Newsgroup: it.discussioni.iso9000
Titolo: Richiesta su Risk Analysis

Cerco un elenco di rischi che possono essere considerati in una "Risk
Analysis" condotta su un ambiente 'essenzialmente' IT, . . .
Grazie
Saluti
Claudio Pace.
--------------------------------
Inviato via 
http://arianna.libero.it/usenet/

 Analysis" condotta su un ambiente 'essenzialmente' IT, . . .
Non per essere scortese...Ma perchč tutti voi alla ricerca di qualcosa non
imparate ad utilizzare i motori di ricerca con le parole chiave?
Digitando ad esempio "parametri risk analysis" su GOOGLE trovi decine di
pagine e documenti gratuiti con riferimenti comodissimi.  E fai molto piů in
fretta.....
Ciao
SL

 Analysis" condotta su un ambiente 'essenzialmente' IT, . . .
sito ultile
guida : analisi del rischio 
http://www.sicurinfo.it/informazioni/default.asp?CAT=4#4
consulenza gratuita :
1- vulnerabilità
2- soluzioni 
http://www.sicurinfo.it/informazioni/default.asp?CAT=62#62
servizio on line gratuito per andare in chat 
http://www.sicurinfo.it/informazioni/default.asp?CAT=39#39
buono studio
Michela Starna
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 SL
Ciao


 
http://www.sicurinfo.it/informazioni/default.asp?CAT=4#4
Sarà senz'altro utile, per carità, ma non ho trovato nel sito che hai
indcato un elenco di rischi, . . .


 Inviato via 
http://arianna.libero.it/usenet/


 Inviato via 
http://arianna.libero.it/usenet/


 indcato un elenco di rischi, . . .
hai ragione , ma , scusa se  mi permetto , nell'analisi dei rischi 
è importante identificare tutte le vulnerabilità dell'azienda (che solo tu
conosci ) per la focalizzazione non solo sui sistemi compiuterizzati
(ambiente IT) ma su tutte le informazioni che circolano in seno
all'azienda. 
Solo tu puoi conoscere ed identificare i beni dell'azienda , il tipo di
organizzazione , i tempi scelti , l'investimento per la sicurezza , gli
asset etc. 
I requisiti di sicurezza compreso le minacce e vulnerabilità di business
(imprenditoriali,legali etc.)    
E su queste tue conoscenze solo tu puoi valutare l'importanza di queste
minacce
Dopo ti calcoli i rischi che ne derivano 
E tu stesso potrai determinare procedure di prevenzione a questi rischi 
In ultimo selezionerai i comandi che ti permetteranno di ridurre ad un
livello accetabile i rischi
Sull'ISO 17799 trovi un elenco di 127 "soluzioni" , puoi ,semmai con un
ragionamento a ritroso , partire dallo standard e stilare un elenco dalle
soluzioni riportate.  
Ciao Michela Starna


"Claudio Pace"
| Sarà senz'altro utile, per carità, ma non ho trovato nel sito che hai
| indcato un elenco di rischi, . . .
|
Eh ... certo! Un click su internet, e tutto si srotola facile sullo schermo,
come "cartigienica" nel cesso quand'occorre.
Poi la carta finisce, non sappiamo chi chiamare, il bidet non c'è (costava
ripararlo!) ... Bisognerebbe avere il coraggio di chiedere aiuto ... ed
essere disposti a perderci un po' la faccia. No. Si protesta. E forse, va a
finire, abbiamo anche ragione! Era il consorte a dover lasciare il rotolo
d'emergenza.
--
nonmifirmo ... nonsonoio

 Ciao Michela Starna
Ciao
Claudio Pace.


[...]
Se scrivi con questo tono polemico, avrai pure le tue ragioni, da parte
mia non c'era questo sentimento scansa-fatiche, volevo solo sapere se
esisteva in giro in modo condiviso o condivisibile, un elenco, mero elenco
di rischi possibili, con particolare riguardo all'ambiente IT.
Se questo non c'è o è una cosa che si vende punto, basta rispondere 'non
c'è' o 'c'è ma si vende', punto.
Un saluto.
Claudio Pace.


 carlo
Ciao
Claudio Pace.


"Claudio Pace" ha scritto:
| Se scrivi con questo tono polemico, avrai pure le tue ragioni, da parte
| mia non c'era questo sentimento scansa-fatiche, volevo solo sapere se
| esisteva in giro in modo condiviso o condivisibile, un elenco, mero elenco
| di rischi possibili, con particolare riguardo all'ambiente IT.
Prendo atto del sentimento ... e apprezzo la saldezza.
Attiro la tua attenzione che non non sono stato il solo a prenderla così
(anche se sono stato il più colorato, o colorito). Le intenzioni possono non
essere comprese di prim'acchitto.
Mi scuso comunque per il travisamento (inutile disquisire sulle
responsabilità, che mi assumo volentieri, meglio interrompere la scarmuccia
prima che diventi guerra). E invito a meditare sull'importanza del
risultato, nella comunicazione, al di là delle intenzioni.
Penso capito da tempo che le cose di vero, alto, valore, sulla rete, non ci
sono, purtroppo ... tranne che per l'open source (il cui valore è tutto da
valutare, comunque ... ma di altro NG si tratterebbe). Il vero valore è
nella rete in sé, non nelle cose che ci stanno.
Ma ora capisco, a proposito di open source, che tu parli di security (nel
gergo di QUESTO mondo, che non è IL mondo, e non è IL gergo), e non di
sicurezza. Parli di computer e non di VDT e poltrone antisciatica. E forse
tracce dovevo coglierne per avvedermene prima. E non le ho colte.
Allora capisco anche che certi "elenchi" hanno un valore che qui non hanno.
Un solo consiglio (ammesso e non concesso che ti serva). Qui, se parli di
sicurezza, noi poveri qualitatesi intendiamo le martellate sulle dita quando
si appende il quadro, e non i firewall. I nostri "firewall" sono REI 120! I
tuoi "log" sono la security, e alcuni li trattano come le rapine alla cassa.
Chissà se fanno bene!
Cordialità assoluta.
--
AlSeno

 AlSeno



http://www.lab-mc.com/masieonline/images/documenti/quaderni/num01-quaderni-itrisk.pdf
...Il cui documento è stato inviato direttamente dal sottoscritto
all'indirizzo di Claudio non più di 4 minuti dopo la mia risposta sul NG.
SL

Gentile Claudio ,
oggi mi dilungo un po' ...
sono contenta di leggere che ne sai "abbastanza" , 
e che i miei consigli per una prima lettura sull'analisi dei rischi, erano
superflui per Te...sei già informato e mi spiace aver toccato la tua
sensibilità "culturale" a riguardo , ma non ti eri esposto "molto" nel tuo
primo post .
Mi era sembrato Ti fossi limitato a rivolgere al NG una richiesta , non
avevi introdotto un argomento di discussione ,come è solito fare chi ha
già esperienza su un settore.
Mi è parso di capire dalla Tua risposta che hai colto superficialità nel
mio post ,credimi non era voluta ,cercavo di esser analitica , approccio ,
quest'ultimo , che ritengo "utile" e sufficente per chi chiede qualcosa al
NG su un argomento complesso e vasto .
Il mio piacere nel mio tempo libero è trattare argomenti che mi
appassionano.
Penso che tu possa comprendere che non è cosa facile ripsondere alle
"richieste" all'interno del NG ,tutti leggono i post e condividono le
risorse 
( e bisognerebbe evitare di appesantire i post come sto facendo io,
scusate tutti...)
ma chi risponde ad una richiesta esplicita e deve dare qualcosa all'altro
, come ho fatto io , e non sta rispondendo ad un argomento di discussione
(che è ben altro intervento ), non sa' mai chi ha davanti
e non sà quanto deve andare nello specifico per soddisfare la richiesta
del "visitatore"inesperto , se così appare... 
Rimane cmq "cortesia" rispondere come qualcuno ha già detto nel NG...come
è un diritto non rispondere ...e per chi riceve la risposta è implicita la
consapevolezza ed il desiderio di sentire di ringraziare il NG...ma non
sempre è così...
Non è polemica , ma accade a volte , che qualcuno si indispettisca ,
perchè la risposta che ha ricevuto non è "proprio" quella che
desiderava... 
io penso che di fatto c'è stato cmq uno scambio di informazioni , parto da
questo punto fermo nel NG. 
.. fà parte del gioco ...
Vorrei cmq "chiarire" che volevo aiutarti e sono solita ipotizzare , forse
sbaglio ,che se una persona si mostra non "indipendente" su un argomento
perchè non ha trovato individualmente su internet o altre fonti dei
riferimenti sufficenti , non è in possesso degli strumenti necessari etc .
non ha bisogno di esser "caricato" di informazioni estese
,complesse,articolate, bastano piccoli input , poi ognuno con studi
individuali approfondisce(come tu hai fatto), ci sono poi i ns indirizzi
e-mail per contattarci privatamente.Ci sono dei veri professionisti in
questo NG e disponibili a scrivere. 
Cosa diversa è introdurre un post di discussione , dove tutte e due le
parti scelgono liberamente di confrontarsi , si raccontano , dalle loro
esperienze di studio a quelle professionali .
Qui , mi sembra che da una richiesta si sia passati a discutere.
Per chiarezza :
non peso tutte le parole nei post ... esempio "comandi" anzichè
"risoluzioni",a volte mi puo' anche sfuggire nella corsa una parola
sbagliata o un sinonimo non perfettamente tecnico , qui mi rilasso , punto
sul fatto che sia chiaro il concetto da dare in tempi brevi altrimenti
dovrei passare ore a leggere e rileggere i post ed il tempo non c'è sul NG.
Ma , se Tu sei intervenuto per correggere un termine , ottimo è utile per
chi legge oltre a me e a te... anche se sono portata a pensare che il
concetto lo avevi capito anche tu , no? E non solo per il tuo Know how.
Scusa la sincerità ma durante una consulenza so' come pesar le parole ,
sto lavorando , non sto dedicando il mio tempo al NG cosa che mi piace
fare se c'è tranquillità , sul lavoro mi muovo diversamente , so' chi ho
davanti ,qual'è l'organizzazione ,il rischio che ho assunto , obiettivi da
raggiungere , guadagno etc.   
Sul "tema di discussione" da Te aperto nel 2° post e non nel 1° sono ora
necessarie  alcune considerazioni:
1-Il tema della "sicurezza" in ambiente IT è vastissimo ed Io sul NG lo
lascerei agli esperti del settore , non bastano anni per saperne a
sufficenza.Ma se tu sei interessato , inserisci un post OT di discussione
vedrai che chi è interessato risponderà. 
Non era questa la Tua domanda , anche se ho visto che nei tuoi esempi ,
hai dedicato molti periodi nel tuo post a questo argomento , andando nel
dettaglio .
Posso dire al NG discussioni.iso900  (sicuramente Tu lo sai già ...) che 
un'azienda che adotta già misure di sicurezza in ambiente IT 
( e che , come dici tu ,non è detto abbia necessità di richiedere alcuna
certificazione BS 7799)
trovandosi di fronte la sospensione dell'attività per un'emergenza
verificatasi (come un incendio sull'ambiente di lavoro )
possa avere notevoli danni e minacce su tutte le informazioni
dell'Organizzazione .
Con la BS 7799-2 sarebbero , invece , previste modalità procedurali
necessarie per spostare l'attività in un luogo alternativo e , a lavori
ultimati di ristrutturazione , procedure per ripristinare l'attività
nell'ambiente di lavoro dove si era verificato l'incendio , contenendo il
rischio di danni ulteriori a quelli già verificatesi ... (sono esempi...)
Per concludere , anche se l'ambiente è "soprattutto"IT (come dici tu...)
ed il mio obiettivo è individuare possibili minacce , vulnerabilità
,risoluzioni , nella soddisfazione dei requisiti BS 7799-2 non posso
ridurre la "Valutazione dell'analisi dei rischi" alla sola "sicurezza
informatica" legata ai soli cavi , rete , TCP/IP ,virus , attacchi in rete
etc., altrimenti sarei un tecnico/esperto sulla sicurezza in rete ma non
valuterei un ISMS e farei l'errore di non individuare altre minacce
relative alla gestione sulla sicurezza delle informazioni di tutta
l'Organizzazione.Per questo spingevo per una Tua conoscenza più globale ,
per questo i riferimenti li ritenevo utili affinchè tu potessi costruirti
un'idea piu' generale dell'Analisi dei Rischi.
Non a caso si parla di Sistema di Gestione Aziendale,in molti articoli,
che puoi trovare su internet ,non sono pochi i confronti tra la BS 7799 e
la Vison 2000 , la ISO 14000 , si parla di sistemi integrati etc. 
2-Mentre alla Tua domanda specifica "richiesta" sull'elenco ...per analisi
dei rischi ..."soprattutto" in ambiente IT , rispondo così:
Sarebbe superficiale da parte mia e presuntuoso , dare una risposta nel
dettaglio a questa domanda .
-------------------------------------------------------
Sono sicura che se farai la stessa domanda ad un consulente di Tua
conoscenza questi ti chiederà il tipo di organizzazione , i tempi in cui
vuoi realizzare un ISMS , quanto sei disposto a spendere , "l'ambito" in
cui vuoi implementare la BS 7799-2 , prima di darti una risposta , forse
ti chiederà un appuntamento per un sopralluogo ...dipende...,vi
accorderete sui costi ,preventivo ,etc.e dopo vari step , quando avrà
giustamente i dati sufficenti per risponderti , lo farà.Poi mi raccomando
,a servizio ottenuto dietro compenso immagino... valuta bene la Tua
soddisfazione come cliente , ne hai pieno diritto ; ) 
Su internet trovi di tutto , persino Manuali operativi sulla sicurezza nei
quali si parla anche della BS 7799-2 (sono gratis ed anche se non vuoi
certificarti puoi adottarli come riferimento , in più puoi acquistare la
norma su 
www.iso.ch
 o fartela prestare da amici senza chiamare alcun
consulente , poi , come già fai ,studiando da solo , non credo avrai
problemi,per domande tecniche hai già i servizi gratis che ti ho offerto
nel precedente post , mi sembra di aver letto che scadono il 30 dicembre)
3- Alla considerazione che sia solo una "mossa" commerciale la BS 7799 ,
nessuno obbliga alcuno a certificarsi , ma và detto per chi si certifica
che l'implementazione crea valore aggiunto ed i costi di gestione sulla
sicurezza delle informazioni , diminuiscono.
Cordialità 
Michela Starna


 
Condivido quanto scrive Carlo.
E aggiungo che questa insistente ricerca di un elenco completo non è mai 
stato un approccio da me condiviso e seguito.
Mai sentito parlare di "miglioramento continuo"? Escludo che in qualunque 
campo possa esistere un elenco completo.... Esistono elenchi in continua 
evoluzione!
Per me "RISCHIO = PROBALILITA' dell'evento * ENTITA' del danno (costi)"
Poi analisi di Pareto, analisi costi-benefici etc.etc.
L'elenco si aggiorna man mano che si migliora, fino ad aggiungere anche il 
pettirosso.
Ciao
Claudio
-- 
====================================================
 - Claudio Pozzi - 

[...]
Su questo punto, vorrei ribadire un attimino, il mio pensiero, distinguendo
le soluzioni dall'analisi, una distinzione che a mio avviso va mantenuta,
per non rischiare :-) di fare una analisi troppo condizionata dalle buone
intenzioni.
Io imho manterrei distinto il momento di creazione e di organizzazione di un
processo della sicurezza dalla pura analisi del rischio, che in soldoni pare
assai semplice:
rischi, probabilità che si verifichino, costi che si determinerebbero al
loro sciagurato verificarsi.
In questo senso è vero che i rischi sono 'personalizzati' alla situazione
reale dove sto facendo l'analisi, ciò non toglie che la medesima può partire
da un semplice brain-storm degli interessati, come da un brutale elenco di
'rischi' che possono impattare in un data center o in una software house, .
. . o in qualsiasi ambiente fisico che abbia un impianto elettrico e degli
elettodomestici. :-)
Ribadisco ancora il valore psicologico, di una analisi dei rischi accurata e
distinta dalla remedy, questo perchè penso che in fondo il protagonista di
questi processi, di qualità, di sicurezza e quant'altro è in fin dei conti
la persona umana.
Per farmi capire, pur con tutti i limiti della comunicazione 'usenet', la
consapevolezza che i guidatori italiani hanno che il rischio di fare una
determinata infrazione produce la perdita di punti e quindi la noia e i
costi di dover riaffrontare di nuovo la 'scuola guida' è paradossalmente più
efficace del sapere che la probabilità di lasciarci le penne, guidando ad
una certa velocità ubriachi ( tanto per fare un esempio), è assai elevata.
Dunque l'analisi dei rischi intesa non solo come momento necessario per far
partire una procedura di sicurezza, secondo le norme BS o altro, ma per
aumentare il grado di consapevolezza di coloro che queste norme o un loro
sottoinsieme dovranno non solo applicare, ma 'sentire' cosi come molti
italiani 'sentono' la necessità di mettere le cinture, per paura dei punti,
. . .
Un saluto


 Claudio
Ciao
Claudio Pace.


 e la apprezza, . . .
Ma perchè i tuoi capi hanno affidato un'analisi dei rischi ad un softwarista
(per di più applicativo)?
Mi sfuggie il legame tra la conoscenza delle tecniche di programmazione e
quelle necessarie per condurre il risk assessment.
Al limite, dovendo pescare tra gli informatici, avrei scelto un sistemista o
un'analista.
Ma alla fine avrei preferito ancora il *qualitatese* (anche se non è la
scelta ottimale), affiancato da tecnici specialisti di settore.
Non conosco la tua realtà aziendale, ma IMHO un buon risk assessment
difficilmente può nascere da un singolo individuo.
Solitamente si costituisce un team opportunamente selezionato e gestito da
un team leader, che anche se non è uno specialista del settore, è esperto
nell'uso delle metodologie di analisi dei rischi e sa gestire bene un gruppo
in brainstorming.
Ti assicuro che lui non sarebbe partito cercando un elenco dei rischi
*pre-confezionato*.
Comunque complimenti per la buona volontà ed in bocca al lupo!
Cordialmente, moreno.

 E il topo che si roscicchia i cavi no? ;-)
Come no, ma lo mettiamo prima o dopo il pettirosso? ;-)
In altre parole, se il budget disponibile è 1000 lo usiamo per prevenire il 
danno da topo o quello da pettirosso? O sei un fortunato che non deve fare 
i conti con un budget? :-)))


 Claudio Pace.
saluti 


 Cordialmente, moreno.
Con altrettanta cordialità



IMHO cambia moltissimo, se non altro per il numero di eventi/variabili che
devono essere identificate e gestite, magari potendone solo ipotizzare la
probabilità di accadimento (vedi il tuo esempio del pettirosso).
Nel caso della sicurezza c'è un lavoro di analisi, gestione e quando
possibile di simulazione degli eventi, che non era necessario per l'anno
2000. Nel caso anno 2000, il lavoro era enorme ma in fondo semplice.
Bastava individuare e correggere tutte le routine che facessero uso di date,
riscriverle e testarle.
E con un buon analizzatore di codice si poteva anche automatizzare gran
parte del lavoro.
O non è stato così? Parlo cmq da non specialista IT...
Ciao, moreno.

 fortunato che non deve fare i conti con un budget? :-)))
Non sarà una trapoletta per topi da mettere in punti strategici, con addetto
alla manutenzione dello stesso che rovinerà il budget aziendale, . . . :D
Ma scherzi a parte, ribadisco fino alla paranoia, il budget dopo, la remedy
dopo, budget e remedy non devono condizionare l'analisi, altrimenti non
faccio l'analisi dei rischi, ma di quello che voglio gestire,
consaepvolmente o inconsapevolmente falso il dato.
Imho.


 Ciao, moreno.
Ciao


 . . . insomma fu un lavoro tosto,
CUT..
Non mi convinci...
Perchè con tutto il rispetto per l'enorme lavoro fatto per l'anno 2000; le
difficoltà operative dovute al fatto di dover fare modifiche strutturali a
DB senza poter sospendere le attività; i test plan e tutto il resto,
continuo a pensare che cmq si tratti di due attività fondamentalemente
diverse.
Non si può confondere un test plan con un risk assessment. Nel primo caso le
attività di verifica derivano implicitamente dalle specifiche del prodotto
sw (devo verificare che il prodotto si comporti come *dovrebbe comportarsi*
e quindi predisporre opportune procedure per la verifica).
Nel caso del risk assesment devono essere considerati una serie di fattori
che sono funzione non solo del prodotto, ma soprattutto di variabili
estranee al prodotto (ambiente, persone, o come tu hai detto topi e
pettirossi :-)
Deve essere valutato l'impatto che ogni singolo evento, o una combinazione
di eventi, può avere su tutto il sistema.
Devono essere prima individuati tutti i possibili pericoli e poi valutatati
i rischi in termini di probabilità accadimento X conseguenze dell'evento
dannoso. Un'espolsione atomica è un'evento altamente pericoloso, ma se
avviene a new york siamo in presenza di un disastro, mentre se avviene in
un'atollo del pacifico i danni saranno minimi. A parità di pericolo siamo in
presenza di rischi molto diversi. Sembrera banale, ma per es. c'è una
differenza concettuale tra rischio e pericolo, che non era necessario capire
per fare una buona conversione del Sw Y2000.
Se poi mi vuoi dire che qualcuno al passaggio 2000-2001, si è preoccupato di
fare un risk assessment per valutare l'impatto che un eventuale *fallimento*
delle attività di conversione SW avrebbero portato sulla propria attività (e
qualcuno lo ha fatto, chiedendosi: "ma cosa succederà se tutti o alcuni dei
nostri sistemi andranno in crisi?"), questa è certamente un'attività di risk
assesment, ma che non ha nulla a che vedere con la conversione del software.
Ciao, moreno.

 assesment, ma che non ha nulla a che vedere con la conversione > del
software.
Beh questa attività che dici, in modo più o meno formalizzato, l'hanno fatta
tutta, solo solo per dire, questa procedura la cassiamo proprio, questa la
sostituiamo con. . . , questa è già Y2K-OK, questa la sottoponiamo a
conversione y2k, . . .



Ma l'hanno fatta gli utenti, le aziende utilizzatrici di sistemi, non le sw
house che convertivano il software (al massimo loro potevano farla al loro
interno). Che ne sapeva il mio fornitore di un sw di processo, dell'utilizzo
che ne facevo? Era su una linea che lavora 10 ore/anno e allora ho deciso
che mi convieniva buttare via tutto, anzichè adeguare il SW.
Ma questo tipo di analisi posso farla bene solo io, utente, non il
produttore di SW. Proprio tornando al discorso identificazione del pericolo
e valutazione del rischio, lui non aveva elementi per fare questo tipo di
analisi. Conosceva il pericolo ma non era in grado di calcolare i rischi
conseguenti.
O non è così? Non ricordo di aziende che abbiano "appaltato" questa analisi
ai loro fornitori di sw.
Anche se a dire il vero la maggior parte delle PMI che conosco io si è
limitata a sostituire il SW gestionale, preoccupandosi di acquistare un SW
Y2K-OK o ad aggiornarlo, senza fare alcun vero risk assessment.
Ho visto un sacco di quegli  inutili questionari che chiedevano quanti PC ci
sono in azienda, che SO utilizzavano ecc ecc.
Clienti preoccupati che i loro fornitori potesso andare in crisi.
Inutili perdite di tempo per dare rassicurazioni che non potevano
rassicurare nessuno.
Certo che Alitalia, FS o ENEL avranno fatto un lavoro più serio (me lo
auguro, altrimenti hanno avuto solo un gran C...), ma non mi confronto con
questo tipo di realtà.
Cordialmente, moreno.