La normativa e le iniziative internazionali in materia di sicurezza ICT

Transcript

1 La normativa e le iniziative internazionali in materia di sicurezza ICT Ing. Gianfranco Pontevolpe Responsabile Ufficio Tecnologie per la sicurezza Centro Nazionale per l Informatica nella Pubblica Amministrazione Agenda Generalità sulle iniziative internazionali in tema di sicurezza ICT Quadro della normativa europea Le risoluzioni sulla sicurezza L agenzia ENISA Le linee guida dell OCSE 1

2 Caratteristica delle iniziative internazionali Quasi tutte le iniziative si rivolgono, spesso in modo implicito, a INTERNET Alcune iniziative del settore privato mirano ad estendere all informatica le garanzie proprie dei sistemi tradizionali Il problema di Internet Internet: è governata da tanti gestori non ha posti di blocco assume sempre maggiore importanza nel settore industriale modifica i concetti tradizionali di tempo e spazio le norme del diritto internazionale spesso si dimostrano inefficaci 2

3 Possibili approcci per la sicurezza di Internet Due filosofie: lasciare Internet in uno stato anarchico ed aumentare la consapevolezza degli utenti azioni per migliorare la cultura della sicurezza introdurre strumenti tecnici e normativi per il governo di Internet norme per coloro che forniscono l accesso ad Internet (ISP) OCSE APEC G8 GAC Panoramica delle iniziative per Internet Linee guida per la sicurezza delle comunicazioni Gruppo di lavoro sul problema dello SPAM Mutuo riconoscimento dei sistemi di autenticazione nazionali Cooperazione tra le polizie Riforma di ICANN (Internet Corporation for Assigned Names and Numbers) WSIS Working Group on Internet Governance Unione Europea Varie risoluzioni indirizzate agli Stati Membri Norme su settori che usano Internet (firma elettronica, commercio elettronico, diritto d autore, ecc.) Creazione dell agenzia Enisa 3

4 Altre iniziative per la sicurezza Accordi internazionali che comprendono aspetti di sicurezza informatica ICAO - documento di viaggio elettronico Accordi relativi a settori specifici Settore finanziario - Basilea 2 Il quadro delle iniziative europee Attività normativa Risoluzioni Direttive Regolamenti Cooperazione con organismi internazionali per linee guida Cooperazione con il settore privato ed il mondo accademico Ricerca, promozione di standard, sviluppo di applicazioni prototipali 4

5 L attività normativa sulla sicurezza ICT Commissione Direzione Società dell informazione Consiglio Working party su telecomunicazioni e servizi della società dell informazione Parlamento europeo Commissioni parlamentari Finanziamenti: piano d azione eeurope W.P. telecomunicazione e servizi della società dell informazione Temi trattati Proposta di direttiva per il riutilizzo dei documenti pubblici esafe (Internet sicura) Cyber-security task force Sicurezza delle reti e delle informazioni Gestione di Internet la riforma di ICANN MODINIS (Monitoraggio del piano d azione eeurope) 5

6 La sicurezza ICT nella normativa europea Direttiva 1999/93/CE del Parlamento europeo e del Consiglio del 13 dicembre 1999 relativa ad un quadro comunitario per le firme elettroniche Direttiva 2002/77/CE della Commissione, del 16 settembre 2002 relativa alla concorrenza nei mercati delle reti e dei servizi di comunicazione elettronica Decisione n. 1151/2003/CE del parlamento europeo e del consiglio del 16 giugno 2003 che modifica la decisione n. 276/1999/CE che adotta un piano pluriennale d'azione comunitario per promuovere l'uso sicuro di Internet attraverso la lotta alle informazioni di contenuto illegale e nocivo diffuse attraverso le reti globali la sicurezza ICT nella normativa europea Direttiva 2003/98/CE del Parlamento Europeo e del Consiglio del 17 novembre 2003 relativa al riutilizzo dell'informazione del settore pubblico Regolamento (CE) N. 460/2004 del Parlamento Europeo e del Consiglio del 10 marzo 2004 che istituisce l'agenzia europea per la sicurezza delle reti e dell'informazione Regolamento (CE) N. 874/2004 della commissione del 28 aprile 2004 che stabilisce le disposizioni applicabili alla messa in opera e alle funzioni del dominio di primo livello.eu e i principi relativi alla registrazione Regolamento (CE) N. 2252/2004 del Consiglio del 13 dicembre 2004 relativo alle norme sulle caratteristiche di sicurezza e sugli elementi biometrici dei passaporti e dei documenti di viaggio rilasciati dagli Stati membri 6

7 La direttiva sul commercio elettronico (2000/31/CE) La direttiva disciplina la prestazione dei servizi della società dell informazione nel mercato interno europeo. Principi base: assenza di autorizzazione preventiva obbligo di informativa da parte del prestatore di servizi limiti di responsabilità per i fornitori dei servizi di trasporto, cashing ed hosting possibilità di risoluzione delle controversie per via telematica Non sono presenti norme specifiche sulla sicurezza, ma nel considerato si rimanda all'articolo 5 della direttiva 97/66/CE Gli Stati membri devono vietare qualsiasi forma di intercettazione o di sorveglianza non legalmente autorizzata da parte di chi non sia il mittente o il destinatario La direttiva è stata recepita dal Decreto legislativo 9 aprile 2003, n. 70 La convenzione di Budapest La Convenzione del Consiglio di Europa sulla Criminalità informatica (STE n. 185) è stata sottoscritta a Budapest il da 30 paesi, tra cui l'italia La Convenzione è stata poi ratificata da 5 Stati, per cui è divenuta esecutiva nel luglio dello scorso anno E prevista l introduzione di specifiche norme per contrastare la criminalità informatica (in Italia molte di esse sono state introdotte con la la legge , n.547) Uno dei temi più dibattuti riguarda la conservazione dei dati di traffico 7

8 Caratteristiche della normativa europea Attenzione allo sviluppo del mercato interno le regole di sicurezza non devono precludere la libertà di iniziative commerciali (assenza di autorizzazione preventiva) Gli Stati Membri possono vigilare sul rispetto dei principi di sicurezza Promozione dei codici di autoregolamentazione Ricorso all arbitrato per la risoluzione delle controversie Qualche incongruenza tra la normativa volta a garantire i diritti della personalità e quella per facilitare la lotta alla criminalità I lavori sulla costituzione della agenzia ENISA Iniziati a giugno 2002 Proposta iniziale della Commissione ritenuta insufficiente Discussioni su ruolo della task force e relazioni con altri organismi Organismo forte / organismo debole Proposta di trasformazione in agenzia per la sicurezza 8

9 L agenzia per la sicurezza (European Network and Information Security Agency) E il risultato della proposta iniziale per la Cybersecurity task force Costituita da circa 30 esperti (2 per ogni Stato membro) Budget di 24,3 M per 5 anni, incrementato di 9 M nel caso di ingresso di altri 10 stati in UE Avviata nel 2004 I lavori preparatori sono stati finanziati dal programma Modinis La struttura ed i compiti dell agenzia sono definiti dal regolamento (CE) N. 460/2004 (Non) compiti della nuova agenzia per la sicurezza L'assolvimento dei compiti dell'agenzia non dovrebbe interferire con le competenze né costituire pregiudizio, ostacolo o sovrapposizione alle pertinenti competenze e mansioni assegnate: alle autorità di regolamentazione nazionali agli enti di normalizzazione europei, agli enti di normalizzazione nazionali e al comitato permanente alle autorità di vigilanza degli Stati membri nel settore della protezione delle persone per quanto riguarda il trattamento dei dati personali e la libera circolazione di tali dati (premessa 12) è necessario che l'agenzia analizzi i rischi attuali ed emergenti e che a tale scopo essa abbia la possibilità di raccogliere le informazioni appropriate, in particolare tramite questionari, senza imporre nuovi obblighi al settore privato o agli Stati membri di produrre dati (premessa 13) gli obiettivi e i compiti dell'agenzia lasciano impregiudicate le competenze degli Stati membri per quanto riguarda la sicurezza delle reti e dell'informazione (articolo 1.3) 9

10 Compiti della nuova agenzia per la sicurezza Contribuire al buon funzionamento del mercato interno assistendo la Commissione e gli Stati Membri su problematiche di sicurezza ICT (art. 1.1, 1.2) sviluppando competenze di alto profilo (art. 2.3) fornendo, su richiesta, consulenza nei lavori preparatori delle norme sulla sicurezza ICT (art. 2.4) raccogliendo le informazioni appropriate per analizzare rischi attuali ed emergenti... (art. 3) favorendo la cooperazione in tema di sicurezza ICT tra Commissione, Stati Membri, settore privato e mondo accademico (art. 3) Il piano d azione i2010 High Level Group e-government e-identity e-procurement e-participation e-health e-inclusion e-accessibility ICT and aeging e-security 10

11 Per maggiori informazioni 11