Cloud Service Level Agreement Standardisation Guidelines

La Commissione Europea ha pubblicato le "Cloud Service Level Agreement
Standardisation Guidelines" (ringrazio Giacomo Orlando della segnalazione):
- http://europa.eu/rapid/press-release_IP-14-743_en.htm
-
https://ec.europa.eu/digital-agenda/en/news/cloud-service-level-agreement-st
andardisation-guidelines

Il documento è interessante. Ma continuo a pensare che ci siano troppe linee
guida per la gestione dei fornitori cloud, mentre per i fornitori di servizi
informatici non cloud non c'è quasi nulla, sebbene loro gestione lasci
spesso a desiderare. Tra l'altro, nel documento non ho trovato alcun
requisito non applicabile a fornitori di servizi IT non cloud.

Quindi mi piacerebbe vedere almeno una linea guida una sulla gestione in
generale dei fornitori dei servizi IT (per cui prevedere anche qualche
requisito in più di quelli che ci sono nel documento).

Registro dei certificati ITIL

E' attivo il registro delle persone certificate ITIL (da notizia del gruppo
EXIN Certified Professionals di LinkedIn:
-
http://www.itil-officialsite.com/candidate-register/candidate-register.aspx

Wind e Exchange

In giugno due notizie di interruzione di servizi si sono imposte. La prima è
il "blackout di Wind": l'operatore di telecomunicazioni ha avuto un problema
di "configurazione dei router" che ha bloccato la connettività dei suoi
utenti per diverse ore:
-
http://www.tomshw.it/cont/news/blackout-wind-sotto-la-lente-dell-agcom/57277
/1.html
- http://www.forexinfo.it/Wind-Infostrada-le-cause-del

L'altro caso riguarda il blocco di Office 365: il servizio cloud di
Micorosoft è rimasto fermo per 9 ore per un "problema hardware":
-
http://www.ictbusiness.it/cont/news/exchange-online-attivo-dopo-nove-ore-di-
blocco/32712/1.html

Le due notizie mi sembrano in qualche collegate, anche se non saprei dire
esattamente come: forse perché piccoli errori hanno messo in difficoltà
tantissime persone, forse perché si dimostra quanto siamo dipendenti da
servizi con SLA non perfettamente garantiti, forse perché le mitiche grandi
imprese fanno anche loro degli errori.

UNI CEI ISO/IEC 27002:2014

Finalmente è uscita la versione italiana della ISO/IEC 27002:2013 ed ha
codice UNI CEI ISO/IEC 27002:2014. Purtroppo gli anni sono diversi e quindi
si dovrà citare la "ISO/IEC 27002:2013" o la "UNI CEI ISO/IEC 27002:2014".
Altri metodi denotano scarsa conoscenza della materia.

La ISO/IEC 27002 è una lettura consigliata per quanti vogliono occuparsi di
sistemi di gestione per la sicurezza delle informazioni, anche se ci sono
punti in cui è troppo generica o ripetitiva.

Faccio i complimenti a Fabio Guasconi, che ha coordinato il non semplice
lavoro di traduzione delle 86 pagine della norma.

La norma è acquistabile sul sito dell'UNI: http://store.uni.com (la versione
italiana della UNI CEI ISO/IEC 27002:2014 costa 98 Euro, mentre la versione
inglese costa 75 Euro; infine la ISO/IEC 27002:2013 costa 153 Euro; non
capisco che differenza ci possa essere tra queste ultime due).

Bisogna fare attenzione al metodo scelto da UNI per proteggere il diritto
d'autore: si può aprire il file solo sul proprio computer e quindi va
necessariamente stampato subito, per evitare che un crash ce lo faccia
perdere per sempre.

Garante e biometria

Massimo Cottafavi di Spike Reply mi ha segnalato lo schema di Provvedimento
del Garante in materia di biometria:
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3
132642

In particolare, mi ha segnalato le citazioni della ISO/IEC 27001. In poche
parole, il Garante prevede per le organizzazioni certificate ISO/IEC 27001
delle semplificazioni in materia di misure di sicurezza per gli strumenti
biometrici.

Non mi dilungo su alcune imprecisioni, la prima delle quali è che parla di
un'inesistente ISO/IEC 27001:2006 e che non prende in considerazione la
nuova norma del 2013 o la sua traduzione del 2014.

Il punto chiave è che sono esonerati dall'obbligo di istanza di verifica
preliminare le organizzazioni già certificate ISO/IEC 27001 che estendono il
proprio ambito di certificazione ai meccanismi crittografici. Per chi non è
certificato è disponibile un percorso diverso. Massimo Cottafavi riflette:
"se uno è certificato ma non intende ampliare l'ambito di certificazione
(per tanti motivi, il primo dei quali è il costo), apparentemente non può
neanche seguire la strada alternativa".

Penso che abbia ragione e spero che il Garante modifichi il Provvedimento
(ho mandato la riflessione seguendo la procedura).

Libro "Sicurezza delle informazioni"

Finalmente ce l'ho fatta e ho pubblicato il mio libro "Sicurezza delle
informazioni". Si trova in formato pdf in alcune librerie on-line. Per il formato epub bisogna aspettare qualche giorno perché deve essere validato. Personalmente preferisco il formato pdf.

Nelle librerie che seguono c'è sicuramente, ma, quando il formato epub sarà validato, si troverà anche sui celeberrimi Amazon e Ibs:
- http://www.ultimabooks.it;
- http://libreriarizzoli.corriere.it
- http://www.bookrepublic.it
- http://www.deastore.com
- http://www.cubolibri.it
- http://www.hoepli.it
- http://www.libreriaebook.it
- http://www.biblonstore.it
- http://ebook.unita.it

La versione "giusta" è quella del 10 giugno e vi invito a guardare
l'anteprima per vedere gli argomenti trattati (analisi del rischio, ISO/IEC
27001 e non solo) e quindi decidere se vi interessa.

L'ho pubblicato come self-publisher tramite la piattaforma Narcissus.me. Un
nome un programma. Ed è stato molto divertente, anche se terribilmente faticoso.

Privacy e cookie

Il Garante privacy, con Provvedimento Generale dell'8 maggio 2014, ha
regolamentato l'uso dei cookie dei siti web:
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3
118884

Ne faccio un brevissimo riassunto:
- per i cookie tecnici è richiesta l'informativa con le modalità più idonee;
- per i cookie di profilazione è richiesta l'informativa e il consenso; si
può presentare all'utente solo un'informativa breve (banner), purché sia
comunque disponibile un'informativa lunga.

Non mi pare cambi molto rispetto a quanto già fatto da molti siti web.

Draft ISO 9001:2015

La nuova ISO 9001 è allo stato DIS, ossia Draft. Secondo i miei calcoli, se
il consenso sarà sufficiente, a novembre sarà disponibile il final draft e a
inizio 2015 uscirà la nuova norma.

Devo dire che il lavoro mi sembra notevole, anche per i miglioramenti
introdotti all'HLS e all'esplicitazione di aspetti che nella ISO/IEC 27001
sono stati invece ritenuti "impliciti".

In molti hanno scritto sulle novità della norma, soprattutto sull'analisi
del rischio (a cui è anche dedicato un paragrafo nell'introduzione). Io vedo
anche sottolineati: l'attenzione al cliente, il controllo dei cambiamenti,
la conoscenza complessiva dell'organizzazione. Io sottolineo il fatto che
non si parla più di "risorse umane" ma di "persone" e lo trovo un bel
segnale.

Invito quanti vogliono condividere approfondimenti sulla nuova ISO 9001 a
segnalarmeli o inviarmeli.

Consiglio però di aspettare il final draft prima di trarre conclusioni
sull'attuazione della ISO 9001. Potrebbe infatti essere ampiamente
modificata, anche se in molti lo ritengono improbabile.

Social privacy

Franco Ferrari di DNV GL mi ha segnalato l'aggiornamento della pubblicazione
del Garante della privacy dal titolo " Social privacy. Come tutelarsi
nell'era dei social network":
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3
140082

La pubblicazione è indirizzata ai "ragazzi", ma ci sono molti consigli utili
ed è sicuramente utile anche agli adulti (alcuni miei contatti
"professionali" su Facebook dovrebbero forse ricordarsi che non hanno
chiesto l'amicizia solo ai veri amici...).

DFA Open Day 2014 - Materiale

Vi segnalo il materiale del DFA Open Day 2014:
- http://www.perfezionisti.it/proposte-formative/dfa-open-day-2014/

E' stato un evento molto bello, con circa 100 persone e molti spunti
interessanti.

Presentazione sul rischio informatico

Enrico Luigi Toso di DB Consorzio mi ha inviato una interessante
presentazione dal titolo "Circolare Banca d'Italia 263 Cap. 8 – Il Rischio
informatico: Un inquadramento metodologico per favorire l'integrazione del
rischio informatico nella gestione del rischio operativo".

Lettura quanto meno impegnativa ma molto interessante e che consiglio perché
ci sono cose molto interessanti sulla valutazione del rischio, applicabili
anche in ambiente non bancario.

Qualche esempio: riflessione sul rapporto tra rendimento e rischio e sul
rapporto tra adeguamento normativo e rischio, suggerimento di analizzare il
rischio per processi e non per asset (anche se poi questi si ripresentano).
Non c'è solo questo, ovviamente.

Il materiale si troverà sul sito (sono richieste credenziali di accesso
fornite dopo registrazione):
- http://www.abieventi.it/eventi/2044/banche-e-sicurezza-2014/

Google e diritto all'oblio

La notizia si è molto diffusa ed è questa: la Corte di Giustizia UE ha
stabilito che un motore di ricerca è un titolare di trattamenti di dati
personali e pertanto devono far sparire dalle ricerche le tracce della
persona che vuole essere "dimenticata":
-
http://www.repubblica.it/tecnologia/2014/05/13/news/causa_contro_google_cort
e_ue_motore_di_ricerca_responsabile_dati-85985943/

Mi sto chiedendo se questo sia un bene (se penso a persone accusate
ingiustamente di cui rimane traccia per sempre senza alcun collegamento a
notizie aggiornate) o un male.

Ad ogni modo, questa è la sentenza:
-
http://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:62012CJ0131&qi
d=1401432812901&from=EN

e questo è un commento critico alla sentenza:
-
http://www.filodiritto.com/note-critiche-alla-presunta-salvaguardia-del-diri
tto-alloblio-in-capo-a-chi-non-dovrebbe-e-non-potrebbe-il-motore-di-ricerca/

Password codificate e password di default

Dal SANS Newbyte trovo questa deliziosa notizia: il Department of Homeland
Security (DHS) statunitense ha avvisato gli operatori dei pannelli stradali
Daktronics Vanguard che questi possono essere attaccati a causa delle
password codificate in essi.

Risposta della Daktronics Vanguard: "non si tratta di password codificate,
ma di password di default non modificate".

Due cattive pratiche al prezzo di una:
-
http://www.nextgov.com/cybersecurity/2014/06/flaw-lets-hackers-control-elect
ronic-highway-billboards/85849/

OpenSSL - Ancora!

In tanti hanno scritto delle nuove vulnerabilità riscontrate su OpenSSL. Io
scelgo un link presentato dal SANS Newsbyte:
- http://www.theregister.co.uk/2014/06/05/openssl_bug_batch/

Sembra che, una volta trovato un nuovo giocattolo, tutti vogliano
divertirsi.

Un editor del SANS (Northcutt) dice: "se stai usando OpenSSL, non agitarti
perché i suoi sviluppatori ci stanno lavorando; se non stai usando OpenSSL,
ci si può chiedere se il tuo prodotto è sicuro".

Aggiungo quanto scritto da Stefano Ramacciotti in una discussione sul gruppo Sikurezza.org di LinkedIn: "Il problema non è la crittografia, ma la sua implementazione; il protocollo SSL è a posto; se dovessimo scrivere un nuovo programma per SSL, non solo si rischierebbe di sbagliare ancora nello sviluppo, ma anche nell'implementazione del protocollo stesso".

TrueCrypt

La notizia ha fatto subito il giro del mondo: gli sviluppatori di TrueCrypt hanno dichiarato la fine dello sviluppo e della manutenzione dello strumento più noto e affidabile per cifrare hard disk o singoli file e cartelle:
- http://krebsonsecurity.com/2014/05/true-goodbye-using-truecrypt-is-not-secure/
- http://arstechnica.com/security/2014/05/truecrypt-is-not-secure-official-sourceforge-page-abruptly-warns/

Il sito ufficiale è questo:
- http://truecrypt.sourceforge.net

Alcuni suggeriscono strumenti come BitLocker di Windows e altre cose che mi sembrano molto meno intuitive e facili da utilizzare (con TrueCrypt è facilissimo creare una cartella cifrata da copiare-incollare quando se ne fa il backup).

Alcuni però sostengono che si tratti di un attacco al sito web di TrueCrypt e che la versione 7.2 pubblicata sia un falso. Quindi cosa fare? Io, non l'avessi già sul mio pc, scaricherei da qui la versione 7.1a (quella per Windows ha nome " TrueCrypt Setup 7.1a.exe"):
- https://github.com/DrWhax/truecrypt-archive

Accreditamento conservazione digitale (commenti)

In merito agli aggiornamenti relativi ai regolamenti sulla conservazione
digitale
(http://blog.cesaregallotti.it/2014/05/accreditamento-conservazione-digitale
.html), Franco Ruggieri mi ha inviato alcune considerazioni molto
interessanti che riporto.

E' vero che nel DPCM 3/12/2013 non c'è alcun riferimento allo ISO/IEC 27001,
mentre c'è nella successiva Circolare AgID 65/2014. Insomma: la Circolare
mette una pezza al buco del DPCM.

Faccio notare che è stato pubblicato da AgID un altro documento che ritengo
di estremo interesse per i conservatori che, però ha un titolo chilometrico:
"Accreditamento dei soggetti pubblici e privati che svolgono attività di
conservazione dei documenti
informatici - Requisiti di qualità e sicurezza per l'accreditamento e la
vigilanza"

Ebbene, questo documento esplode nei minimi particolari i requisiti da
rispettare, riportando per ognuno la clause dello OAIS (ISO 14721) e dello
ETSI TS 101 533-01. Insomma: la certificazione ISO/IEC 27001 potrà (o forse
"dovrà") essere fatta avvalendosi del TS 101 533-01 come punto di
riferimento per le misure di sicurezza da attuare. D'altronde ad oggi non
c'è altro documento a cui rifarsi per un conservatore.

Peccato che questo TS sia stato redatto (e tradotto da UNI nella serie
UNI/TS/TR 11465-1-2-3) nel 2012, quando cioè la versione ISO/IEC 27001 del
2013 ancora non era nata.

Aggiungo che, anche se il documento di "Requisiti di qualità e sicurezza per
l'accreditamento" è solo una linea guida, senza la forza né di una Circolare
né di uno strumento giuridico, è sempre un documento emesso da chi fa la
vigilanza. È quindi molto probabile che AgID si baserà su di esso e sui
documenti da esso referenziati.

C'è un altro punto: si fa riferimento al TS 101 533-01 come
"raccomandazione", mentre invece è una "specifica". Inoltre il DPCM si
riferisce all'elenco dove è riportato come "elenco di specifiche". In
definitiva: quanto indicato nella tabellona del documento "Requisiti di
qualità e sicurezza per l'accreditamento e la vigilanza" diventa cogente,
compresa la specifica ETSI TS 101 533-01.

Infine è buffo vedere che viene richiesta una certificazione ISO/IEC 27001,
con scadenza triennale, e poi è richiesto di presentare un certificato di
conformità ai requisiti tecnici (che comprendono il rispetto della ISO/IEC
27001 e della ISO 14721) ogni due anni.

Delle definizioni di rischio (approfondimento 2)

Dopo gli articoli degli ultimi mesi, Andrea Rui mi ha inviato una
considerazione personale che trovo molto interessante perché distingue tra
una valutazione del rischio "economica", che quindi si basa sulla formula
"rischio = minaccia x conseguenze", e una "umana" che deve basarsi su altre
formule.

Copio e incollo la mail di Andrea e lo ringrazio.

<<
Il D.Lgs. 81/2008 ha un approccio al rischio totalmente diverso da quello
delle altre norme. La centralità del rischio non è sull'azienda, ma sul
lavoratore.

Una gestione del rischio per i lavoratori dal punto di vista economico
dovrebbe includere svariati aspetti, tra cui: costo derivante dall'assenza,
eventuali sanzioni penali, eventuali sanzioni civili, perdita di know how,
danno di immagine, aumento dei costi assicurativi, eventuale perdita di
appalti o di partecipazione a gare, criticità derivanti dall'assenza del
lavoratore, eccetera.

Al contrario, il rischio per il D.Lgs. 81/2008 è uno solo: che il lavoratore
si faccia male.

In sintesi, mentre per la ISO/IEC 27001 il rischio che un lavoratore si
possa fare male può essere accettabile (ed in particolari contesti
potenzialmente anche conveniente) dal punto di vista del business, non lo è
dal punto di vista della Legge.

Infatti le aziende tendono a delocalizzare dove la nostra legge non si
applica, e dove il costo per i danni alle persone sono inferiori ai costi da
sostenere per impedire che si verifichino gli incidenti e per minimizzarne
l'impatto.
>>

NIST SP 800-160 "Systems Security Engineering"

Il NIST ha reso pubblico il final draft della SP 800-160, dal titolo
"Systems Security Engineering: An Integrated Approach to Building
Trustworthy Resilient Systems":
- http://csrc.nist.gov/publications/PubsDrafts.html#800-160

Sono indeciso se leggerlo ora o aspettare la pubblicazione della versione
finale. Ad ogni modo, credo sia una lettura da fare.

Legale: uso di pc e mail aziendali per scopi personali

Enzo Ascione di Intesa Sanpaolo Group Services mi segnala una sentenza della
Corte di Cassazione (sez. lav. - sent. 18.3.2014 n. 6222) la cui sintesi è:
"L'uso di pc e mail aziendali per scopi personali non giustifica il
licenziamento".

In poche parole, il datore di lavoro ha esagerato, visto che "il contratto
collettivo applicato prevede per tali inadempimenti/infrazioni delle
sanzioni di tipo conservativo, quali la multa o la sospensione dal lavoro".

Copio ulteriormente da un commento alla sentenza: "In particolare, i giudici
della Suprema Corte di Cassazione hanno precisato che in tema di
licenziamento disciplinare, l'uso, anche quotidiano, della mail aziendale
per ragioni private, come anche l'installazione sul computer di programmi
che non sono inerenti all'attività lavorativa, non rappresentano violazioni
(inadempimenti) che di per sé sono sufficienti alla irrogazione del
licenziamento del dipendente".

Segnalo infine l'articolo su Filodiritto:
- http://www.filodiritto.com/cassazione-lavoro-luso-privato-del-computer-e-dellemail-aziendali-non-legittima-il-licenziamento

Stato delle norme ISO/IEC 270xx

Venerdì 11 aprile si è concluso a Hong Kong il 48mo meeting dell'SC 27
dell'ISO/IEC JTC 1. Come nel precedente meeting di ottobre 2013 hanno
partecipato circa 250 delegati, di cui 100 per il WG1 (ossia il gruppo che
si occupa delle norme della famiglia ISO/IEC 27000 e collegate alla ISO/IEC
27001). La delegazione italiana era composta da 4 persone: Fabio Guasconi
(Presidente SC 27 italiano), io per seguir i lavori del WG 1 insieme a
Fabio, Dario Forte per il WG 4 e Andrea Caccia per i WG 1 e 4 e come
rappresentante per ETSI.

In questo meeting del WG sono proseguiti i lavori sulle nuove ISO/IEC 27003,
27004, 27005, 27006, 27009, 27010, 27011, 27013 e 27017. Si è anche lavorato
sulle future edizioni della ISO/IEC 27000. Sono stati avviati i lavori
preliminari per le nuove edizioni delle ISO/IEC 27007, 27008, 27019 e per la
nuova ISO/IEC 27021 sulle competenze dei professionisti di sistemi di
gestione per la sicurezza delle informazioni.

Questo arido elenco di norme non rende giustizia di quanto successo: si è
discusso molto in un clima decisamente costruttivo e in modo che le esigenze
dei rappresentanti dei diversi Paesi e delle diverse parti interessate alle
norme (auditor, consulenti e organizzazioni) fossero ben espresse.