Information Security Management Visione e Approccio

Transcript

1 Information Managmnt Vision Approccio L Information, in quanto protzion rquisiti Confidnzialità, Intgrità Disponibilità dll informazioni dll tcnologi attravrso l quali ss sono mss a sposizion dl businss, rintra a pino titolo ngli obittivi fficinza d fficacia srvizi ICT pr l azinda. Il lgam strtto tra Information businss vnta smpr più vidnt con l volvr dll tcnologi dl modo stsso con cui l azind sviluppano il proprio businss, proponndo al mrcato srvizi soluzioni risptto ai quali la rapprsnta adrittura un fattor abilitant imprscinbil. L Information, in dfinitiva, è un asptto important dlla Sicurzza dl Businss, d è quin un obittivo managmnt, piuttosto ch una smplic sciplina tcnica, ch va affrontato agndo su lv vrs, concorrnti, quali la cultura, l organizzazion procssi businss, l organizzazion procssi gstion dll tcnologi, gli strumnti spcifici. Bst Practic standard BS 7799 Part Bst Practic Indx for undrlying lvl(s) ITSC CC othrs Undrlying standard ISO 7 Risptto Lggi Norm Managmnt Businss Continuity Sistma govrno dlla Procssi gstion dlla STANDARD RIFRIMNTO Managmnt ovrviw BS 7799 Part Rquirmnts Standard COBIT ITIL ISMS AMBITO CICLO VITA AR INTRSS Planning to Implmnt Srvic Managmnt T h Guidlins for Srvic Managmnt Crtification A 7/ B Srvic Th ICT u Businss Support Infrastructur s Prspctiv Managmnt i Srvic n Dlivry s s Managmnt Applications Managmnt Privacy, Criminalità informatica, Diritto d autor, Basila, SO,. Inviduazion valutazion rischi dgli impatti (Businss Impact Analysis) rlativ contromisur Assicurazion dlla continuità dll tcnologi sistmi scondo l ncssità dl businss Ruoli, rsponsabilità, standard, procdur organizzativ, a tutla dlla ni procssi gstion ICT Procssi oprativi gstion controllo dlla ( sistmi dgli accssi) BUILD RUN SUSTAIN Domini T Procssi h Attività T c h n o l o g y Quality Quality Quality CICLO VITA Fiduciary Fiduciary Fiduciary INFORMATION SCURITY MANAGMNT SYSTM Intgrità Confidnzialità Disponibilità Risors uman Politich, Pianificazion stratgica oprativa srcizio, monitoraggio rportistica Formazion, informazion, vrifich, aut Sistmi Applicativi Tcnologia Infrastruttur Dati Progttazion, ralizzazion implmntazion oprativa Il nostro approccio all Information Managmnt si carattrizza pr un costant sistmatico ricorso agli standard all bst practic mrcato, ch costituiscono la font, unitamnt all sprinz sul campo, pr la dfinizion l voluzion mtodologi strumnti. ITIL COBIT, in particolar, forniscono l visioni gnrali comuni procssi ICT loro Ky Prformanc Incator, mntr ISO 7 è lo standard rifrimnto pr un Information Managmnt Systm. L Information Managmnt Systm ovvro l insim procssi rsponsabilità govrno gstion dll Information - vin dclinato nl nostro approccio scondo l du mnsioni dl ch cosa (l ar intrss dl com (il ciclo vita). L ar intrss configurano un ambito ch travalica gli asptti puramnt tcnologici dfinisc in cornza con la vision i ncssari lgami con il businss. Si sgnalano in particolar, a qusto riguardo, l ar dl Managmnt dlla Businss Continuity. Il Ciclo Vita, nlla sua articolazion Plan Build Run Sustain rispcchia, nlla sostanza, il paragma Plan Do Chck Act raccomandato dallo standard ISO 7 dall lin guida ITIL COBIT. ISMS - PROCSSI AR INTRSS CICLO VITA BUILD RUN SUSTAIN Risptto Lggi Norm Analisi conformità Costruzion dll impianto organizzativo, normativo documntativo Formalizzazion annual dl documnto programmatico Formazion, vrifich prioch, parri Managmnt Analisi rischi Implmntazion mto strumnti pr il procsso risk managmnt Monitoraggio aggiornamnto prioco dl profilo rischio Snsibilizzazion formazion Businss Continuity Businss Impact Analisys dlla stratgia protzion Progttazion implmntazion dl Businss Continuity Plan Mantnimnto aggiornamnto dll componnti organizzativ tcnologich Formazion, addstramnto, prov prioch Aut Sistma govrno dlla dll politich (stratgia, rsponsabilità, funng) dgli standard dll procdur pr i procssi gstion ICT Monitoraggio aggiornamnto prioco standard procdur Snsibilizzazion Formazion addstramnto Aut Procssi gstion dlla Disgno implmntazion (tcn/org) procssi gstion dlla srcizio Monitoraggio : Sicurzza Logica Sicurzza Sistmi HD Addstramnto Aut La figura sinttizza il Modllo Rifrimnto procssi in cui si articola l Information Managmnt Systm, scondo il nostro approccio, costruito in cornza con gli standard mrcato. Ciascuna ara procsso è dclinata ni suoi contnuti, finalità attività, nll misur controlli (tcnici organizzativi) ch n dtrminano l fficinza l fficacia. Il Modllo Rifrimnto si sostanzia inoltr in un insim mtodologi strumnti applicabili a ciascun procsso, ch costituiscono la bas pr i srvizi offrti. - -

2 torici torici o P Scnario rischio MAPPATURA RLAZIONI: procssi businss applicazioni dati tcnologi/infrastruttur Contstualizzazion: spazio, tmpo, procssi businss Vulnrabilità V..9 Catna Critri valutazion dll impatto Impatto sul businss I DOMINIO ARA AMBINTI ARGOMNTO Influnza sui. SVILUPPO (*).. Dati prova rquisiti SVILUPPO COLLAUDO C I D L DOMINIO APPLICAZIONI ARA AMBINTI ARGOMNTO Influnza sui. SVILUPPO (*).. Dati prova rquisiti SVILUPPO COLLAUDO BST PRACTIC (sintsi) APPLICAZIONI AMBINTI C I D L. SVILUPPO (*) I dati prova a sposizion ngli ambinti sviluppo.. Dati prova SVILUPPO collaudo dvono ssr adguati, pr struttura, COLLAUDO BST PRACTIC (sintsi) C I D L APPLICAZIONI casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono ssr schrmati nll componnti ad lvata snsibilità risptto al rquisito confidnzialità. I dati prova a sposizion ngli ambinti sviluppo collaudo dvono ssr adguati, pr struttura, BST PRACTIC (sintsi) casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono ssr schrmati I dati nll prova componnti a sposizion ad lvata ngli ambinti snsibilità sviluppo risptto al rquisito collaudo dvono confidnzialità. ssr adguati, pr struttura, lmnti VALUTAZION (**) casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono COMMNTI ssr schrmati valutazion nll componnti ad lvata NA snsibilità risptto al rquisito confidnzialità. lmnti VALUTAZION (**) valutazion (a) Compltzza COMMNTI NA lmnti VALUTAZION (**) (a) Compltzza (b) Asptti formali COMMNTI valutazion NA procdurali (a) Compltzza (b) Asptti formali (c) Strumnti procdurali tcnologi (b) Asptti formali (c) Strumnti (d) Robustzza procdurali tcnologi controlli (c) Strumnti (d) Robustzza tcnologi VALUTAZION COMPLSSIVA controlli (d) Robustzza (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali controlli VALUTAZION (**) Valutazion COMPLSSIVA (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali VALUTAZION (**) Valutazion COMPLSSIVA (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali (**) Valutazion (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato A - Calamità naturali ambintali A - vnti struttivi accidntali (incno, crollo, F - Contaminazion da virus A - vnti struttivi allagamnto) accidntali (incno, crollo, F - Contaminazion da virus A - Insponibilità allagamnto) srvizi/utilitis F - Manomission / Distruzion dati A - Insponibilità fondamntali srvizi/utilitis F - Manomission / Distruzion dati fondamntali F - Manomission / Distruzion F - Manomission dl softwar / Distruzion dl softwar - Divulgazion patrimonio softwar - Divulgazion patrimonio softwar - Accsso non autorizzato pr - mofica Accsso dati non / autorizzato frod pr mofica dati / frod DOMINIO ARA ARGOMNTO - Accsso non autorizzato pr vision - Accsso o vulgazion non autorizzato dati pr vision o vulgazion dati D - rrori utilizzo da part dgli utnti D - rrori D - rrori utilizzo nll da oprazioni part dgli ausiliari utnti (output, D - rrori trasmissioni, nll oprazioni cc) ausiliari (output, trasmissioni, cc) Influnza sui rquisiti B - Sabotaggio fisico B - Sabotaggio fisico B - Furto B - Furto C - Guasti/malfunzionamnti C - Guasti/malfunzionamnti hardwar hardwar C - Saturazion/dgrado C - Saturazion/dgrado C - Malfunzionamnti softwar D - rrori nll C oprazioni - Malfunzionamnti srcizio dll softwar D - rrori nll applicazioni oprazioni srcizio dll applicazioni Information Managmnt Srvizi, Mtodologi Strumnti SRVIZI Il portafoglio srvizi copr l intro insim procssi Information Managmnt è stato sgnato in manira tal da garantir intrvnti rispondnti a critri sinrgia d conomi scala, in risposta ad signz tipo riscontrat in anni sprinz sul campo. L mtodologi gli strumnti impigati consntono smpr un adguato tasso prsonalizzazion risptto alla spcifica raltà intrssata, facilitano, laddov ncssario, la costruzion intrvnti spcifici. Componnt sistma (risorsa intrssata) Consgunz sul srvizio al businss Schma assssmnt Domini Ar Argomnti dl srvizio MTODOLOGI STRUMNTI Classificazion Classificazion dl dl rischio rischio (P*V*I) (P*V*I) Argomnto Domand D D D Dn Qustionario Rispost R R R Rn Puntggi P P P Pn Valutazion Argomnto = ma (P,Pn) Psi Sistma psatura Psi Psi Valutazion argomnti A - Calamità naturali ambintali Ciascun srvizio è supportato da mtodologi intrvnto da strumnti mirati, ch possono ssr costituiti, a sconda dll intrvnto, da schmi organizzativi, modlli policy procdur, modlli procsso, tool valutazion agnosi, modlli Progttazion. A titolo smpio, la figura rapprsnta in strma sintsi la mtodologia, ch poggia su : Modllo analisi dl rischio, Qustionari con sistma psatura, Tool assssmnt a vist multipl (ISO7, COBIT, ITIL), Modllo valutazion con mtrica CMM. - -

3 Pianificazion Stratgica dlla Sicurzza Vision d assim AR INTRSS CICLO VITA BUILD RUN Risptto Lggi Norm Analisi conformità Costruzion dll impianto organizzativo, normativo documntativo Formalizzazion annual dl documnto programmatico Managmnt Analisi rischi Implmntazion mto strumnti pr il procsso risk managmnt Monitoraggio aggiornamnto prioco dl profilo rischio Businss Continuity Businss Impact Analisys dlla stratgia protzion Progttazion implmntazion dl Businss Continuity Plan Mantnimnto aggiornamnto dll componnti organizzativ tcnologich Sistma govrno dlla dll politich (stratgia, rsponsabilità, funng) dgli standard dll procdur pr i procssi gstion ICT Monitoraggio aggiornamnto prioco standard procdur Procssi gstion dlla Disgno implmntazion (tcn/org) procssi gstion dlla srcizio Monitoraggio : Sicurzza Logica Sicurzza Sistmi HD OBITTIVO ARTICOLAZION Il srvizio ha l obittivo formular un piano organico () intrvnti tsi a migliorar il livllo. A qusto fin vin ffttuato un assssmnt dlla situazion attual, sulla bas dl qual si dfiniscono l priorità, si inviduano vntuali vincoli si formula il piano complssivo. SUSTAIN Formazion, vrifich prioch, parri Snsibilizzazion formazion SCNARIO PIANO Formazion, addstramnto, prov prioch Aut Snsibilizzazion Formazion addstramnto Aut Addstramnto Aut Incazion intrvnti dl IMPLMNTAZION L implmntazion dgli intrvnti pr migliorar il livllo può ssr du tipi: Risptto Lggi Norm Managmnt AR INTRSS Businss Continuity Sistma govrno dlla Procssi gstion dlla QUICK WIN Intrvnti immata applicabilità basso costo, tipicamnt basati su miglioramnti a strumnti procdur già in ssr PROGTTI Intrvnti dfiniti nl, tipicamnt mo lungo trmin, ch rispondono ad una vision organica nlla qual si inquadrano, scondo l gradualità l modularità inviduat. CICLO VITA BUILD RUN SUSTAIN Analisi conformità Costruzion dll impianto organizzativo, normativo documntativo Formalizzazion annual dl documnto programmatico Formazion, vrifich prioch, parri Analisi rischi Implmntazion mto strumnti pr il procsso risk managmnt Monitoraggio aggiornamnto prioco dl profilo rischio Snsibilizzazion formazion Businss Impact Analisys dlla stratgia protzion Progttazion implmntazion dl Businss Continuity Plan Mantnimnto aggiornamnto dll componnti organizzativ tcnologich Formazion, addstramnto, prov prioch Aut dll politich (stratgia, rsponsabilità, funng) dgli standard dll procdur pr i procssi gstion ICT Monitoraggio aggiornamnto prioco standard procdur Snsibilizzazion Formazion addstramnto Aut Disgno implmntazion (tcn/org) procssi gstion dlla srcizio Monitoraggio : Sicurzza Logica Sicurzza Sistmi HD Addstramnto Aut - -

4 Pianificazion Stratgica dlla Sicurzza Scnario Piano Progtto ARTICOLAZION SCNARIO PIANO Incazion intrvnti dl SCNARIO PIANO CONTNUTI OUTPUT Dfinir il primtro indagin l componnti tcnologich / applicativ Rilvazion procssi Impliciti/spliciti gstion Rilvazion dlla sponibilità/qualità dlla documntazion tcnica/organizzativa Ruoli rsponsabilità prsio (Impliciti/spliciti) Mappa dl primtro indagin Dscrizion principali procssi dl ciclo vita dlla Funzioni prsonal prposto Rapporto sintsi sulla situazion in ssr Concordar ambito, obittivi dttaglio, priorità, output attsi Prsonalizzar la mtodologia Confrmar ruoli rsponsabilità Prsntar il progtto ottnr il commitmnt dll funzioni coinvolt Sviluppar il piano dttaglio dl progtto Attivar i tam lavoro Lanciar il progtto Obittivi, task, risors Qustionari modllo dossir analisi rischi Funzioni prson da intrvistar Piano dll attività CONSIDRAZIONI FONDO In qusta fas, fondamntal importanza pr il succsso dll intrvnto, gli standard, la mtodologia gli strumnti sponibili vngono vagliati, s dl caso, adattati in funzion dll azinda spcifica, analizzata comprsa attravrso: i suoi mccanismi fondamntali (prson, sistmi, organizzazion), il suo mrcato rifrimnto i suoi srvizi, la sua cultura la sua propnsion al cambiamnto Il risultato dlla fas è il piano intrvnto (), dscritto approvato nll su componnti organizzativ/dcisionali (ruoli, rsponsabilità, coinvolgimnti, ch tngano conto dlla prvasività dll information scurity) oprativ (piano dll attività). - -

5 DOMINIO ARA ARGOMNTO Influnza sui rquisiti DOMINIO ARA AMBINTI ARGOMNTO Influnza sui (*). SVILUPPO.. Dati prova rquisiti SVILUPPO COLLAUDO C I D L DOMINIO APPLICAZIONI ARA AMBINTI ARGOMNTO Influnza sui (*). SVILUPPO.. Dati prova rquisiti SVILUPPO COLLAUDO BST PRACTIC (sintsi) C I D L APPLICAZIONI AMBINTI (*). SVILUPPO.. Dati prova I dati SVILUPPO prova a sposizion ngli ambinti sviluppo collaudo dvono ssr adguati, pr struttura, COLLAUDO BST PRACTIC (sintsi) C I D L APPLICAZIONI casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono ssr schrmati I dati nll prova componnti a sposizion ad lvata ngli ambinti snsibilità sviluppo risptto al rquisito collaudo dvono confidnzialità. ssr adguati, pr struttura, BST PRACTIC (sintsi) casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono ssr schrmati I dati nll prova componnti a sposizion ad lvata ngli ambinti snsibilità sviluppo risptto al collaudo rquisito dvono confidnzialità. ssr adguati, pr struttura, lmnti VALUTAZION (**) casistica, numrosità, all ncssità tst collaudo dll applicazioni, ma dvono COMMNTI ssr schrmati valutazion NA nll componnti ad lvata snsibilità risptto al rquisito confidnzialità. lmnti VALUTAZION (**) valutazion (a) Compltzza COMMNTI NA lmnti VALUTAZION (**) (a) Compltzza (b) Asptti formali COMMNTI valutazion NA procdurali (a) Compltzza (b) Asptti formali (c) Strumnti procdurali tcnologi (b) Asptti formali (c) Strumnti (d) Robustzza procdurali tcnologi controlli (c) Strumnti (d) Robustzza tcnologi VALUTAZION COMPLSSIVA controlli (d) Robustzza (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali controlli VALUTAZION (**) Valutazion COMPLSSIVA (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali VALUTAZION (**) Valutazion COMPLSSIVA (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato (*) Lgnda: C=Confidnzialità I=Intgrità D=Disponibilità L=Lgali (**) Valutazion (CMM): =Insistnt =Inizial =Riptibil =Dfinito =Gstibil =Ottimizzato Pianificazion Stratgica dlla Sicurzza ARTICOLAZION SCNARIO PIANO Incazion intrvnti dl Analisi Incazion CONTNUTI OUTPUT Rdarr i dossir analisi rischi Prsntar la modulistica all prson coinvolt Supportar nlla valutazion rischi Consolidar formalizzar i risultati Documnto analisi rischi, contnnt l valutazioni qualitativ quantitativ sugli scnari rischio saminati Prsntar i qustionari assssmnt dlla ffttuar l intrvist Consolidar formalizzar i risultati Prsntar i risultati alla Dirzion Azindal Documnto assssmnt dlla, contnnt: Profilo sposizion ai rischi Inviduar l vntuali criticità suscttibili intrvnti rapida attuazion basso costo Documnto sgnalazion quick win, contnnt la dscrizion l modalità massima ciascun intrvnto CONSIDRAZIONI FONDO Schma assssmnt Domini Ar Argomnti Domand... D D D Dn.. Qustionario Rispost R R R Rn Puntggi P P P Pn Valutazion Argomnto = ma (P,Pn) Psi Sistma psatura Psi Psi Valutazion argomnti A - Calamità naturali ambintali A - Calamità naturali ambintali A - vnti struttivi accidntali (incno, crollo, F - Contaminazion da virus A - vnti struttivi allagamnto) accidntali (incno, crollo, F - Contaminazion da virus allagamnto) A - Insponibilità srvizi/utilitis F - Manomission / Distruzion dati A - Insponibilità fondamntali srvizi/utilitis F - Manomission / Distruzion dati fondamntali F - Manomission / Distruzion B - Sabotaggio fisico F - Manomission dl softwar / Distruzion B - Sabotaggio fisico dl softwar - Divulgazion patrimonio B - Furto - softwar Divulgazion patrimonio B - Furto softwar - Accsso non autorizzato pr - mofica Accsso dati non / autorizzato frod pr mofica dati / frod - Accsso non autorizzato pr vision - Accsso o vulgazion non autorizzato dati pr vision o vulgazion dati D - rrori utilizzo da part dgli utnti D - rrori D - rrori utilizzo nll da oprazioni part dgli ausiliari utnti (output, D - rrori trasmissioni, nll oprazioni cc) ausiliari (output, trasmissioni, cc) C - Guasti/malfunzionamnti C - Guasti/malfunzionamnti hardwar hardwar C - Saturazion/dgrado C - Saturazion/dgrado C - Malfunzionamnti softwar D - rrori nll C oprazioni - Malfunzionamnti srcizio dll softwar D - rrori nll applicazioni oprazioni srcizio dll applicazioni Nlla fas assssmnt, ch è il cuor dll intrvnto, vin analizzata la situazion attual dll azinda in trmini rischi, livllo, vulnrabilità corrispondnti. L assssmnt vin ffttuato scondo uno schma ch rifltt gli standard l bst practic mrcato, traducndoli in un qustionario organizzato pr domini, ar, argomnti, domand spcifich. Grazi ad un sistma psi assgnati a ciascun lmnto dl qustionario (sulla bas dll sprinz, con possibilità corrzion pr l singol raltà azindali) ad un tool laborazion prsntazion risultati, è possibil tracciar i tr asptti fondamntali: Quadro rischi, Profilo Sicurzza, Profilo Vulnrabilità - -

6 Pianificazion Stratgica dlla Sicurzza Analisi rischi L analisi rischi vin ffttuata in cornza con la sciplina i conctti fondamntali dl RisK Managmnt, intrprtati vrticalizzati scondo l spcificità dll Information. FONDAMNTI RISK MANAGMNT Impatto RISK Impatto RISK MITIGATION La figura mostra i du asptti fondamntali dl Managmnt: Probabilità RISCHIO Vulnrabilità IMPATTO Stima danni pr l azinda in trmini : Prt conomich finanziari Prt opportunità businss Danno immagin Pnali Probabilità Frqunza TRMINI DL PROBLMA PROBABILITA RISCHIO RSIDUO Vulnrabilità VULNRABILITA Quanto si stima probabil ch Invrsamnt proporzional al la minaccia si traduca in un grado fficacia dll misur vnto ffttivo, ovvro la classificazion ciascun rischio sulla bas tr paramtri fondamntali (probabilità, vulnrabilità, impatto) Mitigation, ovvro l azioni ts a ridurr uno o più tr paramtri fondamntali, sino ad ottnr un rischio rsiduo accttabil Il passo analisi rischi vin svolto scondo una mtodologia ch risptta i fondamnti Managmnt dscritti. torici torici o P Scnario rischio MODLLO CONCTTUAL Componnt sistma (risorsa intrssata) MAPPATURA RLAZIONI: procssi businss applicazioni dati tcnologi/infrastruttur Contstualizzazion: spazio, tmpo, procssi businss Vulnrabilità V Catna dl srvizio Consgunz sul srvizio al businss Critri valutazion dll impatto Impatto sul businss I Classificazion dl dl rischio rischio (P*V*I) (P*V*I) La figura mostra sintticamnt l modalità ffttuazion dll analisi rischi. Pr ciascun rischio torico (scondo un lnco dfinito nlla mtodologia) vngono dfiniti gli scnari rischio, ovvro la dscrizion com il rischio potrbb manifstasi nlla raltà spcifica (componnt intrssata contsto spazio-tmporal). Ciascuno scnario vin analizzato scondo i paramtri fondamntali (probabilità, vulnrabilità, impatto), quin, classificato. La valutazion dll impatto vin ffttuata sulla bas dll consgunz sui srvizi ICT critri quali-quantitativi, concordati con il managmnt. Impatto Low Md. High Focus sull Important Inaccttabil Critico Significativo Poco Rilvant Vulnrabilità MODLLO DCISIONAL Low Md. High Mitigation Alto Impatto Basso Sclta dlla tipologia protzion MISUR CORRTTIV Bassa Probabilità MISUR PRVNTIV CORRTTIV MISUR PRVNTIV o Rsiduo Alta La classificazion dgli scnari rischio, normalmnt ffttuata scondo una scala a quattro valori, unitamnt all incazioni mtodologich rlativ alla miglior stratgia protzion (prvnzion, monitoraggio, corrzion), consnt ottnr un primo quadro rifrimnto pr l dcisioni concrnnti la stratgia da adottar. Vin cioè ffttuata una prima ipotsi rischi rsidui accttabili rischi pr i quali occorr mttr in atto azioni mitigazion, con l incazion dlla/dll tipologi più idon allo scopo. Nlla fas succssiva ( Ipotsi Intrvnto ) i risultati qusta analisi vrranno riprsi, approfonti confrontati con l ffttiv possibilità (organizzativ, tcnich, conomich) dll azinda

7 Domini Ar Argomnti Domini Ar Argomnti Scnario Piano Progtto Controlli gnrali Controlli gnrali Piano Progtto Sviluppo applicazioni Sviluppo applicazioni srcizio srcizio Analisi Valutazion dl Livllo Sicurzza Incazion Ipotsi Intrvnto Ipotsi Intrvnto Sicurzza dgliaccssi logici Sicurzza dgliaccssi logici Sicurzza fisica Mastr Plan dl Sicurzza fisica A9 A8 A A7 A A6 A A A A Pianificazion Stratgica dlla Sicurzza Il passo assssmnt fornisc du valutazioni fondamntali: Il Profilo Sicurzza, ovvro la valutazion dll misur in ssr Il Profilo Vulnrabilità, ddotto dal Profilo Sicurzza, risptto al qual è invrsamnt proporzional. Architttura. Idntificazion autnticazion Lgnda Rquisiti SISTMA QUSTIONARI ARA C: Confidnzialità I : Intgrità ARGOMNTO Rquisiti Valnza C I D L G P D C. Inv. classif. domini. Srvizi mccanismi. Inpndnza sgrgazion. Standard slzion applicazion. Controlli gstionali.6 Inv. formalizz. rsponsabilità. Gstion dll usrid. Gstion dll password. Altri mccanismi autnticazion. Ri-autnticazion. Inpndnza sgrgazion.6 Gstion tntativi violaz. allarmi.7 Controlli gstionali. Autorizzazion. Gstion profili. Altri srvizi mccanismi. Limiti tmpo spazio. Controlli gstionali. Inpndnza sgrgazion. Confidnzialità/Crittografia. Intgrità/Mssag Authntication. Non rpuation/firma lttronica. Inpndnza sgrgazion D: Disponibilità L : Lgali Lgnda Valnza G: Gnral P: Prvnzion D: arly Dtction C: Corrzion Pr la valutazion dl Profilo Sicurzza la mtodologia si basa su un sistma qustionari articolato in quattro livlli, con possibilità analisi rportistica tipo topdown / bottom-up (funzionalità drill-down ). Un sistma psi lga ciascun livllo al prcdnt al succssivo, pr consntir valutazioni pondrat in bas all importanza rlativa ciascun lmnto. Gli argomnti sono rfrnziati risptto agli standard, ai rquisiti all tipologi rischio, consntndo così sprimr valutazioni vist mirat. La figura a fianco mostra uno spaccato dl qustionario, al livllo argomnti (III livllo), rifrito al dominio Controllo dgli accssi logici. PROFILO SICURZZA CONTROLLI GNRALI. Organizzazion IT. Politich normativ. Risors uman. Data managmnt. managmnt..9. SVILUPPO APPLICAZIONI. Sviluppo/acquisizion/intgrazion sistmi. Ambinti sviluppo, tst collaudo. Chang Managmnt.8. SRCIZIO. Accttazion in produzion. Procdur oprativ. Prformancs managmnt. Back-up. Manutnzion Hw Sw bas.6 Gstion supporti.7 Gstion stamp output su supporto magntico.8 Gstion dgli incidnti.9 Disastr rcovry. Antivirus SICURZZA DGLI ACCSSI LOGICI. Architttura. Idntificazion autnticazion. Autorizzazion. Altri srvizi mccanismi..... Grazi al sistma qustionari adottato ai psi ch n lgano i vrsi livlli, Il Profilo Sicurzza può ssr rapprsntato a vrsi livlli approfonmnto (domini, ar, singoli argomnti). La forma rapprsntazion può ssr tabllar o grafica. La figura mostra un smpio Profilo Sicurzza, organizzato pr argomnti, rapprsntato scondo il agramma Polar Kiviat, ch consnt una comprnsion rapida complssiva dlla valutazion ffttuata. OUTPUT FASI CONTNUTI Profil (vs COBIT) DS DS DS DS9 DS8 DS DS7 DS6 M M DS DS M DS PO M, DS,,,,, DS PO PO PO PO AI6 AI AI AI PO6 AI PO7 AI PO8 PO9 PO PO Analisi risptto agli lmnti Classificazion CONTROLLI ASPTTI LGALI COMPLTZZA TCNOLOGIA Analisi risptto ai Rquisiti CONFIDNZIALITA' INTGRITA' PROCDUR Profil (vs BS7799) Profil A - Calamità naturali ambintali A - vnti struttivi accidntali (incno, crollo, F - Contaminazion da virus allagamnto) A - Insponibilità srvizi/utilitis F - Manomission / Distruzion dati fondamntali F - Manomission / Distruzion B - Sabotaggio fisico dl softwar - Divulgazion patrimonio softwar - Accsso non autorizzato pr mofica dati / frod - Accsso non autorizzato pr vision o vulgazion dati A - Politica A - Organizzazion pr la A - Controllo classificazion dll risors A - Sicurzza dl prsonal A - Sicurzza matrial d ambintal A6 - Gstion oprativa comunicazion A7 - Controllo dgli accssi A8 - Sviluppo manutnzion sistmi A9 - Gstion dlla businss continuity A - Conformità B - Furto C - Guasti/malfunzionamnti hardwar C - Saturazion/dgrado L architttura qustionari valutazion la sponibilità un tool laborazion risultati consntono qulla pluralità analisi vist ncssaria pr una complta comprnsion gstion fnomni ch carattrizzano l Information. La figura mostra solo alcuni smpi smpi dlla vrsatilità consntita dalla mtoologia dagli strumnti adottati. In particolar, il agramma in basso a dstra è un smpio Profilo Vulnrabilità. SPONIBILITA' D - rrori utilizzo da part dgli utnti D - rrori nll oprazioni ausiliari (output, trasmissioni, cc) C - Malfunzionamnti softwar D - rrori nll oprazioni srcizio dll applicazioni - 7 -

8 SCNARIO PIANO Incazion intrvnti dl Pianificazion Stratgica dlla Sicurzza Ipotsi Intrvnto ARTICOLAZION SCNARIO PIANO Incazion intrvnti dl intrvnti CONTNUTI OUTPUT Dfinir gli vntuali vincoli carattr logistico, tcnico, organizzativo, finanziario, da considrar nll laborazion dll propost intrvnti Dfinir l priorità intrvnto in funzion dll criticità vincoli Documnto contnnt la mappa alto livllo dll criticità, vincoli, dll priorità intrvnto Formalizzazion rischi rsidui lin guida pr vntuali soluzioni altrnativ possibili intrvnti dlla pr ciascuna dll priorità inviduat: Finalità contnuti Bst Practic Modalità ffttuazion massima vntuali sta ralizzativi Stima massima tmpi Quadro dgli intrvnti Schd dscrittiv ciascun intrvnto CONSIDRAZIONI FONDO In qusta fas vngono dfiniti gli intrvnti pr suprar l criticità mrs nlla fas assssmnt, scondo priorità possibilità, tnndo conto vincoli conomici, tcnici, organizzativi dll azinda. Problma riscontrato L utilizzo un ambint collaudo crtificato sparato dagli ambinti sviluppo/tst srcizio non è totalmnt ffuso d omogno. Possono quin ntrar in srcizio applicazioni o parti applicazioni non collaudat scondo critri standard (ch praltro non sono dfiniti). Sono stati sgnalati casi intrvnti rtti da part dl prsonal sviluppo sull librri srcizio. Non sistono rgol tools pr vitar ch i dati utilizzati pr la prov siano i dati ffttivi srcizio. Ambinti sviluppo collaudo Bst Practic (sintsi) Gli ambinti sviluppo/tst collaudo dvono ssr sparati tra loro stinti dall ambint srcizio. Dvono ssr dfiniti critri standard collaudo a cui sottoporr il softwar prima dl passaggio in srcizio. I dati prova da utilizzar ngli ambinti sviluppo collaudo non possono ssr i dati ffttivi produzion. Pr garantir una significatività dati prova, da un lato, il risptto rquisiti confidnzialità, dall altro, è opportuno sporr procdur strumnti ch consntono riprodurr nll ambint sviluppo i dati dll ambint produzion, maschrando l informazioni carattr confidnzial. Possibili intrvnti consgunz Programmi stnsion non dgli collaudati ambinti prima collaudo dl passaggio a tutt in l srcizio ar applicativ. possono, vidntmnt, dar luogo a qualsiasi inconvnint. Gli intrvnti rtti sull librri srcizio sono una potnzial minaccia rrori o atti Norm procdur a sostgno dlla sudvision rsponsabilità tra prsonal sviluppo prsonal dlibrati. L utilizzo pr i tst dati ffttivi scaricati dall ambint srcizio (nl qual i dati sono prottti srcizio sistmi. dai mccanismi ) nll ambint sviluppo (nl qual la protzion è minor) rnd possibil l accsso Introduzion a dati confidnziali. tool gnrazion dati prova, nl risptto rquisiti confidnzialità dati

9 Pianificazion Stratgica dlla Sicurzza ARTICOLAZION SCNARIO PIANO Incazion intrvnti dl dl CONTNUTI OUTPUT Aggrgazion singoli intrvnti in progtti, in bas all sinrgi possibili, carattr tcnico, conomico organizzativo Schd progtto laborazion dl complssivo, contnnt i progtti da svolgr, l loro intrazioni, i risultati (voluzion dl profilo ) attsi al trmin ciascun priodo (p.s. anno) dl budgt, coinvolgimnti ruoli Proposta da sottoporr alla Dirzion Azindal Prsntazion final alla Dirzion approvazion dl pr il dlla CONSIDRAZIONI FONDO Nlla fas final i singoli intrvnti inviduati nll fasi prcdnti vngono aggrgati in progtti, al fin massimizzar l conomicità complssiva, attravrso conomi scala sinrgi, garantir una maggior fficacia, attravrso la dfinizion propduticità modularità. Si ottin così il, ch contin la dscrizion progtti (normalmnt su un arco tmporal du tr anni) la dfinizion dgli obittivi (sprssi in forma Profilo Sicurzza dsidrato) da raggiungr al trmin ciascun priodo. Il contin inoltr una prima dfinizion dll modalità monitoraggio ciclico dlla, principali KPI (Ky Prformanc Incator) da tnr sotto controllo pr una vrifica in corso d opra risultati ottnuti

10 SCNARIO PIANO SCNARIO PIANO Incazion intrvnti Incazion intrvnti dl dl Pianificazion Stratgica dlla Sicurzza Alcuni smpi attività tipich dlla fas rlativi output: SMPIO AGGRGAZION IN PROGTTI AR PROGTTI AB SA CM AM NS DR IS FS S. Organizzazion IT. Politich normativ. Risors uman IT. Data Managmnt. Managmnt. Procsso sviluppo o acquisizion intgrazion sistmi. Ambinti sviluppo, tst collaudo. Procsso chang managmnt. Accttazion in produzion. Procdur Oprativ. Prformanc Managmnt. Back-up. Manutnzion HW SW bas.6 Gstion supporti magntici I singoli intrvnti (righ dlla tablla) vngono aggrgati in progtti (colonn). L aggrgazioni tngono conto dll omognità dlla compatibilità tmporal tmi trattati, dlla possibilità ralizzar conomi scala, coinvolgimnti struttur organizzativ dll azinda. Gstion dll stamp dgli output su.7 supporto magntico.8 Gstion dgli incidnti.9 Disastr Rcovry. Anti-virus. Architttura. Idntificazion autnticazion. Autorizzazion I progtti così dfiniti possono riguardar singol ar d intrvnto (com il progtto DR nll smpio) o moltplici ar d intrvnto (com nlla gran part progtti nll smpio).. Altri srvizi mccanismi SMPIO SCHDA AM SIGLA DSCRIZION OBITTIVO AM Amministrazion Sicurzza Aumntar il livllo dl procsso amministrazion dlla, dfinndon gli asptti organizzativi normativi ralizzandon gli asptti tcnologici DSCRIZION MASSIMA DLL AR ARGOMNTI. POLITICH NORMATIV. Politich, standard norm ( Ammin. Sicur.). ARCHITTTURA SICURZZA. Inviduazion classificazion domini. IDNTIFICAZION AUTNTICAZION. Gstion dll usrid. Gstion dll password.6 Gstion tntativi violazion allarmi.7 Controlli gstionali. AUTORIZZAZION. Gstion profili. Limiti tmpo spazio. Controlli gstionali ATTIVITA L intrvnto prvd: il sgno dll architttura tcnica organizzativa dl procsso amministrazion dlla ni vrsi domini classificati in funzion dll piattaform gstit (fas AM), la progttazion ralizzazion dgli asptti tcnici, ovvro tools amministrazion dlla (fasi AM AM), la dfinizion ffusion dlla normativa, con particolar riguardo agli asptti gstion dll usrid password, dll autorizzazioni accsso all funzionalità ai dati ai raltivi controlli carattr gstional. Tuning sull applicazion con particolar riguardo all ar applicativ campion (ad s. Sibl SAP R/) (fas AM). L smpio si limita a mostrar obittivi, ar intrvnto attività massima dl progtto. Nlla raltà una schda progtto dscriv anch l rsponsabilità, i coinvolgimnti, i tmpi, i costi l lin guida attuativ. - VISION D ASSIM smpio vision d alto livllo un articolato in nov progtti, su un arco tmporal du anni. I agrammi sul lato dstro mostrano gli obittivi pr il primo il scondo anno, ovvro l voluzion attsa, anno pr anno, dl Profilo Sicurzza. La figura, smplificativa, non mostra altri lmnti carattrizzanti il, quali, ad smpio, l pndnz fra progtti, l rispttiv pitr miliari, i momnti controllo. - -

11 Pianificazion Stratgica dlla Sicurzza Piano Lavoro SCHMA PIANO LAVORO sttiman S S S S S S6 S7 S8 S9 S S S SCNARIO PIANO Milston dlivry ORGANIZZ.N Stati avanzamnto lavori Validazion risultati Il Piano Lavoro illustrato in figura rapprsnta una stima ma, basata sull sprinz maturat prsso numros raltà azindali. I tmpi stimati pr ciascuna fas possono variar, in funzion dll complssità carattr tcnologico organizzativo un caso spcifico, nlla misura circa il % (in più o in mno). La stima dl Piano Lavoro vin norma ffttuata in sd offrta collaborazion, sulla bas dll informazioni fornit dall azinda. Un affinamnto dl Piano vin prodotto, comunqu, al trmin dlla fas SCNARIO PIANO. - -