Intervento a cura di Andrea Ceresoni, Responsabile Cybersecurity, nel corso dell'evento "Completiamo insieme il sistema operativo del Paese", organizzato a Roma il 2 luglio 2019 dal Team per la Trasformazione Digitale per condividere visione, strumenti e obiettivi del processo di digitalizzazione, con i partner tecnologici della Pubblica Amministrazione. A seguire intervento di Stefano Orciari (Reply).

1. Sicurezza nella Pubblica Amministrazione
e Responsible Disclosure
Un modello per la segnalazione di vulnerabilità
Andrea Ceresoni
CyberSecurity

2. Time-Line
Vulnerabilità software
Cyber security drama
Fonte: www.cvedetails.com/browse-by-date.php

3. didascalia
Full disclosure
“Full disclosure is the practice of publishing
analysis of software vulnerabilities as early as
possible, making the data accessible to
everyone without restriction”
Wikipedia
Responsible disclosure

4. didascalia
Cosa stiamo facendo / Responsible disclosure
Responsible disclosure
“In computer security or elsewhere,
responsible disclosure is a vulnerability
disclosure model in which a vulnerability or an
issue is disclosed only after a period of time
that allows for the vulnerability or issue to be
patched or mended.”
Wikipedia

5. ISO-IEC 29147:2018
Esiste già uno standard descrive i requisiti e le
raccomandazioni su come segnalare in maniera
responsible le segnalazioni di vulnerabilità.
➔ https://www.iso.org/standard/72311.html
Responsible disclosure

6. Casi esemplari
Responsible disclosure

7. Responsible disclosure
Il Team per la Trasformazione Digitale sta
valutando un modello di Responsible
Disclosure che potrebbe essere applicato alla
proprie piattaforme.
➔ Test locale sul proprio computer o dispositivo
mobile del software.
➔ Test su ambienti senza dati di produzione (su
richiesta).
➔ Test in ambiente di produzione, su richiesta,
previa registrazione e manleva.
“Cosa stiamo facendo”
Cosa stiamo facendo

8. Responsible disclosure
ENISA shall assist Member States and Union
institutions, bodies, offices and agencies in
establishing and implementing vulnerability
disclosure policies on a voluntary basis
“EU CYBERSECURITY ACT ·
ARTICLE 6 (b)”
Cosa stiamo facendo

9. Ci sono anche casi in italia!
Responsible disclosure

10. Responsible disclosure
➔Il cyber security manager
➔il CERT
➔il SOC
➔il team ICT con i gruppi di infrastruttura e
applicativo che devono essere pronti ad
intervenire in modo tempestivo.
➔Finito?
➔Assolutamente no! Nella squadra ci sono anche i
legali, i regolamentari, l'ufficio stampa, il social
media manager, il customer care...
E’ un lavoro di squadra!

11. Responsible disclosure
E’ una semplice procedura?
➔No, direi che è più un'avventura…
➔Gli attori con cui confrontarsi sono molti ed ognuno di loro ha
parecchie domande e preoccupazioni da chiarire
➔Security manager: aumenteranno gli attacchi?
➔CERT: come la integro nel piano di vulnerability management?
➔ICT: Abbiamo già una roadmap, non riusciamo a fare anche
questo!
➔Ufficio stampa: Potremmo apparire vulnerabili?
➔Il social media manager: ma la customer experience?
➔Il customer care: ma quindi dobbiamo mandare il tecnico a
riparare l’apparato?

12. Responsible disclosure
Ma i benefici?
➔ Il lavoro di squadra nella fase di setup della Responsible
Disclosure rafforza le relazioni tra i team rendendo più agile
la risposta alle criticità in ambito cyber
➔ Si identifica un numero maggiore di vulnerabilità
➔ Migliore gestione delle comunicazioni (social e customer
care)
➔ Dalle domande emerse è possibile potenziare la Security
Awareness

13. teamdigitale.governo.it
@teamdigitaleIT
@team-per-la-trasformazione-digitale
@company/teamdigitale
Seguici su
Documento rilasciato
con licenza CC-BY-SA-4.0