La sicurezza informatica in ENAV e la direttiva europea sulle infrastrutture critiche

1. M2M Forum 2009
Milano 07 aprile 2009

3. Premessa
Sicurezza fisica
Infrastrutture di Rete
Infrastrutture di Sicurezza
Servizi Internet
System e Security Management
Influenza del fattore umano
Normativa Europea Infrastrutture critiche

4. Esigenza:
Affrontare i problemi di Sicurezza nella loro globalità
Soluzione:
Possibilità di differenziare l’approccio
Approccio essenziale (basato solo sulla tecnologia)
Approccio metodologico
ENAV ha scelto : l’approccio metodologico

5. Stabilire le esigenze di sicurezza
Trasformarle in requisiti
Implementare le soluzioni
Verificare le rispondenza tra requisiti e soluzioni

6. Individuazione dei rischi tramite i tre fattori fondamentali:
Minaccia
Vulnerabilità
Impatto
focalizzata su ciascuna specifica area di valutazione
Individuazione delle metodologie specifiche per ciascuna
di esse

7. Attivata una Risk Analysis:
Identificazione della Minaccia
Valutazione ed Analisi delle Vulnerabilità
Attività di Penetration Testing
Attività di exploiting manuale delle Vulnerabilità
Valutazione dell’impatto sui beni critici di ENAV
Valutazione dell’esposizione al Rischio
Identificazione le contromisure da porre in atto

8. Standard internazionali (ove possibile)
Esempio:
ISO/IEC 27001 (ex BS7799-2)
ISO/IEC 27002 (ex ISO/IEC 17799, ex BS7799-1)
SSE-CMM (ISO/IEC 21827)
GMITS (ISO/IEC 13335)
ISO/IEC 27005 (IT Risk Management)

9. TCSEC (Trusted Computer System Evaluation Criteria –
Orange Book)
ITSEC (Information technology Security Evaluation Criteria
ITSEM
CC (Common Criteria – ISO/IEC 15408)

10. Certificazione
Standardizzazione delle procedure
Facilità di implementazione
Facilità di monitoraggio e manutenzione
Adozione di processi e soluzioni consolidate

11. Vigilanza h24 sui principali Siti;
Sistemi antintrusione mediante videosorveglianza,
antiscavalcamento e recinzioni;
Ronde;
Interventi su segnalazione di infrazioni con sistemi di
radiosorveglianza in siti non presidiati;
Nel prossimo futuro, realizzazione di un piano nazionale per
il controllo accessi basato su smart-card e controlli
biometrici;

13. LAN 10 Giga/Bit Sede Centrale
CSPM NMS CSNT
Primo A Secondo A Secondo B
Terra A Terra B Primo B AAA
Access Server Farm
Layer Laye r
BackBone
Layer
Infrastruttura di Intrusion
Detection Si Si
Security
Layer
WAN
Layer
ATM
ISDN DATA
Internet
ADSL WAN

14. Utilizzo PKI per l’autenticazione
Profilazione utenti
Strumenti di Single sign-on
Sistemi di Intrusion Detection
Sistemi di firewalling per la protezione perimetrale
Sistemi di videosorveglianza per la protezione fisica

15. Normativa
Codice in Materia di Protezione dei Dati Personali
Normativa interna all’organizzazione
Formazione
Piano di Formazione di base (sicurezza) suddivisa per
ruoli e responsabilità
Piano periodico di aggiornamento
Piano di sensibilizzazione del personale

16. Condizioni di utilizzo di Internet
Politiche di utilizzo corretto dei servizi
Politiche sull’utilizzo di internet e posta elettronica

17. Attuale: verifiche periodiche sulle attività svolte sui sistemi
e sull’applicazione delle politiche di sicurezza
Futuro:
Implementazione di un ambiente di Incident handling
and response
Prevenzione degli incidenti

18. Identificazione della minaccia
Minacce ad opera di soggetti esterni (outsiders)
Minacce ad opera di soggetti interni (insiders)
Minacce accidentali (errori)
Minacce intenzionali (attacchi)
Applicabilità delle contromisure:
Equilibrio tra elevato livello di sicurezza e l’impatto che
eventuali contromisure hanno sul personale (risposta
degli utenti)
Formazione continua

19. lo scorso 23 dicembre 2008 è stata pubblicata sulla
Gazzetta Ufficiale della Comunità Europea il testo della
direttiva sulla identificazione e designazione delle
infrastrutture critiche europee.
Essa è entrata in vigore il 12 gennaio 2009.
Gli stati membri hanno tempo fino al 12/01/2011 per la
relativa ratifica. Entro tale data dovrà, inoltre, essere
completato il processo di identificazione e designazione
delle ECI. Gli operatori di quelle infrastrutture designate
come ECI avranno un anno di tempo dalla data di
designazione, per provvedere (qualora non ne siano già
dotati) a definire un Piano della Sicurezza dell’Operatore
(PSO) ed a designare un “soggetto” di coordinamento

20. DOMANDE?
Bruno Carbone
Responsabile Sicurezza Informatica
Bruno.carbone@enav.it