L’Agenzia per la Cybersecurity Nazionale ha pubblicato quattro linee guida per l’applicazione dello schema europeo di certificazione di prodotto per la cyber security.
Le linee guida definiscono le modalità operative per le attività di vigilanza nazionale e di autorizzazione dell’OCSI, organismo di certificazione della sicurezza informatica e dei laboratori di valutazione della sicurezza a svolgere valutazioni e certificazioni al livello di garanzia elevato nell’ambito delle nuove regole europee armonizzate del sistema europeo di certificazione della cyber security EUCC attuato in Italia.
Si evidenzia che, per gli eventuali aspetti non trattati dalla presente linea guida che dovessero rientrare nell’ambito della stessa, si applicano le disposizioni contenute nel regolamento di esecuzione dell’EUCC.
Indice degli argomenti
Chi emette i certificati di prodotto per la cyber security
I certificati EUCC per i prodotti TIC sono emessi sul territorio nazionale dai seguenti soggetti: per il livello di garanzia elevato dall’OCSI, per il livello di garanzia sostanziale da un qualsiasi organismo di certificazione accreditato.
La mappa dei rischi Cyber in Italia: scopri lo scenario per il 2025
I certificati EUCC per profili di protezione sono emessi sul territorio nazionale dai seguenti soggetti: per il livello di garanzia elevato dall’OCSI, per il livello di garanzia sostanziale dall’OCSI o da un qualsiasi organismo di certificazione accreditato pubblico. La pubblicazione sul sito web dell’ENISA dei certificati emessi sul territorio nazionale è riservata all’Agenzia.
L’Agenzia rilascerà i certificati di cyber security con livello di affidabilità elevato tramite l’Organismo di Certificazione della Sicurezza Informatica (OCSI).
Le certificazioni di prodotto di cyber security esistono in Italia da oltre venti anni. Fin dal 1995 esiste in Italia uno schema per la certificazione della sicurezza di sistemi/prodotti ICT, utilizzabile esclusivamente nell’ambito della sicurezza nazionale (sistemi/prodotti ICT che trattano informazioni classificate).
Nel 2003, con la creazione dell’OCSI presso l’ISCOM, Istituto Superiore delle Comunicazioni e delle Tecnologie dell’Informazione, è stato istituito un secondo Schema Nazionale idoneo a fornire servizi di certificazione a tutti i settori che non afferiscono a tale contesto. La struttura degli Schemi è basata sugli standard di riferimento Common Criteria ed ITSEC.
Fino ad ora le certificazioni OCSI seguivano i livelli 1-7 dei common criteria internazionali, ma tipicamente lavoravano i livelli da 1 a 4, mentre l’Autorità Nazionale della Sicurezza del DIS certifica i livelli più alti tipicamente usati per gli apparati che trattano dati classificati.
L’OCSI era poi parte del SOG-IS MRA (Senior Officials Group – Information Systems Security, Mutual Recognition Agreement), alleanza internazionale per il mutuo riconoscimento dei certificati di sicurezza nazionali per prodotti e sistemi ICT basati su Common Criteria e ITSEC.
Ora è l’Europa che deve rinegoziare il mutuo riconoscimento presso il SOG-IS dell’EUCC e gli Stati Membri, come noi, hanno perso la prerogativa acquisita.
Com’è cambiata la postura cyber dell’Italia
La riunione di OCSI e CVCN sotto l’egida della ACN è stata un traguardo importante per la postura italiana di cyber security.
La certificazione di prodotto potrà diventare lo standard di stabilizzazione e consolidamento della disciplina della cyber security, esattamente come ha fatto nel mercato in ottica di safety e di sicurezza chimica e biologica dei prodotti di qualsiasi genere.
L’obbligatorietà porterà nuove abitudini e si diffonderà grazie al mercato della supply chain e delle forniture, dando vita a nuovi standard e a nuove professionalità.
Questo è il disegno della Unione Europea perseguito con tutte le attività relative agli standard di certificazione di cyber security e questo sarà il nostro panorama di sicurezza dei prossimi dieci anni.
Una cyber security professionale e standardizzata, non più appannaggio di pochi eletti, ma dilagante, diffusa e condivisa.
Prioritario definire schemi di certificazione
Nell’ambito del percorso avviato per la valutazione e la certificazione dei prodotti, percorso che, in Italia, trova nel CVCN e nell’OCSI i propri elementi cardine, è necessario promuovere la tempestività della definizione degli schemi di certificazione sia a livello nazionale che a livello europeo.
Il terzo decennio di questo millennio sarà sicuramente dedicato, in tema di cyber security, alla standardizzazione e alla individuazione di tecniche di valutazione e certificazione che rendano la sicurezza “minima” misurabile e comprovabile.
L’Europa ha intrapreso un cammino ambizioso in questo senso, prevedendo di identificare un metodo di certificazione per ogni tecnologia (non solo uno schema generale, ma schemi specifici per il 5G, la crittografia, il cloud, l’IoT ecc.) e per ogni settore specifico (dall’automotive al sanitario).
Lo stato dell’arte vede attualmente lo schema generale, lo schema sul 5G e lo schema sul cloud.
Proteggi la tua infrastruttura IT dai cyber-attacchi, scopri come!
