Newsgroup: it.comp.sicurezza.varie
Titolo: Stesura relazione incidente di sicurezza

Salve,
sono un amministratore di rete e mi occupo solo in parte dei problemi
legati alla sicurezza informatica, purtroppo vengo sempre più spesso, mio
malgrado, coinvolto nella gestione di incidenti.
In questo caso sono stato chiamato a redigere una relazione riguardo ad un
incidente di sicurezza: un collaboratore dell'azienda per cui lavoro ha
sfruttato un account di un collega per ottenere dati ai quali non avrebbe
dovuto accedere, ce ne siamo accorti quasi subito, abbiamo bloccato
l'attività e segnalato l'accaduto al responsabile.
Ora il responsabile vuole da me una relazione, di solito, quando posso,
cerco di essere professionale nel fare il mio lavoro e riconosco che in
questo caso non lo sarei non avendo una formazione adeguata in materia.
Purtroppo sono obbligato a produrre il documento in tempi brevi, ci sono
dei testi che mi potrebbero aiutare ?
Potreste avere/indicarmi dove trovare una bozza di un documento (ben
scritto (nel senso di completo e organizzato) di questo tipo ?
Ho già provato a rifiutare ma non mi è stato possibile declinare il
compito, grazie per l'aiuto.

 dovuto accedere, ce ne siamo accorti quasi subito, abbiamo bloccato
Controlla con un legale di non cadere in un problema che porti il 
collega a sporgere denuncia per diffamazione o violazione della 
privacy.
(un mio amico ha perso il lavoro per questo motivo)
Poi puoi anche controllare la forma ;-)
Ciao
Luca
-- 
"Un nostro incaricato verra' a casa vostra senza impegno"
[da una televendita]

 (un mio amico ha perso il lavoro per questo motivo)
Questo è molto difficile da quanto mi è stato detto ma evidentemente può
capitare, ho già interpellato un legale e non esiste nessun tipo di
problema, per sicurezza ho chiesta un parere informale al sindacato ed è
tutto regolare.


ach! Come dicono i Nord Americani "tough luck" o i Britannici "bloody
luck" (non hai ne esperienza ne formazione in materia e al tempo stesso non
puoi rifiutare l'incarico - hai tutta la nostra comprensione).
Purtroppo organizzare un simile documento richiede un lavoro di sartoria
specifico. Difficile trovare un template che si possa avvicinare a quello
che serve a voi--e MOLTA ATTENZIONE, checche' ti rassicurino il tuo ufficio
legale e il rappresentante sindacale, alle questioni molto pertinenti di
privacy e sindacali sollevate da Luca. Quel documento lo firmi tu, non
loro!
-- 
AB

 Quel documento lo firmi tu, non loro!
Infatti non lo "firmo", è ad uso esclusivamente interno (condizione
insindacabile esposta al responsabile).

 scritto (nel senso di completo e organizzato) di questo tipo ?
Mi viene in mente questo:
http://www.iritaly.org/downloads.html
(guarda il link "Report di incidente informatico").
Questo nulla toglie a quanto gia' (giustamente) osservato 
da altri.
Fabio


Bene, questo in parte cambia un po' le cose (solo in parte comunque). 
Allora spiegaci meglio l'ambito della relazione che dovresti stendere e
vediamo se riusciamo a darti qualche indicazione:
 - chi la firma? (chi se ne prende la responsabilita')
 - che scopo ha?
   . spiega solo i fatti tecnici nudi e crudi?
   . si spinge anche a questioni di carattere legale?
   . esprime solo fatti o fatti ed opinioni?
   . alla fine a chi serve e a quale scopo?
 
 - la tua azienda/organizzazione ha un regolamento formale
   sull'uso delle risorse informatiche interne?
   . DPS -> piano della sicurezza -> regolamento utente
   . tale regolamento e' noto e sottoscritto dagli utenti
   . esiste formalmente un "guardiano" di tale regolamento
 
 - quali strumenti avete per raccogliere prove che 
   reggano ad una analisi forense nel caso decidiate di
   usarle in sede legale o anche solo disciplinare?
   . strumenti tecnici
   . procedure (non ripudio, data certa, 
     conservazione dei log, ...)
   . separazione dei compiti (chi fa non controlla e 
     chi controlla non fa)
Gia' quest'ultima mi sembra di capire (visto che fai l'amministratore di
rete di norma e ti viene chiesto *a* *volte* di occuparti di sicurezza) che
forse non la rispettate. Un buon avvocato o sindacalista vi farebbe a
strisce sottili sottili se solo tentaste di usare prove raccolte in assenza
di "separation of duties".
-- 
AB

 di "separation of duties".
...ma cosa ho fatto di male !!!! :-)


Se ti puo' consolare, me lo sono chiesto dopo aver fatto reimbiancare
l'ufficio recentemente ed aver scoperto che l'imbianchino ha fatturato
leggermente di piu' in tre giorni di quanto fatturo io nello stesso periodo
con due lauree, un master, tre certificazioni e 18 anni di esperienza
internazionale nel campo della sicurezza :-/
-- 
AB

 
il post qui e' stato troncato per mia distrazione, la frase completa era: 
Una perla di saggezza dalla "Intelligence Community":
 . assumptions is the mother of all fuckups.
-- 
AB

 esperienza internazionale nel campo della sicurezza :-/
Grazie per la mano che mi dai - ma credo che mi darò malato a questo punto
(non scherzo).


Dopo quel "mi sembra" e "di tanto in tanto" unito al dubbio del tuo post
precedente se il regolamento e' distribuito a tutti gli utenti, sei proprio
la persona nella posizione meno adatta a fare questa relazione (e forse per
questo ti hanno incastrato?). Spero davvero che non scherzi!
-- 
AB

 configurato).
E anche "inquinabile": salvo precauzioni praticamente mai adottate (non so
da voi) inserire righe arbitrarie in un server syslog e' piuttosto banale.
Fabio
 

 Risposta piu' circostanziata: se tu avessi un semestre di tempo a 
 > disposizione potresti incrociare qualche testo
Ciao,
credo che sarebbe molto interessante avere una "infarinatura" accademica 
sull'argomento, potrebbe anche venirmi utile in futuro e credo che sia 
un tema sempre più presente in tutte le aziende di un certo spessore.
Mi consiglieresti qualche testo (non vorrei superare i 100€)?
Grazie

Gordon Freeman wrote:

Scusa il ritardo nel rispondere, mi sono reso conto solo adesso che il
thread aveva avuto un seguito.
100 Euro? Non ci siamo. Il testo piu' leggero (si fa per dire) che mi viene
in mente e' poco sotto i 150 Euro da Hoepli e ce ne sono altri sei o sette
ancora piu' cari di quel tenore (tutti in Inglese di "importazione").
Alcuni comprati in viaggi oltre oceano nell'era "pre-internet" (o meglio
preinternet commerciale). Ora sicuramente ordinabili via web. Comunque
l'investimento totale non e' sotto i 1.200 / 1.300 Euro.
-- 
AB