Qualificazione dei servizi cloud delle PA

Glauco Rampogna (un Idraulico della privacy) mi ha segnalato la pubblicazione degli atti per qualificare i servizi cloud delle PA:
- https://innovazione.gov.it/notizie/articoli/cloud-pa-online-gli-atti-per-classificare-dati-e-servizi-e-qualificare-i-servizi/.

Provo a fare un brevissimo riassunto (attenzione che il titolo della pagina è leggermente fuorviante, visto che parla di classificazione, che si trova in altri documenti, e non cita il cloud).

Un documento riguarda la predisposizione dell'elenco e della classificazione di dati e di servizi delle PA e prevede un questionario. Non so come accedere al questionario e immagino sia a disposizione solo delle PA.

Un altro documento riporta, nell'allegato A2, i "livelli minimi di sicurezza" per i servizi cloud delle PA. Mi sembra molto interessante e credo, come ho già detto altrove, che sia utile confrontarsi con questi criteri anche se non si erogano servizi cloud per le PA.

Nello stesso documento è presente un Allegato B2, con riportate le "caratteristiche di qualità, sicurezza, performance, scalabilità, interoperabilità e portabilità dei servizi cloud per la PA".

Il tutto serve per poi classificare i servizi cloud e le infrastrutture cloud per la PA.

I documenti fanno spesso riferimento al "Regolamento", ossia al ""Regolamento recante i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la PA e le caratteristiche di qualità, sicurezza, performance e scalabilità, portabilità dei servizi cloud per la pubblica amministrazione, le modalità di migrazione, nonché le modalità di qualificazione dei servizi cloud per la pubblica amministrazione". Il nome è in effetti un po' lungo e non aiuta. Comunque si trova qui:
- https://trasparenza.agid.gov.it/archivio28_provvedimenti-amministrativi_0_12 3065_725_1.html.

In esso sono riportati criteri di classificazione dei dati e dei servizi digitali (articolo 3, comma 3). Purtroppo mi erano sfuggiti a dicembre, ma li trovo interessanti perché, in sostanza, prevedono una classificazione molto semplice in 3 livelli e non prevede etichettatura. Mi viene da pensare che potrebbero essere usati come base di partenza per la classificazione (e la non-etichettatura) anche dalle organizzazioni non della PA.

Una nota di demerito: gli allegati che ho richiamato sopra sono in un pdf che non permette né la ricerca né il copia-incolla. Spero che, in un'ottica di miglioramento generale della sicurezza, vengano presto messi a disposizione in un altro formato.

Programma di bug bounty

Pierluigi Stefli di Datapro mi ha segnalato questa pagina web di un programma di bug bounty promosso da una società di prodotti di smart energy:
- https://www.solaredge.com/it/cyber-security-policy.

In breve, questa società chiede di segnalarle vulnerabilità sui suoi sistemi e fornisce una ricompensa a certe condizioni (p.e. tempo per correggere gli errori prima della divulgazione).

Pierluigi me l'ha segnalata perché è la prima che vede così strutturata. E, a mia volta, la segnalo perché è la prima volta che ne vedo una così strutturata.

Direttiva e regolamento RED (sui dispositivi radio)

Alessandro Cosenza di BTicino mi ha segnalato il nuovo Regolamento delegato (UE) 2022/30 che rende obbligatori, dal 1 agosto 2024, alcuni requisiti dei dispositivi radio:
- https://eur-lex.europa.eu/eli/reg_del/2022/30/oj.

I requisiti devono quindi assicurare che:
- non danneggiano la rete o il suo funzionamento, né abusano delle risorse della rete arrecando quindi un deterioramento inaccettabile del servizio;
- contengono elementi di salvaguardia per garantire la protezione dei dati personali e della vita privata dell'utente e dell'abbonato;
- supportano caratteristiche speciali che consentano di tutelarsi dalle frodi.

Per questi punti, nell'ambito di ETSI, CEN e CENELEC, si sta ragionando sulla possibilità di creare standard tecnici, al momento non esistenti.

Nuove regole per la conservazione dei documenti

Alessandro Cosenza di BTicino mi ha segnalato questo articolo relativo alla conservazione dei documenti:
- https://www.dirittodellinformatica.it/ict/gennaio-2022-3-nuovi-adempimenti-obbligatori-per-le-aziende.html.

L'articolo parla anche dei cookie e della transizione digitale, ma il punto che più ha attirato la mia attenzione è il secondo: "La figura del Responsabile della conservazione digitale: Obbligatorio per tutte le aziende".

In effetti si tratta di un punto che inizialmente non avevo considerato. Mi pare anche che le organizzazioni debbano avere un proprio manuale della conservazione. Mi pare, in sostanza, che questo sarà ottemperato o con un responsabile interno che, in sostanza, recepisce le indicazioni del conservatore (inteso come fornitore) o indicando come responsabile una persona del conservatore stesso. Insomma... nulla di sconvolgente, a parte il fatto che si tratta di altri adempimenti non utilissimi.

Campagna di sensibilizzazione "I Navigati"

Avevo segnalato la campagna #cyberscams (http://blog.cesaregallotti.it/2022/01/campagna-cyberscams-sulle-truffe.html) promossa, tra gli altri, da CERTFin e sono stato notato... Quindi Mario Trinchera di CERTFin mi ha scritto una gentilissima segnalandomi la campagna "I Navigati":
- https://inavigati.certfin.it/.

E' piuttosto interessante perché suddivisa in 8 video molto brevi e simpatici. Si tratta sicuramente di materiale di base, ma ben fatto e utile.

ISO/SAE 21434 Road vehicles - Cybersecurity engineering

Franco Vincenzo Ferrari del DNV mi ha segnalato la pubblicazione della ISO/SAE 21434:2021 Road vehicles - Cybersecurity engineering:
- https://www.iso.org/standard/70918.html.

Mi ha segnalato anche un articolo:
- https://www.cybersecurity360.it/soluzioni-aziendali/iso-sae-21434-il-nuovo-standard-di-cyber-security-in-ambito-automotive-correlazioni-e-limiti/.

Lo standard non riporta suggerimenti tecnici sulle misure da attuare, ma su tutto il resto: valutazione del rischio (che a sua volta richiama la ISO/IEC 18045), organizzazione, gestione dei progetti, gestione dei fornitori, eccetera. Scelta condivisibile, vista la continua evoluzione della tecnologia.

Campagna #Cyberscams sulle truffe digitali

Franco Vincenzo Ferrari di DNV mi ha segnalato l'iniziativa #Cybersams. Si tratta della diffusione di materiale di sensibilizzazione e di formazione sulle truffe online. Mi sembra molto interessante.

Il materiale in italiano l'ho trovato sul sito CERTFin:
- https://www.certfin.it/educational/cyberscams/.

La campagna ha però diffusione europea e segnalo quindi il sito di Eurpol, dove ci sono i poster nelle lingue della UE:
- https://www.europol.europa.eu/operations-services-and-innovation/public-awareness-and-prevention-guides/take-control-of-your-digital-life-don%E2%80%99t-be-victim-of-cyber-scams.

QR code falsi

Da Crypto-Gram di gennaio 2022, leggo la notizia "US Police Warn of Parking Meters with Phishing QR Codes":
- https://www.bitdefender.com/blog/hotforsecurity/us-police-parking-meters-phishing-qr-codes/.

Mi stavo chiedendo da tempo perché non avevo ancora sentito parlare di queste frodi. Sono stato, purtroppo, accontentato.

In sintesi: sui parchimetri è possibile trovare QR code che indirizzano a un sito per pagare il parcheggio. Però il sito è falso e l'incasso (e forse anche il numero di carta di credito) va a finire ai frodatori.

Antivirus con crypto miner

Da Crypto-Gram di gennaio 2022, leggo che l'antivirus Norton 360 adesso include un cryptominer:
- https://krebsonsecurity.com/2022/01/norton-360-now-comes-with-a-cryptominer/.

Il mio dubbio è che se la sicurezza si raggiunge anche con la semplicità, questo principio non è seguito da un prodotto antivirus che fa anche altro.

Ci sono anche altre questioni sollevate dall'articolo (il fatto che non si capisce bene chi ci guadagna a parte la Norton e i rischi per persone non sufficientemente attente alla sicurezza che sono incentivate a usare servizi con problemi di sicurezza da conoscere).

Vulnerabilità in log4j

E' noto che non mi occupo di questioni eccessivamente tecniche, ma la vulnerabilità trovata in log4j è decisamente importante. Intanto un articolo esplicativo (e tecnico):
- https://www.lunasec.io/docs/blog/log4j-zero-day/.

Riassumo dal SANS NewsBites del 10 dicembre: Una vulnerabilità nel log4j può essere sfruttata per l'esecuzione di codice da remoto (RCE). Mantenuta dall'Apache project, log4j è una libreria per realizzare funzioni di log. Essa è usata in molti servizi cloud e prodotti. Un attaccante può scrivere una stringa in una richiesta http; se l'applicazione tiene il log della stringa con log4j, questo può essere ingannato e connettersi a un server dell'attaccante e scaricare codice che sarà eseguito dal servizio. La vulnerabilità ha codice CVE-2021-44228.

Questa vulnerabilità dimostra un problema di sicurezza non indifferente: è preferibile usare librerie e strumenti sviluppati da altri (purché competenti), in modo da sviluppare autonomamente e male le stesse soluzioni, ma se le librerie più diffuse sono compromesse, tantissimi servizi saranno vulnerabili.

Ecco quindi che l'uso di soluzioni sviluppate da altri non ci deve esimere dal tracciarle (ecco a cosa serve l'asset inventory!), monitorarle, verificare se sono costantemente mantenute. In altre parole: non vengono a costo zero, anche se sono free. E a questo punto mi è venuto in mente che anche questa è una lezione che andrebbe spiegata per bene a tutti coloro che lavorano nel o con l'IT.

Ulteriore articolo tecnico è quello del CERT del Governo svizzero:
- https://www.govcert.ch/blog/zero-day-exploit-targeting-popular-java-library-log4j/.

Aggiornamento Linee guida EDPB sulle notifiche delle violazioni

EDPB ha aggiornato a dicembre 2021 le "Guidelines 01/2021 on Examples regarding Personal Data Breach Notification":
- https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-012021-examples-regarding-personal-data-breach_en.

La prima versione era di gennaio 2021 e all'epoca non le avevo segnalate.

E' ovviamente necessario leggerle, anche perché i casi possono essere usati come minacce da considerare nella valutazione del rischio e per ciascuno di essi sono anche elencate le misure di sicurezza. Insomma: queste linee guida possono essere usate per verificare la completezza delle propria valutazione del rischio e valutare l'adeguatezza delle misure di sicurezza.

Grazie a Chiara Ponti per averlo segnalato agli Idraulici della Privacy.

Sito di ACN

Grazie a Silvestro Marascio di DFA, vengo a conoscenza del fatto che l'Agenzia per la cyberscicurezza nazionale ha avviato il suo sito web:
- https://www.acn.gov.it/.

Al momento non c'è quasi niente, ma sono fiducioso che le cose arriveranno.

Le icone per le informative privacy

Grazie a un tweet di Daniela Quetti, scopro che si è concluso un concorso del Garante per proprorre icone nelle informative privacy:
- https://www.garanteprivacy.it/temi/informativechiare.

Le icone dovrebbero far capire al volo dove si parla di "accesso ai dati", "finalità", "titolare", eccetera.

Manuel Salvi ha espresso perplessità in merito alla chiarezza delle informative in generale che condivido:
- https://www.linkedin.com/posts/manuelsalvi_gdpr-activity-6877893872488378368-WD-w.

Io guardo le icone e non mi aiutano proprio a capire al volo che lì si parla di titolare (o responsabile, o finalità, o DPO e via così). Potrei usarle per rendere più piacevoli le informative con qualche elemento grafico, ma "Titolare" dovrò pur sempre scriverlo.

L'idea delle icone è carina e interessante, ma, nella migliore delle ipotesi, ci vorranno anni per renderle familiari. Io poi penso che non ci arriveremo mai, visto che (ad esclusione di chi lavora nella privacy) le persone "normali" le vedono una o due volte al mese al massimo, non come i cartelli stradali o i bottoni sui pc che invece vedono quotidianamente per tempi lunghi.

Insomma, penso che si stia rincorrendo un'illusione (e allora preferisco impiegare il mio tempo inseguendo altre illusioni).

"Cybersecurity Made in Europe Label"

Franco Vincenzo Ferrari di DNV mi ha inoltrato la segnalazione relativa al "Cybersecurity Made in Europe Label":
- https://www.corrierecomunicazioni.it/cyber-security/cybersicurezza-arriva-il-bollino-europeo-di-qualita-per-le-aziende/.

Va guardato anche il sito vero e proprio:
- https://www.cybersecurity-label.eu/.

Devo dire che l'iniziativa poteva essere bella, ma il sito non è chiaro e, anzi, mi ha lasciato perplesso se non preoccupato. I motivi sono i seguenti:

Primo: sembra che si tratti di un'etichetta per dire che si è bravi ad erogare servizi di cybersicurezza (ma niente a che vedere con le certificazioni previste dal Cybersecurity act), ma non si distingue assolutamente tra i vari servizi, come se fossero un grande blob unico. Sappiamo che i servizi sono tanti: monitoraggio, gestione sistemistica o della rete, VA/PT infrastrutturali o delle applicazioni (e, a loro volta, di tantissimi tipi), allarmi preventivi, chi ne ha più ne metta. Qui sembra che tutti i servizi possono avere l'etichetta "Cybersecurity Made in Europe Label", senza distinzione alcuna.

Secondo: il registro delle aziende "etichettate" riporta solo il link al loro sito web, senza dire quale servizio è stato valutato.

Terzo: nelle istruzioni per ricevere l'etichetta, gli unici criteri di verifica che ho trovato richiedono solo dichiarazioni e una breve check list di due paginette. La check list (dal titolo "The Label Conformity Declaration with ENISA's Indispensable baseline security requirements for the procurement of secure ICT products and services"), tra l'altro, riporta domande sulla sicurezza del "prodotto", non sulla qualità di un servizio di sicurezza.

Allora sembrerebbe che l'etichetta serva solo a dichiarare di essere un'impresa che si occupa di cybersicurezza e che ha sede in Europa. Beh... non mi sembra questa gran cosa. Sembra un'iniziativa in cui le aziende spendono soldi per essere inserite in un registro (almeno apparentemente) inutile (anzi, direi dannoso, visto che toglie energie a cose più importanti e dà false idee su cos'è la sicurezza, purtroppo avallate da troppe imprese).

O forse sbaglio (lo spero proprio) e non ho visto tutto?

D. Lgs. 170 e 173 del 2021 per il Codice del consumo e la vendita di dati personali

Grazie all'informativa di B&C Legal and compliance vedo che sono entrati in vigore i D. Lgs. 170 e 173 del 2021 con modifiche al codice del consumo.

Per questo segnalo due articoli di Altalex. Il primo riguarda il D. Lgs. 170 e tratta soprattutto delle responsabilità del venditore (e quindi dei diritti dei consumatori) di beni digitali:
- https://www.altalex.com/documents/news/2021/12/03/codice-del-consumo-le-modifiche-alla-disciplina-sulla-vendita-di-beni.

Il secondo riguarda il D. Lgs. 173 del 2021 e riguarda i contratti di fornitura di servizi digitali, incluso il "pagamento con dati personali":
- https://www.altalex.com/documents/news/2021/12/09/fornitura-di-contenuti-o-servizi-digitali-le-modifiche-al-codice-del-consumo.

Per quanto riguarda il secondo caso, sembra che le interpretazioni siano ancora dubbiose e quindi ci vorrà del tempo per capirne meglio la portata.

Regolamento AgID per il cloud delle PA

Franco Vincenzo Ferrari di DNV mi ha segnalato che AgID ha pubblicato il "Regolamento recante i livelli minimi di sicurezza, capacità elaborativa, risparmio energetico e affidabilità delle infrastrutture digitali per la PA e le caratteristiche di qualità, sicurezza, performance e scalabilità, portabilità dei servizi cloud per la pubblica amministrazione, le modalità di migrazione, nonché le modalità di qualificazione dei servizi cloud per la pubblica amministrazione":
- https://www.agid.gov.it/it/agenzia/stampa-e-comunicazione/notizie/2021/12/15/cloud-pa-adottato-il-regolamento.

Per leggere le misure vere e proprie, bisogna scaricare l'allegato dalla pagina:
- https://trasparenza.agid.gov.it/archivio28_provvedimenti-amministrativi_0_123065_725_1.html.

Nulla di particolarmente innovativo (ma non per questo scorretto), ma è importante conoscere le misure richiesta alla PA e ai suoi fornitori.

VERA 6

Finalmente sono riuscito a completare e pubblicare il VERA 6 in italiano e inglese. Si scarica dal mio sito:
- https://www.cesaregallotti.it/Pubblicazioni.html.

Le modifiche principali:
- forse la più importante è che riporta i controlli della ISO/IEC 27001 del 2013 e del 2022 con lista di riscontro;
- il piano di trattamento del rischio con anche il rischio atteso dopo l'azione.

Per quanto riguarda i controlli, ho cercato di avere una relazione 1-1 tra quelli del 2013 e quelli del 2022. Questo ha comportato un aumento di 14 controlli, mentre tra le due edizioni c'è stata una diminuzione. Però penso che in alcuni casi gli accorpamenti siano stati eccessivi, fino a rendere meno chiari alcuni controlli. Quindi alla fine penso che non sia una cosa così negativa avere qualche controllo in più, purché si aggiunga chiarezza.

Quindi ho anche aggiunto note ai controlli.

Come sempre, invito tutti a segnalarmi errori o possibili miglioramenti.

NISTIR 8286A sulla valutazione del rischio

Il NIST ha pubblicato la NISTIR 8286A "Identifying and Estimating Cybersecurity Risk for Enterprise Risk Management":
- https://csrc.nist.gov/publications/detail/nistir/8286a/final.

L'ho letta un po' velocemente, ma devo dire che contiene cose molto interessanti. Si tratta quasi di un lungo articolo su alcune questioni relative alla valutazione del rischio relativo alla sicurezza delle informazioni.

Vorrei segnalare che propone una valutazione del rischio in qualche modo più semplice di quella che di solito vediamo. In sostanza chiede di enumerare le minacce e per ciascuna di esse di indicare la probabilità e l'impatto. Solo a un certo punto suggerisce di indicare su cosa la minaccia può avere impatti.

Ho trovato interessante la tabella 1, con esempi su come esplicitare la tolleranza al rischio (i "criteri di rischio" o "criteri di accettabilità del rischio" ad alto livello) e può suggerire alcune soluzioni a molti.

C'è una tabella 4 con una discussione sulle possibili distorsioni (bias) quando si valuta il rischio e anche questo l'ho trovato molto interessante.

Altre cose mi lasciano perplesso, ma vale comunque la pena buttarci un occhio.

NIST SP 800-213 sulla sicurezza IoT

Il NIST ha pubblicato la NIST SP 800-213 dal titolo "IoT Device Cybersecurity Guidance for the Federal Government". Essa è divisa in due parti: il corpo principale ("Establishing IoT Device Cybersecurity Requirements") e l'elenco delle misure di sicurezza ("IoT Device Cybersecurity Requirement Catalog"). Si può scaricare dal sito del NIST:
- https://csrc.nist.gov/publications/detail/sp/800-213/final.

Il corpo principale non mi sembra dica cose straordinarie, ma è utile per capire l'architettura di un sistema IoT e le sue caratteristiche significative per la sicurezza. Interessante il catalogo, anche se qualche misura mi sembra non scritta terra-terra.

Lettura consigliata per chi si occupa di questa materia, anche se penso che la guida
(http://blog.cesaregallotti.it/2019/02/etsi-ts-103-645-cyber-security-for.html), per sintesi, è più pratica.

Avevo segnalato a suo tempo (giugno 2020) le NIST NISTIRs 8259 e 8259A, dicendo che erano troppo generali. Questa supera questo problema.

ISO/IEC 27013:2021 sulle relazioni tra ISO/IEC 27001 e ISO/IEC 20000-1

E' stata appena pubblicata la ISO/IEC 27013:2021 con titolo "Guidance on the integrated implementation of ISO/IEC 27001 and ISO/IEC 20000-1":
- https://www.iso.org/standard/78752.html.

Questa è una norma che esiste dal 2012 e a mio parere contiene alcune indicazioni utili. In alcuni casi il testo è inutilmente complicato, ma molte volte permette di guardare consapevolmente alle differenze (soprattutto di linguaggio) tra i due standard.

Ho visto che Fabrizio Cirilli ha segnalato la pubblicazione su LinkedIn qualche giorno fa. Lo ringrazio.