Marco Fabbrini, esperto di dispositivi medicali, mi ha segnalato la
pubblicazione "Top 10 Health Technology Hazards for 2015" dell'ECRI
Institute:
- https://www.ecri.org/press/Pages/ECRI-Institute-Announces-Top-10-Health-Tech
nology-Hazards-for-2015.aspx
Il rapporto è stato tradotto in italiano da AIIC.
I 10 rischi più importanti sono:
1. Policy e pratiche di configurazione degli allarmi inadeguate;
2. Dati errati o mancanti nella cartella clinica elettronica ed altri sistemi informatici;
3. Inversione di linee per terapia endovenosa e conseguente errata somministrazione di farmaci;
4. Rigenerazione inadeguata di endoscopi e strumenti chirurgici;
5. Mancata rilevazione di scollegamento dei ventilatori, a causa di allarmi mal-impostati o non avvertiti;
6. Errori nell'utilizzo e malfunzionamento di dispositivi per la movimentazione del paziente;
7. "Dose Creep": Insidiose variazioni nell'esposizione a radiazioni diagnostiche;
8. Complicazioni conseguenti a formazione inadeguata su chirurgia robotica;
9. Protezioni inadeguate per dispositivi e sistemi medicali da attacchi informatici;
10. Collassamento dei programmi per la gestione di richiami e avvisi di sicurezza.
Marco mi ha fatto notare che 3 su 10 sono di sicurezza informatica (il 2, il 9 e il 10). Tutto ciò è sintomo di un interesse degli operatori per questi temi (i rischi non sono stati rilevati da statistiche degli incidenti registrati, ma da altre fonti) e quindi da considerare.
venerdì 24 aprile 2015
martedì 21 aprile 2015
Attacco ad una TV francese
Questa notizia la trovo strabiliante:
- http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/
Dal SANS NewsBites: in un'intervista video (peraltro relativa ad un hacking di un satellite), alle spalle dell'intervistato (un giornalista della rete francese TV5Monde) si trovavano dei foglietti con user-id e password. Come è andata a finire, potete immaginarlo (11 stazioni hanno avuto delle interruzioni di segnale).
Questo ci ricorda che ci vuole veramente poco per essere attaccati con successo.
- http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/
Dal SANS NewsBites: in un'intervista video (peraltro relativa ad un hacking di un satellite), alle spalle dell'intervistato (un giornalista della rete francese TV5Monde) si trovavano dei foglietti con user-id e password. Come è andata a finire, potete immaginarlo (11 stazioni hanno avuto delle interruzioni di segnale).
Questo ci ricorda che ci vuole veramente poco per essere attaccati con successo.
NIST SP 800-161 su supply chain risk management
Il NIST ha pubblicato la Special Publication 800-161, Supply Chain Risk Management Practices. Essa è indirizzata agli enti federali degli USA ma potrebbe essere interessante per tutti:
- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf
Io sono un fan delle pubblicazioni del NIST, ma questa non mi ha soddisfatto. Infatti spende 36 pagine per illustrare un metodo di risk assessment (come se il NIST non avesse già un'altra pubblicazione dedicata a questo o come se gli autori di questa pubblicazione volessero dire la loro sulla materia) per poi elencare lungamente dei controlli di sicurezza non sempre applicabili a tutti i fornitori. Anche l'elenco delle minacce non mi sembra particolarmente illuminante.
Mi sarebbe piaciuto infatti trovare considerazioni sui rischi relativi ai fornitori e alla filiera di fornitura, mentre invece non si trova quasi nulla di tutto ciò. E così pure sui controlli di sicurezza.
Bisogna dire che mi sembra quindi un'occasione persa, soprattutto se consideriamo quanta letteratura (di qualità non sempre eccelsa...) è stata fatta sui servizi cloud (ossia su una tipologia specifica di fornitori) e quanta poca ve ne sia sugli altri fornitori. Poteva essere l'occasione per ricordare che gran parte delle questioni di sicurezza delle informazioni relative ai servizi cloud sono in realtà comuni a più tipologie di fornitori e che, pertanto, andrebbero affrontate.
- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf
Io sono un fan delle pubblicazioni del NIST, ma questa non mi ha soddisfatto. Infatti spende 36 pagine per illustrare un metodo di risk assessment (come se il NIST non avesse già un'altra pubblicazione dedicata a questo o come se gli autori di questa pubblicazione volessero dire la loro sulla materia) per poi elencare lungamente dei controlli di sicurezza non sempre applicabili a tutti i fornitori. Anche l'elenco delle minacce non mi sembra particolarmente illuminante.
Mi sarebbe piaciuto infatti trovare considerazioni sui rischi relativi ai fornitori e alla filiera di fornitura, mentre invece non si trova quasi nulla di tutto ciò. E così pure sui controlli di sicurezza.
Bisogna dire che mi sembra quindi un'occasione persa, soprattutto se consideriamo quanta letteratura (di qualità non sempre eccelsa...) è stata fatta sui servizi cloud (ossia su una tipologia specifica di fornitori) e quanta poca ve ne sia sugli altri fornitori. Poteva essere l'occasione per ricordare che gran parte delle questioni di sicurezza delle informazioni relative ai servizi cloud sono in realtà comuni a più tipologie di fornitori e che, pertanto, andrebbero affrontate.
domenica 19 aprile 2015
Linee guida del CERT sulla codifica
Vi segnalo i "CERT Coding Standards" per C, C++, Java, Perl e Android:
- https://www.securecoding.cert.org/confluence/display/seccode/CERT+Coding+Standards
Il un'altra pagina, sono a disposizione le "Java Coding Guidelines":
- https://www.securecoding.cert.org/confluence/display/java/Java+Coding+Guidelines
La differenza tra gli "standard" e le "linee guida" al momento mi sfugge.
- https://www.securecoding.cert.org/confluence/display/seccode/CERT+Coding+Standards
Il un'altra pagina, sono a disposizione le "Java Coding Guidelines":
- https://www.securecoding.cert.org/confluence/display/java/Java+Coding+Guidelines
La differenza tra gli "standard" e le "linee guida" al momento mi sfugge.
sabato 18 aprile 2015
Sul web
Mi rendo conto che questa notizia non c'entra nulla. Ma appaio per un secondo (il quinto) in questo spot di McDonald's e mi sembra ancora incredibile:
- http://www.ilpost.it/2015/04/15/hamburger-mcdonalds-blind-taste-milano-italia/
- http://www.ilpost.it/2015/04/15/hamburger-mcdonalds-blind-taste-milano-italia/
mercoledì 8 aprile 2015
Sviluppo - Worst practice
Mi è capitato un caso interessante. Visto che fatturo (poco) all'estero,
devo produrre dichiarazioni doganali. Da www.agenziadogane.it devo usare un
servizio "Intrastat". Ogni anno mi dà dei problemi e ogni anno devo chiamare
l'assistenza.
Vi segnalo quindi la pagina con le istruzioni per quest'anno (ogni anno
cambiano, ovviamente):
- http://assistenza.agenziadogane.it/SRVS/CGI-BIN/WEBCGI.EXE?St=274,E=00000000
00249617387,K=5081,Sxi=17,Solution=1946,t=Solution
Per chi non ha voglia di leggersi il documento, ecco cosa bisogna fare:
- usare una versione obsoleta di JRE;
- abbassare il livello di sicurezza del Java;
- abbassare il livello di sicurezza di Internet Explorer.
- osservare che i certificati usati sono auto-firmati.
Aggiungo che il mio pc con Windows 8, nonostante tutte queste cose, ha fatto
cilecca e ho dovuto usare un "vecchio" Windows Vista.
Questo è decisamente un caso di "worst practice" relativa allo sviluppo.
Un'ulteriore considerazione: l'assistenza mi ha risposto in modo molto
veloce e puntuale (anche se poi ho comunque dovuto cambiare pc). Questo mi
porta a credere che il fornitore dell'Agenzia delle Dogane ha un sistema
gestionale per cui l'assistenza (reattiva) funziona bene, ma la qualità
(preventiva) funziona molto male (la navigazione del sito è anch'essa molto
discutibile, con informazioni sparse in modo apparentemente casuale). C'è di
che pensar male (o perché la Direzione non sa fare il suo lavoro, oppure
perché così può risparmiare su una serie di elementi ma farsi pagare di più
a causa di altri).
devo produrre dichiarazioni doganali. Da www.agenziadogane.it devo usare un
servizio "Intrastat". Ogni anno mi dà dei problemi e ogni anno devo chiamare
l'assistenza.
Vi segnalo quindi la pagina con le istruzioni per quest'anno (ogni anno
cambiano, ovviamente):
- http://assistenza.agenziadogane.it/SRVS/CGI-BIN/WEBCGI.EXE?St=274,E=00000000
00249617387,K=5081,Sxi=17,Solution=1946,t=Solution
Per chi non ha voglia di leggersi il documento, ecco cosa bisogna fare:
- usare una versione obsoleta di JRE;
- abbassare il livello di sicurezza del Java;
- abbassare il livello di sicurezza di Internet Explorer.
- osservare che i certificati usati sono auto-firmati.
Aggiungo che il mio pc con Windows 8, nonostante tutte queste cose, ha fatto
cilecca e ho dovuto usare un "vecchio" Windows Vista.
Questo è decisamente un caso di "worst practice" relativa allo sviluppo.
Un'ulteriore considerazione: l'assistenza mi ha risposto in modo molto
veloce e puntuale (anche se poi ho comunque dovuto cambiare pc). Questo mi
porta a credere che il fornitore dell'Agenzia delle Dogane ha un sistema
gestionale per cui l'assistenza (reattiva) funziona bene, ma la qualità
(preventiva) funziona molto male (la navigazione del sito è anch'essa molto
discutibile, con informazioni sparse in modo apparentemente casuale). C'è di
che pensar male (o perché la Direzione non sa fare il suo lavoro, oppure
perché così può risparmiare su una serie di elementi ma farsi pagare di più
a causa di altri).
martedì 7 aprile 2015
CIO si lamentano dell'inutilità dei report
Sul SANS NewsBites del 3 aprile trovo la seguente notizia: secondo
un'indagine del Government Accountability Office (GAO) presso responsabili
dell'IT (CIO, Chief Information Officer) di 24 agenzie federali tra le più
grandi, i report richiesti dal Office of Management and
Budget (OMB) sono in gran parte inutili e costosi:
- http://www.nextgov.com/cio-briefing/2015/04/survey-cios-say-many-it
Si tratta certamente di cose molto specifiche, ma il report del GAO mi ha
incuriosito:
- http://www.gao.gov/assets/670/669434.pdf
Se ho capito correttamente, i report richiesti sono 36 e riguardano la
pianificazione strategica, la pianificazione capitale e degli investimenti,
la sicurezza IT, l'acquisizione e integrazione dei sistemi IT e altre
iniziative. Solo 4 di questi sono reputati utili e riguardano la
pianificazione strategica e la pianificazione capitale e degli investimenti.
Tra i report "moderatamente significativi" si trovano quelli sulle
"significative debolezze di sicurezza" e sulle "metriche di sicurezza IT".
Perché la sicurezza è "moderatamente significativa"? In parte, sul report si
legge che si tratta di report con dati ridondanti l'uno con gli altri o con
dati da inserire manualmente da diverse fonti. In parte immagino che molte
misure non siano ritenute effettivamente significative e questo è uno dei
problemi della sicurezza: si può misurare il numero di incidenti e poco più.
Il resto serve solo a dare un'illusione di controllo "oggettivo".
un'indagine del Government Accountability Office (GAO) presso responsabili
dell'IT (CIO, Chief Information Officer) di 24 agenzie federali tra le più
grandi, i report richiesti dal Office of Management and
Budget (OMB) sono in gran parte inutili e costosi:
- http://www.nextgov.com/cio-briefing/2015/04/survey-cios-say-many-it
Si tratta certamente di cose molto specifiche, ma il report del GAO mi ha
incuriosito:
- http://www.gao.gov/assets/670/669434.pdf
Se ho capito correttamente, i report richiesti sono 36 e riguardano la
pianificazione strategica, la pianificazione capitale e degli investimenti,
la sicurezza IT, l'acquisizione e integrazione dei sistemi IT e altre
iniziative. Solo 4 di questi sono reputati utili e riguardano la
pianificazione strategica e la pianificazione capitale e degli investimenti.
Tra i report "moderatamente significativi" si trovano quelli sulle
"significative debolezze di sicurezza" e sulle "metriche di sicurezza IT".
Perché la sicurezza è "moderatamente significativa"? In parte, sul report si
legge che si tratta di report con dati ridondanti l'uno con gli altri o con
dati da inserire manualmente da diverse fonti. In parte immagino che molte
misure non siano ritenute effettivamente significative e questo è uno dei
problemi della sicurezza: si può misurare il numero di incidenti e poco più.
Il resto serve solo a dare un'illusione di controllo "oggettivo".
lunedì 6 aprile 2015
Controllo del codice
Sulla mailing list ml di Sikurezza.org, un partecipante ha chiesto consigli
sugli strumenti di controllo automatico del codice.
Gli altri partecipanti hanno fornito diverse indicazioni: Fortify, ZAproxy,
pylint (per Python), Brakeman, Dawnscanner (per Ruby), Coverity (C++),
Veracode (su cloud).
Ancora più interessante è il link alla pagina del NIST, con una serie di
strumenti:
- http://samate.nist.gov/index.php/Source_Code_Security_Analyzers.html
In molti hanno segnalato alcuni problemi di questi strumenti, soprattutto i
falsi positivi e la necessità di valutarne i risultati con la dovuta
cautela, visto che ogni prodotto ha le sue specificità.
In questi anni, lo confesso, ho sempre ignorato questi strumenti, usati sia
per il controllo della qualità sia della sicurezza del codice. Credo che
invece siano da prendere in considerazione.
sugli strumenti di controllo automatico del codice.
Gli altri partecipanti hanno fornito diverse indicazioni: Fortify, ZAproxy,
pylint (per Python), Brakeman, Dawnscanner (per Ruby), Coverity (C++),
Veracode (su cloud).
Ancora più interessante è il link alla pagina del NIST, con una serie di
strumenti:
- http://samate.nist.gov/index.php/Source_Code_Security_Analyzers.html
In molti hanno segnalato alcuni problemi di questi strumenti, soprattutto i
falsi positivi e la necessità di valutarne i risultati con la dovuta
cautela, visto che ogni prodotto ha le sue specificità.
In questi anni, lo confesso, ho sempre ignorato questi strumenti, usati sia
per il controllo della qualità sia della sicurezza del codice. Credo che
invece siano da prendere in considerazione.
venerdì 27 marzo 2015
Accesso ai pc per antiterrorismo
In questi giorni c'è dibattito in merito al "provvedimento antiterrorismo". E' bene ricordare che si tratta ancora di una bozza di Decreto Legge non ancora approvata.
In poche parole: il decreto consentirebbe "l'intercettazione del flusso di comunicazioni anche attraverso l'impiego di strumenti o programmi informatici per l'acquisizione da remoto delle comunicazioni e dei dati presenti in un sistema informatico. In pratica, anche per ragioni non legate all'antiterrorismo, le Forze dell'ordine sarebbero autorizzate a installare malware sui pc a scopi di intercettazione.
Il problema è quindi che si introdurrebbero misure di indagine, nascondendole dietro l'anti terrorismo.
Per saperne di più, segnalo un articolo del Corriere della Sera e un post del deputato Stefano Quintarelli:
- http://www.corriere.it/cronache/15_marzo_25/decreto-antiterrorismo-polizia-p
otra-accedere-pc-italiani-66eea4e2-d319-11e4-9209-9dd80f8535a2.shtml;
- http://stefanoquintarelli.tumblr.com/post/114529278225/una-svista-rilevante-
nel-provvedimento.
Pochi giorni dopo la notizia, il Governo ha fatto marcia indietro:
- http://www.corriere.it/politica/15_marzo_26/renzi-stralcia-antiterrorismo-no
rme-computer-3e07c838-d3a5-11e4-9231-aa2c4d8b5ec3.shtml
Materia certamente da seguire, che permette di riflettere sul livello di libertà che siamo disposti a perdere per essere più sicuri.
Grazie alla mailing list dei "perfezionisti" per la notizia.
In poche parole: il decreto consentirebbe "l'intercettazione del flusso di comunicazioni anche attraverso l'impiego di strumenti o programmi informatici per l'acquisizione da remoto delle comunicazioni e dei dati presenti in un sistema informatico. In pratica, anche per ragioni non legate all'antiterrorismo, le Forze dell'ordine sarebbero autorizzate a installare malware sui pc a scopi di intercettazione.
Il problema è quindi che si introdurrebbero misure di indagine, nascondendole dietro l'anti terrorismo.
Per saperne di più, segnalo un articolo del Corriere della Sera e un post del deputato Stefano Quintarelli:
- http://www.corriere.it/cronache/15_marzo_25/decreto-antiterrorismo-polizia-p
otra-accedere-pc-italiani-66eea4e2-d319-11e4-9209-9dd80f8535a2.shtml;
- http://stefanoquintarelli.tumblr.com/post/114529278225/una-svista-rilevante-
nel-provvedimento.
Pochi giorni dopo la notizia, il Governo ha fatto marcia indietro:
- http://www.corriere.it/politica/15_marzo_26/renzi-stralcia-antiterrorismo-no
rme-computer-3e07c838-d3a5-11e4-9231-aa2c4d8b5ec3.shtml
Materia certamente da seguire, che permette di riflettere sul livello di libertà che siamo disposti a perdere per essere più sicuri.
Grazie alla mailing list dei "perfezionisti" per la notizia.
ISO/IEC 27041 e 27043
Dalla newsletter del BSI, vi segnalo l'avvenuta pubblicazione della norma ISO/IEC 27043:2015 dal titolo "Incident investigation principles and processes".
Mi sembra molto interessante l'estensione data alla preparazione pre-incidente, che richiede, tra le altre cose, di identificare le potenziali fonti di dati e le modalità di raccolta dei dati perché siano utilizzabili come prova.
Provvedo io a segnalare che, probabilmente, sarà pubblicata a breve la ISO/IEC 27041 dal titolo "Guidance on assuring suitability and adequacy of incident investigative method" e dedicata ai metodi e processi per investigare gli incidenti di sicurezza.
Mi sembra molto interessante l'estensione data alla preparazione pre-incidente, che richiede, tra le altre cose, di identificare le potenziali fonti di dati e le modalità di raccolta dei dati perché siano utilizzabili come prova.
Provvedo io a segnalare che, probabilmente, sarà pubblicata a breve la ISO/IEC 27041 dal titolo "Guidance on assuring suitability and adequacy of incident investigative method" e dedicata ai metodi e processi per investigare gli incidenti di sicurezza.
mercoledì 25 marzo 2015
I costi dei fornitori IT
Segnalo questo brevissimo articolo di @ISACA del 25 marzo 2015 dal titolo "The True Cost of Cost Savings When Outsourcing IT":
- http://www.isaca.org/About-ISACA/-ISACA-Newsletter/Pages/@-isaca-volume-6-25
-march-2015.aspx
Traduco liberamente (l'articolo mi sembra troppo coinciso e non so se ho capito bene): secondo il "Global Information Security Survey 2015" di Pricewaterhouse Coopers, le minacce più elevate di sicurezza informatica sono originate, in ordine, da personale interno, ex dipendenti, fornitori di servizi IT, consulenti e collaboratori. Quindi, dare in outsourcing i servizi IT non è molto economico, se si aggiungono, alle tariffe dei fornitori, i costi delle misure di sicurezza da adottare per ridurre i rischi originati dai fornitori stessi.
In base alla mia esperienza non saprei se avallare questa affermazione. Però posso affermare con forza una cosa: la questione della sicurezza nei rapporti con i fornitori è ignorata o sottovalutata. A meno che il servizio non sia "cloud"; in quel caso si accendono tanti (troppi) allarmi. Ma dell'eccessiva attenzione al cloud e della sottovalutazione degli altri fornitori ne parlo da tanto (troppo) tempo.
- http://www.isaca.org/About-ISACA/-ISACA-Newsletter/Pages/@-isaca-volume-6-25
-march-2015.aspx
Traduco liberamente (l'articolo mi sembra troppo coinciso e non so se ho capito bene): secondo il "Global Information Security Survey 2015" di Pricewaterhouse Coopers, le minacce più elevate di sicurezza informatica sono originate, in ordine, da personale interno, ex dipendenti, fornitori di servizi IT, consulenti e collaboratori. Quindi, dare in outsourcing i servizi IT non è molto economico, se si aggiungono, alle tariffe dei fornitori, i costi delle misure di sicurezza da adottare per ridurre i rischi originati dai fornitori stessi.
In base alla mia esperienza non saprei se avallare questa affermazione. Però posso affermare con forza una cosa: la questione della sicurezza nei rapporti con i fornitori è ignorata o sottovalutata. A meno che il servizio non sia "cloud"; in quel caso si accendono tanti (troppi) allarmi. Ma dell'eccessiva attenzione al cloud e della sottovalutazione degli altri fornitori ne parlo da tanto (troppo) tempo.
martedì 24 marzo 2015
Escrow agreement
Si parla spesso di contratti escrow per garantire la disponibilità del codice sorgente di un fornitore o di chiavi crittografiche.
Questo articolo mi sembra spieghi bene questo strumento:
- http://www.altalex.com/index.php?idu=264948&cmd5=021c46ab76df2fd7050bbc8c56e
d7fe1&idnot=70619
Questo articolo mi sembra spieghi bene questo strumento:
- http://www.altalex.com/index.php?idu=264948&cmd5=021c46ab76df2fd7050bbc8c56e
d7fe1&idnot=70619
lunedì 23 marzo 2015
Rapporto Clusit 2015
A metà marzo è stato pubblicato il "Rapporto Clusit 2015 sulla sicurezza ICT in Italia". Per averlo, bisogna seguire le istruzioni su www.clusit.it
Confesso che l'ho trovato un po' meno interessante degli anni scorsi, ma rimane fondamentale leggere la "Analisi dei principali attacchi a livello internazionale" e la "Analisi degli attacchi italiani".
Il "Focus on 2015", su diversi argomenti come l'Internet of things, Bitcoin, Cloud e sicurezza, Return on security investment, eccetera, propone articoli introduttivi a temi importanti. Il termine "introduttivi" lo uso con dispiacere, perché mi piacerebbe vedere più coraggio negli articoli pubblicati in Italia. Forse sbaglio, ma, se continuiamo a essere superficiali, il livello di sicurezza rimarrà superficiale.
Confesso che l'ho trovato un po' meno interessante degli anni scorsi, ma rimane fondamentale leggere la "Analisi dei principali attacchi a livello internazionale" e la "Analisi degli attacchi italiani".
Il "Focus on 2015", su diversi argomenti come l'Internet of things, Bitcoin, Cloud e sicurezza, Return on security investment, eccetera, propone articoli introduttivi a temi importanti. Il termine "introduttivi" lo uso con dispiacere, perché mi piacerebbe vedere più coraggio negli articoli pubblicati in Italia. Forse sbaglio, ma, se continuiamo a essere superficiali, il livello di sicurezza rimarrà superficiale.
sabato 21 marzo 2015
I 17 principi del COSO Integrated Framework
A maggio 2013, è stato pubblicato il "Internal Control – Integrated Framework" del COSO. Questo è composto da tre libri del costo di 175 dollari.
Non l'ho letto, ma ho letto questa serie di articoli dedicati ai 17 principi del framework (ad oggi sono solo 11):
- http://www.bestgrc.com/leverage-compliance/insights-revised-coso-integrated-
framework-revised-coso-series/
Li ho trovati molto interessanti, anche perché applicabili in diversi contesti, anche se il punto di vista dell'autore è soprattutto quello delle medio-grandi imprese statunitensi.
Non l'ho letto, ma ho letto questa serie di articoli dedicati ai 17 principi del framework (ad oggi sono solo 11):
- http://www.bestgrc.com/leverage-compliance/insights-revised-coso-integrated-
framework-revised-coso-series/
Li ho trovati molto interessanti, anche perché applicabili in diversi contesti, anche se il punto di vista dell'autore è soprattutto quello delle medio-grandi imprese statunitensi.
giovedì 19 marzo 2015
Italiano o inglese
Il 14 marzo avevo annunciato la pubblicazione della nuova versione della norma italiana UNI 10459 sui professionisti della "security":
- http://blog.cesaregallotti.it/2015/03/uni-104592015-professionista-della.html
In quell'occasione mi ero lamentato dell'uso del termine "security" in una norma italiana.
Franco Ruggieri, che ringrazio molto, mi risponde che non concorda e lo cito.
<<
Avendo visto la emetica traduzione in italiano del Regolamento (EU) 910/2014, oltre ad altre iniziative di UNI, tra cui la traduzione dello ISO/IEC 27001, preferisco che si utilizzi l'inglese.
Io faccio da decenni un ragionamento: i medici si sono inventati termini ostici per noi mortali, ma chiarissimi per loro del mestiere. Perché nell'informatica, dove non dobbiamo inventarci nulla in quanto gli americani/inglesi hanno de facto già creato un vocabolario tecnico, dobbiamo disintegrarci il cervello alla ricerca di termini italiani che, poi, risultano essere, nella migliore delle ipotesi, ambigui? E tieni conto che io per 5 anni circa sono stato in una Direzione IBM dove ci si occupava di tradurre i programmi e le dispense IBM, quindi so di che cosa parlo.
>>
Credo che Franco, per gentilezza, abbia evitato di ricordarmi che l'italiano "sicurezza" può tradurre sia "safety" (ossia la sicurezza delle persone) sia "security" (ossia la sicurezza dei beni o del patrimonio) e che usare il titolo "Professionista della sicurezza" sarebbe stato scorretto.
In parte condivido l'approccio di Franco. Certamente quando alcuni termini anglosassoni non hanno un equivalente condiviso in italiano (come "firewall"; sarebbe buffo chiamarlo "muro di fuoco"), oppure ce l'hanno ma poco usato (come "computer", che potrebbe essere tradotto con "elaboratore"). In altri casi, però, io mi ostino a cercare di usare l'italiano; vorrei citare quelli che usano "action plan" al posto di "piano di azioni" (perché fa "competente" usare termini in inglese a casaccio).
In effetti, sul termine "security" sospendo il giudizio.
D'altra parte condivido anche la sua idea (la deduco soltanto) che forse è inutile tradurre certe cose. Mi chiedo spesso come ci si possa occupare di sicurezza delle informazioni senza leggere l'inglese, visto che le pubblicazioni più interessanti (con l'ovvia eccezione del mio libro!) sono tutte in inglese. Purtroppo alcune risposte le ho già, ma mi intristiscono.
- http://blog.cesaregallotti.it/2015/03/uni-104592015-professionista-della.html
In quell'occasione mi ero lamentato dell'uso del termine "security" in una norma italiana.
Franco Ruggieri, che ringrazio molto, mi risponde che non concorda e lo cito.
<<
Avendo visto la emetica traduzione in italiano del Regolamento (EU) 910/2014, oltre ad altre iniziative di UNI, tra cui la traduzione dello ISO/IEC 27001, preferisco che si utilizzi l'inglese.
Io faccio da decenni un ragionamento: i medici si sono inventati termini ostici per noi mortali, ma chiarissimi per loro del mestiere. Perché nell'informatica, dove non dobbiamo inventarci nulla in quanto gli americani/inglesi hanno de facto già creato un vocabolario tecnico, dobbiamo disintegrarci il cervello alla ricerca di termini italiani che, poi, risultano essere, nella migliore delle ipotesi, ambigui? E tieni conto che io per 5 anni circa sono stato in una Direzione IBM dove ci si occupava di tradurre i programmi e le dispense IBM, quindi so di che cosa parlo.
>>
Credo che Franco, per gentilezza, abbia evitato di ricordarmi che l'italiano "sicurezza" può tradurre sia "safety" (ossia la sicurezza delle persone) sia "security" (ossia la sicurezza dei beni o del patrimonio) e che usare il titolo "Professionista della sicurezza" sarebbe stato scorretto.
In parte condivido l'approccio di Franco. Certamente quando alcuni termini anglosassoni non hanno un equivalente condiviso in italiano (come "firewall"; sarebbe buffo chiamarlo "muro di fuoco"), oppure ce l'hanno ma poco usato (come "computer", che potrebbe essere tradotto con "elaboratore"). In altri casi, però, io mi ostino a cercare di usare l'italiano; vorrei citare quelli che usano "action plan" al posto di "piano di azioni" (perché fa "competente" usare termini in inglese a casaccio).
In effetti, sul termine "security" sospendo il giudizio.
D'altra parte condivido anche la sua idea (la deduco soltanto) che forse è inutile tradurre certe cose. Mi chiedo spesso come ci si possa occupare di sicurezza delle informazioni senza leggere l'inglese, visto che le pubblicazioni più interessanti (con l'ovvia eccezione del mio libro!) sono tutte in inglese. Purtroppo alcune risposte le ho già, ma mi intristiscono.
martedì 17 marzo 2015
Novità legali: SPID (precisazione)
Una precisazione da Andrea Caccia di Kworks a seguito dell'articolo sullo SPID:
- http://blog.cesaregallotti.it/2015/03/spid-identita-digitale.html
Copio e incollo quanto segnalatomi da Andrea e lo ringrazio.
"Il Regolamento UE eIDAS non introduce realmente un sistema per la gestione dell'identità di gitale, ma un sistema di mutuo riconoscimento per gli schemi nazionali di gestione dell'identità digitale che diventerà operativo però solo con l'emanazione dei previsti atti esecutivi da parte della Commissione. In Italia il sistema di chiama "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" e nasce con ambizioni europee ed evolverà in modo da poter essere riconosciuto anche dagli altri Stati membri dell'Unione."
Attualmente i decreti attuativi sono dal GarantePrivacy per la necessaria approvazione".
- http://blog.cesaregallotti.it/2015/03/spid-identita-digitale.html
Copio e incollo quanto segnalatomi da Andrea e lo ringrazio.
"Il Regolamento UE eIDAS non introduce realmente un sistema per la gestione dell'identità di gitale, ma un sistema di mutuo riconoscimento per gli schemi nazionali di gestione dell'identità digitale che diventerà operativo però solo con l'emanazione dei previsti atti esecutivi da parte della Commissione. In Italia il sistema di chiama "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" e nasce con ambizioni europee ed evolverà in modo da poter essere riconosciuto anche dagli altri Stati membri dell'Unione."
Attualmente i decreti attuativi sono dal GarantePrivacy per la necessaria approvazione".
La scatola degli attrezzi per la sicurezza applicativa
Stefano Ramacciotti, sempre molto gentile, sa bene quanto mi interessi la sicurezza applicativa (anche perché devo approfondirla).
Questa volta mi ha segnalato un articolo interessante dal titolo "The Web AppSec How-to: The Defenders' Toolbox":
- https://www.checkmarx.com/white_papers/the-defenders-toolbox/
Se almeno uno di questi strumenti vi risulta sconosciuto, ne raccomando la lettura (l'articolo è molto breve e di tipo introduttivo; ma da qualche parte bisogna pur iniziare):
- Penetration testing;
- Web Application Firewall (WAF);
- Dynamic Application Security Testing (DAST);
- Static Application Security Testing (SAST);
- Interactive Application Security Testing (IAST).
Questa volta mi ha segnalato un articolo interessante dal titolo "The Web AppSec How-to: The Defenders' Toolbox":
- https://www.checkmarx.com/white_papers/the-defenders-toolbox/
Se almeno uno di questi strumenti vi risulta sconosciuto, ne raccomando la lettura (l'articolo è molto breve e di tipo introduttivo; ma da qualche parte bisogna pur iniziare):
- Penetration testing;
- Web Application Firewall (WAF);
- Dynamic Application Security Testing (DAST);
- Static Application Security Testing (SAST);
- Interactive Application Security Testing (IAST).
sabato 14 marzo 2015
2 luglio: DFA Open Day
Questo è un annuncio preliminare: il 2 luglio 2015, presso la Statale di Milano, si terrà il DFA Open Day.
Per saperne di più su DFA: http://www.perfezionisti.it/.
Anche quest'anno gli interventi rigaurderanno applicazioni di tecniche forensi, progetti internazionali correlati, novità giuridiche e legali.
Quindi: segnatevi la data! E se qualcuno conosce qualche potenziale sponsor, me lo faccia sapere (l'impegno per lo sponsor sarebbe molto ridotto).
Per gli ansiosi: non terrò alcun intervento; mi occuperò solo dell'organizzazione, di presentare i diversi relatori e di mantenere un po' d'ordine nelle domande.
Per saperne di più su DFA: http://www.perfezionisti.it/.
Anche quest'anno gli interventi rigaurderanno applicazioni di tecniche forensi, progetti internazionali correlati, novità giuridiche e legali.
Quindi: segnatevi la data! E se qualcuno conosce qualche potenziale sponsor, me lo faccia sapere (l'impegno per lo sponsor sarebbe molto ridotto).
Per gli ansiosi: non terrò alcun intervento; mi occuperò solo dell'organizzazione, di presentare i diversi relatori e di mantenere un po' d'ordine nelle domande.
SPID - Identità digitale
A dicembre avevo parlato del Regolamento UE eIDAS:
- http://blog.cesaregallotti.it/2014/12/regolamento-ue-910-del-2014-e-cad_11.html
Agostino Oliveri di Sicurdata mi ha segnalato che il Regolamento introduce anche un sistema per la gestione dell'identità digitale. In Italiano questo meccanismo vede una prima regolamentazione nel DPCM 24 ottobre 2014 ed è denominato "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" (meglio non commentare certi acronimi).
Agostino mi ha anche inviato un articolo:
- http://www.agendadigitale.eu/identita-digitale/1304_il-regolamento-eidas-vara-il-marchio-di-fiducia-europeo.htm
Qui si parla dello Spid alla fine e si dice che "lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell'Agenzia per l'Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese"; "in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema".
Per saperne ancora di più, segnalo la pagina di AgID:
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/spid
Si osservi che i regolamenti attuativi, ad oggi, sono ancora in bozza.
- http://blog.cesaregallotti.it/2014/12/regolamento-ue-910-del-2014-e-cad_11.html
Agostino Oliveri di Sicurdata mi ha segnalato che il Regolamento introduce anche un sistema per la gestione dell'identità digitale. In Italiano questo meccanismo vede una prima regolamentazione nel DPCM 24 ottobre 2014 ed è denominato "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" (meglio non commentare certi acronimi).
Agostino mi ha anche inviato un articolo:
- http://www.agendadigitale.eu/identita-digitale/1304_il-regolamento-eidas-vara-il-marchio-di-fiducia-europeo.htm
Qui si parla dello Spid alla fine e si dice che "lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell'Agenzia per l'Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese"; "in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema".
Per saperne ancora di più, segnalo la pagina di AgID:
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/spid
Si osservi che i regolamenti attuativi, ad oggi, sono ancora in bozza.
UNI 10459:2015 - Professionista della Security
Enzo Ascione di Intesa Sanpaolo Group Services mi ha segnalato la pubblicazione della norma UNI 10459:2015 dal titolo "Attvità professionali non regolamentate: Professionista della Security - Requisiti di conoscenza, abilità e competenza". La norma tratta di sicurezza sia fisica sia delle informazioni (anche se l'accento è sicuramente sulla prima).
Enzo mi ha anche segnalato un articolo in merito:
http://www.snewsonline.com/notizie/attualita/l_evoluzione_del_ruolo_del_security_manager_funzioni_e_profili_del_professionista_della_security_aziendale_
nuova_norma_uni_10459_2015-2939.
Franco Vincenzo Ferrari di DNV GL mi ha segnalato che, sempre in merito agli organismi di vigilanza, è stata recentemente firmata una convenzione tra Accredia e il Dipartimento della Pubblica Sicurezza. Accredia quindi potrà accreditare gli organismi di certificazione affinché certifichino gli istituti di vigilanza in base alle normative UNI 11068:2005 e UNI CEI EN 50518:2014 relative alle centrali operative e di telesorveglianza, UNI 10891:2000 per gli istituti di vigilanza privata e UNI 10459:2015 riguardante i professionisti della security:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1819&areaNews=95>emplate=de
fault.jsp.
Personalmente sono un po' perplesso, visto che si tratta di tantissime competenze per cui un esperto che discetti di sicurezza fisica, informatica e investigazioni, alla fine risulta essere un tuttologo senza reali competenze. Ma non vorrei essere inutilmente pessimista (il titolo di una norma UNI che usa il termine "security" e non "sicurezza" mi ha messo di malumore fin dall'inizio).
Enzo mi ha anche segnalato un articolo in merito:
http://www.snewsonline.com/notizie/attualita/l_evoluzione_del_ruolo_del_security_manager_funzioni_e_profili_del_professionista_della_security_aziendale_
nuova_norma_uni_10459_2015-2939.
Franco Vincenzo Ferrari di DNV GL mi ha segnalato che, sempre in merito agli organismi di vigilanza, è stata recentemente firmata una convenzione tra Accredia e il Dipartimento della Pubblica Sicurezza. Accredia quindi potrà accreditare gli organismi di certificazione affinché certifichino gli istituti di vigilanza in base alle normative UNI 11068:2005 e UNI CEI EN 50518:2014 relative alle centrali operative e di telesorveglianza, UNI 10891:2000 per gli istituti di vigilanza privata e UNI 10459:2015 riguardante i professionisti della security:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1819&areaNews=95>emplate=de
fault.jsp.
Personalmente sono un po' perplesso, visto che si tratta di tantissime competenze per cui un esperto che discetti di sicurezza fisica, informatica e investigazioni, alla fine risulta essere un tuttologo senza reali competenze. Ma non vorrei essere inutilmente pessimista (il titolo di una norma UNI che usa il termine "security" e non "sicurezza" mi ha messo di malumore fin dall'inizio).
venerdì 13 marzo 2015
Chief Humor Officer (CHO)
La Commissione Europea, nell'ambito dell'iniziativa sull'agenda digitale, promuove il Chief Humor Officer (CHO):
- http://ec.europa.eu/information_society/newsroom/cf/dae/itemdetail.cfm?item_
id=21001
Ringrazio itSMF per la notizia.
In poche parole: scherzare aiuta la motivazione, la creatività e la qualità del lavoro.
Non so bene cosa c'entri con l'agenda digitale o la sicurezza delle informazioni o le altre cose che segnalo, ma so che c'entra.
- http://ec.europa.eu/information_society/newsroom/cf/dae/itemdetail.cfm?item_
id=21001
Ringrazio itSMF per la notizia.
In poche parole: scherzare aiuta la motivazione, la creatività e la qualità del lavoro.
Non so bene cosa c'entri con l'agenda digitale o la sicurezza delle informazioni o le altre cose che segnalo, ma so che c'entra.
martedì 10 marzo 2015
Indagine sulle funzioni interne di audit e la cybersecurity
Protiviti ha pubblicato un documento dal titolo "From cybersecurity to collaboration: assessing the top priorities for internl audit functions: 2015 internal audit capabilities and needs surveys":
- http://www.protiviti.com/iASurvey
Il documento è abbastanza interessante, se escludiamo il solito abuso del termine "cyber security" per "sicurezza informatica".
Presento alcune cose degne di nota a mio personale giudizio, con, tra parentesi, i miei commenti:
- il 53% valuta il rischio di cybersecurity per elaborare il piano di audit (il 47%, quindi, non lo fa; e mi pare tanto; ma chissà se tutti usano il termine "cybersecurity" con lo stesso significato);
- le competenze più urgenti da migliorare riguardano "GTAG 16 - Data analysis technogies", "NIST cybersecurity framework", "Mobile applications", "Practice advisory 2320-4 - Continuous assurance"; The guide to to assessment of IT risk (GAIT)" (posto che non so di cosa parlano 3 degli elementi, noto che le necessità riguardano, tranne un caso, schemi di audit; deduco che chi non ha competenze sulla tecnologia (e sono in tanti) continua a non volerne sapere; la lista prevede 35 argomenti e di tecnico c'è solo e soltanto "Mobile applications"; interessante osservare che nella lista si trova anche al 21o posto la ISO 14001);
- per quanto riguarda le competenze relative alla conduzione degli audit, al quinto posto si trova "time management" (solitamente uno dei grandi problemi degli auditor).
Altri troveranno ulteriori elementi di interesse: buona lettura!
- http://www.protiviti.com/iASurvey
Il documento è abbastanza interessante, se escludiamo il solito abuso del termine "cyber security" per "sicurezza informatica".
Presento alcune cose degne di nota a mio personale giudizio, con, tra parentesi, i miei commenti:
- il 53% valuta il rischio di cybersecurity per elaborare il piano di audit (il 47%, quindi, non lo fa; e mi pare tanto; ma chissà se tutti usano il termine "cybersecurity" con lo stesso significato);
- le competenze più urgenti da migliorare riguardano "GTAG 16 - Data analysis technogies", "NIST cybersecurity framework", "Mobile applications", "Practice advisory 2320-4 - Continuous assurance"; The guide to to assessment of IT risk (GAIT)" (posto che non so di cosa parlano 3 degli elementi, noto che le necessità riguardano, tranne un caso, schemi di audit; deduco che chi non ha competenze sulla tecnologia (e sono in tanti) continua a non volerne sapere; la lista prevede 35 argomenti e di tecnico c'è solo e soltanto "Mobile applications"; interessante osservare che nella lista si trova anche al 21o posto la ISO 14001);
- per quanto riguarda le competenze relative alla conduzione degli audit, al quinto posto si trova "time management" (solitamente uno dei grandi problemi degli auditor).
Altri troveranno ulteriori elementi di interesse: buona lettura!
ISO/IEC 20000-9 e servizi cloud
Franco Ferrari di DNV GL mi ha segnalato la pubblicazione della ISO/IEC TR 20000-9 dal titolo "Guidance on the application of ISO/IEC 20000-1 to cloud services".
La prima impressione (ma anche la seconda, per cui ho chiesto aiuto a Tony Coletta, nostro rappresentante italiano al ISO/IEC JTC1 SC 7, che ringrazio) è che sia una norma inutile.
Non l'ho letta, ma speravo potesse essere una lettura della ISO/IEC 20000-1 che potesse essere utile a chi non la conosce bene, ma non è così.
Ovviamente si tratta della solita norma sul cloud, spinta dalla moda ma da poche idee originali. Spiace vedere tante energie sprecate in standard inutili.
La prima impressione (ma anche la seconda, per cui ho chiesto aiuto a Tony Coletta, nostro rappresentante italiano al ISO/IEC JTC1 SC 7, che ringrazio) è che sia una norma inutile.
Non l'ho letta, ma speravo potesse essere una lettura della ISO/IEC 20000-1 che potesse essere utile a chi non la conosce bene, ma non è così.
Ovviamente si tratta della solita norma sul cloud, spinta dalla moda ma da poche idee originali. Spiace vedere tante energie sprecate in standard inutili.
sabato 7 marzo 2015
Cyber che?
La newsletter di HSC (Hervé Schauer Consultants) di febbraio 2015 propone un intervento di Béatrice Joucreau e Christophe Renard che riassumo (forse malamente; spero gli autori non me ne vogliano (o non se ne accorgano)).
<<
Nel mondo della sicurezza si sentono sempre di più i termini di cybersicurezza, cybercriminalità, cyberguerra, eccetera. Tutti questi termini nascono forse per distinguere la sicurezza delle informazioni (solitamente con finalità di protezione di un ente) dalla difesa da criminali che usano Internet come arma. Oggi si sono estesi per sostituire, in modo più breve e suggestivo, "sicurezza informatica", "sicurezza delle informazioni" o "gestione della sicurezza delle informazioni".
In realtà, i termini cyberx non sono molto moderni né appropriati: hanno origine (tranne "cibernetica") negli anni Ottanta nella letteratura di fantascienza (!) e sono costruiti usando una parola ("cyber", ossia "timone" in greco) che non è un prefisso (infatti "cybernetica", che vuol dire "studio dei sistemi di regolamento", non usa "cyber" come vero e proprio prefisso).
A parte queste considerazioni, c'è qualche differenza tra cybersecurity e sicurezza dei sistemi informatici? I testi definiscono solitamente come cybersecurity "lo stato per cui un sistema informatico resiste ad eventi provenienti dal cyberspazio" (ossia da Internet, intesa come rete mondiale); la cybersecurity, quindi, utilizza tecniche di sicurezza informatica per combattere il cybercrime e attuare la cyberdefence.
Questa definizione, quindi, escluderebbe un certo numero di minacce, ossia quelle non legate ad Internet (come per esempio l'ingegneria sociale, l'osservazione dello schermo del pc da parte di un malintenzionato, il furto di un pc), quelle originate da agenti interni, quelle di origine accidentale (errori) o non umana (eventi naturali). Ovviamente sono anche escluse le minacce non informatiche, come quelle legate ai documenti cartacei e all'intercettazione di conversazioni.
Questa distinzione è fatta raramente nella pratica, forse perché ritenuta non interessante.
>>
A questo punto aggiungo una nota personale: noto molto interesse nei confronti di convegni che si richiamano alla cybersecurity e questo mi preoccupa. Infatti rischiamo di tornare indietro di 25 anni, quando la sicurezza informatica era vista come distinta dalla "sicurezza delle altre informazioni"; rischiamo di concentrarci troppo sulle minacce informatiche (pure importantissime) e perdere di vista quelle altre.
Mi scuso per l'interruzione e vado avanti a tradurre (malamente).
<<
Perché, quindi, "cybersecurity"? Con questo termine bisogna vedere un tentativo di "vendere" la sicurezza delle informazioni. I più cinici non vedranno che movimenti opportunistici da parte dei commerciali. Ma, visto che la nostra dipendenza dai sistemi informatici è ormai irreversibile e totale, anche se la loro sicurezza è rimasta in gran parte misera, un richiamo (con qualche suggestione di panico) potrebbe fare uscire il tema della sicurezza delle informazioni dalla comunità di pochi professionisti.
Usare un termine che sembra anglofono (siber-secuiriti) forse potrà promuovere meglio la sicurezza delle informazioni presso un pubblico incapace di concentrarsi su termini di più di 6 sillabe. Adottare questa terminologia vuol dire ammettere che la sicurezza delle informazioni ha bisogno di cambiare costume per uscire dal suo ghetto.
Malgrado sia ridicolo, usare il termine "cyber" vuol dire fare comunicazione. I media dimostrano che il termine è ormai conosciuto. La "cybersecurity" riuscirà a far convergere professionalità e tecniche, istituzioni pubbliche e private, agenzie governative e associazioni industriali di peso, mentre la "sicurezza delle informazioni" è rimasta un affare per specialisti? Bisogna sperarlo (a quando un'Agenzia per la cybersecurity?).
PS: alcuni verificheranno che il termine "cyberspazio" è stato inventato da William Gibson, che lo definiva "un'allucinazione vissuta consensualmente ogni giorno da miliardi di operatori legali, in ogni nazione, da bambini a cui vengono insegnati i concetti matematici... Una rappresentazione grafica di dati ricavati dai banchi di ogni computer del sistema umano. Impensabile complessità. Linee di luce allineate nel non-spazio della mente, ammassi e costellazioni di dati. Come le luci di una città, che si allontanano".
>>
Personalmente, cercherò di continuare a usare l'espressione "sicurezza delle informazioni". Tra qualche anno sarà giudicata un'altra mia mania linguistica (come il non usare "implementare" e "rilasciare" per il software o "invocare" per i piani di continuità).
<<
Nel mondo della sicurezza si sentono sempre di più i termini di cybersicurezza, cybercriminalità, cyberguerra, eccetera. Tutti questi termini nascono forse per distinguere la sicurezza delle informazioni (solitamente con finalità di protezione di un ente) dalla difesa da criminali che usano Internet come arma. Oggi si sono estesi per sostituire, in modo più breve e suggestivo, "sicurezza informatica", "sicurezza delle informazioni" o "gestione della sicurezza delle informazioni".
In realtà, i termini cyberx non sono molto moderni né appropriati: hanno origine (tranne "cibernetica") negli anni Ottanta nella letteratura di fantascienza (!) e sono costruiti usando una parola ("cyber", ossia "timone" in greco) che non è un prefisso (infatti "cybernetica", che vuol dire "studio dei sistemi di regolamento", non usa "cyber" come vero e proprio prefisso).
A parte queste considerazioni, c'è qualche differenza tra cybersecurity e sicurezza dei sistemi informatici? I testi definiscono solitamente come cybersecurity "lo stato per cui un sistema informatico resiste ad eventi provenienti dal cyberspazio" (ossia da Internet, intesa come rete mondiale); la cybersecurity, quindi, utilizza tecniche di sicurezza informatica per combattere il cybercrime e attuare la cyberdefence.
Questa definizione, quindi, escluderebbe un certo numero di minacce, ossia quelle non legate ad Internet (come per esempio l'ingegneria sociale, l'osservazione dello schermo del pc da parte di un malintenzionato, il furto di un pc), quelle originate da agenti interni, quelle di origine accidentale (errori) o non umana (eventi naturali). Ovviamente sono anche escluse le minacce non informatiche, come quelle legate ai documenti cartacei e all'intercettazione di conversazioni.
Questa distinzione è fatta raramente nella pratica, forse perché ritenuta non interessante.
>>
A questo punto aggiungo una nota personale: noto molto interesse nei confronti di convegni che si richiamano alla cybersecurity e questo mi preoccupa. Infatti rischiamo di tornare indietro di 25 anni, quando la sicurezza informatica era vista come distinta dalla "sicurezza delle altre informazioni"; rischiamo di concentrarci troppo sulle minacce informatiche (pure importantissime) e perdere di vista quelle altre.
Mi scuso per l'interruzione e vado avanti a tradurre (malamente).
<<
Perché, quindi, "cybersecurity"? Con questo termine bisogna vedere un tentativo di "vendere" la sicurezza delle informazioni. I più cinici non vedranno che movimenti opportunistici da parte dei commerciali. Ma, visto che la nostra dipendenza dai sistemi informatici è ormai irreversibile e totale, anche se la loro sicurezza è rimasta in gran parte misera, un richiamo (con qualche suggestione di panico) potrebbe fare uscire il tema della sicurezza delle informazioni dalla comunità di pochi professionisti.
Usare un termine che sembra anglofono (siber-secuiriti) forse potrà promuovere meglio la sicurezza delle informazioni presso un pubblico incapace di concentrarsi su termini di più di 6 sillabe. Adottare questa terminologia vuol dire ammettere che la sicurezza delle informazioni ha bisogno di cambiare costume per uscire dal suo ghetto.
Malgrado sia ridicolo, usare il termine "cyber" vuol dire fare comunicazione. I media dimostrano che il termine è ormai conosciuto. La "cybersecurity" riuscirà a far convergere professionalità e tecniche, istituzioni pubbliche e private, agenzie governative e associazioni industriali di peso, mentre la "sicurezza delle informazioni" è rimasta un affare per specialisti? Bisogna sperarlo (a quando un'Agenzia per la cybersecurity?).
PS: alcuni verificheranno che il termine "cyberspazio" è stato inventato da William Gibson, che lo definiva "un'allucinazione vissuta consensualmente ogni giorno da miliardi di operatori legali, in ogni nazione, da bambini a cui vengono insegnati i concetti matematici... Una rappresentazione grafica di dati ricavati dai banchi di ogni computer del sistema umano. Impensabile complessità. Linee di luce allineate nel non-spazio della mente, ammassi e costellazioni di dati. Come le luci di una città, che si allontanano".
>>
Personalmente, cercherò di continuare a usare l'espressione "sicurezza delle informazioni". Tra qualche anno sarà giudicata un'altra mia mania linguistica (come il non usare "implementare" e "rilasciare" per il software o "invocare" per i piani di continuità).
giovedì 26 febbraio 2015
NISTIR 8023 per i "Replication devices"
Il NIST ha pubblicato un internal report dal titolo "Risk Management for Replication Devices":
- http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-8023
Il termine "Replication device" si riferisce a ogni strumento che riproduce (cioè copia, stampa, acquisisce digitalmente) documenti, immagini o oggetti da origine elettroniche o fisiche; tra di essi vi sono fotocopiatrici, stampanti, stampanti 3D, scanner, scanner 3D e macchine multifunzione (fotocopiatrice, stampante e scanner).
Si tratta spesso di oggetti sottovalutati dal punto di vista della sicurezza, tanto che raramente ne è fatta un'analisi preliminare su questo aspetto e, poi, ne è tenuto un censimento a scopi di monitoraggio.
Il documento del NIST è molto sintetico e, a mio avviso, può essere usato come base per valutare e gestire altri macchinari (inclusi quelli industriali) presenti in un'azienda.
- http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-8023
Il termine "Replication device" si riferisce a ogni strumento che riproduce (cioè copia, stampa, acquisisce digitalmente) documenti, immagini o oggetti da origine elettroniche o fisiche; tra di essi vi sono fotocopiatrici, stampanti, stampanti 3D, scanner, scanner 3D e macchine multifunzione (fotocopiatrice, stampante e scanner).
Si tratta spesso di oggetti sottovalutati dal punto di vista della sicurezza, tanto che raramente ne è fatta un'analisi preliminare su questo aspetto e, poi, ne è tenuto un censimento a scopi di monitoraggio.
Il documento del NIST è molto sintetico e, a mio avviso, può essere usato come base per valutare e gestire altri macchinari (inclusi quelli industriali) presenti in un'azienda.
mercoledì 25 febbraio 2015
Internet of Things
Dopo aver fatto indigestione negli ultimi 5 o 6 anni con il "cloud", ora sembra che sia arrivato il turno del "Internet of things" o IoT. In pochissime parole, l'insieme di tutti i dispositivi che si connettono a Internet; non solo pc o simili, ma anche altri, tra cui sensori di autoveicoli, dispositivi medici, elettrodomestici, eccetera.
Gli oggetti rappresentano dei rischi perché non sempre sono programmati correttamente e gli aggiornamenti non sono previsti. Possono quindi essere sfruttati da malintenzionati per accedere ad una rete privata in modo ancora più semplice che se attaccassero dei pc.
Questa mia descrizione è troppo sintetica, ma è solo per introdurre l'argomento e segnalare la pubblicazione " Internet of things: Risk and value considerations" di ISACA, ottimo punto d'inizio per studiare la materia (tra l'altro, ISACA prevede di realizzare una serie di studi dedicati all'IoT):
- www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/internet-
of-things-risk-and-value-considerations.aspx
Segnalo anche che il "HP Cyber risk report 2015" (già commentato in precedenza) dedica un paragrafo alla materia:
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Gli oggetti rappresentano dei rischi perché non sempre sono programmati correttamente e gli aggiornamenti non sono previsti. Possono quindi essere sfruttati da malintenzionati per accedere ad una rete privata in modo ancora più semplice che se attaccassero dei pc.
Questa mia descrizione è troppo sintetica, ma è solo per introdurre l'argomento e segnalare la pubblicazione " Internet of things: Risk and value considerations" di ISACA, ottimo punto d'inizio per studiare la materia (tra l'altro, ISACA prevede di realizzare una serie di studi dedicati all'IoT):
- www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/internet-
of-things-risk-and-value-considerations.aspx
Segnalo anche che il "HP Cyber risk report 2015" (già commentato in precedenza) dedica un paragrafo alla materia:
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
ISO/IEC TR 90006 - Commento
Tony Coletta, che rappresenta l'Italia al ISO/IEC JTC 1 SC 7, mi ha risposto in merito al mio post sulla ISO/IEC 90006 (e lo ringrazio molto):
- http://blog.cesaregallotti.it/2015/02/isoiec-tr-90006.html
Tony mi scrive: "C'è almeno una cosa che considero interessante nella 90006 e a cui ho contribuito: trovare nella 20000 l'equivalente dei controlli della progettazione e sviluppo della 9001 (riesame, verifica e validazione). In qualche misura si trovano, ma la 20000 li chiama "test" e "verifiche" e li sparge nei punti più strani. Forse nella nuova edizione della 20000 si utilizzerà una terminologia più appropriata".
Mi associo alla speranza di Tony: che ci sia standardizzazione negli standard e che la lunga e onorata storia della ISO 9001 (malgrado non tutte le certificazioni siano ineccepibili) non sia ignorata, per presunzione, da chi scrive altri standard.
Tony mi segnala anche di vedere la differenza di definizione del termine "document". Infatti, nella ISO/IEC 20000 è stata aggiunta una nota alla definizione dei documenti ("specificano intenti da conseguire") per renderla più omogena a quella delle registrazioni ("riportano i risultati ottenuti o forniscono evidenza delle attività svolte").
- http://blog.cesaregallotti.it/2015/02/isoiec-tr-90006.html
Tony mi scrive: "C'è almeno una cosa che considero interessante nella 90006 e a cui ho contribuito: trovare nella 20000 l'equivalente dei controlli della progettazione e sviluppo della 9001 (riesame, verifica e validazione). In qualche misura si trovano, ma la 20000 li chiama "test" e "verifiche" e li sparge nei punti più strani. Forse nella nuova edizione della 20000 si utilizzerà una terminologia più appropriata".
Mi associo alla speranza di Tony: che ci sia standardizzazione negli standard e che la lunga e onorata storia della ISO 9001 (malgrado non tutte le certificazioni siano ineccepibili) non sia ignorata, per presunzione, da chi scrive altri standard.
Tony mi segnala anche di vedere la differenza di definizione del termine "document". Infatti, nella ISO/IEC 20000 è stata aggiunta una nota alla definizione dei documenti ("specificano intenti da conseguire") per renderla più omogena a quella delle registrazioni ("riportano i risultati ottenuti o forniscono evidenza delle attività svolte").
ISO/IEC 29147 - Vulnerability disclosure
Franco Ferrari mi ha segnalato la pubblicazione (a febbraio 2014) della ISO/IEC 29147 dal titolo "Vulnerability disclosure". Già Stefano Ramacciotti me l'aveva segnalata a suo tempo.
La norma presenta un processo, e le relative considerazioni, che i produttori di sistemi informatici dovrebbero seguire per ricevere e verificare le segnalazioni sulle vulnerabilità dei propri prodotti e per risolverle.
La norma presenta un processo, e le relative considerazioni, che i produttori di sistemi informatici dovrebbero seguire per ricevere e verificare le segnalazioni sulle vulnerabilità dei propri prodotti e per risolverle.
Indagini sui rischi e sugli attacchi
Inizio anno, tempo di rapporti sulla sicurezza dei più vari tipi.
Il primo, di Protiviti, ha titolo "Executive Perspectives on Top Risks for 2015" e riguarda i rischi (non solo di sicurezza delle informazioni) percepiti da 280 membri di Board e Top Management:
- http://www.protiviti.com/toprisks
In sintesi i rischi ritenuti più importanti sono quelli correlati ai cambiamenti normativi, all'economia generale, agli attacchi informatici, alla disponibilità del personale, alla mancanza di procedure relative alla gestione delle crisi, alle difficoltà di comprendere le aspettative dei clienti. Il decimo rischio forse li riassume tutti: "le attività attuali non riescono ad avere le prestazioni attese in merito a qualità, rapidità, costi e innovazione ". Il mio commento sintetico e, purtroppo, basato su quello che vedo: ne discutono, ma poi non promuovono né seguono attentamente azioni per trattare questi rischi; il motivo, credo, è che i manager sono giudicati nel breve termine su fatturato e utile; "sostenibilità nel medio e lungo termine" non è normalmente un parametro di giudizio.
Questa preoccupazione si percepisce nel settimo rischio che recita "la gestione della sicurezza delle informazioni richiede risorse significative".
Nota terminologica: Protiviti non usa il termine "rischio" come previsto dalle norme internazionali (ISO 31000, ISO/IEC 27001, eccetera). Ma, insomma, si capisce lo stesso.
Il secondo rapporto è il "Horizon Scan 2015" del Business Continuity Institute:
- http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document
Sintetizzo le 10 minacce ritenute più importanti: attacchi informatici, interruzioni dei sistemi informatici e delle infrastrutture, interruzioni nella filiera di fornitura, clima, malattie, fuoco, terrorismo. Interessante la preoccupazione relativa alla filiera di fornitura, che l'anno scorso era al sedicesimo posto e ora è al quinto: questo aspetto è finalmente considerato come importante. Raccomando, come minimo, la lettura dell'executive summary.
Un dato interessante per scopi polemici: le organizzazioni che dispongono di analisi e non le usano sono il 33%; mi chiedo se è perché sono commissionate a consulenti non capaci o perché sono commissionate solo per far bella figura (due dei mali che affliggono me e i miei colleghi). Un altro caso riguarda l'incapacità di rivedere le proprie decisione anche a fronte di analisi che portano a diverse conclusioni (un tipo di autoinganno molto diffuso: si "dimenticano" subito le posizioni contrarie alla nostra).
L'ultimo report è il "HP Cyber risk report 2015":
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Di questo seleziono alcuni dei temi chiave riportati all'inizio del rapporto: sfruttamento di vulnerabilità note da tempo (a cui sono collegati gli annosi problemi di patch non installate e di correzioni mai prese in considerazione per il principio "funziona e quindi non si tocca"); configurazioni sbagliate, difetti di progettazione, sviluppo e codifica dei software (cose che, per essere risolte, richiedono persone competenti, e quindi costose, che dedicano del tempo, che costa, ad aggiornarsi e trovare soluzioni).
Alcune parti del rapporto sono divulgative, altre più tecniche (per esempio il capitolo sulle vulnerabilità, ma non solo).
Il primo, di Protiviti, ha titolo "Executive Perspectives on Top Risks for 2015" e riguarda i rischi (non solo di sicurezza delle informazioni) percepiti da 280 membri di Board e Top Management:
- http://www.protiviti.com/toprisks
In sintesi i rischi ritenuti più importanti sono quelli correlati ai cambiamenti normativi, all'economia generale, agli attacchi informatici, alla disponibilità del personale, alla mancanza di procedure relative alla gestione delle crisi, alle difficoltà di comprendere le aspettative dei clienti. Il decimo rischio forse li riassume tutti: "le attività attuali non riescono ad avere le prestazioni attese in merito a qualità, rapidità, costi e innovazione ". Il mio commento sintetico e, purtroppo, basato su quello che vedo: ne discutono, ma poi non promuovono né seguono attentamente azioni per trattare questi rischi; il motivo, credo, è che i manager sono giudicati nel breve termine su fatturato e utile; "sostenibilità nel medio e lungo termine" non è normalmente un parametro di giudizio.
Questa preoccupazione si percepisce nel settimo rischio che recita "la gestione della sicurezza delle informazioni richiede risorse significative".
Nota terminologica: Protiviti non usa il termine "rischio" come previsto dalle norme internazionali (ISO 31000, ISO/IEC 27001, eccetera). Ma, insomma, si capisce lo stesso.
Il secondo rapporto è il "Horizon Scan 2015" del Business Continuity Institute:
- http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document
Sintetizzo le 10 minacce ritenute più importanti: attacchi informatici, interruzioni dei sistemi informatici e delle infrastrutture, interruzioni nella filiera di fornitura, clima, malattie, fuoco, terrorismo. Interessante la preoccupazione relativa alla filiera di fornitura, che l'anno scorso era al sedicesimo posto e ora è al quinto: questo aspetto è finalmente considerato come importante. Raccomando, come minimo, la lettura dell'executive summary.
Un dato interessante per scopi polemici: le organizzazioni che dispongono di analisi e non le usano sono il 33%; mi chiedo se è perché sono commissionate a consulenti non capaci o perché sono commissionate solo per far bella figura (due dei mali che affliggono me e i miei colleghi). Un altro caso riguarda l'incapacità di rivedere le proprie decisione anche a fronte di analisi che portano a diverse conclusioni (un tipo di autoinganno molto diffuso: si "dimenticano" subito le posizioni contrarie alla nostra).
L'ultimo report è il "HP Cyber risk report 2015":
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html
Di questo seleziono alcuni dei temi chiave riportati all'inizio del rapporto: sfruttamento di vulnerabilità note da tempo (a cui sono collegati gli annosi problemi di patch non installate e di correzioni mai prese in considerazione per il principio "funziona e quindi non si tocca"); configurazioni sbagliate, difetti di progettazione, sviluppo e codifica dei software (cose che, per essere risolte, richiedono persone competenti, e quindi costose, che dedicano del tempo, che costa, ad aggiornarsi e trovare soluzioni).
Alcune parti del rapporto sono divulgative, altre più tecniche (per esempio il capitolo sulle vulnerabilità, ma non solo).
lunedì 23 febbraio 2015
Attacco ai siti olandesi
Fabrizio Monteleone di DNV GL mi ha segnalato questo articolo (fa
riferimento ad un attacco DOoS del 10 febbraio):
- http://in.reuters.com/article/2015/02/11/netherlands-government-websites-idI
NKBN0LF0OU20150211
Fabrizio mi sottolinea quanto segue: "Chi tiene alla reputazione o chi
ritiene che il web sia un canale di comunicazione come tutti gli altri e
come tale vada protetto, dovrebbe comportarsi come i genitori che mandano i
figli a scuola da soli: spiegare di fare attenzione agli sconosciuti, non
dare confidenza, chiamare la maestra. Se tutto questo non importa vale
sempre l'assioma che se non si crea il bisogno (in questo caso di
protezione) non si vende il prodotto/servizio, nè si giustificano la nascita
e la crescita di National/Worldwide/Secret agencies...").
Io noto un'altra cosa interessante: la società che si occupa dei siti web
attaccati ha rilasciato una dichiarazione: "I primi sintomi indicavano un
problema tecnico interno, poi abbiamo capito che si trattava di un attacco
dall'esterno". Uno specialista di sicurezza ha commentato: "Se stai subendo
un attacco DDoS, lo sai".
Il mio corollario: "Ma che dichiarazione hanno fatto? Un minimo di piano di
emergenza e di comunicazione ("piano di gestione delle crisi") ce
l'avevano?". Faccio anche notare che l'attacco ha colpito le linee
telefoniche: deduco fossero su VoIP e sulla stessa rete della linea dati...
forse non la scelta migliore del mondo.
riferimento ad un attacco DOoS del 10 febbraio):
- http://in.reuters.com/article/2015/02/11/netherlands-government-websites-idI
NKBN0LF0OU20150211
Fabrizio mi sottolinea quanto segue: "Chi tiene alla reputazione o chi
ritiene che il web sia un canale di comunicazione come tutti gli altri e
come tale vada protetto, dovrebbe comportarsi come i genitori che mandano i
figli a scuola da soli: spiegare di fare attenzione agli sconosciuti, non
dare confidenza, chiamare la maestra. Se tutto questo non importa vale
sempre l'assioma che se non si crea il bisogno (in questo caso di
protezione) non si vende il prodotto/servizio, nè si giustificano la nascita
e la crescita di National/Worldwide/Secret agencies...").
Io noto un'altra cosa interessante: la società che si occupa dei siti web
attaccati ha rilasciato una dichiarazione: "I primi sintomi indicavano un
problema tecnico interno, poi abbiamo capito che si trattava di un attacco
dall'esterno". Uno specialista di sicurezza ha commentato: "Se stai subendo
un attacco DDoS, lo sai".
Il mio corollario: "Ma che dichiarazione hanno fatto? Un minimo di piano di
emergenza e di comunicazione ("piano di gestione delle crisi") ce
l'avevano?". Faccio anche notare che l'attacco ha colpito le linee
telefoniche: deduco fossero su VoIP e sulla stessa rete della linea dati...
forse non la scelta migliore del mondo.
Threat exchange
Questa notizia l'ho ricevuta inizialmente dal SANS NewsBites: alcune grandi
aziende di informatica (Facebook, Tumblr, Pinterest, Twitter, Yahoo
eccetera) utilizzano un sistema di scambio di informazioni sulle minacce a
cui potrebbero essere sottoposte.
Un articolo:
- http://www.wired.com/2015/02/facebook-unveils-tool-sharing-data-malicious-bo
tnets/
Il sito di Threat Exchange (grazie a Pasquale Stirparo, che ha anche
commentato "onestamente non so quante aziende siano disposte a condividere
certe informazioni... e soprattutto a darle in gestione a FaceBook"):
- https://threatexchange.fb.com
Grazie a Daniela Quetti per avermi ribadito la notizia (inizialmente l'avevo
ignorata).
aziende di informatica (Facebook, Tumblr, Pinterest, Twitter, Yahoo
eccetera) utilizzano un sistema di scambio di informazioni sulle minacce a
cui potrebbero essere sottoposte.
Un articolo:
- http://www.wired.com/2015/02/facebook-unveils-tool-sharing-data-malicious-bo
tnets/
Il sito di Threat Exchange (grazie a Pasquale Stirparo, che ha anche
commentato "onestamente non so quante aziende siano disposte a condividere
certe informazioni... e soprattutto a darle in gestione a FaceBook"):
- https://threatexchange.fb.com
Grazie a Daniela Quetti per avermi ribadito la notizia (inizialmente l'avevo
ignorata).
domenica 22 febbraio 2015
Inganno e autoinganno
Segnalo questo libro che ho trovato molto interessante: "La follia degli
stolti: La logica dell'inganno e dell'autoinganno nella vita umana", di
Robert Trivers (editore Einaudi).
Quanto riportato su inganno e autoinganno ha impatti anche sul lavoro e gli
ambienti di lavoro. Per esempio, pensiamo alle categorie dell'auto inganno:
- sopravvalutarsi (tutti ci sopravvalutiamo e poi facciamo errori);
- denigrare gli altri, distinguere tra "noi" e "loro", l'ipocrisia morale e
le falsi narrazioni sociali (per cui giustifichiamo nostri comportamenti
altrimenti non giustificabili);
- la corruzione del potere (anche un minuscolo potere riduce la capacità di
empatia e di ascoltare gli altri);
- l'illusione del controllo.
Altra cosa interessante che mi sono appuntato è la nostra attitudine a
mantenere la posizione nonostante tutto (per esempio, una volta negata una
preferenza o un'azione, si tende a continuare a negarla, nonostante le prove
contrarie).
Purtroppo il libro tratta alcune teorie in modo frettoloso (per esempio, non
ho capito il "faccismo"); altre parti sono inutilmente lunghe (quella sui
disastri aerei e spaziali) o inappropriate per gli scopi del libro (le
critiche a Israele, l'attacco alla psicologia come pseudo-scienza,
eccetera).
stolti: La logica dell'inganno e dell'autoinganno nella vita umana", di
Robert Trivers (editore Einaudi).
Quanto riportato su inganno e autoinganno ha impatti anche sul lavoro e gli
ambienti di lavoro. Per esempio, pensiamo alle categorie dell'auto inganno:
- sopravvalutarsi (tutti ci sopravvalutiamo e poi facciamo errori);
- denigrare gli altri, distinguere tra "noi" e "loro", l'ipocrisia morale e
le falsi narrazioni sociali (per cui giustifichiamo nostri comportamenti
altrimenti non giustificabili);
- la corruzione del potere (anche un minuscolo potere riduce la capacità di
empatia e di ascoltare gli altri);
- l'illusione del controllo.
Altra cosa interessante che mi sono appuntato è la nostra attitudine a
mantenere la posizione nonostante tutto (per esempio, una volta negata una
preferenza o un'azione, si tende a continuare a negarla, nonostante le prove
contrarie).
Purtroppo il libro tratta alcune teorie in modo frettoloso (per esempio, non
ho capito il "faccismo"); altre parti sono inutilmente lunghe (quella sui
disastri aerei e spaziali) o inappropriate per gli scopi del libro (le
critiche a Israele, l'attacco alla psicologia come pseudo-scienza,
eccetera).
martedì 10 febbraio 2015
Ospedali e continuità operativa
Sandro Sanna mi ha segnalato il seguente articolo:
- http://www.agendadigitale.eu/infrastrutture/1316_in-tre-ospedali-su-quattro-
i-pazienti-sono-alla-merce-dei-crash-informatici.htm
Diciamo che i toni dell'articolo sono un po' troppo "giornalistici".
Però ci sono cose interessanti, come la riflessione sul cloud per trovare
soluzioni di DR e la differenza tra grandi e piccole aziende (e quindi, tra
diverse disponibilità economiche grazie alla differenza di scala).
Forse un'ulteriore riflessione dovrebbe riguardare: quanti dei servizi
informatici degli ospedali sono già gestiti da fornitori esterni? Con tutto
quello che ne consegue (disponibilità di un DR, controllo degli accessi,
eccetera).
- http://www.agendadigitale.eu/infrastrutture/1316_in-tre-ospedali-su-quattro-
i-pazienti-sono-alla-merce-dei-crash-informatici.htm
Diciamo che i toni dell'articolo sono un po' troppo "giornalistici".
Però ci sono cose interessanti, come la riflessione sul cloud per trovare
soluzioni di DR e la differenza tra grandi e piccole aziende (e quindi, tra
diverse disponibilità economiche grazie alla differenza di scala).
Forse un'ulteriore riflessione dovrebbe riguardare: quanti dei servizi
informatici degli ospedali sono già gestiti da fornitori esterni? Con tutto
quello che ne consegue (disponibilità di un DR, controllo degli accessi,
eccetera).
Cassazione Penale: legittimo l'utilizzo di telecamere per provare i furti dei dipendenti
Questa sentenza, che analizza anche il famoso articolo 4 dello Statuto dei
lavoratori, mi pare interessante. In sintesi, l'enunciato è il seguente: " le
norme dello Statuto tutelano sì la riservatezza dei lavoratori ma non fanno
divieto dei cosiddetti "controlli difensivi" del patrimonio aziendale e non
vietano il loro utilizzo in sede processuale.".
L'articolo di Filodiritto:
- http://www.filodiritto.com/news/2015/cassazione-penale-legittimo-lutilizzo-d
i-telecamere-per-provare-i-furti-dei-dipendenti.html.
La sentenza non è ancora su www.cortedicassazione.it.
lavoratori, mi pare interessante. In sintesi, l'enunciato è il seguente: " le
norme dello Statuto tutelano sì la riservatezza dei lavoratori ma non fanno
divieto dei cosiddetti "controlli difensivi" del patrimonio aziendale e non
vietano il loro utilizzo in sede processuale.".
L'articolo di Filodiritto:
- http://www.filodiritto.com/news/2015/cassazione-penale-legittimo-lutilizzo-d
i-telecamere-per-provare-i-furti-dei-dipendenti.html.
La sentenza non è ancora su www.cortedicassazione.it.
sabato 7 febbraio 2015
ISO/IEC TR 90006
Franco Ferrari mi ha segnalato l'esistenza della ISO/IEC TR 90006 dal titolo
" Guidelines for the applications of ISO 9001:2008 to the IT service
management and its integration wirh ISO/IEC 20000-1:2011".
La norma è del 2013 e non la leggerò. Forse mi sfuggirà qualcosa, ma ho
sempre dei dubbi su queste norme di confronto per due motivi: il primo è che
se qualcuno conosce già le due norme (di poche pagine ciascuna!), dovrebbe
essere capace di confrontarle agevolmente; il secondo è che solitamente il
documento finale risulta in una serie di ovvietà, a causa della natura
stessa degli standard internazionali (troppi autori contribuiscono a
eliminare qualsiasi contributo originale e in una norma non si possono
scrivere cose troppo originali).
" Guidelines for the applications of ISO 9001:2008 to the IT service
management and its integration wirh ISO/IEC 20000-1:2011".
La norma è del 2013 e non la leggerò. Forse mi sfuggirà qualcosa, ma ho
sempre dei dubbi su queste norme di confronto per due motivi: il primo è che
se qualcuno conosce già le due norme (di poche pagine ciascuna!), dovrebbe
essere capace di confrontarle agevolmente; il secondo è che solitamente il
documento finale risulta in una serie di ovvietà, a causa della natura
stessa degli standard internazionali (troppi autori contribuiscono a
eliminare qualsiasi contributo originale e in una norma non si possono
scrivere cose troppo originali).
NSA Information Assurance guidance
Stefano Ramacciotti mi ha segnalato la pagina "Information Assurance
guidance" della NSA:
- https://www.nsa.gov/ia/mitigation_guidance/
Io avevo già visitato questo sito ma non l'avevo segnalato. Quindi ringrazio
Stefano del richiamo. Infatti ho fatto male perché la NSA, nonostante sia
associata a spionaggio e controllo delle persone, ha persone valide e la
loro lista delle 10 misure di sicurezza più importanti ("Top 10 IA
Mitigation Strategies") dovrebbe essere considerata.
Si tratta di misure tecniche spesso non considerate dalle solite
raccomandazioni in circolazione. Insomma, non si tratta delle solite misure
generali ("scrivete una politica di sicurezza", "fate un risk assessment",
"fate gli audit", eccetera) e neanche di processo ("stabilite un processo di
gestione delle utenze", "stabilite un processo di gestione degli incidenti",
eccetera). Sono anche forniti consigli tecnici molto pratici.
Purtroppo non hanno fatto un volumetto di 20 pagine, ma 10 documenti di due
pagine ciascuno. Son tecnici...
guidance" della NSA:
- https://www.nsa.gov/ia/mitigation_guidance/
Io avevo già visitato questo sito ma non l'avevo segnalato. Quindi ringrazio
Stefano del richiamo. Infatti ho fatto male perché la NSA, nonostante sia
associata a spionaggio e controllo delle persone, ha persone valide e la
loro lista delle 10 misure di sicurezza più importanti ("Top 10 IA
Mitigation Strategies") dovrebbe essere considerata.
Si tratta di misure tecniche spesso non considerate dalle solite
raccomandazioni in circolazione. Insomma, non si tratta delle solite misure
generali ("scrivete una politica di sicurezza", "fate un risk assessment",
"fate gli audit", eccetera) e neanche di processo ("stabilite un processo di
gestione delle utenze", "stabilite un processo di gestione degli incidenti",
eccetera). Sono anche forniti consigli tecnici molto pratici.
Purtroppo non hanno fatto un volumetto di 20 pagine, ma 10 documenti di due
pagine ciascuno. Son tecnici...
giovedì 5 febbraio 2015
Sandbox sui pc
Dalla newsletter di Achab inoltro questa notizia: Dell prevede, nella sua
installazione OEM per i pc business, la messa a disposizione di un programma
di sandboxing:
- https://www.achab.it/achab.cfm/it/blog/achablog/dell-introduce-una-sandbox-s
ui-pc-business
In poche parole, l'utente può decidere quali programmi utilizzare nella
sandbox, senza che invece lavorino direttamente sul sistema operativo, con
tutti i rischi del caso, in particolare se si tratta di browser o programmi
con livello di sicurezza non completamente noto.
Ovviamente, quello annunciato non è l'unico prodotto di sandboxing (vedo che
il più noto è Sandboxie, e poi c'è questo BufferZone Pro della Trustware
gratuito per scopi non commerciali, ma il loro sito oggi non funziona).
Questa tecnologia mi pare interessante e spero di poterla approfondire nel
futuro.
installazione OEM per i pc business, la messa a disposizione di un programma
di sandboxing:
- https://www.achab.it/achab.cfm/it/blog/achablog/dell-introduce-una-sandbox-s
ui-pc-business
In poche parole, l'utente può decidere quali programmi utilizzare nella
sandbox, senza che invece lavorino direttamente sul sistema operativo, con
tutti i rischi del caso, in particolare se si tratta di browser o programmi
con livello di sicurezza non completamente noto.
Ovviamente, quello annunciato non è l'unico prodotto di sandboxing (vedo che
il più noto è Sandboxie, e poi c'è questo BufferZone Pro della Trustware
gratuito per scopi non commerciali, ma il loro sito oggi non funziona).
Questa tecnologia mi pare interessante e spero di poterla approfondire nel
futuro.
sabato 31 gennaio 2015
NIST SP 800-163 sui test per le apps
Il NIST ha pubblicato questa guida dal titolo SP 800-163 " Vetting the
Security of Mobile Applications". Si scopre che "vetting" è usato al posto
di "evaluating" (Oxford Dictionary lo traduce come "verifica del passato di
un individuo" e mi chiedo perché non abbiano usato "evaluating" e basta...
forse la solita introduzione di un gergo inutile e ridicolo che crea una
cortina fumogena di confusione e fa sembrare bravi e competenti?).
La guida si trova a questo link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-163
La guida dovrebbe essere accompagnata dalla NIST SP 800-124 "Guidelines for
Managing the Security of Mobile Devices in the Enterprise". Insieme
forniscono indicazioni per lo sviluppo delle apps, sulle quali transitano
sempre più dati critici e, pertanto, dovrebbero essere sviluppate
attentamente.
Security of Mobile Applications". Si scopre che "vetting" è usato al posto
di "evaluating" (Oxford Dictionary lo traduce come "verifica del passato di
un individuo" e mi chiedo perché non abbiano usato "evaluating" e basta...
forse la solita introduzione di un gergo inutile e ridicolo che crea una
cortina fumogena di confusione e fa sembrare bravi e competenti?).
La guida si trova a questo link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-163
La guida dovrebbe essere accompagnata dalla NIST SP 800-124 "Guidelines for
Managing the Security of Mobile Devices in the Enterprise". Insieme
forniscono indicazioni per lo sviluppo delle apps, sulle quali transitano
sempre più dati critici e, pertanto, dovrebbero essere sviluppate
attentamente.
venerdì 30 gennaio 2015
Sicurezza IT nel settore energia - 3
Stefano Ramacciotti, dopo le prime due puntate sulla sicurezza IT nel
settore energia, mi ha segnalato il "Energy sector cybersecurity framework
implementation guidance" del U.S. Department of energy, uscito giusto a
gennaio 2015:
- http://www.energy.gov/oe/downloads/energy-sector-cybersecurity-framework-implementation-guidance
Si tratta di un bel volume di 53 pagine di tipo tecnico (per quanto un
framework possa esserlo), dopo le precedenti segnalazioni di pubblicazioni
molto più divulgative.
Diciamo che non dice nulla di particolarmente nuovo (ma sono pronto ad
essere smentito), ma è certamente molto chiaro e molto pragmatico. Può
essere letto anche da chi non si occupa di settore energetico, visto che si
tratta di raccomandazioni facilmente applicabili a tutti i settori.
Per chi volesse approfondire, nel capitolo 3 si trovano ulteriori link,
incluso uno al " NISTIR 7628 Revision 1: Guidelines for Smart Grid
Cybersecurity. Volume 1 - Smart Grid Cybersecurity Strategy, Architecture,
and High-Level Requirements" di ben 668 pagine (mi sono rifiutato di
leggerlo perché non sto seguendo lavori nel settore energia; e poi mi chiedo
quanto dovrebbe essere lungo il documento che tratta dei requisiti a basso
livello).
Sicuramente queste pubblicazioni così pragmatiche mi sembrano più
interessanti di altre che trattano di sicurezza come se fosse metafisica.
Quindi ringrazio Stefano della segnalazione.
settore energia, mi ha segnalato il "Energy sector cybersecurity framework
implementation guidance" del U.S. Department of energy, uscito giusto a
gennaio 2015:
- http://www.energy.gov/oe/downloads/energy-sector-cybersecurity-framework-implementation-guidance
Si tratta di un bel volume di 53 pagine di tipo tecnico (per quanto un
framework possa esserlo), dopo le precedenti segnalazioni di pubblicazioni
molto più divulgative.
Diciamo che non dice nulla di particolarmente nuovo (ma sono pronto ad
essere smentito), ma è certamente molto chiaro e molto pragmatico. Può
essere letto anche da chi non si occupa di settore energetico, visto che si
tratta di raccomandazioni facilmente applicabili a tutti i settori.
Per chi volesse approfondire, nel capitolo 3 si trovano ulteriori link,
incluso uno al " NISTIR 7628 Revision 1: Guidelines for Smart Grid
Cybersecurity. Volume 1 - Smart Grid Cybersecurity Strategy, Architecture,
and High-Level Requirements" di ben 668 pagine (mi sono rifiutato di
leggerlo perché non sto seguendo lavori nel settore energia; e poi mi chiedo
quanto dovrebbe essere lungo il documento che tratta dei requisiti a basso
livello).
Sicuramente queste pubblicazioni così pragmatiche mi sembrano più
interessanti di altre che trattano di sicurezza come se fosse metafisica.
Quindi ringrazio Stefano della segnalazione.
Enisa Threat Landscape 2014
A inizio gennaio 2015 avevo segnalato l'Enisa "Threat Landscape and Good
Practice Guide for Internet Infrastructure":
- http://blog.cesaregallotti.it/2015/01/enisa-threat-landscape-of-internet.html
Questa volta, sempre dal gruppo Italian Security Professional di LinkedIn,
segnalo l'ENISA "Threat Landscape 2014" che ha come sottotitolo "Overview of
current and emerging cyber-threats":
- http://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/enisa-threat-landscape/enisa-threat-landscape-2014
Si tratta di un'analisi e un ordinamento delle minacce informatiche più
diffuse, secondo quanto raccolto da numerosi (più di 400) studi liberamente
disponibili su Internet. In altre parole, quelli di Enisa si sono studiati i
materiali disponibili e preparati da altri e quindi, con un metodo che mi è
oscuro, hanno elencato le 15 minacce più diffuse. Malgrado i miei dubbi, la
lettura è interessante. I più pigri possono solo consultare pagina iv, dove
si trova la "Table 1: Overview of Threats and Emerging Trends of the ENISA
Threat Landscape 2014".
I mediamente pigri possono accontentarsi di un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32777/cyber-crime/enisa-threat-landscape-2014.html
Practice Guide for Internet Infrastructure":
- http://blog.cesaregallotti.it/2015/01/enisa-threat-landscape-of-internet.html
Questa volta, sempre dal gruppo Italian Security Professional di LinkedIn,
segnalo l'ENISA "Threat Landscape 2014" che ha come sottotitolo "Overview of
current and emerging cyber-threats":
- http://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/enisa-threat-landscape/enisa-threat-landscape-2014
Si tratta di un'analisi e un ordinamento delle minacce informatiche più
diffuse, secondo quanto raccolto da numerosi (più di 400) studi liberamente
disponibili su Internet. In altre parole, quelli di Enisa si sono studiati i
materiali disponibili e preparati da altri e quindi, con un metodo che mi è
oscuro, hanno elencato le 15 minacce più diffuse. Malgrado i miei dubbi, la
lettura è interessante. I più pigri possono solo consultare pagina iv, dove
si trova la "Table 1: Overview of Threats and Emerging Trends of the ENISA
Threat Landscape 2014".
I mediamente pigri possono accontentarsi di un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32777/cyber-crime/enisa-threat-landscape-2014.html
Rapporto sulla sicurezza nelle PA
Andrea Praitano di Business-e mi ha segnalato il "Cyber Security Report
2014" del CIS dell'Università La Sapienza di Roma. Questo report riporta i
risultati dell'osservatorio che hanno fatto sulle Pubbliche Amministrazioni,
classificate in PA centrali, locali, ASL, ecc.
La presentazione, da sola, è di difficile comprensione, mentre il report,
riportando la descrizione dei vari grafici, è chiaro:
- http://www.cis.uniroma1.it/csr2014
La mia veloce lettura mi ha permesso di trarre preoccupazione dallo stato
della sicurezza della nostra PA, ma ben pochi insegnamenti (spero però ne
traggano i responsabili delle strutture). Comunque, copio e incollo nel
seguito il commento di Andrea e lo sottoscrivo.
<<
2014" del CIS dell'Università La Sapienza di Roma. Questo report riporta i
risultati dell'osservatorio che hanno fatto sulle Pubbliche Amministrazioni,
classificate in PA centrali, locali, ASL, ecc.
La presentazione, da sola, è di difficile comprensione, mentre il report,
riportando la descrizione dei vari grafici, è chiaro:
- http://www.cis.uniroma1.it/csr2014
La mia veloce lettura mi ha permesso di trarre preoccupazione dallo stato
della sicurezza della nostra PA, ma ben pochi insegnamenti (spero però ne
traggano i responsabili delle strutture). Comunque, copio e incollo nel
seguito il commento di Andrea e lo sottoscrivo.
<<
Il report nel complesso è interessante anche se ha diversi
aspetti che a me non piacciono perché analizza più il "che cosa
hanno" più che entrare nel merito del "come lo utilizzano". Per
esempio, è stato chiesto agli intervistati se hanno il firewall, non se ne
gestiscono le regole in modo efficace.
Però un osservatorio, gioco forza, fa
analisi abbastanza "ad alto livello" non riuscendo o potendo entrare
nel dettaglio.
Ha comunque degli spunti e conclusioni interessanti che sono
anche delle conferme. A mio avviso andrebbero approfondite le PA che hanno
risposto di non aver subito attacchi, in quanto a me personalmente sembra
poco probabile: forse non si sono accorte di essere state sotto attacco e
questo sarebbe grave.
>>
lunedì 26 gennaio 2015
Game of hacks per il codice sicuro
Stefano Ramacciotti mi ha segnalato una bella iniziativa: un quiz di 5 domande per verificare la capacità di riconoscere le vulnerabilità di programmazione e, quindi, imparare a sviluppare codice più sicuro.
Ecco un articolo di presentazione (in inglese):
- https://www.checkmarx.com/2015/01/20/secure-coding-with-game-of-hacks
Ecco il gioco, nella versione gratuita:
- http://www.gameofhacks.com/
Sembra che proporranno una versione a pagamento per le attività aziendali di formazione e sensibilizzazione; mi viene quasi voglia di obbligare i miei clienti a fare il test. Stefano, invece, dice di suggerire questo gioco agli sviluppatori, in sostituzione della PlayStation.
Ecco un articolo di presentazione (in inglese):
- https://www.checkmarx.com/2015/01/20/secure-coding-with-game-of-hacks
Ecco il gioco, nella versione gratuita:
- http://www.gameofhacks.com/
Sembra che proporranno una versione a pagamento per le attività aziendali di formazione e sensibilizzazione; mi viene quasi voglia di obbligare i miei clienti a fare il test. Stefano, invece, dice di suggerire questo gioco agli sviluppatori, in sostituzione della PlayStation.
Legale: Lecito registrare il colloquio telefonico con il capo (parte 2)
Roberto Bonalumi mi ha risposto in merito alla notizia per cui la
registrazione di un colloquio intercorsa tra due persone può essere
effettuata nel caso in cui si preveda possa essere spendibile in un processo
civile o per difesa:
- http://blog.cesaregallotti.it/2015/01/lecito-registrare-il-colloquio.html
In quella occasione mi lamentavo di non poter leggere la sentenza. Roberto
mi ha quindi fornito la soluzione: "andare su www.cassazione.it, selezionare
il servizio "SentenzeWeb" e poi effettuare la ricerca tra le sentenze civili
della Cassazione".
C'è ovviamente anche quella oggetto di discussione e sembra proprio che è
legittimo registrare conversazioni, purché solo quando questo possa essere
ritenuto utile, in un futuro, per difesa in un processo.
Spero di aver capito correttamente, visto che la sentenza è scritta in modo
inutilmente complicato.
registrazione di un colloquio intercorsa tra due persone può essere
effettuata nel caso in cui si preveda possa essere spendibile in un processo
civile o per difesa:
- http://blog.cesaregallotti.it/2015/01/lecito-registrare-il-colloquio.html
In quella occasione mi lamentavo di non poter leggere la sentenza. Roberto
mi ha quindi fornito la soluzione: "andare su www.cassazione.it, selezionare
il servizio "SentenzeWeb" e poi effettuare la ricerca tra le sentenze civili
della Cassazione".
C'è ovviamente anche quella oggetto di discussione e sembra proprio che è
legittimo registrare conversazioni, purché solo quando questo possa essere
ritenuto utile, in un futuro, per difesa in un processo.
Spero di aver capito correttamente, visto che la sentenza è scritta in modo
inutilmente complicato.
domenica 18 gennaio 2015
ENISA Threat Landscape of Internet Infrastructure
Dal gruppo Italian Security Professional di LinkedIn vedo la notizia della
pubblicazione da parte di Enisa del "Threat Landscape and Good Practice
Guide for Internet Infrastructure":
- https://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/iitl
La segnalazione riporta anche il link ad un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32258/security/enisa-threat-landscape-report.html
Ho trovato più interessante la tabella del capitolo 7 (molto tecnica)
piuttosto che le recommendations: queste ultime ripropongono le solite cose
(fate risk assessment, formate le persone, eccetera).
pubblicazione da parte di Enisa del "Threat Landscape and Good Practice
Guide for Internet Infrastructure":
- https://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/iitl
La segnalazione riporta anche il link ad un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32258/security/enisa-threat-landscape-report.html
Ho trovato più interessante la tabella del capitolo 7 (molto tecnica)
piuttosto che le recommendations: queste ultime ripropongono le solite cose
(fate risk assessment, formate le persone, eccetera).
venerdì 16 gennaio 2015
Una riflessione sull'attacco alla Sony
L'ultimo numero di Crpyo-Gram presenta numerose riflessioni sull'attacco
alla Sony. La sostanza è ovvia: state attenti, perché tutti possono subire
un attacco mirato, condotto da persone competenti.
Quello che più mi ha colpito è un'altra riflessione (si trova quasi al
termine dell'articolo di cui fornisco il link poco oltre): i dati pubblicati
riguardano i "normali" impiegati della Sony, non i top manager né altra
gente importante. Questi impiegati si sono scambiati e-mail e informazioni
tra loro con anche battute e barzellette discutibili e ora sono alla
berlina. Quindi: quando usate i sistemi informatici, anche se non c'entrate
niente e non siete l'oggetto di un attacco, potreste subirne le conseguenze.
Quindi (ancora): siate prudenti anche nelle vostre attività individuali.
Il link:
- http://www.wsj.com/articles/sony-made-it-easy-but-any-of-us-could-get-hacked-1419002701.
alla Sony. La sostanza è ovvia: state attenti, perché tutti possono subire
un attacco mirato, condotto da persone competenti.
Quello che più mi ha colpito è un'altra riflessione (si trova quasi al
termine dell'articolo di cui fornisco il link poco oltre): i dati pubblicati
riguardano i "normali" impiegati della Sony, non i top manager né altra
gente importante. Questi impiegati si sono scambiati e-mail e informazioni
tra loro con anche battute e barzellette discutibili e ora sono alla
berlina. Quindi: quando usate i sistemi informatici, anche se non c'entrate
niente e non siete l'oggetto di un attacco, potreste subirne le conseguenze.
Quindi (ancora): siate prudenti anche nelle vostre attività individuali.
Il link:
- http://www.wsj.com/articles/sony-made-it-easy-but-any-of-us-could-get-hacked-1419002701.
giovedì 15 gennaio 2015
Documenti informatici nella PA - Dpcm del 13 novembre 2014
Segnalo questo articolo di Bancaforte che annuncia le regole tecniche per la
gestione dei documenti informatici presso le pubbliche amministrazioni:
- http://www.bancaforte.it/notizie/2015/01/pa-18-mesi-per-dire-addio-alla-carta
Non credo aggiunga alcunché per chi non si occupa di Pubblica
Amministrazione.
gestione dei documenti informatici presso le pubbliche amministrazioni:
- http://www.bancaforte.it/notizie/2015/01/pa-18-mesi-per-dire-addio-alla-carta
Non credo aggiunga alcunché per chi non si occupa di Pubblica
Amministrazione.
ISO/IEC 90003:2014
Franco Ferrari del DNV GL mi ha segnalato la pubblicazione della nuova
edizione della ISO/IEC 90003 dal titolo "Guidelines for the application of ISO 9001:2008 to computer software. L'introduzione segnala che questa nuova
edizione nasce per allineare la norma alla ISO 9001:2008, mentre la
precedente si basava sulla ISO 9001:2000.
Visto che tra le due edizioni della ISO 9001 non ci sono notevoli
differenze, immagino che non siano state apportate modifiche rilevanti alla
ISO/IEC 90003. Se qualcuno più attento di me vuole però segnalarmele, sarò
ben contento di condividerle.
Mi lascia perplesso anche la scelta di pubblicare questa norma oggi, a meno
di un anno dalla prevista pubblicazione della nuova ISO 9001. Solo per
questo motivo vorrei ignorarla.
edizione della ISO/IEC 90003 dal titolo "Guidelines for the application of ISO 9001:2008 to computer software. L'introduzione segnala che questa nuova
edizione nasce per allineare la norma alla ISO 9001:2008, mentre la
precedente si basava sulla ISO 9001:2000.
Visto che tra le due edizioni della ISO 9001 non ci sono notevoli
differenze, immagino che non siano state apportate modifiche rilevanti alla
ISO/IEC 90003. Se qualcuno più attento di me vuole però segnalarmele, sarò
ben contento di condividerle.
Mi lascia perplesso anche la scelta di pubblicare questa norma oggi, a meno
di un anno dalla prevista pubblicazione della nuova ISO 9001. Solo per
questo motivo vorrei ignorarla.
giovedì 8 gennaio 2015
Lecito registrare il colloquio telefonico con il capo
Dal Gruppo infotechlegale.it di LinkedIn, inoltro la seguente notizia:
secondo la Corte di Cassazione, la registrazione di un colloquio intercorsa
tra due persone assurge al rango di prova se è posta in essere da uno dei
soggetti coinvolti nella conversazione; il dipendente può registrare il
colloquio ancor prima dell'instaurazione di un eventuale procedimento
civilistico o penalistico a suo carico, essendo detta attività orientata
precisamente all'acquisizione di prove a suo favore:
- http://www.studiocataldi.it/news_giuridiche_asp/news_giuridica_17238.asp
Sarebbe interessante leggere la sentenza completa per vedere quali principi
sono richiamati e in che modo sono limitati. Purtroppo non l'ho trovata.
L'unico commento che ho trovato online finora è proprio quello del link
segnalato.
secondo la Corte di Cassazione, la registrazione di un colloquio intercorsa
tra due persone assurge al rango di prova se è posta in essere da uno dei
soggetti coinvolti nella conversazione; il dipendente può registrare il
colloquio ancor prima dell'instaurazione di un eventuale procedimento
civilistico o penalistico a suo carico, essendo detta attività orientata
precisamente all'acquisizione di prove a suo favore:
- http://www.studiocataldi.it/news_giuridiche_asp/news_giuridica_17238.asp
Sarebbe interessante leggere la sentenza completa per vedere quali principi
sono richiamati e in che modo sono limitati. Purtroppo non l'ho trovata.
L'unico commento che ho trovato online finora è proprio quello del link
segnalato.
martedì 6 gennaio 2015
Sicurezza IT nel settore energia - 2
Dopo la precedente segnalazione su sicurezza IT nel settore energia
(http://blog.cesaregallotti.it/2014/12/sicurezza-it-nel-settore-energia.html
), Stefano Ramacciotti mi ha segnalato un altro documento interessante (fino
a pagina 10; le ultime 4 pagine sono pubblicità), dicendo " mi sembrano una
discreta introduzione alla problematica per non addetti ai lavori,
considerando che in Italia quasi nemmeno ci si pensa":
- http://www.appliedelectronics.com/documents/Design_Considerations_Real_Time_
Operating_Centers_White_Paper.pdf
Per chi non vuole scaricarsi direttamente il pdf, lo può trovare a questo
link con il titolo "Design Considerations for Real-Time Operating Centers":
- http://www.appliedelectronics.com/technical-papers
(http://blog.cesaregallotti.it/2014/12/sicurezza-it-nel-settore-energia.html
), Stefano Ramacciotti mi ha segnalato un altro documento interessante (fino
a pagina 10; le ultime 4 pagine sono pubblicità), dicendo " mi sembrano una
discreta introduzione alla problematica per non addetti ai lavori,
considerando che in Italia quasi nemmeno ci si pensa":
- http://www.appliedelectronics.com/documents/Design_Considerations_Real_Time_
Operating_Centers_White_Paper.pdf
Per chi non vuole scaricarsi direttamente il pdf, lo può trovare a questo
link con il titolo "Design Considerations for Real-Time Operating Centers":
- http://www.appliedelectronics.com/technical-papers
domenica 4 gennaio 2015
Attacco ad una conduttura turca (nel 2008)
A dicembre è stato noto un incidente occorso nel 2008: dopo un'intrusione ai
sistemi informatici, è stata elevata la pressione di una conduttura di
petrolio e questo ha generato un'esplosione:
- http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html
Sembra possa essere stato un attacco da parte della Russia verso la Georgia
(devono aver sbagliato qualche calcolo) quando la tensione politica era
elevata.
La notizia, che traggo dal SANS NewsBites, è interessante perché sembra che,
per l'intrusione, sia stata sfruttata una vulnerabilità del sistema di
controllo delle telecamere o di un sistema di allarme:
- http://www.federalnewsradio.com/489/3769859/DoJs-new-cybersecurity-office-to -aid-in-worldwide-investigations
Trovo interessanti queste notizie perché mi ricordano la "filiera di
fornitura ICT": gli addetti del condotto non sono esperti di informatica e
fanno installare i sistemi senza pensare alla sicurezza; gli installatori di
sistemi di allarme e/o di telecamere si preoccupano solo che i propri
sistemi funzionino (magari con qualche patch mancante al sistema operativo
e/o qualche porta del firewall aperta senza necessità perché "non si sa mai"
e "meglio non toccare"); gli sviluppatori dei software di allarme e di
gestione delle telecamere sanno "programmare" in Java o simile, ma senza
saper "programmare in sicurezza", visto che poi la responsabilità di
"configurare" sta negli installatori; gli addetti agli acquisti forse hanno
pensato alla parola "sicurezza" solo per la salute dei lavoratori (spero
almeno questa) e al costo dell'offerta.
Chissà chi avranno trovato come capro espiatorio, anche se la colpa è di
tutti.
sistemi informatici, è stata elevata la pressione di una conduttura di
petrolio e questo ha generato un'esplosione:
- http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html
Sembra possa essere stato un attacco da parte della Russia verso la Georgia
(devono aver sbagliato qualche calcolo) quando la tensione politica era
elevata.
La notizia, che traggo dal SANS NewsBites, è interessante perché sembra che,
per l'intrusione, sia stata sfruttata una vulnerabilità del sistema di
controllo delle telecamere o di un sistema di allarme:
- http://www.federalnewsradio.com/489/3769859/DoJs-new-cybersecurity-office-to -aid-in-worldwide-investigations
Trovo interessanti queste notizie perché mi ricordano la "filiera di
fornitura ICT": gli addetti del condotto non sono esperti di informatica e
fanno installare i sistemi senza pensare alla sicurezza; gli installatori di
sistemi di allarme e/o di telecamere si preoccupano solo che i propri
sistemi funzionino (magari con qualche patch mancante al sistema operativo
e/o qualche porta del firewall aperta senza necessità perché "non si sa mai"
e "meglio non toccare"); gli sviluppatori dei software di allarme e di
gestione delle telecamere sanno "programmare" in Java o simile, ma senza
saper "programmare in sicurezza", visto che poi la responsabilità di
"configurare" sta negli installatori; gli addetti agli acquisti forse hanno
pensato alla parola "sicurezza" solo per la salute dei lavoratori (spero
almeno questa) e al costo dell'offerta.
Chissà chi avranno trovato come capro espiatorio, anche se la colpa è di
tutti.
Iscriviti a:
Post (Atom)