Adempiere tecnologicamente al provvedimento del Garante per gli Amministratori di Sistema

Adempiere tecnologicamente al provvedimento del Garante per

gli Amministratori di Sistema

Massimo Cotta Marketing & Presales Director

Redco Telematica [email protected]

Massimo Cotta Marketing & Presales Director

Redco Telematica [email protected]

20 Maggio 2009 – Assago - Milanofiori20 Maggio 2009 – Assago - Milanofiori

ONC SPRING 2009 – LA PRIMAVERA DELLE COMUNCAZIONI

Agenda

• Situazione ad oggi in merito alle misure richieste dal Garante

• Un possibile approccio produttivo alla tematica

• La soluzione tecnologica


Le misure richieste dal Garante

Di seguito sono indicati gli accorgimenti e le misure che vengono prescritti ai sensi dell'art. 154, comma 1, lett. c) del Codice, a tutti i titolari dei trattamenti di dati personali effettuati con strumenti elettronici, esclusi, allo stato, quelli effettuati in ambito pubblico e privato a fini amministrativo-contabili, ovvero:


4.4 Verifica delle attivitàL'operato degli amministratori di sistema deve essere oggetto, con cadenza almeno annuale, di un'attività di verifica da parte dei titolari del trattamento, in modo da controllare la sua rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dalle norme vigenti.

4.3 Elenco degli amministratori di sistemaGli estremi identificativi delle persone fisiche amministratori di sistema, con l'elenco delle funzioni ad essi attribuite, devono essere riportati nel documento programmatico sulla sicurezza,……

Nel caso di servizi di amministrazione di sistema affidati in outsourcing il titolare deve conservare direttamente e specificamente, per ogni eventuale evenienza, gli estremi identificativi delle persone fisiche preposte quali amministratori di sistema.



4.5 Registrazione degli accessiDevono essere adottati sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche di completezza, inalterabilità e possibilità di verifica della loro integrità adeguate al raggiungimento dello scopo di verifica per cui sono richieste.

Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi.

Fonte: http://www.garanteprivacy.it/garante/doc.jsp?ID=1577499



Bene, e adesso?

• Il quadro normativo da tenere presente è ben più ampio (es. Art. 4 Statuto Lavoratori)

• La Normativa è assolutamente soggetta ad interpretazione

• Ogni Azienda dovrà scegliere l’approccio più adeguato alla Normativa e definire la propria risposta

• E’ fortemente consigliato valutare l’opportunità di una consulenza in ambito privacy / legale

• Non per ultimo, tutti sperano in una provvidenziale proroga….ma ciò ritarderà solo la reale risoluzione del problema che deve invece essere risolto quanto prima

• La soluzione tecnologica sarà solo una parte del sistema globale che porterà al raggiungimento della compliance aziendale alla normativa


Chi ha letto la normativa si è certamente chiesto

6: Come poter garantire e provare che il dato memorizzato non sia stato alterato

1: Quali figure sono identificabili nel ruolo appartenente agli “Amministratori di Sistema”

2: Quali sono gli eventi da collezionare3: Se occorre solo tracciare il login ed il logout dell’amministratore o anche l’attività svolta

4: Quanto spazio sullo storage servirà per collezionare tutti log

5: Come è possibile farsì che gli amministratori non cancellino le loro tracce informatiche


Ecco le uniche risposte certe

• Per «amministratore di sistema» si individuano generalmente, in ambito informatico, figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti.

Ai fini del presente provvedimento vengono però considerate tali anche altre figure equiparabili dal punto di vista dei rischi relativi alla protezione dei dati, quali:

• Amministratore di base dati

• Amministratori di reti e di apparati di sicurezza amministratori di sistemi software complessi

• Amministratori di sistemi di backup/restore e manutenzione hardwareAvendo molte associazioni di categoria (Asstel, ABI, Confindustria) esposto i propri dubbi in merito ad alcuni aspetti del provvedimento, il 21 Aprile, il Garante ha aperto una consultazione pubblica (http://www.garanteprivacy.it/garante/doc.jsp?ID=1611986) per chiarire definitivamente i punti controversi. Tutti coloro che vogliano inoltrare suggerimenti, osservazioni o commenti avranno tempo fino al 31 maggio p.v.

Non resta, quindi, che attendere il pronunciamento dell’Autorità Garante Privacy e sperare che possa finalmente fornire i chiarimenti richiesti.


Un possibile approccio “trifase”

Assessment Progetto Implementazione Tuning

Fase1 Fase2 Fase3

Considerando che, prima o poi, il provvedimento entrerà in vigore, valutiamo allora un possibile approccio organico alla problematica:


Fase 1

• Che Cosa – Chi - Come

• Definizione delle procedure per identificare e gestire gli accessi fisico / logici ai sistemi ed alla rete

• Individuazione degli Amministratori di Sistema, di rete e delle banche dati, al fine della regolamentazione delle procedure elencate nella normativa del Garante

• Definizione delle procedure per definire le modalità di raccolta, analisi e conservazione dei log di sistema

• Individuazione degli apparati e dei sistemi che dovranno essere soggetti alla regolamentazione di raccolta ed analisi dei log

Assessment


Fase 2

A conclusione dell’assessment procedurale e tecnologico potrà essere proposta l’adozione di sistemi idonei alla registrazione degli accessi logici ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. In questa fase si identificherà l’architettura tecnologicamente più adatta a soddisfare i prerequisiti tecnici e normativi identificati.

Progetto


Fase 3

Questa fase riguarderà l’implementazione ed il tuning del sistema tecnologico proposto. L’obiettivo finale sarà la definizione di policy minimali e funzionali, che possano validare il percorso normativo / procedurale definito nella “Fase 1”. Tuning

Implementazione


Esigenze Aziendali Disposizioni Garante

Obiettivi progetto

Assessment per identificazione sorgente dati

Policy Aziendale

Ufficio Legale (risultati analisi)

Funzione Compliance (DPS) (risultati analisi)

Amministratori di Sistema

Procedure

OK?NO

Soluzione tecnologica

SI

Il processo più corretto


Requisiti della soluzione tecnologica

La soluzione tecnologica dovrà, come minimo, consentire:

• La piena soddisfazione dei requisiti delle normative

• Un’analisi efficace e veloce, a fronte di richieste ed incidenti

• La gestione pro-attiva e reattiva di violazioni, mediante reporting ed alerting dedicato

• L’enforcement delle policy di accesso

• La correlazione degli eventi

• L’ integrabilità verso sistemi proprietari/legacy

• La certificazione dell’inalterabilità dei dati memorizzati

• Una gestione semplificata e multi-livello delle attività operative


Una comune architettura aziendale

Router logs

IDS/IDP logs

VPN logs

Firewall logs

Windows logs

Client & file server logs

Wireless access logs

Windows domain logins

Oracle Financial Logs

San File Access Logs VLAN

Access & Control logs

DHCP logs

Linux, Unix, Windows OS logs

Mainframe logs

Database Logs

Web server activity

Content management logs

Web cache & proxy logs

VA Scan logs

Switch logs


La razionalizzazione degli asset

IDS/IDP logs

VPN logs

Firewall logsClient & file

server logs

Windows domain logins

Oracle Financial Logs

SAN file Access Logs

Mainframe logs

Database Logs

VA Scan logs

Switch logs


Il vendor di riferimento: RSA enVision


L’architettura della soluzione - Collection

•Disaccoppiamento tra Raccolta ed Analisi/Reportistica•Possibilità di sviluppo a supporto di sorgenti dati “sconosciute”•Possibilità di approccio “incrementale”•Raccolta RealTime ed Agentless•Singolo punto di raccolta

•Raccolta di eventi “RAW”•Collezionamento completo (no prefiltering)•Sorgenti di tipologia eterogenea•Soluzione concepita per il Real-Time•Flessibilità per analisi future di diverse tipologie •Supporto ad elevati carichi in ricezione


•Differenziazione degli storage per rispettare le policy di ridondanza•Compressione dei dati archiviati•Possibilità di aumentare la protezione dei dati mediante funzionalità aggiuntive dei sistemi di storage supportati

•Archivio WORM (Write Once Read Many) applicativo•Inalterabilità: NON esistono funzioni di modifica dei dati•Integrità: Hashing•Marcatura temporale interna•Conservazione su IPDB, NON su RDBMS (Relational Database Management System)

L’architettura della soluzione - Storage


•Correlation & Alerting•Disponibilità di oggetti predefiniti e più di 1200 report e correlazioni•Singolo punto di accesso ai dati raccolti•Client per analisi forense

•Self-Auditing•Separazione Ruoli (funzionalità e visibilità dati)•Reporting (schedulabile)

L’architettura della soluzione – Analisi / Data Management


Interfaccia grafica semplificata


I vantaggi – Semplicità di integrazione

B-2

• Syslog, Syslog NG

• SNMP

• Formatted log files

• Comma/tab/space delimited

• ODBC connection to remote databases

• Push/pull XML files via HTTP

• Windows event logging API

• CheckPoint OPSEC interface

• Cisco IDS POP/RDEP/SDEE

• Oltre 150 device già noti (www.rsasecured.com)

• Universal Device Support (linguaggio XML-like)

I logfile possono essere raccolti tramite:


- 65%

- 80%

I vantaggi – Ottimizzazione dello storage


CollectCollect

Baseline Report Forensics

ManageManage

DeviceDevice

DeviceDeviceTrend Micro

Antivirus

Trend MicroAntivirusMicrosoft

ISS

MicrosoftISSJuniper

IDP

JuniperIDPCisco

IPS

CiscoIPSNetscreen

Firewall

NetscreenFirewallWindows

Server

WindowsServer

CorrelatedAlerts

RealtimeAnalysis

LegacyRSA enVision Supported Devices

Integrated Incident Mgmt.

AnalyzeAnalyze

EventExplorer

UDS

Interactive Query

I vantaggi – Scalabilità


Le “marce in più” della soluzione tecnologica• Raccolta, gestione ed analisi di qualsiasi tipologia di logfile

- Da qualsiasi device IP

- Eventi di ogni tipo

- Nel loro formato nativo (nessuna alterazione o normalizzazione)• Supporto di tutti i device

- Centinaia già noti e disponibili nel DB dell’apparato

- Espandibilità flessibile (Universal Device Support, xml-like)• Punto di osservazione centrale e globale

-Accesso unico a tutte le informazioni su tutta l’infrastruttura

- Rispetto dei profili e dei ruoli (con accesso protetto)

• Installazione non invasiva

- Impatto nullo/minimo sull’infrastuttura monitorata (no agent)

- Facile integrazione


• Funzionalità avanzate

- Alert e Reporting fortemente personalizzabili• Abilita ILM (Information Lifecycle Management)

- Uso ottimale dello Storage (compressione di dati raw)

- Consente l’applicazione di policy di Conservazione dei Dati

• Implementa Scalabilità ed Alta Disponibilità

- Architettura di Raccolta non-stop

- Hot StandBy e Fault Tolerance

- Scalabile a caldo (anche per lo storage)• Performance elevate con TCO contenuto

- Referenze attive di 100.000 Eventi Per Secondo (EPS) e 10.000 device monitorati in tempo reale

- Impiego di appliance ad alte prestazioni anche nelle versioni entry level

- Scalabilità locale e geografica

- Nessuna competenza di DBA necessaria

Le “marce in più” della soluzione tecnologica


Riassumendo

• La nuova normativa non deve essere considerata un problema, ma un punto di partenza per il miglioramento delle procedure e dell’infrastruttura tecnologica aziendale

• L’adozione di un DPS strutturato e realmente conforme, semplificherebbe moltissimo l’adozione dei nuovi processi richiesti dal Garante

• La scelta della soluzione tecnologica non deve essere dettata solo dagli obblighi dalla normativa in oggetto, ma deve essere valutata approfonditamente e considerata come una reale innovazione tecnologica per l’Azienda

“ Dietro ogni problema, c’è una opportunità”


Redco Telematica S.p.A , grazie ai suoi 24 anni di esperienza maturata sul mercato e alle referenze sino ad oggi maturate,

è un partner qualificato in grado di proporre soluzioni professionali alle problematiche esposte.

Redco Telematica S.p.a


Grazie dell’attenzione!Massimo Cotta

- Marketing Director -Redco Telematica Spa

Via Alba 18/A - 21052 Busto Arsizio VA: www.redco.it - @: [email protected]

Tel: +39-0331-397600

Adempiere tecnologicamente al provvedimento del Garante per gli Amministratori di Sistema

Documents

Transcript of Adempiere tecnologicamente al provvedimento del Garante per gli Amministratori di Sistema