Il 14 marzo avevo annunciato la pubblicazione della nuova versione della norma italiana UNI 10459 sui professionisti della "security":
- http://blog.cesaregallotti.it/2015/03/uni-104592015-professionista-della.html
In quell'occasione mi ero lamentato dell'uso del termine "security" in una norma italiana.
Franco Ruggieri, che ringrazio molto, mi risponde che non concorda e lo cito.
<<
Avendo visto la emetica traduzione in italiano del Regolamento (EU) 910/2014, oltre ad altre iniziative di UNI, tra cui la traduzione dello ISO/IEC 27001, preferisco che si utilizzi l'inglese.
Io faccio da decenni un ragionamento: i medici si sono inventati termini ostici per noi mortali, ma chiarissimi per loro del mestiere. Perché nell'informatica, dove non dobbiamo inventarci nulla in quanto gli americani/inglesi hanno de facto già creato un vocabolario tecnico, dobbiamo disintegrarci il cervello alla ricerca di termini italiani che, poi, risultano essere, nella migliore delle ipotesi, ambigui? E tieni conto che io per 5 anni circa sono stato in una Direzione IBM dove ci si occupava di tradurre i programmi e le dispense IBM, quindi so di che cosa parlo.
>>
Credo che Franco, per gentilezza, abbia evitato di ricordarmi che l'italiano "sicurezza" può tradurre sia "safety" (ossia la sicurezza delle persone) sia "security" (ossia la sicurezza dei beni o del patrimonio) e che usare il titolo "Professionista della sicurezza" sarebbe stato scorretto.
In parte condivido l'approccio di Franco. Certamente quando alcuni termini anglosassoni non hanno un equivalente condiviso in italiano (come "firewall"; sarebbe buffo chiamarlo "muro di fuoco"), oppure ce l'hanno ma poco usato (come "computer", che potrebbe essere tradotto con "elaboratore"). In altri casi, però, io mi ostino a cercare di usare l'italiano; vorrei citare quelli che usano "action plan" al posto di "piano di azioni" (perché fa "competente" usare termini in inglese a casaccio).
In effetti, sul termine "security" sospendo il giudizio.
D'altra parte condivido anche la sua idea (la deduco soltanto) che forse è inutile tradurre certe cose. Mi chiedo spesso come ci si possa occupare di sicurezza delle informazioni senza leggere l'inglese, visto che le pubblicazioni più interessanti (con l'ovvia eccezione del mio libro!) sono tutte in inglese. Purtroppo alcune risposte le ho già, ma mi intristiscono.
giovedì 19 marzo 2015
martedì 17 marzo 2015
Novità legali: SPID (precisazione)
Una precisazione da Andrea Caccia di Kworks a seguito dell'articolo sullo SPID:
- http://blog.cesaregallotti.it/2015/03/spid-identita-digitale.html
Copio e incollo quanto segnalatomi da Andrea e lo ringrazio.
"Il Regolamento UE eIDAS non introduce realmente un sistema per la gestione dell'identità di gitale, ma un sistema di mutuo riconoscimento per gli schemi nazionali di gestione dell'identità digitale che diventerà operativo però solo con l'emanazione dei previsti atti esecutivi da parte della Commissione. In Italia il sistema di chiama "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" e nasce con ambizioni europee ed evolverà in modo da poter essere riconosciuto anche dagli altri Stati membri dell'Unione."
Attualmente i decreti attuativi sono dal GarantePrivacy per la necessaria approvazione".
- http://blog.cesaregallotti.it/2015/03/spid-identita-digitale.html
Copio e incollo quanto segnalatomi da Andrea e lo ringrazio.
"Il Regolamento UE eIDAS non introduce realmente un sistema per la gestione dell'identità di gitale, ma un sistema di mutuo riconoscimento per gli schemi nazionali di gestione dell'identità digitale che diventerà operativo però solo con l'emanazione dei previsti atti esecutivi da parte della Commissione. In Italia il sistema di chiama "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" e nasce con ambizioni europee ed evolverà in modo da poter essere riconosciuto anche dagli altri Stati membri dell'Unione."
Attualmente i decreti attuativi sono dal GarantePrivacy per la necessaria approvazione".
La scatola degli attrezzi per la sicurezza applicativa
Stefano Ramacciotti, sempre molto gentile, sa bene quanto mi interessi la sicurezza applicativa (anche perché devo approfondirla).
Questa volta mi ha segnalato un articolo interessante dal titolo "The Web AppSec How-to: The Defenders' Toolbox":
- https://www.checkmarx.com/white_papers/the-defenders-toolbox/
Se almeno uno di questi strumenti vi risulta sconosciuto, ne raccomando la lettura (l'articolo è molto breve e di tipo introduttivo; ma da qualche parte bisogna pur iniziare):
- Penetration testing;
- Web Application Firewall (WAF);
- Dynamic Application Security Testing (DAST);
- Static Application Security Testing (SAST);
- Interactive Application Security Testing (IAST).
Questa volta mi ha segnalato un articolo interessante dal titolo "The Web AppSec How-to: The Defenders' Toolbox":
- https://www.checkmarx.com/white_papers/the-defenders-toolbox/
Se almeno uno di questi strumenti vi risulta sconosciuto, ne raccomando la lettura (l'articolo è molto breve e di tipo introduttivo; ma da qualche parte bisogna pur iniziare):
- Penetration testing;
- Web Application Firewall (WAF);
- Dynamic Application Security Testing (DAST);
- Static Application Security Testing (SAST);
- Interactive Application Security Testing (IAST).
sabato 14 marzo 2015
2 luglio: DFA Open Day
Questo è un annuncio preliminare: il 2 luglio 2015, presso la Statale di Milano, si terrà il DFA Open Day.
Per saperne di più su DFA: http://www.perfezionisti.it/.
Anche quest'anno gli interventi rigaurderanno applicazioni di tecniche forensi, progetti internazionali correlati, novità giuridiche e legali.
Quindi: segnatevi la data! E se qualcuno conosce qualche potenziale sponsor, me lo faccia sapere (l'impegno per lo sponsor sarebbe molto ridotto).
Per gli ansiosi: non terrò alcun intervento; mi occuperò solo dell'organizzazione, di presentare i diversi relatori e di mantenere un po' d'ordine nelle domande.
Per saperne di più su DFA: http://www.perfezionisti.it/.
Anche quest'anno gli interventi rigaurderanno applicazioni di tecniche forensi, progetti internazionali correlati, novità giuridiche e legali.
Quindi: segnatevi la data! E se qualcuno conosce qualche potenziale sponsor, me lo faccia sapere (l'impegno per lo sponsor sarebbe molto ridotto).
Per gli ansiosi: non terrò alcun intervento; mi occuperò solo dell'organizzazione, di presentare i diversi relatori e di mantenere un po' d'ordine nelle domande.
SPID - Identità digitale
A dicembre avevo parlato del Regolamento UE eIDAS:
- http://blog.cesaregallotti.it/2014/12/regolamento-ue-910-del-2014-e-cad_11.html
Agostino Oliveri di Sicurdata mi ha segnalato che il Regolamento introduce anche un sistema per la gestione dell'identità digitale. In Italiano questo meccanismo vede una prima regolamentazione nel DPCM 24 ottobre 2014 ed è denominato "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" (meglio non commentare certi acronimi).
Agostino mi ha anche inviato un articolo:
- http://www.agendadigitale.eu/identita-digitale/1304_il-regolamento-eidas-vara-il-marchio-di-fiducia-europeo.htm
Qui si parla dello Spid alla fine e si dice che "lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell'Agenzia per l'Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese"; "in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema".
Per saperne ancora di più, segnalo la pagina di AgID:
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/spid
Si osservi che i regolamenti attuativi, ad oggi, sono ancora in bozza.
- http://blog.cesaregallotti.it/2014/12/regolamento-ue-910-del-2014-e-cad_11.html
Agostino Oliveri di Sicurdata mi ha segnalato che il Regolamento introduce anche un sistema per la gestione dell'identità digitale. In Italiano questo meccanismo vede una prima regolamentazione nel DPCM 24 ottobre 2014 ed è denominato "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" (meglio non commentare certi acronimi).
Agostino mi ha anche inviato un articolo:
- http://www.agendadigitale.eu/identita-digitale/1304_il-regolamento-eidas-vara-il-marchio-di-fiducia-europeo.htm
Qui si parla dello Spid alla fine e si dice che "lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell'Agenzia per l'Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese"; "in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema".
Per saperne ancora di più, segnalo la pagina di AgID:
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/spid
Si osservi che i regolamenti attuativi, ad oggi, sono ancora in bozza.
UNI 10459:2015 - Professionista della Security
Enzo Ascione di Intesa Sanpaolo Group Services mi ha segnalato la pubblicazione della norma UNI 10459:2015 dal titolo "Attvità professionali non regolamentate: Professionista della Security - Requisiti di conoscenza, abilità e competenza". La norma tratta di sicurezza sia fisica sia delle informazioni (anche se l'accento è sicuramente sulla prima).
Enzo mi ha anche segnalato un articolo in merito:
http://www.snewsonline.com/notizie/attualita/l_evoluzione_del_ruolo_del_security_manager_funzioni_e_profili_del_professionista_della_security_aziendale_
nuova_norma_uni_10459_2015-2939.
Franco Vincenzo Ferrari di DNV GL mi ha segnalato che, sempre in merito agli organismi di vigilanza, è stata recentemente firmata una convenzione tra Accredia e il Dipartimento della Pubblica Sicurezza. Accredia quindi potrà accreditare gli organismi di certificazione affinché certifichino gli istituti di vigilanza in base alle normative UNI 11068:2005 e UNI CEI EN 50518:2014 relative alle centrali operative e di telesorveglianza, UNI 10891:2000 per gli istituti di vigilanza privata e UNI 10459:2015 riguardante i professionisti della security:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1819&areaNews=95>emplate=de
fault.jsp.
Personalmente sono un po' perplesso, visto che si tratta di tantissime competenze per cui un esperto che discetti di sicurezza fisica, informatica e investigazioni, alla fine risulta essere un tuttologo senza reali competenze. Ma non vorrei essere inutilmente pessimista (il titolo di una norma UNI che usa il termine "security" e non "sicurezza" mi ha messo di malumore fin dall'inizio).
Enzo mi ha anche segnalato un articolo in merito:
http://www.snewsonline.com/notizie/attualita/l_evoluzione_del_ruolo_del_security_manager_funzioni_e_profili_del_professionista_della_security_aziendale_
nuova_norma_uni_10459_2015-2939.
Franco Vincenzo Ferrari di DNV GL mi ha segnalato che, sempre in merito agli organismi di vigilanza, è stata recentemente firmata una convenzione tra Accredia e il Dipartimento della Pubblica Sicurezza. Accredia quindi potrà accreditare gli organismi di certificazione affinché certifichino gli istituti di vigilanza in base alle normative UNI 11068:2005 e UNI CEI EN 50518:2014 relative alle centrali operative e di telesorveglianza, UNI 10891:2000 per gli istituti di vigilanza privata e UNI 10459:2015 riguardante i professionisti della security:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1819&areaNews=95>emplate=de
fault.jsp.
Personalmente sono un po' perplesso, visto che si tratta di tantissime competenze per cui un esperto che discetti di sicurezza fisica, informatica e investigazioni, alla fine risulta essere un tuttologo senza reali competenze. Ma non vorrei essere inutilmente pessimista (il titolo di una norma UNI che usa il termine "security" e non "sicurezza" mi ha messo di malumore fin dall'inizio).
venerdì 13 marzo 2015
Chief Humor Officer (CHO)
La Commissione Europea, nell'ambito dell'iniziativa sull'agenda digitale, promuove il Chief Humor Officer (CHO):
- http://ec.europa.eu/information_society/newsroom/cf/dae/itemdetail.cfm?item_
id=21001
Ringrazio itSMF per la notizia.
In poche parole: scherzare aiuta la motivazione, la creatività e la qualità del lavoro.
Non so bene cosa c'entri con l'agenda digitale o la sicurezza delle informazioni o le altre cose che segnalo, ma so che c'entra.
- http://ec.europa.eu/information_society/newsroom/cf/dae/itemdetail.cfm?item_
id=21001
Ringrazio itSMF per la notizia.
In poche parole: scherzare aiuta la motivazione, la creatività e la qualità del lavoro.
Non so bene cosa c'entri con l'agenda digitale o la sicurezza delle informazioni o le altre cose che segnalo, ma so che c'entra.
martedì 10 marzo 2015
Indagine sulle funzioni interne di audit e la cybersecurity
Protiviti ha pubblicato un documento dal titolo "From cybersecurity to collaboration: assessing the top priorities for internl audit functions: 2015 internal audit capabilities and needs surveys":
- http://www.protiviti.com/iASurvey
Il documento è abbastanza interessante, se escludiamo il solito abuso del termine "cyber security" per "sicurezza informatica".
Presento alcune cose degne di nota a mio personale giudizio, con, tra parentesi, i miei commenti:
- il 53% valuta il rischio di cybersecurity per elaborare il piano di audit (il 47%, quindi, non lo fa; e mi pare tanto; ma chissà se tutti usano il termine "cybersecurity" con lo stesso significato);
- le competenze più urgenti da migliorare riguardano "GTAG 16 - Data analysis technogies", "NIST cybersecurity framework", "Mobile applications", "Practice advisory 2320-4 - Continuous assurance"; The guide to to assessment of IT risk (GAIT)" (posto che non so di cosa parlano 3 degli elementi, noto che le necessità riguardano, tranne un caso, schemi di audit; deduco che chi non ha competenze sulla tecnologia (e sono in tanti) continua a non volerne sapere; la lista prevede 35 argomenti e di tecnico c'è solo e soltanto "Mobile applications"; interessante osservare che nella lista si trova anche al 21o posto la ISO 14001);
- per quanto riguarda le competenze relative alla conduzione degli audit, al quinto posto si trova "time management" (solitamente uno dei grandi problemi degli auditor).
Altri troveranno ulteriori elementi di interesse: buona lettura!
- http://www.protiviti.com/iASurvey
Il documento è abbastanza interessante, se escludiamo il solito abuso del termine "cyber security" per "sicurezza informatica".
Presento alcune cose degne di nota a mio personale giudizio, con, tra parentesi, i miei commenti:
- il 53% valuta il rischio di cybersecurity per elaborare il piano di audit (il 47%, quindi, non lo fa; e mi pare tanto; ma chissà se tutti usano il termine "cybersecurity" con lo stesso significato);
- le competenze più urgenti da migliorare riguardano "GTAG 16 - Data analysis technogies", "NIST cybersecurity framework", "Mobile applications", "Practice advisory 2320-4 - Continuous assurance"; The guide to to assessment of IT risk (GAIT)" (posto che non so di cosa parlano 3 degli elementi, noto che le necessità riguardano, tranne un caso, schemi di audit; deduco che chi non ha competenze sulla tecnologia (e sono in tanti) continua a non volerne sapere; la lista prevede 35 argomenti e di tecnico c'è solo e soltanto "Mobile applications"; interessante osservare che nella lista si trova anche al 21o posto la ISO 14001);
- per quanto riguarda le competenze relative alla conduzione degli audit, al quinto posto si trova "time management" (solitamente uno dei grandi problemi degli auditor).
Altri troveranno ulteriori elementi di interesse: buona lettura!
ISO/IEC 20000-9 e servizi cloud
Franco Ferrari di DNV GL mi ha segnalato la pubblicazione della ISO/IEC TR 20000-9 dal titolo "Guidance on the application of ISO/IEC 20000-1 to cloud services".
La prima impressione (ma anche la seconda, per cui ho chiesto aiuto a Tony Coletta, nostro rappresentante italiano al ISO/IEC JTC1 SC 7, che ringrazio) è che sia una norma inutile.
Non l'ho letta, ma speravo potesse essere una lettura della ISO/IEC 20000-1 che potesse essere utile a chi non la conosce bene, ma non è così.
Ovviamente si tratta della solita norma sul cloud, spinta dalla moda ma da poche idee originali. Spiace vedere tante energie sprecate in standard inutili.
La prima impressione (ma anche la seconda, per cui ho chiesto aiuto a Tony Coletta, nostro rappresentante italiano al ISO/IEC JTC1 SC 7, che ringrazio) è che sia una norma inutile.
Non l'ho letta, ma speravo potesse essere una lettura della ISO/IEC 20000-1 che potesse essere utile a chi non la conosce bene, ma non è così.
Ovviamente si tratta della solita norma sul cloud, spinta dalla moda ma da poche idee originali. Spiace vedere tante energie sprecate in standard inutili.
sabato 7 marzo 2015
Cyber che?
La newsletter di HSC (Hervé Schauer Consultants) di febbraio 2015 propone un intervento di Béatrice Joucreau e Christophe Renard che riassumo (forse malamente; spero gli autori non me ne vogliano (o non se ne accorgano)).
<<
Nel mondo della sicurezza si sentono sempre di più i termini di cybersicurezza, cybercriminalità, cyberguerra, eccetera. Tutti questi termini nascono forse per distinguere la sicurezza delle informazioni (solitamente con finalità di protezione di un ente) dalla difesa da criminali che usano Internet come arma. Oggi si sono estesi per sostituire, in modo più breve e suggestivo, "sicurezza informatica", "sicurezza delle informazioni" o "gestione della sicurezza delle informazioni".
In realtà, i termini cyberx non sono molto moderni né appropriati: hanno origine (tranne "cibernetica") negli anni Ottanta nella letteratura di fantascienza (!) e sono costruiti usando una parola ("cyber", ossia "timone" in greco) che non è un prefisso (infatti "cybernetica", che vuol dire "studio dei sistemi di regolamento", non usa "cyber" come vero e proprio prefisso).
A parte queste considerazioni, c'è qualche differenza tra cybersecurity e sicurezza dei sistemi informatici? I testi definiscono solitamente come cybersecurity "lo stato per cui un sistema informatico resiste ad eventi provenienti dal cyberspazio" (ossia da Internet, intesa come rete mondiale); la cybersecurity, quindi, utilizza tecniche di sicurezza informatica per combattere il cybercrime e attuare la cyberdefence.
Questa definizione, quindi, escluderebbe un certo numero di minacce, ossia quelle non legate ad Internet (come per esempio l'ingegneria sociale, l'osservazione dello schermo del pc da parte di un malintenzionato, il furto di un pc), quelle originate da agenti interni, quelle di origine accidentale (errori) o non umana (eventi naturali). Ovviamente sono anche escluse le minacce non informatiche, come quelle legate ai documenti cartacei e all'intercettazione di conversazioni.
Questa distinzione è fatta raramente nella pratica, forse perché ritenuta non interessante.
>>
A questo punto aggiungo una nota personale: noto molto interesse nei confronti di convegni che si richiamano alla cybersecurity e questo mi preoccupa. Infatti rischiamo di tornare indietro di 25 anni, quando la sicurezza informatica era vista come distinta dalla "sicurezza delle altre informazioni"; rischiamo di concentrarci troppo sulle minacce informatiche (pure importantissime) e perdere di vista quelle altre.
Mi scuso per l'interruzione e vado avanti a tradurre (malamente).
<<
Perché, quindi, "cybersecurity"? Con questo termine bisogna vedere un tentativo di "vendere" la sicurezza delle informazioni. I più cinici non vedranno che movimenti opportunistici da parte dei commerciali. Ma, visto che la nostra dipendenza dai sistemi informatici è ormai irreversibile e totale, anche se la loro sicurezza è rimasta in gran parte misera, un richiamo (con qualche suggestione di panico) potrebbe fare uscire il tema della sicurezza delle informazioni dalla comunità di pochi professionisti.
Usare un termine che sembra anglofono (siber-secuiriti) forse potrà promuovere meglio la sicurezza delle informazioni presso un pubblico incapace di concentrarsi su termini di più di 6 sillabe. Adottare questa terminologia vuol dire ammettere che la sicurezza delle informazioni ha bisogno di cambiare costume per uscire dal suo ghetto.
Malgrado sia ridicolo, usare il termine "cyber" vuol dire fare comunicazione. I media dimostrano che il termine è ormai conosciuto. La "cybersecurity" riuscirà a far convergere professionalità e tecniche, istituzioni pubbliche e private, agenzie governative e associazioni industriali di peso, mentre la "sicurezza delle informazioni" è rimasta un affare per specialisti? Bisogna sperarlo (a quando un'Agenzia per la cybersecurity?).
PS: alcuni verificheranno che il termine "cyberspazio" è stato inventato da William Gibson, che lo definiva "un'allucinazione vissuta consensualmente ogni giorno da miliardi di operatori legali, in ogni nazione, da bambini a cui vengono insegnati i concetti matematici... Una rappresentazione grafica di dati ricavati dai banchi di ogni computer del sistema umano. Impensabile complessità. Linee di luce allineate nel non-spazio della mente, ammassi e costellazioni di dati. Come le luci di una città, che si allontanano".
>>
Personalmente, cercherò di continuare a usare l'espressione "sicurezza delle informazioni". Tra qualche anno sarà giudicata un'altra mia mania linguistica (come il non usare "implementare" e "rilasciare" per il software o "invocare" per i piani di continuità).
<<
Nel mondo della sicurezza si sentono sempre di più i termini di cybersicurezza, cybercriminalità, cyberguerra, eccetera. Tutti questi termini nascono forse per distinguere la sicurezza delle informazioni (solitamente con finalità di protezione di un ente) dalla difesa da criminali che usano Internet come arma. Oggi si sono estesi per sostituire, in modo più breve e suggestivo, "sicurezza informatica", "sicurezza delle informazioni" o "gestione della sicurezza delle informazioni".
In realtà, i termini cyberx non sono molto moderni né appropriati: hanno origine (tranne "cibernetica") negli anni Ottanta nella letteratura di fantascienza (!) e sono costruiti usando una parola ("cyber", ossia "timone" in greco) che non è un prefisso (infatti "cybernetica", che vuol dire "studio dei sistemi di regolamento", non usa "cyber" come vero e proprio prefisso).
A parte queste considerazioni, c'è qualche differenza tra cybersecurity e sicurezza dei sistemi informatici? I testi definiscono solitamente come cybersecurity "lo stato per cui un sistema informatico resiste ad eventi provenienti dal cyberspazio" (ossia da Internet, intesa come rete mondiale); la cybersecurity, quindi, utilizza tecniche di sicurezza informatica per combattere il cybercrime e attuare la cyberdefence.
Questa definizione, quindi, escluderebbe un certo numero di minacce, ossia quelle non legate ad Internet (come per esempio l'ingegneria sociale, l'osservazione dello schermo del pc da parte di un malintenzionato, il furto di un pc), quelle originate da agenti interni, quelle di origine accidentale (errori) o non umana (eventi naturali). Ovviamente sono anche escluse le minacce non informatiche, come quelle legate ai documenti cartacei e all'intercettazione di conversazioni.
Questa distinzione è fatta raramente nella pratica, forse perché ritenuta non interessante.
>>
A questo punto aggiungo una nota personale: noto molto interesse nei confronti di convegni che si richiamano alla cybersecurity e questo mi preoccupa. Infatti rischiamo di tornare indietro di 25 anni, quando la sicurezza informatica era vista come distinta dalla "sicurezza delle altre informazioni"; rischiamo di concentrarci troppo sulle minacce informatiche (pure importantissime) e perdere di vista quelle altre.
Mi scuso per l'interruzione e vado avanti a tradurre (malamente).
<<
Perché, quindi, "cybersecurity"? Con questo termine bisogna vedere un tentativo di "vendere" la sicurezza delle informazioni. I più cinici non vedranno che movimenti opportunistici da parte dei commerciali. Ma, visto che la nostra dipendenza dai sistemi informatici è ormai irreversibile e totale, anche se la loro sicurezza è rimasta in gran parte misera, un richiamo (con qualche suggestione di panico) potrebbe fare uscire il tema della sicurezza delle informazioni dalla comunità di pochi professionisti.
Usare un termine che sembra anglofono (siber-secuiriti) forse potrà promuovere meglio la sicurezza delle informazioni presso un pubblico incapace di concentrarsi su termini di più di 6 sillabe. Adottare questa terminologia vuol dire ammettere che la sicurezza delle informazioni ha bisogno di cambiare costume per uscire dal suo ghetto.
Malgrado sia ridicolo, usare il termine "cyber" vuol dire fare comunicazione. I media dimostrano che il termine è ormai conosciuto. La "cybersecurity" riuscirà a far convergere professionalità e tecniche, istituzioni pubbliche e private, agenzie governative e associazioni industriali di peso, mentre la "sicurezza delle informazioni" è rimasta un affare per specialisti? Bisogna sperarlo (a quando un'Agenzia per la cybersecurity?).
PS: alcuni verificheranno che il termine "cyberspazio" è stato inventato da William Gibson, che lo definiva "un'allucinazione vissuta consensualmente ogni giorno da miliardi di operatori legali, in ogni nazione, da bambini a cui vengono insegnati i concetti matematici... Una rappresentazione grafica di dati ricavati dai banchi di ogni computer del sistema umano. Impensabile complessità. Linee di luce allineate nel non-spazio della mente, ammassi e costellazioni di dati. Come le luci di una città, che si allontanano".
>>
Personalmente, cercherò di continuare a usare l'espressione "sicurezza delle informazioni". Tra qualche anno sarà giudicata un'altra mia mania linguistica (come il non usare "implementare" e "rilasciare" per il software o "invocare" per i piani di continuità).
giovedì 26 febbraio 2015
NISTIR 8023 per i "Replication devices"
Il NIST ha pubblicato un internal report dal titolo "Risk Management for Replication Devices":
- http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-8023
Il termine "Replication device" si riferisce a ogni strumento che riproduce (cioè copia, stampa, acquisisce digitalmente) documenti, immagini o oggetti da origine elettroniche o fisiche; tra di essi vi sono fotocopiatrici, stampanti, stampanti 3D, scanner, scanner 3D e macchine multifunzione (fotocopiatrice, stampante e scanner).
Si tratta spesso di oggetti sottovalutati dal punto di vista della sicurezza, tanto che raramente ne è fatta un'analisi preliminare su questo aspetto e, poi, ne è tenuto un censimento a scopi di monitoraggio.
Il documento del NIST è molto sintetico e, a mio avviso, può essere usato come base per valutare e gestire altri macchinari (inclusi quelli industriali) presenti in un'azienda.
- http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-8023
Il termine "Replication device" si riferisce a ogni strumento che riproduce (cioè copia, stampa, acquisisce digitalmente) documenti, immagini o oggetti da origine elettroniche o fisiche; tra di essi vi sono fotocopiatrici, stampanti, stampanti 3D, scanner, scanner 3D e macchine multifunzione (fotocopiatrice, stampante e scanner).
Si tratta spesso di oggetti sottovalutati dal punto di vista della sicurezza, tanto che raramente ne è fatta un'analisi preliminare su questo aspetto e, poi, ne è tenuto un censimento a scopi di monitoraggio.
Il documento del NIST è molto sintetico e, a mio avviso, può essere usato come base per valutare e gestire altri macchinari (inclusi quelli industriali) presenti in un'azienda.
mercoledì 25 febbraio 2015
Internet of Things
Dopo aver fatto indigestione negli ultimi 5 o 6 anni con il "cloud", ora sembra che sia arrivato il turno del "Internet of things" o IoT. In pochissime parole, l'insieme di tutti i dispositivi che si connettono a Internet; non solo pc o simili, ma anche altri, tra cui sensori di autoveicoli, dispositivi medici, elettrodomestici, eccetera.
Gli oggetti rappresentano dei rischi perché non sempre sono programmati correttamente e gli aggiornamenti non sono previsti. Possono quindi essere sfruttati da malintenzionati per accedere ad una rete privata in modo ancora più semplice che se attaccassero dei pc.
Questa mia descrizione è troppo sintetica, ma è solo per introdurre l'argomento e segnalare la pubblicazione " Internet of things: Risk and value considerations" di ISACA, ottimo punto d'inizio per studiare la materia (tra l'altro, ISACA prevede di realizzare una serie di studi dedicati all'IoT):
- www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/internet-
of-things-risk-and-value-considerations.aspx
Segnalo anche che il "HP Cyber risk report 2015" (già commentato in precedenza) dedica un paragrafo alla materia:
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Gli oggetti rappresentano dei rischi perché non sempre sono programmati correttamente e gli aggiornamenti non sono previsti. Possono quindi essere sfruttati da malintenzionati per accedere ad una rete privata in modo ancora più semplice che se attaccassero dei pc.
Questa mia descrizione è troppo sintetica, ma è solo per introdurre l'argomento e segnalare la pubblicazione " Internet of things: Risk and value considerations" di ISACA, ottimo punto d'inizio per studiare la materia (tra l'altro, ISACA prevede di realizzare una serie di studi dedicati all'IoT):
- www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/internet-
of-things-risk-and-value-considerations.aspx
Segnalo anche che il "HP Cyber risk report 2015" (già commentato in precedenza) dedica un paragrafo alla materia:
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
ISO/IEC TR 90006 - Commento
Tony Coletta, che rappresenta l'Italia al ISO/IEC JTC 1 SC 7, mi ha risposto in merito al mio post sulla ISO/IEC 90006 (e lo ringrazio molto):
- http://blog.cesaregallotti.it/2015/02/isoiec-tr-90006.html
Tony mi scrive: "C'è almeno una cosa che considero interessante nella 90006 e a cui ho contribuito: trovare nella 20000 l'equivalente dei controlli della progettazione e sviluppo della 9001 (riesame, verifica e validazione). In qualche misura si trovano, ma la 20000 li chiama "test" e "verifiche" e li sparge nei punti più strani. Forse nella nuova edizione della 20000 si utilizzerà una terminologia più appropriata".
Mi associo alla speranza di Tony: che ci sia standardizzazione negli standard e che la lunga e onorata storia della ISO 9001 (malgrado non tutte le certificazioni siano ineccepibili) non sia ignorata, per presunzione, da chi scrive altri standard.
Tony mi segnala anche di vedere la differenza di definizione del termine "document". Infatti, nella ISO/IEC 20000 è stata aggiunta una nota alla definizione dei documenti ("specificano intenti da conseguire") per renderla più omogena a quella delle registrazioni ("riportano i risultati ottenuti o forniscono evidenza delle attività svolte").
- http://blog.cesaregallotti.it/2015/02/isoiec-tr-90006.html
Tony mi scrive: "C'è almeno una cosa che considero interessante nella 90006 e a cui ho contribuito: trovare nella 20000 l'equivalente dei controlli della progettazione e sviluppo della 9001 (riesame, verifica e validazione). In qualche misura si trovano, ma la 20000 li chiama "test" e "verifiche" e li sparge nei punti più strani. Forse nella nuova edizione della 20000 si utilizzerà una terminologia più appropriata".
Mi associo alla speranza di Tony: che ci sia standardizzazione negli standard e che la lunga e onorata storia della ISO 9001 (malgrado non tutte le certificazioni siano ineccepibili) non sia ignorata, per presunzione, da chi scrive altri standard.
Tony mi segnala anche di vedere la differenza di definizione del termine "document". Infatti, nella ISO/IEC 20000 è stata aggiunta una nota alla definizione dei documenti ("specificano intenti da conseguire") per renderla più omogena a quella delle registrazioni ("riportano i risultati ottenuti o forniscono evidenza delle attività svolte").
ISO/IEC 29147 - Vulnerability disclosure
Franco Ferrari mi ha segnalato la pubblicazione (a febbraio 2014) della ISO/IEC 29147 dal titolo "Vulnerability disclosure". Già Stefano Ramacciotti me l'aveva segnalata a suo tempo.
La norma presenta un processo, e le relative considerazioni, che i produttori di sistemi informatici dovrebbero seguire per ricevere e verificare le segnalazioni sulle vulnerabilità dei propri prodotti e per risolverle.
La norma presenta un processo, e le relative considerazioni, che i produttori di sistemi informatici dovrebbero seguire per ricevere e verificare le segnalazioni sulle vulnerabilità dei propri prodotti e per risolverle.
Indagini sui rischi e sugli attacchi
Inizio anno, tempo di rapporti sulla sicurezza dei più vari tipi.
Il primo, di Protiviti, ha titolo "Executive Perspectives on Top Risks for 2015" e riguarda i rischi (non solo di sicurezza delle informazioni) percepiti da 280 membri di Board e Top Management:
- http://www.protiviti.com/toprisks
In sintesi i rischi ritenuti più importanti sono quelli correlati ai cambiamenti normativi, all'economia generale, agli attacchi informatici, alla disponibilità del personale, alla mancanza di procedure relative alla gestione delle crisi, alle difficoltà di comprendere le aspettative dei clienti. Il decimo rischio forse li riassume tutti: "le attività attuali non riescono ad avere le prestazioni attese in merito a qualità, rapidità, costi e innovazione ". Il mio commento sintetico e, purtroppo, basato su quello che vedo: ne discutono, ma poi non promuovono né seguono attentamente azioni per trattare questi rischi; il motivo, credo, è che i manager sono giudicati nel breve termine su fatturato e utile; "sostenibilità nel medio e lungo termine" non è normalmente un parametro di giudizio.
Questa preoccupazione si percepisce nel settimo rischio che recita "la gestione della sicurezza delle informazioni richiede risorse significative".
Nota terminologica: Protiviti non usa il termine "rischio" come previsto dalle norme internazionali (ISO 31000, ISO/IEC 27001, eccetera). Ma, insomma, si capisce lo stesso.
Il secondo rapporto è il "Horizon Scan 2015" del Business Continuity Institute:
- http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document
Sintetizzo le 10 minacce ritenute più importanti: attacchi informatici, interruzioni dei sistemi informatici e delle infrastrutture, interruzioni nella filiera di fornitura, clima, malattie, fuoco, terrorismo. Interessante la preoccupazione relativa alla filiera di fornitura, che l'anno scorso era al sedicesimo posto e ora è al quinto: questo aspetto è finalmente considerato come importante. Raccomando, come minimo, la lettura dell'executive summary.
Un dato interessante per scopi polemici: le organizzazioni che dispongono di analisi e non le usano sono il 33%; mi chiedo se è perché sono commissionate a consulenti non capaci o perché sono commissionate solo per far bella figura (due dei mali che affliggono me e i miei colleghi). Un altro caso riguarda l'incapacità di rivedere le proprie decisione anche a fronte di analisi che portano a diverse conclusioni (un tipo di autoinganno molto diffuso: si "dimenticano" subito le posizioni contrarie alla nostra).
L'ultimo report è il "HP Cyber risk report 2015":
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Di questo seleziono alcuni dei temi chiave riportati all'inizio del rapporto: sfruttamento di vulnerabilità note da tempo (a cui sono collegati gli annosi problemi di patch non installate e di correzioni mai prese in considerazione per il principio "funziona e quindi non si tocca"); configurazioni sbagliate, difetti di progettazione, sviluppo e codifica dei software (cose che, per essere risolte, richiedono persone competenti, e quindi costose, che dedicano del tempo, che costa, ad aggiornarsi e trovare soluzioni).
Alcune parti del rapporto sono divulgative, altre più tecniche (per esempio il capitolo sulle vulnerabilità, ma non solo).
Il primo, di Protiviti, ha titolo "Executive Perspectives on Top Risks for 2015" e riguarda i rischi (non solo di sicurezza delle informazioni) percepiti da 280 membri di Board e Top Management:
- http://www.protiviti.com/toprisks
In sintesi i rischi ritenuti più importanti sono quelli correlati ai cambiamenti normativi, all'economia generale, agli attacchi informatici, alla disponibilità del personale, alla mancanza di procedure relative alla gestione delle crisi, alle difficoltà di comprendere le aspettative dei clienti. Il decimo rischio forse li riassume tutti: "le attività attuali non riescono ad avere le prestazioni attese in merito a qualità, rapidità, costi e innovazione ". Il mio commento sintetico e, purtroppo, basato su quello che vedo: ne discutono, ma poi non promuovono né seguono attentamente azioni per trattare questi rischi; il motivo, credo, è che i manager sono giudicati nel breve termine su fatturato e utile; "sostenibilità nel medio e lungo termine" non è normalmente un parametro di giudizio.
Questa preoccupazione si percepisce nel settimo rischio che recita "la gestione della sicurezza delle informazioni richiede risorse significative".
Nota terminologica: Protiviti non usa il termine "rischio" come previsto dalle norme internazionali (ISO 31000, ISO/IEC 27001, eccetera). Ma, insomma, si capisce lo stesso.
Il secondo rapporto è il "Horizon Scan 2015" del Business Continuity Institute:
- http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document
Sintetizzo le 10 minacce ritenute più importanti: attacchi informatici, interruzioni dei sistemi informatici e delle infrastrutture, interruzioni nella filiera di fornitura, clima, malattie, fuoco, terrorismo. Interessante la preoccupazione relativa alla filiera di fornitura, che l'anno scorso era al sedicesimo posto e ora è al quinto: questo aspetto è finalmente considerato come importante. Raccomando, come minimo, la lettura dell'executive summary.
Un dato interessante per scopi polemici: le organizzazioni che dispongono di analisi e non le usano sono il 33%; mi chiedo se è perché sono commissionate a consulenti non capaci o perché sono commissionate solo per far bella figura (due dei mali che affliggono me e i miei colleghi). Un altro caso riguarda l'incapacità di rivedere le proprie decisione anche a fronte di analisi che portano a diverse conclusioni (un tipo di autoinganno molto diffuso: si "dimenticano" subito le posizioni contrarie alla nostra).
L'ultimo report è il "HP Cyber risk report 2015":
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Di questo seleziono alcuni dei temi chiave riportati all'inizio del rapporto: sfruttamento di vulnerabilità note da tempo (a cui sono collegati gli annosi problemi di patch non installate e di correzioni mai prese in considerazione per il principio "funziona e quindi non si tocca"); configurazioni sbagliate, difetti di progettazione, sviluppo e codifica dei software (cose che, per essere risolte, richiedono persone competenti, e quindi costose, che dedicano del tempo, che costa, ad aggiornarsi e trovare soluzioni).
Alcune parti del rapporto sono divulgative, altre più tecniche (per esempio il capitolo sulle vulnerabilità, ma non solo).
lunedì 23 febbraio 2015
Attacco ai siti olandesi
Fabrizio Monteleone di DNV GL mi ha segnalato questo articolo (fa
riferimento ad un attacco DOoS del 10 febbraio):
- http://in.reuters.com/article/2015/02/11/netherlands-government-websites-idI
NKBN0LF0OU20150211
Fabrizio mi sottolinea quanto segue: "Chi tiene alla reputazione o chi
ritiene che il web sia un canale di comunicazione come tutti gli altri e
come tale vada protetto, dovrebbe comportarsi come i genitori che mandano i
figli a scuola da soli: spiegare di fare attenzione agli sconosciuti, non
dare confidenza, chiamare la maestra. Se tutto questo non importa vale
sempre l'assioma che se non si crea il bisogno (in questo caso di
protezione) non si vende il prodotto/servizio, nè si giustificano la nascita
e la crescita di National/Worldwide/Secret agencies...").
Io noto un'altra cosa interessante: la società che si occupa dei siti web
attaccati ha rilasciato una dichiarazione: "I primi sintomi indicavano un
problema tecnico interno, poi abbiamo capito che si trattava di un attacco
dall'esterno". Uno specialista di sicurezza ha commentato: "Se stai subendo
un attacco DDoS, lo sai".
Il mio corollario: "Ma che dichiarazione hanno fatto? Un minimo di piano di
emergenza e di comunicazione ("piano di gestione delle crisi") ce
l'avevano?". Faccio anche notare che l'attacco ha colpito le linee
telefoniche: deduco fossero su VoIP e sulla stessa rete della linea dati...
forse non la scelta migliore del mondo.
riferimento ad un attacco DOoS del 10 febbraio):
- http://in.reuters.com/article/2015/02/11/netherlands-government-websites-idI
NKBN0LF0OU20150211
Fabrizio mi sottolinea quanto segue: "Chi tiene alla reputazione o chi
ritiene che il web sia un canale di comunicazione come tutti gli altri e
come tale vada protetto, dovrebbe comportarsi come i genitori che mandano i
figli a scuola da soli: spiegare di fare attenzione agli sconosciuti, non
dare confidenza, chiamare la maestra. Se tutto questo non importa vale
sempre l'assioma che se non si crea il bisogno (in questo caso di
protezione) non si vende il prodotto/servizio, nè si giustificano la nascita
e la crescita di National/Worldwide/Secret agencies...").
Io noto un'altra cosa interessante: la società che si occupa dei siti web
attaccati ha rilasciato una dichiarazione: "I primi sintomi indicavano un
problema tecnico interno, poi abbiamo capito che si trattava di un attacco
dall'esterno". Uno specialista di sicurezza ha commentato: "Se stai subendo
un attacco DDoS, lo sai".
Il mio corollario: "Ma che dichiarazione hanno fatto? Un minimo di piano di
emergenza e di comunicazione ("piano di gestione delle crisi") ce
l'avevano?". Faccio anche notare che l'attacco ha colpito le linee
telefoniche: deduco fossero su VoIP e sulla stessa rete della linea dati...
forse non la scelta migliore del mondo.
Threat exchange
Questa notizia l'ho ricevuta inizialmente dal SANS NewsBites: alcune grandi
aziende di informatica (Facebook, Tumblr, Pinterest, Twitter, Yahoo
eccetera) utilizzano un sistema di scambio di informazioni sulle minacce a
cui potrebbero essere sottoposte.
Un articolo:
- http://www.wired.com/2015/02/facebook-unveils-tool-sharing-data-malicious-bo
tnets/
Il sito di Threat Exchange (grazie a Pasquale Stirparo, che ha anche
commentato "onestamente non so quante aziende siano disposte a condividere
certe informazioni... e soprattutto a darle in gestione a FaceBook"):
- https://threatexchange.fb.com
Grazie a Daniela Quetti per avermi ribadito la notizia (inizialmente l'avevo
ignorata).
aziende di informatica (Facebook, Tumblr, Pinterest, Twitter, Yahoo
eccetera) utilizzano un sistema di scambio di informazioni sulle minacce a
cui potrebbero essere sottoposte.
Un articolo:
- http://www.wired.com/2015/02/facebook-unveils-tool-sharing-data-malicious-bo
tnets/
Il sito di Threat Exchange (grazie a Pasquale Stirparo, che ha anche
commentato "onestamente non so quante aziende siano disposte a condividere
certe informazioni... e soprattutto a darle in gestione a FaceBook"):
- https://threatexchange.fb.com
Grazie a Daniela Quetti per avermi ribadito la notizia (inizialmente l'avevo
ignorata).
domenica 22 febbraio 2015
Inganno e autoinganno
Segnalo questo libro che ho trovato molto interessante: "La follia degli
stolti: La logica dell'inganno e dell'autoinganno nella vita umana", di
Robert Trivers (editore Einaudi).
Quanto riportato su inganno e autoinganno ha impatti anche sul lavoro e gli
ambienti di lavoro. Per esempio, pensiamo alle categorie dell'auto inganno:
- sopravvalutarsi (tutti ci sopravvalutiamo e poi facciamo errori);
- denigrare gli altri, distinguere tra "noi" e "loro", l'ipocrisia morale e
le falsi narrazioni sociali (per cui giustifichiamo nostri comportamenti
altrimenti non giustificabili);
- la corruzione del potere (anche un minuscolo potere riduce la capacità di
empatia e di ascoltare gli altri);
- l'illusione del controllo.
Altra cosa interessante che mi sono appuntato è la nostra attitudine a
mantenere la posizione nonostante tutto (per esempio, una volta negata una
preferenza o un'azione, si tende a continuare a negarla, nonostante le prove
contrarie).
Purtroppo il libro tratta alcune teorie in modo frettoloso (per esempio, non
ho capito il "faccismo"); altre parti sono inutilmente lunghe (quella sui
disastri aerei e spaziali) o inappropriate per gli scopi del libro (le
critiche a Israele, l'attacco alla psicologia come pseudo-scienza,
eccetera).
stolti: La logica dell'inganno e dell'autoinganno nella vita umana", di
Robert Trivers (editore Einaudi).
Quanto riportato su inganno e autoinganno ha impatti anche sul lavoro e gli
ambienti di lavoro. Per esempio, pensiamo alle categorie dell'auto inganno:
- sopravvalutarsi (tutti ci sopravvalutiamo e poi facciamo errori);
- denigrare gli altri, distinguere tra "noi" e "loro", l'ipocrisia morale e
le falsi narrazioni sociali (per cui giustifichiamo nostri comportamenti
altrimenti non giustificabili);
- la corruzione del potere (anche un minuscolo potere riduce la capacità di
empatia e di ascoltare gli altri);
- l'illusione del controllo.
Altra cosa interessante che mi sono appuntato è la nostra attitudine a
mantenere la posizione nonostante tutto (per esempio, una volta negata una
preferenza o un'azione, si tende a continuare a negarla, nonostante le prove
contrarie).
Purtroppo il libro tratta alcune teorie in modo frettoloso (per esempio, non
ho capito il "faccismo"); altre parti sono inutilmente lunghe (quella sui
disastri aerei e spaziali) o inappropriate per gli scopi del libro (le
critiche a Israele, l'attacco alla psicologia come pseudo-scienza,
eccetera).
martedì 10 febbraio 2015
Ospedali e continuità operativa
Sandro Sanna mi ha segnalato il seguente articolo:
- http://www.agendadigitale.eu/infrastrutture/1316_in-tre-ospedali-su-quattro-
i-pazienti-sono-alla-merce-dei-crash-informatici.htm
Diciamo che i toni dell'articolo sono un po' troppo "giornalistici".
Però ci sono cose interessanti, come la riflessione sul cloud per trovare
soluzioni di DR e la differenza tra grandi e piccole aziende (e quindi, tra
diverse disponibilità economiche grazie alla differenza di scala).
Forse un'ulteriore riflessione dovrebbe riguardare: quanti dei servizi
informatici degli ospedali sono già gestiti da fornitori esterni? Con tutto
quello che ne consegue (disponibilità di un DR, controllo degli accessi,
eccetera).
- http://www.agendadigitale.eu/infrastrutture/1316_in-tre-ospedali-su-quattro-
i-pazienti-sono-alla-merce-dei-crash-informatici.htm
Diciamo che i toni dell'articolo sono un po' troppo "giornalistici".
Però ci sono cose interessanti, come la riflessione sul cloud per trovare
soluzioni di DR e la differenza tra grandi e piccole aziende (e quindi, tra
diverse disponibilità economiche grazie alla differenza di scala).
Forse un'ulteriore riflessione dovrebbe riguardare: quanti dei servizi
informatici degli ospedali sono già gestiti da fornitori esterni? Con tutto
quello che ne consegue (disponibilità di un DR, controllo degli accessi,
eccetera).
Cassazione Penale: legittimo l'utilizzo di telecamere per provare i furti dei dipendenti
Questa sentenza, che analizza anche il famoso articolo 4 dello Statuto dei
lavoratori, mi pare interessante. In sintesi, l'enunciato è il seguente: " le
norme dello Statuto tutelano sì la riservatezza dei lavoratori ma non fanno
divieto dei cosiddetti "controlli difensivi" del patrimonio aziendale e non
vietano il loro utilizzo in sede processuale.".
L'articolo di Filodiritto:
- http://www.filodiritto.com/news/2015/cassazione-penale-legittimo-lutilizzo-d
i-telecamere-per-provare-i-furti-dei-dipendenti.html.
La sentenza non è ancora su www.cortedicassazione.it.
lavoratori, mi pare interessante. In sintesi, l'enunciato è il seguente: " le
norme dello Statuto tutelano sì la riservatezza dei lavoratori ma non fanno
divieto dei cosiddetti "controlli difensivi" del patrimonio aziendale e non
vietano il loro utilizzo in sede processuale.".
L'articolo di Filodiritto:
- http://www.filodiritto.com/news/2015/cassazione-penale-legittimo-lutilizzo-d
i-telecamere-per-provare-i-furti-dei-dipendenti.html.
La sentenza non è ancora su www.cortedicassazione.it.
sabato 7 febbraio 2015
ISO/IEC TR 90006
Franco Ferrari mi ha segnalato l'esistenza della ISO/IEC TR 90006 dal titolo
" Guidelines for the applications of ISO 9001:2008 to the IT service
management and its integration wirh ISO/IEC 20000-1:2011".
La norma è del 2013 e non la leggerò. Forse mi sfuggirà qualcosa, ma ho
sempre dei dubbi su queste norme di confronto per due motivi: il primo è che
se qualcuno conosce già le due norme (di poche pagine ciascuna!), dovrebbe
essere capace di confrontarle agevolmente; il secondo è che solitamente il
documento finale risulta in una serie di ovvietà, a causa della natura
stessa degli standard internazionali (troppi autori contribuiscono a
eliminare qualsiasi contributo originale e in una norma non si possono
scrivere cose troppo originali).
" Guidelines for the applications of ISO 9001:2008 to the IT service
management and its integration wirh ISO/IEC 20000-1:2011".
La norma è del 2013 e non la leggerò. Forse mi sfuggirà qualcosa, ma ho
sempre dei dubbi su queste norme di confronto per due motivi: il primo è che
se qualcuno conosce già le due norme (di poche pagine ciascuna!), dovrebbe
essere capace di confrontarle agevolmente; il secondo è che solitamente il
documento finale risulta in una serie di ovvietà, a causa della natura
stessa degli standard internazionali (troppi autori contribuiscono a
eliminare qualsiasi contributo originale e in una norma non si possono
scrivere cose troppo originali).
NSA Information Assurance guidance
Stefano Ramacciotti mi ha segnalato la pagina "Information Assurance
guidance" della NSA:
- https://www.nsa.gov/ia/mitigation_guidance/
Io avevo già visitato questo sito ma non l'avevo segnalato. Quindi ringrazio
Stefano del richiamo. Infatti ho fatto male perché la NSA, nonostante sia
associata a spionaggio e controllo delle persone, ha persone valide e la
loro lista delle 10 misure di sicurezza più importanti ("Top 10 IA
Mitigation Strategies") dovrebbe essere considerata.
Si tratta di misure tecniche spesso non considerate dalle solite
raccomandazioni in circolazione. Insomma, non si tratta delle solite misure
generali ("scrivete una politica di sicurezza", "fate un risk assessment",
"fate gli audit", eccetera) e neanche di processo ("stabilite un processo di
gestione delle utenze", "stabilite un processo di gestione degli incidenti",
eccetera). Sono anche forniti consigli tecnici molto pratici.
Purtroppo non hanno fatto un volumetto di 20 pagine, ma 10 documenti di due
pagine ciascuno. Son tecnici...
guidance" della NSA:
- https://www.nsa.gov/ia/mitigation_guidance/
Io avevo già visitato questo sito ma non l'avevo segnalato. Quindi ringrazio
Stefano del richiamo. Infatti ho fatto male perché la NSA, nonostante sia
associata a spionaggio e controllo delle persone, ha persone valide e la
loro lista delle 10 misure di sicurezza più importanti ("Top 10 IA
Mitigation Strategies") dovrebbe essere considerata.
Si tratta di misure tecniche spesso non considerate dalle solite
raccomandazioni in circolazione. Insomma, non si tratta delle solite misure
generali ("scrivete una politica di sicurezza", "fate un risk assessment",
"fate gli audit", eccetera) e neanche di processo ("stabilite un processo di
gestione delle utenze", "stabilite un processo di gestione degli incidenti",
eccetera). Sono anche forniti consigli tecnici molto pratici.
Purtroppo non hanno fatto un volumetto di 20 pagine, ma 10 documenti di due
pagine ciascuno. Son tecnici...
giovedì 5 febbraio 2015
Sandbox sui pc
Dalla newsletter di Achab inoltro questa notizia: Dell prevede, nella sua
installazione OEM per i pc business, la messa a disposizione di un programma
di sandboxing:
- https://www.achab.it/achab.cfm/it/blog/achablog/dell-introduce-una-sandbox-s
ui-pc-business
In poche parole, l'utente può decidere quali programmi utilizzare nella
sandbox, senza che invece lavorino direttamente sul sistema operativo, con
tutti i rischi del caso, in particolare se si tratta di browser o programmi
con livello di sicurezza non completamente noto.
Ovviamente, quello annunciato non è l'unico prodotto di sandboxing (vedo che
il più noto è Sandboxie, e poi c'è questo BufferZone Pro della Trustware
gratuito per scopi non commerciali, ma il loro sito oggi non funziona).
Questa tecnologia mi pare interessante e spero di poterla approfondire nel
futuro.
installazione OEM per i pc business, la messa a disposizione di un programma
di sandboxing:
- https://www.achab.it/achab.cfm/it/blog/achablog/dell-introduce-una-sandbox-s
ui-pc-business
In poche parole, l'utente può decidere quali programmi utilizzare nella
sandbox, senza che invece lavorino direttamente sul sistema operativo, con
tutti i rischi del caso, in particolare se si tratta di browser o programmi
con livello di sicurezza non completamente noto.
Ovviamente, quello annunciato non è l'unico prodotto di sandboxing (vedo che
il più noto è Sandboxie, e poi c'è questo BufferZone Pro della Trustware
gratuito per scopi non commerciali, ma il loro sito oggi non funziona).
Questa tecnologia mi pare interessante e spero di poterla approfondire nel
futuro.
sabato 31 gennaio 2015
NIST SP 800-163 sui test per le apps
Il NIST ha pubblicato questa guida dal titolo SP 800-163 " Vetting the
Security of Mobile Applications". Si scopre che "vetting" è usato al posto
di "evaluating" (Oxford Dictionary lo traduce come "verifica del passato di
un individuo" e mi chiedo perché non abbiano usato "evaluating" e basta...
forse la solita introduzione di un gergo inutile e ridicolo che crea una
cortina fumogena di confusione e fa sembrare bravi e competenti?).
La guida si trova a questo link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-163
La guida dovrebbe essere accompagnata dalla NIST SP 800-124 "Guidelines for
Managing the Security of Mobile Devices in the Enterprise". Insieme
forniscono indicazioni per lo sviluppo delle apps, sulle quali transitano
sempre più dati critici e, pertanto, dovrebbero essere sviluppate
attentamente.
Security of Mobile Applications". Si scopre che "vetting" è usato al posto
di "evaluating" (Oxford Dictionary lo traduce come "verifica del passato di
un individuo" e mi chiedo perché non abbiano usato "evaluating" e basta...
forse la solita introduzione di un gergo inutile e ridicolo che crea una
cortina fumogena di confusione e fa sembrare bravi e competenti?).
La guida si trova a questo link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-163
La guida dovrebbe essere accompagnata dalla NIST SP 800-124 "Guidelines for
Managing the Security of Mobile Devices in the Enterprise". Insieme
forniscono indicazioni per lo sviluppo delle apps, sulle quali transitano
sempre più dati critici e, pertanto, dovrebbero essere sviluppate
attentamente.
venerdì 30 gennaio 2015
Sicurezza IT nel settore energia - 3
Stefano Ramacciotti, dopo le prime due puntate sulla sicurezza IT nel
settore energia, mi ha segnalato il "Energy sector cybersecurity framework
implementation guidance" del U.S. Department of energy, uscito giusto a
gennaio 2015:
- http://www.energy.gov/oe/downloads/energy-sector-cybersecurity-framework-implementation-guidance
Si tratta di un bel volume di 53 pagine di tipo tecnico (per quanto un
framework possa esserlo), dopo le precedenti segnalazioni di pubblicazioni
molto più divulgative.
Diciamo che non dice nulla di particolarmente nuovo (ma sono pronto ad
essere smentito), ma è certamente molto chiaro e molto pragmatico. Può
essere letto anche da chi non si occupa di settore energetico, visto che si
tratta di raccomandazioni facilmente applicabili a tutti i settori.
Per chi volesse approfondire, nel capitolo 3 si trovano ulteriori link,
incluso uno al " NISTIR 7628 Revision 1: Guidelines for Smart Grid
Cybersecurity. Volume 1 - Smart Grid Cybersecurity Strategy, Architecture,
and High-Level Requirements" di ben 668 pagine (mi sono rifiutato di
leggerlo perché non sto seguendo lavori nel settore energia; e poi mi chiedo
quanto dovrebbe essere lungo il documento che tratta dei requisiti a basso
livello).
Sicuramente queste pubblicazioni così pragmatiche mi sembrano più
interessanti di altre che trattano di sicurezza come se fosse metafisica.
Quindi ringrazio Stefano della segnalazione.
settore energia, mi ha segnalato il "Energy sector cybersecurity framework
implementation guidance" del U.S. Department of energy, uscito giusto a
gennaio 2015:
- http://www.energy.gov/oe/downloads/energy-sector-cybersecurity-framework-implementation-guidance
Si tratta di un bel volume di 53 pagine di tipo tecnico (per quanto un
framework possa esserlo), dopo le precedenti segnalazioni di pubblicazioni
molto più divulgative.
Diciamo che non dice nulla di particolarmente nuovo (ma sono pronto ad
essere smentito), ma è certamente molto chiaro e molto pragmatico. Può
essere letto anche da chi non si occupa di settore energetico, visto che si
tratta di raccomandazioni facilmente applicabili a tutti i settori.
Per chi volesse approfondire, nel capitolo 3 si trovano ulteriori link,
incluso uno al " NISTIR 7628 Revision 1: Guidelines for Smart Grid
Cybersecurity. Volume 1 - Smart Grid Cybersecurity Strategy, Architecture,
and High-Level Requirements" di ben 668 pagine (mi sono rifiutato di
leggerlo perché non sto seguendo lavori nel settore energia; e poi mi chiedo
quanto dovrebbe essere lungo il documento che tratta dei requisiti a basso
livello).
Sicuramente queste pubblicazioni così pragmatiche mi sembrano più
interessanti di altre che trattano di sicurezza come se fosse metafisica.
Quindi ringrazio Stefano della segnalazione.
Enisa Threat Landscape 2014
A inizio gennaio 2015 avevo segnalato l'Enisa "Threat Landscape and Good
Practice Guide for Internet Infrastructure":
- http://blog.cesaregallotti.it/2015/01/enisa-threat-landscape-of-internet.html
Questa volta, sempre dal gruppo Italian Security Professional di LinkedIn,
segnalo l'ENISA "Threat Landscape 2014" che ha come sottotitolo "Overview of
current and emerging cyber-threats":
- http://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/enisa-threat-landscape/enisa-threat-landscape-2014
Si tratta di un'analisi e un ordinamento delle minacce informatiche più
diffuse, secondo quanto raccolto da numerosi (più di 400) studi liberamente
disponibili su Internet. In altre parole, quelli di Enisa si sono studiati i
materiali disponibili e preparati da altri e quindi, con un metodo che mi è
oscuro, hanno elencato le 15 minacce più diffuse. Malgrado i miei dubbi, la
lettura è interessante. I più pigri possono solo consultare pagina iv, dove
si trova la "Table 1: Overview of Threats and Emerging Trends of the ENISA
Threat Landscape 2014".
I mediamente pigri possono accontentarsi di un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32777/cyber-crime/enisa-threat-landscape-2014.html
Practice Guide for Internet Infrastructure":
- http://blog.cesaregallotti.it/2015/01/enisa-threat-landscape-of-internet.html
Questa volta, sempre dal gruppo Italian Security Professional di LinkedIn,
segnalo l'ENISA "Threat Landscape 2014" che ha come sottotitolo "Overview of
current and emerging cyber-threats":
- http://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/enisa-threat-landscape/enisa-threat-landscape-2014
Si tratta di un'analisi e un ordinamento delle minacce informatiche più
diffuse, secondo quanto raccolto da numerosi (più di 400) studi liberamente
disponibili su Internet. In altre parole, quelli di Enisa si sono studiati i
materiali disponibili e preparati da altri e quindi, con un metodo che mi è
oscuro, hanno elencato le 15 minacce più diffuse. Malgrado i miei dubbi, la
lettura è interessante. I più pigri possono solo consultare pagina iv, dove
si trova la "Table 1: Overview of Threats and Emerging Trends of the ENISA
Threat Landscape 2014".
I mediamente pigri possono accontentarsi di un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32777/cyber-crime/enisa-threat-landscape-2014.html
Rapporto sulla sicurezza nelle PA
Andrea Praitano di Business-e mi ha segnalato il "Cyber Security Report
2014" del CIS dell'Università La Sapienza di Roma. Questo report riporta i
risultati dell'osservatorio che hanno fatto sulle Pubbliche Amministrazioni,
classificate in PA centrali, locali, ASL, ecc.
La presentazione, da sola, è di difficile comprensione, mentre il report,
riportando la descrizione dei vari grafici, è chiaro:
- http://www.cis.uniroma1.it/csr2014
La mia veloce lettura mi ha permesso di trarre preoccupazione dallo stato
della sicurezza della nostra PA, ma ben pochi insegnamenti (spero però ne
traggano i responsabili delle strutture). Comunque, copio e incollo nel
seguito il commento di Andrea e lo sottoscrivo.
<<
2014" del CIS dell'Università La Sapienza di Roma. Questo report riporta i
risultati dell'osservatorio che hanno fatto sulle Pubbliche Amministrazioni,
classificate in PA centrali, locali, ASL, ecc.
La presentazione, da sola, è di difficile comprensione, mentre il report,
riportando la descrizione dei vari grafici, è chiaro:
- http://www.cis.uniroma1.it/csr2014
La mia veloce lettura mi ha permesso di trarre preoccupazione dallo stato
della sicurezza della nostra PA, ma ben pochi insegnamenti (spero però ne
traggano i responsabili delle strutture). Comunque, copio e incollo nel
seguito il commento di Andrea e lo sottoscrivo.
<<
Il report nel complesso è interessante anche se ha diversi
aspetti che a me non piacciono perché analizza più il "che cosa
hanno" più che entrare nel merito del "come lo utilizzano". Per
esempio, è stato chiesto agli intervistati se hanno il firewall, non se ne
gestiscono le regole in modo efficace.
Però un osservatorio, gioco forza, fa
analisi abbastanza "ad alto livello" non riuscendo o potendo entrare
nel dettaglio.
Ha comunque degli spunti e conclusioni interessanti che sono
anche delle conferme. A mio avviso andrebbero approfondite le PA che hanno
risposto di non aver subito attacchi, in quanto a me personalmente sembra
poco probabile: forse non si sono accorte di essere state sotto attacco e
questo sarebbe grave.
>>
lunedì 26 gennaio 2015
Game of hacks per il codice sicuro
Stefano Ramacciotti mi ha segnalato una bella iniziativa: un quiz di 5 domande per verificare la capacità di riconoscere le vulnerabilità di programmazione e, quindi, imparare a sviluppare codice più sicuro.
Ecco un articolo di presentazione (in inglese):
- https://www.checkmarx.com/2015/01/20/secure-coding-with-game-of-hacks
Ecco il gioco, nella versione gratuita:
- http://www.gameofhacks.com/
Sembra che proporranno una versione a pagamento per le attività aziendali di formazione e sensibilizzazione; mi viene quasi voglia di obbligare i miei clienti a fare il test. Stefano, invece, dice di suggerire questo gioco agli sviluppatori, in sostituzione della PlayStation.
Ecco un articolo di presentazione (in inglese):
- https://www.checkmarx.com/2015/01/20/secure-coding-with-game-of-hacks
Ecco il gioco, nella versione gratuita:
- http://www.gameofhacks.com/
Sembra che proporranno una versione a pagamento per le attività aziendali di formazione e sensibilizzazione; mi viene quasi voglia di obbligare i miei clienti a fare il test. Stefano, invece, dice di suggerire questo gioco agli sviluppatori, in sostituzione della PlayStation.
Legale: Lecito registrare il colloquio telefonico con il capo (parte 2)
Roberto Bonalumi mi ha risposto in merito alla notizia per cui la
registrazione di un colloquio intercorsa tra due persone può essere
effettuata nel caso in cui si preveda possa essere spendibile in un processo
civile o per difesa:
- http://blog.cesaregallotti.it/2015/01/lecito-registrare-il-colloquio.html
In quella occasione mi lamentavo di non poter leggere la sentenza. Roberto
mi ha quindi fornito la soluzione: "andare su www.cassazione.it, selezionare
il servizio "SentenzeWeb" e poi effettuare la ricerca tra le sentenze civili
della Cassazione".
C'è ovviamente anche quella oggetto di discussione e sembra proprio che è
legittimo registrare conversazioni, purché solo quando questo possa essere
ritenuto utile, in un futuro, per difesa in un processo.
Spero di aver capito correttamente, visto che la sentenza è scritta in modo
inutilmente complicato.
registrazione di un colloquio intercorsa tra due persone può essere
effettuata nel caso in cui si preveda possa essere spendibile in un processo
civile o per difesa:
- http://blog.cesaregallotti.it/2015/01/lecito-registrare-il-colloquio.html
In quella occasione mi lamentavo di non poter leggere la sentenza. Roberto
mi ha quindi fornito la soluzione: "andare su www.cassazione.it, selezionare
il servizio "SentenzeWeb" e poi effettuare la ricerca tra le sentenze civili
della Cassazione".
C'è ovviamente anche quella oggetto di discussione e sembra proprio che è
legittimo registrare conversazioni, purché solo quando questo possa essere
ritenuto utile, in un futuro, per difesa in un processo.
Spero di aver capito correttamente, visto che la sentenza è scritta in modo
inutilmente complicato.
domenica 18 gennaio 2015
ENISA Threat Landscape of Internet Infrastructure
Dal gruppo Italian Security Professional di LinkedIn vedo la notizia della
pubblicazione da parte di Enisa del "Threat Landscape and Good Practice
Guide for Internet Infrastructure":
- https://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/iitl
La segnalazione riporta anche il link ad un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32258/security/enisa-threat-landscape-report.html
Ho trovato più interessante la tabella del capitolo 7 (molto tecnica)
piuttosto che le recommendations: queste ultime ripropongono le solite cose
(fate risk assessment, formate le persone, eccetera).
pubblicazione da parte di Enisa del "Threat Landscape and Good Practice
Guide for Internet Infrastructure":
- https://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/iitl
La segnalazione riporta anche il link ad un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32258/security/enisa-threat-landscape-report.html
Ho trovato più interessante la tabella del capitolo 7 (molto tecnica)
piuttosto che le recommendations: queste ultime ripropongono le solite cose
(fate risk assessment, formate le persone, eccetera).
venerdì 16 gennaio 2015
Una riflessione sull'attacco alla Sony
L'ultimo numero di Crpyo-Gram presenta numerose riflessioni sull'attacco
alla Sony. La sostanza è ovvia: state attenti, perché tutti possono subire
un attacco mirato, condotto da persone competenti.
Quello che più mi ha colpito è un'altra riflessione (si trova quasi al
termine dell'articolo di cui fornisco il link poco oltre): i dati pubblicati
riguardano i "normali" impiegati della Sony, non i top manager né altra
gente importante. Questi impiegati si sono scambiati e-mail e informazioni
tra loro con anche battute e barzellette discutibili e ora sono alla
berlina. Quindi: quando usate i sistemi informatici, anche se non c'entrate
niente e non siete l'oggetto di un attacco, potreste subirne le conseguenze.
Quindi (ancora): siate prudenti anche nelle vostre attività individuali.
Il link:
- http://www.wsj.com/articles/sony-made-it-easy-but-any-of-us-could-get-hacked-1419002701.
alla Sony. La sostanza è ovvia: state attenti, perché tutti possono subire
un attacco mirato, condotto da persone competenti.
Quello che più mi ha colpito è un'altra riflessione (si trova quasi al
termine dell'articolo di cui fornisco il link poco oltre): i dati pubblicati
riguardano i "normali" impiegati della Sony, non i top manager né altra
gente importante. Questi impiegati si sono scambiati e-mail e informazioni
tra loro con anche battute e barzellette discutibili e ora sono alla
berlina. Quindi: quando usate i sistemi informatici, anche se non c'entrate
niente e non siete l'oggetto di un attacco, potreste subirne le conseguenze.
Quindi (ancora): siate prudenti anche nelle vostre attività individuali.
Il link:
- http://www.wsj.com/articles/sony-made-it-easy-but-any-of-us-could-get-hacked-1419002701.
giovedì 15 gennaio 2015
Documenti informatici nella PA - Dpcm del 13 novembre 2014
Segnalo questo articolo di Bancaforte che annuncia le regole tecniche per la
gestione dei documenti informatici presso le pubbliche amministrazioni:
- http://www.bancaforte.it/notizie/2015/01/pa-18-mesi-per-dire-addio-alla-carta
Non credo aggiunga alcunché per chi non si occupa di Pubblica
Amministrazione.
gestione dei documenti informatici presso le pubbliche amministrazioni:
- http://www.bancaforte.it/notizie/2015/01/pa-18-mesi-per-dire-addio-alla-carta
Non credo aggiunga alcunché per chi non si occupa di Pubblica
Amministrazione.
ISO/IEC 90003:2014
Franco Ferrari del DNV GL mi ha segnalato la pubblicazione della nuova
edizione della ISO/IEC 90003 dal titolo "Guidelines for the application of ISO 9001:2008 to computer software. L'introduzione segnala che questa nuova
edizione nasce per allineare la norma alla ISO 9001:2008, mentre la
precedente si basava sulla ISO 9001:2000.
Visto che tra le due edizioni della ISO 9001 non ci sono notevoli
differenze, immagino che non siano state apportate modifiche rilevanti alla
ISO/IEC 90003. Se qualcuno più attento di me vuole però segnalarmele, sarò
ben contento di condividerle.
Mi lascia perplesso anche la scelta di pubblicare questa norma oggi, a meno
di un anno dalla prevista pubblicazione della nuova ISO 9001. Solo per
questo motivo vorrei ignorarla.
edizione della ISO/IEC 90003 dal titolo "Guidelines for the application of ISO 9001:2008 to computer software. L'introduzione segnala che questa nuova
edizione nasce per allineare la norma alla ISO 9001:2008, mentre la
precedente si basava sulla ISO 9001:2000.
Visto che tra le due edizioni della ISO 9001 non ci sono notevoli
differenze, immagino che non siano state apportate modifiche rilevanti alla
ISO/IEC 90003. Se qualcuno più attento di me vuole però segnalarmele, sarò
ben contento di condividerle.
Mi lascia perplesso anche la scelta di pubblicare questa norma oggi, a meno
di un anno dalla prevista pubblicazione della nuova ISO 9001. Solo per
questo motivo vorrei ignorarla.
giovedì 8 gennaio 2015
Lecito registrare il colloquio telefonico con il capo
Dal Gruppo infotechlegale.it di LinkedIn, inoltro la seguente notizia:
secondo la Corte di Cassazione, la registrazione di un colloquio intercorsa
tra due persone assurge al rango di prova se è posta in essere da uno dei
soggetti coinvolti nella conversazione; il dipendente può registrare il
colloquio ancor prima dell'instaurazione di un eventuale procedimento
civilistico o penalistico a suo carico, essendo detta attività orientata
precisamente all'acquisizione di prove a suo favore:
- http://www.studiocataldi.it/news_giuridiche_asp/news_giuridica_17238.asp
Sarebbe interessante leggere la sentenza completa per vedere quali principi
sono richiamati e in che modo sono limitati. Purtroppo non l'ho trovata.
L'unico commento che ho trovato online finora è proprio quello del link
segnalato.
secondo la Corte di Cassazione, la registrazione di un colloquio intercorsa
tra due persone assurge al rango di prova se è posta in essere da uno dei
soggetti coinvolti nella conversazione; il dipendente può registrare il
colloquio ancor prima dell'instaurazione di un eventuale procedimento
civilistico o penalistico a suo carico, essendo detta attività orientata
precisamente all'acquisizione di prove a suo favore:
- http://www.studiocataldi.it/news_giuridiche_asp/news_giuridica_17238.asp
Sarebbe interessante leggere la sentenza completa per vedere quali principi
sono richiamati e in che modo sono limitati. Purtroppo non l'ho trovata.
L'unico commento che ho trovato online finora è proprio quello del link
segnalato.
martedì 6 gennaio 2015
Sicurezza IT nel settore energia - 2
Dopo la precedente segnalazione su sicurezza IT nel settore energia
(http://blog.cesaregallotti.it/2014/12/sicurezza-it-nel-settore-energia.html
), Stefano Ramacciotti mi ha segnalato un altro documento interessante (fino
a pagina 10; le ultime 4 pagine sono pubblicità), dicendo " mi sembrano una
discreta introduzione alla problematica per non addetti ai lavori,
considerando che in Italia quasi nemmeno ci si pensa":
- http://www.appliedelectronics.com/documents/Design_Considerations_Real_Time_
Operating_Centers_White_Paper.pdf
Per chi non vuole scaricarsi direttamente il pdf, lo può trovare a questo
link con il titolo "Design Considerations for Real-Time Operating Centers":
- http://www.appliedelectronics.com/technical-papers
(http://blog.cesaregallotti.it/2014/12/sicurezza-it-nel-settore-energia.html
), Stefano Ramacciotti mi ha segnalato un altro documento interessante (fino
a pagina 10; le ultime 4 pagine sono pubblicità), dicendo " mi sembrano una
discreta introduzione alla problematica per non addetti ai lavori,
considerando che in Italia quasi nemmeno ci si pensa":
- http://www.appliedelectronics.com/documents/Design_Considerations_Real_Time_
Operating_Centers_White_Paper.pdf
Per chi non vuole scaricarsi direttamente il pdf, lo può trovare a questo
link con il titolo "Design Considerations for Real-Time Operating Centers":
- http://www.appliedelectronics.com/technical-papers
domenica 4 gennaio 2015
Attacco ad una conduttura turca (nel 2008)
A dicembre è stato noto un incidente occorso nel 2008: dopo un'intrusione ai
sistemi informatici, è stata elevata la pressione di una conduttura di
petrolio e questo ha generato un'esplosione:
- http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html
Sembra possa essere stato un attacco da parte della Russia verso la Georgia
(devono aver sbagliato qualche calcolo) quando la tensione politica era
elevata.
La notizia, che traggo dal SANS NewsBites, è interessante perché sembra che,
per l'intrusione, sia stata sfruttata una vulnerabilità del sistema di
controllo delle telecamere o di un sistema di allarme:
- http://www.federalnewsradio.com/489/3769859/DoJs-new-cybersecurity-office-to -aid-in-worldwide-investigations
Trovo interessanti queste notizie perché mi ricordano la "filiera di
fornitura ICT": gli addetti del condotto non sono esperti di informatica e
fanno installare i sistemi senza pensare alla sicurezza; gli installatori di
sistemi di allarme e/o di telecamere si preoccupano solo che i propri
sistemi funzionino (magari con qualche patch mancante al sistema operativo
e/o qualche porta del firewall aperta senza necessità perché "non si sa mai"
e "meglio non toccare"); gli sviluppatori dei software di allarme e di
gestione delle telecamere sanno "programmare" in Java o simile, ma senza
saper "programmare in sicurezza", visto che poi la responsabilità di
"configurare" sta negli installatori; gli addetti agli acquisti forse hanno
pensato alla parola "sicurezza" solo per la salute dei lavoratori (spero
almeno questa) e al costo dell'offerta.
Chissà chi avranno trovato come capro espiatorio, anche se la colpa è di
tutti.
sistemi informatici, è stata elevata la pressione di una conduttura di
petrolio e questo ha generato un'esplosione:
- http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html
Sembra possa essere stato un attacco da parte della Russia verso la Georgia
(devono aver sbagliato qualche calcolo) quando la tensione politica era
elevata.
La notizia, che traggo dal SANS NewsBites, è interessante perché sembra che,
per l'intrusione, sia stata sfruttata una vulnerabilità del sistema di
controllo delle telecamere o di un sistema di allarme:
- http://www.federalnewsradio.com/489/3769859/DoJs-new-cybersecurity-office-to -aid-in-worldwide-investigations
Trovo interessanti queste notizie perché mi ricordano la "filiera di
fornitura ICT": gli addetti del condotto non sono esperti di informatica e
fanno installare i sistemi senza pensare alla sicurezza; gli installatori di
sistemi di allarme e/o di telecamere si preoccupano solo che i propri
sistemi funzionino (magari con qualche patch mancante al sistema operativo
e/o qualche porta del firewall aperta senza necessità perché "non si sa mai"
e "meglio non toccare"); gli sviluppatori dei software di allarme e di
gestione delle telecamere sanno "programmare" in Java o simile, ma senza
saper "programmare in sicurezza", visto che poi la responsabilità di
"configurare" sta negli installatori; gli addetti agli acquisti forse hanno
pensato alla parola "sicurezza" solo per la salute dei lavoratori (spero
almeno questa) e al costo dell'offerta.
Chissà chi avranno trovato come capro espiatorio, anche se la colpa è di
tutti.
mercoledì 24 dicembre 2014
NIST SP 800-88 Guidelines for Media Sanitization
Il NIST ha pubblicato la prima revisione della guida 800-88, dedicata alla
"cancellazione sicura". La guida si trova qui:
- http://csrc.nist.gov/publications/PubsSPs.html#800-88
Il titolo esatto è "sanitizzazione" (treccani.it lo dà come sinonimo di
"sanificazione", ma questo è derivato dall'inglese "sanification") e
riguarda tutti i dispositivi (carta e altri supporti inclusi).
Devo dire: un po' deludente perché è indicato precisamente come fare la
cancellazione dei cellulari (con tanto di sequenza di comandi da seguire sui
vari sistemi disponibili), ma non quella degli hard disk o delle memorie
USB: non fornisce alcun suggerimento sugli strumenti da utilizzare e segnala
di seguire dei forum o dei siti nei quali non c'è nulla. Forse sono io che
ho sbagliato a cercare?
Dall'altra parte, segnalo che la maggior parte delle volte indica come
sufficiente una passata di zeri; altre volte suggerisce due o tre passaggi.
E se lo dice il NIST, forse è il caso che i fautori delle 7, delle 20 e
delle 37 volte si aggiornino (anche perché quella non è più "cancellazione",
ma "distruzione" del supporto; opzione comunque da scegliere nei casi di
dati particolarmente critici; ma un buon martello è più economico, più
veloce e spiritualmente più soddisfacente).
"cancellazione sicura". La guida si trova qui:
- http://csrc.nist.gov/publications/PubsSPs.html#800-88
Il titolo esatto è "sanitizzazione" (treccani.it lo dà come sinonimo di
"sanificazione", ma questo è derivato dall'inglese "sanification") e
riguarda tutti i dispositivi (carta e altri supporti inclusi).
Devo dire: un po' deludente perché è indicato precisamente come fare la
cancellazione dei cellulari (con tanto di sequenza di comandi da seguire sui
vari sistemi disponibili), ma non quella degli hard disk o delle memorie
USB: non fornisce alcun suggerimento sugli strumenti da utilizzare e segnala
di seguire dei forum o dei siti nei quali non c'è nulla. Forse sono io che
ho sbagliato a cercare?
Dall'altra parte, segnalo che la maggior parte delle volte indica come
sufficiente una passata di zeri; altre volte suggerisce due o tre passaggi.
E se lo dice il NIST, forse è il caso che i fautori delle 7, delle 20 e
delle 37 volte si aggiornino (anche perché quella non è più "cancellazione",
ma "distruzione" del supporto; opzione comunque da scegliere nei casi di
dati particolarmente critici; ma un buon martello è più economico, più
veloce e spiritualmente più soddisfacente).
venerdì 19 dicembre 2014
Ricerca sulla criminalità informatica nelle PMI
Dalla mailing list di Sikurezza.org, segnalo questa ricerca dal titolo "La
criminalità informatica e i rischi per l'economia e le imprese a livello
italiano ed europeo". Non credo che aggiunga molto a quanto già si sa e a
studi già noti (peraltro la ricerca, molto correttamente, li cita), ma
fornisce qualche spunto di riflessione sulle nostre aziende.
La presentazione sulla pagina web è in inglese, mentre la pubblicazione e la
presentazione sono in italiano:
- http://www.unicri.it/in_focus/on/Cybercrime_risks_economy
criminalità informatica e i rischi per l'economia e le imprese a livello
italiano ed europeo". Non credo che aggiunga molto a quanto già si sa e a
studi già noti (peraltro la ricerca, molto correttamente, li cita), ma
fornisce qualche spunto di riflessione sulle nostre aziende.
La presentazione sulla pagina web è in inglese, mentre la pubblicazione e la
presentazione sono in italiano:
- http://www.unicri.it/in_focus/on/Cybercrime_risks_economy
Home banking: responsabilità parziale in caso di attacco
Enzo Ascione di Intesa Sanpaolo mi ha segnalato questa notizia: per il
tribunale di Caltanisetta, il fatto che l'accesso all'home banking avvenga
"solo" tramite user-id e password (nonostante comunque l'istituto bancario
abbia sollecitato ai clienti l'adozione di un meccanismo di OTP), fa sì che
un accesso abusivo al sistema sia da ritenere colpa dell'istituto bancario
perché avrebbe potuto anche mettere a disposizione un servizio di SMS o
simile.
Questo se ho capito correttamente gli articoli relativi alla sentenza. Ne
propongo due; nel secondo è possibile trovare un link alla sentenza
completa:
- http://www.quotidianodiritto.ilsole24ore.com/art/amministrativo/2014-11-26/c
olpa-parziale-se-cliente-non-nota-l-hacker--194747.php?uuid=ABZqZXIC;
- http://www.creditofinanzanews.it/2014/12/03/home-banking-responsabilita-parz
iale-del-cliente-che-non-nota-lhacker/
Trovo un po' inquietante il fatto che il giudice dica che la banca (ossia il
fornitore del servizio informatico) "non aveva dimostrato che il cliente non
aveva custodito con diligenza le credenziali d'accesso". Però, ancora una
volta, una sentenza che ribadisce la necessità di predisporre servizi sicuri
sia tecnicamente che funzionalmente.
tribunale di Caltanisetta, il fatto che l'accesso all'home banking avvenga
"solo" tramite user-id e password (nonostante comunque l'istituto bancario
abbia sollecitato ai clienti l'adozione di un meccanismo di OTP), fa sì che
un accesso abusivo al sistema sia da ritenere colpa dell'istituto bancario
perché avrebbe potuto anche mettere a disposizione un servizio di SMS o
simile.
Questo se ho capito correttamente gli articoli relativi alla sentenza. Ne
propongo due; nel secondo è possibile trovare un link alla sentenza
completa:
- http://www.quotidianodiritto.ilsole24ore.com/art/amministrativo/2014-11-26/c
olpa-parziale-se-cliente-non-nota-l-hacker--194747.php?uuid=ABZqZXIC;
- http://www.creditofinanzanews.it/2014/12/03/home-banking-responsabilita-parz
iale-del-cliente-che-non-nota-lhacker/
Trovo un po' inquietante il fatto che il giudice dica che la banca (ossia il
fornitore del servizio informatico) "non aveva dimostrato che il cliente non
aveva custodito con diligenza le credenziali d'accesso". Però, ancora una
volta, una sentenza che ribadisce la necessità di predisporre servizi sicuri
sia tecnicamente che funzionalmente.
mercoledì 17 dicembre 2014
Privacy e Dossier sanitario
Dal gruppo Clusit di LinkedIn è stato segnalato questo articolo che riguarda
le difficoltà di un'azienda sanitaria (AS9 ad adeguarsi alle disposizioni
del Garante privacy in materia di fascicolo sanitario elettronico (FSE) fino
a dire che si dovrà tornare alle cartelle di carta:
- http://altoadige.gelocal.it/bolzano/cronaca/2014/12/13/news/privacy-si-torna
-alle-cartelle-di-carta-1.10493365.
In realtà, l'articolo aiuta molto poco a capire. Ma si può consultare il
Provvedimento del Garante relativo a questa AS:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3325808
La storia: si scopre che una dipendente dell'ospedale consultava le cartelle
cliniche del proprio reparto, fino a diffondere la notizia della
sieropositività di un'altra collega. C'è un processo e si scopre che nella
ASL non c'è alcuna segregazione delle autorizzazioni di accesso alle
cartelle cliniche. Il Garante privacy, a luglio 2014 ha imposto all'AS il
recepimento delle misure di sicurezza per i fascicoli sanitari elettronici,
come previsto dalle "Linee guida in tema di Fascicolo sanitario elettronico
(Fse) e di dossier sanitario" del 16 luglio 2009 [doc web 1634116]. L'AS ha
poi chiesto una proroga dei tempi al Garante e ora sembra che non sia in
grado di completare l'attuazione delle misure.
La notizia mi ha colpito perché, nel Provvedimento del Garante, è scritto
che l'AS ha chiesto aiuto ad una società di consulenza nel 2013 (4 anni dopo
la pubblicazione delle linee guida e 6 anni dopo la costituzione dell'AS
dalla fusione di 4 AS pre-esistenti!): certamente la privacy non è stata una
priorità!
Altra notizia molto simile mi è arrivata da CINDI e riguarda invece l'Emilia
Romagna:
- http://www.privacyofficer.pro/dossier-sanitario-elettronico-a-prova-di-privacy/
le difficoltà di un'azienda sanitaria (AS9 ad adeguarsi alle disposizioni
del Garante privacy in materia di fascicolo sanitario elettronico (FSE) fino
a dire che si dovrà tornare alle cartelle di carta:
- http://altoadige.gelocal.it/bolzano/cronaca/2014/12/13/news/privacy-si-torna
-alle-cartelle-di-carta-1.10493365.
In realtà, l'articolo aiuta molto poco a capire. Ma si può consultare il
Provvedimento del Garante relativo a questa AS:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3325808
La storia: si scopre che una dipendente dell'ospedale consultava le cartelle
cliniche del proprio reparto, fino a diffondere la notizia della
sieropositività di un'altra collega. C'è un processo e si scopre che nella
ASL non c'è alcuna segregazione delle autorizzazioni di accesso alle
cartelle cliniche. Il Garante privacy, a luglio 2014 ha imposto all'AS il
recepimento delle misure di sicurezza per i fascicoli sanitari elettronici,
come previsto dalle "Linee guida in tema di Fascicolo sanitario elettronico
(Fse) e di dossier sanitario" del 16 luglio 2009 [doc web 1634116]. L'AS ha
poi chiesto una proroga dei tempi al Garante e ora sembra che non sia in
grado di completare l'attuazione delle misure.
La notizia mi ha colpito perché, nel Provvedimento del Garante, è scritto
che l'AS ha chiesto aiuto ad una società di consulenza nel 2013 (4 anni dopo
la pubblicazione delle linee guida e 6 anni dopo la costituzione dell'AS
dalla fusione di 4 AS pre-esistenti!): certamente la privacy non è stata una
priorità!
Altra notizia molto simile mi è arrivata da CINDI e riguarda invece l'Emilia
Romagna:
- http://www.privacyofficer.pro/dossier-sanitario-elettronico-a-prova-di-privacy/
Sicurezza IT nel settore energia
Dal Gruppo Clusit su LinkedIn segnalo questo whitepaper dedicato alla
sicurezza informatica nel settore "produzione":
- http://download.schneider-electric.com/library/downloads/WW/en/document/998-
2095-07-21-14AR0_EN
Ovviamente, è concentrato sul settore energia. Colgo allora l'occasione per
ricordare il Quaderno Clusit numero 7 dal titolo "Introduzione alla
protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC,
ecc.)", che ho riletto recentemente e mi è sembrato molto utile, anche se
del 2007. Lo si può scaricare dal seguente link:
- http://www.clusit.it/download/index.htm
sicurezza informatica nel settore "produzione":
- http://download.schneider-electric.com/library/downloads/WW/en/document/998-
2095-07-21-14AR0_EN
Ovviamente, è concentrato sul settore energia. Colgo allora l'occasione per
ricordare il Quaderno Clusit numero 7 dal titolo "Introduzione alla
protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC,
ecc.)", che ho riletto recentemente e mi è sembrato molto utile, anche se
del 2007. Lo si può scaricare dal seguente link:
- http://www.clusit.it/download/index.htm
Certificati digitali gratuiti
Su Crypto-Gram del 15 dicembre, Bruce Schneier ha segnalato una nuova
Certification Authority che fornisce certificati digitali gratuiti: Let's
Encrypt, progetto a cui partecipano EFF, Mozilla, Cisco, Akamai e
l'Università del Michigan.
Leggendo il blog di Bruce Schneier, alcuni partecipanti (con toni ovviamente
critici, come si conviene quando si partecipa a forum!) hanno segnalato
altre CA gratuite. Ecco quindi l'elenco:
- Let's Encrypt: https://letsencrypt.org;
- CAcert: http://wiki.cacert.org;
- StartSSL: https://cert.startcom.org.
Tutte offrono certificati per web server (Let's Encrypt propone anche
l'aggiornamento automatico); CAcert permette anche di usare dei certificati
per l'e-mail. Ovviamente non si tratta di certificati digitali utili per
apporre firme digitali come previsto dalla normativa italiana in vigore.
Qualche breve riflessione:
1- forse saranno meno numerosi i siti web con i certificati scaduti; c'è da
chiedersi perché vengono inizialmente attivate delle funzionalità di
sicurezza (cifratura con certificato digitale) per poi non mantenerle;
2- oggi quasi nessuno si preoccupa più di cifrare le e-mail e quindi,
ahinoi, non farà notizia la disponibilità di certificati digitali gratuiti
per questo servizio.
Certification Authority che fornisce certificati digitali gratuiti: Let's
Encrypt, progetto a cui partecipano EFF, Mozilla, Cisco, Akamai e
l'Università del Michigan.
Leggendo il blog di Bruce Schneier, alcuni partecipanti (con toni ovviamente
critici, come si conviene quando si partecipa a forum!) hanno segnalato
altre CA gratuite. Ecco quindi l'elenco:
- Let's Encrypt: https://letsencrypt.org;
- CAcert: http://wiki.cacert.org;
- StartSSL: https://cert.startcom.org.
Tutte offrono certificati per web server (Let's Encrypt propone anche
l'aggiornamento automatico); CAcert permette anche di usare dei certificati
per l'e-mail. Ovviamente non si tratta di certificati digitali utili per
apporre firme digitali come previsto dalla normativa italiana in vigore.
Qualche breve riflessione:
1- forse saranno meno numerosi i siti web con i certificati scaduti; c'è da
chiedersi perché vengono inizialmente attivate delle funzionalità di
sicurezza (cifratura con certificato digitale) per poi non mantenerle;
2- oggi quasi nessuno si preoccupa più di cifrare le e-mail e quindi,
ahinoi, non farà notizia la disponibilità di certificati digitali gratuiti
per questo servizio.
NIST SP 800-53 - Assessing Security
Il NIST ha pubblicato la versione 4 della "Special Publication (SP) 800-53
A, Assessing Security and Privacy Controls in Federal Information Systems
and Organizations: Building Effective Assessment Plans".
Il link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-53ar4
Si tratta di un librone in pdf di 487 pagine. Di queste, quasi 400
costituiscono l'elenco dei controlli da verificare. Si tratta quindi di una
lettura quanto meno esaustiva.
A, Assessing Security and Privacy Controls in Federal Information Systems
and Organizations: Building Effective Assessment Plans".
Il link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-53ar4
Si tratta di un librone in pdf di 487 pagine. Di queste, quasi 400
costituiscono l'elenco dei controlli da verificare. Si tratta quindi di una
lettura quanto meno esaustiva.
martedì 16 dicembre 2014
Richieste di responsabili sicurezza
Dal Crypto-gram di dicembre, segnalo questa notizia che traduco:
<< Questo articolo segnala che le richieste di Chief Information Security Officers eccede di gran lunga l'offerta:
Non ho neanche verificato l'articolo, ma mi pare interessante il commento di Bruce Schneier, che sottoscrivo per quanto mi riguarda: << Non mi sorprende. E' un lavoro duro: budget sempre insufficiente, e si è sempre criticati quando si è inevitabilmente attaccati. E richiede un insieme difficile di competenze: abbastanza competenze tecniche per capire la sicurezza IT e sufficienti abilità gestionali per navigare tra i dirigenti. Non vorrei mai un lavoro così>>.
venerdì 12 dicembre 2014
Aggiornamento sul Regolamento europeo sulla privacy
Alessandro Cosenza di BTicino mi ha segnalato il seguente articolo:
- http://www.diritto24.ilsole24ore.com/art/avvocatoAffari/mercatiImpresa/2014-
12-11/regolamento-europeo-privacy-ancora-discussione-162857.php
Riassumo: bisogna aspettare e non fare nulla, al momento, poiché l'entrata
in vigore richiederà almeno 2 anni e mezzo. Insomma, le stesse cose che vado
dicendo da tempo, ma in modo molto più preciso.
Comunque, se e quando sarà approvato questo Regolamento, spero che tutti si
ricordino dei cosiddetti esperti che ne hanno annunciato l'approvazione nel
2013, poi a inizio 2014, poi a fine 2014, e così via. Tutto per vendere
corsi e consulenze basate sul "forse".
- http://www.diritto24.ilsole24ore.com/art/avvocatoAffari/mercatiImpresa/2014-
12-11/regolamento-europeo-privacy-ancora-discussione-162857.php
Riassumo: bisogna aspettare e non fare nulla, al momento, poiché l'entrata
in vigore richiederà almeno 2 anni e mezzo. Insomma, le stesse cose che vado
dicendo da tempo, ma in modo molto più preciso.
Comunque, se e quando sarà approvato questo Regolamento, spero che tutti si
ricordino dei cosiddetti esperti che ne hanno annunciato l'approvazione nel
2013, poi a inizio 2014, poi a fine 2014, e così via. Tutto per vendere
corsi e consulenze basate sul "forse".
giovedì 11 dicembre 2014
Regolamento UE 910 del 2014 e CAD
Franco Ferrari del DNV GL mi ha segnalato il Regolamento UE 910 del 2014 "in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva1999/93/CE". Esso è noto anche come eIDAS "electronic IDentification Authentication and Signature" e disciplina le modalità di apposizione della firma elettronica a convalida di documenti con valore probatorio. Il regolamento è entrato in vigore dal 17 settembre e sarà applicabile dal 1° luglio 2016.
I "servizi fiduciari" riguardano il mutuo riconoscimento attraverso mezzi elettronici e sono: firme elettroniche, sigilli elettronici, marche temporali, servizi di consegna, autenticazione di siti web".
Su http://eur-lex.europa.eu/ è possibile ricercarlo e scaricarlo.
Ho chiesto aiuto a Franco Ruggieri che mi ha scritto quanto segue. << La UE ha fatto una cosa buona: adeguare le normative sulla firma elettronica, stabilite nel lontano 1999 con la Direttiva 1999/993/CE. Con questo Regolamento UE 910/2014 si aggiorna qualche cosa sulle firme elettroniche, si inseriscono i "sigilli elettronici", cioè le firme elettroniche delle persone giuridiche, si apre la strada a qualcosa che assomiglia alla nostra PEC, si parla di time stamping, di authentication, e roba del genere.
Inoltre, sulla base dei pasticci dovuti alle diverse interpretazioni della Direttiva 1999/93/CE, hanno deciso di emettere un Regolamento. A differenza di una Direttiva, che deve essere recepita dagli Stati Membri della UE, un Regolamento entra in vigore automaticamente in tutti gli EUMS, il che dovrebbe consentire finalmente l'interoperabilità. E, poiché un Regolamento non può che essere una specie di legge primaria, stanno già lavorando intensamente agli implementing acts (atti attuativi). >>
A questo punto gli ho chiesto cosa ne sarebbe stato del Dlgs 82/2005, ossia il CAD (Codice dell'Amministrazione Digitale). La risposta: << Il CAD non sarà abrogato, perché tratta sì di eIDAS, ma anche di altre cose. Alcune parti dovranno essere eliminate o modificate. Dobbiamo avere notizie da AgID>>.
Ho chiesto lumi anche ad Andrea Caccia, nella speranza di mettere insieme più risposte e, forse, capirci qualcosa. Andrea dice che <<se il Parlamento non modifica il CAD, dal 1 luglio 2016 ci penserà il Regolamento a farne uno spezzatino: resterà in vigore solo ciò che non è in contrasto col Regolamento>>.
Andrea ha anche illustrato, in occasione della 10a riunione del SC27 di UNINFO alcune slide, confermando la partecipazione ai lavori di ETSI (ai cui lavori partecipa, tra gli altri, proprio Andrea Caccia).
Anche il sotto-comitato ISO/IEC JTC1 SC27 ha stabilito di occuparsi della materia con l'aggiornamento di un vecchio Technical Report del WG4, il TR14516 col nuovo titolo "Guidelines for use and management of Trust Service Provider"
Una cosa che mi sono segnato dalla presentazione di Andrea Caccia è questa: in base all'articolo 20 del Regolamento, "I prestatori di servizi fiduciari qualificati sono sottoposti, a proprie spese almeno ogni 24 mesi, a una verifica da parte di un organismo di valutazione della conformità" ... "ai sensi... del regolamento (CE) n. 765/2008 accreditato a... effettuare la valutazione della conformità del prestatore di servizi fiduciari qualificato e dei servizi fiduciari qualificati da esso prestati", "in base agli standard che la Commissione indicherà nei propri decreti attuativi in base all'articolo 20 (3)".
In Italia, quindi, Accredia dovrebbe promuovere questo schema di certificazione dei Trust service providers (TSP). Nulla impedisce di affidarsi ad organismi accreditati da altri organismi non italiani. EA (European Cooperation for Accreditation), a cui Accredia aderisce, ha già approvato un piano di migrazione predisposto da ETSI. Gli organismi di accreditamento si devono predisporre tra novembre 2014 e maggio 2015, mentre gli organismi di certificazione dovranno migrare da giugno 2015 a luglio 2016 (si preferiscono organismi con già esperienza di certificazioni rilasciate su standard ETSI). Ne vedremo delle belle...
Per intanto, Andrea suggerisce di leggere la presentazione di Riccardo Bianconi del 1 dicembre, che si può trovare a questo link (poi cliccare su "Convegno - Roma, 1 e 2 dicembre 2014"; anche le altre presentazioni sono di interesse):
- http://www.euronotaries.eu/news-ed-eventi/rassegna-stampa/
I "servizi fiduciari" riguardano il mutuo riconoscimento attraverso mezzi elettronici e sono: firme elettroniche, sigilli elettronici, marche temporali, servizi di consegna, autenticazione di siti web".
Su http://eur-lex.europa.eu/ è possibile ricercarlo e scaricarlo.
Ho chiesto aiuto a Franco Ruggieri che mi ha scritto quanto segue. << La UE ha fatto una cosa buona: adeguare le normative sulla firma elettronica, stabilite nel lontano 1999 con la Direttiva 1999/993/CE. Con questo Regolamento UE 910/2014 si aggiorna qualche cosa sulle firme elettroniche, si inseriscono i "sigilli elettronici", cioè le firme elettroniche delle persone giuridiche, si apre la strada a qualcosa che assomiglia alla nostra PEC, si parla di time stamping, di authentication, e roba del genere.
Inoltre, sulla base dei pasticci dovuti alle diverse interpretazioni della Direttiva 1999/93/CE, hanno deciso di emettere un Regolamento. A differenza di una Direttiva, che deve essere recepita dagli Stati Membri della UE, un Regolamento entra in vigore automaticamente in tutti gli EUMS, il che dovrebbe consentire finalmente l'interoperabilità. E, poiché un Regolamento non può che essere una specie di legge primaria, stanno già lavorando intensamente agli implementing acts (atti attuativi). >>
A questo punto gli ho chiesto cosa ne sarebbe stato del Dlgs 82/2005, ossia il CAD (Codice dell'Amministrazione Digitale). La risposta: << Il CAD non sarà abrogato, perché tratta sì di eIDAS, ma anche di altre cose. Alcune parti dovranno essere eliminate o modificate. Dobbiamo avere notizie da AgID>>.
Ho chiesto lumi anche ad Andrea Caccia, nella speranza di mettere insieme più risposte e, forse, capirci qualcosa. Andrea dice che <<se il Parlamento non modifica il CAD, dal 1 luglio 2016 ci penserà il Regolamento a farne uno spezzatino: resterà in vigore solo ciò che non è in contrasto col Regolamento>>.
Andrea ha anche illustrato, in occasione della 10a riunione del SC27 di UNINFO alcune slide, confermando la partecipazione ai lavori di ETSI (ai cui lavori partecipa, tra gli altri, proprio Andrea Caccia).
Anche il sotto-comitato ISO/IEC JTC1 SC27 ha stabilito di occuparsi della materia con l'aggiornamento di un vecchio Technical Report del WG4, il TR14516 col nuovo titolo "Guidelines for use and management of Trust Service Provider"
Una cosa che mi sono segnato dalla presentazione di Andrea Caccia è questa: in base all'articolo 20 del Regolamento, "I prestatori di servizi fiduciari qualificati sono sottoposti, a proprie spese almeno ogni 24 mesi, a una verifica da parte di un organismo di valutazione della conformità" ... "ai sensi... del regolamento (CE) n. 765/2008 accreditato a... effettuare la valutazione della conformità del prestatore di servizi fiduciari qualificato e dei servizi fiduciari qualificati da esso prestati", "in base agli standard che la Commissione indicherà nei propri decreti attuativi in base all'articolo 20 (3)".
In Italia, quindi, Accredia dovrebbe promuovere questo schema di certificazione dei Trust service providers (TSP). Nulla impedisce di affidarsi ad organismi accreditati da altri organismi non italiani. EA (European Cooperation for Accreditation), a cui Accredia aderisce, ha già approvato un piano di migrazione predisposto da ETSI. Gli organismi di accreditamento si devono predisporre tra novembre 2014 e maggio 2015, mentre gli organismi di certificazione dovranno migrare da giugno 2015 a luglio 2016 (si preferiscono organismi con già esperienza di certificazioni rilasciate su standard ETSI). Ne vedremo delle belle...
Per intanto, Andrea suggerisce di leggere la presentazione di Riccardo Bianconi del 1 dicembre, che si può trovare a questo link (poi cliccare su "Convegno - Roma, 1 e 2 dicembre 2014"; anche le altre presentazioni sono di interesse):
- http://www.euronotaries.eu/news-ed-eventi/rassegna-stampa/
Iscriviti a:
Post (Atom)