La certificazione della sicurezza ICT Roma CNIPA, 30 maggio 2005 Le entità in gioco Common Criteria/ITSEC ACCREDITATORE NORMA DI RIFERIMENTO FORNITORE/TITOLARE OGG. DA CERTIFICARE FRUITORE DEI SERVIZI FORNITI DALL OGGETTO CERTIFICATO BS7799 VALUTATORE CERTIFICATORE OGGETTO DA CERTIFICARE CERTIFICATO
Quando si può parlare di certificazione La certificazione deve essere eseguita in modo da garantire l imparzialità, l oggettività, la ripetibilità e la riproducibilità dell intero processo di certificazione. A tal fine: l accreditatore, il certificatore ed il valutatore (qualora sia presente) devono essere terza parte indipendente rispetto al: Fornitore/titolare dell oggetto da certificare Fruitore della certificazione la certificazione deve basarsi su criteri o standard di riferimento comunemente accettati deve essere verificata la competenza di chi applica la norma di riferimento (valutatore/certificatore) Soggetto di riferimento Per facilitare il mutuo riconoscimento delle certificazioni in vari Paesi, normalmente chi accredita i certificatori/valutatori è un Organismo pubblico o un Associazione altamente rappresentativa
La sicurezza ICT in un Organizzazione Processo di gestione della sicurezza ICT (ISMS) Certificabile BS7799 Informazioni/beni da proteggere Sistemi/prodotti ICT Contromisure tecniche Certificabili ISO/IEC 15408 (Common Criteria) Analisi e gestione dei rischi Politiche di sicurezza (modello organizzativo, definizione requisiti per le contromisure tecniche e non tecniche, ecc.) Contromisure fisiche Pluralità di soggetti con diversi compiti e responsabilità Competenza certificabile secondo criteri quali CISSP/SSCP, CISA/CISM, ecc.) Tipi di certificazione Oggetto certificato Processo di gestione della sicurezza ICT (ISMS) Sistema/prodotto ICT Competenza del personale Norme di riferimento BS7799:2 Common Criteria (ISO/IEC IS15408) ITSEC CISSP/SSCP, CISA/CISM, ecc.
Le certificazioni in Italia regolate da DPCM Certificazione di prodotto/sistema ICT Schema Nazionale del 1995 aggiornato nel 2002 (DPCM 11 aprile 2002 GU n. 131 del 6 giugno 2002) applicabile nel contesto della sicurezza interna e esterna dello Stato Ente di Certificazione/Accreditamento (EC): ANS/UCSi Centri di Valutazione (Ce.Va.): 3 privati, 2 pubblici (tra cui ISCOM ex ISCTI) Schema Nazionale del 2003 (DPCM 30 ottobre 2003 GU n. 98 del 27 aprile 2004) applicabile in tutti i contesti non coperti dal primo Schema Organismo di Certificazione/Accreditamento (OCSI): ISCOM ex ISCTI (Ministero Comunicazioni) che si avvale del supporto della (FUB) Laboratori di Valutazione (LVS): da accreditare nei prossimi mesi Le altre certificazioni in Italia Certificazione del processo di gestione (ISMS) Schema Sincert per l accreditamento BS7799 Organismo di Accreditamento: Sincert Organismi di certificazione accreditati: 4 privati Certificazione del personale Criteri di verifica della competenza sviluppati per lo più in ambito internazionale (es. CISP/SSCP sviluppati da (ISC) 2, CISA/CISM sviluppati da ISACA, ecc.) Soggetti operanti anche in Italia (es. Clusit, come Education Affiliate nell ambito delle certificazioni CISP/SSCP)
La certificazione di sistema/prodotto ICT Lo Schema Nazionale (DPCM 30/10/2003) OCSI (Certificatore/Accreditatore unico) Laboratori per la Valutazione della Sicurezza (LVS) Assistente Fornitore Committente Utilizzatore Concetti chiave Prodotto/Sistema ICT = Ogg. Della Valutaz. (ODV) Protection Profile Security Target Livello di assurance (EALx) Mantenimento della certificazione
Valutazione della sicurezza dei sistemi/prodotti ICT (1) La valutazione della sicurezza secondo i Common Criteria (CC) ha lo scopo di offrire garanzie (assurances) sulla capacità dell ODV di soddisfare i propri obiettivi di sicurezza nell ambiente di sicurezza per esso ipotizzato In altri termini, viene affermato il principio che non ha senso verificare se un sistema/prodotto è sicuro se non si specifica: sicuro per fare cosa (obiettivi di sicurezza) sicuro in quale contesto (ambiente di sicurezza) Valutazione della sicurezza dei sistemi/prodotti ICT (2) I CC costituiscono uno strumento per offrire garanzie circa l efficacia delle funzioni di sicurezza previste per soddisfare gli obiettivi di sicurezza dell ODV l assenza di errori commessi durante il processo di raffinamento che dalla definizione ad alto livello delle funzioni di sicurezza scelte porta alla loro pratica realizzazione la capacità dell ODV di soddisfare i suoi obiettivi di sicurezza anche nella fase operativa
I CC non si occupano Valutazione della sicurezza dei sistemi/prodotti ICT (3) della verifica che l ambiente di sicurezza dell ODV e, conseguentemente, gli obiettivi di sicurezza riflettano adeguatamente il contesto nel quale il sistema o prodotto sarà usato della valutazione delle misure di sicurezza non ICT che sono tenute in considerazione ma non sono oggetto di valutazione e vengono assunte come perfette (efficaci e correttamente realizzate) di alcuni aspetti ICT (controllo di emissioni elettromagnetiche, robustezza di algoritmi e protocolli crittografici, etc.) Ottenimento delle garanzie (assurance) attraverso la ricerca diretta di vulnerabilità derivanti da possibili errori nelle fasi di progettazione, realizzazione e gestione del TOE attraverso la verifica che nelle suddette fasi sia stato previsto l impiego di strumenti, metodologie e procedure finalizzati alla riduzione della probabilità di errori
Strategia dell OCSI Tutelare l utilizzatore della certificazione attraverso: l esecuzione di certificazioni di sistema invece che di prodotto eventualmente eseguite al primo livello di certificazione (anello debole della catena) il mantenimento della validità della certificazione nel tempo
Grazie dell attenzione e-mail: guida@fub.it Direttore dell OCSI e dell ISCOM ing. Luisa Franchina e-mail: luisa.franchina@comunicazioni.it Sito web dell OCSI: www.ocsi.gov.it