Circolare numero 65 del 24-2-1994

Piano per la sicurezza aziendale dei sistemi informatici INPS

La circolare illustra l’avvio del "Sistema sicurezza logica" dell’INPS, inserito nel più ampio Piano per la sicurezza aziendale dei sistemi informatici approvato con deliberazione del Comitato Esecutivo n. 1726 del 3 dicembre 1992. L’iniziativa risponde alla crescente centralità del sistema informatico nell’organizzazione dell’Ente e alla necessità di garantire integrità, riservatezza, tracciabilità e corretta gestione delle informazioni.

Finalità del progetto

Il progetto è orientato a proteggere il patrimonio informativo dai fattori di rischio, assicurando che ogni utente acceda soltanto alle informazioni di propria competenza. A tal fine, il sistema prevede profili di autorizzazione personalizzati e aggiornabili, controllo delle operazioni critiche, tracciabilità delle attività svolte, monitoraggio delle anomalie e segnalazione del superamento di soglie di rischio.

Funzionamento e componenti del sistema

La soluzione si articola su tre passaggi logici:

• dotazione a ciascun dipendente di un badge intelligente contact-less contenente le informazioni utili alla gestione del sistema;
• installazione su ogni stazione di lavoro di un lettore Pin Pad per la verifica univoca dell’identità dell’utente;
• protezione di ogni area applicativa e procedurale tramite un "guscio" software che abilita solo le operazioni consentite dal profilo autorizzativo.

Il sistema prevede funzioni specifiche di identificazione dell’utente, verifica del diritto di accesso, limitazione della navigazione alla sola area di competenza, time-out in caso di allontanamento, blocco della stazione di lavoro se la carta viene disinserita, registrazione dei tentativi di accesso non autorizzati, registrazione delle operazioni critiche, storicizzazione dei log, elaborazione di controlli e statistiche, segnalazione in tempo reale delle soglie di rischio, governo del passaggio in esercizio delle applicazioni e protezione degli ambienti di sviluppo e non strutturati.

Principi generali e livelli di sicurezza

Il sistema di sicurezza logica si propone come interfaccia tra utenti e applicazioni presenti sui sistemi centrali, regionali, dipartimentali e sui personal computer dell’Istituto. Esso si fonda sul principio del "mondo chiuso", secondo cui ciò che non è esplicitamente consentito è vietato.

Sono previsti due livelli di protezione:

• livello standard, basato su carta contact-less, watchword, user-id, password e profili di autorizzazione, con identificazione dell’utente e registrazione dell’accesso;
• livello critico, che aggiunge la registrazione delle operazioni effettuate.

Il sistema utilizza meccanismi di controllo fondati sia sulla conoscenza, sia sul possesso di strumenti fisici di autenticazione. È inoltre prevista la gestione delle interruzioni temporanee dell’attività, l’accesso a indicatori sintetici dell’andamento della sicurezza tramite un cruscotto dedicato, la notifica in tempo reale degli eventi critici e strumenti di governo affidati ai responsabili locali, coordinati a livello centrale. L’impostazione è dichiaratamente graduale, con autorizzazioni inizialmente ampie e successivamente più restrittive.

Architettura del sistema

L’architettura comprende quattro aree principali.

Controllo accesso locale

La stazione di lavoro PC può essere protetta contro tentativi di violazione mediante carta contact-less da inserire nel lettore Pin Pad. L’utente naviga attraverso menu che lo guidano nel riconoscimento reciproco e nell’operatività locale.

Controllo accesso centrale

La protezione si basa su due meccanismi:

• la gestione di profili individuali che delimitano la sfera operativa dell’utente;
• per le operazioni particolarmente critiche, ulteriori procedure di mutuo riconoscimento tramite carta contact-less o dispositivo Watchword.

Per gli utenti esterni all’Istituto l’accesso è regolato dal controllo accessi centrale con modalità specifiche. Il sistema registra inoltre i tentativi di accesso indebito e le attività relative a funzioni o risorse critiche attraverso file di log e archivi/tabelle parametriche distribuiti sui vari elaboratori dell’Ente.

Cruscotto per la sicurezza

Il cruscotto consente di rappresentare l’andamento complessivo della sicurezza logica, di effettuare il monitoraggio centrale e periferico, di produrre alert verso la Direzione centrale tecnologia informatica in caso di superamento delle soglie e di generare report statistici.

Ciclo di vita del software e centro generazione chiavi

Il sistema prevede una riorganizzazione delle librerie dei programmi in prova e in esercizio per disciplinare il passaggio delle applicazioni dalla fase di sviluppo alla fase operativa, registrando i relativi eventi, quali autorizzazioni, presa in carico e registrazione. È inoltre istituito un centro generazione chiavi incaricato dell’inizializzazione delle carte contact-less e dei dispositivi Watchword, nonché dell’emissione dei codici segreti per gli utenti.

Analisi delle funzioni e delle risorse critiche

La costruzione del sistema richiede l’individuazione delle aree critiche mediante analisi dettagliata delle funzioni e delle applicazioni che le supportano. Per ciascuna tipologia di polo elaborativo, quali Centro nazionale, Centro regionale, SAP, C.O., Agenzie e polo di sviluppo/manutenzione applicazioni, devono essere raccolti gli elementi relativi ai processi di lavoro, con particolare attenzione a quelli automatizzati.

Nel corso del 1993, in alcune sedi periferiche campione, sono state svolte rilevazioni per individuare operazioni e risorse coinvolte nel processo produttivo e per costruire i profili di autorizzazione degli utenti. Tali rilevazioni saranno validate dalle Direzioni centrali competenti per l’individuazione delle criticità e costituiranno la base di riferimento per l’attribuzione dei profili nelle strutture periferiche.

Soggetti coinvolti e responsabilità

Gli utenti del sistema sono tre categorie:

• responsabili locali della sicurezza;
• gestori locali della sicurezza;
• personale che utilizza apparecchiature informatiche a tutti i livelli.

Il Responsabile locale della sicurezza è il garante dell’adesione al modello aziendale della sicurezza logica e dell’operato del Gestore locale. Data l’elevata responsabilità, tale figura è individuata, in linea generale, nel Direttore vicario o in uno dei dirigenti della sede. Le sue funzioni includono:

• installazione e disinstallazione del sistema di sicurezza su tutte le stazioni di lavoro;
• definizione dei Gestori locali nei casi previsti;
• controllo dell’andamento complessivo del sistema e individuazione di anomalie o comportamenti illeciti anche tramite i report statistici.

Il Gestore locale della sicurezza, sulla base delle indicazioni e autorizzazioni del Responsabile, svolge le attività operative del sistema e deve:

• inserire e aggiornare i profili di autorizzazione;
• sospendere e ripristinare l’accesso di determinati utenti a specifiche stazioni di lavoro;
• consentire, in casi eccezionali, l’uso di carte contact-less provvisorie;
• controllare l’operatività quotidiana del sistema e riferire eventuali anomalie.

Nei Centri operativi le funzioni di Responsabile e Gestore coincidono nella persona del Direttore del Centro.

Istruzioni operative per l’avvio

L’avvio del sistema si articola in più fasi. Dopo una videoconferenza di sensibilizzazione, la cui data sarà comunicata con apposito messaggio, i dirigenti delle strutture periferiche dovranno, entro due giorni, comunicare alla Direzione centrale Sistema qualità il nominativo del Responsabile locale della sicurezza. Nella stessa comunicazione dovranno essere indicati i Gestori locali della sicurezza, da individuare preferibilmente tra il personale tecnico informatico; il numero degli addetti varia orientativamente da un minimo di due a un massimo di sei in funzione della dimensione della sede.

Successivamente:

• i direttori centrali, regionali e delle strutture periferiche assegnano i profili di autorizzazione al personale delle rispettive unità funzionali, su proposta dei capi ufficio e secondo le indicazioni della Direzione generale;
• per l’accesso alle banche dati di Enti esterni, i direttori centrali definiscono i criteri per il rilascio delle autorizzazioni e le strutture periferiche comunicano i nominativi degli utenti e gli archivi/opzioni da abilitare.

Le modalità di consegna e installazione dell’hardware, costituito da Pin Pad e Watchword, e quelle di distribuzione delle carte contact-less saranno comunicate con appositi messaggi. L’estensione del sistema alle strutture periferiche è prevista a partire dal mese di marzo, con completamento sull’intero territorio nazionale entro il 30 giugno.

Formazione e informazione del personale

In relazione all’installazione del software è previsto un piano di formazione per il personale delle sedi periferiche incaricato della gestione della sicurezza informatica. Il piano si sviluppa in due fasi:

• una prima fase centrale, finalizzata alla formazione dei Gestori della sicurezza, che dovranno poi collaborare come docenti con i responsabili della formazione regionale;
• una seconda fase regionale, rivolta ai gestori delle strutture periferiche, con aule dotate di apparecchiature collegate al sistema centrale.

Sono inoltre previste iniziative informative per i responsabili della sicurezza regionali, delle SAP e dei Centri operativi. Programma e modalità di svolgimento degli interventi formativi saranno comunicati con successivo messaggio.

Comunicazione alle rappresentanze sindacali

I contenuti del sistema di sicurezza e della presente circolare saranno illustrati alle organizzazioni sindacali nazionali in un’apposita riunione a livello centrale.