Cyber security forum. Centro InfoSapienza Roberto Messa. Roberto Messa Centro Infosapienza

Transcript

1 Centro InfoSapienza Roberto Messa Roberto Messa Centro Infosapienza

2 Il Centro Infosapienza Rettore Pro rettore Infrastruttura Direttore Generale Centro Infosapienza Direzione Supporto Ricerca, Didattica e Relazioni internazionali Direzione Risorse Umane, Finanziarie e Patrimoniali Pagina 2

3 Il Centro Infosapienza: organizzazione Direttore Direzione Director 1 Funzioni di Staff Staff Segreteria 2 Segretario Amministrativo Acquisti 1 4 Progetti interdisciplinari Sviluppo progetti 4 Uffici Applicazioni 1 Sistemi 1 Reti - Studenti e didattica 10 Web Comunicazione Sistemi & Office Automation Data Bases Rete centrale 3 Processi amministrativi Contabilità 5 4 Valutazione e selezione Stampe 4 4 Rete periferica 4 Settori Telefonia 7 Pagina 3

4 Amministrazione digitale L utilizzo delle ict è molto diffuso nell Ateneo. I sistemi informatici costituiscono quotidianamente la base insostituibile dell operatività in tutti i settori. I servizi che eroghiamo rendono La Sapienza più efficiente, trasparente e vicina agli studenti. Stiamo trasformando la tradizionale amministrazione in digitale. Pagina 4

5 Sviluppo sistemi gestionali Lo sviluppo dei sistemi è stato caratterizzato negli anni da approcci differenti, generalmente autonomi nelle scelte e nella modalità di realizzazione. Spesso è stata ricercata una risposta alle pressanti esigenze di miglioramento rispetto alla necessità di una visione prospettica. E stato uno sviluppo che ha costruito molti sistemi, non mettendo però in atto, se non in casi molto specifici, i necessari elementi di robustezza e stabilità. La situazione presentava quindi dei rischi, dei quali è opportuno avere piena coscienza per poterli affrontare e risolvere. Pagina 5

6 Analisi sicurezza Abbiamo iniziato da un analisi dello stato della sicurezza ICT sulla base di 4 KPI dell AdI: Sicurezza Logica: legata alle scelte passate o previste di prodotti sw ed hw atti alla messa in opera della sicurezza ICT Sicurezza dell infrastruttura: legata alla robustezza fisica della rete ICT e alla presenza di possibili anomalie sintomo di vulnerabilità interne e delle connessioni esterne. Sicurezza dei servizi: legata alla robustezza e presenza di anomalie e vulnerabilità introdotte nella rete da alcuni servizi on-line, quali posta elettronica e accesso web, e relative contromisure. Sicurezza dell organizzazione: legata alla corretta applicazione della direttiva del 16 gennaio 2002 Sicurezza informatica e delle telecomunicazioni nelle PA statali, e del Modello organizzativo nazionale di sicurezza ICT e per la PA. Pagina 6

7 Analisi sicurezza: criticità Emerge un quadro che richiedeva un intervento in particolare su organizzazione e servizi. E inoltre necessario un aumento della cultura della sicurezza, un adeguamento dei piani di formazione e sensibilizzazione sul tema. Pagina 7

8 Analisi sicurezza: criticità Criticità ancora maggiori si hanno con il diffondersi di sviluppi applicativi su application server web, specialmente se pubblicati all'esterno. Nuovi rischi. Pagina 8

9 Analisi sicurezza: criticità Nella realizzazione di soluzioni di sicurezza vi è spesso una difficoltà di non avere una visione del problema sufficientemente completa. L'analisi viene fatta per settori separati: rete, sistemi operativi, database, a volte trascurando il gruppo che si occupa di sviluppo applicativo. La fase di progetto di un'applicazione è il momento ideale per definire le esigenze relative alla sicurezza, coinvolgendo tutti i settori. Pagina 9

10 Scelta delle soluzioni La fase di progetto di un'applicazione è il momento ideale per definire le esigenze relative alla sicurezza, coinvolgendo tutti i settori. Forrester, 2008 Source: 2011 Gartner Magic Quadrant for Integrated Software Quality Suites Forrester Wave TM : Requirements Management, Q2 08 Pagina 10

11 Scelta delle soluzioni La soluzione HP ALM risponde alla specifica esigenza di gestione della sicurezza applicativa e permette di poter rivedere l intero processo di gestione del ciclo di vita delle applicazioni HP APPLICATION LIFECYCLE MANAGEMENT Gestione dei requisiti Gestione degli sviluppi Gestione della Qualita delle applicazioni (TEST) Validazione Sicurezza Validazione Funzionale Validazione performance Pagina 11

12 Il percorso che INFOSAPIENZA ha intrapreso Ambiente Integrato Per I test Processo Ripetibile Defect Prevention Effective KPIs Maturity Chaos Mancanza di processo Poor Quality Management Manual Test Testing non strutturato Differenti Tool Time Improved Quality Processo Standardizzato Defect Detection Standardizzazione delle Informazioni OGGI Organizzazione dei test Ingegnerizzazione dei tool High Quality, through lifecycle engagement Advanced ICT services for students