ENISA Annual Incident Reports 2012

Dal gruppo LinkedIn "Italian Security Professional" ricevo la notizia della
pubblicazione, il 20 agosto, del "Annual Incident Reports 2012" dell'ENISA:
-
https://www.enisa.europa.eu/activities/Resilience-and-CIIP/Incidents-reporti
ng/annual-reports/annual-incident-reports-2012

Per me, la parte più interessante riguarda l'analisi delle cause degli
incidenti: il 76% degli incidenti sono causati da "errori dei sistemi"; in
questa categoria, se ho capito correttamente anche le tabelle successive,
sono inclusi anche gli errori software, il sovraccarico delle risorse,
eccetera. Io sommerei questo 76% agli "errori umani" (5%), per avere questo
risultato: il 81% degli incidenti è stato determinato da errori umani (si
dovrebbe anche cercare di ragionare sul 13% degli incidenti determinati da
"errori di terze parti", ma i dati non sono sufficienti).

Le conclusioni sono facili da tirare: quando si parla di sicurezza è
necessario riflettere attentamente sulle persone, sulla loro formazione e
competenza (di cui ho già parlato in precedenza), sugli strumenti loro messi
a disposizione e sui processi che devono seguire.

TOR, Lavabit e Silent Circle

Questa estate l'FBI ha arrestato un tizio che diffondeva materiale
pedopornografico attraverso la rete TOR:
-
http://www.tomshw.it/cont/news/tor-non-e-piu-blindata-l-fbi-si-infiltra-e-ar
resta-un-pedofilo/48227/1.html

TOR, come è noto, è un sistema per la navigazione web e l'uso di servizi
Internet in modo anonimo. Come riassunto dall'articolo sopra citato, può
essere usato per scopi legittimi, ma anche per scopi illegittimi.

La cosa interessante, come mi hanno spiegato e come riporta l'articolo, è
che l'FBI ha sfruttato un bug del browser non aggiornato. Insomma: il solito
patch non fatto.

Altra notizia (dal Clusit Group di LinkedIn) riguarda i servizi di e-mail
"sicura" Lavabit e Silent Circle:
-
http://www.technologyreview.com/news/518056/why-e-mail-cant-be-completely-pr
ivate/

Onestamente, non conosco per nulla questi servizi e mi sfugge quale livello
di sicurezza garantiscono (forse riescono a mantenere anonimi anche i
mittenti e destinatari). Però credo che il titolo dica tutto: l'e-mail non
può essere completamente riservata. Detto in parole più popolari: l'unico
modo di mantenere un segreto è non dirlo a nessuno.

NSA vuole tagliare il 90% degli AdS

Dopo il caso Snowden, l'NSA ha deciso di tagliare il 90% dei propri
amministratori di sistema (AdS). Gli attuali AdS, pare, sono in gran parte
fornitori (Snowden incluso) e non interni.

A questo punto mi faccio delle domande, per le quali non ho risposte
definitive:
- dei sistemi automatizzati sono realmente più sicuri rispetto a quelli
manuali? Certamente sono più efficienti e probabilmente più efficaci, ma non
è detto che siano anche più sicuri.
- è una buona iniziativa dire al 90% del proprio personale che sarà
licenziato il prima possibile?
- il personale interno è veramente più affidabile di quello esterno?

Due articoli segnalati da SANS Newsbyte:
-
http://www.nbcnews.com/technology/nsa-cut-system-administrators-90-percent-l
imit-data-access-6C10884390
-
http://www.theregister.co.uk/2013/08/09/snowden_nsa_to_sack_90_per_cent_sysa
dmins_keith_alexander/

Automobili e sicurezza informatica

Oggi le automobili si basano sempre più su dispositivi informatici per il
loro funzionamento. Ovviamente, alcuni hacker si sono dedicati alla ricerca
di vulnerabilità e ne hanno trovate.

L'articolo in inglese (segnalato dal Gruppo LinkedIn del Clusit):
-
http://www.forbes.com/sites/andygreenberg/2013/07/24/hackers-reveal-nasty-ne
w-car-attacks-with-me-behind-the-wheel-video/.

Una traduzione in italiano (segnalato dal Gruppo LinkedIn del Clusit):
- http://punto-informatico.it/3860499/PI/News/hacker-dell-automotive.aspx.

Ulteriori vulnerabilità sono state individuate nei meccanismi di sicurezza
del sistema di avviamento e un giudice ha imposto una censura alla
pubblicazione della ricerca (dalla newsletter SANS NewsByte):
-
http://arstechnica.com/tech-policy/2013/07/high-court-bans-publication-of-ca
r-hacking-paper/.

In tutti questi casi mi faccio due domande.
- la prima: voglio avere il diritto di conoscere i dettagli delle
vulnerabilità (con la conseguenza che siano note anche a malintenzionati)
oppure di non vederle pubblicate, ma corrette?
- la seconda: queste ricerche di vulnerabilità sono classificabili come
"ricerche scientifiche", così come i loro autori le classificano?

Privacy e spamming

Il Garante ha emesso delle "Linee guida in materia di attività promozionale
e contrasto allo spam":
-
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2
542348

Non riportano nulla di nuovo rispetto a quanto già previsto dal Codice
Privacy e da altri precedenti provvedimenti, credo con l'eccezione del
social spam e del marketing "virale".

Per una sintesi del Provvedimento, segnalo l'articolo di CINDI:
- http://www.cindi.it/le-linee-guida-del-garante-privacy-contro-lo-spam

Bring Your Own Device - Un articolo

Segnalo questo articolo sul Bring Your Own Device di Antonio Ieranò e
diffuso dal gruppo Clusit su LinkedIn.

L'ho trovato particolarmente interessante perché presenta una storia dei
dispositivi portatili dagli anni Settanta ad oggi e qualche riflessione su
come si sono modificati (o, meglio, non modificati) gli atteggiamenti verso
la sicurezza:
-
http://aitechupdate.wordpress.com/2013/07/15/bring-your-own-deviceparte-1-da
l-webminar-che-ho-tenuto-per-isc2/
-
http://aitechupdate.wordpress.com/2013/07/16/bring-your-own-deviceparte-2-da
l-webminar-che-ho-tenuto-per-isc2/
-
http://aitechupdate.wordpress.com/2013/07/16/bring-your-own-deviceparte-3-da
l-webminar-che-ho-tenuto-per-isc2/
-
http://aitechupdate.wordpress.com/2013/07/18/bring-your-own-deviceparte-4-da
l-webminar-che-ho-tenuto-per-isc2

Vigilanza Banche: Istruzioni BdI su rischi, controlli, esternalizzazioni, IT e BCM

Vincenzo Cassati di MPS mi ha informato della pubblicazione delle "Nuove
disposizioni di vigilanza prudenziale per le banche - Circolare n. 263 del
27 dicembre 2006 – 15° aggiornamento del 2 luglio 2013".

Lo si trova a questa pagina (poi bisogna scaricare l'aggiornamento 15):
- http://www.bancaditalia.it/vigilanza/banche/normativa/disposizioni/vigprud

Copio e incollo il commento di Vincenzo, che ringrazio per la segnalazione
(ho trovato interessante la lettura del documento; anche se criticabile in
alcuni punti, si trovano spunti utili).

<<
E' un documento relativamente faticoso da inquadrare perché ne aggiorna un
altro precedente (il 263) sommandogli 3 capitoli nuovi ed eliminando altre
normative esterne e, inoltre, parte di queste notizie, insieme alle date di
efficacia delle varie disposizioni, sono contenute in un ulteriore
"bollettino" esterno.

Per quanto riguarda il BCM in senso stretto ci sono poche differenze
rispetto a prima. Fra queste:
- processo sistemico obbligatorio la gestione del contante
- norme definite sull'outsourcing

Io faccio due considerazioni:
- se si interpreta la normativa sul BCM sine grano salis, ne possono
derivare piani di continuità prolissi e ingestibili: la BIA per processi è
collegata con le soluzioni di continuità, quindi 1 soluzione/ processo/
scenario/ contingency/ continuity. La numerosità e la ripetitività crescono
in modo esponenziale al crescere dei processi e soprattutto degli scenari.
Ve bene per la BIA, ma le soluzioni andrebbero ingegnerizzate e rese
riutilizzabili al variare di processo/ unità org/ scenario.Tanto più che se
la tassonomia dei processi è vera e non tarocca (cioè non è una falsa
tassonomia dove 1 ufficio=1 processo) ogni ufficio, spesso con le stesse
persone, esegue più di un processo critico.

- è richiesta la dichiarazione formale dello stato di crisi, a partire
dalla quale partono i tempi, con la raccomandazione di arrivare alla
situazione di crisi il prima possibile. In uno SLA questo criterio non lo
userei.
>>

Axelos: la Joint venture di ITIL

Il mese scorso avevo segnalato la nascita della joint venture tra the
Cabinet Office (UK) e Capita plc per gestire il Best Management Practice
portfolio, di cui fa parte ITIL:
-
http://blog.cesaregallotti.it/2013/06/itil-venduto-ad-una-joint-venture.html

Con comunicato stampa del 1 luglio 2013, è stato comunicato che questa joint
venture si chiama Axelos.

Per saperne (poco) di più, segnalo il link al ITSM Portal:
-
http://www.itsmportal.com/news/and-its-name-axelos-joint-venture-cabinet-off
ice-and-capita

Flawless Consulting

Piccola recensione del libro "Flawless consulting - 2ed." di Peter Block
(Pfeiffer, USA, 2000).

Quando me lo sono trovato tra le mani, ho pensato che fosse un libro inutile
e pretenzioso. Infatti ci ho messo 5 anni per decidere di dargli una
possibilità e ho scoperto che mi sbagliavo.

L'autore è un americano e alcune cose fanno riflettere sulle differenze di
culture. La più evidente è quando dice che i consulenti si vestono casual
mentre gli interni in giacca e cravatta. In Italia non sembra...

Detto ciò, ci sono cose molto interessanti: il consulente non ha il compito
di scegliere (è del management), il lavoro deve essere fatto al 50-50% tra
cliente e consulente, perché si ha sempre una resistenza al cambiamento, un
consulente deve sempre rinunciare ai lavori che non può seguire come vuole
lui, se si segnalano altri consulenti bisogna farlo gratis, è meglio non
credere a chi ti chiede sconti perché poi ci saranno "grandi opportunità",
eccetera.

Certo: parla di consulenti, non dei prestatori di manodopera, così come
purtroppo troppo spesso siamo visti.

Sito sulle future ISO/IEC 27001 e 27002

Dopo aver letto e ascoltato di tutto e di più sulle future ISO/IEC 27001 e
27002, ho avuto notizia di questo link, che ritengo essere molto
interessante per tutti coloro che ne vogliono sapere di più:
- http://www.gammassl.co.uk/27001/revision.php

Wi-fi libere? Boh!

Nel DL 69 del 2013 (il famoso Decreto del "fare") è presente l'articolo 10
con le pubblicizzate disposizioni per il wi-fi libero.

Se ho capito giusto: chiunque offra l'accesso Internet, quando questa non è
la sua attività prevalente (immagino quindi hotel, bar e le aziende che
dispongono di connessioni per gli ospiti), non hanno più l'obbligo di
registrare i dati dell'utente. Però devono "garantire la tracciabilita' del
collegamento (MAC address)".

Ecco... arrivato a questo punto mi sono chiesto se questo non sia peggio
della precedente disposizione (DL 144 del 2005, poi convertito dalla Legge
155 del 2005). Anche perché quelli che si erano già adeguati, se vogliono
continuare ad essere conformi alla normativa, dovranno fare altri
investimenti.

Comunque: aspettiamo fino a quando il DL sarà convertito in Legge e speriamo
negli emendamenti.

Per chi volesse approfondire, segnalo questo post sul blog de l'Espresso
segnalato sul gruppo infotechlegale.it di LinkedIn:
-
http://scorza.blogautore.espresso.repubblica.it/2013/06/22/wifi-decretodelfa
re-c%E2%80%99etantodarifare/

Per chi non apprezza il pdf segnalato dal post, il DL 69 è anche presente su
www.normattiva.it.

NIST SP 800-124 sui mobile devices

Il NIST ha annunciato la pubblicazione della Special Publication 800-124
Revision 1, "Guidelines for Managing the Security of Mobile Devices in the
Enterprise". La trovate al link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-124

E' una guida breve, con le "solite" indicazioni per la sicurezza dei
dispositivi mobili (password per accedere, cifratura dei dati, wiping dei
dati, whitelisting delle apps, eccetera). Alla fine, proprio in fondo, si
trovano 3 simpatici link ai "Mobile Device Security-Related Checklist
Sites".

Un solo dubbio: sono indicati dei sistemi per il controllo centralizzato dei
dispositivi mobili, anche BYOD (mobile device management solutions); mi
chiedo perché non pubblichino una sorta di lista di comparazione degli
stessi. Credo sia utile.

PGP 2013 sulla business continuity

Segnalo che sono state pubblicate le " Good Practice Guidelines 2013 -
Global Edition - A Guide to Global Good Practice in Business Continuity".

Sono l'evoluzione dell'edizione del 2010, con un maggiore allineamento alla
ISO 22301. Personalmente, non mi sembra abbiano apportato straordinari
cambiamenti rispetto alla precedente edizione, a parte qualche termine
modificato e una grafica più accattivante.

Io apprezzo molto le GPG del BCI, anche se costano ben 25 sterline!

Il link:
- http://www.thebci.org/index.php/resources/the-good-practice-guidelines

Per chi invece volesse dedicarsi solo al materiale gratuito, segnalo la
ottima SP 800-34 del NIST:
-
http://csrc.nist.gov/publications/nistpubs/800-34-rev1/sp800-34-rev1_errata-
Nov11-2010.pdf
oppure un giro nella Knowledge Bank del The BCI:
- http://www.thebci.org/index.php/resources/knowledgebank

Nuova ISO 9001: prevista per il 2015

Dalla newsletter del DNV Italia, segnalo questo articolo sulla futura ISO
9001:
-
http://www.dnvba.com/it/information-resources/news/Pages/Nuova-ISO-9001.aspx

In poche parole: ne è prevista la nuova edizione nel 2015.

Non ho avuto la possibilità di leggerne le bozze, ma sono molto curioso di
vedere come hanno adottato il Testo comune per i sistemi di gestione (il
cosiddetto Annex SL).

Aggiornamento sul Regolamento Europeo Privacy

Ricevo da Stefano Tagliabue di Telecom Italia "un aggiornamento sui (lenti)
avanzamenti del processo di approvazione del General Data Protection
Regulation":

E' stato confermato che la votazione in Commissione LIBE (Libertà Civili,
Giustizia e Affari Interni) della bozza di relazione sulla proposta della
Commissione di Regolamento sulla protezione dei dati è stata rimandata
ulteriormente al prossimo ottobre.

LIBE negli scorsi mesi ha ricevuto i pareri delle altre commissioni
coinvolte (IMCO, JURI, INTRE, EMPL ) e, a causa dell'ingente numero di
emendamenti presentati –più di 3000-, la votazione, inizialmente programmata
per il 24 aprile, è successivamente slittata a fine maggio, luglio ed ora ad
ottobre. Non è ancora stata pubblicata la data precisa.

La transizione dovrebbe avvenire dopo due anni dalla pubblicazione del
Regolamento nella Gazzetta Ufficiale della Comunità Europea, almeno stando
alla bozza attuale.

Raccomandazioni della DFA per i dispositivi medici

Dalla newsletter SANS Newsbytes trovo la notizia per cui l'agenzia USA Food
and Drug Administration (FDA) ha pubblicato delle raccomandazioni sulla
sicurezza dei dispositivi medici:
-
http://www.fda.gov/MedicalDevices/DeviceRegulationandGuidance/GuidanceDocume
nts/ucm356186.htm
- http://www.fda.gov/MedicalDevices/Safety/AlertsandNotices/ucm356423.htm

Trovo interessante ed inquietante che i dispositivi medici siano così
vulnerabili alle minacce informatiche. Inoltre, sembra che le loro
configurazioni di default siano molto insicure.

Personalmente sono contento della strada presa da Microsoft e altri nel
rendere più sicura la configurazione di default dei loro sistemi, ma ancora
non capisco perché ciò non succeda anche per gli altri software, soprattutto
se critici come quelli collegati a dispositivi medici (mi assumo comunque
delle colpe da auditor).

La formazione sulla sicurezza è utile? (risposte - parte 3)

Ad aprile avevo pubblicato un post dal titolo "La formazione sulla sicurezza
è utile?":
- http://blog.cesaregallotti.it/2013/04/la-formazione-sulla-sicurezza-e-utile.
html

Mauro Cicognini di WID Consulting mi ha dato il suo punto di vista. Dico che
mi pare molto condivisibile e sfuma meglio quanto da me scritto (infatti, io
stesso erogo corsi di formazione e sensibilizzazione sulla sicurezza; non
posso reputarli sempre inutili!).

Quindi, copio e incollo la risposta di Mauro, ma prima ricordo le altre
risposte ricevute:
- http://blog.cesaregallotti.it/2013/04/la-formazione-sulla-sicurezza-e-utile.
html
-http://blog.cesaregallotti.it/2013/06/la-formazione-sulla-sicurezza-e-utile.
html

<<
Leggendo bene il post di Schneier
(https://www.schneier.com/blog/archives/2013/03/security_awaren_1.html) -
come al solito, effettivamente molto ben scritto - e le varie reazioni che
ha ricevuto, mi trovo in realtà molto più vicino all'opinione di David
Kennedy (linkata dallo stesso Bruce sul suo post).

Trovo il post di Bruce molto parziale, puntato com'è esclusivamente su
contromisure tecnologiche che, per quanto importanti, come sappiamo non sono
sufficienti a portare a casa il risultato: a me viene in mente quello che mi
raccontano i miei amici che di mestiere fanno i Penetration Tester, che
ottengono il risultato nel 100% dei casi, e nella maggior parte di essi
usano non la tecnologia ma una qualche combinazione di tecniche di social
engineering. Difficile dire quindi che la formazione delle persone non
conti.

Il "dettaglio" di cosa intendiamo per formazione, ovviamente, fa la
differenza, e - come autorevolmente commentato anche da chi ha risposto a
Bruce - non è lecito inferire dal fatto che la maggior parte dei programmi
di formazione sulla sicurezza fanno schifo (indubitabile) il fatto che
allora la formazione sulla sicurezza non serve. Il sillogismo non regge.

Ciò detto, le due cose positive che scrive, sono in realtà assolutamente
vere, giuste, commendabili, e da divulgare il più possibile:
1. spendere di più per educare i programmatori sulla sicurezza. Bisogna
davvero spendere molto di più per formare i programmatori; anzi mi verrebbe
voglia di prendere per le orecchie quanti ancora oggi si dimenticano di
inserire alcune cose assolutamente basilari come la validazione dei dati in
ingresso.
2. almeno una parte della consapevolezza che gli utenti hanno della
sicurezza deve essere "respirata nell'aria", percepita in modo informale,
ecc., come peraltro scrivi anche tu riferendoti alle pratiche e alla cultura
aziendale (ma non basta, la sicurezza non può fermarsi alla cancellata
dell'azienda).
>>

Il link all'articolo di David Kennedy:
- https://www.trustedsec.com/march-2013/the-debate-on-security-education-and-a
wareness/

Quaderno Clusit: "Certificazioni Professionali in Sicurezza Informatica 2.0"

Con molto piacere, segnalo la pubblicazione del Quaderno Clusit:
"Certificazioni Professionali in Sicurezza Informatica 2.0".

Gli autori siamo io e Fabio Guasconi.

Sono molto contento del risultato ottenuto, sia per la raccolta e
schematizzazione dei dati sia perché nell'introduzione siamo riusciti a
esporre i pregi delle certificazioni professionali insieme alle dovute
cautele da prendere.

Il Quaderno è disponibile su http://www.clusit.it/download/Q09_web.pdf.

OWASP Top 10 - 2013

OWASP ha pubblicato il 12 giugno l'aggiornamento delle "OWASP Top 10", ossia
delle 10 vulnerabilità più critiche delle applicazioni web. L'edizione
precedente è del 2010.

La notizia l'ho avuta dal gruppo Clusit su LinkedIn, che l'accompagna dal
seguente commento: "sono le stesse del 2010; questo vuol dire che
bisognerebbe iniziare a fare i compiti". Credo si riferisca al fatto che se
le vulnerabilità più critiche sono sempre le stesse, vuol dire che in 3 anni
nulla è stato fatto per ridurle.

In realtà l'elenco è leggermente diverso da quello del 2010, ma si tratta di
un rimescolamento delle stesse cose. Viene data maggiore evidenza ai
software riutilizzati, spesso non ben gestiti e aggiornati.

Trovo la lettura delle Top 10 un po' ostica, probabilmente a causa degli
accorpamenti fatti e della sintesi con cui i vari problemi sono trattati.
Sto quindi aspettando la nuova edizione della OWASP Guida, prevista per il
2013.

Potete scaricare la Top 10 dal seguente link:
- https://www.owasp.org/index.php/Top10

ITIL "venduto" ad una joint venture

La notizia è in giro da qualche tempo: il Governo UK ha "venduto" ITIL e
Prince2 ad una nuova società a cui lo stesso Governo UK partecipa con il
49%. Il 51% è di una società denominata Capita.

Alcuni sono molto critici perché temono un'eccessiva futura
commercializzazione di ITIL:
- http://www.itsmportal.com/news/itil-goes-commercial

Altri sono invece soddisfatti perché ora la nuova joint venture si occuperà
di svolgere funzioni di arbitro e controllore imparziale dei fornitori di
formazione e certificazioni ITIL, mentre in precedenza APMG svolgeva il suo
incarico di arbitro e controllore in regime di conflitto di interessi, in
quanto fornitore di certificazioni essa stessa.

In realtà, nel Gruppo Capita, una piccola società è fornitrice di formazione
ITIL, ma è stato dichiarato che i suoi servizi sono svolti principalmente
all'interno del Gruppo e che non vi sono piani di un suo sviluppo come
concorrente degli altri fornitori di formazione (ATO, accredited training
organization). Mi chiedo se però poi a Capita non verrà un po' di appetito.

Le dichiarazioni in merito al futuro del "sistema ITIL", seppure ancora
molto possibiliste, le trovate sul sito ufficiale:
- http://www.best-management-practice.com/?di=637187

Il mercato delle vulnerabilità - Parte 2

Un anno fa avevo scritto un breve articolo sul mercato delle vulnerabilità:
- http://blog.cesaregallotti.it/2012/06/il-mercato-delle-vulnerabilita.html

Nel numero del 30 maggio 2013, l'Economist tratta l'argomento più
diffusamente, anche se senza fare alcun commento:
- http://www.economist.com/news/business/21574478-market-software-helps-hacker
s-penetrate-computer-systems-digital-arms-trade

Faccio il mio: trovo allarmante che esistano così tante imprese legalmente
riconosciute il cui obiettivo è vendere vulnerabilità. Certamente io sono
uno sciocco, visto che i prezzi variano tra i 20.000 e 250.000 dollari!

Regole tecniche sulle firme elettroniche (AgID e Garante privacy)

Il 2 febbraio è stato approvato il Decreto del Presidente del Consiglio dei
Ministri dal titolo "Regole tecniche in materia di generazione, apposizione
e verifica delle firme elettroniche avanzate, qualificate e digitali [...],
che sostituisce quello del 30 marzo 2009.

Il DPCM si trova nella pagina del sito dell'AgID:
- http://www.digitpa.gov.it/firme-elettroniche-certificatori

Ringrazio Daniela Quetti che ha postato l'informazione sulla newsletter di
DFA.

Sul Sole 24 Ore si trova anche un interessante articolo che segnala come la
maggiore novità sia l'estensione delle regole alla firma elettronica
avanzata, non solo digitale; questo ha come conseguenza il riconoscimento
della piena validità giuridica dei documenti informatici, tranne che per
alcuni casi specifici:
- http://www.ilsole24ore.com/art/norme-e-tributi/2013-05-22/firma-elettronica-
funzioni-064353.shtml?uuid=AbrUL1xH
- http://www.ilsole24ore.com/art/norme-e-tributi/2013-05-22/vecchia-grafia-div
enta-spendibile-064416.shtml?uuid=AbUaL1xH

Ad aprile il Garante aveva già dato il permesso ad un paio di banche ad
introdurre la possibilità per i clienti di firmare su lettori digitali
anziché su carta; sebbene richiesto dalla normativa, il commento mi è
sembrato inutile e forse dannoso (ora dovrò stare attento a tutti i
documenti firmati che ho in casa perché rappresentano dati personali
biometrici con il rischio di palesare lo stato di salute del firmatario...):
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2
381240#1

Contrassegno elettronico e Linee guida

L'Agenzia per l'Italia Digitale ha emanato la Circolare n. 62/2013 relativa
alle Linee guida per il contrassegno generato elettronicamente.

Copiando dalla Circolare: " La copia analogica del documento amministrativo
informatico su cui è apposto il contrassegno elettronico sostituisce a tutti
gli effetti di legge la copia analogica sottoscritta con firma autografa e
pertanto non può essere richiesta all'amministrazione la produzione di altro
tipo di copia analogica".

Inoltre: "Il contrassegno non assicura di per sé la "corrispondenza" della
copia analogica al documento amministrativo informatico originale contenuto
nel contrassegno stesso o conservato dall'amministrazione che lo ha
prodotto, ma costituisce uno strumento mediante il quale è possibile
effettuare la verifica della suddetta corrispondenza secondo modalità
oggetto delle presenti linee guida".

I contrassegni elettronici più diffusi sono quelli visibili come quelle
specie di codici a barre a punti (PDF417, 2D-Plus, WR Code) o di quadrati a
punti (Maxicode, DataMatrix, Dataglyph, QR Code).

La circolare si trova sul sito dell'AgID:
- http://www.digitpa.gov.it/notizie/contrassegno-elettronico-online-circolare-
sulle-linee-guida

La formazione sulla sicurezza è utile? (risposte - parte 2)

In aprile avevo scritto che " la formazione degli utenti sulla sicurezza
informatica non è generalmente utile":
- http://blog.cesaregallotti.it/2013/04/la-formazione-sulla-sicurezza-e-utile.
html

Ho già pubblicato alcune risposte:
- http://blog.cesaregallotti.it/2013/05/la-formazione-sulla-sicurezza-e-utile.
html

Ne ho ricevuta un'alta da parte di Stefano Brambilla di Intesa Sanpaolo che
ringrazio perché la trovo molto interessante.

<< La mia esperienza vissuta in quest'ultimo periodo con la ISO/IEC 27001 mi porta a pensare che la formazione è utile. Infatti per le persone che lavorano sui sistemi in ambito di certificazione ho tenuto un corso di formazione di un'ora per dal titolo "Dal Cobit alla ISO/IEC 27001: implicazioni pratiche per gli operatori tecnici".

Non ho (per ora) una "misurazione di efficacia" quantitativa che lo possa dimostrare, ma vedo nel comportamento delle 35 persone a cui ho fatto il corso che ne tengono conto, anche se non tutti, non del tutto, e con attenzione decrescente nel tempo.... Però se non avessi fatto formazione avrei avuto comportamenti mediamente peggiori. Quindi la mia risposta secca alla domanda "La  formazione sulla sicurezza è utile?" è "Sì, è utile".>>

Il Governo USA raccoglie dati personali

La notizia è molto nota e molto diffusa e la traduco direttamente dal sito
del Washington Post (segnalato dal SANS NewsByte): la National Security
Agency e l'FBI stanno effettuando intercettazioni direttamente dai server di
9 delle più importanti aziende USA fornitrici di servizi Internet
(Microsoft, Apple, Yahoo!, Google, Facebook, Skype, YouTube, PalTalk, AOL)
per analizzare audio, video chiamate, fotografie, e-mail, documenti e
connessioni. Questo per controllare alcuni obiettivi stranieri.

Il progetto si chiama Prism ed è anche disponibile una presentazione
dell'NSA:
- http://www.washingtonpost.com/www.washingtonpost.com/investigations/us-intel
ligence-mining-data-from-nine-us-internet-companies-in-broad-secret-program/
2013/06/06/3a0c0da8-cebf-11e2-8845-d970ccb04497_story.html

Sul giornale del 8 giugno, Obama conferma la notizia:
- http://www.corriere.it/esteri/13_giugno_07/inchiesta-usa-nsa_e2fdc50e-cf7e-1
1e2-b6a8-ee7758ca2279.shtml

Lo sapevamo già da Echelon che una roba così era fattibile e quasi
sicuramente fatta. Il successo di telefilm come Person of interest dimostra
anche quanto tutto ciò fosse già da tempo nel nostro immaginario. E' dagli
anni '90 che in tutte le aziende ci si racconta che i sistemisti guardano le
e-mail del personale.

Ora abbiamo la certezza che tutto ciò è realtà. E finché sono i "buoni" a
fare certe cose, possiamo anche accettarlo. Ma le stesse tecnologie sono
anche in mano ai "cattivi" (lascio ai lettori scegliere a quale delle tue
categorie appartengono NSA e FBI) o ai "furbi" che ci inondano di
pubblicità.

Dovremo da una parte modificare qualche nostro atteggiamento personale e poi
osservare se questa notizie inciderà sulla società nel suo complesso. Forse
un po' più di attenzione alla riservatezza non potrà guastare.

Vademecum privacy del Garante

Il Garante della privacy ha pubblicato un opuscolo dal titolo "La privacy
dalla parte dell'impresa - Dieci pratiche aziendali per migliorare il
proprio business". Secondo il comunicato stampa esso "ha l'obiettivo di
aiutare le imprese a valorizzare il proprio patrimonio dati, trasformando la
privacy da costo a risorsa, senza per questo ridurre le tutele dei diritti
fondamentali della persona".

In realtà non dice alcunché di nuovo. Alcuni titoli della normativa vigente
sono riscritti in italiano più accessibile. E' un opuscolo utile solo a
coloro che non hanno mai affrontato l'argomento privacy.

In particolare, l'opuscolo non affronta i problemi più spinosi che le
imprese devono affrontare: come nominare i propri fornitori se si è titolari
di un trattamento (un professionista dovrebbe nominare Telecom Italia come
responsabile del trattamento ed esercitare il controllo sul suo operato?),
come nominare i propri fornitori se si è responsabili di un trattamento,
cosa si intende per amministratore di sistema e come devono essere svolte le
verifiche sul suo operato.

Peccato: un'altra occasione persa. Per chi volesse verificare:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2445101

Sky e la gestione delle vulnerabilità

Sandro Sanna mi ha segnalato questo articolo di Panorama:
- http://mytech.panorama.it/sicurezza/bug-sito-sky-hacker?utm_source=feedburne
r&utm_medium=feed&utm_campaign=Feed%3A+FeedDiTuttiICanaliDiPanoramait+%28Pan
orama.it+-+Tutti+i+canali%29

In poche parole, tale Fabio Natalucci (in gergo, il "findeer") ha segnalato
una vulnerabilità a Sky. Sky ha poi negato e il Natalucci ne ha scritto
assai sul suo blog:
- http://www.fabionatalucci.it/la-bella-risposta-di-sky/
- http://www.fabionatalucci.it/per-sky-hackingsky/

Non che la notizia sia diversa da tante altre, ma mi ha fatto riflettere sul
fatto che sono in lavorazione i seguenti standard in merito al
"Vulnerability handling":
- ISO/IEC 29147 - Responsible vulnerability disclosure (fornisce linee guida
per la divulgazione delle potenziali vulnerabilità nei prodotti e servizi
online);
- ISO/IEC 30111 - Vulnerability handling processes (descrive i processi per
i vendor della gestione della segnalazioni di potenziali vulnerabilità nei
prodotti e nei servizi online).

Sono tutti e due in stato di DIS e se non ci sono intoppi dovrebbero essere
quindi pubblicati tra un anno circa.

Per quanto riguarda il caso in questione, cose che si dovrebbero fare ma non
sono state fatte:
- ogni fornitore di servizi o prodotti dovrebbe rendere disponibile un
canale sicuro attraverso cui comunicare le vulnerabilità e poi mettersi in
comunicazione con il "finder" se non comprende bene la natura della
segnalazione;
- il "finder" non dovrebbe mai rendere disponibile l'exploit, ma solo un
resoconto (per esempio sul modello dei Microsoft Buletin).

Si dice anche che il "finder" potrebbe comunicare la vulnerabilità ad un
CERT, ma sembra che in Italia continui a non esistere...

Binding corporate rules: un parere

Max Cottafavi di Reply mi segnala questo articolo di sintesi sul parere
positivo dell'Art 29 WP sul ricorso alle Binding Corporate Rules (BCR) da
parte dei responsabili esterni del trattamento (c.d. "BCR for Processors"):
- http://livinginaglassworld.com/2013/05/21/binding-corporate-rules-per-i-resp
onsabili-del-trattamento-i-chiarimenti-dellart-29-working-party/

Il commento di Max Cottafavi è "non credo molto nelle BCR e trovo
estremamente difficile che società di uno stesso gruppo multinazionale,
operante in contesti e nazioni totalmente differenti tra loro, riescano a
metterle in piedi e a rispettarle. I casi virtuosi ci sono ma di essi si
parla proprio perchè rappresentano delle eccezioni".

Ricordo che l'Art 29 WP, come dichiarato sul sito web della Commissione
Europea (http://ec.europa.eu/justice/data-protection/article-29/), ha un
ruolo di consulenza.

Fattura elettronica obbligatoria per la PA: pubblicato il regolamento

Ci sono cose che fanno piacere: la fatttura elettronica è ora obbligatoria
per la Pubblica Amministrazione grazie al DM 55 del Ministero dell'economia
e delle finanze del 3 aprile 2013 con titolo "Regolamento in materia di
emissione, trasmissione e ricevimento della fattura elettronica da
applicarsi alle amministrazioni pubbliche [...]".

Se pensiamo che ci sono aziende private che ancora inviano fatture in
formato cartaceo e si rifiutano anche di riceverle in formato elettronico,
possiamo sperare che anche loro si evolvano.

L'articolo su CINDI, con il link alla normativa:
- http://www.cindi.it/fattura-elettronica/

Quante volte al giorno controlli l'email?

Segnalo questo interessante articolo dal titolo "Quante volte al giorno
controlli l'email?".

In pochissime parole: se controllate le vostre e-mail più di 4 volte al
giorno, siete improduttivi.

Credo di sperimentarlo su me stesso.

Ma il tutto è ben argomentato dall'articolo stesso:
- http://www.achab.it/blog/index.cfm/2013/4/quante-volte-al-giorno-controlli-l
email.htm.

Byod, la ricetta non vale per tutti

Enzo Ascione di Intesa Sanpaolo mi scrive:
"ti segnalo un articolo che parla di quanto il BYOD sia in crescita, ma non
per tutte le tipologie di azienda. Da non sottovalutare, inoltre, i rischi
per la sicurezza, visto che molto presto si farà luce anche il Byoa (per non
farci mancare nulla come sigle), Bring your own app, ossia 'usate il vostro
software'".

L'articolo:
- http://www.corrierecomunicazioni.it/tlc/21351_milanesi-byod-la-ricetta-non-v
ale-per-tutti.htm

La formazione sulla sicurezza è utile? (risposte)

In aprile avevo scritto che " la formazione degli utenti sulla sicurezza
informatica non è generalmente utile".

Enzo Ascione di Intesa Sanpaolo mi ha risposto con una mail interessante che
riporto:

"Ciò che affermi è giustissimo nella misura in cui continuiamo a pensare che
la società in cui viviamo non sia perfettibile.

Da qualche tempo faccio parte di un'associazione composta da volontari che
insegna ai ragazzi nelle scuole l'utilizzo di Internet in modo consapevole.
Ovvero, oltre l'uso anche le insidie che si nascondono interagendo nel mondo
virtuale. L'associazione si chiama: Icaro ce l'ha fatta
(www.associazioneicaro.org).

Inoltre, stiamo emettendo a livello banca una serie di regole sullo sviluppo
sicuro del software, ma più si va avanti e più ci si accorge che non esiste
un "codice sicuro".

La profilazione dei propri device è comunque qualcosa a cui stanno reagendo
bene gli utenti… forse accoppiandola a regole di comportamento (etico e non)
può rappresentare una buona scappatoia".

Ringrazio Enzo. Mi permetto di dare due risposte:
- utilissima la formazione svolta anche sui ragazzi per l'uso consapevole
delle tecnologie (ringrazio quanti fanno questa attività, spesso volontaria,
che ha anche l'effetto di rendere Internet un posto un po' più sicuro);
- i comportamenti a livello aziendale sono purtroppo condizionati da altre
cose (fretta, efficienza, contenimento dei costi) e queste spesso sono
ritenute più importanti della sicurezza.

Sony.it e internazionalizzazione

Inizio con un caso personale, che forse interesserà a pochi, per poi fare
qualche riflessione più generale.

A marzo ho comprato un pc on-line sul sito della Sony.it. Seguo le semplici
istruzioni, inserisco il "indirizzo di fatturazione", inserisco il codice
fiscale, pago e non mi accorgo che non il sito non mi ha mai chiesto la
partita IVA. Mi arriva la fattura con partita IVA italiana e la consegno
pochi giorni fa alla mia commercialista. La quale mi fa notare che, non
essendoci partita IVA, non potrà recuperare l'IVA di quell'acquisto e mi
insulta. Io penso di essermi fidato di un operatore come Sony e di non
essere stato più che attento. Chiamo il servizio clienti e mi rispondono che
sul sito c'è scritto che se volevo la fattura, dovevo telefonare. Ho
verificato e non ho trovato da nessuna parte questa dicitura. La fattura,
inoltre, contrariamente a quanto previsto dalla normativa in vigore dal
primo gennaio 2013, non riporta neanche il mio codice fiscale.

Ovviamente, la Sony ha solo tradotto in italiano il proprio sito di
e-commerce e ha imposto SAP per la contabilità worldwide.

Pensate quello che volete di me, ma mi è venuto da pensare più in generale
ai progetti di internazionalizzazione e di consolidamento dei servizi IT:
molte aziende sviluppano un software, con le specifiche fornite dal
personale della casa madre, e poi lo impongono a tutte le filiali nel mondo,
senza prima fare uno studio serio sulle specificità, anche implicite, di
ciascun Paese (se da qualche parte scrivi "fatturazione" a me risulta
implicito che poi ti venga chiesta la partita IVA).

Questo succede sia ai software utilizzati internamente, che ai servizi
offerti al pubblico: ho alcuni amici che hanno passato mesi a litigare con
la casa madre perché il sistema di contabilità non è adeguato alla normativa
italiana, ho visto molte imprese preoccupate per dei software imposti dalla
casa madre che non rispettano alcuna misura prevista dalla normativa
privacy, e molte case madri non rilasciano alcun documento che possa essere
utilizzato dalle imprese italiane per dimostrare la correttezza degli
adempimenti privacy.

La Sony ha perso un misero ma (ex) affezionato cliente; ma sarebbe bello si
sviluppassero meglio i software e i servizi IT con impatto internazionale e
che i responsabili di tali progetti non si improvvisassero tali.

Discussioni sul monitoraggio

Dopo il mio articolo su "Se non lo misuri non lo conosci?", in cui criticavo
l'impostazione del controllo aziendale basato su misurazioni, promuovendo
quello basato sul monitoraggio, ho ricevuto due commenti.

Il primo di Andra Rui che non è d'accordo con me perché "il monitoraggio è
una forma meno precisa di misurazione (riporta gli andamenti nel tempo)". Io
intendo come "monitoraggio" l'analisi continua dei processi e delle attività
dell'impresa, di modo da arrivarne alla conoscenza profonda. Infatti i
numeri nascondo spesso inefficienze e problemi e i manager passano troppa
parte del proprio tempo a mettere a posto i numeri e non le inefficienze.
Come sempre, non sempre i termini sono interpretati da tutti nello stesso
modo (i tecnici informatici, infatti, intendono il monitoraggio come
andamenti). Io mi scuso per l'ambiguità del mio scritto.

Fabrizio Monteleone, invece, aggiunge ricorda: "il principio di
indeterminazione di Heisenberg implica che ad una particella non è possibile
assegnare, e quindi anche conoscere, nello stesso momento un definito valore
della posizione e della velocità o quantità di moto. .......Tale principio
implica che quanto più è precisa la misura di una grandezza tanto maggiore
sarà l'errore nella misura dell'altra, per cui l'osservatore dovrà scegliere
quale misura privilegiare e tarare gli strumenti di conseguenza
(wikipedia)". E aggiunge "il mio modestissimo parere di studente svogliato e
poco proficuo: ciò implicherebbe che nei sistemi di gestione è inutile
bearsi di moltitudini di indicatori spesso tra loro collegati o
derivati...". Condivido la condivisione dell'approccio di alcuni auditor che
richiedono di misurare sempre più cose.

Da tutto ciò, mi è venuto in mente l'esempio dell'automobile. Per guidarla
abbiamo normalmente bisogno di: 2 o 3 indicatori (velocità, livello di
benzina e numero di giri; possiamo aggiungere la distanza per arrivare a
destinazione e l'ora), dei sistemi di allarme se qualcosa non va bene e
tanta tanta attenzione alla strada, ai cartelli e al traffico (che non
dobbiamo contare o misurare). Lo stesso per guidare un'azienda: pochi
indicatori, dei sistemi di allarme e tanta tanta attenzione a cosa sta
succedendo.

Non è farina del mio sacco: segnalo già per la seconda volta il libro
"Contro il management" di Francesco Varanini.

Conseguenze se non si ha una PEC

Come già detto in precedenza, il DL 5 del 2012 ha introdotto l'obbligo per
le società di avere una PEC.

Ora in Consiglio di Stato ha chiarito quali sono le conseguenze se non si ha
una PEC: banalmente, la società non può essere iscritta al Registro delle
imprese!

Maggiori dettagli su Filodiritto:
- http://www.filodiritto.com/consiglio-di-stato-senza-la-pec-la-societa-non-si
-iscrive-nel-registro-delle-imprese/#.UZCW4spWXj4

Qualche strumento per la sicurezza informatica

Mercoledì, in occasione dell'interessantissimo DFA Open Day (ero tra gli
organizzatori... perdonate l'aggettivo...), mi sono confrontato con Valerio
Vertua di DFA e ho steso questo piccolo elenco di software free.

Truecrypt (www.truecrypt.org)
Serve per creare dischi, partizioni, cartelle cifrate (ma le possibilità
sono ancora più ampie) e ne esistono versioni portable per pc e mac; se le
persone non rinunciano ad usare una chiavetta USB per farsi i backup e, cosa
ancora peggiore, la usano anche scambiare file con altre persone, allora
che creino un contenitore crittografato sulla chiavetta e lo affianchino
alle versioni portable di Truecrypt in modo da potervi accedere da qualsiasi
computer (ed evitare che le persone con cui scambiano file accedano anche a
quelli non destinati a loro).
AGGIORNAMENTO:  TrueCrypt è ora ritenuta insicuro. In post successivi a questo ho fornito delle alternative.

Eraser (http://eraser.heidi.ie)
Quasi tutte le imprese dicono al proprio personale di cancellare i dati in
modo sicuro, ma non forniscono loro alcun software per farlo. Eraser è free
e fa benissimo il lavoro. Da impostare affinché effettui solo un passaggio
di cancellazione perché è più che sufficiente e non dannoso per l'hardware.
Se poi dovete anche cancellare in modo sicuro un intero disco, fa anche
quello (in Windows, basta cliccarci con il tasto destro per trovare
l'opzione).

Wuala (www.wuala.com)
Mi dicono che, secondo le analisi attuali, è uno dei servizi cloud di
storage per backup e scambio di file più sicuro di tutti. Perché cifra sul
client, perché la chiave crittografica non lascia mai il proprio device (sia
esso il pc, mac, il tablet o lo smartphone) e perché non è possibile
accedere al servizio cloud mediante browser (ma solo attraverso
un'interfaccia java) e per tanti altri motivi. Gratis fino a 5GB.

Tails (https://tails.boum.org/)
Se usate un pc non vostro per lavoro, è meglio usare un "vostro" pc portable
che poi non lasci tracce sul pc ospite. Tails occupa meno di 1GB e può
essere installato su chiavetta USB o DVD. Tra le tante caratteristiche
uniche di questa distribuzione live: tutto il traffico Internet avviene
attraverso la rete TOR, è possibile creare una partizione cifrata per
salvare i propri dati e le proprie impostazioni ed, infine, viene pulita la
RAM, con tecniche wiping, quando viene spento, per qualsiasi motivo, il
"vostro" pc portable. Se, per caso, sul pc ospite sono installati dei
keylogger, Tails vi protegge: basta infatti usare la tastiera virtuale
prevista di default.

PGP e GPG (http://www.gnupg.org/)
Da quando PGP è stato acquistato dalla NAI (ora è proprieta della Symantec)
e non è più free, l'uso di questo strumento è diventato sempre meno popolare
fra i più "diffidenti". Ma GPG è free! E ne esistono anche le versioni con
interfaccia grafica per Windows (Gpg4win) e Mac (GPGTools)! Da usare per le
mail riservate o i file critici da scambiare con altri.

PS: ringrazio ancora Valerio Vertua per aver ricontrollato e molto corretto il mio articolo iniziale.

Green IT

Continuo a professare a mia incompetenza nel campo del Green IT o, se
vogliamo chiamarlo in italiano, dell'Uso razionale dell'energia nei centri
di calcolo.

Ma trovo che capirne un po' aiuti a capire meglio le aziende IT con cui
parlo di gestione dei servizi IT e ISO/IEC 20000-1 o ISO 9001. Stranamente,
anche quando parlo di ISO/IEC 27001 mi sono trovato impelagato in dibattiti
sul free cooling e amenità del genere.

Ancora una volta, mi è venuto in aiuto Franco Ferrari che mi ha segnalato
delle interessanti pubblicazioni che mi hanno permesso di capire meglio
alcuni termini e alcuni argomenti.

La prima è dell'ENEA e della FIRE e ha il titolo che ho appena copiato e
incollato: "Uso razionale dell'energia nei centri di calcolo" e il link si
trova nella pagina che segue:
- http://www.fire-italia.it/caricapagine.asp?target=studi.asp

Il secondo è dell'ENEA e ha titolo "Definizione di algoritmi e indicatori
per l'efficientamento dei centri di elaborazione dati (CED)" (il report è
del 2011, ma è sotto la dicitura "2008"):
-
http://www.enea.it/it/Ricerca_sviluppo/ricerca-di-sistema-elettrico/Risparmi
o-energia-elettrica/tecnologie-per-lefficienza-energetica-nei-servizi/report

Il terzo è di CISCO, Panduit, APC e riporta alcuni elementi sul cablaggio.
E' del 2007 e l'ho trovato solo al link che segue:
-
www.cisco.com/web/IT/products/dc/pdf/facility_consideration_for_datacenter_i
ta.pdf

Sui corsi Privacy Officer

Negli ultimi giorni mi sono arrivate delle richieste per dei corsi da
Privacy Officer, figura richiesta dal Regolamento Europeo sulla privacy.
Tali corsi sono già offerti da alcune aziende. In casi ancora più
particolari, tali corsi sono dichiarati "conformi alla ISO/IEC 17024 sulla
certificazione del personale".

Mi sono sempre rifiutato di soddisfare queste richieste, così come
formulate. Ovviamente, sono il primo a promuovere la formazione del
personale, ma non in questi termini.

Spiego il perché:
- il Regolamento Europeo è stato appena approvato dalle Commissioni del
Parlamento Europeo e quindi dovrà effettuare altri passaggi di revisione:
quindi qualsiasi cosa è presente oggi nel testo potrà essere modificata o
eliminata nella versione definitiva;
- l'uscita è prevista a inizio 2014 e prevederà un periodo di transizione
tale da permettere alle organizzazioni di adeguarsi ai nuovi adempimenti
rispetto alle normative nazionali attualmente seguite (in Italia, il Codice
Privacy);
- il Regolamento potrà essere approvato in forma definitiva anche prima e
potrebbe anche non essere mai approvato (ricordo che il Parlamento
Europeo sarà sciolto nei primi mesi del 2014, secondo la sua normale
scadenza).

Conseguenza di quanto detto sopra: il Privacy Officer potrebbe non essere
più previsto nel testo definitivo o potrebbe avere compiti diversi da quelli
attualmente previsti. Quindi: non trovo corretto sottindendere la necessità
del corso o la sua adeguatezza rispetto ad una norma di cui non si conosce
la forma finale.

Per quanto riguarda la conformità alla ISO/IEC 17024, preferisco limitarmi a
copiare una dicitura vista sul web: "il corso è stato impostato in accordo
allo standard UNI CEI EN ISO/IEC 17024:2004" e far notare che non si dice
che il corso "è stato certificato rispetto alla ISO/IEC 17024", ma si usa
una formula che da una parte non lo afferma, ma dall'altra parte lascia quel
minimo di ambiguità utile ad ingannare le persone meno attente o meno
preparate su questo singolo punto.

MELANI: Rapporto semestrale 2012/II

La Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI
della Svizzera pubblica semestralmente un rapporto sulla situazione in
Svizzera e a livello internazionale. Esso è sempre molto interessante.

L'ultimo numero, reso disponibile a inizio maggio, raccoglie notizie sugli
eventi censiti nel periodo di riferimento e li commenta. In particolare
segnalo i seguenti:
- attacchi agli impianti industriali (SCADA)
- il ritorno del phone phreaking
- aggiornamenti sui conflitti informatici in Medio Oriente, in particolare
sui malware Flame, Gauss e Shamoon;
- attacchi alle porte elettroniche degli alberghi (la notizia dell'attacco
ai sistemi aerei è del 2013, quindi in questo numero non se ne accenna);
- analisi degli app stores.

Gli articoli sono molti e molto ben fatti: sono mirabili per interesse e
sintesi, visto che sono concentrati in 40 pagine.

Pubblicata la ISO/IEC 27014 "Governance of information security"

Franco Ferrari del DNV Italia mi ha segnalato che è stata pubblicata con
data 15 maggio la ISO/IEC 27014 dal titolo "Governance of information
security".

Mi chiederò sempre perché lui sappia queste cose con questo anticipo, visto
che la segnalazione è del 7 maggio.

Detto ciò, posso dire quanto segue:
- la norma che non dice, a mio parere, nulla di nuovo;
- rigira il modello PDCA in "Evaluate-Direct-Monitor-Communicate-Assure", a
sua volta ripreso da quello proposto dalla ISO 38500 (che però si limitava
alle sole prime 3 aree);
- utilizza alcuni concetti (risk appetite, information security status) non
sono rintracciabili nelle altre norme della serie ISO/IEC 27000 in vigore e
che potrebbero generare confusione.

Vedremo comunque come questa norma sarà accolta dal mercato e se io l'ho
letta troppo distrattamente e non ne ho colto tutti gli aspetti.

Pubblicata la ISO/IEC TS 17021-3 sulle competenze degli auditor qualità

La ISO ha comunicato la pubblicazione della "ISO/IEC TS 17021 Conformity
assessment – Requirements for bodies providing audit and certification of
management systems, Part 3: Competence requirements for auditing and
certification of quality management systems".

La parte 2, pubblicata ad agosto 2012, riguardava le competenze degli
auditor dei sistemi di gestione ambientale (ISO 14001). Ricordo inoltre che
queste sono norme applicabili ai soli organismi di certificazione e non alle
"normali" imprese.

E' comunque interessante osservare come stia aumentando l'attenzione sulle
competenze degli auditor, anche con norme dedicate. In effetti, le norme di
requisiti (ossia quelle certificabili) come la ISO 9001 o la futura ISO/IEC
27001 sono sempre meno dettagliate, per garantire la loro applicabilità a
tutte le tipologie di organizzazioni, e richiedono sempre più una
valutazione dell'adeguatezza del sistema di gestione e delle misure
adottate.

Ovviamente, per valutare l'adeguatezza di un sistema di gestione bisogna
essere competenti sulla materia.

Tutto ciò, però, pone dei problemi alle organizzazioni oggetto degli audit e
agli auditor: se un auditor non ritiene adeguata una misura, risulta
difficile sostenere la propria tesi se quanto visto è in effetti
strettamente conforme al requisito della norma; dall'altra parte, se un
auditor pretende misure eccessive rispetto alle reali esigenze
dell'organizzazione, diventa difficile per quest'ultima contestarle visto
che la valutazione è basata su parametri spesso non scritti nella norma di
riferimento (può però inoltrare reclamo e ricusare l'auditor per le
successive verifiche).

Solo un auditor competente, tranne casi estremi, può avviare un reale
confronto con l'organizzazione oggetto dell'audit per valutare l'adeguatezza
di quanto attuato e non essere successivamente contestato quando i propri
rilievi sono pertinenti.

Trovate il rapporto in questa pagina:
-
http://www.melani.admin.ch/dienstleistungen/archiv/01536/index.html?lang=it

Aggiornamenti sulle norme ISO/IEC 270xx

La settimana del 22 aprile si è tenuto a Sophia Antipolis (vicino ad
Antibes, Francia) il 46 Plenary Meeting del WG1 del SC27 del JTC1 della
ISO/IEC; in poche parole, si è tenuto l'incontro semestrale del gruppo di
esperti dedicato alla scrittura delle norme della famiglia ISO/IEC 270xx. Di
seguito i risultati.

Per la cronaca, per la delegazione italiana eravamo in 5 (io, il Presidente
Fabio Guasconi, Andrea Caccia, Dario Forte e Stefano Ramacciotti).

ISO/IEC 27000: si è avanzati nell'aggiornamento della norma dedicata ai
termini e definizioni, soprattutto per includere le novità della futura
27001; difficile oggetto di discussione è stata la definizione di Statement
of Applicability.

ISO/IEC 27001: la norma è passata in stato di final draft con un solo voto
negativo; dovrebbe essere quindi pubblicata a ottobre-novembre 2013, dopo
l'incontro previsto a Songdo in Corea del Sud la settimana del 21 ottobre;
gli aggiornamenti sono stati minimali perché, dopo anni a discutere di Annex
A, posizionamento del risk assessment (nel plan o nel do), obbligatorietà o
meno dello statement of applicability, eccetera, è prevalsa l'idea che si è
raggiunto comunque un buon compromesso e l'unico metro di giudizio potrà
essere solo l'applicazione sul campo della nuova norma; per chi volesse
ripassare gli argomenti di discussione, rimando ai miei post precedenti;
aggiungo il fatto che i Paesi Bassi, pur approvando il passaggio della norma
in final draft, si sono formalmente lamentati delle ambiguità presenti nel
testo, che potranno essere negative per il mercato (personalmente, sono
d'accordo con loro).

ISO/IEC 27002: anche questa è passata in stato di final draft con 2 voti
negativi (uno perché le 1.000 proposte di modifica (!) non sono state tutte
correttamente prese in carico e potrebbero avere introdotto delle incoerenze
nel testo; l'altro perché la norma esplicita la possibilità di avere policy
a diversi livelli); anch'essa dovrebbe quindi essere approvata a ottobre a
Songdo.

ISO/IEC 27003: sono iniziati i lavori sulla revisione della "Implementation
guidance" che dovrebbe, nella migliore delle ipotesi, essere pubblicata tra
un paio di anni; questa norma è ora reputata molto importante perché fornirà
una guida all'interpretazione dei requisiti della 27001 che alcuni, me
incluso, reputano in molti casi troppo sintetici. Vedremo come avanzeranno i
lavori.

ISO/IEC 27004: anche per questa norma (sulla misurazione dell'efficacia di
un ISMS) sono proseguiti i lavori e si applicano le stesse considerazioni
fatte per la 27003; con soddisfazione di molti (inclusi gli italiani), è
passata l'idea che la seconda edizione deve essere più pratica e meno
teorica, a differenza dell'attuale edizione del 2009.

ISO/IEC 27006: questa volta, l'incontro sulla 27006 è stato molto più
affollato delle volte precedenti; con mia grande soddisfazione, il requisito
di avere la versione del SOA sul certificato è stato eliminato e si cercherà
di dare maggiori possibilità di riduzione dei tempi di audit (si manterrà
l'impostazione attuale, ma dando più possibilità agli Organismi di
certificazione di ridurre le giornate di audit; si studierà un meccanismo
per evitare che alcuni organismi facciano audit non adeguati). Ricordo però
che lo stato della 27006 è ancora di Working draft e quindi molte cose
potranno ancora accadere.

ISO/IEC 27009: questa norma riguarda l'uso delle norme settoriali (27011,
27017, 27018, 27019 e altre) per le certificazioni ISO/IEC 27001; c'è stata
molta discussione anche sul titolo (l'Italia si è anche opposta, con la
maggioranza, alla modifica del titolo in "Application of ISO/IEC 27001 -
Requirements") e sul suo campo di applicabilità.

ISO/IEC 27011 (telecomunicazioni) e 27013 (uso congiunto di 27001 e 20000):
è stato approvato l'inizio del lavori di revisione.

ISO/IEC 27016 ("Organizational economics") e ISO/IEC 27017 (sul cloud
computing): sono proseguiti i lavori

E' stato approvato l'inizio dei lavori per un nuovo standard sulla
certificazione dei professionisti dediti all'information security
management.

Infine, si è parlato della norma ISO 34001 "Security Management System",
proposta dal ISO/TC 247 "Fraud countermeasures and controls", perché sembra
voler essere in competizione con la ISO/IEC 27001.