Web: Luglio 2004, numero 4

Transcript

1 NEWS Web: Luglio 2004, numero 4 Sommario FORMAZIONE ED AGGIORNAMENTO PROFESSIONALE: LA SFIDA GLOBALE...1 OLTRE IL GIARDINO: ALTRE CERTIFICAZIONI PROFESSIONALI...2 CISSP... 2 SECURITY GCFW...4 INIZIATIVE DEL CAPITOLO... 5 COMITATO DIRETTIVO DEL CAPITOLO DEL 15 LUGLIO...5 CAPITOLI ISACA NEL MONDO... 5 INTERVISTA CON ALLAN BOARDMAN, PRESIDENTE DEL CAPITOLO ISACA DI LONDRA...5 APPROFONDIMENTI: COBIT SECURITY BASELINE... 6 INTRODUZIONE...6 STRUTTURA DEL DOCUMENTO...6 DEFINIZIONI...7 COBIT SECURITY BASELINE...7 Messaggio del Presidente Formazione ed aggiornamento professionale: la sfida globale Questo mese la neswletter affronta il tema della formazione ed aggiornamento professionale per i professionisti dell IS Auditing e ICT Security. Vorrei partire dall editoriale del presidente di ISACA, Marios Damianides, pubblicato su Global Communiqué di luglio che sottolinea come i nuovi requisiti normativi richiedano nuove competenze specialistiche specie nell ambito della IT Governance. Damianides si riferisce al Sarbanes-Oxley Act negli Stati Uniti ma ricorda come anche in Europa ed in Canada esistano ormai legislazioni molte severe (ad esempio in ambito privacy, e Basilea II) che richiedono nuovi servizi di compliance-review. Come recita la recente pubblicazione dell ITGI IT Control Objectives for Sarbanes-Oxley 2 : una corporate governance efficace non è più un optional : è un obbligo di legge. Ciò significa che non basta essere dei buoni auditor, magari CISA, ma che occorre conoscere, comprendere e saper gestire, per noi e per i nostri clienti, anche le problematiche di sicurezza, controllo e governance. L ISACA ha da tempo affrontato la necessità di allargare i confini dell IS Auditing da un lato presidiando l area del security management, dall altro definendo un framework per la IT Governance 3. ISACA ritiene suo primario obiettivo rafforzare le capacità professionali e la credibilità dei propri associati; per far ciò, l associazione, anche grazie ai propri capitoli locali, promuove ricerche, incontri, conferenze e pubblicazioni. La sfida delle competenze, infine, non può essere solo locale ma, necessariamente, deve essere globale; anche per questo siamo lieti di annunciare una nuova rubrica della newsletter dedicata alla presentazione di altri capitoli non italiani di ISACA anche al fine di instaurare possibili collaborazioni su temi comuni. Iniziamo con il capitolo di Londra, il cui presidente, Allan Boardman, ci ha gentilmente concesso una intervista ove presenta le principali iniziative in corso sulle rive del Tamigi. Grazie Allan! A tutti un cordiale saluto. Claudio Cilli, CIA, CISA, CISSP, CISM Presidente ISACA Roma 2 IT Governance Institute, It Control Objectives for Sarbanes-Oxley, The Importance of It in the design, implementation and sustainability of internal control over disclosure and financial reporting IT, disponibile in formato pdf (357k) in 3 Claudio Cilli, IT Governance: Why a Guideline?, Information Systems Control Journal, Volume 3,

2 President s corner - Training and professional education: the global challenge - President s Message The newsletter this month focuses on training and professional education for IS Audit and ICT Security professionals. I would start from International ISACA President Mario Damianides editorial, published on July 2004 issue of Global Communique 1 which points out how the new legal requirements often request new specialised competencies, especially in IT Governance field. Damianides refers to the US Sarbanes-Oxley Act, but he reminds that even in Europe and Canada extremely regulations exist (i.e. privacy and Basilea II agreement) which require new services of compliancereview. As staes the recently published ITGI's "IT Control Objectives for Sarbanes-Oxley" 2 good corporate governance and ethical business practices are no longer optional niceties. They are the law. This means that being good auditor, even CISAs is not sufficient. It's mandatory to know, understand and be able to manage, to us and our customers, security, control and governance issues. ISACA has decided since many years to face the necessity to enlarge the boundaries of IS Auditing, from one side by embracing the security management area, fron the other by defining a framework for the IT Governance3. ISACA considers its primary objective to enforce the professional capabilities and credibility of its members; to achieve that goal, the association, thanks to its local chapters, promotes research activities, meetings, conferences and publications. Lastly, the competence challence cannot be local only but, necessarly, should be global; considering this issue we are proud to announce a new newsletter column, dedicated to the presentation of non-italian ISACA chapters, even aiming to establish possible collaborations on common themes. We will start with the London Chapter, whose President, Mr. Allan Boardman, has kindly granted an interview wehre he introduces the main initiative currently ongoing on river Thames. Thanks Allan! Very kind regards to all Claudio Cilli, CIA, CISA, CISSP, CISM President ISACA Rome Chapter Oltre il giardino: altre certificazioni professionali CISSP Presente in Italia solo da qualche anno, ma ampiamente conosciuta e diffusa in tutto il mondo, la certificazione CISSP (Certified Information Systems Security Professional) è meritatamente considerata lo standard per le certificazioni indipendenti (ossia non-vendor oriented) sulla sicurezza delle informazioni, al punto tale da aver recentemente ricevuto il riconoscimento di certificazione accreditata ISO Gestita dall ISC² (International Information Systems Security Certification Consortium, questo sì che è un acronimo compatto!) la certificazione CISSP è indirizzata ai professionisti esperti di sicurezza, con una netta impostazione tecnica, diversamente dalla CISM di Isaca, di orientamento più gestionale. Suddiviso in 10 domini che si estendono dalla sicurezza fisica a quella logica ed organizzativa, il programma CISSP abbraccia praticamente tutte le principali attività del relative al processo della sicurezza delle informazioni. Non c è da stupirsi che per giungere alla certificazione ci si debba sottoporre ad un esame molto lungo e corposo (occorre rispondere a qualcosa come 250 domande in sei ore). Fatte salve le differenze nel programma, la preparazione dell esame CISSP è abbastanza simile a quella di qualunque altra comprovata certificazione ICT indipendente: è necessaria una notevole esperienza del settore, molta pratica nella tecnica di esame a risposta multipla e, ultimo ma non ultimo, un pizzico di fortuna!. Francesco Mariani, CISA, CISM, CISSP francesco.mariani@selesta.it English version Only recently administered in Italy, while widely known and spread all around the world, CISSP (Certified Information Systems Security Professional) designation is the well-deserved standard of vendorindependent infosecurity certifications, so that it was recently granted ISO17024 accreditation. Managed by ISC² (International Information Systems Security Certification Consortium, what a cool compact way to form an acronym!!) Cissp certification is directed toward experienced Infosecurity professionals, with a strong technical orientation, while Isaca s CISM is more management-oriented. Structured in ten domains which spans from physical to logical and organisational security, CISSP b.o.k. (body of knowledge) covers nearly all main 2

3 infosecurity-related tasks. No surprise that, in order to achieve the certification, you should sit for a very long and question-intensive (you should answer something like 250 questions in six-hour) exam. Despite the differencies in the subject, preparation of the CISSP examination is quite close to any other similar well-estabilished independent ICT designation: you will need a strong field-experience, a lot of practice in multiple-choice Q&A techniques and, last but not least, a bit of good luck! Francesco Mariani, CISA, CISM, CISSP francesco.mariani@selesta.it Security+ È difficile scegliere una certificazione in ambito di sicurezza ICT che sia al contempo semplice da ottenere, interessante negli argomenti trattati, valida e riconosciuta nella società della sicurezza informatica. Alcune approfondiscono tematiche specifiche (firewall - GCFW), molte altre hanno lo scopo di dare una panoramica approfondita sui concetti di sicurezza informatica (CISSP), altri ancora sono mirati ai processi di gestione (Lead Auditor BS7799) o all auditing (CISA) o ancora al management (CISM). La certificazione Security+ della CompTIA (associazione americana no-profit) è giovane (2002) e mira a fornire una conoscenza di alto livello che ben si adatta sia a figure professionali manageriali (CIO, CEO, Responsabile della sicurezza), sia a figure tecniche con il desiderio di integrare le proprie competenze. Security+ risulta apprezzata soprattutto presso aziende di stampo americano. Dopo gli eventi tragici dell 11 settembre 2001, una forte spinta è arrivata da enti nazionali come FBI, servizi segreti e NIST, ma anche da aziende leader come Microsoft, Sun Microsystems e VeriSign. L esame può essere sostenuto solamente in inglese (l alternativa è l ostico giapponese ), ha una durata di 90 minuti e prevede la risposta a 100 domande su aspetti che vanno dai concetti generali di sicurezza (autenticazione, biometria, spoofing, TCP/IP hijacking, virus e worm), alla sicurezza delle comunicazioni (accesso remoto, posta elettronica, web, trasferimento dei file e wireless), dalla sicurezza infrastrutturale (firewall, router, server, intrusion detection) ai principi base della crittografia (algoritmi, firma digitale e certificati), alla sicurezza fisica ed organizzativa (disaster recovery, business continuity, analisi forense e analisi del rischio). Il minimo punteggio per passare l esame è 764 su una scala da 100 a 900. Per affrontare la certificazione Security+ con un certo livello di confidenza è consigliabile, ma non obbligatorio, avere almeno due anni di esperienza nel networking ed una ottima conoscenza dello stack TCP/IP. Prendere la certificazione Security+ non è difficile, in linea di principio basta studiare uno dei manuali consigliati da CompTIA ed esercitarsi a fare le simulazioni dei test di esame. Il consiglio è però quello di non trascurare nulla, nel mondo della sicurezza ogni dettaglio può fare la differenza Una volta ottenuta, la Security+ è un buon apripista per altre certificazioni come la CISSP o le certificazioni Microsoft di sicurezza MCSA e MCSE. Un sicuro vantaggio della Security+ rispetto ad altre certificazioni è che non scade, non è necessario rinnovarla. D altronde, ciò potrebbe essere anche controproducente, la competenza va alimentata continuamente, soprattutto in un mondo in cui una generazione dura solo pochi mesi!! Fabrizio Bernini è laureato in Ingegneria Elettronica e lavora nella sicurezza ICT dal È certificato CCNA (2002) e Security+ (2003). Nel giugno 2004 ha sostenuto l esame CISA ed è attualmente in attesa dell esito. È contattabile all indirizzo fabrizio48@yahoo.it. English version The selection of the most appropriate ICT Security certification could be very hard. You would probably face with an easy exam, studying interesting arguments and obtaining valid acknowledgement in the ICT Security society. Some certifications dig deeper into specific issues like firewall (GCFW), many others provide a broad-based security credential for the frontline troops involved in handling security (CISSP), a few others face with information security management systems (BS7799) or auditing (CISA) or security management (CISM). In this context, getting Security+ certification is not difficult, you only need to study one of the CompTIA manuals available in commerce and to make a lot of exam simulations. But you don t have to put apart nothing, in the Security world every nuance could make the difference Security+ by CompTIA (non-profit trade association) was born in 2002 and aims to provide a high level broad knowledge, adapt to both manager (CIO, CEO, Security Officer) and technicians who want to complete their skills. Security+ is most appreciated by ICT companies in United States. After the September 11 attacks, representatives from the FBI, the Secret Service and the National Institute of Standards Technology helped 3

4 to guide the development of the certification, as did a variety of leading companies, including Microsoft, Sun Microsystems and VeriSign. The exam is available uniquely in English (the only alternative is Japanese ), has a duration of 90 minutes and includes 100 questions covering issues about general security concepts (authentication, biometrics, spoofing, TCP/IP hijacking, virus and worm), communication security (remote access, electronic mail, web, file transfer and wireless), infrastructure security (firewall, router, server, intrusion detection), basics of cryptography (algorithms, digital signature and certificates), physical and organizational security (disaster recovery, business continuity, forensics and risk analysis). The minimum passing score is 764, graded on a scale of You have more chances to get the Security+ certification if you are an IT professional with at least two years of networking experience and thorough knowledge of TCP/IP stack. After getting Security+, you are on the right road for facing with other certifications like CISSP and Microsoft MCSA and MCSE security exams. Between the pros of Security+ there is the never ending validity. To maintain the certification you don t have to do anything and you don t have to renew it periodically. However this could have opposite effects, competences are to be continually feeded, especially in the security world, in which every generation lasts only a few months!! Fabrizio Bernini has a degree in Electronic Engineering and he has been working in ICT Security since He has got the CCNA certification (2002) and the Security+ certification (2003). In June 2004 he has sustained the CISA exam and he s waiting for results. You can contact him by at fabrizio48@yahoo.it. GCFW La certificazione GCFW - GIAC Certified Firewall Analyst è di tipo squisitamente tecnico ed attesta le abilità e le competenze nel disegno, nell implementazione, nella configurazione e nella manutenzione del perimetro di difesa di una qualsiasi infrastruttura di rete e sistemi. Per ottenere la certificazione sono previste due fasi: redazione di un tesi originale sull argomento e superamento di due esami web. La tesi consiste nel redigere uno studio di fattibilità per la realizzazione di una "rete sicura" per un'immaginaria azienda di e-business; sono presi in esame vari aspetti di sicurezza quali architettura della rete, scelta dei prodotti, configurazione tipo degli apparati, vulnerability assessment e penetration testing del perimetro di rete. Infine, si richiede al candidato di simulare un attacco di tipo Distributed Denial of Service (DDoS), un attacco al sistema firewall e ad uno dei server interni dell azienda, e di fornire anche indicazioni in merito alle possibili contromisure attuabili. Le tesi sono tutte pubbliche: la mia è disponibile all'indirizzo: (il mio Analyst Number è 320). Gli esami web si sostengono ovviamente via internet, collegandosi al sito del GIAC e rispondendo a circa 50 domande. Per ciascun esame si hanno a disposizione circa 90 minuti, il che fa meno di due minuti a domanda Insomma, è un open-book, ma se il book non è mai stato aperto prima diventa un po complicato. Sul sito GIAC ( si possono trovare dettagliate informazioni sul percorso GCFW, oltre che su tutti gli altri percorsi di certificazione GIAC. Si tratta di una formazione vendor-independent, che permette di acquisire una visione d'insieme delle problematiche di sicurezza e di sviluppare una metodologia progettuale strutturata in questo campo, un esperienza che consiglio davvero. English version Sonia Valerio - GCFW, CISSP, OPSA giovi.derfel@tiscali.it GIAC Certified Firewall Analysts (GCFWs) have the knowledge, skills, and abilities to design, configure, and monitor routers, firewalls, and perimeter defense systems. To attain the GCFW Certification (which is vendorindependent!), you must complete a practical/research paper, and two exams. The practical is intended to design a secure network solution for a fictitious e-business company. You will have to detail every choice and/or assumption you made to build the perimeter defense, including devices selection and configuration, and finally you are requested to verify your design by the mean of a penetration testing activity and attack simulation to your firewall and an internal system. You will also have to give some suggestions on how to mitigate those attacks and reduce and/or eliminate all the vulnerabilities you could eventually exploit. You can find my paper here: (my Analyst Number is 320). Exams are taken online via the GIAC web site. Every exam consists of about 50 questions which you have 4

5 to complete in no more than 90 minutes. You can take the exams from any Internet-connected computer: they are open-book exams, which you will surely pass provided you have opened your certification book at least once before attempting the exam J Be careful, since you have less than 2 minutes for every question GIAC web site ( is the right place to start if you re interested in this kind of certification. It s though, but it really worth all the effort. Sonia Valerio Biography I am an Electronic Engineer (I got my degree in 1996), and I started my career working as a sysadmin for the IT Division of 3M Italy. After two years I moved into the networking and security field, and I have been focused for a few years on designing firewall and IDS solutions. Currently I am the System Engineering Manager of Uniautomation ( having the responsibility for the pre-sales technical consultancy team. My strong passion for IT security has always been the main incentive in studying and improving my knowledge, through intensive certification programs, both vendor-driven and vendor-independent. Besides Cisco Certifications, GCFW and CISSP, my last challenge has been ISECOM-OPSA which I successfully obtained two months ago. Iniziative del capitolo Comitato Direttivo del Capitolo del 15 luglio Il 15 luglio ha avuto luogo il Comitato Direttivo del Capitolo che ha approvato il bilancio 2003 e definito il piano delle prossime iniziative associative. Sul prossimo numero della newsletter tutti i particolari. Capitoli Isaca nel mondo Intervista con Allan Boardman, Presidente del capitolo ISACA di Londra Il capitolo ISACA di Londra, è stato fondato nel 1981 e conta più di 900 associati. Nel 2003 il capitolo è stato premiato, per i servizi forniti ai propri associati, con il K. Wayne Snipes Chapter Recognition Award; il sito web, che ha circa visitatori al mese, ha vinto per tre anni consecutivi la medaglia d oro di ISACA. Quali sono le attività più importanti del capitolo? Il nostro principale obiettivo è fornire servizi professionali di qualità ai nostri associati; sicuramente tra gli eventi più significativi che organizziamo ci sono i meeting mensili (circa dieci l anno tra settembre e giugno). A questi incontri partecipano tra i 50 e 60 associati; i meeting rappresentano, oltre ad un momento formativo, anche l occasione per conoscersi e condividere le esperienze professionali. L ultimo meeting si è svolto in giugno ed è stato dedicato alla gestione degli incidenti informatici. In occasione di tale evento è stato presentato il gruppo di ricerca (SIG Special Interest Group) dedicato all IT Governance ed alle sue metodologie (CobiT, ITIL e ISO 17799). Le slide delle presentazioni sono disponibili sul sito per i soli associati. Che pubblicazioni curate? Il Capitolo pubblica la propria Newsletter mensile, liberamente scaricabile da: ed una rivista trimestrale online, Datawatch, dedicata ai temi dell ICT auditing, sicurezza e governance; Datawatch è disponibile, solo per gli associati, in: Organizzate corsi di formazione? Il Capitolo ha organizzato, per il 2003/2004, i seguenti corsi di formazione: - CISA Review Workshop - CISM Review Workshop - CISA Domain based Training - due workshop dedicati all IT Governance/CobiT Inoltre il Capitolo è convenzionato con altre organizzazioni e società specializzate nella formazione e garantisce uno sconto ai propri associati. Cosa sono gli Special Interest Group? Gli Special Interest Groups (SIGs), sono gruppi di ricerca formati da associati e dedicati a particolari temi. Al momento l unico SIG attivo riguarda l IT Governance e COBIT: esso è coordinato da Roger Southgate ed ha iniziato le attività nel 2003 con circa 30 associati divenuti oggi 70; nel primo anno il gruppo ha organizzato 6 incontri, di cui 4 pubblici. Altre iniziative significative? Il Capitolo di Londra collabora con gli altri capitoli ISACA del Regno Unito, sotto la sigla di "ISACA UK 5

6 Chapters", al fine di offrire servizi comuni, anche web agli associati. English version The ISACA London Chapter, was founded in 1981, and now has over 900 members. The Chapter was awarded the K. Wayne Snipes Chapter Recognition Award for 2003 (Europe/Africa - Very Large Chapter); the Chapter's website, which won the Gold seal for the 3rd consecutive year, provides one of the main forms of communications to members with news and information and attracts over 3,000 visitors per month. What about chapter s activities? The board comprises a team of dedicated professionals who continue to provide first-rate service to the Chapter members and ISACA; the most important events are monthly members' meetings (ten per year Sept - June). These meetings attract members and in addition to the formal presentations on topical areas, it provides excellent networking opportunities for members. The last one was in June on Real-Life Security Incidents. It was preceded by a presentation to the IT Governance SIG on Tools to Implement Governance' (comparation of CobiT, ITIL and ISO 17799). Presentation slides are usually available on the website but are generally restricted to members. Do you have any publications? Yes, of course! The London Chapter Newsletter, free available on: and Datawatch, the Chapter's quarterly online magazine focused on ICT auditing, security and governance topics, available to members only, in: Training courses? The Chapter ran a series of training courses in 2003/2004 for members at very competitive rates: - CISA Review Workshop - CISM Review Workshop - CISA Domain based Training - Two IT Governance/CobiT Worshops In addition, the Chapter negotiated discounts for members at a number of external training courses and conferences. What are the Special Interest Groups? Special Interest Groups (SIGs), are an association of Chapter's members working of a special issue; at moment the only active SIG is IT Governance and COBIT The IT Governance Special Interest Group chaired by Roger Southgate was formed in early 2003 with an initial membership or around 30. Membership now exceeds 70. During the first year the group held 6 meetings in total, 2 to get the group off the ground and 4 presentations. Other special achievements? The Chapter continues to work with the other UK Chapters to promote ISACA under the banner "ISACA UK Chapters", eg. combined events with other professional bodies and combined web front end as Approfondimenti: COBIT Security Baseline (a cura di Agatino Grillo) Introduzione L Information Security è una componente fondamentale della IT Governance e COBIT può essere utilizzato anche come strumento di security assessment ed improvement; "COBIT Security Baseline: An Information Security Survival Kit" mette in relazione gli obiettivi di controllo di COBIT con le misure di sicurezza previste in ISO ed definisce i passi necessari per valutare l Information Security aziendale. Gli associati ISACA possono scaricare il documento, in formato pdf, da Struttura del documento La prima parte del documento è una introduzione alla sicurezza IT. La seconda parte, la più importante, è la vera e propria security baseline che si articola in 39 passi; sono poi forniti 6 scenari, o visioni della sicurezza, per ciascuna delle quali viene proposto un kit di sopravvivenza. L ultima parte, infine, contiene un indice ragionato dei principali rischi IT nonché un ampio elenco delle 6

7 principali risorse documentali, anche non ISACA, per approfondire il tema. (figura: Fonte ISACA) Definizioni Coerentemente con i principali standard di sicurezza (in primis ISO 17799) la sicurezza è definita in termini di Disponibilità: le informazioni devono essere disponibili quando richiesto e protette in maniera adeguata anche contro attacchi di tipo DOS e cadute dei sistemi; Riservatezza: le informazioni devono essere riservate solo a chi ha gli appropriati diritti d accesso; Integrità: le informazioni devono essere protette contro le modifiche non autorizzate e se ne deve assicurante l integrità referenziale. A questa triade classica di requisiti di sicurezza viene aggiunto anche il più moderno requisito della fiducia (Trust) cioè la garanzia che le transazioni scambiate fra le parti sia autenticate e non sia possibile il non-ripudio delle stesse in un ottica tipica di firma elettronica ed e- commerce. Ovviamente i requisiti di sicurezza da garantire variano a seconda del contesto di riferimento. COBIT Security Baseline La security baseline consiste in: 1. selezione degli obiettivi di controllo generali di COBIT specifici per la sicurezza (tabella 1: in grigio gli obiettivi inerenti alla sicurezza ICT); 2. classificazione di tali obiettivi di controllo in macro obiettivi di controllo di sicurezza (tabella 2); 3. individuazione per i macro obiettivi di controllo delle prassi operative (passi di sicurezza) da prevedere (un esempio in tabella 3); 4. per ciascuno dei 39 passi, indicazione dei controlli specifici previsti da COBIT e ISO (un esempio in tabella 4). Plan and Organise PO1 Define a strategic IT plan PO2 Define the information architecture PO3 Determine technological direction PO4 Define the IT organisation and relationships PO5 Manage the IT investment PO6 Communicate management aims and direction PO7 Manage human resources PO8 Ensure compliance with external requirements PO9 Assess risks PO10 Manage projects PO11 Manage qualità Acuire and Implement AI1 Identify automated solutions AI2 Acquire and maintain application software AI3 Acquire and maintain technology infrastructure AI4 Develop and maintain procedures AI5 Install and accredit systems AI6 Manage changes Deliver and Support DS1 Define and manage service levels DS2 Manage third-party services DS3 Manage performance and capacity DS4 Ensure continuous service DS5 Ensure systems security DS6 Identify and allocate costs DS7 Educate and train users DS8 Assist and advise customers DS9 Manage the configuration DS10 Manage problems and incidents DS11 Manage data DS12 Manage facilities DS13 Manage operations Monitor and Evaluate M1 Monitor the processes M2 Assess internal control adequacy M3 Obtain independent assurance M4 Provide for independent audit Tabella 1 Plan and Organise Define a strategic IT plan define the information architecture Define the IT organisation and relationships Communicate management aims and direction Manage human resources Ensure compliance with external requirements Assess risks 7

8 Acquire and Implement Identify automated solutions Acquire and maintain technology infrastructure Develop and maintain procedures Install and accredit systems Manage changes Deliver and Support Define and manage service levels Manage third-party services Ensure continuous service Ensure systems security Ensure continuous service Ensure systems security Manage the configuration Manage data Manage facilities Monitor and Evaluate Monitor the processes assess internal control adequacy Obtain independent assurance Tabella 2 Erogazione del servizio e assistenza Obiettivo di controllo Definire e gestire i livelli di servizio Definire e gestire gli aspetti di sicurezza dei livelli di servizio Gestire i servizi delle terze-parti 19 Assicurarsi che il management stabilisca, nei contratti con terze parti fornitrici di servizi, i requisiti di sicurezza e che, periodicamente, effettui una compliance-review degli accordi sui livelli di servizio Gestire gli aspetti di sicurezza dei servizi delle terze parti Tabella 3 Obiettivo di controllo Definire e gestire i livelli di servizio Definire e gestire gli aspetti di sicurezza dei livelli di servizio Gestire i servizi delle terze-parti 20 Valutare le capacità professionali delle terze parti ed assicurarsi che esse garantiscano adeguati contatti con le autorità in ordine ai requisiti di sicurezza 21 Analizzare la propria dipendenza dalle terze parti fornitrici per ciò che riguarda i requisiti di sicurezza e mitigare i rischi legati alla continuità, alla riservatezza ed alla proprietà intellettuale per mezzo, ad esempio, di obblighi contrattuali, penalità, premi o meccanismi di escrow Erogazione del servizio e assistenza 19 Assicurarsi che il management stabilisca, nei contratti con terze parti fornitrici di servizi, i requisiti di sicurezza e che, periodicamente, effettui una compliance-review degli accordi sui livelli di servizio ISO CobiT 4.2, 4.3, 6.1, 10.5 DS1: 1.2, 1.5 DS2:2.3, 2.8 AI4:4.1 8

9 Gestire gli aspetti di sicurezza dei servizi delle terze parti Tabella 4 20 Valutare le capacità professionali delle terze parti ed assicurarsi che esse garantiscano adeguati contatti con le autorità in ordine ai requisiti di sicurezza 21 Analizzare la propria dipendenza dalle terze parti fornitrici per ciò che riguarda i requisiti di sicurezza e mitigare i rischi legati alla continuità, alla riservatezza ed alla proprietà intellettuale per mezzo, ad esempio, di obblighi contrattuali, penalità, premi o meccanismi di escrow 4.3, 6.1,8.1, ,4.3, 6.1,6.3, 8.1,8.7, 10.5 DS2: 2.4, 2.5 DS2: 2.6, 2.7 It provides the following elements: An introduction to information security The COBIT-based security baseline, providing key controls Information security survival kits providing essential awareness messages for varying audiences, including home users, professional users, managers, executives and boards of directors An appendix containing a summary of technical security risks COBIT Security Baseline To help an organisation focus on the essential steps to take, the most important security-related objectives have been extracted from the COBIT framework, and shaded in the simple-to-follow table 1. The other tables provide key control objectives and suggested minimum control steps, crossreferenced to the COBIT processes and detailed COBIT control objectives also related to control objectives in ISO English abstract Overview This publication presents the basic elements of COBIT most pertinent to security, offers a COBIT/ISO mapping, and presents "survival guidelines" for information security relevant to a variety of audiences, such as the home user, management and executives. It recognizes the increasing importance of information security in the roles and responsibilities of ISACA members and the association's commitment to serve in that professional arena. All members have been granted access the publication titled, "COBIT Security Baseline: An Information Security Survival Kit". Members can download of this document in PDF format through the home page of the ISACA website at Document structure This guide focuses on the specific risk of IT security in a way that is simple to follow and implement for the home user or the user in small to medium enterprises, as well as for the executives and board members of larger organisations. 9