SICUREZZA DEI DATI
Il problema della sicurezza di funzionamento, e cioè la continuità operativa e la disponibilità di dati, oltre che su un impianto infrastrutturale adeguato si basa anche su un’architettura informatica che permetta di salvare i dati in modo sicuro e ripristinarli quando necessario, correlato alla continuità di funzionamento vi è quindi il problema di come dar fronte a disastri che minino la disponibilità dei dati aziendali e la continuità di elaborazione degli stessi.
Poiché attacchi esterni, guasti hardware o errori nelle applicazioni responsabili di crash dei sistemi e conseguente indisponibilità delle informazioni non possono essere del tutto evitati, la capacità di un’azienda a contenere tali minacce dipende dal suo stato di preparazione. Molti disastri possono essere evitati con un’attenta pianificazione, implementazione e sperimentazione di un adeguato piano di emergenza.
Nel documento saranno descritte le politiche di sicurezza adottate differenziando ovviamente le policy Logiche da quelle Fisiche, per queste ultime saranno infatti ulteriormente differenziati i vari Data Center di Arezzo (Aruba S.p.A. - Dedicated Server Farm2).
Sicurezza Logica
La Sicurezza Logica si occupa dell'integrità, disponibilità, e riservatezza delle informazioni aziendali, ed è pertanto una componente estremamente critica nel processo di produzione del business. Devono essere definite adeguate policy di autenticazione ai sistemi, in grado di garantire riservatezza ed integrità dei dati trattati.
SOGI SCUOLA s.r.l. sfrutta le tecnologie più avanzate per garantire un alto livello di servizio in termini di tempestiva installazione di patch di sicurezza, gestione dei sistemi di Firewalling, Intrusion Detection, sistemi di autenticazione sia standard che avanzati (questi ultimi dotati di certificati digitali, doppie chiavi di accesso e Token-Card RSA Security).
La gestione della sicurezza logica dei dati viene garantita attraverso diverse policy studiate e adottate ad hoc per ogni attività, sono elencate di seguito le principali:
- Policy per l'accesso ai dati (restrizioni in base ad utenti, gruppi e postazioni);
- Regole per l'accesso alla rete dall'esterno;
- Continuo aggiornamenti software Antivirus e relativo Database;
- Intrusion Detection System (Logsurfer);
- Intrusion prevention software (Fail2ban)
- Backup e Restore dei dati ove necessario.
Trattamento dei dati
Uno dei temi più importanti nella sicurezza logica, oltre che la protezione di dati dall’accesso abusivo, è sicuramente il trattamento degli stessi. L’importanza delle politiche di sicurezza aziendale adottate in materia di trattamento dei dati riguarda due principali settori, quello interno (inteso come sezione interna all’azienda, per semplificare idealmente identificato nella Lan aziendale) e quello esterno (inteso come l’insieme degli accessi provenienti dall’esterno della rete aziendale e quindi dall’esterno della Lan protetta).
POLICY INTERNE
Il trattamento dei dati interni nella Lan aziendale deve obbligatoriamente subire un trattamento differente da chi effettua accessi dall’esterno di tale rete. Le policy interne sono solitamente meno restrittive che verso l’esterno ed anche in questo caso si conferma tale regola. Attraverso l’utilizzo di appositi profili informatici è possibile assegnare specifiche autorizzazioni agli utenti e a gruppi di utenti
POLICY ESTERNE
Per quanto riguarda l’accesso ai dati dall’esterno, le policy di sicurezza risultano molto più elevate rispetto alle precedenti. Le connessioni remote vengono infatti garantite attraverso connessioni crittografate.
Il Server di accesso remoto risponde alla chiamata proveniente dall'esterno richiedendo un’autenticazione tramite chiavi RSA a 4096 bit
Sicurezza Fisica
Lo scopo principale della Sicurezza Fisica nel settore IT è quello di proteggere i beni coinvolti nel funzionamento del processo aziendale. In particolare, occorre definire le politiche di salvaguardia sia dei beni, che di tutti gli impianti coinvolti nel processo di produzione del business.
Data Center Arezzo (AR)
Il Data Center di Disaster Recovery di SOGI SCUOLA S.R.L. si trova in hosting presso il principale Data Center IT1 di Aruba S.p.A. (ad Arezzo). Questa installazione rappresenta la sicurezza per la continuità di servizio dei servizi SaaS Cloud forniti alla propria clientela.
Quest'infrastruttura tecnologica d’avanguardia rappresenta un’adeguata risposta alle esigenze di Disaster Recovery in quanto presenta strutture, impianti e risorse professionali frutto di investimenti e di una esperienza pluriennale nei servizi alle imprese che assicurano elevati standard qualitativi (la struttura ha ottenuto certificazioni di livello Rating 4 – former Tier IV).
In questa sezione saranno dettagliati i vari sistemi di sicurezza fisica a disposizione nel Data Center IT1 Aruba (Arezzo). Le policy di sicurezza fisica sono suddivise in base al loro settore ed al loro grado di importanza:
- Standard di Sicurezza ISO/IEC 27001-27017-27018 e ANSI/TIA Rating 4
- Dispositivi di protezione
- Dispositivi antintrusione al Data Center
- Sistema di Alimentazione
- Rivelazione fumi e sistemi antincendio
- Sistemi di condizionamento e controllo della temperatura
- Gestione della Sicurezza ISO/IEC 27001
Il fornitore di housing Aruba S.p.A. garantisce inoltre l’applicazione dello standard UNI CEI EN ISO 27001:2017 “Information Security Management Systems — Requirements” e quindi la definizione ed implementazione di un Sistema di Gestione per la Sicurezza delle Informazioni (SGSI), assicurando il controllo dei fattori legati alla tutela delle informazioni, per quanto riguarda gli aspetti tecnologici, operativi, procedurali e umani, proponendo un approccio integrato e sistematico per poter perseguire gli obiettivi di sicurezza prefissati.
Tale standard vuole quindi rappresentare non solo una certezza sulla protezione dei dati, ma un ulteriore certificazione capace di garantire ulteriormente serietà ed impegno verso la propria clientela.
Dal 21 settembre 2018, la struttura di Aruba S.p.A. si è inoltre certificata anche per le estensioni ISO/IEC 27017:2015 “Code of practice for information security controls based on ISO/IEC 27002 for cloud services” e UNI CEI ISO/IEC 27018:2019 “Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors” come linee guida della propria sicurezza delle informazioni e perseguirne la conformità.
Il provider dal 29 marzo 2019 è infine stato qualificato dall’Agenzia per l’Italia Digitale AgID come fornitore IaaS e Cloud Services Provider per la Pubblica Amministrazione, a riprova della bontà della propria infrastruttura e dei servizi offerti.
Dispositivi di protezione
PROTEZIONI PASSIVE:
Recinzione esterna con grigliato metallico, strutturata in modo da facilitarne l’ispezione visiva da parte del personale di guardiania, che delimita fisicamente il perimetro esterno;
La sala dati è realizzata ad un livello superiore a quello stradale, in modo da prevenire possibili infiltrazioni idriche;
La portineria è realizzata con adeguate protezioni strutturali e presenta la porta di accesso posizionata verso l’interno dell’area protetta; è, inoltre, dotata di passadocumenti per lo svolgimento delle operazioni di controllo in condizioni di massima sicurezza;
Ingresso esterno ad accesso singolo regolamentato da un sistema di tornelli a lettura badge.
PROTEZIONI ATTIVE:
Barriere di allarme antintrusione e/o sistemi di video analisi avanzata, consentono il monitoraggio di eventuali intrusioni nelle aree esterne adiacenti le sale sistemi offrendo una corretta affidabilità;
Un sistema di telecamere con videoregistrazione, barriere laser fence e a raggi infrarossi per la supervisione e il controllo del perimetro delle sedi e/o per la verifica ed il controllo delle aree adiacenti le sale sistemi, in alcuni casi la tecnologia utilizzata è il sistema di video analisi avanzata.
PROTEZIONI ORGANIZZATIVE:
Presidio di sorveglianza 24 ore al giorno per tutti i giorni dell’anno, presso la portineria centrale che supervisiona i transiti, identifica i visitatori ed eventualmente autorizza l’accesso all’interno della struttura;
Un badge definitivo assegnato al personale eventualmente appartenente ad una rete temporanea di impresa (RTI) previa autorizzazione attraverso sistema informatico Aruba (https://assistenza.aruba.it/it) contenente data inizio e fine validità dell’accesso ed estremi di un documento di riconoscimento della persona;
Un badge provvisorio giornaliero assegnato dal personale di portineria, a seguito della consegna di un documento di riconoscimento e la conferma della visita da parte del Responsabile di riferimento.
Sistemi di Alimentazione
La continuità elettrica è garantita da 4,5 Mega Watt di potenza elettrica, completamente ridondata grazie a due Power Center Separati. Ogni Power Center ha la capacità di alimentare separatamente il data center, anche a pieno carico, ed è dotato di sistemi UPS a doppia conversione (ridondanza tipo 2N).
Gli impianti di potenza e le batterie a servizio dei sistemi UPS si trovano in edifici dedicati e fisicamente separati tra di loro e rispetto all’edificio del Data Center, corredati anche di generatori di energia elettrica autonomi, con uno stoccaggio di carburante in grado di fornire energia per 48 ore a pieno carico senza fare rifornimento.
Rivelazione fumi e sistemi antincendio
Il Data Center è dotato di sistemi di rilevazione ed estinzione incendi automatico a gas inerte, innocuo per le persone e per i sistemi informatici ed impianto di rilevazione allagamento.
Sistemi di condizionamento e controllo della temperatura (Green Data Center)
Grande attenzione è stata posta nell’ottimizzazione del Data Center per quanto riguarda gli aspetti di risparmio energetico.
Tutto il sistema di condizionamento delle sale dati è realizzato con macchine ad espansione diretta di gas ad alta efficienza, collegate tra di loro in rete e ottimizzate da un sistema in grado di regolare la potenza di raffreddamento erogata. La struttura è dotata anche di sistema free-cooling. Utilizzando l’aria proveniente dall’esterno, opportunamente filtrata e corretta dal punto di vista di temperatura e umidità, è possibile ridurre al minimo l’utilizzo del sistema a pompa di calore per il raffreddamento e con esso il consumo di energia elettrica e l’impatto ambientale. Gli armadi rack che ospitano i server sono dotati di un innovativo sistema di compartimentazione dell’aria fredda che garantisce la massima efficienza energetica ed il comfort degli operatori.
Gestione backup
Tutti i backup vengono effettuati la notte e salvati giornalmente presso un server ubicato nella sede di SOGI SCUOLA SRL. I dati
Giornalmente viene effettuato un backup completo del sistema compresi tutti i file caricati ed eliminati. Questa copia viene mantenuta per 2 giorni.
Il backup giornaliero dei database viene mantenuto per 15 giorni, dal 16 giorno in poi viene mantenuta solo una copia settimanale, per un massimo di 52 settimane. Le prime 15 versioni giornaliere dei database vengono conservate anche sul server principale in modo da permettere una riattivazione rapido nel caso si presentasse un problema ai database o per consentire al cliente di creare dei punti di ripristino per verificare lo stato dei dati nei precedenti 15gg.
Disaster recovery e RTO/RPO
Il Recovery Time Objective (RTO) è il tempo che occorre per il totale recupero dell’operatività di un sistema o di un processo organizzativo in Business Critical System (quale per esempio nella fattispecie implementazioni di politiche di Disaster recovery nei Sistemi Informativi). In pratica si tratta, della massima durata tollerata o prevista del downtime. Per SOGI SCUOLA SRL l’RTO è di 24 ore.
Il Recovery Point Objective (RPO) è uno dei criteri usati nell’ambito delle policy di disaster recovery per descrivere quale possa essere la tolleranza ai guasti di un sistema informatico. Esso rappresenta il massimo tempo che deve intercorrere tra la produzione di un dato e la sua messa in sicurezza (per esempio attraverso backup) e, di conseguenza offre la misura della massima quantità di dati che il sistema può perdere a causa di guasto improvviso. Per SOGI SCUOLA SRL l’RPO è di 24 ore.