VERA 8

Dovrei aver finito. Il VERA 8 è qui: https://github.com/CesareGallotti/VERA.

In italiano e in inglese e anche con i manuali aggiornati.

Se mai qualcuno dovesse sentirsi in colpa e troverà il coraggio per affrontare i sensi di colpa, potrà cancellarli da questo viaggio sottoscrivendo alla mia newsletter: https://infosecandquality.substack.com/.

Se no, continui a usarlo gratuitamente che va bene lo stesso. Almeno ho la soddisfazione di fare audit e consulenze e vedere meno modelli assurdi e complicatissimi (ce ne sono anche di ottimi diversi dal mio e danno anch'essi soddisfazione).

Mio tentativo di correlazione controlli ISO/IEC 27001 e VERA

Ahimè, dovrò aggiornare il VERA con i controlli NIS2. Non credo sia possibile evitarlo.

La prima tappa è quindi cercare di correlare i controlli ISO/IEC 27001:2022 con quelli dell'implementation regulation 2024/2690 e quelli ACN.

Ho provato a farlo e ho caricato il mio tentativo qui: https://github.com/CesareGallotti/VERA.

Nella colonna "Riflessioni CEG" ho inserito alcune cose che penso di fare. Se qualcuno vuole riesaminare, criticare e dare qualche suggerimento è benvenuto. Direi entro il 25 maggio. Che poi dovrò aggiornare il tutto e poi dovrò anche aggiornare il libro e già mi sento affaticato (ma almeno su quello qualche euro lo guadagno).

PS: la prima versione di questo post è del 29 aprile. Ho aggiornato il file il 30 aprile includendo tutto il FNCDP 2025 (e ho notato che è tradotto in un italiano orrendo; chissà se non ci fosse stata di mezzo un’università cosa sarebbe stato) e ripristinando le mie note interpretative, così che possiate commentare anch’esse.

Mio articolo sul calcolo dei rischi relativi ai dati personali

E' stato pubblicato questo articolo dal titolo "Rischi da violazione dei dati personali: guida pratica e normativa": https://www.agendadigitale.eu/sicurezza/privacy/rischi-da-violazione-dei-dati-personali-guida-pratica-e-normativa/.

E' a firma mia e di Chiara Ponti che ringrazio per avermi coinvolto nella riflessione che è soprattutto su come calcolare i rischi di sicurezza delle informazioni e privacy.

VERA 7.5

Ho pubblicato file e manuale di VERA 7.5, con i controlli della ISO/IEC 27017 e 27018: https://github.com/CesareGallotti/VERA/.

Ho anche aggiunto una piccola check list sui requisiti (capitoli 4-10) della 27001 e qualche campo che nel tempo mi è tornato utile o mi è stato segnalato come utile.

Siete sempre invitati a segnalarmi errori o possibili miglioramenti (anche per come il tutto è disponibile su GitHub, che sto usando come un modesto principiante).

Repository VERA su GitHub

Tanti mi segnalano variazioni a VERA o mi raccomandano aggiunte e modifiche. Io cerco di mantenere il file nel modo più semplice possibile e ho deciso di pubblicarlo su GitHub: https://github.com/CesareGallotti/VERA.

In questo modo, mi sarà forse più facile caricare gli aggiornamenti e chiunque potrà creare un fork per presentare la propria variazione (o forse lo farò io stesso).

Ogni suggerimento sull'uso di GitHub sarà gradito. Se qualcuno vorrà proporre alternative, le prenderò in considerazione (almeno finché non ci saranno fork).

Per intanto, ho caricato il VERA 7.3 (l'ultima versione con qualche correzione) in italiano e inglese e il manuale in italiano e in inglese.

Manuale VERA

Ho scritto una prima bozza di manuale del VERA, il mio foglio Excel per valutare il rischio.

Chi volesse correggere le bozze (e indicare mancanze, imprecisioni, cose incomprensibili, eccetera), mi scriva privatamente.

Sono anni che mi chiedono un manuale e io non ho mai voluto scriverlo per pigrizia. Vito Losacco, amico e collega e concorrente, è stato l'ultimo a chiedermelo e questa volta non sono riuscito a dire di no. Spero solo di non aver peggiorato la situazione.

Riferimento pharma per la gestione del rischio

Michaël Hooreman, via LinkedIn, mi ha segnalato il documento "ICH Q9 Quality risk management - Scientific guideline" della European Medicines Agency: https://www.ema.europa.eu/en/ich-q9-quality-risk-management-scientific-guideline.

Il documento presenta approcci di valutazione del rischio che possono essere usati nell'ambito della qualità. A mio parere non solo, perché potrebbero essere benissimo applicati, con qualche aggiustamento, anche alla sicurezza delle informazioni e forse ad altri campi. In tutti i casi, visto che si tratta di approcci validi e diffusi, sarebbe opportuno che chi si occupa di sicurezza delle informazioni li conoscesse, per evitare di fossilizzarsi su un solo modello.

Utile anche per quanto riguarda la sola qualità per capire meglio gli ambiti di applicazione della valutazione del rischio. A mio parere, la ISO 9001, con l'ultima edizione basata sull'HLS, non è molto chiara sull'ambito di applicazione della gestione del rischio (problema riscontrabile su tutte le norme sui sistemi di gestione). Leggendo il testo con tanta attenzione, si trova che la gestione del rischio dovrebbe riguardare solo l'efficacia del sistema di gestione (e quindi trattare solo rischi gestionali), ma molti l'applicano per i rischi più operativi e questo non è necessariamente un male. Questo documento permette di approfondire, seppur sinteticamente, questi aspetti.

VERA 7.1 ITA e ENG

Per allietare le vacanze di tutti, ho caricato il VERA 7.1 (il mio foglio Excel per la valutazione del rischio relativo alla sicurezza delle informazoni) in italiano e in inglese sul mio sito: https://www.cesaregallotti.it/Pubblicazioni.html.  

Il 7.1 in italiano è una correzione del 7.0 già pubblicato, mentre il 7.1 in inglese è la sua traduzione (con l'inglese ero rimasto fermo al 6.0).

 Il VERA 7.1 riporta i controlli della ISO/IEC 27001:2013 e quelli della ISO/IEC 27001:2022.

Sicurezza delle informazioni: la nuova ISO/IEC 27005 sulla valutazione del rischio

Segnalo un mio articolo sulla nuova ISO/IEC 27005 sulla valutazione del rischio: https://www.agendadigitale.eu/sicurezza/sicurezza-delle-informazioni-la-nuova-iso-iec-27005-sulla-valutazione-del-rischio/.

Approfondisce quanto avevo già detto in precedenza in altre occasioni.

Come sempre, sono disponibile al confronto nel caso qualcuno voglia discutere le mie posizioni.

Le norme tecniche avanzano (e ISO/IEC 27005)

Il 16 marzo 2023, al Security summit di Milano, ho parlato nella sessione "Le norme tecniche avanzano". Io mi sono concentrato sulle novità della ISO/IEC 27005. La presentazione è qui: https://securitysummit.it/eventi/milano-2023/sessioni/le-norme-tecniche-avanzano.

Entro fine aprile dovrebbe uscire un articolo in cui approfondisco i concetti (anche se, in realtà, li ho espressi anche in altre occasioni).

"Interoperable EU Risk Management Toolbox" di ENISA

Sulla newsletter di Project:IN Avvocati vedo che ENISA ha pubblicato il documenti "Interoperable EU Risk Management Toolbox":
- https://www.enisa.europa.eu/publications/interoperable-eu-risk-management-toolbox.

Non mi è piaciuto perché riprende l'approccio della ISO/IEC 27005:2018 (ricordo che è stata pubblicata la versione del 2022), ossia quello basato su asset-minacce-vulnerabilità. Però questo approccio si ha unicamente nell'ambito della sicurezza delle informazioni e fu inventato negli anni Ottanta, quando l'informatica era completamente diversa da quella attuale (e quando gli asset erano molto pochi). Oggi non ha senso pensare all'interoperabilità di analisi basati su meccanismi vecchi e unici per una certa materia.

Detto questo, trovo invece molto interessanti le appendici III - Toolbox threat taxonomy (perché permette di verificare la completezza del proprio approccio), IV - Toolbox impact scale (perché si può prendere come riferimento per il proprio approccio; una scala per la probabilità di accadimento è al paragrafo 2.3.1.4).

Segnalo infine che le scale per impatto e probabilità sono su 5 valori, mentre si consiglia solitamente di prevedere un numero pari di valori, in modo da evitare che venga scelto il valore di mezzo, che non darebbe indicazioni utili.

Tassonomia incidenti ACN

ACN ha elaborato una tassonomia di incidenti informatici per le notifiche da parte delle organizzazioni del Perimetro di Sicurezza Nazionale Cibernetica:
- https://www.acn.gov.it/notizie/contenuti/si-rafforza-il-perimetro-nazionale-di-sicurezza-cibernetica.

La tassonomia, in Allegato A della Determina del 3 gennaio 2023, si trova al momento in Gazzetta ufficiale (grazie a Franco Vincenzo Ferrari per avermela segnalata) ed è previsto venga pubblicato sul sito di ACN del CSIR Italia:
- www.gazzettaufficiale.it/eli/id/2023/01/10/23A00114/sg.

I tipi di incidente sono raggruppati in sole 15 categorie e già questa mi sembra una buona notizia. Per il resto, bisognerà valutare la bontà di questo elenco tra qualche tempo, dopo che sarà stato effettivamente utilizzato.

Presentazione sulla nuova ISO/IEC 27005:2022

Franco Vincenzo Ferrari mi ha segnalato questo Presentazione sulla nuova ISO/IEC 27005:2022 e sulle differenze rispetto alla precedente edizione:
- https://www.linkedin.com/posts/andreyprozorov_iso-270052022-overview-activity-6992728175516479488-ysYY.

Segnalo la novità principale, ossia l'approccio "event-based", affiancato a quello tradizionale "asset-based".

Nota mia: a ben guardare, non sono così diversi. L'approccio "event-based" è tanto lodato perché trascinato dall'entusiasmo di quanti erano (a mio parere correttamente) stufi di un approccio che non ha eguali in altre discipline e nato negli anni Ottanta, quando l'informatica era ben diversa e molto meno complessa (per cui aveva senso fare valutazioni del rischio per ciascun asset). Ciò non toglie che ambedue gli approcci richiedono di sapere cosa c'è da proteggere, i potenziali eventi che potrebbero capitare e lo stato delle misure di sicurezza per contrastarli. Alla fine, la valutazione del rischio è tutta qui.

Comunque lo ribadisco: ben venga questa ISO/IEC 27005:2022 perché permette di presentare valutazioni del rischio più moderne e utili senza essere appesantiti da auditor e consulenti pedanti.

Video spiegazione su VERA 6

Agostino Oliveri di Sicurdata mi ha chiesto di registrare un video di spiegazione sull'uso di VERA 6. Eccolo qui:
- https://peertube.myrasp.eu/w/bgRdYjyz4QyNcmA8ZsLGLk.

Intanto ho cercato di non pubblicarlo con YouTube, ma su MyRaspTube, che fa parte del PeerTube, che a sua volta fa parte del fediverso (https://notes.nicfab.it/it/posts/mastodon/). Tutto ciò per me è nuovissimo, ma ho colto questa occasione per sperimentare un pochino. Prego di segnalarmi problemi (e poi, quando avrò un po' di tempo, potrei cercare di spostare il blog da Blogger).

Claudio Sartor mi ha segnalato che alcuni filtri di rete non permettono l'accesso a MyRaspTube. Quindi ho caricato il video sul mio sito:
- https://www.cesaregallotti.it/Pdf/Pubblicazioni/2022-07-08-Vera06-ITA-Spiegazione.mp4.

VERA 7 per la valutazione del rischio

Ho pubblicato la versione 7 del VERA il mio foglio di calcolo per la valutazione del rischio:
- https://www.cesaregallotti.it/Pubblicazioni.html.

Riporta, come la versione 6, i controlli della ISO/IEC 27001 del 2013 e del 2022 (con lista di riscontro).

Questa è una versione "sperimentale", dove sono stati uniti il foglio per la valutazione delle minacce e quello per il calcolo del rischio, in modo da renderlo utilizzabile anche per l'analisi di altri rischi. In questo modo, forse, è più semplice aggiungere e togliere minacce e controlli di sicurezza.

Al momento non prevedo di farne una versione in inglese, in attesa di essere sicuro del suo funzionamento.

I controlli del 2022 in italiano non sono nella traduzione ufficiale perché non ancora disponibile.

Invito tutti gli utilizzatori a commentarlo, segnalarmi errori e difficoltà di utilizzo.

Security Risk Assessment Tool del US HHS

Dal SANS Newsbite, segnalo questo strumento pubblicato dal Department of Health and Human Services (HHS) Office for Civil Rights (OCR) and National Coordinator for Health Information Technology (ONC) degli USA:
- https://www.healthit.gov/topic/privacy-security-and-hipaa/security-risk-assessment-tool.

Si può scaricare l'Excel e la questione risulta interessante perché non si tratta di una vera e proprio valutazione del rischio, ma di due cose:
1- valutazione dei controlli di sicurezza; se non sono ottimali, sono evidenziati per ulteriori riesami;
2- valutazione dell'impatto e della probabilità di alcuni eventi e "vulnerabilità".

Controlli, eventi e vulnerabilità sono divisi in 7 famiglie. Il rischio però non viene calcolato considerando tutti e tre i parametri insieme.

Ecco quindi che ogni tanto mi viene il pensiero che, quando sento parlare di "valutazione del rischio", ciascuno ha idee diverse su cosa si intende.

Pubblicazione Enisa sugli standard di valutazione del rischio

Glauco Rampogna mi ha segnalato la pubblicazione ENISA dal titolo "Risk management standards":
- https://www.enisa.europa.eu/publications/risk-management-standards.

Distingue tra standard (come la ISO 31000 e la ISO/IEC 27005) e metodologie (in particolare EBIOS) e, nonostante il titolo, parla anche di queste ultime.

Lettura non molto approfondita (non ci sono neanche i link alle metodologie! e poi cita ancora il CRAMM che non credo esista ancora), ma comunque necessaria. Ho trovato particolarmente interessante il paragrafo "Practical use of standards and methodologies" perché fornisce un processo pratico, fatto di 5 incontri, per valutare il rischio. Non tutto mi trova d'accordo, ma anche questa è una lettura utile.

Libro "Rischio digitale Innovazione e Resilienza" del Clusit

Segnalo il libro dal titolo (con troppe maiuscole, ahimè) "Rischio digitale Innovazione e Resilienza: Conoscere, affrontare e mitigare il rischio digitale":
- https://risk.clusit.it.

E' liberamente scaricabile.

Ho contribuito anche io e ne sono molto contento.

Intanto diciamo che vuole presentare molte cose e si nota una certa eterogeneità degli argomenti. Poi i "framework" non sono propriamente di valutazione del rischio ma di controllo.

Ci sono però molti pregi: una panoramica su molti settori significativi per la valutazione del rischio (e che dovrebbe conoscere anche chi non ci lavora, per ampliare la propria cultura e competenza), una panoramica sui framework di sicurezza e alcuni spunti in merito alla conduzione della valutazione del rischio (anche se non li convido tutti, penso sia necessario comprenderli per poi scegliere consapevolmente l'approccio da seguire).

Il mio punto preferito è il 5.7.2 "Aspetti psicologici e pregiudizi (bias) nella percezione del rischio" perché penso sia importantissimo da conoscere. Me ne rendo conto soprattutto quando sento parlare di "oggettività della valutazione del rischio".

VERA 7 - In lavorazione

Sto lavorando al VERA 7, con un'impostazione leggermente diversa dalle precedenti. Niente di sconvolgente, eh... Solo che volevo semplificare un po' l'aggiunta delle minacce e dei controlli in modo da poter integrare più valutazioni del rischio.

Se qualcuno volesse riceverle la bozza per segnalare suggerimenti, la invio volentieri.

Mi piacerebbe anche un aiuto per i rischi relativi all'efficacia del sistema di gestione.

Aggiornamento Linee guida EDPB sulle notifiche delle violazioni

EDPB ha aggiornato a dicembre 2021 le "Guidelines 01/2021 on Examples regarding Personal Data Breach Notification":
- https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012021-examples-regarding-personal-data-breach_en.

La prima versione era di gennaio 2021 e all'epoca non le avevo segnalate.

E' ovviamente necessario leggerle, anche perché i casi possono essere usati come minacce da considerare nella valutazione del rischio e per ciascuno di essi sono anche elencate le misure di sicurezza. Insomma: queste linee guida possono essere usate per verificare la completezza delle propria valutazione del rischio e valutare l'adeguatezza delle misure di sicurezza.

Grazie a Chiara Ponti per averlo segnalato agli Idraulici della Privacy.