Pierfrancesco Maistrello di Vecomp mi ha inviato degli aggiornamenti sul GDPR (come è indicato da "bravi" la General data protection regulation o, come ho sempre detto io, "futuro Regolamento europeo sulla privacy").
In questi giorni c'è un ulteriore incontro (il trilogo, credo) per fare avanzare la proposta di GDPR. Il testo, non ufficiale e segnalato su Twitter da @EUstaran, oggetto di discussione sarebbe questo:
- http://www.statewatch.org/news/2015/dec/eu-council-dp-reg-prep-trilogue-14902-15.pdf.
Pierfrancesco mi segnala un articolo, forse un poco superato, in cui si cerca di fare chiarezza sulla situazione, anche se presenta un testo diverso dal precedente:
- http://www.istitutoitalianoprivacy.it/it/la-newsletter-del-presidente-iip-2-dicembre-2015/.
venerdì 11 dicembre 2015
mercoledì 9 dicembre 2015
Progettare software sicuro
Da un articolo dell'ISACA Journal, volume 4 del 2015, dal titolo "Three Ways to Simplify Auditing Software Security Requirements and Design", segnalo alcuni link.
Il primo è uno studio di IBM dell'ottobre 2008 dal titolo " Minimizing code defects to improve software quality and lower development costs". Questo articolo riporta una delle dichiarazioni più famose della sicurezza ("identificare un difetto del software dopo la consegna costa 30 volte in più che farlo in fase di progettazione") e quindi può essere usata come autorevole fonte. Poi non si capisce bene come sia stato calcolato questo valore, ma se lo ha inventato IBM è sicuramente più veritiero che se lo avessi inventato io:
- ftp://ftp.software.ibm.com/software/rational/info/do-more/RAW14109USEN.pdf.
L'articolo poi tratta di "analisi delle minacce" ("threat modeling") a cui il software potrebbe essere sottoposto. Confesso che non ho mai visto usare questo strumento, però mi piace segnalare quello proposto da Microsoft, visto che è gratuito (l'articolo ne segnala altri, ma non capisco come possano essere utilizzati). Mi piacerebbe ricevere contributi (da chi li ha usati realmente, la pura teoria non mi interessa):
- http://www.microsoft.com/en-ca/download/details.aspx?id=42518.
Il primo è uno studio di IBM dell'ottobre 2008 dal titolo " Minimizing code defects to improve software quality and lower development costs". Questo articolo riporta una delle dichiarazioni più famose della sicurezza ("identificare un difetto del software dopo la consegna costa 30 volte in più che farlo in fase di progettazione") e quindi può essere usata come autorevole fonte. Poi non si capisce bene come sia stato calcolato questo valore, ma se lo ha inventato IBM è sicuramente più veritiero che se lo avessi inventato io:
- ftp://ftp.software.ibm.com/software/rational/info/do-more/RAW14109USEN.pdf.
L'articolo poi tratta di "analisi delle minacce" ("threat modeling") a cui il software potrebbe essere sottoposto. Confesso che non ho mai visto usare questo strumento, però mi piace segnalare quello proposto da Microsoft, visto che è gratuito (l'articolo ne segnala altri, ma non capisco come possano essere utilizzati). Mi piacerebbe ricevere contributi (da chi li ha usati realmente, la pura teoria non mi interessa):
- http://www.microsoft.com/en-ca/download/details.aspx?id=42518.
Perché i progetti IT falliscono
Colgo l'occasione di un interessante articolo dell'ISACA Journal volume 5 del 2015 dal titolo "Auditors and Large Software Projects".
In questo articolo si fa riferimento ad una pubblicazione di Intosai (Issue 26 del 2008) dal titolo "Why IT projects fail". Qui trovo interessante il contributo dell'Oman, che elenca i 21 rischi (intesi un po' come minacce, un po' come vulnerabilità) di project management. Ho trovato interessante leggerli e penso sia un buon riferimento per quando mi chiedono "cosa intendi per rischi di progetto?".
Per chi volesse leggere l'articolo:
- http://www.intosaiitaudit.org/intoit_articles/26_p12top17.pdf.
Le pubblicazioni di Intosai fino al 2010 si trovano qui:
http://www.intosaiitaudit.org/publication_and_resources/1.
In questo articolo si fa riferimento ad una pubblicazione di Intosai (Issue 26 del 2008) dal titolo "Why IT projects fail". Qui trovo interessante il contributo dell'Oman, che elenca i 21 rischi (intesi un po' come minacce, un po' come vulnerabilità) di project management. Ho trovato interessante leggerli e penso sia un buon riferimento per quando mi chiedono "cosa intendi per rischi di progetto?".
Per chi volesse leggere l'articolo:
- http://www.intosaiitaudit.org/intoit_articles/26_p12top17.pdf.
Le pubblicazioni di Intosai fino al 2010 si trovano qui:
http://www.intosaiitaudit.org/publication_and_resources/1.
Linee guida di design per i siti web della PA
Da un tuit di @ilnesi, segnalo che AgID ha presentato le Linee Guida di design (inteso come rappresentazione grafica) per i siti web della pubblica amministrazione.
La notizia di AgID:
- http://www.agid.gov.it/notizie/2015/11/20/online-linee-guida-design-i-siti-web-pa.
Il sito vero e proprio:
- http://design.italia.it/.
Il mio commento è semplice: non si parla di sicurezza.
Forse qualcuno penserà che sono troppo concentrato su questo tema, ma non credo. Innanzi tutto, si parla di "protezione dagli errori" e di "accessibilità" e quindi si poteva parlare anche di sicurezza. Inoltre, la sicurezza deve entrare nella rappresentazione grafica; a me vengono in mente le seguenti caratteristiche: rendere chiare le modalità di registrazione e di accesso, rendere chiaro quando un utente ha acceduto o meno all'area riservata con le proprie credenziali, rendere sempre disponibile un pulsante di disconnessione (e chiarire cosa succede se qualcuno chiude il browser senza usarlo).
Ovviamente si potrebbe cogliere l'occasione per approfondire i temi della sicurezza trattando di funzionalità e meccanismi tecnologici, ma forse questo sarebbe veramente troppo fuori tema.
Invito però i tecnici con le competenze opportune a fornire contributi ad AgID (io l'ho fatto con il testo di questo articoletto). Si tratta di una bella occasione.
La notizia di AgID:
- http://www.agid.gov.it/notizie/2015/11/20/online-linee-guida-design-i-siti-web-pa.
Il sito vero e proprio:
- http://design.italia.it/.
Il mio commento è semplice: non si parla di sicurezza.
Forse qualcuno penserà che sono troppo concentrato su questo tema, ma non credo. Innanzi tutto, si parla di "protezione dagli errori" e di "accessibilità" e quindi si poteva parlare anche di sicurezza. Inoltre, la sicurezza deve entrare nella rappresentazione grafica; a me vengono in mente le seguenti caratteristiche: rendere chiare le modalità di registrazione e di accesso, rendere chiaro quando un utente ha acceduto o meno all'area riservata con le proprie credenziali, rendere sempre disponibile un pulsante di disconnessione (e chiarire cosa succede se qualcuno chiude il browser senza usarlo).
Ovviamente si potrebbe cogliere l'occasione per approfondire i temi della sicurezza trattando di funzionalità e meccanismi tecnologici, ma forse questo sarebbe veramente troppo fuori tema.
Invito però i tecnici con le competenze opportune a fornire contributi ad AgID (io l'ho fatto con il testo di questo articoletto). Si tratta di una bella occasione.
Direttiva europea su sicurezza informatica
Mentre io criticavo alcune iniziative italiane di "strategia sulla cyber security", soprattutto perché "nazionali" quando ormai viviamo in un mondo interconnesso, l'Europa si sta muovendo (grazie a retuit di @Silvia_Mar_).
Si tratta ancora di annunci, ma li fornisco per completezza (il primo è in italiano, gli altri in inglese):
- http://www.techeconomy.it/2015/12/08/ue-ce-laccordo-cybersecurity-paesi-richieste-strategie-nazionali-collaborazione/;
- http://ec.europa.eu/commission/2014-2019/oettinger/blog/first-eu-wide-legisation-cybersecurity-agreed_en;
- http://www.europarl.europa.eu/news/en/news-room/content/20151207IPR06449/html/MEPs-close-deal-with-Council-on-first-ever-EU-rules-on-cybersecurity.
Si tratta ancora di annunci, ma li fornisco per completezza (il primo è in italiano, gli altri in inglese):
- http://www.techeconomy.it/2015/12/08/ue-ce-laccordo-cybersecurity-paesi-richieste-strategie-nazionali-collaborazione/;
- http://ec.europa.eu/commission/2014-2019/oettinger/blog/first-eu-wide-legisation-cybersecurity-agreed_en;
- http://www.europarl.europa.eu/news/en/news-room/content/20151207IPR06449/html/MEPs-close-deal-with-Council-on-first-ever-EU-rules-on-cybersecurity.
martedì 8 dicembre 2015
Nuova versione ISO/IEC 27013 e ISO/IEC 27010
Sono state pubblicate le nuove versioni delle norme in oggetto.
La ISO/IEC 27013 (versione del 2015) ha titolo " Information technology -- Security techniques -- Guidance on the integrated implementation of ISO/IEC 27001 and ISO/IEC 20000-1" e riguarda, ovviamente, le relazioni tra due norme molto importanti:
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=64138.
Io avevo fornito molti contributi alla versione precedente. Su questa non ci ho lavorato, né l'ho letta. Comunque si tratta di un adattamento della precedente versione alla nuova ISO/IEC 27001, quindi non penso ci siano novità rilevanti.
La ISO/IEC 27010:2015 ha titolo "Information technology -- Security techniques -- Information security management for inter-sector and inter-organizational communications".
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=68427.
Di questa ho letto la versione precedente del 2012 e ho pensato fosse totalmente inutile. Non perderò tempo a leggermi anche questa, a meno che qualcuno non mi suggerisca diversamente.
La ISO/IEC 27013 (versione del 2015) ha titolo " Information technology -- Security techniques -- Guidance on the integrated implementation of ISO/IEC 27001 and ISO/IEC 20000-1" e riguarda, ovviamente, le relazioni tra due norme molto importanti:
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=64138.
Io avevo fornito molti contributi alla versione precedente. Su questa non ci ho lavorato, né l'ho letta. Comunque si tratta di un adattamento della precedente versione alla nuova ISO/IEC 27001, quindi non penso ci siano novità rilevanti.
La ISO/IEC 27010:2015 ha titolo "Information technology -- Security techniques -- Information security management for inter-sector and inter-organizational communications".
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=68427.
Di questa ho letto la versione precedente del 2012 e ho pensato fosse totalmente inutile. Non perderò tempo a leggermi anche questa, a meno che qualcuno non mi suggerisca diversamente.
Nuova versione della ISO/IEC 20000-10
È stata pubblicata la nuova versione della ISO/IEC 20000-10 (del 2015) dal titolo "Information technology - Service management - Part 10: Concepts and terminology":
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=68673
Dispiace vedere che una norma da usare come base sia venduta a 118 Franchi svizzeri.
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=68673
Dispiace vedere che una norma da usare come base sia venduta a 118 Franchi svizzeri.
Correzioni a ISO/IEC 27001 e 27002
Sono stati pubblicati i technical corrigendum della ISO/IEC 27001 e 27002.
Il primo corrigendum, comune a ISO/IEC 27001 e 27002, riguarda l'inventario, la classificazione e trattamento degli "asset". In questi casi, al termine "asset" si è aggiunto il termine "informazioni". Spesso risultava ovvio al lettore che le "informazioni" erano incluse negli "asset", ma evidentemente non a tutti.
Il secondo corrigendum della ISO/IEC 27002 riguarda un riferimento incrociato sbagliato. Al controllo 14.2.8 si fa riferimento al controllo 14.1.9, mentre bisognava fare riferimento al controllo 14.2.9.
È bene discuterli brevemente. Segnalo che in passato
avevo sottovalutato l'importanza del secondo corrigendum della ISO/IEC 27001;
qui cerco di rimediare.
Il primo corrigendum, comune a ISO/IEC 27001 e 27002, riguarda l'inventario, la classificazione e trattamento degli "asset". In questi casi, al termine "asset" si è aggiunto il termine "informazioni". Spesso risultava ovvio al lettore che le "informazioni" erano incluse negli "asset", ma evidentemente non a tutti.
Il secondo corrigendum della ISO/IEC 27001 riguarda la
Dichiarazione di applicabilità. Qui è importante perché ora la DdA non deve più
riportare necessariamente i controlli dell'Annex A, ma "i controlli
necessari" (insieme a giustificazione e stato di attuazione). L'Annex A
deve essere usato solo per indicare e giustificare eventuali esclusioni dei
suoi controlli. Sarà interessante vedere come tutto ciò sarà interpretato nella
pratica.
Il secondo corrigendum della ISO/IEC 27002 riguarda un riferimento incrociato sbagliato. Al controllo 14.2.8 si fa riferimento al controllo 14.1.9, mentre bisognava fare riferimento al controllo 14.2.9.
Framework Nazionale per la Cyber Security
Il Consorzio interuniversitario nazionale per l'informatica ha avviato una
consultazione pubblica per il Framework Nazionale per la Cyber Security:
- https://www.consorzio-cini.it/index.php/it/labcs-home/labcs-news/934-consultazione-pubblica-framework-nazionale-per-la-cyber-security.
Parto dalle cose buone: questo framework si basa su quello del NIST, che è fatto molto bene. Inoltre propone un insieme di misure minime per le PMI.
La cosa cattiva è in realtà una sola: un "framework nazionale" non serve a nulla visto che viviamo in un contesto internazionale.
Tra l'altro, l'Italia sta già promuovendo l'uso di una norma internazionale come la ISO/IEC 27001. Perché, se continuiamo a dire che il tema è poco diffuso, si cerca di promuovere altre cose che fanno solo confusione? Forse perché "sicurezza delle informazioni" è meno sexy di "cyber-security"?
Francamente non saprei.
Nota di colore: trovo strano l'uso di anglismi, sin dal titolo, in un documento "nazionale".
consultazione pubblica per il Framework Nazionale per la Cyber Security:
- https://www.consorzio-cini.it/index.php/it/labcs-home/labcs-news/934-consultazione-pubblica-framework-nazionale-per-la-cyber-security.
Parto dalle cose buone: questo framework si basa su quello del NIST, che è fatto molto bene. Inoltre propone un insieme di misure minime per le PMI.
La cosa cattiva è in realtà una sola: un "framework nazionale" non serve a nulla visto che viviamo in un contesto internazionale.
Tra l'altro, l'Italia sta già promuovendo l'uso di una norma internazionale come la ISO/IEC 27001. Perché, se continuiamo a dire che il tema è poco diffuso, si cerca di promuovere altre cose che fanno solo confusione? Forse perché "sicurezza delle informazioni" è meno sexy di "cyber-security"?
Francamente non saprei.
Nota di colore: trovo strano l'uso di anglismi, sin dal titolo, in un documento "nazionale".
domenica 6 dicembre 2015
FSE: un articolo
Dopo avere annunciato la pubblicazione del Regolamento tecnico in materia di fascicolo sanitario elettronico o FSE (http://blog.cesaregallotti.it/2015/11/dpcm-sul-fascicolo-sanitario-elettronico.html), segnalo questo articolo che fa il punto della situazione:
- http://www.altalex.com/documents/news/2015/11/23/fascicolo-sanitario-elettronico.
- http://www.altalex.com/documents/news/2015/11/23/fascicolo-sanitario-elettronico.
mercoledì 2 dicembre 2015
Guida ENISA sulla sicurezza IoT
Segnalo questa guida dell'ENISA dal titolo "Security and Resilience of Smart Home Environments: Good practices and recommendations":
- https://www.enisa.europa.eu/activities/Resilience-and-CIIP/smart-infrastructures/smart-homes/security-resilience-good-practices.
L'ho scorsa molto velocemente, ma mi è sembrata completa e ben fatta.
- https://www.enisa.europa.eu/activities/Resilience-and-CIIP/smart-infrastructures/smart-homes/security-resilience-good-practices.
L'ho scorsa molto velocemente, ma mi è sembrata completa e ben fatta.
Strumenti per gestire gli incidenti
Da un tuit di @bartblaze, segnalo una lista di strumenti e risorse per la gestione degli incidenti:
- https://github.com/meirwah/awesome-incident-response.
Non ho le competenze per confermarne la validità. Ma ricordo una cosa fondamentale: non cercate di rispondere agli incidenti o di raccogliere dati a scopo legale se non ne avete le competenze!
- https://github.com/meirwah/awesome-incident-response.
Non ho le competenze per confermarne la validità. Ma ricordo una cosa fondamentale: non cercate di rispondere agli incidenti o di raccogliere dati a scopo legale se non ne avete le competenze!
Guida per hacker principianti
Da un tuit di @therebus, l'articolo molto interessante "Abbiamo letto la guida per hacker principianti di Anonymous":
- http://www.wired.it/gadget/computer/2015/11/23/guida-per-hacker-principianti-anonymous/.
La guida "The noob guide" si trova al seguente link:
- https://ghostbin.com/paste/jrr89.
- http://www.wired.it/gadget/computer/2015/11/23/guida-per-hacker-principianti-anonymous/.
La guida "The noob guide" si trova al seguente link:
- https://ghostbin.com/paste/jrr89.
Firme elettroniche e Regolamento eIDAS
Ho letto con estremo interesse questa serie di articoli di Francesco Foglio in merito a firme elettroniche e Regolamento iIDAS e il loro impatto sulla normativa italiana:
Consiglio di leggerli nell'ordine da me suggerito, visto che il primo è introduttivo (anche se postato per ultimo, a seguito di una mia richiesta di aiuto).
- http://www.e-idas.org/ancora-sulle-firme-elettroniche/;
- http://www.e-idas.org/firme-elettroniche-e-regolamento-eidas-scenario-e-impatti-sulla-normativa-italiana-prima-parte/;
- http://www.e-idas.org/firme-elettroniche-e-regolamento-eidas-scenario-e-impatti-sulla-normativa-italiana-ultima-parte/.
Consiglio di leggerli nell'ordine da me suggerito, visto che il primo è introduttivo (anche se postato per ultimo, a seguito di una mia richiesta di aiuto).
Guida ENISA per il cloud
ENISA ha pubblicato una guida (in inglese) per le piccole e medie imprese che vogliono usare servizi cloud e dal titolo "Cloud Security Guide for SMEs":
- https://www.enisa.europa.eu/media/press-releases/enisa2019s-security-guide-and-online-tool-for-smes-when-going-cloud.
Trovo l'iniziativa interessante, soprattutto per quanto riguarda le questioni che dovrebbe porre un cliente al fornitore di servizi cloud.
Come sempre, faccio la solita domanda: perché si continuano a fare guide per l'uso di fornitori di servizi cloud e non per i fornitori di tutti servizi informatici? Soprattutto considerando che non vedo questioni non applicabili ai fornitori non-cloud. Inoltre, io continuo a vedere il rischio di aziende che controllano per bene i fornitori di servizi cloud, ma non gli altri, lasciando aperte vulnerabilità importanti (e non si tratta di un rischio teorico, dato che ho visto parecchi di questi casi).
- https://www.enisa.europa.eu/media/press-releases/enisa2019s-security-guide-and-online-tool-for-smes-when-going-cloud.
Trovo l'iniziativa interessante, soprattutto per quanto riguarda le questioni che dovrebbe porre un cliente al fornitore di servizi cloud.
Come sempre, faccio la solita domanda: perché si continuano a fare guide per l'uso di fornitori di servizi cloud e non per i fornitori di tutti servizi informatici? Soprattutto considerando che non vedo questioni non applicabili ai fornitori non-cloud. Inoltre, io continuo a vedere il rischio di aziende che controllano per bene i fornitori di servizi cloud, ma non gli altri, lasciando aperte vulnerabilità importanti (e non si tratta di un rischio teorico, dato che ho visto parecchi di questi casi).
Lo stato delle cyber-assicurazioni
Segnalo questo articolo (via tuit di @ylventures) dal titolo "The State of Cyber Insurance":
- http://www.networkworld.com/article/3005213/security/the-state-of-cyber-insurance.html.
L'autore ha fatto ricerche sul mercato delle "cyber-assicurazioni" e riporta le lezioni imparate:
Tutto molto interessante, ma, a fronte di una ricerca condotta per un anno, mi sarei aspettato qualche cosa in più:
Peccato: un'occasione persa per fare vera informazione.
- http://www.networkworld.com/article/3005213/security/the-state-of-cyber-insurance.html.
L'autore ha fatto ricerche sul mercato delle "cyber-assicurazioni" e riporta le lezioni imparate:
- la proprietà intellettuale non è coperta da queste assicurazioni (quindi, deduco, si tratta di assicurazioni che coprono solo l'interruzione delle attività);
- le polizze possono essere fatte male, in quanto si tratta di un mercato "giovane";
- i prezzi sono alti perché i dati attuariali sono troppo limitati;
- i premi sono calcolati su valutazioni del rischio statiche e non dinamiche;
- le compagnie di assicurazione dovrebbero chiedere l'applicazione del NIST Cybersecurity Framework (ovviamente l'autore è degli USA);
- non ascoltate i venditori di prodotti "utili per ridurre i premi per le assicurazioni";
- in futuro ci saranno molte cause collegate ai pagamenti o mancati pagamenti da parte delle compagnie di assicurazione;
- il mercato migliorerà con gli anni.
Tutto molto interessante, ma, a fronte di una ricerca condotta per un anno, mi sarei aspettato qualche cosa in più:
- cosa si intende per "cyber-assicurazione"? Un'assicurazione che riguarda solo gli eventi relativi ad attacchi informatici da Internet, o anche quelli dall'interno; le cui liquidazioni si basano su quali parametri (tempi di interruzione e conseguenti perdite monetarie o altri aspetti)? Ovviamente, come al solito, qui si usa il termine "cyber" a casaccio;
- si parla del mercato delle "cyber-assicurazioni", ma non si specifica quanto è stato liquidato, quante richieste di liquidazione sono state fatte e quante sono state respinte, eccetera.
Peccato: un'occasione persa per fare vera informazione.
sabato 28 novembre 2015
Libro bianco sulla cyber security italiana
Ho letto il documento "Il Futuro della Cyber Security in Italia: Un libro bianco per raccontare le principali sfide che il nostro Paese dovrà affrontare nei prossimi cinque anni" del Laboratorio Nazionale di Cyber Security e del Consorzio Interuniversitario Nazionale per l'Informatica:
- https://www.consorzio-cini.it/index.php/it/labcs-home/libro-bianco
Innanzitutto grazie a Fabio Teoldi che mi ha spinto a leggerlo, anche se avevo ignorato altri annunci.
Purtroppo non mi è piaciuto. Dico "purtroppo" perché si tratta di un'occasione sprecata, se escludiamo il beneficio di visibilità data ai 52 autori.
Mi limito a commentare le raccomandazioni.
La prima raccomandazione è di "centralizzare competenze e responsabilità relative specificamente alla sicurezza cibernetica". Questa raccomandazione però non è accompagnata da un'analisi dei limiti dei CERT già presenti in Italia e del mandato dell'Agenda digitale europea. Tra l'altro, promuovere un ulteriore ente italiano, quando quelli già presenti hanno difficoltà di reperimento di personale competente, mi sembra difficile. Avrei voluto leggere un'analisi più approfondita.
La seconda raccomandazione è "la razionalizzazione dei data center della PA", sicuramente auspicabile. Ancora una volta, però, il documento è carente di analisi sulla situazione attuale e sulle iniziative oggi già in atto.
La terza raccomandazione riguarda la formazione. Innanzitutto e inspiegabilmente non tratta di scuole elementari e medie. In secondo luogo la proposta manca completamente di analisi e di profondità, limitandosi ad indicazioni estremamente banali.
Ultima raccomandazione riguarda le "Certificazioni, Best Practices e Framework di Sicurezza Nazionale" e ancora una volta non si trova un'analisi di quello che c'è (solo un accenno al fatto che esistono UNI e UNINFO per la normazione, nessun accenno ad Accredia e agli schemi da essa promossi o ad altri schemi), né una reale giustificazione per promuovere un ennesimo schema.
Mi spiace aver scritto un ennesimo articolo polemico (ho anche chiesto conferma ad un professionista che mi ha chiesto di rimanere anonimo) e forse, a sua volta, inutile.
- https://www.consorzio-cini.it/index.php/it/labcs-home/libro-bianco
Innanzitutto grazie a Fabio Teoldi che mi ha spinto a leggerlo, anche se avevo ignorato altri annunci.
Purtroppo non mi è piaciuto. Dico "purtroppo" perché si tratta di un'occasione sprecata, se escludiamo il beneficio di visibilità data ai 52 autori.
Mi limito a commentare le raccomandazioni.
La prima raccomandazione è di "centralizzare competenze e responsabilità relative specificamente alla sicurezza cibernetica". Questa raccomandazione però non è accompagnata da un'analisi dei limiti dei CERT già presenti in Italia e del mandato dell'Agenda digitale europea. Tra l'altro, promuovere un ulteriore ente italiano, quando quelli già presenti hanno difficoltà di reperimento di personale competente, mi sembra difficile. Avrei voluto leggere un'analisi più approfondita.
La seconda raccomandazione è "la razionalizzazione dei data center della PA", sicuramente auspicabile. Ancora una volta, però, il documento è carente di analisi sulla situazione attuale e sulle iniziative oggi già in atto.
La terza raccomandazione riguarda la formazione. Innanzitutto e inspiegabilmente non tratta di scuole elementari e medie. In secondo luogo la proposta manca completamente di analisi e di profondità, limitandosi ad indicazioni estremamente banali.
Ultima raccomandazione riguarda le "Certificazioni, Best Practices e Framework di Sicurezza Nazionale" e ancora una volta non si trova un'analisi di quello che c'è (solo un accenno al fatto che esistono UNI e UNINFO per la normazione, nessun accenno ad Accredia e agli schemi da essa promossi o ad altri schemi), né una reale giustificazione per promuovere un ennesimo schema.
Mi spiace aver scritto un ennesimo articolo polemico (ho anche chiesto conferma ad un professionista che mi ha chiesto di rimanere anonimo) e forse, a sua volta, inutile.
venerdì 20 novembre 2015
Secure Mobile Development Best Practices
Segnalo questa pubblicazione di NowSecure dal titolo "Mobile Development Best Practices":
- https://www.nowsecure.com/resources/secure-mobile-development/.
Non riesco a capire se si tratta di una buona guida, viste le mie diffuse incompetenze tecniche di programmazione mobile. Da una parte vedo che sono discussi molti casi da considerare, dall'altra non mi sembra che le "soluzioni" siano completamente sviluppate.
- https://www.nowsecure.com/resources/secure-mobile-development/.
Non riesco a capire se si tratta di una buona guida, viste le mie diffuse incompetenze tecniche di programmazione mobile. Da una parte vedo che sono discussi molti casi da considerare, dall'altra non mi sembra che le "soluzioni" siano completamente sviluppate.
mercoledì 18 novembre 2015
Un Windows 3.1 spegne l'aeroporto di Parigi
È brutto dare certe notizie in questi giorni, ma qui ci occupiamo di qualità e sicurezza delle informazioni (per i commenti e il dolore per le stragi del 13 novembre, altri hanno scritto meglio di me).
La notizia la ricavo dal SANS NewsBites e ha titolo "Failed Windows 3.1 system blamed for shutting down Paris airport":
- http://arstechnica.com/information-technology/2015/11/failed-windows-3-1-system-blamed-for-taking-out-paris-airport/.
Insomma, questi negli anni Novanta hanno installato un sistema critico su un pc con Windows 3.1 (e non su un AS/400 o simile) e da allora non l'hanno più aggiornato. Un aeroporto... degli sviluppatori di sistemi critici... La notizia, purtroppo, è vera.
La notizia la ricavo dal SANS NewsBites e ha titolo "Failed Windows 3.1 system blamed for shutting down Paris airport":
- http://arstechnica.com/information-technology/2015/11/failed-windows-3-1-system-blamed-for-taking-out-paris-airport/.
Insomma, questi negli anni Novanta hanno installato un sistema critico su un pc con Windows 3.1 (e non su un AS/400 o simile) e da allora non l'hanno più aggiornato. Un aeroporto... degli sviluppatori di sistemi critici... La notizia, purtroppo, è vera.
martedì 17 novembre 2015
Dlgs 231: l’ente risponde per non aver adottato misure di controllo idonee
Segnalo questo articolo di Filodiritto perché è la prima sentenza di applicazione del Dlgs 231 che leggo:
- http://www.filodiritto.com/news/2015/231-cassazione-penale-lente-risponde-per-non-aver-adottato-misure-di-controllo-idonee.html.
- http://www.filodiritto.com/news/2015/231-cassazione-penale-lente-risponde-per-non-aver-adottato-misure-di-controllo-idonee.html.
giovedì 12 novembre 2015
Guida della Commissione europea per il post-Safe harbor
Segnalo questo articolo con le novità in materia di Safe harbour e dal titolo"Safe Harbor Update: The European Commission Issues Guidance on the Schrems Decision":
- http://www.jdsupra.com/legalnews/safe-harbor-update-the-european-61218/.
Questo articolo fa riferimento ad una guida della Commissione europea:
- http://europa.eu/rapid/press-release_MEMO-15-6014_en.htm.
In sintesi: questa guida dice che è necessario usare le clausole contrattuali o le binding corporate rules (BCR).
Nulla è semplice e bisogna cercare un po' per recuperare documentazione utile. Per scrupolo la riporto:
- Clausole contrattuali per trasferimenti tra titolari:
http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1447323316386&uri=CELEX:32004D0915 (da decisione 915 del 2004 della CE);
- Clausole contrattuali tra titolare e responsabile esterno: http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1447323878179&uri=CELEX:32010D0087 (da decisione 87 de 2010 della CE);
- Schema di BCR del Art. 29 Working Party, riportato dai documenti WP 153, WP 154 e WP 155, reperibili al link http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion
-recommendation/index_en.htm.
Questi riferimenti li ho trovati nel documento "Communication from the Commission to the European parliament and the Council on the transfer of personal data from the EU to the United States of America under Directive 95/46/EC following the Judgment by the Court of Justice in Case C-362/14 (Schrems)" del 6 novembre 2015:
- http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/files/eu-us_data_flows_communication_final.pdf.
- http://www.jdsupra.com/legalnews/safe-harbor-update-the-european-61218/.
Questo articolo fa riferimento ad una guida della Commissione europea:
- http://europa.eu/rapid/press-release_MEMO-15-6014_en.htm.
In sintesi: questa guida dice che è necessario usare le clausole contrattuali o le binding corporate rules (BCR).
Nulla è semplice e bisogna cercare un po' per recuperare documentazione utile. Per scrupolo la riporto:
- Clausole contrattuali per trasferimenti tra titolari:
http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1447323316386&uri=CELEX:32004D0915 (da decisione 915 del 2004 della CE);
- Clausole contrattuali tra titolare e responsabile esterno: http://eur-lex.europa.eu/legal-content/EN/TXT/?qid=1447323878179&uri=CELEX:32010D0087 (da decisione 87 de 2010 della CE);
- Schema di BCR del Art. 29 Working Party, riportato dai documenti WP 153, WP 154 e WP 155, reperibili al link http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion
-recommendation/index_en.htm.
Questi riferimenti li ho trovati nel documento "Communication from the Commission to the European parliament and the Council on the transfer of personal data from the EU to the United States of America under Directive 95/46/EC following the Judgment by the Court of Justice in Case C-362/14 (Schrems)" del 6 novembre 2015:
- http://ec.europa.eu/justice/data-protection/international-transfers/adequacy/files/eu-us_data_flows_communication_final.pdf.
Regolamento eIDAS e CAD
Il Regolamento europeo cosiddetto eIDAS (n. 910/2014 del Parlamento Europeo e del Consiglio del 23 luglio 2104) impone delle modifiche al nostro Codice per l'amministrazione digitale (CAD, D. Lgs. 82 del 2005).
Alcune considerazioni sono riportate da questo articolo dal titolo "Il senso del regolamento europeo eIDAS per il nuovo Cad: un coordinamento necessario":
- http://www.forumpa.it/pa-digitale/il-regolamento-europeo-910-slash-2014-eidas-e-il-suo-impatto-sulla-legislazione-nazionale-primaria-e-tecnica.
Alcune considerazioni sono riportate da questo articolo dal titolo "Il senso del regolamento europeo eIDAS per il nuovo Cad: un coordinamento necessario":
- http://www.forumpa.it/pa-digitale/il-regolamento-europeo-910-slash-2014-eidas-e-il-suo-impatto-sulla-legislazione-nazionale-primaria-e-tecnica.
DPCM sul Fascicolo sanitario elettronico
È stato pubblicato sulla Gazzetta ufficiale il Decreto del Presidente del Consiglio dei ministri numero 178 del 29 settembre 2015 e dal titolo "Regolamento in materia di fascicolo sanitario elettronico":
- www.gazzettaufficiale.it/eli/id/2015/11/11/15G00192/sg.
Devo studiarlo. Immagino il Provvedimento sul Fascicolo sanitario elettronico (FSE) del Garante del 2009 (documenti web 1634116 e 1633793) sia abrogato. Ovviamente rimane in vita il Provvedimento sul Dossier sanitario elettronico (DSE) del 2015 (documento web 4084632).
Grazie ad Ernesto Belisario di cui ho letto un tweet con la notizia.
- www.gazzettaufficiale.it/eli/id/2015/11/11/15G00192/sg.
Devo studiarlo. Immagino il Provvedimento sul Fascicolo sanitario elettronico (FSE) del Garante del 2009 (documenti web 1634116 e 1633793) sia abrogato. Ovviamente rimane in vita il Provvedimento sul Dossier sanitario elettronico (DSE) del 2015 (documento web 4084632).
Grazie ad Ernesto Belisario di cui ho letto un tweet con la notizia.
martedì 10 novembre 2015
Il boom della sicurezza informatica
Questo articolo del The Economist ("The cost of immaturity: The business of protecting against computer-hacking is booming") è quasi banale: a seguito del crescere degli attacchi informatici, si sta avendo un boom dei servizi di sicurezza informatica:
- http://www.economist.com/news/business/21677639-business-protecting-against-computer-hacking-booming-cost-immaturity.
Il boom fa sì che molti "professionisti" non sono competenti e molti servizi sono di scarsa qualità. Questo anche perché non sono disponibili certificazioni professionali riconosciute.
Mi permetto di fare tre appunti:
Avendo commentato sarcasticamente, mi trattengo dal tediare ulteriormente i miei lettori con la solita geremiade sulle competenze già presente in molti miei post precedenti.
- http://www.economist.com/news/business/21677639-business-protecting-against-computer-hacking-booming-cost-immaturity.
Il boom fa sì che molti "professionisti" non sono competenti e molti servizi sono di scarsa qualità. Questo anche perché non sono disponibili certificazioni professionali riconosciute.
Mi permetto di fare tre appunti:
- il dilagare dell'incompetenza lo vedo dal 1999 (tra i tecnici e i consulenti), quando ho cominciato a lavorare in questo settore, quando il "boom" era sempre previsto per l'anno dopo;
- evidentemente bisognava aspettare il 2014 per dire, con ragione, che il boom della sicurezza informatica sarebbe stato l'anno successivo (i fanfaroni c'erano anche allora, anche se non usavano i social network per diffondere messaggi profondi di 144 caratteri);
- le certificazioni non sono troppo poche, sono invece troppe, forse giustamente, vista la vastità dell'argomento; chi cerca servizi di qualità fa fatica ad orientarsi (ricordo però il Quaderno Clusit "Certificazioni Professionali in Sicurezza Informatica 2.0", di cui sono co-autore, scaricabile da http://www.clusit.it/download/index.htm).
Avendo commentato sarcasticamente, mi trattengo dal tediare ulteriormente i miei lettori con la solita geremiade sulle competenze già presente in molti miei post precedenti.
sabato 7 novembre 2015
Presentazione sulla sicurezza del software
Segnalo questa presentazione di Gary McGraw, un guru della sicurezza del software:
- https://www.cigital.com/blog/annotated-att-cybersecurity-conference-keynote.
Alcuni dei link proposti conducono ad articoli interessanti. Per i più attenti potrebbe valere la pena considerare i libri di Gary McGraw.
Promuove anche il BSIMM, uno studio sulle iniziative per la sicurezza del software:
- https://www.bsimm.com/about/.
- https://www.cigital.com/blog/annotated-att-cybersecurity-conference-keynote.
Alcuni dei link proposti conducono ad articoli interessanti. Per i più attenti potrebbe valere la pena considerare i libri di Gary McGraw.
Promuove anche il BSIMM, uno studio sulle iniziative per la sicurezza del software:
- https://www.bsimm.com/about/.
Non parlate di "ingegneria" del software
Segnalo questo articolo dal titolo "Programmers: stop calling yourselves engineers":
- http://www.theatlantic.com/technology/archive/2015/11/programmers-should-not-call-themselves-engineers/414271/.
In poche parole: i programmatori e gli sviluppatori non sono "ingegneri", visto che non adottano le tecniche di ingegneria e i risultati, con bug, difetti e vulnerabilità, si vedono.
Personalmente ritengo che programmatori e sviluppatori dovrebbero tendere ad essere "ingegneri". Purtroppo, però, quando si chiede loro piani di progetto, documenti di requisiti e verbali di test (con o senza elementi di sicurezza), dimostrano di essere degli "artigiani". Nella peggiore delle ipotesi non hanno neanche idea di cosa gli sia stato chiesto; nella maggior parte dei casi, per contro, questi requisiti sono ben chiari ma applicati poco e male.
Certamente la colpa è gran parte da addebitare alle aziende che li pagano poco, considerano il loro lavoro come "banale", impongono tempi di analisi, sviluppo e verifica brevissimi. Un vero "ingegnere" (per esempio chiamato a progettare e costruire un ponte) rifiuterebbe di adeguarsi a queste condizioni (e non rimarrebbe senza lavoro, al contrario di programmatori e sviluppatori software).
Quindi, forse, per non confondersi e non illudersi, sarebbe effettivamente meglio essere consapevoli dei limiti della "ingegneria" del software nel mondo reale.
L'articolo segnala la "Guide to the software engineering body of knowledge (SWEBOK Guide)" dell'IEEE, che sembra interessante (è necessario fornire la propria email all'IEEE, ma si tratta di un ente serio e non credo la usi per fare spamming):
- http://www.computer.org/web/swebok/index.
- http://www.theatlantic.com/technology/archive/2015/11/programmers-should-not-call-themselves-engineers/414271/.
In poche parole: i programmatori e gli sviluppatori non sono "ingegneri", visto che non adottano le tecniche di ingegneria e i risultati, con bug, difetti e vulnerabilità, si vedono.
Personalmente ritengo che programmatori e sviluppatori dovrebbero tendere ad essere "ingegneri". Purtroppo, però, quando si chiede loro piani di progetto, documenti di requisiti e verbali di test (con o senza elementi di sicurezza), dimostrano di essere degli "artigiani". Nella peggiore delle ipotesi non hanno neanche idea di cosa gli sia stato chiesto; nella maggior parte dei casi, per contro, questi requisiti sono ben chiari ma applicati poco e male.
Certamente la colpa è gran parte da addebitare alle aziende che li pagano poco, considerano il loro lavoro come "banale", impongono tempi di analisi, sviluppo e verifica brevissimi. Un vero "ingegnere" (per esempio chiamato a progettare e costruire un ponte) rifiuterebbe di adeguarsi a queste condizioni (e non rimarrebbe senza lavoro, al contrario di programmatori e sviluppatori software).
Quindi, forse, per non confondersi e non illudersi, sarebbe effettivamente meglio essere consapevoli dei limiti della "ingegneria" del software nel mondo reale.
L'articolo segnala la "Guide to the software engineering body of knowledge (SWEBOK Guide)" dell'IEEE, che sembra interessante (è necessario fornire la propria email all'IEEE, ma si tratta di un ente serio e non credo la usi per fare spamming):
- http://www.computer.org/web/swebok/index.
KeeFarce
KeeFarce è uno strumento per recuperare le password gestite da KeePass. KeePass, a sua volta, è uno strumento per memorizzare le tante password in modo sicuro.
KeeFarce, quindi, rende meno sicuro KeePass. Però alla condizione che il pc su cui è installato KeePass sia compromesso e l'utente legittimo lo abbia sbloccato. Rimane un prodotto di sicurezza da adottare (molte sue alternative, comunque da considerare, possono ritenersi allo stesso livello di sicurezza e insicurezza), purché si sia consapevoli dei suoi limiti.
Per saperne di più:
- http://arstechnica.com/security/2015/11/hacking-tool-swipes-encrypted-credentials-from-password-manager/.
Grazie a Pasquale Stirparo che annunciato la notizia.
Per la cronaca: io preferisco scrivere le password su un file testo e cifrarlo; ma io non sono amministratore di una rete complessa di sistemi informatici.
KeeFarce, quindi, rende meno sicuro KeePass. Però alla condizione che il pc su cui è installato KeePass sia compromesso e l'utente legittimo lo abbia sbloccato. Rimane un prodotto di sicurezza da adottare (molte sue alternative, comunque da considerare, possono ritenersi allo stesso livello di sicurezza e insicurezza), purché si sia consapevoli dei suoi limiti.
Per saperne di più:
- http://arstechnica.com/security/2015/11/hacking-tool-swipes-encrypted-credentials-from-password-manager/.
Grazie a Pasquale Stirparo che annunciato la notizia.
Per la cronaca: io preferisco scrivere le password su un file testo e cifrarlo; ma io non sono amministratore di una rete complessa di sistemi informatici.
Iscriviti a:
Post (Atom)