Esempio strutturato di SICUREZZA ORGANIZZATIVA

1. Esempio strutturato di SICUREZZA ORGANIZZATIVA “Proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni per la pubblica amministrazione” Pubblicazione del Comitato tecnico nazionale sulla sicurezza informatica e delle telecomunicazioni nelle pubbliche amministrazioni – Marzo 2004 Studio Legale Baldacci

2. Il Comitato tecnico nazionale sulla sicurezza ICT Istituito con Decreto Interministeriale del Ministro delle Comunicazioni e del Ministro per l’Innovazione e le Tecnologie del 24 luglio 2002 Ha il compito di raggiungere gli obiettivi di sicurezza attraverso 5 fasi funzionali: Studio Legale Baldacci

3. Esame della situazione della PA rispetto ai temi della sicurezza • Elaborazione e diffusione di linee guida • Stesura di progetti di attuazione dei principi fissati • Realizzazione e controllo dell’avanzamento dei progetti • Fornitura di consulenza e supporto alla realizzazione Studio Legale Baldacci

4. Art.2 – Funzioni del Comitato “1. Il Comitato, al fine del raggiungimento di un livello di sicurezza nelle informazioni conferme a criteri standard internazionali e per garantire integrità e affidabilità dell’informazione, formula le proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni (ICT) per la pubblica amministrazione, in particolare ai fini della redazione: Studio Legale Baldacci

5. del Piano nazionale della sicurezza delle tecnologie dell’informazione e comunicazione della Pubblica Amministrazione, di cui verifica annualmente lo stato di avanzamento, identificando le eventuali misure correttive; A) della predisposizione del modello organizzativo nazionale di sicurezza ICT per la Pubblica Amministrazione, del quale verifica la relativa attivazione e applicazione. B) Studio Legale Baldacci

6. 2. Il Comitato formula, inoltre, proposte in materia di regolamentazione della certificazione e valutazione della sicurezza, nonché ai fini della predisposizione di criteri di certificazione e delle linee guida per la certificazione di sicurezza ICT per la pubblica amministrazione, sulla base delle normative nazionali e internazionali di riferimento. 3. Il Comitato elabora linee guida per la predisposizione delle intese con il Dipartimento della funzione pubblica in ordine alla formazione dei dipendenti pubblici in tema di sicurezza ICT.” Studio Legale Baldacci

7. Proposte per un sistema di governo della sicurezza ICT nella PA Gestione della sicurezza nella PA eseguita attraverso un opportuno processo che preveda lo sviluppo di politiche di sicurezza sia a livello di Amministrazione sia a livello di sistemi ICT È importante definire i ruoli di responsabilità: alcuni devono essere di tipo centralizzato (come il CTNS-ICT), altri di tipo locale Data l’assenza di risorse, il CTNS-ICT deve confluire in un apposito organismo dotato di mezzi atti a consentire piena operatività: il Centro Nazionale per la Sicurezza Informatica (CNSI) Studio Legale Baldacci

8. Obiettivi principali del CNSI Accrescere il livello medio di protezione dei sistemi informatici degli utenti internet italiani con particolare riferimento agli utenti della PA 1 Predisporre le misure adeguate per far fronte ad eventuali attacchi informatici a sistemi della PA 2 Predisporre le misure adeguate per ripristinare in tempi brevi i sistemi compromessi 3 Studio Legale Baldacci

9. Attività del CNSI • Prevenzione • Promuovere programmi per accrescere la consapevolezza del problema sicurezza informatica tra gli utenti della rete internet • Studiare, valutare e promuovere l’uso di “best practice” nel settore della sicurezza informatica • Promuovere attività di ricerca e la cooperazione tra i centri di ricerca • Raccogliere e distribuire informazioni aggiornate sulle intrusioni e relative contromisure • Promuovere corsi di formazione per dipendenti della PA • Promuovere il ricorso agli standard di sicurezza Studio Legale Baldacci

10. Rilevamento • Controllare le attività svolte sulla rete • Collezionare ed analizzare tutte le segnalazioni provenienti dagli utenti finali • Risposta • Fornire supporto agli utenti vittime di un’intrusione • Contattare uno o più centri di ricerca • Allertare tutti i responsabili di sistemi che possono essere oggetto di un attacco simile • Diffondere l’informazione a livello internazionale Studio Legale Baldacci

11. Struttura del CNSI Unità di Coordinamento Unità di Formazione CNSI Centro di ricerca Unità Locali (o Operative) Unità di Gestione degli incidenti Studio Legale Baldacci

12. Unità di Coordinamento • Raccorda tutte le attività intraprese dalle varie unità che operano all’interno della struttura • Raccoglie, elabora e distribuisce le informazioni • Fornisce alle singole Unità operative il supporto necessario • Centro di ricerca • Crea il corpo di conoscenze e di esperienze necessarie per risolvere casi di minacce o attacchi informatici particolarmente complessi • Prevede nuove forme di attacco informatico e virus • Forma il personale CNSI con alti contenuti scientifici e tecnologici nel settore della sicurezza informatica Studio Legale Baldacci

13. Unità di Formazione • Predispone ed eroga corsi di formazione per i dipendenti della PA in tema di sicurezza • Unità di gestione degli incidenti informatici • Rileva le intrusioni informatiche nei sistemi della PA • Centro di early warning • Centro di information sharing • Unità Locali • Organismi tecnici preposti alla gestione operativa della sicurezza informatica • Funzione di raccordo tra il CNSI e le varie sedi della PA Studio Legale Baldacci

14. Unità di gestione degli attacchi informatici Studio Legale Baldacci

15. Gestione di un incidente informatico 3. Registrazione dell’attacco e studio delle caratteristiche 1. Attacco informatico 2. Comunicazione dell’attacco 5. Contatti con il provider del dominio da cui è partito l’attacco per raccogliere informazioni 4. Avviso alla comunità internazionale 6. Individuazione e predisposizione delle contromisure 7. Comunicazione delle difese e chiusura dell’incidente informatico Studio Legale Baldacci

16. Le Unità locali sono il front-end del CSNI • Già la Direttiva 16-01-2002 del Presidente del Consiglio dei Ministri definiva dei ruoli di sicurezza per ogni singola amministrazione: • Comitato per la Sicurezza ICT • Responsabile della Sicurezza ICT • Responsabile dei sistemi informativi automatizzati • Gestore esterno • Proprietario dei dati e delle applicazioni • A questi vanno aggiunti: • Assistente del Responsabile dei sistemi informativi automatizzati nel campo della sicurezza ICT • Addetto alle verifiche di sicurezza ICT • Assistente all’addetto alle verifiche di sicurezza ICT Studio Legale Baldacci

17. Politica di sicurezza Per politica di sicurezza si intende l’insieme delle leggi, regole e pratiche (di tipo tecnico, o di tipo procedurale o attinenti alla sicurezza fisica e del personale) che regolano la gestione e protezione dei beni (principalmente le informazioni) all’interno del dominio di validità della politica stessa. • Nell’ambito di un’organizzazione, una politica di sicurezza può essere sviluppata a diversi livelli: • A livello dell’intera organizzazione • A livello di singole componenti • A livello di sistemi ICT specifici o per classi di essi Studio Legale Baldacci

18. Una buona politica di sicurezza a livello dell’intera organizzazione (PA) dovrebbe prevedere: • L’adozione di una metodologia di analisi del rischio • L’adozione di un piano di Business Continuity • La stesura di capitolati per l’acquisizione di sistemi/prodotti ICT dotati di funzionalità di sicurezza • La gestione del personale Studio Legale Baldacci

19. La sicurezza nell’accesso di terze parti ai sistemi ICT della PA • L’outsorcing • Il ricorso alle certificazioni di sicurezza ICT Studio Legale Baldacci