Certificazioni di Sicurezza Informatica” “Il Consorzio RES e le Certificazioni di Sicurezza Informatica” 1/22

Il Consorzio RES nasce nel 1997 in risposta alle crescenti esigenze del mercato ICT in ambito della sicurezza nell'elaborazione e nel mantenimento dei dati elettronici. Il Consorzio RES è Laboratorio di Valutazione della Sicurezza (LVS) accreditato da OCSI (ISTICOM) Centro di Valutazione (CE.VA.) accreditato dall’Autorità Nazionale per la Sicurezza (ANS) Consulente Globale nel campo della sicurezza fisica, organizzativa ed ICT 2/22

Che cosa è un Processo di Valutazione ? Il Consorzio RES è un laboratorio omologato per compiere Valutazioni di Sicurezza secondo due Schemi Nazionali Schema gestito da ANS per la valutazione e certificazione della sicurezza di sistemi e prodotti che gestiscono informazioni classificate, concernenti la sicurezza interna ed esterna dello Stato (DPCM 11/04/2002) Schema gestito dall’OCSI per la valutazione e certificazione della sicurezza di sistemi e prodotti nel settore della tecnologia dell'informazione (DPCM del 30/10/2003) Che cosa è un Processo di Valutazione ? 3/22

ad un livello di garanzia alto Il Processo di Valutazione è parte di un Processo di Certificazione ed è finalizzato all’emissione di un Rapporto Finale di Valutazione sulla base del quale l’Ente Certificante produrrà il Rapporto di Certificazione ed, eventualmente, il Certificato in breve tempo L’Obiettivo, quindi, sembra essere l’ottenimento del Certificato di Sicurezza a costi ridotti ad un livello di garanzia alto Questo Obiettivo DEVE essere raggiunto… 4/22

… solitamente ci viene chiesto questo ! ? ! … solitamente ci viene chiesto questo ! 5/22

Anni di esperienza ci hanno insegnato a rispettare tali esigenze Partendo da esse il Consorzio RES ha consolidato una metodologia operativa di indubbio vantaggio per il cliente Il nostro approccio risponde, in modo puntuale, alle principali problematiche di quanti siano intenzionati ad intraprendere un processo di certificazione 6/22

… ed i presupposti da cui partono i nostri Clienti sono … Perché certificare Cosa certificare Quanto spendere … ed i presupposti da cui partono i nostri Clienti sono … 7/22

49% 49% 2% Perché certificare Ci serve per poter usare il sistema/prodotto 49% Il nostro diretto competitor ha appena certificato il suo prodotto 2% Avanzano dei soldi nel progetto … 8/22

50% Tutto 50% Non lo sappiamo Cosa certificare 50% Tutto 50% Non lo sappiamo 9/22

Abbiamo X mila € da spendere…fate voi! Quanto spendere 50% Poco 50% Abbiamo X mila € da spendere…fate voi! 10/22

L’analisi di tali esigenze ha portato il Consorzio RES a sviluppare una metodologia di lavoro che accompagna il Cliente da prima dell’avvio ufficiale del Processo di Valutazione. L’approccio seguito risponde alle esigenze del Cliente pur rispettando tutte le procedure dello schema di riferimento nonché lo standard di sicurezza prescelto rispetto al quale viene valutato il sistema/prodotto. L’intervento del Consorzio RES, fin dai momenti in cui la Certificazione è solo un’ipotesi, consente al Cliente di risolvere a proprio vantaggio le precedenti problematiche 11/22

“ Affinchè le informazioni che si vogliono proteggere, possano essere gestite in un contesto di sicurezza adeguato all’ambiente reale ” Perché certificare? ... Sin da prima dell’avvio della Valutazione, il Consorzio RES collabora con i propri Clienti ad una chiara definizione : dell’ambiente operativo più idoneo delle contromisure strettamente necessarie delle reali esigenze di sicurezza 12/22

degli elementi dell’Ambiente Operativo dell’Oggetto da Valutare “ Solo quelle componenti (HW/SW) che, implementando la sicurezza, vanno a contrastare, in modo efficace, le minacce ipotizzate ” Cosa certificare? ... Una delle prime attività del Consorzio RES è aiutare i propri Clienti a tracciare in modo netto i confini: degli elementi dell’Ambiente Operativo dell’Oggetto da Valutare di tutto il resto 13/22

Quanto spendere? ... Il minimo indispensabile dopo aver risposto, in modo corretto, agli interrogativi: Perché Certificare? Cosa Certificare? ” “ 14/22

Confusione sui reali obiettivi di sicurezza E’ frequente infatti che le ambiguità del Problema di Sicurezza si traducano in una cautelativa estensione dei confini dell’Oggetto da Valutare e del suo Ambiente Operativo, nonché nella definizione di Procedure di Sicurezza onerose per la quotidiana operatività degli utenti del prodotto/sistema che verrà certificato Allungamento dei tempi della certificazione Aumento dei costi della certificazione Confusione sui reali obiettivi di sicurezza Obsolescenza componenti HW/SW del prodotto/sistema Cambiamento normative/standard 15/22

Dove interviene il Consorzio RES Fase di Assistenza alla Valutazione certificazione Emissione Certificato Fase di Valutazione Inizio Valutazione Fine Valutazione Fase di Preparazione alla Valutazione 16/22

Fattori Critici di Successo Fase di Assistenza alla Valutazione Fase di Valutazione Fase di Preparazione alla Valutazione certificazione 17/22

Fattori Critici di Successo Il soddisfacimento di tali requisiti riduce notevolmente il rischio che, nel corso del processo di certificazione, si accumulino ritardi non trascurabili a scapito dei costi e degli impegni operativi del sistema/prodotto da certificare Individuazione degli aspetti di sicurezza concretamente connessi al problema di sicurezza Fase di Preparazione alla Valutazione Fase di Assistenza alla Valutazione Scrittura di documenti per la valutazione corretti, coerenti e conformi allo standard di sicurezza scelto 18/22

Soluzione chiavi in mano Fase di Preparazione alla Valutazione Fase di Assistenza alla Valutazione Fase di Valutazione Il Consorzio RES è in grado di offrire un servizio completo, nel corso di un medesimo processo di Certificazione, in quanto dispone di personale altamente qualificato ed in numero sufficiente da poter garantire l’ indipendenza prevista da entrambi gli schemi nazionali. 19/22

Common Criteria v.3.1 (ISO/IEC 15408) Ogni risorsa del Consorzio RES è in grado di esercitare la professione secondo il più recente standard di sicurezza riconosciuto da un board di nazioni a livello mondiale: Common Criteria v.3.1 (ISO/IEC 15408) Ogni risorsa è inoltre abilitata, da entrambi gli enti certificanti, per i rispettivi schemi, a ricoprire il ruolo di Valutatore nel corso dei processi di Valutazione. 20/22

La fiducia dei nostri clienti ci ha consentito di raggiungere dei traguardi da primato ... tutti inevitabili risultati dell'impegno e della professionalità con le quali il Consorzio RES risponde alle Vostre esigenze. Primo LVS in Italia ad essere stato accreditato per effettuare valutazioni di prodotti/sistemi o di profili di protezione secondo lo Schema Nazionale gestito dall’OCSI Primo LVS in Italia ad aver concluso un processo Valutazione secondo lo Schema Nazionale gestito dall’OCSI Primo laboratorio ad aver concluso delle Valutazioni Common Criteria secondo lo Schema Nazionale gestito dall’ANS 21/22

Altre informazioni su: www.consorzio-res.it Contatti: contatto@consorzio-res.it 22/22