Abstract: the most industrialized countries
|
|
- Renzo Morandi
- 5 anni fa
- Visualizzazioni
Transcript
1 Luisa Franchina, Marco Carbonelli, Laura Gratta Dipartimento della Protezione Civile Daniele Perucchini Fondazione Ugo Bordoni NOTE LA PROTEZIONE DELLE INFRASTRUTTURE CRITICHE: IL RUOLO DELLA CERTIFICAZIONE DI SICUREZZA (CRITICAL INFRASTRUCTURES PROTECTION: THE ROLE OF SECURITY CERTIFICATION) Sommario: i paesi maggiormente industrializzati sono dotati di sempre più estesi e sofisticati sistemi infrastrutturali, le cosiddette Infrastrutture Critiche Nazionali (CNI - Critical National Infrastructures). Appartengono a tali sistemi le infrastrutture pubbliche o private il cui corretto funzionamento è essenziale per l'operatività e la sicurezza dell'intera nazione. La presenza di queste infrastrutture consente di garantire l'efficacia operativa di molti servizi vitali per la società come la distribuzione dell'energia, i trasporti, le telecomunicazioni, la tutela della salute dei cittadini, la difesa nazionale e, in generale, tutta la pubblica amministrazione. Le CNI possono essere soggette a vari tipi di malfunzionamento, legati a problemi tecnologici o a disastri naturali o ad attacchi intenzionali. Una caratteristica tipica delle moderne CNI è quella di utilizzare in modo sempre più massiccio servizi vitali forniti dalle infrastrutture che gestiscono il trasferimento delle informazioni e la comunicazione, denominate Infrastrutture Informatiche Critiche (CII - Critical Information Infrastructures). Da questo punto di vista, le CII debbono garantire nel loro funzionamento la regolare operatività delle CNI, sia in condizioni di funzionamento normale, sia in condizioni di emergenza quando eventi critici mettono in repentaglio la fornitura dei servizi fondamentali di una nazione. In questo lavoro viene analizzato in dettaglio il ruolo che può giocare nel contesto delle Infrastrutture Critiche Nazionali la certificazione di sicurezza di sistema e di prodotto. Infatti, soprattutto l'adozione di sistemi ICT certificati può garantire l'efficacia e la correttezza delle misure di sicurezza implementate nelle CII. In particolare, il lavoro proposto discute le scelte strategiche più opportune al fine di ottenere il massimo beneficio dal processo di certificazione di sistemi ICT in termini di sicurezza. Abstract: the most industrialized countries are provided with more and more wide and sophisticated infrastructural systems, the socalled Critical National Infrastructures (CNI). Among these systems are public or private infrastructures whose correct operation is crucial for the functioning and security of the whole country. The presence of these infrastructures allows guaranteeing the effective operation of many services essential for the society, as power distribution, transportation, telecommunications, health care, national defence, and generally speaking, all public administration. CNIs can undergo various types of malfunctioning, due to technological problems or natural disasters or terrorist attacks. A peculiarity of modern CNIs is that they utilize more and more intensively services provided information technology infrastructures (Critical Information Infrastructures, CIIs). From this point of view, CIIs must guarantee the regular operation of CNIs, both during routine and emergency conditions, when critical events endanger the provision of fundamental services. In this paper the role of system/product security certification in the context of CNIs protection is analyzed. In fact, the use of certified ICT systems La Comunicazione - numero unico
2 NOTE Luisa Franchina, Marco Carbonelli, Laura Gratta, Daniele Perrucchini 1. Le Infrastrutture Critiche e la sicurezza Negli ultimi anni le CNI hanno sovente sperimentato, in aggiunta alle tradizionali minacce fisiche, anche minacce alle infrastrutture tecnologiche che trattano le informazioni. Questo fenomeno è certamente riconducibile sia alla diffusione straordinaria che i sistemi dell'information and Communication Technology (ICT) hanno vissuto nell'ultimo decennio per finalità di gestione e controllo anche nell'ambito delle Infrastrutture Critiche, sia al fatto che le CII sono potenzialmente l'obiettivo privilegiato di molti attacchi e crimini informatici soprattutto per la risonanza che tali attacchi possono ingenerare, anche grazie alla amplificazione dovuta ai mezzi di comunicazione di massa, tra i cittadini direttamente o indirettamente colpiti dal disservizio. Accanto a queste considerazioni va tenuto in debito conto il fatto che lo scenario architetturale delle CNI sta cambiando rapidamente e molto profondamente. Fino a una decina di anni fa, una caratteristica che accomunava tutte le infrastrutture critiche era la loro indipendenza reciproca: infatti, ciascuna infrastruttura critica di per sé rappresentava un sistema pressoché autosufficiente, gestito in modo verticale da un solo operatore o da un insieme di operatori omogenei. Questa caratteristica risultava molto positiva per gli ambiti della sicurezza e della disponibilità, proprio per la chiara possibilità di individuare i problemi in un unico contesto e di assicurare l'assenza di influenze reciproche tra le infrastrutture diverse. La necessità di ottimizzare le infrastrutture e ridurre i costi di gestione, associata all'evoluzione della tecnologia informatica e dei sistemi ICT, ha di fatto ribaltato questo originale paradigma di indipendenza e ha condotto ad una sempre maggiore interdipendenza delle infrastrutture che oggi condividono, attraverso le CII, il cosiddetto cyberspace, cioè uno spazio virtuale costituito da computer, sistemi di telecomunicazione, dati e applicazioni informatiche. In considerazione di questa trasformazione molti dei malfunzionamenti (accidentali o causati in modo doloso) di una infrastruttura CII possono compromettere il funzionamento delle altre, innescando un effetto domino, con disservizi che rapidamente si estendono su tutto il territorio fino agli utenti anche geograficamente molto distanti dal punto fisico in cui il malfunzionamento ha avuto origine. Il grave blackout che si è manifestato nella maggior parte dei territori della costa nord-est degli Stati Uniti nell'agosto è un esempio eclatante di come un banale malfunzionamento in alcuni moduli del sistema di controllo di una società che forniva servizi di distribuzione di energia, sommati con altri eventi accidentali, possa condurre alla pressoché completa paralisi di tutte le infrastrutture locali, provocando danni economici ingentissimi. L'esempio riportato conferma come l'interdipendenza delle Infrastrutture Critiche sia oggi grandemente evoluta e come questo aspetto, di per sé, costituisca un nuovo elemento di vulnerabilità: l'esistenza di questa interdipendenza attraverso i sistemi che costituiscono la CII impone quindi dei requisiti ancora più stringenti in termini di caratteristiche di sicurezza delle CII stesse. A questo punto dell'analisi la domanda che sorge spontanea è la seguente: quale politica debbono intraprendere le nazioni per rendere più affidabili e sicure le infrastrutture CII? Non è semplice rispondere a questa domanda perché gli aspetti che sono connessi con la sicurezza delle reti sono molti e spesso abbracciano ambiti completamente diversi. In questo lavoro si concentra l'attenzione sugli aspetti più propriamente connessi con la sicurezza dei sistemi e dei prodotti, cercando di fornire strumenti adeguati per poter incrementare l'affidabilità, l'idoneità e la robustezza delle funzioni di sicurezza utilizzate a fronte di obiettivi di sicurezza da raggiungere. Dopo una breve analisi delle esigenze di sicurezza peculiari delle CII (par.2), si introducono in modo dettagliato i concetti fondamentali che caratterizzano lo standard Common Criteria (par.3). Infine (par.4) vengono discusse le modalità più opportune di applicazione della certificazione di sicurezza Common Criteria al mondo delle infrastrutture critiche nazionali. 2. La gestione della sicurezza nelle CII 1 Il blackout dell'agosto 2003 negli USA [5] ha colpito parti del Nord-Est degli Stati Uniti e dell est del Canada il 14 agosto E stato il più grave blackout della storia del Nord- America. Si stima che abbia interessato 10 milioni di persone nella provincia canadese dell Ontario (circa un terzo della popolazione del Canada), e 40 milioni di persone in otto Stati degli USA (circa un settimo della popolazione USA). Le perdite finanziarie legate al blackout sono state stimate 108 La Comunicazione - numero unico
3 LA PROTEZIONE DELLE INFRASTRUTTURE CRITICHE: IL RUOLO DELLA CERTIFICAZIONE DI SICUREZZA (CRITICAL INFRASTRUCTURES PROTECTION: THE ROLE OF SECURITY CERTIFICATION) NOTE Dalle considerazioni finora svolte emergono alcuni aspetti peculiari delle CII, che dovrebbero guidare nella predisposizione di un sistema di gestione della sicurezza delle informazioni, e che possono essere così riassunti: - dal corretto funzionamento delle CII dipende ormai la possibilità di condurre gran parte delle attività quotidiane; - il ruolo fondamentale delle CII le rende particolarmente appetibili come bersaglio di possibili attacchi (terroristici e non); - le CII sono caratterizzate da una elevata complessità e interdipendenza; - l accesso alle CII non può essere controllato mediante misure di protezione puramente fisiche; - un attacco condotto ai danni di una CII potrebbe portare, indirettamente, a danni ingentissimi, anche in termini di vite umane. La messa a punto di un Sistema di Gestione della Sicurezza delle Informazioni (Information Security Management System, ISMS) è un tema da lungo dibattuto nella comunità di standardizzazione internazionale. Lo standard ISO 27001, che raccoglie i risultati di decenni di lavoro, costituisce il riferimento per establishing, implementing, operating, monitoring, reviewing, maintaining and improving an Information Security Management System. In base allo standard, la gestione di un sistema informativo si basa sulla comprensione dei requisiti e dei rischi, sull individuazione delle misure per gestire i rischi, sul continuo controllo e miglioramento del sistema stesso. La certificazione ISO può essere considerata una certificazione aziendale, analogamente alla ben nota certificazione ISO 9000, ma specializzata al campo della sicurezza ICT. Appare quindi come sia fondamentale, nella progettazione dell ISMS di una CII, prestare la dovuta attenzione alla gestione dei rischi. In primo luogo, come è previsto dallo standard ISO 27001, il processo di gestione del rischio prevede che vengano condotte l identificazione e l analisi dei rischi, ai fini di: 1. individuare i beni da proteggere 2. individuare le minacce informatiche che possono mettere a rischio i beni 3. individuare le possibili vulnerabilità che potrebbero essere sfruttate 4. valutare l'impatto nel caso in cui le minacce si concretizzino 5. stabilire se il rischio che deriva dall applicazione dei passi precedenti sia compatibile con le politiche dell'ente o dell'azienda. Non è scopo di questo lavoro approfondire i singoli aspetti dell analisi del rischio nelle CII; tuttavia, appare evidente come il particolare contesto in cui operano le CII renda critico il processo accennato sopra. A titolo di esempio, si consideri la seguente tabella esemplificativa dei possibili impatti per aziende ed amministrazioni pubbliche derivanti dalla riuscita di un attacco portato, ad esempio, alla integrità dei dati trattati da una CII. Una volta acquisiti gli elementi conoscitivi per il calcolo del rischio e la successiva gestione, nel caso in cui si identifichino aree di rischio di livello non accettabile è necessario procedere alla messa in campo di protezioni e contromisure di natura sia tecnica sia organizzativa per mitigare il rischio. Utilizzando i concetti e l'impostazione proposta dallo Standard ISO per i processi, una delle opzioni per trattare il rischio è quella di realizzare dei controlli sulle protezioni adottate, sia per l'ambito tecnico sia per quello organizzativo. Tali controlli dovranno essere selezionati tra quelli previsti dallo standard al fine di soddisfare i requisiti di sicurezza identificati in fase di analisi del rischio. Ovviamente, quanto maggiore è il numero e il rigore dei controlli implementati, tanto maggiore è il costo del sistema di gestione. Quindi, la selezione dei controlli deve essere svolta bilanciando le esigenze economiche con la necessità di ridurre il rischio ad un livello accettabile specialmente in ambiti particolarmente critici. Tra i controlli di natura tecnica, lo stesso standard ISO prevede che sistemi ICT dedicati al trattamento di informazioni critiche siano sottoposti a certificazione di sicurezza, e in particolare alla certificazione secondo lo standard Common Criteria. La presenza di tale certificazione, infatti, non solo fornisce al proprietario del sistema una importante garanzia sostanziale sull efficacia e la corretta implementazione delle misure di sicurezza ICT, ma permette di dimostrare, laddove richiesto ad esempio per adempiere ad obblighi di legge, di aver adottato tutte le misure utili a garantire la rispondenza dei dispositivi ai requisiti dati. Nel seguito sono fornite alcune informazioni La Comunicazione - numero unico
4 NOTE Luisa Franchina, Marco Carbonelli, Laura Gratta, Daniele Perrucchini Impatti fisici Impatti sulla capacità produttiva(aziende) Impatti sulla capacità di esercizio essenziali dell'attività amministrativa (PA) Impatti legali e sulla reputazione dell'azienda o dell'amministrazione perdita di vite umane, o danni alle persone incendi, esplosioni e rilascio di sostanze nocive nell'ambiente danni alle infrastrutture produttive perdita di fatturato perdita della customer base perdita della competitività commerciale perdita di credibilità rispetto alla capacità commerciale ed alla solvibilità finanziaria perdita della fiducia degli azionisti disagi alla cittadinanza nell'erogazione dei servizi conseguenze socio economiche della mancata o ridotta (in termini di quantità/qualità) azione amministrativa violazione a norme, leggi, regolamenti o impegni contrattuali precedentemente sottoscritti perdita dell'immagine acquisita nella società e negli stakeholder per le aziende perdita di credibilità del 'Sistema Paese' per le amministrazioni pubbliche Tab. 1 Esempi di impatto sulla sicurezza di un attacco ai dati di una CII utili a comprendere la filosofia in base alla quale operano i Common Criteria, e su come tali criteri possano essere efficacemente impiegati nel campo delle CII. 3. Valutazione e certificazione della sicurezza ICT L'espressione "certificazione della sicurezza" identifica la certificazione, fornita da una terza parte indipendente, qualificata e ufficialmente riconosciuta, della conformità di un sistema, prodotto, processo o servizio rispetto ai requisiti di sicurezza definiti da una standard o una norma di riferimento. Gli aspetti fondamentali che rendono utile ed efficace un processo di valutazione e certificazione della sicurezza sono l'efficacia provata degli standard di riferimento e le garanzie di terza parte che gli organismi di certificazione offrono agli utenti finali, gli sviluppatori di sistemi e prodotti, i committenti delle certificazioni. Nel caso specifico delle certificazioni di sicurezza, il primo aspetto si può considerare soddisfatto dal momento che vengono applicati standard internazionali, testati nel corso del tempo da soggetti indipendenti, e che sono definite modalità implementative che, da una parte, si sono dimostrate utili nell'aumentare il livello di sicurezza e, d'altra parte, consentono una efficace integrazione delle misure di sicurezza con i processi di produzione e utilizzo impiegati. Per quanto riguarda il secondo aspetto, una garanzia significativa sulla natura di terza parte del processo di certificazione può essere rappresentato dal fatto che gli organismi di certificazione sono ufficialmente incaricati di svolgere questo ruolo dai governi delle Nazioni in cui operano, e sono generalmente riconosciuti da organizzazioni internazionali indipendenti. Il processo di valutazione e certificazione della sicurezza deve quindi possedere le seguenti caratteristiche: la ripetibilità: la valutazione dello stesso oggetto effettuata in tempi diversi in relazione agli stessi requisiti di sicurezza e dallo stesso Valutatore deve portare agli stessi risultati; la riproducibilità: la valutazione dello stesso oggetto effettuata con gli stessi requisiti di sicurezza da un diverso Valutatore deve portare agli stessi risultati; l imparzialità: la valutazione deve essere condotta senza pregiudizi e, in particolare, deve essere possibile dimostrare che i valutatori coinvolti non abbiano interessi commerciali o finanziari dipendenti dall esito della valutazione stessa; l oggettività: le conclusioni del processo di 110 La Comunicazione - numero unico
5 LA PROTEZIONE DELLE INFRASTRUTTURE CRITICHE: IL RUOLO DELLA CERTIFICAZIONE DI SICUREZZA (CRITICAL INFRASTRUCTURES PROTECTION: THE ROLE OF SECURITY CERTIFICATION) NOTE valutazione devono essere motivate da evidenze sperimentali ogni qual volta sia realizzabile, in modo da limitare il più possibile opinioni e valutazioni soggettive. Attualmente i due standard di riferimento per la certificazione di sicurezza ICT sono lo standard ISO [1,2,3] (Common Criteria-CC) e lo standard ISO [4]. Questi standard mirano a certificare due cose ben distinte: nel caso dei Common Criteria, l'oggetto della valutazione (ODV) è un sistema o prodotto ICT 2 ; nel caso dello standard ISO viene certificato un processo impiegato in un'organizzazione, sia questa una società privata o una struttura pubblica, per gestire internamente la sicurezza ICT. Specificare l'oggetto della certificazione è un elemento fondamentale, poiché alcune caratteristiche dello standard ISO potrebbero indurre in errore gli utenti facendo credere che la certificazione ISO renda la certificazione ISO praticamente superflua. In realtà, tra i requisiti che una organizzazione deve soddisfare per ottenere una certificazione ISO alcuni costituiscono requisiti funzionali di sicurezza dei prodotti/sistemi ICT dell'organizzazione.tuttavia, ai fini della certificazione ISO 27001, è sufficiente verificare che i requisiti suddetti siano stati selezionati sulla base di un processo corretto di analisi e gestione del rischio, e che le corrispondenti funzionalità di sicurezza siano state implementate nelle infrastrutture ICT in base alle necessità. Ai fini della certificazione di sistema/prodotto Common Criteria, invece, è necessario verificare che le funzionalità implementate non abbiano difetti nella progettazione e realizzazione e siano in grado di resistere, fino ad una data soglia, ad un insieme di minacce definite nel loro ambiente operativo. 3.1 I Common Criteria Nel 1999 l'iso (International Standardization Organization) ha adottato una serie di criteri, noti come "Common Criteria", che consentono la valutazione e certificazione della sicurezza di prodotti 2 Un sistema ICT, secondo la terminologia utilizzata nei CC, è una installazione IT utilizzata per uno scopo definito in un ambiente operativo completamente definito. Un prodotto ICT, invece, è un dispositivo hardware o un pacchetto software destinato per un uso generico in un'ampia gamma di e sistemi ICT. Ciò ha dato luogo all'emissione dello standard ISO La versione dello standard attualmente utilizzata è la versione 2.3; la versione 3.0 è in corso di finalizzazione, e viene utilizzata come versione "trial" da alcuni organismi di certificazione. In Italia le certificazioni di sicurezza di sistema/prodotto sono state condotte fin dal 1995 nel campo della sicurezza nazionale, relativamente a sistemi che trattano dati classificati. Al fine di consentire la certificazione di sistemi e prodotto ICT nel settore commerciale secondo gli standard ITSEC e CC, nel 2004 [6] è stato istituito l'organismo di Certificazione della Sicurezza Informatica (OCSI) [7]. L'OCSI svolge il ruolo di Organismo di certificazione all'interno dello Schema Nazionale di Certificazione di prodotti/sistemi commerciali. Lo Schema Nazionale definisce le procedure e le regole nazionali per la valutazione e certificazione di prodotti e sistemi ICT, in conformità ai criteri europei ITSEC e ai Common Criteria. La filosofia che è alla base dei CC è stata ripresa dai precedenti criteri europei ITSEC (Information Technology Security Evaluation Criteria) che per primi l hanno introdotta. In base a tale filosofia non ha senso verificare se un sistema/prodotto è sicuro se non si specifica: sicuro per fare cosa (obiettivi di sicurezza) sicuro in quale contesto (ambiente di sicurezza) sicuro a fronte di quali verifiche (requisiti di assurance). Un obiettivo di sicurezza viene definito, secondo i CC, come l intenzione di contrastare una minaccia o quella di rispettare leggi, regolamenti o politiche di sicurezza preesistenti. Il conseguimento degli obiettivi avviene attraverso l adozione di misure di sicurezza tecniche (funzioni di sicurezza) e non tecniche (fisiche, procedurali e relative al personale). L ambiente di sicurezza viene descritto in termini di: uso ipotizzato del sistema/prodotto (applicazioni, utenti, informazioni trattate ed altri beni con specifica del relativo valore) ambiente di utilizzo (misure di sicurezza non tecniche, collegamento con altri apparati La Comunicazione - numero unico
6 NOTE Luisa Franchina, Marco Carbonelli, Laura Gratta, Daniele Perrucchini ICT) minacce da contrastare, specificando caratteristiche dell attaccante (conoscenze, risorse disponibili e motivazione), metodi di attacco (citando, tra l altro, lo sfruttamento di eventuali vulnerabilità note del sistema/prodotto ICT), beni colpiti politiche di sicurezza dell Organizzazione. Le verifiche previste durante il processo di valutazione mirano ad accertare che siano stati soddisfatti, da parte del sistema/prodotto, del suo sviluppatore e del valutatore, opportuni requisiti di assurance che diventano sempre più severi al crescere del livello di valutazione. I CC definiscono una scala di 7 livelli di valutazione (EAL1, EAL2,..., EAL7) o livelli di assurance, precisando, per ogni livello di tale scala uno specifico insieme di requisiti di assurance. Le verifiche, eseguite in base ai requisiti di assurance del livello di valutazione considerato, hanno lo scopo di fornire garanzie circa: l idoneità delle funzioni di sicurezza a soddisfare gli obiettivi di sicurezza del sistema/prodotto; l assenza di errori nel processo che dalle specifiche iniziali di sicurezza (ambiente e obiettivi di sicurezza) porta alla pratica realizzazione delle funzioni di sicurezza (errori di interpretazione delle specifiche tecniche, errori di programmazione, ecc); Nella tabella che segue sono brevemente riassunte le garanzie fornite dai sette livelli di assurance dei CC. La parte 3 dei Common Criteria [3] definisce un catalogo dei requisiti di assurance, ovvero delle azioni di valutazione che devono essere svolte dai valutatori ai diversi livelli di assurance. Al crescere del livello di assurance: vengono richieste specifiche realizzative più dettagliate (ad esempio progetto ad alto livello, progetto a basso livello, codice sorgente) il livello di rigore con il quale le specifiche devono essere descritte aumenta (descrizione informale, semiformale, formale) ai valutatori è richiesto di svolgere analisi più dettagliate e approfondite (test funzionali, prove di intrusione). La fig. 1 mostra, per ogni livello di assurance, il livello di rigore della descrizione delle specifiche (area in grigio) e le principali verifiche svolte nel corso della valutazione (area in bianco). Le funzioni di sicurezza del sistema/prodotto sono descritte sulla base dei requisiti che devono essere soddisfatti. Questi requisiti, chiamati requisiti funzionali, devono essere descritti (salvo eccezioni che devono comunque essere motivate) usando il catalogo di componenti contenuto nella parte 2 dei CC [2]. I requisiti funzionali descritti nella parte 2 dei CC sono organizzati in 11 classi:audit, Comunicazione, Supporto crittografico, Protezione dei dati di utente, Identificazione e autenticazione, Gestione della sicurezza, Privacy, Protezione delle funzioni di sicurezza dell'odv, Utilizzo delle risorse, Accesso all'odv, Canali fidati. Il catalogo di componenti funzionali fornito dai CC è di fondamentale importanza, poiché permette di confrontare diversi prodotti sulla base delle funzionalità di sicurezza che offrono; in effetti, l'utilizzo di un catalogo universale di funzioni di base crea un linguaggio comune per la descrizione delle misure di sicurezza. Le misure di sicurezza realizzate nell'odv sono descritte, in termini dei componenti funzionali suddetti, in un documento chiamato Security Target. Questo documento, che costituisce un riferimento nel corso di tutto il processo di valutazione, deve descrivere gli obiettivi di sicurezza, l'ambiente di sicurezza, i requisiti funzionali e di assurance (e quindi il livello di assurance della valutazione), e deve fornire una descrizione ad alto livello delle funzioni di sicurezza. Come emerge da questa introduzione sulle caratteristiche dei Common Criteria, l'impiego sistematico della certificazione di sicurezza secondo tali criteri può comportare molti vantaggi. I principali sono: la verifica, eseguita da una terza parte per la quale viene riconosciuto il possesso di conoscenze specialistiche, che le funzionalità di sicurezza del sistema/prodotto ICT, affiancate alle contromisure non tecniche previste, siano adeguate al soddisfacimento degli obiettivi di sicurezza lo svolgimento di un azione di contrasto preventivo degli incidenti di sicurezza ICT; 112 La Comunicazione - numero unico
7 LA PROTEZIONE DELLE INFRASTRUTTURE CRITICHE: IL RUOLO DELLA CERTIFICAZIONE DI SICUREZZA (CRITICAL INFRASTRUCTURES PROTECTION: THE ROLE OF SECURITY CERTIFICATION) NOTE EAL1 EAL2 EAL3 EAL4 EAL5 EAL6 EAL7 Adeguato quando sia richiesta una qualche garanzia sulla corretta funzionalità, ma le minacce alla sicurezza non siano considerate gravi. Utile nei casi in cui sia richiesta una garanzia di terza parte per supportare la tesi del fornitore che sia stata dedicata la cura dovuta riguardo alla protezione dei dati e delle informazioni. EAL1 fornisce una valutazione dell'odv così come reso disponibile al cliente, compresa un'attività di test indipendente svolta dai valutatori e un esame dei manuali d'uso. Questo livello di garanzia fornisce un aumento dell'assurance rispetto ad un prodotto/sistema ICT non valutato. Richiede una cooperazione da parte del fornitore dell'odv in termini di messa a disposizione di informazioni di progetto e risultati di test, ma non dovrebbe richiedere da parte del fornitore un effort maggiore rispetto a ciò che deriva dall'applicazione di buone pratiche di sviluppo. Di conseguenza, non dovrebbe comportare un investimento sensibile in termini di costi o tempi. EAL2 è quindi applicabile nelle circostanze in cui il fornitore o gli utenti richiedano una garanzia di sicurezza indipendente ad un livello basso-moderato, in assenza della disponibilità di tutta la documentazione di sviluppo. Questa situazione si può verificare in presenza di sistemi pre-esistenti, che richiedano tuttavia la garanzia di una certificazione di terza parte con una disponibilità limitata da parte del fornitore. Questo livello rappresenta un incremento della sicurezza rispetto ad EAL1, poiché richiede lo svolgimento di test specifici da parte del fornitore, una analisi di vulnerabilità, e un'attività di test indipendente sulla base di specifiche più dettagliate. Permette al fornitore di ottenere la massima garanzia a partire da un buon processo di ingegnerizzazione in fase progettuale, senza richiedere modifiche sostanziali delle esistenti pratiche di sviluppo. EAL3 è applicabile nei casi in cui il fornitore o gli utenti richiedano una garanzia di sicurezza indipendente ad un livello moderato, e richiedano una approfondita analisi dell'odv e del suo sviluppo senza una sostanziale reingegnerizzazione. Questo livello rappresenta un'incremento della sicurezza rispetto ad EAL2, poiché richiede un test più completo delle funzionalità di sicurezza, e alcune garanzie sul fatto che l'odv non possa essere stato manomesso in fase di sviluppo. Permette al fornitore di ottenere la massima garanzia a partire da un buon processo di ingegnerizzazione in fase progettuale. EAL4 è il più alto livello di garanzia al quale è verosimile che sia economicamente praticabile certificare una linea di prodotti preesistente. EAL4 è quindi applicabile nei casi in cui il fornitore o gli utenti richiedano una garanzia di sicurezza indipendente ad un livello moderato-alto, e siano disposti ad incorrere in costi aggiuntivi di ingegnerizzazione specifici per la sicurezza. Questo livello rappresenta un incremento della sicurezza rispetto ad EAL3, poiché richiede che il fornitore metta a disposizione dei valutatori una descrizione progettuale più completa, un sottoinsieme della rappresentazione dell'implementazione, e maggiori garanzie sul fatto che l'odv non possa essere stato manomesso in fase di sviluppo e consegna. Permette al fornitore di ottenere la massima garanzia a partire da un processo rigoroso di ingegnerizzazione in fase progettuale, supportato dall'applicazione di tecniche di ingegneria della sicurezza specialistiche. EAL5 è applicabile nei casi in cui il fornitore o gli utenti richiedano una garanzia di sicurezza indipendente ad un livello alto, pianificata a livello di sviluppo, e richiedano un'approccio di sviluppo molto rigoroso senza incorrere in costi irragionevoli. Questo livello rappresenta un'incremento della sicurezza rispetto ad EAL4, poiché richiede che il fornitore metta a disposizione dei valutatori una descrizione progettuale descritta in linguaggio semi-formale, l'intera rappresentazione dell'implementazione, un'architettura strutturata, un'analisi dei canali nascosti, e maggiori garanzie sul fatto che l'odv non possa essere stato manomesso in fase di sviluppo e consegna. Permette al fornitore di ottenere la massima garanzia a partire da un processo rigoroso di ingegnerizzazione in fase progettuale, supportato dall'applicazione tecniche di ingegneria della sicurezza specialistiche, al fine di produrre un ODV con elevate prestazioni di sicurezza per proteggere beni di elevato valore contro rischi significativi. EAL6 è applicabile allo sviluppo di ODV che devono essere impiegati in situazioni di alto rischio, in cui il valore dei beni da proteggere giustifica i costi aggiuntivi. Questo livello rappresenta un incremento della sicurezza rispetto ad EAL5, poiché richiede che il fornitore dimostri la realizzazione di un'architettura maggiormente strutturata, un'analisi sistematica dei canali nascosti, l'utilizzo di sistemi sofisticati di controllo della configurazione, e richiede che il valutatore svolga un'analisi di vulnerabilità e prove di intrusione più rigorose. E' applicabile per lo sviluppo di ODV che devono essere impiegati in contesti soggetti ad altissimo rischio, e in cui l'elevato valore dei beni da proteggere giustifica i costi elevati. L'applicazione del livello EAL7 è attualmente limitata ad ODV con funzionalità di sicurezza molto ristrette, che però possono essere sottoposti ad un'analisi formale rigorosissima. Questo livello rappresenta un incremento della sicurezza rispetto ad EAL6, poiché richiede l'utilizzo di rappresentazioni formali per le analisi svolte, e lo svolgimento di campagne esaustive di prove di intrusione e test funzionali. Tab. 2 Livelli di assurance dei Common Criteria La Comunicazione - numero unico
8 NOTE Luisa Franchina, Marco Carbonelli, Laura Gratta, Daniele Perrucchini Descrizione delle specifiche funzionali Descrizione del progetto ad alto livello Descrizione del progetto a basso livello Rappresentazione dell'implementazio ne Test funzionali Prove di intrusione Gestione della configurazione Consegna e installazione Sicurezza dell'ambiente di sviluppo Strumenti di sviluppo EAL EAL1 Informale X - X X - - EAL2 Informale Informale - - X X X X - - EAL3 Informale Informale - - X X X X X - EAL4 Informale Informale Informale Parziale X X X X X X EAL5 Il principio dell'anello più debole in una catena suggerisce che l'impiego di prodotti certificati (eventualmente a livelli di garanzia molto alti) in un contesto non sicuro non fornisce alcun vantaggio complessivo. Di conseguenza, una certificazione di sicurezza limitata ad una specifica parte di un siste- Semiformale Semi-formale Informale Completa X X X X X X EAL6 Semi-formale Semiformale Semiformale Strutturata X X X X X X EAL7 Formale Formale Semiformale Strutturata X X X X X X - = assente x = presente Fig 1 Aumento della complessità della valutazione ai diversi livelli di assurance dei CC la disponibilità di vasti cataloghi relativamente alle funzionalità di sicurezza ICT e ai requisiti di assurance adottabili; la possibilità di esprimere in forma standardizzata requisiti di sicurezza per sistemi e prodotti ICT. Ovviamente, la certificazione CC è uno strumento che deve essere utilizzato correttamente per risultare efficace. Nel capitolo successivo sono evidenziati alcune problematiche che devono essere affrontate al fine di massimizzare i benefici della certificazione nel contesto nazionale e per la sua applicazione nell ambito della CII. 4. La certificazione Common Criteria dal punto di vista delle CII Come è stato evidenziato, la certificazione Common Criteria è uno strumento molto complesso, i cui numerosi parametri debbono essere opportunamente regolati per ottenere il massimo beneficio in termini si dicurezza. Nella messa a punto di una strategia di certificazione per le CII devono essere presi in considerazione gli aspetti fondamentali legati all adozione sistematica della certificazione di sistema, alla sinergia con la certificazione ISO 27001, alla politica di gestione delle patch e al mantenimento nel tempo del certificato. Tali fattori sono approfonditi nel seguito. Ambito delle certificazioni: adozione della certificazione di sistema 114 La Comunicazione - numero unico
9 LA PROTEZIONE DELLE INFRASTRUTTURE CRITICHE: IL RUOLO DELLA CERTIFICAZIONE DI SICUREZZA (CRITICAL INFRASTRUCTURES PROTECTION: THE ROLE OF SECURITY CERTIFICATION) NOTE ma complesso non ha molto senso se non si riesce a garantire un livello minimo omogeneo di sicurezza. Purtroppo, in molti casi è invece invalso l'uso di acquisire prodotti ICT certificati, eventualmente a livelli di assurance medio-alti, senza porre attenzione alla sicurezza complessiva del sistema integrato. Dall'analisi dei dati sulle certificazioni CC commerciali emesse in tutto il mondo (Fig. 2) emerge che quasi tutte le certificazioni emesse da schemi commerciali riguardano prodotti; inoltre, le certificazioni EAL4 superano in numero quelle di qualsiasi altro livello di garanzia. In casi quali le CII, in cui i servizi sono forniti mediante l'integrazione di un complesso insieme di sistemi e prodotti, la certificazione di sicurezza potrebbe fornire garanzie consistenti se fosse sottoposto a valutazione l'intero sistema ICT di gestione dell'infrastruttura, anche se ad un basso livello di garanzia. Questo garantirebbe che le caratteristiche di sicurezza dell'intero sistema, compresi gli aspetti operativi quali la configurazione, siano state sottoposte a test. Va sottolineato che proprio gli aspetti operativi hanno un impatto notevole sulla sicurezza, in quanto nella fase operativa del ciclo di vita di un sistema ICT molti problemi di sicurezza derivano da una scarsa attenzione alla messa in sicurezza della configurazione del sistema stesso. Un ulteriore aumento della sicurezza complessiva del sistema potrebbe essere ottenuta se il processo di certificazione CC fosse svolto in sinergia con la certificazione di processo ISO 27001, il che porterebbe ad una gestione completa di tutti gli aspetti di sicurezza del ciclo di vita del sistema. Natura degli incidenti di sicurezza: la gestione delle patch L'esperienza e i bollettini di sicurezza pubblicamente disponibili mostrano che la maggior parte degli incidenti di sicurezza sono dovuti allo sfruttamento di vulnerabilità note, per le quali esistono già le patch. Quindi, una politica di sicurezza che presti la dovuta attenzione al monitoraggio, al test e all'installazione delle patch potrebbe prevenire lo sfruttamento di molte potenziali vulnerabilità. Efficacia della certificazione: il mantenimento L'efficacia della certificazione di sistema/prodotto è intrinsecamente limitata dalla rapida evoluzione dello scenario degli attacchi e delle vulnerabilità. In linea di principio, l'analisi di vulnerabilità e le prove di intrusione condotte dai valutatori sull'odv potrebbero portare a risultati differenti se fossero condotti il giorno successivo all'emissione del certificato, a causa della messa a punto di nuovi metodi di attacco. Ovviamente, questo sarebbe un caso limite; nei casi reali, se l'insieme delle misure ICT e delle ipotesi ambientali implementate nell'odv sono state realizzate e valutate attentamente, l'odv stesso sarà almeno in grado di mitigare i danni di un attacco. D'altro canto, la certificazione emessa ha valore unicamente se l'odv è configurato e usato La Comunicazione - numero unico
10 NOTE Luisa Franchina, Marco Carbonelli, Laura Gratta, Daniele Perrucchini nelle stesse condizioni nelle quali è stato valutato e, quindi, senza l'aggiunta di patch di sicurezza. Questo mette il proprietario di un sistema ICT di fronte ad un dilemma: mantenere il sistema in sicurezza, installando le patch necessarie, o lasciare il sistema nella configurazione certificata, sebbene esposto a potenziali vulnerabilità? Su questa domanda si gioca il reale contributo che la certificazione può dare al livello di sicurezza dei sistemi ICT. La sfida consiste nel fornire un framework all'interno del quale possano essere apportate ai sistemi certificati alcune modifiche (tipicamente patch di sicurezza) volte ad allineare l assetto di sicurezza con il panorama corrente delle minacce. Soprattutto per sistemi basati su prodotti COTS (Commercial Off The Shelf) di largo consumo, il rapido insorgere di nuove vulnerabilità rende indispensabile il continuo aggiornamento del software, il che è incompatibile con la conduzione di un nuovo processo di certificazione ad ogni aggiornamento. Tenendo conto delle considerazioni svolte, i requisiti individuati per una efficace applicazione della certificazione alle CII possono essere così riassunti: applicare la certificazione all intero sistema CII, integrata con la certificazione di processo; utilizzare la certificazione a bassi livelli di assurance, riducendo drasticamente i tempi e i costi di certificazione, al fine di estendere il grado di penetrazione della certificazione e ottenere un livello base comune di sicurezza in tutte le CNI; applicare una sorta di mantenimento della certificazione, al fine di proteggere le CNI dall'insorgere di nuove vulnerabilità nello scenario in evoluzione della sicurezza ICT. 5. Conclusioni La necessità di proteggere le infrastrutture critiche di una nazione impone l'individuazione di nuove politiche che aumentino la sicurezza delle CNI, innescando un processo virtuoso per la sicurezza di tutta la nazione. Dopo aver introdotto i concetti fondamentali di CNI e CII, si è condotta un'analisi per dimostrare come si renda sempre più necessario un miglioramento delle funzionalità di sicurezza impiegate nelle infrastrutture che costituiscono il cyberspace, cioè lo spazio virtuale dove viaggiano e vengono elaborate e conservate le informazioni. L'applicazione degli standard ISO di sicurezza sia a livello di processo sia a livello di sistema possono consentire di migliorare la sicurezza complessiva delle infrastrutture. In particolare, l analisi si è soffermata sulla certificazione di sistema e sui vantaggi che l'applicazione dello standard Common Criteria ai bassi livelli di certificazione potrebbe comportare nelle infrastrutture critiche nazionali. 6. Riferimenti Bibliografici [1] ISO/IEC 15408, Common Criteria for Information Technology Security Evaluation, Part 1 Introduction and general model, version 2.3, part 1, august [2] ISO/IEC 15408, Common Criteria for Information Technology Security Evaluation, Part 2 Introduction and general model, version 2.3, part 2, august [3] ISO/IEC 15408, Common Criteria for Information Technology Security Evaluation, Part 3 Introduction and general model, version 2.3, part 3, august [4] ISO 27001, "Information Security Management - Specification With Guidance for Use" October 2005 [5] US-Canada Power System Outage Task Force, Final Report on the August 14, 2003 Black out in the United States and Canada: Causes and Recommendations, April 2004, available together with further information at [6] DPCM 30 ottobre 2003, "Approvazione dello schema nazionale per la valutazione e la certificazione della sicurezza nel settore della tecnologia dell'informazione, GU n. 98 del [7] La Comunicazione - numero unico
La certificazione della sicurezza di sistemi e prodotti ICT
La certificazione della sicurezza di sistemi e prodotti ICT Infosecurity 2007 Milano 7 febbraio 2007 La sicurezza ICT in un Organizzazione Processo di gestione della sicurezza ICT (ISMS) Certificabile
L ISCOM e la certificazione
L ISCOM e la certificazione Institute for Communications and Information Technology 30 labs; 164 internal experts; 86 experts from other research institutes; 52 agreements with Universities; 22 projects
Istituto Superiore delle Comunicazioni e delle Tecnologie dell informazione (ISCTI) Italian Ministry of Communication Direttore: ing.
MINISTERO DELLE COMUNICAZIONI Istituto Superiore delle Comunicazioni e delle Tecnologie dell informazione (ISCTI) Direttore: ing. Carmelo Basso STRUTTURA A BLOCCHI DEL MINISTERO DELLE COMUNICAZIONI UFFICI
Identità digitale e relativi servizi: sicurezza e verifiche sui sistemi ICT
Seminario FUB: Gestione dell identit identità digitale Identità digitale e relativi servizi: sicurezza e verifiche sui sistemi ICT Franco Guida Responsabile Area Sicurezza ICT Fondazione Ugo Bordoni Fondazione
Presidenza del Consiglio dei Ministri Autorità Nazionale per la Sicurezza CESIS III Reparto U.C.Si.
Presidenza del Consiglio dei Ministri Autorità Nazionale per la Sicurezza CESIS III Reparto U.C.Si. Schema Nazionale di Certificazione per prodotti classificati Workshop on Network and Information Security.
SGSI CERT CSP POSTE ITALIANE
SGSI CERT CSP POSTE ITALIANE POLICY DEL SISTEMA DI GESTIONE DELLA SICUREZZA DELLE INFORMAZIONI PER LE TERZE PARTI (CLIENTI, FORNITORI DI BENI E SERVIZI). VERSIONE DATA REDAZIONE VERIFICA APPROVAZIONE Nicola
Gazzetta ufficiale dell'unione europea
L 185/6 REGOLAMENTO DI ESECUZIONE (UE) 2015/1136 DELLA COMMISSIONE del 13 luglio 2015 che modifica il regolamento di esecuzione (UE) n. 402/2013 relativo al metodo comune di sicurezza per la determinazione
METODOLOGIA DI ANALISI E MODELLO DI CLASSIFICAZIONE
METODOLOGIA DI ANALISI E MODELLO DI CLASSIFICAZIONE DELLA SICUREZZA NEI SISTEMI INFORMATIVI SANITARI SECONDO UN APPROCCIO DI HEALTH TECHNOLOGY ASSESSMENT 02.05.2017 - Ver 1.0 1 Il sistema informativo è
Ministero dell Istruzione, dell Università e della Ricerca. Servizio di collaudo
Ministero dell Istruzione, dell Università e della Ricerca Servizio di collaudo Indice dei contenuti 1. SCHEDA SERVIZIO COLLAUDO...3 1.1. TIPOLOGIA... 3 1.2. SPECIFICHE DEL SERVIZIO... 3 1.2.1 Descrizione
CONVENZIONE PER LA PREVENZIONE DEI CRIMINI INFORMATICI SUI SISTEMI INFORMATIVI CRITICI DI ACEA S.P.A.
CONVENZIONE PER LA PREVENZIONE DEI CRIMINI INFORMATICI SUI SISTEMI INFORMATIVI CRITICI DI ACEA S.P.A. Il Ministero dell Interno Dipartimento della Pubblica Sicurezza, rappresentato dal Capo della Polizia
Il Piano Nazionale per la Sicurezza ICT nella PA
Il Piano Nazionale per la Sicurezza ICT nella PA Seminario di formazione e sensibilizzazione dei Dirigenti Generali della Pubblica Amministrazione in materia di sicurezza ICT Comitato Tecnico Nazionale
I sistemi di gestione della salute e sicurezza sul lavoro. La norma OHSAS 18001
SISTEMI DI GESTIONE SICUREZZA: ISO 18001 La necessità di sviluppare un sistema di gestione della sicurezza (SGS) per garantire la corretta applicazione delle misure atte a garantire la salute e sicurezza
Sistema Sicurezza Informatica e Privacy
Politica Sicurezza Informatica e Privacy Pagina 1 di 7 Indice Generale INDICE GENERALE... 2 1. POLITICA DELLA SICUREZZA... 3 2. STORIA DELLE MODIFICHE... 7 Pagina 2 di 7 1. Politica della sicurezza [1]
Politica per la Qualità, la Sicurezza delle Informazioni e la Sicurezza sul lavoro
Politica per la Qualità, la Sicurezza delle Informazioni e la Sicurezza sul lavoro Capitale sociale: 30.000,00 i.v. www.yarix.com - info@yarix.com - Azienda con certificazione ISO 9001:2008 Certificato
Comune Fabriano. Protocollo Generale, Servizio Progettazione, Servizio Edilizia Privata. Progetto di Certificazione secondo le norme ISO 9000
Comune Fabriano Protocollo Generale, Servizio Progettazione, Servizio Edilizia Privata Progetto di Certificazione secondo le norme ISO 9000 Formazione per auditor interni 25 maggio 2009 1 SOMMARIO Il significato
Politica per la Gestione del Servizio
Politica per la Gestione del Servizio Revisione 1.0 Classificazione: pubblico Pagina 1 a 7 Documenti di riferimento RIF. Nome [1] [2] [3] ISO/IEC 27001:2013 Information Technology Security Techniques Information
Una metodologia di valutazione dei rischi per la sicurezza delle informazioni
Una metodologia di valutazione dei rischi per la sicurezza delle informazioni La norma UNI CEI ISO 27001 (Sistemi di gestione della sicurezza delle informazioni Requisiti), recentemente pubblicata in nuova
Ingegneria del Software
Ingegneria del Software Introduzione e Concetti Fondamentali Porfirio Tramontana, 2009 Corso di Ingegneria del Software Slide 1 Riferimenti Ian Sommerville, Ingegneria del Software, Capitolo 1 Porfirio
Cybersecurity per la PA: approccio multicompliance Sogei
SOGEI - Società Generale di Informatica SpA ing. Fabio LAZZINI, Responsabile Security Governance & Privacy Cybersecurity per la PA: approccio multicompliance Sogei Relatore ITASEC17 Italian Conference
Piano dei Test e Collaudo del software Titolo Documento
Controllo delle copie Il presente documento, se non preceduto dalla pagina di controllo identificata con il numero della copia, il destinatario, la data e la firma autografa del Responsabile della Documentazione,
Sistema di controllo interno
Sistema di controllo interno E il processo configurato, messo in atto e mantenuto dai responsabili delle attività di governance, dalla direzione e da altro personale dell impresa al fine di fornire una
La nuova edizione della norma ISO (seconda parte)
La nuova edizione della norma ISO 27002 (seconda parte) In questo articolo (cfr. precedente articolo) passiamo ad esaminare la seconda parte della norma La norma UNI CEI ISO/IEC 27002:2014 Raccolta di
PERCORSO FORMATIVO CYBER SECURITY. by SIMULWARE & IAMA SP. sales professional
PERCORSO FORMATIVO sales professional indice obiettivi del percorso formativo struttura modulare del percorso modalità di erogazione descrizione dei moduli ILLUSTRARE il tema della Cyber Security e le
Le Misure Minime di sicurezza ICT per le Pubbliche Amministrazioni
Le Misure Minime di sicurezza ICT per le Pubbliche Amministrazioni Corrado Giustozzi Esperto di sicurezza cibernetica presso l Agenzia per l Italia Digitale per lo sviluppo del CERT della Pubblica Amministrazione
POLICY DI SICUREZZA INFORMATICA
POLICY DI SICUREZZA INFORMATICA Approvato dal C.d.A. in data 9 Maggio 2018 1 Sommario Premessa... 3 Art 1 - Information Security... 4 Art 2 - Scopo ed ambito della sicurezza... 4 Art 3 - Sistema per la
IATF - International Automotive Task Force IATF 16949:2016 Sanctioned Interpretations
:2016 Sanctioned Interpretations La norma :2016 1 è stata pubblicata a ottobre 2016 ed è valida dal 1 gennaio 2017. Le seguenti Sanctioned Interpretations sono state stabilite e approvate da IATF. Salvo
Daniele Gombi IL SISTEMA DI GESTIONE DELLA SICUREZZA DELLE 4 INFORMAZIONI: UNA "NECESSARIA" OPPORTUNITÀ
Daniele Gombi IL SISTEMA DI GESTIONE DELLA SICUREZZA DELLE INFORMAZIONI: UNA "NECESSARIA" OPPORTUNITÀ General Data Protection Regulation (GDPR) General Data Protection Regulation (GDPR) Art.25 Protezione
I rischi legali connessi alle attività di certificazione
I rischi legali connessi alle attività di certificazione Il punto di vista degli Organismi di Certificazione Vincenzo Patti Presidente AIOICI AIOICI www.aioici.org AIOICI è un'associazione senza fini di
L Ente Italiano di Accreditamento. Il ruolo dell accreditamento
L Ente Italiano di Accreditamento Nuovi strumenti per la trasparenza e la qualificazione delle imprese della Green Economy Il Nuovo Codice Appalti e la ISO 37001 Il ruolo dell accreditamento Filippo Trifiletti
Configuration Management secondo l ISO
SUPSI Project Management Forum Configuration Management secondo l ISO Alessandro Colasurdo alessandro.colasurdo@aptar.com Lugano, 23 Giugno 2017 Alessandro Colasurdo Configuration Management secondo l
REGOLAMENTO EUROPEO IN MATERIA DI PROTEZIONE DEI DATI PERSONALI
REGOLAMENTO EUROPEO IN MATERIA DI PROTEZIONE DEI DATI PERSONALI nuovi obblighi e adempimenti in materia di privacy con scadenza 25 maggio 2018 docente avv. Giovanni Dal Poz Per maggiori info scrivere a
PROCEDURA OPERATIVA PER L ANALISI E LA GESTIONE DEL RISCHIO
28/06/2011 Pag. 1 di 9 PROCEDURA OPERATIVA PER L ANALISI E LA GESTIONE DEL RISCHIO 1 SCOPO... 2 2 APPLICABILITÀ... 2 3 DOCUMENTI DI RIFERIMENTO... 2 3.1 Moduli... 2 4 RESPONSABILITÀ... 2 5 MODALITÀ OPERATIVE...
REGOLAMENTO (UE) N. 1078/2012 DELLA COMMISSIONE
L 320/8 Gazzetta ufficiale dell Unione europea 17.11.2012 REGOLAMENTO (UE) N. 1078/2012 DELLA COMMISSIONE del 16 novembre 2012 relativo a un metodo di sicurezza comune per il monitoraggio che devono applicare
il decreto legislativo 18 aprile 2016, n. 50 recante: Codice dei contratti pubblici e successive modificazioni ed in particolare l articolo 23;
SCHEMA DEL DECRETO RELATIVO ALLE MODALITÀ E I TEMPI DI PROGRESSIVA INTRODUZIONE, DA PARTE DELLE STAZIONI APPALTANTI, DELLE AMMINISTRAZIONI CONCEDENTI E DEGLI OPERATORI ECONOMICI, DELL'OBBLIGATORIETÀ DEI
Privacy by Design: evoluzione e implicazioni
Privacy by Design: evoluzione e implicazioni Andrea Gaglietto Milano, 16 Marzo 2016 #READY4EUDATAP Il contesto Contesto Globalizzazione del business Incremento dei canali e delle modalità di accesso e
Regolamento Generale UE sulla Protezione dei Dati (GDPR) Raggiungi la conformità
Regolamento Generale UE sulla Protezione dei Dati (GDPR) Raggiungi la conformità Corsi Data Protection Forniamo una vasta gamma di corsi di formazione in ambito privacy e data protection. I nostri corsi
La CyberSecurity nel modello ICT per la PA
AgID per la Cybersecurity della Pubblica Amministrazione Le Misure Minime di sicurezza ICT per le Pubbliche amministrazioni Corrado Giustozzi Agenzia per l Italia Digitale -PA Security Summit Roma, 8 giugno
Identità e ruolo del responsabile dell incarico di revisione
La tabella di seguito riportata illustra ulteriori aspetti da comunicare ai responsabili delle attività di governance identificati in altri principi di revisione internazionali diversi dal principio n.
La nostra storia inizia nel 1992, anno in cui Nova Systems Roma viene costituita e muove i primi passi nel mercato dei servizi informatici.
COMPANY PROFILE La nostra storia inizia nel 1992, anno in cui Nova Systems Roma viene costituita e muove i primi passi nel mercato dei servizi informatici. In risposta alla veloce evoluzione delle tecnologie
DOMANDA OMOLOGAZIONE CHIP CIE INFORMAZIONI MINIME DA FORNIRE NELLA DOMANDA DI OMOLOGAZIONE.
AL MINISTERO DELL INTERNO Dipartimento per gli Affari Interni e Territoriali Direzione Centrale per i Servizi Demografici Commissione di verifica e omologazione tecnica dei microprocessori Piazza del Viminale,
Proposta per l organizzazione della Sicurezza Informatica dell ISTI
Proposta per l organizzazione della Sicurezza Informatica dell ISTI Carlo Carlesi Situazione attuale Non esiste un organizzazione della sicurezza Non sono ben chiare le responsabilità Non c è coscienza
Sicuramente www.clusit.it
Sicuramente www.clusit.it L applicazione degli standard della sicurezza delle informazioni nella piccola e media impresa Claudio Telmon Clusit ctelmon@clusit.it Sicuramente www.clusit.it Associazione no
La Politica del Sistema di Gestione Integrato Qualità, Ambiente e Sicurezza delle Informazioni POLITICA DEL SISTEMA DI GESTIONE INTEGRATO 2019 CREVAL
La Politica del Sistema di Gestione Integrato Qualità, Ambiente e Sicurezza delle Informazioni 1 Premessa Creval ha scelto di adottare e mantenere attivo un Sistema di Gestione Integrato Qualità, Ambiente
Alessandro D Ascenzio
Alessandro D Ascenzio ISO 9001:1987 Procedure ISO 9001:1994 Azioni Preventive ISO 9001:2000 Approccio per Processi & PDCA ISO 9001:2008 Approccio per Processi & PDCA ISO 9001:2015 Rischi ed Opportunità
Gestione dello sviluppo software Modelli Base
Università di Bergamo Dip. di Ingegneria gestionale, dell'informazione e della produzione GESTIONE DEI SISTEMI ICT Paolo Salvaneschi A4_1 V1.0 Gestione dello sviluppo software Modelli Base Il contenuto
III CONGRESSO CONGIUNTO DI ORTOPEDIA TECNICA
III CONGRESSO CONGIUNTO DI ORTOPEDIA TECNICA Bologna 17/18/19 aprile 2018 Le linee guida nelle Tecniche Ortopediche: come si scrivono e come si consolidano nell attività quotidiana T.O. Lorenzo Michelotti
SAS70 lo standard per la valutazione dei controlli interni delle aziende di outsourcing. Ottobre 2008
SAS70 lo standard per la valutazione dei controlli interni delle aziende di outsourcing Ottobre 2008 Agenda SiNSYS SAS70 Introduzione Tipologie di report SAS70 Formato del report SAS70 Fasi di emissione
Third Party Assurance Reporting
www.pwc.com Third Party Assurance Reporting AIEA Riccardo Crescini Agenda 1. Panoramica sugli ambiti di Third Party Assurance ( TPA ) 2. Principali standard SSAE16 & ISAE 3402 ISAE 3000 3. Trust Services
Ministero dello Sviluppo Economico
Ministero dello Sviluppo Economico Istituto Superiore delle Comunicazioni e delle Tecnologie dell'informazione Procedura di Accertamento di Conformità di un dispositivo per la creazione di firme e sigilli
PROTEZIONE DEI DATI IN AMBITO SANITARIO CRISTINA DAGA
PROTEZIONE DEI DATI IN AMBITO SANITARIO CRISTINA DAGA Milano, 8 luglio 2017 SICUREZZA E PRIVACY IN SANITÀ La pianificazione e realizzazione di interventi nell ambito della sicurezza e della privacy nel
introduzione Sandro Storelli CNA Padova, 4 maggio 2016
introduzione Sandro Storelli CNA UNI UN ISO 13485 E lo standard internazionale per la gestione della qualità riconosciuto dall industria dei dispositivi medici. Lo standard definisce i requisiti di un
KeyMap Analisi del Rischio
KeyMap Analisi del Rischio Risk Management La valutazione del rischio quale minimo comun denominatore ISO 27001 - D.Lgs. 231/01 ISO 22301 D.Lgs. 196/03 - ISO 9001 Risk Management 2 Risk Management 3 Il
Canon Canon Authorised Center. ,unzo. & COlOfflBO. Bergamo Operated by Punzo & Colombo Sri
Canon Canon Authorised Center Bergamo Operated by Punzo & Colombo Sri,unzo & COlOfflBO ,unzo & co1omnos,1 Perchè scegliere un Canon Business Center? Un Canon Business Center è un rivenditore esclusivo
a ndromeda SITEI Sistema Irriguo Territoriale Integrato Telecontrollo nelle reti idriche di pubblica utilità
SITEI Telecontrollo nelle reti idriche di pubblica utilità L acqua da sempre rappresenta una risorsa talmente preziosa e rara che la sfida per tutti noi è diventato ormai il suo corretto utilizzo. Essa
RUOLO E PROFESSIONALITA DELLE FIGURE UTILIZZATE
RUOLO E PROFESSIONALITA DELLE FIGURE UTILIZZATE Approvato dal C.d.A. in data 16 Gennaio 2018 1 Sommario 1. Introduzione... 3 1.1 Profili di Consulenza... 3 1.2 Profili Tecnico-Applicativi... 3 1.3 Profili
POLITICA DELLA QUALITÀ
REV. DATA NOTA DI REVISIONE 0 24/01/2018 Prima emissione Emesso da RSQ Approvata da DA Allegato Manuale della Qualità Pagina 2 a 6 SOMMARIO 1 Premessa 3 2 La Mission 3 3 Il Business 3 4 Politica della
Lo Schema nazionale di valutazione e certificazione della sicurezza ICT. Forum PA - maggio 2011
Lo Schema nazionale di valutazione e certificazione della sicurezza ICT Forum PA - maggio 2011 Sommario Descrizione dello Schema Procedura di accreditamento dei laboratori Processo di certificazione Procedura
Direzione Centrale Pianificazione e Comunicazione
Direzione Centrale Pianificazione e Comunicazione Si articola in n. 3 uffici di livello dirigenziale non generale e n. 3 uffici non dirigenziali Ufficio coordinamento legislativo e supporto amministrativo
1 LA POLITICA AZIENDALE
1 LA POLITICA AZIENDALE La Direzione Aziendale dell Impresa Pizzarotti & C. S.p.A. al livello più elevato promuove la cultura della Qualità, poiché crede che la qualità delle realizzazioni dell Impresa
Minerva Group Service Società consortile cooperative per azioni PEO.02 POLITICA PER LA GESTIONE ANTICORRUZIONE
Minerva Group Service Società consortile cooperative per azioni http://www.minervagroupservice.it PEO.02 POLITICA PER LA GESTIONE ANTICORRUZIONE DOCUMENTO RIFERIMENTI SGAC ISO 37001; MOG 231; REVISIONE
IS Corso di Ingegneria del Software 1
Contenuti Qualità del software Qualità e gestione della qualità Qualità di prodotto 2001-4 Corso di Ingegneria del Software Modelli della qualità del software V. Ambriola, G.A. Cignoni, C. Montangero,
STRUMENTI TECNICI A SUPPORTO DELLA REVISIONE
ALLEGATO IV - BOZZA - STRUMENTI TECNICI A SUPPORTO DELLA REVISIONE STRUMENTI DI PIANIFICAZIONE E GESTIONE DELLA REVISIONE A supporto dell attività di revisione, Deloitte utilizza un software specifico
CONTROLLI ESSENZIALI DI CYBERSECURITY
CONTROLLI ESSENZIALI DI CYBERSECURITY Definizione di Essenziale una pratica relativa alla cybersecurity che, qualora ignorata oppure implementata in modo non appropriato, causa un aumento considerevole
Ministero dello Sviluppo Economico Comunicazioni Istituto Superiore delle Comunicazioni e Tecnologie dell Informazione
Istituto Superiore delle e Tecnologie dell Informazione Identità digitale: tecnologia e sfide L Istituto Superiore L'Istituto Superiore delle e delle Tecnologie dell'informazione, costituito nel 1907,
Privacy e requisiti per la Cybersecurity nella PA
SOGEI Società Generale di Informatica S.p.A. Privacy e requisiti per la Cybersecurity nella PA SOGEI: UN APPROCCIO MULTICOMPLIANCE E. Trasatti CYBERSECURITY SUMMIT, 5 aprile 2016 ROMA SOGEI Da 40 anni
MANUALE DELLA QUALITÀ Pag. 1 di 9
MANUALE DELLA QUALITÀ Pag. 1 di 9 INDICE REALIZZAZIONE DEL PRODOTTO Pianificazione della realizzazione del prodotto Determinazione dei requisiti relativi al prodotto Riesame dei requisiti relativi al prodotto
REPERTORIO DELLE QUALIFICAZIONI PROFESSIONALI DELLA REGIONE CAMPANIA
REPERTORIO DELLE QUALIFICAZIONI PROFESSIONALI DELLA REGIONE CAMPANIA Processo Sequenza di processo Area di Attività Qualificazione regionale SETTORE ECONOMICO PROFESSIONALE 1 Servizi di informatica Sviluppo
Gestione del cambiamento dei Servizi IT Infrastrutturali SPC Cloud
Gestione del cambiamento dei Servizi IT Infrastrutturali SPC Cloud Gestione RIFERIMENTO RIFERIMENTO REDATTO: APPROVATO: Telecom Italia S.p.A. Enterprise Services Italia S.r.l. - A DXC Technology Company
REGOLAMENTO DELEGATO (UE) /... DELLA COMMISSIONE. del
COMMISSIONE EUROPEA Bruxelles, 8.3.2018 C(2018) 1392 final REGOLAMENTO DELEGATO (UE) /... DELLA COMMISSIONE del 8.3.2018 che stabilisce metodi comuni di sicurezza relativi ai requisiti del sistema di gestione
Assemblatore e riparatore di personal computer e installatore di reti locali
Assemblatore e riparatore di personal computer e installatore di reti locali identificativo scheda: 08-011 stato scheda: Validata Descrizione sintetica L effettua l assemblaggio e la manutenzione di personal
Kit Documentale Qualità UNI EN ISO 9001:2015. Templates modificabili di Manuale, Procedure e Modulistica. Nuova versione 3.
Premessa Il sistema di gestione per la qualità conforme alla norma internazionale UNI EN ISO 9001:2015 dovrebbe essere implementato nell ordine di seguito indicato, che riporta le clausole della norma
Obblighi di controllo dei Fornitori esterni. EUDA Applicazioni sviluppate dall utente finale
Obblighi di dei Fornitori esterni EUDA Applicazioni sviluppate dall utente finale Area di Titolo di Descrizione del Perché è importante? Governance e assicurazione di Ruoli e responsabilità Il Fornitore
La famiglia ISO 9000: il gruppo coerente
La famiglia ISO 9000: il gruppo coerente La famiglia ISO9000 nasce per aiutare le organizzazioni ad attuare e applicare Sistemi di Gestione per la Qualità efficaci ISO9000: descrive i fondamenti dei sistemi
LA SICUREZZA DEI SISTEMI DI CONTROLLO INDUSTRIALE NELLE INFRASTRUTTURE CRITICHE: ASPETTI PECULIARI, INNOVAZIONI ED ESPERIENZE
LA SICUREZZA DEI SISTEMI DI CONTROLLO INDUSTRIALE NELLE INFRASTRUTTURE CRITICHE: ASPETTI PECULIARI, INNOVAZIONI ED ESPERIENZE Overview dell OT Operation Technology Roma, 24 maggio 2017 ore 15.00 Presso
FACOLTÀ DI INGEGNERIA DELL INFORMAZIONE, INFORMATICA E STATISTICA ESAMI DI STATO PER L ABILITAZIONE ALLA PROFESSIONE DI INGEGNERE DELL INFORMAZIONE
ARTIFICIAL INTELLIGENCE AND ROBOTICS Tema 1 Il candidato discuta, con opportuni esempi, le tipologie di problemi che meglio si prestano ad un approccio risolutivo basato su Machine Learning (ML); descriva
ASSEMBLATORE E RIPARATORE DI PERSONAL COMPUTER E INSTALLATORE DI RETI LOCALI
ASSEMBLATORE E RIPARATORE DI PERSONAL COMPUTER E INSTALLATORE DI RETI LOCALI identificativo scheda: 08-011 stato scheda: Validata Descrizione sintetica L effettua l assemblaggio e la manutenzione di personal
SGI. Politica del Sistema di Gestione Integrato. Politica del Sistema di Gestione Integrato IGIM001
Politica del Sistema di Gestione SGI revisione data Emissione approvazione n 1 8 maggio 2018 RGSI DG REVISIONI: CODICE REV. DATA DESCRIZIONE 1 08/05/2018 Prima Emissione DOCUMENTI DI RIFERIMENTO: [1] IGIM002
I REQUISITI INNOVATIVI DELLA ISO Alessandra Peverini Perugia 23 ottobre 2015
I REQUISITI INNOVATIVI DELLA ISO 9001 Alessandra Peverini Perugia 23 ottobre 2015 Le principali novità 1. Le relazioni fra l Organizzazione ed il contesto interno ed esterno 2. Le aspettative delle parti
1. SCOPO E AMBITO DI APPLICAZIONE RUOLI PREVISTI UFFICI COINVOLTI... 6
MODELLO ORGANIZZATIVO PRIVACY PRINCIPI GENERALI IN MATERIA DI PROTEZIONE DEI DATI PERSONALI Revisione 29 giugno 2018 INDICE 1. SCOPO E AMBITO DI APPLICAZIONE... 2 2. RUOLI PREVISTI... 3 3. UFFICI COINVOLTI...
Approccio alla gestione del rischio
Patrocinio Il futuro dei sistemi di gestione, la nuova ISO 9001 per una qualità sostenibile Approccio pratico alla gestione del rischio Castel San Pietro Terme, 20 ottobre 2016 1 Agenda 1 ISO 9001:2015
Colmare il divario Assicurare il vostro business contro le minacce cyber in continua evoluzione
Colmare il divario Assicurare il vostro business contro le minacce cyber in continua evoluzione Giugno 2017 Sintesi In collaborazione con KPMG e DAC Beachcroft 1 Sintesi 01 Sintesi 1 Sintesi 02 1.1 Panoramica
INDICE PREMESSA 1 INTRODUZIONE 2 1 SCOPO E CAMPO DI APPLICAZIONE 5 2 RIFERIMENTI NORMATIVI 6 3 TERMINI E DEFINIZIONI 6
INDICE PREMESSA 1 INTRODUZIONE 2 figura 1 Illustrazione del ciclo Plan-Do-Check-Act su due livelli... 4 1 SCOPO E CAMPO DI APPLICAZIONE 5 2 RIFERIMENTI NORMATIVI 6 3 TERMINI E DEFINIZIONI 6 4 CONTESTO
Alessandra Peverini Milano 19 ottobre 2015 LA NUOVA NORMA ISO 9001:2015 E I RISCHI GESTIONALI
Alessandra Peverini Milano 19 ottobre 2015 LA NUOVA NORMA ISO 9001:2015 E I RISCHI GESTIONALI Le principali novità 1. Le relazioni fra l Organizzazione ed il contesto interno ed esterno 2. Le aspettative
I SISTEMI DI GESTIONE DELLA SALUTE E DELLA SICUREZZA SUL LAVORO
I SISTEMI DI GESTIONE DELLA SALUTE E DELLA SICUREZZA SUL LAVORO CONTESTO DI RIFERIMENTO nel 2008 Viene approvato il Decreto Legislativo 9 aprile 2008 n. 81 che integra e completa la sequenza logica delle
POLITICA DOCUMENTO ALLEGATO AL MANUALE DELLA QUALITÀ AZIENDALE
POLITICA DOCUMENTO ALLEGATO AL MANUALE DELLA QUALITÀ AZIENDALE OFBM MOULDS S.r.l. in linea con la propria filosofia basata sulla capacità di adeguarsi continuamente alle necessità del mercato, ha deciso
Qualità. Qualità. L impresa guidata dal cliente. Realizzare un sistema qualità GOVERNARE L IMPRESA NELL ECONOMIA DELL INCERTEZZA
GOVERNARE L IMPRESA NELL ECONOMIA DELL INCERTEZZA L impresa guidata dal cliente Qualità Qualità 11 Marzo 2002 Dr. Fausto Mazzali Partner Granelli & Associati STORIA DELLE ISO 9000 prima emissione: 1987
Acquisizione di prodotti e servizi Parte 2
Università di Bergamo Dip. di Ingegneria gestionale, dell'informazione e della produzione GESTIONE DEI SISTEMI ICT Paolo Salvaneschi A5_2 V1.0 Acquisizione di prodotti e servizi Parte 2 Il contenuto del
REPERTORIO DELLE QUALIFICAZIONI PROFESSIONALI DELLA REGIONE CAMPANIA
REPERTORIO DELLE QUALIFICAZIONI PROFESSIONALI DELLA REGIONE CAMPANIA Processo Sequenza di processo Area di Attività Qualificazione regionale SETTORE ECONOMICO PROFESSIONALE 1 Servizi di informatica Sviluppo
PIANO PER LA FORMAZIONE DEL PERSONALE DELLA ASL BT AI FINI DELLA PREVENZIONE DELLA CORRUZIONE
PIANO PER LA FORMAZIONE DEL PERSONALE DELLA ASL BT AI FINI DELLA PREVENZIONE DELLA CORRUZIONE SOMMARIO 1. PREMESSA 2. OGGETTO 3. PERCORSI FORMATIVI DI LIVELLO SPECIFICO 4. INDIVIDUAZIONE DEI DOCENTI 5.
Griglia del Questionario di Valutazione Idee di business - DINTEC -
PUNTEGGIO TOTALE CALCOLATO IN MODO AUTOMATICO SULLA BASE DELLE VALUTAZIONI E PESI (MAX) =, Cap.1 - Analisi tecnica del Prodotto/Servizio e Identificazione della domanda di mercato (Qual è l oggetto della
Sommario della lezione
Sommario della lezione Introduzione ai sistemi informatici dad un punto di vista generale: concetto di risorsa, processo, informazione sistema informativo e sistema informatico Un esempio Concetti essenziali
In altri termini cos è
Qualità Qualità?... Treviso, 20 ottobre 2012 Scuola di formazione delle AVIS del Triveneto Slide n. 2 Qualità è.. In altri termini cos è L insieme delle caratteristiche di un prodotto / servizio che lo
ELABORAZIONE DI UN PIANO TARIFFARIO PER LA PROPOSIZIONE AS A SERVICE DI UNA SOLUZIONE APPLICATIVA VERTICALE
UNIVERSITÀ DEGLI STUDI DI PISA Facoltà di Economia Facoltà di Scienze Matematiche, Fisiche e Naturali Corso di Laurea Specialistica in Informatica per l economia e l azienda TESI DI LAUREA ELABORAZIONE
IX CONGRESSO NAZIONALE SIMEU TORINO, 6-8 NOVEMBRE 2014 CENTRO CONGRESSI LINGOTTO. Valutati e Valutatori Dott. Gianluca Acquaviva
IX CONGRESSO NAZIONALE SIMEU TORINO, 6-8 NOVEMBRE 2014 CENTRO CONGRESSI LINGOTTO La qualità in medicina d'urgenza: chi valuta cosa? Valutati e Valutatori Dott. Gianluca Acquaviva AUDIT esterni: Effettuati
Indice RFI DPR-SRD.ING SR AD 01 I 14 A. pag. 2 di 9 PARTE I GENERALITA... 3 PARTE II REQUISITI DEL SISTEMA... 5
Indice PARTE I GENERALITA... 3 I.1 SCOPO E CAMPO DI APPLICAZIONE... 3 I.2 PRINCIPALE BIBLIOGRAFIA NORMATIVA DI RIFERIMENTO... 3 I.3 DEFINIZIONI ED ABBREVIAZIONI... 4 I.4 SISTEMA DI IDENTIFICAZIONE DEI
Rapporto Tecnico UNI/TR 11331
Rapporto Tecnico UNI/TR 11331 Indicazioni relative all applicazione della UNI EN ISO 14001 in Italia, formulate a partire dalle criticità emerse e dalle esperienze pratiche UNI - 29 gennaio 2009 Paolo
Regolamento Europeo 2016/679 del Protezione delle persone fisiche con riguardo al trattamento dei dati personali
Regolamento Europeo 2016/679 del 27.4.2016 Protezione delle persone fisiche con riguardo al trattamento dei dati personali Definizione di un «Codice di Condotta» per la sanità Fabrizio Massimo Ferrara
SCHEDA REQUISITI PER LA CERTIFICAZIONE DEGLI ISMS (Information Security Management Systems) AUDITOR / RESPONSABILI GRUPPO DI AUDIT
Viale di Val Fiorita, 90-00144 Roma Tel. 065915373 - Fax: 065915374 E-mail: esami@cepas.it Sito internet: www.cepas.eu Pag. 1 di 5 SCHEDA REQUISITI PER LA CERTIFICAZIONE DEGLI ISMS (Information Security
Servizio Calcolo e Reti
Servizio Calcolo e Reti F. Semeria Assemblea di Sezione 19 Luglio 2017 Assemblea di Sezione 2017 1/14 Misure minime di sicurezza ICT per le pubbliche amministrazioni Circolare AgID (Agenzia per l Italia