ISO/IEC 33000 e ISO/IEC 15504 (SPICE)

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione di alcune norme della serie ISO/IEC 33000. Esse sostituiscono le norme della serie ISO/IEC 15504, note come SPICE e dedicate alla valutazione dei processi.

Nel dettaglio:

-        la ISO/IEC 33001 (Concepts and terminology) sostituisce la ISO/IEC 15504-1;

-        la ISO/IEC 33002 (Requirements for performing process assessment) sostituisce la ISO/IEC 15504-2 e la ISO/IEC 15504-7;

-        la ISO/IEC 33003 (Requirements for process measurement frameworks) riprende delle parti delle ISO/IEC 15504-2 e ISO/IEC 15504-7;

-        la ISO/IEC 33004 (Requirements for process reference, process assessment and maturity models) riprende delle parti delle ISO/IEC 15504-2 e ISO/IEC 15504-7;

-        ISO/IEC 33014 (Guide for process improvement) riprende delle parti delle ISO/IEC 15504-4 e 7;

-        ISO/IEC 33020 (Process measurement framework for assessment of process capability) riprende delle parti delle ISO/IEC 15504-2.

La ISO/IEC 33001 segnala la futura pubblicazione di molte altre norme della famiglia.

Come noto, promuovo con prudenza le misurazioni dei processi e, quindi, sono ancora meno entusiasta di quanto riguarda capacità dei processi e modelli di maturità. Però sono argomenti che è bene conoscere almeno in modo generale (segnalo, per un riassunto, il Cobit 5).

Di queste pubblicazioni ho potuto solo vedere dei pdf iper-protetti che non permettono neanche la stampa. Vedo che l'ISO sta cercando di proteggere sempre più efficacemente la sua proprietà intellettuale (per quanto riceva soldi anche dalle stesse persone che scrivono gli standard...).

Impianti industriali insicuri

Segnalo questo articolo, con link ad un'ulteriore ricerca più approfondita, su quanto sono esposti i sistemi informatici di controllo industriale:
- https://www.linkedin.com/pulse/un-sacco-di-pallini-blu-sullitalia-impianti-esposti-su-enzo-m-tieghi

Confermo che alcune imprese stanno lavorando al miglioramento del loro livello di sicurezza. Evidentemente non abbastanza.

Google Identity Platform

La Google Identity Platform sembra una bella iniziativa di Google: un insieme di programmi per incoraggiare gli sviluppatori a creare apps e siti web più sicuri:
- http://www.cnet.com/news/google-beefs-up-user-identity-safety-net-for-apps/

Chissà quanti ne faranno uso?

Notizia dal Sans NewsBites.

E-mail personali e dati sanitari

Questa me l'ha segnalata Marco Fabbrini, che ringrazio:
- http://www.esanitanews.it/?p=2908.

Se ho capito bene la notizia, si tratta di una cosa buffa e bizzarra: una signora invia un messaggio promozionale a due clienti-amici chiedendo di inoltrarlo ad altri. Essendo però anche amici, aggiunge notizie personali relative alla propria salute. Gli amici, facendole un piacere, inoltrano l'e-mail ai propri contatti commerciali (ritoccando però le cifre dell'offerta), senza però cancellare le notizie personali. La signora se ne risente e fa reclamo al Garante della privacy (chiedendo tra l'altro di riinviare la comunicazione con le cifre originali).

Il provvedimento del Garante:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3966213

Mi viene da pensare che la signora abbia perso un paio di amici. Oltre a ciò, qualche lezione da imparare:
- fate attenzione alle "amiche" (o "amici"), che uniscono notizie professionali a notizie personali e poi non esitano a fare ricorso all'autorità;
- quando inoltrate i messaggi, verificate che non ci siano cose da cancellare;
- se avete dei colleghi-amici, mandate mail separate per cose personali e cose professionali.

La cosa buffa: il Garante ha dovuto richiamare i due "inoltratori selvaggi" chiedendo loro di mandare informative, di non trattare più i dati della signora e di vigilare sull'operato delle proprie persone. Ho capito che dovrò inviare un'informativa a tutte le persone che si comportano da "amici" con me e cancellare ogni e-mail che mi mandano!

BYOD e dispositivi mobili

Da Twitter, Alessandro Vallega ha inoltrato il link a questo articolo dal
titolo "Safeguarding the Public Sector against the Threat of Device Loss":
- http://www.infosecurity-magazine.com/opinions/chris-mayers-chief-secarccitrix/.

In sintesi, il CESG, ossia l'autorità nazionale UK per la sicurezza
informatica, ha pubblicato delle guide sul BYOD e sull'uso di dispositivi
mobili (in verità le guide sono del 2014, ma all'epoca forse ci eravamo
distratti):
- https://www.gov.uk/government/collections/bring-your-own-device-guidance;
- https://www.gov.uk/government/collections/end-user-devices-security-guidance.

Confesso che ho trovato la lettura più complicata di quanto mi aspettassi.
Forse perché il tutto è diviso in più documenti che ho fatto fatica a
collegare tra loro. Oppure perché si tratta di una "alpha release".

Twitter

Sono su Twitter da metà maggio, dopo che troppe persone mi hanno segnalato quanto fosse importante.

Scriverò solo di cose professionali. In altre parole, non fornirò contenuti diversi da quelli già presenti su blog e newsletter. Solo saranno dei riassunti di 140 caratteri.

Per festeggiarmi, ecco quindi un articolo di Bancaforte su Twitter e su quelli che lo lasciano (o dicono di volerlo lasciare):
- http://www.bancaforte.it/articolo/quelli-che-smettono-di-cinguettare-RB70187w

Data protection officer - Un buon articolo

Finalmente leggo un buon articolo su cosa è e cosa non è il famoso DPO e su quanto valgono le certificazioni professionali attualmente promosse da alcuni enti:
- http://www.filodiritto.com/articoli/2015/05/professioni-non-regolamentate-lo-strano-caso-del-privacy-officer.html

Breve riassunto: ritengo che queste certificazioni siano delle bufale.

Aggiornamento: in sede UNINFO sono in fase di avvio le attività per discutere di uno standard su "Figure professionali operanti nel settore ICT – Profili professionali relativi alla privacy".

2 giugno e Provvedimento privacy sui cookie

Il 2 giugno 2015 scade il periodo di transizione previsto dal provvedimento del Garante Privacy n. 229 del 4 maggio 2014, il cosiddetto "Provvedimento cookie" applicabile a tutti i siti web.

Non mi dilungo oltre e segnalo questo articolo di Filodiritto, che mi sembra il più completo visto finora:
- http://www.filodiritto.com/articoli/2015/05/cookie-policy-si-avvicina-la-sca
denza-del-2-giugno.html

Medical Device Security Guidance for Developers

Dal SANS Newbites: è disponibile la pubblicazione "Building Code for Medical
Device Software Security". Si può scaricare da questo breve articolo di
presentazione:
- http://www.scmagazine.com/guidance-meant-to-reduce-the-risk-of-malicious-attacks-on-medical-devices/article/416163/.

Vale la pena osservare che si tratta di una sorta di "SSDLC in sintesi" e non applicabile ai soli dispositivi medici.

Leggendo questo documento si trovano un paio di interessanti link, sempre legati allo sviluppo sicuro.

Il primo è la pagina Cybersecurity di ieee che mette a disposizione alcuni articoli interessanti:
- http://cybersecurity.ieee.org/

Più interessante ancora è la pubblicazione "Avoiding the Top 10 Security Flaws":
- http://cybersecurity.ieee.org/center-for-secure-design/avoiding-the-top-10-security-flaws.html

Il secondo link che segnalo è quello di SAFECode:
- http://www.safecode.org/

Nella sezione "pubblicazioni" ci sono molte cose interessanti, tra cui "Fundamental Practices for Secure Software Development" e "Security Engineering Training".

ISO/IEC 20000 e informatica - Altri spunti

Tony Coletta, rappresentante italiano al SC 40, è stato stimolato (come speravo) dal mio breve articolo di metà aprile:
- http://blog.cesaregallotti.it/2015/05/isoiec-20000-e-informatica.html

Quindi, da qui in poi, riporto solo e unicamente le sue parole e lo ringrazio.

La confusione è ancora grande sotto il cielo.

I britannici e comunque anche l'attuale convenor insistono che la ISO/IEC 20000 si applica anche al di fuori dell'IT ma ogni volta che tentano di ufficializzare la cosa, il tentativo viene respinto.

Il WG25 (incaricato, tra le altre cose, della redazione della ISO/IEC 20000-1) è uscito dal SC7 per andare a costituire il SC 40 insieme a quelli della Governance ma JTC1 gli ha imposto il titolo: "SC40 - IT Service Management and IT Governance".

Non possono sfuggire. Fino a quando restano in JTC1 devono rimanere nel dominio Information Technology.

Poi possiamo essere d'accordo o meno che la maggior parte dei requisiti della norma si possono applicare ai servizi in generale ma la norma è stata scritta per l'IT service management.

Nel testo della norma non si dice ogni volta IT Service Management perché "Information Technology" fa parte del titolo in prima pagina quindi è superfluo ripeterlo ogni volta.

D'altronde per essere valida per tutti i servizi, nel working group che l'ha sviluppato, avrebbero dovuto esserci i rappresentanti di tutti gli altri servizi non-IT ma questo non è vero. C'erano solo informatici.

Comunque la cosa si complica ulteriormente se cominciamo a parlare dei servizi "IT enabled", cioè servizi che di per sé non sono servizi IT ma che vengono erogati tramite tecnologie informatiche.

I bambini possono insegnarci la sicurezza delle informazioni

Interessante articolo che rigiro dalla newsletter di Anssaif:
- http://www.key4biz.it/assetprotection-sensibilizzare-i-ragazzi-alla-sicurezza-per-aiutare-anche-gli-adulti/118303/

I bambini e i ragazzini sono delle spugne e, se si spiega loro l'importanza della sicurezza su Internet, stanno attenti. I bambini, l'avrete notato, si arrabbiano quando noi adulti non seguiamo le stesse regole che abbiamo dato loro; insomma, come avere un allarme ogni volta che facciamo qualcosa di
avventato su Internet!

Forse i millennials saranno più bravi dei loro predecessori che scrivono di tutto su Internet senza preoccuparsi delle conseguenze e forse più bravi degli ultra 30enni che o non usano Internet del tutto o lo fanno in modo molto insicuro.

Intrusione nel sistema IT di un aereo

La notizia ha fatto il giro del mondo, ma io l'ho presa dal SANS NewsBites: un ricercatore, che si sta dedicando molto alla (in)sicurezza dei sistemi di volo, ha dichiarato di essere riuscito ad accedere a quelli di almeno 14 aerei su cui ha volato. Questo usando il sistema di intrattenimento presente
su molti apparecchi.

Un paio di link:
- http://www.wired.com/2015/05/feds-say-banned-researcher-commandeered-plane/
- http://arstechnica.com/security/2015/05/fbi-researcher-admitted-to-hacking-plane-in-flight-causing-it-to-climb/

Mancano dettagli per capire se si tratta di uno scherzo o di una cosa vera. Io copio, incollo e traduco un tweet, a sua volta riportato dal secondo articolo: "O ha mentito sull'intrusione negli aerei in volo o è veramente riuscito ad accedere ai sistemi di aerei in volo. Tutte e due le opzioni sono inaccettabili da un professionista di sicurezza delle informazioni".

ISO 22313 in italiano

UNI ha pubblicato la versione italiana della ISO 22313 dal titolo "Sistemi di gestione per la continuità operativa: Linee guida".

Non si tratta della ISO 22301 con i requisiti utili anche per la certificazione, che rimane solo in inglese. Trovo bizzarro che abbiano tradotto le linee guida di accompagnamento e non la norma di requisiti, ma tant'è.

La norma, che peraltro non ho trovato illuminante, si può acquistare direttamente da UNI su store.uni.com.

Grazie a Franco Ferrari di DNV GL Business Assurance Italia per la segnalazione.

Provvedimento Garante biometria - Errata corrige

Mauro Bert mi ha segnalato che il Garante privacy ha corretto il
"Provvedimento generale prescrittivo in tema di biometria".

L'errata corrige Rettifica alla Deliberazione n. 513 del 12 novembre 2014
recante 'Provvedimento generale prescrittivo in tema di biometria' - 15
gennaio 2015 - doc. web n. 3701432) si trova a questo link:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3701432

Il Provvedimento aggiornato si trova al precedente link:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3556992

Mauro (che ringrazio) riassume: "viene corretta l'errata citazione
eliminando UNI e 2005, ma continuando ad ignorare l'esistenza della UNI CEI
ISO/IEC 27001:2014".

Certificazione e bandi di gara

Sandro Sanna mi ha segnalato la "Linee Guida ACCREDIA per i bandi di gara". È un documento molto sintetico in cui sono riportati dei suggerimenti e degli esempi per richiedere ad un fornitore o potenziale fornitore prova di una certificazione:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1711&areaNews=94&GTemplate=default.jsp

Il documento riporta ulteriori e utili informazioni per esempio su come richiedere un'offerta per un servizio di certificazione.

CSSLP (libro) - Sviluppo sicuro

Da tempo volevo approfondire il tema dello sviluppo sicuro. Ho cercato un libro e ho trovato questo:
- Mano Paul. "Official (ISC)2 Guide to the CSSLP". USA: CRC Press, 2011.

È il libro per la preparazione all'esame CSSLP del (ISC)2 e quindi soffre di qualche limite, il primo dei quali è che un manuale per preparare ad un esame non è la stessa cosa di un libro scritto per altri scopi.

Il libro ha altri limiti, tra cui: errori di inglese (li ho trovati io!) e ripetitività di alcuni argomenti in diversi capitoli (e non sempre sono presentati in modo allineato). Drammaticamente ci sono anche errori tecnici (mi chiedo cosa abbia letto della ISO/IEC 27006, visto che la considera una norma per la "certificazione" del software e non per gli organismi che certificano secondo ISO 9001, 14001 e altri standard per i sistemi di gestione).

Però, in questi tempi in cui parlo con gli sviluppatori di "politiche di sviluppo sicuro" o, più banalmente, di "accorgimenti di sviluppo sicuro", vedo solo: a) sguardo di mucca quando passa il treno; b) i risultati di un vulnerability assessment; c) documenti in cui la parola "sicurezza" è nominata per sbaglio una o due volte senza ulteriori dettagli.

Allora è benvenuto un libro, per quanto mal fatto, che parla di sviluppo sicuro o, in inglese, di secure software development lifecycle (SSDLC).

In questo libro si parte dal "solito" risk management, per poi trattare del ciclo di vita: requisiti, progettazione, codifica, testing (tecnico), accettazione, messa in produzione, conduzione, manutenzione e eliminazione. Ci sono anche capitoli sulla catena di fornitura e sull'acquisizione di software da parti esterne.

Ovviamente, chiunque voglia segnalare altri testi è il benvenuto.

Supply Chain Resilience report

Il Business continuity institute mi ha comunicato la pubblicazione del Supply Chain Resilience report 2014:
- http://www.thebci.org/index.php/about/news-room#/pressreleases/businesses-facing-high-costs-of-supply-chain-disruption-1078655

Per scaricarlo chiedono di registrarsi, ma credo che anche fornendo dati falsi si possa accedere al link.

Detto questo, per pigrizia mi sono accontentato di leggere la sintesi, consapevole che ogni report segnala (più o meno) quello che vuole, solitamente per spingere da qualche parte (non mi sorprende infatti che un report sulla "supply chain" inizi dicendo che l'80% degli intervistati hanno avuto, l'anno precedente, dei problemi di filiera di fornitura, né che un report realizzato con il contributo delle assicurazioni Zurich riporti perdite ingenti per questi problemi e sottolinei che il 40% degli intervistati ha dichiarato di non avere stipulato polizze specifiche).

Però qualcosa fa riflettere, soprattutto se ci fermiamo a parlare di informatica: il 53% dei problemi di fornitura è dovuto a interruzioni dei sistemi informatici. Questo mi riporta ad uno dei miei cavalli di battaglia: forse anche questi hanno pensato troppo ai potenziali problemi di sicurezza del cloud e non hanno pensato a quelli posti dai fornitori, anche di informatica, "tradizionali".

Questo report ci ricorda la necessità di analizzare il più possibile l'intera filiera di fornitura e non fermarsi solo al fornitore primario.

Privacy e profilazione on-line

Sono state pubblicate le "Linee guida in materia di trattamento di dati personali per profilazione on line". Sono applicabili da chiunque faccia profilazione on line:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3881513

Francamente, non mi pare ci sia nulla di nuovo. D'altra parte, un richiamo su informativa, consenso e diritto di opposizione è sempre benvenuto.

Privacy e lavoratori

Il Garante privacy ha pubblicato il Vademecum 2015 su "Privacy e lavoro" (grazie a Ivo Trotti di TNS per la segnalazione):
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3890025

Oltre a questo, il Consiglio d'Europa in data 1° aprile 2015 ha adottato la Raccomandazione CM/Rec(2015)5 sul trattamento dei dati personali nel contesto dell'occupazione. I datori di lavoro dovrebbero ridurre al minimo i rischi di violazione dei diritti dei lavoratori e delle libertà fondamentali:
- https://wcd.coe.int/ViewDoc.jsp?id=2306625

Questa seconda notizia mi è stata fornita da Enzo Ascione di Intesa Sanpaolo. Enzo si chiede anche come agiranno le imprese che hanno già emesso delle policy interne in conformità al Provvedimento del Garante in materia di utilizzo della posta elettronica e della rete internet (delibera n. 13 del 1° Marzo 2007).

Inoltre si chiede:
- Quanto differiscono queste Recommendation "europee" dalla delibera "italiana" di cui sopra?
- Questa analisi sarà affrontata e pubblicata dal Garante o dovremo farla da soli?
- Come tenere conto delle eventuali differenze?

ISO/IEC 20000 e informatica

Stanno girando da tempo post e articoli sul fatto che forse la ISO/IEC 20000
non riguarda solo i servizi di tipo informatico, ma tutti i servizi.

Ne ho avuto conferma al meeting dell'SC27 e un po' ne sono rimasto sorpreso.

Di questa possibilità ne parlai, assolutamente casualmente, nel 2005 con
Tony Coletta. Ci eravamo messi a discutere sul perché nella norma non
apparisse mai "IT" e se quindi, forse, poteva essere generalizzata. Mi
ricordo che, in effetti, convenimmo sulla sua possibile generalizzazione, ma
non pensavo che questa idea potesse diffondersi.

Ora la cosa è ufficiale o quasi ufficiale.

Sito di confronto delle normative privacy

Stefano Ramacciotti, che ringrazio moltissimo, mi ha segnalato questo sito
che permette di confrontare tra loro le normative privacy di due Paesi:
- http://www.dlapiperdataprotection.com/#handbook/registration-section/c1_IT/c2_NO

Ci ho fatto un breve test e mi è sembrato molto bello.

Rapporto semestrale MELANI

Ogni sei mesi MELANI, la "Centrale d'annuncio e d'analisi per la sicurezza
dell'informazione" svizzera pubblica un rapporto sulla sicurezza delle
informazioni molto ben fatto.

Il 2014/II uscito a fine aprile 2015 riporta in parte i "soliti" attacchi di
virus, intrusione, eccetera. In parte ci sono articoli su un attacco ad un
impianto industriale in Germania, ad aziende norvegesi del settore
petrolifero, alla navigazione aerea, eccetera. Il rapporto si trova a questo
indirizzo:
- http://www.melani.admin.ch/dienstleistungen/archiv/01598/index.html?lang=it

La cosa interessante è che per ogni tipo di attacco sono riportate
sinteticamente le misure di sicurezza da considerare. Per gli impianti
industriali si fa anche riferimento ad una pubblicazione specifica dal
titolo "Misure di protezione dei sistemi industriali di controllo (ICS)":
- http://www.melani.admin.ch/dienstleistungen/00132/01557/index.html?lang=it

Stato delle norme ISO/IEC 27000

Venerdì 8 maggio si è concluso a Kuching (Malesia) il meeting semestrale del
WG1 dell'ISO/IEC JTC1 SC27 che ha, tra le altre cose, la responsabilità di
redigere le norme della serie ISO/IEC 27000. A questo incontro hanno
partecipato circa 127 esperti in rappresentanza di circa 27 Paesi. Oltre ai
lavori del WG1, si sono svolti i lavori degli altri gruppi di lavoro
dedicati agli standard di sicurezza delle informazioni e sicurezza
informatica.

La delegazione italiana, per tutti i 5 gruppi di lavoro, era composta da 3
persone, incluso me e il Presidente dell'SC 27 italiano Fabio Guasconi (di
Bl4ckSwan).

Passo quindi in rassegna rapidamente cosa è successo.

ISO/IEC 27001: è stata apportata una correzione marginale al testo.

ISO/IEC 27003 ("interpretazione" della ISO/IEC 27001): c'è stata una lunga
discussione per avere un testo "di qualità". Io ho partecipato attivamente
alle discussioni e sono emerse cose interessanti. Purtroppo, la ricerca di
qualità rallenterà la pubblicazione della norma (che ora prevedo sarà a metà
o fine 2016).

ISO/IEC 27004 (sulla misurazione di un sistema di gestione per la sicurezza
delle informazioni): hanno cercato di rendere il testo sempre più "pratico"
e meno "teorico". Come italiani siamo riusciti ad inserire molti esempi di
misurazioni e a bloccare alcune idee molto belle in teoria ma irrealizzabili
nella pratica.

ISO/IEC 27005 (sulla gestione del rischio): la norma avanzava molto
lentamente perché si cercava di aggiornarla con troppe idee (ahinoi, spesso
troppo teoriche ma non rigorose). È stato deciso di ritornare all'edizione
del 2011 e apprortare solo le modifiche necessarie ad allinearla alla nuova
ISO/IEC 27001:2013 dove necessario. Questo comunque non velocizzerà i tempi
e la nuova edizione della ISO/IEC 27005, forse, uscirà nel 2017.

ISO/IEC 27006 (regole per la certificazione ISO/IEC 27001): la discussione
ha riguardato soprattutto il numero minimo di giornate di audit, osservando
che la nuova tabella di riferimento per questo calcolo diventerà "normativa"
e non più "informativa". Come spesso succede, interessi diversi partivano da
esigenze diverse e si è cercato di raggiungere un compromesso. Le
discussioni più accese sono state tra auditor, ossia tra quelli molto
scrupolosi che vorrebbero avere sempre più tempo per gli audit e quelli che
non ritengono necessario verificare sul campo l'attuazione delle misure di
sicurezza che non ritengono utile un audit lungo, avendo in effetti non
molte cose da vedere. Come al solito, il giusto starebbe nel mezzo; speriamo
di averlo trovato.

Delle altre norme oggetto di questo meeting (ISO/IEC 27007, 27008, 27010,
27013, 27017, 27019, 27021) non ho seguito le discussioni.

Ho seguito anche una breve riunione in merito ad un possibile futuro e
ulteriore standard sul cloud. Ormai il numero di standard sul cloud è così
elevato che è quasi ridicolo (se poi pensiamo che per gli "altri" fornitori
non sono quasi disponibili delle buone linee guida). Una delegata ha chiesto
di presentare, per il prossimo incontro di ottobre, dei casi pratici che non
possono essere affrontati con gli standard attualmente disponibili. Ho
apprezzato molto questa richiesta, soprattutto perché ci aspettiamo che non
ne sarà presentato nessuno.

I 10 rischi più importanti per le tecnologie sanitarie

Marco Fabbrini, esperto di dispositivi medicali, mi ha segnalato la
pubblicazione "Top 10 Health Technology Hazards for 2015" dell'ECRI
Institute:
- https://www.ecri.org/press/Pages/ECRI-Institute-Announces-Top-10-Health-Tech
nology-Hazards-for-2015.aspx

Il rapporto è stato tradotto in italiano da AIIC.

I 10 rischi più importanti sono:
1. Policy e pratiche di configurazione degli allarmi inadeguate;
2. Dati errati o mancanti nella cartella clinica elettronica ed altri sistemi informatici;
3. Inversione di linee per terapia endovenosa e conseguente errata somministrazione di farmaci;
4. Rigenerazione inadeguata di endoscopi e strumenti chirurgici;
5. Mancata rilevazione di scollegamento dei ventilatori, a causa di allarmi mal-impostati o non avvertiti;
6. Errori nell'utilizzo e malfunzionamento di dispositivi per la movimentazione del paziente;
7. "Dose Creep": Insidiose variazioni nell'esposizione a radiazioni diagnostiche;
8. Complicazioni conseguenti a formazione inadeguata su chirurgia robotica;
9. Protezioni inadeguate per dispositivi e sistemi medicali da attacchi informatici;
10. Collassamento dei programmi per la gestione di richiami e avvisi di sicurezza.

Marco mi ha fatto notare che 3 su 10 sono di sicurezza informatica (il 2, il 9 e il 10). Tutto ciò è sintomo di un interesse degli operatori per questi temi (i rischi non sono stati rilevati da statistiche degli incidenti registrati, ma da altre fonti) e quindi da considerare.

Attacco ad una TV francese

Questa notizia la trovo strabiliante:
- http://arstechnica.com/security/2015/04/hacked-french-network-exposed-its-own-passwords-during-tv-interview/

Dal SANS NewsBites: in un'intervista video (peraltro relativa ad un hacking di un satellite), alle spalle dell'intervistato (un giornalista della rete francese TV5Monde) si trovavano dei foglietti con user-id e password. Come è andata a finire, potete immaginarlo (11 stazioni hanno avuto delle interruzioni di segnale).

Questo ci ricorda che ci vuole veramente poco per essere attaccati con successo.

NIST SP 800-161 su supply chain risk management

Il NIST ha pubblicato la Special Publication 800-161, Supply Chain Risk Management Practices. Essa è indirizzata agli enti federali degli USA ma potrebbe essere interessante per tutti:
- http://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-161.pdf

Io sono un fan delle pubblicazioni del NIST, ma questa non mi ha soddisfatto. Infatti spende 36 pagine per illustrare un metodo di risk assessment (come se il NIST non avesse già un'altra pubblicazione dedicata a questo o come se gli autori di questa pubblicazione volessero dire la loro sulla materia) per poi elencare lungamente dei controlli di sicurezza non sempre applicabili a tutti i fornitori. Anche l'elenco delle minacce non mi sembra particolarmente illuminante.

Mi sarebbe piaciuto infatti trovare considerazioni sui rischi relativi ai fornitori e alla filiera di fornitura, mentre invece non si trova quasi nulla di tutto ciò. E così pure sui controlli di sicurezza.

Bisogna dire che mi sembra quindi un'occasione persa, soprattutto se consideriamo quanta letteratura (di qualità non sempre eccelsa...) è stata fatta sui servizi cloud (ossia su una tipologia specifica di fornitori) e quanta poca ve ne sia sugli altri fornitori. Poteva essere l'occasione per ricordare che gran parte delle questioni di sicurezza delle informazioni relative ai servizi cloud sono in realtà comuni a più tipologie di fornitori e che, pertanto, andrebbero affrontate.

Linee guida del CERT sulla codifica

Vi segnalo i "CERT Coding Standards" per C, C++, Java, Perl e Android:
- https://www.securecoding.cert.org/confluence/display/seccode/CERT+Coding+Standards

Il un'altra pagina, sono a disposizione le "Java Coding Guidelines":
- https://www.securecoding.cert.org/confluence/display/java/Java+Coding+Guidelines

La differenza tra gli "standard" e le "linee guida" al momento mi sfugge.

Sul web

Mi rendo conto che questa notizia non c'entra nulla. Ma appaio per un secondo (il quinto) in questo spot di McDonald's e mi sembra ancora incredibile:
- http://www.ilpost.it/2015/04/15/hamburger-mcdonalds-blind-taste-milano-italia/

Sviluppo - Worst practice

Mi è capitato un caso interessante. Visto che fatturo (poco) all'estero,
devo produrre dichiarazioni doganali. Da www.agenziadogane.it devo usare un
servizio "Intrastat". Ogni anno mi dà dei problemi e ogni anno devo chiamare
l'assistenza.

Vi segnalo quindi la pagina con le istruzioni per quest'anno (ogni anno
cambiano, ovviamente):
- http://assistenza.agenziadogane.it/SRVS/CGI-BIN/WEBCGI.EXE?St=274,E=00000000
00249617387,K=5081,Sxi=17,Solution=1946,t=Solution

Per chi non ha voglia di leggersi il documento, ecco cosa bisogna fare:
- usare una versione obsoleta di JRE;
- abbassare il livello di sicurezza del Java;
- abbassare il livello di sicurezza di Internet Explorer.
- osservare che i certificati usati sono auto-firmati.

Aggiungo che il mio pc con Windows 8, nonostante tutte queste cose, ha fatto
cilecca e ho dovuto usare un "vecchio" Windows Vista.

Questo è decisamente un caso di "worst practice" relativa allo sviluppo.

Un'ulteriore considerazione: l'assistenza mi ha risposto in modo molto
veloce e puntuale (anche se poi ho comunque dovuto cambiare pc). Questo mi
porta a credere che il fornitore dell'Agenzia delle Dogane ha un sistema
gestionale per cui l'assistenza (reattiva) funziona bene, ma la qualità
(preventiva) funziona molto male (la navigazione del sito è anch'essa molto
discutibile, con informazioni sparse in modo apparentemente casuale). C'è di
che pensar male (o perché la Direzione non sa fare il suo lavoro, oppure
perché così può risparmiare su una serie di elementi ma farsi pagare di più
a causa di altri).

CIO si lamentano dell'inutilità dei report

Sul SANS NewsBites del 3 aprile trovo la seguente notizia: secondo
un'indagine del Government Accountability Office (GAO) presso responsabili
dell'IT (CIO, Chief Information Officer) di 24 agenzie federali tra le più
grandi, i report richiesti dal Office of Management and
Budget (OMB) sono in gran parte inutili e costosi:
- http://www.nextgov.com/cio-briefing/2015/04/survey-cios-say-many-it

Si tratta certamente di cose molto specifiche, ma il report del GAO mi ha
incuriosito:
- http://www.gao.gov/assets/670/669434.pdf

Se ho capito correttamente, i report richiesti sono 36 e riguardano la
pianificazione strategica, la pianificazione capitale e degli investimenti,
la sicurezza IT, l'acquisizione e integrazione dei sistemi IT e altre
iniziative. Solo 4 di questi sono reputati utili e riguardano la
pianificazione strategica e la pianificazione capitale e degli investimenti.
Tra i report "moderatamente significativi" si trovano quelli sulle
"significative debolezze di sicurezza" e sulle "metriche di sicurezza IT".

Perché la sicurezza è "moderatamente significativa"? In parte, sul report si
legge che si tratta di report con dati ridondanti l'uno con gli altri o con
dati da inserire manualmente da diverse fonti. In parte immagino che molte
misure non siano ritenute effettivamente significative e questo è uno dei
problemi della sicurezza: si può misurare il numero di incidenti e poco più.
Il resto serve solo a dare un'illusione di controllo "oggettivo".

Controllo del codice

Sulla mailing list ml di Sikurezza.org, un partecipante ha chiesto consigli
sugli strumenti di controllo automatico del codice.

Gli altri partecipanti hanno fornito diverse indicazioni: Fortify, ZAproxy,
pylint (per Python), Brakeman, Dawnscanner (per Ruby), Coverity (C++),
Veracode (su cloud).

Ancora più interessante è il link alla pagina del NIST, con una serie di
strumenti:
- http://samate.nist.gov/index.php/Source_Code_Security_Analyzers.html

In molti hanno segnalato alcuni problemi di questi strumenti, soprattutto i
falsi positivi e la necessità di valutarne i risultati con la dovuta
cautela, visto che ogni prodotto ha le sue specificità.

In questi anni, lo confesso, ho sempre ignorato questi strumenti, usati sia
per il controllo della qualità sia della sicurezza del codice. Credo che
invece siano da prendere in considerazione.

Accesso ai pc per antiterrorismo

In questi giorni c'è dibattito in merito al "provvedimento antiterrorismo". E' bene ricordare che si tratta ancora di una bozza di Decreto Legge non ancora approvata.

In poche parole: il decreto consentirebbe "l'intercettazione del flusso di comunicazioni anche attraverso l'impiego di strumenti o programmi informatici per l'acquisizione da remoto delle comunicazioni e dei dati presenti in un sistema informatico. In pratica, anche per ragioni non legate all'antiterrorismo, le Forze dell'ordine sarebbero autorizzate a installare malware sui pc a scopi di intercettazione.

Il problema è quindi che si introdurrebbero misure di indagine, nascondendole dietro l'anti terrorismo.

Per saperne di più, segnalo un articolo del Corriere della Sera e un post del deputato Stefano Quintarelli:
- http://www.corriere.it/cronache/15_marzo_25/decreto-antiterrorismo-polizia-p
otra-accedere-pc-italiani-66eea4e2-d319-11e4-9209-9dd80f8535a2.shtml;
- http://stefanoquintarelli.tumblr.com/post/114529278225/una-svista-rilevante-
nel-provvedimento.

Pochi giorni dopo la notizia, il Governo ha fatto marcia indietro:
- http://www.corriere.it/politica/15_marzo_26/renzi-stralcia-antiterrorismo-no
rme-computer-3e07c838-d3a5-11e4-9231-aa2c4d8b5ec3.shtml

Materia certamente da seguire, che permette di riflettere sul livello di libertà che siamo disposti a perdere per essere più sicuri.

Grazie alla mailing list dei "perfezionisti" per la notizia.

ISO/IEC 27041 e 27043

Dalla newsletter del BSI, vi segnalo l'avvenuta pubblicazione della norma ISO/IEC 27043:2015 dal titolo "Incident investigation principles and processes".

Mi sembra molto interessante l'estensione data alla preparazione pre-incidente, che richiede, tra le altre cose, di identificare le potenziali fonti di dati e le modalità di raccolta dei dati perché siano utilizzabili come prova.

Provvedo io a segnalare che, probabilmente, sarà pubblicata a breve la ISO/IEC 27041 dal titolo "Guidance on assuring suitability and adequacy of incident investigative method" e dedicata ai metodi e processi per investigare gli incidenti di sicurezza.

I costi dei fornitori IT

Segnalo questo brevissimo articolo di @ISACA del 25 marzo 2015 dal titolo "The True Cost of Cost Savings When Outsourcing IT":
- http://www.isaca.org/About-ISACA/-ISACA-Newsletter/Pages/@-isaca-volume-6-25
-march-2015.aspx

Traduco liberamente (l'articolo mi sembra troppo coinciso e non so se ho capito bene): secondo il "Global Information Security Survey 2015" di Pricewaterhouse Coopers, le minacce più elevate di sicurezza informatica sono originate, in ordine, da personale interno, ex dipendenti, fornitori di servizi IT, consulenti e collaboratori. Quindi, dare in outsourcing i servizi IT non è molto economico, se si aggiungono, alle tariffe dei fornitori, i costi delle misure di sicurezza da adottare per ridurre i rischi originati dai fornitori stessi.

In base alla mia esperienza non saprei se avallare questa affermazione. Però posso affermare con forza una cosa: la questione della sicurezza nei rapporti con i fornitori è ignorata o sottovalutata. A meno che il servizio non sia "cloud"; in quel caso si accendono tanti (troppi) allarmi. Ma dell'eccessiva attenzione al cloud e della sottovalutazione degli altri fornitori ne parlo da tanto (troppo) tempo.

Escrow agreement

Si parla spesso di contratti escrow per garantire la disponibilità del codice sorgente di un fornitore o di chiavi crittografiche.

Questo articolo mi sembra spieghi bene questo strumento:
- http://www.altalex.com/index.php?idu=264948&cmd5=021c46ab76df2fd7050bbc8c56e
d7fe1&idnot=70619

Rapporto Clusit 2015

A metà marzo è stato pubblicato il "Rapporto Clusit 2015 sulla sicurezza ICT in Italia". Per averlo, bisogna seguire le istruzioni su www.clusit.it

Confesso che l'ho trovato un po' meno interessante degli anni scorsi, ma rimane fondamentale leggere la "Analisi dei principali attacchi a livello internazionale" e la "Analisi degli attacchi italiani".

Il "Focus on 2015", su diversi argomenti come l'Internet of things, Bitcoin, Cloud e sicurezza, Return on security investment, eccetera, propone articoli introduttivi a temi importanti. Il termine "introduttivi" lo uso con dispiacere, perché mi piacerebbe vedere più coraggio negli articoli pubblicati in Italia. Forse sbaglio, ma, se continuiamo a essere superficiali, il livello di sicurezza rimarrà superficiale.

I 17 principi del COSO Integrated Framework

A maggio 2013, è stato pubblicato il "Internal Control – Integrated Framework" del COSO. Questo è composto da tre libri del costo di 175 dollari.

Non l'ho letto, ma ho letto questa serie di articoli dedicati ai 17 principi del framework (ad oggi sono solo 11):
- http://www.bestgrc.com/leverage-compliance/insights-revised-coso-integrated-
framework-revised-coso-series/

Li ho trovati molto interessanti, anche perché applicabili in diversi contesti, anche se il punto di vista dell'autore è soprattutto quello delle medio-grandi imprese statunitensi.

Italiano o inglese

Il 14 marzo avevo annunciato la pubblicazione della nuova versione della norma italiana UNI 10459 sui professionisti della "security":
- http://blog.cesaregallotti.it/2015/03/uni-104592015-professionista-della.html

In quell'occasione mi ero lamentato dell'uso del termine "security" in una norma italiana.

Franco Ruggieri, che ringrazio molto, mi risponde che non concorda e lo cito.

<<
Avendo visto la emetica traduzione in italiano del Regolamento (EU) 910/2014, oltre ad altre iniziative di UNI, tra cui la traduzione dello ISO/IEC 27001, preferisco che si utilizzi l'inglese.

Io faccio da decenni un ragionamento: i medici si sono inventati termini ostici per noi mortali, ma chiarissimi per loro del mestiere. Perché nell'informatica, dove non dobbiamo inventarci nulla in quanto gli americani/inglesi hanno de facto già creato un vocabolario tecnico, dobbiamo disintegrarci il cervello alla ricerca di termini italiani che, poi, risultano essere, nella migliore delle ipotesi, ambigui? E tieni conto che io per 5 anni circa sono stato in una Direzione IBM dove ci si occupava di tradurre i programmi e le dispense IBM, quindi so di che cosa parlo.
>>

Credo che Franco, per gentilezza, abbia evitato di ricordarmi che l'italiano "sicurezza" può tradurre sia "safety" (ossia la sicurezza delle persone) sia "security" (ossia la sicurezza dei beni o del patrimonio) e che usare il titolo "Professionista della sicurezza" sarebbe stato scorretto.

In parte condivido l'approccio di Franco. Certamente quando alcuni termini anglosassoni non hanno un equivalente condiviso in italiano (come "firewall"; sarebbe buffo chiamarlo "muro di fuoco"), oppure ce l'hanno ma poco usato (come "computer", che potrebbe essere tradotto con "elaboratore"). In altri casi, però, io mi ostino a cercare di usare l'italiano; vorrei citare quelli che usano "action plan" al posto di "piano di azioni" (perché fa "competente" usare termini in inglese a casaccio).

In effetti, sul termine "security" sospendo il giudizio.

D'altra parte condivido anche la sua idea (la deduco soltanto) che forse è inutile tradurre certe cose. Mi chiedo spesso come ci si possa occupare di sicurezza delle informazioni senza leggere l'inglese, visto che le pubblicazioni più interessanti (con l'ovvia eccezione del mio libro!) sono tutte in inglese. Purtroppo alcune risposte le ho già, ma mi intristiscono.

Novità legali: SPID (precisazione)

Una precisazione da Andrea Caccia di Kworks a seguito dell'articolo sullo SPID:
- http://blog.cesaregallotti.it/2015/03/spid-identita-digitale.html

Copio e incollo quanto segnalatomi da Andrea e lo ringrazio.

"Il Regolamento UE eIDAS non introduce realmente un sistema per la gestione dell'identità di gitale, ma un sistema di mutuo riconoscimento per gli schemi nazionali di gestione dell'identità digitale che diventerà operativo però solo con l'emanazione dei previsti atti esecutivi da parte della Commissione. In Italia il sistema di chiama "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" e nasce con ambizioni europee ed evolverà in modo da poter essere riconosciuto anche dagli altri Stati membri dell'Unione."

Attualmente i decreti attuativi sono dal GarantePrivacy per la necessaria approvazione".

La scatola degli attrezzi per la sicurezza applicativa

Stefano Ramacciotti, sempre molto gentile, sa bene quanto mi interessi la sicurezza applicativa (anche perché devo approfondirla).

Questa volta mi ha segnalato un articolo interessante dal titolo "The Web AppSec How-to: The Defenders' Toolbox":
- https://www.checkmarx.com/white_papers/the-defenders-toolbox/

Se almeno uno di questi strumenti vi risulta sconosciuto, ne raccomando la lettura (l'articolo è molto breve e di tipo introduttivo; ma da qualche parte bisogna pur iniziare):
- Penetration testing;
- Web Application Firewall (WAF);
- Dynamic Application Security Testing (DAST);
- Static Application Security Testing (SAST);
- Interactive Application Security Testing (IAST).

2 luglio: DFA Open Day

Questo è un annuncio preliminare: il 2 luglio 2015, presso la Statale di Milano, si terrà il DFA Open Day.

Per saperne di più su DFA: http://www.perfezionisti.it/.

Anche quest'anno gli interventi rigaurderanno applicazioni di tecniche forensi, progetti internazionali correlati, novità giuridiche e legali.

Quindi: segnatevi la data! E se qualcuno conosce qualche potenziale sponsor, me lo faccia sapere (l'impegno per lo sponsor sarebbe molto ridotto).

Per gli ansiosi: non terrò alcun intervento; mi occuperò solo dell'organizzazione, di presentare i diversi relatori e di mantenere un po' d'ordine nelle domande.

SPID - Identità digitale

A dicembre avevo parlato del Regolamento UE eIDAS:
- http://blog.cesaregallotti.it/2014/12/regolamento-ue-910-del-2014-e-cad_11.html

Agostino Oliveri di Sicurdata mi ha segnalato che il Regolamento introduce anche un sistema per la gestione dell'identità digitale. In Italiano questo meccanismo vede una prima regolamentazione nel DPCM 24 ottobre 2014 ed è denominato "Sistema Pubblico per la gestione dell'Identità Digitale - Spid" (meglio non commentare certi acronimi).

Agostino mi ha anche inviato un articolo:
- http://www.agendadigitale.eu/identita-digitale/1304_il-regolamento-eidas-vara-il-marchio-di-fiducia-europeo.htm

Qui si parla dello Spid alla fine e si dice che "lo Spid è un sistema aperto attraverso il quale soggetti pubblici e privati, previo accreditamento da parte dell'Agenzia per l'Italia Digitale, potranno offrire servizi di identificazione elettronica a cittadini e imprese"; "in questo modo consentirà ai cittadini di avvalersi della propria identità digitale per accedere ai servizi on line messi a disposizione dalle singole Pubbliche Amministrazioni o anche dai privati che aderiranno a tale sistema".

Per saperne ancora di più, segnalo la pagina di AgID:
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/spid

Si osservi che i regolamenti attuativi, ad oggi, sono ancora in bozza.

UNI 10459:2015 - Professionista della Security

Enzo Ascione di Intesa Sanpaolo Group Services mi ha segnalato la pubblicazione della norma UNI 10459:2015 dal titolo "Attvità professionali non regolamentate: Professionista della Security - Requisiti di conoscenza, abilità e competenza". La norma tratta di sicurezza sia fisica sia delle informazioni (anche se l'accento è sicuramente sulla prima).

Enzo mi ha anche segnalato un articolo in merito:
http://www.snewsonline.com/notizie/attualita/l_evoluzione_del_ruolo_del_security_manager_funzioni_e_profili_del_professionista_della_security_aziendale_
nuova_norma_uni_10459_2015-2939.

Franco Vincenzo Ferrari di DNV GL mi ha segnalato che, sempre in merito agli organismi di vigilanza, è stata recentemente firmata una convenzione tra Accredia e il Dipartimento della Pubblica Sicurezza. Accredia quindi potrà accreditare gli organismi di certificazione affinché certifichino gli istituti di vigilanza in base alle normative UNI 11068:2005 e UNI CEI EN 50518:2014 relative alle centrali operative e di telesorveglianza, UNI 10891:2000 per gli istituti di vigilanza privata e UNI 10459:2015 riguardante i professionisti della security:
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1819&areaNews=95&GTemplate=de
fault.jsp.

Personalmente sono un po' perplesso, visto che si tratta di tantissime competenze per cui un esperto che discetti di sicurezza fisica, informatica e investigazioni, alla fine risulta essere un tuttologo senza reali competenze. Ma non vorrei essere inutilmente pessimista (il titolo di una norma UNI che usa il termine "security" e non "sicurezza" mi ha messo di malumore fin dall'inizio).

Chief Humor Officer (CHO)

La Commissione Europea, nell'ambito dell'iniziativa sull'agenda digitale, promuove il Chief Humor Officer (CHO):
- http://ec.europa.eu/information_society/newsroom/cf/dae/itemdetail.cfm?item_
id=21001

Ringrazio itSMF per la notizia.

In poche parole: scherzare aiuta la motivazione, la creatività e la qualità del lavoro.

Non so bene cosa c'entri con l'agenda digitale o la sicurezza delle informazioni o le altre cose che segnalo, ma so che c'entra.

Indagine sulle funzioni interne di audit e la cybersecurity

Protiviti ha pubblicato un documento dal titolo "From cybersecurity to collaboration: assessing the top priorities for internl audit functions: 2015 internal audit capabilities and needs surveys":
- http://www.protiviti.com/iASurvey

Il documento è abbastanza interessante, se escludiamo il solito abuso del termine "cyber security" per "sicurezza informatica".

Presento alcune cose degne di nota a mio personale giudizio, con, tra parentesi, i miei commenti:
- il 53% valuta il rischio di cybersecurity per elaborare il piano di audit (il 47%, quindi, non lo fa; e mi pare tanto; ma chissà se tutti usano il termine "cybersecurity" con lo stesso significato);
- le competenze più urgenti da migliorare riguardano "GTAG 16 - Data analysis technogies", "NIST cybersecurity framework", "Mobile applications", "Practice advisory 2320-4 - Continuous assurance"; The guide to to assessment of IT risk (GAIT)" (posto che non so di cosa parlano 3 degli elementi, noto che le necessità riguardano, tranne un caso, schemi di audit; deduco che chi non ha competenze sulla tecnologia (e sono in tanti) continua a non volerne sapere; la lista prevede 35 argomenti e di tecnico c'è solo e soltanto "Mobile applications"; interessante osservare che nella lista si trova anche al 21o posto la ISO 14001);
- per quanto riguarda le competenze relative alla conduzione degli audit, al quinto posto si trova "time management" (solitamente uno dei grandi problemi degli auditor).

Altri troveranno ulteriori elementi di interesse: buona lettura!

ISO/IEC 20000-9 e servizi cloud

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione della ISO/IEC TR 20000-9 dal titolo "Guidance on the application of ISO/IEC 20000-1 to cloud services".

La prima impressione (ma anche la seconda, per cui ho chiesto aiuto a Tony Coletta, nostro rappresentante italiano al ISO/IEC JTC1 SC 7, che ringrazio) è che sia una norma inutile.

Non l'ho letta, ma speravo potesse essere una lettura della ISO/IEC 20000-1 che potesse essere utile a chi non la conosce bene, ma non è così.

Ovviamente si tratta della solita norma sul cloud, spinta dalla moda ma da poche idee originali. Spiace vedere tante energie sprecate in standard inutili.

Cyber che?

La newsletter di HSC (Hervé Schauer Consultants) di febbraio 2015 propone un intervento di Béatrice Joucreau e Christophe Renard che riassumo (forse malamente; spero gli autori non me ne vogliano (o non se ne accorgano)).

<<
Nel mondo della sicurezza si sentono sempre di più i termini di cybersicurezza, cybercriminalità, cyberguerra, eccetera. Tutti questi termini nascono forse per distinguere la sicurezza delle informazioni (solitamente con finalità di protezione di un ente) dalla difesa da criminali che usano Internet come arma. Oggi si sono estesi per sostituire, in modo più breve e suggestivo, "sicurezza informatica", "sicurezza delle informazioni" o "gestione della sicurezza delle informazioni".

In realtà, i termini cyberx non sono molto moderni né appropriati: hanno origine (tranne "cibernetica") negli anni Ottanta nella letteratura di fantascienza (!) e sono costruiti usando una parola ("cyber", ossia "timone" in greco) che non è un prefisso (infatti "cybernetica", che vuol dire "studio dei sistemi di regolamento", non usa "cyber" come vero e proprio prefisso).

A parte queste considerazioni, c'è qualche differenza tra cybersecurity e sicurezza dei sistemi informatici? I testi definiscono solitamente come cybersecurity "lo stato per cui un sistema informatico resiste ad eventi provenienti dal cyberspazio" (ossia da Internet, intesa come rete mondiale); la cybersecurity, quindi, utilizza tecniche di sicurezza informatica per combattere il cybercrime e attuare la cyberdefence.

Questa definizione, quindi, escluderebbe un certo numero di minacce, ossia quelle non legate ad Internet (come per esempio l'ingegneria sociale, l'osservazione dello schermo del pc da parte di un malintenzionato, il furto di un pc), quelle originate da agenti interni, quelle di origine accidentale (errori) o non umana (eventi naturali). Ovviamente sono anche escluse le minacce non informatiche, come quelle legate ai documenti cartacei e all'intercettazione di conversazioni.

Questa distinzione è fatta raramente nella pratica, forse perché ritenuta non interessante.
>>

A questo punto aggiungo una nota personale: noto molto interesse nei confronti di convegni che si richiamano alla cybersecurity e questo mi preoccupa. Infatti rischiamo di tornare indietro di 25 anni, quando la sicurezza informatica era vista come distinta dalla "sicurezza delle altre informazioni"; rischiamo di concentrarci troppo sulle minacce informatiche (pure importantissime) e perdere di vista quelle altre.

Mi scuso per l'interruzione e vado avanti a tradurre (malamente).

<<
Perché, quindi, "cybersecurity"? Con questo termine bisogna vedere un tentativo di "vendere" la sicurezza delle informazioni. I più cinici non vedranno che movimenti opportunistici da parte dei commerciali. Ma, visto che la nostra dipendenza dai sistemi informatici è ormai irreversibile e totale, anche se la loro sicurezza è rimasta in gran parte misera, un richiamo (con qualche suggestione di panico) potrebbe fare uscire il tema della sicurezza delle informazioni dalla comunità di pochi professionisti.

Usare un termine che sembra anglofono (siber-secuiriti) forse potrà promuovere meglio la sicurezza delle informazioni presso un pubblico incapace di concentrarsi su termini di più di 6 sillabe. Adottare questa terminologia vuol dire ammettere che la sicurezza delle informazioni ha bisogno di cambiare costume per uscire dal suo ghetto.

Malgrado sia ridicolo, usare il termine "cyber" vuol dire fare comunicazione. I media dimostrano che il termine è ormai conosciuto. La "cybersecurity" riuscirà a far convergere professionalità e tecniche, istituzioni pubbliche e private, agenzie governative e associazioni industriali di peso, mentre la "sicurezza delle informazioni" è rimasta un affare per specialisti? Bisogna sperarlo (a quando un'Agenzia per la cybersecurity?).

PS: alcuni verificheranno che il termine "cyberspazio" è stato inventato da William Gibson, che lo definiva "un'allucinazione vissuta consensualmente ogni giorno da miliardi di operatori legali, in ogni nazione, da bambini a cui vengono insegnati i concetti matematici... Una rappresentazione grafica di dati ricavati dai banchi di ogni computer del sistema umano. Impensabile complessità. Linee di luce allineate nel non-spazio della mente, ammassi e costellazioni di dati. Come le luci di una città, che si allontanano".
>>

Personalmente, cercherò di continuare a usare l'espressione "sicurezza delle informazioni". Tra qualche anno sarà giudicata un'altra mia mania linguistica (come il non usare "implementare" e "rilasciare" per il software o "invocare" per i piani di continuità).

NISTIR 8023 per i "Replication devices"

Il NIST ha pubblicato un internal report dal titolo "Risk Management for Replication Devices":
- http://csrc.nist.gov/publications/PubsNISTIRs.html#NIST-IR-8023

Il termine "Replication device" si riferisce a ogni strumento che riproduce (cioè copia, stampa, acquisisce digitalmente) documenti, immagini o oggetti da origine elettroniche o fisiche; tra di essi vi sono fotocopiatrici, stampanti, stampanti 3D, scanner, scanner 3D e macchine multifunzione (fotocopiatrice, stampante e scanner).

Si tratta spesso di oggetti sottovalutati dal punto di vista della sicurezza, tanto che raramente ne è fatta un'analisi preliminare su questo aspetto e, poi, ne è tenuto un censimento a scopi di monitoraggio.

Il documento del NIST è molto sintetico e, a mio avviso, può essere usato come base per valutare e gestire altri macchinari (inclusi quelli industriali) presenti in un'azienda.

Internet of Things

Dopo aver fatto indigestione negli ultimi 5 o 6 anni con il "cloud", ora sembra che sia arrivato il turno del "Internet of things" o IoT. In pochissime parole, l'insieme di tutti i dispositivi che si connettono a Internet; non solo pc o simili, ma anche altri, tra cui sensori di autoveicoli, dispositivi medici, elettrodomestici, eccetera.

Gli oggetti rappresentano dei rischi perché non sempre sono programmati correttamente e gli aggiornamenti non sono previsti. Possono quindi essere sfruttati da malintenzionati per accedere ad una rete privata in modo ancora più semplice che se attaccassero dei pc.

Questa mia descrizione è troppo sintetica, ma è solo per introdurre l'argomento e segnalare la pubblicazione " Internet of things: Risk and value considerations" di ISACA, ottimo punto d'inizio per studiare la materia (tra l'altro, ISACA prevede di realizzare una serie di studi dedicati all'IoT):
- www.isaca.org/Knowledge-Center/Research/ResearchDeliverables/Pages/internet-
of-things-risk-and-value-considerations.aspx

Segnalo anche che il "HP Cyber risk report 2015" (già commentato in precedenza) dedica un paragrafo alla materia:
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html

ISO/IEC TR 90006 - Commento

Tony Coletta, che rappresenta l'Italia al ISO/IEC JTC 1 SC 7, mi ha risposto in merito al mio post sulla ISO/IEC 90006 (e lo ringrazio molto):
- http://blog.cesaregallotti.it/2015/02/isoiec-tr-90006.html

Tony mi scrive: "C'è almeno una cosa che considero interessante nella 90006 e a cui ho contribuito: trovare nella 20000 l'equivalente dei controlli della progettazione e sviluppo della 9001 (riesame, verifica e validazione). In qualche misura si trovano, ma la 20000 li chiama "test" e "verifiche" e li sparge nei punti più strani. Forse nella nuova edizione della 20000 si utilizzerà una terminologia più appropriata".

Mi associo alla speranza di Tony: che ci sia standardizzazione negli standard e che la lunga e onorata storia della ISO 9001 (malgrado non tutte le certificazioni siano ineccepibili) non sia ignorata, per presunzione, da chi scrive altri standard.

Tony mi segnala anche di vedere la differenza di definizione del termine "document". Infatti, nella ISO/IEC 20000 è stata aggiunta una nota alla definizione dei documenti ("specificano intenti da conseguire") per renderla più omogena a quella delle registrazioni ("riportano i risultati ottenuti o forniscono evidenza delle attività svolte").

ISO/IEC 29147 - Vulnerability disclosure

Franco Ferrari mi ha segnalato la pubblicazione (a febbraio 2014) della ISO/IEC 29147 dal titolo "Vulnerability disclosure". Già Stefano Ramacciotti me l'aveva segnalata a suo tempo.

La norma presenta un processo, e le relative considerazioni, che i produttori di sistemi informatici dovrebbero seguire per ricevere e verificare le segnalazioni sulle vulnerabilità dei propri prodotti e per risolverle.

Indagini sui rischi e sugli attacchi

Inizio anno, tempo di rapporti sulla sicurezza dei più vari tipi.

Il primo, di Protiviti, ha titolo "Executive Perspectives on Top Risks for 2015" e riguarda i rischi (non solo di sicurezza delle informazioni) percepiti da 280 membri di Board e Top Management:
- http://www.protiviti.com/toprisks

In sintesi i rischi ritenuti più importanti sono quelli correlati ai cambiamenti normativi, all'economia generale, agli attacchi informatici, alla disponibilità del personale, alla mancanza di procedure relative alla gestione delle crisi, alle difficoltà di comprendere le aspettative dei clienti. Il decimo rischio forse li riassume tutti: "le attività attuali non riescono ad avere le prestazioni attese in merito a qualità, rapidità, costi e innovazione ". Il mio commento sintetico e, purtroppo, basato su quello che vedo: ne discutono, ma poi non promuovono né seguono attentamente azioni per trattare questi rischi; il motivo, credo, è che i manager sono giudicati nel breve termine su fatturato e utile; "sostenibilità nel medio e lungo termine" non è normalmente un parametro di giudizio.

Questa preoccupazione si percepisce nel settimo rischio che recita "la gestione della sicurezza delle informazioni richiede risorse significative".

Nota terminologica: Protiviti non usa il termine "rischio" come previsto dalle norme internazionali (ISO 31000, ISO/IEC 27001, eccetera). Ma, insomma, si capisce lo stesso.

Il secondo rapporto è il "Horizon Scan 2015" del Business Continuity Institute:
- http://www.thebci.org/index.php/obtain-the-horizon-scan-2015-document

Sintetizzo le 10 minacce ritenute più importanti: attacchi informatici, interruzioni dei sistemi informatici e delle infrastrutture, interruzioni nella filiera di fornitura, clima, malattie, fuoco, terrorismo. Interessante la preoccupazione relativa alla filiera di fornitura, che l'anno scorso era al sedicesimo posto e ora è al quinto: questo aspetto è finalmente considerato come importante. Raccomando, come minimo, la lettura dell'executive summary.

Un dato interessante per scopi polemici: le organizzazioni che dispongono di analisi e non le usano sono il 33%; mi chiedo se è perché sono commissionate a consulenti non capaci o perché sono commissionate solo per far bella figura (due dei mali che affliggono me e i miei colleghi). Un altro caso riguarda l'incapacità di rivedere le proprie decisione anche a fronte di analisi che portano a diverse conclusioni (un tipo di autoinganno molto diffuso: si "dimenticano" subito le posizioni contrarie alla nostra).

L'ultimo report è il "HP Cyber risk report 2015":
- http://www8.hp.com/us/en/software-solutions/cyber-risk-report-security-vulne
rability/index.html

Di questo seleziono alcuni dei temi chiave riportati all'inizio del rapporto: sfruttamento di vulnerabilità note da tempo (a cui sono collegati gli annosi problemi di patch non installate e di correzioni mai prese in considerazione per il principio "funziona e quindi non si tocca"); configurazioni sbagliate, difetti di progettazione, sviluppo e codifica dei software (cose che, per essere risolte, richiedono persone competenti, e quindi costose, che dedicano del tempo, che costa, ad aggiornarsi e trovare soluzioni).

Alcune parti del rapporto sono divulgative, altre più tecniche (per esempio il capitolo sulle vulnerabilità, ma non solo).

Attacco ai siti olandesi

Fabrizio Monteleone di DNV GL mi ha segnalato questo articolo (fa
riferimento ad un attacco DOoS del 10 febbraio):
- http://in.reuters.com/article/2015/02/11/netherlands-government-websites-idI
NKBN0LF0OU20150211

Fabrizio mi sottolinea quanto segue: "Chi tiene alla reputazione o chi
ritiene che il web sia un canale di comunicazione come tutti gli altri e
come tale vada protetto, dovrebbe comportarsi come i genitori che mandano i
figli a scuola da soli: spiegare di fare attenzione agli sconosciuti, non
dare confidenza, chiamare la maestra. Se tutto questo non importa vale
sempre l'assioma che se non si crea il bisogno (in questo caso di
protezione) non si vende il prodotto/servizio, nè si giustificano la nascita
e la crescita di National/Worldwide/Secret agencies...").

Io noto un'altra cosa interessante: la società che si occupa dei siti web
attaccati ha rilasciato una dichiarazione: "I primi sintomi indicavano un
problema tecnico interno, poi abbiamo capito che si trattava di un attacco
dall'esterno". Uno specialista di sicurezza ha commentato: "Se stai subendo
un attacco DDoS, lo sai".

Il mio corollario: "Ma che dichiarazione hanno fatto? Un minimo di piano di
emergenza e di comunicazione ("piano di gestione delle crisi") ce
l'avevano?". Faccio anche notare che l'attacco ha colpito le linee
telefoniche: deduco fossero su VoIP e sulla stessa rete della linea dati...
forse non la scelta migliore del mondo.

Threat exchange

Questa notizia l'ho ricevuta inizialmente dal SANS NewsBites: alcune grandi
aziende di informatica (Facebook, Tumblr, Pinterest, Twitter, Yahoo
eccetera) utilizzano un sistema di scambio di informazioni sulle minacce a
cui potrebbero essere sottoposte.

Un articolo:
- http://www.wired.com/2015/02/facebook-unveils-tool-sharing-data-malicious-bo
tnets/

Il sito di Threat Exchange (grazie a Pasquale Stirparo, che ha anche
commentato "onestamente non so quante aziende siano disposte a condividere
certe informazioni... e soprattutto a darle in gestione a FaceBook"):
- https://threatexchange.fb.com

Grazie a Daniela Quetti per avermi ribadito la notizia (inizialmente l'avevo
ignorata).

Inganno e autoinganno

Segnalo questo libro che ho trovato molto interessante: "La follia degli
stolti: La logica dell'inganno e dell'autoinganno nella vita umana", di
Robert Trivers (editore Einaudi).

Quanto riportato su inganno e autoinganno ha impatti anche sul lavoro e gli
ambienti di lavoro. Per esempio, pensiamo alle categorie dell'auto inganno:
- sopravvalutarsi (tutti ci sopravvalutiamo e poi facciamo errori);
- denigrare gli altri, distinguere tra "noi" e "loro", l'ipocrisia morale e
le falsi narrazioni sociali (per cui giustifichiamo nostri comportamenti
altrimenti non giustificabili);
- la corruzione del potere (anche un minuscolo potere riduce la capacità di
empatia e di ascoltare gli altri);
- l'illusione del controllo.

Altra cosa interessante che mi sono appuntato è la nostra attitudine a
mantenere la posizione nonostante tutto (per esempio, una volta negata una
preferenza o un'azione, si tende a continuare a negarla, nonostante le prove
contrarie).

Purtroppo il libro tratta alcune teorie in modo frettoloso (per esempio, non
ho capito il "faccismo"); altre parti sono inutilmente lunghe (quella sui
disastri aerei e spaziali) o inappropriate per gli scopi del libro (le
critiche a Israele, l'attacco alla psicologia come pseudo-scienza,
eccetera).

Ospedali e continuità operativa

Sandro Sanna mi ha segnalato il seguente articolo:
- http://www.agendadigitale.eu/infrastrutture/1316_in-tre-ospedali-su-quattro-
i-pazienti-sono-alla-merce-dei-crash-informatici.htm

Diciamo che i toni dell'articolo sono un po' troppo "giornalistici".

Però ci sono cose interessanti, come la riflessione sul cloud per trovare
soluzioni di DR e la differenza tra grandi e piccole aziende (e quindi, tra
diverse disponibilità economiche grazie alla differenza di scala).

Forse un'ulteriore riflessione dovrebbe riguardare: quanti dei servizi
informatici degli ospedali sono già gestiti da fornitori esterni? Con tutto
quello che ne consegue (disponibilità di un DR, controllo degli accessi,
eccetera).

Cassazione Penale: legittimo l'utilizzo di telecamere per provare i furti dei dipendenti

Questa sentenza, che analizza anche il famoso articolo 4 dello Statuto dei
lavoratori, mi pare interessante. In sintesi, l'enunciato è il seguente: " le
norme dello Statuto tutelano sì la riservatezza dei lavoratori ma non fanno
divieto dei cosiddetti "controlli difensivi" del patrimonio aziendale e non
vietano il loro utilizzo in sede processuale.".

L'articolo di Filodiritto:
- http://www.filodiritto.com/news/2015/cassazione-penale-legittimo-lutilizzo-d
i-telecamere-per-provare-i-furti-dei-dipendenti.html.

La sentenza non è ancora su www.cortedicassazione.it.

ISO/IEC TR 90006

Franco Ferrari mi ha segnalato l'esistenza della ISO/IEC TR 90006 dal titolo
" Guidelines for the applications of ISO 9001:2008 to the IT service
management and its integration wirh ISO/IEC 20000-1:2011".

La norma è del 2013 e non la leggerò. Forse mi sfuggirà qualcosa, ma ho
sempre dei dubbi su queste norme di confronto per due motivi: il primo è che
se qualcuno conosce già le due norme (di poche pagine ciascuna!), dovrebbe
essere capace di confrontarle agevolmente; il secondo è che solitamente il
documento finale risulta in una serie di ovvietà, a causa della natura
stessa degli standard internazionali (troppi autori contribuiscono a
eliminare qualsiasi contributo originale e in una norma non si possono
scrivere cose troppo originali).

NSA Information Assurance guidance

Stefano Ramacciotti mi ha segnalato la pagina "Information Assurance
guidance" della NSA:
- https://www.nsa.gov/ia/mitigation_guidance/

Io avevo già visitato questo sito ma non l'avevo segnalato. Quindi ringrazio
Stefano del richiamo. Infatti ho fatto male perché la NSA, nonostante sia
associata a spionaggio e controllo delle persone, ha persone valide e la
loro lista delle 10 misure di sicurezza più importanti ("Top 10 IA
Mitigation Strategies") dovrebbe essere considerata.

Si tratta di misure tecniche spesso non considerate dalle solite
raccomandazioni in circolazione. Insomma, non si tratta delle solite misure
generali ("scrivete una politica di sicurezza", "fate un risk assessment",
"fate gli audit", eccetera) e neanche di processo ("stabilite un processo di
gestione delle utenze", "stabilite un processo di gestione degli incidenti",
eccetera). Sono anche forniti consigli tecnici molto pratici.

Purtroppo non hanno fatto un volumetto di 20 pagine, ma 10 documenti di due
pagine ciascuno. Son tecnici...

Sandbox sui pc

Dalla newsletter di Achab inoltro questa notizia: Dell prevede, nella sua
installazione OEM per i pc business, la messa a disposizione di un programma
di sandboxing:
- https://www.achab.it/achab.cfm/it/blog/achablog/dell-introduce-una-sandbox-s
ui-pc-business

In poche parole, l'utente può decidere quali programmi utilizzare nella
sandbox, senza che invece lavorino direttamente sul sistema operativo, con
tutti i rischi del caso, in particolare se si tratta di browser o programmi
con livello di sicurezza non completamente noto.

Ovviamente, quello annunciato non è l'unico prodotto di sandboxing (vedo che
il più noto è Sandboxie, e poi c'è questo BufferZone Pro della Trustware
gratuito per scopi non commerciali, ma il loro sito oggi non funziona).
Questa tecnologia mi pare interessante e spero di poterla approfondire nel
futuro.