Circolare ACN: “diversificare” i prodotti Kaspersky, Group-IB e Positive Technologies

Redazione RHC : 27 Aprile 2022 15:47

Nella giornata di ieri, è stata emessa dall’ACN la CIRCOLARE 21 aprile 2022, n. 4336 che riporta come oggetto “Attuazione dell’articolo 29, comma 3, del decreto-legge 21 marzo 2022, n. 21. Diversificazione di prodotti e servizi tecnologici di sicurezza informatica”.

Paragrafo A: Premessa

Con il decreto-legge 21 marzo 2022, n. 21, recante

“Misure urgenti per contrastare gli effetti economici e umanitari della crisi ucraina”

Christmas Sale -40% 𝗖𝗵𝗿𝗶𝘀𝘁𝗺𝗮𝘀 𝗦𝗮𝗹𝗲! Sconto del 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮 del Corso "Dark Web & Cyber Threat Intelligence" in modalità E-Learning sulla nostra Academy!🚀 Fino al 𝟯𝟭 𝗱𝗶 𝗗𝗶𝗰𝗲𝗺𝗯𝗿𝗲, prezzi pazzi alla Red Hot Cyber Academy. 𝗧𝘂𝘁𝘁𝗶 𝗶 𝗰𝗼𝗿𝘀𝗶 𝘀𝗰𝗼𝗻𝘁𝗮𝘁𝗶 𝗱𝗲𝗹 𝟰𝟬% 𝘀𝘂𝗹 𝗽𝗿𝗲𝘇𝘇𝗼 𝗱𝗶 𝗰𝗼𝗽𝗲𝗿𝘁𝗶𝗻𝗮. Per beneficiare della promo sconto Christmas Sale, scrivici ad [email protected] o contattaci su Whatsapp al numero di telefono: 379 163 8765. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

il Governo ha ritenuto, tra l’altro, la straordinaria necessita’ e urgenza di assicurare il rafforzamento dei presidi per la sicurezza, la difesa nazionale, le reti di comunicazione elettronica e degli approvvigionamenti di materie prime.

A tale riguardo, l’art. 29, comma 1, del medesimo decreto-legge, prevede che, al fine di prevenire pregiudizi alla sicurezza delle reti, dei sistemi informativi e dei servizi informatici delle amministrazioni
pubbliche di cui all’art. 1, comma 2, del decreto legislativo 30 marzo 2001, n. 165, derivanti dal rischio che le aziende produttrici di prodotti e servizi tecnologici di sicurezza informatica legate
alla Federazione Russa non siano in grado di fornire servizi e aggiornamenti ai propri prodotti, in conseguenza della crisi in Ucraina, le medesime amministrazioni procedano tempestivamente alla
diversificazione dei prodotti in uso.

Più nello specifico, il medesimo art. 29, secondo il combinato disposto dei commi 1 e 3, prevede che l’individuazione dei prodotti e servizi da diversificare avvenga in relazione alle categorie indicate
con circolare dell’Agenzia per la cybersicurezza nazionale tra quelle volte ad assicurare le seguenti funzioni di sicurezza:

• a) sicurezza dei dispositivi (endpoint security), ivi compresi applicativi antivirus, antimalware ed “endpoint detection and response” (EDR);
• b) “web application firewall” (WAF).

La presente circolare è volta, pertanto, ad indicare le categorie di prodotti e servizi tecnologici di sicurezza informatica per le quali le pubbliche amministrazioni dovranno procedere a diversificazione ai sensi dell’art. 29, del decreto-legge n. 21 del 2022.

Paragrafo B: Individuazione dei prodotti e servizi oggetto di diversificazione.

Ai fini dell’individuazione dei prodotti e servizi tecnologici di sicurezza informatica di aziende produttrici legate alla Federazione Russa, ai sensi dell’art. 29, commi 1 e 3, del decreto-legge n. 21 del 2022, ciascuna pubblica amministrazione destinataria della presente circolare procede alla diversificazione delle seguenti categorie di prodotti e servizi tecnologici di sicurezza informatica:

• 1) prodotti e servizi di cui all’art. 29, comma 3, lettera a), del decreto-legge n. 21 del 2022, della societa’ «Kaspersky Lab» e della societa’ «Group-IB», anche commercializzati tramite canale di rivendita indiretta e/o anche veicolati tramite accordi quadro o contratti quadro in modalità «on-premise» o «da remoto»;
• 2) prodotti e servizi di cui all’art. 29, comma 3, lettera b), del decreto-legge n. 21 del 2022, della societa’ «Positive Technologies», anche commercializzati tramite canale di rivendita indiretta e/o anche veicolati tramite accordi quadro o contratti quadro in modalità «on-premise» o «da remoto».

Paragrafo C: Raccomandazioni procedurali.

Si raccomanda alle amministrazioni destinatarie della presente circolare – responsabili nella conduzione delle operazioni di configurazione dei nuovi servizi e prodotti acquisiti ai sensi dell’art. 29 del decreto legge n. 21 del 2022, anche in relazione alla precisa conoscenza dei propri asset (reti, sistemi informativi e servizi informatici) e degli impatti degli stessi sulla continuità dei servizi e della protezione dei dati – di adottare tutte le misure e le buone prassi di gestione di servizi informatici e del rischio cyber e, in particolare, di tenere conto di quanto definito dal Framework nazionale per la cybersecurity e la data protection, edizione 2019, realizzato dal Centro di ricerca di cyber intelligence and information security (CIS) dell’Università Sapienza di Roma e dal Cybersecurity National lab del Consorzio interuniversitario
nazionale per l’informatica (CINI), con il supporto dell’Autorità garante per la protezione dei dati personali e del Dipartimento delle informazioni per la sicurezza.

In particolare, si raccomanda di:

• 1) censire dettagliatamente i servizi e prodotti di cui al paragrafo B) della presente circolare, analizzando gli impatti degli aggiornamenti degli stessi sull’operatività, quali i tempi di manutenzione necessari;
• 2) identificare e valutare i nuovi servizi e prodotti, validandone la compatibilità con i propri asset, nonché la complessità di gestione operativa delle strutture di supporto in essere;
• 3) definire, condividere e comunicare i piani di migrazione con tutti i soggetti interessati a titolo diretto o indiretto, quali organizzazioni interne alle amministrazioni e soggetti terzi;
• 4) validare le modalità di esecuzione del piano di migrazione su asset di test significativi, assicurandosi di procedere con la migrazione dei servizi e prodotti sugli asset più critici soltanto dopo la validazione di alcune migrazioni e con l’ausilio di piani di ripristino a breve termine al fine di garantire la necessaria continuità operativa. Il piano di migrazione dovrà garantire che in nessun momento venga interrotta la funzione di protezione garantita dagli strumenti oggetto della diversificazione;
• 5) analizzare e validare le funzionalità e integrazioni dei nuovi servizi e prodotti, assicurando l’applicazione di regole e configurazioni di sicurezza proporzionate a scenari di rischio elevati (quali, ad esempio, autenticazione multi-fattore per tutti gli accessi privilegiati, attivazione dei soli servizi e funzioni strettamente necessari, adozione di principi di «zero-trust»);
• 6) assicurare adeguato monitoraggio e audit dei nuovi prodotti e servizi, prevendendo adeguato supporto per l’aggiornamento e la revisione delle configurazioni in linea.

Nella predisposizione, migrazione e gestione dei nuovi prodotti e servizi, si raccomanda l’adozione di principi trasversali di indirizzo, quali a titolo esemplificativo quello della «gestione del rischio», in termini di identificazione, valutazione e mitigazione dei rischi di diversa fattispecie che concorrono nell’attuazione della diversificazione dei servizi.

Infine, si raccomanda alle amministrazioni di controllare costantemente i canali istituzionali di comunicazione dell’Agenzia per la cybersicurezza nazionale https://www.acn.gov.it/ e https://csirt.gov.it

La presente circolare, che potrà essere oggetto di periodico aggiornamento, opera dalla sua pubblicazione nella Gazzetta Ufficiale della Repubblica italiana e, al fine di assicurarne una diffusa conoscenza nell’intero territorio nazionale, la presente circolare sarà disponibile, dopo la pubblicazione, all’indirizzo https://www.acn.gov.it

Seguici su Google News, LinkedIn, Facebook e Instagram per ricevere aggiornamenti quotidiani sulla sicurezza informatica. Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli