centralizzazione allarmi a norma CEI-ABI: stato dell arte e accessibilità per banche di dimensioni medie e piccole relatore: Dr.

Transcript

1 Banca e Sicurezza ABI Roma 21/ centralizzazione allarmi a norma CEI-ABI: stato dell arte e accessibilità per banche di dimensioni medie e piccole relatore: Dr. Bruno Fazzini 1 CITEL srl Milano info@citel.it

2 Banca e Sicurezza ABI Roma 21/ Citel è specializzata nella progettazione e produzione di apparati e sistemi di sicurezza centralizzata a norma CEI 79/ (CEI-ABI) in architettura aperta multifornitore utilizzano la sistemistica di centralizzazione di Citel: 6 dei primi 10 gruppi bancari italiani Poste Italiane, la più grande infrastruttura di centralizzazione CEI-ABI, con oltre siti collegati in totale, circa siti bancari e postali sono centralizzati dal sistema Centrax di Citel; l 85% dei casi è di tipo multifornitore 2

3 CEI-ABI e dimensioni aziendali tra i primi 10 gruppi bancari 10 hanno almeno una banca con centralizzazione allarmi 8 hanno almeno una centralizzazione CEI-ABI tutti i nuovi progetti degli ultimi 10 anni sono basati sulle specifiche CEI-ABI tra tutti i successivi gruppi bancari circa 10 hanno un sistema di centralizzazione allarmi di cui circa la metà CEI-ABI i progetti più recenti sono CEI-ABI 3

4 bilancio e tendenze osservazioni sullo stato attuale: i grandi centralizzano sempre la gestione della sicurezza ovvero: chi può permetterselo centralizza la centralizzazione CEI-ABI è decisamente e definitivamente affermata (circa tra siti di banche e Poste in 20 anni di tempo) segnali di tendenza progetti in gestazione sotto i 200 sportelli dalla centralizzazione alla telegestione dagli allarmi security agli allarmi in genere 4

5 perché la centralizzazione allarmi la centralizzazione allarmi punta a garantire: che un allarme arrivi a chi lo deve trattare che chi lo tratta sia identificato che il trattamento sia conforme alla procedura che tutto il processo di trattamento sia tracciato e auditabile la centralizzazione allarmi è progettata per quella garanzia i teleallarmi puntano alla facilità di trasmissione verso un centro di terzi 5

6 i fattori di freno della diffusione nel passato la centralizzazione in genere è più complessa dei teleallarmi poiché richiede: interazione più stretta sistema centrale CA periferica (protocollo articolato, bidirezionalità, controlli di connessione e di integrità dei dati) comunicazioni più impegnative (uso della rete dati, ridondanze di vettore, cifratura) 1. la complessità tendeva a imporre il fornitore unico dell intero sistema, creando un vincolo indesiderato per le banche utilizzatrici 2. le esigenze più sofisticate di comunicazione richiedevano il consenso di altre strutture aziendali e/o alti costi di traffico 3. il costo di presidio di una sala allarmi interna era giustificato solo da un numero elevato di agenzie, 6 preferibilmente ad alto rischio

7 gli sviluppi virtuosi dei fattori di freno tutti i 3 fattori di freno si sono evoluti dagli anni 90 in senso positivo, talvolta diventando addirittura fattori di diffusione: 1. il concepimento della normativa CEI-ABI ( ) ed il progressivo ( ) recepimento 2. il networking accessibile e sostenibile ( ) 3. le soluzioni di virtualizzazione del CSC, per il concorso di networking agevole e di evoluzione tecnica dei sistemi di centralizzazione 7 si può parlare ora di 3 fattori di sostenibilità

8 8 il CEI-ABI: normalizzazione e apertura architetturale le situazioni di vincolo indesiderato al fornitore introdotte dalla centralizzazione, hanno creato le condizioni per l iniziativa ABI: di richiedere precise funzionalità e convenzioni normalizzate per i fornitori di CA e di sistemi di centralizzazione di affidare al CEI (costruttori) definizione e pubblicazione di una normativa con la normativa CEI-79/5-6-11(c.d. CEI-ABI), l ABI ha rimosso le situazioni di vincolo per le banche che hanno voluto adottarla, nel contempo la normalizzazione è diventata un fattore di sviluppo delle soluzioni sistemiche su reti dati

9 9 dal networking arduo le garanzie di servizio alla base della centralizzazione richiedono il controllo continuo della connessione e l eventuale ridondanza che, nel passato, si sono scontrate con telefonia pubblica ad alto costo: punto-punto telefoniche commutate ad alta frequenza di controllo di esistenza in vita condivisione ardua delle reti dati con architettura proprietaria (SNA) pregiudizi verso la condivisione di applicazioni non gestionali, non controllate

10 10 al networking sostenibile le opportunità nel presente: intranet aziendali TCP-IP costo nullo di traffico costo nullo di monitoraggio banda elevata e nuove possibilità applicative back-up su reti cellulari M2M costi ridotti o modulabili soluzione fisicamente complementare alla rete dati facile istituzione di VPN per connessioni sicure a basso costo verso fornitori di servizi esterni, anche remoti

11 dal presidio problematico del CSC (Centro di Supervisione e Controllo) un CSC interno H24, con personale della banca è alla portata di pochi per motivi economici, organizzativi, di politica del personale la soluzione era obbligata in passato, anche se con qualche correttivo o compromesso: personale della vigilanza negli orari disagiati impiego di personale altrimenti inutilizzabile 11

12 alla soluzione sostenibile del CSC con un sistema di gestione adeguato per funzioni e architettura il CSC è virtualizzabile pur rimanendo unitario e controllabile: risorse dislocate dove serve e conviene, all interno o all esterno protezioni logiche a garanzia delle policies di sicurezza delle informazioni, riservatezza e privacy spersonalizzazione della gestione tracciabilità del servizio coinvolgimento diretto per eccezione nelle situazioni critiche, anche in tempo reale agevole insourcing e passaggio ad altro fornitore di servizi 12

13 13 dall efficacia sostenibile all evoluzione per l efficienzal la diffusione della centralizzazione normalizzata sta favorendo l evoluzione dei progetti di impiego dell infrastruttura a scopi di efficienza e razionalizzazione: l interazione tra gestione allarmi e video sorveglianza la preferenza verso gli apparati telegestibili la gestione di allarmi tecnici e il controllo dell uso dell energia nelle agenzie integrazione con altri sottosistemi nei siti remoti l interazione con i sistemi di ticketing della manutenzione nelle agenzie tutti interventi tendenti alla riduzione della componente umana, interna ed esterna, nei processi di gestione delle sedi oltre che al doveroso sforzo per contenere i consumi di energia

14 l evoluzione in corso: il modello applicativo sposto le informazioni, non le persone, per non avere reperibili, per non inviare ispezioni decido a ragion veduta per attivare l intervento in modo mirato, senza perdita di credibilità per le FFOO secondo la procedura pertinente ottengo un reporting automatico di dettaglio, tracciabile, protetto, storicizzabile, non manipolabile in caso di guasto dell impianto e casi di allarme dubbio una videoronda gratuita sostituisce la ronda della vigilanza in definitiva riduco al minimo il tempo di prima reazione, risparmio sull intervento umano in periferia e sui costi connessi di servizio 14

15 il modello di sistema distribuito massimo applicazione di centralizzazione server farm della banca o CSC posti operatore funzioni di configurazione, gestione impianti, documentazione e grafica funzioni di monitoraggio del servizio, sinottico generale gestione reports statistiche, SLA funzioni di amministrazione, controllo, autorizzazioni CSC / una o più società di vigilanza nel territorio / legato all orario ufficio tecnico /sicurezza CSC / sicurezza responsabile sicurezza 15 funzioni di scatola nera, disaster recovery sito a rischio diverso / limitato

16 16 i progressi lenti e faticosi dei vertici della piramide hanno prodotto scorciatoie per le banche di dimensioni minori l affermazione definitiva del CEI-ABI è oggi rassicurante per la banca, e per i suoi decisori i progressi del networking hanno accelerato negli anni recenti tutti gli strumenti informatici di centralizzazione sono sempre più scalabili e a prezzi decrescenti l offerta di servizi esterni di vigilanza progredisce e cresce in statura, perdendo il timore reverenziale verso le soluzioni di tipo ICT il risultato è che la banca di dimensioni minori ha oggi condizioni di mercato per centralizzare con modalità concettualmente paragonabili al modello distribuito della grande banca e risultati equivalenti

17 il modello del sistema distribuito minimo applicazione di centralizzazione e gestione network funzioni di scatola nera, disaster recovery server farm del fornitore di servizi ICT della banca hosting del software di centralizzazione posti operatore società di vigilanza 17 funzioni di configurazione, gestione impianti, documentazione e grafica funzioni di monitoraggio del servizio, gestione reports statistiche,sla funzioni di amministrazione, controllo, autorizzazioni ufficio tecnico /sicurezza responsabile sicurezza software di gestione e configurazione eventualmente a bordo dei PC di ufficio degli addetti

18 resta aperta la questione del parco CA in agenzia non tutte le CA sono conformi CEI-ABI occorre un piano di normalizzazione per i casi di CA esistenti con protocollo proprietario: convertitore di protocollo proprietario-ceiabi rimpiazzo per CA obsolete gateway elementari per CA non centralizzabili occorre definire una politica di acquisto di CA dimostrabilmente conformi ceiabi e, per dispositivi che potrebbero essere integrati in una logica di sistema, la garanzia dell interoperabilità 18

19 un futuro di interoperabilità controllo accessi centralizzazione integrata impianti tecnici CA? flussi video sensori fumo interazione e comunicazioni temporizzazioni autorizzazioni 19 antintrusione

20 un futuro di interoperabilità in tutti i settori industriali e in quello (contiguo alla sicurezza) del Building Automation, i protocolli proprietari protetti non esistono del tutto il mondo dell elettronica di consumo, delle comunicazioni, dell ICT gira intorno agli standard multifornitore la sicurezza è l unico settore industriale in cui un fornitore può pensare di rifiutare al cliente un protocollo proprietario senza essere espulso dal mercato (salvo quello bancario) ma il CEI-ABI non basta, le esigenze di integrazione tra apparati in agenzia aumentano: serve che la banca sia libera di ottenere dai costruttori i protocolli di interazione di ogni dispositivo fornito 20

21 21 interoperabilità,, nuovi temi per ABI? la legge italiana/europea sul diritto d autore protegge l utente dall autore del software che ostacola il suo diritto all interoperabilità, permettendogli di ricostruire il protocollo negato più efficace e meno complesso il metodo di inserire a capitolato l obbligo del fornitore di fornire il protocollo insieme alla necessaria collaborazione tecnica per ottenere facilmente che dispositivi diversi in agenzia interagiscano localmente e siano controllabili dal sistema di centralizzazione: un grande utente CEI-ABI ha innovato in questo senso il capitolato chiave proprio quest anno qui a Roma una nuova fase si apre e si tratterà anche di adattare la terminologia: invece di centralizzazione allarmi la chiameremo telegestione dell infrastruttura o sistema informativo della sicurezza