Lo Standard EUCIP e le competenze per la Sicurezza ICT

Transcript

1 Lo Standard EUCIP e le competenze per la Sicurezza ICT Competenze per l innovazione digitale Roberto Ferreri r.ferreri@aicanet.it Milano, 27 maggio

2 Agenda 1. Alcuni concetti EUCIP 2. La pervasività della sicurezza 3. Alcune Competenze Elettive per la sicurezza 4. EUCIP e gli altri standard 5. I principali profili I. Security Advisor II. Information System Auditor III. IT Administrator IV. Gli altri profili 6. Conclusioni

3 I fondamenti della professionalità ICT (fonte: Hughes and Thomson, 2007) professionalità EUCIP-European Certification of Informatics Professionals Competenze (Core Body of Knowledge) EUCIP riconoscimento integrità, responsabilità, affidabilità La novità di una gestione delle competenze è tale in quanto fatto organizzativo, cioè come realtà significativa non solo per il professionista che lavora, ma anche per l organizzazione in cui lavora. Per sostenere l innovazione digitale è necessario migliorare in modo sistematico e permanente il livello delle competenze digitali sia specialistiche che d uso. 2

4 Lo standard come fattore di condivisione Università Domanda & Offerta di Lavoro Istituzioni Europee Associazioni Professionali Lo standard di riferimento per Assessment delle Competenze Riconoscimento del valore di mercato di ogni profilo Sviluppo della formazione Erogazione delle Certificazioni Valutazione nuove opportunità di lavoro Associazioni Industriali Pubblica Amministrazione per Innovazione Formazione Professionale Sindacati Certificazioni

5 Database Manager Security Advisor TLC Architect IT Systems Architect IS Manager IT Trainer Help Desk Supervisor X-Systems Engineer IT Administrator Data Ctr. Configur. Mgr. Network Manager Il portafoglio dei 21+1 profili EUCIP Client Manager IS Auditor Service Support Specialists IT Business Managers & Professionals Operational Managers Operate Plan Technical Advisers Sales & Application Cons. Enterprise Sol. Cons. Logistics & Autom. Cons. Solution Consultants Build e-business & Innovation Agents Software Designers Business Analyst IS Project Manager IS Analyst Software Developer Systems Int.&Testing Eng Web & Multimedia Master

6 La sicurezza: uno dei principali temi di EUCIP business Risk management informazioni Etico-legali Standard EUCIP- Sicurezza organizzazione programmazione networking tecnologie

7 Le competenze orientate al business A3.05 IT Security Economics and Business Strategies Specify the business need for recovery and back-up of data and for protection against viruses. Evaluate the need for encryption of data (at rest/in transit) in the light of network threats to data integrity. Evaluate the risks to the business caused by security threats to IS/IT. Contribute to a Security policy for (part of) a business organisation. Explain the principal concepts of the laws in force in the own country and compare them with European recommendations and different jurisdictions. Analyse issues related to data protection, personal rights regarding privacy and free access to information held by public authorities. Determine which rights, restrictions and obligations apply in a given real case, and what they mean to the organisation. Define a robust organisational approach to cope with such regulations and business priorities.

8 A Le competenze per la gestione del rischio A5.11 Risk Management Master risk management process and Risk management standards Perform Risk Assessment tasks: Perform information Resource Valuation, Perform information Asset classification, Scope threaths, Find vulnerabilities, Define risk, Evaluate impacts Perform Risk Management tasks Perform Risk Monitoring Highlight controls and counter measures, Design and evaluate methods to transfer risks, Define control baselines Define monitoring metrics, Collect monitoring evidence, Prepare and communicate management monitoring reports Prepare Risk Documentation Prepare and communicate executive-level reports, Prepare remediation plans, Define risk documentation repository for compliance

9 Le competenze per l organizzazione A7.12 IT security assurance Design and review controls for information and systems security issues: Confidentiality, Integrity, Availability, Need-to-know separation and segregation, Auditability, Non-repudiation, Accountability Design and review controls compliant with most relevant IT Security standards and common control practices: Physical security, Network security, Platform security, Operating system, Middleware, DBMS Design and review applications security controls: Users/Roles/Segregation of duties, Need-to-know, Data Backup, Application flow and interface controls, Batch processing, Data flows

10 Le competenze per i dati A7.03 Data protection Evaluate the importance of preventing unauthorized access to business-critical data. Analyse issues related to data protection, personal rights regarding privacy and free access to information held by public authorities. Explain the principal concepts of the laws in force in the own country and compare them with European recommendations and different jurisdictions. Determine which rights, restrictions and obligations apply in a given real case, and what they mean to the organisation. Define a robust organisational approach to cope with such regulations and business priorities. Analyse risks by probability and severity and identify adequate countermeasures. Design procedures for obtaining, using and storing sensitive personal data in compliance with specific requirements, such as information on why, how and by whom the data are used right to access personal records and to have them deleted anonymity and secrecy Propose effective ways to train employees about processes, and responsibilities (both organisational and personal). Analyse storage solutions and business practices in terms of security and appropriate availability.

11 Le altre competenze sulla sicurezza A2.05 Business Continuity Planning B2.13 Data base security B3.06 Secure programming C2.05 Operating Systems Security C4.06 Network Attack Prevention C4.07 Web Application Security C5.02 Wireless Security

12 I riferimenti agli altri standard EUCIP certifica le competenze professionali e non processi e prodotti EUCIP fa riferimento ad altri standard per la certificazione di processi, prodotti e servizi CobiT ITIL -- ISO BS ISO EUCIP fa riferimento alla compliance con le normative ed al confronto tra normative internazionali (Privacy, norme TLC,.)

13 Database Manager Security Adviser TLC Architect IT Systems Architect Il portafoglio dei 21+1 profili EUCIP IS Manager IT Trainer Help Desk Supervisor X-Systems Engineer IT Administrator Data Ctr. Configur. Mgr. Network Manager Client Manager IS Auditor Service Support Specialists IT Business Managers & Professionals Operational Managers Operate Plan Technical Advisers Sales & Application Cons. Enterprise Sol. Cons. Logistics & Autom. Cons. Solution Consultants Build e-business & Innovation Agents Software Designers Business Analyst IS Project Manager IS Analyst Software Developer Systems Int.&Testing Eng Web & Multimedia Master

14 Tre profili principali: IT Administrator Security advisor Information system auditor

15 IT Administrator Il modulo 5, Sicurezza IT, richiede al candidato di avere familiarità con vari aspetti della sicurezza e della protezione dei dati sia in un singolo PC che in un ambiente di rete, anche connesso ad Internet. Più specificamente il candidato dovrà essere in grado di proteggere dati e risorse della sua azienda da perdite, virus ed attacchi sapendo utiizzare gli strumenti normalmente disponibili per questo scopo.. IS Auditor Principi Base: Confidenz. Integrità Disponib. Analisi E gestione Del rischio Aspetti Organizzat. Della sicurezza Norme ed Autorità Di certificaz. autenticaz. E accessodisponibilità Crittografia Ai dati Dei dati Codice maligno Infrastrut. a chiave pubblica PKI. Sicurezza Di rete: Accessi firewall VPN IDS Aspetti Etici E legali

16 IS Auditor A EUCIP Information Systems Auditor provides an independent assurance of security, quality, compliance and value contribution of information systems to a specific organization (reporting to the highest corporate or board responsibility). An IS Auditor is expected to demonstrate sound technical competence, independence of opinion, compliance to the Code of Professional Ethic. IS Auditor Deep competence IS Audit process Gathering Sampling Through sampling Key it Process Control Audit Reporting Compliance And evaluation Communic. Risk Managem. It Security assurence IT Governance Project Managem.

17 EUCIP Security Advisor A EUCIP Security Adviser is expected to be very effective in identifying security requirements for ICT systems and defining reliable and manageable solutions. A wide and thorough ICT competence has to be combined with the ability to interact with other ICT functionssecurity to foster the integration of security technologies within the ICT infrastructure. advisor Deep competence Access Control Network Policies, Attack Model Prevention And mechanisms Wireless security Database security Operating System security Web Risk Business It security Application Secure Analysis Continuity And security programming And planning economics management

18 Security advisor INCISIVE COMPETENCE IS Audit process Key it process control IP Communicat. Operating System Web Based application

19 Distribuzione del Profilo Security Advisor per macrosettore (elaborazione AICA su dati ODM 2007)

20 Distribuzione del Profilo Security Advisor per area geografica e dimensione aziendale (elaborazione AICA su dati ODM 2007)

21 Distribuzione del Profilo Security Advisor per inquadramento contrattuale (elaborazione AICA su dati ODM 2007)

22 Distribuzione del Profilo Security Advisor per età dei professionals (elaborazione AICA su dati ODM 2007)

23 Distribuzione del Profilo Security Advisor per anzianità dei professionals nella posizione (elaborazione AICA su dati ODM 2007)

24 Retribuzione del Profilo del Security Advisor (elaborazione AICA su dati ODM 2007)

25 Evoluzione delle retribuzioni del Profilo Security Advisor (elaborazione AICA su dati ODM 2007)

26 Conclusione Il tema della sicurezza è trattato in ogni componente dello standard e in ogni sua possibile applicazione : Specificazione delle competenze elettive Specificazione dei profili Valutazione delle competenze Certificazioni. Eucip pone la dovuta attenzione alla protezione delle informazione e dei sistemi a supporto del processo di miglioramento continuo della sicurezza che correla la valorizzazione dei sistemi ICT agli obiettivi di business La certificazione EUCIP opera in una logica di sviluppo continuo delle professionalità digitali

27 Grazie per l attenzione r.ferreri@aicanet.it