EUCIP IT Administrator Modulo 5 - Sicurezza Informatica 1 - introduzione AICA © 2005

Sicurezza delle informazioni Disciplina antica Esempi: scitala lacedemonica cifrario di Cesare Durante la seconda guerra mondiale vennero poste le basi teoriche matematiche Alan Turing AICA © 2005

Obiettivi della sicurezza Autenticazione Autenticazione della controparte Autenticazione dei dati Autorizzazione Integrità Riservatezza Non ripudio Disponibilità Tracciabilità Authentication peer authentication data / origin authentication authorization integrity privacy, secrecy non repudiation availability accountability AICA © 2005

Autenticazione Ciao sono Bob Dimostralo! Alberto AICA © 2005

Autenticazione (controparte) Ciao sono Bob Ciao Bob Certo, ne dubiti ? Alberto E’ la banca? Banda Bassotti AICA © 2005

Autenticazione (dati) Pagare alla banca € 1000 Firmato : Banca Alberto Banda Bassotti AICA © 2005

Integrità Tutela dall’alterazione dei dati, informazioni o risorse informatiche da parte di non autorizzati nei dati è compreso anche il software nelle risorse informatiche è compresa anche la configurazione di un sistema AICA © 2005

Integrità Alberto Banca Pagare alla banca € 1000 Firmato : Banca Pagare alla banda bassotti € 10000 Firmato : Banca Rete di comunicazione Alberto Banca AICA © 2005

Non ripudio Prevenzione dal disconoscimento dell’origine di un documento o di un fatto da parte dell’autore del documento o del fatto. Implica molti aspetti autenticazione integrità .... AICA © 2005

Autorizzazione Alberto Banca Devo prelevare 1000€ dal conto di Alice Sei autorizzato da lei? Alberto Banca AICA © 2005

Riservatezza Prevenzione dell’accesso alle informazioni da parte di chi non sia autorizzato Attenzione: si proteggono le informazioni non i dati MARIO ROSSI +3928349287 (dato) (dato) MARIO ROSSI +3928349287 è una informazione (numero di telefono di Mario Rossi) AICA © 2005

Disponibilità La prevenzione della non accessibilità, ai legittimi utilizzatori, sia delle informazioni che delle risorse, quando informazioni e risorse servono. Il concetto quindi, oltre che riguardare dati ed informazioni, è esteso a tutte le possibili risorse che costituiscono un sistema informatico, la banda di trasmissione di un collegamento la capacità di calcolo di un elaboratore lo spazio utile di memorizzazione dati ecc. AICA © 2005

Bene Tutto ciò che deve essere oggetto di protezione perché costituisce un valore Materiale, immateriale Informazioni Risorse informatiche Privacy ..... AICA © 2005

Bene Primario : i beni che effettivamente per noi hanno un valore Es: i dati sul server Secondario: i beni che contribuiscono alla protezione dei beni primari Es : elementi di autenticazione per l’accesso alle risorse (password) Nell’esempio se perdo la password perdo anche l’accesso ai miei dati AICA © 2005

Obiettivo L’obiettivo di sicurezza è ciò che ci proponiamo, in termini di sicurezza, per i nostri beni È in relazione con Riservatezza Disponibilità Integrità Es: le password hanno come obiettivo la riservatezza AICA © 2005

Minaccia Azione, accidentale o deliberata che può portare alla violazione di un obiettivo di sicurezza Accidentale : Terremoto Deliberata : Virus informatico AICA © 2005

Vulnerabilità È una debolezza intrinseca del sistema informatico, tale che, qualora esista una minaccia che la sfrutti, si arriverebbe alla violazione di almeno un obiettivo di sicurezza. Non dipende da fattori esterni Non comporta automaticamente la violazione di obiettivi di sicurezza AICA © 2005

Impatto Conseguenza che l’attuarsi di una minaccia determina. Diretta relazione con gli obiettivi di sicurezza AICA © 2005

Rischio Prodotto tra la Gravità delle conseguenza di un evento (impatto) e la Probabilità che esso accada (minaccia) R = G x P Minaccia deliberata: P = f(V,M) Dove V = vulnerabilità M = motivazioni dell’attaccante o livello della minaccia AICA © 2005

Rischio Minaccia accidentale: P = f(V,p) Dove V = vulnerabilità p = probabilità intrinseca di accadimento del sinistro AICA © 2005

Gestione del Rischio Suddivisa in due fasi: Analisi del rischio: Classificazione delle informazioni Identificazioni delle minacce Identificazione del livello di rischio associabile a ciascuna classe di informazioni Controllo del rischio Identificazione delle modalità di gestione dei rischi associati alla perdita di un obiettivo di sicurezza Esempi: trasferimento del rischio a terzi riduzione del valore della informazione riduzione delle vulnerabilità AICA © 2005

FASI DELLA GESTIONE DEL RISCHIO Classificazione delle Informazioni e delle risorse informatiche Identificazione delle minacce Identificazione delle vulnerabilità Identificazione del livello di rischio Controllo del rischio: le contromisure AICA © 2005

Integrità. Riservatezza, Analisi del rischio Classificazione delle informazioni e delle risorse Determinare quali classi di informazioni hanno valore per l’azienda e le relazioni con i dati che compongono l’informazione Risorse informatiche (obiettivo disponibilità) Processi Banda dei canali di comunicazione Potenza di calcolo Supporti per l’archiviazione Integrità. Riservatezza, Disponibilità disponibilità AICA © 2005

Identificazione delle minacce MINACCIA=evento potenziale, accidentale o voluto, il cui accadimento produce un danno in termini di violazione degli obiettivi di sicurezza L’elenco delle minacce dovrebbe comprendere eventi accidentali eventi umani deliberati (volontari) Involontari (uso improprio degli strumenti) AICA © 2005

Identificazione delle vulnerabilità VULNERABILITA’=debolezza intrinseca del sistema informativo/informatico che, sfruttata da una minaccia, produce danno all’azienda Esempi: collocazione geografica (centri di calcolo in zone sismica) errori sistematici nell’hardware/software Errori di progettazione malfunzionamenti accidentali dell’hardware deficienze nelle procedure di utilizzo da parte degli utenti (mancati o inaccurati back up) AICA © 2005

Identificazione del livello di rischio Elaborazione dei risultati delle fasi precedenti DA : semplice classificazione di tipo qualitativo A: classificazione quantitativa, cui si associa la perdita economica in termini di percentuale di fatturato AICA © 2005

UN ELEMENTO CHIAVE E’: La CONSAPEVOLEZZA DEL PROBLEMA DELLA SICUREZZA delle informazioni a tutti i livelli aziendali Chi definisce i beni da proteggere Chi decide le procedure di sicurezza Chi esegue le procedure Chi non ha apparenti responsabilità segretaria che al telefono con un’amica digita la password di accesso ripetendola ad alta voce AICA © 2005

Contromisure Si cede a terzi la gestione del rischio Polizze di assicurazione Eliminare o ridurre il rischio agire sulla probabilità di un evento agire sulla gravità delle conseguenze Contromisure di sicurezza Carattere fisico Carattere procedurale Carattere tecnico informatico AICA © 2005

Contromisure di Carattere Fisico Realizzazione di tipo logistico prevenzione controllo del diritto di accesso Esempio centri di calcolo in aree protette, rendere difficile accedere fisicamente alla macchina Impedire l’intercettazione delle onde radio (gabbie di Faraday) AICA © 2005

Contromisure di Carattere Procedurale Regolamentare i comportamenti degli individui Esempio non scrivere su fogli la propria password un amministratore di sistema deve effettuare regolarmente l’aggiornamento dell’antivirus .... Tentare di automatizzare il più possibile AICA © 2005

Contromisure di Carattere tecnico informatico (funzioni di sicurezza) Realizzate mediante sistemi Hardware, Software e Firmware Identificazione Autenticazione Controllo dell’accesso Rendicontabilità Audit Riuso Accuratezza Affidabilità del servizio Scambio dati sicuro AICA © 2005

Identificazione e Autenticazione Funzioni che consentono di identificare e autenticare un individuo un processo Esempio : username e password AICA © 2005

Controllo dell’accesso Controllo delle risorse: Scrittura Lettura Esecuzione Es : accesso della CPU a indirizzi in memoria non validi diritti associati ai files AICA © 2005

Rendicontabilità Attribuzione delle responsabilità di avvenimenti all’individuo che li ha generati Contromisure di identificazione Es: Il sistema operativo identifica il proprietario di ogni processo in esecuzione AICA © 2005

Riuso degli oggetti Funzioni che permettono di riutilizzare oggetti il cui contenuto era informazione riservata RAM, supporti magnetici, ecc... Esempio: Azzerare il contenuto della memoria utilizzate per elaborare password, algoritmi di crittografia, ecc.... AICA © 2005

Audit Le operazioni effettuate dall'utente sono tracciate in file di log. Questo processo di monitoraggio delle attività è detto audit AICA © 2005

Accuratezza funzioni atte a garantire l’integrità dei dati funzioni atte a fornire l’accuratezza della determinazione del tempo Es: in un sistema di audit occorre un time server per garantire l’unicità di un evento AICA © 2005

Affidabilità del servizio Affidabilità del servizio in condizione critica Black out (UPS) Errore software, hardware (roll-back, ripristino) Errore umano AICA © 2005

Scambio dati sicuro Funzioni relative alla sicurezza delle comunicazioni durante la trasmissione, può essere a sua volta suddivisa in sottoclassi autenticazione controllo dell’accesso riservatezza dei dati integrità non ripudio Es: Crittografia Meccanismi di autenticazione AICA © 2005

Organizzazione della sicurezza Non è una tecnologia, È un processo Definito, implementato, gestito e migliorato Coinvolge tutti coloro che appartengono a un’organizzazione responsabilità ricadono sul singolo individuo occorre sensibilizzare a tutti i livelli I costi dovranno essere compatibili con il rischio ( il costo della sicurezza non deve superare il valore del bene da proteggere) AICA © 2005

Definizione delle politiche di sicurezza Tre livelli Politica di sicurezza aziendale Corporate Security Policy: che cosa l’azienda desidera proteggere Politica di sicurezza per il sistema informatico System Security Policy: in che modo proteggere i beni Politica di sicurezza tecnica Technical Security Policy: implementazione della System Security Policy nello specifico sistema AICA © 2005

Politica di sicurezza aziendale Massimo livello di astrazione Cosa l’azienda desidera proteggere Verranno indicate le responsabilità connesse con la tutela dei beni Definizione dell’organizzazione preposta AICA © 2005

Politica di sicurezza per il sistema informatico Come l’azienda intende proteggere le informazioni, in modo il più possibile neutro rispetto alla tecnologia Protezione fisica Protezione procedurale AICA © 2005

Politica di sicurezza tecnica Traduzione in requisiti funzionali delle contromisure tecniche informatiche AICA © 2005

La gestione degli incidenti Fornire aiuto a chi subisce attacchi e raccogliere informazioni sugli attacchi stessi a scopo preventivo Organizzazioni di tipo volontaristico per fornire informazioni a chi subisce un attacco CERT (Computer Emergency Response Team) http://www.cert.org/://www.cert.org/ Organizzazione internazionale FIRST (Forum of Incident Response and Security Teams) www.first.org/http://first.org In italia CERT-IT, http://idea.sec.dsi.unimi.it/ AICA © 2005

La gestione degli incidenti (segnalazione) Contatto del CERT-IT (e-mail, web server) segnalazione dell’attacco se esiste invio del file di log CERT-IT indaga sull’attacco se le informazioni sono sufficienti si contatta la vittima per il ripristino o per ridurre gli effetti Chiusura della segnalazione AICA © 2005

Valutazione della garanzia Funzionalità : insieme di ciò che un prodotto o un sistema informatico fornisce relativamente alla protezione delle informazioni e all’affidabilità dei servizi Efficacia : Misura di quanto le contromisure annullano le minacce Correttezza : Misura della qualità della implementazione del sistema Efficacia + Correttezza = GARANZIA AICA © 2005

Normative Norme funzionali (ISO TC 168) Specifiche tecniche pubbliche Protocolli di comunicazione Formato dei dati sulle smartcard. Specifiche tecniche pubbliche Serie PKCS# pubblicata da RSA Criteri della valutazione della garanzia TCSEC (Trusted Computing Security Evaluation Criteria, 1985) USA ITSEC (Information Technology Security Evaluation Criteria, 1991) Europa ISO/IEC 15408 (1999) : noti come common criteria Internazionali AICA © 2005

Normative Linee guida relative al sistema di gestione della sicurezza nell’azienda ISO/IEC 13335 (parti 1,2,3,4) BS 7720 (parte 1,2) ISO/IEC 17799 AICA © 2005

Valutazione della garanzia Tre componenti fondamentali Funzionalità (cosa deve fare il sistema per la sicurezza) Efficacia (in che misura le contromisure annullano le minacce) Correttezza (quanto bene è stato implementato il sistema) Sono criteri e non norme (non stabiliscono requisiti funzionali) TCSEC (Trusted Computing Security Evaluation Criteria) Criteri statunitensi pubblicati nel 1985 Rimpiazzati dai common criteria ITSEC (Information Technology Security Evaluation Criteria) Critei europei pubblicati nel 1991 Definizione della funzionalità libera AICA © 2005

Valutazione della garanzia ISO/IEC 15408 noti come common criteria, pubblicati nel 1999 7 livelli di garanzia AICA © 2005

Norme sulla gestione della sicurezza 1995, BS 7799 (code of practice) norme di comportamento per la gestione della sicurezza delle informazioni esclude la verifica da parte di terzi (certificazione) 1995, ISO/IEC TR 13335 Modalità per affrontare la gestione della sicurezza Non prevede la certificazione Insieme di norme più restrittive 2002 esce l’ultima versione della BS 7799 in cui il ciclo di vita di un processo è suddiviso in 4 fasi AICA © 2005

SGSI : Sistema di Gestione delle Informazioni AICA © 2005

Modello PDCA Plan (Pianifica): Decidere cosa fare, come farlo, in che tempi. Stabilire gli obiettivi ed i processi necessari per fornire risultati conformi ai requisiti del cliente ed alle politiche dell'organizzazione Do (Fare): Fare quanto pianificato. Dare attuazione ai processi; Check (Controllare): verificare se si è fatto quanto pianificato attraverso dati oggettivi (misurazioni).  Monitorare e misurare i processi ed i prodotti a fronte delle politiche, degli obiettivi e dei requisiti relativi ai prodotti e riportarne i risultati; Act (Agire): adottare azioni per migliorare in modo continuativo le prestazioni dei processi; AICA © 2005

Plan Definizione dell’ambito di applicazione del SGSI Definizione di una politica di sicurezza ad alto livello Definizione di un approccio sistematico per l’analisi dei rischi Identificazione dei rischi Valutazione dei rischi Identificazione delle opzioni di trattamento Eliminazione, cessione a terzi, riduzione delle vulnerabilità Selezione delle contromisure per il controllo dei rischi Redazione della dichiarazione di applicabilità AICA © 2005

Do Formulazione di un piano per il trattamento dei rischi Implementazione del piano Implementazione delle contromisure selezionate Svolgimento di programmi di informazione e formazione Gestione delle operazioni connesse con la fase Gestione delle risorse connesse con la fase Implementazione di procedure e altre misure che assicurino la rilevazione e le opportune azioni in caso di incidenti relativi alla sicurezza AICA © 2005

Check Esecuzione delle procedure di monitoraggio dell’SGSI Esecuzione di revisioni del rischio residuo Conduzione di audit interni all’SGSI AICA © 2005

Act Implementazione delle azioni migliorativi dell’SGSI identificate Implementazione delle azioni correttive e preventive Comunicazione dei risultati Verifica che i miglioramenti raggiungano gli obiettivi identificati alla loro base AICA © 2005