5 metodi per costruire una cultura di sicurezza

Segnalo questo interessante articolo dal titolo "5 Solid Ways to Build
Security Culture in Your Organization (That You Probably Never Heard Of)":
-
http://infosecisland.com/blogview/23577-5-Solid-Ways-to-Build-Security-Cultu
re-in-Your-Organization-That-You-Probably-Never-Heard-Of.html

I metodi sono i seguenti:
- insegnare alle persone a non dire NO,
- lasciar perdere i messaggi paranoici e sulle minacce,
- perseguire la felicità,
- discoraggiare la socializzazione,
- incoraggiare le camminate.

Come si vede dai titoli, sono argomenti nuovi e non abusati. Vale la pena
approfondirli, anche per discuterne.

UNI/PdR 6:2014 sulle infrastrutture critiche

Franco Ferrari di DNV GL Italia mi ha segnalato la pubblicazione, il 16
gennaio, della prassi di riferimento UNI/PdR 6:2014 dal titolo "
Infrastrutture Critiche - Sistema di gestione della resilienza - Requisiti".

Comunicato ufficiale e documento completo in pdf si trovano sul sito di
aipsa e di UNI:
-
http://www.uni.com/index.php?option=com_content&view=article&id=2596:sistema
-di-gestione-della-resilienza-delle-infrastrutture-critiche-pubblicata-la-pr
assi-di-riferimento&catid=111&Itemid=546
-
http://www.aipsa.it/in-evidenza/tavolo-unipdr-tutela-delle-infrastrutture-cr
itiche-ratifica-e-pubblicazione-unipdr-62014/

E-book "Grazie mr. Snowden"

Giusto giusto il mese scorso avevo detto che non mi sono occupato di
Snowden, NSA, PRISM e compagnia.

Continuerò a non farlo, ma Sandro Sanna mi ha segnalato questo e-book
gratuito indirizzato a chi avesse perso qualche puntata della saga:
-
http://messaggeroveneto.gelocal.it/cronaca/2014/01/17/news/grazie-mr-snowden
-scarica-gratis-l-e-book-di-fabio-chiusi-1.8486390

Microsoft Security Intelligence Report 15

Dal gruppo infotechlegale.it di LinkedIn vedo che Microsoft ha pubblicato il
suo "Microsoft Security Intelligence Report", relativo al periodo
gennaio-giugno 2013.

Come molti altri report, presenta molti esempi e casi registrati da
Microsoft, con indicazioni su come sono stati trattati:
- http://www.microsoft.com/security/sir/default.aspx

Annex SL o Annex JC o MSS HLS?

Come già detto altrove, la ISO ha promosso uno schema unico per scrivere gli
standard relativi ai sistemi di gestione.

Al momento, sono stati pubblicati sei standard aderenti allo schema unico:
ISO 30301, ISO 22301, ISO 20121, ISO 39001, ISO 14298 e ISO 27001. Nove
standard sono in fase di redazione e aderenti allo schema: ISO 9001, ISO
14001, ISO 18420, ISO 19228, ISO 19600, ISO 21101, ISO 34001, ISO 37101, ISO
55001).

Lo schema unico ha un titolo: "High level structure, identical core text,
common terms and core definitions" ed è parte dell'Annex SL delle "ISO/IEC
Directives, Part 1 - Consolidated ISO Supplement — Procedures specific to
ISO".

L'ISO/IEC ha emesso le nuove direttive del 2014 specifiche per il JTC 1 (quelle appena ricordate sono specifiche per ISO), comitato a cui fanno riferimento le attività congiunte ISO e IEC, incluse quelle dedicate alla ISO/IEC 27001. Anche in queste direttive è riportata la "High level structure, identical core text, common terms and core definitions", ma nell'Annex JC!.

Ottimo... da oggi lo chiamerò, come fanno in molti, MSS HLS (Management
system standards - High level structure)

Le backdoor dell'NSA

Dal gruppo Italian security professional di LinkedIn segnalo questi due
articoli del Der Spiegel:
-
http://www.spiegel.de/international/world/the-nsa-uses-powerful-toolbox-in-e
ffort-to-spy-on-global-networks-a-940969.html
-
http://www.spiegel.de/international/world/catalog-reveals-nsa-has-back-doors
-for-numerous-devices-a-940994.html

In pochissime parole, sembra che l'NSA disponesse di un gruppo (TAO), che a
sua volta utilizzava le tecnologie messe a disposizione dal gruppo ANT, per
compromettere qualsiasi tipo di dispositivo. In particolare, sembra che
l'ANT avesse pubblicato un catalogo in cui apparivano più o meno tutte le
marche dei prodotti di gestione delle reti informatiche.

Da una parte è certamente inquietante che i servizi di spionaggio degli USA
possano accedere a qualsiasi tipo di dispositivo e intercettare quasi ogni
comunicazione (ma quando guardiamo certi telefilm come Person of Interest ne
siamo affascinati!). Io confesso di essere più turbato dal fatto che se lo
possono fare gli USA, lo possono fare anche gli altri.

Per i fan del genere, anche le linee intercontinentali di comunicazione
erano spiate:
-
http://www.repubblica.it/tecnologia/2013/12/30/news/datagate_nsa_cavo_sottom
arino_piratato-74789471/

Attacchi DDoS via NTP

SANS NewsBites riporta la notizia dell'aumento di attacchi DDoS basati su
una vulnerabilità del Network Time Protocol (NTP):
-
http://www.darkreading.com/attacks-breaches/attackers-wage-network-time-prot
ocol-bas/240165063
- https://isc.sans.edu/forums/diary/NTP+reflection+attack/17300

Il problema del NTP è che spesso viene configurato dagli sviluppatori e
dagli amministratori di rete e poi dimenticato. Quindi, le vulnerabilità
sono ignorate da produttori e utilizzatori.

Questo ricorda la necessità di tenersi sempre aggiornati sui prodotti che si
usano.

Attacco a OpenSSL

La notizia di Capodanno, ricevuta dal SANS NewsBites, è l'attacco al sito di
OpenSSL:
-
http://arstechnica.com/security/2014/01/openssl-site-defacement-involving-hy
pervisor-hack-rattles-nerves/

La cosa interessante è il comunicato finale del 29 dicembre, in cui si dice
che l'attacco ha sfruttato una password debole utilizzata per l'accesso
all'hypervisor:
- http://www.openssl.org/news/secadv_hack.txt

Insomma: il solito caro vecchio errore nella gestione delle password!

Privacy e call center extra-UE (riflessioni - parte 2 con errata corrige)

In merito ai call-center Extra-UE ho scritto un post e una riflessione nei
mesi scorsi:
- http://blog.cesaregallotti.it/2013/10/privacy-e-call-center-extra-ue.html
- http://blog.cesaregallotti.it/2013/12/privacy-e-call-center-extra-ue.html

Giuseppe Bava di ASPErience mi ha fatto notare che ho fatto un errore e lo
ringrazio.

In particolare, dicevo che il provvedimento si applica "a tutti i soggetti
che svolgono in qualità di titolare del trattamento un'attività di call
center in maniera prevalente". In realtà ciò non è vero.

Giuseppe mi ha segnalato che, nel Provvedimento, inizialmente il Garante
richiama una circolare del Ministero del lavoro e delle politiche sociali,
dedicata alle "aziende che svolgono in via assolutamente prevalente
un'attività di call center", ma poi dice che le sue disposizioni sono
rivolte a tutte le aziende, INDIPENDENTEMENTE dalla prevalenza o meno
dell'attività di call center.

Privacy e call center extra-UE (riflessioni)

A fine ottobre avevo segnalato il Provvedimento del Garante relativo ai
call center siti in Paesi extra-UE:
- http://blog.cesaregallotti.it/2013/10/privacy-e-call-center-extra-ue.html

Alessandro Alberici di Econocomm mi ha però fatto notare che questo
Provvedimento pone dei problemi. In particolare, esso si applica "a tutti i
soggetti [...]che svolgono in qualità di titolare del trattamento
[...]un'attività di call center [...] in maniera prevalente". Quindi, se una
società vende pc e l'assistenza telefonica è offerta da personale extra-UE,
questo Provvedimento non si applica?

Io direi di sì, ma vorrei capire se ci sono posizioni diverse.

Studi sicurezza apps

Più o meno in contemporanea ho ricevuto notizia di due studi sulla sicurezza
dei sistemi di pagamento delle app per dispositivi mobili.

Il primo è stato segnalato da Enzo Ascione di Intesa Sanpaolo e riguarda la
bozza di raccomandazioni della Banca Centrale Europea dal titolo
"Recommendations for the security of mobile payments". Riguarda i pagamenti
in mobilità in generale, ma le app sono ovviamente il tema più approfondito.

La pagina da dove si può scaricare la bozza sembra nascondere il documento;
si trova a destra piccino piccino e ha il titolo "Draft recommendation":
- http://www.ecb.europa.eu/press/pr/date/2013/html/pr131120.en.html

Il secondo, segnalato dal Clusit Group di LinkedIn, è uno studio del Joint
Research Centre of European Commission (JRC) dal titolo The MobiLeak.
Segnalo la tesi di Pasquale Stirparo, collegata allo studio, dal titolo
"MobiLeak: A System for Detecting and Preventing Security and Privacy
Violations in Mobile Applications":
- http://kth.diva-portal.org/smash/record.jsf?searchId=1&pid=diva2:664617

L'intervista a Pasquale è decisamente interessante:
http://www.agendadigitale.eu/ecommerce/574_quanti-buchi-nelle-app-delle-banc
he-lo-studio-ue.htm

ENISA Threat Landscape 2013

Dal gruppo LinkedIn Italian Security Professional, ricevo notizia della
pubblicazione del "ENISA Threat Landscape 2013 - Overview of current and
emerging cyber-threats":
-
https://www.enisa.europa.eu/activities/risk-management/evolving-threat-envir
onment/enisa-threat-landscape-2013-overview-of-current-and-emerging-cyber-th
reats

La segnalazione è accompagnata dal seguente articolo riassuntivo:
-
http://securityaffairs.co/wordpress/20423/cyber-crime/enisa-threat-landscape
-2013.html

Lettura decisamente interessante, che suggerisco.

ISO/IEC 20000 parte 5 e 10

Franco Ferrari del DNV Italia mi ha segnalato la pubblicazione della ISO/IEC
TR 20000-5 dal titolo " Exemplar implementation plan for ISO/IEC 20000-1".

Propone un approccio a fasi per attuare i requisiti della ISO/IEC 20000-1.
Può essere una lettura interessante, anche se ciascuno dovrebbe sviluppare
un approccio secondo le caratteristiche dell'organizzazione in cui si vuole
attuare la ISO/IEC 20000-1.

Per chi dovesse avere già la versione del 2011, l'introduzione della nuova
versione dice che l'aggiornamento ha riguardato solo l'allineamento alla
versione del 2011 della ISO/IEC 20000-1, anche se è stata aggiunta
un'appendice di 12 pagine dal titolo "Templates".

La ISO/IEC 20000-10 dal titolo "Concepts and terminology" è invece alla
prima edizione e riporta le definizioni comuni delle norme della serie
ISO/IEC 20000, alcune considerazioni in merito, una descrizione degli altri
standard della stessa famiglia, oltre a quelli ad essi collegati (tra cui la
27001).

2013 Horizon Scan Report

Un'altra ricerca sulle minacce. Questa è proposta dal The Business
Continuity Institute con il BSI:
- http://www.thebci.org/index.php/download-the-2013-horizon-scan-report

Essa è basata sulle percezioni dei partecipanti ed è possibile parteciparvi
accedendo dalla home page del BCI (http://www.thebci.org/)

Attaccata la wi-fi del Parlamento Europeo

Dal SANS NewsBites giro la seguente notizia. La wi-fi del Parlamento Europeo
è stata attaccata in modo da intercettare le comunicazioni:
-
http://www.zdnet.com/european-parliaments-network-hacked-public-wi-fi-networ
k-shutdown-7000023733/
-
http://news.techworld.com/security/3491268/european-parliament-cuts-wi-fi-af
ter-french-researcher-breaks-into-email-accounts/

Questo per ricordarci quanto le wi-fi siano insicure.

Linee guida 2013 Agid per il Disaster Recovery

L'Agenzia per l'Italia digitale ha pubblicato l'edizione 2013 delle "Linee
guida per il disaster recovery delle pubbliche amministrazioni". Si trovano
a questo indirizzo:
- http://www.digitpa.gov.it/fruibilita-del-dato/continuita-operativa

Il documento è notevole e contiene molte informazioni interessanti.
Certamente è discutibile l'impaginazione e l'ordinamento degli argomenti. In
generale, si trovano molte riflessioni sulle normative in vigore e sono
assenti delle linee guida su come effettuare una Business impact analysis
e/o un Risk assessment. Ci sono però molte altre cose interessanti, anche se
frutto ci copia-incolla o sintesi da altri documenti.

Prassi UNI sulle Infrastrutture Critiche

Franco Ferrari del DNV Italia mi ha segnalato questo articolo dell'UNI dal
titolo " Prassi di riferimento sulle Infrastrutture Critiche: al via la
consultazione pubblica":
-
http://www.uni.com/index.php?option=com_content&view=article&id=2528:prassi-
di-riferimento-sulle-infrastrutture-critiche-al-via-la-consultazione-pubblic
a&catid=111:generale&Itemid=546

Riporto, per comodità, questo breve estratto: "Il documento è strutturato
per essere applicato a organizzazioni, siano esse titolari o gestori di
Infrastrutture Critiche che operano nel settore dell'energia e dei suoi
sottosettori (elettricità, petrolio, gas) e nel settore trasporti e nei suoi
sottosettori, così come indicati nella Direttiva 2008/114/CE del Consiglio
Europeo, ma può essere altresì applicato ad altri settori in cui
l'Infrastruttura Critica potrebbe trovarsi a operare".

Visto che l'IT è un'infrastruttura critica, anche se non (ancora)
riconosciuto come tale dal Dlgs 61 del 2011, la lettura di questo documento
potrebbe essere interessante.

La bozza è scaricabile (per ora):
-
http://www.uni.com/index.php?option=com_content&view=article&id=1354:le-pras
si-di-riferimento&catid=149&Itemid=1439&showall=&limitstart=8

ISO 31004 - Guida alla ISO 31000

Franco Ferrari mi ha segnalato l'uscita della ISO/TR 31004 dal titolo "Risk
management — Guidance for the implementation of ISO 31000".

Francamente, mi sembra strano che esista una guida per una linea guida (la
ISO 31000 ha titolo " Risk management — Principles and guidelines") e, in
effetti, la sua lettura non mi sembra illuminante.

Gran parte di essa (10 pagine su 36) è dedicata a riflessioni sugli 11
principi del risk management e un'altra parte rilevante (8 pagine) è
dedicata al monitoraggio e al riesame del rischio.

ISO Survey 2012

L'ISO ha pubblicato la survey delle certificazioni 2012. Riguarda 9001,
14001, 27001, 13485, 22000, 50001 e 16949. Non ci sono proprio tutti (avrei
voluto avere dei dati anche sulla ISO/IEC 20000), ma già così è
interessante:
- http://www.iso.org/iso/home/standards/certification/iso-survey.htm

La notizia è arrivata via newsletter del DNV (ma senza il link alla pagina
ufficiale dell'ISO!), di cui potete leggere il commento in italiano:
-
http://www.dnvba.com/it/information-resources/news/Pages/ISO-Survey-2012.asp
x

Le condizioni di contratto del cloud computing

Segnalo questo articolo su CINDI dal titolo "Le condizioni di contratto del
cloud computing". Ovviamente molto di più si potrebbe dire sul cloud, ma
trovo inquietanti i risultati dell'analisi proposta... basati solo su 3
elementi contrattuali:
www.cindi.it/le-condizioni-di-contratto-del-cloud-computing

Visto che le linee guida suggeriscono di prevedere più di 3 elementi sul
contratto, non oso immaginare se e come sono gli altri.