Misure di sicurezza e protezione dei dati personali: GDPR ... di sicurezza e protezione... · Le...
Transcript of Misure di sicurezza e protezione dei dati personali: GDPR ... di sicurezza e protezione... · Le...
Misure di sicurezza e
protezione dei dati personali:GDPR e ISO27001 si
incontrano
Gloria Marcoccio e Matteo Indennimeo
General Data Protection Regulation (GDPR)
Diversificate misure per trasferimenti dati extra UE
Aumento degli Obblighi per Titolari e Responsabili
Aumentate azioni di controllo, Sanzioni
Bollino blu privacy
Armonizzazione leggi privacy europee, Ambito ampliato
Rafforzati i diritti degli Interessati
EU regulation 2016/679
GDPR: i principali Articoli relativi alla sicurezza
3
Article 5 Principles relating to processing of personal data (5.1.f)
Article 24 Responsibility of the controller (24.1, 24.2)
Article 25 Data protection by design and by default
Article 28 Processor
Article 29 Processing under the authority of the controller or processor
Article 30 Records of processing activities
Article 32 Security of processing
Article 33 Notification of a personal data breach to the supervisory authority
Article 34 Communication of a personal data breach to the data subject
Article 35 Data protection impact assessment
Article 36 Prior consultation
Main Relevant ISO standard
4
Privacy
Management System
ISO/IEC 29100: Privacy
Framework
ISO/IEC 29134: Privacy Impact
Assessment
Information Security
Management System
ISO/IEC 27001: Information
Security Management System
ISO/IEC 27005: Information
Security Risk Management
BS 10012:2017 (issued in March)
Data protection – Specification for a
personal information management
system
Le classi di requisiti IS027001
5
4 Context of the organization
5 Leadership
6 Planning
7 Support
8 Operation
9 Internal Audit
10 Improvement
6.1.2 Information security risk assessment6.1.3 Information security risk treatment
8.2 Information security risk assessment 8.3 Information security risk treatment
Impostazione di generale corrispondenza tra requisiti di sicurezza GDPR e le clausole ISO270001
in particolare con
ISO27001: uno sguardo ai controlli
6
A5 - Information security policies
A6- Organization of information security
A7 - Human resource security
A8 - Asset management A9 - Access control A10 - Cryptography
A11 - Physical and environmental security
A12 - Operations security A13 - Communications security
A14 - System acquisition, development and
maintenance
A16 - Information security incident management
A17 - Information security aspects of business continuity management
A18 - Compliance
A15 - Supplier relationships
GDPR &ISO27001: principali corrispondenze
7
Article 5 Principles relating to processing of personaldata (5.1.c, 5.1.f)
All the ISO27001 controls as applicable
A18 ComplianceArticle 24 Responsibility of the controller (24.1, 24.2) A5 Security Policy, A8 Asset Mngt, A12 Operations Security, A17
Business Continuity, 18 ComplianceArticle 25 Data protection by design and by default A12 Operations Secuirty, A18 ComplianceArticle 28 Processor A15 Supplier Relationships, A18 ComplianceArticle 29 Processing under the authority of thecontroller or processor
A6 Organization of information security, A7Human resource security,A18 Compliance
Article 30 Records of processing activities A8 Asset management, A18 ComplianceArticle 32 Security of processing A5 Security Policy, A6 Human resource security, A7Human resource
security, A8 Asset Mngt, A9 Access control, A10 Cryptography, A11Physical and environmental security, A12 Operations security, A13Communications security, A14 System acquisition, development andmaintenance, A15 Supplier Relationships, A17 Information securityaspect of business continuity management, A18 Compliance
Article 33 Notification of a personal data breach tothe supervisory authority
Article 34 Communication of a personal data breachto the data subject
A16 Information security incident management, A18 Compliance
Article 35 Data protection impact assessment
Article 36 Prior consultation
A18 Compliance
ENISA: la guida per la sicurezza dei trattamenti dati personali basata su controlli ISO27001
8
Guidelines for SMEs on the security
of personal data processing - December
2016
Le piccole e medie imprese (SME): 99% delle imprese UE
Al centro delle iniziative promosse dalla Commissione Europea:
‘Digital Single Market Strategy for Europe’
di cui il GDPR è parte
ENISA: la guida per la sicurezza dei trattamenti dati personali basata su controlli ISO27001
9Tutele e misure di sicurezza: GDPR vs Controlli ISO27001
Definire il contesto del trattamento dati
Identificare le minacce per la sicurezza dei dati
Calcolare i rischi (impatti per gli individui)
Selezionare le misure adeguate
Implementare e manutenere le misure
ENISA: la guida per la sicurezza dei trattamenti dati personali basata su controlli ISO27001
10
ENISA SME GDPR RECOMMENDED SECURITY CONTROLS#
controls Mapping on ISO27001 controls and GDPR provisions
Organizationalsecurity
measures
Security management
Security policy and procedures for the protection of personal data
6 ISO 27001:2013 - A.5 Security policy , art. 32 GDPR, as also complemented by art. 24 GDPR
Roles and responsibilities 5 ISO 27001:2013 - A.6.1.1 Information security roles and responsibilities, 32 (4) GDPRs
Access control policy 4 ISO 27001:2013 - A.9.1.1 Access control policy, data minimization , art. 5.1(c) GDPR
Resource/asset management 4 ISO 27001:2013 - A.8 Asset management , art. 24 and 32 GDPR
Change management 3 ISO 27001:2013 - A. 12.1 Operational procedures and responsibilities, art. 24 and 32 GDPR
Data processors 5 ISO 27001:2013 - A.15 Supplier relationships , art. 28 and art 32 GDPR
Incidents handling / Personal data breaches
Incidents handling / Personal data breaches
4 ISO 27001:2013 - A.16 Information security incident management, art. 4(12) art. 33 and art. 34 GDPR
Business continuity 4 ISO 27001:2013 - A. 17 Information security aspects of business continuity management, , art. 24 and 32 GDPR
Human resourcesConfidentiality of personnel 3 ISO 27001:2013 - A.7 Human resource security, art. 32 (4) GDPR
Training 3 ISO 27001:2013 - A.7.2.2 Information security awareness, education and training, art. 32 (4) GDPR
Technical security
measures
Access control and authentication
8ISO 27001:2013 - A.9 Access control, art. 32 GDPR
Logging and monitoring 5 ISO 27001:2013 - A.12.4 Logging and monitoring, art. 32 GDPR
Security of data at restServer/Database security 6 ISO 27001:2013 - A. 12 Operations security, art. 32 GDPR
Workstation security 9 ISO 27001:2013 - A. 14.1 Security requirements of information systems, art. 32 GDPR
Network/Communicationsecurity 6
ISO 27001:2013 - A.13 Communications Security, art. 32 GDPR
Back-ups 9 ISO 27001:2013 - A.12.3 Back-Up, art. 32 GDPR
Mobile/Portable devices Mobile/Portable devices 9 ISO 27001:2013 - A. 6.2 Mobile devices and teleworking,, art. 32 GDPR
Application lifecyclesecurity
9ISO 27001:2013 - A.12.6 Technical vulnerability management & A.14.2 Security in development and support processes, art. 25 and art. 32 GDPR
Data deletion/disposal 6 ISO 27001:2013 - A. 8.3.2 Disposal of media & A. 11.2.7 Secure disposal or re-use of equipment, art.5.1(c) GDPR
Physical security 8 ISO 27001:2013 - A.11 – Physical and environmental security, art. 32 GDPR
In termini di standard… Le Minime Misure di Sicurezza per la Pubblica Amministrazione
11Tutele e misure di sicurezza: GDPR vs Controlli ISO27001
Obiettivo
indicare alle pubbliche amministrazioni le misure minime per la sicurezza ICT che debbono essere adottare al fine di contrastare le minacce più comuni e frequenti cui sono soggetti i lorosistemi informativi
AGID – Agenzia per l’Italia Digitale
Attuazione delle misure minime a cura del responsabile dei sistemi informativi o in sua assenza, del dirigente allo scopo designato.
Modulo di implementazione delle MMS-PALe modalità con cui ciascuna misura è implementata debbono essere sinteticamente riportate nel modulo di implementazione di cui all’allegato 2 della Circolare, firmato digitalmente con marcatura temporale,conservato e, in casodi incidente informatico, trasmesso al CERT-PA insieme con la segnalazione dell’incidente stesso.
Tempi di attuazioneEntro il 31 dicembre 2017 le amministrazioni dovranno attuare gli adempimenti di cui agli articoli precedenti.
Panoramica delle Minime Misure di Sicurezza per la Pubblica Amministrazione
12
Amministrazioni destinatarie: le pubbliche amministrazioni di cui all’art. 1, comma 2, del decretolegislativo 30 marzo 2001, n. 165.
tutte le amministrazioni dello Stato,
ivi compresi gli istituti e scuole di ogni ordine e grado e le istituzioni educative,
le aziende ed amministrazioni dello Stato ad ordinamento autonomo,
le Regioni, le Province, i Comuni, le Comunita' montane. e loro consorzi e associazioni,
le istituzioni universitarie, gli Istituti autonomi case popolari,
le Camere di commercio, industria, artigianato e agricoltura e loro associazioni,
tutti gli enti pubblici non economici nazionali, regionali e locali,
le amministrazioni, le aziende e gli enti del Servizio sanitario nazionale.
Fonte essenziale delle Misure Minime per le PASANS 20 CIS Critical Security Controls for Effective Cyber Defense - versione 6.0 di ottobre 2015
Nel settore dei Servizi di Pagamento Elettronici….
• 23/2/2017 - European Banking Authority (EBA) pubblica la versione finale delle EBA/RTS/2017/02 "Draftregulatory technical standards (RTS) on strong customer authentication and common and securecommunication under Directive 2016/2366 (PSD2)“
PSD2: DIRETTIVA (UE) 2015/2366 DEL PARLAMENTO EUROPEO E DEL CONSIGLIO del 25 novembre 2015 relativa ai servizi di pagamento nel mercato interno
EBA: In base alla PSD2 è incaricata di definire le specifiche tecniche delle misure di sicurezza richieste
EBA RTS: saranno definitivamente emesse dalla Commissione Europea come Regolamento e come tali direttamente applicabili in tutti i Paesi Membri
13Le misure di sicurezza strong customer authentication nei servizi di pagamenti elettronici (EBA RTS - GDPR)
Ultimissime pubblicazioni EBA in tema di sicurezzaEBA/CP/2017/04 - 05 May 2017 - Consultation Paper
Draft Guidelines on the security measures for operational and security risks of payment services under PSD2
EBA/CP/2017/06 - 17/05/2017 - Consultation Paper
Draft recommendations on outsourcing to cloud service providers under Article 16 of Regulation (EU) No 1093/20101
14Le misure di sicurezza strong customer authentication nei servizi di pagamenti elettronici (EBA RTS - GDPR)
Matteo Indennimeo - BD MANAGER SDDC – Aditinet Consulting SpA
Dalla normativa alla pratica – Zero Trust Network
IT Architecture was designed to run Hyper-connected compute based workloads, but NOT to secure them…
16
App
Services
DB
DMZ
Lateral Movement
Comingled and Inconsistent Policy
Context – Isolation: where to apply security?
17
• Lack application context
• Isolation from the attack surface
Network Control Points Endpoint Control Points
• Great context
• No Isolation from the attack surface
The “Goldilocks Zone” of security – Context & Isolation
25
Too Hot Too Cold
An Architecture to Enable a Zero Trust Netowork Security Model
All resources are accessed in a secure manner regardless
of location.
Location
Encryption
Access control is on a “need-to-know” basis and is strictly
enforced.
Access
LeastPrivilege
Inspect and log all traffic.
Inspect
Visibility
The network is designed from the
inside out.
Applications
MicroSegmentation
Verify and NEVER Trust
19
Ubiquitous Enforcement, Universal Control & Visibility
Distributed Network Encryption
• Protect the confidentiality and integrity of the data flowing through the network.
21
App
OS
Security
Secure
Vaulting
Secure
Attestation
Secure Context
Remediation
Isolation / Least Privilege
Detect / Respond
Virtual Enclave• A secure point of
presence between the guest and the network
22
Breaking the Cyber Kill Chain
Intrusion Propagation Extraction Exfiltration
Attack Vector / Malware
Delivery Mechanism
Entry Point Compromise
Escalate Privileges
Install C2* Infrastructure
Lateral Movement
Break Into Data Stores
Network Eavesdropping
App Level Extraction
Parcel & Obfuscate
Exfiltration
Cleanup
25
Secure and Encrypted
Access
Least Privilege
MicroSegmentation
VisibilityLogging
DistributedNetwork
EncryptionVirtualEnclave
GRAZIE