Il GovCERT.it Gianluigi Moxedano

1. Il GovCERT.itGianluigi Moxedano Convegno Forum PA Roma – 9 maggio 2005 Convegno Forum PA - 9 maggio 2005

2. Il GovCERT.it è un CSIRT COMPUTER SECURITY INCIDENT RESPONSE TEAM Convegno Forum PA - 9 maggio 2005

3. Agenda • Come è nato il GovCERT.it • Gestione degli incidenti di sicurezza ICT • 2004: dati 2004 e tendenze • Organizzazione della gestione degli incidenti nella PA centrale • Il GovCERT.it: profilo e stato dell’arte Fonti utilizzate: CSI/FBI, F-Secure, McAfee, Oasi-Securitynet, SIRMI, Symantec, Trend Micro Convegno Forum PA - 9 maggio 2005

4. Come è nato il GovCERT.it • Proposto dal “Comitato tecnico nazionale sulla sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni” • Approvato dal Comitato dei ministri per la società dell’informazione • Attuato dal CNIPA attraverso la creazione di una “Unità di gestione degli attacchi informatici“ - maggio 2004 • Assume il nome di GovCERT.it in conformità alla nomenclatura in uso nell’Unione Europea • Finanziamenti resi disponibili - settembre 2004 Convegno Forum PA - 9 maggio 2005

5. DEFINIZIONE TRADIZIONALE EVENTO CHE COMPORTA UNA PERDITA DI RISERVATEZZA, DI INTEGRITÀ O DI DISPONIBILITÀ DEI DATI DEFINIZONE AGGIORNATA LA VIOLAZIONE O L'IMMINENTE MINACCIA DI VIOLAZIONE DELLA POLITICA DI SICUREZZA ICT O DELLE PRASSI DI SICUREZZA STANDARD Incidente di sicurezza ICT Convegno Forum PA - 9 maggio 2005

6. LE MINACCE ALLA SICUREZZA SONO DIVENTATE PIÙ NUMEROSE E PIÙ DIROMPENTI EMERGONO FREQUENTEMENTE NUOVI TIPI DI INCIDENTI LA PREVENZIONE BASATA SULLA VALUTAZIONE DEI RISCHI PUÒ RIDURRE IL NUMERO DI INCIDENTI MA GLI INCIDENTI NON POSSONO ESSERE DEL TUTTO EVITATI UN APPROCCIO MIRATO ESCLUSIVAMENTE ALLA PROTEZIONE È INCOMPLETO ED INSUFFICIENTE LA GESTIONE DEGLI INCIDENTI È FONDAMENTALE NELLA SICUREZZA ICT PREVENZIONE RILEVAZIONE REAZIONE Importanza della gestione degli incidenti Convegno Forum PA - 9 maggio 2005

7. Il 2004: vulnerabilità e minacce Vulnerabilità Oltre 2500 nuove vulnerabilità Più del 90% medie e gravi Oltre il 50% su applicazioni Web Presi di mira i browser più diffusi Attacchi 20.000 nuovi malicious code 11.000 nuovi virus del tipo Win32 MyDoom.A più grave infezione di sempre L’attacco Slammer è il più comune Aumento di adware, spyware, spam, phishing Convegno Forum PA - 9 maggio 2005

8. TEMPO DISPONIBILE PER CORREGGERE VULNERABILITÀ Slammer ha infettato il 90% dei sistemi vulnerabili in meno di 10 minuti Sasser ha colpito reti e sistemi dopo solo 18 giorni dalla scoperta della vulnerabilità Blaster ha messo in ginocchio reti e sistemi dopo solo 26 giorni dalla scoperta della vulnerabilità TEMPO DISPONIBILE PER CONTRASTARE L’ATTACCO Durante la diffusione di MyDoom 1 mail su 12 era infetto Il tempo come fattore sempre più critico Convegno Forum PA - 9 maggio 2005

9. La finestra temporale si stringe Convegno Forum PA - 9 maggio 2005

10. Alcuni dati italiani • Più del 50% delle aziende italiane non dispone di personale IT specializzato sulla sicurezza • I problemi legati alla sicurezza delle reti informatiche hanno un forte impatto sul sistema Paese • Oltre il 40% delle aziende italiane impiega da 2 a 5 giorni per riprendersi • Il 94% delle aziende italiane ha dovuto affrontare il problema • La PA centrale investe per la sicurezza ICT una percentuale troppo bassa della spesa informatica globale (dati da piano triennale) Convegno Forum PA - 9 maggio 2005

11. Costo degli incidenti nella PA • Danno economico • Non si dispone di dati per la valutazione dei danni economici contestualizzati alla PA italiana • $ 200.000 all’anno per ente/azienda solo per infezioni virali (dato estrapolato da report CSI/FBI USA) • Ricaduta sociale • Disservizi per la collettività • Freno al programma di E-GOVERNMENT • Danno di immagine • Es. web defacement • Problemi legali/giudiziari Convegno Forum PA - 9 maggio 2005

12. DIRETTIVA 16/1/2002 • CERT-AM ED UNITÀ LOCALI NELLE PA CENTRALI CERT-AM CERT-AM CERT-AM GovCERT.it CERT-AM CERT-AM ISTITUZIONE DEL GovCERT.it CERT GOVERNATIVO DI COORDINAMENTO CERT-AM CERT-AM CERT-AM PA CENTRALE Il tassello mancante nella PAC Convegno Forum PA - 9 maggio 2005

13. La comunità di riferimento • Il GovCERT.it è un CSIRT di coordinamento dei CERT-AM delle PA centrali • Gli interlocutori del GovCERT.it sono stati classificati in: • ISTITUZIONALI • Consiglieri tecnici del ministro per la sicurezza ICT • Comitati Sicurezza ICT • Responsabili sistemi informativi • DI RIFERIMENTO • Responsabili sicurezza ICT • OPERATIVI • Gli appartenenti ai gruppi CERT-AM Convegno Forum PA - 9 maggio 2005

14. PROVVISORIO PROVVISORIO WEB COMPLETO COMPLETO Piano dei servizi EARLY WARNING SUPPORTO INCIDENTI OSSERVATORIO WEB ASSESSMENT DIFFUSIONE INFO RACCOLTA INFO SETT 2004 LUG 2005 OTT 2005 GEN 2006 NOV 2006 Convegno Forum PA - 9 maggio 2005

15. CNIPA e Comitato Fornitori software TF-CSIRT FIRST Operatori TLC FF.OO. GovCERT.it ISP ORGANISMI EUROPEI Altri CSIRT MEDIA Relazioni del GovCERT.it Convegno Forum PA - 9 maggio 2005

16. CSIRT governativi in Europa Convegno Forum PA - 9 maggio 2005

17. Comunità di riferimento È stata istituita ed è in corso di ampliamento Il 4 aprile u.s. si è tenuta la prima riunione operativa Early warning Da gennaio 2005 inviate 23 informative (20 segnalazioni di vulnerabilità 3 avvisi di minacce imminenti) Verificati 18 Web defacement nella PAC e 138 nella PAL Politiche e procedure In corso di istituzione GdL nell’ambito del CNIPA Rete informativa Fonti aperte Fonti private specializzate Fornitori di tecnologia Infrastruttura tecnologica In corso di realizzazione Relazioni Accordi di collaborazione con: Fornitori di tecnologia Fornitori specializzati Operatori TLC ed ISP FF.OO. Organizzazioni analoghe italiane Partecipazione a comunità internazionali Attività svolte ed in corso Convegno Forum PA - 9 maggio 2005

18. Valore aggiunto del GovCERT.it • Servizi • Il GovCERT.it erogherà servizi non realizzabili da parte dei singoli CERT-AM per criteri di economicità e qualità e necessità di visione di insieme quali: • Early warning • Raccolta ed analisi delle informazioni provenienti dalla comunità di riferimento a fini statistici, di valutazione delle tendenze ed orientamento degli investimenti • Relazioni • Per poter adempiere compiutamente alla sua missione il GovCERT.it disporrà di una rete di relazioni per: • Erogare servizi di qualità • Agire come facilitatore nei confronti dei CERT-AM • Rappresenterà l’Italia nei contesti europei ed internazionali • Capacità di coordinamento • Definizione di politiche e procedure omogenee per tutta la comunità di riferimento • In caso di incidenti diffusi Convegno Forum PA - 9 maggio 2005

19. Cosa non è il GovCERT.it NON È UN ORGANISMO INVESTIGATIVO NON È UN GRUPPO DI PRONTO INTERVENTO ON SITE NON È UN CONTACT CENTER APERTO A TUTTA LA PA MA RISERVATO AI SOLI RAPPRESENTANTI DELLA COMUNITÀ DI RIFERIMENTO Convegno Forum PA - 9 maggio 2005

20. CONTATTI • Posta elettronica: • govcert@cnipa.it • moxedano@cnipa.it • Nota: Entro luglio diventeranno caselle postali del dominio govcert.it • Telefoni: • GovCERT.it 06.85264420 06.85264291 06.85264203 • Gianluigi Moxedano 06.85264472 • Nota: i numeri di telefono potrebbero cambiare a breve Convegno Forum PA - 9 maggio 2005