La certificazione della sicurezza ICT nella PA

Franco GuidaFondazione Ugo Bordoni

Responsabile Area Operativa dell’Organismo di

Certificazione della Sicurezza Informatica (OCSI)

La sicurezza ICT nella pubblica amministrazione: strategie ed azioni

Roma – CNR 17 gennaio 2006

La certificazione della sicurezza ICT nella PA





La certificazione della sicurezza ICT nella PA (1)

Possibili benefici• Può consentire notevoli risparmi

– agevolando la sostituzione dei costosi e inefficienti trattamenti tradizionali delle informazioni anche quando vi siano rilevanti esigenze di sicurezza

– incrementando la fiducia del cittadino nel fruire telematicamente di servizi della PA

• Può fornire un contributo importante in tutti i casi in cui sia impossibile o insufficiente il ripristino dopo un incidente informatico e si debba perciò garantire che è stato fatto il possibile per evitarlo e minimizzarne i danni(ad esempio nei casi in cui l’incidente possa compromettere l’incolumità o la salute di persone)




La certificazione della sicurezza ICT nella PA (2)Possibili benefici (2)

• Può tutelare chi, all’interno della PA, ha la responsabilità di gestire informazioni che richiedono adeguata protezione

Possibili svantaggi• Richiede una spesa aggiuntiva che può risultare non

trascurabile se la certificazione non viene eseguita in modo appropriato

• Possono essere necessari tempi di certificazione piuttosto lunghi, soprattutto nei casi di utilizzo inappropriato




La sicurezza ICT in un’Organizzazione

Processo di gestionedella sicurezza ICT (ISMS)

Certificabile BS7799

Informazioni/beni da proteggere

Pluralità di soggetticon diversi compiti

e responsabilitàCompetenza certificabile

secondo criteri qualiCISSP/SSCP,

CISA/CISM, ecc.)Politiche di sicurezza(modello organizzativo, definizione

requisiti per le contromisure tecniche e non tecniche, ecc.)

Analisi e gestione dei rischi

Sistemi/prodotti ICTContromisure tecniche

Certificabili ISO/IEC 15408(Common Criteria)

Contromisure fisiche




Tipi di certificazione

Oggetto

certificato

Norme di

riferimento

Processo di gestione della sicurezza ICT (ISMS)

BS7799:2

Sistema/prodotto ICT Common Criteria (ISO/IEC IS15408)

ITSEC

Competenza del personale CISSP/SSCP,CISA/CISM, ecc.




Le entità in gioco

OGGETTO DA CERTIFICARE

NORMA DIRIFERIMENTO

ACCREDITATORE

CERTIFICATORE

CERTIFICATO

FORNITORE/TITOLAREOGG. DA CERTIFICARE

FRUITORE DEI SERVIZIFORNITI DALL’OGGETTO

CERTIFICATO

VALUTATORE

Common Criteria/ITSEC

BS7799




Le certificazioni in Italia regolate da DPCM

• Certificazione di prodotto/sistema ICT– Schema Nazionale del 1995 aggiornato nel 2002 (DPCM 11 aprile 2002

– GU n. 131 del 6 giugno 2002) applicabile nel contesto della sicurezza interna e esterna dello Stato

• Ente di Certificazione/Accreditamento (EC): ANS/UCSi

– Centri di Valutazione (Ce.Va.): 3 privati, 2 pubblici (tra cui ISCOM ex ISCTI)

– Schema Nazionale del 2003 (DPCM 30 ottobre 2003 – GU n. 98 del 27 aprile 2004) applicabile in tutti i contesti non coperti dal primo Schema

• Organismo di Certificazione/Accreditamento (OCSI): ISCOM ex ISCTI (Ministero Comunicazioni) che si avvale del supporto della FUB

– Laboratori di Valutazione (LVS): da accreditare nei prossimi mesi




Principi generali alla base dei Common Criteria (1)

• Verifiche di tipo 1 (ad alto livello)– controllano che vi siano tutte le funzioni di sicurezza

necessarie, che siano in grado di cooperare efficacemente e che la robustezza dichiarata sia confermabile teoricamente

• Verifiche di tipo 2– controllano, con una severità dipendente dal livello di

garanzia, che il sw/hw con cui le funzioni sono realizzate esibisca nelle effettive condizioni di utilizzo il comportamento teorico previsto, sia a fronte di eventi accidentali o sia di veri e propri “attacchi”




Principi generali alla base dei Common Criteria (2)

• Verifiche di tipo 1– Hanno lo scopo di controllare che non vi siano errori

già nella fase di impostazione della progettazione delle funzionalità di sicurezza del sistema ICT

• Ad esempio: l’assenza di una funzione

• Verifiche di tipo 2– Controllano che non siano stati introdotti errori nella

fase di sviluppo e realizzazione delle funzionalità di sicurezza, né nella definizione della loro modalità d’impiego operativo




La strategia dell’OCSI (1)

Tutelare l’utilizzatore del sistema certificato:

1) evidenziando la necessità di eseguire la certificazione dell’intero sistema ICT

2) sollecitando il mantenimento nel tempo delle certificazioni, senza il quale la certificazione perde ben presto la sua utilità effettiva

3) convincendo che è consigliabile fermarsi anche il primo livello di certificazione (EAL1) pur di realizzare quanto indicato ai punti 1) e 2);

già il livello EAL1, infatti, garantisce la rimozione della causa più frequente degli incidenti informatici (vulnerabilità note sfruttabili)





L’approccio differisce notevolmente da quello seguito generalmente in altri paesi. Infatti:– all’estero vengono prevalentemente eseguite certificazioni

di prodotti su richiesta dei grossi produttori di SW, che le utilizzano soprattutto a fini pubblicitari

– le certificazioni raramente vengono mantenute nel tempo– conseguentemente l’utilizzatore finale risulta scarsamente

tutelato





Per consentire un’ampia diffusione del servizio di certificazione e la gestione del mantenimento nel tempo dei certificati:– sono stati eliminati tutti i fattori che potrebbero rendere l’accreditamento degli

LVS più oneroso del necessario, quali• obbligo di frequenza di corsi di formazione per i valutatori• verifiche di competenza non differenziate per livello e per profilo• possesso, già nella fase di accreditamento, di approfondite conoscenze su

numerose piattaforme hw/sw• obbligo di realizzazione di costose infrastrutture quali sale schermate, porte e

armadi blindati, sofisticati sistemi di allarme, ecc.

– viene incoraggiata l’abilitazione degli Assistenti, il cui costo è molto limitato– è stato ulteriormente consigliato l’utilizzo del primo livello di certificazione, in

virtù dei costi e dei tempi di certificazione non eccessivi che lo caratterizzano




Conclusioni

• La certificazione della sicurezza ICT costituisce un’opportunità importante per la Pubblica Amministrazione

• Qualora venga colta tale opportunità potrà esservi un significativo incremento delle richieste di certificazione

• Se ciò avverrà, sarà auspicabile che sviluppo e dimensionamento delle strutture di certificazione riescano a procedere in modo da garantire il soddisfacimento della domanda




Grazie dell’attenzione

www.ocsi.gov.it

La certificazione della sicurezza ICT nella PA

Documents

Transcript of La certificazione della sicurezza ICT nella PA