Rapporto sulla sicurezza nelle PA

Andrea Praitano di Business-e mi ha segnalato il "Cyber Security Report
2014" del CIS dell'Università La Sapienza di Roma. Questo report riporta i
risultati dell'osservatorio che hanno fatto sulle Pubbliche Amministrazioni,
classificate in PA centrali, locali, ASL, ecc.

La presentazione, da sola, è di difficile comprensione, mentre il report,
riportando la descrizione dei vari grafici, è chiaro:
- http://www.cis.uniroma1.it/csr2014

La mia veloce lettura mi ha permesso di trarre preoccupazione dallo stato
della sicurezza della nostra PA, ma ben pochi insegnamenti (spero però ne
traggano i responsabili delle strutture). Comunque, copio e incollo nel
seguito il commento di Andrea e lo sottoscrivo.

<<

Il report nel complesso è interessante anche se ha diversi aspetti che a me non piacciono perché analizza più il "che cosa hanno" più che entrare nel merito del "come lo utilizzano". Per esempio, è stato chiesto agli intervistati se hanno il firewall, non se ne gestiscono le regole in modo efficace.

Però un osservatorio, gioco forza, fa analisi abbastanza "ad alto livello" non riuscendo o potendo entrare nel dettaglio.

Ha comunque degli spunti e conclusioni interessanti che sono anche delle conferme. A mio avviso andrebbero approfondite le PA che hanno risposto di non aver subito attacchi, in quanto a me personalmente sembra poco probabile: forse non si sono accorte di essere state sotto attacco e questo sarebbe grave.

>>

Game of hacks per il codice sicuro

Stefano Ramacciotti mi ha segnalato una bella iniziativa: un quiz di 5 domande per verificare la capacità di riconoscere le vulnerabilità di programmazione e, quindi, imparare a sviluppare codice più sicuro.

Ecco un articolo di presentazione (in inglese):
- https://www.checkmarx.com/2015/01/20/secure-coding-with-game-of-hacks

Ecco il gioco, nella versione gratuita:
- http://www.gameofhacks.com/

Sembra che proporranno una versione a pagamento per le attività aziendali di formazione e sensibilizzazione; mi viene quasi voglia di obbligare i miei clienti a fare il test. Stefano, invece, dice di suggerire questo gioco agli sviluppatori, in sostituzione della PlayStation.

Legale: Lecito registrare il colloquio telefonico con il capo (parte 2)

Roberto Bonalumi mi ha risposto in merito alla notizia per cui la
registrazione di un colloquio intercorsa tra due persone può essere
effettuata nel caso in cui si preveda possa essere spendibile in un processo
civile o per difesa:
- http://blog.cesaregallotti.it/2015/01/lecito-registrare-il-colloquio.html

In quella occasione mi lamentavo di non poter leggere la sentenza. Roberto
mi ha quindi fornito la soluzione: "andare su www.cassazione.it, selezionare
il servizio "SentenzeWeb" e poi effettuare la ricerca tra le sentenze civili
della Cassazione".

C'è ovviamente anche quella oggetto di discussione e sembra proprio che è
legittimo registrare conversazioni, purché solo quando questo possa essere
ritenuto utile, in un futuro, per difesa in un processo.

Spero di aver capito correttamente, visto che la sentenza è scritta in modo
inutilmente complicato.

ENISA Threat Landscape of Internet Infrastructure

Dal gruppo Italian Security Professional di LinkedIn vedo la notizia della
pubblicazione da parte di Enisa del "Threat Landscape and Good Practice
Guide for Internet Infrastructure":
- https://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/iitl

La segnalazione riporta anche il link ad un articolo riassuntivo:
- http://securityaffairs.co/wordpress/32258/security/enisa-threat-landscape-report.html

Ho trovato più interessante la tabella del capitolo 7 (molto tecnica)
piuttosto che le recommendations: queste ultime ripropongono le solite cose
(fate risk assessment, formate le persone, eccetera).

Una riflessione sull'attacco alla Sony

L'ultimo numero di Crpyo-Gram presenta numerose riflessioni sull'attacco
alla Sony. La sostanza è ovvia: state attenti, perché tutti possono subire
un attacco mirato, condotto da persone competenti.

Quello che più mi ha colpito è un'altra riflessione (si trova quasi al
termine dell'articolo di cui fornisco il link poco oltre): i dati pubblicati
riguardano i "normali" impiegati della Sony, non i top manager né altra
gente importante. Questi impiegati si sono scambiati e-mail e informazioni
tra loro con anche battute e barzellette discutibili e ora sono alla
berlina. Quindi: quando usate i sistemi informatici, anche se non c'entrate
niente e non siete l'oggetto di un attacco, potreste subirne le conseguenze.
Quindi (ancora): siate prudenti anche nelle vostre attività individuali.

Il link:
- http://www.wsj.com/articles/sony-made-it-easy-but-any-of-us-could-get-hacked-1419002701.

Documenti informatici nella PA - Dpcm del 13 novembre 2014

Segnalo questo articolo di Bancaforte che annuncia le regole tecniche per la
gestione dei documenti informatici presso le pubbliche amministrazioni:
- http://www.bancaforte.it/notizie/2015/01/pa-18-mesi-per-dire-addio-alla-carta

Non credo aggiunga alcunché per chi non si occupa di Pubblica
Amministrazione.

ISO/IEC 90003:2014

Franco Ferrari del DNV GL mi ha segnalato la pubblicazione della nuova
edizione della ISO/IEC 90003 dal titolo "Guidelines for the application of ISO 9001:2008 to computer software. L'introduzione segnala che questa nuova
edizione nasce per allineare la norma alla ISO 9001:2008, mentre la
precedente si basava sulla ISO 9001:2000.

Visto che tra le due edizioni della ISO 9001 non ci sono notevoli
differenze, immagino che non siano state apportate modifiche rilevanti alla
ISO/IEC 90003. Se qualcuno più attento di me vuole però segnalarmele, sarò
ben contento di condividerle.

Mi lascia perplesso anche la scelta di pubblicare questa norma oggi, a meno
di un anno dalla prevista pubblicazione della nuova ISO 9001. Solo per
questo motivo vorrei ignorarla.

Lecito registrare il colloquio telefonico con il capo

Dal Gruppo infotechlegale.it di LinkedIn, inoltro la seguente notizia:
secondo la Corte di Cassazione, la registrazione di un colloquio intercorsa
tra due persone assurge al rango di prova se è posta in essere da uno dei
soggetti coinvolti nella conversazione; il dipendente può registrare il
colloquio ancor prima dell'instaurazione di un eventuale procedimento
civilistico o penalistico a suo carico, essendo detta attività orientata
precisamente all'acquisizione di prove a suo favore:
- http://www.studiocataldi.it/news_giuridiche_asp/news_giuridica_17238.asp

Sarebbe interessante leggere la sentenza completa per vedere quali principi
sono richiamati e in che modo sono limitati. Purtroppo non l'ho trovata.
L'unico commento che ho trovato online finora è proprio quello del link
segnalato.

Sicurezza IT nel settore energia - 2

Dopo la precedente segnalazione su sicurezza IT nel settore energia
(http://blog.cesaregallotti.it/2014/12/sicurezza-it-nel-settore-energia.html
), Stefano Ramacciotti mi ha segnalato un altro documento interessante (fino
a pagina 10; le ultime 4 pagine sono pubblicità), dicendo " mi sembrano una
discreta introduzione alla problematica per non addetti ai lavori,
considerando che in Italia quasi nemmeno ci si pensa":
- http://www.appliedelectronics.com/documents/Design_Considerations_Real_Time_
Operating_Centers_White_Paper.pdf

Per chi non vuole scaricarsi direttamente il pdf, lo può trovare a questo
link con il titolo "Design Considerations for Real-Time Operating Centers":
- http://www.appliedelectronics.com/technical-papers

Attacco ad una conduttura turca (nel 2008)

A dicembre è stato noto un incidente occorso nel 2008: dopo un'intrusione ai
sistemi informatici, è stata elevata la pressione di una conduttura di
petrolio e questo ha generato un'esplosione:
- http://www.bloomberg.com/news/2014-12-10/mysterious-08-turkey-pipeline-blast-opened-new-cyberwar.html

Sembra possa essere stato un attacco da parte della Russia verso la Georgia
(devono aver sbagliato qualche calcolo) quando la tensione politica era
elevata.

La notizia, che traggo dal SANS NewsBites, è interessante perché sembra che,
per l'intrusione, sia stata sfruttata una vulnerabilità del sistema di
controllo delle telecamere o di un sistema di allarme:
- http://www.federalnewsradio.com/489/3769859/DoJs-new-cybersecurity-office-to -aid-in-worldwide-investigations

Trovo interessanti queste notizie perché mi ricordano la "filiera di
fornitura ICT": gli addetti del condotto non sono esperti di informatica e
fanno installare i sistemi senza pensare alla sicurezza; gli installatori di
sistemi di allarme e/o di telecamere si preoccupano solo che i propri
sistemi funzionino (magari con qualche patch mancante al sistema operativo
e/o qualche porta del firewall aperta senza necessità perché "non si sa mai"
e "meglio non toccare"); gli sviluppatori dei software di allarme e di
gestione delle telecamere sanno "programmare" in Java o simile, ma senza
saper "programmare in sicurezza", visto che poi la responsabilità di
"configurare" sta negli installatori; gli addetti agli acquisti forse hanno
pensato alla parola "sicurezza" solo per la salute dei lavoratori (spero
almeno questa) e al costo dell'offerta.

Chissà chi avranno trovato come capro espiatorio, anche se la colpa è di
tutti.

NIST SP 800-88 Guidelines for Media Sanitization

Il NIST ha pubblicato la prima revisione della guida 800-88, dedicata alla
"cancellazione sicura". La guida si trova qui:
- http://csrc.nist.gov/publications/PubsSPs.html#800-88

Il titolo esatto è "sanitizzazione" (treccani.it lo dà come sinonimo di
"sanificazione", ma questo è derivato dall'inglese "sanification") e
riguarda tutti i dispositivi (carta e altri supporti inclusi).

Devo dire: un po' deludente perché è indicato precisamente come fare la
cancellazione dei cellulari (con tanto di sequenza di comandi da seguire sui
vari sistemi disponibili), ma non quella degli hard disk o delle memorie
USB: non fornisce alcun suggerimento sugli strumenti da utilizzare e segnala
di seguire dei forum o dei siti nei quali non c'è nulla. Forse sono io che
ho sbagliato a cercare?

Dall'altra parte, segnalo che la maggior parte delle volte indica come
sufficiente una passata di zeri; altre volte suggerisce due o tre passaggi.
E se lo dice il NIST, forse è il caso che i fautori delle 7, delle 20 e
delle 37 volte si aggiornino (anche perché quella non è più "cancellazione",
ma "distruzione" del supporto; opzione comunque da scegliere nei casi di
dati particolarmente critici; ma un buon martello è più economico, più
veloce e spiritualmente più soddisfacente).

Ricerca sulla criminalità informatica nelle PMI

Dalla mailing list di Sikurezza.org, segnalo questa ricerca dal titolo "La
criminalità informatica e i rischi per l'economia e le imprese a livello
italiano ed europeo". Non credo che aggiunga molto a quanto già si sa e a
studi già noti (peraltro la ricerca, molto correttamente, li cita), ma
fornisce qualche spunto di riflessione sulle nostre aziende.

La presentazione sulla pagina web è in inglese, mentre la pubblicazione e la
presentazione sono in italiano:
- http://www.unicri.it/in_focus/on/Cybercrime_risks_economy

Home banking: responsabilità parziale in caso di attacco

Enzo Ascione di Intesa Sanpaolo mi ha segnalato questa notizia: per il
tribunale di Caltanisetta, il fatto che l'accesso all'home banking avvenga
"solo" tramite user-id e password (nonostante comunque l'istituto bancario
abbia sollecitato ai clienti l'adozione di un meccanismo di OTP), fa sì che
un accesso abusivo al sistema sia da ritenere colpa dell'istituto bancario
perché avrebbe potuto anche mettere a disposizione un servizio di SMS o
simile.

Questo se ho capito correttamente gli articoli relativi alla sentenza. Ne
propongo due; nel secondo è possibile trovare un link alla sentenza
completa:
- http://www.quotidianodiritto.ilsole24ore.com/art/amministrativo/2014-11-26/c
olpa-parziale-se-cliente-non-nota-l-hacker--194747.php?uuid=ABZqZXIC;
- http://www.creditofinanzanews.it/2014/12/03/home-banking-responsabilita-parz
iale-del-cliente-che-non-nota-lhacker/

Trovo un po' inquietante il fatto che il giudice dica che la banca (ossia il
fornitore del servizio informatico) "non aveva dimostrato che il cliente non
aveva custodito con diligenza le credenziali d'accesso". Però, ancora una
volta, una sentenza che ribadisce la necessità di predisporre servizi sicuri
sia tecnicamente che funzionalmente.

Privacy e Dossier sanitario

Dal gruppo Clusit di LinkedIn è stato segnalato questo articolo che riguarda
le difficoltà di un'azienda sanitaria (AS9 ad adeguarsi alle disposizioni
del Garante privacy in materia di fascicolo sanitario elettronico (FSE) fino
a dire che si dovrà tornare alle cartelle di carta:
- http://altoadige.gelocal.it/bolzano/cronaca/2014/12/13/news/privacy-si-torna
-alle-cartelle-di-carta-1.10493365.

In realtà, l'articolo aiuta molto poco a capire. Ma si può consultare il
Provvedimento del Garante relativo a questa AS:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/3325808

La storia: si scopre che una dipendente dell'ospedale consultava le cartelle
cliniche del proprio reparto, fino a diffondere la notizia della
sieropositività di un'altra collega. C'è un processo e si scopre che nella
ASL non c'è alcuna segregazione delle autorizzazioni di accesso alle
cartelle cliniche. Il Garante privacy, a luglio 2014 ha imposto all'AS il
recepimento delle misure di sicurezza per i fascicoli sanitari elettronici,
come previsto dalle "Linee guida in tema di Fascicolo sanitario elettronico
(Fse) e di dossier sanitario" del 16 luglio 2009 [doc web 1634116]. L'AS ha
poi chiesto una proroga dei tempi al Garante e ora sembra che non sia in
grado di completare l'attuazione delle misure.

La notizia mi ha colpito perché, nel Provvedimento del Garante, è scritto
che l'AS ha chiesto aiuto ad una società di consulenza nel 2013 (4 anni dopo
la pubblicazione delle linee guida e 6 anni dopo la costituzione dell'AS
dalla fusione di 4 AS pre-esistenti!): certamente la privacy non è stata una
priorità!

Altra notizia molto simile mi è arrivata da CINDI e riguarda invece l'Emilia
Romagna:
- http://www.privacyofficer.pro/dossier-sanitario-elettronico-a-prova-di-privacy/

Sicurezza IT nel settore energia

Dal Gruppo Clusit su LinkedIn segnalo questo whitepaper dedicato alla
sicurezza informatica nel settore "produzione":
- http://download.schneider-electric.com/library/downloads/WW/en/document/998-
2095-07-21-14AR0_EN

Ovviamente, è concentrato sul settore energia. Colgo allora l'occasione per
ricordare il Quaderno Clusit numero 7 dal titolo "Introduzione alla
protezione di reti e sistemi di controllo e automazione (DCS, SCADA, PLC,
ecc.)", che ho riletto recentemente e mi è sembrato molto utile, anche se
del 2007. Lo si può scaricare dal seguente link:
- http://www.clusit.it/download/index.htm

Certificati digitali gratuiti

Su Crypto-Gram del 15 dicembre, Bruce Schneier ha segnalato una nuova
Certification Authority che fornisce certificati digitali gratuiti: Let's
Encrypt, progetto a cui partecipano EFF, Mozilla, Cisco, Akamai e
l'Università del Michigan.

Leggendo il blog di Bruce Schneier, alcuni partecipanti (con toni ovviamente
critici, come si conviene quando si partecipa a forum!) hanno segnalato
altre CA gratuite. Ecco quindi l'elenco:
- Let's Encrypt: https://letsencrypt.org;
- CAcert: http://wiki.cacert.org;
- StartSSL: https://cert.startcom.org.

Tutte offrono certificati per web server (Let's Encrypt propone anche
l'aggiornamento automatico); CAcert permette anche di usare dei certificati
per l'e-mail. Ovviamente non si tratta di certificati digitali utili per
apporre firme digitali come previsto dalla normativa italiana in vigore.

Qualche breve riflessione:
1- forse saranno meno numerosi i siti web con i certificati scaduti; c'è da
chiedersi perché vengono inizialmente attivate delle funzionalità di
sicurezza (cifratura con certificato digitale) per poi non mantenerle;
2- oggi quasi nessuno si preoccupa più di cifrare le e-mail e quindi,
ahinoi, non farà notizia la disponibilità di certificati digitali gratuiti
per questo servizio.

NIST SP 800-53 - Assessing Security

Il NIST ha pubblicato la versione 4 della "Special Publication (SP) 800-53
A, Assessing Security and Privacy Controls in Federal Information Systems
and Organizations: Building Effective Assessment Plans".

Il link:
- http://csrc.nist.gov/publications/PubsSPs.html#800-53ar4

Si tratta di un librone in pdf di 487 pagine. Di queste, quasi 400
costituiscono l'elenco dei controlli da verificare. Si tratta quindi di una
lettura quanto meno esaustiva.

Richieste di responsabili sicurezza

Dal Crypto-gram di dicembre, segnalo questa notizia che traduco:

<< Questo articolo segnala che le richieste di Chief Information Security Officers eccede di gran lunga l'offerta:

- http://www.usatoday.com/story/tech/2014/12/02/sony-hack-attack-chief-information-security-officer-philip-reitinger/19776929/

o http://tinyurl.com/pha3sqp >>

Non ho neanche verificato l'articolo, ma mi pare interessante il commento di Bruce Schneier, che sottoscrivo per quanto mi riguarda: << Non mi sorprende. E' un lavoro duro: budget sempre insufficiente, e si è sempre criticati quando si è inevitabilmente attaccati. E richiede un insieme difficile di competenze: abbastanza competenze tecniche per capire la sicurezza IT e sufficienti abilità gestionali per navigare tra i dirigenti. Non vorrei mai un lavoro così>>.

Aggiornamento sul Regolamento europeo sulla privacy

Alessandro Cosenza di BTicino mi ha segnalato il seguente articolo:
- http://www.diritto24.ilsole24ore.com/art/avvocatoAffari/mercatiImpresa/2014-
12-11/regolamento-europeo-privacy-ancora-discussione-162857.php

Riassumo: bisogna aspettare e non fare nulla, al momento, poiché l'entrata
in vigore richiederà almeno 2 anni e mezzo. Insomma, le stesse cose che vado
dicendo da tempo, ma in modo molto più preciso.

Comunque, se e quando sarà approvato questo Regolamento, spero che tutti si
ricordino dei cosiddetti esperti che ne hanno annunciato l'approvazione nel
2013, poi a inizio 2014, poi a fine 2014, e così via. Tutto per vendere
corsi e consulenze basate sul "forse".

Regolamento UE 910 del 2014 e CAD

Franco Ferrari del DNV GL mi ha segnalato il Regolamento UE 910 del 2014 "in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno e che abroga la direttiva1999/93/CE". Esso è noto anche come eIDAS "electronic IDentification Authentication and Signature" e disciplina le modalità di apposizione della firma elettronica a convalida di documenti con valore probatorio. Il regolamento è entrato in vigore dal 17 settembre e sarà applicabile dal 1° luglio 2016.

I "servizi fiduciari" riguardano il mutuo riconoscimento attraverso mezzi elettronici e sono: firme elettroniche, sigilli elettronici, marche temporali, servizi di consegna, autenticazione di siti web".

Su http://eur-lex.europa.eu/ è possibile ricercarlo e scaricarlo.

Ho chiesto aiuto a Franco Ruggieri che mi ha scritto quanto segue. << La UE ha fatto una cosa buona: adeguare le normative sulla firma elettronica, stabilite nel lontano 1999 con la Direttiva 1999/993/CE. Con questo Regolamento UE 910/2014 si aggiorna qualche cosa sulle firme elettroniche, si inseriscono i "sigilli elettronici", cioè le firme elettroniche delle persone giuridiche, si apre la strada a qualcosa che assomiglia alla nostra PEC, si parla di time stamping, di authentication, e roba del genere.

Inoltre, sulla base dei pasticci dovuti alle diverse interpretazioni della Direttiva 1999/93/CE, hanno deciso di emettere un Regolamento. A differenza di una Direttiva, che deve essere recepita dagli Stati Membri della UE, un Regolamento entra in vigore automaticamente in tutti gli EUMS, il che dovrebbe consentire finalmente l'interoperabilità. E, poiché un Regolamento non può che essere una specie di legge primaria, stanno già lavorando intensamente agli implementing acts (atti attuativi). >>

A questo punto gli ho chiesto cosa ne sarebbe stato del Dlgs 82/2005, ossia il CAD (Codice dell'Amministrazione Digitale). La risposta: << Il CAD non sarà abrogato, perché tratta sì di eIDAS, ma anche di altre cose. Alcune parti dovranno essere eliminate o modificate. Dobbiamo avere notizie da AgID>>.

Ho chiesto lumi anche ad Andrea Caccia, nella speranza di mettere insieme più risposte e, forse, capirci qualcosa. Andrea dice che <<se il Parlamento non modifica il CAD, dal 1 luglio 2016 ci penserà il Regolamento a farne uno spezzatino: resterà in vigore solo ciò che non è in contrasto col Regolamento>>.

Andrea ha anche illustrato, in occasione della 10a riunione del SC27 di UNINFO alcune slide, confermando la partecipazione ai lavori di ETSI (ai cui lavori partecipa, tra gli altri, proprio Andrea Caccia).

Anche il sotto-comitato ISO/IEC JTC1 SC27 ha stabilito di occuparsi della materia con l'aggiornamento di un vecchio Technical Report del WG4, il TR14516 col nuovo titolo "Guidelines for use and management of Trust Service Provider"

Una cosa che mi sono segnato dalla presentazione di Andrea Caccia è questa: in base all'articolo 20 del Regolamento, "I prestatori di servizi fiduciari qualificati sono sottoposti, a proprie spese almeno ogni 24 mesi, a una verifica da parte di un organismo di valutazione della conformità" ... "ai sensi... del regolamento (CE) n. 765/2008 accreditato a... effettuare la valutazione della conformità del prestatore di servizi fiduciari qualificato e dei servizi fiduciari qualificati da esso prestati", "in base agli standard che la Commissione indicherà nei propri decreti attuativi in base all'articolo 20 (3)".

In Italia, quindi, Accredia dovrebbe promuovere questo schema di certificazione dei Trust service providers (TSP). Nulla impedisce di affidarsi ad organismi accreditati da altri organismi non italiani. EA (European Cooperation for Accreditation), a cui Accredia aderisce, ha già approvato un piano di migrazione predisposto da ETSI. Gli organismi di accreditamento si devono predisporre tra novembre 2014 e maggio 2015, mentre gli organismi di certificazione dovranno migrare da giugno 2015 a luglio 2016 (si preferiscono organismi con già esperienza di certificazioni rilasciate su standard ETSI). Ne vedremo delle belle...

Per intanto, Andrea suggerisce di leggere la presentazione di Riccardo Bianconi del 1 dicembre, che si può trovare a questo link (poi cliccare su "Convegno - Roma, 1 e 2 dicembre 2014"; anche le altre presentazioni sono di interesse):
- http://www.euronotaries.eu/news-ed-eventi/rassegna-stampa/