Entity Suspension - Cronologia

Vaghetti@garr.it il 10:05, 7 apr 2020

2020-04-07T10:05:44Z

← Versione meno recente		Versione delle 12:05, 7 apr 2020
Riga 3:		Riga 3:
	The Service, acting on behalf of the IDEM Federation, will suspend an entity in the cases provided by the [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf\|IDEM Participation Rules]], that is when the entity ''cannot comply with the [technical] requirements, does not abide by the rules provided here [in the IDEM Participation Rules document] or harms, unintentionally or not, to the Federation or third parties'' (see section 4.1.1 and 4.1.2 of the IDEM Participation Rules).		The Service, acting on behalf of the IDEM Federation, will suspend an entity in the cases provided by the [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf\|IDEM Participation Rules]], that is when the entity ''cannot comply with the [technical] requirements, does not abide by the rules provided here [in the IDEM Participation Rules document] or harms, unintentionally or not, to the Federation or third parties'' (see section 4.1.1 and 4.1.2 of the IDEM Participation Rules).

	~~La Federazione~~ IDEM, ~~tramite il Servizio~~, ~~può sospendere un'entità nei casi previsti dalle [[:File:Norme di partecipazione alla Federazione IDEM v 1~~.6.pdf\|Norme di Partecipazione]], ovvero quando questa ''non sia in grado di soddisfare i requisiti [tecnici] richiesti, non rispetti le regole previste dal presente documento [le Norme di Partecipazione stesse] o arrechi danno, anche involontariamente, o per negligenza, alla Federazione e/o a terzi'' (vedi [[:File:~~Norme di partecipazione alla Federazione IDEM v 1.6.pdf\|Norme di Partecipazione]], sez. 4.1.1 e 4.1.2).~~		On the base of the IDEM Participation Rules and complementing them, the Service defined two suspension procedures, an ordinary one and an urgent one. Both the procedures are enacted only if the set off event is substantially hindering the consuming of authentication and resource access services, or if it exposes services to cyber threats. Examples of the above events are:

	Sulla base di quanto previsto nelle [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf\|Norme di Partecipazione]] e a loro complemento, il Servizio prevede due procedure di sospensione, una ordinaria ed una d'urgenza. Entrambe le procedure sono attuate solo quando l'evento scatenante ostacola in modo sostanziale la fruizione dei servizi di autenticazione e di accesso alle risorse o espone i servizi a minacce informatiche. Esempi di tali eventi sono:

	* Errata configurazione dello stream di metadata della Federazione IDEM o di eduGAIN con conseguente impossibilità per gli utenti di accedere ai servizi.		'''###########################################################################'''
	* Mancato aggiornamento dei software su cui sono basati i servizi in presenza di vulnerabilità note con conseguenti pericoli reali per dati personali o riservati.
	* Mancato rispetto dei requisiti tecnici delle entity category dichiarate con conseguente impossibilità per gli utenti di accedere ai servizi.

			<br />

			*Errata configurazione dello stream di metadata della Federazione IDEM o di eduGAIN con conseguente impossibilità per gli utenti di accedere ai servizi.
			*Mancato aggiornamento dei software su cui sono basati i servizi in presenza di vulnerabilità note con conseguenti pericoli reali per dati personali o riservati.
			*Mancato rispetto dei requisiti tecnici delle entity category dichiarate con conseguente impossibilità per gli utenti di accedere ai servizi.

	Nei casi in cui l'evento ostacoli la fruizione di più di un servizio, o riguardi una platea di utenti appartenenti a più di una comunità, il Servizio potrà procedere con la sospensione d'urgenza. Il Servizio potrà ricorrere alla procedura di sospensione d'urgenza anche quando, fatte salve le procedure relative agli incidenti di sicurezza concordate con GARR CERT, l'evento comporti potenziali danni verso terzi, la diffusione di dati personali o non autorizzati.		Nei casi in cui l'evento ostacoli la fruizione di più di un servizio, o riguardi una platea di utenti appartenenti a più di una comunità, il Servizio potrà procedere con la sospensione d'urgenza. Il Servizio potrà ricorrere alla procedura di sospensione d'urgenza anche quando, fatte salve le procedure relative agli incidenti di sicurezza concordate con GARR CERT, l'evento comporti potenziali danni verso terzi, la diffusione di dati personali o non autorizzati.

	=== Procedura di sospensione ordinaria ===		===Procedura di sospensione ordinaria===

	* Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''2 giorni''' '''lavorativi'''.		*Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''2 giorni''' '''lavorativi'''.
	* Se entro '''2 giorni lavorativi''' dalla segnalazione il problema non viene risolto, il Servizio invia una nuova segnalazione all'amministratore dell'entità ed ai responsabili tecnico (RTM) ed organizzativo (ROM) dell'ente indicando il tempo di risoluzione di '''4 giorni lavorativi'''.		*Se entro '''2 giorni lavorativi''' dalla segnalazione il problema non viene risolto, il Servizio invia una nuova segnalazione all'amministratore dell'entità ed ai responsabili tecnico (RTM) ed organizzativo (ROM) dell'ente indicando il tempo di risoluzione di '''4 giorni lavorativi'''.
	* Se entro '''4 giorni lavorativi''' dalla seconda segnalazione il problema non viene risolto, il Servizio sospende totalmente o parzialmente (vedi sotto) la pubblicazione dei metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.		*Se entro '''4 giorni lavorativi''' dalla seconda segnalazione il problema non viene risolto, il Servizio sospende totalmente o parzialmente (vedi sotto) la pubblicazione dei metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.
	** Nel caso in cui la violazione riguardi esclusivamente eduGAIN, la sospensione della pubblicazione è limitata ad eduGAIN.		**Nel caso in cui la violazione riguardi esclusivamente eduGAIN, la sospensione della pubblicazione è limitata ad eduGAIN.
	** Su richiesta motivata dell'amministratore dell'entità ed in caso di violazioni con limitati effetti nei confronti di terzi, il Servizio può concordare tempi di risoluzione più lunghi.		**Su richiesta motivata dell'amministratore dell'entità ed in caso di violazioni con limitati effetti nei confronti di terzi, il Servizio può concordare tempi di risoluzione più lunghi.
	* Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]]. In caso di sola sospensione da eduGAIN, l'entità dovrà comunque essere nuovamente registrata per poter accedere ad eduGAIN.		*Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]]. In caso di sola sospensione da eduGAIN, l'entità dovrà comunque essere nuovamente registrata per poter accedere ad eduGAIN.

	=== Procedura di sospensione d'urgenza ===		===Procedura di sospensione d'urgenza===

	* Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''6 ore'''.		*Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''6 ore'''.
	* Se entro '''6 ore''' dalla segnalazione il problema non viene risolto, il Servizio rimuove i metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.		*Se entro '''6 ore''' dalla segnalazione il problema non viene risolto, il Servizio rimuove i metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.
	* Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]].		*Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]].

	=== Procedura di ripristino ===		===Procedura di ripristino===
	A partire dal momento della risoluzione del problema il Servizio procede al ripristino della pubblicazione dei metadata dell'entità sospesa nel più breve tempo possibile, e comunque non oltre 2 giorni lavorativi. Il problema che ha dato origine alla sospensione è considerato risolto una volta che '''tutte''' le condizioni che seguono sono rispettate:		A partire dal momento della risoluzione del problema il Servizio procede al ripristino della pubblicazione dei metadata dell'entità sospesa nel più breve tempo possibile, e comunque non oltre 2 giorni lavorativi. Il problema che ha dato origine alla sospensione è considerato risolto una volta che '''tutte''' le condizioni che seguono sono rispettate:

	* l'amministratore dell'entità ha comunicato l'avvenuta risoluzione del problema segnalato dal Servizio.		*l'amministratore dell'entità ha comunicato l'avvenuta risoluzione del problema segnalato dal Servizio.
	* il Servizio ha potuto verificare l'effettiva risoluzione o ha ricevuto sufficienti evidenze tecniche da parte dell'amministratore.		*il Servizio ha potuto verificare l'effettiva risoluzione o ha ricevuto sufficienti evidenze tecniche da parte dell'amministratore.
	*		*

Vaghetti@garr.it: Creata pagina con "The procedures described here are meant to show how and in which cases the IDEM GARR AAI Service (from now on, just Service) will suspend the publication of the metadata of an..."

2020-04-07T09:40:20Z

Creata pagina con "The procedures described here are meant to show how and in which cases the IDEM GARR AAI Service (from now on, just Service) will suspend the publication of the metadata of an..."

Nuova pagina

The procedures described here are meant to show how and in which cases the IDEM GARR AAI Service (from now on, just Service) will suspend the publication of the metadata of an entity in the IDEM Federation and in the inter-federation service eduGAIN.

The Service, acting on behalf of the IDEM Federation, will suspend an entity in the cases provided by the [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf|IDEM Participation Rules]], that is when the entity ''cannot comply with the [technical] requirements, does not abide by the rules provided here [in the IDEM Participation Rules document] or harms, unintentionally or not, to the Federation or third parties'' (see section 4.1.1 and 4.1.2 of the IDEM Participation Rules).

La Federazione IDEM, tramite il Servizio, può sospendere un'entità nei casi previsti dalle [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf|Norme di Partecipazione]], ovvero quando questa ''non sia in grado di soddisfare i requisiti [tecnici] richiesti, non rispetti le regole previste dal presente documento [le Norme di Partecipazione stesse] o arrechi danno, anche involontariamente, o per negligenza, alla Federazione e/o a terzi'' (vedi [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf|Norme di Partecipazione]], sez. 4.1.1 e 4.1.2).

Sulla base di quanto previsto nelle [[:File:Norme di partecipazione alla Federazione IDEM v 1.6.pdf|Norme di Partecipazione]] e a loro complemento, il Servizio prevede due procedure di sospensione, una ordinaria ed una d'urgenza. Entrambe le procedure sono attuate solo quando l'evento scatenante ostacola in modo sostanziale la fruizione dei servizi di autenticazione e di accesso alle risorse o espone i servizi a minacce informatiche. Esempi di tali eventi sono:

* Errata configurazione dello stream di metadata della Federazione IDEM o di eduGAIN con conseguente impossibilità per gli utenti di accedere ai servizi.
* Mancato aggiornamento dei software su cui sono basati i servizi in presenza di vulnerabilità note con conseguenti pericoli reali per dati personali o riservati.
* Mancato rispetto dei requisiti tecnici delle entity category dichiarate con conseguente impossibilità per gli utenti di accedere ai servizi.

Nei casi in cui l'evento ostacoli la fruizione di più di un servizio, o riguardi una platea di utenti appartenenti a più di una comunità, il Servizio potrà procedere con la sospensione d'urgenza. Il Servizio potrà ricorrere alla procedura di sospensione d'urgenza anche quando, fatte salve le procedure relative agli incidenti di sicurezza concordate con GARR CERT, l'evento comporti potenziali danni verso terzi, la diffusione di dati personali o non autorizzati.

=== Procedura di sospensione ordinaria ===

* Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''2 giorni''' '''lavorativi'''.
* Se entro '''2 giorni lavorativi''' dalla segnalazione il problema non viene risolto, il Servizio invia una nuova segnalazione all'amministratore dell'entità ed ai responsabili tecnico (RTM) ed organizzativo (ROM) dell'ente indicando il tempo di risoluzione di '''4 giorni lavorativi'''.
* Se entro '''4 giorni lavorativi''' dalla seconda segnalazione il problema non viene risolto, il Servizio sospende totalmente o parzialmente (vedi sotto) la pubblicazione dei metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.
** Nel caso in cui la violazione riguardi esclusivamente eduGAIN, la sospensione della pubblicazione è limitata ad eduGAIN.
** Su richiesta motivata dell'amministratore dell'entità ed in caso di violazioni con limitati effetti nei confronti di terzi, il Servizio può concordare tempi di risoluzione più lunghi.
* Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]]. In caso di sola sospensione da eduGAIN, l'entità dovrà comunque essere nuovamente registrata per poter accedere ad eduGAIN.

=== Procedura di sospensione d'urgenza ===

* Il Servizio segnala il problema all'amministratore dell'entità e comunica il tempo di risoluzione di '''6 ore'''.
* Se entro '''6 ore''' dalla segnalazione il problema non viene risolto, il Servizio rimuove i metadata dell'entità dal servizio di distribuzione dei metadata di Federazione.
* Se entro '''3 mesi''' dalla segnalazione il problema non viene risolto, la sospensione si tramuta in '''rimozione permanente''' e l'entità deve essere nuovamente registrata nella Federazione IDEM seguendo le procedure indicate in [[ProcedureAdesione#Registrazione servizi]].

=== Procedura di ripristino ===
A partire dal momento della risoluzione del problema il Servizio procede al ripristino della pubblicazione dei metadata dell'entità sospesa nel più breve tempo possibile, e comunque non oltre 2 giorni lavorativi. Il problema che ha dato origine alla sospensione è considerato risolto una volta che '''tutte''' le condizioni che seguono sono rispettate:

* l'amministratore dell'entità ha comunicato l'avvenuta risoluzione del problema segnalato dal Servizio.
* il Servizio ha potuto verificare l'effettiva risoluzione o ha ricevuto sufficienti evidenze tecniche da parte dell'amministratore.
*