Cybersecurity
Cybersecurity Plan
Scuola Normale Superiore
Index
Documents comprising the Cybersecurity Plan:
Risk Management: Risk Management Plan
Incident Management: Incident Response Plan
NIS2: NIS2 EU Directive: compliance
Misure Minime di Sciurezza ICT: Direttiva AgID MmS ICT: compliance
Risk Management
Cybersecurity Risk Management Plan
Objectives of the Plan
This document aims to identify, evaluate, and mitigate risks related to cybersecurity and the management of the University's technological infrastructure. The plan focuses on classifying vulnerabilities based on severity, potential impact, and the type of involved systems.
1. Classification of Vulnerabilities
Vulnerabilities are classified based on the following criteria:
Severity Level:
Critical: Can cause disruption of essential services or severe compromise of sensitive data.
High: Can significantly impact University operations.
Medium: Moderate impacts that can be mitigated without immediate action.
Low: Minimal impacts or easily manageable issues.
Potential Impact:
Data Impact: Loss, theft, or compromise of sensitive or strategic data.
Service Impact: Interruption or degradation of critical services.
Reputational Impact: Possible damage to the University's image.
Type of Systems:
Exposed Servers: Systems accessible from outside, such as web servers, DNS, and mail servers.
Internal Servers: Systems critical for internal operations, such as databases and management applications.
Workstations (WKS): Desktop computers used by staff.
Laptops: Mobile devices potentially exposed to external risks.
2. Risk Assessment
Risk Matrix
Risk assessment is carried out using a risk matrix based on Probability and Impact:
Probability/Impact
Low
Medium
High
Critical
Low
Negligible
Minor
Moderate
Significant
Medium
Minor
Moderate
Significant
Severe
High
Moderate
Significant
Severe
Catastrophic
Critical
Significant
Severe
Catastrophic
Extreme
Each identified vulnerability is positioned within the matrix to define intervention priorities.
Risks @SNS
The table shows the risk associated with different devices:
Device
Risk
Server
Extreme
Network
Severe
PC
Low
Mobile
Low
The table shows the risk associated with critical services:
Service
Risk
AAI
Extreme
FileServer
Extreme
Accounting
Severe
HR
Significant
The table shows the risk associated with most popular attack types:
Attack
Risk
Insider Threats
Catastrophic
SQL Injection
Catastrophic
DoS Denial of Service
Severe
MitM Man in the Middle
Severe
Ransomware
Severe
XSS Cross Site Scripting
Severe
DNS Spoofing
Significant
Password attacks
Significant
Phishing
Significant
Session Hijacking
Significant
Web Attacks
Significant
Brute Force attacks
Moderate
Traffic Monitoring
Moderate
URL Interpretation
Moderate
Virus, Malware, Trojan
Moderate
3. Mitigation Plan
General Measures
Patch management: Regular updates of operating systems and applications.
Secure configuration: Enforcing standardized configurations.
Continuous monitoring: Using tools for anomaly and intrusion detection.
Backup: Regular backups with integrity checks and recovery plans.
Specific Interventions
Exposed Servers:
Application of firewalls and network segmentation.
Implementation of intrusion detection and prevention systems (IDS/IPS).
Updated SSL/TLS certificates for web services.
Internal Servers:
Access limited to authorized personnel.
Multi-factor authentication (MFA) systems.
Encryption of sensitive data.
Workstations (WKS):
Antivirus and anti-malware systems.
Device usage policies (e.g., restrictions on software installation).
Regular software updates.
Laptops:
VPN for secure remote access.
Full disk encryption.
Remote lock procedures in case of loss or theft.
4. Operational Procedures
Vulnerabilities identification
Regular network scans using automated tools.
Manual analyses of critical configurations.
Reporting and evaluation:
Use of a ticketing system for reporting.
Immediate evaluation by a dedicated team.
Planning actions:
Defining priorities based on the risk matrix.
Planning interventions without significant service impacts.
Resolution:
Application of solutions and verification of effectiveness.
Review:
Periodic reports on identified vulnerabilities and actions taken.
Continuous updates to policies and procedures.
5. Roles and Responsibilities
Chief Information Security Officer (CISO): General coordination and supervision.
System Administrators: Implementation of technical measures.
Incident Response Team composed of the Director, General Secretary, CISO, Digital Transition Manager, and Data Protection Officer for emergency management.
End users: Compliance with security policies.
6. Monitoring and Review
The plan must be reviewed annually or following significant events (e.g., attacks, new regulations, infrastructural changes). Monitoring activities include:
Periodic vulnerability tests.
Internal and external audits.
Continuous staff training.
Conclusion
This plan serves as a practical and adaptable guide to the specific needs of the University, aiming to minimize risks and ensure operational continuity.
Incident Management
Cybersecurity Incident Response Plan
Introduction
Managing cybersecurity incidents is an essential component to ensure the protection of digital resources and maintain trust within the University. Security incidents, such as ransomware attacks, unauthorized access, data breaches, or service interruptions, require prompt and effective responses to minimize damage and quickly restore operations. This document outlines a detailed cybersecurity incident response plan, based on best practices and compliant with national and European regulations such as GDPR, NIS2, and ICT Minimum Security Measures for Public Administrations.
Objectives of the Plan
Timely Identification: Detect and identify cybersecurity incidents quickly.
Response Coordination: Provide a clear framework for coordination among different operational units.
Impact Mitigation: Limit damage to critical assets and minimize downtime.
Effective Communication; Establish procedures for internal and external communication during and after an incident.
Recovery: Restore compromised and affected services and systems.
Lessons Learned: Ensure a post-incident review to continuously improve the University's resilience.
1. Structure of the Incident Response Plan
1. Incident Response Governance
1.1 Incident Response Team (CSIRT)
Composition:
CISO (Chief Information Security Officer) as coordinator.
Representatives from the IT department.
DPO (Data Protection Officer) for privacy-related aspects.
Faculty representatives with technical expertise.
External consultants for specialized support, if needed.
Key Responsibilities:
Incident identification.
Coordination of operational responses.
Communication with internal and external stakeholders.
1.2 Roles and Responsibilities
CISO: Overall supervision of the response.
DPO: Ensure compliance with data protection regulations.
IT Manager: Technical implementation of containment and recovery measures.
Spokesperson: Official communication with media, partners, and authorities.
2. Incident Response Phases
2.1 Preparation
Policies and Procedures: Document standard operating procedures (SOPs) for incident management.
Training: Regular training for CSIRT and University personnel.
Simulations: Periodic testing of response capabilities through simulated exercises.
Tools: Implementation of monitoring and detection technologies (e.g., SIEM, IDS/IPS).
2.2 Identification
Continuous Monitoring: Use of SIEM systems to detect anomalies.
Reporting: Dedicated channels for reporting incidents (e.g., hotline, email).
Classification: Evaluate incidents based on severity and impact:
Critical: Breach of sensitive data or disruption of essential services.
Moderate: Limited impact on a single system or group.
Minor: Incidents that do not compromise overall security.
2.3 Containment
Immediate Actions:
Isolate compromised networks.
Disable compromised accounts.
Block suspicious traffic via firewalls.
Internal Communication: Quickly inform responsible parties and affected personnel.
Backup: Verify the integrity of recent backups.
2.4 Eradication
Forensic Analysis: Identify the root cause of the incident (e.g., exploited vulnerabilities, malware).
Threat Removal: Eliminate malicious software and apply patches to compromised systems.
Validation: Ensure the system has been cleaned and that no residual threats remain.
2.5 Recovery
Service Restoration: Gradual reintegration of affected systems and services.
Security Testing: Verify the integrity and functionality of restored systems.
Additional Monitoring: Intensified monitoring to detect potential post-incident anomalies.
2.6 Lessons Learned
Post-Incident Review: Detailed analysis of the incident to identify gaps and improvements.
Plan Update: Revise policies and procedures based on lessons learned.
Reporting: Prepare a comprehensive report to share with the security committee.
3. Communication
3.1 Internal Communication
Dedicated Channels: Secure messaging platforms and emails for rapid updates.
Notifications: Inform students and staff about any measures to be taken (e.g., password changes).
3.2 External Communication
Authorities: Timely notification of significant incidents to entities such as the Data Protection Authority.
Media: Transparent yet controlled communications to protect the University's reputation.
Partners: Inform academic and industry partners involved.
2. Supporting Infrastructure
1. Technological Tools
SIEM: Centralized monitoring and event correlation.
EPP/EDR: Advanced endpoint protection solutions.
Backup: Automated backup systems with rapid recovery capabilities.
2. Human Resources
Regular training for technical and administrative staff.
Engagement of external experts for complex situations.
3. Monitoring and Review
The response plan will be tested and updated at least once a year.
Each significant incident will trigger an immediate review of the plan.
Conclusion
A well-structured incident response plan is critical to ensure the University's cybersecurity and operational resilience. Collaboration among internal units, continuous training, and the adoption of best-in-class technologies form the pillars of an effective response to cybersecurity incidents.
NIS2
NIS2 EU Directive Compliance
Introduction
The European Union (EU) NIS2 Directive, an update to the original NIS Directive, aims to enhance the resilience of critical infrastructure and essential services against cybersecurity threats. The directive sets forth stringent requirements for various sectors, including education, to improve their cybersecurity posture. As an institution of higher education, Scuola Normale Superiore falls under the scope of this directive. This document outlines the university's compliance strategy, including key requirements, current status, and planned actions to ensure full alignment with the NIS2 Directive.
1. Overview of the EU NIS2 Directive
The NIS2 Directive, adopted on 2024, is designed to address emerging cybersecurity challenges by:
Expanding the scope of sectors and entities required to comply.
Establishing more stringent cybersecurity risk management measures.
Enhancing reporting obligations for cybersecurity incidents.
Promoting cooperation between member states.
Imposing stricter enforcement and penalties for non-compliance.
Educational institutions, such as Scuola Normale Superiore, are considered "essential entities" under this directive due to their role in providing critical services and holding sensitive data.
2. Key Requirements for Compliance
The NIS2 Directive outlines specific obligations for essential entities, including:
1. Governance and Accountability
Appointing a dedicated cybersecurity officer.
Establishing a governance framework for cybersecurity.
Conducting regular risk assessments and audits.
2. Risk Management Measures
Implementing technical and organizational measures to manage cybersecurity risks.
Ensuring supply chain security.
Enforcing multi-factor authentication (MFA) and encryption for sensitive data.
3. Incident Reporting
Reporting significant cybersecurity incidents to the relevant national authority within 24 hours.
Providing detailed incident analysis within 72 hours.
4. Awareness and Training
Conducting cybersecurity awareness programs for staff and students.
Providing specialized training for IT and security personnel.
5. Cooperation and Information Sharing
Participating in national and EU-level information-sharing initiatives.
Establishing partnerships with other universities and cybersecurity entities.
6. Monitoring and Enforcement
Complying with periodic audits and inspections by national authorities.
Addressing identified vulnerabilities promptly.
3. Current Status of Compliance
Scuola Normale Superiore has undertaken several initiatives to align with the NIS2 Directive:
Governance and Accountability
A Chief Information Security Officer (CISO) has been appointed.
The university's cybersecurity governance framework is updated at least once a year.
Risk assessments are conducted annually.
Risk Management Measures
Firewalls, intrusion detection systems, and endpoint security solutions are in place.
Supply chain security policies have been introduced.
MFA is implemented for staff and students accessing critical systems.
Incident Reporting
A cybersecurity incident response plan has been established.
An internal reporting mechanism ensures prompt escalation of incidents.
Awareness and Training
Regular cybersecurity awareness campaigns are conducted.
IT staff receive annual training on advanced cybersecurity topics.
Cooperation and Information Sharing
The university participates in the national Cybersecurity Competence Center.
Partnerships have been established with other EU universities and CERT-IT (Computer Emergency Response Team Italy).
Monitoring and Enforcement
Internal audits are conducted biannually to assess compliance.
Penetration tests are performed quarterly to identify vulnerabilities.
4. Planned Actions for Full Compliance
Despite progress, additional steps are required to achieve full compliance:
Governance and Accountability
Establish a dedicated cybersecurity committee to oversee policy implementation.
Introduce key performance indicators (KPIs) for cybersecurity.
Risk Management Measures
Expand the scope of risk assessments to include third-party vendors.
Upgrade legacy systems to reduce vulnerabilities.
Incident Reporting
Automate the incident reporting process for faster response times.
Enhance coordination with national authorities for incident management.
Awareness and Training
Develop role-specific training modules for different university departments.
Include cybersecurity topics in student orientation programs.
Cooperation and Information Sharing
Join additional EU-level cybersecurity networks.
Organize workshops to share best practices with peer institutions.
Monitoring and Enforcement
Implement continuous monitoring tools for real-time threat detection.
Schedule external audits to validate compliance efforts.
5. Challenges and Mitigation Strategies
Challenges
Limited budget for cybersecurity initiatives.
Resistance to change from staff and students.
Complexity of integrating new technologies with existing systems.
Mitigation Strategies
Seek government and EU grants for cybersecurity projects.
Conduct change management programs to build a culture of cybersecurity.
Engage external consultants for seamless integration of new technologies.
Conclusion
Compliance with the EU NIS2 Directive is critical for enhancing the cybersecurity resilience of Scuola Normale Superiore. While significant progress has been made, ongoing efforts are required to address remaining gaps and sustain a robust cybersecurity framework. By adhering to the planned actions and mitigating challenges, the university aims to achieve full compliance and contribute to the broader EU goal of a secure digital ecosystem.
MmS
Misure Minime di Sicurezza ICT per PA Direttiva del Presidente del Consiglio dei Ministri 1 agosto 2015) 26 aprile 2016
Misure Minime di Sciurezza ICT @ SCUOLA NORMALE SUPERIORE
ABSC_ID
Lev
Descrizione
Implementazione
Assigned
ABSC 1
INVENTARIO DEI DISPOSITIVI AUTORIZZATI E NON AUTORIZZATI -- Gestire attivamente tutti i dispositivi hardware sulla rete (tracciandoli, inventariandoli e mantenendo aggiornato l'inventario) in modo che l'accesso sia dato solo ai dispositivi autorizzati, mentre i dispositivi non autorizzati e non gestiti siano individuati e sia loro impedito l'accesso
1.1.1
M
Implementare un inventario delle risorse attive correlato a quello ABSC 1.4
Server: censimento manuale periodico; PC: procedura autmatizzata Autotask
SII
1.1.2
S
Implementare ABSC 1.1.1 attraverso uno strumento automatico
SII
1.1.3
A
Effettuare il discovery dei dispositivi collegati alla rete con allarmi in caso di anomalie.
1.1.4
A
Qualificare i sistemi connessi alla rete attraverso l'analisi del loro traffico.
1.2.1
S
Implementare il "logging" delle operazione del server DHCP.
SII
1.2.2
S
Utilizzare le informazioni ricavate dal "logging" DHCP per migliorare l'inventario delle risorse e identificare le risorse non ancora censite.
SII
1.3.1
M
Aggiornare l'inventario quando nuovi dispositivi approvati vengono collegati in rete.
Al momento dell'assegnazione dell'indirizzo IP
SII
1.3.2
S
Aggiornare l'inventario con uno strumento automatico quando nuovi dispositivi approvati vengono collegati in rete.
SII
1.4.1
M
Gestire l'inventario delle risorse di tutti i sistemi collegati alla rete e dei dispositivi di rete stessi, registrando almeno l'indirizzo IP.
DA IMPLEMENTARE: Sollecitazione via scan di rete e conseguente acquisizione arp table; in fase di deployment monitor 6monPlus
SII
1.4.2
S
Per tutti i dispositivi che possiedono un indirizzo IP l'inventario deve indicare i nomi delle macchine, la funzione del sistema, un titolare responsabile della risorsa e l'ufficio associato. L'inventario delle risorse creato deve inoltre includere informazioni sul fatto che il dispositivo sia portatile e/o personale.
SII
1.4.3
A
Dispositivi come telefoni cellulari, tablet, laptop e altri dispositivi elettronici portatili che memorizzano o elaborano dati devono essere identificati, a prescindere che siano collegati o meno alla rete dell'organizzazione.
1.5.1
A
Installare un'autenticazione a livello di rete via 802.1x per limitare e controllare quali dispositivi possono essere connessi alla rete. L'802.1x deve essere correlato ai dati dell'inventario per distinguere i sistemi autorizzati da quelli non autorizzati.
1.6.1
A
Utilizzare i certificati lato client per validare e autenticare i sistemi prima della connessione a una rete locale.
ABSC 2
INVENTARIO DEI SOFTWARE AUTORIZZATI E NON AUTORIZZATI -- Gestire attivamente (inventariare, tracciare e correggere) tutti i software sulla rete in modo che sia installato ed eseguito solo software autorizzato, mentre il software non autorizzato e non gestito sia individuato e ne venga impedita l'installazione o l'esecuzione
2.1.1
M
Stilare un elenco di software autorizzati e relative versioni necessari per ciascun tipo di sistema, compresi server, workstation e laptop di vari tipi e per diversi usi. Non consentire l'installazione di software non compreso nell'elenco.
OS e applicativi entro End of Life Support; OS e applicativi proprietari: solo autorizzati da ICT e disponibili su repository interno; Vietate installazioni non autorizzate; Gli utenti non hanno diritti amministrativi sulle macchine NON ESISTE una lista di software autorizzati, causa impossibilita' di sua redazione
SII
2.2.1
S
Implementare una "whitelist" delle applicazioni autorizzate, bloccando l'esecuzione del software non incluso nella lista. La "whitelist" puo' essere molto ampia per includere i software piu' diffusi.
SII
2.2.2
S
Per sistemi con funzioni specifiche (che richiedono solo un piccolo numero di programmi per funzionare), la "whitelist" puo' essere piu' mirata. Quando si proteggono i sistemi con software personalizzati che puo' essere difficile inserire nella "whitelist", ricorrere al punto ABSC 2.4.1 (isolando il software personalizzato in un sistema operativo virtuale).
SII
2.2.3
A
Utilizzare strumenti di verifica dell'integrita' dei file per verificare che le applicazioni nella "whitelist" non siano state modificate.
2.3.1
M
Eseguire regolari scansioni sui sistemi al fine di rilevare la presenza di software non autorizzato.
DA IMPLEMENTARE: Procedura automatizzata via Autotask
SII
2.3.2
S
Mantenere un inventario del software in tutta l'organizzazione che copra tutti i tipi di sistemi operativi in uso, compresi server, workstation e laptop.
SII
2.3.3
A
Installare strumenti automatici d'inventario del software che registrino anche la versione del sistema operativo utilizzato nonche' le applicazioni installate, le varie versioni ed il livello di patch.
2.4.1
A
Utilizzare macchine virtuali e/o sistemi air-gapped per isolare ed eseguire applicazioni necessarie per operazioni strategiche o critiche dell'Ente, che a causa dell'elevato rischio non devono essere installate in ambienti direttamente collegati in rete.
ABSC 3
PROTEGGERE LE CONFIGURAZIONI DI HARDWARE E SOFTWARE SUI DISPOSITIVI MOBILI, LAPTOP, WORKSTATION E SERVER -- Istituire, implementare e gestire attivamente (tracciare, segnalare, correggere) la configurazione di sicurezza di laptop, server e workstation utilizzando una gestione della configurazione e una procedura di controllo delle variazioni rigorose, allo scopo di evitare che gli attacchi informatici possano sfruttare le vulnerabilita' di servizi e configurazioni.
3.1.1
M
Utilizzare configurazioni sicure standard per la protezione dei sistemi operativi.
Installazione OS stable rilasciate dal produttore; Firewall di profondita' nelle nuove installazioni
SII
3.1.2
S
Le configurazioni sicure standard devono corrispondere alle versioni "hardened" del sistema operativo e delle applicazioni installate. La procedura di hardening comprende tipicamente: eliminazione degli account non necessari (compresi gli account di servizio), disattivazione o eliminazione dei servizi non necessari, configurazione di stack e heaps non eseguibili, applicazione di patch, chiusura di porte di rete aperte e non utilizzate.
SII
3.1.3
A
Assicurare con regolarita' la validazione e l'aggiornamento delle immagini d'installazione nella loro configurazione di sicurezza anche in considerazione delle piu' recenti vulnerabilita' e vettori di attacco.
3.2.1
M
Definire ed impiegare una configurazione standard per workstation, server e altri tipi di sistemi usati dall'organizzazione.
DA IMPLEMENTARE: Sistemi GNU/Linux in fase di sviluppo sistema Ansible based; Sistemi Windows installazione standard last release, last patches
SII
3.2.2
M
Eventuali sistemi in esercizio che vengano compromessi devono essere ripristinati utilizzando la configurazione standard.
Reinstallazione da scratch
SII
3.2.3
S
Le modifiche alla configurazione standard devono effettuate secondo le procedure di gestione dei cambiamenti.
SII
3.3.1
M
Le immagini d'installazione devono essere memorizzate offline.
Scaricate direttamente dal sito del produttore
SII
3.3.2
S
Le immagini d'installazione sono conservate in modalita' protetta, garantendone l'integrita' e la disponibilita' solo agli utenti autorizzati.
SII
3.4.1
M
Eseguire tutte le operazioni di amministrazione remota di server, workstation, dispositivi di rete e analoghe apparecchiature per mezzo di connessioni protette (protocolli intrinsecamente sicuri, ovvero su canali sicuri).
Utilizzo di protocolli ssl/ssh based
SII
3.5.1
S
Utilizzare strumenti di verifica dell'integrita' dei file per assicurare che i file critici del sistema (compresi eseguibili di sistema e delle applicazioni sensibili, librerie e configurazioni) non siano stati alterati.
SII
3.5.2
A
Nel caso in cui la verifica di cui al punto precedente venga eseguita da uno strumento automatico, per qualunque alterazione di tali file deve essere generato un alert.
3.5.3
A
Per il supporto alle analisi, il sistema di segnalazione deve essere in grado di mostrare la cronologia dei cambiamenti della configurazione nel tempo e identificare chi ha eseguito ciascuna modifica.
3.5.4
A
I controlli di integrita' devono inoltre identificare le alterazioni sospette del sistema, delle variazioni dei permessi di file e cartelle.
3.6.1
A
Utilizzare un sistema centralizzato di controllo automatico delle configurazioni che consenta di rilevare e segnalare le modifiche non autorizzate.
3.7.1
A
Utilizzare strumenti di gestione della configurazione dei sistemi che consentano il ripristino delle impostazioni di configurazione standard.
ABSC 4
VALUTAZIONE E CORREZIONE CONTINUA DELLA VULNERABILITa' -- Acquisire, valutare e intraprendere continuamente azioni in relazione a nuove informazioni allo scopo di individuare vulnerabilita', correggere e minimizzare la finestra di opportunita' per gli attacchi informatici.
4.1.1
M
Ad ogni modifica significativa della configurazione eseguire la ricerca delle vulnerabilita' su tutti i sistemi in rete con strumenti automatici che forniscano a ciascun amministratore di sistema report con indicazioni delle vulnerabilita' piu' critiche.
DA IMPLEMENTARE: Scansioni con OpenVAS
USI
4.1.2
S
Eseguire periodicamente la ricerca delle vulnerabilita' ABSC 4.1.1 con frequenza commisurata alla complessita' dell'infrastruttura.
USI
4.1.3
A
Usare uno SCAP (Security Content Automation Protocol) di validazione della vulnerabilita' che rilevi sia le vulnerabilita' basate sul codice (come quelle descritte dalle voci Common Vulnerabilities ed Exposures) che quelle basate sulla configurazione (come elencate nel Common Configuration Enumeration Project).
4.2.1
S
Correlare i log di sistema con le informazioni ottenute dalle scansioni delle vulnerabilita'.
SII
4.2.2
S
Verificare che i log registrino le attivita' dei sistemi di scanning delle vulnerabilita'.
SysAdm
4.2.3
S
Verificare nei log la presenza di attacchi pregressi condotti contro target riconosciuto come vulnerabile.
SysAdm
4.3.1
S
Eseguire le scansioni di vulnerabilita' in modalita' privilegiata, sia localmente, sia da remoto, utilizzando un account dedicato che non deve essere usato per nessun'altra attivita' di amministrazione.
USI
4.3.2
S
Vincolare l'origine delle scansioni di vulnerabilita' a specifiche macchine o indirizzi IP, assicurando che solo il personale autorizzato abbia accesso a tale interfaccia e la utilizzi propriamente.
USI
4.4.1
M
Assicurare che gli strumenti di scansione delle vulnerabilita' utilizzati siano regolarmente aggiornati con tutte le piu' rilevanti vulnerabilita' di sicurezza.
DA IMPLEMENTARE: Aggiornamento automatico e periodico dei sistemi di scansione delle vulnerabilita'
USI
4.4.2
S
Registrarsi ad un servizio che fornisca tempestivamente le informazioni sulle nuove minacce e vulnerabilita'. Utilizzandole per aggiornare le attivita' di scansione
USI
4.5.1
M
Installare automaticamente le patch e gli aggiornamenti del software sia per il sistema operativo sia per le applicazioni.
Abilitazione dei sistemi di auto update per policy
SII+SysAdm
4.5.2
M
Assicurare l'aggiornamento dei sistemi separati dalla rete, in particolare di quelli air-gapped, adottando misure adeguate al loro livello di criticita'.
Sistemi isolati NON presenti all'interno della rete dell'ateneo
SII
4.6.1
S
Verificare regolarmente che tutte le attivita' di scansione effettuate con gli account aventi privilegi di amministratore siano state eseguite secondo delle policy predefinite.
SII
4.7.1
M
Verificare che le vulnerabilita' emerse dalle scansioni siano state risolte sia per mezzo di patch, o implementando opportune contromisure oppure documentando e accettando un ragionevole rischio.
Imposizione di tempi di risoluzione vulnerabilita' da policy; DA IMPLEMENTARE: alla scadenza sospensione del servizio
SII+SysAdm
4.7.2
S
Rivedere periodicamente l'accettazione dei rischi di vulnerabilita' esistenti per determinare se misure piu' recenti o successive patch possono essere risolutive o se le condizioni sono cambiate, con la conseguente modifica del livello di rischio.
USI+SII+SysAdm
4.8.1
M
Definire un piano di gestione dei rischi che tenga conto dei livelli di gravita' delle vulnerabilita', del potenziale impatto e della tipologia degli apparati (e.g. server esposti, server interni, PdL, portatili, etc.).
DA IMPLEMENTARE: Analisi delle vulnerabilita' e relativo impatto da parte del team CSIRT (Computer Security Incident Response Team) ICT
USI
4.8.2
M
Attribuire alle azioni per la risoluzione delle vulnerabilita' un livello di priorita' in base al rischio associato. In particolare applicare le patch per le vulnerabilita' a partire da quelle piu' critiche.
DA IMPLEMENTARE: Analisi delle possibili soluzioni da parte del team CSIRT (Computer Security Incident Response Team) ICT
USI
4.9.1
S
Prevedere, in caso di nuove vulnerabilita', misure alternative se non sono immediatamente disponibili patch o se i tempi di distribuzione non sono compatibili con quelli fissati dall'organizzazione.
USI+SII
4.10.1
S
Valutare in un opportuno ambiente di test le patch dei prodotti non standard (es.: quelli sviluppati ad hoc) prima di installarle nei sistemi in esercizio.
SII
ABSC 5
USO APPROPRIATO DEI PRIVILEGI DI AMMINISTRATORE -- Regole, processi e strumenti atti ad assicurare il corretto utilizzo delle utenze privilegiate e dei diritti amministrativi.
5.1.1
M
Limitare i privilegi di amministrazione ai soli utenti che abbiano le competenze adeguate e la necessita' operativa di modificare la configurazione dei sistemi.
Credenziali amministrative ai soli sysadmin ICT
SII
5.1.2
M
Utilizzare le utenze amministrative solo per effettuare operazioni che ne richiedano i privilegi, registrando ogni accesso effettuato.
DA IMPLEMENTARE: Log degli accessi amministrativi effettuati
SII
5.1.3
S
Assegnare a ciascuna utenza amministrativa solo i privilegi necessari per svolgere le attivita' previste per essa.
SII
5.1.4
A
Registrare le azioni compiute da un'utenza amministrativa e rilevare ogni anomalia di comportamento.
5.2.1
M
Mantenere l'inventario di tutte le utenze amministrative, garantendo che ciascuna di esse sia debitamente e formalmente autorizzata.
Windows: utenti admin all'interno di un gruppo di dominio Linux: credenziali di root in cassaforte DA IMPLEMENTARE: accessi utenti sudoers/root con chiave RSA; in fase di sviluppo sistema di provisioning utenti locali Ansible based
SII
5.2.2
A
Gestire l'inventario delle utenze amministrative attraverso uno strumento automatico che segnali ogni variazione che intervenga.
5.3.1
M
Prima di collegare alla rete un nuovo dispositivo sostituire le credenziali dell'amministratore predefinito con valori coerenti con quelli delle utenze amministrative in uso.
Previsto da regolamento interno
SII
5.4.1
S
Tracciare nei log l'aggiunta o la soppressione di un'utenza amministrativa.
SII
5.4.2
S
Generare un'allerta quando viene aggiunta un'utenza amministrativa.
SII
5.4.3
S
Generare un'allerta quando vengano aumentati i diritti di un'utenza amministrativa.
SII
5.5.1
S
Tracciare nei log i tentativi falliti di accesso con un'utenza amministrativa.
SII
5.6.1
A
Utilizzare sistemi di autenticazione a piu' fattori per tutti gli accessi amministrativi, inclusi gli accessi di amministrazione di dominio. L'autenticazione a piu' fattori puo' utilizzare diverse tecnologie, quali smart card, certificati digitali, one time password (OTP), token, biometria ed altri analoghi sistemi.
5.7.1
M
Quando l'autenticazione a piu' fattori non e' supportata, utilizzare per le utenze amministrative credenziali di elevata robustezza (e.g. almeno 14 caratteri).
Windows: verifica complessita' minima delle password a livello di dominio DA IMPLEMENTARE: Linux: utilizzo di chiavi RSA/password sicure per policy
SII
5.7.2
S
Impedire che per le utenze amministrative vengano utilizzate credenziali deboli.
SII
5.7.3
M
Assicurare che le credenziali delle utenze amministrative vengano sostituite con sufficiente frequenza (password aging).
Sostituzione trimestrale delle password da policy
SII
5.7.4
M
Impedire che credenziali gia' utilizzate possano essere riutilizzate a breve distanza di tempo (password history).
Windows: Password history implementata a livello di dominio Linux: NESSUN controllo possibile
SII
5.7.5
S
Assicurare che dopo la modifica delle credenziali trascorra un sufficiente lasso di tempo per poterne effettuare una nuova.
SII
5.7.6
S
Assicurare che le stesse credenziali amministrative non possano essere riutilizzate prima di sei mesi.
SII
5.8.1
S
Non consentire l'accesso diretto ai sistemi con le utenze amministrative, obbligando gli amministratori ad accedere con un'utenza normale e successivamente eseguire come utente privilegiato i singoli comandi.
SII
5.9.1
S
Per le operazioni che richiedono privilegi gli amministratori debbono utilizzare macchine dedicate, collocate su una rete logicamente dedicata, isolata rispetto a Internet. Tali macchine non possono essere utilizzate per altre attivita'.
SII
5.10.1
M
Assicurare la completa distinzione tra utenze privilegiate e non privilegiate degli amministratori, alle quali debbono corrispondere credenziali diverse.
Disaccoppiamento utenti-amministratori OVE POSSIBILE
SII
5.10.2
M
Tutte le utenze, in particolare quelle amministrative, debbono essere nominative e riconducibili ad una sola persona.
Mantenimento di tabella di corrispondenza utente-amministratore. ESISTE COMUNQUE L'UTENZA ADMIN non riconducibile a persona fisica
SII
5.10.3
M
Le utenze amministrative anonime, quali "root" di UNIX o "Administrator" di Windows, debbono essere utilizzate solo per le situazioni di emergenza e le relative credenziali debbono essere gestite in modo da assicurare l'imputabilita' di chi ne fa uso.
Conservazione delle credenziali root/Administrator in cassaforte fisica con registro di accesso. La chiave della cassaforte e' nota ai soli responsabili di servizio
SII
5.10.4
S
Evitare l'uso di utenze amministrative locali per le macchine quando sono disponibili utenze amministrative di livello piu' elevato (e.g. dominio).
SII
5.11.1
M
Conservare le credenziali amministrative in modo da garantirne disponibilita' e riservatezza.
Disponibilita': reperibilita' in sede Riservatezza: conservazione in cassaforte
SII
5.11.2
M
Se per l'autenticazione si utilizzano certificati digitali, garantire che le chiavi private siano adeguatamente protette.
Divieto di registrazione delle chiavi private su aree condivise
SII
ABSC 8
DIFESE CONTRO I MALWARE -- Controllare l'installazione, la diffusione e l'esecuzione di codice maligno in diversi punti dell'azienda, ottimizzando al tempo stesso l'utilizzo dell'automazione per consentire il rapido aggiornamento delle difese, la raccolta dei dati e le azioni correttive.
8.1.1
M
Installare su tutti i sistemi connessi alla rete locale strumenti atti a rilevare la presenza e bloccare l'esecuzione di malware (antivirus locali). Tali strumenti sono mantenuti aggiornati in modo automatico.
Antivirus installati e aggiornati centralmente su tutte le macchine
SII+SysAdm
8.1.2
M
Installare su tutti i dispositivi firewall ed IPS personali.
Installazione automatica di firewall di sistema DA IMPLEMENTARE: installazione IPS, OVE POSSIBILE
SII
8.1.3
S
Gli eventi rilevati dagli strumenti sono inviati ad un repository centrale (syslog) dove sono stabilmente archiviati.
SII
8.2.1
S
Tutti gli strumenti di cui in ABSC 8.1 sono monitorati e gestiti centralmente. Non e' consentito agli utenti alterarne la configurazione.
SII
8.2.2
S
e' possibile forzare manualmente dalla console centrale l'aggiornamento dei sistemi anti-malware installati su ciascun dispositivo. La corretta esecuzione dell'aggiornamento e' automaticamente verificata e riportata alla console centrale.
SII
8.2.3
A
L'analisi dei potenziali malware e' effettuata su di un'infrastruttura dedicata, eventualmente basata sul cloud.
8.3.1
M
Limitare l'uso di dispositivi esterni a quelli necessari per le attivita' aziendali.
Da policy NESSUNO STRUMENTO automatico per la loro rilevazione/blocco
SII
8.3.2
A
Monitorare l'uso e i tentativi di utilizzo di dispositivi esterni.
8.4.1
S
Abilitare le funzioni atte a contrastare lo sfruttamento delle vulnerabilita', quali Data Execution Prevention (DEP), Address Space Layout Randomization (ASLR), virtualizzazione, confinamento, etc. disponibili nel software di base.
SII
8.4.2
A
Installare strumenti aggiuntivi di contrasto allo sfruttamento delle vulnerabilita', ad esempio quelli forniti come opzione dai produttori di sistemi operativi.
8.5.1
S
Usare strumenti di filtraggio che operano sull'intero flusso del traffico di rete per impedire che il codice malevolo raggiunga gli host.
SII
8.5.2
A
Installare sistemi di analisi avanzata del software sospetto.
8.6.1
S
Monitorare, analizzare ed eventualmente bloccare gli accessi a indirizzi che abbiano una cattiva reputazione.
SII
8.7.1
M
Disattivare l'esecuzione automatica dei contenuti al momento della connessione dei dispositivi removibili.
Esecuzione automatica disattivata all'installazione
SII
8.7.2
M
Disattivare l'esecuzione automatica dei contenuti dinamici (e.g. macro) presenti nei file.
Esecuzione automatica disattivata all'installazione
SII
8.7.3
M
Disattivare l'apertura automatica dei messaggi di posta elettronica.
Utilizzo esclusivo di webmail da policy. POSSIBILITA' PER L'UTENTE di utilizzare client NON compliant
SII
8.7.4
M
Disattivare l'anteprima automatica dei contenuti dei file.
Anteprima automatica disattivata all'installazione. POSSIBILITA' PER L'UTENTE di utilizzare client NON compliant
SII
8.8.1
M
Eseguire automaticamente una scansione anti-malware dei supporti rimuovibili al momento della loro connessione.
Scansione automatica dei supporti rimovibili
SII
8.9.1
M
Filtrare il contenuto dei messaggi di posta prima che questi raggiungano la casella del destinatario, prevedendo anche l'impiego di strumenti antispam.
Filtri di Google Apps (GSuite) for Education
SII
8.9.2
M
Filtrare il contenuto del traffico web.
Filtraggio effettuato dal Firewall di frontiera (NGF)
SII
8.9.3
M
Bloccare nella posta elettronica e nel traffico web i file la cui tipologia non e' strettamente necessaria per l'organizzazione ed e' potenzialmente pericolosa (e.g. .cab).
Mail: filtri di Google Apps (GSuite) for Education Web: filtraggio effettuato dal Firewall di frontiera (NGF) FILTRATI ESCLUSIVAMENTE FILE DANNOSI
SII
8.10.1
S
Utilizzare strumenti anti-malware che sfruttino, oltre alle firme, tecniche di rilevazione basate sulle anomalie di comportamento.
SII
8.11.1
S
Implementare una procedura di risposta agli incidenti che preveda la trasmissione al provider di sicurezza dei campioni di software sospetto per la generazione di firme personalizzate.
SII
ABSC 10
COPIE DI SICUREZZA -- Procedure e strumenti necessari per produrre e mantenere copie di sicurezza delle informazioni critiche, cosi' da consentirne il ripristino in caso di necessita'.
10.1.1
M
Effettuare almeno settimanalmente una copia di sicurezza almeno delle informazioni strettamente necessarie per il completo ripristino del sistema.
Backup giornaliero dell'intero Datacenter
SII
10.1.2
A
Per assicurare la capacita' di recupero di un sistema dal proprio backup, le procedure di backup devono riguardare il sistema operativo, le applicazioni software e la parte dati.
10.1.3
A
Effettuare backup multipli con strumenti diversi per contrastare possibili malfunzionamenti nella fase di restore.
10.2.1
S
Verificare periodicamente l'utilizzabilita' delle copie mediante ripristino di prova.
SII
10.3.1
M
Assicurare la riservatezza delle informazioni contenute nelle copie di sicurezza mediante adeguata protezione fisica dei supporti ovvero mediante cifratura. La codifica effettuata prima della trasmissione consente la remotizzazione del backup anche nel cloud.
DA IMPLEMENTARE: Backup cifrati tramite crittografia VEEAM end-to-end AES 256 bit
SII
10.4.1
M
Assicurarsi che i supporti contenenti almeno una delle copie non siano permanentemente accessibili dal sistema onde evitare che attacchi su questo possano coinvolgere anche tutte le sue copie di sicurezza.
DA IMPLEMENTARE: Backup periodico su apposito storage NAS mantenuto staccato dalla rete per evitare compromissione delle copie
SII
ABSC 13
PROTEZIONE DEI DATI -- Processi interni, strumenti e sistemi necessari per evitare l'esfiltrazione dei dati, mitigarne gli effetti e garantire la riservatezza e l'integrita' delle informazioni rilevanti.
13.1.1
M
Effettuare un'analisi dei dati per individuare quelli con particolari requisiti di riservatezza (dati rilevanti) e segnatamente quelli ai quali va applicata la protezione crittografica.
FileServer completamente cifrato (compliance GDPR) IN CORSO DI REALIZZAZIONE Analisi di ulteriori dati riservati da effettuare insieme al Titolare del trattamento dati per individuare soluzioni che si adattino alla loro protezione
SII
13.2.1
S
Utilizzare sistemi di cifratura per i dispositivi portatili e i sistemi che contengono informazioni rilevanti.
SII
13.3.1
A
Utilizzare sul perimetro della rete strumenti automatici per bloccare, limitare ovvero monitorare in maniera puntuale, sul traffico uscente dalla propria rete, l'impiego di crittografia non autorizzata o l'accesso a siti che consentano lo scambio e la potenziale esfiltrazione di informazioni.
13.4.1
A
Effettuare periodiche scansioni, attraverso sistemi automatizzati, in grado di rilevare sui server la presenza di specifici "data pattern", significativi per l'Amministrazione, al fine di evidenziare l'esistenza di dati rilevanti in chiaro.
13.5.1
A
Nel caso in cui non sia strettamente necessario l'utilizzo di dispositivi esterni, implementare sistemi/configurazioni che impediscano la scrittura di dati su tali supporti.
13.5.2
A
Utilizzare strumenti software centralizzati atti a gestire il collegamento alle workstation/server dei soli dispositivi esterni autorizzati (in base a numero seriale o altre proprieta' univoche) cifrando i relativi dati. Mantenere una lista aggiornata di tali dispositivi.
13.6.1
A
Implementare strumenti DLP (Data Loss Prevention) di rete per monitorare e controllare i flussi di dati all'interno della rete in maniera da evidenziare eventuali anomalie.
13.6.2
A
Qualsiasi anomalia rispetto al normale traffico di rete deve essere registrata anche per consentirne l'analisi off line.
13.7.1
A
Monitorare il traffico uscente rilevando le connessioni che usano la crittografia senza che cio' sia previsto.
13.8.1
M
Bloccare il traffico da e verso url presenti in una blacklist.
Filtraggio del Firewall di frontiera (NGF)
SII
13.9.1
A
Assicurare che la copia di un file fatta in modo autorizzato mantenga le limitazioni di accesso della sorgente, ad esempio attraverso sistemi che implementino le regole di controllo degli accessi (e.g. Access Control List) anche quando i dati sono trasferiti al di fuori del loro repository.