La certificazione della sicurezza ICT

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "La certificazione della sicurezza ICT"

Leo Bianchi
8 anni fa
Visualizzazioni

1 La certificazione della sicurezza ICT Roma CNIPA, 30 maggio 2005 Le entità in gioco Common Criteria/ITSEC ACCREDITATORE NORMA DI RIFERIMENTO FORNITORE/TITOLARE OGG. DA CERTIFICARE FRUITORE DEI SERVIZI FORNITI DALL OGGETTO CERTIFICATO BS7799 VALUTATORE CERTIFICATORE OGGETTO DA CERTIFICARE CERTIFICATO

2 Quando si può parlare di certificazione La certificazione deve essere eseguita in modo da garantire l imparzialità, l oggettività, la ripetibilità e la riproducibilità dell intero processo di certificazione. A tal fine: l accreditatore, il certificatore ed il valutatore (qualora sia presente) devono essere terza parte indipendente rispetto al: Fornitore/titolare dell oggetto da certificare Fruitore della certificazione la certificazione deve basarsi su criteri o standard di riferimento comunemente accettati deve essere verificata la competenza di chi applica la norma di riferimento (valutatore/certificatore) Soggetto di riferimento Per facilitare il mutuo riconoscimento delle certificazioni in vari Paesi, normalmente chi accredita i certificatori/valutatori è un Organismo pubblico o un Associazione altamente rappresentativa

A tal fine: l accreditatore, il certificatore ed il valutatore (qualora sia presente) devono essere terza parte indipendente rispetto al: Fornitore/titolare dell oggetto da certificare Fruitore della

3 La sicurezza ICT in un Organizzazione Processo di gestione della sicurezza ICT (ISMS) Certificabile BS7799 Informazioni/beni da proteggere Sistemi/prodotti ICT Contromisure tecniche Certificabili ISO/IEC (Common Criteria) Analisi e gestione dei rischi Politiche di sicurezza (modello organizzativo, definizione requisiti per le contromisure tecniche e non tecniche, ecc.) Contromisure fisiche Pluralità di soggetti con diversi compiti e responsabilità Competenza certificabile secondo criteri quali CISSP/SSCP, CISA/CISM, ecc.) Tipi di certificazione Oggetto certificato Processo di gestione della sicurezza ICT (ISMS) Sistema/prodotto ICT Competenza del personale Norme di riferimento BS7799:2 Common Criteria (ISO/IEC IS15408) ITSEC CISSP/SSCP, CISA/CISM, ecc.

ecc.) Contromisure fisiche Pluralità di soggetti con diversi compiti e responsabilità Competenza certificabile secondo criteri quali CISSP/SSCP, CISA/CISM, ecc.

4 Le certificazioni in Italia regolate da DPCM Certificazione di prodotto/sistema ICT Schema Nazionale del 1995 aggiornato nel 2002 (DPCM 11 aprile 2002 GU n. 131 del 6 giugno 2002) applicabile nel contesto della sicurezza interna e esterna dello Stato Ente di Certificazione/Accreditamento (EC): ANS/UCSi Centri di Valutazione (Ce.Va.): 3 privati, 2 pubblici (tra cui ISCOM ex ISCTI) Schema Nazionale del 2003 (DPCM 30 ottobre 2003 GU n. 98 del 27 aprile 2004) applicabile in tutti i contesti non coperti dal primo Schema Organismo di Certificazione/Accreditamento (OCSI): ISCOM ex ISCTI (Ministero Comunicazioni) che si avvale del supporto della (FUB) Laboratori di Valutazione (LVS): da accreditare nei prossimi mesi Le altre certificazioni in Italia Certificazione del processo di gestione (ISMS) Schema Sincert per l accreditamento BS7799 Organismo di Accreditamento: Sincert Organismi di certificazione accreditati: 4 privati Certificazione del personale Criteri di verifica della competenza sviluppati per lo più in ambito internazionale (es. CISP/SSCP sviluppati da (ISC) 2, CISA/CISM sviluppati da ISACA, ecc.) Soggetti operanti anche in Italia (es. Clusit, come Education Affiliate nell ambito delle certificazioni CISP/SSCP)

utazione (Ce.Va.): 3 privati, 2 pubblici (tra cui ISCOM ex ISCTI) Schema Nazionale del 2003 (DPCM 30 ottobre 2003 GU n.

5 La certificazione di sistema/prodotto ICT Lo Schema Nazionale (DPCM 30/10/2003) OCSI (Certificatore/Accreditatore unico) Laboratori per la Valutazione della Sicurezza (LVS) Assistente Fornitore Committente Utilizzatore Concetti chiave Prodotto/Sistema ICT = Ogg. Della Valutaz. (ODV) Protection Profile Security Target Livello di assurance (EALx) Mantenimento della certificazione

Assistente Fornitore Committente Utilizzatore Concetti chiave Prodotto/Sistema ICT = Ogg.

6 Valutazione della sicurezza dei sistemi/prodotti ICT (1) La valutazione della sicurezza secondo i Common Criteria (CC) ha lo scopo di offrire garanzie (assurances) sulla capacità dell ODV di soddisfare i propri obiettivi di sicurezza nell ambiente di sicurezza per esso ipotizzato In altri termini, viene affermato il principio che non ha senso verificare se un sistema/prodotto è sicuro se non si specifica: sicuro per fare cosa (obiettivi di sicurezza) sicuro in quale contesto (ambiente di sicurezza) Valutazione della sicurezza dei sistemi/prodotti ICT (2) I CC costituiscono uno strumento per offrire garanzie circa l efficacia delle funzioni di sicurezza previste per soddisfare gli obiettivi di sicurezza dell ODV l assenza di errori commessi durante il processo di raffinamento che dalla definizione ad alto livello delle funzioni di sicurezza scelte porta alla loro pratica realizzazione la capacità dell ODV di soddisfare i suoi obiettivi di sicurezza anche nella fase operativa

non si specifica: sicuro per fare cosa (obiettivi di sicurezza) sicuro in quale contesto (ambiente di sicurezza) Valutazione della sicurezza dei sistemi/prodotti ICT (2) I CC costituiscono uno

7 I CC non si occupano Valutazione della sicurezza dei sistemi/prodotti ICT (3) della verifica che l ambiente di sicurezza dell ODV e, conseguentemente, gli obiettivi di sicurezza riflettano adeguatamente il contesto nel quale il sistema o prodotto sarà usato della valutazione delle misure di sicurezza non ICT che sono tenute in considerazione ma non sono oggetto di valutazione e vengono assunte come perfette (efficaci e correttamente realizzate) di alcuni aspetti ICT (controllo di emissioni elettromagnetiche, robustezza di algoritmi e protocolli crittografici, etc.) Ottenimento delle garanzie (assurance) attraverso la ricerca diretta di vulnerabilità derivanti da possibili errori nelle fasi di progettazione, realizzazione e gestione del TOE attraverso la verifica che nelle suddette fasi sia stato previsto l impiego di strumenti, metodologie e procedure finalizzati alla riduzione della probabilità di errori

assunte come perfette (efficaci e correttamente realizzate) di alcuni aspetti ICT (controllo di emissioni elettromagnetiche, robustezza di algoritmi e protocolli crittografici, etc.

8 Strategia dell OCSI Tutelare l utilizzatore della certificazione attraverso: l esecuzione di certificazioni di sistema invece che di prodotto eventualmente eseguite al primo livello di certificazione (anello debole della catena) il mantenimento della validità della certificazione nel tempo

prodotto eventualmente eseguite al primo livello di certificazione

9 Grazie dell attenzione Direttore dell OCSI e dell ISCOM ing. Luisa Franchina luisa.franchina@comunicazioni.it Sito web dell OCSI:

Documenti analoghi

La sicurezza globale delle informazioni e la certificazione: ambiti di applicazione

La sicurezza globale delle informazioni e la certificazione: ambiti di applicazione Daniele Perucchini Fondazione Ugo Bordoni OCSI Resp. sezione "Progetti speciali" Check Point Achieves Prominent EAL 4