Segnalo la pubblicazione del mio articolo "Gestione dei dati personali, ecco le novità della norma ISO/IEC 27552":
- https://www.agendadigitale.eu/sicurezza/privacy/gestione-dei-dati-personali-ecco-le-novita-della-norma-iso-iec-27552/.
Devo dire che, rileggendolo, non mi sembra scritto bene. Spero che almeno sia chiaro.
mercoledì 12 giugno 2019
venerdì 7 giugno 2019
GDPR e questioni aperte
Segnalo questo interessante articolo di Agenda Digitale dal titolo "GDPR, i rinvii alla Corte di Giustizia Ue: i principali nodi da sciogliere":
- https://www.agendadigitale.eu/sicurezza/privacy/gdpr-i-rinvii-alla-corte-di-giustizia-ue-i-principali-nodi-da-sciogliere/.
L'articolo elenca i casi ora in esame presso la Corte di Giustizia UE. Questi, pertanto, ci forniscono alcune indicazioni su alcuni dubbi interpretativi e su cosa ci potrebbe aspettare in futuro.
- https://www.agendadigitale.eu/sicurezza/privacy/gdpr-i-rinvii-alla-corte-di-giustizia-ue-i-principali-nodi-da-sciogliere/.
L'articolo elenca i casi ora in esame presso la Corte di Giustizia UE. Questi, pertanto, ci forniscono alcune indicazioni su alcuni dubbi interpretativi e su cosa ci potrebbe aspettare in futuro.
giovedì 6 giugno 2019
PSD2
Un articolo di ictBusiness.it mi ha ricordato l'importanza che la Direttiva sui servizi di pagamento potrebbe avere. Infatti, tra le altre cose, è richiesto ai negozi virtuali di prevedere l'autenticazione forte dei clienti. L'articolo di ictBusiness.it si concentra su questo aspetto e sul fatto che ancora molte imprese sono in ritardo con gli adeguamenti dei propri siti di e-commerce:
- http://www.ictbusiness.it/cont/news/acquisti-online-aziende-europee-in-ritardo-sulle-nuove-norme/43134/1.html.
La PSD2 ha ulteriori impatti. A questo proposito ho trovato questo articolo su Agenda Digitale molto completo (anche troppo, per le mie competenze):
- https://www.agendadigitale.eu/cittadinanza-digitale/pagamenti-digitali/psd2-quello-ce-sapere-norme-interchange-fee-sicurezza/.
- http://www.ictbusiness.it/cont/news/acquisti-online-aziende-europee-in-ritardo-sulle-nuove-norme/43134/1.html.
La PSD2 ha ulteriori impatti. A questo proposito ho trovato questo articolo su Agenda Digitale molto completo (anche troppo, per le mie competenze):
- https://www.agendadigitale.eu/cittadinanza-digitale/pagamenti-digitali/psd2-quello-ce-sapere-norme-interchange-fee-sicurezza/.
mercoledì 5 giugno 2019
Topi e indisponibilità
Sandro Sanna mi ha segnalato questa notizia dal titolo "Topi rosicchiano la fibra, mezza provincia di Belluno rimane senza web":
- https://www.ilmattino.it/napoli/cronaca/topi_fibra_provincia_senza_web_belluno_oggi_ultime_notizie-4536425.html
Non un notizione, ma ci ricorda di controllare, nell'ambito della manutenzione, la derattizzazione (che può anche prevedere l'uso di vernici particolari sui cavi). Anche questa è sicurezza delle informazioni...
- https://www.ilmattino.it/napoli/cronaca/topi_fibra_provincia_senza_web_belluno_oggi_ultime_notizie-4536425.html
Non un notizione, ma ci ricorda di controllare, nell'ambito della manutenzione, la derattizzazione (che può anche prevedere l'uso di vernici particolari sui cavi). Anche questa è sicurezza delle informazioni...
martedì 4 giugno 2019
GDPR: la crittografia non basta
Segnalo questo breve articolo di Alessandro Vallega dal titolo "GDPR e sicurezza, vogliamo dirci la verità? L'encryption non basta":
- https://www.cybersecurity360.it/soluzioni-aziendali/gdpr-e-sicurezza-vogliamo-dirci-la-verita-lencryption-non-basta/.
In poche e buone parole dice quello che emerge da questi 12 mesi di attuazione del GDRP: per pigrizia e incompetenza, in tanti richiedono l'applicazione della crittografia (in modo generico, senza indicare né come né dove) solo perché citata (non richiesta obbligatoriamente!) dal GDPR, senza pensare ad altre misure probabilmente prioritarie.
Sebbene conosca personalmente Alessandro, ho avuto notizia di questo articolo dalla newsletter del Clusit del 31 maggio 2019.
- https://www.cybersecurity360.it/soluzioni-aziendali/gdpr-e-sicurezza-vogliamo-dirci-la-verita-lencryption-non-basta/.
In poche e buone parole dice quello che emerge da questi 12 mesi di attuazione del GDRP: per pigrizia e incompetenza, in tanti richiedono l'applicazione della crittografia (in modo generico, senza indicare né come né dove) solo perché citata (non richiesta obbligatoriamente!) dal GDPR, senza pensare ad altre misure probabilmente prioritarie.
Sebbene conosca personalmente Alessandro, ho avuto notizia di questo articolo dalla newsletter del Clusit del 31 maggio 2019.
domenica 2 giugno 2019
VERA per privacy - versione gamma
Ho aggiornato il VERA per privacy, usando i controlli della ISO/IEC 27552 al posto di quelli della ISO/IEC 29151.
Infatti la ISO/IEC 29151 è per soli titolari, mentre la ISO/IEC 27552 è rivolta a titolari e responsabili, oltre ad essere meglio organizzata, grazie anche alle esperienze accumulate nei 2 anni di utilizzo.
La ISO/IEC 27552 è al momento in fase di final draft, però i controlli finali saranno quelli (al limite mi sono sbagliato con la numerazione).
Per la versione GAMMA, grazie a: Nicola Nuti, Simona Persi, Chiara Ponti.
Il VERA 4.4 privacy GAMMA è scaricabile da qui:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Dopo l'estate vorrei creare un VERA 5.0 per privacy e per 27001 (vorrei cercare di fare un unico file, in modo che uno lo possa usare per la sola ISO/IEC 27001, la sola privacy o per tutte e due contemporaneamente). Quindi: chiunque ha suggerimenti è pregato di farmeli avere.
PS: sono consapevole che "versione gamma" non è mai usata (a meno di eccezioni che non conosco), ma dopo la versione beta ho trovato questa soluzione.
Infatti la ISO/IEC 29151 è per soli titolari, mentre la ISO/IEC 27552 è rivolta a titolari e responsabili, oltre ad essere meglio organizzata, grazie anche alle esperienze accumulate nei 2 anni di utilizzo.
La ISO/IEC 27552 è al momento in fase di final draft, però i controlli finali saranno quelli (al limite mi sono sbagliato con la numerazione).
Per la versione GAMMA, grazie a: Nicola Nuti, Simona Persi, Chiara Ponti.
Il VERA 4.4 privacy GAMMA è scaricabile da qui:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Dopo l'estate vorrei creare un VERA 5.0 per privacy e per 27001 (vorrei cercare di fare un unico file, in modo che uno lo possa usare per la sola ISO/IEC 27001, la sola privacy o per tutte e due contemporaneamente). Quindi: chiunque ha suggerimenti è pregato di farmeli avere.
PS: sono consapevole che "versione gamma" non è mai usata (a meno di eccezioni che non conosco), ma dopo la versione beta ho trovato questa soluzione.
Plugin QWAC per Firefox
Glauco Rampogna (professionista della sicurezza delle informazioni e della privacy) mi ha segnalato che AgID ha pubblicato un plug-in per Firefox per validare i Qualified Website Authentication Certificates (QWAC):
- https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/2019/05/31/The+Agency+for+Digital+Italy+brings+online+security+to+the+next+level.
Il nome divertente (QWAC) vuol dire che per Regolamento (e non per fiducia "nel sistema") è possibile validare i certificati SSL di un sito web.
Glauco ha commentato: "per una volta pare che siamo i primi".
Per il resto, io ho installato il plug-in e prossimamente vedrò come lavora.
- https://ec.europa.eu/cefdigital/wiki/display/CEFDIGITAL/2019/05/31/The+Agency+for+Digital+Italy+brings+online+security+to+the+next+level.
Il nome divertente (QWAC) vuol dire che per Regolamento (e non per fiducia "nel sistema") è possibile validare i certificati SSL di un sito web.
Glauco ha commentato: "per una volta pare che siamo i primi".
Per il resto, io ho installato il plug-in e prossimamente vedrò come lavora.
Mio articolo su ITIL 4
E' stato pubblicato su ICT Security magazine il mio articolo dal titolo "ITIL 4 Foundation":
- https://www.ictsecuritymagazine.com/articoli/itil-4-foundation/.
Nulla in più di quanto avevo già scritto sul blog.
- https://www.ictsecuritymagazine.com/articoli/itil-4-foundation/.
Nulla in più di quanto avevo già scritto sul blog.
ENISA Industry 4.0 - Cybersecurity Challenges and Recommendations
Sandro Sanna mi ha segnalato la pubblicazione del breve (13 pagine) studio di ENISA dal titolo "Industry 4.0 - Cybersecurity Challenges and Recommendations":
- https://www.enisa.europa.eu/publications/industry-4-0-cybersecurity-challenges-and-recommendations.
Le raccomandazioni (riassunte da me) sono:
- allineare le competenze in materia di IT e OT (segnalo che è scritto che le persone in ambito OT devono adattarsi alle innovazioni, me, ma non è esplicitato che gli "esperti" di IT devono capire le caratteristiche dell'OT, per esempio in termini di sicurezza delle persone e lunghezza del ciclo di vita dei prodotti);
- prestare attenzione alle regole stabilite (solitamente incomplete) e alla necessità di fornire fondi alla sicurezza;
- incoraggiare con incentivi la sicurezza;
- prestare attenzione ai prodotti per industria 4.0 perché il loro ciclo di vita è la composizione di quello dei prodotti IT e OT;
- chiarire le responsabilità tra gli attori di industria 4.0;
- prestare attenzione al fatto che gli standard in materia di industria 4.0 sono frammentati;
- gestire la sicurezza considerando tutta la filiera di fornitura;
- prestare attenzione all'interoperabilità e alla sicurezza dei prodotti industria 4.0.
- https://www.enisa.europa.eu/publications/industry-4-0-cybersecurity-challenges-and-recommendations.
Le raccomandazioni (riassunte da me) sono:
- allineare le competenze in materia di IT e OT (segnalo che è scritto che le persone in ambito OT devono adattarsi alle innovazioni, me, ma non è esplicitato che gli "esperti" di IT devono capire le caratteristiche dell'OT, per esempio in termini di sicurezza delle persone e lunghezza del ciclo di vita dei prodotti);
- prestare attenzione alle regole stabilite (solitamente incomplete) e alla necessità di fornire fondi alla sicurezza;
- incoraggiare con incentivi la sicurezza;
- prestare attenzione ai prodotti per industria 4.0 perché il loro ciclo di vita è la composizione di quello dei prodotti IT e OT;
- chiarire le responsabilità tra gli attori di industria 4.0;
- prestare attenzione al fatto che gli standard in materia di industria 4.0 sono frammentati;
- gestire la sicurezza considerando tutta la filiera di fornitura;
- prestare attenzione all'interoperabilità e alla sicurezza dei prodotti industria 4.0.
giovedì 30 maggio 2019
Garante e formazione gratuita per DPO
Il Garante ha lanciato il progetto T4DATA, ossia eventi di formazione gratuita per DPO del settore pubblico e privato.
Il primo evento sarà ad Ancona il 7 giugno e poi ce ne saranno altri. Sono anche previsti webinar:
- https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9113500.
Provvedo a diffondere la notizia, anche perché l'iniziativa mi sembra molto
meritoria.
Il primo evento sarà ad Ancona il 7 giugno e poi ce ne saranno altri. Sono anche previsti webinar:
- https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9113500.
Provvedo a diffondere la notizia, anche perché l'iniziativa mi sembra molto
meritoria.
lunedì 20 maggio 2019
Manuale sul diritto europeo in materia di protezione dei dati - ed. 2018
Nicola Nuti degli Idraulici della Privacy e Franco Vincenzo Ferrari di DNV GL mi hanno segnalato la pubblicazione del "Manuale sul diritto europeo in materia di protezione dei dati - edizione 2018" da parte del Council of Europe:
- https://publications.europa.eu/en/publication-detail/-/publication/5b0cfa83-63f3-11e8-ab9c-01aa75ed71a1/language-it.
- https://publications.europa.eu/en/publication-detail/-/publication/5b0cfa83-63f3-11e8-ab9c-01aa75ed71a1/language-it.
giovedì 16 maggio 2019
ITIL 4 Foundation - I contenuti
Poco tempo fa avevo annunciato la disponibilità dell'esame ITIL 4 Foundation:
- http://blog.cesaregallotti.it/2019/04/itilv4-solo-foundation.html.
Dopo aver letto il manuale di ITIL 4 Foundation, posso dire che mi è piaciuto. Il primo motivo è perché è breve e mette già a disposizione le informazioni di base del modello ITIL, senza doverle estrarre da volumi più ampi. Il secondo motivo è perché tecnicamente è molto più convincente, coerente e utile delle ultime 2 versioni (ITILv3 e ITIL 2011). Riporto quindi nel seguito i miei appunti sulle parti tecniche.
Ora il modello ruota intorno a 3 elementi chiave: le attività del SVS (Service value system), le pratiche e i principi.
Le attività del SVS sono 6: pianificazione, miglioramento, coinvolgimento (engage), progettazione (design) e transizione, ottenimento o realizzazione, consegna e supporto (in precedenza, ITIL ruotava intorno alle 5 fasi di strategia, progettazione, transizione, esercizio, miglioramento continuo).
Sono anche trattate le 4 "dimensioni della gestione dei servizi", ossia le vecchie 4 P, anche se con nome leggermente diverso.
Le "pratiche" corrispondono ai "processi" delle precedenti versioni. Sono 34 divise in generali, di servizio e tecniche. Si vede quindi che non sono diminuite. L'idea è però quella di fornire indicazioni in merito agli aspetti della gestione dei servizi, non di presentare un modello unitario e coerente di queste pratiche. Mi permetto di tradurre così: dopo averci tormentati con i processi e la loro importanza, dopo averne creati troppi, dopo non essere riusciti a diminuirli, gli autori di ITIL hanno rinunciato a dare una visione dei processi come sistema (ossia a correrlarli tra loro) e li hanno chiamati "pratiche".
Se pure molte indicazioni sono interessanti, è in effetti difficile capire le relazioni tra le pratiche di "service design" e "change control" (non mi pare siano spiegate) e tra le pratiche di "release management" e "deployement management" (anche se per queste è fornita una spiegazione).
Sulle pratiche, segnalo poche cose:
- rinuncia al termine "risorse umane" per "forza lavoro e talenti" (workforce and talent);
- sottolinea che il CMS (configuration management system) è importante, ma non è necessario che sia di dettaglio e che è possibile averne più di uno (questo ricordando certi consulenti che promuovono un unico CMS o CMDB o Asset inventory, evidentemente senza avere idea di cosa sono veramente);
- ricorda che i processi di controllo dei change possono essere distinti per ambienti distinti (in molti pensavano ad un unico change manager per tutti i change);
- rinuncia (per lo meno a livello di foundation) al change manager e al CAB (change advisory board), ricordando solo che vanno previsti diversi livelli di autorizzazione per i change;
- riduce notevolmente l'importanza della pratica di "change control" rispetto a quanto in precedenza era importante il processo di change management (lo cita solo una volta nei 4 esempi forniti in Appendice A);
- usa il termine "continuity" per eventi di elevato impatto, contrariamente ad altri (per esempio il BCI) che invece lo usano anche per incidenti di impatto minore.
Per ogni pratica, sono indicati gli impatti sulle 6 attività del SVS. Questo punto spesso non mi è risultato chiaro e, anzi, alcune relazioni non mi hanno trovato d'accordo. Si tratta sicuramente di un tentativo di correlare il modello SVS con le 34 pratiche. Come spesso succede, i tentativi di correlare modelli diversi risultano difficili e il risultato non è buono.
I principi sono 8. Sono trattati all'inizio e poi quasi dimenticati. Di questi, anche come conclusione di questa analisi superficiali, vorrei ricordarne 3:
- il primo è la promozione della "progressione iterativa con riscontri" ossia dell'approccio Agile, criticando, in qualche modo, chi ha cercato di adottare ITIL con un approccio di reingenierizzazione dei processi (si ritorna, insomma, al Kaizen promosso nell'ambito della qualità);
- il secondo è di "partire da dove si è", ossia di essere consapevoli del proprio stato prima di iniziare attività di miglioramento; questo lo ricordo perché include, finalmente, una critica alle misurazioni e un richiamo all'importanza del monitoraggio;
- il terzo principio che ricordo è quello di "rendere semplice e pratico", spesso dimenticato da manager, consulenti e auditor; la frase che mi sono segnato è: "Simplicity is the ultimate sophistication".
Ora dovrò sostenere l'esame. Le differenze rispetto a ITIL 2011 sono molte e molti consigliano di seguire il corso completo. Io ho preferito studiare da solo il manuale. Spero di non aver fatto una scelta sbagliata.
- http://blog.cesaregallotti.it/2019/04/itilv4-solo-foundation.html.
Dopo aver letto il manuale di ITIL 4 Foundation, posso dire che mi è piaciuto. Il primo motivo è perché è breve e mette già a disposizione le informazioni di base del modello ITIL, senza doverle estrarre da volumi più ampi. Il secondo motivo è perché tecnicamente è molto più convincente, coerente e utile delle ultime 2 versioni (ITILv3 e ITIL 2011). Riporto quindi nel seguito i miei appunti sulle parti tecniche.
Ora il modello ruota intorno a 3 elementi chiave: le attività del SVS (Service value system), le pratiche e i principi.
Le attività del SVS sono 6: pianificazione, miglioramento, coinvolgimento (engage), progettazione (design) e transizione, ottenimento o realizzazione, consegna e supporto (in precedenza, ITIL ruotava intorno alle 5 fasi di strategia, progettazione, transizione, esercizio, miglioramento continuo).
Sono anche trattate le 4 "dimensioni della gestione dei servizi", ossia le vecchie 4 P, anche se con nome leggermente diverso.
Le "pratiche" corrispondono ai "processi" delle precedenti versioni. Sono 34 divise in generali, di servizio e tecniche. Si vede quindi che non sono diminuite. L'idea è però quella di fornire indicazioni in merito agli aspetti della gestione dei servizi, non di presentare un modello unitario e coerente di queste pratiche. Mi permetto di tradurre così: dopo averci tormentati con i processi e la loro importanza, dopo averne creati troppi, dopo non essere riusciti a diminuirli, gli autori di ITIL hanno rinunciato a dare una visione dei processi come sistema (ossia a correrlarli tra loro) e li hanno chiamati "pratiche".
Se pure molte indicazioni sono interessanti, è in effetti difficile capire le relazioni tra le pratiche di "service design" e "change control" (non mi pare siano spiegate) e tra le pratiche di "release management" e "deployement management" (anche se per queste è fornita una spiegazione).
Sulle pratiche, segnalo poche cose:
- rinuncia al termine "risorse umane" per "forza lavoro e talenti" (workforce and talent);
- sottolinea che il CMS (configuration management system) è importante, ma non è necessario che sia di dettaglio e che è possibile averne più di uno (questo ricordando certi consulenti che promuovono un unico CMS o CMDB o Asset inventory, evidentemente senza avere idea di cosa sono veramente);
- ricorda che i processi di controllo dei change possono essere distinti per ambienti distinti (in molti pensavano ad un unico change manager per tutti i change);
- rinuncia (per lo meno a livello di foundation) al change manager e al CAB (change advisory board), ricordando solo che vanno previsti diversi livelli di autorizzazione per i change;
- riduce notevolmente l'importanza della pratica di "change control" rispetto a quanto in precedenza era importante il processo di change management (lo cita solo una volta nei 4 esempi forniti in Appendice A);
- usa il termine "continuity" per eventi di elevato impatto, contrariamente ad altri (per esempio il BCI) che invece lo usano anche per incidenti di impatto minore.
Per ogni pratica, sono indicati gli impatti sulle 6 attività del SVS. Questo punto spesso non mi è risultato chiaro e, anzi, alcune relazioni non mi hanno trovato d'accordo. Si tratta sicuramente di un tentativo di correlare il modello SVS con le 34 pratiche. Come spesso succede, i tentativi di correlare modelli diversi risultano difficili e il risultato non è buono.
I principi sono 8. Sono trattati all'inizio e poi quasi dimenticati. Di questi, anche come conclusione di questa analisi superficiali, vorrei ricordarne 3:
- il primo è la promozione della "progressione iterativa con riscontri" ossia dell'approccio Agile, criticando, in qualche modo, chi ha cercato di adottare ITIL con un approccio di reingenierizzazione dei processi (si ritorna, insomma, al Kaizen promosso nell'ambito della qualità);
- il secondo è di "partire da dove si è", ossia di essere consapevoli del proprio stato prima di iniziare attività di miglioramento; questo lo ricordo perché include, finalmente, una critica alle misurazioni e un richiamo all'importanza del monitoraggio;
- il terzo principio che ricordo è quello di "rendere semplice e pratico", spesso dimenticato da manager, consulenti e auditor; la frase che mi sono segnato è: "Simplicity is the ultimate sophistication".
Ora dovrò sostenere l'esame. Le differenze rispetto a ITIL 2011 sono molte e molti consigliano di seguire il corso completo. Io ho preferito studiare da solo il manuale. Spero di non aver fatto una scelta sbagliata.
venerdì 10 maggio 2019
Mia intervista per Coretech
CoreTech, nella persona di Roberto Beneduci (Founder & CEO), mi ha invitato a tenere un intervento al suo convegno annuale (CoreTech Summit) sul tema della business continuity.
Mi hanno quindi fatto un'intervista "preventiva" pubblicata su LinkedIn. Per chi vuole ascoltarmi (e ascoltare anche Roberto) per poco più di 12 minuti, il link è questo (mi pare che questo video sia visibile anche senza accedere a LinkedIn):
- https://www.linkedin.com/feed/update/urn:li:activity:6531774727407562752.
Mi hanno quindi fatto un'intervista "preventiva" pubblicata su LinkedIn. Per chi vuole ascoltarmi (e ascoltare anche Roberto) per poco più di 12 minuti, il link è questo (mi pare che questo video sia visibile anche senza accedere a LinkedIn):
- https://www.linkedin.com/feed/update/urn:li:activity:6531774727407562752.
Pubblicazione ISO/IEC 27050-2
Seppur con grande ritardo, segnalo che a settembre 2018 è stata pubblicata la ISO/IEC 27050-2:2018 dal titolo "Information technology -- Electronic discovery -- Part 2: Guidance for governance and management of electronic discovery":
- https://www.iso.org/standard/66230.html.
Non mi pare aggiunga alcunché a quanto già noto, visto che è soprattutto una norma di tipo "gestionale" e non tecnico.
In sostanza, senza fornire molti dettagli, dice di prevedere regole in merito a: archiviazione, identificazione delle prove, dichiarazioni e comunicazione, gestione del rischio, monitoraggio e rendicontazione.
- https://www.iso.org/standard/66230.html.
Non mi pare aggiunga alcunché a quanto già noto, visto che è soprattutto una norma di tipo "gestionale" e non tecnico.
In sostanza, senza fornire molti dettagli, dice di prevedere regole in merito a: archiviazione, identificazione delle prove, dichiarazioni e comunicazione, gestione del rischio, monitoraggio e rendicontazione.
martedì 7 maggio 2019
Controllo dei lavoratori, Statuto lavoratori, penale e civile
Franco Vincenzo Ferrari di DNV GL Business Assurance Italia mi ha segnalato un articolo dal titolo "Cassazione penale: utilizzabili le riprese di un impianto di video-sorveglianza non conforme alla normativa privacy":
- https://www.forensicsgroup.eu/2019/05/cassazione-penale-utilizzabili-le-riprese-di-un-impianto-di-video-sorveglianza-non-conforme-alla-normativa-privacy/.
Si tratta di una sentenza della Cassazione, per cui si possono usare in un processo penale delle prove raccolte da strumenti di monitoraggio non coerenti con l'art. 4 dello Statuto dei lavoratori. Infatti questo riguarda il diritto privato e non il penale.
- https://www.forensicsgroup.eu/2019/05/cassazione-penale-utilizzabili-le-riprese-di-un-impianto-di-video-sorveglianza-non-conforme-alla-normativa-privacy/.
Si tratta di una sentenza della Cassazione, per cui si possono usare in un processo penale delle prove raccolte da strumenti di monitoraggio non coerenti con l'art. 4 dello Statuto dei lavoratori. Infatti questo riguarda il diritto privato e non il penale.
martedì 30 aprile 2019
CSA IoT Security Controls Framework
Il Cloud Security Alliance (CSA) ha pubblicato una lista di misure di sicurezza da prevedere per l'IoT dal titolo "CSA IoT Security Controls Framework":
- https://cloudsecurityalliance.org/artifacts/iot-security-controls-framework.
Questa lista è accompagnata da una guida "CSA Guide to the IoT Security Controls Framework":
- https://cloudsecurityalliance.org/artifacts/guide-to-the-iot-security-controls-framework/.
Per scaricare i documenti è necessario registrarsi (ma è possibile farlo anche usando dati totalmente inventati).
Il tutto sembra destinato soprattutto a organizzazioni che vogliono usare dispositivi IoT.
La lista non è certo agile, visto che si tratta di 160 controlli. Il suo utilizzo richiede la capacità di adattarla alle proprie esigenze (io, per esempio, trovo eccessivamente numerosi i controlli dedicati alla valutazione del rischio; però sono contento che alla gestione degli incidenti siano dedicati solo 2 controlli). Può comunque essere utile a chiunque voglia produrre o usare dispositivi o sistemi per l'IoT.
La notizia l'ho vista inoltrata da un post di LinkedIn di Laura Zarrillo (che a sua volta ha fornito un link di continuitycentral.com). Per vederlo è necessario essere iscritti a LinkedIn:
- https://www.linkedin.com/feed/update/urn:li:activity:6528994891962425344
- https://cloudsecurityalliance.org/artifacts/iot-security-controls-framework.
Questa lista è accompagnata da una guida "CSA Guide to the IoT Security Controls Framework":
- https://cloudsecurityalliance.org/artifacts/guide-to-the-iot-security-controls-framework/.
Per scaricare i documenti è necessario registrarsi (ma è possibile farlo anche usando dati totalmente inventati).
Il tutto sembra destinato soprattutto a organizzazioni che vogliono usare dispositivi IoT.
La lista non è certo agile, visto che si tratta di 160 controlli. Il suo utilizzo richiede la capacità di adattarla alle proprie esigenze (io, per esempio, trovo eccessivamente numerosi i controlli dedicati alla valutazione del rischio; però sono contento che alla gestione degli incidenti siano dedicati solo 2 controlli). Può comunque essere utile a chiunque voglia produrre o usare dispositivi o sistemi per l'IoT.
La notizia l'ho vista inoltrata da un post di LinkedIn di Laura Zarrillo (che a sua volta ha fornito un link di continuitycentral.com). Per vederlo è necessario essere iscritti a LinkedIn:
- https://www.linkedin.com/feed/update/urn:li:activity:6528994891962425344
Gli standard EN 50600 e ISO/IEC TS 22237 per i data center
Ho scritto un breve articolo di compilazione sullo standard ISO/IEC TS 22237 sui data center. Si tratta, se posso semplificare e quindi essere criticato, della "risposta europea" al "Tier Standard: Topology" dell'Uptime Instititue e all'ANSI TIA-942.
Infatti la ISO/IEC TS 22237 nasce dalle norme europee EN 50600.
Il mio articolo:
- https://www.ictsecuritymagazine.com/articoli/gli-standard-en-50600-e-iso-iec-ts-22237-per-i-data-center/.
Infatti la ISO/IEC TS 22237 nasce dalle norme europee EN 50600.
Il mio articolo:
- https://www.ictsecuritymagazine.com/articoli/gli-standard-en-50600-e-iso-iec-ts-22237-per-i-data-center/.
Bollettino MELANI 2/2019
Il rapporto semestrale della Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI (della Confederazione Svizzera) è a mio parere uno dei documenti più interessanti. Segnalo quindi il rapporto relativo alla seconda metà del 2018, uscito in questi giorni:
- https://www.melani.admin.ch/melani/it/home/dokumentation/bollettino-d-informazione/melani-halbjahresbericht-2-2018.html.
I temi "caldi" sono l'IoT, la «fake sextortion» e la compromissione delle utenze di Office 365.
- https://www.melani.admin.ch/melani/it/home/dokumentation/bollettino-d-informazione/melani-halbjahresbericht-2-2018.html.
I temi "caldi" sono l'IoT, la «fake sextortion» e la compromissione delle utenze di Office 365.
domenica 28 aprile 2019
Microsoft e il cambio delle password
Sul SANS NewsBites del 26 aprile trovo la notizia che Microsoft riconosce l'inutilità di forzare il cambio delle password:
- https://blogs.technet.microsoft.com/secguide/2019/04/24/security-baseline-draft-for-windows-10-v1903-and-windows-server-v1903/.
Questo in realtà si trova in un'idea per la prossima versione delle Security baselines di Windows: non avere più come default la richiesta di cambio periodico delle password.
Questa posizione è la stessa assunta dal NIST quasi due anni fa e di cui avevo già parlato all'epoca:
- http://blog.cesaregallotti.it/2017/08/del-nist-e-della-lunghezza-e.html.
Ricordo che "si ritiene preferibile lasciare liberi gli utenti di scegliere le proprie password, purché di almeno 8 caratteri e non presenti in una blacklist di password troppo facili". Purtroppo non sembra che i futuri sistemi Windows automatizzeranno queste blacklist. Anzi, il post di Microsoft dichiara che è compito degli utilizzatori realizzare le blacklist o meccanismi di autenticazione a più fattori (multi-factor authentication).
Di primo acchito, non mi pare un miglioramento (sappiamo quanto siano spesso superficiali molti amministratori di sistema; semplicemente non attueranno niente di più di quello previsto dalle baseline). Inoltre mi lascia sempre perplesso l'assenza di riflessioni sull'abitudine di molti utilizzatori aziendali di scambiarsi le password e delle possibili contromisure alternative al cambio periodico delle password. C'è però la riflessione sul fatto che oggi i sisitemi MFA, con la diffusione degli smartphone, siano sempre più economici e facili da usare.
- https://blogs.technet.microsoft.com/secguide/2019/04/24/security-baseline-draft-for-windows-10-v1903-and-windows-server-v1903/.
Questo in realtà si trova in un'idea per la prossima versione delle Security baselines di Windows: non avere più come default la richiesta di cambio periodico delle password.
Questa posizione è la stessa assunta dal NIST quasi due anni fa e di cui avevo già parlato all'epoca:
- http://blog.cesaregallotti.it/2017/08/del-nist-e-della-lunghezza-e.html.
Ricordo che "si ritiene preferibile lasciare liberi gli utenti di scegliere le proprie password, purché di almeno 8 caratteri e non presenti in una blacklist di password troppo facili". Purtroppo non sembra che i futuri sistemi Windows automatizzeranno queste blacklist. Anzi, il post di Microsoft dichiara che è compito degli utilizzatori realizzare le blacklist o meccanismi di autenticazione a più fattori (multi-factor authentication).
Di primo acchito, non mi pare un miglioramento (sappiamo quanto siano spesso superficiali molti amministratori di sistema; semplicemente non attueranno niente di più di quello previsto dalle baseline). Inoltre mi lascia sempre perplesso l'assenza di riflessioni sull'abitudine di molti utilizzatori aziendali di scambiarsi le password e delle possibili contromisure alternative al cambio periodico delle password. C'è però la riflessione sul fatto che oggi i sisitemi MFA, con la diffusione degli smartphone, siano sempre più economici e facili da usare.
martedì 23 aprile 2019
ENISA Maturity Evaluation Methodology for CSIRTs
L'ENISA ha pubblicato un documento dal titolo "ENISA Maturity Evaluation Methodology for CSIRTs" (è l'aggiornamento di un documento del 2017):
- https://www.enisa.europa.eu/publications/study-on-csirt-maturity-evaluation-process.
Non mi piacciono molto i modelli di maturità, questo dà comunque indicazioni utili per costruire un computer security incident response team (ricordo, a questo proposito, anche la guida dell'ETSI per costruire un SOC, di cui avevo scritto a suo tempo: http://blog.cesaregallotti.it/2019/01/guida-etsi-per-un-soc.html).
- https://www.enisa.europa.eu/publications/study-on-csirt-maturity-evaluation-process.
Non mi piacciono molto i modelli di maturità, questo dà comunque indicazioni utili per costruire un computer security incident response team (ricordo, a questo proposito, anche la guida dell'ETSI per costruire un SOC, di cui avevo scritto a suo tempo: http://blog.cesaregallotti.it/2019/01/guida-etsi-per-un-soc.html).
Iscriviti a:
Post (Atom)