Linee Guida di sicurezza nello sviluppo delle applicazioni

Linee guida di sicurezza nello sviluppo delle applicazioni

Le linee guida AGID disciplinano la sicurezza nello sviluppo del software destinato alle pubbliche amministrazioni, con l’obiettivo di integrare la sicurezza lungo tutto il ciclo di vita delle applicazioni e del software di base. Il documento si colloca nell’ambito del Piano Triennale per l’Informatica nella PA e fornisce best practice utilizzabili sia per lo sviluppo interno sia per l’acquisto di soluzioni software da fornitori esterni.

Ambito di applicazione e finalità

Il documento si applica alla Pubblica Amministrazione nel suo complesso. La finalità è rafforzare la protezione delle informazioni del sistema informativo pubblico, garantendo disponibilità, integrità e riservatezza, e collegando la sicurezza ICT ai principi di tutela della privacy.

Le linee guida mirano a costruire un’architettura di sicurezza per servizi critici e non critici, definendo principi e criteri per la gestione del software in relazione al contesto applicativo e al cluster di dati trattati.

Articolazione delle linee guida

Il documento richiama quattro aree principali:

• linee guida per l’adozione di un ciclo di sviluppo di software sicuro;
• linee guida per lo sviluppo sicuro del codice;
• linee guida per la configurazione sicura del software di base, anche in termini di hardening;
• linee guida per la modellazione delle minacce e l’individuazione delle azioni di mitigazione conformi ai principi di Secure/Privacy by Design.

Ciascun blocco ha la funzione di prevenire vulnerabilità, integrare controlli di sicurezza nelle fasi di progettazione e sviluppo e rendere più robusto l’intero ecosistema applicativo della PA.

Contesto di rischio e motivazioni

Il testo evidenzia che l’evoluzione degli attacchi informatici sta spostando il bersaglio verso le applicazioni software, sfruttando vulnerabilità presenti nel codice o nella configurazione. Viene segnalato che l’approccio tradizionale, incentrato soprattutto sulla correzione di difetti funzionali e sulle performance, non è sufficiente se non accompagnato da pratiche sistematiche di progettazione e programmazione sicura.

La comunità OWASP è richiamata come riferimento di consapevolezza sul rischio che il software non sicuro rappresenta per infrastrutture anche molto sensibili, tra cui quelle finanziarie, sanitarie e difensive.

Contenuti tecnici essenziali

Le linee guida indicano che la sicurezza delle applicazioni richiede:

• una migliore gestione del programma di sicurezza delle applicazioni;
• l’integrazione della gestione del rischio nei processi di sviluppo;
• la produzione di indicazioni per architetti e sviluppatori;
• il miglioramento continuo del processo di sviluppo software (SDLC);
• attività di sviluppo sicuro;
• l’integrazione della gestione delle vulnerabilità;
• la valutazione del codice e delle applicazioni per identificare vulnerabilità;
• l’automazione della correlazione dei risultati dei controlli di sicurezza per applicazioni statiche, dinamiche e interattive.

In tale prospettiva, lo sviluppo sicuro è trattato come area prioritaria della difesa applicativa.

Impatti organizzativi, operativi e funzionali per le amministrazioni

Le linee guida producono impatti di natura organizzativa, operativa e funzionale.

Sul piano organizzativo, le PA devono disporre di una struttura tecnica interna in grado di indirizzare e monitorare gli sviluppi dei servizi, assicurando il costante aggiornamento delle misure di sicurezza rispetto all’evoluzione delle minacce.

Sul piano operativo, le PA devono avere infrastrutture tecniche, interne o esterne, capaci di gestire i servizi garantendone integrità e sicurezza.

Sul piano funzionale, le amministrazioni devono assicurare un coordinamento tra aree operative e di sviluppo, in modo da garantire la piena operatività dei servizi e la coerenza delle attività di progettazione, rilascio e manutenzione.

Acquisizione di software e requisiti contrattuali

Le best practice possono essere impiegate come base per la redazione di profili di protezione e per definire requisiti tecnici nei procedimenti di acquisizione di applicazioni. In caso di outsourcing della gestione software, esse servono a indicare i controlli e le caratteristiche di sicurezza richieste in funzione del livello di rischio e del contesto di utilizzo.

L’amministrazione deve predisporre regole chiare per l’accettazione dei sistemi e delle applicazioni rilasciate dai fornitori o sviluppate internamente. In particolare, devono essere evidenziati gli obblighi relativi a:

• design;
• coding;
• maintenance;
• controlli e attività svolti dall’amministrazione durante l’intero progetto.

Il RUP, nelle procedure di affidamento aventi a oggetto software applicativo, deve esigere l’adozione di standard specifici per il rilascio di software sicuro.

Obblighi per fornitori e team di sviluppo

Il fornitore di software, oppure il team interno di sviluppo, deve conformarsi agli standard di settore richiamati negli allegati e adottare le best practice per lo sviluppo sicuro. In particolare deve:

• indirizzare adeguatamente la sicurezza del software prodotto;
• adottare pratiche idonee a prevenire e correggere vulnerabilità;
• rispettare i termini contrattuali, anche da parte del personale coinvolto e di eventuali sub-fornitori;
• proteggere le informazioni relative alle problematiche di sicurezza note e la relativa documentazione;
• garantire revisioni continue di sicurezza del codice sorgente;
• indicare standard, policy e best practice adottate.

La sicurezza del codice non è quindi una fase occasionale, ma un’attività continua lungo tutto il processo di sviluppo.

Ruoli interni richiamati

Le figure interne dell’amministrazione interessate sono:

• il Responsabile per la transizione al digitale, chiamato a promuovere anche la digitalizzazione dei procedimenti interni con l’introduzione di best practice nello sviluppo software;
• il Responsabile dei Sistemi Informativi;
• il RUP nelle procedure di gara o affidamento di software applicativo.

Il testo attribuisce un ruolo di coordinamento e presidio alla governance interna dell’ente, anche in chiave di relazione con i fornitori.

Riferimenti normativi e di contesto

Tra i riferimenti richiamati figurano:

• il Quadro Strategico Nazionale per la sicurezza dello spazio cibernetico;
• il Piano Nazionale per la protezione cibernetica e la sicurezza informatica;
• la Direttiva del 1° agosto 2015 del Presidente del Consiglio dei ministri.

Il documento collega tali riferimenti alla necessità di una governance della sicurezza coerente con il Piano Triennale per l’Informatica nella PA.

Monitoraggio e responsabilità in AGID

AGID monitora l’applicazione delle linee guida mediante un questionario annuale, con richiesta di informazioni sugli strumenti adottati e sui risultati conseguiti. La responsabilità interna per tale attività è attribuita all’area CERT-PA.

Allegati tecnici

Gli allegati tecnici costituiscono la parte di approfondimento operativo e sono dedicati ai quattro temi principali: ciclo di sviluppo sicuro, coding sicuro, hardening del software di base e modellazione delle minacce con misure di mitigazione in ottica Secure/Privacy by Design. Le specifiche tecniche sono rinviate a tali allegati e completano il quadro prescrittivo del documento.