Simone Tomirotti mi segnala questo articolo di Wired che suggerisce di: "learning to live with the threat, rather than trying to eradicate it, is the new normal. Just detecting attacks and mitigating against them is the best that many companies can hope to do. (...) We have to manage the way we assess the risk".
- http://www.wired.com/threatlevel/2012/05/everyone-hacked/ <http://www.wired.com/threatlevel/2012/05/everyone-hacked/>
Sempre Simone fa alcuni commenti:
- Wired non è una rivista indirizzata verso la cultura del controllo, ma punta verso l'innovazione, eppure anche tra le loro colonne la soluzione è "valutare il rischio";
- negli USA c'è bisogno di un "FBI's former top cyber-cop", che sottolinei l'importanza del risk assessment;
- c'è vita dopo l'auditing
Dopo aver letto questa segnalazione di Simone, ho trovato una riflessione di Bruce Schneier molto simile nella newsletter Crypto-Gram a fronte di un articolo di Kelly Jackson Higgins (si tratta, in realtà, di una serie di articoli sullo stesso tema; quello segnalato è il secondo):
- http://www.darkreading.com/advanced-threats/167901091/security/attacks-breaches/232800395/damage-mitigation-as-the-new-defense.html
lunedì 21 maggio 2012
lunedì 14 maggio 2012
Articolo sul caso Wikileaks
Segnalo questo articolo di Stefano Ramacciotti dal titolo "La sicurezza delle informazioni al tempo di Wikileaks".
Il caso è ormai vecchio e l'articolo è di inizio 2011. Però mi sembra interessante per i seguenti punti:
- pone molto bene il problema che c'è nella percezione di "sicurezza delle informazioni" e "sicurezza informatica"
- introduce molto bene i paradigmi di need-to-know e need-to-share
- parla della "Sindrome di Fort Apache" che non conoscevo; è "quell'atteggiamento secondo il quale si pensa che i "cattivi" stiano tutti fuori, e dentro il forte ci siano solo i buoni"; per saperne di più dovrei leggere il libro di Giustozzi, ma già il nome è interessante
- propone alcune misure di sicurezza che non sono normalmente trattate nell'ambito civile e che potrebbero essere mutuate intelligentemente dall'ambito militare
- segnala un attacco ovvio, ma di cui non sapevo il nome ("Pod slurping") e a cui raramente si pensa
L'articolo:
- http://www.difesa.it/Pubblicistica/info-difesa/Infodifesa140/2011/Documents/Rivista%203-2011/3_Articolo3.pdf
Il caso è ormai vecchio e l'articolo è di inizio 2011. Però mi sembra interessante per i seguenti punti:
- pone molto bene il problema che c'è nella percezione di "sicurezza delle informazioni" e "sicurezza informatica"
- introduce molto bene i paradigmi di need-to-know e need-to-share
- parla della "Sindrome di Fort Apache" che non conoscevo; è "quell'atteggiamento secondo il quale si pensa che i "cattivi" stiano tutti fuori, e dentro il forte ci siano solo i buoni"; per saperne di più dovrei leggere il libro di Giustozzi, ma già il nome è interessante
- propone alcune misure di sicurezza che non sono normalmente trattate nell'ambito civile e che potrebbero essere mutuate intelligentemente dall'ambito militare
- segnala un attacco ovvio, ma di cui non sapevo il nome ("Pod slurping") e a cui raramente si pensa
L'articolo:
- http://www.difesa.it/Pubblicistica/info-difesa/Infodifesa140/2011/Documents/Rivista%203-2011/3_Articolo3.pdf
Privacy e responsabilità dell'acquirente di liste di contatti
Il Garante della Privacy, il 5 aprile, ha emesso un Provvedimento su "responsabilità dell'acquirente di liste di contatti":
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1891156
Il Provvedimento è molto lungo e di difficile lettura. Questo articolo riassuntivo è più semplice:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3739
Considerazione 1: nella lunga premessa si evince quanto vado a dire da tempo (e non sono un legale), ossia che non è sempre corretto nominare le altre aziende come "Responsabili esterni". In questo Provvedimento è chiaro come le diverse aziende coinvolte si siano nominate reciprocamente "Responsabili" seguendo l'interpretazione più diffusa, senza considerare gli impatti e gli obblighi reciproci derivanti.
Considerazione 2: la lamentela è stata sollevata da una persona iscritta al Registro delle Opposizioni, ma poi questo particolare viene dimenticato nel corso del Provvedimento.
Considerazione 3: credo che il discorso si faccia ora complesso per coloro che vogliono utilizzare elenchi non pubblici di nominativi per fare telemarketing, visto che "chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente acconsentito all'invio di materiale pubblicitario". Come può farlo se le garanzie contrattuali, così come richiamate dal Provvedomento, non sono ritenute sufficienti?
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1891156
Il Provvedimento è molto lungo e di difficile lettura. Questo articolo riassuntivo è più semplice:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3739
Considerazione 1: nella lunga premessa si evince quanto vado a dire da tempo (e non sono un legale), ossia che non è sempre corretto nominare le altre aziende come "Responsabili esterni". In questo Provvedimento è chiaro come le diverse aziende coinvolte si siano nominate reciprocamente "Responsabili" seguendo l'interpretazione più diffusa, senza considerare gli impatti e gli obblighi reciproci derivanti.
Considerazione 2: la lamentela è stata sollevata da una persona iscritta al Registro delle Opposizioni, ma poi questo particolare viene dimenticato nel corso del Provvedimento.
Considerazione 3: credo che il discorso si faccia ora complesso per coloro che vogliono utilizzare elenchi non pubblici di nominativi per fare telemarketing, visto che "chi acquisisce la banca dati deve accertare che ciascun interessato abbia validamente acconsentito all'invio di materiale pubblicitario". Come può farlo se le garanzie contrattuali, così come richiamate dal Provvedomento, non sono ritenute sufficienti?
venerdì 11 maggio 2012
Lavori sulla futura ISO/IEC 27001 e 27006
Come già detto in altro articolo, ho partecipato all'incontro del WG1 dell'SC27 della ISO del 7-11 a Stoccolma per scrivere la futura ISO/IEC 27001.
Tralascio il resoconto su come si è svolta la riunione e procedo a dare notizie sui punti tecnici più rilevanti.
Alcuni punti relativi alla futura ISO/IEC 27001.
- Uso del Common Text for Management Systems: la ISO ha emesso la ISO Guide 83, in cui sono specificate le regole per la scrittura degli standard sui sistemi di gestione (inclusa la 27001) e l'SC 27 ha confermato che la userà con alcune modifiche; in effetti, il testo proposto dalla ISO Guide 83 presenta alcuni punti che sono difficili da unire con la 27001 (presenta anche alcuni errori nell'inglese, per la verità).
- Risk Assessment: uno dei problemi della ISO Guide 83 è che richiede una gestione dei rischi dell'organizzazione (la troveremo quindi anche nella ISO 9001), che presenta difficoltà di unione con il risk assessment per la sicurezza delle informazioni; molto dibattito si è fatto sulla distinzione tra "risk assessment per il sistema di gestione" e "risk assessment per la sicurezza delle informazioni"; per me, l'Italia e altri Paesi non ci dovrebbe essere distinzione, per altri sì; alla fine ha prevalso la prima posizione
- Risk Assessment 2: nella bozza iniziale i requisiti sul R.A. erano veramente ridotti, ora sembra che si sia arrivati ad una giusta via di mezzo tra quello troppo prescrittivo della ISO/IEC 27001:2005 e quello troppo vago della bozza iniziale
- Riferimenti ad altri documenti: saranno tolti i riferimenti ad altri documenti e sarà fatta un'operazione simile alla ISO 9001, in cui i riferimenti ad altri standard saranno limitati ad una specifica sezione
- Uso dello Statement of Applicability: è stato deciso di continuare a richiedere lo Statement of Applicability con riferimento all'Annex A
- è stato chiarito che non si richiederanno misurazioni di efficacia di tutti i controlli, ma si richiederà di individuare per quali misurare e misurare
- è stato chiarito che il piano di trattamento del rischio deve riportare tutti i rischi, anche quelli per cui non è richiesta nessuna azione (meglio: per cui l'azione è la accettazione).
Purtroppo, non ho avuto l'occasione di assistere alla discussione sulla ISO/IEC 27002.
Ho anche avuto l'occasione di discutere di ISO/IEC 27006. Da questo punto di vista non ci saranno grosse novità, se non la necessità di allinearla alla attuale ISO/IEC 17021. Il punto più "caldo" riguarda l'Annex C, ossia la tabella con le giornate uomo da prevedere per gli audit. L'Italia ha espresso l'opinione che la tabella ha valori troppo elevati (cioè, richiede troppe giornate di audit) e ha fatto una prima proposta di eliminazione.
Attualmente si è deciso di mantenere l'Annex C ed è stato richiesto all'Italia di presentare una tabella alternativa.
Altre norme sono state discusse, ma la delegazione italiana (vedere altro articolo) era troppo ridotta per poterne seguire i lavori.
Tralascio il resoconto su come si è svolta la riunione e procedo a dare notizie sui punti tecnici più rilevanti.
Alcuni punti relativi alla futura ISO/IEC 27001.
- Uso del Common Text for Management Systems: la ISO ha emesso la ISO Guide 83, in cui sono specificate le regole per la scrittura degli standard sui sistemi di gestione (inclusa la 27001) e l'SC 27 ha confermato che la userà con alcune modifiche; in effetti, il testo proposto dalla ISO Guide 83 presenta alcuni punti che sono difficili da unire con la 27001 (presenta anche alcuni errori nell'inglese, per la verità).
- Risk Assessment: uno dei problemi della ISO Guide 83 è che richiede una gestione dei rischi dell'organizzazione (la troveremo quindi anche nella ISO 9001), che presenta difficoltà di unione con il risk assessment per la sicurezza delle informazioni; molto dibattito si è fatto sulla distinzione tra "risk assessment per il sistema di gestione" e "risk assessment per la sicurezza delle informazioni"; per me, l'Italia e altri Paesi non ci dovrebbe essere distinzione, per altri sì; alla fine ha prevalso la prima posizione
- Risk Assessment 2: nella bozza iniziale i requisiti sul R.A. erano veramente ridotti, ora sembra che si sia arrivati ad una giusta via di mezzo tra quello troppo prescrittivo della ISO/IEC 27001:2005 e quello troppo vago della bozza iniziale
- Riferimenti ad altri documenti: saranno tolti i riferimenti ad altri documenti e sarà fatta un'operazione simile alla ISO 9001, in cui i riferimenti ad altri standard saranno limitati ad una specifica sezione
- Uso dello Statement of Applicability: è stato deciso di continuare a richiedere lo Statement of Applicability con riferimento all'Annex A
- è stato chiarito che non si richiederanno misurazioni di efficacia di tutti i controlli, ma si richiederà di individuare per quali misurare e misurare
- è stato chiarito che il piano di trattamento del rischio deve riportare tutti i rischi, anche quelli per cui non è richiesta nessuna azione (meglio: per cui l'azione è la accettazione).
Purtroppo, non ho avuto l'occasione di assistere alla discussione sulla ISO/IEC 27002.
Ho anche avuto l'occasione di discutere di ISO/IEC 27006. Da questo punto di vista non ci saranno grosse novità, se non la necessità di allinearla alla attuale ISO/IEC 17021. Il punto più "caldo" riguarda l'Annex C, ossia la tabella con le giornate uomo da prevedere per gli audit. L'Italia ha espresso l'opinione che la tabella ha valori troppo elevati (cioè, richiede troppe giornate di audit) e ha fatto una prima proposta di eliminazione.
Attualmente si è deciso di mantenere l'Annex C ed è stato richiesto all'Italia di presentare una tabella alternativa.
Altre norme sono state discusse, ma la delegazione italiana (vedere altro articolo) era troppo ridotta per poterne seguire i lavori.
giovedì 10 maggio 2012
Chi partecipa ai comitati ISO (Lamentazione)
Dal 7 al 15 maggio 2012 si è tenuto l'incontro dell'SC 27 a Stoccolma per scrivere, tra le altre, le future ISO/IEC 27001, ISO/IEC 27002, ISO/IEC 27006 (requisiti per gli organismi di certificazione), norme sulla computer forensics, norme sulla certificazione di prodotti (queste ultime, in Italia, anche richiamate in alcuni dispositivi di legge o norme).
In tutto, la delegazione italiana era composta da 3 persone: me stesso (ho seguito le attività su 27001, 27002 e 27006), Stefano Ramacciotti (Ce.Va. Difesa, che si è occupato dei criteri di valutazione della sicurezza, che generalmente hanno a che fare con la valutazione dei prodotti ai fini della loro certificazione, dei sistemi, dell'implementazione di algoritmi crittografici e di processi di "security engineering") e Fabio Guasconi (di @mediaservice.net, ha seguito il comitato principale in qualità di Capo delegazione). Aggiungo anche Dario Forte che però ha partecipato solo per poche ore via Skype sulle norme di computer forensics. C'era un altro italiano, in rappresentanza della Commissione Europea, Pasquale Stirparo (JRC di Ispra e DFA, che ha seguite le norme sulla forensics).
Alcuni dettagli li ho dati in un altro articolo e spero di riceve contributi dagli altri.
Perché "Lamentazione"? Perché 3 sono troppo poche persone. Il problema è che per partecipare a queste iniziative bisogna pagarsi il viaggio e l'hotel. Ma mi sorprende che dall'Italia non c'era:
- nessuno da Organismi di Certificazione accreditati per la ISO/IEC 27001 (si capisce: o era a Stoccolma o era a fare audit fatturabili; la scelta è facile da capire, non da giustificare)
- nessuno da Accredia (quelli che controllano gli Organismi di Certificazione ISO/IEC 27001, apparentenemente e inspiegabilmente non interessati ad una norma come la 27006; ma in ottima compagnia nel loro disinteresse, visto che a parlare di 27006 eravamo 3 auditor di OdC e 2 rappresentanti degli organismi di accreditamento),
- nessuno delle società di consulenza (anche loro hanno il problema di pagare le spese e non fatturare 7-8 giornate, però si presentano lo stesso sul mercato come "espertissimi" e applicano tariffe coerenti; facciamo eccezione Fabio e io... e io non riesco ad applicare le tariffe che vorrei! (non so nulla di Fabio)),
- nessuno dalla Pubblica Amministrazione o Autorità collegate (anche se poi emettono schemi "conformi" alla 27001, o chiedono la certificazione 27001 nei contratti; forse su suggerimento dei consulenti di cui sopra; solo i francesi e tedeschi avevano referenti dei loro Garanti Privacy), con l'eccezione del Ce.Va. Difesa
- nessuno dalle nostre imprese più rappresentative (anche se dicono di applicare la 27001 o norme collegate e chiedono di avere fornitori certificati)
- nessuno dalle forze dell'ordine (che pur fanno computer forensics)
- nessuno dai laboratori di valutazione della sicurezza dei prodotti informatici (ad eccezione di Stefano Ramacciotti)
Le ragioni sono sicuramente tante e non credo che sia interessante un ulteriore approfondimento in questa sede. Ma non riesco a capire perché non sia ritenuto né utile né interessante un investimento di spesa sulla 27001 variabile dai 4 ai 10mila Euro annui (ci sono 2 incontri all'anno, in posti anche lontani) da TUTTE le aziende italiane che si vantano di fare sicurezza delle informazioni (con la dovuta eccezione di @mediaservice).
(Rimane sempre il problema che per scrivere le norme devo pagare per iscrivermi a UNINFO e per il viaggio e poi per leggere la versione definitiva devo pagare per averla).
PS: ringrazio Stefano Ramacciotti per avermi segnalato refusi e imprecisioni e futuri potenziali articoli di approfondimento sugli ultimi due paragrafi
In tutto, la delegazione italiana era composta da 3 persone: me stesso (ho seguito le attività su 27001, 27002 e 27006), Stefano Ramacciotti (Ce.Va. Difesa, che si è occupato dei criteri di valutazione della sicurezza, che generalmente hanno a che fare con la valutazione dei prodotti ai fini della loro certificazione, dei sistemi, dell'implementazione di algoritmi crittografici e di processi di "security engineering") e Fabio Guasconi (di @mediaservice.net, ha seguito il comitato principale in qualità di Capo delegazione). Aggiungo anche Dario Forte che però ha partecipato solo per poche ore via Skype sulle norme di computer forensics. C'era un altro italiano, in rappresentanza della Commissione Europea, Pasquale Stirparo (JRC di Ispra e DFA, che ha seguite le norme sulla forensics).
Alcuni dettagli li ho dati in un altro articolo e spero di riceve contributi dagli altri.
Perché "Lamentazione"? Perché 3 sono troppo poche persone. Il problema è che per partecipare a queste iniziative bisogna pagarsi il viaggio e l'hotel. Ma mi sorprende che dall'Italia non c'era:
- nessuno da Organismi di Certificazione accreditati per la ISO/IEC 27001 (si capisce: o era a Stoccolma o era a fare audit fatturabili; la scelta è facile da capire, non da giustificare)
- nessuno da Accredia (quelli che controllano gli Organismi di Certificazione ISO/IEC 27001, apparentenemente e inspiegabilmente non interessati ad una norma come la 27006; ma in ottima compagnia nel loro disinteresse, visto che a parlare di 27006 eravamo 3 auditor di OdC e 2 rappresentanti degli organismi di accreditamento),
- nessuno delle società di consulenza (anche loro hanno il problema di pagare le spese e non fatturare 7-8 giornate, però si presentano lo stesso sul mercato come "espertissimi" e applicano tariffe coerenti; facciamo eccezione Fabio e io... e io non riesco ad applicare le tariffe che vorrei! (non so nulla di Fabio)),
- nessuno dalla Pubblica Amministrazione o Autorità collegate (anche se poi emettono schemi "conformi" alla 27001, o chiedono la certificazione 27001 nei contratti; forse su suggerimento dei consulenti di cui sopra; solo i francesi e tedeschi avevano referenti dei loro Garanti Privacy), con l'eccezione del Ce.Va. Difesa
- nessuno dalle nostre imprese più rappresentative (anche se dicono di applicare la 27001 o norme collegate e chiedono di avere fornitori certificati)
- nessuno dalle forze dell'ordine (che pur fanno computer forensics)
- nessuno dai laboratori di valutazione della sicurezza dei prodotti informatici (ad eccezione di Stefano Ramacciotti)
Le ragioni sono sicuramente tante e non credo che sia interessante un ulteriore approfondimento in questa sede. Ma non riesco a capire perché non sia ritenuto né utile né interessante un investimento di spesa sulla 27001 variabile dai 4 ai 10mila Euro annui (ci sono 2 incontri all'anno, in posti anche lontani) da TUTTE le aziende italiane che si vantano di fare sicurezza delle informazioni (con la dovuta eccezione di @mediaservice).
(Rimane sempre il problema che per scrivere le norme devo pagare per iscrivermi a UNINFO e per il viaggio e poi per leggere la versione definitiva devo pagare per averla).
PS: ringrazio Stefano Ramacciotti per avermi segnalato refusi e imprecisioni e futuri potenziali articoli di approfondimento sugli ultimi due paragrafi
Privacy on Cloud & Mobile
Alessandro Vallega di Oracle mi segnala un lavoro fatto a più a
mani e in ambito Clusit sulla privacy sul cloud e in ambito mobile (cellulari,
smartphone, tavolette, BYOD, eccetera). In entrambi i documenti si assume il
punto di vista di un'azienda italiana titolare dei trattamenti relativi a dati
personali.
Gli argomenti sono ormai noti, ma la lettura è comunque interessante per chi non avesse avuto ancora la possibilità di affrontare questi argomenti. Per chi invece li dovesse già conoscere, se ha un po' di pazienza potrebbe trovare alcuni spunti originali.
Ecco il link:
- https://privacycloudmobile.clusit.it/
Gli argomenti sono ormai noti, ma la lettura è comunque interessante per chi non avesse avuto ancora la possibilità di affrontare questi argomenti. Per chi invece li dovesse già conoscere, se ha un po' di pazienza potrebbe trovare alcuni spunti originali.
Ecco il link:
- https://privacycloudmobile.clusit.it/
martedì 24 aprile 2012
Videosorveglianza, eliminati alcuni vincoli per l'autorizzazione
Copio e incollo (con qualche modifica) quanto riportato alla paginahttp://www.consulentidellavoro.it/browse.php?mod=article&opt=view&id=10522
Il Ministero del lavoro è intervenuto con la nota n. 7162 del 16 aprile 2012 per semplificare l'installazione dei sistemi di controllo a distanza, soprattutto in quegli esercizi commerciali (ricevitorie, tabaccherie, oreficerie, farmacie, edicole, distributori di carburante) dove non ci sono rappresentanze sindacali.
Finora la procedura di istallazione richiedeva che personale ispettivo, prima di procedere al rilascio dell'autorizzazione, procedesse con un accertamento tecnico dello stato dei luoghi (planimetria dei locali, numero impianti da installare ecc..).
Il Ministero ha riconosciuto sufficiente la richiesta espressa del datore di lavoro e, per il rilascio dell'autorizzazione, sarà sufficiente la sola documentazione tecnica prodotta.
Ringrazio Max Cottafavi di Reply per la segnalazione.
Il Ministero del lavoro è intervenuto con la nota n. 7162 del 16 aprile 2012 per semplificare l'installazione dei sistemi di controllo a distanza, soprattutto in quegli esercizi commerciali (ricevitorie, tabaccherie, oreficerie, farmacie, edicole, distributori di carburante) dove non ci sono rappresentanze sindacali.
Finora la procedura di istallazione richiedeva che personale ispettivo, prima di procedere al rilascio dell'autorizzazione, procedesse con un accertamento tecnico dello stato dei luoghi (planimetria dei locali, numero impianti da installare ecc..).
Il Ministero ha riconosciuto sufficiente la richiesta espressa del datore di lavoro e, per il rilascio dell'autorizzazione, sarà sufficiente la sola documentazione tecnica prodotta.
Ringrazio Max Cottafavi di Reply per la segnalazione.
lunedì 23 aprile 2012
Privacy e controllo dei conti correnti
Riporto tale e quale la segnalazione di Daniela Quetti della DFA e di Lispa.
Il 18 aprile è comparsa sul sito del Garante la seguente notizia: "Fisco: sí del Garante agli schemi di provvedimento dell'Agenzia delle entrate sui conti correnti dei cittadini e sulla partecipazione dei Comuni alla lotta all'evasione fiscale. Necessaria una rigorosa protezione dei dati".
Il Garante ha richiesto, tra le misure di sicurezza, la cifratura di tutti i passaggi interni (interessante pensare che a livello di dato sanitario, per il dato non genetico, questo non sia richiesto).
http://www.garanteprivacy.it/garante/doc.jsp?ID=1886812
Il 18 aprile è comparsa sul sito del Garante la seguente notizia: "Fisco: sí del Garante agli schemi di provvedimento dell'Agenzia delle entrate sui conti correnti dei cittadini e sulla partecipazione dei Comuni alla lotta all'evasione fiscale. Necessaria una rigorosa protezione dei dati".
Il Garante ha richiesto, tra le misure di sicurezza, la cifratura di tutti i passaggi interni (interessante pensare che a livello di dato sanitario, per il dato non genetico, questo non sia richiesto).
http://www.garanteprivacy.it/garante/doc.jsp?ID=1886812
Approccio al change management
Segnalo questo interessante articolo sul change management postato su ITSM Portal.
L'autore è Glen Taylor, dirigente IT della Walt Disney Parks & Resorts (sempre che non si tratti di un furto di identità).
Glen Taylor dice che un processo di approvazione e gestione dei change troppo rigido è un errore. In modo simile, afferma che il classico processo "andiamo avanti senza regole" è altrettanto sbagliato.
Il processo giusto dovrebbe considerare il livello di rischio di ciascun change e richiedere il corrispondente livello di documentazi e attività. Ovviamente, il livello di rischio non potrà essere calcolato solo con "dati, regole e punteggi", ma con "informazioni, linee guida, esperienza" e, soprattutto, non deve essere fatto in un modo qualunque "tanto per soddisfare un requisito".
Il passaggio però al change management basato sul rischio deve passare inesorabilmente per il change management basato sulle regole, in caso contrario non è possibile costruire le linee guida e le esperienze necessarie.
L'articolo:
- http://www.itsmportal.com/news/why-%E2%80%9Crules-based%E2%80%9D-approach-change-management-always-fails
L'autore è Glen Taylor, dirigente IT della Walt Disney Parks & Resorts (sempre che non si tratti di un furto di identità).
Glen Taylor dice che un processo di approvazione e gestione dei change troppo rigido è un errore. In modo simile, afferma che il classico processo "andiamo avanti senza regole" è altrettanto sbagliato.
Il processo giusto dovrebbe considerare il livello di rischio di ciascun change e richiedere il corrispondente livello di documentazi e attività. Ovviamente, il livello di rischio non potrà essere calcolato solo con "dati, regole e punteggi", ma con "informazioni, linee guida, esperienza" e, soprattutto, non deve essere fatto in un modo qualunque "tanto per soddisfare un requisito".
Il passaggio però al change management basato sul rischio deve passare inesorabilmente per il change management basato sulle regole, in caso contrario non è possibile costruire le linee guida e le esperienze necessarie.
L'articolo:
- http://www.itsmportal.com/news/why-%E2%80%9Crules-based%E2%80%9D-approach-change-management-always-fails
mercoledì 18 aprile 2012
Malware per Mac
Non è bello da dirsi, ma la leggenda che i Mac sono immuni da malware sembra falsa.
Altri avevano detto che il malware per Windows è molto numeroso per il semplice fatto che il suo installato è abbondantemente superiore a qualsiasi altro sistema operativo. Mac sta evidentemente prendendo quote di mercato e/o i simpatici produttori di malware ora hanno accesso a piattaforme di sviluppo per Mac.
Il link da SANS Newsbyte del 17 aprile 2012:http://www.usatoday.com/tech/news/story/2012-04-16/apple-mac-java/54317794/1
Altri avevano detto che il malware per Windows è molto numeroso per il semplice fatto che il suo installato è abbondantemente superiore a qualsiasi altro sistema operativo. Mac sta evidentemente prendendo quote di mercato e/o i simpatici produttori di malware ora hanno accesso a piattaforme di sviluppo per Mac.
Il link da SANS Newsbyte del 17 aprile 2012:http://www.usatoday.com/tech/news/story/2012-04-16/apple-mac-java/54317794/1
lunedì 16 aprile 2012
Lavoro al videoterminale
Il tema dei rischi della sicurezza dei lavoratori videoterminalisti è un tema apparentemente marginale alla qualità e alla sicurezza delle informazioni. Di fatto, è importante capire come un buon ambiente di lavoro porti poi ad avere migliore efficienza ed efficacia nell'esecuzione delle attività.
Il riferimento migliore per trattare di questo tema è certamente quello dell'INAIL; in particolare l'opuscolo "Il lavoro al videoterminale" aggiornato al 2010:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/Il_lavoro_al_videoterminale/index.jsp
Dalla pagina "Prevenzione e sicurezza" è anche possibile effettuare ricerche per trovare altro materiale in materia:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/index.jsp
Il riferimento migliore per trattare di questo tema è certamente quello dell'INAIL; in particolare l'opuscolo "Il lavoro al videoterminale" aggiornato al 2010:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/Il_lavoro_al_videoterminale/index.jsp
Dalla pagina "Prevenzione e sicurezza" è anche possibile effettuare ricerche per trovare altro materiale in materia:
- http://www.inail.it/Portale/appmanager/portale/desktop?_nfpb=true&_pageLabel=PAGE_PUBBLICAZIONI&nextPage=PUBBLICAZIONI/Tutti_i_titoli/Prevenzione_e_sicurezza/index.jsp
mercoledì 11 aprile 2012
L'uso dell'identità di terzi è reato
La Corte di Cassazione - Sezione Terza Penale, con Sentenza n.12479 del 3 aprile 2012, ha stabilito che è reato utilizzare i dati anagrafici di terzi (veri ed esistenti) per aprire a loro nome un account di un sito.
Parrebbe cosa ovvia, però la difesa ha obiettato che "l'imputato avrebbe utilizzato i dati anagrafici della vittima solo per iscriversi al sito di aste on-line, partecipando poi alle aste con un nome di fantasia". Meno male che la Cassazione ha confermato che rimane comunque applicabile l'articolo 494 del Codice Penale ("Chiunque... induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato,...").
Per la cronaca: il danneggiato si è accorto della cosa perché il reo non ha pagato quanto acquistato e si è visto arrivare a casa una qualche richiesta di pagamento.
Ogni tanto la Legge conferma le nostre modeste intuizioni.
L'articolo e la notizia su Filodiritto:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682 <http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682>
Parrebbe cosa ovvia, però la difesa ha obiettato che "l'imputato avrebbe utilizzato i dati anagrafici della vittima solo per iscriversi al sito di aste on-line, partecipando poi alle aste con un nome di fantasia". Meno male che la Cassazione ha confermato che rimane comunque applicabile l'articolo 494 del Codice Penale ("Chiunque... induce taluno in errore, sostituendo illegittimamente la propria all'altrui persona, o attribuendo a sé o ad altri un falso nome, o un falso stato,...").
Per la cronaca: il danneggiato si è accorto della cosa perché il reo non ha pagato quanto acquistato e si è visto arrivare a casa una qualche richiesta di pagamento.
Ogni tanto la Legge conferma le nostre modeste intuizioni.
L'articolo e la notizia su Filodiritto:http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682 <http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3682>
COBIT 5
E' stato pubblicato il COBIT 5, che segue il COBIT 4.1.
Ricordo che COBIT è il riferimento per gli audit sui processi di governo dell'IT, in particolare quando compresi negli audit di revisione di bilancio, SOC e/o Accordi di Basilea.
Le pubblicazioni ufficiali sono le seguenti:
COBIT 5 Framework
COBIT 5: Enabling Processes
COBIT 5 Implementation
COBIT 5 Toolkit
Traduco l'annuncio di ISACA: "COBIT 5 fornisce una visione di business complessiva sulla governo dell'IT aziendale. I principi, le pratiche, gli strumenti di analisi e i modelli di COBIT 5 comprendono le direzioni e le guide di esperti in business, IT e governance di tutto il mondo. In breve, COBIT 5 aiuta coloro che lo utilizzano a ottenere il più alto ROI dalle proprie informazioni e risorse tecnologiche.
Per scaricarlo:
- http://www.isaca.org/COBIT/Pages/default.aspx
Segnalo anche le slide dell'interessantissima presentazione di Alberto Piamonte, a cui ho assistito l'8 marzo in occasione di una Sessione di Studio AIEA:
- http://www.aiea.it/pdf/sessioni%20di%20studio%20e%20di%20formazione/2012/Milano%2008032012%20Alberto%20Piamonte.pdf
Ricordo che COBIT è il riferimento per gli audit sui processi di governo dell'IT, in particolare quando compresi negli audit di revisione di bilancio, SOC e/o Accordi di Basilea.
Le pubblicazioni ufficiali sono le seguenti:
COBIT 5 Framework
COBIT 5: Enabling Processes
COBIT 5 Implementation
COBIT 5 Toolkit
Traduco l'annuncio di ISACA: "COBIT 5 fornisce una visione di business complessiva sulla governo dell'IT aziendale. I principi, le pratiche, gli strumenti di analisi e i modelli di COBIT 5 comprendono le direzioni e le guide di esperti in business, IT e governance di tutto il mondo. In breve, COBIT 5 aiuta coloro che lo utilizzano a ottenere il più alto ROI dalle proprie informazioni e risorse tecnologiche.
Per scaricarlo:
- http://www.isaca.org/COBIT/Pages/default.aspx
Segnalo anche le slide dell'interessantissima presentazione di Alberto Piamonte, a cui ho assistito l'8 marzo in occasione di una Sessione di Studio AIEA:
- http://www.aiea.it/pdf/sessioni%20di%20studio%20e%20di%20formazione/2012/Milano%2008032012%20Alberto%20Piamonte.pdf
Plug computing
Segnalo la pagina web di Marco Mattiucci dedicata al Plug Computing.
Lo ammetto: non credo di avere mai visto un plug computer ("sono generalmente server con funzionalità limitate e mirate che operano soprattutto fornendo servizi in rete; spesso si tratta di box direttamente collegati all'alimentazione elettrica; i servizi più comuni che realizzano sono: NAS, CloudPlugging, Security, Encryption e non sono esclusi servizi di routing e VoIP"), ma da oggi in poi, se qualcuno me ne farà vedere uno, non farò la faccia sorpresa... e poi mi farò spiegare meglio come funziona.
http://www.marcomattiucci.it/plugcomputer.php
Lo ammetto: non credo di avere mai visto un plug computer ("sono generalmente server con funzionalità limitate e mirate che operano soprattutto fornendo servizi in rete; spesso si tratta di box direttamente collegati all'alimentazione elettrica; i servizi più comuni che realizzano sono: NAS, CloudPlugging, Security, Encryption e non sono esclusi servizi di routing e VoIP"), ma da oggi in poi, se qualcuno me ne farà vedere uno, non farò la faccia sorpresa... e poi mi farò spiegare meglio come funziona.
http://www.marcomattiucci.it/plugcomputer.php
martedì 10 aprile 2012
Linee guida ABILab sulla Digital Forensics
Max Cottafavi di Reply mi ha segnalato un interessante documento di ABILab a cui ha collaborato, intitolato "Linee Guida sulla digital forensics nel settore bancario italiano".
Il titolo è forse riduttivo, visto che la linea guida potrebbe essere applicabile a qualsiasi realtà. E' però evidente che si parte dal presupposto che le dimensioni debbano essere medio-grandi.
Il concetto chiave e importante di queste linee guida prende il nome di "digital forensics preventiva". Questa richiede di: identificare i possibili reati da trattare, identificare i criteri organizzativi e tecnologici e legali per individuarli tempestivamente e per raccogliere correttamente le prove da utilizzare eventualmente in sede legale.
Il concetto è importante e originale perché quasi tutti gli articoli sulla computer forensics partono dal presupposto di trovarsi in un'indagine quasi da telefilm (anche se la realtà è meno spettacolare) e non contemplano le necessità di un'impresa di tutelarsi anche in ottica preventiva a fronte di frodi o altre attività illecite che possono coinvolgere i propri sistemi informatici.
Si richiede quindi un certo sforzo di analisi preventiva dei possibili reati, dei propri sistemi informatici e dei piani di azione. Sforzo che in alcune realtà (come quelle bancarie) è sempre più necessario.
Le linee guida sono anche accompagnate da ottime analisi sull'uso delle prove nel processo penale e nel processo civile.
Nota: confesso che le ho lette con una certa calma, visto che sono datate "Maggio 2011".
Il titolo è forse riduttivo, visto che la linea guida potrebbe essere applicabile a qualsiasi realtà. E' però evidente che si parte dal presupposto che le dimensioni debbano essere medio-grandi.
Il concetto chiave e importante di queste linee guida prende il nome di "digital forensics preventiva". Questa richiede di: identificare i possibili reati da trattare, identificare i criteri organizzativi e tecnologici e legali per individuarli tempestivamente e per raccogliere correttamente le prove da utilizzare eventualmente in sede legale.
Il concetto è importante e originale perché quasi tutti gli articoli sulla computer forensics partono dal presupposto di trovarsi in un'indagine quasi da telefilm (anche se la realtà è meno spettacolare) e non contemplano le necessità di un'impresa di tutelarsi anche in ottica preventiva a fronte di frodi o altre attività illecite che possono coinvolgere i propri sistemi informatici.
Si richiede quindi un certo sforzo di analisi preventiva dei possibili reati, dei propri sistemi informatici e dei piani di azione. Sforzo che in alcune realtà (come quelle bancarie) è sempre più necessario.
Le linee guida sono anche accompagnate da ottime analisi sull'uso delle prove nel processo penale e nel processo civile.
Nota: confesso che le ho lette con una certa calma, visto che sono datate "Maggio 2011".
Le responsabilità nella certificazione
Con colpevole ritardo, segnalo questo articolo del Presidente dell'Organismo di vigilanza di Accredia sulle semplificazioni introdotte nel 2008:
- http://www.uni.com/index.php?option=com_content&view=article&id=572%3Ale-nuove-responsabilita-nella-certificazione-ambientale-e-di-qualita&Itemid=741&lang=it
L'articolo è apparentemente obsoleto, ma è invece validissomo perché anche il nuovo Decreto Semplificazioni del Governo Monti prevede che i controlli amministrativi potranno essere ridotti per le imprese in possesso di certificazioni ISO (articolo 14 del DL 5 del 2012, convertito con Legge 35 del 2012). La notizia la diedi a marzo:
- http://blog.cesaregallotti.it/2012/03/certificazioni-iso-9001-e-controlli.html
L'aricolo fa notare che "Questa interpretazione, se verrà confermata nella sua estensione applicativa dalla determinazione regolamentare degli ambiti nei quali dovrà trovare applicazione l'efficacia sostitutiva della certificazione, comporterà necessariamente conseguenze rilevanti, non tutte al momento prevedibili, soprattutto in tema di responsabilità amministrativa degli enti certificatori e di responsabilità diretta, anche sul piano penale, del personale di questi enti addetto alle verifiche ed ai controlli".
Il punto problematico per il "sistema certificazione" sarà la corretta formazione del personale, forse attualmente non adeguato per questo genere di responsabilità.
Il tutto dovrà essere meglio specificato in regolamenti di cui, al momento, non si ha notizia.
- http://www.uni.com/index.php?option=com_content&view=article&id=572%3Ale-nuove-responsabilita-nella-certificazione-ambientale-e-di-qualita&Itemid=741&lang=it
L'articolo è apparentemente obsoleto, ma è invece validissomo perché anche il nuovo Decreto Semplificazioni del Governo Monti prevede che i controlli amministrativi potranno essere ridotti per le imprese in possesso di certificazioni ISO (articolo 14 del DL 5 del 2012, convertito con Legge 35 del 2012). La notizia la diedi a marzo:
- http://blog.cesaregallotti.it/2012/03/certificazioni-iso-9001-e-controlli.html
L'aricolo fa notare che "Questa interpretazione, se verrà confermata nella sua estensione applicativa dalla determinazione regolamentare degli ambiti nei quali dovrà trovare applicazione l'efficacia sostitutiva della certificazione, comporterà necessariamente conseguenze rilevanti, non tutte al momento prevedibili, soprattutto in tema di responsabilità amministrativa degli enti certificatori e di responsabilità diretta, anche sul piano penale, del personale di questi enti addetto alle verifiche ed ai controlli".
Il punto problematico per il "sistema certificazione" sarà la corretta formazione del personale, forse attualmente non adeguato per questo genere di responsabilità.
Il tutto dovrà essere meglio specificato in regolamenti di cui, al momento, non si ha notizia.
sabato 7 aprile 2012
DPS addio. E' ufficiale
Il 4 aprile, la Camera ha definitivamente approvato con modificazioni il DL 5/2012 "Semplifica Italia" con la Legge 35 del 2012.
Per quanto riguarda la sorte del DPS, non ci sono state sorprese: è stato abrogato.
Il testo attuale del Dlgs 196 del 2003 è reperibile su www.normattiva.it.
Ricordo due miei post:
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Simone Tomirotti mi ha anche segnalato questo link:
- http://www.ipsoa.it/News/PA/privacy_il_dps_non_serve_piu_id1067535_art.aspx
Max Cottafavi di Reply mi ha ricordato che alla fine la formazione non e' stata salvata. Peccato.
Per quanto riguarda la sorte del DPS, non ci sono state sorprese: è stato abrogato.
Il testo attuale del Dlgs 196 del 2003 è reperibile su www.normattiva.it.
Ricordo due miei post:
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Simone Tomirotti mi ha anche segnalato questo link:
- http://www.ipsoa.it/News/PA/privacy_il_dps_non_serve_piu_id1067535_art.aspx
Max Cottafavi di Reply mi ha ricordato che alla fine la formazione non e' stata salvata. Peccato.
venerdì 6 aprile 2012
ISO/IEC 27010:2012 - Comunicazioni intersettoriali e interaziendali
E' stata pubblicata la ISO/IEC 27010 dal titolo "Information technology - Security techniques - Information security management for inter-sector and inter-organizational communications".
Ci sono cose interessanti in questo documento, anche se non ritengo che siano tali da giustificare la spesa di 110 Euro per il documento. L'impostazione è piuttosto teorica e si basa sulle "sharing community".
Non sono fornite linee guida sulla classificazione, sull'etichettamento e sul conseguente trattamento delle informazioni.
Peccato sia stata discussa e prodotta in questo periodo in cui le forze sono concentrate soprattutto sulla revisione della ISO/IEC 27001.
Ci sono cose interessanti in questo documento, anche se non ritengo che siano tali da giustificare la spesa di 110 Euro per il documento. L'impostazione è piuttosto teorica e si basa sulle "sharing community".
Non sono fornite linee guida sulla classificazione, sull'etichettamento e sul conseguente trattamento delle informazioni.
Peccato sia stata discussa e prodotta in questo periodo in cui le forze sono concentrate soprattutto sulla revisione della ISO/IEC 27001.
Rapporto Clusit 2012 sulla sicurezza ICT in Italia
Al Security Summit del 20-22 marzo 2012 a Milano è stato presentato il Rapporto Clusit 2012 sulla sicurezza ICT in Italia.
Qualche considerazione "sparsa":
- il titolo conferma il forte orientamento alla sicurezza ICT; nella illustrazione degli incidenti registrati nel 2011 sono comunque sottolineati i numerosi casi in cui le tecniche di attacco si sono basate soprattutto sul social engineering
- il rapporto illustra quasi unicamente gli incidenti di cyber-crime, nella sua accezione più ampia; una sezione molto interessante è quella sugli incidenti registrati a livello internazionale: gli attacchi alla Sony, alla HBGary, ai certificati SSL
- i casi per me più emblematici sono quelli "Operation Nitro" ed "Operation Night Dragon": sono stati individuate attività di spionaggio in corso da lungo tempo, che dimostrano ancora una volta che uno dei problemi della sicurezza non è "cosa si individua", ma "cosa non si individua"
- molto interessante è il confronto tra le "Aree di maggior interesse" per i vendor e per gli "users": oltre ad risultati facilmente prevedibili (la "Compliance" è ugualmente importante per vendor e user, "standard e metodologie", ahimé, sono più importanti per i vendor che per gli user), mi ha colpito il risultato del Cloud Computing: per i vendor ha importanza pari a 3,5 su 5, mentre per gli user ha importanza 1,5 su 5.
- un dato dimostra come queste ricerche vadano sempre prese con cautela: gli user dichiarano che il parametro "economicità" è il meno importante nella selezione dei vendor, quando sappiamo bene che questo non corrisponde alla realtà
- altrettanto importanti sono le figure professionali richieste: i vendor puntano soprattutto su figure tecniche, mentre gli user puntano in egual misura su figure tecniche e gestionali
Complimenti agli autori, anche per gli interessanti articoli di approfondimento.
Per richiedere il rapporto, vi invito a leggere la pagina web:https://www.securitysummit.it/page/rapporto_clusit
Qualche considerazione "sparsa":
- il titolo conferma il forte orientamento alla sicurezza ICT; nella illustrazione degli incidenti registrati nel 2011 sono comunque sottolineati i numerosi casi in cui le tecniche di attacco si sono basate soprattutto sul social engineering
- il rapporto illustra quasi unicamente gli incidenti di cyber-crime, nella sua accezione più ampia; una sezione molto interessante è quella sugli incidenti registrati a livello internazionale: gli attacchi alla Sony, alla HBGary, ai certificati SSL
- i casi per me più emblematici sono quelli "Operation Nitro" ed "Operation Night Dragon": sono stati individuate attività di spionaggio in corso da lungo tempo, che dimostrano ancora una volta che uno dei problemi della sicurezza non è "cosa si individua", ma "cosa non si individua"
- molto interessante è il confronto tra le "Aree di maggior interesse" per i vendor e per gli "users": oltre ad risultati facilmente prevedibili (la "Compliance" è ugualmente importante per vendor e user, "standard e metodologie", ahimé, sono più importanti per i vendor che per gli user), mi ha colpito il risultato del Cloud Computing: per i vendor ha importanza pari a 3,5 su 5, mentre per gli user ha importanza 1,5 su 5.
- un dato dimostra come queste ricerche vadano sempre prese con cautela: gli user dichiarano che il parametro "economicità" è il meno importante nella selezione dei vendor, quando sappiamo bene che questo non corrisponde alla realtà
- altrettanto importanti sono le figure professionali richieste: i vendor puntano soprattutto su figure tecniche, mentre gli user puntano in egual misura su figure tecniche e gestionali
Complimenti agli autori, anche per gli interessanti articoli di approfondimento.
Per richiedere il rapporto, vi invito a leggere la pagina web:https://www.securitysummit.it/page/rapporto_clusit
lunedì 2 aprile 2012
Agenda Digitale
Dalla newsletter del Clusit segnalo il documento ufficiale della Cabina di Regia dell'Agenda Gigitale con tutti i dettagli dell'attività di Governo varato dal Governo Monti e dai ministri Profumo e Passera.
Si parla della costituzione di un CERT, di attivazione di sistemi di allerta per i cittadini, progetti per la sicurezza dei pagamenti e dell'identità digitale, nonché di nuovi CED.
La presentazione:http://www.slideshare.net/micheleficara/agenda-digitale-ecco-il-documento-ufficiale-della-cabina-di-regia
Si parla della costituzione di un CERT, di attivazione di sistemi di allerta per i cittadini, progetti per la sicurezza dei pagamenti e dell'identità digitale, nonché di nuovi CED.
La presentazione:http://www.slideshare.net/micheleficara/agenda-digitale-ecco-il-documento-ufficiale-della-cabina-di-regia
Social Media e sicurezza in azienda
Protiviti ha pubblicato un interessante documento intitolato "Social Media e sicurezza in azienda: verso un nuovo approccio".
Forse l'approccio non è così nuovo, ma è importante capire su cosa si basa: i social media, oggi, non possono essere ignorati dalle imprese, ma questi introducono nuovi fattori di vulnerabilità e di rischio che devono essere trattati. La tesi del documento è quindi che "cresce pertanto l‟esigenza di dotarsi di un modello di governo dell„utilizzo dei Social Media, che consenta di trarne i maggiori benefici, ma anche di minimizzare gli impatti negativi, soprattutto perché non sempre direttamente identificabili".
I rischi vengono suddivisi in due famiglie: "Rischi derivanti dalla partecipazione consapevole dell'azienda in ambito Social Media" e "Rischi derivanti dalla presenza non gestita da parte dell'azienda in ambito Social Media".
Infine, viene proposto un modello di intervento, certamente banale nella sua formulazione teorica, ma sicuramente complesso nella sua applicazione. Vale la pena ricordarne le fasi più significative:
1- Individuazione degli obiettivi e finalità dei Social Media nel contesto della realtà aziendale
2- Valutazione dei profili di rischio di sicurezza
3- Gestione della sicurezza delle informazioni
4- Individuazione delle responsabilità
5- Gestione dei flussi comunicativi e decisionali
6- Tutela dell'immagine aziendale, tramite la definizione di un processo di monitoraggio
7- Valutazione periodica dell‟efficacia e dell‟efficienza delle misure di sicurezza
8- Predisposizione di policy e di procedure
9- Formazione e informazione interna
Il documento (Newsletter numero 37 del Marzo 2012) dovrebbe essere disponibile sul sito di Protiviti:
- http://www.protiviti.it/it-IT/Pagine/Newsletter-di-Protiviti-Italia.aspx
Forse l'approccio non è così nuovo, ma è importante capire su cosa si basa: i social media, oggi, non possono essere ignorati dalle imprese, ma questi introducono nuovi fattori di vulnerabilità e di rischio che devono essere trattati. La tesi del documento è quindi che "cresce pertanto l‟esigenza di dotarsi di un modello di governo dell„utilizzo dei Social Media, che consenta di trarne i maggiori benefici, ma anche di minimizzare gli impatti negativi, soprattutto perché non sempre direttamente identificabili".
I rischi vengono suddivisi in due famiglie: "Rischi derivanti dalla partecipazione consapevole dell'azienda in ambito Social Media" e "Rischi derivanti dalla presenza non gestita da parte dell'azienda in ambito Social Media".
Infine, viene proposto un modello di intervento, certamente banale nella sua formulazione teorica, ma sicuramente complesso nella sua applicazione. Vale la pena ricordarne le fasi più significative:
1- Individuazione degli obiettivi e finalità dei Social Media nel contesto della realtà aziendale
2- Valutazione dei profili di rischio di sicurezza
3- Gestione della sicurezza delle informazioni
4- Individuazione delle responsabilità
5- Gestione dei flussi comunicativi e decisionali
6- Tutela dell'immagine aziendale, tramite la definizione di un processo di monitoraggio
7- Valutazione periodica dell‟efficacia e dell‟efficienza delle misure di sicurezza
8- Predisposizione di policy e di procedure
9- Formazione e informazione interna
Il documento (Newsletter numero 37 del Marzo 2012) dovrebbe essere disponibile sul sito di Protiviti:
- http://www.protiviti.it/it-IT/Pagine/Newsletter-di-Protiviti-Italia.aspx
sabato 31 marzo 2012
Furto di firma digitale
Valentino Privato mi segnala questa interessante notizia:
- http://www.ilsole24ore.com/art/notizie/2012-03-26/rubano-firma-digitale-intestano-181133.shtml?uuid=AbGTnUEF
Riassumo: due furbacchioni si presentano dal commercialista di un imprenditore, gli dicono che l'imprenditore ha bisogno di una copia della smart card per l'apposizione della firma digitale, ma non può essere presente perché all'estero; il commercialista ci crede e avvia la pratica; i due furbacchioni, con la nuova smart card, si intestano quindi l'azienda dell'imprenditore.
Come al solito, la vulnerabilità è nelle persone credulone e disponibili ad aiutare anche se questo richiede di forzare "un po'" le procedure, come già detto da Kevin Mitnick nella sua "L'arte dell'inganno".
- http://www.ilsole24ore.com/art/notizie/2012-03-26/rubano-firma-digitale-intestano-181133.shtml?uuid=AbGTnUEF
Riassumo: due furbacchioni si presentano dal commercialista di un imprenditore, gli dicono che l'imprenditore ha bisogno di una copia della smart card per l'apposizione della firma digitale, ma non può essere presente perché all'estero; il commercialista ci crede e avvia la pratica; i due furbacchioni, con la nuova smart card, si intestano quindi l'azienda dell'imprenditore.
Come al solito, la vulnerabilità è nelle persone credulone e disponibili ad aiutare anche se questo richiede di forzare "un po'" le procedure, come già detto da Kevin Mitnick nella sua "L'arte dell'inganno".
venerdì 23 marzo 2012
Assessment e critiche
The IT Skeptic scrive un articolo molto critico sugli assessment sulla maturità dei processi ITIL. In particolare, fornisce 4 ragioni per dire che sono "un'inutile perdita di soldi":
1- i consulenti che fanno gli assessment non prendono in carico gli obiettivi del cliente (in altre parole, segnalano delle mancanze che forse non lo sono)
2- molti assessment non forniscono indicazioni su come rimediare (livello di gravità, priorità da dare all'azione correttiva)
3- una valutazione del livello di maturità è inutile, mentre è utile una valutazione rispetto ai rischi e agli obiettivi dell'organizzazione
4- ITIL non è uno strumento per valutare la maturità dei processi
I primi 3 punti sono facilmente applicabili a tutti gli altri schemi; il quarto è ovviamente istanziabile solo una parte di essi.
Sottoscrivo tutto, anche se ciò non farà piacere a qualche mio lettore.
Una parte del mio lavoro è dedicata a fare audit e assessment e quindi non posso dichiarare (così come non lo fa IT Skeptic) che gli assessment sono in generale inutili. Dichiaro che gli assessment sulla maturità dei processi non mi convincono, che gli assessment senza una conseguente priotizzazione delle azioni correttive non forniscono indicazioni utili ai clienti e che gli assessment basati su check list per condurli e grafici troppo semplicistici per presentarne i risultati sembrano professionali ma non lo sono.
Il post di IT Skeptic (commentato non sempre in modo condivisibile):http://www.itskeptic.org/uselessness-itil-process-maturity-assessment
La segnalazione l'ho avuta da ITSM News:http://www.itsmportal.com/news/process-maturity-assessments-prove-it-it-service-providers-suck
1- i consulenti che fanno gli assessment non prendono in carico gli obiettivi del cliente (in altre parole, segnalano delle mancanze che forse non lo sono)
2- molti assessment non forniscono indicazioni su come rimediare (livello di gravità, priorità da dare all'azione correttiva)
3- una valutazione del livello di maturità è inutile, mentre è utile una valutazione rispetto ai rischi e agli obiettivi dell'organizzazione
4- ITIL non è uno strumento per valutare la maturità dei processi
I primi 3 punti sono facilmente applicabili a tutti gli altri schemi; il quarto è ovviamente istanziabile solo una parte di essi.
Sottoscrivo tutto, anche se ciò non farà piacere a qualche mio lettore.
Una parte del mio lavoro è dedicata a fare audit e assessment e quindi non posso dichiarare (così come non lo fa IT Skeptic) che gli assessment sono in generale inutili. Dichiaro che gli assessment sulla maturità dei processi non mi convincono, che gli assessment senza una conseguente priotizzazione delle azioni correttive non forniscono indicazioni utili ai clienti e che gli assessment basati su check list per condurli e grafici troppo semplicistici per presentarne i risultati sembrano professionali ma non lo sono.
Il post di IT Skeptic (commentato non sempre in modo condivisibile):http://www.itskeptic.org/uselessness-itil-process-maturity-assessment
La segnalazione l'ho avuta da ITSM News:http://www.itsmportal.com/news/process-maturity-assessments-prove-it-it-service-providers-suck
Spammer o vittima degli filtri?
Il 15 marzo, stranamente puntuale, ho inviato la mia newsletter con titolo "[IT Service Management] Newsletter del 15 marzo 2012". Il mio client di posta, in un millisecondo, mi ha avvisato che la mail non poteva essere recapitata a nessuno dei destinatari causa errore SMTP 554 (ho guardato: errore generico di "messaggio rifiutato"). Ho riprovato più volte, fino a quando ho inviato la stessa mail con titolo "[IT Service Management] Newsletter 15 marzo 2012" (vi risparmio la fatica: ho solo tolto un "del").
Risultato: la mail è partita ma ho ricevuto parecchi messaggi di errore, dal maledetto SMTP 554 a notifiche di filtri (per esempio il 550 5.7.1 Message rejected due to content restrictions). Altri, hanno ricevuto la newsletter senza problemi. La cosa buffa è che non l'ho ricevuta neanche io stesso.
Il "colpevole" era un link dell'articolo 14. Per trovarlo, ho fatto numerose prove (meno male che uso diversi indirizzi di mail!) e mi è costato diverso tempo
I filtri alle mail sono oggi uno strumento necessario e io per primo non ho proposte alternative per sostituirli.
Il 23 marzo o riinviato la newsletter corretta e spero sia arrivata a quanti non l'avevano ricevuta.
Mi rimane solo di scusarmi con quanti hanno invece ricevuto la medesima mail per 4 (quattro!) volte. Spero non si ripeta più.
Risultato: la mail è partita ma ho ricevuto parecchi messaggi di errore, dal maledetto SMTP 554 a notifiche di filtri (per esempio il 550 5.7.1 Message rejected due to content restrictions). Altri, hanno ricevuto la newsletter senza problemi. La cosa buffa è che non l'ho ricevuta neanche io stesso.
Il "colpevole" era un link dell'articolo 14. Per trovarlo, ho fatto numerose prove (meno male che uso diversi indirizzi di mail!) e mi è costato diverso tempo
I filtri alle mail sono oggi uno strumento necessario e io per primo non ho proposte alternative per sostituirli.
Il 23 marzo o riinviato la newsletter corretta e spero sia arrivata a quanti non l'avevano ricevuta.
Mi rimane solo di scusarmi con quanti hanno invece ricevuto la medesima mail per 4 (quattro!) volte. Spero non si ripeta più.
giovedì 15 marzo 2012
Sentenza su danneggiamento di informazioni mediante cancellazione di file
La Cassazione Penale ((Corte di Cassazione - Sezione Quinta Penale, Sentenza 5 marzo 2012, n.8555), ha stabilito che, sussiste il reato previsto dall'articolo 635 bis Codice Penale (danneggiamento di informazioni, dati e programmi informatici) anche qualora i file cancellati possano essere oggetto di recupero.
La sentenza riguarda un caso in cui, comunque, alcuni dei file cancellati non sono stati recuperati lo stesso.
La notizia l'ho trovata sulla newsletter di Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3640
Per chi avesse la pazienza di leggere l'orrendo italiano della sentenza originale, ho trovato questo link:
- http://www.cnai.it/allegati/novita/85_sentenza%20cassazione%208555%205.03.2012.pdf
La sentenza riguarda un caso in cui, comunque, alcuni dei file cancellati non sono stati recuperati lo stesso.
La notizia l'ho trovata sulla newsletter di Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3640
Per chi avesse la pazienza di leggere l'orrendo italiano della sentenza originale, ho trovato questo link:
- http://www.cnai.it/allegati/novita/85_sentenza%20cassazione%208555%205.03.2012.pdf
Analisi minacce - Rapporti MELANI
Quando si analizzano i rischi alla sicurezza delle informazioni, è necessario analizzare, tra gli altri elementi, la possibilità di accadimento delle minacce. Per questo dovrebbero essere prese in considerazioni le esperienze passate dell'organizzazione oggetto dell'analisi, le esperienze passate di organizzazioni in contesti geografici o di business simili, l'appetibilità delle proprie informazioni e le caratteristiche delle fonti di rischio.
Per questo segnalo due rapporti tecnici di MELANI, la Centrale d'annuncio e d'analisi per la sicurezza delle informazioni della Svizzera:
- il Rapporto semestrale 2011/1 dell'ottobre 2011, http://www.melani.admin.ch/dokumentation/00123/00124/01128/index.html?lang=it
- il Rapporto "Minacce attuali su Internet, autori, strumenti, perseguimento penale e Incident Response" del gennaio 2012, http://www.melani.admin.ch/dokumentation/00123/01132/01134/index.html?lang=it
Per questo segnalo due rapporti tecnici di MELANI, la Centrale d'annuncio e d'analisi per la sicurezza delle informazioni della Svizzera:
- il Rapporto semestrale 2011/1 dell'ottobre 2011, http://www.melani.admin.ch/dokumentation/00123/00124/01128/index.html?lang=it
- il Rapporto "Minacce attuali su Internet, autori, strumenti, perseguimento penale e Incident Response" del gennaio 2012, http://www.melani.admin.ch/dokumentation/00123/01132/01134/index.html?lang=it
mercoledì 14 marzo 2012
ISO/IEC 20000-2:2012
Il 15 febbraio è stata pubblicata la nuova versione della ISO/IEC 20000-2:2012. Il primo a darmene notizia è stato Attilio Rampazzo che ringrazio.
La ISO/IEC 20000-2 ha titolo "Information technology — Service management — Guidance on the application of service management systems". E' pertanto una linea guida e non uno standard certificabile.
La sua lettura è interessante ed è consigliabile a quanti intendono applicare la ISO/IEC 20000-1 senza avere una buona conoscenza di sistemi di gestione e/o una preparazione a livello di ITIL Foundation.
A dire la verità, leggendo il documento si notano alcune sbavature, soprattutto nei requisiti di sistema del capitolo 4 (responsabilità della direzione, gestione della documentazione e delle registrazioni, gestione delle risorse e gestione del miglioramento), a causa di alcune ripetizioni e concetti discutibili.
Gli approfondimenti sui 14 processi specifici sono invece più convincenti. Sono però rimasto perplesso dalla volontà di non parlare di workaround (si parla di known error con causa conosciuta, ma non di soluzioni temporanee a fronte di cause ignote) e di CAB e ECAB (anche se sono introdotti altri concetti tipici di ITIL e non presenti nella ISO/IEC 20000-1).
Faccio anche notare che queste linee guida sono di 94 pagine, mentre la versione precedente del 2005 ne aveva 42 per spiegare, più o meno, gli stessi processi. Ecco quindi che potremmo anche dire che tra la sintetica ISO/IEC 20000-1 (36 pagine) e il prolisso ITIL 2011 (quasi 2.000 pagine), un lettore potrebbe trovare in questo documento la giusta via di mezzo.
La ISO/IEC 20000-2 ha titolo "Information technology — Service management — Guidance on the application of service management systems". E' pertanto una linea guida e non uno standard certificabile.
La sua lettura è interessante ed è consigliabile a quanti intendono applicare la ISO/IEC 20000-1 senza avere una buona conoscenza di sistemi di gestione e/o una preparazione a livello di ITIL Foundation.
A dire la verità, leggendo il documento si notano alcune sbavature, soprattutto nei requisiti di sistema del capitolo 4 (responsabilità della direzione, gestione della documentazione e delle registrazioni, gestione delle risorse e gestione del miglioramento), a causa di alcune ripetizioni e concetti discutibili.
Gli approfondimenti sui 14 processi specifici sono invece più convincenti. Sono però rimasto perplesso dalla volontà di non parlare di workaround (si parla di known error con causa conosciuta, ma non di soluzioni temporanee a fronte di cause ignote) e di CAB e ECAB (anche se sono introdotti altri concetti tipici di ITIL e non presenti nella ISO/IEC 20000-1).
Faccio anche notare che queste linee guida sono di 94 pagine, mentre la versione precedente del 2005 ne aveva 42 per spiegare, più o meno, gli stessi processi. Ecco quindi che potremmo anche dire che tra la sintetica ISO/IEC 20000-1 (36 pagine) e il prolisso ITIL 2011 (quasi 2.000 pagine), un lettore potrebbe trovare in questo documento la giusta via di mezzo.
sabato 10 marzo 2012
Precisazione sul Regolamento UE Privacy
Trattando sul futuro Regolamento UE sulla privacy, mi sono posto la seguente domanda: come sarà possibile tradurre "employing fewer than 250 persons", essendo questo il confine tra aziende che saranno obbligate a fare il DPS e quelle che non lo saranno?
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Fabrizio Bottacin mi ha risposto inviandomi il link alla Raccomandazione della Commissione del del 6 maggio 2003 relativa alla definizione delle microimprese, piccole e medie imprese, da cui si deduce come calcolare le "250 persone" e che le PMI non dovranno fare il DPS, le altre sì:http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2003:124:0036:0041:IT:PDF
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Fabrizio Bottacin mi ha risposto inviandomi il link alla Raccomandazione della Commissione del del 6 maggio 2003 relativa alla definizione delle microimprese, piccole e medie imprese, da cui si deduce come calcolare le "250 persone" e che le PMI non dovranno fare il DPS, le altre sì:http://eur-lex.europa.eu/LexUriServ/LexUriServ.do?uri=OJ:L:2003:124:0036:0041:IT:PDF
Nospammer.info
Luca De Grazia mi segnala l'associazione No Spammer (http://www.nospammer.info/). Si occupano di fornire assistenza legali a quanti sono infestati dallo spamming, a quanti hanno a che fare con siti web non regolari, a quanti hanno problemi a far valere i propri diritti quando acquistano via web, eccetera.
Al momento, l'associazione pare appena costituita e quindi non ci sono notizie interessanti. Ma l'idea è buona e non ci aspetta che vedere l'effetto che fa.
Al momento, l'associazione pare appena costituita e quindi non ci sono notizie interessanti. Ma l'idea è buona e non ci aspetta che vedere l'effetto che fa.
Change Oracle e blocco di un ospedale
Sandro Sanna mi segnala questa notizia:
-
In poche parole, sembra che il fine settimana del 12 e 13 febbraio, siano
state fatte delle modifiche al database (dall'articolo pare sia Oracle) e
che poi il sistema si sia bloccato fino a ripartire lentamente il martedì.
state fatte delle modifiche al database (dall'articolo pare sia Oracle) e
che poi il sistema si sia bloccato fino a ripartire lentamente il martedì.
Non ho nulla contro Oracle: chi non fa non falla. Ho però qualche appunto da
fare a chi dice che "i change ai database non sono critici", "fare e
documentare i test è una perdita di tempo" e "le procedure di roll-back sono
facili". In realtà nessuno lo dice con queste parole, ma lo pensa.
fare a chi dice che "i change ai database non sono critici", "fare e
documentare i test è una perdita di tempo" e "le procedure di roll-back sono
facili". In realtà nessuno lo dice con queste parole, ma lo pensa.
A pensarci bene, qualcosa contro Oracle ce la potrei avere, ma non ho dati a sufficienza. Vorrei capire se ci sono dei prezzi agevolati per l'acquisto di licenze per gli ambienti di test e per gli ambienti di DR. A pensar male ho ragione o torto?
Chissà chi è il colpevole (il manager che aveva fretta? il commerciale che
aveva fatto male i conti e bisognava chiudere per non perdere "giornate
uomo"? il cliente che aveva chiesto tempi irragionevoli? Il project manager
non abbastanza prudente? il responsabile qualità che non aveva fatto
correttamente la procedura?).
aveva fatto male i conti e bisognava chiudere per non perdere "giornate
uomo"? il cliente che aveva chiesto tempi irragionevoli? Il project manager
non abbastanza prudente? il responsabile qualità che non aveva fatto
correttamente la procedura?).
Di queste notizie ne abbiamo abbastanza, ma ne vedremo ancora. In Italia e
all'estero. In troppi penseranno comunque che "questo a me non potrà
capitare".
all'estero. In troppi penseranno comunque che "questo a me non potrà
capitare".
giovedì 1 marzo 2012
Prescrizioni per i siti web dedicati alla salute
Il Garante il 25 gennaio ha emesso le "Linee guida in tema di trattamento di dati personali per finalità di pubblicazione e diffusione nei siti web esclusivamente dedicati alla salute".
Esse riguardano "i gestori dei siti web dedicati esclusivamente alla salute (specifici forum e blog, specifiche sezioni di portali che contengono informazioni sanitarie, nonché social network che si occupano di tematiche sulla salute attraverso specifici profili, aperti da soggetti privati con finalità di sensibilizzazione e confronto in tale ambito) in cui si svolge un'attività di carattere meramente divulgativo e conoscitivo, non solo con riferimento alle informazioni e ai commenti che si scambiano gli utenti, ma anche con riferimento ai consigli o alle "consulenze" mediche che vengono dagli stessi richieste."
Sono compresi due casi: i siti che richiedono e quelli che non richiedono la registrazione. In tutti i casi, devono essere fornite opportune avvertenze agli utenti. Sicuramente, tali avvertenze potrebbero essere fornite anche da siti non dedicati alla salute.
Le Linee Guida:
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1870212
Il commento su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3613
Esse riguardano "i gestori dei siti web dedicati esclusivamente alla salute (specifici forum e blog, specifiche sezioni di portali che contengono informazioni sanitarie, nonché social network che si occupano di tematiche sulla salute attraverso specifici profili, aperti da soggetti privati con finalità di sensibilizzazione e confronto in tale ambito) in cui si svolge un'attività di carattere meramente divulgativo e conoscitivo, non solo con riferimento alle informazioni e ai commenti che si scambiano gli utenti, ma anche con riferimento ai consigli o alle "consulenze" mediche che vengono dagli stessi richieste."
Sono compresi due casi: i siti che richiedono e quelli che non richiedono la registrazione. In tutti i casi, devono essere fornite opportune avvertenze agli utenti. Sicuramente, tali avvertenze potrebbero essere fornite anche da siti non dedicati alla salute.
Le Linee Guida:
- http://www.garanteprivacy.it/garante/doc.jsp?ID=1870212
Il commento su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3613
Certificazioni ISO 9001 e controlli
Edmea De Paoli mi segnala l'articolo 14 del DL Semplifica Italia (DL 5 del 2012), per cui:
- le amministrazioni pubbliche sono tenute a pubblicare la lista dei controlli a cui sono assoggettate le imprese
- i controlli potranno essere ridotti per le imprese in possesso della certificazione UNI EN ISO 9001
Già la Legge 133/2008 prevedeva che "i controlli periodici svolti dagli enti certificatori sostituiscono i controlli amministrativi o le ulteriori attività amministrative di verifica". Era un evidente orrore, in quanto è ben noto che la ISO 9001 non copre i controlli amministrativi in modo da coprire quanto opportuno.
Commento 1: dobbiamo vedere come sarà trattata la questione dalle Linee Guida in materia che saranno prodotte più o meno in ottobre 2012 e pubblicate su www.impresainungiorno.gov.it
Commento 2: il punto f) del comma 4 fornisce un ottimo punto di partenza per i requisiti da chiedere ad un qualsiasi fornitore ("certificazione del sistema di gestione per la qualità da un organismo di certificazione accreditato da un ente di accreditamento designato da uno Stato membro dell'Unione europea ai sensi del Regolamento 2008/765/CE, o firmatario degli Accordi internazionali di mutuo riconoscimento IAF MLA); visti i bandi di gara che si vedono in giro, c'è da fare i complimenti a chi ha scritto questo paragrafo per l'inusuale correttezza.
- le amministrazioni pubbliche sono tenute a pubblicare la lista dei controlli a cui sono assoggettate le imprese
- i controlli potranno essere ridotti per le imprese in possesso della certificazione UNI EN ISO 9001
Già la Legge 133/2008 prevedeva che "i controlli periodici svolti dagli enti certificatori sostituiscono i controlli amministrativi o le ulteriori attività amministrative di verifica". Era un evidente orrore, in quanto è ben noto che la ISO 9001 non copre i controlli amministrativi in modo da coprire quanto opportuno.
Commento 1: dobbiamo vedere come sarà trattata la questione dalle Linee Guida in materia che saranno prodotte più o meno in ottobre 2012 e pubblicate su www.impresainungiorno.gov.it
Commento 2: il punto f) del comma 4 fornisce un ottimo punto di partenza per i requisiti da chiedere ad un qualsiasi fornitore ("certificazione del sistema di gestione per la qualità da un organismo di certificazione accreditato da un ente di accreditamento designato da uno Stato membro dell'Unione europea ai sensi del Regolamento 2008/765/CE, o firmatario degli Accordi internazionali di mutuo riconoscimento IAF MLA); visti i bandi di gara che si vedono in giro, c'è da fare i complimenti a chi ha scritto questo paragrafo per l'inusuale correttezza.
Sentenza utilizzo di software duplicati per i computer aziendali
Se qualcuno aveva ancora dei dubbi: è illegale "aver installato software su computer aziendali senza averne previamente acquistato la relativa licenza". Lo ha stabilito la Cassazione, Sezione Terza Penale, con sentenza 5879 del 15 febbraio 2012.
L'articolo su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3618
Secondo me, l'accusato poteva pagare i 1.000 Euro e farsi convertire i 4 mesi di reclusione in qualcosa d'altro. O l'accusato aveva soldi e tempo da spendere in processi (primo, secondo e terzo grado!), o aveva scelto un avvocato furbetto che l'ha consigliato male.
L'articolo su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3618
Secondo me, l'accusato poteva pagare i 1.000 Euro e farsi convertire i 4 mesi di reclusione in qualcosa d'altro. O l'accusato aveva soldi e tempo da spendere in processi (primo, secondo e terzo grado!), o aveva scelto un avvocato furbetto che l'ha consigliato male.
Controllo legittimo ex post di email del dipendente
La Cassazione Lavoro, con sentenza del 23 febbraio 2012, ha dichiarato legittimo, in certe condizioni, il controllo delle e-mail del dipendente.
Sentenza molto interessante per chi si occupa di sicurezza, 231 e privacy.
Segnalo l'articolo su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3619
L'articolo si conclude con un interessante commento: "sarebbe stato interessante conoscere nel dettaglio l'attività di indagine sull'infrastruttura informatica posta in essere dal datore di lavoro".
Sentenza molto interessante per chi si occupa di sicurezza, 231 e privacy.
Segnalo l'articolo su Filodiritto:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3619
L'articolo si conclude con un interessante commento: "sarebbe stato interessante conoscere nel dettaglio l'attività di indagine sull'infrastruttura informatica posta in essere dal datore di lavoro".
NIS SP 153 - Guidelines for Securing WLANs
Il NIST ha pubblicato la Special Publication 800-153 dal titolo "Guidelines for Securing Wireless Local Area Networks (WLANs)".
In questa pubblicazione si richiamano soprattutto le criticità legate al personale interno che potrebbe usare la doppia connessione wireless e wired, aprendo delle vulnerabilità.
Per ulteriori specifiche di sicurezza sulle WLANs, bisogna fare riferimento a:
- SP 800-97 "Establishing Wireless Robust Security Networks: A Guide to IEEE 802.11i"
- SP 800-48 "Guide to Securing Legacy IEEE 802.11 Wireless Networks"
Rimangono i soliti concetti base:
- verificare i requisiti di sicurezza dei prodotti per creare gli Access Point
- configurare gli accessi via meccanismi crittografici
- installare le reti per gli ospiti in modo che non abbiano visibilità sulla rete interna
Banalità, certamente. Fino a quando si scopre che non sono sempre seguite.
In questa pubblicazione si richiamano soprattutto le criticità legate al personale interno che potrebbe usare la doppia connessione wireless e wired, aprendo delle vulnerabilità.
Per ulteriori specifiche di sicurezza sulle WLANs, bisogna fare riferimento a:
- SP 800-97 "Establishing Wireless Robust Security Networks: A Guide to IEEE 802.11i"
- SP 800-48 "Guide to Securing Legacy IEEE 802.11 Wireless Networks"
Rimangono i soliti concetti base:
- verificare i requisiti di sicurezza dei prodotti per creare gli Access Point
- configurare gli accessi via meccanismi crittografici
- installare le reti per gli ospiti in modo che non abbiano visibilità sulla rete interna
Banalità, certamente. Fino a quando si scopre che non sono sempre seguite.
sabato 25 febbraio 2012
COSO Internal Control Framework (draft)
Il COSO Internal Control Framework è il punto di riferimento (per lo meno, nominale) per la progettazione, realizzazione e valutazione di controlli efficaci per le attività di business. Ovviamente, fa riferimento alla tecnologia. Esso è molto citato da chi si occupa di IT (è molto celebre il "cubo"), quando si lascia intendere che il business deve essere controllato secondo i principi del COSO Internal Control Framework e l'IT dal CobiT e le due attività devono essere tra loro connesse.
Il COSO ha pubblicato il draft per commenti:
- http://www.ic.coso.org/pages/exposure-draft.aspx
Il controllo interno deve seguire 17 principi, a loro volta collegati ai 5 componenti di controlli interni: ambiente di controllo, risk assessment, attività di controllo, comunicazione, monitoraggio.
La futura versione del COSO Internal Control Framework è destinata a sostituire quella attualmente in vigore, datata 1992 (20 anni!).
Il COSO, nel 2004, ha pubblicato anche il "Enterprise Risk Management - Integrated Framework". Secondo quanto dichiarato dal COSO stesso, "l'enterprise risk management è più ampio del controllo interno, perché espande e approfondisce il controllo interno e si focalizza maggiormente sui rischi".
Il COSO ha pubblicato il draft per commenti:
- http://www.ic.coso.org/pages/exposure-draft.aspx
Il controllo interno deve seguire 17 principi, a loro volta collegati ai 5 componenti di controlli interni: ambiente di controllo, risk assessment, attività di controllo, comunicazione, monitoraggio.
La futura versione del COSO Internal Control Framework è destinata a sostituire quella attualmente in vigore, datata 1992 (20 anni!).
Il COSO, nel 2004, ha pubblicato anche il "Enterprise Risk Management - Integrated Framework". Secondo quanto dichiarato dal COSO stesso, "l'enterprise risk management è più ampio del controllo interno, perché espande e approfondisce il controllo interno e si focalizza maggiormente sui rischi".
martedì 21 febbraio 2012
Tool di computer forensics
Dalla newsletter di Marco Mattiucci, segnalo il rilascio della DEFT 7, un toolkit (made in Italy) destinato ad operare nel Computer Forensics, Mobile Forensics, Network Forensics, Incident Response e Cyber​Intelligence:http://www.deftlinux.net/2012/01/31/deft-7-ready-for-download/
Pasquale Stirparo, della DFA, ha segnalato ai soci una "Crazy good list of free computer forensic tools":http://forensiccontrol.com/resources/free-software/
In tutti i casi, rimane la regola aurea: non usateli per scopi "reali" se non avete l'adeguata competenza tecnica e legale e una buona esperienza anche a seguito di affiancamenti.
Pasquale Stirparo, della DFA, ha segnalato ai soci una "Crazy good list of free computer forensic tools":http://forensiccontrol.com/resources/free-software/
In tutti i casi, rimane la regola aurea: non usateli per scopi "reali" se non avete l'adeguata competenza tecnica e legale e una buona esperienza anche a seguito di affiancamenti.
venerdì 17 febbraio 2012
BYOD - Bring your own device
Il tema del BYOD (gli utenti aziendali che usano i propri strumenti informatici personali per svolgere attività lavorativa) mi ha sempre interessato. Venendo dai tempi in cui non era lecito usare gli strumenti aziendali per finalità personali, mi sorprende questa tendenza di volere usare gli strumenti personali per finalità aziendali.
Sempre più vedo manager (e non manager) compulsare la propria mail o scrivere documenti su tablet quasi sicuramente personali. Mi chiedo se abbiano configurato una password di accesso (dubito, vista la velocità con cui rispondono alle telefonate), se i dati siano cifrati, eccetera.
IBM, tra gli altri, propone una sua soluzione:
- http://www.bitmat.it/articolo.php?aId=0000091292&cId=46&cpId=20&n=IBM%2Bpropone%2Bun%2Bnuovo%2Bsoftware%2Bper%2Bi%2Bdispositivi%2Bmobili%2Bsul%2Bluogo%2Bdi%2Blavoro
Non voglio fare pubblicità a IBM o ad altri, ma questo è un argomento che seguo da dicembre 2010 (http://blog.cesaregallotti.it/2010/12/lasciatemi-il-mio-pc.html), ho visto questa segnalazione nel gruppo Clusit di LinkedIn, in questi 14 mesi ho visto crescere veramente il fenomeno e ho colto l'occasione per ribadirlo.
Sempre più vedo manager (e non manager) compulsare la propria mail o scrivere documenti su tablet quasi sicuramente personali. Mi chiedo se abbiano configurato una password di accesso (dubito, vista la velocità con cui rispondono alle telefonate), se i dati siano cifrati, eccetera.
IBM, tra gli altri, propone una sua soluzione:
- http://www.bitmat.it/articolo.php?aId=0000091292&cId=46&cpId=20&n=IBM%2Bpropone%2Bun%2Bnuovo%2Bsoftware%2Bper%2Bi%2Bdispositivi%2Bmobili%2Bsul%2Bluogo%2Bdi%2Blavoro
Non voglio fare pubblicità a IBM o ad altri, ma questo è un argomento che seguo da dicembre 2010 (http://blog.cesaregallotti.it/2010/12/lasciatemi-il-mio-pc.html), ho visto questa segnalazione nel gruppo Clusit di LinkedIn, in questi 14 mesi ho visto crescere veramente il fenomeno e ho colto l'occasione per ribadirlo.
Materiale Convegno AIEA settembre 2011
L'AIEA ha messo a disposizione sul suo sito il materiale del convegno del 29 e 30 settembre 2011:
- http://www.aiea.it/html/pqwert3256_29_settembre_2011.html
- http://www.aiea.it/html/ytrew87bvc_30_settembre_2011.html
Non ho trovato molto interessanti le slides della seconda giornata (cloud e social network). Invece segnalo quelle della prima giornata:
- "Sistemi di pagamento elettronici" di Domenico Gammaldi di Banca d'Italia, con riferimenti alla normativa vigente in Italia in materia
- "Infrastrutture critiche" di Daniele Perucchini - Fondazione Ugo Bordoni, con riportata la situazione attuale in materia
- "La sicurezza ICT e la protezione delle infrastrutture critiche" di Glauco Bertocchi di Isaca Roma, un articolo su SCADA e i sistemi di controllo di processo.
Buona lettura.
- http://www.aiea.it/html/pqwert3256_29_settembre_2011.html
- http://www.aiea.it/html/ytrew87bvc_30_settembre_2011.html
Non ho trovato molto interessanti le slides della seconda giornata (cloud e social network). Invece segnalo quelle della prima giornata:
- "Sistemi di pagamento elettronici" di Domenico Gammaldi di Banca d'Italia, con riferimenti alla normativa vigente in Italia in materia
- "Infrastrutture critiche" di Daniele Perucchini - Fondazione Ugo Bordoni, con riportata la situazione attuale in materia
- "La sicurezza ICT e la protezione delle infrastrutture critiche" di Glauco Bertocchi di Isaca Roma, un articolo su SCADA e i sistemi di controllo di processo.
Buona lettura.
martedì 14 febbraio 2012
Certificati digitali invalidati?
La notizia è che le firme digitali utilizzate da ottobre 2011 da noi utenti potrebbero essere non ritenute valide. Il motivo è che per la generazione dei certificati digitali (e, quindi, per garantire la validità della firma digitale) è necessario utilizzare dei meccanismi certificati dall'OCSI. Ovviamente, come al solito, Le scadenze sono state di volta in volta posticipate fino ad arrivare al pasticcio. Ora sembra che solo i certificati rilasciati da un unico operatore siano validi. E gli altri?
L'articolo del Corriere della Sera:
- http://archiviostorico.corriere.it/2012/gennaio/23/pasticcio_delle_firme_digitali_ce_0_120123076.shtml
L'articolo di pc professionale:
- http://www.pcprofessionale.it/2012/01/27/il-far-west-delle-firme-digitali-8-milioni-di-certificati-fuorilegge/
Il commento dello Studio Legale Lisi:
- http://www.studiolegalelisi.it/notizia.php?titolo_mod=376_Il_pasticcio_italiano_dei_dispositivi_automatici_di_firma__le_firme_digital
Insomma, di qualunque materia si tratti, pare che le certificazioni non siano sempre apprezzate dalle aziende italiane...
La notizia me l'ha data mio padre per primo, Franco Ferrari del DNV poi e infine Daniela Quetti della DFA. L'ho trovata anche sulla newsletter dello Studio Legale Lisi.
L'articolo del Corriere della Sera:
- http://archiviostorico.corriere.it/2012/gennaio/23/pasticcio_delle_firme_digitali_ce_0_120123076.shtml
L'articolo di pc professionale:
- http://www.pcprofessionale.it/2012/01/27/il-far-west-delle-firme-digitali-8-milioni-di-certificati-fuorilegge/
Il commento dello Studio Legale Lisi:
- http://www.studiolegalelisi.it/notizia.php?titolo_mod=376_Il_pasticcio_italiano_dei_dispositivi_automatici_di_firma__le_firme_digital
Insomma, di qualunque materia si tratti, pare che le certificazioni non siano sempre apprezzate dalle aziende italiane...
La notizia me l'ha data mio padre per primo, Franco Ferrari del DNV poi e infine Daniela Quetti della DFA. L'ho trovata anche sulla newsletter dello Studio Legale Lisi.
venerdì 10 febbraio 2012
Il D.L. Crescita Italia diventa Legge
Con la Legge 214 del 22 dicembre 2011, il Decreto Legge 201/2011 «Disposizioni urgenti per la crescita, l'equità e il consolidamento dei conti pubblici.» è stato convertito in Legge, con modificazioni.
I punti di interesse:
- art.29-bis: introduce, all'articolo 68 del Codice dell'Amministrazione Digitale (Dlgs 82 del 2005), la categoria del software libero accanto ai programmi a codice sorgente aperto tra le opzioni che hanno le PA per scegliere i programmi informatici
- art. 40 comma 2: esclude dall'applicabilità del Codice Privacy le persone giuridiche, enti e associazioni (aumentando l'impatto di quanto già stabilito dal DL 70 del 2011, convertito in Legge dalla Legge 106 del 2011).
(Su segnalazione di Daniela Quetti della DFA)
I punti di interesse:
- art.29-bis: introduce, all'articolo 68 del Codice dell'Amministrazione Digitale (Dlgs 82 del 2005), la categoria del software libero accanto ai programmi a codice sorgente aperto tra le opzioni che hanno le PA per scegliere i programmi informatici
- art. 40 comma 2: esclude dall'applicabilità del Codice Privacy le persone giuridiche, enti e associazioni (aumentando l'impatto di quanto già stabilito dal DL 70 del 2011, convertito in Legge dalla Legge 106 del 2011).
(Su segnalazione di Daniela Quetti della DFA)
giovedì 9 febbraio 2012
DPS addio? - Secondo tentativo riuscito! (ma meglio stare attenti ancora un po')
E' stato pubblicato in Gazzetta Ufficiale il D.L. n. 5 del 2012 "Disposizioni urgenti in materia di semplificazione e di sviluppo" dove, all'articolo 45, viene eliminato il DPS.
Ovviamente, per essere sicuri sicuri, dovremo aspettarne la Legge di conversione, che potrebbe recare modifiche o farlo decadere. Dovremo aspettare al massimo 60 giorni per avere certezze al 100%. E quindi le certezze potrebbero arrivare dopo il 31 marzo, data di "scadenza" per i DPS... chissà se conviene farlo o no?
Altri miei commenti (in cui dico che per alcuni è comunque meglio farlo, per altri no):
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Il sito della Gazzetta Ufficiale (ma sarà disponibile solo per 60 giorni):
- http://www.gazzettaufficiale.it/guridb/dispatcher?service=1&datagu=2012-02-09&task=dettaglio&numgu=33&redaz=012G0019&tmstp=1328822562622
Il sito del Comune di Jesi con le Gazzette Ufficiali (cercare il Supplemento Ordinario della GU n. 33 del 9-2-2012)
- http://gazzette.comune.jesi.an.it/2012/febbraio.htm
Normattiva, ancora, lo dà come "non esistente o vigente"
Grazie a Daniela Quetti che, via mailing list della DFA, me l'ha comunicato.
Ovviamente, per essere sicuri sicuri, dovremo aspettarne la Legge di conversione, che potrebbe recare modifiche o farlo decadere. Dovremo aspettare al massimo 60 giorni per avere certezze al 100%. E quindi le certezze potrebbero arrivare dopo il 31 marzo, data di "scadenza" per i DPS... chissà se conviene farlo o no?
Altri miei commenti (in cui dico che per alcuni è comunque meglio farlo, per altri no):
- http://blog.cesaregallotti.it/2012/01/dps-addio-secondo-tentativo-quasi.html
- http://blog.cesaregallotti.it/2012/02/regolamento-ue-sulla-privacy-forse-il.html
Il sito della Gazzetta Ufficiale (ma sarà disponibile solo per 60 giorni):
- http://www.gazzettaufficiale.it/guridb/dispatcher?service=1&datagu=2012-02-09&task=dettaglio&numgu=33&redaz=012G0019&tmstp=1328822562622
Il sito del Comune di Jesi con le Gazzette Ufficiali (cercare il Supplemento Ordinario della GU n. 33 del 9-2-2012)
- http://gazzette.comune.jesi.an.it/2012/febbraio.htm
Normattiva, ancora, lo dà come "non esistente o vigente"
Grazie a Daniela Quetti che, via mailing list della DFA, me l'ha comunicato.
mercoledì 8 febbraio 2012
Pubblicata la ISO/IEC 27007
E' stata pubblicata la ISO/IEC 27007 dal titolo "Guidelines for information security management systems auditing". E' un'estensione della ISO 19011, applicabile agli audit di prima e seconda parte.
Non aggiunge molto rispetto ai requisiti della ISO 19011 e da questo punto di vista non è interessante. Può essere però interessante la lettura dell'allegato A (informativo) "Practice Guidance for ISMS Auditing", dove è quasi proposto un manuale di auditing molto dettagliato.
Non aggiunge molto rispetto ai requisiti della ISO 19011 e da questo punto di vista non è interessante. Può essere però interessante la lettura dell'allegato A (informativo) "Practice Guidance for ISMS Auditing", dove è quasi proposto un manuale di auditing molto dettagliato.
Computer forensics - Video Marco Mattiucci
Segnalo i notevoli video di Marco Mattiucci sulla Computer Forensics:
Video 3: "Incertezza nel Digital Forensics"
Video 4: "Aree del Digital Forensics"
Video 5: "Computer Forensics"
Video 6: "I problemi nel Digital Forensics"
Video 7: "Mobile forensics"
I primi due video, li avevo segnalati precedentemente.
Sono tutte delle lezioni base, anche se con diverse complessità. Fa eccezione il video 3 che propone una lezione di buona complessità, utile però a far capire che, prima di cimentarsi nella materia, è necessario aver seguito un buon percorso di formazione (teoria, pratica, affiancamento in situazioni reali).
Per accedere ai video, il punto di partenza è una pagina del sito di Marco Mattiucci:
- http://www.marcomattiucci.it/myvideodf.php
Video 3: "Incertezza nel Digital Forensics"
Video 4: "Aree del Digital Forensics"
Video 5: "Computer Forensics"
Video 6: "I problemi nel Digital Forensics"
Video 7: "Mobile forensics"
I primi due video, li avevo segnalati precedentemente.
Sono tutte delle lezioni base, anche se con diverse complessità. Fa eccezione il video 3 che propone una lezione di buona complessità, utile però a far capire che, prima di cimentarsi nella materia, è necessario aver seguito un buon percorso di formazione (teoria, pratica, affiancamento in situazioni reali).
Per accedere ai video, il punto di partenza è una pagina del sito di Marco Mattiucci:
- http://www.marcomattiucci.it/myvideodf.php
martedì 7 febbraio 2012
UNI EN ISO 19011 (in italiano) - Linee guida per gli audit di gestione
E' stata appena pubblicata la versione in italiano della ISO 19011.
Ho già commentato la versione in inglese:
- http://blog.cesaregallotti.it/2011/11/iso-190112011.html
Aggiungo solo che la 19011 si applica ai soli audit di prima parte (audit interni) e di seconda parte (ai fornitori o ai partner). Per gli audit di terza parte (audit degli organismi di certificazione), bisogna fare riferimento alla ISO/IEC 17021.
Ripeto: la norma è interessante, soprattutto se consideriamo come sono svolti alcuni audit (rilievi non discussi con il personale, rapporti inviati dopo settimane o mesi, eccetera).
Ho già commentato la versione in inglese:
- http://blog.cesaregallotti.it/2011/11/iso-190112011.html
Aggiungo solo che la 19011 si applica ai soli audit di prima parte (audit interni) e di seconda parte (ai fornitori o ai partner). Per gli audit di terza parte (audit degli organismi di certificazione), bisogna fare riferimento alla ISO/IEC 17021.
Ripeto: la norma è interessante, soprattutto se consideriamo come sono svolti alcuni audit (rilievi non discussi con il personale, rapporti inviati dopo settimane o mesi, eccetera).
giovedì 2 febbraio 2012
Regolamento UE sulla Privacy (forse il DPS resusciterà)
Grazie a Uninfo, ricevo notizia sull'attuale bozza del possibile futuro Regolamente Privacy a livello europeo.
Detto in poche parole, questo regolamento, una volta approvato, entrerà in vigore per tutti gli stati UE. Le proposte sono sottoposte, ora, al Parlamento europeo e agli Stati membri dell’Unione (riuniti in sede di Consiglio dei Ministri) per discussione e, una volta adottate, non entreranno in vigore prima di due anni.
Il link:
- http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm
Ho trovato molto interessante la lettura della bozza e scrivo qui alcuni punti:
- articolo 26: stabilisce chiaramente che se il Responsabile (Processor) tratta i dati senza opportune istruzioni del Titolare (Controller), allora deve essere considerato Titolare Congiunto (Joint Controller). Osservo che il trasferimento ad altri da parte del Processor è vietato, se non dopo autorizzazione da parte del Controller: il 99% degli attuali Responsabili Esterni saranno quindi Joint Controller
- articolo 28: il DPS è morto e, se passa questo articolo, risorgerà; forse più molesto di prima, tranne che per le aziende con meno di 250 addetti (bisognerà poi vedere come tradurre "employing fewer than 250 persons")
- articolo 30: bisogna ancora fare una "valutazione dei rischi"
- articoli 31 e 32: gli incidenti con impatto sui dati personali dovranno essere comunicati al Garante e agli interessati
- articolo 33: la notifica al Garante viene un poco trasformata; anzi... bisognerà anche fare un "impact assessment"
- articolo 35 e seguenti: le aziende con più di 250 persone dovranno nominare un Data Protection Officer
- articolo 39: potrà esistere una "certificazione privacy"; ne vedremo delle belle... temo.
Copiando un intervento di Daniela Quetti, segnalo anche
- Riferimento ad un’unica autorità nazionale di protezione dei dati nel paese dell’Unione in cui imprese e organizzazioni hanno il proprio stabilimento principale.
- Viene introdotto il diritto all’oblio: chiunque potrà cancellare i propri dati se non sussistono motivi legittimi per mantenerli.
- Le norme UE si applicheranno anche ai dati personali trattati all’estero da imprese che sono attive sul mercato unico e offrono servizi ai cittadini dell'Unione.
- Le autorità nazionali indipendenti di protezione dei dati avranno maggiori poteri;
Altro di interessante c'è. Per chi volesse: buona lettura!
Altri commenti sono benvenuti.
La Direttiva collegata al Regolamento riguarda solo il trattamento dei dati da parte delle autorità addette a prevenire, investigare, rilevare e perseguire crimini.
PS: Fabrizio Bottacin, dopo aver letto questo post, mi ha risposto privatamente sul mio dubbio relativo al "employing fewer than 250 persons":
- http://blog.cesaregallotti.it/2012/03/precisazione-sul-regolamento-ue-privacy.html
Detto in poche parole, questo regolamento, una volta approvato, entrerà in vigore per tutti gli stati UE. Le proposte sono sottoposte, ora, al Parlamento europeo e agli Stati membri dell’Unione (riuniti in sede di Consiglio dei Ministri) per discussione e, una volta adottate, non entreranno in vigore prima di due anni.
Il link:
- http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm
Ho trovato molto interessante la lettura della bozza e scrivo qui alcuni punti:
- articolo 26: stabilisce chiaramente che se il Responsabile (Processor) tratta i dati senza opportune istruzioni del Titolare (Controller), allora deve essere considerato Titolare Congiunto (Joint Controller). Osservo che il trasferimento ad altri da parte del Processor è vietato, se non dopo autorizzazione da parte del Controller: il 99% degli attuali Responsabili Esterni saranno quindi Joint Controller
- articolo 28: il DPS è morto e, se passa questo articolo, risorgerà; forse più molesto di prima, tranne che per le aziende con meno di 250 addetti (bisognerà poi vedere come tradurre "employing fewer than 250 persons")
- articolo 30: bisogna ancora fare una "valutazione dei rischi"
- articoli 31 e 32: gli incidenti con impatto sui dati personali dovranno essere comunicati al Garante e agli interessati
- articolo 33: la notifica al Garante viene un poco trasformata; anzi... bisognerà anche fare un "impact assessment"
- articolo 35 e seguenti: le aziende con più di 250 persone dovranno nominare un Data Protection Officer
- articolo 39: potrà esistere una "certificazione privacy"; ne vedremo delle belle... temo.
Copiando un intervento di Daniela Quetti, segnalo anche
- Riferimento ad un’unica autorità nazionale di protezione dei dati nel paese dell’Unione in cui imprese e organizzazioni hanno il proprio stabilimento principale.
- Viene introdotto il diritto all’oblio: chiunque potrà cancellare i propri dati se non sussistono motivi legittimi per mantenerli.
- Le norme UE si applicheranno anche ai dati personali trattati all’estero da imprese che sono attive sul mercato unico e offrono servizi ai cittadini dell'Unione.
- Le autorità nazionali indipendenti di protezione dei dati avranno maggiori poteri;
Altro di interessante c'è. Per chi volesse: buona lettura!
Altri commenti sono benvenuti.
La Direttiva collegata al Regolamento riguarda solo il trattamento dei dati da parte delle autorità addette a prevenire, investigare, rilevare e perseguire crimini.
PS: Fabrizio Bottacin, dopo aver letto questo post, mi ha risposto privatamente sul mio dubbio relativo al "employing fewer than 250 persons":
- http://blog.cesaregallotti.it/2012/03/precisazione-sul-regolamento-ue-privacy.html
lunedì 30 gennaio 2012
DPS addio? - Secondo tentativo (quasi riuscito; ci manca poco)
Il primo a darmi la notizia è stato Max Cottafavi di Spike Reply: il Decreto Legge "Semplifica Italia" del Governo Monti elimina il DPS. Bisognerà aspettare l'approvazione in Legge, ma non sono da prevedere ulteriori sorprese.
Se guardo solo nel mio palazzo (un artigiano, uno studio di ingegneria, uno studio di un professionista - io, due medici che però non hanno lo studio privato), posso dire che almeno 4 o 5 DPS inutili non sono più obbligatori.
Se però penso ad alcuni miei clienti (tra le cui attività vi sono: trattamento del personale, gestione donazioni per scopi religiosi, ricerche di mercato, selezione del personale e conservazione cartelle mediche) e ad alcune realtà fortemente sindacalizzate, se penso anche che tanti reclami al Garante vengono da sindacati e consumatori, allora mi viene da pensare che a molti conviene predisporre, in ottica preventiva, nel caso in cui dovessero essere coinvolti in un procedimento giudiziario o da una verifica da parte del Garante, un documento che dimostri in qualche modo l'attuazione delle misure di sicurezza minime e idonee previste (ancora...) dal Codice Privacy.
Non dimentichiamoci che i Titolari devono ancora dimostrare il controllo sulle attività dei Responsabili, che devono fornire loro delle istruzioni, che devono verificare l'operato degli Amministratori di Sistema e che rimangono responsabili penalmente per alcuni inadempimenti. Sicuramente, molte aziende dovranno produrre ancora dei documenti in merito e una sorta di "lista di riscontro", come poteva essere inteso il DPS, sarà sempre utile.
Insomma, io suggerirei a queste imprese di continuare a farlo (e non solo per mie finalità economiche!), anche se ora non bisognerà più pensare alla scadenza del 31 marzo, potrà essere redatto in modo diverso e forse migliore e potrà essere nominato "Manuale Privacy" o "Pippo" e non più "DPS".
Ultima nota: con l'eliminazione del punto 19.6 dell'Allegato B, non c'è più una misura minima la formazione al personale. Ho già discusso altrove come questa misura sia mal scritta e mal posizionata all'interno del Codice. Ora mi chiedo: è veramente furbo non prenderla più in considerazione?
Attilio Rampazzo mi ha suggerito anche il seguente articolo, che condivido quasi completamente:
- http://www.federprivacy.it/index.php?option=com_content&view=article&id=469&Itemid=8
(per i curiosi: non condivido quanto detto sul ruolo del Responsabile della Sicurezza, né la presunta inutilità di fare riferimento a nomine e informative sul DPS; quest'ultimo punto non l'ho mai preso in carico, ma stavo giusto giusto pensando che ora che il DPS diventa facoltativo, forse potrebbe essere utile).
Altri articoli, sempre consigliati da Attilio Rampazzo, fanno riferimento al prossimo Regolamento UE che "presto sarà applicato in tutti i 27 Paesei della Comunità Europea prevede regole rigide, documenti da predisporre e conservare, oltre a sanzioni da capogiro". Ci penseremo quando sarà emesso:
- http://www.federprivacy.it/index.php?option=com_content&view=article&id=468:passa-il-decreto-semplificazioni-il-dps-e-stato-abolito&catid=40:flash-news&Itemid=64
Il testo non ufficiale è disponibile qui (in attesa di Normattiva):
- http://www.ictlex.net/?p=1375
Se guardo solo nel mio palazzo (un artigiano, uno studio di ingegneria, uno studio di un professionista - io, due medici che però non hanno lo studio privato), posso dire che almeno 4 o 5 DPS inutili non sono più obbligatori.
Se però penso ad alcuni miei clienti (tra le cui attività vi sono: trattamento del personale, gestione donazioni per scopi religiosi, ricerche di mercato, selezione del personale e conservazione cartelle mediche) e ad alcune realtà fortemente sindacalizzate, se penso anche che tanti reclami al Garante vengono da sindacati e consumatori, allora mi viene da pensare che a molti conviene predisporre, in ottica preventiva, nel caso in cui dovessero essere coinvolti in un procedimento giudiziario o da una verifica da parte del Garante, un documento che dimostri in qualche modo l'attuazione delle misure di sicurezza minime e idonee previste (ancora...) dal Codice Privacy.
Non dimentichiamoci che i Titolari devono ancora dimostrare il controllo sulle attività dei Responsabili, che devono fornire loro delle istruzioni, che devono verificare l'operato degli Amministratori di Sistema e che rimangono responsabili penalmente per alcuni inadempimenti. Sicuramente, molte aziende dovranno produrre ancora dei documenti in merito e una sorta di "lista di riscontro", come poteva essere inteso il DPS, sarà sempre utile.
Insomma, io suggerirei a queste imprese di continuare a farlo (e non solo per mie finalità economiche!), anche se ora non bisognerà più pensare alla scadenza del 31 marzo, potrà essere redatto in modo diverso e forse migliore e potrà essere nominato "Manuale Privacy" o "Pippo" e non più "DPS".
Ultima nota: con l'eliminazione del punto 19.6 dell'Allegato B, non c'è più una misura minima la formazione al personale. Ho già discusso altrove come questa misura sia mal scritta e mal posizionata all'interno del Codice. Ora mi chiedo: è veramente furbo non prenderla più in considerazione?
Attilio Rampazzo mi ha suggerito anche il seguente articolo, che condivido quasi completamente:
- http://www.federprivacy.it/index.php?option=com_content&view=article&id=469&Itemid=8
(per i curiosi: non condivido quanto detto sul ruolo del Responsabile della Sicurezza, né la presunta inutilità di fare riferimento a nomine e informative sul DPS; quest'ultimo punto non l'ho mai preso in carico, ma stavo giusto giusto pensando che ora che il DPS diventa facoltativo, forse potrebbe essere utile).
Altri articoli, sempre consigliati da Attilio Rampazzo, fanno riferimento al prossimo Regolamento UE che "presto sarà applicato in tutti i 27 Paesei della Comunità Europea prevede regole rigide, documenti da predisporre e conservare, oltre a sanzioni da capogiro". Ci penseremo quando sarà emesso:
- http://www.federprivacy.it/index.php?option=com_content&view=article&id=468:passa-il-decreto-semplificazioni-il-dps-e-stato-abolito&catid=40:flash-news&Itemid=64
Il testo non ufficiale è disponibile qui (in attesa di Normattiva):
- http://www.ictlex.net/?p=1375
martedì 24 gennaio 2012
Telelavoro e sicurezza
Dalla circolare dello Studio Tributario "Borioli & Colombo Associati", riporto che il comma 5 dell'articolo 22 della legge 183/2011(Legge di stabilità 2012) interviene sul tema del telelavoro con la finalità di favorirne l'utilizzo, oggi poco diffuso. Tale tipologia di lavoro subordinato non è rinvenibile in alcuna norma di legge ma, nel settore privato, è contenuta in vari accordi aziendali o di settore, fino a trovare il suo sbocco più generale nell'accordo interconfederale del 9 giugno 2004 che ha recepito l'accordo quadro europeo del 16 luglio 2002.
Ovviamente, non è questo il luogo dove discutere della Legge di Stabilità, ma degli impatti sulla sicurezza. E per questo è interessante leggere l'accordo in questione. Ecco alcuni punti che evidenzio (vale però la pena leggere tutto:
- Articolo 1 - Definizione: Il telelavoro costituisce una forma di organizzazione del lavoro che si avvale delle tecnologie dell' informazione, in cui l'attività lavorativa, che potrebbe anche essere svolta nei locali dell'impresa, viene regolarmente svolta al di fuori dei locali della stessa
- Articolo 2: il datore di lavoro provvede a fornire al telelavoratore le relative informazioni scritte
- Articolo 4 - Protezione dei dati: Il datore di lavoro ha la responsabilità di adottare misure appropriate, in particolare per quel che riguarda il software, atte a garantire la protezione dei dati utilizzati ed elaborati dal telelavoratore per fini professionali.
- Articolo 6 - Strumenti di lavoro: Di regola, il datore di lavoro è responsabile della fornitura, dell'istallazione e della manutenzione degli strumenti necessari ad un telelavoro svolto regolarmente, salvo che il telelavoratore non faccia uso di strumenti propri; In caso di guasto o malfunzionamento degli strumenti di lavoro il telelavoratore dovrà darne immediato avviso alle strutture aziendali competenti
Io ho trovato l'accordo su:https://www.cliclavoro.gov.it/informarmi/comefarepercit/Conciliarefamigliaelavoro/Documents/accordo_telelavoro2004.pdf
Ovviamente, non è questo il luogo dove discutere della Legge di Stabilità, ma degli impatti sulla sicurezza. E per questo è interessante leggere l'accordo in questione. Ecco alcuni punti che evidenzio (vale però la pena leggere tutto:
- Articolo 1 - Definizione: Il telelavoro costituisce una forma di organizzazione del lavoro che si avvale delle tecnologie dell' informazione, in cui l'attività lavorativa, che potrebbe anche essere svolta nei locali dell'impresa, viene regolarmente svolta al di fuori dei locali della stessa
- Articolo 2: il datore di lavoro provvede a fornire al telelavoratore le relative informazioni scritte
- Articolo 4 - Protezione dei dati: Il datore di lavoro ha la responsabilità di adottare misure appropriate, in particolare per quel che riguarda il software, atte a garantire la protezione dei dati utilizzati ed elaborati dal telelavoratore per fini professionali.
- Articolo 6 - Strumenti di lavoro: Di regola, il datore di lavoro è responsabile della fornitura, dell'istallazione e della manutenzione degli strumenti necessari ad un telelavoro svolto regolarmente, salvo che il telelavoratore non faccia uso di strumenti propri; In caso di guasto o malfunzionamento degli strumenti di lavoro il telelavoratore dovrà darne immediato avviso alle strutture aziendali competenti
Io ho trovato l'accordo su:https://www.cliclavoro.gov.it/informarmi/comefarepercit/Conciliarefamigliaelavoro/Documents/accordo_telelavoro2004.pdf
Computer forensics e processo civile
Uno degli argomenti normalmente meno dibattuti in ambito di computer forensics è "la prova nel processo civile".
Provo qui a raccogliere gli elementi in merito:
- nell'ordinamento italiano, i mezzi di prova sono "tipici", ossia devono essere quelli stabiliti dalla Legge (prova documentale, prova testimoniale, presunzioni, confessione, giuramento)
- le prove possono essere legali (il giudice è vincolato a prenderne atto) o liberamente apprezzabili (la Legge non attribuisce loro alcuna predeterminata valenza probatoria)
- le prove possono essere piene (dimostrano con certezza la veridicità dei fatti cui si riferiscono), di verosomiglianza (ritenute sufficienti dalla Legge) oppure possono essere "argomenti di prova" (offrono alcuni elementi di valutazione)
Per quanto riguarda la prova informatica:
- le riproduzioni informatiche hanno la medesima valenza probatoria delle riproduzioni meccaniche disciplinate dall'articolo 2712 del Codice Civile: la prova è piena se colui contro il quale sono prodotte non le disconosce; in altre parole oppure, se contestate, argomenti di prova
- il Codice dell'Amministrazione Digitale (CAD, Dlgs 82 del 2005, più volte modificato), nella versione attuale, definisce il valore giuridico del documento informatico come "la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti"; ricordiamo comunque che il CAD stabilisce anche che tale mezzo di prova è liberamente valutabile in giudizio (a meno che non sia firmato digitalmente, ma solo elettronicamente)
Per l'acquisizione e presentazione delle prove, non vi sono regole esplicite (con l'eccezione della proprietà intellettuale, per cui la prova è acquisita da un Ufficiale Giudiziario con l'assistenza di un perito).
Ecco quindi che le prove informatiche da usare in ambito civile, anche per motivi prudenziali, andrebbero raccolte con le stesse procedure tecniche (acquisizione bit a bit, eccetera) e non tecniche (tra cui: documentazione delle modalità di acquisizione e catena di custodia) del penale.
Ovviamente, poi, i casi reali possono essere piuttosto variegati. Segnalo quindi questa presentazione trovata sul web:
- http://www.slideshare.net/gbellazzi/la-gestione-legale-delle-prove-digitali
Ulteriori segnalazioni in materia sono gradite.
Provo qui a raccogliere gli elementi in merito:
- nell'ordinamento italiano, i mezzi di prova sono "tipici", ossia devono essere quelli stabiliti dalla Legge (prova documentale, prova testimoniale, presunzioni, confessione, giuramento)
- le prove possono essere legali (il giudice è vincolato a prenderne atto) o liberamente apprezzabili (la Legge non attribuisce loro alcuna predeterminata valenza probatoria)
- le prove possono essere piene (dimostrano con certezza la veridicità dei fatti cui si riferiscono), di verosomiglianza (ritenute sufficienti dalla Legge) oppure possono essere "argomenti di prova" (offrono alcuni elementi di valutazione)
Per quanto riguarda la prova informatica:
- le riproduzioni informatiche hanno la medesima valenza probatoria delle riproduzioni meccaniche disciplinate dall'articolo 2712 del Codice Civile: la prova è piena se colui contro il quale sono prodotte non le disconosce; in altre parole oppure, se contestate, argomenti di prova
- il Codice dell'Amministrazione Digitale (CAD, Dlgs 82 del 2005, più volte modificato), nella versione attuale, definisce il valore giuridico del documento informatico come "la rappresentazione informatica di atti, fatti o dati giuridicamente rilevanti"; ricordiamo comunque che il CAD stabilisce anche che tale mezzo di prova è liberamente valutabile in giudizio (a meno che non sia firmato digitalmente, ma solo elettronicamente)
Per l'acquisizione e presentazione delle prove, non vi sono regole esplicite (con l'eccezione della proprietà intellettuale, per cui la prova è acquisita da un Ufficiale Giudiziario con l'assistenza di un perito).
Ecco quindi che le prove informatiche da usare in ambito civile, anche per motivi prudenziali, andrebbero raccolte con le stesse procedure tecniche (acquisizione bit a bit, eccetera) e non tecniche (tra cui: documentazione delle modalità di acquisizione e catena di custodia) del penale.
Ovviamente, poi, i casi reali possono essere piuttosto variegati. Segnalo quindi questa presentazione trovata sul web:
- http://www.slideshare.net/gbellazzi/la-gestione-legale-delle-prove-digitali
Ulteriori segnalazioni in materia sono gradite.
domenica 22 gennaio 2012
I 20 controlli per un'efficace difesa informatica
Sulla newsletter Sans NewsByte del 13 gennaio si trova la notizia che il Governo UK ha rilasciato un documento dal titolo "20 critical controls for effective cyber defence".
- http://www.cpni.gov.uk/advice/infosec/Critical-controls/
Questo sono a loro volta un riassunto dei "20 Critical Security Controls - Version 3.1" dello stesso SANS. Meglio leggere questi, con riportate molte linee guida in più (come la mancanza del controllo può essere sfruttata per un attacco, come realizzare il controllo, come misurarne l'efficacia, procedure e strumenti per realizzare il controllo, quali test condurre).
- https://www.sans.org/critical-security-controls/
Per gli appassionati di metriche, anche perché spinti dal requisito della ISO/IEC 27001, segnalo che la bozza ora in circolazione richiede, in modo più generico dell'attuale versione del 2005, di "misurare l'efficacia del Piano di Trattamento del rischio". Chissà cosa ci riserverà la versione finale?
lunedì 16 gennaio 2012
Sostenibilità e responsabilità sociale
Un tema interessante è quello della sostenibilità. La sua accezione più ampia parte dal presupposto che "un'economia sostenibile a livello globale dovrebbe combinare la profittabilità a lungo termine con la giustizia sociale e la cura dell'ambiente".
Le organizzazioni possono quindi misurare e diffondere le proprie prestazioni in merito alla sostenibilità (a livello globale).
Per elaborare questi report, sono disponibili diverse linee guida o manuali.
Ho trovato interessante il link segnalatomi da Antonio Astone del DNV Italia:http://www.globalreporting.org/
Qui, nella sessione "Get started" è possibile trovare le "Sustainability Reporting Guidelines", utili per chi volesse iniziare a produrre il proprio report.
Le organizzazioni possono quindi misurare e diffondere le proprie prestazioni in merito alla sostenibilità (a livello globale).
Per elaborare questi report, sono disponibili diverse linee guida o manuali.
Ho trovato interessante il link segnalatomi da Antonio Astone del DNV Italia:http://www.globalreporting.org/
Qui, nella sessione "Get started" è possibile trovare le "Sustainability Reporting Guidelines", utili per chi volesse iniziare a produrre il proprio report.
Elenco degli standard di sicurezza ICT
Da Uninfo, che ha girato il verbale del primo incontro del "CEN-CENELEC-ETSI Cyber Security Coordination Group (CSCG)", ricevo un interessante link a "una lista di tutti gli standard relativi alla sicurezza ICT", curata dall'ITU.http://www.itu.int/ITU-T/studygroups/com17/ict/index.html
La pagina è decisamente interessante e, a sua volta, indirizza ad altre 6 pagine. I riferimenti sono tanti e dovrebbero soddisfare quasi ogni esigenza.
La pagina è decisamente interessante e, a sua volta, indirizza ad altre 6 pagine. I riferimenti sono tanti e dovrebbero soddisfare quasi ogni esigenza.
sabato 7 gennaio 2012
Prevenzione incendi - DPR 151 del 2011
Con il DPR 151 del 2011 sulla prevenzione incendi (scaricabile da www.normattiva.it) sono cambiate alcune cose in materia.
Per farla breve, vi segnalo la pagina pertinente dei Vigili del Fuoco, dove sono disponibili FAQ e moduli:http://www.vigilfuoco.it/aspx/Page.aspx?IdPage=4075
Ho trovato molto interessante l'opuscolohttp://www.vigilfuoco.it/aspx/page.aspx?IdPage=5694
Per farla breve, vi segnalo la pagina pertinente dei Vigili del Fuoco, dove sono disponibili FAQ e moduli:http://www.vigilfuoco.it/aspx/Page.aspx?IdPage=4075
Ho trovato molto interessante l'opuscolohttp://www.vigilfuoco.it/aspx/page.aspx?IdPage=5694
venerdì 6 gennaio 2012
24 gennaio 2012: "Usare il Cloud in sicurezza: spunti tecnici"
Il 24 gennaio, a Milano, parlerò di "Usare il Cloud in sicurezza: spunti tecnici" nell'ambito del Cloud Seminar organizzato da Assintel in collaborazione con CSA Italia e UC-Link.
Il convegno è gratuito e spero partecipiate anche per attivare una bella discussione:http://www.assintel.it/eventi/815.jsp
Il convegno è gratuito e spero partecipiate anche per attivare una bella discussione:http://www.assintel.it/eventi/815.jsp
giovedì 29 dicembre 2011
Decreto Monti e Privacy
Come noto, il Decreto Monti (DL 201 del 2011) è diventato Legge (Legge 214 del 2011) il 22 dicembre ed ha apportato modifiche alla normativa sulla privacy.
Per evitare di ripetere cose già scritte, segnalo questo articolo dove sono riportate le novità:http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2559
Il testo attuale del Codice Privacy lo trovate su Normattiva:
www.normattiva.it
Per evitare di ripetere cose già scritte, segnalo questo articolo dove sono riportate le novità:http://www.filodiritto.com/index.php?azione=visualizza&iddoc=2559
Il testo attuale del Codice Privacy lo trovate su Normattiva:
www.normattiva.it
ISO/IEC/IEEE 42010:2011 - Architetture dei sistemi
Dal Gruppo di LinkedIn "ISO/IEC JTC 1/SC7 Software and Systems Engineering", ricevo notizia della nuova edizione della ISO/IEC/IEEE 42010:2011.
Lo standard ha titolo "Systems and software engineering — Architecture description" e tratta, in modo astratto, delle modalità con cui devono essere espresse e organizzate le descrizioni delle architettutre dei sistemi IT.
Per chi fosse interessato alla materia, suggerisco:
- il sito dello standard: http://www.iso-architecture.org/
- il MOD Architecture Framework del Ministero della Difesa UK: http://www.modaf.org.uk
- The Open Group Architecture Framework (TOGAF) http://www.opengroup.org/togaf/
- The Open Group Archimate: http://www.archimate.org/
- la pagina ABLE della CMU: http://www.cs.cmu.edu/~able/
Lo standard ha titolo "Systems and software engineering — Architecture description" e tratta, in modo astratto, delle modalità con cui devono essere espresse e organizzate le descrizioni delle architettutre dei sistemi IT.
Per chi fosse interessato alla materia, suggerisco:
- il sito dello standard: http://www.iso-architecture.org/
- il MOD Architecture Framework del Ministero della Difesa UK: http://www.modaf.org.uk
- The Open Group Architecture Framework (TOGAF) http://www.opengroup.org/togaf/
- The Open Group Archimate: http://www.archimate.org/
- la pagina ABLE della CMU: http://www.cs.cmu.edu/~able/
venerdì 16 dicembre 2011
Stato delle norme della famiglia ISO/IEC 270xx (seconda parte)
Pubblico qui alcuni commenti di Fabio Guasconi, Presidente Commissione SC27, che ha partecipato al meeting SC27 a Nairobi.
- ISO/IEC 27001: ancora molto immatura: si è rimasti allo stadio di CD
- ISO/IEC 27006 (per gli Organismi di Certificazione), approvata per pubblicazione; rispetto alla versione precedente, recepisce i soli aggiornamenti richiesti per allinearla alla ISO/IEC 17021:2011; un riesame sistematico partirà a maggio (rimane invariato l'Allegato C con le giornate uomo richiesta per gli audit di certificazione)
- ISO/IEC 27007, estensione della ISO 19011 sull'auditing dei sistemi di gestione, approvata per pubblicazione
- ISO/IEC 27008:2011, sull'audit dei controlli di sicurezza, già pubblicata
- ISO/IEC 27010, supplemento ai controlli della 27002 per lo scambio di informazioni, passata allo stadio di FDIS
- ISO/IEC 27014, Governance of information security, passata allo stadio di DIS,
- ISO/IEC 27015 sui controlli di sicurezza per i servizi finanziari e assicurativi, è allo stadio di WD e sarà un TR e non un International Standard anche a causa delle perplessità degli inglesi
- ISO/IEC 27017 sull'uso dei servizi cloud; approvato l'avvio dei lavori
- ISO/IEC 27037 sulla digital forensics, lavori in corso
- ISO/IEC 27043: approvato l'avvio dei lavori per una norma su "Investigation principles and processes"
- avviati i lavori per uno standard sul Air traffic management
Due commenti su un paio di aspetti della nuova ISO/IEC 27001:
- Il risk assessment sarà nel capitolo dedicato alle "Operations" e non al "Planning" perché si distinguono i rischi del sistema di gestione rispetto a quelli operativi
- il SOA non sarà più obbligatorio, dovranno però essere documentate e giustificate le esclusioni rispetto all'Allegato A
- sono state avanzate alcune proposte di modifica rispetto al testo della ISO Guide 83, ma non sono ancora pervenute risposte dal comitato specifico
- il rischio residuale dovrà essere approvato dalla Direzione
- non saranno esplicitati, come input al Riesame della Direzione, i risultati del risk assessment perché si ritiene che il testo attuale già lo richieda
- ISO/IEC 27001: ancora molto immatura: si è rimasti allo stadio di CD
- ISO/IEC 27006 (per gli Organismi di Certificazione), approvata per pubblicazione; rispetto alla versione precedente, recepisce i soli aggiornamenti richiesti per allinearla alla ISO/IEC 17021:2011; un riesame sistematico partirà a maggio (rimane invariato l'Allegato C con le giornate uomo richiesta per gli audit di certificazione)
- ISO/IEC 27007, estensione della ISO 19011 sull'auditing dei sistemi di gestione, approvata per pubblicazione
- ISO/IEC 27008:2011, sull'audit dei controlli di sicurezza, già pubblicata
- ISO/IEC 27010, supplemento ai controlli della 27002 per lo scambio di informazioni, passata allo stadio di FDIS
- ISO/IEC 27014, Governance of information security, passata allo stadio di DIS,
- ISO/IEC 27015 sui controlli di sicurezza per i servizi finanziari e assicurativi, è allo stadio di WD e sarà un TR e non un International Standard anche a causa delle perplessità degli inglesi
- ISO/IEC 27017 sull'uso dei servizi cloud; approvato l'avvio dei lavori
- ISO/IEC 27037 sulla digital forensics, lavori in corso
- ISO/IEC 27043: approvato l'avvio dei lavori per una norma su "Investigation principles and processes"
- avviati i lavori per uno standard sul Air traffic management
Due commenti su un paio di aspetti della nuova ISO/IEC 27001:
- Il risk assessment sarà nel capitolo dedicato alle "Operations" e non al "Planning" perché si distinguono i rischi del sistema di gestione rispetto a quelli operativi
- il SOA non sarà più obbligatorio, dovranno però essere documentate e giustificate le esclusioni rispetto all'Allegato A
- sono state avanzate alcune proposte di modifica rispetto al testo della ISO Guide 83, ma non sono ancora pervenute risposte dal comitato specifico
- il rischio residuale dovrà essere approvato dalla Direzione
- non saranno esplicitati, come input al Riesame della Direzione, i risultati del risk assessment perché si ritiene che il testo attuale già lo richieda
Progetti standardizzazione norme di certificazione dei prodotti
Il 25 novembre, Stefano Ramacciotti ha fatto un'interessante presentazione in Uninfo sui lavori di ottobre del Gruppo di Lavoro WG3 del SC27 di ISO/IEC JTC1.
Questi gli standard trattati dal Gruppo:
- ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008; ISO/IEC 15408-3:2008: si tratta dei Common Criteria e potete scaricarli da http://www.commoncriteriaportal.org/; le versioni attuali saranno riesaminate a partire dal 2013
- ISO/IEC 15292:2001 "ProtecHon Profile registraHon procedures": non è stato oggetto di discussione
- ISO/IEC TR 15443 "A framework for IT Security assurance": sarà rielaborata l'attuale versione del 2005
- ISO/IEC TR 15446:2009 "Guide for the producHon of ProtecHon Profiles and Security Targets": non è stato oggetto di discussione
- ISO/IEC 18045:2008 "Methodology for IT security evaluaHon", il CEM: sarà riesaminata dal 2013
- ISO/IEC 19790:2006 "Security requirements for cryptographic modules", corrispondente del NIST FIPS 140-2: ne è stato avviato il riesame
- ISO/IEC TR 19791:2010 "Security assessment of operaHonal systems": non è stato oggetto di discussione
- ISO/IEC 19792:2009 "Security evaluaHon of biometrics": non è stato oggetto di discussione
- ISO/IEC 21827:2008 "Systems Security Engineering - Capability Maturity Model® (SSE-�CMM®)": non è stato oggetto di discussione
- ISO/IEC 24759:2008 "Test requirements for cryptographic modules", corrispondente al NIST DTR per la NIST FIPS 140-2: ne è stato avviato il riesame
Sono inoltre in corso dei progetti sulle seguenti norme:
- ISO/IEC 29147 "Responsible vulnerability disclosure": prevista la pubblicazione nel 2013
- ISO/IEC 29193 "Secure System Engineering Principles and Techniques": prevista la pubblicazione nel 2013
Questi gli standard trattati dal Gruppo:
- ISO/IEC 15408-1:2009, ISO/IEC 15408-2:2008; ISO/IEC 15408-3:2008: si tratta dei Common Criteria e potete scaricarli da http://www.commoncriteriaportal.org/; le versioni attuali saranno riesaminate a partire dal 2013
- ISO/IEC 15292:2001 "ProtecHon Profile registraHon procedures": non è stato oggetto di discussione
- ISO/IEC TR 15443 "A framework for IT Security assurance": sarà rielaborata l'attuale versione del 2005
- ISO/IEC TR 15446:2009 "Guide for the producHon of ProtecHon Profiles and Security Targets": non è stato oggetto di discussione
- ISO/IEC 18045:2008 "Methodology for IT security evaluaHon", il CEM: sarà riesaminata dal 2013
- ISO/IEC 19790:2006 "Security requirements for cryptographic modules", corrispondente del NIST FIPS 140-2: ne è stato avviato il riesame
- ISO/IEC TR 19791:2010 "Security assessment of operaHonal systems": non è stato oggetto di discussione
- ISO/IEC 19792:2009 "Security evaluaHon of biometrics": non è stato oggetto di discussione
- ISO/IEC 21827:2008 "Systems Security Engineering - Capability Maturity Model® (SSE-�CMM®)": non è stato oggetto di discussione
- ISO/IEC 24759:2008 "Test requirements for cryptographic modules", corrispondente al NIST DTR per la NIST FIPS 140-2: ne è stato avviato il riesame
Sono inoltre in corso dei progetti sulle seguenti norme:
- ISO/IEC 29147 "Responsible vulnerability disclosure": prevista la pubblicazione nel 2013
- ISO/IEC 29193 "Secure System Engineering Principles and Techniques": prevista la pubblicazione nel 2013
Stato delle norme della famiglia ISO/IEC 270xx
A ottobre si è svolto il meeting del SC27 in Kenya.
Questi alcuni dei risultati:
- la ISO/IEC 27001 è allo stato di secondo CD
- la ISO/IEC 27002 è al primo CD
- la ISO/IEC 27007, come già sapete, è stata pubblicata
- la ISO/IEC 27013 (rapporti ISO/IEC 27001 e ISO/IEC 20000-1) rimane allo stato di DIS
- la ISO/IEC 27014 (Governance) è allo stato di DIS
- la ISO/IEC TR 27016 (Organizational economics) è allo stato di terzo WD
- la ISO/IEC WD 27033-4 (Securing Communications between networks using security gateways) è al quarto WD
- la ISO/IEC 27034-1 (Application security — Part 1: Overview and concepts) è stata pubblicata
Al di fuori della famiglia ISO/IEC 270xx, ho avuto notizia che la ISO 22301 (Requisiti per il Business Continuity Management System) è allo stato di FDIS e la pubblicazione è prevista per metà del 2012. La corrispondente Linea Guida, ISO 22313 è prevista per fine 2012. Queste due norme sostituiranno, rispettivamente, la BS 25999-2 e BS 25999-1.
Ricordo che gli stati degli standard sono i seguenti (riassumo):
WD -> CD -> DIS -> FDIS -> Pubblicazione
Per il passaggio da uno stato all'altro (quando non rimangono allo stesso stato), normalmente, devono passare almeno 6 mesi. Quindi, se calcolo correttamente, la nuova 27001 sarà pubblicata non prima del 2013.
Ulteriori dettagli a gennaio (devo ancora studiare!).
Questi alcuni dei risultati:
- la ISO/IEC 27001 è allo stato di secondo CD
- la ISO/IEC 27002 è al primo CD
- la ISO/IEC 27007, come già sapete, è stata pubblicata
- la ISO/IEC 27013 (rapporti ISO/IEC 27001 e ISO/IEC 20000-1) rimane allo stato di DIS
- la ISO/IEC 27014 (Governance) è allo stato di DIS
- la ISO/IEC TR 27016 (Organizational economics) è allo stato di terzo WD
- la ISO/IEC WD 27033-4 (Securing Communications between networks using security gateways) è al quarto WD
- la ISO/IEC 27034-1 (Application security — Part 1: Overview and concepts) è stata pubblicata
Al di fuori della famiglia ISO/IEC 270xx, ho avuto notizia che la ISO 22301 (Requisiti per il Business Continuity Management System) è allo stato di FDIS e la pubblicazione è prevista per metà del 2012. La corrispondente Linea Guida, ISO 22313 è prevista per fine 2012. Queste due norme sostituiranno, rispettivamente, la BS 25999-2 e BS 25999-1.
Ricordo che gli stati degli standard sono i seguenti (riassumo):
WD -> CD -> DIS -> FDIS -> Pubblicazione
Per il passaggio da uno stato all'altro (quando non rimangono allo stesso stato), normalmente, devono passare almeno 6 mesi. Quindi, se calcolo correttamente, la nuova 27001 sarà pubblicata non prima del 2013.
Ulteriori dettagli a gennaio (devo ancora studiare!).
mercoledì 14 dicembre 2011
Nuovo Codice di Autodisciplina per le aziende quotate
A dicembre 2011 è stato pubblicato il nuovo "Codice di Autodisciplina" rivolto a "ogni società italiana con azioni quotate".
Il Codice è focalizzato sui controlli di garanzia contabile e finanziaria. Però, la lettura dell'articolo 7 "Sistema di controllo interno e di gestione dei rischi", può accendere qualche lampadina a chi si occupa di sicurezza delle informazioni (materia collegata ai rischi operativi, trattati dal Codice).
In particolare, il nuovo Codice stabilisce i ruoli e le caratteristiche del consiglio di amministrazione, di una figura di riferimento detta "amministratore incaricato del sistema di controllo interno e di gestione dei rischi", di un comitato controllo e rischi, dell'internal audit.
E' possibile scaricare il Codice da:
- http://www.borsaitaliana.it/borsaitaliana/regolamenti/corporategovernance/corporategovernance.htm
Il link direto è:
- http://www.borsaitaliana.it/borsaitaliana/regolamenti/corporategovernance/codicecorpgov2011clean_pdf.htm
Ho trovato la notizia sulla newsletter di Protiviti, di cui do il link per altri approfondimenti:
- http://hqp-as-prdaut01:95/it-IT/Insights/Newsletters/Insight%20-%20Newsletter-di-Protiviti-Italia/Documents/Newsletter_35%20-%20Dic_2011.pdf
Il Codice è focalizzato sui controlli di garanzia contabile e finanziaria. Però, la lettura dell'articolo 7 "Sistema di controllo interno e di gestione dei rischi", può accendere qualche lampadina a chi si occupa di sicurezza delle informazioni (materia collegata ai rischi operativi, trattati dal Codice).
In particolare, il nuovo Codice stabilisce i ruoli e le caratteristiche del consiglio di amministrazione, di una figura di riferimento detta "amministratore incaricato del sistema di controllo interno e di gestione dei rischi", di un comitato controllo e rischi, dell'internal audit.
E' possibile scaricare il Codice da:
- http://www.borsaitaliana.it/borsaitaliana/regolamenti/corporategovernance/corporategovernance.htm
Il link direto è:
- http://www.borsaitaliana.it/borsaitaliana/regolamenti/corporategovernance/codicecorpgov2011clean_pdf.htm
Ho trovato la notizia sulla newsletter di Protiviti, di cui do il link per altri approfondimenti:
- http://hqp-as-prdaut01:95/it-IT/Insights/Newsletters/Insight%20-%20Newsletter-di-Protiviti-Italia/Documents/Newsletter_35%20-%20Dic_2011.pdf
Corte di Giustizia UE: Opt-in e Diritto di Opposizione
Segnalo questa sentenza della Corte di Giustizia UE:
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3487
Arrivo direttamente alla conclusione (cancellando qualche inciso che ne rende la lettura quasi impossibile):
"La Direttiva del Parlamento europeo 95/46/CE osta ad una normativa nazionale che, in assenza del consenso della persona interessata e per autorizzare il trattamento dei suoi dati personali, richiede che i dati in parola figurino in fonti accessibili al pubblico"
Spero di poter tradurre così: il comma 3-bis dell'articolo 130 del Codice Privacy ("il
trattamento dei dati su pubblici elenchi, mediante l'impiego del telefono e della posta cartacea per le finalita' di invio di materiale pubblicitario e' consentito nei confronti
di chi non abbia esercitato il diritto di opposizione") è contrario a quanto previsto dalla Direttiva Europea e, pertanto, dovrà essere eliminato.
A questa speranza, aggiungo quindi la speranza che qualcuno porti avanti questa richiesta.
- http://www.filodiritto.com/index.php?azione=archivionews&idnotizia=3487
Arrivo direttamente alla conclusione (cancellando qualche inciso che ne rende la lettura quasi impossibile):
"La Direttiva del Parlamento europeo 95/46/CE osta ad una normativa nazionale che, in assenza del consenso della persona interessata e per autorizzare il trattamento dei suoi dati personali, richiede che i dati in parola figurino in fonti accessibili al pubblico"
Spero di poter tradurre così: il comma 3-bis dell'articolo 130 del Codice Privacy ("il
trattamento dei dati su pubblici elenchi, mediante l'impiego del telefono e della posta cartacea per le finalita' di invio di materiale pubblicitario e' consentito nei confronti
di chi non abbia esercitato il diritto di opposizione") è contrario a quanto previsto dalla Direttiva Europea e, pertanto, dovrà essere eliminato.
A questa speranza, aggiungo quindi la speranza che qualcuno porti avanti questa richiesta.
Virus blocca un ospedale negli USA
Dalla newsletter SANS Newsbyte del 13 dicembe 2011, trovo la notizia di un ospedale bloccato per due giorni causa virus IT. E' una delle tante storie dell'orrore sulla sicurezza delle informazioni e questa mi pare degna di essere segnalata.
Un articolo (in inglese):
- https://www.ajc.com/news/gwinnett/ambulances-turned-away-as-1255750.html
Un articolo (in inglese):
- https://www.ajc.com/news/gwinnett/ambulances-turned-away-as-1255750.html
lunedì 12 dicembre 2011
Digital profiling
Segnalo l'articolo "Digital Profiling" di Clara Maria Colombini.
Il Digital Profiling rappresenta uno strumento di indagine informatica mirato all'estrazione di informazioni utili all'identificazione di soggetti, dall'analisi dei dati contenuti nella memoria di un qualsiasi dispositivo digitale.
L'articolo è molto interessante, anche per chi non si occupa di Digital Forensics.
Link: http://www.marcomattiucci.it/CMColombini.art.02.v1.0.pdf
Il Digital Profiling rappresenta uno strumento di indagine informatica mirato all'estrazione di informazioni utili all'identificazione di soggetti, dall'analisi dei dati contenuti nella memoria di un qualsiasi dispositivo digitale.
L'articolo è molto interessante, anche per chi non si occupa di Digital Forensics.
Link: http://www.marcomattiucci.it/CMColombini.art.02.v1.0.pdf
sabato 10 dicembre 2011
ISO Guide 83 - Common text for management system standards
Come avevo già detto parlando della nuova ISO/IEC 27001, l'ISO sta promuovendo l'uso di un modello comune per tutti gli standard dei sistemi di gestione (ISO 9001, ISO 14001, ISO/IEC 27001, eccetera).
La guida è denominata "ISO Guide 83" e la sua versione finale dovrebbe essere disponibile a febbraio 2012.
Per saperne di più, segnalo l'articolo dell'IRCA:http://www.irca.org/inform/issue32/DSmith.html?dm_i=4VM,MN6H,HZSOT,1U0IS,1
La guida è denominata "ISO Guide 83" e la sua versione finale dovrebbe essere disponibile a febbraio 2012.
Per saperne di più, segnalo l'articolo dell'IRCA:http://www.irca.org/inform/issue32/DSmith.html?dm_i=4VM,MN6H,HZSOT,1U0IS,1
Internet, stampa e controllo dell'editore
Da Interlex riporto questo testo:
Un periodico on line non può essere considerato "stampa". La nuova sentenza della Corte di cassazione (Sentenza n. 44126 del 28.10.2011) conferma i precedenti orientamenti, ma lascia aperte diverse questioni sulla responsabilità di chi immette contenuti on line.
- http://www.mcreporter.info/giurisprudenza/cass11_44126.pdf
Aggiungo che l'evento riguarda un post inserito da un lettore, non un articolo del giornale stesso.
Un periodico on line non può essere considerato "stampa". La nuova sentenza della Corte di cassazione (Sentenza n. 44126 del 28.10.2011) conferma i precedenti orientamenti, ma lascia aperte diverse questioni sulla responsabilità di chi immette contenuti on line.
- http://www.mcreporter.info/giurisprudenza/cass11_44126.pdf
Aggiungo che l'evento riguarda un post inserito da un lettore, non un articolo del giornale stesso.
Video digital forensics
Segnalo i primi due video di Marco Mattiucci sulla Digital Forensics.
Molto interessanti:
- Definizioni: http://www.ustream.tv/recorded/18774982
- Digital forensics e digital investigation: http://www.ustream.tv/recorded/18925489
Sulla rete e in letteratura si trovano moltissimi contributi per l'ambito penale. Purtroppo, ho trovato pochissimo per l'ambito civile. Se qualcuno ha segnalazioni, sono le benvenute.
Molto interessanti:
- Definizioni: http://www.ustream.tv/recorded/18774982
- Digital forensics e digital investigation: http://www.ustream.tv/recorded/18925489
Sulla rete e in letteratura si trovano moltissimi contributi per l'ambito penale. Purtroppo, ho trovato pochissimo per l'ambito civile. Se qualcuno ha segnalazioni, sono le benvenute.
lunedì 5 dicembre 2011
ISO 13053 - Quantitative methods in process improvement - Six Sigma
Il 1 settembre 2011 sono state pubblicate le prime due parti della ISO 13053 "Quantitative methods in process improvement — Six Sigma". In particolare:
- ISO 13053-1:2011: DMAIC methodology
- ISO 13053-2:2011: Tools and techniques
Si tratta, in sostanza, del recepimento da parte dell'ISO della metodologia Six Sigma.
La lettura è interessante, soprattutto del secondo documento, dove sono illustrati brevemente 31 strumenti per la qualità.
Per chi non abbia a disposizione i documenti ISO, segnalo comunque la presenza di molto materiale su Internet. Un buon punto di partenza è Wikipedia:
- italiano: https://it.wikipedia.org/wiki/Sei_Sigma
- inglese: https://en.wikipedia.org/wiki/Six_Sigma
- ISO 13053-1:2011: DMAIC methodology
- ISO 13053-2:2011: Tools and techniques
Si tratta, in sostanza, del recepimento da parte dell'ISO della metodologia Six Sigma.
La lettura è interessante, soprattutto del secondo documento, dove sono illustrati brevemente 31 strumenti per la qualità.
Per chi non abbia a disposizione i documenti ISO, segnalo comunque la presenza di molto materiale su Internet. Un buon punto di partenza è Wikipedia:
- italiano: https://it.wikipedia.org/wiki/Sei_Sigma
- inglese: https://en.wikipedia.org/wiki/Six_Sigma
sabato 3 dicembre 2011
UNI 11200 e UNI EN 15838 del 2010
La UNI 11200 e la UNI EN 15838 sono due norme, tra loro collegate, sulla qualità dei Centri di Contatto. In Italia, era stata pubblicata nel 2006 la prima norma in materia (UNI 11200:2006), con la quale era possibile certificare un Centro di Contatto.
A novembre del 2009, il CEN ha pubblicato la norma europea EN 15838 ("Centri di contatto - Requisiti del Servizio"), recepita in Italia come UNI EN 15838:2010 nel luglio del 2010. Sempre a luglio, la UNI ha emesso la norma italiana UNI 11200.
Questa seconda norma (come leggo dal sito dell'UNI www.uni.com) "definisce i parametri di riferimento dei requisiti di servizio fornito dai centri di contatto (come indicati dalle appendici A e B della UNI EN 15838:2010), al fine di garantire una valutazione oggettiva del livello di qualità del servizio medesimo, indipendentemente dal modello organizzativo o dalla tecnologia utilizzati". Forse, potevamo fare a meno di una ulteriore norma nazionale (non ho trovato, leggendo la EN 15838, alcuna richiesta di emissione di ulteriori norme). Forse, alle persone che hanno lavorato sulla UNI 11200:2006 dispiaceva perdere le esperienze maturate.
A parte queste riflessioni, la norma EN 15838 riprende molti concetti della precedente UNI 11200. Soprattutto, a differenza di altre norme, i requisiti sono molto specifici, fino ad elencare gli indicatori (KPI) che un Centro di Contatto deve tenere sotto controllo. La UNI 11200:2010 richiede ulteriori KPI e impone anche le soglie di attenzione ("valori di riferimento").
Aggiungo che queste due norme hanno anche degli approfondimenti sulla sicurezza dei dati dei clienti e delle persone contattate e hanno anche dei requisiti su come deve essere gestito correttamente il rapporto di lavoro con i collaboratori (sappiamo che in Italia la situazione non è sempre buona).
Si raccomanda quindi la lettura della norma a quanti si occupano di Centri di Contatto.
A novembre del 2009, il CEN ha pubblicato la norma europea EN 15838 ("Centri di contatto - Requisiti del Servizio"), recepita in Italia come UNI EN 15838:2010 nel luglio del 2010. Sempre a luglio, la UNI ha emesso la norma italiana UNI 11200.
Questa seconda norma (come leggo dal sito dell'UNI www.uni.com) "definisce i parametri di riferimento dei requisiti di servizio fornito dai centri di contatto (come indicati dalle appendici A e B della UNI EN 15838:2010), al fine di garantire una valutazione oggettiva del livello di qualità del servizio medesimo, indipendentemente dal modello organizzativo o dalla tecnologia utilizzati". Forse, potevamo fare a meno di una ulteriore norma nazionale (non ho trovato, leggendo la EN 15838, alcuna richiesta di emissione di ulteriori norme). Forse, alle persone che hanno lavorato sulla UNI 11200:2006 dispiaceva perdere le esperienze maturate.
A parte queste riflessioni, la norma EN 15838 riprende molti concetti della precedente UNI 11200. Soprattutto, a differenza di altre norme, i requisiti sono molto specifici, fino ad elencare gli indicatori (KPI) che un Centro di Contatto deve tenere sotto controllo. La UNI 11200:2010 richiede ulteriori KPI e impone anche le soglie di attenzione ("valori di riferimento").
Aggiungo che queste due norme hanno anche degli approfondimenti sulla sicurezza dei dati dei clienti e delle persone contattate e hanno anche dei requisiti su come deve essere gestito correttamente il rapporto di lavoro con i collaboratori (sappiamo che in Italia la situazione non è sempre buona).
Si raccomanda quindi la lettura della norma a quanti si occupano di Centri di Contatto.
Ringrazio Deborah Monaco di Quint per avermi segnalato l'uscita della UNI 11200:2010.
Iscriviti a:
Post (Atom)