La Sicurezza Informatica nella Pubblica Amministrazione

Transcript

1 Ernst & Young Technology and Security Risk Services per gli Organismi Pagatori Regionali Firenze, 12 giugno 2003 La Sicurezza Informatica nella Pubblica Amministrazione 1

2 La Sicurezza Informatica nella PA Il modello di E-Government e la Sicurezza delle Informazioni La Firma Digitale e le PKI come infrastruttura di ICT Security La Sicurezza nelle Reti della Pubblica Amministrazione Il Piano del Governo per lo sviluppo della Information Security nelle PA Cosa fare per aderire alla Direttiva Stanca 2

3 ICT Security nella Pubblica Amministrazione RUPA Rete Nazionale: Sistema Pubblico di connettività Documento Informatico Firma Digitale Protocollo Informatico Archiviazione Ottica Mandato Informatico di Pagamento Linee Guida AIPA E-procurement Piano di Governo 3

4 Il modello di E-Government e la Sicurezza delle Informazioni 4

5 Il Vero Problema On the Internet, nobody knows you re a dog Di cosa stiamo parlando? 5

6 della nostra Digital Identity La Net Economy e l e-government : la trasposizione dei processi dal mondo reale al mondo virtuale Ottimizzazione dei processi Nuovi business e nuovi processi Nuovi attori Le nostre identità nel mondo digitale Le altre identità nel mondo digitale 6

7 In rete si può: C A B? B Intercettare un messaggio e leggerne il contenuto Negare (falsamente) di aver inviato un messaggio C C A B A B 7 Cambiare il contenuto di un messaggio Inviare un messaggio impersonando un altra identità

8 Funzioni di Sicurezza per la trasmissione in rete A C Confidenzialità Riservatezza Segretezza B Non Ripudio? B Intercettare un messaggio e leggerne il contenuto Negare (falsamente) di aver inviato/ricevuto un messaggio A Integrità dei dati C B Autenticazione Del Mittente A C B 8 Cambiare il contenuto di un messaggio Inviare un messaggio impersonando un altra identità

9 ICT Security La sicurezza dell informazione deve garantire: Integrità Riservatezza Disponibilità Autenticità Non ripudio Sistema di Sicurezza ICT Misure Preventive e di Ripristino 9

10 Funzioni Base di Sicurezza implementabili tramite la crittografia asimmetrica A letter from A A A B Confidenzialità Evidenza Evidenza che che il il contenuto contenuto del del messaggio messaggio non non sia sia stato stato rivelato rivelato ad ad una una terza terza parte parte 10 Integrità Prova Prova che che il il contenuto contenuto del del messaggio messaggio non non sia sia stato stato alterato, alterato, deliberatamente deliberatamente o o accidentalmente, accidentalmente, durante durante la la trasmissione trasmissione Non Non ripudio ripudio Autenticazione Certezza Certezza di di sapere sapere che che il il mittente mittente del del messaggio messaggio non non possa, possa, in in un un momento momento successivo, successivo, negare negare di di averlo averlo inviato inviato Garanzia Garanzia che che il il messaggio messaggio sia sia stato stato inviato inviato dalla dalla persona persona che che dichiara dichiara di di averlo averlo inviato inviato

11 Benefici dell uso di PKI Verifica dell identità delle persone e dei device (User accountability, Customizer Content) Riservatezza ed Integrità delle Informazioni (riduzione dei rischi di perdita o furto delle Informazioni) Gestione e Controllo centralizzati delle utenze Documentazione delle transazioni economiche e sostegno della validità legale Efficacia ed efficienza dei processi, in particolare delle P.A. 11

12 CNS e CIE CNS e CIE : nelle politiche di E-Government sono considerati gli strumenti per il riconoscimento certo dei cittadini che vogliano usufruire via rete dei servizi Tutte le PA che erogano servizi in rete devono garantirne l accesso ai titolari di CNS (e CIE) La CNS puo contenere le informazioni per la Firma Digitale La CNS puo supportare funzioni di pagamento (tramite la banda magnetica che puo essere presente) 12

13 Responsabilità delle Amministrazioni che emettono CNS Identificazione del Titolare e consegna della carta al suo legittimo proprietario Servizio di Call Center per la revoca o sospensione della carta Procedure di gestione, personalizzazione e rilascio delle carte CNS (descritte in apposito manuale della Sicurezza) Requisiti di sicurezza dei produttori di CNS: Policy di Sicurezza del settore produzione, embedding e inizializzazione; attribuzione delle responsabilità specifiche, 13

14 L architettura generale RUPA Internet Altre Reti CG-I Rete Interdomini PAS-I Rete di Dominio Amm. 1 CG-T PAS-I 14 Rete di Dominio Amm. 2

15 Struttura di sicurezza Due livelli distinti: Trasporto ed Interoperabilità Strutture organizzative per la sicurezza in ciascun livello Controllo e supervisione esercitata dalla struttura per la sicurezza del Centro Tecnico attraverso: Revisione dei Piani per la sicurezza Audit Test 15

16 Sicurezza Trasporto Trasparenza del CG-T rispetto ai flussi dei dati il CG-T ha solo funzioni di controllo e gestione della rete di trasporto i dati non attraversano il CG-T Protezioni fisiche e logiche del CG-T Autenticazione mediante one-time-password per l accesso ai sistemi del CG- T da parte degli operatori Segmentazione e protezione della LAN del CG-T mediante firewall Sistemi di rilevamento degli attacchi in tempo reale Sistemi antivirus Sistemi di controllo dell integrità dei file (log) Protezioni fisiche e logiche degli apparati di rete Servizi di comunicazione protetta (IPSec) 16

17 Sicurezza Interoperabilità Durante l erogazione dei servizi alle Amministrazioni, il CG-I persegue i seguenti obiettivi fondamentali di sicurezza: 17 Garantire riservatezza ed integrità delle informazioni gestite ed in transito Impedire a terzi di accedere o modificare dati e risorse di pertinenza delle Amministrazioni Impedire a personale interno e delle Amministrazioni di accedere o modificare dati e risorse senza averne autorizzazione Indirizzare al corretto destinatario le informazioni gestite

18 Intrusion detection Sistema distribuito di analisi del traffico in real-time su tutti i segmenti di rete del CG-I: Identificazione delle connessioni su porte proibite Riconoscimento di pattern di attacco Centralizzazione degli allarmi con visualizzazione sinottica e di dettaglio Analisi continua degli eventi sui firewall di perimetro ed interni per l individuazione di condizioni anomale Analisi off-line dei log dei sistemi di sicurezza per l evidenziazione di potenziali tentativi di attacco 18

19 Antivirus Controllo antivirus sui messaggi di posta elettronica in transito all interno del CG-I da/verso Internet e le Amministrazioni Controllo antivirus sui flussi FTP verso le amministrazioni Distribuzione ed aggiornamento centralizzato dei virus pattern sui server e sulle stazioni di lavoro 19

20 Test di impenetrabilità Esecuzione periodica di test di impenetrabilità per garantire la costante sicurezza del sistema e delle Amministrazioni: Sul sistema nel suo complesso da: Internet Domini delle amministrazioni Sulle singole macchine dalla stessa subnet Impiego di strumenti commerciali e public domain per analisi della sicurezza globale e delle singole applicazioni Possibilità per le Amministrazioni di eseguire autonomamente test di impenetrabilità sui sistemi del CG-I 20

21 Aspetti chiave della sicurezza Architettura segmentata e protetta del CG-I Isolamento dei domini Sistemi avanzati di protezione dagli attacchi esterni ed interni Autenticazione forte degli operatori Aggiornamento continuo del sistema per la sicurezza 21

22 Il Sistema Pubblico di Connettività Evoluzione di RUPA e della Rete Nazionale Costituito da un backbone ad alta velocità a cui si connetteranno tutte le Pubbliche Amministrazioni La connessione avverrà con livelli di sicurezza garantiti e controllati dal Centro Tecnico 22

23 Programma di azione del Governo per la Sicurezza ICT Direttiva Stanca del : 23 Autovalutazione Base Minima Creazione ed attivazione di un modello organizzativo nazionale di Sicurezza ICT: ruoli e responsabilità, linee guida, standard, procedure Comitato Tecnico Nazionale sulla sicurezza ICT Definizione Schema Nazionale della Sicurezza (Certificazioni di Sicurezza) Formulazione Piano Nazionale della Sicurezza ICT della P.A. Realizzazione certificazioni sicurezza ICT nella P.A. TasK Force: CERT-AM?

24 La Sicurezza nella Pubblica Amministrazione La Direttiva Stanca Le informazioni sono una risorsa di valore strategico Tale patrimonio deve essere efficacemente protetto e tutelato da possibili alterazioni, da minacce di intrusione, divulgazione non autorizzata, nonché di interruzione e di distruzione del servizio La variabilità legata all innovazione tecnologica ed ai processi rende fondamentale valutare il rischio connesso con la gestione delle informazione e dei sistemi. Per operare in un mondo digitale aperto le pubbliche amministrazione devono presentare credenziali di sicurezza nelle informazioni conformi agli standard internazionali di riferimento. Attività raccomandate : 1) Auto valutazione del livello di adeguatezza della ICT Security, con particolare riferimento alla dimensione organizzativa operativa e conoscitiva della sicurezza; 2) Implementare una "base minima di sicurezza" In attesa di un Piano Nazionale della Sicurezza 24

25 Auto Valutazione del livello del livello di adeguatezza della ICT Security Proprietà Riservata Una Scheda per ogni Area Chiave 25 Policy Ruoli e Responsabilità Norme e Procedure Amministrazione della Sicurezza Analisi del Rischio Formazione e Sensibilizzazione Ogni Scheda comprende: Modalità operative suggerite Domande chiave Conclusioni e valutazione (1-4)

26 Base Minima di Sicurezza Set di Misure minime da definire, progettare e realizzare nei seguenti settori: ORGANIZZAZIONE DELLA SICUREZZA GESTIONE DELLA SICUREZZA ANALISI E GESTIONE DEL RISCHIO CONTROLLO FISICO/LOGICO DEGLI ACCESSI PROTEZIONE ANTIVIRUS GESTIONE DEI SUPPORTI LA GESTIONE DEGLI INCIDENTI non è una soluzione completa ma una significativa barriera di protezione. 26

27 Approccio Progettuale Fase 1 Top Down: Sviluppo Strategia IS Analisi del Rischio Identificazione Contromisure Raccomandate e Gap Analysis Scelta Gestione del Rischio Sviluppo ICT Security Master Plan Auto Valutazione del Livello di Sicurezza Misura del Rischio Misura del Rischio Verifica Stato dell arte delle misure di sicurezza tecnica (4,5,6,7) Misure Sicurezza Misure Raccomandate Sicurezza Stato Raccomandate dell arte Stato dell arte Sviluppo Piano Attività Vulnerability Assesment Statement of Applicability Statement of Applicability.. Esecuzione Vulnerability Assessment ICT Security Master ICT Security Plan Master Draft Plan Draft Fase 2 Bottom Up: Verifica tecnica Base Minima Sicurezza Stato dell arte Stato Misure dell arte di Sicurezza Misure F,L di e P Sicurezza F,L e P Piano Vulnerability Piano Assessment Vulnerability Assessment Interventi correttivi Interventi Prioritari correttivi Piano Prioritari Gestione Piano Incidenti Gestione Incidenti Fase 3 Sviluppo ICT Security Master Plan Aggiornamento dell ICT Security Master Plan Draft ICT Security Master Plan 27

28 Ulteriori indirizzi Risoluzione del Consiglio dell UE del su un approccio comune ed azioni specifiche per la Sicurezza Impegno da parte degli Stati Membri a garantire la Sicurezza delle Informazioni Interoperabilità delle soluzioni sulla Sicurezza (tra cui open source) nei servizi pubblici di e-government e firma elettronica Cooperazione sui sistemi di identificazione elettronica e/o biometrica Costituzione di una cyber-security task force (sarà L Agenzia?) Linee Guida alla Sicurezza dell OCSE Cultura della Sicurezza Utenti, industrie e soggetti pubblici devono contribuire all attuazione di misure di sicurezza Rispetto dei principi etici e democratici 28

29 Per approfondimenti: E&Y - TSRS Italia Sedi Milano e Roma Tsrs@it.ey.com Raffaella.dalessandro@it.ey.com