Norme ISO: i lavori del ISO/IEC JTC1 SC27 WG3

Stefano Ramacciotti mi ha inviato un aggiornamento sui lavori del WG3 del
Sub Commitee 27 di ISO/IEC JTC1. Esso si occupa dello sviluppo di Security
Evaluation Assurance criteria, ovvero dei criteri di valutazione dei sistemi
informatici (compresi quelli crypto) per mezzo dei quali verificare la
fiducia, in termini di sicurezza, che può essere accordata ai prodotti in
esame.

Tra i principali standard vi sono i Common Criteria (standard ISO/IEC
15408), con la relativa metodologia (ISO/IEC 18045), gli standard a essi
collegati (come l'ISO/IEC 15292 sulle procedure di registrazione dei
Protection profile e l'ISO/IEC TR 15446, per le linee guida relative alla
costruzione di Protection Profiles (PP) e Security Targets (ST)), più altri
standard come l'ISO/IEC 19790 Security requirements for cryptographic
modules che rappresenta l'edizione internazionale dello standard
americano-canadese FIPS 140-2.

Nel corso della conferenza svoltasi a Incheon (Corea del Sud) dal 21 al 25
ottobre u.s., si è parlato soprattutto di:
- ISO/IEC 15408-1:2009 "Information technology -- Security techniques --
Evaluation criteria for IT security -- Part 1: Introduction and general
model": per il quale ne è stata chiesta la pubblicazione.
- ISO/IEC 17825 "Testing methods for the mitigation of non-invasive attack
classes against cryptographic modules": per il quale è stata chiesta la
votazione per il passaggio a CD.
- ISO/IEC 18045:2008 "Information technology -- Security techniques --
Methodology for IT security evaluation": per il quale ne è stata chiesta la
pubblicazione.
- ISO/IEC TR 19791:2010 "Information technology -- Security techniques --
Security assessment of operational systems": per la quale dovrà essere
preparato il primo Working Draft entro fine anno.
- ISO/IEC TR 20004 "Refining software vulnerability analysis under ISO/IEC
15408 and ISO/IEC 18045": rimodulata in modo da diventare la prima parte
della futura ISO/IEC 20004 e la 30127 "Detailing software penetration
testing under ISO/IEC 15408 and ISO/IEC 18045 vulnerability analysis" ne è
divenuta la seconda parte;
- ISO/IEC 24759:2008 "Information technology -- Security techniques -- Test
requirements for cryptographic modules": per il quale è stata chiesta la
votazione per la CD.
- "Study Period on High-assurance evaluation under ISO/IEC 15408/18045":
prolungato il periodo di studio.
- "Joint ISO/IEC JTC 1/SC 27/WG 3 and ISO/IEC JTC 1/SC 27/WG 5 Study Period
on security evaluation of anti spoofing techniques for biometrics":
prolungato il periodo di studio.
- SC 27 N13022 "Competence requirements for security evaluators, testers,
and validators": stabilito un periodo di studio.
- SC 27 N13026 "Guidance for developing security and privacy functional
requirements based on ISO/IEC 15408": richiesto un New Work Item Proposal.

UNI 11506:2013 - Figure professionali ICT

Franco Ferrari del DNV Italia e Giovanni Ghidoni mi hanno segnalato la
pubblicazione della norma UNI 11506:2013 dal titolo "Attività professionali
non regolamentate - Figure professionali operanti nel settore ICT -
Definizione dei requisiti di conoscenza, abilità e competenze".

E' possibile leggere l'articolo di presentazione di UNI:
-
http://www.uni.com/index.php?option=com_content&view=article&id=2486:la-nuov
a-uni-11506-definisce-la-figura-professionale-dell-informatico

Questa norma UNI si basa sul European e-Competence Framework e sui tre
documenti del European e-Competence Framework 2.0 il cui sito web di
riferimento è:
- http://www.ecompetences.eu/1386,Home.html

Questi 3 documenti corrispondono alle CWA 16234-1, 2 e 3 del CEN, il cui
sito di riferimento è:
-
http://www.cen.eu/cen/Sectors/Sectors/ISSS/CWAdownload/Pages/ICT-Skills.aspx

Confesso che non ho capito cosa offra in più la UNI 11506 e quindi come
dovrebbe essere applicata. Ogni indicazione sarà benvenuta (e pubblicata, se
ne sarò autorizzato).

Rapporti semestrali Clusit e MELANI

Segnalo la pubblicazione dei due rapporti sulla sicurezza informatica tra i
più interessanti in circolazione.

Per quello Clusit, aggiornato al primo semestre 2013, è necessario
richiederlo a rapporti@clusit.it.

Quello MELANI (svizzero) si trova a questo indirizzo:
-
http://www.melani.admin.ch/dienstleistungen/archiv/01558/index.html?lang=it

Diffamazione sul web

Segnalo questo interessante articolo su CINDI dal titolo "Riforma della
diffamazione via web (e tramite Facebook)"
http://www.cindi.it/diffamazione-via-web-tramite-facebook/

Personalmente, non sono interessato a studiare i disegni di legge, a meno
che non mi chiamino a collaborare (cosa mai successa, per la verità), perché
poi cambiano continuamente (vedere Regolamento UE privacy e, in precedenza,
il DPS o la privacy nella 231).

Però l'articolo descrive bene come interpretare il reato di diffamazione
(diffamazione semplice, tentativo di diffamazione, circostanze attenuanti,
permanenza del reato, eccetera) e le pene previste.

Frodi sui dispositivi mobili

Dalla newsletter del Clusit del 31 ottobre segnalo un documento dell'APWG
dal titolo "Mobile Financial Fraud & The Underground Marketplace - Overview
– an APWG White Paper". Si trova a questo link:
- http://apwg.org/resources/mobile

Sono riportate le tante minacce e vulnerabilità relative ai dispositivi
mobili, utili per capire il fenomeno a chi non dovesse averlo ancora capito.

Corrispondenze tra ISO/IEC 27001:2005 e ISO/IEC 27001:2013

Alla seguente pagina è pubblicato il documento ufficiale dell'SC 27 "Mapping
Old-New Editions of ISO/IEC 27001 and ISO/IEC 27002":
- http://www.jtc1sc27.din.de/sbe/wg1sd3

Ovviamente, lo studio di questo documento non potrà escludere uno studio
attento della nuova ISO/IEC 27001:2013. Come ho già ricordato più volte,
molti requisiti presenti in precedenza sono ora impliciti e alcuni
collegamenti sono meno evidenti ma ci sono (per esempio, nel riesame di
direzione non viene più richiesto di determinare il fabbisogno di risorse
per l'ISMS, ma tale fabbisogno deve essere espresso quando si stabiliscono
gli obiettivi).

Inoltre, non condivido la dicitura "deleted" per alcuni controlli della
ISO/IEC 27002: se così fosse, vorrebbe dire che non erano utili per la
sicurezza delle informazioni. In realtà, tutti i controlli "deleted" sono
stati incorporati in alcuni degli attuali 114 controlli (per
esempio, il "input data validation" è ora incorporato nel 14.1.1 Information
security requirements analysis and specification.

Privacy, audit e videosorveglianza

Dalla newsletter del Garante del 31 ottobre 2013 segnalo la notizia "
Sicurezza nei supermercati senza ledere la dignità dei lavoratori - Nel
mirino del Garante le società della grande distribuzione con sistemi di
videosorveglianza non a norma":
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2
726619#2

In realtà nulla di nuovo: il Garante ha svolto delle ispezioni e ne fa un
resoconto.

Segnalo però la seguente frase: "Il legale rappresentante di un supermercato
aveva addirittura dichiarato al nucleo ispettivo che l'impianto di
videosorveglianza non era in funzione, salvo poi doversi smentire di fronte
alle evidenze raccolte". Magnifico! Cercano di prendere in giro anche gli
ispettori del Garante, non solo gli auditor ISO. Mi sento in buona
compagnia.

Transizione alla ISO/IEC 27001:2013

L'IAF, International Accreditation Forum, l'organizzazione che si occupa di
dare le regole per gli organismi di accreditamento e quelli di
certificazione, ha approvato la risoluzione 2013-13 che riporta le regole
per la transizione delle certificazioni dalla alla ISO/IEC 27001:2005 alla
ISO/IEC 27013.

La risoluzione è molto succinta e stabilisce che i certificati ISO/IEC
27001:2005 non saranno più validi dal 1 ottobre 2015. Non sono date
ulteriori regole sulla formazione degli auditor o su altri aspetti. Trovo
sia un peccato.

Le organizzazioni certificate dovranno comunque ricevere nei prossimi mesi
una comunicazione del proprio organismo di certificazione con indicate le
regole per la transizione.

Privacy e call center extra-UE

Dalla newsletter del Garante privacy, segnalo il recente Provvedimento
relativo ai call center siti in Paesi extra-UE:
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2724806

Apparentemente non dice nulla di nuovo, ma in realtà la newsletter segnala
le seguenti novità:
- i call center dovranno dichiarare la nazione dalla quale chiamano o
rispondono;
- per le chiamate in entrata, dovrà essere data all'utente la possibilità di
scegliere un operatore collocato sul territorio nazionale;
- dovrà essere segnalato preventivamente al Garante l'affidamento delle
attività di call center in Paesi extra-UE.

Non sono un protezionista, ma sono contento che finalmente il Garante si sia
accorto di questo fenomeno e cerchi di controllarlo.

Stato delle norme ISO/IEC 270xx

Venerdì 25 ottobre si è concluso a Songdo (Corea del Sud) il 47mo meeting
dell'SC 27 dell'ISO/IEC JTC 1. Hanno partecipato circa 250 delegati, di cui
70 per il WG1 (ossia il gruppo che si occupa delle norme della famiglia
ISO/IEC 27000 e collegate alla ISO/IEC 27001). La delegazione era composta
da 4 persone: io per il WG 1, Stefano Ramacciotti per il WG 3, Dario Forte
per il WG 4 e Andrea Caccia per i WG 1 e 4 e come rappresentante per ETSI.

Di seguito, le decisioni in merito alle norme del WG 1 affrontate in questo
meeting.

ISO/IEC 27000 (Overview and vocabulary)
La norma sarà pubblicata a breve nell'edizione 2013. Si è discusso su come
affrontare la prossima versione. Infatti, ciascun termine è "di proprietà"
di uno standard e può essere ridefinito solo contestualmente
all'elaborazione di quello standard. Purtroppo, il lavoro sui termini e
definizioni è spesso lasciato in secondo piano e ogni tanto i risultati sono
insoddisfacenti (per esempio la definizione di "evento di sicurezza delle
informazioni", non collegata alla definizione di "evento"). Si farà
sicuramente di meglio nel futuro.

ISO/IEC 27001 e 27002
Sarà pubblicato e reso disponibile gratuitamente il documento WG1 SD3
"Mapping Old to New Editions of ISO/IEC 27001 and ISO/IEC 27002". Ne
parleremo quando disponibile.

ISO/IEC 27003 (Guida all'attuazione di un ISMS)
Si è deciso di cambiarla totalmente e cambiarle il titolo (da
"Implementation guidance" a "Guidance"). Ora diventerà una guida alla
ISO/IEC 27001 e sarà suddivisa negli stessi capitoli della ISO/IEC 27001.

ISO/IEC 27004 (Misurazioni)
Tutti i partecipanti hanno concordato per un approccio non teorico. Sarà
proposto un modello al prossimo meeting di aprile: bisognerà vedere come
sarà e se presenterà un insieme minimo di indicatori. Si è anche deciso di
scrivere un testo che non possa essere utilizzato come check list da auditor
e utilizzatori, ma che sia veramente una linea guida. Cambierà titolo da
"Measurements" a "Monitoring, measurement, analysis and evaluation".

ISO/IEC 27005 (Risk management)
Si è deciso di non limitare il testo ai soli risk assessment e risk
treatment, ossia di mantenerla come è ora. Infatti, alcuni volevano ridurne
lo scopo per evitare sovrapposizioni con la 27001 e la 27003. La maggioranza
ha voluto però evitare di pubblicare un testo troppo sintetico e forse
incomprensibile alla maggioranza dei lettori (come invece, a mio parere, si
è fatto per la 27001).

ISO/IEC 27006 (Requisiti per gli organismi di certificazione)
Si è discusso se mantenere la tabella di riferimento per le giornate di
audit basata sulle persone impiegate nell'ISMS, oppure se seguire un'altra
strada. Malgrado né in questo meeting né nel precedente siano state
individuate strade alternative, metà dei delegati ha votato per questa
seconda opzione; vedremo cosa succederà al prossimo meeting. Si è anche
deciso di riportare la versione del SoA sui "documenti di certificazione" e
non sul certificato, contrariamente a quanto previsto dalla versione della
27006 attualmente in vigore.

ISO/IEC 27016 (Organizational economics)
Sarà pubblicata a breve.

Process reference model e Process assessment model
Di questo ne parlai già in precedenza
(http://blog.cesaregallotti.it/2013/09/spice-modelli-di-maturita-e-isoiec-27
001.html). Le proposte sono state sostanzialmente bocciate. Attualmente
queste due proposte di standard sono di competenza del SC 7, ma sarà averle
come di responsabilità del SC 27.

Si è anche discusso di ISO/IEC 27009 (cambierà titolo il "Sector specific
application of ISO/IEC 27001 – Requirements), 27011 (requisiti per
telecomunicazioni), 27013 (rapporti tra 27001 e 20000-1)
e 27017 (cloud), senza notizie da segnalare.

ISMS professionals
Si sta studiando da tempo una norma sulle certificazioni delle competenze
dei professionisti degli ISMS. Ora si è deciso di creare uno schema a cui
dovranno adeguarsi gli organismi di certificazione del personale.

Stato avanzamento Regolamento EU Privacy

Alberto Piamonte mi ha segnalato questo link:
- www.federprivacy.it/informazione/ultime-news-privacy/988-via-libera-al-nuovo
-regolamento-ue-sulla-privacy.html

La notizia è che la Commissione Libertà civili e giustizia (LIBE) del
Parlamento Ue ha dato voto positivo alla proposta di Regolamento Europeo
privacy di cui ho parlato in altri post:
- http://blog.cesaregallotti.it/2013/09/articolo-sullo-stato-del-regolamento-u
e.html

L'articolo di Federprivacy è decisamente entusiasta, ma rimane ancora almeno
un ulteriore passaggio, ossia il negoziato a tre di Consiglio, Commissione e
Parlamento europei.

Max Cottafavi di Reply mi ha invece segnalato questo link, dove si dice che
l'UK sta invece lavorando per posporre il tutto al 2015:
- http://www.euractiv.com/specialreport-digital-single-mar/france-germany-form
-anti-spy-pac-news-531306

Il Garante, nella sua newsletter del 31 ottobre, riassume le principali novità:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2726619#3

Credo rimanga valida la regola di base: finché non sarà approvato definitivamente, eviterei di dedicare troppo tempo a questo possibile Regolamento.

Presentazione nuove norme ISO/IEC 27001 e 27002

Vi segnalo questa presentazione UNINFO sulle nuove ISO/IEC 27001 e 27002 e a
cui ho contribuito:
-
http://www.slideshare.net/guasconif/le-nuove-norme-della-famiglia-27000

Facebook e i profili segreti

Massimo Cottafavi di Reply mi ha segnalato un po' preoccupato questa
notizia:
-
http://www.lastampa.it/2013/10/14/tecnologia/addio-ai-profili-segreti-su-fac
ebook-HdLcdF3CdeRrKjESHSiD3J/

Facebook, quindi, ci dice che potrà condividere le nostre informazioni con
altri soggetti, a scopi pubblicitari e di marketing. Sono sorpreso: pensavo
lo facesse già da tempo ;-)

Privacy e 231 - Tutto annullato (ed errata corrige)

Con la newsletter del 16 di ottobre avevo segnalato dei contributi sulla
possibilità che parte dei delitti previsti dal Codice Privacy fossero
compresi nel Dlgs 231 del 2001. Ma non avevo controllato e il Decreto Legge
93/2013 è stato convertito in Legge con modificazione (Legge 119/2013) e non
è "passata" la proposta.

Mi spiace con tutti i miei lettori. Posso giustificarmi dicendo che la Legge
è datata 15 ottobre, ma la notizia è "vecchia" di 2 settimane.

La prima ad avvisarmi è stata Paola Generali di GetSolution, seguita da
Fabio Guasconi (mio Presidente all'SC 27), da Massimo Cottafavi di Spike
Reply.

Posso anche aggiungere che tutto questo mi ha permesso di capire che c'è una
differenza tra "reati" e "delitti" e "sanzioni" e "contravvenzioni" grazie
all'errata corrige del mese scorso.

Infine, Stefano Ramacciotti mi ha ricordato che la pena di morte è stata
abolita da anni, mentre io la citavo.

Deepweb and Cybercrime

Segnalo questa breve ricerca dal titolo "Deepweb and Cybercrime - It's Not
All About TOR" della Trend Micro, segnalata sul gruppo Italian Security
Professional di LinkedIn:
-
http://www.trendmicro.com/cloud-content/us/pdfs/security-intelligence/white-
papers/wp-deepweb-and-cybercrime.pdf

Francamente, mi aspettavo un po' di più (ho sentito cose più approfondite
durante il corso di Digital forensics della Statale di Milano). Ad ogni
modo, è utile per aggiornarsi un po' sul sottobosco della criminalità
informatica.

Materiale sulla ISO/IEC 27001:2013

Mi hanno segnalato del materiale informativo relativo alla ISO/IEC
27001:2013. Molto è tratto dalla documentazione discussa nel corso della
redazione della ISO/IEC 27001 e può quindi valere la pena leggerlo,
soprattutto per comprendere alcuni impatti introdotti dai cambiamenti.

I titoli delle pubblicazioni sono i seguenti:
- " Moving from ISO/IEC 27001:2005 to ISO/IEC 27001:2013";
- "Mapping between the requirements of ISO/IEC 27001:2005 and ISO/IEC
27001:2013";
- "Checklist of Mandatory Documentation Required by ISO/IEC 27001 (2013
Revision)";
- "Diagram of ISO 27001 2013 Implementation Process".

Non condivido tutto quello che si trova in queste schede: alcune cose le
avrei approfondite di più, altre di meno. Gli ultimi due sono proprio delle
interpretazioni a volte molto libere della norma. Ma si tratta comunque di
analisi valide, che vale la pena studiare.

Ci tengo però a dire che non trovo corretti i riferimenti incrociati tra
nuova e vecchia ISO/IEC 27001 e 27002. Infatti, alcuni requisiti e controlli
del 2005 sono dati per "cancellati", mentre molti sono invece "incorporati"
o "impliciti" in quelli del 2013.

Per concludere: non so se i documenti sono liberamente reperibili, ma se li
trovate con un motore di ricerca vuol dire che, in qualche modo, lo sono...

Amazon e l'errore del prezzo

La notizia è la seguente: Amazon ha messo in vendita un computer ad un
prezzo sbagliato e molto basso. Ha quindi corretto il prezzo e ha comunicato
agli acquirenti che il loro acquisto era annullato.

Notizia e commento di Andrea Monti:
- http://www.ictlex.net/?p=1473

Lo trovo molto pertinente e mi è piaciuta molto la conclusione: "E' regola
generale nel diritto dei contratti che le parti – tutte e due – devono agire
secondo buona fede". Purtroppo lo fanno in pochi...

Udine: compromesso il sito dell'azienda sanitaria

Sandro Sanna mi ha inviato questa notizia, a cui potremmo dare il titolo "A
Udine violati i computer dell'Ass 4. On line i reclami dei malati" ed è in
tre parti:
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/07/news/a-udine-violati-i
-computer-dell-ass-4-on-line-i-reclami-dei-malati-1.7881088
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/10/news/assalto-informati
co-insiel-noi-parte-lesa-1.7898761
-
http://messaggeroveneto.gelocal.it/cronaca/2013/10/11/news/ma-quale-hacker-c
si-ho-scoperto-i-reclami-all-ass-4-1.7903434

In poche parole: un utente dell'azieda sanitaria numero 4 vuole inviare un
reclamo attraverso il loro sito web e si accorge di una piccola falla di
sicurezza e la comunica ad un giornale on-line.

La "piccola falla" è piuttosto banale: l'applicazione non verifica se le
pagine web sono richieste da un utente autenticato e quindi è sufficiente
cambiare il numero di richiesta dall'URL e questa appare, a prescindere da
chi l'ha fatta. Direi che rientriamo nella quarta vulnerabilità più diffusa
secondo OWASP:
-
https://www.owasp.org/index.php/Top_10_2013-A4-Insecure_Direct_Object_Refere
nces

Mi chiedo se queste pagine sono almeno protette dagli spider di Google. E
però ho trovato meraviglioso il fatto che Insiel, l'azienda che ha
sviluppato il sistema, si è dichiarata parte lesa.

Ma sappiamo bene come vanno le cose: un prodotto sicuro costa di più di uno
insicuro e quindi si opta spesso e volentieri per il secondo. Mi auguro che
un qualche giudice multi l'Ass 4 per non aver fatto i controlli e Insiel per
aver fatto male il proprio lavoro.

Report 2013 di Verizon

Dal gruppo infotechlegale.it di LinkedIn ricevo la notizia della
pubblicazione del "2013 Data breach investigations report" di Verizon:
- www.verizonenterprise.com/DBIR/2013/

Il report è molto interessante. In particolare, analizza, per il 2012, le
compromissioni di dati rilevate (dove gli attacchi da parte di esterni sono
il 92%) e gli incidenti senza compromissioni (dove invece la maggioranza del
69% è stata causata da personale interno). Il report analizza i settori
merceologici delle imprese coinvolte, i tipi di attaccanti, gli asset e i
dati oggetto degli attacchi.

Ho trovato interessante anche le analisi sui tipi di attacchi adottati per
le comprimissioni e quelli per gli incidenti senza compromissioni (qui, gli
agenti di attacco sono soprattutto gli interni e quindi errori e malware
sono i più diffusi).

Sempre procedendo nella lettura del report, è curioso il paragone tra i dati
relativi al malware analizzati da Verizon e da Microsoft: per Verizon, l'84%
del malware è installato con l'aiuto degli utenti mentre per Microsoft solo
il 45%. La differenza, per Microsoft, è dovuta ad errori di configurazione.

C'è però un neo: il report non si basa su alcun dato dall'Italia.

Articolo su privacy e 231

Riprendendo il post precedente
http://blog.cesaregallotti.it/2013/09/privacy-e-231.html, segnalo questo
articolo di approfondimento segnalato da CINDI dal titolo "Il trattamento
illecito dei dati e la responsabilità dell'azienda", il cui merito, oltre ad
un riassunto dei reati che potrebbero essere introdotti nella 231 (se il DL
verrà convertito), è di presentare un esempio delle sanzioni.

Mi permetto di fare una considerazione a cui ho pensato recentemente e
collegandomi al testo dell'articolo stesso "fortunatamente, nell'ottica
delle imprese, l'omessa adozione delle misure minime di sicurezza non
rientra tra i reati presupposto del d.lgs. 231/01". Va detto che i
Provvedimenti del Garante rientrano tra i reati presupposto del d.lgs.
231/2001 e molto spesso riepilogano le misure minime... di conseguenza non
vedo molta fortuna per le imprese che ancora non applicano le misure minime.