Home Contratto Quadro CDT Privacy & Sicurezza Servizi Nuovi Servizi Come Ordinare News FAQ Chi Siamo Contatti

Privacy

La gestione della Privacy è un'area sempre più centrale per le organizzazioni pubbliche che, analogamente a quelle private, raccolgono, elaborano e trasferiscono informazioni personali di dipendenti o clienti. La tendenza legislativa porta ad accrescere i requisiti per la corretta gestione della privacy, elevando altresì i costi e i rischi in caso di violazione dei dati. Il quadro normativo, in continua evoluzione, comprende le seguenti normative: DLGS 196-2003, Provvedimento 27/11/2003 e la General Data Protection regulation (GDPR).

Il Cloud di SPC ha fra i suoi obiettivi quello di facilitare il raggiungimento ed il mantenimmento della conformità a tali norme da parte delle Pubbliche Amministrazioni clienti.
In particolare, l’adesione al Cloud SPC mette a disposizione i seguenti benefici:
  • Data breach notification per la parte infrastrutturale
  • Garanzia che i dati non sarano trasferiti al di fuori del territorio nazionale
  • Infrastruttura Cloud protetta da strumenti tecnologici all’avanguardia
  • Semplificazione attraverso la nomina di un Responsabile del Trattamento
  • Possibilità di sfruttare le capacità e le esperienze dei team di Cloud Enabling per supportare programmi di gestione della privacy nel contesto Cloud

Misure di sicurezza

Con misure di sicurezza si intende un insieme omogeneo di "requisiti" che le organizzazioni, e quindi le pubbliche amministrazioni, mettono in atto per innalzare il proprio livello di sicurezza informatica e mitigare il proprio rischio.
Agid, nella sua funzione istituzionale, ha definito uno specifico insieme di misure di Sicurezza denominate AgID Basic Security Controls (ABSC).
Tali misure sono raggruppate in funzione della loro natura tecnologica, organizzativa, procedurale, e si classificano in tre diversi livelli di Sicurezza. Il livello Minimo è quello al quale ogni pubblica amministrazione deve necessariamente essere o rendersi conforme. I livelli successivi (Standard e Alto) sono indirizzati alle Amministrazioni Pubbliche che, nell’ambito della loro valutazione dei rischi, necessitano di più elevate contromisure. Le misure ABSC, la loro classificazione e il relativo livello di sicurezza sono disponibili al seguente link.
Nell’ambito del percorso di trasformazione delle PA verso l’adozione del Cloud, l’accordo quadro SPC lotto 1, rappresenta un valido strumento per adeguarsi contestualmente alle più importanti misure ABSC.
Le tabelle seguenti riassumono quali misure sono implicitamente soddisfatte e quali lo sono mediante attivazione di consulenza «Cloud enabling».

Misure ABSC implicitamente soddisfatte con l’adesione al CQ

ABSC ID# Descrizione
1 1 1 Implementare un inventario delle risorse attive correlato a quello ABSC 1.4
3 1 Aggiornare l’inventario quando nuovi dispositivi approvati vengono collegati in rete.
4 1 Gestire l'inventario delle risorse di tutti i sistemi collegati alla rete e dei dispositivi di rete stessi, registrando almeno l'indirizzo IP.
2 1 1 Stilare un elenco di software autorizzati e relative versioni necessari per ciascun tipo di sistema, compresi server, workstation e laptop di vari tipi e per diversi usi. Non consentire l'installazione di software non compreso nell'elenco.
3 1 1 Utilizzare configurazioni sicure standard per la protezione dei sistemi operativi.
2 1 Definire ed impiegare una configurazione standard per workstation, server e altri tipi di sistemi usati dall'organizzazione.
2 Eventuali sistemi in esercizio che vengano compromessi devono essere ripristinati utilizzando la configurazione standard.
4 1 Eseguire tutte le operazioni di amministrazione remota di server, workstation, dispositivi di rete e analoghe apparecchiature per mezzo di connessioni protette (protocolli intrinsecamente sicuri, ovvero su canali sicuri).
4 1 1 Ad ogni modifica significativa della configurazione eseguire la ricerca delle vulnerabilità su tutti i sistemi in rete con strumenti automatici che forniscano a ciascun amministratore di sistema report con indicazioni delle vulnerabilità più critiche.
4 1 Assicurare che gli strumenti di scansione delle vulnerabilità utilizzati siano regolarmente aggiornati con tutte le più rilevanti vulnerabilità di sicurezza.
5 1 Installare automaticamente le patch e gli aggiornamenti del software sia per il sistema operativo sia per le applicazioni.
5 1 1 Limitare i privilegi di amministrazione ai soli utenti che abbiano le competenze adeguate e la necessità operativa di modificare la configurazione dei sistemi.
2 Utilizzare le utenze amministrative solo per effettuare operazioni che ne richiedano i privilegi, registrando ogni accesso effettuato.
2 1 Mantenere l'inventario di tutte le utenze amministrative, garantendo che ciascuna di esse sia debitamente e formalmente autorizzata.
3 1 Prima di collegare alla rete un nuovo dispositivo sostituire le credenziali dell'amministratore predefinito con valori coerenti con quelli delle utenze amministrative in uso.
7 1 Quando l'autenticazione a più fattori non è supportata, utilizzare per le utenze amministrative credenziali di elevata robustezza (e.g. almeno 14 caratteri).
3 Assicurare che le credenziali delle utenze amministrative vengano sostituite con sufficiente frequenza (password aging).
4 Impedire che credenziali già utilizzate possano essere riutilizzate a breve distanza di tempo (password history).
10 1 Assicurare la completa distinzione tra utenze privilegiate e non privilegiate degli amministratori, alle quali debbono corrispondere credenziali diverse.
2 Tutte le utenze, in particolare quelle amministrative, debbono essere nominative e riconducibili ad una sola persona.
3 Le utenze amministrative anonime, quali "root" di UNIX o "Administrator" di Windows, debbono essere utilizzate solo per le situazioni di emergenza e le relative credenziali debbono essere gestite in modo da assicurare l'imputabilità di chi ne fa uso.
11 1 Conservare le credenziali amministrative in modo da garantirne disponibilità e riservatezza.
2 Se per l'autenticazione si utilizzano certificati digitali, garantire che le chiavi private siano adeguatamente protette.
8 1 1 Installare su tutti i sistemi connessi alla rete locale strumenti atti a rilevare la presenza e bloccare l'esecuzione di malware (antivirus locali). Tali strumenti sono mantenuti aggiornati in modo automatico.
10 1 1 Effettuare almeno settimanalmente una copia di sicurezza almeno delle informazioni strettamente necessarie per il completo ripristino del sistema.
3 1 Assicurare la riservatezza delle informazioni contenute nelle copie di sicurezza mediante adeguata protezione fisica dei supporti ovvero mediante cifratura. La codifica effettuata prima della trasmissione consente la remotizzazione del backup anche nel cloud.
4 1 Assicurarsi che i supporti contenenti almeno una delle copie non siano permanentemente accessibili dal sistema onde evitare che attacchi su questo possano coinvolgere anche tutte le sue copie di sicurezza.


Misure ABSC soddisfatte mediante attivazione di consulenza «Cloud enabling»

ABSC ID# Descrizione
2 2 3 Utilizzare strumenti di verifica dell'integrità del file per verificare che le applicazioni nella "whitelist" non siano state modificate.
3 2 Mantenere un inventario del software in tutta l'organizzazione che copra tutti i tipi di sistemi operativi in uso, compresi server, workstation e laptop.
3 2 3 Le modifiche alla configurazione standard devono essere effettuate secondo le procedure di gestione dei cambiamenti.
4 2 1 Correlare i log di sistema con le informazioni ottenute dalle scansioni delle vulnerabilità.
2 Verificare che i log registrino le attività dei sistemi di scanning delle vulnerabilità.
3 Verificare nei log la presenza di attacchi pregressi condotti contro target riconosciuto come vulnerabile.
6 1 Verificare regolarmente che tutte le attività di scansione effettuate con gli account aventi privilegi di amministratore siano state eseguite secondo delle policy predefinite.
7 1 Verificare che le vulnerabilità emerse dalle scansioni siano state risolte sia per mezzo di patch, o implementando opportune contromisure oppure documentando e accettando un ragionevole rischio.
2 Rivedere periodicamente l’accettazione dei rischi di vulnerabilità esistenti per determinare se misure più recenti o successive patch possono essere risolutive o se le condizioni sono cambiate, con la conseguente modifica del livello di rischio.
8 1 Definire un piano di gestione dei rischi che tenga conto dei livelli di gravità delle vulnerabilità, del potenziale impatto e della tipologia degli apparati (e.g. server esposti, server interni, PdL, portatili, etc.).
2 Attribuire alle azioni per la risoluzione delle vulnerabilità un livello di priorità in base al rischio associato. In particolare applicare le patch per le vulnerabilità a partire da quelle più critiche.
9 1 Prevedere, in caso di nuove vulnerabilità, misure alternative se non sono immediatamente disponibili patch o se i tempi di distribuzione non sono compatibili con quelli fissati dall’organizzazione.
8 7 2 Disattivare l’esecuzione automatica dei contenuti dinamici (e.g. macro) presenti nei file.
3 Disattivare l’apertura automatica dei messaggi di posta elettronica.
4 Disattivare l’anteprima automatica dei contenuti dei file.
8 1 Eseguire automaticamente una scansione anti-malware dei supporti rimuovibili al momento della loro connessione.
9 1 Filtrare il contenuto dei messaggi di posta prima che questi raggiungano la casella del destinatario, prevedendo anche l’impiego di strumenti antispam.
2 Filtrare il contenuto del traffico web.
3 Bloccare nella posta elettronica e nel traffico web i file la cui tipologia non è strettamente necessaria per l’organizzazione ed è potenzialmente pericolosa (e.g. .cab).
10 1 Utilizzare strumenti anti-malware che sfruttino, oltre alle firme, tecniche di rilevazione basate sulle anomalie di comportamento.
11 1 Implementare una procedura di risposta agli incidenti che preveda la trasmissione al provider di sicurezza dei campioni di software sospetto per la generazione di firme personalizzate.
13 1 1 Effettuare un’analisi dei dati per individuare quelli con particolari requisiti di riservatezza (dati rilevanti) e segnatamente quelli ai quali va applicata la protezione crittografica
2 1 Utilizzare sistemi di cifratura per i dispositivi portatili e i sistemi che contengono informazioni rilevanti
3 1 Utilizzare sul perimetro della rete strumenti automatici per bloccare, limitare ovvero monitorare in maniera puntuale, sul traffico uscente dalla propria rete, l’impiego di crittografia non autorizzata o l’accesso a siti che consentano lo scambio e la potenziale esfiltrazione di informazioni.
4 1 Effettuare periodiche scansioni, attraverso sistemi automatizzati, in grado di rilevare sui server la presenza di specifici "data pattern", significativi per l’Amministrazione, al fine di evidenziare l’esistenza di dati rilevanti in chiaro.
5 1 Nel caso in cui non sia strettamente necessario l’utilizzo di dispositivi esterni, implementare sistemi/configurazioni che impediscano la scrittura di dati su tali supporti
2 Utilizzare strumenti software centralizzati atti a gestire il collegamento alle workstation/server dei soli dispositivi esterni autorizzati (in base a numero seriale o altre proprietà univoche) cifrando i relativi dati. Mantenere una lista aggiornata di tali dispositivi.
6 1 Implementare strumenti DLP (Data Loss Prevention) di rete per monitorare e controllare i flussi di dati all’interno della rete in maniera da evidenziare eventuali anomalie.
2 Qualsiasi anomalia rispetto al normale traffico di rete deve essere registrata anche per consentirne l’analisi off line.
7 1 Monitorare il traffico uscente rilevando le connessioni che usano la crittografia senza che ciò sia previsto.
8 1 Bloccare il traffico da e verso url presenti in una blacklist.
9 1 Assicurare che la copia di un file fatta in modo autorizzato mantenga le limitazioni di accesso della sorgente, ad esempio attraverso sistemi che implementino le regole di controllo degli accessi (e.g. Access Control List) anche quando i dati sono trasferiti al di fuori del loro repository.


Vulnerabilità Spectre e Meltdown

A seguito della segnalazione delle vulnerabilità Spectre e Meltdown si rende noto alle Amministrazioni aderenti lo stato delle contromisure adottate per la piattaforma SPC Cloud nel documento Informativa vulnerabilita intel_V4 -CloudSPC- (LEGAL 110118) v4

I Datacenter che ospitano i servizi del Lotto1 SPC Cloud sono tutti certificati secondo lo standard ISO/IEC 27001 : 2013. I certificati rilasciati dagli enti:

Attivazione One Time Password

Per attivare l’accesso alla console OpenStack di Horizon con l’autenticazione a due fattori (Two Factor Authentication - 2FA) si deve utilizzare la procedura disponibile al link:
Attivazione One Time Password
seguendo le istruzioni disponibili nel manuale utente:
Manuale utente per la richiesta di attivazione OTP .
Una volta attivato l’OTP sarà possibile accedere alla console di Horizon di riferimento inserendo nel campo password: la password seguita dal codice OTP generato dalla APP, come descritto nel manuale utente.

Per esigenze di supporto, reset della password o inserimento dell'indirizzo di posta, qualora mancante nel profilo, fare riferimento allo SPOC SPC.


Per informazioni:
800 11.13.30
 		Orari:
lun-ven: 8:30 - 17:30
sab: 8:30 - 14:00