La sicurezza nei processi della Pubblica Amministrazione Centrale: Il supporto della tecnologia Oracle

Transcript

1

2 <Insert Picture Here> La sicurezza nei processi della Pubblica Amministrazione Centrale: Il supporto della tecnologia Oracle Roma, 22 maggio 2007 Alfredo Valenza Master Principal Sales Consultant - Oracle Italia alfredo.valenza@oracle.com

3 Agenda Cenni sulle normative Concetti Chiave di Sicurezza La sicurezza nel Database Autorizzazioni (profilazioni,ruoli) Prevenzione/Controllo Accessi Integrita dei dati trasmessi Controllo delle Operazioni (Audit)

4 Criticità Le informazioni gestite dai sistemi informativi pubblici costituiscono una risorsa di valore strategico per il governo del Paese. Questo patrimonio deve essere efficacemente protetto e tutelato al fine di prevenire possibili alterazioni sul significato delle informazioni stesse. È noto infatti che esistono minacce di intrusione e possibilità di divulgazione non autorizzata di informazioni, nonché di interruzione e distruzione del servizio. Fonte: Direttiva della Presidenza del Consiglio dei Ministri del 16 gennaio 2002

5 Criticità... pubbliche amministrazioni hanno oramai intrapreso programmi di e-government... Nonostante gli enormi vantaggi che questi strumenti apportano al sistema economico e sociale, è possibile, per la criminalità, sfruttare le loro vulnerabilità pregiudicando il corretto funzionamento di un sistema e ciò può comportare anche gravi conseguenze per la collettività. Fonte: Linee Guida per la sicurezza ICT delle Pubbliche Amministrazioni Quaderno CNIPA n.23 marzo 2006

6 Normative Italia:Decreto Legislativo n.196 del 30 giugno 2003 "Codice in materia di protezione dei dati personali FONTE: IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI doc. web n giugno 2006

7 Quali sono gli ambiti? Protezione dei dati b) dato personale, qualunque informazione relativa a persona fisica, persona giuridica, ente od associazione, identificati o identificabili, anche indirettamente, mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; c) dati identificativi, i dati personali che permettono l identificazione diretta dell interessato; d) dati sensibili, i dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale; e) dati giudiziari, i dati personali idonei a rivelare provvedimenti di cui all'articolo 3, comma 1, lettere da a) a o) e da r) a u), del d.p.r. 14 novembre 2002, n. 313, in materia di casellario giudiziale, di anagrafe delle sanzioni amministrative dipendenti da reato e dei relativi carichi pendenti, o la qualità di imputato o di indagato ai sensi degli articoli 60 e 61 del codice di procedura penale

8 ... IL GARANTE DISPONE... l'adozione... di soluzioni informatiche idonee ad assicurare il controllo delle attività svolte da qualsiasi e da ciascun incaricato (quali che siano la qualifica, le competenze e l'ambito di operatività dello stesso) di ogni tipo di trattamento sui singoli elementi di informazione presenti sui diversi database utilizzati al tempo stesso, dovranno essere adottati entro il medesimo termine sistemi e procedure informatiche in grado di garantire la rigida separazione delle funzioni tecniche di assegnazione di credenziali di autenticazione, di privilegi di accesso ai dati e di autorizzazioni rispetto a quelle di gestione tecnica dei sistemi e delle basi di dati, escludendo che tali funzioni possano essere attribuite a uno stesso incaricato... assicurare che i profili di autorizzazione dei data base administrators e dei systems administrator siano effettivamente limitati ai dati ed alle operazioni loro affidate e non comportino la capacità, anche potenziale, di trattare dati personali diversi da quelli necessari. FONTE: IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI doc. web n giugno 2006

9 Agenda Cenni sulle normative Concetti Chiave di Sicurezza La sicurezza nel Database Autorizzazioni (profilazioni,ruoli) Prevenzione/Controllo Accessi Integrita dei dati trasmessi Controllo delle Operazioni (Audit)

10 Ma non basta Spesso si trascura la protezione dall accesso diretto a: DataBase Data files Dati di backup

11 Sicurezza e Data Privacy: Perche? Compliance = Conformità AMERICAS HIPAA FDA CFR 21 Part 11 OMB Circular A-123 SEC and DoD Records Retention USA PATRIOT Act Gramm-Leach-Bliley Act Federal Sentencing Guidelines Foreign Corrupt Practices Act Market Instruments 52 (Canada) EMEA EU Privacy Directives UK Companies Law Restriction of Hazardous Substances (ROHS/WEE) 196/03 - Italy APAC J-SOX (Japan) CLERP 9: Audit Reform and Corporate Disclosure Act (Australia) Stock Exchange of Thailand Code on Corporate Governance GLOBAL International Accounting Standards Basel II (Global Banking) OECD Guidelines on Corporate Governance

12 Decreto legislativo 196/2003 Dati Sensibili : I dati personali idonei a rivelare l'origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l'adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rivelare lo stato di salute e la vita sessuale. Finalità primarie rispetto alle informazioni: Massima riduzione dei rischi di distruzione o perdita dei dati Massima riduzione dei rischi di accesso ai dati da parte di utenti non autorizzati

13 Decreto legislativo 196/2003 Misure di sicurezza minime da attuare in un sistema informativo Un sistema di autenticazione ed autorizzazione per l accesso ai dati: Si tratta della gestione dei codici di accesso alle macchine ed ai dati; tali codici dovranno essere gestiti in modo razionale da un Responsabile, periodicamente aggiornate, ideate secondo criteri di sicurezza Ad ogni incaricato sono assegnate o associate individualmente una o più credenziali per l autenticazione

14 Decreto legislativo 196/2003 Misure di sicurezza minime da attuare in un sistema informativo L adozione di procedure per la custodia di copie di sicurezza, il ripristino della disponibilità dei dati e dei sistemi L adozione di tecniche di cifratura o di codici identificativi per determinati trattamenti di dati idonei a rivelare lo stato di salute o la vita sessuale effettuati da organismi sanitari Periodicamente, e comunque almeno annualmente, è verificata la sussistenza delle condizioni per la conservazione dei profili di autorizzazione

15 Perché Proteggere i dati? Svantaggi della sicurezza a livello applicativo Le politiche di sicurezza sono aggirabili gli accessi ai dati al di fuori del contesto applicativo non sono soggetti a regole di sicurezza Codice e la logica applicativa piu complicati Replicazione del codice su ciascuna applicazione che accede ai dati

16 Perché Proteggere i dati? Vantaggi della Sicurezza a livello Database Le politiche di sicurezza non sono aggirabili Sicurezza intrinseca del dato Gestione delle regole di accesso piu semplice Regole centralizzate nel database Possibilità di semplificare lo sviluppo delle applicazioni Trasparente per le applicazioni esistenti Automatizzabile

17 La Strategia della Oracle Security : Amministrazione Protetta Governare le modalità di accesso alle informazioni ed ai servizi Identity & Access Management Proteggere i dati nel punto in cui risiedono e dove transitano Sicurezza del dato, Integrita, Disponibilita

18 Oracle Security Applicazioni Sistema informativo Sicurezza del Middleware Sicurezza Data Security dei dati Access Management Single Sign On esso Federation Identity Administration & Provisioning Directory Services LDAP Virtual Directory Meta Directory Restricted Accesso Limitato Access Encryption Cifratura Classificazione Data Classification dei dati At Rest statica in trasferimento In Motion Backup Backup Gestione della Conformita

19 Agenda Cenni sulle normative Concetti Chiave di Sicurezza La sicurezza nel Database Autorizzazioni (profilazioni,ruoli) Prevenzione/Controllo Accessi Integrita dei dati trasmessi Controllo delle Operazioni (Audit)

20 Cosa usare per proteggere l informazione: Le informazioni sono filtrate in funzione di chi le utilizza Label Security Database Vault Le informazioni sono cifrate Nel database tramite il DBMS_CRYPTO Sul Canale con Advanced Security Le operazioni sono tracciate (Auditing) Audit granulare Audit Vault

21 Le informazioni sono filtrate: Label Security Tabella Codice Valore Dipartimento Sensibilitá del dato AX Finanza Riservato : ACME OK B789C Sviluppo Sensibile : WIDGET JFS845 SF78SD Legale HR Molto Sensibile : ACME Non classificato: ACME OK E usato dal DB un accesso discrezionale per mediare i privilegi (select, insert, delete, update) in base all identità dell utente o del gruppo di cui lo stesso fa parte

22 Le informazioni sono filtrate: Database Vault Come posso evitare che i DBA vedano i dati sensibili come ad esempio i dati della carta di credito, dati sanitari, giudiziari...? Interrogazioni ad-hoc On Financial Data Come posso impedire l accesso ai dati attraverso applicazioni non idonee? Applicazioni Come posso prevenire modifiche non autorizzate al mio database? Servizi DBA remoti

23 Le informazioni sono filtrate: Database Vault Automazione Ambiti (Realms) Rilevazione Reports Audit Autorizzazioni su fattori multipli Separazione dei Ruoli Prevenzione Regole sui comandi

24 Le informazioni sono cifrate: Advanced Security Applicazioni Dati Cifratura di tutte le comunicazioni da e verso il database RC4 (40, 56, 128, 256 bits) DES (40 and 56 bits) 3DES (2 and 3 keys) AES (128, 192, and 256 bits) Integritá dei Dati con controllo di paritá MD5 SHA-1 Certificata FIPS Livello 2 Trasparente alle applicazioni Cifratura ed Integritá dei Dati: (Modifica, Distruzione, Ri-esecuzione)

25 Le informazioni sono cifrate: Advanced Security Applicazioni Dati Decifrati Tramite interfaccia SQL Rossi Bianchi Cifratura su rete Dati scritti cifrati su disco Transparent Data Encryption Gestione delle Chiavi di cifratura Supporto per la gestione dei Dati Sensibili ed adeguamento alla Normativa Memorizzazione automatica di Username and Password nel Wallet Trasparente alle applicazioni Verdi Belli Rossini Vieri Marra Dati cifrati sui file di Backup

26 Separazione dei compiti Le password del Wallet sono separate dalle password di Sistema o DBA Access al wallet negato il DBA attiva il Database il gestore della Sicurezza apre il wallet contenente master key

27 Chiavi primarie e chiavi di colonna Chiavi di colonna cifrate con la chiave primaria Chiave primaria memorizzata in un wallet PKCS#12 Il gestore della Sicurezza apre il wallet contenente la chiave primaria Le chiavi di colonna sono usate per cifrare i dati nelle colonne

28 Le operazioni sono tracciate: Audit granulare Controllo granulare sulle insert, update e select Controlla l accesso ai dati in base al loro contenuto Può attivare delle procedure Accesso utente... Select nome, stipendio from tabella where... L Audit Record visualizza... Select nome, stipendio from tabella where nome = KING, <timestamp>, <username>

29 Perche No Audit a livello Applicativo? Svantaggi dell audit a livello applicativo Audit parziale le operazioni sui dati effettuate da client diversi dall applicazione non sono tracciate Codice da replicare su ciascuna applicazione

30 Perché Audit a livello Database? Vantaggi dell audit a livello Database Audit completo L audit è sempre attivo, non può essere aggirato Trasparente per le applicazioni esistenti Configurabile su piu livelli (oggetto, privilegio, utente etc) Semplicita di gestione

31 Attivita chiave dell Audit Tracciare le informazioni strettamente necessarie Controllare periodicamente i dati di audit (Individuazione) Proteggere le informazioni tracciate Ridurre le dimensioni degli storici

32 Ambiti di miglioramento Consolidamento di dati di audit da piu fonti Dati di audit distribuiti rendono difficile l analisi Protezione dei dati di audit i DBA o gli amministratori di sistema possono modificarli Migliori prestazioni dei sistemi di produzione Elaborazione dei dati di audit appesantisce il sistema che li genera Regole di audit a livello di Amministrazione

33 Le operazioni sono tracciate: Audit Vault Fonti di Audit dell Amministrazione Customer Reports 3 rd Party Audit Sources Oracle App server Oracle Applications Oracle Database 9i R2 Oracle Database 10g R2 Oracle Database 10g R1 Audit Warehouse Enterprise Database Audit Settings Pre-defined Roles For Separation of Duty Protected Schema Security Feature Data Mining Partitioning Partner Reports Oracle Reports

34 Sicurezza nel Database : Riepilogo Database Vault Protegge dalle minacce interne & indirizza la Conformita Middle-Tier 5 0 Network Encryption con Advanced Security Protegge i dati in Trasferimento 5 0 KING SCOTT SMITH CifraTrasparentemente i dati con Advanced Security (TDE) & Proteggi i dati statici KING SCOTT SMITH Alter table. Select ssn from cust; DBA Backup del Database e Files cifrati su nastro con Secure Backup Enterprise User Security centralizza la gestione degli Utenti del Database Label Security controlla l accesso in base alla classificazione dell utente e dei dati Consolidamento, Analisi &Reportistica dei dati di Audit con Audit Vault

35 Oracle Security Un Sistema Sicuro IAM & DB Sicurezza del Middleware Sicurezza Data dei dati Security Access Management Single Sign On esso Federation Identity Administration & Provisioning Directory Services LDAP Virtual Directory Meta Directory Restricted Accesso Limitato Access Applicazioni Sistema informativo Encryption Cifratura Classificazione Data Classification dei dati At Rest statica in trasferimento In Motion Backup Backup Middleware Security + Data Security

36