I social non sono una riserva di caccia battuta solo dai cattivi tradizionali. Quelli che per mettere a segno un’operazione di social engineering sono pronti a compiere qualsiasi porcheria con i nostri dati e a inventarsi piani degni di Diabolik per indurci a cliccare su un link malevolo. Tutt’altro. Facebook – per esempio – è depositaria di un brevetto in cui viene descritto il funzionamento di speciali videocamere che analizzando le espressioni del viso sono in grado di stabilire se siamo annoiati oppure sorpresi da quel che vediamo nella nostra timeline. In un altro, è progettato un sistema che sfrutta il microfono del nostro smartphone per conoscere quale programma televisivo stiamo guardando. Ce ne sono altri che hanno come obiettivo di registrare quante ore ogni giorno dedichiamo al sonno o addirittura quello di prevedere le probabilità di sposarsi o di diventare ricchi. Il New York Times passando in rassegna le migliaia di brevetti registrati a partire dal 2012 dal colosso dei social network ha scoperto che praticamente non c’è aspetto dell’esistenza di ognuno dei suoi utenti a cui Zuckerberg e soci non siano interessati: dove si trovano; con chi passano il tempo; se vivono una relazione oppure sono single; di quali marchi o temi politici parlano. Ha persino provato a brevettare un metodo per predire la data esatta in cui morirà un nostro amico.

#security Cresce la percezione del rischio #social in azienda – Giancarlo Vercellino @IDCItaly
Click To Tweet

Sappiamo che Facebook da tempo condivide i nostri dati con una pletora di società interessate a sfruttare l’enorme potenziale dato dai miliardi di informazioni già in suo possesso. Gli effetti di questa morbosa attenzione iniziano a vedersi. Come dimostra il connubio Facebook/Cambridge Analytica. I fatti sono noti. Nel 2014, secondo le rivelazioni del tabloid inglese The Observer, Aleksandr Kogan, un accademico inglese, avrebbe raccolto tramite la sua società Global Science Research i dati di cinquanta milioni di utenti Facebook. Un quantitativo enorme di dati personali: non solo quelli degli utenti americani pagati per completare un test psicologico, ma anche i dati dei loro contatti Facebook, raccolti impiegando un’app del social network. GSR avrebbe poi ceduto i dati a Cambridge Analytica che a sua volta li avrebbe utilizzati per influenzare il risultato delle elezioni USA del 2016. Stiamo ancora cercando di comprendere quale lezione trarre da tutta questa vicenda. Ma certamente la stretta relazione tra social network e vulnerabilità della privacy delle persone è emersa in tutta la sua gravità. Per tutti noi che utilizziamo i social, i pericoli sono aumentati. Non si tratta più solo di guardarsi le spalle dai nemici che conosciamo. La minaccia arriva anche da coloro ai quali affidiamo un’estensione importante della nostra identità.

LA PERCEZIONE DEL RISCHIO SOCIAL

Abbiamo chiesto a IDC in che misura i social media vengono percepiti da parte di chief information officer e chief information security officer come potenziali vulnerabilità per la sicurezza aziendale. Dopo averci confermato che il tema del rischio IT derivante dalla capillare diffusione delle piattaforme di social networking è stato sondato più volte in passato, IDC ancora di recente si è confrontata con una platea di CIO e CISO presenti all’ultima Security Conference tenutasi a Milano nel mese di maggio. «Dalle risposte ricevute – ci aggiorna Giancarlo Vercellino, research & consulting manager di IDC Italia – emerge che circa il 24% dei partecipanti hanno individuato nei social un fattore di rischio importante per lo sviluppo futuro delle tecnologie della sicurezza IT». Un dato in sostanziale continuità con quanto osservato nell’edizione dello scorso anno. «Estrapolando questo dato puramente campionario, in relazione all’universo delle imprese italiane, riteniamo che circa il 16% delle imprese nel nostro Paese esprima una analoga percezione del rischio. Il tema è sentito con particolare intensità dalle imprese sopra i mille addetti, dove possiamo stimare abbia una certa influenza su circa un terzo delle organizzazioni» – spiega Vercellino. Un dato che non cambia a seconda dei settori. Un dato che secondo IDC non varia in modo significativo tra settori industriali. «Senza dubbio quelli data-intensive come Finanza, Servizi e PA sono più immediatamente coinvolti rispetto all’Industria e al Commercio, ma con tutta probabilità il dato oscilla di anno in anno in base al clamore delle vicende che finiscono sui giornali».

#security Poca awareness sul rischio perché #social gestiti da Comunicazione/Marketing – @Clusit
Click To Tweet

In generale, la percezione dei rischi “cyber” legati all’uso aziendale dei social media è ancora troppo bassa, nota Andrea Zapparoli Manzoni, membro del comitato direttivo di CLUSIT. «Per mancanza di awareness del management e perché tipicamente queste piattaforme sono gestite dall’area comunicazione/marketing (spesso tramite outsourcer specializzati) e non da quella IT/Security. Le aziende (relativamente) più sensibili sono quelle finanziarie, della comunicazione e del fashion, tipicamente di dimensioni grandi o molto grandi». Una lista alla quale forse possiamo aggiungere alcune amministrazioni pubbliche e locali illuminate. Anche se spesso la tendenza più che dotarsi di un piano e di una serie di regole valide per tutti è di procedere in autonomia e perifericamente. Lungo questo percorso di sensibilizzazione di certo non aiuta la scarsa collaborazione sin qui dimostrata dei gestori dei social. «Data la natura opaca di queste piattaforme e il fatto che gli attacchi sono principalmente portati a livello semantico (social engineering, truffe, frodi, sostituzioni di persona e così via…), un CISO che volesse monitorare l’uso dei social per mitigare tali rischi, si troverebbe tecnicamente in difficoltà per la bassa disponibilità di strumenti, processi e competenze ad-hoc» – rileva Zapparoli Manzoni.

Tuttavia, contrariamente a quanto si potrebbe dedurre dal dato relativo alla scarsa sensibilità dell’IT/Security al tema, il dato relativo alla diffusione presso le aziende europee della presenza di policy di sicurezza specifiche per i social media è in controtendenza. Secondo IDC, policy di sicurezza specifiche per i social sono piuttosto comuni in qualsiasi impresa nel segmento large enterprise. Diverso il parere di Zapparoli Manzoni – secondo il quale, almeno per quanto riguarda l’Italia – «l’adozione di una social media security policy è ancora molto poco diffusa. Le aziende che l’hanno implementata sono nell’ordine di qualche decina». Diverso il discorso, circa la disponibilità di un budget specifico per la gestione della sicurezza in ambito social. «Nella maggior parte dei casi, discende dall’allocazione di risorse per attività di change management, process re-engineering, compliance e così via» – afferma Vercellino di IDC Italia. Il problema del budget – mette in evidenza Zapparoli Manzoni di CLUSIT – è complicato dal fatto che spesso la gestione dei social aziendali ricade nel campo dell’area marketing. «Di conseguenza, non esiste quasi mai un budget dedicato da parte dell’area IT/Security, che può al massimo monitorare i server, la rete e i device aziendali cercando di intercettare attacchi veicolati da malware introdotto in azienda tramite social network, ma non riesce a vedere gli attacchi basati su social engineering se non quando è troppo tardi».

#Socialnetwork miniere a cielo aperto per il #cybercrime – Morten Lehn @KasperskyLabIT
Click To Tweet

I PERICOLI CHE ARRIVANO DAL SOCIAL

I social sono una miniera a cielo aperto per chi sa come utilizzare la miriade di informazioni che condividiamo. «I report di Kaspersky Lab mostrano come i cybercriminali fanno di tutto per mettere le mani sui dati degli utenti attraverso i social network» – conferma Morten Lehn, general manager Italy di Kaspersky Lab. Anche perché spesso sui social condividiamo troppe informazioni su di noi e sull’azienda per cui lavoriamo. Alcune di queste informazioni si prestano molto bene per essere utilizzate in combinazione con tecniche di social engineering per targettizzare gli attacchi in maniera sempre più raffinata. «Per esempio, se ho intenzione di mettere in atto una truffa del tipo Business Email Compromise nei confronti di un responsabile ufficio acquisti, i social media mi forniranno informazioni essenziali per confezionare una truffa il più possibile credibile e fare in modo che il mio obiettivo cada nella trappola» – afferma Lisa Dolcini, channel marketing manager di Trend Micro. «I dati raccolti con i metodi di ingegneria sociale possono servire anche per attacchi phishing o per l’invio di documenti maligni, che possono dare il via ad attacchi più in profondità, una volta che i cybercriminali sono entrati nella rete aziendale. Anche se gli account social sono privati, infatti, il dispositivo utilizzato è dell’azienda e sarà quest’ultima a subire l’attacco» – osserva Dolcini. Secondo i dati forniti da Kaspersky Lab relativi al primo trimestre del 2018, le tecnologie anti-phishing del vendor hanno bloccato più di 3,7 milioni di tentativi di accesso a pagine di social network fraudolente. «Il 60% era rappresentato da pagine Facebook false. Nel periodo considerato, Facebook guida la classifica del phishing connesso ai social network, seguito da VKontakte, un servizio di social network online russo, e da LinkedIn, canale ampiamente usato in ambito professionale» – ci rivela Lehn di Kaspersky Lab.

Le più recenti metodologie d’attacco sfruttano la potenza delle reti e la rapidità di propagazione delle informazioni per colpire organizzazioni, aziende e loro clienti. Per esempio, in un attacco spray-or-pray, il primo step è far sì che la vittima interagisca con un certo post; potrebbe essere il link a una notizia curiosa, in linea con i nostri interessi che rimanda alla fonte originaria; oppure a un sito che lega la notizia a una campagna di sensibilizzazione verso un certo tema. Le possibilità non mancano. Terminata la fase preparatoria, chi attacca si concentra sul target per assestargli il colpo di grazia. Spesso i bot utilizzati per innescare l’attacco pubblicano contenuti che non violano i termini di servizio del social. Una variante dello spray-or-pray è l’attacco watering hole. Qui l’obiettivo è collocare un malware indirizzato a un certo target in un punto del social che abbia buone probabilità di attirare l’attenzione delle proprie vittime. Per esempio, un post all’interno di un gruppo di discussione. Rispetto al precedente, qui l’attacco mira sin dall’inizio a un certo target. Inoltre chi attacca non conosce a priori chi sarà la vittima all’interno del gruppo targettizzato. Una volta presa all’amo, la vittima sarà utilizzata come testa di ponte per arrivare a qualcun altro, sempre più vicine al vero target. Dato il livello di raffinatezza e complessità degli attacchi, anche il grado di attenzione riservato al proprio account social dovrebbe crescere. Così come l’engagement dei gestori dei social, attraverso misure di sicurezza a tutela dei profili adeguate al livello della minaccia. In realtà, ci si muove ancora troppo lentamente. «Per un criminale, è molto più semplice ed efficace ottenere informazioni sensibili e/o compromettere un device del CEO, di un sistemista IT o di un’assistente di direzione tramite i loro account social personali, sia installati su device aziendali che privati» – conferma Zapparoli Manzoni di CLUSIT.

#security #social Lisa Dolcini Policy e regole per ridurre il rischio @TrendMicroItaly
Click To Tweet

UN’IDEA SEMPRE NUOVA: GESTIRE I SOCIAL

Per gestire in sicurezza la propria presenza sui social network, l’azienda dovrebbe essere in grado di delineare una strategia che si concentri in primo luogo sugli aspetti organizzativi e di processo. Per poi concentrarsi sul comportamento degli utenti. Un approccio adottato dalle aziende più strutturate. Meno altrove.  «Nelle PMI, l’analisi del comportamento degli utenti è meno prioritaria dell’incremento della visibilità del brand» – osserva Giulio Vada, country manager di G DATA Italia. «Solo in rari casi, si instaurano processi e si seguono linee guida precise su comunicazioni e gestione dei dati raccolti». Certamente, ogni azienda dovrebbe avere una policy che regoli l’utilizzo dei social da parte dei dipendenti, «sia per il tempo trascorso su questi media che per i contenuti condivisi» – mette in evidenza Lisa Dolcini di Trend Micro. «Procedendo sempre di pari passo sia con gli aspetti formativi che con quelli tecnologici che riguardano la protezione dell’infrastruttura».

In realtà, proteggere il proprio account social significa proteggere anche colleghi, amici, conoscenti e così via. «Un uso non conforme a quanto esigono le normative ha oggi conseguenze tanto gravi quanto la condivisione di informazioni riservate con le migliori intenzioni (come per esempio, la pubblicazione di uno screenshot della configurazione di un router o di un server per chiedere delucidazioni tecniche, o la richiesta di consigli sulla campagna di lancio di un prodotto ancora sotto segreto industriale) o la pubblicazione di affermazioni denigratorie o campagne mal formulate che cagionano seri danni reputazionali all’azienda» – spiega Vada di G DATA Italia. Meglio non dimenticarselo. Come abbiamo visto, esistono schemi e metodologie collaudate per preparare il terreno a un attacco. Perciò le organizzazioni devono informare i propri collaboratori circa i pericoli delle tecniche di social engineering. «Sicuramente, il ruolo dei social nella comunicazione aziendale da un lato e l’evoluzione delle imprese verso lo smart working dall’altro, pongono problematiche nuove rispetto all’impresa tradizionalmente intesa e comportano livelli di complessità nella gestione di aspetti come questo, prima nemmeno prevedibili» – fa notare Marco Mazzoleni, head of Italy pre-sales consultancy di Symantec.

#security Giulio Vada @GDATA_Italia Nelle #PMI la visibilità del #brand vs. analisi del rischio #social
Click To Tweet

«Condividere con i dipendenti informazioni su come avvalersi dei social in modo consapevole e sicuro oltre che chiare policy di comunicazione aziendale è sufficiente nella stragrande maggioranza dei casi. Un divieto o addirittura un filtro, oppure un blocco automatico del traffico sui social, come peraltro impostabile attraverso le nostre suite, dovrebbe essere davvero l’ultima spiaggia». Formazione del personale e sensibilizzazione ai rischi, pur importanti, non sono sufficienti. «Rimane un’area di rischio non gestito potenzialmente enorme» – avverte Zapparoli. «Un’area completamente non gestita, che riguarda l’uso privato, personale dei social da parte dei collaboratori e del management. Sia per ragioni culturali che di vincoli normativi – come in materia di protezione dei dati e di tutela della privacy – l’azienda tende a non occuparsi della protezione degli account personali, che invece sono il principale vettore di attacco verso le organizzazioni».

RISCHI SOCIAL E ANALISI DEL RISCHIO

A livello aziendale, il maggiore rischio legato all’utilizzo dei social è di condividere involontariamente informazioni riservate. «Di frequente, vengono ripresi anche nei selfie documenti cartacei, schermate dei PC aziendali ed altre informazioni che non dovrebbero assolutamente essere condivise» – conferma Massimiliano Ghelli, social media manager e software analyst di ESET Italia. «Senza dimenticare i famigerati Post-it con le password in bella mostra, che troppo spesso ornano le postazioni dei dipendenti e che dovrebbero invece essere preservate da occhi indiscreti». E non bisognerebbe sottovalutare neanche – prosegue Ghelli – «la possibilità di mettere in difficoltà colleghi e superiori ritratti, molto spesso senza il loro consenso, nelle foto pubblicate sui vari social».

«Vista l’evoluzione delle minacce e lo scenario attuale, il rischio introdotto dall’uso dei social (aziendale e non) andrebbe considerato tra i più gravi e probabili» – incalza Zapparoli Manzoni di CLUSIT. «Così non è. Almeno non ancora. È importante sottolineare che per la natura trasversale e capillare dei social, non si tratta di un rischio IT, né di un problema che può essere risolto esclusivamente dall’IT, ma di un rischio aziendale di livello esistenziale/sistemico, che è certamente veicolato tramite strumenti IT ma che riguarda tutta l’organizzazione e tutti i suoi collaboratori, outsourcer e fornitori». Un rischio quello indotto dall’interazione con terze parti quasi sempre fortemente sottostimato. Al contrario – continua Zapparoli Manzoni – «dovrebbe essere analizzato, gestito e mitigato come rischio d’impresa, a valle di opportune business impact analysis, operando sia sul piano tecnologico che su quelli organizzativo e formativo. Data la complessità del problema e il numero di variabili da considerare, si tratta di una sfida non facile, che d’altra parte non può più essere ignorata o sottovalutata».

#sicurezza #social Marco Mazzoleni @symantec Educare alla responsabilità senza divieti
Click To Tweet

CONCLUSIONI

Secondo i dati dell’ultimo rapporto Agi/Censis realizzato nell’ambito del programma pluriennale “Diario dell’Innovazione” della Fondazione Cotec che indaga sulla vita digitale degli italiani, il 69,6% del campione intervistato dichiara di non fidarsi della gestione dei dati da parte dei network e dei motori di ricerca. Sempre di più, gli utenti sono consapevoli degli utilizzi fraudolenti di finti account e false identità. Magari hanno sperimentato a loro spese comportamenti offensivi o patito una sottrazione di dati. Gli esempi non mancano. Una sfiducia alimentata dai continui episodi di cronaca. Non ultima, la già citata vicenda Facebook/Cambridge Analytica. Un segnale importante da non sottovalutare. Dalla ricerca emerge chiaramente che con la maggiore consapevolezza cresce anche la percentuale di coloro che sarebbero pronti a cercare di invertire questa tendenza.

Il 76,8% degli intervistati per esempio si dichiara favorevole all’obbligo del documento di identità per iscriversi ai social. Interessante, anche il dato secondo cui due terzi degli utenti, nonostante l’utilizzo intensivo dei social, dichiarano che non ci penserebbero troppo ad abbandonarli qualora diventassero a pagamento. Orientamenti che tuttavia stridono con il dato relativo al livello di attenzione verso la condivisione di informazioni personali che rimane desolatamente bassa. Lamentiamoci dei social e stigmatizziamone la pericolosità. Adottiamo comportamenti più prudenti e prestiamo maggiore attenzione alle informazioni che riveliamo su noi stessi. Ma non dimentichiamo che in quanto utilizzatori, con i nostri comportamenti siamo parte del problema. In altre parole, così come gestiamo la nostra vita offline, allo stesso modo dovremo imparare a farlo sempre meglio anche con quella online. Non sempre sappiamo come fare perché manchiamo ancora di esperienza. Soprattutto non ci sono precedenti a cui fare riferimento. Ma convinciamoci che la sicurezza sempre di più è una forma di responsabilità sociale. Se comprendiamo che i nostri account social sono un’estensione importante della nostra identità, anche il nostro comportamento social cambierà. In meglio.

#sicurezza #social Massimiliano Ghelli @esetitalia Attenzione ai selfie!
Click To Tweet

L'articolo I social come strumenti di business, ma occhio alla sicurezza proviene da Data Manager Online.

Con l’obiettivo di valutare lo stato della sicurezza nelle aziende, Cisco ha interpellato 3.600 professionisti della sicurezza – CISO (Chief Information Security Officer) e manager delle operazioni di sicurezza (SecOps) – di aziende di varie dimensioni in 26 paesi inclusa l’Italia. Ne è scaturita una mappa accurata delle risorse e delle procedure di sicurezza di cui le aziende dispongono e che Cisco ha raccolto nel Cisco Security Capabilities Benchmark Study, integrando una serie di consigli e contromisure atti a rafforzare le strategie di sicurezza delle aziende.

Gli autori di attacchi informatici stanno sviluppando e adattando le loro tecniche a un ritmo sempre più veloce, che ormai supera ampiamente quello dei responsabili della sicurezza. Usano exploit, tecniche di evasione e metodologie di attacco sempre più evolute, e testano sul campo le proprie competenze in modo da lanciare attacchi di portata sempre maggiore.

La domanda da farsi non è più se un’azienda sarà colpita, ma se i responsabili della sicurezza saranno preparati quando i criminali informatici sferreranno i loro attacchi. Da non sottovalutare è quanto velocemente riusciranno ad effettuare il ripristino. Ciò dipenderà in gran parte dalle azioni che i responsabili della sicurezza avranno adottato per rafforzare le misure di sicurezza messe in campo.

Il dato principale emerso dalla ricerca Cisco Security Capabilities Benchmark Study 2018 è che gli addetti alla sicurezza hanno molto lavoro da fare e molte sfide da superare. Ma quali sono le principali preoccupazioni dei responsabili della sicurezza?

Di seguito i dati principali, che riguardano le tre aree su cui lo studio si focalizza: le sfide, lo stato dei cyber attacchi e l’adozione da parte delle aziende di nuove tecnologie per proteggersi.

Attacchi subiti

In Italia, il 92% delle aziende intervistate ha ammesso di aver subito un attacco informatico lo scorso anno.

Il numero reale potrebbe essere anche più alto, dal momento che non tutte le aziende rilevano gli attacchi o ammettono di aver subito violazioni. Gli hacker stanno diventando molto più bravi a mascherare i loro attacchi, in modo che possano rimanere nascosti per un periodo di tempo più lungo ed estrarre più dati.

Carenza di talenti

Per il 24% delle organizzazioni italiane, la mancanza di personale specializzato e addetto a questo settore è uno dei maggiori ostacoli alla sicurezza.

Nonostante il fatto che gli investimenti siano aumentati anche nel nostro paese, la sicurezza informatica non è ancora un tema prioritario per i CxO, o per la direzione, nella maggior parte delle aziende.

Frammentazione e complessità nel gestire la sicurezza

Il 12% delle aziende in Italia gestisce più di 21 fornitori.

La buona notizia è che si tratta della percentuale più bassa in Europa. Le aziende italiane, infatti, preferiscono gestire meno fornitori, ridurre i loro costi operativi e massimizzare le loro limitate risorse di sicurezza. Un approccio integrato è spesso meno complesso da gestire.

Allarmi non considerati

In Italia solo il 58% delle segnalazioni di sicurezza viene investigato. Tenendo presente che tra queste, il 22% è legittimo, solo il 50% degli avvisi legittimi viene risolto.

È come avere una casella di posta elettronica senza fine, piena di spam. È quasi impossibile distinguere tra ciò che è urgente, ciò che è importante e il rumore di fondo. L’automazione può aiutare a gestire il numero elevato di avvisi di sicurezza e garantire che solo gli avvisi legittimi, che richiedono l’escalation, vengano inoltrati a al responsabile preposto.

Impatto economico degli attacchi informatici in Italia

Il 62% degli attacchi in Italia ha provocato danni superiori a 80.000 euro.

Nella cifra sono inclusi i costi di riparazione dei sistemi e altre perdite finanziarie, come la perdita di entrate e di clienti.

Il 17% delle violazioni italiane ha comportato il coinvolgimento di oltre la metà dei sistemi di un’azienda.

Nel nostro paese molte aziende stanno ancora lottando per integrare i sistemi legacy nella loro infrastruttura e per proteggerli in modo appropriato. Da un lato, queste reti frammentate possono essere più facili da violare per le lacune di sicurezza che potrebbero avere e che gli hacker sono in grado di sfruttare; d’altra parte, la loro mancanza di integrazione può limitare il diffondersi di tali minacce, il che potrebbe spiegare perché l’Italia presenta una delle percentuali più basse in tutta Europa.

Interruzioni IT prolungate

Il 50% delle aziende in Italia ha dovuto gestire un’interruzione di oltre 5 ore nell’ultimo anno a causa di una violazione.

Le interruzioni più lunghe saranno sempre un danno per qualsiasi azienda, ma per le imprese che offrono servizi di infrastrutture critiche, come nel caso dei servizi di pubblica utilità, assistenza sanitaria o trasporti, un’interruzione può rappresentare un rischio per la sicurezza e il benessere di migliaia di cittadini.

Uno sguardo al futuro: le nuove tecnologie che possono aiutare la sicurezza

Le aziende italiane stanno scoprendo alcune nuove tecnologie che possono aiutare a ridurre lo sforzo necessario per proteggere le loro infrastrutture e stanno iniziando a sfruttarle per ridurre i costi e aumentare l’efficienza dei loro dipartimenti IT:

• L’82% fa affidamento sull’automazione
• Il 76% sull’apprendimento automatico
• Il 70% sull’intelligenza artificiale

L'articolo Il panorama della sicurezza in Italia visto dai CISO proviene da Data Manager Online.

Di seguito un’infografica sulla sicurezza e le prestazioni necessarie per la trasformazione dei data center. L’infografica è basata sul sondaggio condotto da Censuswide nel 2017 per conto di Bitdefender che ha interessato 1.051 acquirenti professionali nel campo dell’IT, operanti in aziende con più di 1.000 PC e data center e con sede in Italia, Francia, Italia, Svezia, Danimarca, Germania, negli Stati Uniti e nel Regno Unito. I dati che ti presento qui sotto sono basati sulle informazioni ricavate dai rispondenti italiani.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

I manager IT italiani considerano la sicurezza il miglior argomento a favore dell’implementazione di data center agili, efficienti e flessibili. Le aziende hanno iniziato ad abbandonare i precedenti sistemi incentrati sull’hardware, adottando tecnologie rivoluzionarie (come i software-defined data center, le infrastrutture iperconvergenti e il cloud ibrido), ma mantenendo al contempo una grande attenzione nei confronti della protezione dei dati.

Circa il 90% dei Chief Information Security Office (CISO) italiani dichiara che il proprio data center è interessato da un profondo processo di trasformazione: il 50% utilizza già cloud ibridi per l’archiviazione dei dati, il 49% sfrutta il software-defined networking, il 52% si affida alla virtualizzazione dei dati aziendali, il 47% ha adottato un approccio di software-defined storage, mentre il 25% si affida a infrastrutture iperconvergenti.

Con l’evolversi della trasformazione dei data center, i CISO dichiarano di aver bisogno di soluzioni di sicurezza che permettano alle imprese di sfruttare al massimo il valore aggiunto garantito dai data center, dalle infrastrutture iperconvergenti e dal cloud ibrido. Il sondaggio di Bitdefender dimostra che la protezione dei dati sensibili è un elemento chiave del processo di trasformazione. In base al sondaggio, il fattore principale alla base di questo sviluppo è proprio il miglioramento della sicurezza dei dati, citato dal 64% dei manager IT.

Gli esperti di sicurezza di Bitdefender raccomandano fortemente ai CISO di non utilizzare un singolo strumento, ma di adottare una soluzione di sicurezza progettata in modo specifico per l’infrastruttura su cui verrà implementata (fisica o virtuale). Le soluzioni endpoint tradizionali, originariamente progettate per infrastrutture in loco e incentrate sull’hardware, sono del tutto inadeguate per i data center moderni, risultando difficili da mantenere e implementare, fortemente dipendenti dall’hardware e spesso inefficaci contro gli attacchi mirati più avanzati.

Una larga maggioranza dei dirigenti IT afferma che la modernizzazione dei data center influirà positivamente sulla propria azienda, aumentandone l’agilità e riducendo i costi operativi del reparto IT: il 56% dei CISO dichiara che questa trasformazione avrà un grande impatto positivo, mentre il 32% si aspetta un impatto positivo più moderato.

La trasformazione dei data center consiste in: software-defined data center, una combinazione di elaborazione (virtualizzazione), networking (SDN) e archiviazione (SDS) definiti da software e di un layer comune di gestione. Una soluzione basata su software garantisce la flessibilità, l’efficienza e una rapida iterazione dell’infrastruttura, potendo essere implementata su hardware di ampio consumo e riducendo la quantità di capitale da investire in infrastrutture. Infrastruttura iperconvergente: semplifica l’utilizzo e la gestione dei data center, facendo convergere tutti i componenti di elaborazione, di archiviazione e di rete in un unica appliance basata su software. Cloud ibrido: una combinazione di servizi cloud pubblici (archiviazione esterna dei dati aziendali su infrastrutture di terze parti) e data center privati (archiviazione dei dati in loco).

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Più di un terzo dei manager IT in Italia afferma che le ATP (Advanced Persistent Threats, minacce avanzate persistenti) possono avere conseguenze molto gravi, come la bancarotta.

L'articolo La protezione dei dati principale preoccupazione nella modernizzazione dei data center proviene da Data Manager Online.

È radicalmente mutato il concetto stesso di perimetro difensivo: negli anni, Sky ha visto dilatarsi, sino a sparire, i confini fisici e tecnologici all’interno dei quali era gestito il nostro patrimonio informativo. Dalla gestione delle informazioni di business sino ai contenuti video, i confini tradizionali delimitati dalle mura di uffici, data center e centri di produzione si sono rarefatti, abbracciando i paradigmi del cloud computing e nuove modalità di interazione con abbonati e collaboratori. Questa continua evoluzione ci sollecita a rileggere costantemente, anche in chiave strategica, la funzione di Information e Cyber Security, portandoci a concentrare i nostri investimenti e attività sulla protezione dei contenuti, sul monitoraggio di informazioni e servizi critici, ovunque essi si trovino, e sull’analisi e correlazione continui di qualsiasi evento di sicurezza.

#Information #Cyber Security #Sky Matteo Feraboli: Sicurezza pervasiva e People centric
Click To Tweet

L’adattamento dei nostri sistemi di sicurezza ci ha permesso di assecondare una transizione indolore all’open working, che ha significato per molti colleghi il superamento del vincolo “fisico” di luogo lavorativo. In quest’ottica, stiamo implementando una soluzione di protezione della navigazione che ci garantisce copertura anche quando gli end-point escono dai nostri uffici, con il vantaggio di utilizzare un’unica piattaforma di amministrazione centralizzata. Questa soluzione, leader di mercato e già da tempo implementata presso le nostre sedi, ci permette di proteggere gli utenti dalle minacce informatiche a cui vengono esposti durante la navigazione e ci permette di avere visibilità di eventuali tentativi di attacco targettizzati. Lo stesso sistema contribuisce a garantire anche la protezione da fughe di dati attraverso il canale web. Detection. Risk driven. Sicurezza pervasiva e stratificata. People centric. Monitoraggio continuo.

#Information #Cyber Security #Sky Matteo Feraboli: Imparare a pensare come il nemico
Click To Tweet

Sono queste le cinque coordinate che definiscono la strategia di Information e Cyber Security in Sky. Detection, perché se dobbiamo considerare inevitabili gli incidenti di sicurezza, la chiave sta nella capacità di riconoscere tempestivamente la natura dell’evento malevolo e la sua portata per contenerne gli effetti. Risk driven, perché a fronte di risorse limitate, è necessario lavorare sulle priorità. Un approccio orientato alla valutazione dei rischi consente di mettere nel corretto ordine le esigenze che emergono. Pervasiva e stratificata, perché non ci piacciono le soluzioni chiavi in mano e all inclusive: le minacce sono tante, diverse e in continua evoluzione. Questo richiede una corretta orchestrazione di molteplici soluzioni di sicurezza e un discreto livello di personalizzazione e fine tuning. People centric, perché il fattore umano rimane ancora oggi uno degli aspetti più sottovalutati, ma che offre il maggior ritorno in qualsiasi politica di security. Per quanto riguarda il monitoraggio continuo, oltre all’incessante evoluzione del SIEM, stiamo esplorando le potenzialità dell’Entity and User Behavior Analysis: le informazioni di comportamento si integrano con i sistemi di correlazione degli eventi di sicurezza, e questo ci permette di cogliere tempestivamente i segnali, anche deboli, di attività malevole o fuori dalla normalità. Per proteggere le organizzazioni non basta innalzare barriere tecnologiche. È necessario lavorare su comportamenti e fattore umano. Sperimentare simulazioni di attacco. Imparare a pensare come il nemico. Coinvolgere tutti i livelli aziendali per aumentare la cultura della sicurezza. La collaborazione tra soggetti pubblici e privati per una maggiore conoscenza delle minacce potrebbe rappresentare una grande opportunità per fare fronte comune contro le minacce in continua evoluzione.

Matteo Feraboli CISO di Sky

L'articolo Information e Cyber Security in Sky proviene da Data Manager Online.

Il leader mondiale della cybersecurity Forcepoint ha reso noti i risultati di una nuova ricerca, che mostra che il 35% dei dipendenti in tutto il Regno Unito, la Francia, la Germania e l’Italia ammettono di essere stati coinvolti in una violazione della sicurezza, rappresentando per i CISO locali una sfida importante quando si tratta di proteggere i dati aziendali, in particolare alla luce della prossima European General Data Protection Regulation, che entrerà in vigore all’inizio del 2018. La nuova normativa non solo inserisce l’obbligo di notifica di una violazione entro 72 ore, ma imporre anche nuove severe sanzioni fino al 4% del fatturato annuo a livello mondiale per mancanze gravi.

Mentre gli incidenti che sono diventati particolarmente noti e la rapportistica hanno contribuito a far luce sui problemi di sicurezza per le minacce interne che affrontano i CISO europei, non esiste molto in termini di ricerca a livello europeo che analizzi la questione in modo più approfondito. Questo è il motivo per cui Forcepoint ha commissionato uno studio indipendente su oltre 4.000 impiegati in tutto il Regno Unito, Francia, Germania e Italia – per comprendere meglio gli atteggiamenti verso la protezione dei dati e le varie tipologie di minacce interne, malevole o accidentali, che impattano su organizzazioni e aziende in quelle aree.

I dati finali sono il risultato di svariate tipologie di attività dei dipendenti, intenzionali ed accidentali, malevole, negligenza del personale, limitata conoscenza delle regole basi della security e policy aziendali inefficaci. Tutti questi aspetti emergono quali cause di violazioni della sicurezza. In particolare, la ricerca rileva livelli preoccupanti di comportamenti a rischio da parte dei dipendenti all’interno delle imprese:

·         Il 14% dei dipendenti metterebbe a repentaglio il proprio posto di lavoro con la vendita di credenziali aziendali ad estranei e il 40% di costoro lo avrebbe fatto per meno di 250 Euro – il 55% dei dipendenti intervistati nel Regno Unito sarebbe disposto a vendere credenziali per tale importo.

·         Poco meno di un terzo (29%) degli intervistati hanno volutamente inviato informazioni non autorizzate a terzi, mentre il 15% del personale europeo hanno portato le informazioni critiche di business con loro da un lavoro all’altro. Il 59% prevede che potrebbe utilizzarle nel prossimo incarico.

Eppure, i risultati mostrano anche una grave mancanza di consapevolezza dei dipendenti di come il loro comportamento aumenta i rischi per la sicurezza dei dati aziendali:

•        Quasi la metà (43%) dei lavoratori europei non credono che la loro organizzazione sia attualmente vulnerabile a una minaccia alla sicurezza causate da addetti ai lavori, mentre il 32% sono o inconsapevoli o incerti circa le conseguenze di una violazione dei dati.

•        Quasi un quarto (22%) o non credono che le violazioni dei dati comportino un costo per i loro datori di lavoro, o sono incerti; con la Francia e il Regno Unito che rappresentano le nazioni con i più bassi livelli di consapevolezza di tali costi e delle conseguenze.

•        Il 39% dei lavoratori europei riferisce di aver non ricevuto alcuna formazione in merito alla protezione dei dati e più di un quarto (27%) delle organizzazioni ancora non ha sufficienti policy di sicurezza per prevenire la perdita di dati o non riesce a farle rispettare.

L’indagine evidenzia anche alcune tendenze interessanti in Europa:

•        Gli intervistati italiani (45%) hanno più probabilità di essere coinvolti in una violazione della sicurezza, rispetto ad appena il 27% degli intervistati nel Regno Unito.

•        I lavoratori francesi (36%) sono più inclini a ritenere che la loro organizzazione sia vulnerabile alle minacce alla sicurezza provenienti da sistemi controllati da hacker, addetti ai lavori non autorizzati, credenziali rubate o utenti negligenti, più di quelli in Italia (33%) e Regno Unito (22%) e più del doppio dei dipendenti tedeschi (15%);

•        Il Cloud rappresenta un’area di notevole incertezza quando si tratta di sicurezza. Nel Regno Unito, il 55% degli intervistati non sono sicuri se i loro dati siano più o meno sicuro nel cloud e il 38% non considerano la sicurezza prima di caricare i file. La Francia ha dati simili, 52% e 33%, rispettivamente, mentre leggermente piu’ bassi, ma sempre significativi i dati rilevati in Italia (33% e 17% rispettivamente) e Germania (33% e 21%, rispettivamente);

•        La necessità di formazione in merito alla protezione dei dati è molto diffusa. Quasi la metà (47%) dei dipendenti francesi non hanno mai ricevuto una formazione, percentuale che scende al 41% nel Regno Unito, al 37% in Germania e al 31% in Italia.

Mike Smart, Product & Solutions Director di Forcepoint ha commentato: “La ricerca ha costantemente dimostrato che le violazioni causate da dipendenti sono tra le più dannose esistenti in termini di impatto finanziario e di reputazione. Le organizzazioni che ignorano i potenziali rischi per la sicurezza che possono essere causati da dipendenti e altri addetti ai lavori perdono un’importante occasione, ossia quella di rafforzare il proprio stato di sicurezza e proteggere le loro aziende in modo più ampio”.

L'articolo Forcepoint annuncia i risultati di una Survey Europea sugi Insider proviene da Data Manager Online.

La Digital Transformation informa i processi innovativi di aziende e organizzazioni. Migliora l’erogazione di prodotti e servizi così come la risposta alle richieste dei clienti. Riduce i costi e crea allo stesso tempo infrastrutture più flessibili in grado di adattarsi meglio alla crescita del  business. Un’accelerazione sorretta da tecnologie dirompenti come cloud computing, mobilità, big data, Internet of Things che ridisegnano il modello di business di molte aziende cambiando in profondità il loro modo di operare. In questi processi la sicurezza gioca un ruolo importante, ben oltre la pura e semplice protezione. Evolvono le strategie di CSO e CISO, chiamati a definire nuove priorità e a identificare nuove soluzioni per proteggere dati e infrastrutture senza rallentare l’operatività giornaliera.

Fortinet prova a dar conto di questi cambiamenti presentando alla stampa i risultati del Security Census 2016, una ricerca condotta su un campione di 1.400 decision maker di area tecnica in rappresentanza di un migliaio di aziende EMEA (Germania, Francia, Gran Bretagna, Spagna e Italia) con più di 250 dipendenti. I dati raccolti restituiscono una fotografia credibile delle modalità con cui i responsabili della sicurezza sviluppano le proprie priorità e strategie rispetto all’evoluzione delle minacce e alla necessità di dotarsi di soluzioni di sicurezza di nuova generazione. “Diciamo subito che Cloud e vulnerabilità dei sistemi IT sono le maggiori preoccupazioni del personale tecnico interpellato” ci dice Filippo Monticelli, country manager Fortinet. “Per il 53% dei rispondenti la nuvola rappresenta la minaccia alla sicurezza più sentita. Dato più contenuto, 43%,  se consideriamo le risposte del campione italiano, circa un centinaio di aziende. Che invece attribuisce alle vulnerabilità dei sistemi la palma di peggior mal di testa (59% dei rispondenti) tra quelli che già affliggono il settore (53% se si considera l’area EMEA globalmente)”.

Minacce a cui dichiarano di rispondere con nuovi investimenti in tecnologia (48% contro il 45 dell’Italia). Anche se per una quota significativa di loro – 4 aziende su 10 – la pressione esercitata dalle continue minacce agli asset aziendali rappresenta una spinta potente verso la gestione in outsourcing della sicurezza da parte di  MSSP (Managed Security Service Provider). La ricerca naturalmente si presta a diversi livelli di lettura e interpretazione. Per Fortinet uno degli aspetti più interessanti a emergere è l’esigenza tra le aziende EMEA di medio-grandi dimensioni, indipendentemente dal settore di appartenenza, di mettere ai primi posti tra le loro priorità di investimento strumentazione per la sicurezza end-to-end che incorpori funzionalità di threat intelligence.

“Sempre più aziende comprendono quanto sia importante riuscire a rispondere in modo tempestivo alle violazioni di sicurezza. Il consiglio che diamo a clienti e prospect è di investire in soluzioni integrate e adattabili a reti e perimetri che di fatto ormai non hanno più confini. Fortinet è in grado di offrire questa sicurezza senza compromessi” afferma Monticelli.  Si stima che tra l’80 e il 90% delle aziende subisca almeno una fuoriuscita di dati nel corso di un anno. Meno del 16% delle aziende riesce a individuare la falla entro le prime due ore in cui si manifestano gli effetti negativi. Al contrario ancora una quota troppo elevata di aziende (27%) scopre la falla dopo mesi o addirittura anni. “La risposta a queste minacce viene da investimenti in tecnologia che presidino l’intero ciclo di vita della minaccia. Investimenti in bundle che comprendono soluzioni di sicurezza come e-mail gateways; firewall; endpoint protection; application security e servizi evoluti di threat intelligence che consentano lo scambio di feed sia con le soluzioni SIEM Fortinet che con piattaforme di terze parti” afferma Monticelli.

L'articolo Fortinet mappa le strategie di sicurezza delle aziende EMEA proviene da Data Manager Online.

Quello della security, cioè della sicurezza informatica, rappresenta senza dubbio un denominatore comune che riguarda trasversalmente tutti i paradigmi dell’IT, anche quelli più recenti. «Dal punto di vista del player che si occupa di sicurezza, il cloud, l’Internet of Things e i big data sono fenomeni da prendere in considerazione unitariamente, in quanto si tratta di abilitatori di business che devono essere sempre nella massima efficienza e al riparo da ogni tipo di minaccia» – avverte Emiliano Massa, senior director of regional sales South Europe di Forcepoint, la nuova entità nata all’inizio di quest’anno dall’integrazione di Websense, Raytheon Cyber Product e Stonesoft.

Emiliano Massa @Forcepointsec la #sicurezza per abilitare il #business
Click To Tweet

La security fin dall’inizio

Ma è importante che si pensi alla security quando si è nella fase iniziale di tutti questi progetti innovativi, «in quanto molto spesso capita che si privilegi l’utilizzo di app studiate per dare accesso sempre più facile e rapido ai dati, e che solo in una fase successiva si aggiungano app di security che però aumentano la complessità» – prosegue Massa. Fortunatamente, questo non avviene in tutti i casi, anche perché «esistono numerose realtà che utilizzano figure di risk management come il chief information security officer (CISO), in maniera trasversale, iniziando a occuparsi di security nella fase di startup del progetto» – fa notare Massa, spiegando che «questo permette di ridurre la complessità, oltre che dare la possibilità di essere proattivi e reattivi nella gestione della security in senso ampio».

Mancano figure specializzate

Nello scenario attuale della security, secondo Emiliano Massa, «vi sono alcuni aspetti critici che vanno affrontati, come per esempio la scarsità a livello mondiale di figure specializzate come i cyber architect o i cyber analyst: si tratta di professionisti molto ricercati che oltretutto richiedono in media un percorso di 13 anni per essere formati in maniera adeguata. La loro professionalità è resa sempre più necessaria sia dal continuo sviluppo delle minacce, che sono ogni giorno più sofisticate, sia dal contesto di mercato in cui si ha la presenza di numerose piattaforme di security che spesso non si parlano tra loro, complicando non poco il quadro». È in questo contesto che si rende necessario «introdurre tecnologie che agiscano sempre più in termini di discovery delle nuove minacce, grazie a funzioni di analytics delle informazioni provenienti dai diversi dispositivi» – sottolinea Massa, facendo notare che «Forcepoint ha da tempo aperto la propria capacità di analytics a feed esterni, allo scopo di avere un quadro delle minacce il più possibile completo, con l’importante risvolto di dare la massima visibilità su ciò che accade, ma con dati aggregati per fornire informazioni ordinate per tipologia di rischio, in modo da concentrare le forze solo sugli attacchi e sulle minacce veramente gravi».

Piattaforma unica

Più in dettaglio, la strategia di Forcepoint è quella di «creare un’unica piattaforma che protegga dalle minacce esterne e interne, minimizzando il più possibile il periodo tra il verificarsi dell’episodio e la risoluzione del problema, definito in gergo come dwell time» – prosegue Massa. La strategia è chiamata 4D in quanto individua le quattro azioni da compiere per la sicurezza: Defend, Detect, Decide e Defeat, cioè difendere, rilevare, decidere e sconfiggere. Quindi, rispettivamente, difendere il perimetro con soluzioni real time; rilevare le diverse minacce dando tutti gli elementi per gestire e capire l’attacco, con la discovery; decidere in quale modo intervenire, anche con analytics di tipo forensic; e infine sconfiggere l’attacco. Tutto questo senza dimenticare le soluzioni di threat remediation, volte anche a ridurre la permanenza dell’attacco nel network del cliente, il cui tempo medio è oggi di norma nell’ordine dei 200 giorni.

Analizzare i comportamenti

«Un aspetto essenziale delle nostre soluzioni è che si basano su API aperte in grado di interagire con le tecnologie in uso nelle aziende, con l’obiettivo di consolidare quello che già esiste, e ridurre la frammentazione delle soluzioni di sicurezza presso i clienti» – spiega Massa, sottolineando anche l’importanza di un «approccio globale alle esigenze di sicurezza, che impone di non limitarsi unicamente all’analisi del codice, ma soffermarsi anche sui comportamenti, ragionando con la logica del rischio». Questo non significa che analizzare il codice passi in secondo piano, visto che rimane sempre un elemento fondamentale, anche per la notevole mutevolezza dei codici, ma deve andare di pari passo con l’analisi del comportamento delle persone, in quanto «ci sono attacchi che credevamo superati, ma che rimangono ancora attivi a causa del comportamento degli utenti, e se nel 2015 si è notata una forte riduzione dello spam, sono invece tornati in auge i vecchi sistemi, e questo non può che spingere a prestare ancora più attenzione alle minacce interne» – fa notare Massa. Lo dimostra anche il recente rapporto “Forcepoint 2016 Global Threat”, il primo redatto come Forcepoint, che ha enucleato le più recenti minacce, partendo dall’analisi dei dati raccolti da più di tre miliardi di data point al giorno in oltre 150 paesi in tutto il mondo. Tra i dati salienti, il fatto che le minacce via email siano aumentate del 250% rispetto al 2014, spinte soprattutto da malware e ransomware che hanno obiettivi sempre più sofisticati, e anche dal fatto che oggi le minacce più insidiose sono costituite dagli insider che minano la sicurezza dall’interno dell’azienda.

Emiliano Massa @Forcepointsec In Italia, la security è ancora una voce di costo
Click To Tweet

Luci e ombre in Italia

Esaminando invece lo scenario della security in Italia, si nota la presenza di caratteristiche positive, anche se non mancano alcuni aspetti negativi. Per quanto riguarda questi ultimi, Massa rileva che «nel nostro Paese, non sono pochi i casi in cui la security viene tuttora vista come un costo e non come uno strumento in grado di abilitare ancora di più l’efficienza generale di business. In molte realtà, l’imperativo è spendere il meno possibile per la sicurezza». A questo fa però da contraltare il fatto positivo che «per la protezione delle infrastrutture critiche a livello governativo, si segue anche da noi l’onda dell’Unione europea, che spinge da tempo per una sensibilizzazione sul tema» – prosegue Massa. A questo non è estraneo il fatto che nella pubblica amministrazione si è presa da tempo coscienza dell’importanza della sicurezza, come è dimostrato dalla circostanza che si sta procedendo all’identificazione del data protection officer, previsto come figura interdisciplinare entro il 2018, sulla base della direttiva europea. Si tratta anche in questo caso di un elemento senz’altro positivo, in grado di ampliare la percezione della security come vera e propria protezione del dato e non come protezione dei diversi pezzi che compongono l’organizzazione o l’azienda» – conclude Emiliano Massa.

L'articolo Emiliano Massa (Forcepoint), la sicurezza per abilitare il business proviene da Data Manager Online.

Cambiano gli scenari e cambia il ruolo dei CIO, anche alla luce delle nuove sfide della trasformazione digitale. Ivan Straniero, dal suo punto di osservazione privilegiato di regional manager Southern & Eastern Europe di Arbor Networks, azienda da sempre in prima linea nella security IT, di cui coordina le attività in quasi venti paesi in Europa, spiega a Data Manager come in Italia, dove il tessuto economico è formato per la maggior parte di piccole e medie imprese, si vedano «i CIO e soprattutto gli IT manager affrontare la trasformazione digitale con ruoli sempre più orientati al business: se in passato l’IT era al servizio interno dell’azienda, oggi è sempre più una componente strategica del business».

Tendenza conservatrice

Ma attenzione: «Se nelle realtà più strutturate in Europa vi sono ormai figure complementari che ruotano attorno al CIO per cooperare nelle decisioni di business aziendali, come i chief data officer (CDO) o i chief marketing officer (CMO), in Italia si nota ancora una tendenza conservatrice, fatta per lo più di persone che non si mettono in gioco, continuando per così dire a coltivare il proprio orticello» –prosegue Straniero. Ma è anche un problema di investimenti, perché «di sicuro la maggior parte dei CIO sa che c’è bisogno di innovazione, ma poi si scontra con i budget. Non solo. Le aziende enunciano spesso di voler usare l’innovazione tecnologica ma poi si trovano a dover fare i conti con la realtà. Inoltre, in Italia perdura sempre un po’ di lentezza, dovuta al desiderio di contenere i costi evitando di effettuare investimenti considerevoli» – spiega Straniero, pur sottolineando che oggi «vi sono non poche aziende di sicura eccellenza, che sono partite per prime e hanno innovato, magari saltando a piè pari alcune fasi».

#siamoforty Ivan Straniero @arbornetworks Le nuove sfide della sicurezza
Click To Tweet

Il peso delle nuove figure

Allargando il discorso all’area coordinata da Ivan Straniero, che comprende 18 paesi europei oltre al nostro, il manager fa sapere che «vi sono realtà in cui queste nuove figure stanno prendendo piede, mentre in Italia non sono ancora così gettonate. Per esempio, in Turchia, dove al momento vi è molto dinamismo a livello di tecnologia, come nell’ambito delle reti informatiche che si stanno sviluppando molto anche nel settore mobile, con il 4.5 G in netta crescita, nonostante siano arrivati tardi al 3 G, si nota una preminenza dei chief information security officer (CISO), a fianco dei CIO, anche alla luce del fatto che molte aziende stanno investendo molto per migliorare le infrastrutture dal punto di vista della sicurezza». Una tendenza dinamica che si riscontra, secondo Straniero, anche in Polonia, dove «vi è un solido interesse per la sicurezza nonostante il numero di attacchi informatici sia inferiore rispetto alla Turchia». E questo spinge il manager di Arbor Networks ad auspicare che in Italia si prenda esempio da questi due paesi per ritrovare il coraggio di osare di più a livello di innovazione: «Qui da noi servirebbe senz’altro una maggiore spinta e una buona dose di dinamismo. E l’esempio della Turchia è quello di un paese che, al di là del momento politico, ha molto da dire in termini di spirito di iniziativa, anche a livello di start-up e di business online».

La governance ideale

Infine, l’analisi di Ivan Straniero tocca un altro punto rilevante per l’IT degli anni a venire: quello della governance ideale per avere un’IT aziendale non più vista come centro di costo ma come vero motore di crescita e di trasformazione digitale. E la conclusione è chiara: «Sarebbe opportuno che il CIO e il suo ruolo vengano visti come un centro di scambio di idee, o meglio come un punto focale cui tutti fanno capo per prendere tutte le opportune decisioni tecnologiche ai fini del business. Perché anche tenendo presenti i nuovi scenari e le nuove possibilità, l’IT non va più vista solo come un servizio ma anche come uno strumento per generare nuove opportunità di business».

L'articolo Ivan Straniero (Arbor Networks), le nuove sfide della sicurezza proviene da Data Manager Online.

IBM ha pubblicato un nuovo studio, condotto dal suo Institute for Business Value su oltre 700 top manager, che ha rivelato come molti leader appartenenti alla C-Suite  non conoscano quali siano le reali minacce nell’ambito della sicurezza informatica e le modalità con cui affrontarle in modo efficace.

Il nuovo studio, Securing the C-Suite, Cybersecurity Perspectives from the Boardroom and C-Suite, si basa su interviste effettuate a CxO provenienti da 28 paesi e appartenenti a 18 settori diversi, sul tema della sicurezza informatica nelle imprese. La ricerca non includeva i CISO (Chief Information Security Officer), poiché la finalità era ottenere un quadro reale di ciò che detutti gli altri manager appartenenti alla C-Suite pensano relativamente alla sicurezza informatica. Anche se la sicurezza informatica è considerata una delle principali aree critiche dal 68 per cento dei CxO e il 75 per cento degli stessi è convinto dell’importanza di un piano complessivo per la sicurezza, lo studio ha rivelato che i dirigenti che ricoprono ruoli chiave devono essere maggiormente coinvolti, insieme ai CISO, per assumere un ruolo più attivo e andare oltre la  semplice pianificazione della sicurezza aziendale.

Uno dei risultati più importanti dello studio è che il 70 per cento dei CxO ritiene che la minaccia più seria per la propria organizzazione sia costituita da singoli individui che perseguono finalità illecite. Nella realtà, secondo un rapporto delle Nazioni Unite, l’80% degli attacchi informatici sono guidati da organizzazioni criminali estremamente complesse, nelle quali si condividono in modo diffuso dati, strumenti e competenze. Lo studio ha rilevato che i vertici aziendali sono preoccupati da un ampio spettro di minacce, tra cui il crimine organizzato, citato dal 54 per cento degli intervistati, e la concorrenza, causa di preoccupazione per il 50 per cento dei partecipanti.

Oltre il 50 per cento dei CEO concorda sulla necessità di collaborare per combattere i crimini informatici. Paradossalmente però, solo un terzo di loro ha espresso la disponibilità a condividere esternamente le informazioni sugli incidenti di sicurezza informatica avvenuti all’interno della propria organizzazione. Ciò rivela una certa resistenza verso una collaborazione di settore diffusa e coordinata, mentre i gruppi di hacker continuano a perfezionare sul Dark Web la propria capacità di condividere informazioni, quasi in tempo reale. I CEO hanno anche sottolineato che si aspettano di più da vari soggetti esterni: maggiore sorveglianza da parte degli enti governativi, maggiore collaborazione all’interno del settore e condivisione delle informazioni a livello transnazionale, persino da parte dei concorrenti. Questa contraddizione deve ora trovare una soluzione.

“Il mondo della criminalità informatica è in rapida evoluzione, ma molti top manager non dimostrano una comprensione delle minacce al passo con i tempi,” ha dichiarato Caleb Barlow, Vice Presidente IBM Security. “Mentre i CISO e i  Consigli di Amministrazione possono contribuire a fornire adeguate linee guida e strumenti, i CxO delle funzioni marketing, risorse umane e finanza, cioè delle aree a più elevata concentrazione di grandi volumi di dati sensibili, dovrebbero essere coinvolti più attivamente nelle decisioni relative alla sicurezza, insieme al CISO.”

In effetti, tali funzioni rappresentano obiettivi primari per i criminali informatici, poiché gestiscono dati sensibili relativi a clienti e dipendenti, nonché le informazioni finanziarie aziendali più importanti e l’accesso ai dati bancari. Nello studio, circa il 60 per cento dei CFO, CHRO e CMO riconoscono chiaramente di non essere attivamente coinvolti (e di conseguenza nemmeno i loro reparti) nelle strategie di protezione informatica e nella loro attuazione. Ad esempio, solo il 57 per cento dei CHRO riferisce di aver promosso attività di formazione dei dipendenti sulla sicurezza informatica, che costituisce il primo passo per coinvolgerli attivamente sull’argomento.

Cosa possono fare le aziende

Un numero elevatissimo di CxO intervistati, il 94 per cento, ritiene probabile che la propria azienda si trovi ad affrontare un importante incidente di sicurezza informatica nell’arco dei prossimi due anni e solo  il 17 per cento  si sente preparato e in grado di rispondere a queste minacce. IBM ha identificato delle figure di spicco tra gli intervistati, classificando il 17 per cento che si ritiene preparato e capace,come “Cyber-Secure”. I leader “Cyber-Secure” presentano una probabilità due volte più alta di integrare, con la collaborazione, i CxO nel programma di sicurezza informatica aziendale. Presentano, inoltre, una probabilità due volte più elevata di avere la sicurezza informatica come argomento presente nell’’ordine del giorno del Consiglio di Amministrazione.

Suggerimenti per diventare leader “Cyber-Secure”

•    Comprendere i rischi: valutare i rischi del proprio ecosistema, condurre valutazioni dei rischi per la sicurezza, sviluppare programmi di istruzione e formazione per i dipendenti e inserire la sicurezza nella pianificazione dei rischi dell’organizzazione.
•    Collaborare, formare e responsabilizzare: stabilire un programma di gestione della sicurezza, responsabilizzare il CISO, portare e discutere regolarmente la sicurezza informatica nelle riunioni dei vertici aziendali e includerli  nello sviluppo di un piano di risposta agli incidenti.

·        Gestire i rischi con attenzione e rapidità: mettere in atto un monitoraggio continuo della sicurezza, sfruttare le scienze forensi relative agli incidenti, condividere e utilizzare l’intelligence relativa alle minacce per proteggere l’ambiente, mappare le risorse digitali all’interno delle organizzazioni e sviluppare conseguenti piani di mitigazione dei rischi, nonché sviluppare e far applicare le policy sulla sicurezza informatica.

L'articolo Crimini informatici: top manager e CISO divisi su come combatterli proviene da Data Manager Online.

Prima o poi, bisognerà aggiungere una sedia al tavolo color mogano dei decisori per fare posto al chief information security officer (CISO), la figura che dovrà coadiuvare il management nel compito – tutt’altro che agevole – di guidare la strategia di sicurezza. Per ora si tratta solo di un cambio auspicato. Almeno qui da noi. Ma non oltreoceano, dove – complici le clamorose débâcle di sicurezza – l’urgenza di correre al più presto ai ripari ha scatenato una vera e propria caccia ai migliori professionisti in circolazione. D’altra parte, chi altri dispone degli strumenti per scattare una fotografia chiara e sintetica della situazione? Al CISO, spetta stimare l’entità della minaccia informatica e dei danni che può provocare; individuare i punti deboli da presidiare senza sottovalutare l’incidenza dell’errore umano; presentare al management le opzioni percorribili; costruire metriche che rendano possibile per entrambe le parti misurare il grado di efficacia dell’intervento. Non solo. Dispone di una serie di competenze specialistiche rare e spesso disperse. Padroneggia una normativa complessa, soggetta a frequenti cambiamenti. L’esperienza lo guida nel tracciare una distinzione netta tra fatti prevedibili e cigni neri. Così come nel cucire addosso ai decisori, l’abito di sicurezza a misura delle loro esigenze. Il riconoscimento da parte del management della centralità di questa figura incarnerebbe dunque la classica situazione win-win, in cui tutti gli attori coinvolti guadagnano e nessuno perde.

#security Giancarlo Vercellino @IDCItaly La #sicurezza al centro del #business
Click To Tweet

Attenti, alle scatole di montaggio

Se da un lato le polemiche sulla cyber security alimentano il dibattito politico, dall’altro l’industrializzazione, l’automazione degli attacchi e i costi per la gestione dei rischi spaventano le aziende e fanno aumentare il livello di allerta. È in arrivo, per esempio, il ransomware versione “Ikea”, in scatola di montaggio. Codice scritto in HTML, CSS e JavaScript. Linguaggi, da sempre impiegati nella creazione di siti web ma sconosciuti ai creatori di virus. Pochi e semplici passaggi e il gioco è fatto. Malware pronto all’uso per spillare più quattrini possibile ai soliti malcapitati. Lo rivela la BBC, che documenta altresì la relativa facilità con cui è possibile procurarsi il software, a disposizione di tutti coloro che sappiano navigare nel deep web e abbiano qualche bitcoin da spendere. Ma sono in arrivo anche nuove varianti di ransomware per smartphone e che non risparmiano più il sistema operativo di Apple e Linux. Vittime predestinate di questa ondata di nuovo malware – proveniente per il 90% da quel “triangolo delle Bermude cyber” rappresentato da Russia, Ucraina e Bielorussia – sono le pubbliche amministrazioni, ASL, comuni, anagrafi. Alla fine ancora noi e i nostri dati.

Il 2015 è stato l’anno del ransomware

Gli attacchi CryptoLocker, alimentati anche dal fenomeno in crescita del malvertising, la diffusione di codice dannoso attraverso banner pubblicitari, sono praticamente raddoppiati rispetto al 2014. Secondo una stima effettuata da Kaspersky Lab sarebbero state infettate più di 50mila macchine aziendali. Solo negli USA, l’FBI stima che questi attacchi abbiano fruttato oltre 18 milioni di dollari in riscatti nel periodo che va tra aprile 2014 e giugno 2015. Senza contare i danni connessi (fermo macchina, intervento dell’help desk, e così via).

#security Zapparoli Manzoni @Clusit Sicurezza a due velocità. Più avanti, le grandi imprese
Click To Tweet

Investimenti più ragionati

Secondo l’indagine condotta da DNV GL – Business Assurance, con il supporto dell’istituto di ricerca GFK Eurisko, nel 2015 la cyber security è schizzata in cima alle preoccupazioni della stragrande maggioranza dei manager. Secondo Roberto Davico, esperto di ICT Governance di DNV GL – Business Assurance, la sicurezza delle informazioni è «un aspetto chiave dal punto di vista delle dinamiche di business, rilevante per le strategie dell’81% delle aziende intervistate». Dato che sale all’84% per le aziende che impiegano più di 250 dipendenti. E all’85% tra le aziende italiane. La necessità di farsi carico della sicurezza delle informazioni non è certo una novità per le aziende. E di certo non lo è per quelle più grandi e strutturate, dotate in genere di risorse più cospicue, a fronte di esigenze di governance e di gestione del rischio più pressanti. «In queste realtà – rileva Andrea Zapparoli Manzoni, membro del Comitato direttivo di CLUSIT – non solo è cresciuta la consapevolezza, ma si sta facendo molto in concreto, applicando contromisure tecniche e organizzative che si dimostrano abbastanza efficaci».

Secondo i dati della ricerca DNV-GL, negli ultimi tre anni il 62% delle imprese italiane ha investito in iniziative specifiche. «Le più diffuse sono state l’investimento in strumenti per la sicurezza delle informazioni (45%) l’adozione di policy specifiche approvate dal top management (36%) e la formazione del personale (33%)» –spiega Davico di DNV GL. Inferiore invece, rispetto alla media globale, la spesa in personale specializzato (19%), voce questa che secondo la survey fa si che «le aziende italiane si discostino ampiamente dalla media globale riguardo alla presenza di professionalità adeguate per la gestione dell’information security». A questo proposito, Giancarlo Vercellino, research & consulting manager di IDC Italia ci dice che in termini assoluti «la spesa in security raggiunge i maggiori volumi sul segmento degli endpoint e dell’identity access management, che da soli rappresentano due terzi del software per la sicurezza in Italia». Sin qui le aziende che investono. Ma che dire di quell’area grigia nella quale si investe poco e male? «In questi casi purtroppo – dichiara Zapparoli Manzoni di CLUSIT – la consapevolezza cresce solo a causa dei continui attacchi, spesso con conseguenze pesanti (perdita di dati, interruzione dell’attività). Consapevolezza alla quale non corrisponde una capacità di porre in essere correttivi efficaci». Le dimensioni dell’azienda spesso rappresentano un indicatore preciso della qualità degli investimenti. «Le grandi imprese pur investendo molto in tecnologia dedicano quote significative di budget alla formazione e agli aspetti organizzativi. Invece, le medio-piccole comprano quasi esclusivamente tecnologia, il che di per sé non aiuta a mitigare tutti i rischi. Di frequente, si tratta di investimenti guidati dall’offerta dei vendor, che non sempre tengono in considerazione le vere esigenze di un’azienda» – continua Zapparoli Manzoni. Volumi di spesa che, secondo alcuni esperti, sarebbero ancora inadeguati al livello della minaccia. «Da quanto osserviamo, si fa ancora abbastanza poco» – fa notare Vercellino di IDC Italia. «E certo, dipende dagli interessi in gioco e dal settore di riferimento.

#security Roberto Davico @DNVGLBA_IT #CISO Cambio di mentalità e cambio di rotta
Click To Tweet

Ma se vogliamo guardare al solo dato medio, non possiamo stare molto tranquilli». E la crescita dei budget dovrebbe procedere di pari passo con l’allocazione più efficiente delle risorse. «Oggi, rispetto alla natura delle minacce prevalenti – concorda Zapparoli Manzoni – si spende molto più in protezione della rete di quanto si spenda in termini di protezione dei device mobili o degli endpoint. In modo analogo, si spende troppo poco in sicurezza applicativa e sviluppo di codice sicuro». Anche nella qualità degli investimenti, la situazione varia molto da PMI a medio-grande azienda. «I budget di sicurezza stanno certamente crescendo, pur se con grande difficoltà, perché si tratta di spendere denaro il cui stanziamento non era previsto. Purtroppo però in modo disorganico, spesso in conseguenza di una crisi, senza una strategia chiara» – spiega Zapparoli Manzoni. La maggioranza delle aziende, spinta principalmente da intenti di protezione delle informazioni, sta ancora lavorando sui requisiti infrastrutturali essenziali, quelli che richiedono gli investimenti più consistenti ma che sono indispensabili per evitare violazioni e perdite e garantire, allo stesso tempo, la disponibilità e l’accesso ai dati. «In questo senso, le aziende incontrano ancora numerose difficoltà quando si tratta di darsi degli obiettivi concreti» –conferma Davico di DNV GL. «Tuttavia, dalla nostra ricerca emerge un gruppo di aziende “leader”, che corrisponde circa al 25% delle aziende rispondenti, capace di porsi obiettivi misurabili». Una quota, ancora minoritaria e tuttavia significativa, ha valicato il confine simbolico tra un approccio “difensivo” e un altro più orientato alla gestione sistemica. Si tratta di aziende che hanno incorporato la gestione degli aspetti di information security nelle pratiche quotidiane, apprendendo la capacità di diffondere una cultura della sicurezza all’interno dell’intera organizzazione. «Realtà che sono riuscite a darsi dei numeri a cui fare riferimento. Un fattore importante per determinare il loro grado di maturità in relazione alla sicurezza» –argomenta Davico. Un buon viatico, che annuncia – nonostante la presenza di scelte ancora influenzate da errori – l’affermarsi di una cultura della sicurezza più allineata alla complessità delle sfide. Il segnale che non si investe più solo perché si deve. O perché ci si sente assediati dalle minacce e dal timore di patire danni ingenti. E questo è la prova che si sta facendo largo una mentalità diversa. Più attenta ai reali bisogni e meno alle mode.

#security Sicurezza? Servono più investimenti e formazione @IDCItaly @DNVGLBA_IT
Click To Tweet

Una nuova postura di sicurezza

Secondo uno studio condotto da Accenture in collaborazione con il Ponemon Institute, esistono una serie di caratteristiche che accomunano le aziende proattive nel campo della cyber security. Per esempio, la velocità nel riportare al management i dati relativi a un incidente di sicurezza; l’attribuzione di ruoli e responsabilità precise agli attori in campo; l’efficacia nella comunicazione verso i propri collaboratori e partner. Soprattutto la capacità di misurare le proprie performance di sicurezza nell’identificare il maggior numero possibile di minacce, consente di mettere in campo un programma di difesa flessibile per adattarsi anche a quelle sconosciute. Efficacia che non è necessariamente sinonimo di complessità. Né si accompagna esclusivamente a progetti faraonici. Tra i manager più avveduti, guadagna terreno la tendenza a prestare ancora maggiore attenzione “all’igiene delle infrastrutture”, concentrandosi sull’ABC della sicurezza. Se per alcune realtà, la realizzazione di progetti ambiziosi e tecnologicamente avanzati rappresenta l’asticella con cui misurare la propria capacità di produrre sicurezza, in altri contesti l’eccellenza si declina con la capacità di mostrarsi impeccabili nell’implementazione delle misure essenziali. Certo, disporre di tecnologia all’altezza non guasta. Nelle realtà più strutturate, la presenza di soluzioni in grado di identificare anomalie nel traffico di rete, di assegnare priorità efficaci alle minacce e di anticipare l’eventualità di un attacco, palesa plasticamente capacità ed efficacia dell’organizzazione. In queste realtà, anche la sperimentazione è la benvenuta.

Nel settore finanziario per esempio, alcuni istituti di credito utilizzano l’autenticazione biometrica direttamente allo sportello del bancomat. In altri, si stanno testando nuovi metodi di autenticazione social e di identificazione basata sul contenuto o sul rischio. Servizi, oggi in fase sperimentale, pronti però a trasformarsi in vantaggio competitivo. Una manna per le banche, esposte allo stillicidio di attacchi di successo e all’erosione della loro capacità di trasmettere fiducia e sicurezza ai clienti. Sull’onda di questa mutata sensibilità, oltre che di budget più generosi, anche la formazione trae beneficio. Per una quota importante di problemi di sicurezza, i CISO sanno bene che la formazione ai dipendenti può avere ricadute importanti. Anche se nessuno nasconde la difficoltà di riuscire a far accettare comportamenti più prudenti e responsabili ai propri collaboratori. Nuova linfa ricevono anche le iniziative rivolte allo sfruttamento delle possibilità offerte dalla collaborazione interna, come lo scambio e la raccolta di informazioni tra funzioni e l’analisi delle interazioni tra aree aziendali. Attività che travalicano l’orizzonte ristretto dell’azienda e che incoraggiano la condivisione di esperienze tra aziende dello stesso settore. Negli USA, la collaborazione tra aziende della stessa filiera produttiva, manifattura e supply chain per esempio, non solo è incentivata, ma riceve anche un supporto normativo. Infatti, sempre più spesso si registra la presenza, accanto all’offerta di un certo prodotto o servizio, di questionari dettagliati che mirano a descrivere la postura di sicurezza adottata dal potenziale fornitore. Nessun obbligo di rispondere, ma la certezza che facendolo si potranno avere maggiori possibilità di fare affari con i pezzi grossi del settore. Un accorgimento che serve a entrambe le parti per alimentare la dovuta attenzione alla sicurezza.

#security Così le aziende si difendono dalle minacce @Clusit @DNVGLBA_IT @IDCItaly
Click To Tweet

La sicurezza che verrà

Sino a ieri, a meno di sfracelli, raramente un CISO sedeva al tavolo del management. La musica però sta cambiando. La sua presenza non è più un evento raro ma una concreta possibilità. D’altra parte anche le aspettative nei riguardi della sicurezza sono cambiate. Il manager della security sa che al verificarsi di un attacco informatico di un certo rilievo, non dovrà farsi cogliere impreparato. Come nella storiella della gazzella nella savana, sa che dovrà correre più forte del leone per assicurarsi la sopravvivenza. Certo la pratica dannosa di interpellare il CISO solo quando scoppia il bubbone non è affatto debellata. Accade e accadrà ancora. Ma sempre più di rado. Infatti, si moltiplicano i segnali di un monitoraggio più attento e costante da parte del management nei riguardi dei fattori di rischio in azienda. Così come lo sforzo più puntuale di verificare e tenere traccia degli sforzi profusi dall’IT in termini d’impegno e adozione delle misure necessarie e cost-effective per proteggere l’azienda. L’auspicio è che presto si affermi in entrambe le parti la necessità di disporre di una visione condivisa del rischio: un cambio di mentalità che attesterà, più di qualunque altro cambiamento, il riconoscimento dell’importanza della sicurezza. E sarà la prova tangibile dell’assunzione decisa di responsabilità da parte del management di farsi carico della governance della sicurezza IT.

L'articolo Sicurezza? Più investimenti e formazione. Così le aziende si difendono dalle minacce della rete proviene da Data Manager Online.