Analisi dei rischi e gestione della sicurezza ICT

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "Analisi dei rischi e gestione della sicurezza ICT"

Transcript

1 Analisi dei rischi e gestione della sicurezza ICT Relatore - Dr. Oreste Romei

2 I driver della sicurezza ICT In ragione della sua natura di Pubblica Amministrazione al servizio del cittadino, di altre pubbliche amministrazioni e di organizzazioni private, la Regione detiene informazioni pubblicamente accessibili ed informazioni riservate ai fini della privacy : la modifica non autorizzata delle informazione pubblicate e la diffusione di quelle riservate sono azioni che hanno come conseguenza la perdita di immagine, la violazione delle norme sulla custodia di dati riservati, il danno per organizzazioni e persone che a vario titolo si associano alle attività dell Ente. Un efficace sistema di gestione della sicurezza ICT deve quindi supportare i processi di intermediazione tra Ente ed utenza, garantendo, nel corso del tempo ed in presenza di situazioni mutevoli, le condizioni di sicurezza necessarie alla realizzazione della missione istituzionale dell Ente attraverso l uso delle tecnologie ICT.

3 I driver della sicurezza ICT L adozione di un sistema di gestione della sicurezza ICT si basa su due driver principali: la sicurezza ICT come fattore abilitate l attuazione del Codice dell Amministrazione digitale e quindi il compimento della missione dell Ente anche mediante l uso di tecnologie ICT; il quadro normativo, alla costruzione del quale hanno concorso il Governo (decretazione e strategie per l innovazione), la PAC (deliberazioni attuative negli ambiti di competenza dei Ministeri) ed il CNIPA (authority tecnica). La necessità di definire un quadro unitario della sicurezza ICT nella PA, ha portato all istituzione del "Comitato tecnico nazionale sulla sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni presso il CNIPA (decreto interministeriale siglato il 24 luglio 2002 tra il Ministro per l Innovazione e le Tecnologie e il Ministro delle Comunicazioni), che ha redatto e pubblicato nel 2004 la prima versione delle Linee guida per la sicurezza ICT delle pubbliche amministrazioni, documento introduttivo al Piano Nazionale e al Modello organizzativo della sicurezza ICT per la PA.

4 I driver della sicurezza ICT Altro tema che ha contribuito ad ampliare la base normativa riguardante la sicurezza ICT nella PA, è quello del documento informatico e della sua archiviazione in relazione ad aspetti quali la privacy, la protocollazione, la firma digitale, la PEC ed in generale il Codice dell Amministrazione Digitale. Queste iniziative, insieme alle deliberazioni dei vari dicasteri negli ambiti di competenza, hanno generato un notevole corpus normativo di cui riportiamo alcune delle disposizioni di maggiore rilievo ai fini della sicurezza: D.Lgs. 7 marzo 2005, n. 82, Codice dell Amministrazione digitale D.Lgs. 30 giugno 2003 n. 196, Codice in Materia di Protezione dei Dati Personali Direttiva MIT del 16 gennaio 2002, Sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni DPR 10 novembre 1997, n. 513, Regolamento contenente criteri e modalità per la formazione, l archiviazione e la trasmissione di documenti con strumenti informatici e telematici DPCM 8 febbraio 1999, Regole tecniche per la formazione, la trasmissione, la conservazione, la duplicazione, la riproduzione e la validazione, anche temporale, dei documenti informatici ai sensi dell art. 3, comma 1, del DPR 10 novembre 1997, n. 513 DPR 11 febbraio 2005, n. 68, Regolamento recante disposizioni per l'utilizzo della posta elettronica certificata, a norma dell'articolo 27 della legge 16 gennaio 2003, n. 3 Deliberazione CNIPA n. 4/2005, Regole per il riconoscimento e la verifica del documento informatico Deliberazione CNIPA n. 11/2004, Regole tecniche per la riproduzione e conservazione di documenti su supporto ottico idoneo a garantire la conformità dei documenti agli originali

5 ISMS: standard di riferimento per la PA ISMS (Information Security Management System) : sistema di gestione che include struttura organizzativa, policy, pianificazione delle attività, responsabilità, pratiche, procedure, processi, risorse e documentazione. A partire da una politica di sicurezza (policy) che riflette le esigenze operative e le finalità dell organizzazione, un ISMS deve cogliere i seguenti obiettivi di carattere generale: individuare le informazioni e i servizi da sottoporre a protezione; quantificare le esigenze di sicurezza in relazione alle esigenze di riservatezza, integrità, disponibilità e autenticità; individuare adeguati meccanismi di mantenimento della sicurezza; individuare le persone responsabili del mantenimento del sistema di sicurezza. Il MIT ha recepito con la Direttiva del 16 gennaio 2002 Sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni i principi ispiratori degli standard ISO/IEC IS 17799:2005 (Code of Practice) e ISO/IEC IS 27001:2005 (ISMS), che divengono pertanto gli standard di riferimento nella PA ai fini dell adozione di un ISMS e di una sua eventuale certificazione presso terzi. Quale relazione esiste tra i due standard? Sostanzialmente, ISO definisce un modello di ISMS finalizzato alla realizzazione e al mantenimento dei controlli di sicurezza specificati dalla ISO17799 e riportati nell Annex A.

6 ISMS: standard di riferimento per la PA ISO Lo standard definisce un processo ciclico di gestione basato sull approccio PDCA (Plan-Do-Check-Act). La valutazione del rischio comprende una attenta valutazione costo/beneficio che discrimina la modalità di trattamento del rischio. Identificazione dei rischi Evitamento, accettazione, trasferimento Security Policy Ambito operativo Risk Analisys Valutazione del rischio ISO17799 ed altri controlli Mitigazione e selezione dei controlli Implementazione dei controlli

7 ISMS: standard di riferimento per la PA ISO 17799:2005 Lo standard definisce i controlli necessaria a mitigare o eliminare il rischio in relazione agli attributi di confidenzialità, integrità, disponibilità: confidenzialità: prevenzione dalla divulgazione non autorizzata delle informazioni, accesso controllato alla informazione da tutelare e limitazione della sua diffusione; danno economico diretto legato al valore proprio delle informazioni e la possibilità di azioni legali quando l organizzazione è tenuta a garantire la privacy delle informazioni detenute; integrità: prevenzione da modifiche non autorizzate, conservazione del formato (integrità fisica) e del contenuto (integrità semantica) delle informazioni; possibilità di frode, stime e decisioni sbagliate; disponibilità: protezione da sovraccarichi e malfunzionamenti di rete, sistemi ed applicazioni, possibilità di accesso in tempo utile ad informazioni, servizi e risorse; perdita di produttività degli utenti e la riduzione degli introiti derivanti dall erogazione dei servizi medesimi.

8 ISMS: standard di riferimento per la PA La ISO riporta 133 controlli organizzati in 12 sezioni: 1: Risk Assessment 2: Security policy - management direction 3: Organization of information security - governance of information security 4: Asset management - inventory and classification of information assets 5: Human resources security - security aspects for employees joining, moving and leaving an organization 6: Physical and environmental security - protection of the computer facilities 7: Communications and operations management - management of technical security controls in systems and networks 8: Access control - restriction of access rights to networks, systems, applications, functions and data 9: Information systems acquisition, development and maintenance - building security into applications 10: Information security incident management - anticipating and responding appropriately to information security breaches 11: Business continuity management - protecting, maintaining and recovering business-critical processes and systems 12: Compliance - ensuring conformance with standards, laws and regulations

9 ISMS: standard di riferimento per la PA Il FISMA (Federal Information Security Management Act) è il framework di gestione del NIST (National Institute for Standard and Technologies), di riferimento per le organizzazioni governative e federali USA. La serie SP 800 è il riferimento documentale del FISMA.

10 ISMS: standard di riferimento per la PA Il FISMA individua tre aree del security management. Security Area Management Security Operational Security Security Criteria Assignment of responsibilities Continuity of support Incident response capability Periodic review of security controls Personnel clearance and background investigations Risk assessment Security and technical training Separation of duties System authorization and reauthorization System or application security plan Control of air-borne contaminants (smoke, dust, chemicals) Controls to ensure the quality of the electrical power supply Data media access and disposal External data distribution and labeling Facility protection (e.g., computer room, data center, office) Humidity control Temperature control Workstations, laptops, and stand-alone personal computers Technical Security Communications (e.g., dial-in, system interconnection, routers) Cryptography Discretionary access control Identification and authentication Intrusion detection Object reuse System monitoring and audit

11 ISMS: standard di riferimento per la PA I controlli di sicurezza sono strutturati in classi e famiglie, dove le classi fanno riferimento alle tre aree del Security Management (Management, Operational, Technical) e le famiglie a gruppi di controlli omologhi per funzione di sicurezza. CLASS FAMILY IDENTIFIER IDENTIFIER Risk Analysis RA Management Planning PL System and Services Acquisition SA Certification, Accreditation, and Security Assessments CA Personnel Security PS Physical and Environmental Protection PE Contingency Planning CP Configuration Management CM Operational Maintenance MA System and Information Integrity SI Media Protection MP Incident Response IR Awareness and Training AT Identification and Authentication IA Technical Access Control AC Audit and Accountability AU System and Communications Protection SC

12 ISMS: standard di riferimento La certificazione dell ISMS nella PA Contesti a massima priorità (certificazione altamente raccomandata) Per ciò che concerne la criticità dei contesti appare prioritario citare quelli attinenti alla tutela dell incolumità fisica e della salute dei cittadini. Si tratta infatti di contesti per i quali, in settori diversi da quello relativo alle tecnologie ICT, lo Stato ha ritenuto non sufficienti le autocertificazioni o le certificazioni volontarie ed ha quindi introdotto l obbligo di verifiche di terza parte.. L importanza di eseguire certificazioni di sicurezza ICT nei contesti relativi alla tutela dell incolumità fisica e della salute dei cittadini risulta evidente una volta che si consideri il ruolo sempre più centrale che i sistemi ICT stanno assumendo in tali contesti. Un malfunzionamento, accidentale o provocato, di tali sistemi può infatti in molti casi produrre gravissimi danni alle persone, se non addirittura la perdita di numerose vite umane.. Altri contesti a priorità molto elevata dal punto di vista della certificazione di sicurezza sono quelli in cui il danno, pur essendo solo di tipo economico, può essere comunque molto rilevante sia per il cittadino sia per lo stato. (estratto dalla linee guida, CNIPA, marzo 2006)

13 Metodologia della Risk Analisys Il processo di analisi dei rischi associati all esercizio di un sistema info-telematico, si compone di sei fasi: - Analisi del contesto e valutazione degli asset - Identificazione delle minacce e degli attaccanti - Identificazione delle vulnerabilità - Determinazione della probabilità - Analisi dell impatto - Determinazione del rischio

14 Metodologia della Risk Analisys 1 - Analisi del contesto e valutazione degli asset La prima fase consiste nell acquisizione delle informazioni necessarie a delineare il contesto operativo da sottoporre a protezione. Tale attività (Information Gathering) ha come obiettivi la rilevazione degli asset da proteggere, le relazioni funzionali tra questi, l individuazione delle utenze, la caratterizzazione dei flussi gestionali ed organizzativi del sistema informativo in termini di accesso a risorse ed informazioni, policy di sicurezza e controlli messi in opera per la loro attuazione. Gli asset sensibili (target) sono classificati in base ai servizi erogati, alle informazioni custodite, alla loro rilevanza ai fini dell operatività aziendale. La classificazione di sicurezza dell asset è descritta in termini di perdita o degradazione di uno dei tre attributi di sicurezza associabili al trattamento dell informazione da parte di un sistema di elaborazione (riservatezza, integrità, disponibilità). Il valore dell asset riferito agli attributi di sicurezza può essere misurato quantitativamente (valore proprio delle informazioni, ad es. brevetti, perdita di introiti in relazione al tempo di fermo del sistema), oppure considerando una scala di valori quali-quantitativa (perdita di immagine, pregiudizio su future attività). In termini generali, possiamo fare riferimento ad una classificazione quali-quantitativa del tipo riportato nella seguente tabella, dove il valore dell asset viene correlato all impatto che la perdita di uno dei suoi attributi di sicurezza produce sull operatività aziendale.

15 Metodologia della Risk Analisys Livello dell impatto Alto Moderato Basso Definizione dell impatto La perdita di riservatezza, integrità o disponibilità comporta un effetto avverso distruttivo sull operatività, i beni, e sulle persone associati all attività aziendale. L esercizio della vulnerabilità può comportare la distruzione di beni con una perdita di valore economico molto elevato, oppure essere di sostanziale impedimento al compimento della missione aziendale, oppure essere causa di gravi pericoli per la vita e l integrità fisica di persone. La perdita di riservatezza, integrità o disponibilità comporta un rilevante effetto avverso sull operatività, i beni, e sulle persone associati all attività aziendale. L esercizio della vulnerabilità può risultare in una perdita economica, oppure costituire un ostacolo al compimento della missione aziendale, oppure essere causa di pericolo per l integrità fisica di persone. La perdita di riservatezza, integrità o disponibilità comporta un limitato effetto avverso sull operatività, i beni, e sulle persone associati all attività aziendale. L esercizio della vulnerabilità può risultare in una perdita economica limitata, oppure costituire una limitazione marginale al compimento della missione aziendale. Ogni asset informativo o tecnologico viene classificato attribuendo una terna di valori in relazione alle specifiche funzioni ed informazioni trattate: SC asset = [(riservatezza, BASSO), (integrità, BASSO), (disponibilità, ALTO)]

16 Metodologia della Risk Analisys 2- Identificazione delle minacce e degli attaccanti La seconda fase consiste nell individuazione delle potenziali minacce (threat) cui i target possono essere sottoposti in relazione agli aspetti di riservatezza, integrità e disponibilità, e degli attaccanti (threat-source) che possono esercitare una minaccia ed operare una violazione delle policy di sicurezza. Gli attaccanti possono essere umani o ambientali e possono - consapevolmente o inconsapevolmente nel caso di attaccante umano - attuare un attacco utilizzando una o più vulnerabilità del target, dove per vulnerabilità si intende una debolezza del sistema che può essere sfruttata accidentalmente o intenzionalmente (baco del software, rete di telecomunicazione non ridondata, assenza di gruppi di continuità elettrica, presenza di condutture idriche nei locali ospitanti i sistemi, ecc.). E da evidenziare che la vulnerabilità è il tramite tra attaccante ed esercizio della minaccia, ovvero ove non esistano vulnerabilità sfruttabili da un attaccante questi non può esercitare alcuna minaccia. La caratterizzazione della minaccia deve riportare il suo potenziale impatto in termini di riservatezza, integrità e disponibilità su informazioni o sistemi interessati: Attributi Sicurezza Evento Riservatezza Integrità Disponibilità EA-001 X X TK-034 X

17 Metodologia della Risk Analisys 3- Identificazione delle vulnerabilità L individuazione delle vulnerabilità di un asset particolare è la terza fase dell analisi. Una vulnerabilità si può definire come una particolare condizione tecnica o organizzativa che consente ad un attaccante di esercitare una minaccia ed operare una violazione delle policy di sicurezza in relazione agli aspetti di riservatezza, integrità e disponibilità. Attaccante Vulnerabilità Minaccia Impiegato licenziato Hacker, cracker, criminali Fuoco, personale negligente Account di sistema di un impiegato licenziato non rimosso. Vulnerabilità del software Sistema di spegnimento degli incendi ad acqua nei locali ospitanti i sistemi Accesso via connessione dial-up alla rete aziendale, accesso non autorizzato ad informazioni aziendali Accesso non autorizzato, site defacement, furto di informazioni. Danneggiamento dei sistemi La caratterizzazione della vulnerabilità deve riportare i sistemi affetti e il suo potenziale impatto in termini di riservatezza, integrità e disponibilità delle informazioni trattate, ovvero deve esplicitare se ed in quale misura un attaccante può utilizzare la vulnerabilità per esercitare una minaccia che comporti la compromissione dei tre attributi di sicurezza. I metodi per rilevare le vulnerabilità di sistemi ICT si possono classificare in tre categorie che coprono gli aspetti tecnici ed organizzativi di un sistema informativo: Security Test and Evaluation (ST&E) Vulnerability scanning tool Penetration test

18 Metodologia della Risk Analisys 4- Determinazione della probabilità Nella quarta fase si determina le probabilità che una minaccia possa essere esercitata per il tramite di una vulnerabilità. I fattori qualificanti di questa valutazione sono: motivazioni e capacità dell attaccante; natura della vulnerabilità; esistenza ed efficacia dei controlli. Per la grande maggioranza dei sistemi, la valutazione della probabilità che una minaccia possa essere esercitata rientra in una scala quali-quantitativa costituita da tre livelli opportunamente motivati. L esperienza insegna che l adozione di metriche più sofisticate apporta all analisi un contributo marginale, anche in relazione alla difficoltà di quantificare con precisione ed oggettività tutte le componenti che concorrono alla definizione della probabilità. Livello Probabilità Alto Medio Basso Motivazione L attaccante è fortemente motivato e sufficientemente capace, oppure i controlli preposti sono inefficaci. L attaccante è sufficientemente motivato e capace, i controlli preposti sono sufficientemente efficaci. L attaccante non è particolarmente motivato o capace, oppure i controlli preposti eliminano la possibilità che la vulnerabilità possa essere sfruttata.

19 Metodologia della Risk Analisys 5- Analisi dell impatto La quinta fase consiste nella valutazione delle possibili conseguenze di una minaccia che viene esercitata su un asset tramite una vulnerabilità. L analisi dell impatto parte dalla classificazione degli asset informativi e strumentali in relazione ai tre attributi di sicurezza: riservatezza, integrità, disponibilità. La classificazione viene effettuata nella fase di Identificazione e valutazione degli asset informativi. A titolo di esempio, consideriamo un asset classificato come segue: SC asset = [(riservatezza, BASSO), (integrità, BASSO), (disponibilità, ALTO)] Considerando una specifica minaccia riferita all asset, si valutano gli attributi di sicurezza interessati dalla minaccia: Attributi Sicurezza Minaccia Riservatezza Integrità Disponibilità I-001 X X I-002 X L indice sintetico di impatto riferito all esercizio della minaccia sull asset, sarà quindi il valore più alto tra quelli interessati nella terna SC (high water mark): IM(I-001) asset = ALTO Questo indice, insieme alla probabilità che la minaccia venga esercitata, produce il livello di rischio associato alla minaccia per un particolare asset.

20 Metodologia della Risk Analisys 6- Determinazione del rischio Nel sesto passaggio si valuta il rischio di una particolare coppia minaccia/vulnerabilità, che può essere espresso come funzione di due valutazioni: probabilità che una data vulnerabilità sia esercitata con successo da un attaccante; magnitudine dell impatto di una minaccia esercitata con successo sfruttando una data vulnerabilità. Nella probabilità che una vulnerabilità sia esercitata con successo da un attaccante, è inclusa la valutazione dei controlli che hanno come scopo la limitazione della vulnerabilità medesima. Il livello del rischio associato all esercizio di una vulnerabilità può essere espresso come prodotto dei valori di probabilità ed impatto, come riportato nella tabella che segue. (Scala del rischio: alto , medio 10-50, basso 1 10) Impatto Probabilità Basso (10) Medio (50) Alto (100) Alto (1.0) Basso = 10 Medio = 50 Alto = 100 Medio (0.5) Basso = 5 Medio = 25 Alto = 50 Basso (0.1) Basso = 1 Basso = 5 Basso = 10

21 Metodologia della Risk Analisys L interpretazione del rischio deve avere sempre come riferimento la missione aziendale e i processi che ne determinano il compimento, pertanto i livelli di rischio devono riflettere nella loro qualificazione questo fondamentale assunto. Livello del rischio Alto Azioni necessarie Questo rischio comporta un grave pregiudizio per i processi aziendali vitali, il sistema può continuare ad operare ma bisogna attuare le misure correttive nel minor tempo possibile Medio Questo rischio comporta la possibilità di seri danni all operatività aziendale, senza compromettere la continuità del business. Il sistema può continuare ad operare ma è opportuno attuare le necessarie misure correttive entro un tempo ragionevole. Basso Questo rischio comporta conseguenze marginali, si può porre rimedio con misure correttive o decidere di accettare il rischio. La caratterizzazione del rischio e del suo impatto potenziale sull operatività aziendale, comporta come passaggio successivo l evitazione, l accettazione del rischio, il suo trasferimento (assicurazione, outsourcing), oppure la sua mitigazione.

L'analisi di sicurezza delle applicazioni web: come realizzare un processo nella PA. The OWASP Foundation. Stefano Di Paola. CTO Minded Security

L'analisi di sicurezza delle applicazioni web: come realizzare un processo nella PA. The OWASP Foundation. Stefano Di Paola. CTO Minded Security L'analisi di sicurezza delle applicazioni web: come realizzare un processo nella PA Stefano Di Paola CTO Minded Security OWASP Day per la PA Roma 5, Novembre 2009 Copyright 2009 - The OWASP Foundation

Dettagli

AEO e sicurezza dei sistemi informativi. Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008

AEO e sicurezza dei sistemi informativi. Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008 AEO e sicurezza dei sistemi informativi Luca Boselli, Senior Manager, KPMG Advisory S.p.A. Milano, 26 giugno 2008 Agenda La sicurezza delle informazioni: introduzione e scenario di riferimento La sicurezza

Dettagli

La norma ISO/IEC 27018: protezione dei dati personali nei servizi Public Cloud

La norma ISO/IEC 27018: protezione dei dati personali nei servizi Public Cloud La norma ISO/IEC 27018: protezione dei dati personali nei servizi Public Cloud Mariangela Fagnani ICT Security & Governance Senior Advisor Sernet SpA Sessione di Studio AIEA 19 Giugno 2015 Sernet e l offerta

Dettagli

Cosa si intende per Sicurezza delle Informazioni? Quali sono gli obiettivi di un processo per la Sicurezza delle Informazioni?

Cosa si intende per Sicurezza delle Informazioni? Quali sono gli obiettivi di un processo per la Sicurezza delle Informazioni? Cosa si può fare? LA SICUREZZA DELLE INFORMAZIONI Cosa si intende per Sicurezza delle Informazioni? La Sicurezza delle Informazioni nell impresa di oggi è il raggiungimento di una condizione dove i rischi

Dettagli

Qualification Program in Information Security Management according to ISO/IEC 27002. Cesare Gallotti Milano, 23 gennaio 2009

Qualification Program in Information Security Management according to ISO/IEC 27002. Cesare Gallotti Milano, 23 gennaio 2009 Qualification Program in Information Security Management according to ISO/IEC 27002 Cesare Gallotti Milano, 23 gennaio 2009 1 Agenda Presentazione Le norme della serie ISO/IEC 27000 La sicurezza delle

Dettagli

Skills 4 security: antani? «Le dico solo tre parole... Chief Security Officer»

Skills 4 security: antani? «Le dico solo tre parole... Chief Security Officer» Skills 4 security: antani? «Le dico solo tre parole... Chief Security Officer» La security: esperienza vs conoscenza didattica Cosa può capitare avendone solo una delle due? Esperienza pregressa Conoscenza

Dettagli

Valutazione e gestione del rischio - A cura del Dottor Antonio Guzzo, Responsabile CED

Valutazione e gestione del rischio - A cura del Dottor Antonio Guzzo, Responsabile CED Valutazione e gestione del rischio - A cura del Dottor Antonio Guzzo, Responsabile CED Quando parliamo di analisi dei rischi esaminiamo il cosiddetto concetto di information security risk management. Per

Dettagli

Product Management & Partnerships Industrial & SCADA Infrastructure Protection. Milano 30 Ottobre 2013

Product Management & Partnerships Industrial & SCADA Infrastructure Protection. Milano 30 Ottobre 2013 Product Management & Partnerships Industrial & SCADA Infrastructure Protection Milano 30 Ottobre 2013 VIDEO IL NUOVO PANORAMA Le minacce sono più complesse E con tante risorse da proteggere il personale

Dettagli

INFORMATION SECURITY MANAGEMENT SYSTEM - ISMS

INFORMATION SECURITY MANAGEMENT SYSTEM - ISMS INFORMATION SECURITY MANAGEMENT SYSTEM - ISMS GETSOLUTION Via Ippolito Rosellini 12 I 20124 Milano Tel: + 39 (0)2 39661701 Fax: + 39 (0)2 39661800 info@getsolution.it www.getsolution.it AGENDA Overview

Dettagli

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni Sistema di Gestione della Sicurezza delle Informazioni 2015 Summary Chi siamo Il modello operativo di Quality Solutions Introduzione alla ISO 27001 La metodologia Quality Solutions Focus on: «L analisi

Dettagli

Progettazione di un efficace Sistema di Gestione per la Sicurezza delle Informazioni (utilizzando il framework dello standard ISO27001)

Progettazione di un efficace Sistema di Gestione per la Sicurezza delle Informazioni (utilizzando il framework dello standard ISO27001) Progettazione di un efficace Sistema di Gestione per la Sicurezza delle Informazioni (utilizzando il framework dello standard ISO27001) Indice Il Processo di Security Governance l analisi e gestione del

Dettagli

Il Sistema di Governo della Sicurezza delle Informazioni di SIA

Il Sistema di Governo della Sicurezza delle Informazioni di SIA Company Management System Il Sistema di Governo della Sicurezza delle Informazioni di SIA Scopo del documento: Redatto da: Verificato da: Approvato da: Codice documento: Classificazione: Dominio di applicazione:

Dettagli

ISO 27001:2005 ISMS Rischi ed Opportunità Nell approccio certificativo. INFOSECURITY - Verona - 2006 05 09 1

ISO 27001:2005 ISMS Rischi ed Opportunità Nell approccio certificativo. INFOSECURITY - Verona - 2006 05 09 1 ISO 27001:2005 ISMS Rischi ed Opportunità Nell approccio certificativo INFOSECURITY - Verona - 2006 05 09 1 INFOSECURITY - Verona - 2006 05 09 2 Fornitori Istituzioni Clienti Sicurezza delle Informazioni

Dettagli

Francesco Scribano GTS Business Continuity and Resiliency services Leader

Francesco Scribano GTS Business Continuity and Resiliency services Leader Francesco Scribano GTS Business Continuity and Resiliency services Leader Certificazione ISO 27001: l'esperienza IBM Certificazione ISO 27001: l'esperienza IBM Il caso di IBM BCRS Perchè certificarsi Il

Dettagli

Gli standard e la certificazione di sicurezza ICT

Gli standard e la certificazione di sicurezza ICT Gli standard e la certificazione di sicurezza ICT Ing. Gianfranco Pontevolpe Responsabile Ufficio Tecnologie per la sicurezza Centro Nazionale per l Informatica nella Pubblica Amministrazione Definizione

Dettagli

The approach to the application security in the cloud space

The approach to the application security in the cloud space Service Line The approach to the application security in the cloud space Manuel Allara CISSP CSSLP Roma 28 Ottobre 2010 Copyright 2010 Accenture All Rights Reserved. Accenture, its logo, and High Performance

Dettagli

Tanta fatica solo per un bollino ne vale davvero la pena?

Tanta fatica solo per un bollino ne vale davvero la pena? Tanta fatica solo per un bollino ne vale davvero la pena? Relatori: Paolo SFERLAZZA Alberto PERRONE Relatori Paolo Sferlazza Security Advisor CISA,LA27001,LA22301,OPST, COBIT 5, ITIL,LA9001,ISFS, ITSM,ISMA

Dettagli

La condensazione della nuvola

La condensazione della nuvola La condensazione della nuvola BS ISO/IEC 27001: 2005 e cloud computing Come si trattano i gas? Rendendoli liquidi Comprimendoli e inserendoli in contenitori CONDENSANDOLI allora possono essere trattati,

Dettagli

Il Sistema di Gestione per la Security: i controlli previsti dal D. Lgs 196/03 e quelli basati sulla BS 7799-2:2002 in logica di Loss Prevention

Il Sistema di Gestione per la Security: i controlli previsti dal D. Lgs 196/03 e quelli basati sulla BS 7799-2:2002 in logica di Loss Prevention Il Sistema di Gestione per la Security: i controlli previsti dal D. Lgs 196/03 e quelli basati sulla BS 7799-2:2002 in logica di Loss Prevention Raoul Savastano Responsabile Security Services Kpmg Information

Dettagli

Company profile 2014

Company profile 2014 Company profile 2014 Chi siamo Digimetrica è una società specializzata in: Sicurezza informatica Networking e gestione di infrastrutture informatiche Outsourcing di soluzioni internet e cloud computing

Dettagli

Sicurezza ICT e continuità del Business. Igea Marina Rimini - 5 luglio 2013

Sicurezza ICT e continuità del Business. Igea Marina Rimini - 5 luglio 2013 Sicurezza ICT e continuità del Business Igea Marina Rimini - 5 luglio 2013 Indice L approccio alla Sicurezza ICT La rilevazione della situazione L analisi del rischio Cenni agli Standard di riferimento

Dettagli

Elementi di Sicurezza e Privatezza

Elementi di Sicurezza e Privatezza Elementi di Sicurezza e Privatezza Proteggere dati e sistemi: aspetti organizzativi Lez. 15-16 1 I documenti di riferimento 2 Le politiche di sicurezza Per poter mettere in sicurezza il sistema informatico

Dettagli

Dalle BS 7799-2:2002 e ISO 17799:2005 alle ISO 17799:2005 e 27001:2005

Dalle BS 7799-2:2002 e ISO 17799:2005 alle ISO 17799:2005 e 27001:2005 Dalle BS 7799-2:2002 e ISO 17799:2005 alle ISO 17799:2005 e 27001:2005 Evoluzione delle normative di riferimento della Information Security ed analisi delle principali novità introdotte di Cesare Gallotti

Dettagli

Sicurezza e Internet 02

Sicurezza e Internet 02 Sicurezza e Internet 02 La Sicurezza Gli argomenti inerenti la sicurezza sono generalmente raggruppabili all interno delle seguenti aree: 1. Sicurezza Fisica 2. Sicurezza Logica 3. Sicurezza Organizzativa

Dettagli

POLICY GENERALE PER LA SICUREZZA DELLE INFORMAZIONI REV: 03

POLICY GENERALE PER LA SICUREZZA DELLE INFORMAZIONI REV: 03 POLICY GENERALE PER LA SICUREZZA DELLE INFORMAZIONI REV: 03 FIRMA: RIS DATA DI EMISSIONE: 13/3/2015 INDICE INDICE...2 CHANGELOG...3 RIFERIMENTI...3 SCOPO E OBIETTIVI...4 CAMPO DI APPLICAZIONE...4 POLICY...5

Dettagli

Audit & Sicurezza Informatica. Linee di servizio

Audit & Sicurezza Informatica. Linee di servizio Audit & Sicurezza Informatica Linee di servizio Application Control Consulting Molte organizzazioni hanno implementato applicazioni client/server integrate, come SAP e Oracle Queste applicazioni aumentano

Dettagli

Elsag Datamat. Soluzioni di Cyber Security

Elsag Datamat. Soluzioni di Cyber Security Elsag Datamat Soluzioni di Cyber Security CYBER SECURITY Cyber Security - Lo scenario La minaccia di un attacco informatico catastrofico è reale. Il problema non è se ma piuttosto quando l attacco ci sarà.

Dettagli

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy.

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy. NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960 info@ncp-italy.com Introduzione Il penetration testing, conosciuto anche come ethical

Dettagli

Information technology e sicurezza aziendale. Como, 22 Novembre 2013

Information technology e sicurezza aziendale. Como, 22 Novembre 2013 Information technology e sicurezza aziendale Como, 22 Novembre 2013 Contenuti Reati informatici 231 Governo della Sicurezza Data Governance 1 D.Lgs 231/01 e gestione dei dati Le fattispecie di reato previste

Dettagli

La sicurezza secondo ITIL. Relazioni fra ITIL e la sicurezza Andrea Praitano Consigliere itsmf Italia

La sicurezza secondo ITIL. Relazioni fra ITIL e la sicurezza Andrea Praitano Consigliere itsmf Italia La sicurezza secondo ITIL Relazioni fra ITIL e la sicurezza Andrea Praitano Consigliere itsmf Italia Agenda itsmf Italia: cos è e che cosa fa; Cos è l IT Service Management; Introduzione a ITIL v3; Il

Dettagli

IL BS7799 ALCUNI CONCETTI FONDAMENTALI. Relatore: Ing. Marcello Mistre, CISA marcello.mistre@sistinf.it BS 7799. Sistemi Informativi S.p.A.

IL BS7799 ALCUNI CONCETTI FONDAMENTALI. Relatore: Ing. Marcello Mistre, CISA marcello.mistre@sistinf.it BS 7799. Sistemi Informativi S.p.A. IL BS7799 Relatore: Ing. Marcello Mistre, CISA marcello.mistre@sistinf.it Sistemi Informativi S.p.A. ALCUNI CONCETTI FONDAMENTALI Sistemi Informativi S.p.A. 2 ATTIVITA DELLA SECURITY STUDIO, SVILUPPO ED

Dettagli

Security & Compliance Governance

Security & Compliance Governance Consulenza, soluzioni e servizi per l ICT Security & Compliance Governance CASO DI STUDIO Copyright 2011 Lutech Spa Introduzione All interno della linea di offerta di Lutech il cliente può avvalersi del

Dettagli

Proteggere il proprio Business: Il governo della sicurezza dell Informazione nell organizzazione aziendale

Proteggere il proprio Business: Il governo della sicurezza dell Informazione nell organizzazione aziendale Proteggere il proprio Business: Il governo della sicurezza dell Informazione nell organizzazione aziendale Visionest S.p.A. Padova, 11 giugno 2002 David Bramini david.bramini@visionest.com > Agenda Proteggere

Dettagli

Le certificazioni ISC² : CISSP CSSLP SSCP

Le certificazioni ISC² : CISSP CSSLP SSCP Le certificazioni ISC² : CISSP CSSLP SSCP Chi è ISC² (ISC)² = International Information Systems Security Certification Consortium (ISC)²is the non-profit international leader dedicated to training, qualifying

Dettagli

Marco Salvato, KPMG. AIEA Verona 25.11.2005

Marco Salvato, KPMG. AIEA Verona 25.11.2005 Information Systems Governance e analisi dei rischi con ITIL e COBIT Marco Salvato, KPMG Sessione di studio AIEA, Verona 25 Novembre 2005 1 Information Systems Governance L'Information Systems Governance

Dettagli

LA BUSINESS UNIT SECURITY

LA BUSINESS UNIT SECURITY Security LA BUSINESS UNIT SECURITY FABARIS È UN AZIENDA LEADER NEL CAMPO DELL INNOVATION SECURITY TECHNOLOGY. ATTINGIAMO A RISORSE CON COMPETENZE SPECIALISTICHE E SUPPORTIAMO I NOSTRI CLIENTI AD IMPLEMENTARE

Dettagli

SU MISURA PER IL TUO TEAM, PRESSO IL TUO UFFICIO Training On-site

SU MISURA PER IL TUO TEAM, PRESSO IL TUO UFFICIO Training On-site SU MISURA PER IL TUO TEAM, PRESSO IL TUO UFFICIO Training On-site La Tecnologia evolve velocemente ed anche gli esperti IT più competenti hanno bisogno di una formazione costante per tenere il passo Come

Dettagli

Security Governance. Technet Security Day Milano/Roma 2007 NSEC Security Excellence Day Milano 2007. Feliciano Intini

Security Governance. Technet Security Day Milano/Roma 2007 NSEC Security Excellence Day Milano 2007. Feliciano Intini Technet Security Day Milano/Roma 2007 NSEC Security Excellence Day Milano 2007 Security Governance Chief Security Advisor Microsoft Italia feliciano.intini@microsoft.com http://blogs.technet.com/feliciano_intini

Dettagli

Company Management System Il Sistema di Governo della Sicurezza delle Informazioni di SIA-SSB

Company Management System Il Sistema di Governo della Sicurezza delle Informazioni di SIA-SSB Company Management System Il Sistema di Governo della Sicurezza delle Informazioni di SIA-SSB Codice documento: Classificazione: 1-CMS-2010-005-01 Società Progetto/Servizio Anno N. Doc Versione Pubblico

Dettagli

La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive

La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive Associazione Informatici Professionisti Osservatorio Privacy e Sicurezza delle Informazioni La Sicurezza Informatica come professione. Certificazioni, mondo del lavoro, prospettive Paolo Giardini AIP Privacy

Dettagli

IT Risk Management a 360

IT Risk Management a 360 IT Risk Management a 360 Politecnico di Torino Fabio Guasconi 26/05/ 1 Indice Risk Management, norme e metodologie internazionali Cenni all analisi quantitativa Tecniche e strumenti per la raccolta delle

Dettagli

IT Service Management, le best practice per la gestione dei servizi

IT Service Management, le best practice per la gestione dei servizi Il Framework ITIL e gli Standard di PMI : : possibili sinergie Milano, Venerdì, 11 Luglio 2008 IT Service Management, le best practice per la gestione dei servizi Maxime Sottini Slide 1 Agenda Introduzione

Dettagli

Un'efficace gestione del rischio per ottenere vantaggi competitivi

Un'efficace gestione del rischio per ottenere vantaggi competitivi Un'efficace gestione del rischio per ottenere vantaggi competitivi Luciano Veronese - RSA Technology Consultant Marco Casazza - RSA Technology Consultant 1 Obiettivi della presentazione Dimostrare come

Dettagli

V.I.S.A. VoiP Infrastructure Security Assessment

V.I.S.A. VoiP Infrastructure Security Assessment V.I.S.A. VoiP Infrastructure Security Assessment INTRODUZIONE Il penetration testing, conosciuto anche come ethical hacking, ha come obiettivo quello di simulare le tecniche di attacco adottate per compromettere

Dettagli

AUDIT DEI SISTEMI DI GESTIONE ISO/IEC 27001 E ISO/IEC 20000-1: PECULIARITÀ, APPROCCI POSSIBILI, INTEGRAZIONE, FORMAZIONE DEGLI AUDITOR

AUDIT DEI SISTEMI DI GESTIONE ISO/IEC 27001 E ISO/IEC 20000-1: PECULIARITÀ, APPROCCI POSSIBILI, INTEGRAZIONE, FORMAZIONE DEGLI AUDITOR Care Colleghe, Cari Colleghi, prosegue la nuova serie di Newsletter legati agli Schemi di Certificazione di AICQ SICEV. Questa volta la pillola formativa si riferisce agli Audit dei Sistemi di Gestione

Dettagli

Come rappresentare l azienda ai fini della gestione della sicurezza delle informazioni

Come rappresentare l azienda ai fini della gestione della sicurezza delle informazioni Come rappresentare l azienda ai fini della gestione della sicurezza delle informazioni (a cura di M Cecioni CISA - Securteam) 19 dicembre 2006 Pag. 1 INDICE DELLA PRESENTAZIONE : 1. L'esigenza 2. Perchè

Dettagli

Lo standard ISO/IEC 15408: le modalità applicative a tutela degli utilizzatori dei sistemi ICT e la complementarità con lo standard ISO/IEC 27001

Lo standard ISO/IEC 15408: le modalità applicative a tutela degli utilizzatori dei sistemi ICT e la complementarità con lo standard ISO/IEC 27001 Lo standard ISO/IEC 15408: le modalità applicative a tutela degli utilizzatori dei sistemi ICT e la complementarità con lo standard ISO/IEC 27001 Sessione di studio comune AIEA-ISCOM Roma, Ministero delle

Dettagli

nova systems roma Company Profile Business & Values

nova systems roma Company Profile Business & Values nova systems roma Company Profile Business & Values Indice 1. CHI SIAMO... 3 2. I SERVIZI... 3 3. PARTNERS... 3 4. REFERENZE... 4 4.1. Pubblica Amministrazione... 4 4.2. Settore bancario... 7 4.3. Servizi

Dettagli

LA CONTINUITA OPERATIVA Dott. Giovanni Rellini Lerz

LA CONTINUITA OPERATIVA Dott. Giovanni Rellini Lerz Il Nuovo Codice dell Amministrazione Digitale: opportunità per i cittadini, adempimenti per le amministrazioni Napoli, 28 aprile 2011 LA CONTINUITA OPERATIVA Dott. Giovanni Rellini Lerz Introduzione alla

Dettagli

INFORMATION SECURITY. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano I SERVIZI DI CONSULENZA. www.axxea.it info@axxea.it

INFORMATION SECURITY. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano I SERVIZI DI CONSULENZA. www.axxea.it info@axxea.it INFORMATION SECURITY I SERVIZI DI CONSULENZA. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano www.axxea.it info@axxea.it INDICE 1. SICUREZZA DELLE INFORMAZIONI... 3 1.1 ANALISI DELLO STATO DELL ARTE...

Dettagli

Usare il Cloud in sicurezza: spunti tecnici

Usare il Cloud in sicurezza: spunti tecnici Usare il Cloud in sicurezza: spunti tecnici Cesare Gallotti Milano, 24 gennaio 2012 Sotto licenza Creative Commons creativecommons.org/licenses/by-nc/2.5/it/ 1 Agenda Presentazione relatore Definizioni

Dettagli

Le nuove norme della famiglia 27000

Le nuove norme della famiglia 27000 Versione aggiornata ad ottobre 2013 Le nuove norme della famiglia 27000 e il lavoro degli enti normativi italiani Introduzione al ISO/IEC JTC1 SC27 Il sottocomitato 27 (SC27), da cui nascono tutte le norme

Dettagli

S o c i e t à s p e c i a l i z z a t a i n s e r v i z i d i c o n s u l e n z a e d i S y s t e m I n t e g r a t o r p e r P. A e P. M.

S o c i e t à s p e c i a l i z z a t a i n s e r v i z i d i c o n s u l e n z a e d i S y s t e m I n t e g r a t o r p e r P. A e P. M. S o c i e t à s p e c i a l i z z a t a i n s e r v i z i d i c o n s u l e n z a e d i S y s t e m I n t e g r a t o r p e r P. A e P. M. I C o n s u l e n z a S e t t o r e I T - C o n s u l e n z a

Dettagli

DIVISIONE INFORMATICA FORENSE E SICUREZZA

DIVISIONE INFORMATICA FORENSE E SICUREZZA DIVISIONE INFORMATICA FORENSE E SICUREZZA Divisione Informatica Forense e Sicurezza DIFS La Divisione Informatica Forense e Sicurezza (DIFS) dell'agenzia, avvalendosi di un team di esperti, offre servizi

Dettagli

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Seminario associazioni: Seminario a cura di itsmf Italia Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Andrea Praitano Agenda Struttura dei processi ITIL v3; Il Problem

Dettagli

Services Portfolio per gli Istituti Finanziari

Services Portfolio per gli Istituti Finanziari Services Portfolio per gli Istituti Finanziari Servizi di consulenza direzionale e sviluppo sulle tematiche di Security, Compliance e Business Continuity 2015 Summary Chi siamo Il modello operativo di

Dettagli

Presentazione dell iniziativa ROSI

Presentazione dell iniziativa ROSI Presentazione dell iniziativa ROSI Return on Security Investment Sessione di Studio AIEA, Lugano 19 gennaio 2011 Alessandro Vallega Oracle Italia http://rosi.clusit.it 1 Agenda Il gruppo di lavoro Il metodo

Dettagli

Il punto di vista della conformità e della certificazione volontaria

Il punto di vista della conformità e della certificazione volontaria SICUREZZA CONTINUITÀ OPERATIVA Il punto di vista della conformità e della certificazione volontaria ROMA - FORUM PA - 18 MAGGIO 2012 1 I Sistemi di Gestione e le norme ISO: un percorso virtuoso Da giovane

Dettagli

1. LE MINACCE ALLA SICUREZZA AZIENDALE 2. IL RISCHIO E LA SUA GESTIONE. Sommario

1. LE MINACCE ALLA SICUREZZA AZIENDALE 2. IL RISCHIO E LA SUA GESTIONE. Sommario 1. LE MINACCE ALLA SICUREZZA AZIENDALE 1.1 Introduzione... 19 1.2 Sviluppo tecnologico delle minacce... 19 1.2.1 Outsourcing e re-engineering... 23 1.3 Profili delle minacce... 23 1.3.1 Furto... 24 1.3.2

Dettagli

Sicurezza le competenze

Sicurezza le competenze Sicurezza le competenze Le oche selvatiche volano in formazione a V, lo fanno perché al battere delle loro ali l aria produce un movimento che aiuta l oca che sta dietro. Volando così, le oche selvatiche

Dettagli

La sicurezza dell informazione

La sicurezza dell informazione La sicurezza dell informazione come costruire il sistema di gestione per la sicurezza dell informazione Ing. Ioanis Tsiouras 1 (Rivista Qualità, Agosto 2000) 1 Introduzione L informazione, nel linguaggio

Dettagli

Un metodo di Risk Assessment semplice

Un metodo di Risk Assessment semplice Cesare Gallotti Roma, 3 marzo 2010 Il contenuto della presentazione è protetto dalla licenza Creative Commons Attribuzione Non Commerciale 2.5 Italia http://creativecommons.org/licenses/by-nc/2.5/it/ 1

Dettagli

Sottotitolo Sinergie tra standard e cenni alla ISO/IEC 27013

Sottotitolo Sinergie tra standard e cenni alla ISO/IEC 27013 Sottotitolo Sinergie tra standard e cenni alla ISO/IEC 27013 Autore Fabio Guasconi Lo standard ISO/IEC 27001 Sistema di Gestione per la Sicurezza delle Informazioni (SGSI o ISMS). Applicabile ad organizzazioni

Dettagli

CLUSIT. Commissione di studio Certificazioni di Sicurezza Informatica. Linea guida per l analisi di rischio. Codice doc.

CLUSIT. Commissione di studio Certificazioni di Sicurezza Informatica. Linea guida per l analisi di rischio. Codice doc. CLUSIT Commissione di studio Certificazioni di Sicurezza Informatica Linea guida per l analisi di rischio Codice doc.to: CS_CERT/SC1/T3 Stato: Draft 1 2 INDICE 1. Introduzione....4 2. Scopo della presente

Dettagli

XXVII Convegno Nazionale di IT Auditing, Security e Governance Innovazione e Regole: Alleati o Antagonisti?

XXVII Convegno Nazionale di IT Auditing, Security e Governance Innovazione e Regole: Alleati o Antagonisti? XXVII Convegno Nazionale di IT Auditing, Security e Governance Innovazione e Regole: Alleati o Antagonisti? L innovazione applicata ai controlli: il caso della cybersecurity Tommaso Stranieri Partner di

Dettagli

Indice Indice...3 Introduzione e riconoscimenti...11 1. La Governance della Sicurezza...13 Il panorama legislativo...17

Indice Indice...3 Introduzione e riconoscimenti...11 1. La Governance della Sicurezza...13 Il panorama legislativo...17 Indice...3 Introduzione e riconoscimenti...11 1. La Governance della Sicurezza...13 La società del rischio...13 Il concetto di sicurezza applicata alle aziende e alle organizzazioni...15 La sicurezza come

Dettagli

La Sicurezza dell Informazione nel Web Information System La metodologia WISS

La Sicurezza dell Informazione nel Web Information System La metodologia WISS 1 Introduzione La Sicurezza dell Informazione nel Web Information System La metodologia WISS Ioanis Tsiouras 1 (Rivista ZeroUno, in pubblicazione) I sistemi informativi con le applicazioni basate su Web

Dettagli

Certificazione Sistemi di Gestione della Sicurezza delle Informazioni. Norma ISO 27001

Certificazione Sistemi di Gestione della Sicurezza delle Informazioni. Norma ISO 27001 Certificazione Sistemi di Gestione della Sicurezza delle Informazioni Norma ISO 27001 Certificazione Sistemi di Gestione della Sicurezza Il CSQ, grazie alla vasta esperienza maturata nei maggiori contesti

Dettagli

La sicurezza delle informazioni vista da un security manager

La sicurezza delle informazioni vista da un security manager XXIII Convegno Nazionale di IT Auditing, Security e Governance La sicurezza delle informazioni vista da un security manager Silvano Bari CISM indice 1. Consapevolezza 2. Acquisizione di conoscenza 3. Sponsorizzazione

Dettagli

STS. Profilo della società

STS. Profilo della società STS Profilo della società STS, Your ICT Partner Con un solido background accademico, regolari confronti con il mondo della ricerca ed esperienza sia nel settore pubblico che privato, STS è da oltre 20

Dettagli

Security audit per le stampanti di rete. Danilo Massa

Security audit per le stampanti di rete. Danilo Massa Security audit per le stampanti di rete Danilo Massa Agenda Secure printing Standard di sicurezza Rischi Audit Domande e risposte Secure printing Le stampanti di rete sono in realtà dispositivi multifunzionali

Dettagli

PASSIONE PER L IT PROLAN. network solutions

PASSIONE PER L IT PROLAN. network solutions PASSIONE PER L IT PROLAN network solutions CHI SIAMO Aree di intervento PROFILO AZIENDALE Prolan Network Solutions nasce a Roma nel 2004 dall incontro di professionisti uniti da un valore comune: la passione

Dettagli

CEPAS srl Viale di Val Fiorita, 90-00144 Roma Tel. 065915373 - Fax: 065915374 E-mail: corsi@cepas.it Sito internet: www.cepas.eu

CEPAS srl Viale di Val Fiorita, 90-00144 Roma Tel. 065915373 - Fax: 065915374 E-mail: corsi@cepas.it Sito internet: www.cepas.eu Viale di Val Fiorita, 90-00144 Roma Tel. 065915373 - Fax: 065915374 E-mail: corsi@cepas.it Sito internet: www.cepas.eu Pag. 1 di 7 SCHEDA REQUISITI PER LA QUALIFICAZIONE DEL CORSO PER ISMS OR / RESPONSABILI

Dettagli

Per una migliore qualità della vita CERTIQUALITY. La certificazione strumento di Business Continuity: gli standard ISO 27001 e ISO 22301

Per una migliore qualità della vita CERTIQUALITY. La certificazione strumento di Business Continuity: gli standard ISO 27001 e ISO 22301 Per una migliore qualità della vita CERTIQUALITY La certificazione strumento di Business Continuity: gli standard ISO 27001 e ISO 22301 CHI SIAMO Certiquality è una società la cui attività è orientata

Dettagli

Agenda. La protezione della Banca. attraverso la convergenza della Sicurezza Fisica e Logica. innovazione per nuovi progetti

Agenda. La protezione della Banca. attraverso la convergenza della Sicurezza Fisica e Logica. innovazione per nuovi progetti La protezione della Banca attraverso la convergenza della Sicurezza Fisica e Logica Roma, 21-22 Maggio 2007 Mariangela Fagnani (mfagnani@it.ibm.com) ABI Banche e Sicurezza 2007 2007 Corporation Agenda

Dettagli

Qualifiche professionali per ITIL PRACTICES FOR SERVICE MANAGEMENT. Certificato ITIL Foundation in IT Service Management SYLLABUS

Qualifiche professionali per ITIL PRACTICES FOR SERVICE MANAGEMENT. Certificato ITIL Foundation in IT Service Management SYLLABUS Qualifiche professionali per ITIL PRACTICES FOR SERVICE MANAGEMENT Certificato ITIL Foundation in IT Service Management SYLLABUS Page 1 of 11 IL CERTIFICATO ITIL FOUNDATION IN IT SERVICE MANAGEMENT La

Dettagli

INFORMATION SECURITY MANAGEMENT SYSTEM

INFORMATION SECURITY MANAGEMENT SYSTEM INFORMATION SECURITY MANAGEMENT SYSTEM Gestione della sicurezza informatica in azienda Guida informativa per le PMI con il contributo della 1 Sommario Introduzione 5 Obiettivi 6 Continuità operativa del

Dettagli

CARTA DELLA SICUREZZA INFORMATICA

CARTA DELLA SICUREZZA INFORMATICA CARTA DELLA SICUREZZA INFORMATICA Premessa L Istituto Nazionale di Fisica Nucleare (INFN) è un ente pubblico nazionale di ricerca a carattere non strumentale con autonomia scientifica, organizzativa, finanziaria

Dettagli

ISACA VENICE MEETING 2014

ISACA VENICE MEETING 2014 Verso il GOVERNO dei SISTEMI INFORMATIVI ISACA VENICE MEETING 2014 Information & Data Classification, un approccio strutturato Giuseppe Blasi Andrea Gaglietto Padova, 29 maggio 2014 1 Agenda Il contesto

Dettagli

La Sicurezza Informatica nella Pubblica Amministrazione

La Sicurezza Informatica nella Pubblica Amministrazione Ernst & Young Technology and Security Risk Services per gli Organismi Pagatori Regionali Firenze, 12 giugno 2003 La Sicurezza Informatica nella Pubblica Amministrazione 1 La Sicurezza Informatica nella

Dettagli

(CAI) e ISO/IEC 17799: un metodo di verifica

(CAI) e ISO/IEC 17799: un metodo di verifica 1/50 Centrale d Allarme d Interbancaria (CAI) e ISO/IEC 17799: un metodo di verifica Roma, 25 novembre 2003 Agatino Grillo, CISA, CISSP EUROS Consulting 2/50 Sommario CAI - Centrale d Allarme Interbancaria

Dettagli

Vent anni di corsi a Bressanone. Il Protocollo Informatico e la Sicurezza Informatica. Dott. ssa Floretta Rolleri

Vent anni di corsi a Bressanone. Il Protocollo Informatico e la Sicurezza Informatica. Dott. ssa Floretta Rolleri Vent anni di corsi a Bressanone Il Protocollo Informatico e la Sicurezza Informatica XX Corso Dott. ssa Floretta Rolleri CNIPA Bressanone (Bz), 19-22 maggio 2009 Il Protocollo Informatico e la Sicurezza

Dettagli

Operational Risk vs Advanced IT RISK

Operational Risk vs Advanced IT RISK Operational Risk vs Advanced IT RISK Claudio Ruffini 24 Giugno 2015 L evoluzione normativa in tema di sicurezza informatica Disposizioni di vigilanza prudenziale di Banca d Italia in materia di sistema

Dettagli

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 OPERATIONAL OFFICES GENOVA MILANO ROMA TORINO NETWORK INTEGRATION and SOLUTIONS srl www.nispro.it Per

Dettagli

Certificazione ISO 20000:2005 e Integrazione con ISO 9001:2000 e ISO 27001:2005. Certification Europe Italia

Certificazione ISO 20000:2005 e Integrazione con ISO 9001:2000 e ISO 27001:2005. Certification Europe Italia Certificazione ISO 20000:2005 e Integrazione con ISO 9001:2000 e ISO 27001:2005 Certification Europe Italia 1 IT Service Management & ITIL Ä La IT Infrastructure Library (ITIL) definisce le best practice

Dettagli

Gestione Operativa e Supporto

Gestione Operativa e Supporto Università di Bergamo Facoltà di Ingegneria GESTIONE DEI SISTEMI ICT Paolo Salvaneschi A6_1 V1.0 Gestione Operativa e Supporto Il contenuto del documento è liberamente utilizzabile dagli studenti, per

Dettagli

Sistemi di gestione integrati Come la ISO/IEC 20000 può essere di supporto alla ISO/IEC 27001

Sistemi di gestione integrati Come la ISO/IEC 20000 può essere di supporto alla ISO/IEC 27001 Seminario associazioni: Seminario a cura di itsmf Italia Sistemi di gestione integrati Come la ISO/IEC 20000 può essere di supporto alla ISO/IEC 27001 Cesare Gallotti Milano, 14 marzo 2011 Agenda Presentazione

Dettagli

Information Security (ISO/IEC 27001) e IT Service Management (ISO/IEC 20000-1)

Information Security (ISO/IEC 27001) e IT Service Management (ISO/IEC 20000-1) Information Security (ISO/IEC 27001) e IT Service Management (ISO/IEC 20000-1) Analisi delle interdipendenze e delle opportunità di integrazione dei due standard secondo la ISO/IEC FDIS 27013 17/09/2012

Dettagli

Information technology (IT) Techniche per la sicurezza RACCOLTA DI PRASSI SUI CONTROLLI PER LA SICUREZZA DELLE INFORMAZIONI

Information technology (IT) Techniche per la sicurezza RACCOLTA DI PRASSI SUI CONTROLLI PER LA SICUREZZA DELLE INFORMAZIONI 1 Per conto di AICQ CN 1 Autore dr. Giovanni Mattana Presidente AICQ CentroNord PECULIARITÀ DELLA NORMA Scopo della presente scheda è quello di attirare l attenzione sull importanza di questa norma e sintetizzarne

Dettagli

LA GESTIONE DEI DATI E LA

LA GESTIONE DEI DATI E LA XX Convegno Annuale AIEA Verona 25 maggio 2006 LA GESTIONE DEI DATI E LA LORO AFFIDABILITÀ Antonio Tomassi Direttore Audit Gestore Sistema Elettrico GRTN S.p.A. Agenda Le priorità dell informatica nel

Dettagli

ERP Operational Security Evaluate, Build, Monitor

ERP Operational Security Evaluate, Build, Monitor ERP Operational Security Evaluate, Build, Monitor Pasquale Vinci Agenda La sicurezza negli ERP I cyber-criminali L area grigia: metodi e contromisure Approccio KPMG Italy Evaluate

Dettagli

ISO/IEC 27001 Versioni a confronto: 2005 vs 2013

ISO/IEC 27001 Versioni a confronto: 2005 vs 2013 ISO/IEC 27001 Versioni a confronto: 2005 vs 2013 Introduzione Il primo ottobre 2015 la normativa ISO/IEC 27001: 2005 verrà definitivamente sostituita dalla più recente versione del 2013: il periodo di

Dettagli

Organizzare la sicurezza, palo. Pierluigi D Ambrosio. p.dambrosio@businesssecurity.it. 2002-2014 Business Security 1

Organizzare la sicurezza, palo. Pierluigi D Ambrosio. p.dambrosio@businesssecurity.it. 2002-2014 Business Security 1 Organizzare la sicurezza, ovvero come legare il cane al palo Pierluigi D Ambrosio p.dambrosio@businesssecurity.it 2002-2014 Business Security 1 Problema: Possiedo un cane, un palo, della corda, della catena

Dettagli

DigitPA - P@norama sulle tecnologie innovative

DigitPA - P@norama sulle tecnologie innovative DigitPA - P@norama sulle tecnologie innovative La Sicurezza Applicativa Stato dell arte ed iniziative in corso in SOGEI RELATORE: Francesco GERBINO 17 gennaio 2011 Agenda Presentazione della Società La

Dettagli

Corso Base ITIL V3 2008

Corso Base ITIL V3 2008 Corso Base ITIL V3 2008 PROXYMA Contrà San Silvestro, 14 36100 Vicenza Tel. 0444 544522 Fax 0444 234400 Email: proxyma@proxyma.it L informazione come risorsa strategica Nelle aziende moderne l informazione

Dettagli

Il valore della cyber security per la sicurezza nazionale e la protezione delle infrastrutture energetiche

Il valore della cyber security per la sicurezza nazionale e la protezione delle infrastrutture energetiche Cyber Security Energia 2014 1 Conferenza Nazionale 3 Luglio 2014 Il valore della cyber security per la sicurezza nazionale e la protezione delle infrastrutture energetiche Finmeccanica Today HELICOPTERS

Dettagli

Security Risk Analysis

Security Risk Analysis Università degli Studi G. d Annunzio Chieti-Pescara Facoltà di Economia Corso di Laurea Specialistica in Economia Informatica Tesi di Laurea Security Risk Analysis Laureanda: Pamela Peretti Relatore: Prof.

Dettagli

Risk Management Richard Zoni Business Unit Manager ICT Security

Risk Management Richard Zoni Business Unit Manager ICT Security Risk Management Richard Zoni Business Unit Manager ICT Security ver 2.1 Agenda > Introduzione > Obiettivi e prospettive operative > Risk Analysis > Gap Analysis > Risk Management > Il prodotto: SkyboxView

Dettagli

SC D2 Information Technology and Telecommunication. General session e SC meeting 2012

SC D2 Information Technology and Telecommunication. General session e SC meeting 2012 Information Technology and CIGRE Comitato Nazionale Italiano Riunione del 29 Ottobre 2012 General session e SC meeting 2012 Chairman Carlos Samitier(ES) Segretario Maurizio Monti(FR) Membership 24 membri

Dettagli