012. Riguarda 9001,
14001, 27001, 13485, 22000, 50001 e 16949. Non ci sono proprio tutti (avrei
voluto avere dei dati anche sulla ISO/IEC 20000), ma già così è
interessante:
- http://www.iso.org/iso/home/standards/certification/iso-survey.htm

La notizia è arrivata via newsletter del DNV (ma senza il link alla pagina
ufficiale dell'ISO!), di cui potete leggere il commento in italiano:
-
http://www.dnvba.com/it/information-resources/news/Pages/ISO-Survey-2012.asp
x

Le condizioni di contratto del cloud computing

Segnalo questo articolo su CINDI dal titolo "Le condizioni di contratto del
cloud computing". Ovviamente molto di più si potrebbe dire sul cloud, ma
trovo inquietanti i risultati dell'analisi proposta... basati solo su 3
elementi contrattuali:
www.cindi.it/le-condizioni-di-contratto-del-cloud-computing

Visto che le linee guida suggeriscono di prevedere più di 3 elementi sul
contratto, non oso immaginare se e come sono gli altri.

Norme ISO: i lavori del ISO/IEC JTC1 SC27 WG3

Stefano Ramacciotti mi ha inviato un aggiornamento sui lavori del WG3 del
Sub Commitee 27 di ISO/IEC JTC1. Esso si occupa dello sviluppo di Security
Evaluation Assurance criteria, ovvero dei criteri di valutazione dei sistemi
informatici (compresi quelli crypto) per mezzo dei quali verificare la
fiducia, in termini di sicurezza, che può essere accordata ai prodotti in
esame.

Tra i principali standard vi sono i Common Criteria (standard ISO/IEC
15408), con la relativa metodologia (ISO/IEC 18045), gli standard a essi
collegati (come l'ISO/IEC 15292 sulle procedure di registrazione dei
Protection profile e l'ISO/IEC TR 15446, per le linee guida relative alla
costruzione di Protection Profiles (PP) e Security Targets (ST)), più altri
standard come l'ISO/IEC 19790 Security requirements for cryptographic
modules che rappresenta l'edizione internazionale dello standard
americano-canadese FIPS 140-2.

Nel corso della conferenza svoltasi a Incheon (Corea del Sud) dal 21 al 25
ottobre u.s., si è parlato soprattutto di:
- ISO/IEC 15408-1:2009 "Information technology -- Security techniques --
Evaluation criteria for IT security -- Part 1: Introduction and general
model": per il quale ne è stata chiesta la pubblicazione.
- ISO/IEC 17825 "Testing methods for the mitigation of non-invasive attack
classes against cryptographic modules": per il quale è stata chiesta la
votazione per il passaggio a CD.
- ISO/IEC 18045:2008 "Information technology -- Security techniques --
Methodology for IT security evaluation": per il quale ne è stata chiesta la
pubblicazione.
- ISO/IEC TR 19791:2010 "Information technology -- Security techniques --
Security assessment of operational systems": per la quale dovrà essere
preparato il primo Working Draft entro fine anno.
- ISO/IEC TR 20004 "Refining software vulnerability analysis under ISO/IEC
15408 and ISO/IEC 18045": rimodulata in modo da diventare la prima parte
della futura ISO/IEC 20004 e la 30127 "Detailing software penetration
testing under ISO/IEC 15408 and ISO/IEC 18045 vulnerability analysis" ne è
divenuta la seconda parte;
- ISO/IEC 24759:2008 "Information technology -- Security techniques -- Test
requirements for cryptographic modules": per il quale è stata chiesta la
votazione per la CD.
- "Study Period on High-assurance evaluation under ISO/IEC 15408/18045":
prolungato il periodo di studio.
- "Joint ISO/IEC JTC 1/SC 27/WG 3 and ISO/IEC JTC 1/SC 27/WG 5 Study Period
on security evaluation of anti spoofing techniques for biometrics":
prolungato il periodo di studio.
- SC 27 N13022 "Competence requirements for security evaluators, testers,
and validators": stabilito un periodo di studio.
- SC 27 N13026 "Guidance for developing security and privacy functional
requirements based on ISO/IEC 15408": richiesto un New Work Item Proposal.

UNI 11506:2013 - Figure professionali ICT

Franco Ferrari del DNV Italia e Giovanni Ghidoni mi hanno segnalato la
pubblicazione della norma UNI 11506:2013 dal titolo "Attività professionali
non regolamentate - Figure professionali operanti nel settore ICT -
Definizione dei requisiti di conoscenza, abilità e competenze".

E' possibile leggere l'articolo di presentazione di UNI:
-
http://www.uni.com/index.php?option=com_content&view=article&id=2486:la-nuov
a-uni-11506-definisce-la-figura-professionale-dell-informatico

Questa norma UNI si basa sul European e-Competence Framework e sui tre
documenti del European e-Competence Framework 2.0 il cui sito web di
riferimento è:
- http://www.ecompetences.eu/1386,Home.html

Questi 3 documenti corrispondono alle CWA 16234-1, 2 e 3 del CEN, il cui
sito di riferimento è:
-
http://www.cen.eu/cen/Sectors/Sectors/ISSS/CWAdownload/Pages/ICT-Skills.aspx

Confesso che non ho capito cosa offra in più la UNI 11506 e quindi come
dovrebbe essere applicata. Ogni indicazione sarà benvenuta (e pubblicata, se
ne sarò autorizzato).

Rapporti semestrali Clusit e MELANI

Segnalo la pubblicazione dei due rapporti sulla sicurezza informatica tra i
più interessanti in circolazione.

Per quello Clusit, aggiornato al primo semestre 2013, è necessario
richiederlo a rapporti@clusit.it.

Quello MELANI (svizzero) si trova a questo indirizzo:
-
http://www.melani.admin.ch/dienstleistungen/archiv/01558/index.html?lang=it

Diffamazione sul web

Segnalo questo interessante articolo su CINDI dal titolo "Riforma della
diffamazione via web (e tramite Facebook)"
http://www.cindi.it/diffamazione-via-web-tramite-facebook/

Personalmente, non sono interessato a studiare i disegni di legge, a meno
che non mi chiamino a collaborare (cosa mai successa, per la verità), perché
poi cambiano continuamente (vedere Regolamento UE privacy e, in precedenza,
il DPS o la privacy nella 231).

Però l'articolo descrive bene come interpretare il reato di diffamazione
(diffamazione semplice, tentativo di diffamazione, circostanze attenuanti,
permanenza del reato, eccetera) e le pene previste.

Frodi sui dispositivi mobili

Dalla newsletter del Clusit del 31 ottobre segnalo un documento dell'APWG
dal titolo "Mobile Financial Fraud & The Underground Marketplace - Overview
– an APWG White Paper". Si trova a questo link:
- http://apwg.org/resources/mobile

Sono riportate le tante minacce e vulnerabilità relative ai dispositivi
mobili, utili per capire il fenomeno a chi non dovesse averlo ancora capito.

Corrispondenze tra ISO/IEC 27001:2005 e ISO/IEC 27001:2013

Alla seguente pagina è pubblicato il documento ufficiale dell'SC 27 "Mapping
Old-New Editions of ISO/IEC 27001 and ISO/IEC 27002":
- http://www.jtc1sc27.din.de/sbe/wg1sd3

Ovviamente, lo studio di questo documento non potrà escludere uno studio
attento della nuova ISO/IEC 27001:2013. Come ho già ricordato più volte,
molti requisiti presenti in precedenza sono ora impliciti e alcuni
collegamenti sono meno evidenti ma ci sono (per esempio, nel riesame di
direzione non viene più richiesto di determinare il fabbisogno di risorse
per l'ISMS, ma tale fabbisogno deve essere espresso quando si stabiliscono
gli obiettivi).

Inoltre, non condivido la dicitura "deleted" per alcuni controlli della
ISO/IEC 27002: se così fosse, vorrebbe dire che non erano utili per la
sicurezza delle informazioni. In realtà, tutti i controlli "deleted" sono
stati incorporati in alcuni degli attuali 114 controlli (per
esempio, il "input data validation" è ora incorporato nel 14.1.1 Information
security requirements analysis and specification.

Privacy, audit e videosorveglianza

Dalla newsletter del Garante del 31 ottobre 2013 segnalo la notizia "
Sicurezza nei supermercati senza ledere la dignità dei lavoratori - Nel
mirino del Garante le società della grande distribuzione con sistemi di
videosorveglianza non a norma":
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2
726619#2

In realtà nulla di nuovo: il Garante ha svolto delle ispezioni e ne fa un
resoconto.

Segnalo però la seguente frase: "Il legale rappresentante di un supermercato
aveva addirittura dichiarato al nucleo ispettivo che l'impianto di
videosorveglianza non era in funzione, salvo poi doversi smentire di fronte
alle evidenze raccolte". Magnifico! Cercano di prendere in giro anche gli
ispettori del Garante, non solo gli auditor ISO. Mi sento in buona
compagnia.

Transizione alla ISO/IEC 27001:2013

L'IAF, International Accreditation Forum, l'organizzazione che si occupa di
dare le regole per gli organismi di accreditamento e quelli di
certificazione, ha approvato la risoluzione 2013-13 che riporta le regole
per la transizione delle certificazioni dalla alla ISO/IEC 27001:2005 alla
ISO/IEC 27013.

La risoluzione è molto succinta e stabilisce che i certificati ISO/IEC
27001:2005 non saranno più validi dal 1 ottobre 2015. Non sono date
ulteriori regole sulla formazione degli auditor o su altri aspetti. Trovo
sia un peccato.

Le organizzazioni certificate dovranno comunque ricevere nei prossimi mesi
una comunicazione del proprio organismo di certificazione con indicate le
regole per la transizione.

Privacy e call center extra-UE

Dalla newsletter del Garante privacy, segnalo il recente Provvedimento
relativo ai call center siti in Paesi extra-UE:
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2724806

Apparentemente non dice nulla di nuovo, ma in realtà la newsletter segnala
le seguenti novità:
- i call center dovranno dichiarare la nazione dalla quale chiamano o
rispondono;
- per le chiamate in entrata, dovrà essere data all'utente la possibilità di
scegliere un operatore collocato sul territorio nazionale;
- dovrà essere segnalato preventivamente al Garante l'affidamento delle
attività di call center in Paesi extra-UE.

Non sono un protezionista, ma sono contento che finalmente il Garante si sia
accorto di questo fenomeno e cerchi di controllarlo.

Stato delle norme ISO/IEC 270xx

Venerdì 25 ottobre si è concluso a Songdo (Corea del Sud) il 47mo meeting
dell'SC 27 dell'ISO/IEC JTC 1. Hanno partecipato circa 250 delegati, di cui
70 per il WG1 (ossia il gruppo che si occupa delle norme della famiglia
ISO/IEC 27000 e collegate alla ISO/IEC 27001). La delegazione era composta
da 4 persone: io per il WG 1, Stefano Ramacciotti per il WG 3, Dario Forte
per il WG 4 e Andrea Caccia per i WG 1 e 4 e come rappresentante per ETSI.

Di seguito, le decisioni in merito alle norme del WG 1 affrontate in questo
meeting.

ISO/IEC 27000 (Overview and vocabulary)
La norma sarà pubblicata a breve nell'edizione 2013. Si è discusso su come
affrontare la prossima versione. Infatti, ciascun termine è "di proprietà"
di uno standard e può essere ridefinito solo contestualmente
all'elaborazione di quello standard. Purtroppo, il lavoro sui termini e
definizioni è spesso lasciato in secondo piano e ogni tanto i risultati sono
insoddisfacenti (per esempio la definizione di "evento di sicurezza delle
informazioni", non collegata alla definizione di "evento"). Si farà
sicuramente di meglio nel futuro.

ISO/IEC 27001 e 27002
Sarà pubblicato e reso disponibile gratuitamente il documento WG1 SD3
"Mapping Old to New Editions of ISO/IEC 27001 and ISO/IEC 27002". Ne
parleremo quando disponibile.

ISO/IEC 27003 (Guida all'attuazione di un ISMS)
Si è deciso di cambiarla totalmente e cambiarle il titolo (da
"Implementation guidance" a "Guidance"). Ora diventerà una guida alla
ISO/IEC 27001 e sarà suddivisa negli stessi capitoli della ISO/IEC 27001.

ISO/IEC 27004 (Misurazioni)
Tutti i partecipanti hanno concordato per un approccio non teorico. Sarà
proposto un modello al prossimo meeting di aprile: bisognerà vedere come
sarà e se presenterà un insieme minimo di indicatori. Si è anche deciso di
scrivere un testo che non possa essere utilizzato come check list da auditor
e utilizzatori, ma che sia veramente una linea guida. Cambierà titolo da
"Measurements" a "Monitoring, measurement, analysis and evaluation".

ISO/IEC 27005 (Risk management)
Si è deciso di non limitare il testo ai soli risk assessment e risk
treatment, ossia di mantenerla come è ora. Infatti, alcuni volevano ridurne
lo scopo per evitare sovrapposizioni con la 27001 e la 27003. La maggioranza
ha voluto però evitare di pubblicare un testo troppo sintetico e forse
incomprensibile alla maggioranza dei lettori (come invece, a mio parere, si
è fatto per la 27001).

ISO/IEC 27006 (Requisiti per gli organismi di certificazione)
Si è discusso se mantenere la tabella di riferimento per le giornate di
audit basata sulle persone impiegate nell'ISMS, oppure se seguire un'altra
strada. Malgrado né in questo meeting né nel precedente siano state
individuate strade alternative, metà dei delegati ha votato per questa
seconda opzione; vedremo cosa succederà al prossimo meeting. Si è anche
deciso di riportare la versione del SoA sui "documenti di certificazione" e
non sul certificato, contrariamente a quanto previsto dalla versione della
27006 attualmente in vigore.

ISO/IEC 27016 (Organizational economics)
Sarà pubblicata a breve.

Process reference model e Process assessment model
Di questo ne parlai già in precedenza
(http://blog.cesaregallotti.it/2013/09/spice-modelli-di-maturita-e-isoiec-27
001.html). Le proposte sono state sostanzialmente bocciate. Attualmente
queste due proposte di standard sono di competenza del SC 7, ma sarà averle
come di responsabilità del SC 27.

Si è anche discusso di ISO/IEC 27009 (cambierà titolo il "Sector specific
application of ISO/IEC 27001 – Requirements), 27011 (requisiti per
telecomunicazioni), 27013 (rapporti tra 27001 e 20000-1)
e 27017 (cloud), senza notizie da segnalare.

ISMS professionals
Si sta studiando da tempo una norma sulle certificazioni delle competenze
dei professionisti degli ISMS. Ora si è deciso di creare uno schema a cui
dovranno adeguarsi gli organismi di certificazione del personale.

Stato avanzamento Regolamento EU Privacy

Alberto Piamonte mi ha segnalato questo link:
- www.federprivacy.it/informazione/ultime-news-privacy/988-via-libera-al-nuovo
-regolamento-ue-sulla-privacy.html

La notizia è che la Commissione Libertà civili e giustizia (LIBE) del
Parlamento Ue ha dato voto positivo alla proposta di Regolamento Europeo
privacy di cui ho parlato in altri post:
- http://blog.cesaregallotti.it/2013/09/articolo-sullo-stato-del-regolamento-u
e.html

L'articolo di Federprivacy è decisamente entusiasta, ma rimane ancora almeno
un ulteriore passaggio, ossia il negoziato a tre di Consiglio, Commissione e
Parlamento europei.

Max Cottafavi di Reply mi ha invece segnalato questo link, dove si dice che
l'UK sta invece lavorando per posporre il tutto al 2015:
- http://www.euractiv.com/specialreport-digital-single-mar/france-germany-form
-anti-spy-pac-news-531306

Il Garante, nella sua newsletter del 31 ottobre, riassume le principali novità:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2726619#3

Credo rimanga valida la regola di base: finché non sarà approvato definitivamente, eviterei di dedicare troppo tempo a questo possibile Regolamento.

Presentazione nuove norme ISO/IEC 27001 e 27002

Vi segnalo questa presentazione UNINFO sulle nuove ISO/IEC 27001 e 27002 e a
cui ho contribuito:
-
http://www.slideshare.net/guasconif/le-nuove-norme-della-famiglia-27000

Facebook e i profili segreti

Massimo Cottafavi di Reply mi ha segnalato un po' preoccupato questa
notizia:
-
http://www.lastampa.it/2013/10/14/tecnologia/addio-ai-profili-segreti-su-fac
ebook-HdLcdF3CdeRrKjESHSiD3J/

Facebook, quindi, ci dice che potrà condividere le nostre informazioni con
altri soggetti, a scopi pubblicitari e di marketing. Sono sorpreso: pensavo
lo facesse già da tempo ;-)

Privacy e 231 - Tutto annullato (ed errata corrige)

Con la newsletter del 16 di ottobre avevo segnalato dei contributi sulla
possibilità che parte dei delitti previsti dal Codice Privacy fossero
compresi nel Dlgs 231 del 2001. Ma non avevo controllato e il Decreto Legge
93/2013 è stato convertito in Legge con modificazione (Legge 119/2013) e non
è "passata" la proposta.

Mi spiace con tutti i miei lettori. Posso giustificarmi dicendo che la Legge
è datata 15 ottobre, ma la notizia è "vecchia" di 2 settimane.

La prima ad avvisarmi è stata Paola Generali di GetSolution, seguita da
Fabio Guasconi (mio Presidente all'SC 27), da Massimo Cottafavi di Spike
Reply.

Posso anche aggiungere che tutto questo mi ha permesso di capire che c'è una
differenza tra "reati" e "delitti" e "sanzioni" e "contravvenzioni" grazie
all'errata corrige del mese scorso.

Infine, Stefano Ramacciotti mi ha ricordato che la pena di morte è stata
abolita da anni, mentre io la citavo.

Deepweb and Cybercrime

Segnalo questa breve ricerca dal titolo "Deepweb and Cybercrime - It's Not
All About TOR" della Trend Micro, segnalata sul gruppo Italian Security
Professional di LinkedIn:
-
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-
papers/wp-deepweb-and-cybercrime.pdf

Francamente, mi aspettavo un po' di più (ho sentito cose più approfondite
durante il corso di Digital forensics della Statale di Milano). Ad ogni
modo, è utile per aggiornarsi un po' sul sottobosco della criminalità
informatica.

Materiale sulla ISO/IEC 27001:2013

Mi hanno segnalato del materiale informativo relativo alla ISO/IEC
27001:2013. Molto è tratto dalla documentazione discussa nel corso della
redazione della ISO/IEC 27001 e può quindi valere la pena leggerlo,
soprattutto per comprendere alcuni impatti introdotti dai cambiamenti.

I titoli delle pubblicazioni sono i seguenti:
- " Moving from ISO/IEC 27001:2005 to ISO/IEC 27001:2013";
- "Mapping between the requirements of ISO/IEC 27001:2005 and ISO/IEC
27001:2013";
- "Checklist of Mandatory Documentation Required by ISO/IEC 27001 (2013
Revision)";
- "Diagram of ISO 27001 2013 Implementation Process".

Non condivido tutto quello che si trova in queste schede: alcune cose le
avrei approfondite di più, altre di meno. Gli ultimi due sono proprio delle
interpretazioni a volte molto libere della norma. Ma si tratta comunque di
analisi valide, che vale la pena studiare.

Ci tengo però a dire che non trovo corretti i riferimenti incrociati tra
nuova e vecchia ISO/IEC 27001 e 27002. Infatti, alcuni requisiti e controlli
del 2005 sono dati per "cancellati", mentre molti sono invece "incorporati"
o "impliciti" in quelli del 2013.

Per concludere: non so se i documenti sono liberamente reperibili, ma se li
trovate con un motore di ricerca vuol dire che, in qualche modo, lo sono...

Amazon e l'errore del prezzo

La notizia è la seguente: Amazon ha messo in vendita un computer ad un
prezzo sbagliato e molto basso. Ha quindi corretto il prezzo e ha comunicato
agli acquirenti che il loro acquisto era annullato.

Notizia e commento di Andrea Monti:
- http://www.ictlex.net/?p=1473

Lo trovo molto pertinente e mi è piaciuta molto la conclusione: "E' regola
generale nel diritto dei contratti che le parti – tutte e due – devono agire
secondo buona fede". Purtroppo lo fanno in pochi...

Udine: compromesso il sito dell'azienda sanitaria

Sandro Sanna mi ha inviato questa notizia, a cui potremmo dare il titolo "A
Udine violati i computer dell'Ass 4. On line i reclami dei malati" ed è in
tre parti:
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/07/news/a-udine-violati-i
-computer-dell-ass-4-on-line-i-reclami-dei-malati-1.7881088
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/10/news/assalto-informati
co-insiel-noi-parte-lesa-1.7898761
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/11/news/ma-quale-hacker-c
si-ho-scoperto-i-reclami-all-ass-4-1.7903434

In poche parole: un utente dell'azieda sanitaria numero 4 vuole inviare un
reclamo attraverso il loro sito web e si accorge di una piccola falla di
sicurezza e la comunica ad un giornale on-line.

La "piccola falla" è piuttosto banale: l'applicazione non verifica se le
pagine web sono richieste da un utente autenticato e quindi è sufficiente
cambiare il numero di richiesta dall'URL e questa appare, a prescindere da
chi l'ha fatta. Direi che rientriamo nella quarta vulnerabilità più diffusa
secondo OWASP:
-
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_Refere
nces

Mi chiedo se queste pagine sono almeno protette dagli spider di Google. E
però ho trovato meraviglioso il fatto che Insiel, l'azienda che ha
sviluppato il sistema, si è dichiarata parte lesa.

Ma sappiamo bene come vanno le cose: un prodotto sicuro costa di più di uno
insicuro e quindi si opta spesso e volentieri per il secondo. Mi auguro che
un qualche giudice multi l'Ass 4 per non aver fatto i controlli e Insiel per
aver fatto male il proprio lavoro.

Report 2013 di Verizon

Dal gruppo infotechlegale.it di LinkedIn ricevo la notizia della
pubblicazione del "2013 Data breach investigations report" di Verizon:
- www.verizonenterprise.com/DBIR/2013/

Il report è molto interessante. In particolare, analizza, per il 2012, le
compromissioni di dati rilevate (dove gli attacchi da parte di esterni sono
il 92%) e gli incidenti senza compromissioni (dove invece la maggioranza del
69% è stata causata da personale interno). Il report analizza i settori
merceologici delle imprese coinvolte, i tipi di attaccanti, gli asset e i
dati oggetto degli attacchi.

Ho trovato interessante anche le analisi sui tipi di attacchi adottati per
le comprimissioni e quelli per gli incidenti senza compromissioni (qui, gli
agenti di attacco sono soprattutto gli interni e quindi errori e malware
sono i più diffusi).

Sempre procedendo nella lettura del report, è curioso il paragone tra i dati
relativi al malware analizzati da Verizon e da Microsoft: per Verizon, l'84%
del malware è installato con l'aiuto degli utenti mentre per Microsoft solo
il 45%. La differenza, per Microsoft, è dovuta ad errori di configurazione.

C'è però un neo: il report non si basa su alcun dato dall'Italia.

Articolo su privacy e 231

Riprendendo il post precedente
http://blog.cesaregallotti.it/2013/09/privacy-e-231.html, segnalo questo
articolo di approfondimento segnalato da CINDI dal titolo "Il trattamento
illecito dei dati e la responsabilità dell'azienda", il cui merito, oltre ad
un riassunto dei reati che potrebbero essere introdotti nella 231 (se il DL
verrà convertito), è di presentare un esempio delle sanzioni.

Mi permetto di fare una considerazione a cui ho pensato recentemente e
collegandomi al testo dell'articolo stesso "fortunatamente, nell'ottica
delle imprese, l'omessa adozione delle misure minime di sicurezza non
rientra tra i reati presupposto del d.lgs. 231/01". Va detto che i
Provvedimenti del Garante rientrano tra i reati presupposto del d.lgs.
231/2001 e molto spesso riepilogano le misure minime... di conseguenza non
vedo molta fortuna per le imprese che ancora non applicano le misure minime.

Pubblicate le nuove ISO/IEC 27001 e 27002

Fabrizio Cirilli mi ha informato che sul sito ISO (www.iso.org) sono
disponibili dal 25 settembre le nuove versioni delle norme ISO/IEC 27001 e
27002.

Evidentemente, l'ISO aveva molta fretta e non ha aspettato l'applauso finale
del Meeting dell'SC 27 che si terrà a fine ottobre e che sancirà la fine dei
lavori per la ISO/IEC 27001.

l testo che ho visto, ossia il final draft, non riporta alcuna tabella di
confronto tra la versione del 2005 e quella del 2013. Infatti, questa sarà
oggetto di discussione al Meeting. Mi chiedo ora in quali modalità sarà
pubblicata.

Sanzioni per mancata iscrizione della PEC

Segnalo questo interessante articolo di CINDI relativo alle sanzioni
economiche per le imprese che non hanno comunicato al registro delle imprese
il proprio indirizzo di posta elettronica certificata:
- www.cindi.it/iscrizione-indirizzo-pec-registro-imprese-sanzioni/

PAS 99:2012 sui sistemi di gestione integrati

Franco Ferrari del DNV Italia mi ha segnalato la pubblicazione della PAS
99:2012, che sostituisce la versione del 2006.

Questa versione è in realtà una linea guida all'Annex SL, ossia alla
struttura che dovranno rispettare tutte le nuove edizioni degli standard ISO
di requisiti per i sistemi di gestione. Sull'Annex SL ho già parlato in
precedenza per i suoi impatti sulla futura versione della ISO/IEC 27001.
Avevo anche segnalato una breve guida IRCA in merito:
-
http://www.irca.org/en-gb/resources/Guidance-notes/Annex-SL-previously-ISO-G
uide-83/

A mio parere, la PAS 99 non aggiunge molto a quella guida, tranne una
riflessione sulla gestione generale dei rischi, ora richiesta quando si
pianifica un sistema di gestione.

La guida è del 2012 e quindi non recepisce, per la ISO/IEC 27001, alcune
scelte fatte nell'ultimo anno.

Articolo sul caso NSA

Il The Economist del 14 settembre 2013 ha pubblicato un ottimo articolo di
analisi sul caso NSA-PRIMS-Snowden e sulle sue conseguenze.

Ho trovato interessante soprattutto il paragrafo "Who cares?", dove sono
spiegati gli impatti della vicenda (in sintesi, si dice che l'impatto più
negativo l'hanno avuto i produttori USA di tecnologia, a causa dell'immagine
negativa).

Ringrazio mio padre, Roberto Gallotti, per la segnalazione:
-
http://www.economist.com/news/international/21586296-be-safe-internet-needs-
reliable-encryption-standards-software-and

Uso di apparati KVM e furti in banca

Guido Uglietti mi ha segnalato il seguente articolo dal titolo "Barclays
Bank computer heist: Eight arrested over £1.3m haul":
-
http://www.independent.co.uk/news/uk/crime/barclays-bank-computer-heist-eigh
t-arrested-over-13m-haul-8828844.html

In breve: 8 persone sono state arrestate per un furto di 1,3 milioni di
sterline attraverso un attacco informatico.

La cosa interessante è come è stato condotto l'attacco: uno di essi si è
presentato come tecnico informatico presso una filiale della banca in
Svizzera; ha quindi collegato ad un PC un apparato "keyboard video mouse"
(KVM) per intercettare le attività su schermo, tastiera e mouse; ha
collegato il KVM ad un modem e poi ha raccolto (da casa?) tutti i dati
necessari per il furto.

Insomma, è stata usata la buona vecchia tattica di presentarsi da qualcuno
confidando che nessuno verifichi l'identità e la ragione della nostra
presenza.

Dei delitti, delle contravvenzioni e della privacy nella 231 (errata corrige)

Paolo Cupola, che ringrazio molto, mi ha fatto notare il grossolano mio
errore nel post "Privacy e 231":
- http://blog.cesaregallotti.it/2013/09/privacy-e-231.html

L'articolo 9 del DL 93 del 2013 inserisce nel Dlgs 231 del 2001 i
delitti previsti dal Dlgs 196 del 2003 dall'articolo 167 all'articolo 172.

Nel Dlgs 231 del 2001 sono quindi riportati solo i reati di: trattamento
illecito dei dati, falsità nelle dichiarazioni e notificazioni al Garante,
inosservanza dei provvedimenti del Garante.

Nel Dlgs 231 del 2001 NON sono riportati i reati di: omissione di adozione
delle misure minime di sicurezza, svolgimento di indagini sulle opinioni dei
lavoratori, controllo a distanza dei lavoratori con impianti audiovisivi (questi ultimi sui lavoratori sono riportati dalla Legge 300 del 1970 a cui fa riferimento l'articolo 171).

Questo perché sono riportati nel 231 i "delitti" previsti dal Codice Privacy e
non le "contravvenzioni". I "delitti" sono quelli che prevedono le sanzioni
di morte, ergastolo, reclusione e multa, mentre le "contravvenzioni" sono
quelle che prevedono le sanzioni di arresto e ammenda. Solo gli articoli 167
(trattamento illecito), 168 (falsità di dichiarazioni) e 170 (inosservanza
dei Provvedimenti) parlano di "reclusione" (non prevedono "multe") e quindi
sono "delitti". Gli articoli 169 (misure minime) e 171 (sui lavoratori,
rimandando alla Legge 300 del 1970) parlano di "arresto" e "ammenda" e
quindi sono "contravvenzioni" e pertanto non rientrano nel Dlgs 231.

Il riferimento è l'articolo 17 del Codice Penale.

Mi scuso con tutti per l'errore. Meno male che il DL non è ancora stato
convertito in Legge e quindi forse non ho fatto troppi danni...

Violati i social network di Alpitour

Le pagine Facebook del gruppo Alpitour sono state prese in possesso da
malintenzionati (probabilmente dopo un attacco di phishing) che hanno
postato dei link a siti malevoli:
-
http://www.pierotaglia.net/facebook-fai-da-te-alpitour-ahi-ahi-ahi-pagine-fa
cebook-hackerate

A questo proposito, è necessario riflettere sulla gestione dei social media
da parte delle imprese.

Una prima riflessione è di Piero Tagliapietra, autore anche del post
precedente, che elenca le modalità di attacco e alcune contromisure (la
consapevolezza sembra essere quasi l'unica):
- http://www.pierotaglia.net/social-media-ransomware-concept/

Una seconda riflessione è di Andrea Zapparoli Manzoni, che ha segnalato la
notizia su Alpitour sul Gruppo Clusit di LinkedIn. Anche in questo caso,
dopo una descrizione dello stato della sicurezza dei social media, sono
elencate delle contromisure, le cui più importanti sono quelle organizzative
e di consapevolezza:
-
http://www.slideshare.net/idialoghi/i-dialoghi-social-business-security-soci
al-media-week-2011

SPICE (modelli di maturità) e ISO/IEC 27001

L'SC 7 del JTC 1 dell'ISO/IEC sta lavorando su una nuova edizione dello
standard ISO/IC 15504 noto anche come SPICE. Per essere molto sintetici, lo
SPICE è quello standard che tratta della capacità e della maturità dei
processi e delle modalità per dimostrarle e valutarle. La nuova edizione
prevede anche una riorganizzazione e rinumerazione degli standard da 33001
(in particolare, la ISO/IEC 33001 presenterà un'introduzione e la
terminologia, la 33002 i requisiti per effettuare un assessement dei
processi, eccetera).

Di particolare importanza sono i "process reference model (PRM)" e i
"process assessment model (PAM)", documenti che descrivono i processi in
modo da poterli analizzare e valutare secondo quanto previsto dallo
standard.

Due delle norme della serie ISO/IEC 330xx, attualmente in bozza, hanno
l'ambizione di presentare rispettivamente un esempio di PRM e un esempio di
PAM per la gestione della sicurezza delle informazioni in relazione con la
ISO/IEC 27001.

L'iniziativa raccoglierà certamente il favore di quanti vorrebbero
introdurre i modelli di capacità anche nella sicurezza delle informazioni.
Io devo confessare che l'iniziativa mi lascia perplesso soprattutto perché
si è appena finito di scrivere la futura ISO/IEC 27001 dopo molte
discussioni e immediatamente ne viene presentata una sorta di
interpretazione che, potenzialmente, potrà introdurre delle confusioni (per
fare un esempio banale, nei requisiti del risk assessment della ISO/IEC
27001 non si parlerà più di "asset" per evitare di imporre un modello di
risk assessment basato sugli asset; per motivi di ordinamento alfabetico,
però, il processo di "asset management" è proprio il primo presentato nella
bozza di PAM ridando, seppure involontariamente, un'impropria importanza
agli asset stessi).

Da un altro punto di vista, l'iniziativa presenta elementi interessanti. Uno
dei primi riguarda l'Annex A della ISO/IEC 27001 da sempre oggetto di
critiche e discussioni. Infatti, mentre la ISO 9001 e la ISO 14001, per
esempio, riportano i requisiti dei processi di gestione della qualità e
dell'ambiente nel corpo del testo dello standard, la ISO/IEC 27001 riporta
processi importantissimi come la gestione degli incidenti in un allegato,
conferendogli così un diverso livello di interpretazione. Le proposte di PRM
e PAM, per contro, evidenziano questi processi allo stesso livello degli
altri e comportano un'altra visione dei requisiti.

Tutto questo richiederebbe una riflessione, anche sul futuro della ISO/IEC
27001, sicuramente interessante. Ritengo però, come ricordato inizialmente,
sia necessario aspettare qualche tempo, quando la nuova versione della
ISO/IEC 27001 sarà stata adottata e oggetto di ampia discussione.

DL 93: frode e sostituzione dell'identità digitale

Il DL 93 del 2013, come già detto in altro post, ha inserito nel Dlgs 231
del 2001 alcuni reati in materia di privacy.

Oltre a ciò, il DL 93 tratta di stalking, frode informatica e sostituzione
dell'identità digitale. Il problema, per quest'ultimo punto, è che non vi è
una definizione certa di "identità digitale". Per alcuni si tratta di un
concetto molto esteso e comprende l'insieme di informazioni relative a un
soggetto presenti on line, per altri si può ridurre alle credenziali di
accesso ad un sistema informatico.

Di tutto questo tratta un interessante articolo su CINDI:
-
http://www.cindi.it/la-frode-informatica-aggravata-dalla-sostituzione-dellid
entita-digitale/

Ricordo però che il DL 93 è, appunto, un Decreto Legge. Pertanto, è
opportuno attendere la sua conversione in Legge (con modifiche) per vedere
quale sarà il testo finale.

Privacy e 231

Questo post è un aggiornamento di quello del 4 settembre, ora eliminato ed è stato riscritto dopo l'errata corrige del 17 settembre (http://blog.cesaregallotti.it/2013/09/dei-delitti-delle-contravvenzioni-e.html).

Max Cottafavi di Spike Reply mi ha segnalato questo articolo dal titolo
"Privacy, responsabilità da 231":
-
www.ilsole24ore.com/art/norme-e-tributi/2013-08-27/privacy-responsabilita-06
4214.shtml

In sintesi, l'articolo 9 del DL 93 del 2013 inserisce nel Dlgs 231 del 2001
i reati di trattamento illecito di dati personali, falsità nelle
dichiarazioni e notificazioni al Garante e inosservanza di provvedimenti del Garante.

Questi reati sono penali, ossia imputabili ad una persona fisica. Ora, anche
le imprese nel loro complesso possono essere oggetto di sanzionamento per
quegli illeciti se sono commessi nel suo interesse o vantaggio e se non era
previsto un "modello organizzativo" finalizzato a contrastarli.

Ad ogni modo, questo provvedimento è un DL. Sarà opportuno aspettare a
quando sarà convertito in Legge entro il 14 novembre. Per intanto mi chiedo:
si hanno notizie di sentenze in merito ai delitti richiamati e stabiliti dal Codice
Privacy? Potrebbero essere un ottimo punto di partenza per capire meglio gli
impatti di questo DL.

La Cassazione, come enunciato dall'articolo sopra riferito, ha emesso una
relazione in merito al DL 93/2013, dedicando poche righe alla questione
privacy. Andrebbero lette considerando che era agosto e la privacy non era
il punto più importante del provvedimento (il DL riporta altre misure molto
importanti come quelle sul femminicidio): per questo forse fa un richiamo alle "società commerciali e associazioni private", quando il Dlgs 231 ha impatto per tutti gli enti.

Firewall: configurarli con Drop o Reject?

Questo articolo sulla configurazione dei firewall è interessante:
-
http://www.achab.it/blog/index.cfm/2013/9/drop-vs-reject-qual--la-differenza
.htm

Mi rendo conto che si tratta di un articolo base, ma smonta il principio
secondo cui un firewall debba essere configurato in modo da non fornire
risposte al mittente di un pacchetto quando questo è bloccato. In altre
parole, l'articolo consiglia di impostare il firewall con regole di "Reject"
(per fornire risposte) e non con regole di "Drop".

Mi ha fatto anche piacere leggere un articolo tecnico in italiano che non
dice sempre le stesse cose.

Articolo sullo stato del Regolamento UE sulla privacy

Da Stefano Tagliabue di Telecom Italia: "segnalo un articolo che descrive in
modo chiaro lo stato di avanzamento dei lavori per l'emissione del
Regolamento UE sulla privacy. Tra i possibili scenari prospettati, c'è anche
l'emissione entro aprile 2014 di una "light version" del Regolamento, che
tratti solo dei principi essenziali della privacy, lasciando spazio ad
ulteriori interventi legislativi dopo le elezioni europee".

Il link:
- http://www.wsgr.com/publications/PDFSearch/burton-090213.pdf