061008-cellucci-cai Continuiamo la serie dedicata alle normative che impongono requisiti di “compliance”. Dopo aver visto le problematiche relative all’analisi dei rischi (in generale [1], per le assicurazioni [2] e relative alla 231/2001 [3]) e gli obblighi per le SGR [4] passiamo a quanto richiesto per la per la Centrale d’Allarme Interbancaria (CAI).

Premessa

Definire le politiche per la sicurezza del sistema informativa della CAI;
Definire i confini del sistema informativo della CAI in termini di struttura organizzativa, collocazione fisica, risorse e tecnologie;
Analizzare adeguatamente i rischi in modo da identificare le minacce alle risorse, le vulnerabilità e gli impatti sull’ente segnalante privato e quindi determinare il livello di rischio globale;
Selezionare dall’elenco previsto (realizzato utilizzando le specifiche ISO/IEC 17799: 2000 come riferimento) i controlli ritenuti appropriati. Tali controlli non sono esaustivi e ulteriori controlli possono essere individuati.
Redigere un documento che spieghi le ragioni che hanno portato alla scelta di ogni singolo controllo selezionato, in termini di risorse da proteggere a fronte di minacce e vulnerabilità. In questo documento devono essere indicate le ragioni che hanno indotto all’eventuale esclusione di alcuni controlli.

Check list CAI

Sono state definite politiche per la sicurezza di sicurezza per la CAI (la policy)?
La policy è stata approvata dalla Direzione?
La policy è stata resa pubblica agli interessati?
È stata fatta la formazione sulla policy?
La policy è stata rivista ed eventualmente aggiornata annualmente?

In che modo sono stati definiti i confini del sistema informativo della CAI (i confini)?
I confini prevedono altre applicazioni ed archivi soggetti a particolari requisiti (ad esempio: antiriciclaggio, segnalazioni antiterrorismo, archivi contenenti dati sensibili per la privacy)?
I confini sono stati rivisti ed eventualmente aggiornati annualmente?

È stata utilizzata la lista dei controlli basati sulla lista delle specifiche ISO/IEC 17799: 2000 (la lista)? Se no, quale altra lista è stata utilizzata?
Sono stati selezionati ulteriori controlli oltre a quelli previsti dalla lista?
Ci sono controlli previsti dalla lista che non sono stati selezionati? Se sì perché?
Annualmente è stata rivista la lista dei controlli selezionati?

È stata redatto, annualmente, un documento che spiega le motivazioni per cui alcuni controlli della lista non sono stati selezionati?
Il documento è stato reso noto alla Direzione?