Responsabile della sicurezza di reti informatiche e della protezione di dati
ADA associate alla qualificazione
ADA.14.01.22Gestione della Sicurezza dell'Informazione
Competenze
Gestione degli aspetti legali ed amministrativi legati alla sicurezza dei sistemi informativi
Mostra abilità e conoscenzeMostra attività
Mostra abilità e conoscenzeMostra attività
Conoscenze
- Normativa in materia di privacy e sicurezza dei dati personali (D. Lgs 196/2003 e successive modificazioni),per aver un quadro completo degli obblighi e delle sanzioni previsti
- Misure di sicurezza obbligatorie previste dalle vigenti normative in materia di privacy, tutela dei dati personali e sicurezza informatica,per assicurare il rispetto della legge e ridurre i rischi di sanzioni penali ed amministrative
- Responsabilità civili e penali connesse alla violazione della sicurezza informatica,per valutare concretamente i rischi di sanzioni penali o amministrative legate alla gestione del sistema informativo
- Normative in materia di copyright, diritto d'autore e tutela del software,per assicurarne il rispetto nella gestione del sistema informativo
- Tipologie di dati personali comuni e sensibili,per valutare correttamente gli obblighi previsti dalla normativa in relazione alla tipologia di dati presenti nelle varie aree del sistema informativo
Abilità
- Minimizzarei rischi di distruzione o perdita (anche accidentale) dei dati, di accesso non autorizzato o di trattamento non consentito o non conforme ai sensi della vigente normativa su privacy e tutela dei dati, secondo quanto stabilito dal D. Lgs. 196/2003 e successive modificazioni
- Pianificaree svolgere attività di internal auditing e verifica dell'adeguatezza delle misure di sicurezza adottate per ridurre al minimo i rischi di distruzione o perdita anche accidentale dei dati, accesso non autorizzato e trattamento non consentito o non conforme alle finalità della raccolta
- Elaboraree tenere aggiornato il Documento programmatico sulla Sicurezza (DPS) secondo le scadenze previste dal D.Lgs. 196/2003 (Codice sulla Privacy)
- Verificarein caso di outsourcing di parti del sistema informativo il rispetto delle norme vigenti in relazione al trattamento dei dati personali da parte dell'outsourcer
- Definireun piano di formazione ed addestramento in materia di sicurezza informatica e di privacy per gli incaricati del trattamento dei dati personali, gli amministratori e gli utenti del sistema informativo
- Definireprocedure tecniche conformi alle normative vigenti per consentire l'accesso ai dati da parte del titolare o del responsabile del trattamento anche in assenza degli incaricati
| ADA |
|---|
ADA.14.01.22 - Gestione della Sicurezza dell'InformazioneRA1: Applicare protocolli di controllo e affrontamento di criticità relative alla sicurezza del sistema informativo, dando corso all’esecuzione di piani di ripristino in caso di crisi Controllo sistematico degli ambienti per individuare e registrare minacce , debolezze, non conformità Analisi degli asset critici dell’azienda per individuare vulnerabilità rispetto a intrusioni o attacchi Applicazione di misure di affrontamento di violazioni della sicurezza secondo i protocolli Esecuzione del piano di ripristino in caso di crisi RA2: Implementare politiche di sicurezza informativa e tendere al loro miglioramento nel tempo anche effettuando analisi comparative e realizzando audit, test e simulazioni Realizzazione auditing di sicurezza Definizione di piani di ripristino Analisi di benchmarking per il miglioramento delle procedure di gestione della sicurezza Predisposizione e utilizzo di un risk inventory Realizzazione di test della resilienza, anche di tipo simulativo |
Gestione della sicurezza e manutenzione del sistema
Mostra abilità e conoscenzeMostra attività
Mostra abilità e conoscenzeMostra attività
Conoscenze
- Tecniche di attacco e metodologie di difesa dei sistemi informativi,per ridurre le probabilità di successo dei tentativi di violazione del sistema informativo
- Sviluppo dei sistemi e delle nuove tecnologie per la sicurezza dei sistemi informativi,per valutare i possibili aggiornamenti delle misure di protezione in relazione all'evoluzione tecnologica
- Tecniche di risk management,per una corretta gestione dei rischi legati alla sicurezza del sistema informativo
- Strumenti di rafforzamento (hardening) dei servizi e dei protocolli di rete,per incrementarne la robustezza in relazione a tentativi di violazione effettivi o possibili
- Metodologie e strumenti per l'effettuazione di penetration test,per individuare le vulnerabilità del sistema informativo prima che siano sfruttate da utenti malintenzionati
- Tecniche di social engineering,per individuare preventivamente le vulnerabilità del sistema informativo ad attacchi che si basino sulle debolezze del fattore umano
Abilità
- Testareperiodicamente il funzionamento dei piani di Business Continuity e Disaster Recovery anche attraverso simulazioni di incidenti ed attacchi al sistema informativo, per valutarne la reale efficacia ed efficienza in caso di necessità
- Verificarel'aggiornamento, l'efficacia e l'efficienza del software antivirus installato per la protezione del sistema informativo
- Installarele patch di aggiornamento del sistema operativo e dei vari software di protezione del sistema informativo, dopo averne verificato l'autenticità e l'integrità
- Verificarel'effettivo rispetto di tutte le misure di sicurezza tecniche ed organizzative definite da parte di tutte le funzioni aziendali interessate
- Ripristinarerapidamente l'integrità, il corretto funzionamento ed il necessario livello di sicurezza in seguito ad una violazione tentata o riuscita della sicurezza del sistema informativo
- Controllaree bloccare il traffico interno ed esterno che costituisca una potenziale minaccia alla sicurezza del sistema informativo
- Gestireefficacemente le situazioni di crisi e di violazione del sistema informativo, riportando il sistema ad un corretto funzionamento, individuando i dati violati ed identificando se possibile gli autori della violazione
| ADA |
|---|
ADA.14.01.22 - Gestione della Sicurezza dell'InformazioneRA1: Applicare protocolli di controllo e affrontamento di criticità relative alla sicurezza del sistema informativo, dando corso all’esecuzione di piani di ripristino in caso di crisi Controllo sistematico degli ambienti per individuare e registrare minacce , debolezze, non conformità Analisi degli asset critici dell’azienda per individuare vulnerabilità rispetto a intrusioni o attacchi Applicazione di misure di affrontamento di violazioni della sicurezza secondo i protocolli Esecuzione del piano di ripristino in caso di crisi RA2: Implementare politiche di sicurezza informativa e tendere al loro miglioramento nel tempo anche effettuando analisi comparative e realizzando audit, test e simulazioni Realizzazione auditing di sicurezza Definizione di piani di ripristino Analisi di benchmarking per il miglioramento delle procedure di gestione della sicurezza Predisposizione e utilizzo di un risk inventory Realizzazione di test della resilienza, anche di tipo simulativo |
Definizione ed adozione delle misure organizzative per la sicurezza del sistema informativo
Mostra abilità e conoscenzeMostra attività
Mostra abilità e conoscenzeMostra attività
Conoscenze
- Tecniche di analisi dei costi e dei benefici dell'adozione di modelli organizzativifinalizzati all'incremento del livello di sicurezza dei sistemi informativi
- Tecniche di backup e di restore dei sistemi informativi,per creare copie di sicurezza dalle quali recuperare i dati e ripristinare la funzionalità dei programmi in caso di incidente (per guasti, malfunzionamenti, errori, manomissioni, etc.)
- Tecniche di progettazione dell'organizzazione per la sicurezza,per definire una corretta divisione delle responsabilità ed una chiara definizione delle funzioni con l'eliminazione delle possibili sovrapposizioni
- Tipologie dei possibili attacchi al sistema informativo,per predisporre per ognuna di esse le adeguate contromisure sul piano organizzativo
- Metodologie per l'organizzazione di un sistema di internal auditing,per verificare l'effettivo livello di sicurezza dei sistemi informativi
- Strumenti e tecnologie per la protezione fisica delle strutture,per assicurare la sicurezza dei locali e delle componenti del sistema informativo dai rischi ambientali connessi ad interruzioni dell'alimentazione, incidenti, danneggiamenti, calamità natura
Abilità
- Organizzareuna gestione efficace delle emergenze, con una chiara definizione dei ruoli e delle procedure ed una corretta attribuzione delle responsabilità in caso di incidente o attacco informatico
- Organizzarele procedure per il controllo dei log, degli accessi e del traffico verso l'esterno del sistema informativo
- Definiregli strumenti, l'organizzazione, i ruoli e le responsabilità per garantire una corretta gestione della sicurezza del sistema informativo
- Elaborarei piani di Disaster Recovery e Business Continuity che, in caso di incidente grave o interruzione per cause non controllabili, consentano il mantenimento o il ripristino nel più breve tempo possibile della corretta funzionalità del sistema informativo
- Programmareun piano di audit e controlli sulla sicurezza, per verificare l'effettivo livello di protezione del sistema informativo
| ADA |
|---|
ADA.14.01.22 - Gestione della Sicurezza dell'InformazioneRA1: Applicare protocolli di controllo e affrontamento di criticità relative alla sicurezza del sistema informativo, dando corso all’esecuzione di piani di ripristino in caso di crisi Controllo sistematico degli ambienti per individuare e registrare minacce , debolezze, non conformità Analisi degli asset critici dell’azienda per individuare vulnerabilità rispetto a intrusioni o attacchi Applicazione di misure di affrontamento di violazioni della sicurezza secondo i protocolli Esecuzione del piano di ripristino in caso di crisi RA2: Implementare politiche di sicurezza informativa e tendere al loro miglioramento nel tempo anche effettuando analisi comparative e realizzando audit, test e simulazioni Realizzazione auditing di sicurezza Definizione di piani di ripristino Analisi di benchmarking per il miglioramento delle procedure di gestione della sicurezza Predisposizione e utilizzo di un risk inventory Realizzazione di test della resilienza, anche di tipo simulativo |
Progettazione ed implementazione delle misure tecniche per la sicurezza del sistema informativo
Mostra abilità e conoscenzeMostra attività
Mostra abilità e conoscenzeMostra attività
Conoscenze
- Caratteristiche e funzionalità dei proxy,per controllare le connessioni e il traffico TCP/IP da client a server in modo da impedire intrusioni e violazioni del sistema informativo
- Sistemi di autorizzazione degli accessi al sistema informativo,per assicurare l'accesso degli utenti autenticati soltanto ad aree predefinite del sistema
- Tipologie e logiche di funzionamento dei programmi informatici creati per la violazione o il danneggiamento dei sistemi informativi (virus, worm, Trojan, malware, ecc...)
- Caratteristiche e funzionalità dei programmi informatici di network scanning ed intrusion detection,per individuare e neutralizzare i tentativi di accesso non autorizzato al sistema informativo
- Caratteristiche e funzionalità dei firewall,per controllare il traffico fra due o più reti, permettendo solo quello autorizzato e rilevando e segnalando eventuali tentativi di violazione delle politiche di sicurezza definite
- Tipologie e caratteristiche degli attacchi al sistema informativo a livello di IP, TCP/UDP, protocollo applicativo, applicazione, utente,per operare una corretta configurazione del sistema di protezione e del firewall, in modo da prevenire e controllare l
Abilità
- Definireprofili di accesso selettivi, individuali o per gruppi omogenei, basati su effettive necessità operative o su autorizzazioni preventivamente approvate
- Definirele credenziali di autenticazione per l'identificazione degli utenti autorizzati ad accedere al sistema informativo, prevedendo l'utilizzo delle tecniche più appropriate (user-id, password, smart card, sistemi biometrici, ecc...)
- Installaree configurare un proxy, per garantire la sicurezza, la riservatezza e l'integrità delle connessioni tra client e server
- Installaree configurare sistemi di autenticazione, autorizzazione e controllo degli accessi che garantiscano la sicurezza del sistema informativo senza creare difficoltà agli utenti autorizzati
- Utilizzareprogrammi di crittografia e cifratura per la protezione dei dati contenuti nel sistema informativo e delle comunicazioni con l'esterno
- Installaree configurare un efficace ed efficiente software antivirus per l'individuazione e la rimozione dei programmi informatici finalizzati alla violazione o al danneggiamento del sistema informativo
- Rafforzarel'architettura della rete con la creazione di Zone Demilitarizzate (DMZ), per la protezione della rete informatica e del sistema informativo dai tentativi di attacco e violazione provenienti dall'esterno
| ADA |
|---|
ADA.14.01.22 - Gestione della Sicurezza dell'InformazioneRA1: Applicare protocolli di controllo e affrontamento di criticità relative alla sicurezza del sistema informativo, dando corso all’esecuzione di piani di ripristino in caso di crisi Controllo sistematico degli ambienti per individuare e registrare minacce , debolezze, non conformità Analisi degli asset critici dell’azienda per individuare vulnerabilità rispetto a intrusioni o attacchi Applicazione di misure di affrontamento di violazioni della sicurezza secondo i protocolli Esecuzione del piano di ripristino in caso di crisi RA2: Implementare politiche di sicurezza informativa e tendere al loro miglioramento nel tempo anche effettuando analisi comparative e realizzando audit, test e simulazioni Realizzazione auditing di sicurezza Definizione di piani di ripristino Analisi di benchmarking per il miglioramento delle procedure di gestione della sicurezza Predisposizione e utilizzo di un risk inventory Realizzazione di test della resilienza, anche di tipo simulativo |
Analisi dei rischi per la sicurezza del sistema informativo
Mostra abilità e conoscenzeMostra attività
Mostra abilità e conoscenzeMostra attività
Conoscenze
- Architettura hardware e software dei sistemi di elaborazione elettronica,con particolare riferimento ai punti di forza e di debolezza in relazione alle esigenze di sicurezza e protezione dei dati
- Fondamenti teorici della sicurezza dei sistemi informativi,per operare una corretta valutazione dei rischi legati alle componenti hardware e software del sistema
- Protocolli, connessioni e apparecchiature di rete,per analizzare i rischi per la sicurezza legati alle componenti del sistema informativo dedicate al networking
- Tipologia delle potenziali minacce all'integrità, riservatezza e disponibilità delle informazioni e delle risorse di un sistema informativo o di una rete,per analizzare i relativi rischi
- Metodologie di analisi dei rischi per la sicurezza di un sistema informativo,per quantificare la probabilità che una minaccia sfrutti una vulnerabilità per portare un attacco al sistema
Abilità
- Interagirein maniera efficace con i responsabili dei vari livelli decisionali, comunicando in maniera rapida e chiara gli elementi decisivi per le scelte strategiche in materia di sicurezza dei sistemi informativi
- Analizzarel'architettura del sistema informativo per individuare i possibili punti di attacco al sistema o alle informazioni in esso contenute
- Analizzarei requisiti richiesti al sistema informativo dalle previsioni normative vigenti in materia di privacy e sicurezza informatica
- Individuarele vulnerabilità dell'architettura, delle apparecchiature hardware, del software e dei processi di gestione del sistema informativo, per individuare quelle che possono essere sfruttate per portare con successo un attacco informatico
- Elaborareun documento con la valutazione dei rischi per la sicurezza del sistema informativo, contenente l'analisi delle minacce e delle vulnerabilità individuate e delle possibili contromisure
| ADA |
|---|
ADA.14.01.22 - Gestione della Sicurezza dell'InformazioneRA1: Applicare protocolli di controllo e affrontamento di criticità relative alla sicurezza del sistema informativo, dando corso all’esecuzione di piani di ripristino in caso di crisi Controllo sistematico degli ambienti per individuare e registrare minacce , debolezze, non conformità Analisi degli asset critici dell’azienda per individuare vulnerabilità rispetto a intrusioni o attacchi Applicazione di misure di affrontamento di violazioni della sicurezza secondo i protocolli Esecuzione del piano di ripristino in caso di crisi RA2: Implementare politiche di sicurezza informativa e tendere al loro miglioramento nel tempo anche effettuando analisi comparative e realizzando audit, test e simulazioni Realizzazione auditing di sicurezza Definizione di piani di ripristino Analisi di benchmarking per il miglioramento delle procedure di gestione della sicurezza Predisposizione e utilizzo di un risk inventory Realizzazione di test della resilienza, anche di tipo simulativo |
