Circolare numero 20 del 23-1-1995

Istruzioni operative per la consegna e installazione dei dispositivi pin pad e watchword

La circolare dà seguito al progetto di introduzione di un sistema di sicurezza logica del patrimonio informativo dell’Istituto, già avviato con la circolare n. 65 del 24 febbraio 1994. Dopo le attività preliminari e le sperimentazioni svolte nel corso dell’anno, vengono definite le modalità operative per estendere in modo generalizzato la protezione degli accessi e la sicurezza delle procedure informatiche critiche.

Premessa e finalità del piano di sicurezza

L’obiettivo del "Piano per la sicurezza aziendale dei sistemi informatici" è garantire correttezza e integrità dei dati contenuti negli archivi magnetici dell’Ente, considerati essenziali per la qualità del servizio. Nel corso dell’anno sono state svolte attività di supporto e sperimentazione, tra cui:

• videoconferenze e seminari per i responsabili della sicurezza;
• formazione dei gestori della sicurezza;
• rilevazione dei processi produttivi in alcune sedi campione per definire i profili di autorizzazione;
• produzione e distribuzione delle carte di riconoscimento personali contact-less;
• distribuzione delle pin pad e delle watchword alle strutture periferiche;
• installazione delle pin pad;
• produzione di un CBT per la sicurezza;
• sperimentazione del software applicativo della sicurezza in alcune sedi periferiche, tra cui Latina, Perugia, Cesena e Genova;
• realizzazione di gusci software per la protezione delle procedure informatiche.

Estensione della sicurezza alle strutture operative

Esaurita la fase di impostazione e definizione del sistema, la circolare dispone la diffusione nelle strutture operative delle applicazioni già testate nelle sedi pilota. L’estensione riguarda:

• il primo livello di sicurezza, cioè la protezione degli accessi al sistema informatico;
• la protezione delle procedure per le quali è stato implementato il software che consente la firma elettronica sulle transazioni critiche.

Consegna e installazione dell’hardware di sicurezza

Grazie al nuovo approvvigionamento di dispositivi, l’Istituto è in grado di assicurare la protezione di tutte le stazioni di lavoro, a integrazione delle installazioni già effettuate nel 1994. La Società Olivetti ha avviato la distribuzione e procederà alle installazioni secondo il piano comunicato alle Sedi Regionali.

I responsabili della sicurezza delle unità organizzative devono:

• verificare le fasi di consegna e installazione dell’hardware;
• darne immediata comunicazione via fax al numero 06/59053058 all’Area Sicurezza presso la D.C.T.I.;
• curare l’installazione del software locale della sicurezza su ogni stazione di lavoro, dopo la ricezione delle carte C-LESS prodotte direttamente dalla Direzione Centrale.

I Direttori dei SIR devono seguire l’aspetto tecnico dell’intero processo e fornire supporto alle unità organizzative ove necessario.

Rilevazione delle apparecchiature presenti nelle sedi

Per verificare in modo definitivo la corrispondenza tra pin-pad consegnate e numero di stazioni di lavoro presenti, la circolare impone una nuova ricognizione delle apparecchiature. In attesa del rilascio di una procedura automatizzata per l’aggiornamento della base dati della sicurezza, i Direttori dei SIR devono rilevare, per le strutture della propria regione:

• tutti i personal computer;
• tutti i videoterminali;
• le apparecchiature pin-pad esistenti;
• lo stato di funzionalità delle apparecchiature già consegnate.

La rilevazione deve essere effettuata secondo lo schema allegato alla circolare.

Gestione delle porte seriali e acquisto di componenti aggiuntivi

Se in una struttura organizzativa la porta seriale necessaria risulta già impegnata, gli economi sono autorizzati ad acquistare direttamente il dispositivo aggiuntivo occorrente per l’installazione della pin-pad. La spesa deve essere imputata al capitolo previsto per l’acquisto di parti elettroniche di minore complessità non inventariabili.

La circolare indica anche i costi medi orientativi:

• circa L. 30.000 per le porte seriali di tipo AT;
• circa L. 50.000 per quelle di tipo MCH.

Nel caso in cui venga installata una seconda porta seriale, spetta agli operatori di controllo riconfigurare la stazione di lavoro.

Profili di autorizzazione e protezione delle procedure

Completate l’installazione delle pin pad, del software e la distribuzione dei watchword per la protezione dei videoterminali, verrà diffusa la base dei profili di autorizzazione attualmente in fase di test presso la sede pilota di Latina.

Saranno quindi convocate riunioni con i responsabili della sicurezza delle SAP per fornire le necessarie indicazioni operative e per chiarire la portata dello strumento dei profili di autorizzazione, che ha rilevanza non solo informatica ma anche organizzativa e sul lavoro.

Attivazione nazionale della sicurezza sulle procedure O1/M e ARPA

Ultimate le fasi descritte, sarà resa operativa in tutto il territorio nazionale la sicurezza sulle procedure O1/M ed ARPA, sulla base delle sperimentazioni svolte nelle sedi pilota e del testing degli applicativi rilasciati dalla società Olivetti.

In tal modo, tali ambiti del sistema informatico dell’Istituto risulteranno protetti:

• sotto il profilo degli accessi;
• sotto il profilo del controllo delle fasi-operazioni ritenute critiche;
• tramite la firma elettronica dell’operatore autorizzato sulle transazioni previste.

Termine per la trasmissione della documentazione

I Direttori Regionali sono tenuti ad assicurare il rispetto delle indicazioni in materia di rilevazione delle situazioni funzionali e installazione delle apparecchiature. Devono trasmettere alla D.C.T.I. - Area Sicurezza, entro il 7 febbraio 1995, una relazione articolata insieme alla scheda predisposta per ciascuna struttura operativa dai competenti Direttori dei SIR.

Stazioni di lavoro della Direzione Generale

Per le stazioni di lavoro installate presso la Direzione Generale, la circolare rinvia a successive istruzioni per la diffusione dei software QuickAccess e SixSafe.

Scheda di rilevazione allegata

La circolare allega una scheda standard per censire la dotazione hardware della sede alla data di riferimento. La scheda prevede l’indicazione, tra l’altro, del numero di:

• terminali tipo 3270;
• personal computer Olivetti M24;
• personal computer Olivetti M28;
• personal computer IBM compatibili;
• personal computer non IBM compatibili;
• IBM AT (80286);
• PC idonei a pin pad, considerando che il software di sicurezza richiede almeno 600K di RAM e 1M di hard disk;
• pin pad consegnate e installate;
• watchword consegnati e occorrenti;
• PC con software di sicurezza installato.

La scheda costituisce lo strumento operativo per la ricognizione richiesta ai fini del completamento del piano di sicurezza.