L evoluzione della cybersecurity tra vincoli normativi e necessità di protezione

Transcript

1 L evoluzione della cybersecurity tra vincoli normativi e necessità di protezione FOURSec: l approccio multicompliance Sogei per la PA 23 Maggio 2017 Relatore ing. Fabio LAZZINI, Responsabile Security Governance & Privacy 1

2 Sogei S.p.A. Da oltre 40 anni opera nel settore ICT del Ministero dell Economia e delle Finanze, avendo curato la progettazione e realizzazione dell Anagrafe Tributaria, la conduzione e lo sviluppo del Sistema In formativo della Fiscalità, dalle origini della riforma del sistema. Da luglio 2013, con l incorporazione del Ramo IT della Consip S.p.A., è diventata partner tecnologico unico del MEF da cui è interamente controllata Ministero dell Economia e delle Finanze Altre istituzioni Dipartimento dell'amministrazione Generale, del Personale e dei Servizi Dipartimento del Tesoro Ragioneria Generale dello Stato Dipartimento delle Finanze Guardia di Finanza Agenzia delle Entrate Agenzia delle Dogane e dei Monopoli di Stato Agenzia del Demanio Equitalia Uffici di diretta collaborazione con il Ministro Scuola di formazione del MEF (Scuola Nazionale dell Amministrazione) Presidenza del Consiglio (DIPE) Ministero dell Interno Agenzia per la coesione territoriale Ministero dei beni culturali Ministero dell istruzione e della ricerca Corte dei conti AgID (Agenzia per l Italia Digitale) 2

3 Ambiti operativi FISCO ciclo dichiarativo (persone fisiche e imprese), accertamento e riscossione coattiva. comunicazioni ai contribuenti su attività di verifica (controlli formali e sostanziali). sistema catastale (catasto e conservatorie) e demanio del patrimonio pubblico SANITÀ rilascio e governo del sistema Tessera Sanitaria/Codice Fiscale/TEAM per il monitoraggio della spesa sanitaria certificati medici e ricette digitali DOGANE E ACCISE sistema fiscale doganale, dichiarazioni doganali per merci in arrivo e uscita dal territorio nazionale (frontiere, porti e aeroporti), IVA e accise su prodotti energetici, alcool e tabacchi BILANCIO formazione del bilancio dello Stato gestione delle fasi di bilancio gestione decreti di variazione bilanci degli enti CONTABILITÀ PUBBLICA gestione dei pagamenti della PA sistema contabile PA (SICOGE) monitoraggio della Spesa pubblica FINANZA debito pubblico monitoraggio finanza statale e locale piattaforma per la certificazione dei crediti modelli di previsione ed analisi statistiche a supporto delle decisioni di politica economica GIOCO REGOLATO sistema delle entrate erariali del gioco regolato (scommesse ippiche e sportive, apparecchi, gioco online, controllo e convalida dei giochi, giochi numerici a totalizzatore nazionale) PERSONALE DELLA PA buste paga, presenze e gestione giuridica del personale del MEF buste paga per le amministrazioni pubbliche INTELLIGENCE, CONTROLLI, GEOMATICA E MISURE SATELLITARI soluzioni di intelligence connesse alle fasi di ausilio alle indagini e al controllo prodotti per la georeferenziazione e la misura satellitare di precisione sviluppo di nuove applicazioni per la prevenzione e repressione di fenomeni di evasione fiscale 3

4 Banche dati Fisco Catasto Dogane Sanità Giochi 41 Mln di contribuenti di cui oltre 5 Mln di partite IVA 229 Mln F24 pagamento imposte/anno 100 Mln Documenti trasmessi per dichiarazione redditi/anno 72 Mln U.I. urbane 40 Mln Proprietari fabbricati 24 Mln Proprietari terreni 70 Mln Visure catastali/anno 18 Mln Dichiarazioni doganali/anno 30 Mln Documenti/anno 60 Mln Assistiti 830 Mln Ricette/anno 25 Mln Certificati/anno 7 Mln Conti di gioco (aperti) 3,5 Mld Transazioni di gioco/anno Spese PA Bilancio e Finanza pubblica Personale PA 1,4 Mln Titoli di spesa annui 1,8 Mln Fatture gestite su SICOGE 28 Mln Fatture/Note credito registrate su piattaforma per la certificazione dei crediti 1,8 Mln Cedolini mensili Bilanci consuntivi enti Progetti opere pubbliche 1,1 Mln Progetti di programmazione Fatture PA 52 Mln di fatture/anno verso le PA centrali e locali 4

5 Portali (pagine/visitatori 2016) Agenzia delle Entrate: 650,7 Mln / 132,7 Mln Agenzia delle Dogane e dei Monopoli: 76 Mln / 12,8 Mln Equitalia: 62,8 Mln / 9,3 Mln Portale Tessera Sanitaria: 38,4 Mln / 7,3 Mln Dipartimento delle Finanze: 28,5 Mln / 3,7 Mln Agenzia del Demanio: 13,6 Mln / 1,5 Mln Ragioneria Generale dello Stato: 6,7 Mln / 1,3 Mln Portale MEF: 4,3 Mln / 1,3 Mln Corte dei conti: 3 Mln / Giustizia Tributaria: 3,1 Mln / Dipartimento dell Amministrazione Generale: / Dipartimento del Tesoro: /

6 Servizi ICT ENTRATEL FISCONLINE SISTER Telematico Doganale Sistema TS Sanità Utenti abilitati 29 Mln di trasmissioni (file) 170 Mln di documenti trasmessi 5,8 Mln di utenti e piccole imprese 6,9 Mln di transazioni/documenti Utenti 2,6 Mln di atti registrati 44 Mln di ispezioni ipotecarie e 54 Mln di visure PREGEO e 2 Mln DOCFA Operatori 30 Mln Documenti / 18 Mln Dichiarazioni doganali 64,8 Mln di file scambiati Medici Farmacie Strutture specialistiche 830 Mln Ricette 25 Mln Certificati malattia 62 Mln File accolti Sistemi di gioco NoiPA Contabilità e Finanza pubblica SDI Sistema Di Interscambio per la Fatturazione Elettronica Soggetti abilitati Apparecchi sistemi VLT certificati 3,5 miliardi Transazioni 2 Mln Utenti 1,8 Mln Cedolini/mese Enti per bilanci Imprese per certificazione crediti 15 Ministeri e organi di rilievo costituzionale Imprese emittenti 52 Mln fatture ( di flusso giornaliero) soggetti pubblici riceventi 6

7 Network Entratel Fisconline CAF ed esperti contabili Altri soggetti abilitati (assicurazioni, associazioni categoria, agenzie di mediazione, grandi imprese) 5,8 Milioni di cittadini e piccole imprese Agenzia Entrate SISTER SDI TS - CNS Utenti imprese emittenti soggetti pubblici riceventi Medici Farmacie Strutture sanitarie ADM Telematico Doganale - EDI Operatori VLT Agenzia Dogane e Monopoli RGS DAG SPC (PAC + PAL) M. Interno ANPR 2 Milioni utenti e 100 soggetti giuridici collegati a NoiPA Enti per Bilanci Enti per Certificazioni crediti Imprese per Certificazioni crediti 19 Ministeri e organi di rilievo costituzionale per SICOGE Utenti MEF Conti di gioco Sale Bingo 210 Ippodromi 50 New Slot 7 Milioni intestati a persone fisiche Anagrafi comunali 61 Milioni di cittadini 7

8 Postazioni di lavoro Oltre (desktop e laptop) comprese quelle Sogei Agenzia delle Entrate Agenzia delle Dogane e dei Monopoli Ragioneria Generale dello Stato Sogei Dipartimento delle Finanze Dipartimento dell Amministrazione Generale, del Personale e dei Servizi Dipartimento del Tesoro Agenzia del Demanio 8

9 Infrastruttura e sviluppo software Gestione dei Data Center e dell infrastruttura periferica del MEF Elevate potenze elaborative e di storage Connettività 600 nodi reti locali Storage 11 Petabyte SAN 1 Petabyte Mainframe Rete CED 930 switch/30 router 80 bilanciatori Elaborazione 2 Mainframe ( Mips) server fisici server virtuali Sicurezza 50 Firewall centrali/500 Firewall periferici 10 Sistemi IPS centrali 2 Disaster Recovery sites RETE Geografica Intranet MEF uffici periferici router/6.000 switch/800 access-point Rete Giochi 310 concessionari SPC/diretti Internet e Infranet SPC 80 concessionari in VPN/75 enti connessi Kit applicativi Progettazione, sviluppo, manutenzione e gestione operativa di applicazioni e servizi software kit che garantiscono il funzionamento operativo e consentono di gestire i processi di lavoro di uffici (oltre postazioni di lavoro) Banche dati 218 (escluse quelle asservite alla Business Intelligence) Domini 84 (argomenti di business) 9

10 Infrastruttura e servizi tecnologici Servizi DHCP e DNS IP pdl e VOIP 200 domini esterni Centro servizi multimediale Servizi di accesso ad internet/ Servizi di comunicazione video-voce e collaboration on-net Servizi VOIP end-point VOIP su 6 domini 350 gateway VOIP Centro di interconnessione Collaboration e Unified Communication circa utenti abilitati Posta elettronica ordinaria circa 60 domini di posta/ caselle per 130 TB circa caselle con Archiving per 105 TB Oltre 670 mln di messaggi (ultimi 6 mesi) per un totale di circa 10 TB mese (90% scartati per verifiche spam/reputation/malware) Posta elettronica certificata circa 40 domini PEC circa caselle di posta certificata circa 9 milioni di messaggi PEC/mese Servizi di Call Center circa operatori circa 12 servizi/canali circa 3,3 milioni di contatti annui Servizi di accesso ad Internet utenti 6 servizi distinti con funzioni white e black list 20 milioni accessi/mese per 20 TB mese 10

11 Sogei, infrastruttura critica nazionale Infrastruttura critica nazionale Convenzione con la Polizia di Stato per la condivisione di procedure d intervento e scambio di informazioni utili alla prevenzione e al contrasto degli attacchi informatici, in collaborazione con il C.N.A.I.P.I.C. della Polizia Postale e delle Comunicazioni. Accordo stipulato in attuazione del DM del Ministro dell Interno del 9 gennaio del 2008, che ha individuato le infrastrutture critiche informatizzate d interesse nazionale Dati e Infrastrutture Servizi ICT Posti di lavoro / end-point 11

12 Cybersecurity - Protezioni Dati e infrastrutture Servizi ICT Posti di lavoro / End-point Sicurezza fisica Presidio armato GdF Controllo accessi persone e veicoli TVCC e Sistemi di protezione passiva Sicurezza logica Protezione delle comunicazioni (Firewall, Sonde IPS, AntiDDoS, VPN) Gestione delle identità Individuazione delle minacce Gestione degli incidenti Data Center Automation Software Defined Data Center Sicurezza by design Processo di certificazione dei servizi Linee guida di sviluppo Requisiti di Sicurezza Disegno architetturale Verifica di qualità e sicurezza del sw (penetration test) Monitoraggio e analisi dei dati Sicurezza end-point Antimalware Antiramsonware Antispam Reputation filter (mail/http) Certificati 12

13 Cybersecurity - Persone Le principali certificazioni con impatto sulla information security in Sogei Certificazioni Aziendali > Sistema di Gestione per la Sicurezza delle informazioni certificato ISO/IEC > Sistema di Gestione per la Qualità certificato ISO/IEC 9001 > E in corso la verifica della conformità alla recente norma ISO/IEC (ottobre 2015) sulla Qualità dei dati. Certificazioni professionali individuali > Certified Digital Forensic Examiner (CDFE) > Certified Ethical Hacker (CEH), Qualified Ethical Hacker (QEH) > Certified Information Forensics Investigator (CIFI) > Certified Information Security Manager (CISM) > Certified Information Systems Auditor (CISA) > COBIT5 Foundation > Computer Hacking Forensic Investigator (CHFI) > ISMS Auditor ISO > Cyber Security Fundamentals CSX > Auditor Sistemi di Gestione dei Servizi IT (ISO 20000) > ITIL V3 Foundation > OSSTMM Professional Security Analyst (OPSA) > OSSTMM Professional Security Tester (OPST) > OWASP Web Security Tester > Offensive Security Certified Professional (OSCP) > Project Management Professional (PMP, Prince2) > Quality Assessor (ISO 9001) > TOGAF 9 Certified oltre ore di formazione tecnico-specialistica e normativa erogate nel 2016 > Professional Engineer > Security Specialist > VPN security Specialist > Network security Administrator > Network security Professional > Firewall Architect > Firewall Engineer > IPS Architect > IPS Engineer > Firewall Management Administrator > Product Administrator 13

14 CERT Sogei Key Figures 792 cyber event gestiti nel 2016 vs i 347 del 2015 (oltre il 128% rispetto all anno precedente ) Distribuzioni cyber event 2016 per TIPOLOGIA DI EVENTO % Malware % Spam/Phishing 67 8% Patch/Change 31 4% Vulnerabilità 30 4% Minaccia 14 2% Diffusione informazioni 5 1% DDoS AREA DI IMPATTO % Sogei/MEF 69 9% MEF 32 4% Sogei 17 2% Agenzia delle Entrate 15 2% Equitalia 10 1% Agenzia del Demanio 3 0,4% Dipartimento Finanze 1 0,1% Geoweb FONTE DELLA SEGNALAZIONE % Interna Sogei % USL MEF % CNAIPIC 34 4% CERT-PA 14 2% Equitalia 13 2% SOC Sogei 12 2% Agenzia del Demanio 11 1% Agenzia delle Entrate 8 1% NSC 7 1% CERT-EU 7 1% DIS 1 0,1% Esterna Sogei 1 0,1% Dipartimento Finanze CERT Sogei focal point per la security del MEF L aumento degli eventi gestiti nel 2016, più che raddoppiati rispetto all anno precedente, conferma il CERT Sogei punto di riferimento per la cybersecurity sia interna all azienda che verso i Clienti 14

15 SOC Sogei Key Figures 2016 Security Operations Eventi registrati e bloccati dagli IPS relativi alla navigazione (media mensile) Eventi bloccati dagli IPS relativi ai servizi ICT esposti (media mensile) Occorrenze malware intercettate dai sistemi antimalware di posta (totale annuo) di spam/phishing intercettate dai sistemi antimalware di posta (totale annuo) di spam/phishing messe in quarantena dai sistemi antimalware di posta (totale annuo) Occorrenze malware bloccate dai sistemi antimalware di navigazione internet (totale annuo) Spam/Phishing intercettato dal sistemi antimalware di navigazione internet (totale annuo) Occcorrenze malware intercettate dai sistemi antimalware degli endpoint (totale annuo) 570 Segnalazioni da CERT analizzate e risolte 20 Incidenti analizzati, gestiti e risolti Manutenzione infrastrutture tecnologiche di sicurezza Endpoint client e Server protetti centralmente 550 Firewall centrali e periferici 30 Server per Intrusion Prevention Systems 25 Firewall XML, Application Firewall 2 Sistemi per Firewall Assurance, Network Assurance e Risk Control 1 Controllo Accessi dedicato agli Amministratori di Sistema 2 Infrastrutture di strong authentication su token OTP (hardware e software) 3 Sistemi antimalware, antispam e antiphishing di posta elettronica 2 Sistemi antimalware, URL filtering e Application control per la navigazione internet 3 Sistemi di Identity & Access Management per utenti interni ed esterni (7,5 M) 15

16 Sede Legale Via M. Carucci n Roma 16