DPO e il nuovo testo del Regolamento Privacy

Francesco Maistrello di Vecomp S.p.A., dopo aver letto il mio post su europrivacy.info, ha aggiunto informazioni in merito al fatto che ora la figura del DPO sembra non sarà più obbligatoria.

Francesco mi dice che il testo con DPO "non obbligatorio" è uno dei 3 testi che dovrebbero essere fusi insieme durante il trilogo, quello più morbido.

Francesco mi fornisce anche due link.

Il primo è di Viviane Reading, molto critica:
- http://www.euractiv.com/sections/infosociety/more-data-protection-better-less-315404.

Il secondo è il commento del WP art.29, di solito finora abbastanza ascoltato in materia; in particolare bisogna leggere a pagina 18:
- http://ec.europa.eu/justice/data-protection/article-29/documentation/other-document/files/2015/20150617_appendix_core_issues_plenary.pdf.

Per i completisti, si faccia riferimento ai documenti della press release del WP art. 29 del 19 giugno:
- http://ec.europa.eu/justice/data-protection/article-29/press-material/press-release/index_en.htm

Ci tengo a ricordare una cosa: tutte queste questioni riguardano la bozza del regolamento, interessanti per chi, come me e Francesco, si interessa alla materia. Le aziende non dovrebbero fare nulla, visto che le tempistiche sono incerte (come per tutti i percorsi legislativi) e, comunque, per adottare i nuovi requisiti sarà previsto un periodo di transizione. Rimane il mio solito consiglio: non ascoltare chiunque cerca di vendere servizi relativi al futuro Regolamento privacy (uso "non ascoltare" per evitare polemiche; ma vorrei usare termini più duri).

AGGIUNTA. Francesco  mi ha ricordato anche il rovescio della medaglia: quelli che avevano mappato i trattamenti e poi hanno abbandonato il lavoro fatto perché "tanto cambia la normativa". Dovremmo ricordare loro che comunque è da lì che si ripartirà. Inoltre questa mappa è utile con la normativa attuale: è un buon punto di partenza per fare della vera sicurezza delle informazioni (non sono informatica e non solo cyber) e le sanzioni non sono scomparse miracolosamente perché in futuro la normativa cambierà.

Gruppi e fiducia

Segnalo questo post:
- http://share-coach.com/ita/articoli.php?id=52&read=storia

La trovo una bella sintesi sul buon funzionamento di un gruppo. Spesso ci dimentichiamo come sicurezza e qualità si basino prevalentemente sulle persone e che le persone agiscono mosse anche dal gruppo di cui fanno parte.

Sì... l'articolo è di mia sorella. Ma questo non è familismo. È la presa di coscienza che spesso parlo di tecniche, standard e tecnologia, ma è fondamentale non perdere di vista il lato decisamente umano delle materie di cui mi occupo, oltre ai soliti slogan ("la sicurezza e la qualità la fanno le persone"; "le persone sono fondamentali"; "il punto debole della sicurezza sono le persone").

Cisco Security Report 2015

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione del Cisco Security Report 2015:
- http://www.cisco.com/c/en/us/products/security/annual_security_report.html.

Confesso che non ci ho trovato novità per me rilevanti, visto che è molto focalizzato su malware e attacchi dall'esterno.

Ho notato però un dato interessante: il 59% dei CISO (ossia i "dirigenti" della sicurezza) ritengono che i processi di sicurezza della propria azienda siano "ottimizzati". Questa sembra un'esagerazione, soprattutto se "solo" il 46% dei SecOps manager (ossia persone con mansioni più operative) ritiene la stessa cosa. Trovo interessante questa diversa percezione mano a mano che si scende la scala gerarchica. Ad ogni modo mi sembrano comunque troppo ottimisti questi officier e questi manager.

Millennials, Generazione Z e sicurezza informatica.

Stefano Ramacciotti di (ISC)2 Italian Chapter (associazione promotrice, tra le altre cose, di interventi di sensibilizzazione, o awareness, sulla sicurezza informatica per studenti delle scuole, che finora ha raggiunto 13.000 persone) risponde al mio post dal titolo "I bambini possono insegnarci la sicurezza delle informazioni":
- http://blog.cesaregallotti.it/2015/05/i-bambini-possono-insegnarci-la.html

Riporto nel seguito le sue parole.

<<
Dalla mia esperienza personale, i nati dopo il 1980 sono messi veramente male a competenze di sicurezza. Sono infatti bravissimi ad usare i computer, ma sulla sicurezza sono, in genere, messi peggio delle persone più anziane.

Sono nati connessi, o quasi, e non sopportano le regole, a meno che non siano insegnate loro alle elementari (è per quello che preferisco fare lezione a quelli fino a 10 anni).

E' vero anche che le statistiche non sono "pesate" in base alla fascia d'età, ma è lecito supporre che le nuove generazioni, per la loro naturale necessità di essere sempre connessi, commettano grossolani errori a scuola e nelle aziende in cui sono stati da poco assunti.

Aggiungo che il termine Millennials è un termine che riguarda le persone nate tra il 1980 e il 2000, non quelle nate dopo il 2000, spesso indicate come parte della "Generazione Z".

Segnalo qualche articolo nel seguito.

Sui benefici di assumere le nuove generazioni
http://securityintelligence.com/security-management-embracing-millennials-in-your-security-program/#.VYGKlEbtPcB;

Why Millennials Are an Information-Security Threat
http://blogs.wsj.com/experts/2015/04/20/why-milliennials-are-an-information-security-threat/;

Do Millennials Believe in Data Security?
https://hbr.org/2014/02/do-millennials-believe-in-data-security/;

Millennials becoming known as Generation Leaky
http://www.csoonline.com/article/2884638/security-awareness/millennials-becoming-known-as-generation-leaky.html

Building the security bridge to the Millennials
http://www.csoonline.com/article/2134359/strategic-planning-erm/building-the-security-bridge-to-the-millennials.html

How security smart is Generation Y?
http://www.csoonline.com/article/2133845/strategic-planning-erm/how-security-smart-is-generation-y-.html

WiIl Millennials Be The Death Of Data Security?
http://www.darkreading.com/operations/wiil-millennials-be-the-death-of-data-security-/a/d-id/1318806

Are Millennials a greater security threat than other staff?
http://www.itworldcanada.com/post/are-millennials-a-greater-security-threat-than-other-staff

Are Millennials the Latest Security Threat?
http://www.softwareadvice.com/security/industryview/millennial-threat-report-2015/

Millennials And Smartphone Apps: Your Security Nightmare
http://www.informationweek.com/mobile/mobile-applications/millennials-and-smartphone-apps-your-security-nightmare/d/d-id/1320841
>>

Io chiudo ringraziando Stafano per il suo contributo.

europrivacy.info

Alessandro Vallega di Oracle mi ha segnalato il sito http://europrivacy.info.

Si tratta di un osservatorio sul nuovo Regolamento EU sulla protezione dei dati personali promosso da AUSED, Clusit e la Oracle Community for Security.

Lo raccomando perché mi sembra un'iniziativa seria (conosco Alessandro personalmente e non posso pensare a qualcosa di meno) perché si tratta di un sito di aggiornamento e non di vendita di servizi basati sul nulla.

Gli stessi articoli sono seri. Per esempio, quanti di voi hanno letto che il DPO (Data protection officer), nell'ultima versione (bozza!) del Regolamento, non è più obbligatorio? Io l'ho scoperto proprio da questo sito:
- http://europrivacy.info/2015/06/20/data-protection-officer-no-more-mandatory

Un solo appunto: spero attivino al più presto l'RSS Feed del blog, in modo da poter essere aggiornato tempestivamente dei nuovi articoli.

NIST SP 800-171 sulla protezione delle informazioni non classificate

Il NIST ha pubblicato la SP 800-171 dal titolo "Protecting Controlled Unclassified Information in Nonfederal Information Systems and Organizations":
- http://csrc.nist.gov/publications/PubsSPs.html#800-171

Si tratta di 76 pagine, ma quasi tutte inutili. Le pagine interessanti sono quelle del capitolo 3 (6  pagine) perché riportano un insieme di misure minime di sicurezza da adottare.

DevOps e Microsoft

Stefano Ramacciotti mi ha segnalato il test dal titolo: "DevOps Self-Assessment: Moving you to the second decade of agile":
- https://profile.microsoft.com/RegSysProfileCenter/wizardnp.aspx?wizid=ba58aa87-54dc-4ffe-8066-05de46edb8a2

Il commento di Stefano è "anche se è targato MS mi sembra una cosa interessante".

In effetti, Microsoft è criticabile da molti punti di vista, ma il loro lavoro è sicuramente notevole se pensiamo alle complessità che devono affrontare.

Ho provato a fare il test, ma è certamente per persone (manager) che si occupano di sviluppo.

Per chi non volesse fare il test (anche perché non si fida a dare la propria e-mail a Microsoft, come se non ce l'avesse già...), può leggersi la loro pubblicazione di 21 pagine dal titolo "From Agile to DevOps at Microsoft Developer Division" (io però non l'ho ancora letto):
- https://www.microsoft.com/en-us/download/details.aspx?id=46920

Black out informatico in Sicilia

Sandro Sanna mi ha segnalato la seguente notizia:
http://palermo.repubblica.it/cronaca/2015/06/15/news/stop_informatico_alla_regione_caos_nelle_asp_e_negli_uffici-116894666/

In sintesi: apparentemente, a seguito di debiti contestati, la società che ha in gestione i sistemi informatici della Regione Sicilia ha staccato la spina.

Il commento di Sandro: Sarei curioso di sapere come la Regione ha gestito il piano di business continuity...

BSI PAS 555 sul Cyber security risk

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione da parte del BSI della PAS 555, risalente in realtà al 2013. Questo standard nazionale ha titolo "Cyber security risk – Governance and management – Specification".

Ho trovato molte cose negative e una cosa positiva in questo standard.

Comincio da quella positiva: l'importanza data agli strumenti di raccolta di informazioni relative a minacce e al monitoraggio preventivo.

Le cose negative sono diverse:
- il fatto che questa norma, più limitata rispetto alla ISO/IEC 27001 (come ho già avuto modo di scrivere in precedenza: blog.cesaregallotti.it/2015/03/cyber-che.html), ma non più semplice, si
metta in concorrenza con essa senza alcuna ragione se non quella di portare più entrate al BSI;
- la confusione che questa norma può generare in merito ai sistemi di gestione perché non è basata sul HLS;
- il fatto che i rappresentanti inglesi (quindi del BSI), in fase di redazione della ISO/IEC 27001:2013, siano stati tra i più pugnaci a voler togliere dalla stessa ISO/IEC 27001 ogni riferimento a asset, minacce e vulnerabilità, per poi, attraverso questa PAS 555, richiedere di valutare il rischio basandosi proprio su asset, minacce e vulnerabilità e per poi ancora presentare in appendice una "risk impact matrix" basata su minacce, conseguenze e verosimiglianza.

ISO/IEC 38500 su IT governance

Franco Ferrari di DNV GL mi ha segnalato la recente pubblicazione della nuova edizione del 2015 della ISO/IEC 38500 dal titolo "Governance of IT for the organization".

Ad una prima e veloce lettura, non mi sembra né tanto diversa né tanto più utile della precedente ISO/IEC 38500:2008 (però non mi offenderei se qualcuno mi contraddicesse).

Segnalo però che la nuova norma fa riferimento ad una ISO/IEC 38501:2015 dal titolo "Governance of IT -- Implementation guide"; forse questa è più interessante, ma non ho avuto alcuna possibilità di leggerla.

Ransomware as-a-service

Dal gruppo Italian Security Professional di Linkedin segnalo questo articolo di McAfee:
- https://blogs.mcafee.com/mcafee-labs/meet-tox-ransomware-for-the-rest-of-us

Dalla rete TOR si accede ad un sito web attraverso il quale creare del ransomware, stabilire la quota del riscatto, gestire i proventi dell'attività, eccetera. Inquietante.

La cosa interessante: per contrastare questo tipo di malware, i normali antivirus non sono sufficienti; è invece necessario prevedere dei sistemi di intrusion prevention, whitelisting e sandboxing. Ci sono ancora molti che usano il proprio pc con privilegi di amministratore...

Guida NIST sui sistemi industriali

Massimo Cottafavi di SNAM mi ha segnalato la nuova edizione della Special Publication 800-82 del NIST dal titolo "Guide to Industrial Control Systems (ICS) Security". La precedente risale al 2006. Si trova a questo link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-82

Non l'ho ancora letta con attenzione. Spero di trovarci considerazioni sulle caratteristiche dei sistemi industriali e non le "solite cose" facilmente mutuabili dai normali sistemi informatici (password, autorizzazioni, difesa perimetrale, eccetera).

Qualcosa l'avevo trovata nel Quaderno Clusit numero 7 dal titolo "Introduzione alla protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC, ecc.)" (si trova al link
http://www.clusit.it/download/index.htm).

Privacy level agreement

Pierfrancesco Maistrello di Vecomp mi ha segnalato questo interessante documento del Cloud security alliance (CSA) dal titolo "Privacy Level Agreement [V2]: A Compliance Tool for Providing Cloud Services in the European Union":
- https://downloads.cloudsecurityalliance.org/assets/research/pla/downloads/2015_05_28_PrivacyLevelAgreementV2_FINAL_JRS5.pdf

Il documento riporta le clausole contrattuali da prevedere tra cliente e fornitore cloud, che sia esso titolare autonomo (controller) o responsabile del trattamento (processor). Mi sembra completo e interessante.

Una sola critica, che è poi quella che faccio sempre: purtroppo il titolo riguarda solo i servizi cloud, quando invece mi sembra applicabile a tutti i fornitori di servizi informatici; ecco quindi che mi preoccupa questa estrema attenzione ai fornitori di servizi cloud perché non ne vedo una simile per le altre tipologie di fornitori, in alcuni casi più numerosi e critici di quelli cloud.

ISO/IEC 2382

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione della ISO/IEC 2382 dal titolo "Information technology -- Vocabulary".

È gratuita e quindi si può scaricare direttamente da www.iso.org.

In realtà pdf consta di 4 pagine, perché il documento vero e proprio è visualizzabile direttamente dal web. Ho provato a copiare e incollare il contenuto e ho visto che occupa poco meno di mille pagine. Segnalo poi che ho avuto qualche difficoltà con alcuni browser.

Sicuramente, però, si tratta di un documento importante:
- https://www.iso.org/obp/ui/#iso:std:iso-iec:2382:ed-1:v1:en.

Provvedimento cookie: altri chiarimenti del Garante

Da Twitter (@uniprivacy): il Garante pubblica un documento dal titolo "Chiarimenti in merito all'attuazione della normativa in materia di cookie".

L'articolo segnalato:
- http://www.wired.it/attualita/2015/06/05/documento-garante-privacy-chiarisce
-tutti-gli-aspetti-sui-cookie

Il documento del Garante:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4006878

Noto una cosa: alla domanda "Uso di piattaforme che installano cookie" mi sembra manchi qualcosa. Io ho un blog gestito da Blogger (Google). Io (insieme alla mia amica Anita) non ho fatto altro che scegliere un'impostazione del blog, cambiare colori e aggiungere qualche opzione come quella per inserire il logo Creative Commons. Cosa dovrei fare? Ogni chiarimento del Garante non lo dice, anche se l'articolo di Wired fa notare che molti si sono fatti questa domanda.

Io ho deciso di non fare nulla anche perché non posso fare nulla, se non scrivere poche righe in merito.

ISO/IEC 33000 e ISO/IEC 15504 (SPICE)

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione di alcune norme della serie ISO/IEC 33000. Esse sostituiscono le norme della serie ISO/IEC 15504, note come SPICE e dedicate alla valutazione dei processi.

Nel dettaglio:

-        la ISO/IEC 33001 (Concepts and terminology) sostituisce la ISO/IEC 15504-1;

-        la ISO/IEC 33002 (Requirements for performing process assessment) sostituisce la ISO/IEC 15504-2 e la ISO/IEC 15504-7;

-        la ISO/IEC 33003 (Requirements for process measurement frameworks) riprende delle parti delle ISO/IEC 15504-2 e ISO/IEC 15504-7;

-        la ISO/IEC 33004 (Requirements for process reference, process assessment and maturity models) riprende delle parti delle ISO/IEC 15504-2 e ISO/IEC 15504-7;

-        ISO/IEC 33014 (Guide for process improvement) riprende delle parti delle ISO/IEC 15504-4 e 7;

-        ISO/IEC 33020 (Process measurement framework for assessment of process capability) riprende delle parti delle ISO/IEC 15504-2.

La ISO/IEC 33001 segnala la futura pubblicazione di molte altre norme della famiglia.

Come noto, promuovo con prudenza le misurazioni dei processi e, quindi, sono ancora meno entusiasta di quanto riguarda capacità dei processi e modelli di maturità. Però sono argomenti che è bene conoscere almeno in modo generale (segnalo, per un riassunto, il Cobit 5).

Di queste pubblicazioni ho potuto solo vedere dei pdf iper-protetti che non permettono neanche la stampa. Vedo che l'ISO sta cercando di proteggere sempre più efficacemente la sua proprietà intellettuale (per quanto riceva soldi anche dalle stesse persone che scrivono gli standard...).

Impianti industriali insicuri

Segnalo questo articolo, con link ad un'ulteriore ricerca più approfondita, su quanto sono esposti i sistemi informatici di controllo industriale:
- https://www.linkedin.com/pulse/un-sacco-di-pallini-blu-sullitalia-impianti-esposti-su-enzo-m-tieghi

Confermo che alcune imprese stanno lavorando al miglioramento del loro livello di sicurezza. Evidentemente non abbastanza.

Google Identity Platform

La Google Identity Platform sembra una bella iniziativa di Google: un insieme di programmi per incoraggiare gli sviluppatori a creare apps e siti web più sicuri:
- http://www.cnet.com/news/google-beefs-up-user-identity-safety-net-for-apps/

Chissà quanti ne faranno uso?

Notizia dal Sans NewsBites.

E-mail personali e dati sanitari

Questa me l'ha segnalata Marco Fabbrini, che ringrazio:
- http://www.esanitanews.it/?p=2908.

Se ho capito bene la notizia, si tratta di una cosa buffa e bizzarra: una signora invia un messaggio promozionale a due clienti-amici chiedendo di inoltrarlo ad altri. Essendo però anche amici, aggiunge notizie personali relative alla propria salute. Gli amici, facendole un piacere, inoltrano l'e-mail ai propri contatti commerciali (ritoccando però le cifre dell'offerta), senza però cancellare le notizie personali. La signora se ne risente e fa reclamo al Garante della privacy (chiedendo tra l'altro di riinviare la comunicazione con le cifre originali).

Il provvedimento del Garante:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3966213

Mi viene da pensare che la signora abbia perso un paio di amici. Oltre a ciò, qualche lezione da imparare:
- fate attenzione alle "amiche" (o "amici"), che uniscono notizie professionali a notizie personali e poi non esitano a fare ricorso all'autorità;
- quando inoltrate i messaggi, verificate che non ci siano cose da cancellare;
- se avete dei colleghi-amici, mandate mail separate per cose personali e cose professionali.

La cosa buffa: il Garante ha dovuto richiamare i due "inoltratori selvaggi" chiedendo loro di mandare informative, di non trattare più i dati della signora e di vigilare sull'operato delle proprie persone. Ho capito che dovrò inviare un'informativa a tutte le persone che si comportano da "amici" con me e cancellare ogni e-mail che mi mandano!

BYOD e dispositivi mobili

Da Twitter, Alessandro Vallega ha inoltrato il link a questo articolo dal
titolo "Safeguarding the Public Sector against the Threat of Device Loss":
- http://www.infosecurity-magazine.com/opinions/chris-mayers-chief-secarccitrix/.

In sintesi, il CESG, ossia l'autorità nazionale UK per la sicurezza
informatica, ha pubblicato delle guide sul BYOD e sull'uso di dispositivi
mobili (in verità le guide sono del 2014, ma all'epoca forse ci eravamo
distratti):
- https://www.gov.uk/government/collections/bring-your-own-device-guidance;
- https://www.gov.uk/government/collections/end-user-devices-security-guidance.

Confesso che ho trovato la lettura più complicata di quanto mi aspettassi.
Forse perché il tutto è diviso in più documenti che ho fatto fatica a
collegare tra loro. Oppure perché si tratta di una "alpha release".

Twitter

Sono su Twitter da metà maggio, dopo che troppe persone mi hanno segnalato quanto fosse importante.

Scriverò solo di cose professionali. In altre parole, non fornirò contenuti diversi da quelli già presenti su blog e newsletter. Solo saranno dei riassunti di 140 caratteri.

Per festeggiarmi, ecco quindi un articolo di Bancaforte su Twitter e su quelli che lo lasciano (o dicono di volerlo lasciare):
- http://www.bancaforte.it/articolo/quelli-che-smettono-di-cinguettare-RB70187w

Data protection officer - Un buon articolo

Finalmente leggo un buon articolo su cosa è e cosa non è il famoso DPO e su quanto valgono le certificazioni professionali attualmente promosse da alcuni enti:
- http://www.filodiritto.com/articoli/2015/05/professioni-non-regolamentate-lo-strano-caso-del-privacy-officer.html

Breve riassunto: ritengo che queste certificazioni siano delle bufale.

Aggiornamento: in sede UNINFO sono in fase di avvio le attività per discutere di uno standard su "Figure professionali operanti nel settore ICT – Profili professionali relativi alla privacy".

2 giugno e Provvedimento privacy sui cookie

Il 2 giugno 2015 scade il periodo di transizione previsto dal provvedimento del Garante Privacy n. 229 del 4 maggio 2014, il cosiddetto "Provvedimento cookie" applicabile a tutti i siti web.

Non mi dilungo oltre e segnalo questo articolo di Filodiritto, che mi sembra il più completo visto finora:
- http://www.filodiritto.com/articoli/2015/05/cookie-policy-si-avvicina-la-sca
denza-del-2-giugno.html

Medical Device Security Guidance for Developers

Dal SANS Newbites: è disponibile la pubblicazione "Building Code for Medical
Device Software Security". Si può scaricare da questo breve articolo di
presentazione:
- http://www.scmagazine.com/guidance-meant-to-reduce-the-risk-of-malicious-attacks-on-medical-devices/article/416163/.

Vale la pena osservare che si tratta di una sorta di "SSDLC in sintesi" e non applicabile ai soli dispositivi medici.

Leggendo questo documento si trovano un paio di interessanti link, sempre legati allo sviluppo sicuro.

Il primo è la pagina Cybersecurity di ieee che mette a disposizione alcuni articoli interessanti:
- http://cybersecurity.ieee.org/

Più interessante ancora è la pubblicazione "Avoiding the Top 10 Security Flaws":
- http://cybersecurity.ieee.org/center-for-secure-design/avoiding-the-top-10-security-flaws.html

Il secondo link che segnalo è quello di SAFECode:
- http://www.safecode.org/

Nella sezione "pubblicazioni" ci sono molte cose interessanti, tra cui "Fundamental Practices for Secure Software Development" e "Security Engineering Training".

ISO/IEC 20000 e informatica - Altri spunti

Tony Coletta, rappresentante italiano al SC 40, è stato stimolato (come speravo) dal mio breve articolo di metà aprile:
- http://blog.cesaregallotti.it/2015/05/isoiec-20000-e-informatica.html

Quindi, da qui in poi, riporto solo e unicamente le sue parole e lo ringrazio.

La confusione è ancora grande sotto il cielo.

I britannici e comunque anche l'attuale convenor insistono che la ISO/IEC 20000 si applica anche al di fuori dell'IT ma ogni volta che tentano di ufficializzare la cosa, il tentativo viene respinto.

Il WG25 (incaricato, tra le altre cose, della redazione della ISO/IEC 20000-1) è uscito dal SC7 per andare a costituire il SC 40 insieme a quelli della Governance ma JTC1 gli ha imposto il titolo: "SC40 - IT Service Management and IT Governance".

Non possono sfuggire. Fino a quando restano in JTC1 devono rimanere nel dominio Information Technology.

Poi possiamo essere d'accordo o meno che la maggior parte dei requisiti della norma si possono applicare ai servizi in generale ma la norma è stata scritta per l'IT service management.

Nel testo della norma non si dice ogni volta IT Service Management perché "Information Technology" fa parte del titolo in prima pagina quindi è superfluo ripeterlo ogni volta.

D'altronde per essere valida per tutti i servizi, nel working group che l'ha sviluppato, avrebbero dovuto esserci i rappresentanti di tutti gli altri servizi non-IT ma questo non è vero. C'erano solo informatici.

Comunque la cosa si complica ulteriormente se cominciamo a parlare dei servizi "IT enabled", cioè servizi che di per sé non sono servizi IT ma che vengono erogati tramite tecnologie informatiche.

I bambini possono insegnarci la sicurezza delle informazioni

Interessante articolo che rigiro dalla newsletter di Anssaif:
- http://www.key4biz.it/assetprotection-sensibilizzare-i-ragazzi-alla-sicurezza-per-aiutare-anche-gli-adulti/118303/

I bambini e i ragazzini sono delle spugne e, se si spiega loro l'importanza della sicurezza su Internet, stanno attenti. I bambini, l'avrete notato, si arrabbiano quando noi adulti non seguiamo le stesse regole che abbiamo dato loro; insomma, come avere un allarme ogni volta che facciamo qualcosa di
avventato su Internet!

Forse i millennials saranno più bravi dei loro predecessori che scrivono di tutto su Internet senza preoccuparsi delle conseguenze e forse più bravi degli ultra 30enni che o non usano Internet del tutto o lo fanno in modo molto insicuro.

Intrusione nel sistema IT di un aereo

La notizia ha fatto il giro del mondo, ma io l'ho presa dal SANS NewsBites: un ricercatore, che si sta dedicando molto alla (in)sicurezza dei sistemi di volo, ha dichiarato di essere riuscito ad accedere a quelli di almeno 14 aerei su cui ha volato. Questo usando il sistema di intrattenimento presente
su molti apparecchi.

Un paio di link:
- http://www.wired.com/2015/05/feds-say-banned-researcher-commandeered-plane/
- http://arstechnica.com/security/2015/05/fbi-researcher-admitted-to-hacking-plane-in-flight-causing-it-to-climb/

Mancano dettagli per capire se si tratta di uno scherzo o di una cosa vera. Io copio, incollo e traduco un tweet, a sua volta riportato dal secondo articolo: "O ha mentito sull'intrusione negli aerei in volo o è veramente riuscito ad accedere ai sistemi di aerei in volo. Tutte e due le opzioni sono inaccettabili da un professionista di sicurezza delle informazioni".

ISO 22313 in italiano

UNI ha pubblicato la versione italiana della ISO 22313 dal titolo "Sistemi di gestione per la continuità operativa: Linee guida".

Non si tratta della ISO 22301 con i requisiti utili anche per la certificazione, che rimane solo in inglese. Trovo bizzarro che abbiano tradotto le linee guida di accompagnamento e non la norma di requisiti, ma tant'è.

La norma, che peraltro non ho trovato illuminante, si può acquistare direttamente da UNI su store.uni.com.

Grazie a Franco Ferrari di DNV GL Business Assurance Italia per la segnalazione.

Provvedimento Garante biometria - Errata corrige

Mauro Bert mi ha segnalato che il Garante privacy ha corretto il
"Provvedimento generale prescrittivo in tema di biometria".

L'errata corrige Rettifica alla Deliberazione n. 513 del 12 novembre 2014
recante 'Provvedimento generale prescrittivo in tema di biometria' - 15
gennaio 2015 - doc. web n. 3701432) si trova a questo link:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3701432

Il Provvedimento aggiornato si trova al precedente link:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3556992

Mauro (che ringrazio) riassume: "viene corretta l'errata citazione
eliminando UNI e 2005, ma continuando ad ignorare l'esistenza della UNI CEI
ISO/IEC 27001:2014".

Certificazione e bandi di gara

Sandro Sanna mi ha segnalato la "Linee Guida ACCREDIA per i bandi di gara". È un documento molto sintetico in cui sono riportati dei suggerimenti e degli esempi per richiedere ad un fornitore o potenziale fornitore prova di una certificazione:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1711&areaNews=94&GTemplate=default.jsp

Il documento riporta ulteriori e utili informazioni per esempio su come richiedere un'offerta per un servizio di certificazione.

CSSLP (libro) - Sviluppo sicuro

Da tempo volevo approfondire il tema dello sviluppo sicuro. Ho cercato un libro e ho trovato questo:
- Mano Paul. "Official (ISC)2 Guide to the CSSLP". USA: CRC Press, 2011.

È il libro per la preparazione all'esame CSSLP del (ISC)2 e quindi soffre di qualche limite, il primo dei quali è che un manuale per preparare ad un esame non è la stessa cosa di un libro scritto per altri scopi.

Il libro ha altri limiti, tra cui: errori di inglese (li ho trovati io!) e ripetitività di alcuni argomenti in diversi capitoli (e non sempre sono presentati in modo allineato). Drammaticamente ci sono anche errori tecnici (mi chiedo cosa abbia letto della ISO/IEC 27006, visto che la considera una norma per la "certificazione" del software e non per gli organismi che certificano secondo ISO 9001, 14001 e altri standard per i sistemi di gestione).

Però, in questi tempi in cui parlo con gli sviluppatori di "politiche di sviluppo sicuro" o, più banalmente, di "accorgimenti di sviluppo sicuro", vedo solo: a) sguardo di mucca quando passa il treno; b) i risultati di un vulnerability assessment; c) documenti in cui la parola "sicurezza" è nominata per sbaglio una o due volte senza ulteriori dettagli.

Allora è benvenuto un libro, per quanto mal fatto, che parla di sviluppo sicuro o, in inglese, di secure software development lifecycle (SSDLC).

In questo libro si parte dal "solito" risk management, per poi trattare del ciclo di vita: requisiti, progettazione, codifica, testing (tecnico), accettazione, messa in produzione, conduzione, manutenzione e eliminazione. Ci sono anche capitoli sulla catena di fornitura e sull'acquisizione di software da parti esterne.

Ovviamente, chiunque voglia segnalare altri testi è il benvenuto.

Supply Chain Resilience report

Il Business continuity institute mi ha comunicato la pubblicazione del Supply Chain Resilience report 2014:
- http://www.thebci.org/index.php/about/news-room#/pressreleases/businesses-facing-high-costs-of-supply-chain-disruption-1078655

Per scaricarlo chiedono di registrarsi, ma credo che anche fornendo dati falsi si possa accedere al link.

Detto questo, per pigrizia mi sono accontentato di leggere la sintesi, consapevole che ogni report segnala (più o meno) quello che vuole, solitamente per spingere da qualche parte (non mi sorprende infatti che un report sulla "supply chain" inizi dicendo che l'80% degli intervistati hanno avuto, l'anno precedente, dei problemi di filiera di fornitura, né che un report realizzato con il contributo delle assicurazioni Zurich riporti perdite ingenti per questi problemi e sottolinei che il 40% degli intervistati ha dichiarato di non avere stipulato polizze specifiche).

Però qualcosa fa riflettere, soprattutto se ci fermiamo a parlare di informatica: il 53% dei problemi di fornitura è dovuto a interruzioni dei sistemi informatici. Questo mi riporta ad uno dei miei cavalli di battaglia: forse anche questi hanno pensato troppo ai potenziali problemi di sicurezza del cloud e non hanno pensato a quelli posti dai fornitori, anche di informatica, "tradizionali".

Questo report ci ricorda la necessità di analizzare il più possibile l'intera filiera di fornitura e non fermarsi solo al fornitore primario.

Privacy e profilazione on-line

Sono state pubblicate le "Linee guida in materia di trattamento di dati personali per profilazione on line". Sono applicabili da chiunque faccia profilazione on line:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3881513

Francamente, non mi pare ci sia nulla di nuovo. D'altra parte, un richiamo su informativa, consenso e diritto di opposizione è sempre benvenuto.

Privacy e lavoratori

Il Garante privacy ha pubblicato il Vademecum 2015 su "Privacy e lavoro" (grazie a Ivo Trotti di TNS per la segnalazione):
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3890025

Oltre a questo, il Consiglio d'Europa in data 1° aprile 2015 ha adottato la Raccomandazione CM/Rec(2015)5 sul trattamento dei dati personali nel contesto dell'occupazione. I datori di lavoro dovrebbero ridurre al minimo i rischi di violazione dei diritti dei lavoratori e delle libertà fondamentali:
- https://wcd.coe.int/ViewDoc.jsp?id=2306625

Questa seconda notizia mi è stata fornita da Enzo Ascione di Intesa Sanpaolo. Enzo si chiede anche come agiranno le imprese che hanno già emesso delle policy interne in conformità al Provvedimento del Garante in materia di utilizzo della posta elettronica e della rete internet (delibera n. 13 del 1° Marzo 2007).

Inoltre si chiede:
- Quanto differiscono queste Recommendation "europee" dalla delibera "italiana" di cui sopra?
- Questa analisi sarà affrontata e pubblicata dal Garante o dovremo farla da soli?
- Come tenere conto delle eventuali differenze?

ISO/IEC 20000 e informatica

Stanno girando da tempo post e articoli sul fatto che forse la ISO/IEC 20000
non riguarda solo i servizi di tipo informatico, ma tutti i servizi.

Ne ho avuto conferma al meeting dell'SC27 e un po' ne sono rimasto sorpreso.

Di questa possibilità ne parlai, assolutamente casualmente, nel 2005 con
Tony Coletta. Ci eravamo messi a discutere sul perché nella norma non
apparisse mai "IT" e se quindi, forse, poteva essere generalizzata. Mi
ricordo che, in effetti, convenimmo sulla sua possibile generalizzazione, ma
non pensavo che questa idea potesse diffondersi.

Ora la cosa è ufficiale o quasi ufficiale.

Sito di confronto delle normative privacy

Stefano Ramacciotti, che ringrazio moltissimo, mi ha segnalato questo sito
che permette di confrontare tra loro le normative privacy di due Paesi:
- http://www.dlapiperdataprotection.com/#handbook/registration-section/c1_IT/c2_NO

Ci ho fatto un breve test e mi è sembrato molto bello.

Rapporto semestrale MELANI

Ogni sei mesi MELANI, la "Centrale d'annuncio e d'analisi per la sicurezza
dell'informazione" svizzera pubblica un rapporto sulla sicurezza delle
informazioni molto ben fatto.

Il 2014/II uscito a fine aprile 2015 riporta in parte i "soliti" attacchi di
virus, intrusione, eccetera. In parte ci sono articoli su un attacco ad un
impianto industriale in Germania, ad aziende norvegesi del settore
petrolifero, alla navigazione aerea, eccetera. Il rapporto si trova a questo
indirizzo:
- http://www.melani.admin.ch/dienstleistungen/archiv/01598/index.html?lang=it

La cosa interessante è che per ogni tipo di attacco sono riportate
sinteticamente le misure di sicurezza da considerare. Per gli impianti
industriali si fa anche riferimento ad una pubblicazione specifica dal
titolo "Misure di protezione dei sistemi industriali di controllo (ICS)":
- http://www.melani.admin.ch/dienstleistungen/00132/01557/index.html?lang=it

Stato delle norme ISO/IEC 27000

Venerdì 8 maggio si è concluso a Kuching (Malesia) il meeting semestrale del
WG1 dell'ISO/IEC JTC1 SC27 che ha, tra le altre cose, la responsabilità di
redigere le norme della serie ISO/IEC 27000. A questo incontro hanno
partecipato circa 127 esperti in rappresentanza di circa 27 Paesi. Oltre ai
lavori del WG1, si sono svolti i lavori degli altri gruppi di lavoro
dedicati agli standard di sicurezza delle informazioni e sicurezza
informatica.

La delegazione italiana, per tutti i 5 gruppi di lavoro, era composta da 3
persone, incluso me e il Presidente dell'SC 27 italiano Fabio Guasconi (di
Bl4ckSwan).

Passo quindi in rassegna rapidamente cosa è successo.

ISO/IEC 27001: è stata apportata una correzione marginale al testo.

ISO/IEC 27003 ("interpretazione" della ISO/IEC 27001): c'è stata una lunga
discussione per avere un testo "di qualità". Io ho partecipato attivamente
alle discussioni e sono emerse cose interessanti. Purtroppo, la ricerca di
qualità rallenterà la pubblicazione della norma (che ora prevedo sarà a metà
o fine 2016).

ISO/IEC 27004 (sulla misurazione di un sistema di gestione per la sicurezza
delle informazioni): hanno cercato di rendere il testo sempre più "pratico"
e meno "teorico". Come italiani siamo riusciti ad inserire molti esempi di
misurazioni e a bloccare alcune idee molto belle in teoria ma irrealizzabili
nella pratica.

ISO/IEC 27005 (sulla gestione del rischio): la norma avanzava molto
lentamente perché si cercava di aggiornarla con troppe idee (ahinoi, spesso
troppo teoriche ma non rigorose). È stato deciso di ritornare all'edizione
del 2011 e apprortare solo le modifiche necessarie ad allinearla alla nuova
ISO/IEC 27001:2013 dove necessario. Questo comunque non velocizzerà i tempi
e la nuova edizione della ISO/IEC 27005, forse, uscirà nel 2017.

ISO/IEC 27006 (regole per la certificazione ISO/IEC 27001): la discussione
ha riguardato soprattutto il numero minimo di giornate di audit, osservando
che la nuova tabella di riferimento per questo calcolo diventerà "normativa"
e non più "informativa". Come spesso succede, interessi diversi partivano da
esigenze diverse e si è cercato di raggiungere un compromesso. Le
discussioni più accese sono state tra auditor, ossia tra quelli molto
scrupolosi che vorrebbero avere sempre più tempo per gli audit e quelli che
non ritengono necessario verificare sul campo l'attuazione delle misure di
sicurezza che non ritengono utile un audit lungo, avendo in effetti non
molte cose da vedere. Come al solito, il giusto starebbe nel mezzo; speriamo
di averlo trovato.

Delle altre norme oggetto di questo meeting (ISO/IEC 27007, 27008, 27010,
27013, 27017, 27019, 27021) non ho seguito le discussioni.

Ho seguito anche una breve riunione in merito ad un possibile futuro e
ulteriore standard sul cloud. Ormai il numero di standard sul cloud è così
elevato che è quasi ridicolo (se poi pensiamo che per gli "altri" fornitori
non sono quasi disponibili delle buone linee guida). Una delegata ha chiesto
di presentare, per il prossimo incontro di ottobre, dei casi pratici che non
possono essere affrontati con gli standard attualmente disponibili. Ho
apprezzato molto questa richiesta, soprattutto perché ci aspettiamo che non
ne sarà presentato nessuno.

I 10 rischi più importanti per le tecnologie sanitarie

Marco Fabbrini, esperto di dispositivi medicali, mi ha segnalato la
pubblicazione "Top 10 Health Technology Hazards for 2015" dell'ECRI
Institute:
- https://www.ecri.org/press/Pages/ECRI-Institute-Announces-Top-10-Health-Tech
nology-Hazards-for-2015.aspx

Il rapporto è stato tradotto in italiano da AIIC.

I 10 rischi più importanti sono:
1. Policy e pratiche di configurazione degli allarmi inadeguate;
2. Dati errati o mancanti nella cartella clinica elettronica ed altri sistemi informatici;
3. Inversione di linee per terapia endovenosa e conseguente errata somministrazione di farmaci;
4. Rigenerazione inadeguata di endoscopi e strumenti chirurgici;
5. Mancata rilevazione di scollegamento dei ventilatori, a causa di allarmi mal-impostati o non avvertiti;
6. Errori nell'utilizzo e malfunzionamento di dispositivi per la movimentazione del paziente;
7. "Dose Creep": Insidiose variazioni nell'esposizione a radiazioni diagnostiche;
8. Complicazioni conseguenti a formazione inadeguata su chirurgia robotica;
9. Protezioni inadeguate per dispositivi e sistemi medicali da attacchi informatici;
10. Collassamento dei programmi per la gestione di richiami e avvisi di sicurezza.

Marco mi ha fatto notare che 3 su 10 sono di sicurezza informatica (il 2, il 9 e il 10). Tutto ciò è sintomo di un interesse degli operatori per questi temi (i rischi non sono stati rilevati da statistiche degli incidenti registrati, ma da altre fonti) e quindi da considerare.

Attacco ad una TV francese

Questa notizia la trovo strabiliante:
- http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/

Dal SANS NewsBites: in un'intervista video (peraltro relativa ad un hacking di un satellite), alle spalle dell'intervistato (un giornalista della rete francese TV5Monde) si trovavano dei foglietti con user-id e password. Come è andata a finire, potete immaginarlo (11 stazioni hanno avuto delle interruzioni di segnale).

Questo ci ricorda che ci vuole veramente poco per essere attaccati con successo.

NIST SP 800-161 su supply chain risk management

Il NIST ha pubblicato la Special Publication 800-161, Supply Chain Risk Management Practices. Essa è indirizzata agli enti federali degli USA ma potrebbe essere interessante per tutti:
- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf

Io sono un fan delle pubblicazioni del NIST, ma questa non mi ha soddisfatto. Infatti spende 36 pagine per illustrare un metodo di risk assessment (come se il NIST non avesse già un'altra pubblicazione dedicata a questo o come se gli autori di questa pubblicazione volessero dire la loro sulla materia) per poi elencare lungamente dei controlli di sicurezza non sempre applicabili a tutti i fornitori. Anche l'elenco delle minacce non mi sembra particolarmente illuminante.

Mi sarebbe piaciuto infatti trovare considerazioni sui rischi relativi ai fornitori e alla filiera di fornitura, mentre invece non si trova quasi nulla di tutto ciò. E così pure sui controlli di sicurezza.

Bisogna dire che mi sembra quindi un'occasione persa, soprattutto se consideriamo quanta letteratura (di qualità non sempre eccelsa...) è stata fatta sui servizi cloud (ossia su una tipologia specifica di fornitori) e quanta poca ve ne sia sugli altri fornitori. Poteva essere l'occasione per ricordare che gran parte delle questioni di sicurezza delle informazioni relative ai servizi cloud sono in realtà comuni a più tipologie di fornitori e che, pertanto, andrebbero affrontate.

Linee guida del CERT sulla codifica

Vi segnalo i "CERT Coding Standards" per C, C++, Java, Perl e Android:
- https://www.securecoding.cert.org/confluence/display/seccode/CERT+Coding+Standards

Il un'altra pagina, sono a disposizione le "Java Coding Guidelines":
- https://www.securecoding.cert.org/confluence/display/java/Java+Coding+Guidelines

La differenza tra gli "standard" e le "linee guida" al momento mi sfugge.

Sul web

Mi rendo conto che questa notizia non c'entra nulla. Ma appaio per un secondo (il quinto) in questo spot di McDonald's e mi sembra ancora incredibile:
- http://www.ilpost.it/2015/04/15/hamburger-mcdonalds-blind-taste-milano-italia/

Sviluppo - Worst practice

Mi è capitato un caso interessante. Visto che fatturo (poco) all'estero,
devo produrre dichiarazioni doganali. Da www.agenziadogane.it devo usare un
servizio "Intrastat". Ogni anno mi dà dei problemi e ogni anno devo chiamare
l'assistenza.

Vi segnalo quindi la pagina con le istruzioni per quest'anno (ogni anno
cambiano, ovviamente):
- http://assistenza.agenziadogane.it/SRVS/CGI-BIN/WEBCGI.EXE?St=274,E=00000000
00249617387,K=5081,Sxi=17,Solution=1946,t=Solution

Per chi non ha voglia di leggersi il documento, ecco cosa bisogna fare:
- usare una versione obsoleta di JRE;
- abbassare il livello di sicurezza del Java;
- abbassare il livello di sicurezza di Internet Explorer.
- osservare che i certificati usati sono auto-firmati.

Aggiungo che il mio pc con Windows 8, nonostante tutte queste cose, ha fatto
cilecca e ho dovuto usare un "vecchio" Windows Vista.

Questo è decisamente un caso di "worst practice" relativa allo sviluppo.

Un'ulteriore considerazione: l'assistenza mi ha risposto in modo molto
veloce e puntuale (anche se poi ho comunque dovuto cambiare pc). Questo mi
porta a credere che il fornitore dell'Agenzia delle Dogane ha un sistema
gestionale per cui l'assistenza (reattiva) funziona bene, ma la qualità
(preventiva) funziona molto male (la navigazione del sito è anch'essa molto
discutibile, con informazioni sparse in modo apparentemente casuale). C'è di
che pensar male (o perché la Direzione non sa fare il suo lavoro, oppure
perché così può risparmiare su una serie di elementi ma farsi pagare di più
a causa di altri).

CIO si lamentano dell'inutilità dei report

Sul SANS NewsBites del 3 aprile trovo la seguente notizia: secondo
un'indagine del Government Accountability Office (GAO) presso responsabili
dell'IT (CIO, Chief Information Officer) di 24 agenzie federali tra le più
grandi, i report richiesti dal Office of Management and
Budget (OMB) sono in gran parte inutili e costosi:
- http://www.nextgov.com/cio-briefing/2015/04/survey-cios-say-many-it

Si tratta certamente di cose molto specifiche, ma il report del GAO mi ha
incuriosito:
- http://www.gao.gov/assets/670/669434.pdf

Se ho capito correttamente, i report richiesti sono 36 e riguardano la
pianificazione strategica, la pianificazione capitale e degli investimenti,
la sicurezza IT, l'acquisizione e integrazione dei sistemi IT e altre
iniziative. Solo 4 di questi sono reputati utili e riguardano la
pianificazione strategica e la pianificazione capitale e degli investimenti.
Tra i report "moderatamente significativi" si trovano quelli sulle
"significative debolezze di sicurezza" e sulle "metriche di sicurezza IT".

Perché la sicurezza è "moderatamente significativa"? In parte, sul report si
legge che si tratta di report con dati ridondanti l'uno con gli altri o con
dati da inserire manualmente da diverse fonti. In parte immagino che molte
misure non siano ritenute effettivamente significative e questo è uno dei
problemi della sicurezza: si può misurare il numero di incidenti e poco più.
Il resto serve solo a dare un'illusione di controllo "oggettivo".

Controllo del codice

Sulla mailing list ml di Sikurezza.org, un partecipante ha chiesto consigli
sugli strumenti di controllo automatico del codice.

Gli altri partecipanti hanno fornito diverse indicazioni: Fortify, ZAproxy,
pylint (per Python), Brakeman, Dawnscanner (per Ruby), Coverity (C++),
Veracode (su cloud).

Ancora più interessante è il link alla pagina del NIST, con una serie di
strumenti:
- http://samate.nist.gov/index.php/Source_Code_Security_Analyzers.html

In molti hanno segnalato alcuni problemi di questi strumenti, soprattutto i
falsi positivi e la necessità di valutarne i risultati con la dovuta
cautela, visto che ogni prodotto ha le sue specificità.

In questi anni, lo confesso, ho sempre ignorato questi strumenti, usati sia
per il controllo della qualità sia della sicurezza del codice. Credo che
invece siano da prendere in considerazione.