Il ciclo <TITOLO
di vita dellaPRESENTAZIONE>
sicurezza:
dalla consulenza alla tecnologia
<Sottotitolo>
<Luogo>
Milano
<Data>
25 ottobre 2002
<Relatore/i>
Claudio Gentili
Security Senior Consultant Kyneste
<Distribuzione>
<Titolo presentazione>
Slide n° 1
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Agenda
Premessa
L’approccio consulenziale
L’approccio tecnologico
Il ciclo di vita della sicurezza
CSO – Chief Security Officer
Slide n° 2
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 3
Premessa
Indagine Sirmi
“Security Management: le nuove frontiere della sicurezza nell'ICT”
•
•
•
il 20% degli attori intervistati dichiara di avere una politica scritta
comprendente tutte le regole di sicurezza dei sistemi informativi
il 31% degli attori intervistati dispone di una politica scritta ma limitata
agli obiettivi di sicurezza
il 30% degli attori intervistati ha un politica informale
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 4
Premessa
Indagine Sirmi
“Security Management: le nuove frontiere della sicurezza nell'ICT”
Gli elementi più comuni
l'uso di password (92 %)
amministrazione di rete (83 %)
protezione e detenzione dati (83 %)
amministrazione del sistema informativo (81 %)
architettura sicura (70 %)
regole di uso delle e-mail (62 %)
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 5
L’approccio consulenziale
La security consulting tradizionalmente
si pone come obiettivo interventi di natura strategica,
secondo un approccio tipicamente top down:
Identificazione e formalizzazione delle piramidi gerarchiche
Identificazione di minacce da cui proteggersi
Classificazione di beni aziendali da proteggere
Identificazione delle misure di Sicurezza funzionali da adottare
…
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 6
L’approccio consulenziale
La scelta e l’adozione delle soluzioni strategiche si accompagna
generalmente alla scelta di standard metodologici di riferimento
ITSEC
(Information Technology Security Evaluation Criteria) UE 1991
ISO 15408
(Common Criteria)
ISO 17799
(Code of Practice for Information Security Management - BS 7799 - British
Standard)
…ma anche
TCSEC Orange Book
(Trusted Computer Systems Evaluation Criteria) D.o.D. USA 1985
CTCPEC
(Canadian Trusted Computer Product Evaluation Criteria) CA 1993
FC (Federal Criteria)
1992 USA
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
L’approccio consulenziale
Gli attori generalmente coinvolti sono
Top manager
Responsabili dell’organizzazione
(Più raramente )
Responsabili di network
Responsabili della logistica
Responsabili legali
(Molto più raramente)
Responsabili dei sistemi
Responsabili degli applicativi
Responsabili di auditing
Slide n° 7
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 8
L’approccio consulenziale
I valori dell’approccio consulenziale
–
–
Visione olistica del problema della sicurezza
Accezione di Sicurezza in termini di sistema informativo
I limiti dell’approccio consulenziale
Generalmente non è oggetto di controllo la propagazione delle
direttive alle azioni puntuali
Generalmente sono carenti i meccanismi di feedback per valutare
l’applicazione delle direttive
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 9
L’approccio tecnologico
La tecnologia tradizionalmente
ha come obiettivo interventi di natura tattica,
secondo un approccio tendenzialmente bottom up:
Difesa perimetrale dell’infrastruttura
Difesa e compartimentazione delle porzioni inside del sistema
Data analysis
Rilevazione di vulnerabilità “atomiche”
Improvement
…
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 10
L’approccio tecnologico
Ovviamente, anche l’approccio tecnologico si avvale di visioni strategiche
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 11
L’approccio tecnologico
Ovviamente, anche l’approccio tecnologico si avvale di visioni strategiche
Building Module
Mainframe Module
WAN Module
Server
Module
SMTP
DNS
Internet
HTTP/SSL
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
L’approccio tecnologico
Gli attori generalmente coinvolti sono
Responsabili dei sistemi
Responsabili di network
Responsabili degli applicativi
(Più raramente )
Top manager
Responsabili dell’organizzazione
Responsabili della logistica
Responsabili legali
(Molto più raramente)
Responsabili di auditing
Slide n° 12
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 13
L’approccio tecnologico
I valori dell’approccio tecnologico
–
–
–
Visione “operativa” del problema della sicurezza
Tempestività di intervento
Copertura di larga casistica di minacce
I limiti dell’approccio tecnologico
Visione settoriale
Carenza di strumenti di comunicazione con il “mondo esterno”
Non viene valutata la propagazione del rischio ai sistemi connessi
(organizzativi e fisici)
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 14
Il ciclo di vita della sicurezza
Un modello abusato (ma sempre valido): il ciclo della sicurezza
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 15
Il ciclo di vita della sicurezza
Il principio del “ciclo di vita della sicurezza” coordina
il passaggio tra consulenza a tecnologia
•
•
Problema: come coordinare il ciclo di vita della sicurezza?
Altro problema: come gestire gli approcci ibridi
(non top down e nemmeno bottom up)?
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 16
CSO – Chief Security Officer
Il Chief Security Officer (CSO) è la figura preposta alla gestione del
processo di sicurezza
Coordina gli attori (interni ed esterni)
Riporta al top management
Gestisce e attiva le competenze
Struttura ed alimenta i canali di comunicazione tra le
differenti entità, “condividendone lo stesso linguaggio”
…
Gestisce e storicizza la Sicurezza come un Processo in
Qualità (“…dimmi ciò che fai, e fa’ ciò che dici…”)
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 17
CSO – Chief Security Officer
Il Chief Security Officer (CSO) non deve essere necessariamente una
figura tecnica, ma deve possedere: (1)
Principi generali di sicurezza aziendale
Concetti di politica ed organizzazione della sicurezza del
sistema informativo
Concetti di analisi del rischio, di progettazione dei
sistemi di protezione e di classificazione delle
informazioni
Concetti di progettazione di un piano di protezione del
sistema informativo
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Slide n° 18
CSO – Chief Security Officer
Il Chief Security Officer (CSO) non deve essere necessariamente una
figura tecnica, ma deve possedere: (2)
Elementi di architetture e loro evoluzione nel tempo;
Visibilità dello stato dell’arte in materia di information
security
Visibilità dei prodotti di sicurezza disponibili sul mercato;
Competenze su norme legali ed operative di sicurezza
per i sistemi distribuiti e sistemi di telecomunicazioni
Il ciclo di vita della sicurezza: dalla consulenza alla tecnologia
Ci sono domande?
Slide n° 19