Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 1 di 20 ing. Claudio Manganelli Componente Collegio CNIPA - Presidente del Comitato tecnico nazionale sulla sicurezza ICT nella PA Aula Magna dellUniversità di Salerno 30 novembre 2005 Sviluppi della Tecnologia Informatica e della Sicurezza ICT: sinergie tra Università, Industria e Pubblica Amministrazione Lo stato dellarte della sicurezza ICT nelle pubbliche amministrazioni

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 2 di 20 Alcuni dati sulla sicurezza ICT Le vulnerabilità informatiche per classi di tecnologia

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 3 di 20 Alcuni dati sulla sicurezza ICT Malware: virus e worm (fonte Symantec)

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 4 di 20 Alcuni dati sulla sicurezza ICT Andamento dei fenomeni di attacco (virus e worm) Dal 2002 non sono più prodotti macro virus, virus di boot, e per file I tipi (famiglie) di virus circolanti in Italia sono network worm Fonte: SECURITYNET ® - Servizio Antivirus e Prevenzione Computer Crime- OASI SpA

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 5 di 20 Alcuni dati sulla sicurezza ICT Phishing Il numero di aziende colpite da questo tipo di attacco è in aumentato Fonte: Un sito specializzato ha censito – ad agosto 2004 – casi che hanno interessato 39 servizi bancari. 400 casi fino a marzo 2004; casi fino ad aprile 2004; a febbraio 2005.

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 6 di 20 Alcuni dati sulla sicurezza ICT Dati sugli interventi Approfondimenti SecurityNet su alcune aziende

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 7 di 20 I rischi per lo sviluppo delle- government Le informazioni acquisite o elaborate possono essere raccolte, memorizzate, analizzate, relazionate ed utilizzate in diversi modi, in posti geograficamente remoti, senza che i soggetti interessati ne siano consci Lo sviluppo delle-government è accompagnato dal sorgere di nuovi problemi furto didentità spamming prodotti di pubblicità indesiderati (adware) Dopo lentusiasmo per le nuove tecnologie, si rischia il rigetto per lassenza di garanzie di sicurezza

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 8 di 20 La sicurezza ICT del settore pubblico Il Governo ha indicato nella promozione della Società dellinformazione e nella realizzazione di un nuovo modello di Stato digitalizzato due priorità per lo sviluppo economico, sociale e culturale del Paese La straordinaria efficienza dei nuovi strumenti da un lato moltiplica le opportunità di sviluppo del Paese, dallaltro incrementa i fattori di rischio ed offre nuove opportunità di uso non etico e criminoso La digitalizzazione dello Stato incrementa la dipendenza dai sistemi informativi e quindi limportanza della loro sicurezza

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 9 di 20 Prime risposte al bisogno di sicurezza ICT Direttiva del Presidente del Consiglio dei Ministri del 16 gennaio 2002 sulla Sicurezza Informatica e delle Telecomunicazioni nelle Pubbliche Amministrazioni Statali "Linee guida del Governo per lo sviluppo della Società dell'Informazione nella legislatura (28 maggio 2002) Istituzione del Comitato tecnico nazionale sulla sicurezza ICT nelle PA (DM MIC-MIT 24 luglio 2002 e 6 agosto 2004)

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 10 di 20 Le indicazioni del Comitato tecnico Proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni (ICT) per la pubblica amministrazione (marzo 2004)

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 11 di 20 Il Codice dellamministrazione digitale Normativa dedicata allICT Il codice ed i provvedimenti ad esso collegati Decreto legislativo 28 febbraio 2005, n. 42 recante istituzione del sistema pubblico di connettività Decreto del Presidente della Repubblica 11 febbraio 2005, recante posta elettronica certificata

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 12 di 20 La sicurezza ICT nel Codice Una parte rilevante dei contenuti del Codice è dedicata agli aspetti della sicurezza delle informazioni Modulistica (art. 58) Firma digitale (art. 21) CIE e CNS (art. 67) Sicurezza dei dati (art. 54) Pagamenti informatici (art. 5) Segretezza della corrispondenza telematica (art.52)

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 13 di 20 Iniziative del CNIPA per la sicurezza ICT delle PA GovCERT Gruppo di lavoro per redazione del Piano Nazionale e del Modello Organizzativo Continuità Operativa Sistemi di autenticazione e riconoscimento: biometria e RFID

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 14 di 20 Il GovCERT - obiettivi Assicurare un presidio informativo sugli eventi che possono colpire le infrastrutture, i servizi e gli utenti della PA, fornendo dati e informazioni al personale tecnico delle PA di riferimento. Emanare linee guida di tipo tecnico ed organizzativo per favorire ed uniformare la capacità di risposta agli incidenti e lo sviluppo della cultura della sicurezza nelle PA. Collaborare con altri Organi dello Stato che hanno competenza in materia per favorirne linterazione. Costituire per la PA un punto di riferimento per la sicurezza informatica e la gestione degli incidenti.

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 15 di 20 Servizio di Early Warning Bollettini prodotti in lingua italiana e firmati digitalmente. Da Gennaio segnalazioni per nuove vulnerabilità gravi o importanti 10 avvisi di presenza in rete di malware a rischio medio o elevato Supporto alla Gestione degli Incidenti Da Gennaio web defacement rilevati e comunicati Ricevute segnalazioni di incidenti una di esse ha richiesto lanalisi del codice virale Il GovCERT – le attività

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 16 di 20 Gruppo di lavoro per redazione del Piano Nazionale e del Modello Organizzativo Il Piano Nazionale della sicurezza ICT e il Modello Organizzativo della sicurezza ICT per la Pubblica Amministrazione sono stati previsti nelle Linee guida del Governo per lo sviluppo della Società dellInformazione nella legislatura Il Gruppo di lavoro ha da poco terminato le sue attività e presenterà i risultati al Comitato

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 17 di 20 Continuità Operativa istituzione di un centro di competenza per il supporto alle iniziative per il disaster recovery e la business continuity. a questo centro di competenza fanno riferimento le diverse iniziative di volta in volta promosse: il progetto Centro Unico di Backup degli istituti di previdenza il gruppo di lavoro per le linee guida per la Business Continuity nella PA

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 18 di 20 Sistemi di autenticazione e riconoscimento: biometria e RFID Negli ultimi anni si è manifestato un crescente interesse da parte di amministrazioni pubbliche per limpiego delle tecnologie biometriche in ambiti civili A partire dal 2003 il CNIPA ha avviato le attività sullargomento con la costituzione di un centro di competenza sulla biometria e di un gruppo di lavoro per la redazione di linee guida sulle tecnologie biometriche.

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 19 di 20 Sistemi di autenticazione e riconoscimento: biometria e RFID Fra gli obiettivi del centro di competenza sulla biometria: supporto diretto ai progetti della PA e la condivisione di best practice monitoraggio del mercato e della normativa indagini e attività di laboratorio interne ed in collaborazione con laboratori esterni (Ministero dellInterno e Università di Bologna) Sono stati inoltre prodotti due documenti: Linee guida per limpiego delle tecnologie biometriche nella PA (2004) Linee guida per limpiego delle tecnologie biometriche nella PA - Indicazioni operative (2005) E stato tenuto il convegno Cnipa La biometria entra nelle-government. Roma,

Univ. Salerno – 30/11/05 Lo stato dellarte della sicurezza ICT nelle PA - C. Manganelli 20 di 20 Sistemi di autenticazione e riconoscimento: biometria e RFID Nel gennaio 2005 il Cnipa ha costituito un Gruppo di studio sullimpiego degli RFID con lobiettivo di individuare e analizzare le applicazioni potenzialmente dinteresse per la PA. A seguito delle indagini effettuate anche attraverso audizioni con Amministrazioni Pubbliche, operatori di settore e associazioni di categoria il Gruppo ha individuato le seguenti aree di intervento: approfondimento delle tecnologia dellRFID e delle applicazioni connesse costituzione di un laboratorio di sperimentazione e accordi con Centri di Ricerca individuazione di progetti pilota