La formazione sulla sicurezza è utile? (risposte - parte 2)

In aprile avevo scritto che " la formazione degli utenti sulla sicurezza
informatica non è generalmente utile":
- http://blog.cesaregallotti.it/2013/04/la-formazione-sulla-sicurezza-e-utile.
html

Ho già pubblicato alcune risposte:
- http://blog.cesaregallotti.it/2013/05/la-formazione-sulla-sicurezza-e-utile.
html

Ne ho ricevuta un'alta da parte di Stefano Brambilla di Intesa Sanpaolo che
ringrazio perché la trovo molto interessante.

<< La mia esperienza vissuta in quest'ultimo periodo con la ISO/IEC 27001 mi porta a pensare che la formazione è utile. Infatti per le persone che lavorano sui sistemi in ambito di certificazione ho tenuto un corso di formazione di un'ora per dal titolo "Dal Cobit alla ISO/IEC 27001: implicazioni pratiche per gli operatori tecnici".

Non ho (per ora) una "misurazione di efficacia" quantitativa che lo possa dimostrare, ma vedo nel comportamento delle 35 persone a cui ho fatto il corso che ne tengono conto, anche se non tutti, non del tutto, e con attenzione decrescente nel tempo.... Però se non avessi fatto formazione avrei avuto comportamenti mediamente peggiori. Quindi la mia risposta secca alla domanda "La  formazione sulla sicurezza è utile?" è "Sì, è utile".>>

Il Governo USA raccoglie dati personali

La notizia è molto nota e molto diffusa e la traduco direttamente dal sito
del Washington Post (segnalato dal SANS NewsByte): la National Security
Agency e l'FBI stanno effettuando intercettazioni direttamente dai server di
9 delle più importanti aziende USA fornitrici di servizi Internet
(Microsoft, Apple, Yahoo!, Google, Facebook, Skype, YouTube, PalTalk, AOL)
per analizzare audio, video chiamate, fotografie, e-mail, documenti e
connessioni. Questo per controllare alcuni obiettivi stranieri.

Il progetto si chiama Prism ed è anche disponibile una presentazione
dell'NSA:
- http://www.washingtonpost.com/www.washingtonpost.com/investigations/us-intel
ligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/
2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html

Sul giornale del 8 giugno, Obama conferma la notizia:
- http://www.corriere.it/esteri/13_giugno_07/inchiesta-usa-nsa_e2fdc50e-cf7e-1
1e2-b6a8-ee7758ca2279.shtml

Lo sapevamo già da Echelon che una roba così era fattibile e quasi
sicuramente fatta. Il successo di telefilm come Person of interest dimostra
anche quanto tutto ciò fosse già da tempo nel nostro immaginario. E' dagli
anni '90 che in tutte le aziende ci si racconta che i sistemisti guardano le
e-mail del personale.

Ora abbiamo la certezza che tutto ciò è realtà. E finché sono i "buoni" a
fare certe cose, possiamo anche accettarlo. Ma le stesse tecnologie sono
anche in mano ai "cattivi" (lascio ai lettori scegliere a quale delle tue
categorie appartengono NSA e FBI) o ai "furbi" che ci inondano di
pubblicità.

Dovremo da una parte modificare qualche nostro atteggiamento personale e poi
osservare se questa notizie inciderà sulla società nel suo complesso. Forse
un po' più di attenzione alla riservatezza non potrà guastare.

Vademecum privacy del Garante

Il Garante della privacy ha pubblicato un opuscolo dal titolo "La privacy
dalla parte dell'impresa - Dieci pratiche aziendali per migliorare il
proprio business". Secondo il comunicato stampa esso "ha l'obiettivo di
aiutare le imprese a valorizzare il proprio patrimonio dati, trasformando la
privacy da costo a risorsa, senza per questo ridurre le tutele dei diritti
fondamentali della persona".

In realtà non dice alcunché di nuovo. Alcuni titoli della normativa vigente
sono riscritti in italiano più accessibile. E' un opuscolo utile solo a
coloro che non hanno mai affrontato l'argomento privacy.

In particolare, l'opuscolo non affronta i problemi più spinosi che le
imprese devono affrontare: come nominare i propri fornitori se si è titolari
di un trattamento (un professionista dovrebbe nominare Telecom Italia come
responsabile del trattamento ed esercitare il controllo sul suo operato?),
come nominare i propri fornitori se si è responsabili di un trattamento,
cosa si intende per amministratore di sistema e come devono essere svolte le
verifiche sul suo operato.

Peccato: un'altra occasione persa. Per chi volesse verificare:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2445101

Sky e la gestione delle vulnerabilità

Sandro Sanna mi ha segnalato questo articolo di Panorama:
- http://mytech.panorama.it/sicurezza/bug-sito-sky-hacker?utm_source=feedburne
r&utm_medium=feed&utm_campaign=Feed%3A+FeedDiTuttiICanaliDiPanoramait+%28Pan
orama.it+-+Tutti+i+canali%29

In poche parole, tale Fabio Natalucci (in gergo, il "findeer") ha segnalato
una vulnerabilità a Sky. Sky ha poi negato e il Natalucci ne ha scritto
assai sul suo blog:
- http://www.fabionatalucci.it/la-bella-risposta-di-sky/
- http://www.fabionatalucci.it/per-sky-hackingsky/

Non che la notizia sia diversa da tante altre, ma mi ha fatto riflettere sul
fatto che sono in lavorazione i seguenti standard in merito al
"Vulnerability handling":
- ISO/IEC 29147 - Responsible vulnerability disclosure (fornisce linee guida
per la divulgazione delle potenziali vulnerabilità nei prodotti e servizi
online);
- ISO/IEC 30111 - Vulnerability handling processes (descrive i processi per
i vendor della gestione della segnalazioni di potenziali vulnerabilità nei
prodotti e nei servizi online).

Sono tutti e due in stato di DIS e se non ci sono intoppi dovrebbero essere
quindi pubblicati tra un anno circa.

Per quanto riguarda il caso in questione, cose che si dovrebbero fare ma non
sono state fatte:
- ogni fornitore di servizi o prodotti dovrebbe rendere disponibile un
canale sicuro attraverso cui comunicare le vulnerabilità e poi mettersi in
comunicazione con il "finder" se non comprende bene la natura della
segnalazione;
- il "finder" non dovrebbe mai rendere disponibile l'exploit, ma solo un
resoconto (per esempio sul modello dei Microsoft Buletin).

Si dice anche che il "finder" potrebbe comunicare la vulnerabilità ad un
CERT, ma sembra che in Italia continui a non esistere...

Binding corporate rules: un parere

Max Cottafavi di Reply mi segnala questo articolo di sintesi sul parere
positivo dell'Art 29 WP sul ricorso alle Binding Corporate Rules (BCR) da
parte dei responsabili esterni del trattamento (c.d. "BCR for Processors"):
- http://livinginaglassworld.com/2013/05/21/binding-corporate-rules-per-i-resp
onsabili-del-trattamento-i-chiarimenti-dellart-29-working-party/

Il commento di Max Cottafavi è "non credo molto nelle BCR e trovo
estremamente difficile che società di uno stesso gruppo multinazionale,
operante in contesti e nazioni totalmente differenti tra loro, riescano a
metterle in piedi e a rispettarle. I casi virtuosi ci sono ma di essi si
parla proprio perchè rappresentano delle eccezioni".

Ricordo che l'Art 29 WP, come dichiarato sul sito web della Commissione
Europea (http://ec.europa.eu/justice/data-protection/article-29/), ha un
ruolo di consulenza.

Fattura elettronica obbligatoria per la PA: pubblicato il regolamento

Ci sono cose che fanno piacere: la fatttura elettronica è ora obbligatoria
per la Pubblica Amministrazione grazie al DM 55 del Ministero dell'economia
e delle finanze del 3 aprile 2013 con titolo "Regolamento in materia di
emissione, trasmissione e ricevimento della fattura elettronica da
applicarsi alle amministrazioni pubbliche [...]".

Se pensiamo che ci sono aziende private che ancora inviano fatture in
formato cartaceo e si rifiutano anche di riceverle in formato elettronico,
possiamo sperare che anche loro si evolvano.

L'articolo su CINDI, con il link alla normativa:
- http://www.cindi.it/fattura-elettronica/

Quante volte al giorno controlli l'email?

Segnalo questo interessante articolo dal titolo "Quante volte al giorno
controlli l'email?".

In pochissime parole: se controllate le vostre e-mail più di 4 volte al
giorno, siete improduttivi.

Credo di sperimentarlo su me stesso.

Ma il tutto è ben argomentato dall'articolo stesso:
- http://www.achab.it/blog/index.cfm/2013/4/quante-volte-al-giorno-controlli-l
email.htm.

Byod, la ricetta non vale per tutti

Enzo Ascione di Intesa Sanpaolo mi scrive:
"ti segnalo un articolo che parla di quanto il BYOD sia in crescita, ma non
per tutte le tipologie di azienda. Da non sottovalutare, inoltre, i rischi
per la sicurezza, visto che molto presto si farà luce anche il Byoa (per non
farci mancare nulla come sigle), Bring your own app, ossia 'usate il vostro
software'".

L'articolo:
- http://www.corrierecomunicazioni.it/tlc/21351_milanesi-byod-la-ricetta-non-v
ale-per-tutti.htm

La formazione sulla sicurezza è utile? (risposte)

In aprile avevo scritto che " la formazione degli utenti sulla sicurezza
informatica non è generalmente utile".

Enzo Ascione di Intesa Sanpaolo mi ha risposto con una mail interessante che
riporto:

"Ciò che affermi è giustissimo nella misura in cui continuiamo a pensare che
la società in cui viviamo non sia perfettibile.

Da qualche tempo faccio parte di un'associazione composta da volontari che
insegna ai ragazzi nelle scuole l'utilizzo di Internet in modo consapevole.
Ovvero, oltre l'uso anche le insidie che si nascondono interagendo nel mondo
virtuale. L'associazione si chiama: Icaro ce l'ha fatta
(www.associazioneicaro.org).

Inoltre, stiamo emettendo a livello banca una serie di regole sullo sviluppo
sicuro del software, ma più si va avanti e più ci si accorge che non esiste
un "codice sicuro".

La profilazione dei propri device è comunque qualcosa a cui stanno reagendo
bene gli utenti… forse accoppiandola a regole di comportamento (etico e non)
può rappresentare una buona scappatoia".

Ringrazio Enzo. Mi permetto di dare due risposte:
- utilissima la formazione svolta anche sui ragazzi per l'uso consapevole
delle tecnologie (ringrazio quanti fanno questa attività, spesso volontaria,
che ha anche l'effetto di rendere Internet un posto un po' più sicuro);
- i comportamenti a livello aziendale sono purtroppo condizionati da altre
cose (fretta, efficienza, contenimento dei costi) e queste spesso sono
ritenute più importanti della sicurezza.

Sony.it e internazionalizzazione

Inizio con un caso personale, che forse interesserà a pochi, per poi fare
qualche riflessione più generale.

A marzo ho comprato un pc on-line sul sito della Sony.it. Seguo le semplici
istruzioni, inserisco il "indirizzo di fatturazione", inserisco il codice
fiscale, pago e non mi accorgo che non il sito non mi ha mai chiesto la
partita IVA. Mi arriva la fattura con partita IVA italiana e la consegno
pochi giorni fa alla mia commercialista. La quale mi fa notare che, non
essendoci partita IVA, non potrà recuperare l'IVA di quell'acquisto e mi
insulta. Io penso di essermi fidato di un operatore come Sony e di non
essere stato più che attento. Chiamo il servizio clienti e mi rispondono che
sul sito c'è scritto che se volevo la fattura, dovevo telefonare. Ho
verificato e non ho trovato da nessuna parte questa dicitura. La fattura,
inoltre, contrariamente a quanto previsto dalla normativa in vigore dal
primo gennaio 2013, non riporta neanche il mio codice fiscale.

Ovviamente, la Sony ha solo tradotto in italiano il proprio sito di
e-commerce e ha imposto SAP per la contabilità worldwide.

Pensate quello che volete di me, ma mi è venuto da pensare più in generale
ai progetti di internazionalizzazione e di consolidamento dei servizi IT:
molte aziende sviluppano un software, con le specifiche fornite dal
personale della casa madre, e poi lo impongono a tutte le filiali nel mondo,
senza prima fare uno studio serio sulle specificità, anche implicite, di
ciascun Paese (se da qualche parte scrivi "fatturazione" a me risulta
implicito che poi ti venga chiesta la partita IVA).

Questo succede sia ai software utilizzati internamente, che ai servizi
offerti al pubblico: ho alcuni amici che hanno passato mesi a litigare con
la casa madre perché il sistema di contabilità non è adeguato alla normativa
italiana, ho visto molte imprese preoccupate per dei software imposti dalla
casa madre che non rispettano alcuna misura prevista dalla normativa
privacy, e molte case madri non rilasciano alcun documento che possa essere
utilizzato dalle imprese italiane per dimostrare la correttezza degli
adempimenti privacy.

La Sony ha perso un misero ma (ex) affezionato cliente; ma sarebbe bello si
sviluppassero meglio i software e i servizi IT con impatto internazionale e
che i responsabili di tali progetti non si improvvisassero tali.

Discussioni sul monitoraggio

Dopo il mio articolo su "Se non lo misuri non lo conosci?", in cui criticavo
l'impostazione del controllo aziendale basato su misurazioni, promuovendo
quello basato sul monitoraggio, ho ricevuto due commenti.

Il primo di Andra Rui che non è d'accordo con me perché "il monitoraggio è
una forma meno precisa di misurazione (riporta gli andamenti nel tempo)". Io
intendo come "monitoraggio" l'analisi continua dei processi e delle attività
dell'impresa, di modo da arrivarne alla conoscenza profonda. Infatti i
numeri nascondo spesso inefficienze e problemi e i manager passano troppa
parte del proprio tempo a mettere a posto i numeri e non le inefficienze.
Come sempre, non sempre i termini sono interpretati da tutti nello stesso
modo (i tecnici informatici, infatti, intendono il monitoraggio come
andamenti). Io mi scuso per l'ambiguità del mio scritto.

Fabrizio Monteleone, invece, aggiunge ricorda: "il principio di
indeterminazione di Heisenberg implica che ad una particella non è possibile
assegnare, e quindi anche conoscere, nello stesso momento un definito valore
della posizione e della velocità o quantità di moto. .......Tale principio
implica che quanto più è precisa la misura di una grandezza tanto maggiore
sarà l'errore nella misura dell'altra, per cui l'osservatore dovrà scegliere
quale misura privilegiare e tarare gli strumenti di conseguenza
(wikipedia)". E aggiunge "il mio modestissimo parere di studente svogliato e
poco proficuo: ciò implicherebbe che nei sistemi di gestione è inutile
bearsi di moltitudini di indicatori spesso tra loro collegati o
derivati...". Condivido la condivisione dell'approccio di alcuni auditor che
richiedono di misurare sempre più cose.

Da tutto ciò, mi è venuto in mente l'esempio dell'automobile. Per guidarla
abbiamo normalmente bisogno di: 2 o 3 indicatori (velocità, livello di
benzina e numero di giri; possiamo aggiungere la distanza per arrivare a
destinazione e l'ora), dei sistemi di allarme se qualcosa non va bene e
tanta tanta attenzione alla strada, ai cartelli e al traffico (che non
dobbiamo contare o misurare). Lo stesso per guidare un'azienda: pochi
indicatori, dei sistemi di allarme e tanta tanta attenzione a cosa sta
succedendo.

Non è farina del mio sacco: segnalo già per la seconda volta il libro
"Contro il management" di Francesco Varanini.

Conseguenze se non si ha una PEC

Come già detto in precedenza, il DL 5 del 2012 ha introdotto l'obbligo per
le società di avere una PEC.

Ora in Consiglio di Stato ha chiarito quali sono le conseguenze se non si ha
una PEC: banalmente, la società non può essere iscritta al Registro delle
imprese!

Maggiori dettagli su Filodiritto:
- http://www.filodiritto.com/consiglio-di-stato-senza-la-pec-la-societa-non-si
-iscrive-nel-registro-delle-imprese/#.UZCW4spWXj4

Qualche strumento per la sicurezza informatica

Mercoledì, in occasione dell'interessantissimo DFA Open Day (ero tra gli
organizzatori... perdonate l'aggettivo...), mi sono confrontato con Valerio
Vertua di DFA e ho steso questo piccolo elenco di software free.

Truecrypt (www.truecrypt.org)
Serve per creare dischi, partizioni, cartelle cifrate (ma le possibilità
sono ancora più ampie) e ne esistono versioni portable per pc e mac; se le
persone non rinunciano ad usare una chiavetta USB per farsi i backup e, cosa
ancora peggiore, la usano anche scambiare file con altre persone, allora
che creino un contenitore crittografato sulla chiavetta e lo affianchino
alle versioni portable di Truecrypt in modo da potervi accedere da qualsiasi
computer (ed evitare che le persone con cui scambiano file accedano anche a
quelli non destinati a loro).
AGGIORNAMENTO:  TrueCrypt è ora ritenuta insicuro. In post successivi a questo ho fornito delle alternative.

Eraser (http://eraser.heidi.ie)
Quasi tutte le imprese dicono al proprio personale di cancellare i dati in
modo sicuro, ma non forniscono loro alcun software per farlo. Eraser è free
e fa benissimo il lavoro. Da impostare affinché effettui solo un passaggio
di cancellazione perché è più che sufficiente e non dannoso per l'hardware.
Se poi dovete anche cancellare in modo sicuro un intero disco, fa anche
quello (in Windows, basta cliccarci con il tasto destro per trovare
l'opzione).

Wuala (www.wuala.com)
Mi dicono che, secondo le analisi attuali, è uno dei servizi cloud di
storage per backup e scambio di file più sicuro di tutti. Perché cifra sul
client, perché la chiave crittografica non lascia mai il proprio device (sia
esso il pc, mac, il tablet o lo smartphone) e perché non è possibile
accedere al servizio cloud mediante browser (ma solo attraverso
un'interfaccia java) e per tanti altri motivi. Gratis fino a 5GB.

Tails (https://tails.boum.org/)
Se usate un pc non vostro per lavoro, è meglio usare un "vostro" pc portable
che poi non lasci tracce sul pc ospite. Tails occupa meno di 1GB e può
essere installato su chiavetta USB o DVD. Tra le tante caratteristiche
uniche di questa distribuzione live: tutto il traffico Internet avviene
attraverso la rete TOR, è possibile creare una partizione cifrata per
salvare i propri dati e le proprie impostazioni ed, infine, viene pulita la
RAM, con tecniche wiping, quando viene spento, per qualsiasi motivo, il
"vostro" pc portable. Se, per caso, sul pc ospite sono installati dei
keylogger, Tails vi protegge: basta infatti usare la tastiera virtuale
prevista di default.

PGP e GPG (http://www.gnupg.org/)
Da quando PGP è stato acquistato dalla NAI (ora è proprieta della Symantec)
e non è più free, l'uso di questo strumento è diventato sempre meno popolare
fra i più "diffidenti". Ma GPG è free! E ne esistono anche le versioni con
interfaccia grafica per Windows (Gpg4win) e Mac (GPGTools)! Da usare per le
mail riservate o i file critici da scambiare con altri.

PS: ringrazio ancora Valerio Vertua per aver ricontrollato e molto corretto il mio articolo iniziale.

Green IT

Continuo a professare a mia incompetenza nel campo del Green IT o, se
vogliamo chiamarlo in italiano, dell'Uso razionale dell'energia nei centri
di calcolo.

Ma trovo che capirne un po' aiuti a capire meglio le aziende IT con cui
parlo di gestione dei servizi IT e ISO/IEC 20000-1 o ISO 9001. Stranamente,
anche quando parlo di ISO/IEC 27001 mi sono trovato impelagato in dibattiti
sul free cooling e amenità del genere.

Ancora una volta, mi è venuto in aiuto Franco Ferrari che mi ha segnalato
delle interessanti pubblicazioni che mi hanno permesso di capire meglio
alcuni termini e alcuni argomenti.

La prima è dell'ENEA e della FIRE e ha il titolo che ho appena copiato e
incollato: "Uso razionale dell'energia nei centri di calcolo" e il link si
trova nella pagina che segue:
- http://www.fire-italia.it/caricapagine.asp?target=studi.asp

Il secondo è dell'ENEA e ha titolo "Definizione di algoritmi e indicatori
per l'efficientamento dei centri di elaborazione dati (CED)" (il report è
del 2011, ma è sotto la dicitura "2008"):
-
http://www.enea.it/it/Ricerca_sviluppo/ricerca-di-sistema-elettrico/Risparmi
o-energia-elettrica/tecnologie-per-lefficienza-energetica-nei-servizi/report

Il terzo è di CISCO, Panduit, APC e riporta alcuni elementi sul cablaggio.
E' del 2007 e l'ho trovato solo al link che segue:
-
www.cisco.com/web/IT/products/dc/pdf/facility_consideration_for_datacenter_i
ta.pdf

Sui corsi Privacy Officer

Negli ultimi giorni mi sono arrivate delle richieste per dei corsi da
Privacy Officer, figura richiesta dal Regolamento Europeo sulla privacy.
Tali corsi sono già offerti da alcune aziende. In casi ancora più
particolari, tali corsi sono dichiarati "conformi alla ISO/IEC 17024 sulla
certificazione del personale".

Mi sono sempre rifiutato di soddisfare queste richieste, così come
formulate. Ovviamente, sono il primo a promuovere la formazione del
personale, ma non in questi termini.

Spiego il perché:
- il Regolamento Europeo è stato appena approvato dalle Commissioni del
Parlamento Europeo e quindi dovrà effettuare altri passaggi di revisione:
quindi qualsiasi cosa è presente oggi nel testo potrà essere modificata o
eliminata nella versione definitiva;
- l'uscita è prevista a inizio 2014 e prevederà un periodo di transizione
tale da permettere alle organizzazioni di adeguarsi ai nuovi adempimenti
rispetto alle normative nazionali attualmente seguite (in Italia, il Codice
Privacy);
- il Regolamento potrà essere approvato in forma definitiva anche prima e
potrebbe anche non essere mai approvato (ricordo che il Parlamento
Europeo sarà sciolto nei primi mesi del 2014, secondo la sua normale
scadenza).

Conseguenza di quanto detto sopra: il Privacy Officer potrebbe non essere
più previsto nel testo definitivo o potrebbe avere compiti diversi da quelli
attualmente previsti. Quindi: non trovo corretto sottindendere la necessità
del corso o la sua adeguatezza rispetto ad una norma di cui non si conosce
la forma finale.

Per quanto riguarda la conformità alla ISO/IEC 17024, preferisco limitarmi a
copiare una dicitura vista sul web: "il corso è stato impostato in accordo
allo standard UNI CEI EN ISO/IEC 17024:2004" e far notare che non si dice
che il corso "è stato certificato rispetto alla ISO/IEC 17024", ma si usa
una formula che da una parte non lo afferma, ma dall'altra parte lascia quel
minimo di ambiguità utile ad ingannare le persone meno attente o meno
preparate su questo singolo punto.

MELANI: Rapporto semestrale 2012/II

La Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI
della Svizzera pubblica semestralmente un rapporto sulla situazione in
Svizzera e a livello internazionale. Esso è sempre molto interessante.

L'ultimo numero, reso disponibile a inizio maggio, raccoglie notizie sugli
eventi censiti nel periodo di riferimento e li commenta. In particolare
segnalo i seguenti:
- attacchi agli impianti industriali (SCADA)
- il ritorno del phone phreaking
- aggiornamenti sui conflitti informatici in Medio Oriente, in particolare
sui malware Flame, Gauss e Shamoon;
- attacchi alle porte elettroniche degli alberghi (la notizia dell'attacco
ai sistemi aerei è del 2013, quindi in questo numero non se ne accenna);
- analisi degli app stores.

Gli articoli sono molti e molto ben fatti: sono mirabili per interesse e
sintesi, visto che sono concentrati in 40 pagine.

Pubblicata la ISO/IEC 27014 "Governance of information security"

Franco Ferrari del DNV Italia mi ha segnalato che è stata pubblicata con
data 15 maggio la ISO/IEC 27014 dal titolo "Governance of information
security".

Mi chiederò sempre perché lui sappia queste cose con questo anticipo, visto
che la segnalazione è del 7 maggio.

Detto ciò, posso dire quanto segue:
- la norma che non dice, a mio parere, nulla di nuovo;
- rigira il modello PDCA in "Evaluate-Direct-Monitor-Communicate-Assure", a
sua volta ripreso da quello proposto dalla ISO 38500 (che però si limitava
alle sole prime 3 aree);
- utilizza alcuni concetti (risk appetite, information security status) non
sono rintracciabili nelle altre norme della serie ISO/IEC 27000 in vigore e
che potrebbero generare confusione.

Vedremo comunque come questa norma sarà accolta dal mercato e se io l'ho
letta troppo distrattamente e non ne ho colto tutti gli aspetti.

Pubblicata la ISO/IEC TS 17021-3 sulle competenze degli auditor qualità

La ISO ha comunicato la pubblicazione della "ISO/IEC TS 17021 Conformity
assessment – Requirements for bodies providing audit and certification of
management systems, Part 3: Competence requirements for auditing and
certification of quality management systems".

La parte 2, pubblicata ad agosto 2012, riguardava le competenze degli
auditor dei sistemi di gestione ambientale (ISO 14001). Ricordo inoltre che
queste sono norme applicabili ai soli organismi di certificazione e non alle
"normali" imprese.

E' comunque interessante osservare come stia aumentando l'attenzione sulle
competenze degli auditor, anche con norme dedicate. In effetti, le norme di
requisiti (ossia quelle certificabili) come la ISO 9001 o la futura ISO/IEC
27001 sono sempre meno dettagliate, per garantire la loro applicabilità a
tutte le tipologie di organizzazioni, e richiedono sempre più una
valutazione dell'adeguatezza del sistema di gestione e delle misure
adottate.

Ovviamente, per valutare l'adeguatezza di un sistema di gestione bisogna
essere competenti sulla materia.

Tutto ciò, però, pone dei problemi alle organizzazioni oggetto degli audit e
agli auditor: se un auditor non ritiene adeguata una misura, risulta
difficile sostenere la propria tesi se quanto visto è in effetti
strettamente conforme al requisito della norma; dall'altra parte, se un
auditor pretende misure eccessive rispetto alle reali esigenze
dell'organizzazione, diventa difficile per quest'ultima contestarle visto
che la valutazione è basata su parametri spesso non scritti nella norma di
riferimento (può però inoltrare reclamo e ricusare l'auditor per le
successive verifiche).

Solo un auditor competente, tranne casi estremi, può avviare un reale
confronto con l'organizzazione oggetto dell'audit per valutare l'adeguatezza
di quanto attuato e non essere successivamente contestato quando i propri
rilievi sono pertinenti.

Trovate il rapporto in questa pagina:
-
http://www.melani.admin.ch/dienstleistungen/archiv/01536/index.html?lang=it

Aggiornamenti sulle norme ISO/IEC 270xx

La settimana del 22 aprile si è tenuto a Sophia Antipolis (vicino ad
Antibes, Francia) il 46 Plenary Meeting del WG1 del SC27 del JTC1 della
ISO/IEC; in poche parole, si è tenuto l'incontro semestrale del gruppo di
esperti dedicato alla scrittura delle norme della famiglia ISO/IEC 270xx. Di
seguito i risultati.

Per la cronaca, per la delegazione italiana eravamo in 5 (io, il Presidente
Fabio Guasconi, Andrea Caccia, Dario Forte e Stefano Ramacciotti).

ISO/IEC 27000: si è avanzati nell'aggiornamento della norma dedicata ai
termini e definizioni, soprattutto per includere le novità della futura
27001; difficile oggetto di discussione è stata la definizione di Statement
of Applicability.

ISO/IEC 27001: la norma è passata in stato di final draft con un solo voto
negativo; dovrebbe essere quindi pubblicata a ottobre-novembre 2013, dopo
l'incontro previsto a Songdo in Corea del Sud la settimana del 21 ottobre;
gli aggiornamenti sono stati minimali perché, dopo anni a discutere di Annex
A, posizionamento del risk assessment (nel plan o nel do), obbligatorietà o
meno dello statement of applicability, eccetera, è prevalsa l'idea che si è
raggiunto comunque un buon compromesso e l'unico metro di giudizio potrà
essere solo l'applicazione sul campo della nuova norma; per chi volesse
ripassare gli argomenti di discussione, rimando ai miei post precedenti;
aggiungo il fatto che i Paesi Bassi, pur approvando il passaggio della norma
in final draft, si sono formalmente lamentati delle ambiguità presenti nel
testo, che potranno essere negative per il mercato (personalmente, sono
d'accordo con loro).

ISO/IEC 27002: anche questa è passata in stato di final draft con 2 voti
negativi (uno perché le 1.000 proposte di modifica (!) non sono state tutte
correttamente prese in carico e potrebbero avere introdotto delle incoerenze
nel testo; l'altro perché la norma esplicita la possibilità di avere policy
a diversi livelli); anch'essa dovrebbe quindi essere approvata a ottobre a
Songdo.

ISO/IEC 27003: sono iniziati i lavori sulla revisione della "Implementation
guidance" che dovrebbe, nella migliore delle ipotesi, essere pubblicata tra
un paio di anni; questa norma è ora reputata molto importante perché fornirà
una guida all'interpretazione dei requisiti della 27001 che alcuni, me
incluso, reputano in molti casi troppo sintetici. Vedremo come avanzeranno i
lavori.

ISO/IEC 27004: anche per questa norma (sulla misurazione dell'efficacia di
un ISMS) sono proseguiti i lavori e si applicano le stesse considerazioni
fatte per la 27003; con soddisfazione di molti (inclusi gli italiani), è
passata l'idea che la seconda edizione deve essere più pratica e meno
teorica, a differenza dell'attuale edizione del 2009.

ISO/IEC 27006: questa volta, l'incontro sulla 27006 è stato molto più
affollato delle volte precedenti; con mia grande soddisfazione, il requisito
di avere la versione del SOA sul certificato è stato eliminato e si cercherà
di dare maggiori possibilità di riduzione dei tempi di audit (si manterrà
l'impostazione attuale, ma dando più possibilità agli Organismi di
certificazione di ridurre le giornate di audit; si studierà un meccanismo
per evitare che alcuni organismi facciano audit non adeguati). Ricordo però
che lo stato della 27006 è ancora di Working draft e quindi molte cose
potranno ancora accadere.

ISO/IEC 27009: questa norma riguarda l'uso delle norme settoriali (27011,
27017, 27018, 27019 e altre) per le certificazioni ISO/IEC 27001; c'è stata
molta discussione anche sul titolo (l'Italia si è anche opposta, con la
maggioranza, alla modifica del titolo in "Application of ISO/IEC 27001 -
Requirements") e sul suo campo di applicabilità.

ISO/IEC 27011 (telecomunicazioni) e 27013 (uso congiunto di 27001 e 20000):
è stato approvato l'inizio del lavori di revisione.

ISO/IEC 27016 ("Organizational economics") e ISO/IEC 27017 (sul cloud
computing): sono proseguiti i lavori

E' stato approvato l'inizio dei lavori per un nuovo standard sulla
certificazione dei professionisti dediti all'information security
management.

Infine, si è parlato della norma ISO 34001 "Security Management System",
proposta dal ISO/TC 247 "Fraud countermeasures and controls", perché sembra
voler essere in competizione con la ISO/IEC 27001.

Cassazione: non esiste un dovere di omertà aziendale

La sentenza n. 6501 del 14 marzo 2013 della sezione Lavoro della Cassazione
è interessante per due motivi: il primo riguarda il non dovere di omertà del
lavoratore, il secondo la legittimità di accuse anonime.

Se poi ho capito correttamente il caso, un lavoratore ha denunciato la
propria azienda all'Autorità e poi questo fatto è stato segnalato
all'azienda stessa da una lettera anonima. Il lavoratore è stato quindi
licenziato, ma poi ha fatto ricorso alla Cassazione basandosi su due punti:
il non dovere di omertà (per cui la Cassazione si è pronunciata a favore del
lavoratore) e sull'inutilizzabilità di denunce anonime (su cui la Cassazione
si è pronunciata a sfavore del lavoratore... al quale però bastava vincere
su uno solo dei punti).

Sul primo punto, la Cassazione si è pronunciata come segue: "Non costituisce
giusta causa o giustificato motivo di licenziamento di un dipendente l'aver
reso noto all'Autorità Giudiziaria fatti di potenziale rilevanza penale
accaduti presso l'azienda in cui lavora né l'averlo fatto senza averne
previamente informato i superiori gerarchici, sempre che non risulti il
carattere calunnioso della denuncia o dell'esposto". "Non costituisce giusta
causa o giustificato motivo di licenziamento l'aver il dipendente allegato
alla denuncia o all'esposto documenti aziendali". In altre parole: non
esiste un dovere di omertà del lavoratore.

Sul secondo punto la Cassazione ha scritto "nessuna norma di legge vieta che
l'esercizio del potere disciplinare possa essere sollecitato (non anche
provato, ovviamente) a seguito di scritti anonimi".

La notizia da Filodiritto:
-
http://www.filodiritto.com/cassazione-lavoro-no-al-licenziamento-del-dipende
nte-perche-rivela-allautorita-fatti-dellazienda-di-rilevanza-penale-non-esis
te-un-dovere-di-omerta/#.UX5gx8pWX3U.

La sentenza sul sito della Cassazione:
-
http://www.cortedicassazione.it/Notizie/GiurisprudenzaCivile/SezioniSemplici
/SchedaNews.asp?ID=3219.

La formazione sulla sicurezza è utile?

Bruce Schneier ha scritto un articolo dicendo che la formazione degli utenti
sulla sicurezza informatica non è generalmente utile:
-
http://www.darkreading.com/hacked-off/on-security-awareness-training/2401511
08
- https://www.schneier.com/blog/archives/2013/03/security_awaren_1.html

I motivi: gli utenti non trovano benefici a breve termine per seguire le
regole di sicurezza, è abbastanza raro avere problemi se non si seguono le
regole di sicurezza, per adottare comportamenti corretti è necessario essere
tecnologicamente abbastanza preparati.

L'unica possibilità per diffondere la sicurezza è sviluppare software sicuri
o dare agli utenti dei servizi sicuri: è meglio spendere soldi per le
attività di sviluppo che per la formazione (anche se un'oretta all'anno è
sicuramente utile).

Confesso che do pienamente ragione a Bruce Schneier (e poca ragione al
portafoglio di noi consulenti che eroghiamo anche corsi di
sensibilizzazione), anche perché questo principio me lo disse in modo
chiarissimo nel 2005 Gigi Ferraris parlando dei processi di sicurezza: "se
non li obblighi con la tecnologia, gli utenti non seguiranno mai i
processi".

Traduzioni norme ETSI su sicurezza nella conservazione dei dati

Franco Ruggieri ha segnalato che è stato pubblicato a febbraio il terzo
documento della traduzione delle specifiche ETSI in oggetto.

Il set completo delle pentole in offerta UNINFO è quindi costituito da:
- UNI/TS 11465-1:2012 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Parte 1: Requisiti per la Realizzazione e la Gestione" - traduzione
della ETSI TS 101 533-01
- UNI/TR 11465-2:2012 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Parte 2: Linee Guida per l'Ispettore" - traduzione dello ETSI TR 101
533-02;
- UNI/TS 11465-3:2013 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Complemento italiano a ETSI TS 101 533-1 e ETSI TR 101" -
localizzazione in Italia delle specifiche di cui sopra.

Io ci ho modestamente collaborato e le ho trovate molto interessanti, anche
perché si tratta di specializzazioni delle ISO/IEC 27001 e 27002.

Le potete trovare in inglse sul sito della ETSI (www.etsi.org) o in italiano su quello dell'UNI (www.uni.com)

Se non lo misuri non lo conosci?

Finalmente ho scoperto da dove viene il detto "se non lo misuri, non puoi
gestirlo". Qualcuno penserà che sono arrivato tardi, ma almeno ci sono
arrivato.

Si tratta di Lord Kelvin, che nel lontano 1893 disse "Se puoi misurare ciò
di cui parli e puoi esprimerlo con un numero, allora conosci qualcosa del
tuo soggetto; ma se non puoi misurarlo, allora la tua conoscenza è scarsa e
insoddisfacente".

Lord Kelvin è noto per essere stato un grande fisico (fisico matematico e
ingegnere). A mio modesto parere, le scienze sociali (e la conduzione di
un'azienda è in gran parte collegata alle scienze sociali) non dovrebbero
confondersi con la matematica e la fisica. Misurare qualcosa è più che
importante, ma pensare di ridurre la conoscenza di un'impresa alla
misurazione è follia.

Non devo essere l'unico a pensarlo, visto che la stessa ISO 9001 chiede di
"monitorare e, dove possibile, misurare".

Segregazione delle responsabilità

Segnalo un bell'articolo sull'ISACA Journal del dicembre 2012 dal titolo
"What Every IT Auditor Should Know About Proper Segregation of Incompatible
IT Activities".

Per ovvi motivi di diritto d'autore, non mi addentro nel contenuto, ma
riferisco i titoli, già di per se stessi utili:
- IT vs. utenti (business)
- database administrator vs. resto dell'IT
- sviluppo applicazioni vs. DBA e vs. conduzione dei sistemi (questa però è
nota!)
- sviluppo nuove applicazioni vs. manutenzione delle applicazioni
- sicurezza delle informazioni vs. resto dell'IT (anche questa è nota)

Un commento ha segnalato la necessità di separare la sicurezza delle
informazioni dall'IT, ma questo è un tema molto caldo e non facilmente
risolvibile.

Modifiche ai requisiti di accessabilità nella PA

La Legge 221 del 2012 ha converito, con modificazioni, il DL 179 del 2012,
dal titolo "Ulteriori misure urgenti per la crescita del Paese", che riporta
alcune modifiche alla Legge 4 del 2004 (Legge Stanca sull'accessibilità) e
al Dlgs 82 del 2005 (Codice dell'amministrazione digitale o CAD). Rilevante
è l'estensione di applicabilità della Legge sull'accessibilità anche a
"tutti i soggetti che usufruiscono di contributi pubblici o agevolazioni per
l'erogazione dei propri servizi tramite sistemi informativi o internet".

Altro elemento rilevante è l'inserimento del tema dell'accessibilità nella
formazione che deve essere erogata al personale della Pubblica
Amministrazione.

Maggiori dettagli nella Circolare 61/2013 del 29 marzo 2013 dell'AgID:
- http://www.digitpa.gov.it/fruibilita-del-dato/accessibilita

Sempre notizia di questi giorni è la prevista modifica all'Allegato A del
Decreto Ministeriale 8 luglio 2005 (Ministro per l'Innovazione e le
tecnologie) sui "requisiti tecnici di accessibilità delle applicazioni
basate su tecnologie internet" (l'Allegato si trova alla medesima pagina web
sopra indicata, non a quella indicata sotto che riporta solo la notizia):
-
http://www.digitpa.gov.it/notizie/accessibilita-cambiano-i-requisiti-i-siti-
web-della-pa

E infine, l'ETSI ha appena pubblicato una bozza dello standard europeo EN
301 549 dal titolo "Accessibility requirements for public procurement of ICT
products and services in Europe". Sarebbe bello se venisse adottato oltre la
pubblica amministrazione.

Atti del Security Summit 2013 a Milano

Segnalo la pubblicazione degli atti del Security Summit 2013 di Milano:
- http://milano2013.securitysummit.it/page/atti

Come al solito, in mezzo a qualche presentazione un po' troppo commerciale, negli atti si trovano parecchi spunti di riflessione.

Data Centres Energy Efficiency - EU Code of Conduct on Data Centres

Non sono un esperto di green IT o di altri argomenti correlati, però questa
iniziativa del JRC segnalatami da un mio lettore mi pare interessante:
- http://iet.jrc.ec.europa.eu/energyefficiency/ict-codes-conduct/data-centres-
energy-efficiency

La trovo interessante perché differenzia bene le attività di ciascuna parte
interessata ad un data center, dal proprietario all'utilizzatore. Inoltre,
mi è sembrato un documento facilmente leggibile, a parte la scelta di usare
dei codici-colore, non immediati (soprattutto per i daltonici).

Spamhaus e la carica degli spammer

La notizia è stata molto diffusa  e riguarda la Spamhaus, una società dedicata a servizi di antispamming, oggetto  di un attacco DDoS dopo aver inserito in blacklist un grande provider olandese.

Non c’è commento da fare, tranne la preoccupazione di vedere Internet potenzialmente oggetto di attacchi di enormi dimensioni:

- http://www.corriere.it/tecnologia/13_marzo_27/sicurezza-informatica-in-atto-il-piu-grande-attacco-hacker-della-storia_8d0c0142-96f8-11e2-b7d6-c608a71e3eb8.shtml

- http://www.theregister.co.uk/2013/03/27/spamhaus_ddos_megaflood/

ISO/IEC TR 27015

Franco Ferrari del DNV Italia mi informa della pubblicazione della ISO/IEC TR 27015 dal titolo “Information security management guidelines for financial services”.

Si tratta, in poche parole, di un’estensione dei controlli di sicurezza già descritti nella ISO/IEC 27002, applicabile ai servizi informatici di tipo “finance”, in particolare quelli delle banche, che possono coinvolgere ATM, POS e terminali self service.

Lo standard è relativamente breve (28 pagine) e i punti che più mi hanno interessato sono:

- estensione del controllo 6.2.2 (sicurezza con i clienti), ricordando la necessità di formare i clienti dei servizi su alcune misure di sicurezza informatica;

- estensione del controllo 6.2.3 (sicurezza con i fornitori), ricordando alcune misure di sicurezza da prevedere in occasione della stipula di accordi con i fornitori

-  aggiunta del controllo 10.9.4 con titolo “Internet banking services”, in cui sono illustrate alcune misure di sicurezza da prevedere nella progettazione di tali servizi.

Siti web e dati societari

La notizia è vecchia e nota ed ero convinto di averla già pubblicata. Non trovandola tra i miei articoli, la scrivo.

Sui siti web (spazi elettronici destinati alla comunicazione collegati ad una rete telematica ad accesso pubblico) delle società soggette all'obbligo dell'iscrizione nel registro delle imprese (s.p.a., s.r.l. e s.a.p.a.), devono essere riportati:

- sede legale;

- ufficio del registro delle imprese presso il quale la società è iscritta;

- il numero d'iscrizione (ossia il codice fiscale, che potrebbe coincidere con la Partita IVA; sono diversi, per esempio, nel caso in cui una società abbia trasferito il proprio domicilio da una provincia ad un'altra);

- capitale della società (somma effettivamente versata);

- se il socio è unico.

Questo in virtù dell'articolo 2250 del Codice Civile, così come modificato dall'articolo 42 della Legge 88 del 2009.

NB: questo post è stato ripubblicato per errata corrige; ringrazio Roberto Bonalumi per la segnalazione e la mia commercialista Sara Gardella per la consulenza sul numero di iscrizione al registro delle imprese.

DPCM 24 gennaio 2013 sulla protezione cibernetica

E' stato pubblicato il DPCM 24 gennaio 2013 dal titolo "Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionale". E' facilmente reperibile su www.normattiva.it.

L'ho letto con l'attenzione che merita, e confesso di non aver trovato quello che speravo di trovare, ossia un CERT italiano.

Apparentemente, se ho capito correttamente, questo compito sarà affidato al "Nucleo per la sicurezza cibernetica", ma non mi è chiaro se si occuperà quasi esclusivamente della PA o anche di altri settori.

Il testo specifica che tale nucleo "promuove procedure di condivisione delle informazioni, anche con gli operatori privati interessati, ai fini della diffusione di allarmi relativi ad eventi cibernetici e per la gestione delle crisi". In altre parole, mi chiedo se sarà disponibile un sito web utilizzabile da ciascun privato per formazione e informazione.

Gli operatori di telecomunicazioni dovranno anche comunicare al Nucleo le violazioni della sicurezza, oltre che adottare misure di sicurezza cibernetica che dovrebbero essere state pubblicate a cura del Ministero dello sviluppo economico. A me non risultano disponibili, ma se mi dovessi sbagliare, sarò grato a chi mi correggerà.

In definitiva, non credo ci rimanga altro che aspettare pazientemente per vedere come questo DPCM sarà attuato e coglierne tutti gli aspetti positivi.

Ringrazio per la segnalazione Pasquale Stirparo e Daniela Quetti di DFA e Enzo Ascione di Intesa Sanpaolo.

Rapporto Clusit 2013

Il Clusit ha pubblicato il Rapporto 2013 sulla sicurezza ICT in Italia. Esso può essere richiesto dal sito del Clusit:

- https://www.securitysummit.it/page/rapporto_clusit

Come sempre, riporta notizie interessanti. Segnalo in particolare la prima sezione dal titolo "Panoramica degli eventi di cyber-crime e incidenti informatici più significativi del 2012 e tendenze per il 2013".

I risk assessement della ISO 22301 e della ISO/IEC 27001

Stefano Ramaciotti mi ha segnalato il seguente post dal titolo "Can ISO 27001 risk assessment be used for ISO 22301":

- http://blog.iso27001standard.com/2013/03/11/can-iso-27001-risk-assessment-be-used-for-iso-22301/

L'articolo è un poco confuso. Segnalo le cose decisamente condivisibili:

- è vero che il risk assessment descritto dalla ISO/IEC 27001:2005, dalla ISO/IEC 27005:2005 e dalla 22301 sono allineati con i requisiti della ISO 31000 "Gestione del rischio - Principi e linee guida";

- è vero che il BCM si occupa delle attività e dei processi, mentre un ISMS (SGSI) si occupa della sicurezza delle informazioni e, quindi, i rispettivi risk assessment sono necessariamente diversi;

- il collegamento tra BCM e ISMS è il parametro di disponibilità delle informazioni. 

Tra le cose negative, l'articolo fa riferimento agli asset intesi in modo estensivo (interpretazione non più condivisa, tanto che la futura 27001 parlerà solo di "information asset"), apprezza la descrizione dettagliata del risk assessment della 27001 (che sarà superata dalla futura versione) confondendo la genericità dei requisiti della 22301 con una necessità di avere un risk assessment non approfondito (interpretazione sbagliatissima), apprezza l'allegato A della 27001 dimenticandosi della 22301 che a sua volta fornisce una linea guida per le misure da considerare quando si realizza un BCM.

Detto questo, anche se ad oggi, i certificati attivi BS 25999 o ISO 22301 sono in larga maggioranza relativi ad aziende operanti nel mercato IT, è comunque bene ricordare che le differenze tra i due approcci sono dovute alle loro diverse finalità: nel ISMS, il risk assessment ha la finalità di dare le priorità al trattamento delle vulnerabilità relative alle informazioni; nel BCM, il risk assessment ha la finalità di strumento sul quale basare le strategie di ripristino dei processi e delle attività.

Sebbene i metodi di risk assessment utilizzati per un ISMS o per un BCM sono diversi a causa delle diverse finalità, è comunque bene studiarli entrambi insieme ad altri metodi (per esempio quelli utilizzati per la sicurezza delle persone o nei settori dell'automotive, dei dispositivi medicali o del chimico), per poter poi individuare quello più adeguato alle proprie esigenze. Ho visto aziende che hanno utilizzato un buon mix tra il classico metodo di risk assessment relativo alla sicurezza delle informazioni e la FMECA utilizzato in ambito automotive.

Ultima riflessione: è bene studiare i metodi utilizzati nel campo di pertinenza, ma è anche bene farlo in modo critico. Ho visto molti danni dovuti all'uso del CRAMM o di suoi derivati, prendendoli per ottimi riferimenti per il risk assessment relativo alla sicurezza delle informazioni, senza considerarne la mantenibilità o la pertinenza dei risultati ottenuti.

Raccolta prove digitali: un altro ricorso vinto

Dalla newsletter di DFA, rilancio un link ad un recente (ottobre 2012) provvedimento del Garante Privacy:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2149222

Ancora una volta, un'impresa si è dedicata ad effettuare analisi forensi di un pc di un dipendente, senza aver in precedenza pubblicato un disciplinare che riportasse i suoi poteri di controllo sui pc del personale.

Novità sul CAD e la firma elettronica

La newsletter di DFA segnala questo articolo sulle novità introdotte nel CAD dal Decreto Sviluppo bis (DL 179 del 2012, convertito in Legge con modificazioni dalla L 221 del 2012):
- http://www.blogstudiolegalefinocchiaro.it/documento-informatico-e-firma-digitale/firma-elettronica-avanzata-rilevanti-novita-nel-d-l-sviluppo-bis/

Le novità segnalate sono due:
- adeguamento delle modalità con cui è possibile disconoscere la firma elettronica avanzata, in modo da considerare anche tecnologie quali la firma grafometrica su tavoletta
- l'estensione della validità della firma elettronica al posto di quella scritta per atti e contratti (con esclusionne dei contratti aventi oggetto beni immobili).

L'articolo si conclude ricordando che l'aggiornamento delle regole tecniche, previsto per metà 2012, non è ancora stato pubblicato.

Ispezioni privacy agli operatori TLC

Agostino Oliveri mi ha segnalato la notizia del Garante dal titolo "Privacy: operazione Data Retention":
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2300180

La notizia presenta un breve resoconto sulle ispezioni della Guardia di Finanza in tutta Italia sul rispetto delle norme per la conservazione dei dati di traffico telefonico e telematico presso gli operatori TLC.

La sintesi è questa: in 9 casi (su 11) sono state accertate e contestate violazioni relativamente alla conservazione dei dati di traffico oltre i termini previsti, alla mancata adozione delle misure minime di sicurezza, e alla mancata adozione di alcune delle ulteriori misure di protezione prescritte dal provvedimento del Garante, quali l'uso di tecnologie di riconoscimento biometrico per selezionare l'accesso ai dati e la cifratura dei dati.

Mi sarebbe piaciuto avere maggiori dettagli sulle misure minime non adottate.

UE: rivendita online di licenze software

Dalla newsletter Ictlex-news, segnalo la seguente sentenza della Corte di Giustizia UE: una volta "venduto" un software via Internet ad un cliente, questi può a sua volta cedere la licenza a qualcun altro (ovviamente senza trattenere una copia del software per se) senza violare la legge sul diritto d'autore né i diritti del produttore.

Per chi vuole approfondire:
- http://www.ictlex.net/?p=1430

Decalogo contro il phishing

L'associazione CINDI ha pubblicato un decalogo per proteggersi dal phishing:
- https://associazionecindi.wordpress.com/2013/01/23/phishing-postepay-regole-condott/

Lo trovo molto utile.

Alcuni elementi possono anche sembrare banali per chi si occupa di queste cose, ma sappiamo bene che non è così per tutti.

Visto che è facile dire cosa manca in un decalogo, lo faccio: avrei aggiunto "non cliccate mai su un link di una mail della vostra banca o carta di credito: scrivetelo ogni volta nella barra degli indirizzi".

Diffamazione su Facebook: condanna

Questo articolo della associazione CINDI mi pare interessante:
- https://associazionecindi.wordpress.com/2013/02/28/diffamazione-facebook-giplivorno/

In realtà, si tratta di un argomento già noto: la diffamazione su un social network aperto al pubblico è vietata. Questa volta l'ha ribadito il GIP di Livorno.

Capisco che in quest'epoca in cui le modalità di comunicazione stanno cambiando, non tutti acquisiscono la corretta sensibilità su come usare certi mezzi. Ma anche prima di Internet, parlar male di qualcuno chiaccherando con qualche amico non aveva le stesse conseguenze dello scrivere male di qualcuno su uno o più manifesti affissi per strada.

Repertorio delle normative sull'amministrazione digitale

Giovanni Francescutti mi segnala il sito di Digit@LEX "Tutte le Leggi sull'Amministrazione Digitale a portata di click":
- http://www.digita-lex.it/

Ho navigato un poco nel sito e bisogna dire che riporta moltissime cose e gli argomenti sono classificati in categorie.

Visto che sono sempre sospettoso dei siti realizzati da privati perché, in alcuni casi, dopo l'entusiasmo iniziale, gli aggiornamenti sono meno puntuali, raccomando di fare controlli incrociati con www.normattiva.it e il sito dell'AgID (www.digitpa.gov.it).

Programmare in... sicurezza

Dal Clust Group di LinkedIn, ho trovato la segnalazione di un articolo dal titolo "Programmare in... sicurezza":
- http://programmazione.it/index.php?entity=eitem&idItem=48588&goback=.gde_54878_member_215687034

L'ho trovato molto interessante e ho trovato ancora più interessante l'articolo in inglese "Safeguard your code: 17 security tips for developers":
- https://www.infoworld.com/d/application-development/safeguard-your-code-17-security-tips-developers-211339?page=0,0

Ecco i titoli, ma vale la pena leggere tutto:
- 1: Test inputs rigorously
- 2: Store what you need, and not one bit more
- 3: Avoid trusting passwords more than necessary
- 4: Negotiate requirements
- 5: Add delays to your code
- 6: Use encryption more often than you think you should
- 7: Build walls
- 8: Tested libraries -- use them
- 9: Use internal APIs
- 10: Bring in outside auditors to critique your code
- 11: Code analyzers are your friend (con segnalato uno strumento)
- 12: Limit privilege
- 13: Model your threat
- 14: Trust goes both ways
- 15: Keep apprised of the latest threats
- 16: Deep research can pay off
- 17: Educate yourself

Come si vede, si tratta di suggerimenti tecnologici ben noti, di trucchi del mestiere e di pratiche organizzative. Quanti programmatori non seguono neanche una mailing list, quanti responsabili di progetto non hanno il coraggio di negoziare i requisiti!

Attacco al sito web del Tribunale di Milano

Sandro Sanna mi ha segnalato il giorno dopo l'accaduto del web defacing del sito del Tribunale di Milano il 15 febbraio:
- http://www.ansa.it/web/notizie/rubriche/cronaca/2013/02/16/Attacco-hacker-sito-tribunale-Milano_8259442.html

Volevo trasmettere la notizia solo perché io sono di Milano. In realtà, casi del genere capitano molto spesso e riguardano i soli siti web delle vittime: il minimo previsto quando si sviluppa un'architettura informatica è separare molto bene il server del sito web da quelli degli altri servizi; apparentemente, anche il Tribunale di Milano ha fatto così, anche se non ho trovato approfondimenti successivi il 17 febbraio.

C'è chi manifesta legalmente in piazza o su Internet e c'è anche chi manifesta illegalmente. Questa volta, facendo danni molto limitati e ottenendo un certo ritorno di immagine.

Google e privacy

Enzo Ascione di Intesa Sanpaolo, mi ha inviato questo articolo dal titolo "Google, Garanti Privacy Ue pronti ad azione repressiva":
- http://www.corrierecomunicazioni.it/it-world/19711_google-garanti-privacy-ue-pronti-ad-azione-repressiva.htm

Io continuo a temere questi fornitori di servizi, come ho già avuto modo di dire:
- http://blog.cesaregallotti.it/2013/01/google-le-password-e-i-token.html
- http://blog.cesaregallotti.it/2013/01/accordi-con-i-servizi-esterni-cloud-e.html

Errori di configurazione del Cisco IOS

Sul Clusit Group di LinkedIn, Aldo Ceccarelli ha segnalato un link ad un articolo dal titolo "Top 10 Cisco IOS Configuration Mistakes":
- http://www.petri.co.il/cisco-ios-configuration-mistakes.htm <http://www.petri.co.il/cisco-ios-configuration-mistakes.htm>

Capisco che la configurazione di un firewall non è materia per principianti, ma mi chiedo come si possa immettere sul mercato (e vendere a caro prezzo) prodotti che hanno meccanismi che non richiedono la conferma della password, Telnet di default al posto di SSH, parametri di sicurezza SNMP minimali.

E dire che poco fa mi lamentavo della poca professionalità di troppi sviluppatori!

Voglio sperare che l'articolo si riferisca a prodotti ormai obsoleti.

Privacy e AdS applicativi - Parte 2

Dopo l'articolo dal titolo "Privacy e AdS applicativi" in cui si riportavano le parole (verbali) di un rappresentante dell'ufficio del Garante in merito alle utenze applicative con poteri di amministrazione, Massimo Cottafavi di Reply mi ha segnalato un problema di interpretazione.

Come sappiamo, il Provvedimento sugli amministratori di sistema era seguito da delle FAQ. La FAQ 22 dà ragione all'interpretazione riportata:
- D: È corretto affermare che l'accesso a livello applicativo non rientri nel perimetro degli adeguamenti, in quanto l'accesso a una applicazione informatica è regolato tramite profili autorizzativi che disciplinano per tutti gli utenti i trattamenti consentiti sui dati?
- R: Si. L'accesso applicativo non è compreso tra le caratteristiche tipiche dell'amministratore di sistema

Evidentemente, visto che si tratta di un allegato al provvedimento sugli amministratori di sistema, è lecito esplicitare ulteriormente così: "L'accesso applicativo, *anche di power user*, non è compreso tra le caratteristiche tipiche dell'amministratore di sistema".

Però Max fa notare che questo è smentito dalla FAQ 1: "l'amministratore di sistema è assunto quale figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi [...] i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni".

Quando un'applicazione diventa complessa e quindi i suoi AdS sono da considerare AdS? Se un power user pasticcia con le utenze di un sistema Zucchetti per medie imprese non viene registrato, mentre quello del SAP sì?

I dubbi permangono, quindi.

L'articolo precedente:
- http://blog.cesaregallotti.it/2013/02/privacy-e-ads-applicativi.html

Innovazione digitale (un caso pratico)

A pochi interesserà sapere che sono stato nominato Presidente di un seggio per le elezioni del 24 e 25 febbraio (a qualcuno in più interesserà sapere quanto si guadagna; non lo so; so che nel 2011, per 3 consultazioni e un totale di 7,5 giornate di lavoro ho guadagnato 340 Euro).

Fino al 2011, il Presidente di seggo riceveva una copia delle "Istruzioni per le operazioni degli uffici elettorali di sezione" almeno una settimana prima dell'inizio dei lavori, in modo che potesse prepararsi e garantire la speditezza delle operazioni.

Quest'anno non mi è arrivato nulla; ho telefonato all'Ufficio elettorale e mi hanno risposto che ora le istruzioni non sono più distribuite con anticipo (immagino per risparmiare sui lavori dei messi comunali): posso scaricarle dal sito del Ministero degli Interni.

Credo di essere un caso che si trova a metà tra quelli che ci erano arrivati da soli (magari con Google) e quelli che si presenteranno ai seggi senza un minimo di preparazione (i Presidenti che non hanno mai fatto questo mestiere) o senza quel poco ma necessario ripasso (i Presidenti con esperienza) utili a garantire l'auspicata speditezza delle operazioni.

Tutto questo per dire che questa piccola storia mi ha permesso di ripassare una nota, ma spesso dimenticata, lezione: "prima di introdurre innovazioni, è necessario istruire gli utenti per tempo".

Un'altra lezione che ho ripassato: il termine "istruire" non implica presentazioni in Powerpoint o filmati o grossi manuali o chissà che altro; nel caso specifico bastavano due righe sottolineate sulla lettera di nomina ("Il Presidente può consultare le Istruzioni per le operazioni degli uffici elettorali di sezione disponibili sul sito xxx").

Backdoor (sui prodotti Barracuda)

La notizia è ormai vecchia di un mese, ma la riporto brevemente: diversi prodotti della Barracuda Network (firewall, VPN, filtri antispam) hanno una backdoor non documentata che permette l'accesso a degli apparati da remoto.

Questo è l'articolo segnalato da Crypto-Gram (ma ce ne sono molti altri):
- http://arstechnica.com/security/2013/01/secret-backdoors-found-in-firewall-vpn-gear-from-barracuda-networks/

Non sorprendiamoci troppo: basta andare in quasi qualunque reparto IT per vedere come la mentalità dell'artigiano (contrapposto, mi si perdoni, al "professionista") sia prevalente e come l'unica e sola guida sia il fatturato trimestrale.

Furto di dati aziendali

Claudio Nasti di Chantecler mi ha segnalato questo interessante articolo dal titolo "Dati aziendali, sottrarli non è ritenuto sbagliato":
- http://www.lineaedp.it/articolo/0000095971/30/8/Dati_aziendali_sottrarli_non_e_ritenuto_sbagliato.html#.UR1ChvJdCSp

Ecco alcuni dati di un recente studio di Symantec: il 50% dei dipendenti che lasciano un'azienda si copiano i dati dell'azienda stessa e, nel 40% dei casi, prevede di riutilizzarli dal suo nuovo datore di lavoro; solo il 38% dei dipendenti afferma che il loro manager vede la protezione dei dati come una priorità di business.

Brevissimo articolo che vale la pena di leggere (a patto di ricordarsi che, in questo contesto, IP non è l'Internet protocol, ma la intellectual property; cosa che non ho fatto ad una prima lettura).

Confesso che non sono un innocente. Ma mi è anche accaduto (ormai millenni or sono) di trovare qualcuno che mi chiedesse se potevo passargli documenti di un mio precedente datore di lavoro o di un mio ex cliente. Come se ormai fossero documenti pubblici. Ovviamente mi sono rifiutato. Ma la cosa fa pensare.

Per chi volesse approfondire il tema da un punto di vista legale, suggerisco di partire da Legge 633/1941 sul Diritto d'autore, Dlgs 30/2005 sulla proprietà industriale e CCNL.

Quaderno su vulnerability assessment e penetration test

Isaca Venice Chapter ha pubblicato il suo primo quaderno dal titolo "Vulnerability Assessment e Penetration Test - Linee guida per l'utente di verifiche di terze parti sulla sicurezza ICT":
- http://www.isaca.org/chapters5/Venice/NewsandAnnouncements/Pages/Page1.aspx 

Ritengo sia un documento interessante perché ricorda una serie di argomenti che non sempre sono chiari ai responsabili di sicurezza informatica:
- differenza tra VA e PT
- normativa applicabile
- metodologie e tipi di PT
- requisiti per commissionare un PT
- schema di contratto

Una piccola e probabilmente inutile critica: troppa focalizzazione sui PT (i VA, ad un certo punto, sono quasi dimenticati).

Ringrazio Daniela Quetti di DFA per la segnalazione.

Legge 4/2013 sulle "professioni non organizzate"

E' stata pubblicata la Legge 4/2013 dal titolo "Disposizioni in materia di professioni non organizzate".

Essa riguarda "l'attività economica, anche organizzata, volta alla prestazione di servizi o di opere a favore di terzi, esercitata abitualmente e prevalentemente mediante lavoro intellettuale [...]" con l'esclusione delle professioni già regolamentate in ordini e collegi (avvocati, ingegneri, eccetera). Insomma, riguarda l'attività di consulenti, auditor e formatori in molte discipline.

La Legge prevede che "La professione e' esercitata in forma individuale, in forma associata, societaria, cooperativa o nella forma del lavoro dipendente".

All'articolo 2 sono regolamentate le associazioni professionali (codici deontologici, promozione della formazione permanente, sportello per fornire informazioni ai cittadini e utenti, eccetera). L'elenco delle associazioni che si auto-certificano come conformi alla Legge 4/2013 sarà disponibile sul sito del Ministero dello sviluppo economico.

Agli articoli 4 e 5 sono forniti ulteriori requisiti per le associazioni professionali, il primo delle quali riguarda la pubblicazione delle norme e regolamenti, inclusi, se pertinenti, quelli relativi al riconoscimento delle competenze dei propri associati, che le governano. E' anche consigliata, ma non obbligatoria, la certificazione ISO 9001 per le associazioni.

Ritengo che l'articolo 6 sia importante: "promuove l'autoregolamentazione volontaria" basata su norme tecniche "UNI ISO, UNI EN ISO, UNI EN e UNI". Sarà a questo punto importante (vedere anche l'articolo 9) quali saranno queste "norme tecniche UNI definite per ciascuna professione" per le quali un organismo di certificazione potrà rilasciare una certificazione: spero non si tratti della ISO 9001, visto che nei casi di singoli professionisti la sua applicazione sarebbe quanto meno discutibile.

Anche gli articoli 7 e 8 sono importanti perché specificano come un'associazione può rilasciare attestazioni relative alle competenze dei propri partecipanti.

Concludo dicendo che questa norma è importante. Forse qualche punto mi è ancora oscuro, ma sarà certamente chiarito con la sua applicazione.

Ho avuto notizia di questa Legge (ma senza il suo riferimento numerico!) dal CEPAS:
- http://www.cepas.it/legge_professioni.asp

Segnalo anche il link dal sito di Accredia:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1133&areaNews=95>emplate=default.jsp

La norma non è ancora disponibile su www.normattiva.it, ma è reperibile sulla Gazzetta Ufficiale 22 del 26 gennaio 2013 (http://www.gazzettaufficiale.it)

Privacy e AdS applicativi

Con il mio lettore Matteo Bonfanti di Lutech ho scambiato qualche opinione sul come considerare gli utenti di un'applicazione con privilegi speciali, principalmente quelli di gestione delle utenze.

Nel dubbio, Matteo Bonfanti ha contattato l'Ufficio del Garante dal quale ha ricevuto la risposta: "il Provvedimento del 27 novembre 2008 non riguarda gli utenti applicativi anche se questi hanno privilegi speciali, a meno che non possano agire direttamente sullo schema del database".

Prendo atto e lo ringrazio molto
Occupandomi anche di sicurezza delle informazioni oltre alla privacy, rimango sempre nel dubbio che:
- elencare tali AdS non dovrebbe essere un problema,
- garantire la loro esperienza, capacità e affidabilità non dovrebbe essere un problema,
- l'applicazione dovrebbe registrare le azioni di tali AdS (anche se ci sono applicazioni che ahimé non lo fanno)
- i log non dovrebbero essere accessibili in scrittura agli AdS applicativi, ma solo a quelli sistemistici

Purtroppo ci sono applicazioni che non generano log e, ogni volta che le vedo, continuo a stupirmi.