Nuovo PCI DSS 3.2

Enos mi ha segnalato la nuova versione del PCI DSS, ora arrivata alla 3.2.

Segnala l'articolo del SANS (che insiste soprattutto sull'aggiornamento a TLS 1.2):
- https://isc.sans.edu/forums/diary/New+release+of+PCI+DSS+version+32+is+available/21003/

Un documento più tecnico, nonché ufficiale, è il "Summary of changes":
- https://www.pcisecuritystandards.org/documents/PCI_DSS_v3-2_Summary_of_Changes.pdf

Un articolo (da tweet di @mattia_reggiani):
- https://www.helpnetsecurity.com/2016/04/28/pci-dss-3-2-whats-new/

Anche se non ci si occupa di circuiti di carte di credito, è importante conoscere il PCI DSS perché, con tutte le cautele del caso, rappresenta uno stato dell'arte della sicurezza informatica.

Stato delle norme ISO/IEC 270xx

Venerdì 15 aprile si è concluso a Tampa (Florida, USA) il 52mo meeting dell'SC 27 dell'ISO/IEC JTC 1, ossia il gruppo che si occupa della redazione e aggiornamento delle norme collegate alla ISO/IEC 27001 e a cui ho partecipato come delegato italiano.

Rapidamente elenco lo stato delle norme discusse:

• ISO/IEC 27001: si è deciso di non procedere, per ora, al suo aggiornamento, ritenendo adeguata l'attuale versione del 2013;
• ISO/IEC 27002: si è deciso di avviarne l'aggiornamento (richiederà comunque qualche anno);
• ISO/IEC 27003 (guida alla ISO/IEC 27001): non è stata discussa e se ne è rimandata la discussione a giugno in modo da redigere la bozza finale (FDIS) e, spero pubblicarla per fine 2016;
• ISO/IEC 27004 (guida alle misurazioni della sicurezza): come la ISO/IEC 27003, la discussione è stata rimandata a giugno;
• ISO/IEC 27005 (guida alla valutazione del rischio): dopo anni di discussione su una bozza, si è deciso di ripartire da zero; questo, ahimè, rimanderà l'aggiornamento (necessario) di questa norma importantissima di almeno 3 anni;
• ISO/IEC 27007 (guida all'audit sulla ISO/IEC 27001): si è proceduto a migliorare la bozza della sua nuova versione (non ritengo si tratti comunque di una norma fondamentale);
• ISO/IEC 27008 (guida alla valutazione dei controlli di sicurezza): come per la ISO/IEC 27007, si è discusso delle bozze di una nuova versione di questa norma;
• ISO/IEC 27009 (uso della ISO/IEC 27001 in specifici settori): si è discusso della bozza finale in modo che venga pubblicata quanto prima; 
• ISO/IEC 27011 (controlli per il settore delle telecomunicazioni): si è discusso in modo da predisporre la bozza finale di una nuova versione di questa norma;
• ISO/IEC 27014 (governance della sicurezza delle informazioni): si è deciso di aggiornare questa norma; i lavori quindi partiranno al prossimo incontro;
• ISO/IEC 27019 (controlli per il settore dell'energia): si è discusso delle bozze di una nuova versione di questa norma;
• ISO/IEC 27021 (competenze sui sistemi di gestione per la sicurezza delle informazioni): si è discusso delle bozze di questa nuova norma.

Si sono discusse anche molte altre cose. Mi piace segnalare solo che sono stati avviati i lavori per una norma sulle "cyber insurance".

Rapporto semestrale MELANI

È pubblicato il 22o rapporto semestrale della "Centrale d'annuncio e d'analisi per la sicurezza dell'informazione MELANI" della Confederazione Svizzera:
- https://www.melani.admin.ch/melani/it/home/dokumentation/bollettino-d-informazione/rapporto_semestrale-2-2015.html.

Si trova anche in inglese.

In questo numero il tema principale è la gestione delle vulnerabilità (ma purtroppo non dà raccomandazioni complete per aggiornarsi).

Io sono un fan dei rapporti MELANI e ne consiglio sempre la lettura.

qSOA

Luciano Quartarone ha reso pubblico un suo foglio Excel per realizzare una Dichiarazione di applicabilità (o Statement of applicability o SOA) utilizzabile per la conformità alla ISO/IEC 27001 o per una valutazione dei controlli di sicurezza:
- http://www.lucianoquartarone.it/wp/?p=752.

Gentilmente, Luciano fa notare che si può integrare con il mio foglio di calcolo VERA per calcolare dei livelli di rischio.

Nuova Direttiva europea sulla privacy

Agostino Oliveri di Sicurdata mi ha fatto notare che ho segnalato la pubblicazione del nuovo  Regolamento europeo sulla privacy, ma mi sono dimenticato di dire che (come scrive Agostino): "nella stessa data (14 aprile 2016) di approvazione del regolamento EU, il Parlamento Europeo ha approvato la Direttiva privacy relativa al trattamento di dati personali da parte delle autorità competenti ai fini di prevenzione, ricerca, accertamento e perseguimento di reati o esecuzione di sanzioni penali, nonché la normativa PNR".

Mi scuso per la mia mancanza e ringrazio Agostino.

Per approfondimenti rimando ancora alla pagina informativa del nostro Garante della privacy:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4443361.

Come si pronuncia "auditor"? (2a parte)

Il mese scorso avevo scritto un piccolo articolo sulla pronuncia della parola "auditor":
- http://blog.cesaregallotti.it/2016/03/come-si-pronuncia-auditor.html.

Dicevo che l'Accademia della crusca segnalava che la pronuncia in italiano di "auditor" poteva basarsi su una raccomandazione della ISO 9000:2005. Però io questa raccomandazione non l'avevo trovata.

Stefano Brancolini di Engineering, che ringrazio, mi ha segnalato che questa questione è riportata nella UNI EN ISO 19011 (evidentemente c'è un refuso sul sito dell'Accademia della crusca), dove non si parla in modo esplicito della pronuncia, ma della derivazione latina.

Franco Ruggieri ha colto l'occasione per segnalarmi che nell'ordine dei cavalieri di S. Stefano, creato nel 1562 da Cosimo I de' Medici con sede a Pisa, c'era la carica dello "Auditore" che aveva il compito di controllare tutto l'Ordine. In effetti ne era il vero Capo. Quindi, ben prima che ereditassimo dagli anglo-sassoni il termine "auditor", c'era già in vigore una carica con tale nome. Ergo: il termine è di origine latina e non britannica!

Grazie Franco: un po' di cultura storica non fa mai male (anzi!).

Approvato il Regolamento europeo sulla privacy

Finalmente, dopo diversi anni di elaborazione è stato approvato il Regolamento europeo sulla privacy:
- http://www.europarl.europa.eu/news/en/news-room/20160407IPR21776/Data-protection-reform-Parliament-approves-new-rules-fit-for-the-digital-era.

Qualche approfondimento dal Parlamento europeo sulla riforma:
- http://www.europarl.europa.eu/news/en/news-room/20160413BKG22980/QA-new-EU-rules-on-data-protection-put-the-citizen-back-in-the-driving-seat.

La pagina informativa del Garante (grazie a Pierfrancesco Maistrello per la segnalazione):
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4443361.

Ricordiamolo: questo Regolamento sostituirà il nostro Dlgs 196 del 2003 e sarà applicabile in tutta Europa.

I tempi: intorno a giugno sarà pubblicato nella Gazzetta ufficiale europea (EU Official Journal) e dopo 2 anni e 20 giorni dovrà essere applicato. Quindi c'è ancora un po' di tempo.

Il testo definitivo approvato ancora non ce l'ho. Non so se prendere per buono quello che circola da gennaio e quindi aspetto. Sul sito del Garante ci sono comunque i testi in italiano e alcuni hanno gioito per il ritorno dei termini "Titolare" e "Responsabile" (http://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/4884272).

Confesso che mi mancheranno i consulenti che vendevano (dal 2012!) questo regolamento come imminente. Era una buona cartina di tornasole per capire la loro preparazione e prudenza.

A questo aggiungo altre due notizie. La prima, grazie anche per questo a Pierfrancesco Maistrello, riguarda l'inizio della revisione della "ePrivacy Directive" (quella dei cookies, per intenderci):
- https://ec.europa.eu/digital-single-market/en/news/public-consultation-evaluation-and-review-eprivacy-directive.

La seconda riguarda l'avanzamento del Privacy Shield, ossia l'accordo tra USA e Europa in merito alla privacy. Il WP Art. 29 ha dato il suo parere (grazie a un tweet di @EU_EDPS) con la "Opinion 01/2016 on the EU – U.S. Privacy Shield draft adequacy decision"
- http://ec.europa.eu/justice/data-protection/article-29/documentation/opinion-recommendation/index_en.htm.

EN 16234-1:2016 sulle competenze digitali

Da AgID ricevo la notizia della pubblicazione della EN 16234-1:2016 "e-Competence Framework (e-CF) – A common European Framework for ICT Professionals in all industry sectors – Part 1: Framework":
- http://www.agid.gov.it/notizie/2016/04/07/nasce-il-framework-europeo-competenze-digitali.

Per ora si tratta solo dello schema di riferimento, mentre le caratteristiche dei profili professionali saranno pubblicate in un secondo tempo.

Giusto segnalare che questo schema di riferimento è uguale al e-CF 3.0, disponibile gratuitamente anche in italiano:
- http://www.ecompetences.eu/e-cf-3-0-download/.

Tool per formare le persone sul phishing

Non so come funzioni esattamente questo strumento GoPhish, ma mi piace l'idea: formare il personale in modo pratico affinché riconosca il phishing e non faccia errori che possono compromettere la propria organizzazione o la propria vita privata:
- https://www.helpnetsecurity.com/2016/04/12/gophish-free-phishing-toolkit-training-employees/.

Sicurezza nei social media

Pierfrancesco Maistrello mi ha segnalato questa pubblicazione del Clusit e di Oracle Community for Security dal titolo "La sicurezza nei social media":
- http://social.clusit.it.

Come spesso mi succede, faccio questa segnalazione con grande ritardo. Forse non avevo notato la notizia a suo tempo o forse l'avevo ignorata perché ci sono molte pubblicazioni su questo tema. Però questa è fatta bene ed è fatta in italiano. Non ci sono più scuse per ignorare questo argomento.

Attacco ad una centrale idrica

Pierfrancesco Maistrello di Vecomp mi ha segnalato questo attacco ad una centrale idrica, simile a quello condotto contro la centrale elettrica in Ucraina:
- http://www.securityweek.com/attackers-alter-water-treatment-systems-utility-hack-report.

La segnalazione viene da Verizon, che ha modificato il nome della centrale idrica e non ha rivelato dove si trova.

Qui la situazione credo sia incredibile: lo stesso sistema per controllare l'impianto era usato per i pagamenti on-line.

Pierfrancesco (ovviamente) concorda con me: "non credo affatto che qualsivoglia esigenza legata al business possa imporre un'esposizione di queste reti all'esterno".

ISO 22318 - Continuità della filiera di fornitura

Franco Ferrari di DNV GL mi ha segnalato la pubblicazione (a settembre!) della ISO/TS 22318 dal titolo "Societal security — Business continuity management systems — Guidelines for supply chain continuity":
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=65336.

Questa norma fornisce alcuni spunti interessanti sulla gestione dei fornitori relativamente alla continuità operativa. Soprattutto non riduce erroneamente il tutto a "chiedere ai fornitori di avere un piano di continuità operativa".

Una riflessione su questi standard: sono utili? Per studiare la continuità operativa non sarebbe meglio leggere un libro piuttosto che uno standard?

Scusatemi, per una volta che non parlo male di uno standard ISO, riesco a lamentarmi lo stesso...

Fornitori e ruoli privacy (parte 3)

Le mie riflessioni in merito a fornitori e sub-fornitori e privacy sono state pubblicate su Europrivacy:
- in italiano: http://europrivacy.info/it/2016/03/25/processors-and-sub-processors/;
- in inglese: http://europrivacy.info/2016/03/25/processors-and-sub-processors/.

ISO/IEC 30121 - Governance of digital forensic

A marzo 2015 è stata pubblicata la ISO/IEC 30121 dal titolo "Governance of digital forensic risk framework":
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=53241.

Se togliamo copertina, indice, appendici e altre cose, rimangono 3 pagine. Queste 3 pagine non dicono nulla né di interessante né di utile. Mi chiedo perché l'abbiano voluta pubblicare.

In realtà lo so: qualcuno ha proposto al comitato (ISO/IEC JTC1 SC40) la norma e nessuno ha avuto la voglia di bocciare l'idea. In realtà, alcuni l'hanno appoggiata per potersi poi vantare con amici, parenti, clienti e potenziali clienti di aver scritto uno standard sulla digital forensics. Con la speranza che nessuno vada a vedere quale (nullo) contributo sia stato dato alla materia.

Se però sbaglio, vi prego di dirmelo e mi scuserò.

PS. Angus Marshall su LinkedIn mi ha fatto notare che questo standard ha almeno una funzione:  usando il termine "governance", rende la digital forensics aziendale un tema della Direzione e non solo dei tecnici. Io continuo a pensare che mi sembra un po' poco per un nuovo standard, ma almeno ne ho capito la finalità.

SPID già in difficoltà

Segnalo questo posti di Daniele Tumietto:
- https://www.linkedin.com/pulse/il-consiglio-di-stato-annulla-definitivamente -i-criteri-tumietto.

Come noto, SPID è il sistema pubblico di identità digitale, lanciato ufficialmente il 15 marzo scorso.

Il Consiglio di Stato ha però bocciato i criteri di qualifica dei fornitori di SPID, che prevedevano 5 milioni di capitale sociale. Il modello era infatti incentrato sulla presenza di pochissimi fornitori di grandi proporzioni economiche.

Vedremo cosa succederà.

Rapporto Clusit 2016

Segnalo la pubblicazione del Rapporto Clusit 2016, forse la pubblicazione italiana più importante in materia di sicurezza informatica (tranne la mia newsletter, ovviamente!):
- http://clusit.it/rapportoclusit/.

A parte gli scherzi, una prima e veloce lettura mi è sembrata molto interessante. Per esempio ho imparato che il nostro CERT nazionale è attivo e ha un sito web interessante (https://www.certnazionale.it/), con diverse segnalazioni utili. C'è anche il CERT di Poste Italiane (www.picert.it), ma il loro sito mi è sembrato meno interessante e meno aggiornato.

C'è altro ancora, ma, per saperlo, vi consiglio di leggerlo.

Analisi attacco a centrale elettrica ucraina

ll SANS ha pubblicato un'analisi dell'attacco del 23 dicembre 2015 ad una centra elettrica ucraina:
- http://www.darkreading.com/vulnerabilities---threats/lessons-from-the-ukraine-electric-grid-hack/d/d-id/1324743.

Ho segnalato l'articolo di Darkreading perché è una pagina web dove si trova il link al pdf del SANS. E poi riporta le stesse cose ma più sinteticamente.

Io l'ho capita così: gli attaccanti hanno inviato email mirate (spear phishing) a degli addetti della centrale. Hanno anche allegato dei file (Word, Excel) con delle macro nocive. Gli addetti hanno aperto i file ed è stato l'inizio della fine.

L'articolo prosegue indicando le misure di sicurezza da prevedere per evitare questi attacchi. A me sembrano decisamente complicate. Io tornerei alle basi: se si lavora in un impianto critico, la rete industriale deve essere completamente separata da quella usata per navigare su Internet e per ricevere l'email. Se gli operatori ne hanno bisogno, date loro 2 pc collegati alle due diverse reti.

Troppo semplice? Dove sbaglio?

PS: Su LinkedIn, Damiano Bolsoni mi ha risposto dicendo che non pensa sia possibile avere due reti completamente separate. Infatti altre aree aziendali hanno la necessità di avere dati sulla produzione in tempo reale. Si possono attuare strategie di controllo di questo traffico, ma non è semplice.

Damiano Bolsoni, inoltre, mi ha fatto notare che l'attacco iniziale in Ucraina ha permesso ai malintenzionati di individuare le credenziali per usare le connessioni VPN. Se le VPN avessero avuto un meccanismo di autenticazione basato su due fattori e la rete ben segmentata, questo avrebbe migliorato le difese.

Diffamare via mail è reato, ma non aggravato

Questa sentenza mi sembra interessante: inviare un'email "diffamatoria" via email ad un preciso insieme di destinatari, per quanto numeroso, è sì reato, ma non aggravato:
- http://www.penalecontemporaneo.it/area/2-/6-/15-/4506-diffamazione_tramite_e_mail__aggravante_del_fatto_commesso___col_mezzo_della_stampa_o_con_qualsias
i_mezzo_di_pubblicit_____ed_eventuale_competenza_del_giudice_di_pace__una_se
ntenza_del_tribunale_di_milano/

La notizia l'ho ricevuta da un tweet di @Silvia_Mar_, che fornisce il seguente link, ma questo richiede la registrazione:
- http://www.quotidianogiuridico.it/documents/2016/03/18/diffamare-via-mail-e-reato-ma-non-aggravato.

Il caso dell’attacco informatico a Staminus Communications

Da un tweet di @TechEcon, una descrizione di un attacco (in italiano):
- http://www.techeconomy.it/2016/03/18/92899/.

Lascia perplessi l'elenco delle vulnerabilità sfruttate per condurre l'attacco. Alcune cose sono sì diffuse, ma presso una società di sicurezza fa effetto.

Nota sociale: la Staminus Communications è una società USA, quindi non è vero che gli italiani non applicano la sicurezza per "questioni culturali", ma è vero che molte aziende non applicano la sicurezza perché alla Direzione non interessa.

Cisco 2016: Annual Security Report

Fabrizio Cirilli mi ha segnalato il "Cisco 2016: Annual Security Report".

In inglese:
- http://www.cisco.com/c/m/en_us/products/security/offers/cybersecurity-reports.html?Keycode=001124371.

In Italiano:
- http://www.cisco.com/c/dam/m/it_it/offers/assets/pdfs/cisco_2016_asr_011116_it.pdf.