Primo OWASP Day per la PA
Il 5 Novembre 2009 si è tenuto nell'Auditorium di Via Rieti a Roma il primo OWASP Day per la PA organizzato appunto da OWASP e CONSIP. Devo dire che sono rimasto impressionato per il numero di partecipanti, a occhio e croce circa una sessantina di rappresentanti delle varie PA, locali o centrali e SpA collegate.
Gli speaker, tutti di notevole spessore tecnico, hanno illustrato non solo cosa sia l'Application Security e la Software Security, ma anche come queste tematiche stiano diventando di interesse per la PA e come questa possa e debba gestirle. La PA infatti è uno dei principali motori di outsourcing, almeno nel Lazio, e spesso si trova a confrontarsi con prodotti software sviluppati da società private. E' quindi chiaro che anche una garanzia sulla sicurezza del software comincia a divenire estremamente importante, vista anche l'esposizione delle stesse PA sul Web con applicazioni Web sempre più pervasive e esposte all'esterno.
Matteo Meucci, responsabile del capitolo italiano di OWASP e navigato evangelist della sicurezza delle applicazioni Web, con estrema efficacia introduce i concetti chiave della sicurezza del software. Concetti necessari alla platea per comprendere più a fondo gli interventi successivi. Ovviamente non poteva mancare l'illustrazione delle "guide" gratuite di OWASP che costituiscono insieme alla vasta community l'assett fondamentale. Di seguito un breve elenco delle guide per stimolare la vostra curiosità:
Segue Matteo Cavallini di CONSIP con l'interessante esperienza della ULS (Unità Locale di Sicurezza) in CONSIP. Una sorta di CERT CONSIP operante per la stessa e per il Ministero del Tesoro. Cavallini illustra in modo chiaro il ruolo della ULS e di come questa approcci la sicurezza applicativa sia in una fase preventiva che reattiva. Interessante il suo punto sulla gestione degli outsourcer con linee guida di sviluppo sicuro da inserire nella contrattualistica: obbligare i fornitori a seguire le linee guida di sviluppo sicuro per non incorrere in penali.
Successivamente l'intervento di Marco Morana, Citygroup, chiarisce l'importanza della sicurezza applicativa in grandi realtà come appunto Citygroup. Come al solito Morana, che ho avuto la fortuna di sentire in altre occasioni, offre un punto di vista estremamente equilibrato frutto di una grandissima esperienza. Riassumerei il suo contributo essenziale in questo speech con la frase "Esperti di Software Security non possono che essere dei developer". Ovviamente non è un se e solo se.
A seguire l'inossidabile "think-tank" Mario Fontana ha introdotto per Microsoft le architetture federate e i nuovi meccanismi di autenticazione e autorizzazione in queste realtà. Che dire: bravissimo. Il suo contributo? Con le architetture federate e i token di sicurezza togliamo dalle mani dei developer l'onere di implementare i meccanismi di autenticazione e autorizzazione. Quindi standardizzazione dei metodi, controllo centrale a livello di configurazione, mai più soluzioni fatte in casa. In sostanza l'evoluzione del SSO con tecnologie che oggi sono mature e pronte anche per il Cloud Computing.
Per finire lo speech di Tommaso Palumbo, digente dello CNAIPIC, che ha fatto un intervento di sicurezza orientato alle attività della Polizia Postale.
Al termine una piccola tavola rotonda con qualche domanda dalla platea in cui i diversi speaker, portando le loro esperienze, hanno quantificato dietro esplicita richiesta della platea, l'effort di aggiungere la software security nel processo di sviluppo delle applicazioni. Tutti unanimi: si parla di circa un 10%.
In conclusione una bella iniziativa che non può che far bene alla PA, centrale e locale, che così ha la possibilità di essere attrice nei processi di sicurezza applicativa senza rimanere passiva all'assalto delle svariate società private che vedono in questo nuovo ambito, spesso, solo un modo per offrire servizi. Una PA consapevole e driver di requisiti di sicurezza applicativa non possono che spingere anche il privato a divenire più maturo anche in questo settore. I tecnici della PA anche sono richiamati ad una maggiore attenzione rispetto a queste tematiche che oggi non possono essere più trascurate; se non da developer almeno da tester.
Commenti
Posta un commento