Piano di Progetto - WP3.1 ¶

Analisi trasversale delle tecnologie per garantire cybersecurity by design ¶

Executive Summary ¶

Il Work Package 3.1 del progetto FUTURO si propone di modernizzare e mettere in sicurezza l'infrastruttura IDMS 3.x / NeuRAIL Framework attraverso un approccio security by design e l'aggiornamento completo dello stack tecnologico.

Obiettivi Chiave ¶

1. 🔒 Cybersecurity by Design: Implementare controlli di sicurezza conformi a NIS2 e ISO/IEC 27001:2022
2. 🚀 Modernizzazione Stack: Migrare da Python 3.7 (EOL) e Debian 2021 a Python 3.13 e Debian 12
3. 📊 Performance: Migliorare performance con nuove tecnologie (polars/dask) e stack ottimizzato
4. 📋 Compliance: Istituire ISMS ISO 27001 con controlli tracciabili e audit ready

Risultati Attesi ¶

• ✅ Riduzione ≥50% vulnerabilità CVE grazie ad upgrade stack
• ✅ Miglioramento ≥20% performance elaborazione dati
• ✅ 0 credenziali in chiaro, 100% gestite da Secret Manager
• ✅ ISMS attivo con SoA completo e controlli implementati
• ✅ MTTD <15 min, MTTR <4h per incidenti critici

Timeline e Risorse ¶

• Durata: 8 mesi (1 Agosto 2025 - 31 Marzo 2026)
• Sprint: 9 sprint da 3 settimane
• Ore totali: 1.312h
• Finanziamento: Ore uomo da progetto FUTURO

Indice ¶

1. Informazioni Generali
2. Obiettivi del Progetto
3. Ambito e Deliverable
4. Organizzazione del Progetto
5. Timeline e Milestone
6. Risorse e Team
7. Architettura e Tecnologie
8. Gestione Rischi
9. Governance e Comunicazione
10. Criteri di Successo

Informazioni Generali ¶

Identificazione Progetto ¶

Date Chiave ¶

Contesto ¶

Il progetto WP3.1 si inserisce nel contesto del finanziamento pubblico FUTURO e si articola in due sotto-progetti:

• WP3.1.1: Tecnologie e soluzioni innovative di Industrial IoT security
• WP3.1.2: Progettazione infrastruttura per gestione e manipolazione dei dati

Il sistema IDMS 3.x (Internal Data Management System) è attualmente basato su tecnologie datate (Python 3.7 EOL, Debian ~2021) con necessità di:

• Aggiornamento per sicurezza e compliance
• Miglioramento performance
• Adeguamento a normative NIS2 e ISO 27001

Obiettivi del Progetto ¶

Obiettivi Principali (O1-O11) ¶

Il progetto persegue 11 obiettivi di alto livello, ciascuno con metriche di successo verificabili:

O-1: Gestione Sicura Credenziali e Autenticazione ¶

• Eliminare credenziali in chiaro (100% in Secret Manager)
• Rotazione automatica con audit trail
• PKI interna per certificati
• MFA su accessi amministrativi
• JWT per API, certificati client per MQTT

KPI: 0 credenziali in chiaro; 100% segreti gestiti; rotazione ≤90gg

O-2: Crittografia End-to-End ¶

• TLS 1.3 forzato su tutti i canali
• TDE (Transparent Data Encryption) su database
• Server-side encryption su storage
• Backup crittografati con chiavi separate

KPI: 100% traffico TLS 1.3; 100% dati a riposo crittografati

O-3: Controllo Accessi (Privilegio Minimo) ¶

• RBAC coerente su tutti componenti
• Row-Level Security (RLS) su database
• Segmentazione rete (VLAN)
• Whitelist IP per admin

KPI: 100% servizi con RBAC; riduzione ≥80% misconfigurazioni

O-4: Monitoraggio, Logging e Incident Response ¶

• SIEM centralizzato con copertura ≥95%
• Alerting e correlazione eventi
• IDS/IPS su segmenti critici
• Playbook incident response testati

KPI: MTTD <15 min; MTTR <4h; copertura log ≥95%

O-5: Sicurezza di Rete e Perimetro ¶

• WAF per applicazioni esposte
• Rate limiting e protezioni DDoS
• Topic ACL MQTT granulari
• Micro-segmentazione VLAN

KPI: Riduzione ≥90% traffico laterale non autorizzato

O-6: Hardening OS, Applicazioni e Container ¶

• SELinux/AppArmor attivi
• Patching automatico con SLA
• Container security (non-root, scanning)
• Secure coding practices

KPI: Riduzione ≥70% CVE; 0 container root

O-7: Compliance, Governance, Documentazione ¶

• Allineamento ISO 27001, NIST CSF, OWASP
• Conformità GDPR
• Documentazione e SOP aggiornate
• Formazione continua team

KPI: 0 non-conformità maggiori; copertura formazione ≥90%

O-8: Priorità e Roadmap Implementazione ¶

• Priorità Alta (immediata): Secret management, TDE, RBAC, SIEM
• Priorità Media (3-6 mesi): MFA, hardening, IR
• Roadmap iterativa con review milestone

O-9: Misurazione e Miglioramento Continuo ¶

• KPI sicurezza tracciati (MTTD, MTTR, coverage, patching)
• Dashboard e review trimestrali
• Post-mortem incidenti con azioni correttive

KPI: Dashboard attive 24/7; ≥4 review/anno

O-10: Allineamento NIS2 e ISO 27001 ¶

• ISMS conforme ISO/IEC 27001:2022
• Statement of Applicability (SoA) completo
• Risk assessment annuale con treatment plan
• Controlli NIS2 (incident reporting, supply chain, BC/DR)
• Penetration test annuale

KPI: ISMS attivo; SoA 100%; incident reporting ≤72h; ≥1 pentest/anno

O-11: Modernizzazione Stack Tecnologico ⭐ ¶

• Migrazione Python 3.7 → 3.13 (con dipendenze aggiornate)
• Upgrade Debian ~2021 → Debian 12 Bookworm
• Aggiornamento PostgreSQL, TimescaleDB, Redis, MQTT
• Valutazione polars/dask per performance
• Test suite completo (coverage ≥85%)

KPI: 100% codice Python 3.13 compatibile; riduzione ≥50% CVE; miglioramento ≥20% performance

Ambito e Deliverable ¶

In Scope ¶

WP3.1.1: Industrial IoT Security ¶

• ✅ Secret management (HashiCorp Vault)
• ✅ PKI interna per certificati IoT
• ✅ Autenticazione MQTT con certificati client
• ✅ Crittografia canali comunicazione (TLS 1.3)
• ✅ Topic ACL MQTT granulari
• ✅ IDS/IPS su segmenti IoT

WP3.1.2: Infrastruttura Gestione Dati ¶

• ✅ Modernizzazione stack Python/OS/database
• ✅ TDE su PostgreSQL/TimescaleDB
• ✅ RBAC e RLS su database
• ✅ SIEM centralizzato per log management
• ✅ Backup crittografati con procedure DR
• ✅ Performance optimization (polars/dask)

Trasversali (Entrambi) ¶

• ✅ ISMS ISO 27001 e compliance NIS2
• ✅ Hardening sistemi operativi
• ✅ Vulnerability management
• ✅ Incident response playbook
• ✅ Documentazione tecnica e SOP
• ✅ Formazione team operativo

Out of Scope ¶

• ❌ Sviluppo nuove funzionalità applicative
• ❌ Modifiche architetturali maggiori (solo upgrade in-place)
• ❌ Migrazione cloud (rimane on-premise)
• ❌ Integrazione con sistemi esterni non IDMS/NeuRAIL
• ❌ Certificazione ISO 27001 formale (solo preparazione)

Deliverable Principali ¶

Organizzazione del Progetto ¶

Struttura in Sprint ¶

Il progetto è organizzato in 9 sprint da 3 settimane ciascuno (con eccezioni):

Sprint 0  (Pianificazione)    → Ago-Set 2025  → M0
Sprint 1  (Assessment)        → Ott 2025      → M1
Sprint 2  (Modernizzazione)   → Ott-Nov 2025  → M2
Sprint 3  (Secret Mgmt)       → Nov-Dic 2025  → M3
Sprint 4  (Crittografia)      → Dic 2025      → M4 (2.5 sett, pre-festività)
[PAUSA FESTIVITÀ: 22 Dic 2025 - 7 Gen 2026]
Sprint 5  (Monitoring)        → Gen 2026      → M5
Sprint 6  (Hardening)         → Gen-Feb 2026  → M6
Sprint 7  (ISMS)              → Feb-Mar 2026  → M7
Sprint 8  (Chiusura)          → Mar 2026      → M8

Metodologia ¶

• Approccio Agile: Sprint iterativi con review e retrospettive
• Owner unico: Ilario Febi come owner e coordinatore
• Team cross-funzionale: Developer, sistemista, documentalista, security consultant
• Milestone-driven: Ogni sprint termina con milestone e riunione allineamento
• Risk-based: Prioritizzazione basata su risk assessment

Fasi di Lavoro ¶

Fase 1: Pianificazione (Sprint 0) ¶

• Durata: 2 mesi (Ago-Set 2025)
• Team: Solo Ilario Febi
• Focus: Analisi, task breakdown, allocazione risorse, documentazione piano

Fase 2: Foundation (Sprint 1-2) ¶

• Durata: 6 settimane (Ott-Nov 2025)
• Team: Full team
• Focus: Assessment sicurezza, modernizzazione stack tecnologico

Fase 3: Security Implementation (Sprint 3-4) ¶

• Durata: 5.5 settimane (Nov-Dic 2025)
• Team: Full team
• Focus: Secret management, PKI, crittografia, RBAC

Fase 4: Monitoring & Hardening (Sprint 5-6) ¶

• Durata: 6 settimane (Gen-Feb 2026)
• Team: Full team + focus sistemista
• Focus: SIEM, IDS/IPS, hardening OS, segmentazione rete

Fase 5: Compliance & Closure (Sprint 7-8) ¶

• Durata: 6 settimane (Feb-Mar 2026)
• Team: Full team + consulente security
• Focus: ISMS, compliance NIS2/ISO, penetration test, documentazione, formazione

Timeline e Milestone ¶

Milestone di Progetto ¶

Gantt Visuale ¶

Per il diagramma Gantt dettagliato in formato Mermaid, vedere PROJECT_GANTT.md.

Vista Semplificata:

Ago-Set 2025:  [==================== S0 Pianificazione ====================] M0
Ottobre 2025:  [===== S1 Assessment =====][===== S2 Moderniz =====>        
Novembre 2025:        <=====][===== S3 Secret Mgmt =====] M3
Dicembre 2025: [== S4 Cripto ==] M4 [FESTIVITÀ]
Gennaio 2026:                      [===== S5 Monitoring =====] M5
Febbraio 2026: [===== S6 Hardening =====][=== S7 ISMS ===>
Marzo 2026:            <======] M7 [===== S8 Chiusura =====] M8

Risorse e Team ¶

Team di Progetto ¶

Totale ore pianificate: 1.452h
Totale ore allocate task: 1.312h
Buffer: 140h (10%) per imprevisti e coordinamento

Dettagli completi team: PROJECT_TEAM.md - Ruoli, responsabilità, competenze, gap analysis

Distribuzione Ore per Sprint ¶

Competenze Chiave Richieste ¶

Architettura e Tecnologie ¶

Stack Tecnologico Attuale (Baseline) ¶

Nuovi Componenti da Implementare ¶

Architettura di Sicurezza (Target) ¶

┌─────────────────────────────────────────────────────────────┐
│                        PERIMETRO                            │
│  ┌──────────┐  ┌──────────┐  ┌──────────┐                  │
│  │   WAF    │  │ Firewall │  │   IDS    │                  │
│  └────┬─────┘  └────┬─────┘  └────┬─────┘                  │
└───────┼─────────────┼─────────────┼────────────────────────┘
        │             │             │
┌───────┼─────────────┼─────────────┼────────────────────────┐
│       │    VLAN MANAGEMENT        │                        │
│       ▼                           ▼                        │
│  ┌─────────┐              ┌──────────────┐                │
│  │   API   │◄────JWT──────┤    Vault     │                │
│  │ Gateway │              │(Secret Mgmt) │                │
│  └────┬────┘              └──────────────┘                │
│       │                                                    │
├───────┼────────────────────────────────────────────────────┤
│       │    VLAN DATA PLANE                                 │
│       ▼                                                    │
│  ┌─────────┐  ┌──────────┐  ┌──────────┐                 │
│  │ Python  │  │PostgreSQL│  │  Redis   │                 │
│  │  App    │  │   +TDE   │  │          │                 │
│  │ (3.13)  │  │   +RLS   │  │          │                 │
│  └────┬────┘  └────┬─────┘  └────┬─────┘                 │
│       │            │             │                        │
│       └────────────┴─────────────┘                        │
│                    │                                      │
├────────────────────┼───────────────────────────────────────┤
│    VLAN IOT        │                                      │
│       ┌────────────▼────────┐                             │
│       │   MQTT Broker       │                             │
│       │ (Client Cert Auth)  │                             │
│       └─────────────────────┘                             │
│                                                           │
└───────────────────────────────────────────────────────────┘
                    │
            ┌───────▼────────┐
            │      SIEM      │
            │   (ELK/Wazuh)  │
            │  ┌──────────┐  │
            │  │Dashboard │  │
            │  └──────────┘  │
            └────────────────┘

Flusso Sicurezza ¶

1. Autenticazione: JWT (API) o Client Cert (MQTT) gestiti da Vault
2. Crittografia: TLS 1.3 end-to-end
3. Autorizzazione: RBAC + RLS database
4. Logging: Tutti eventi → SIEM
5. Monitoring: Dashboard real-time + alerting
6. Response: Playbook automatici per incident

Gestione Rischi ¶

Matrice Rischi Principali ¶

Legenda:
🔴 Critico | 🟨 Alto | 🟧 Medio | 🟩 Basso

Strategie di Mitigazione ¶

Rischi Tecnici ¶

• Buffer: 10% ore incluso per imprevisti
• Testing rigoroso: Coverage ≥85%, test regressione
• Rollback plans: Procedure documentate per ogni upgrade
• Ambienti separati: Dev/Test/Prod per testing sicuro

Rischi Risorse ¶

• Cross-training: Documentazione dettagliata per continuità
• Backup owner: Ilario può coprire ruoli critici temporaneamente
• Consulenza esterna: SYSUP come backup specialistico

Rischi Timeline ¶

• Sprint flessibile: S8 ha buffer per recupero
• Festività pianificate: S4 ridotto, no sorprese
• Milestone reviews: Adattamento piano ogni 3 settimane

Assunzioni e Dipendenze ¶

Assunzioni ¶

1. ✅ Team disponibile secondo pianificazione organico.md
2. ✅ Nessuna dipendenza bloccante da altri WP
3. ✅ Accessi infrastruttura disponibili per team
4. ✅ Risorse hardware/software disponibili da progetto
5. ✅ Stakeholder disponibili per approvazioni milestone

Dipendenze Esterne ¶

• SYSUP: Disponibilità per S1, S5, S7 (pentest) → Mitigato con pianificazione anticipata
• Approvazioni: Sign-off stakeholder per milestone critiche → Mitigato con buffer 2gg

Governance e Comunicazione ¶

Struttura Governance ¶

┌─────────────────────────────────────┐
│      STAKEHOLDER / SPONSOR          │
│     (Approvazioni e Sign-off)       │
└────────────┬────────────────────────┘
             │
┌────────────▼────────────────────────┐
│     PROJECT MANAGER / OWNER         │
│         (Ilario Febi)               │
│  • Coordinamento generale           │
│  • Gestione risorse e timeline      │
│  • Escalation e decision making     │
└────────────┬────────────────────────┘
             │
   ┌─────────┼─────────┬──────────────┐
   │         │         │              │
┌──▼──┐  ┌──▼──┐  ┌──▼──┐      ┌────▼────┐
│ Dev │  │Sys  │  │ Doc │      │ SYSUP   │
│Team │  │Team │  │Team │      │Security │
└─────┘  └─────┘  └─────┘      └─────────┘

Riunioni e Comunicazione ¶

Reporting ¶

Strumenti ¶

Criteri di Successo ¶

Criteri Tecnici ¶

Criteri di Compliance ¶

Criteri di Progetto ¶

Acceptance Criteria Finali (M8) ¶

Per chiudere il progetto con successo, DEVONO essere soddisfatti:

1. ✅ Tutti gli obiettivi O1-O11 raggiunti con KPI verificati
2. ✅ 100% requisiti priorità Alta implementati e testati
3. ✅ ≥80% requisiti priorità Media implementati
4. ✅ Tutti i deliverable D1-D20 consegnati e approvati
5. ✅ ISMS ISO 27001 attivo con SoA e risk assessment
6. ✅ Penetration test eseguito con remediation completata
7. ✅ 0 issue critici aperti
8. ✅ Documentazione completa: tecnica, SOP, formazione
9. ✅ Team formato (≥90% certificato)
10. ✅ Sign-off formale stakeholder ricevuto

Prossimi Passi ¶

Azioni Immediate (Post-Approvazione Piano) ¶

1. ✅ Approvazione formale piano da stakeholder → 30 Settembre 2025
2. ✅ Kickoff meeting con team completo → 1 Ottobre 2025
3. ✅ Setup ambienti collaborazione (Jira/Slack/Git) → Week 1 Ottobre
4. ✅ Accessi infrastruttura per tutti membri team → Week 1 Ottobre
5. ✅ Ingaggio SYSUP per Sprint 1 assessment → Confermare entro 15 Settembre

Calendario Review ¶

Allegati e Link ¶

Documenti di Progetto ¶

• 📋 Milestone di Progetto - Dettaglio milestone e riunioni
• ✅ Task di Progetto - Elenco completo 78 task
• 📊 Diagramma Gantt - Timeline visuale Mermaid
• 📝 Requisiti - 40 requisiti dettagliati
• 🔤 Acronimi - Glossario 60+ acronimi
• 🏠 README - Panoramica e indice generale

Documenti Complementari ¶

Tutte le informazioni di base sono integrate in questo piano:

• Gli obiettivi di sicurezza sono descritti nella sezione Obiettivi del Progetto
• I requisiti completi sono in PROJECT_REQUIREMENTS.md
• Il team dettagliato è in PROJECT_TEAM.md
• Le best practices sono integrate nei task e deliverable
• La tracciabilità è documentata in PROJECT_REQUIREMENTS.md

Approvazioni ¶

Firma Piano di Progetto ¶

Versioning ¶

WP3.1 - Analisi trasversale delle tecnologie per garantire cybersecurity by design
Progetto FUTURO - Work Package 3: Infrastruttura Informatica
Generale Costruzioni Ferroviarie S.p.A. (GCF)

Documento confidenziale - Distribuzione controllata