L evoluzione della cybersecurity tra vincoli normativi e necessità di protezione FOURSec: l approccio multicompliance Sogei per la PA 23 Maggio 2017 Relatore ing. Fabio LAZZINI, Responsabile Security Governance & Privacy 1
Sogei S.p.A. Da oltre 40 anni opera nel settore ICT del Ministero dell Economia e delle Finanze, avendo curato la progettazione e realizzazione dell Anagrafe Tributaria, la conduzione e lo sviluppo del Sistema In formativo della Fiscalità, dalle origini della riforma del sistema. Da luglio 2013, con l incorporazione del Ramo IT della Consip S.p.A., è diventata partner tecnologico unico del MEF da cui è interamente controllata Ministero dell Economia e delle Finanze Altre istituzioni Dipartimento dell'amministrazione Generale, del Personale e dei Servizi Dipartimento del Tesoro Ragioneria Generale dello Stato Dipartimento delle Finanze Guardia di Finanza Agenzia delle Entrate Agenzia delle Dogane e dei Monopoli di Stato Agenzia del Demanio Equitalia Uffici di diretta collaborazione con il Ministro Scuola di formazione del MEF (Scuola Nazionale dell Amministrazione) Presidenza del Consiglio (DIPE) Ministero dell Interno Agenzia per la coesione territoriale Ministero dei beni culturali Ministero dell istruzione e della ricerca Corte dei conti AgID (Agenzia per l Italia Digitale) 2
Ambiti operativi FISCO ciclo dichiarativo (persone fisiche e imprese), accertamento e riscossione coattiva. comunicazioni ai contribuenti su attività di verifica (controlli formali e sostanziali). sistema catastale (catasto e conservatorie) e demanio del patrimonio pubblico SANITÀ rilascio e governo del sistema Tessera Sanitaria/Codice Fiscale/TEAM per il monitoraggio della spesa sanitaria certificati medici e ricette digitali DOGANE E ACCISE sistema fiscale doganale, dichiarazioni doganali per merci in arrivo e uscita dal territorio nazionale (frontiere, porti e aeroporti), IVA e accise su prodotti energetici, alcool e tabacchi BILANCIO formazione del bilancio dello Stato gestione delle fasi di bilancio gestione decreti di variazione bilanci degli enti CONTABILITÀ PUBBLICA gestione dei pagamenti della PA sistema contabile PA (SICOGE) monitoraggio della Spesa pubblica FINANZA debito pubblico monitoraggio finanza statale e locale piattaforma per la certificazione dei crediti modelli di previsione ed analisi statistiche a supporto delle decisioni di politica economica GIOCO REGOLATO sistema delle entrate erariali del gioco regolato (scommesse ippiche e sportive, apparecchi, gioco online, controllo e convalida dei giochi, giochi numerici a totalizzatore nazionale) PERSONALE DELLA PA buste paga, presenze e gestione giuridica del personale del MEF buste paga per le amministrazioni pubbliche INTELLIGENCE, CONTROLLI, GEOMATICA E MISURE SATELLITARI soluzioni di intelligence connesse alle fasi di ausilio alle indagini e al controllo prodotti per la georeferenziazione e la misura satellitare di precisione sviluppo di nuove applicazioni per la prevenzione e repressione di fenomeni di evasione fiscale 3
Banche dati Fisco Catasto Dogane Sanità Giochi 41 Mln di contribuenti di cui oltre 5 Mln di partite IVA 229 Mln F24 pagamento imposte/anno 100 Mln Documenti trasmessi per dichiarazione redditi/anno 72 Mln U.I. urbane 40 Mln Proprietari fabbricati 24 Mln Proprietari terreni 70 Mln Visure catastali/anno 18 Mln Dichiarazioni doganali/anno 30 Mln Documenti/anno 60 Mln Assistiti 830 Mln Ricette/anno 25 Mln Certificati/anno 7 Mln Conti di gioco (aperti) 3,5 Mld Transazioni di gioco/anno Spese PA Bilancio e Finanza pubblica Personale PA 1,4 Mln Titoli di spesa annui 1,8 Mln Fatture gestite su SICOGE 28 Mln Fatture/Note credito registrate su piattaforma per la certificazione dei crediti 1,8 Mln Cedolini mensili 22.000 Bilanci consuntivi enti 812.000 Progetti opere pubbliche 1,1 Mln Progetti di programmazione Fatture PA 52 Mln di fatture/anno verso le PA centrali e locali 4
Portali (pagine/visitatori 2016) Agenzia delle Entrate: 650,7 Mln / 132,7 Mln Agenzia delle Dogane e dei Monopoli: 76 Mln / 12,8 Mln Equitalia: 62,8 Mln / 9,3 Mln Portale Tessera Sanitaria: 38,4 Mln / 7,3 Mln Dipartimento delle Finanze: 28,5 Mln / 3,7 Mln Agenzia del Demanio: 13,6 Mln / 1,5 Mln Ragioneria Generale dello Stato: 6,7 Mln / 1,3 Mln Portale MEF: 4,3 Mln / 1,3 Mln Corte dei conti: 3 Mln / 569.000 Giustizia Tributaria: 3,1 Mln / 315.000 Dipartimento dell Amministrazione Generale: 862.000 / 312.000 Dipartimento del Tesoro: 492.000 / 127.000 5
Servizi ICT ENTRATEL FISCONLINE SISTER Telematico Doganale Sistema TS Sanità 289.000 Utenti abilitati 29 Mln di trasmissioni (file) 170 Mln di documenti trasmessi 5,8 Mln di utenti e piccole imprese 6,9 Mln di transazioni/documenti 289.000 Utenti 2,6 Mln di atti registrati 44 Mln di ispezioni ipotecarie e 54 Mln di visure 485.000 PREGEO e 2 Mln DOCFA 393.000 Operatori 30 Mln Documenti / 18 Mln Dichiarazioni doganali 64,8 Mln di file scambiati 310.000 Medici 16.000 Farmacie 18.000 Strutture specialistiche 830 Mln Ricette 25 Mln Certificati malattia 62 Mln File accolti Sistemi di gioco NoiPA Contabilità e Finanza pubblica SDI Sistema Di Interscambio per la Fatturazione Elettronica 90.000 Soggetti abilitati 560.000 Apparecchi 1.600 sistemi VLT certificati 3,5 miliardi Transazioni 2 Mln Utenti 1,8 Mln Cedolini/mese 15.000 Enti per bilanci 26.000 Imprese per certificazione crediti 15 Ministeri e organi di rilievo costituzionale 880.000 Imprese emittenti 52 Mln fatture (200.000 di flusso giornaliero) 56.000 soggetti pubblici riceventi 6
Network Entratel Fisconline 169.000 CAF ed esperti contabili 120.000 Altri soggetti abilitati (assicurazioni, associazioni categoria, agenzie di mediazione, grandi imprese) 5,8 Milioni di cittadini e piccole imprese Agenzia Entrate SISTER SDI TS - CNS 289.000 Utenti 880.000 imprese emittenti 56.000 soggetti pubblici riceventi 310.000 Medici 16.000 Farmacie 18.000 Strutture sanitarie ADM Telematico Doganale - EDI 393.000 Operatori VLT 55.000 Agenzia Dogane e Monopoli RGS DAG SPC (PAC + PAL) M. Interno ANPR 2 Milioni utenti e 100 soggetti giuridici collegati a NoiPA 15.000 Enti per Bilanci 23.000 Enti per Certificazioni crediti 26.000 Imprese per Certificazioni crediti 19 Ministeri e organi di rilievo costituzionale per SICOGE 64.300 Utenti MEF Conti di gioco Sale Bingo 210 Ippodromi 50 New Slot 7 Milioni intestati a persone fisiche 400.000 8.000 Anagrafi comunali 61 Milioni di cittadini 7
Postazioni di lavoro Oltre 75.000 (desktop e laptop) comprese quelle Sogei 45.000 Agenzia delle Entrate 12.300 Agenzia delle Dogane e dei Monopoli 6.500 Ragioneria Generale dello Stato 3.550 Sogei 2.900 Dipartimento delle Finanze 2.000 Dipartimento dell Amministrazione Generale, del Personale e dei Servizi 1.600 Dipartimento del Tesoro 1.300 Agenzia del Demanio 8
Infrastruttura e sviluppo software Gestione dei Data Center e dell infrastruttura periferica del MEF Elevate potenze elaborative e di storage Connettività 600 nodi 1.300 reti locali Storage 11 Petabyte SAN 1 Petabyte Mainframe Rete CED 930 switch/30 router 80 bilanciatori Elaborazione 2 Mainframe (32.100 Mips) 1.600 server fisici 8.100 server virtuali Sicurezza 50 Firewall centrali/500 Firewall periferici 10 Sistemi IPS centrali 2 Disaster Recovery sites RETE Geografica Intranet MEF 1.350 uffici periferici 1.200 router/6.000 switch/800 access-point Rete Giochi 310 concessionari SPC/diretti Internet e Infranet SPC 80 concessionari in VPN/75 enti connessi Kit applicativi Progettazione, sviluppo, manutenzione e gestione operativa di applicazioni e servizi software 1.000 kit che garantiscono il funzionamento operativo e consentono di gestire i processi di lavoro di 1.500 uffici (oltre 75.000 postazioni di lavoro) Banche dati 218 (escluse quelle asservite alla Business Intelligence) Domini 84 (argomenti di business) 9
Infrastruttura e servizi tecnologici Servizi DHCP e DNS 160.000 IP pdl e VOIP 200 domini esterni Centro servizi multimediale Servizi di accesso ad internet/ Servizi di comunicazione video-voce e collaboration on-net Servizi VOIP 74.000 end-point VOIP su 6 domini 350 gateway VOIP Centro di interconnessione Collaboration e Unified Communication circa 15.000 utenti abilitati Posta elettronica ordinaria circa 60 domini di posta/90.000 caselle per 130 TB circa 60.000 caselle con Archiving per 105 TB Oltre 670 mln di messaggi (ultimi 6 mesi) per un totale di circa 10 TB mese (90% scartati per verifiche spam/reputation/malware) Posta elettronica certificata circa 40 domini PEC circa 2.850 caselle di posta certificata circa 9 milioni di messaggi PEC/mese Servizi di Call Center circa 1.000 operatori circa 12 servizi/canali circa 3,3 milioni di contatti annui Servizi di accesso ad Internet 80.000 utenti 6 servizi distinti con funzioni white e black list 20 milioni accessi/mese per 20 TB mese 10
Sogei, infrastruttura critica nazionale Infrastruttura critica nazionale Convenzione con la Polizia di Stato per la condivisione di procedure d intervento e scambio di informazioni utili alla prevenzione e al contrasto degli attacchi informatici, in collaborazione con il C.N.A.I.P.I.C. della Polizia Postale e delle Comunicazioni. Accordo stipulato in attuazione del DM del Ministro dell Interno del 9 gennaio del 2008, che ha individuato le infrastrutture critiche informatizzate d interesse nazionale Dati e Infrastrutture Servizi ICT Posti di lavoro / end-point 11
Cybersecurity - Protezioni Dati e infrastrutture Servizi ICT Posti di lavoro / End-point Sicurezza fisica Presidio armato GdF Controllo accessi persone e veicoli TVCC e Sistemi di protezione passiva Sicurezza logica Protezione delle comunicazioni (Firewall, Sonde IPS, AntiDDoS, VPN) Gestione delle identità Individuazione delle minacce Gestione degli incidenti Data Center Automation Software Defined Data Center Sicurezza by design Processo di certificazione dei servizi Linee guida di sviluppo Requisiti di Sicurezza Disegno architetturale Verifica di qualità e sicurezza del sw (penetration test) Monitoraggio e analisi dei dati Sicurezza end-point Antimalware Antiramsonware Antispam Reputation filter (mail/http) Certificati 12
Cybersecurity - Persone Le principali certificazioni con impatto sulla information security in Sogei Certificazioni Aziendali > Sistema di Gestione per la Sicurezza delle informazioni certificato ISO/IEC 27001 > Sistema di Gestione per la Qualità certificato ISO/IEC 9001 > E in corso la verifica della conformità alla recente norma ISO/IEC 25024 (ottobre 2015) sulla Qualità dei dati. Certificazioni professionali individuali > Certified Digital Forensic Examiner (CDFE) > Certified Ethical Hacker (CEH), Qualified Ethical Hacker (QEH) > Certified Information Forensics Investigator (CIFI) > Certified Information Security Manager (CISM) > Certified Information Systems Auditor (CISA) > COBIT5 Foundation > Computer Hacking Forensic Investigator (CHFI) > ISMS Auditor ISO 27001 > Cyber Security Fundamentals CSX > Auditor Sistemi di Gestione dei Servizi IT (ISO 20000) > ITIL V3 Foundation > OSSTMM Professional Security Analyst (OPSA) > OSSTMM Professional Security Tester (OPST) > OWASP Web Security Tester > Offensive Security Certified Professional (OSCP) > Project Management Professional (PMP, Prince2) > Quality Assessor (ISO 9001) > TOGAF 9 Certified oltre 30.000 ore di formazione tecnico-specialistica e normativa erogate nel 2016 > Professional Engineer > Security Specialist > VPN security Specialist > Network security Administrator > Network security Professional > Firewall Architect > Firewall Engineer > IPS Architect > IPS Engineer > Firewall Management Administrator > Product Administrator 13
CERT Sogei Key Figures 792 cyber event gestiti nel 2016 vs i 347 del 2015 (oltre il 128% rispetto all anno precedente ) Distribuzioni cyber event 2016 per TIPOLOGIA DI EVENTO 356 45% Malware 289 36% Spam/Phishing 67 8% Patch/Change 31 4% Vulnerabilità 30 4% Minaccia 14 2% Diffusione informazioni 5 1% DDoS AREA DI IMPATTO 645 81% Sogei/MEF 69 9% MEF 32 4% Sogei 17 2% Agenzia delle Entrate 15 2% Equitalia 10 1% Agenzia del Demanio 3 0,4% Dipartimento Finanze 1 0,1% Geoweb FONTE DELLA SEGNALAZIONE 295 37% Interna Sogei 258 33% USL MEF 131 17% CNAIPIC 34 4% CERT-PA 14 2% Equitalia 13 2% SOC Sogei 12 2% Agenzia del Demanio 11 1% Agenzia delle Entrate 8 1% NSC 7 1% CERT-EU 7 1% DIS 1 0,1% Esterna Sogei 1 0,1% Dipartimento Finanze CERT Sogei focal point per la security del MEF L aumento degli eventi gestiti nel 2016, più che raddoppiati rispetto all anno precedente, conferma il CERT Sogei punto di riferimento per la cybersecurity sia interna all azienda che verso i Clienti 14
SOC Sogei Key Figures 2016 Security Operations 287.000 Eventi registrati e bloccati dagli IPS relativi alla navigazione (media mensile) 178.000 Eventi bloccati dagli IPS relativi ai servizi ICT esposti (media mensile) 4.800.000 Occorrenze malware intercettate dai sistemi antimalware di posta (totale annuo) 21.000.000 E-mail di spam/phishing intercettate dai sistemi antimalware di posta (totale annuo) 12.000.000 E-mail di spam/phishing messe in quarantena dai sistemi antimalware di posta (totale annuo) 161.000.000 Occorrenze malware bloccate dai sistemi antimalware di navigazione internet (totale annuo) 8.200.000 Spam/Phishing intercettato dal sistemi antimalware di navigazione internet (totale annuo) 890.000 Occcorrenze malware intercettate dai sistemi antimalware degli endpoint (totale annuo) 570 Segnalazioni da CERT analizzate e risolte 20 Incidenti analizzati, gestiti e risolti Manutenzione infrastrutture tecnologiche di sicurezza 80.000 Endpoint client e Server protetti centralmente 550 Firewall centrali e periferici 30 Server per Intrusion Prevention Systems 25 Firewall XML, Application Firewall 2 Sistemi per Firewall Assurance, Network Assurance e Risk Control 1 Controllo Accessi dedicato agli Amministratori di Sistema 2 Infrastrutture di strong authentication su token OTP (hardware e software) 3 Sistemi antimalware, antispam e antiphishing di posta elettronica 2 Sistemi antimalware, URL filtering e Application control per la navigazione internet 3 Sistemi di Identity & Access Management per utenti interni ed esterni (7,5 M) 15
Sede Legale Via M. Carucci n. 99-00143 Roma www.sogei.it 16