Sfruttare il cloud in modo intelligente significa trasformare i metodi con cui si distribuiscono e gestiscono le applicazioni. Recentemente F5 ha realizzato un report dedicato alle prime 50 aziende “cloud climber” in Europa, cioè capaci di innovare in modo continuo e di sviluppare una strategia cloud sostenibile che offra un valore tangibile ai propri clienti e consenta all’azienda di differenziarsi in un mercato sempre più complesso. Com’è possibile oggi sfruttare con successo il cloud in tutte le sue forme? Cosa deve fare un’organizzazione per essere un “cloud climber”?

Tutto inizia con l’adozione di metodologie efficaci per le architetture cloud che generino valore per tutta l’azienda fino ai clienti finali, mantenendo la sicurezza delle applicazioni e la protezione dei dati. Scalabilità, flessibilità, automazione e migliore time-to-market sono solo alcuni degli attributi che oggi definiscono un’organizzazione di successo, all’avanguardia della tecnologia cloud e capace di raggiungere risultati tangibili e continui.

Strategie per un mondo multi-cloud

Le aziende oggi devono muoversi rapidamente per soddisfare la domanda dei clienti ed essere competitive. Alcune adottano una combinazione di on-premise, cloud pubblico, cloud privato o Software-as-a-Service (SaaS) per distribuire le proprie applicazioni; un approccio che offre una maggiore flessibilità ma può anche fare aumentare notevolmente i costi e le esigenze di gestione per proteggere le applicazioni in tutti questi ambienti diversi. Inoltre, la sicurezza resta un punto cruciale perché, anche se i provider del cloud pubblico oggi possono garantire la protezione dell’infrastruttura, di fatto resta il proprietario dell’applicazione il responsabile della sicurezza dei dati.

Secondo un recente rapporto di RightScale, l’85% delle aziende ha già adottato una strategia multi-cloud e i responsabili dell’architettura utilizzano in genere una piattaforma unificata per fornire e gestire coerentemente i servizi applicativi e le policy associate nei diversi ambienti, sia per le applicazioni esistenti che per quelle di nuova generazione, cloud-native, il tutto senza sacrificare visibilità, sicurezza e controllo. Il nostro Cloud Climber sarà in grado di fare tutto questo, perché comprende appieno quali siano le opzioni da considerare per sviluppare la migliore architettura cloud possibile e fare progredire il proprio business; per farlo segue otto regole chiave:

1. Garantire la sicurezza delle applicazioni in qualsiasi ambiente

La sicurezza è un aspetto fondamentale quando si migra in cloud; identificare quali applicazioni spostare e quali conservare nel data center è una decisione fondamentale. È inoltre importante identificare rapidamente se la sicurezza nativa offerta dal cloud vendor sia sufficientemente efficace.

2. Definire le priorità nella migrazione delle app

Stabilire le priorità e classificare le applicazioni è fondamentale per un’efficace strategia di migrazione nel cloud. Le app dovrebbero essere analizzate e classificate, tenendo magari in-house quelle che si stanno avvicinando alla scadenza fino a quando saranno obsolete. Alcune app dovranno necessariamente essere riprogettate in una forma cloud-native, altre dovranno essere spostate con un metodo ibrido “lift-and-shift” per replicare l’app nel cloud con modifiche minime. Definire l’ambiente cloud giusto con i servizi di supporto corretti permette di ottimizzare le prestazioni delle app, aumentare la protezione e migliorare la gestione del traffico.

3. Ottenere visibilità e intelligence

A livello infrastrutturale, il cloud può essere più sicuro dei data center privati. Tuttavia, è essenziale determinare se l’IT dell’azienda sia in grado di gestire servizi di sicurezza complessi o se sia meglio affidarsi a servizi off-the-shelf forniti da un cloud vendor. Ottenere una visibilità e intelligence migliori sul traffico di rete e sul cloud richiede strumenti analitici efficaci. In questo contesto, adottare un WAF affidabile, flessibile e multi-ambiente può offrire una protezione completa delle app fornire un maggiore visibilità rispetto agli attacchi, in modo da aiutare l’azienda a garantire la conformità.

4. Mitigare il rischio

Mitigare i rischi utilizzando soluzioni che offrano un controllo degli accessi dinamico, centralizzato e adattivo e una cloud federation per tutte le applicazioni ovunque risiedano: solo un approccio di questo tipo consente di applicare policy di sicurezza personalizzabili che seguono le app, proteggendo l’autenticazione degli utenti da qualsiasi luogo e su qualsiasi dispositivo. Proteggere i dati grazie a una soluzione DDoS di nuova generazione di facile utilizzo consente di tutelarsi dagli attacchi mirati più aggressivi.

5. Avere un team coeso

Le aziende “cloud climber” sono riuscite a riunire i vari dipartimenti sotto il cappello di un’unica strategia cloud integrata che vede architetti, responsabili delle DevOps e NetOps lavorare insieme per raggiungere un obiettivo comune. Modificando i processi e le procedure lavorative le organizzazioni ottengono il meglio dallo staff, inoltre, pianificare un programma di formazione sul cloud sostenibile per le figure aziendali più strategiche facilitano la transizione al cloud e consentono ai responsabili di prendere decisioni più informate.

6. Comprendere le minacce

Le violazioni sono la minaccia più grande per l’infrastruttura cloud. Monitorando le minacce informatiche, i reparti IT possono immediatamente riconoscere come il panorama si stia evolvendo e avere una migliore comprensione del comportamento degli hacker, un approccio che deve applicarsi a tutti i tipi di cloud, consentendo al personale di mantenere sicuro l’accesso a scenari come SaaS, PassS (piattaforma-as-a-service) e IassS (infrastruttura–as-a-service).

7. Scegliere soluzioni affidabili

I Cloud Climbers investono nelle soluzioni multi-cloud migliori, che offrono servizi applicativi programmabili in grado di integrarsi in qualsiasi stack di soluzioni di cloud pubblico, privato, ibrido o in co-locazione; strumenti ottimizzati che forniscono i servizi in modo automatizzato e policy-driven e che soddisfano i requisiti di sicurezza e conformità senza rallentare i team di sviluppo. Le tecnologie cloud “agnostiche” sono in grado di estendersi, offrire il provisioning, la gestione e la scalabilità rispetto a tutti principali provider cloud esistenti e al cloud ibrido. I migliori servizi di application delivery sono indipendenti dall’ambiente, non comportano lock-in del cloud e possono velocizzare il time to market e ridurre eventuali futuri costi di switching.

8. Scalare verso nuovi livelli

Per essere un Cloud Climber è necessario innovare e concentrarsi sul ritorno dell’investimento; bisogna disporre delle competenze adeguate per valutare le opzioni e fare funzionare i sistemi complessi. L’approccio corretto consentirà di completare con successo i progetti “dev-and-test” e accrescere le operazioni nel cloud senza sacrificare prestazioni, controllo e sicurezza delle app. Una strategia di architettura cloud efficace aumenterà l’agilità di business e offrirà la flessibilità necessaria per scalare basandosi sugli spostamenti dell’hardware, del software e dei requisiti on-demand. Nel frattempo, il controllo delle applicazioni, l’accesso e la sicurezza garantiscono prestazioni, disponibilità e sicurezza ottimali. L’approccio giusto è quindi scegliere una soluzione multi-cloud completa che guidi l’innovazione e aggiunga valore per il cliente. In un’era di trasformazione digitale, ora è il momento di diventare veramente un “cloud climber”.

L'articolo Cosa significa essere un “cloud climber”? proviene da Data Manager Online.

In uno scenario che vede aumentare esponenzialmente il volume e la frequenza con le quali le nuove app vengono sviluppate e distribuite, definire il concetto stesso di sicurezza applicativa è molto complesso. Per farlo è forse più facile soffersi su quello che la sicurezza delle applicazioni sicuramente non è:

1. Non una priorità (ma dovrebbe diventarlo!)

In una ricerca sulla sicurezza dei dispositivi IoT e delle applicazioni mobile promossa da Arxan e IBM, il 44% degli intervistati ha dichiarato che in questo momento non sta facendo nulla per prevenire gli attacchi alle applicazioni. Supponiamo che questo dato, per quanto allarmante, sia in realtà così elevato solo perché collegato a un piccolo sottoinsieme del portafoglio applicativo, ed esploriamo il concetto in modo più esteso. L’analisi promossa su base semestrale da WhiteHat Security e relativa alle statistiche sulla sicurezza web rivela che “circa un terzo delle applicazioni in ambito assicurativo, il 40% delle applicazioni legate ai servizi finanziari e bancari, la metà delle applicazioni del settore sanitario e retail, e più della metà delle applicazioni del Manufacturing, Food & Beverage e IT sono sempre vulnerabili”. “Sempre vulnerabili” nella definizione di WhiteHat Security significa “vulnerabile in ogni singolo momento di tutto l’anno”.

La stessa analisi rivela che “il tempo medio per rimediare alla vulnerabilità varia a seconda del settore da circa 100 a 245 giorni”. Per il retail e la sanità è di circa 200 giorni mentre i settori tecnologici e IT ritardano ulteriormente la media impegnando circa 250 giorni per risolvere una vulnerabilità.

Questo approccio un po’ lassista alla sicurezza rende sempre più urgente affrontare il problema, perché se la protezione delle applicazioni non viene inclusa nell’elenco delle priorità sarà sempre maggiore la percentuale delle applicazioni (o delle API che forniscono i dati alle applicazioni) esposta a vulnerabilità.

2. Non ha a che fare solo con le app

Sussiste un malinteso di fondo, che la sicurezza applicativa riguardi solo l’applicazione. Se un’applicazione fosse un’entità isolata forse sarebbe vero, ma le applicazioni sono distribuite su piattaforme, si basano su script e API di terze parti e si integrano con sistemi responsabili della gestione dei dati. Ciò significa che la sicurezza dell’app è uno stack che richiede un’attenzione costante rispetto a tutte le componenti, non solo all’applicazione stessa. La top ten elaborata dal Open Web Application Security (OWASP) è un buon punto di partenza per la sicurezza delle applicazioni, anche se non devono essere ignorate nemmeno le vulnerabilità delle piattaforme a livello di protocollo (TCP, HTTP e TLS), che sono state una fonte significativa di preoccupazione negli ultimi dieci anni.

Infine, non bisogna trascurare il rapporto tra gli attacchi alla rete di tipo volumetrico e gli attacchi più insidiosi del sistema al livello applicativo. Come fa notare Dark Reading in un recente articolo, quasi la metà delle organizzazioni che subiscono un attacco dichiarano che il DDoS ha coinciso con una qualche forma di violazione o attività criminale sulla propria rete, come il furto di dati e l’attività ransomware. Il 47%, ad esempio, riferisce di avere scoperto un virus sulla rete dopo un attacco DDoS, il 43% cita un malware che è stato attivato e il 32% denuncia il furto di dati dei clienti.

La protezione dell’applicazione richiede quindi di porre attenzione all’architettura applicativa complessiva, che include la rete, i dati e i servizi che scalano e proteggono l’applicazione.

3. Non è “il problema di qualcun altro”

Nella nostra analisi State of Application Delivery abbiamo scoperto che un’organizzazione su cinque dichiara di voler ospitare oltre il 50% delle proprie applicazioni su cloud: tutto questo renderà la protezione delle applicazioni sempre più impegnativa.

Spostare un’applicazione in “cloud” può significare ridistribuire alcune responsabilità di sicurezza, in particolare quelle legate ad alcune compenti a livello di rete e di sistemi, ma l’app e le sue piattaforme e gli script esterni e le risorse su cui essa si basa continuano ad essere responsabilità dell’azienda. Garantire lo stesso livello di sicurezza in cloud può rivelarsi estremamente difficile, in particolare quando si mescolano e si associano servizi cloud nativi che non sono compatibili a livello di policy con quelli on-premise. Si tratta però di una sfida che deve e può essere affrontata, assicurando la coerenza nell’applicazione delle policy ai servizi in cloud e on-premise o spostando la gestione della sicurezza di un’applicazione verso un’offerta service-based che può offrire consistenza su diversi ambienti contemporaneamente, o elaborare policy equivalenti manualmente per i servizi nativi in cloud. Qualunque strada si scelga di seguire la responsabilità rimarrà nelle vostre mani.

L’impatto delle violazioni in termini di reputazione del brand, fiducia dei consumatori e potenziale di sfruttamento futuro (nel caso di credenziali rubate) rende la sicurezza delle applicazioni più importante che mai. Metterla all’ultimo posto supponendo che qualcun altro se ne prenderà cura è la ricetta perfetta per un disastro! Riconoscere la sua importanza e attribuirle la priorità nelle fasi di testing e remediation, sfruttando le opzioni offerte delle architetture cloud e i servizi supportati dal cloud stesso, significa imboccare il cammino corretto verso la riduzione del rischio. Perché la sicurezza delle app non può mai essere un optional!

L'articolo Definire la sicurezza delle applicazioni a partire da quello che non è proviene da Data Manager Online.

Il mondo della finanza è cambiato. I consumatori stanno diventando molto più esigenti e gli istituti finanziari si trovano a dover trasformare i servizi attraverso l’uso di tecnologie avanzate. Con la nascita di numerose start-up che minacciano i player principali con approcci innovativi al mercato, lo scenario sta diventando sempre più complesso da governare. L’unico elemento chiaro a sostegno di questi cambiamenti è l’”applicazione”.

Il settore finanziario, infatti, è destinato a essere trasformato dall’evoluzione delle applicazioni, sia dal punto di vista delle metodologie di lavoro per ottenere maggior efficienza, sia sul fronte dei consumatori che vogliono capire e gestire meglio le proprie finanze.

F5 Networks ha recentemente realizzato un report dal titolo “The future of App” condotto da Foresight Factory, che svela alcune affascinanti intuizioni sulle principali tendenze che avranno un impatto significativo sulla società nel prossimo decennio. Nel campo finanziario, i risultati evidenziano in particolare, l’utilizzo sempre più esteso della blockchain.

L’affermarsi della finanza cognitiva

I consumatori sono sempre più interessati a servizi personalizzati e predittivi quando si tratta di finanza. Questo è vero in particolare per i più giovani, basti pensare che in Italia 6 consumatori su 10 appartenenti alla generazione Y si dicono interessati a un servizio in grado di prevedere quale sarà la loro situazione finanziaria futura basandosi su fattori attuali, quali performance professionali e spesa.

All’interno di numerose aree dei servizi finanziari, c’è grande attenzione alle app cognitive o più in generale al cognitive computing, in particolare per la loro capacità di gestire le sfide complesse che stanno emergendo nell’economia digitale.

Diversi istituiti finanziari stanno valutando come usare l’AI per prevenire le frodi, agendo contro gli attacchi alla sicurezza prima che questi accadano, ma ritengo che l’obiettivo nel medio termine sarà aiutare le persone a prendere decisioni migliori, mentre ci vorranno ancora 10 anni perché l’AI e il machine learning si affermino definitivamente.

Jana Eggers, CEO di Nara Logics, azienda tecnologica specializzata in synaptic intelligence, ha dichiarato: “Per me, il passaggio successivo sarà migliorare il modo in cui le persone lavorano… il computer ha una potenza di calcolo enorme che può determinare molte più opzioni e l’uomo può fare un lavoro migliore scegliendo tra queste opzioni. Poco di quello che facciamo è in realtà il calcolo; molto è decisione e ragionamento – e i computer non sono ancora a questo livello”.

Blockchain e nuove reti

In un’epoca di diffusa incertezza e diffidenza che pervadono la nostra società, la promessa della blockchain di nuove misure ultra-sicure per la sicurezza e l’autenticità, senza un costoso intermediario, è una proposta incredibilmente convincente. Per molti esperti, la blockchain è il più grande disgregatore per l’economia digitale.

A oggi, la blockchain è meglio conosciuta come la tecnologia dietro i Bitcoin e finora probabilmente l’utilizzo più diffuso è quello nel settore dei servizi finanziari.

Tuttavia, le evoluzioni nella tecnologia sottostante per aumentare la privacy stanno espandendo il range dei casi di uso. Uno dei molti concetti emergenti è quello delle dApp (ossia le applicazioni decentralizzate), con contratti smart, che facilitano lo scambio di denaro, contenuto, proprietà, azioni o qualsiasi cosa abbia un valore, tramite la moneta digitale, consentendo ad esempio ai donatori di finanziare imprese in Kenya.

È il caso di 4G Capital, che fornisce accesso immediato al credito per la crescita delle piccole imprese in Africa. La moneta prestata verrebbe convertita e distribuita alle imprese usando il sistema di transizione di 4G Capital.

Un altro esempio è costituito da OpenBazaar, che punta a essere una versione decentralizzata di eBay. I venditori scaricano e installano sul proprio computer un programma che li connette direttamente con altre persone cercando di comprare e vendere beni e servizi. I Bitcoin sono usati come moneta per le transizioni tra venditori e compratori.

Le dApp soddisfano la crescente domanda da parte dei consumatori di soluzioni peer-to-peer, e la loro diffusione è supportata da una combinazione di sfiducia nelle istituzioni e desiderio di poter ottenere un valore maggiore.

Dall’Europa al Sud Africa, quasi un terzo dei consumatori (32%) hanno usato o sarebbero interessati a usare un sito di prestito peer-to-peer, un percentuale che raggiunge il 38% se facciamo riferimento alla generazione Y nel nostro Paese.

Questo certamente non vuol dire che approcci più tradizionali alle transazioni, proof of authenticity e cyber security non saranno una caratteristica significativa della digital economy. La blockchain continua ad avere una serie di limitazioni. L’analisi dall’Open Data Institute (ODI) ha evidenziato una serie di potenziali ostacoli, che comprendono, l’interoperabilità, la privacy e la necessità di trovare informazioni all’interno della blockchain.

Tuttavia, poiché stanno crescendo la consapevolezza e la comprensione della tecnologia, i consumatori potranno avere un controllo sempre maggiore dei dati e gli istituti finanziari dovranno essere preparati a gestire il potenziale impatto da parte di nuovi attori del mercato e l’evoluzione delle aspettative sui servizi che possono essere offerti.

Rispondere ai cambiamenti del mercato

È evidente come l’economia digitale comporti una crescente pressione sulle aziende e sugli sviluppatori per continuare a giocare un ruolo di primo piano. Le esigenze dei consumatori cambiano sempre più rapidamente e le preoccupazioni legate alla sicurezza sono incostante aumento. Il rapporto The Future of App indica come stiano emergendo enormi opportunità per quelle aziende che si dimostreranno in grado di fornire le applicazioni con velocità, funzionalità adattive e sicurezza.

Le aziende del settore finanziario sono solo all’inizio nello sfruttare i vantaggi delle applicazioni ma sono ancora preoccupate per le conseguenze legate alla sicurezza che questi cambiamenti implicano.

Tuttavia, è essenziale che esse continuino a valutare bene l’emergere di nuove tecnologie in questo settore e a sviluppare delle strategie adeguate, coinvolgendo DevOps, IT, security e business team.
In futuro, l’accesso a una quantità sempre crescente di dati personali, unito all’abilità di processare e dirigere tali informazioni localmente, creerà nuove opportunità per i consumatori che diventeranno essi stessi “guardiani dei propri dati.”

La necessità di ottenere una trasparenza maggiore, combinata con il modello di business basato sulla tecnologia blockchain, porterà sempre più clienti a richiedere agli istituti finanziari di salvaguardare i dati e migliorare gli standard complessivi di sicurezza delle applicazioni per conservare la fiducia del consumatore.

L'articolo Il futuro delle App nella Finanza proviene da Data Manager Online.

Nel corso dell’ultimo anno le violazioni di sicurezza subite dalle aziende hanno coinvolto, come stimano gli analisti, oltre un miliardo di dati dei consumatori in tutto il mondo. Queste brecce nella protezione sono ogni giorno più numerose ed è ormai evidente come la criminalità informatica stia mettendo a dura prova le pratiche operative tradizionali e implichi la necessità di ripensare la sicurezza in una logica applicativa, quale unico approccio in grado di proteggere i dati critici e salvaguardare le prestazioni aziendali.

Perché oggi

Gartner stima che, entro il 2020, il 60% delle aziende digitali subirà gravi perdite dal punto di vista dei servizi dovute all’incapacità dei team di sicurezza IT di gestire il rischio digitale. Le previsioni indicano anche che il traffico dei dati aziendale fluirà direttamente dai dispositivi mobile al cloud, saltando completamente i controlli di sicurezza aziendali. Nella catena organizzativa saranno richiesti cambiamenti significativi dal punto di vista della cultura, del comportamento e della tecnologia.

In futuro, i responsabili della sicurezza si troveranno a operare più come agenti di intelligence e consulenti fidati e la comprensione delle dinamiche di tutti gli attori della sicurezza si rivelerà fondamentale per affrontare potenziali violazioni gravi. In sintesi, solo un robusto ecosistema di sicurezza delle applicazioni e soluzioni cloud permetterà alle aziende di garantire che i dati dei loro clienti siano gestiti in modo sicuro e completo.

Oggi, il 90% dei budget di sicurezza è ancora utilizzato per proteggere tutto tranne le identità degli utenti e le applicazioni vitali. Cambiare approccio è però urgente fin da ora, spostando l’investimento nella sicurezza verso una logica “detection and response”. Se si abbandona il vano tentativo di proteggere tutte le aree dell’IT simultaneamente, diventa più efficace concentrarsi sulle priorità, ovvero su quelle minacce alle quali la propria organizzazione è più vulnerabile dal punto di vista dell’operatività.

Come

A mio avviso un approccio di sicurezza applicativo si compone di otto caratteristiche vincenti:

• Visibilità completa sui dati maggiormente critici – visibilità significa valore, per questo è necessario conoscere le proprie applicazioni critiche e garantire che siano in esecuzione proteggendole da attacchi DDoS globali a livello di rete e applicazione con l’obiettivo di ridurre al minimo l’impatto sul business degli attacchi volumetrici e crittografati.
• Ecosistema di soluzioni di sicurezza avanzate – capace di mitigare l’impatto delle violazioni dal livello L4 in su, comprendendo i difetti o le debolezze della logica aziendale che possono essere sfruttate dalle bot (anti-frode) e dai vettori DDoS.
• Monitoraggio e controllo capillare della gestione degli accessi – per gestire il volume delle identità degli utenti consentendo al Single Sign-On di ridurre il numero di password che vengono memorizzate in modo non sicuro su più dispositivi.
• Autenticazione multifattore (MFA) – per accedere alla rete e alle applicazioni, senza che le identità vengano compromesse. Uno o più utenti potrebbero subire del phishing e, senza una MFA, la rete, le applicazioni e i dati potrebbero essere violati.
• Protezione contro le frodi – criptare gli input dell’utente quando le informazioni vengono digitate nel browser (nell’app). La crittografia in tempo reale dei campi sensibili nasconde gli input reali dell’utente permettendo di sconfiggere i key logger.
• Lotta contro l’utilizzo di username e password deboli o di default (es. admin) – è possibile prevenire exploit potenzialmente di grande impatto implementando il blocco dell’account dopo sei tentativi di accesso non riusciti. Le password scadute non forniscono praticamente alcuna protezione.
• Automazione della gestione delle vulnerabilità delle applicazioni web – tra il rilevamento e la mitigazione passa sempre del tempo, durante il quale un firewall per applicazioni web (WAF) può applicare una patch in modo automatico. Un WAF richiede l’attenzione di un tecnico esperto per questo molte organizzazioni optano per i servizi gestiti WAF.
• Cultura della sicurezza – ultimo punto, ma forse dovrebbe essere il primo, è comprendere come gli atteggiamenti che mettono a rischio la sicurezza in azienda siano altrettanto importanti quanto la scelta di una tecnologia robusta. Una violazione dei dati, infatti, non è sempre determinata da una minaccia esterna; qualsiasi informazione personale non criptata acquisita da una persona non autorizzata è già di per sé classificabile come una violazione.

La cybersecurity è un processo continuo di identificazione, valutazione e risoluzione delle minacce e delle debolezze, nonché analisi, modelling e simulazione del potenziale impatto. Rendere sicure le applicazioni è la soluzione per salvaguardare i dati e proteggere le prestazioni aziendali. Con un efficace ecosistema di soluzioni e servizi di sicurezza uniti a una cultura di sicurezza rinnovata potremo contrastare con maggiore rapidità il crimine informatico.

L'articolo Gli otto segreti della sicurezza applicativa proviene da Data Manager Online.

Il recenti attacchi DDoS perpetuati ad aziende come la web hosting OVH hanno sfruttato dei dispositivi hackerati fornendoci esempi concreti della tipologia di minacce crescenti alla sicurezza che le aziende oggi devono affrontare. Gli hacker hanno creato una botnet di 150.000 dispositivi IoT per sostenere un attacco DDoS da 1 Terabit, pensato per essere il più grande attacco di questo genere mai perpetuato in grado di eclissare il record stabilito solo una settimana prima, quando un attacco da 620 Gbs aveva messo ko il sito giornalista Brian Krebs.

È chiaro che la gamma di minacce sta crescendo sia in termini di portata sia di sofisticazione, e la probabilità che un’azienda sia colpita da un attacco è sempre più elevata. Per questo voglio portare alla vostra attenzione cinque trend ai quali le aziende dovrebbero prestare molta attenzione, perché si riveleranno fondamentali nei prossimi mesi per essere adeguatamente preparate alla sfida della sicurezza:

• Dall’IoT agli attacchi DDoS il passo è breve

I dispositivi IoT sono in aumento ma, al contrario, non lo sono le misure di sicurezza per proteggerli. Numerose vulnerabilità li rendono bersagli facili per i cybercriminali, che tendono a utilizzare sempre più anche i dispositivi ‘muti’, come le telecamere a circuito chiuso nel caso Dyn. Gli attacchi degli ultimi mesi forniranno un modello che sarà imitato da altri hacker che con un paio di click potranno sfruttare la potenza dei dispositivi IoT e portare il caos tramite attacchi DDoS massicci, in grado di abbattere i siti web e le operazioni aziendali. Le organizzazioni devono, quindi, diffidare dai dispositivi IoT, applicare una strategia di mitigazione degli attacchi DDoS e avere un piano chiaro da seguire, nel caso vengano prese di mira.

• GDPR: più vicino di quanto si creda

Il GDPR non entrerà in vigore prima di maggio 2018, ma, considerando che per la maggior parte delle organizzazioni ci vorranno anni per essere pronte, bisognerebbe iniziare a pensarci fin da ora. Per non incorrere in sanzioni severe che possono raggiungere il 4% fatturato annuo globale, le aziende hanno bisogno di preparare la propria infrastruttura IT. Gli aspetti del regolamento che riguardano la riservatezza dei dati, come ad esempio il diritto all’oblio e la portabilità, potrebbero causare problemi. Questo perché molte organizzazioni non sanno quale sia la reale estensione dei dati dei clienti in loro possesso, sia in termini di quantità che di posizione. La sfida più grande che le aziende devono affrontare è capire quale sia la quantità di dati di cui sono responsabili. In futuro, trovarci al centro di una fuga/sottrazione di dati o investiti da richieste da parte dei clienti che non si riescono a soddisfare, potrebbe comportare gravi danni sia a livello monetario che in termini di fedeltà dei clienti.

• Dormire sonni tranquilli affidandosi al cloud?

Le organizzazioni si trovano sempre più a proprio agio nello spostare la propria infrastruttura nel cloud, considerando il suo forte valore quale business enabler, anche se permangono o ancora molti problemi di sicurezza. Le aziende sono realmente a conoscenza di come si possa operare in modo sicuro nel cloud o di chi effettivamente detenga la chiave delle loro informazioni, considerandolo che queste non risiedono più on premise o nel data center? In questo contesto, la tecnologia sta facendo passi da gigante proprio per aiutare le organizzazioni a gestire in modo sicuro la loro transizione al cloud. Le soluzioni di Cloud Security Access Broker (CASB), ad esempio, sono in grado di applicare le policy di sicurezza aziendali su servizi cloud multipli, fornendo al team IT il pieno controllo su chi può accedere ai servizi cloud e garantendo, al tempo stesso, che i dati dell’azienda siano sufficientemente criptati.

• La rivoluzione copernicana della sicurezza app centrica

Le organizzazioni che si affidano fortemente alle applicazioni (cioè la maggior parte delle aziende) devono centrare la propria attenzione sull’utente finale e sulla protezione delle credenziali. L’avvento del mobile working ha portato i dipendenti a utilizzare una quantità enorme di applicazioni diverse per accedere alle risorse aziendali da una vasta gamma di dispositivi e posizioni geografiche differenti. Qualsiasi punto debole in questa rete, come ad esempio un telefono cellulare infettato da malware, può fornire ai cybercriminali “la chiave del regno”. Se, infatti, uno di essi è in grado di ottenere le credenziali di dominio di un dipendente, può, in ultima analisi, accedere a tutte le informazioni aziendali. Spostando il focus dalle risorse alla sicurezza a livello di applicazione e alla consapevolezza degli utenti, piuttosto che puntare esclusivamente a vecchi approcci focalizzati sul firewall, le organizzazioni potranno proteggersi meglio.

• Gestire gli accessi in modo federato

L’avvento del cloud ha portato a un ecosistema di servizi offerti da terze parti a disposizione delle aziende. I dipendenti possono accedere a diversi portali online per le vendite, i servizi finanziari, la gestione del personale, tutti attraverso una diversa autenticazione. Se un dipendente lascia l’azienda, il rischio è che mantenga per un certo tempo l’accesso a informazioni vitali attraverso le sue credenziali se non vengono revocate per tempo. Le aziende, quindi, hanno bisogno di investire in una tecnologia di servizi federati in grado di fornire un approccio single sign on, secondo il quale il punto di autenticazione risiede con il datore di lavoro e reindirizza i dipendenti verso un servizio cloud che consenta di accedere senza discontinuità all’applicazione. Diventando in prima persona responsabile delle credenziali dei propri dipendenti, l’azienda può recuperare il proprio ruolo di “gatekeeper” e garantire così una migliore protezione contro le frodi.

In conclusione, il mancato riconoscimento di questi trend e la loro sottovalutazione durante la fase di sviluppo potranno rappresentare un ostacolo reale per le aziende nei prossimi mesi, con il rischio che anni di best pratice e investimenti vengano compromessi con un paio di click a opera di un hacker. Identificando le minacce in anticipo, investendo nelle infrastrutture di sicurezza corrette ed educando gli utenti rispetto al panorama della sicurezza informatica, le aziende potranno stare al passo con gli hacker e aumentare la probabilità che il 2017 sia per loro un anno di successo.

L'articolo Sicurezza: cinque trend da non trascurare guardando al 2017 proviene da Data Manager Online.

Per un lungo periodo le aziende hanno investito tempo, risorse e denaro nei data center per alimentare i sistemi complessi che gestiscono il loro business. Milioni di dollari e anni di lavoro capitalizzati in infrastrutture che hanno reso possibile un’ondata di crescita incredibile per le aziende sfruttando l’evoluzione della tecnologia prima come fattore abilitante e poi come vero e proprio driver del business.

Siamo ora entrati in una nuova era in cui la tecnologia guida la trasformazione del business e il cloud rappresenta anch’esso un interessante “driver” del cambiamento, dato che offre a persone e organizzazioni la possibilità di interfacciarsi ed essere convolte in modo più efficace e profondo, a vantaggio sia delle aziende sia dei clienti stessi.
Una trasformazione continua che vede già avvicinarsi una nuova era, dove l’intelligenza artificiale e il machine learning ampliano ulteriormente l’orizzonte, rendendo possibile sintetizzare quantità enormi di dati di difficile comprensione, identificare le tendenze e, ancor più importante, agire in base a essi. Tutto alla velocità della luce e, sempre di più, senza l’intervento umano.

Il potere delle applicazioni

Nonostante i tanti cambiamenti che si susseguono, permane una costante: le applicazioni, che rappresentano un veicolo potente attraverso il quale le aziende modificano il modo di operare e interagire con i propri clienti. Le app sono portatrici di opportunità ma anche di sfide, perché le aziende si affidano a un numero sempre crescente di applicazioni, distribuite più rapidamente che mai, aumentando la complessità delle infrastrutture e offrendo ai malintenzionati una fonte di nuovi vettori per muovere gli attacchi, mentre sul fronte opposto le aspettative dei clienti rispetto al servizio e al prodotto continuano a crescere.

Si dice che la trasformazione digitale sia un viaggio, non una destinazione. Ogni azienda sceglie un percorso diverso e si trova davanti una tappa differente durante il viaggio. Molte aziende esplorano oggi i modi per scalare le implementazioni cloud private abbracciando l’open source, altre si concentrano su come spostare i carichi di lavoro mission critical verso il cloud pubblico e affrontano la necessità di mantenere bassa la latenza e preservare i controlli di sicurezza. Esiste, inoltre, una crescente tensione che deve essere affrontata tra i nuovi modelli di sviluppo delle applicazioni cloud-based e gli approcci IT tradizionali. E alla base di tutto questo vi è la necessità di una gestione coerente delle applicazioni e delle policy indipendentemente da dove risiede l’app e da chi la possiede. In sintesi, si tratta di uno scenario complesso che vede sempre più prioritaria un’application delivery intelligente e che deve concentrarsi a mio avviso su due principi fondamentali:

• Lo sviluppo delle applicazioni, l’implementazione e il loro utilizzo deve dare ritmo al business e non frenarlo. Questo significa che è necessario avere le persone giuste, capaci di accelerare il time to market e massimizzare gli investimenti, e un’organizzazione IT dotata di strumenti che la rendano agile e reattiva nel garantire sicurezza, stabilità e conformità, lasciando agli sviluppatori il compito di offrire valore di business attraverso le nuove applicazioni.
• È il cliente a definire l’ecosistema, non il vendor. Ogni azienda ha esigenze uniche e utilizza una combinazione di soluzioni e servizi offerti da vendor diversi che meglio risponde alle sue necessità. I servizi di application delivery dovrebbero funzionare su qualsiasi piattaforma, in qualsiasi scenario e per tutti i clienti perché sono questi servizi a circondare le applicazioni, non viceversa. Dovrebbero quindi essere a basso impatto, facili da ottenere e permettere alle aziende di gestire infrastrutture applicative sempre più complesse e articolate.

Il futuro dei servizi di application delivery

Solo servizi di application delivery flessibili e programmabili consentiranno ai clienti di sviluppare e distribuire rapidamente applicazioni e servizi scalabili ovunque e su qualsiasi piattaforma, e applicare policy coerenti che si estendono oltre il data center, nei cloud privati, pubblici e ibridi. Attraverso tali servizi, in definitiva, sarà possibile aiutare i clienti a ridurre il costo totale delle proprie infrastrutture applicative, aumentando la velocità con cui portare l’innovazione al mercato.

In questo scenario, F5 si trova in una posizione unica: nel punto di convergenza tra cloud e servizi applicativi tradizionali sul data center. Per questo motivo la nostra visione è fare da ponte tra questi due mondi alimentando quei servizi di application delivery intelligente che daranno alle aziende la capacità di avere successo e guidare il mercato di oggi e di domani, il tutto con la stabilità, la sicurezza e la conformità che le aziende richiedono.
In questi giorni abbiamo compiuto un ulteriore passaggio, annunciando una serie di soluzioni e innovazioni progettate per i clienti che desiderano utilizzare servizi applicativi consistenti e coerenti rispetto a tutti i differenti deployment applicativi nel cloud pubblico, privato e ibrido. In particolare gli Application Delivery Controller della gamma BIG-IP iSeries, piattaforme hardware che incorporano programmabilità con il supporto per node.js via iRules LX, consentendo ai clienti di adattare i propri sistemi allo sviluppo dell’infrastruttura di cui hanno bisogno, con una protezione DDoS avanzata, il cloud privato e le tecnologie SDN.

Mentre le aziende continuano il loro viaggio individuale nel cloud è necessario fare emergere tutte le potenzialità che questo percorso offre. Immaginate un deployment su cloud ibrido che consenta di identificare i cambiamenti più significativi nella domanda dei clienti e quindi di indirizzare rapidamente tali esigenze – il tutto mentre i dati dei clienti sono protetti e la conformità viene applicata. Oppure, immaginate che gli sviluppatori e l’IT uniscano le proprie forze per sviluppare e lanciare rapidamente un’applicazione che aiuti a scalare una linea di business da centinaia a milioni di clienti – il tutto con la stessa affidabilità, sicurezza e controllo di una distribuzione su data center tradizionale.

Sono solo due esempi di un futuro senza compromessi che ritengo sia veramente raggiungibile.
Noi in F5 vogliamo immaginarlo insieme ai nostri clienti e fare sì che gli orizzonti che un’azienda può raggiungere non siano più dettati dai limiti della tecnologia e degli strumenti, ma solo dalla visione e dalla creatività delle sue persone e dei suoi prodotti.

L'articolo Le applicazioni al centro della trasformazione di business, verso un futuro senza compromessi proviene da Data Manager Online.

Il termine ibrido, nel mondo della tecnologia, è stato usato per indicare “qualcosa” composto da due o più oggetti di natura diversa: ad esempio, il cloud ibrido, che riunisce SaaS, IaaS, e on-premises come base per un nuovo ambiente informatico aziendale diversificato. Anche se divergente dalla definizione scientifica tradizionale, l’utilizzo di “ibrido” per descrivere queste nuove entità è interessante, ma rischia di risultare banale se non lo si analizza nello specifico.

Ad esempio, anche la sicurezza sperimenta oggi la pressione associata all’”ibrido”, in particolare quando si ha a che fare con gli attacchi DDoS. Questo perché gli attacchi stessi sono in gran parte ibridi dato che includono sia attacchi volumetrici di tipo tradizionale sia attacchi focalizzati sulle applicazioni, come notato da SANS Institute:

“Gli attacchi di tipo DDoS più dannosi combinano tecniche che portano alla saturazione con attacchi specifici mirati all’applicazione e hanno più o meno la stessa frequenza (39%) degli attacchi mirati (42%) e volumetrici (41%) presi singolarmente. Gli attacchi DDoS tendono a utilizzare un piccolo insieme di porte Internet, ma una varietà estesa di tecniche per causare danni. Tali attacchi sono in rapida evoluzione dal punto di vista della gravità, complessità e sofisticazione. Secondo un recente rapporto, il 64% dei DDoS sfrutta più tipologie diverse di attacco, impiegano tecniche volumetriche, di saturazione della larghezza di banda, authentication-based e a livello di applicazione per interrompere, impedire, degradare o distruggere le informazioni rese disponibili su Internet o le risorse applicative.
Proteggersi da questi attacchi oggi richiede un approccio su più fronti con la combinazione di tecniche on-premises e tecnologie out-of-band e cloud, una gestione centralizzata e analitiche e metodi avanzati per rilevare attacchi sempre più sofisticati. La velocità con la quale le organizzazioni sapranno scoprire e fermare queste minacce è fondamentale per garantire la continuità dei servizi e ridurre l’impatto finanziario sul business.”
SANS Institute, 2014

Due anni dopo, questa tendenza è sostanzialmente invariata, con una tecnica che viene sempre più chiamata “smokescreening” e che, secondo varie ricerche, è stata utilizzata nel 55% dei casi di attacco DDoS a un’azienda. Di questi attacchi, quasi il 26% hanno comportato la sottrazione di dati sui clienti e quasi la metà hanno avuto come conseguenza l’installazione di malware/virus. Con un tale tasso di successo possiamo essere certi che il modello di attacco ibrido continuerà a prosperare anche in futuro!

Come difendersi da questi attacchi? Per rispondere punto su punto è indispensabile un approccio di protezione DDoS di nuova generazione, anch’esso ibrido, cioè una soluzione che unisca la difesa volumetrica tradizionale con la protezione specifica dell’applicazione e sia in grado di sfruttare lo scrubbing sia on-premises sia cloud-based per respingere attacchi che altrimenti potrebbero sopraffare la connessione Internet aziendale. È quindi fondamentalmente disporre di un tecnologia di protezione sia on-premises, in grado di rilevare un attacco imminente che mira alla saturazione della larghezza di banda, sia un nel cloud di tipo on demand, che consenta di assorbire il volume per prevenire eventuali impatti sul business.

Adottare un approccio moderno significa molto di più che avere pronta un’opzione cloud-based. Le architetture di sicurezza ibride di nuova generazione devono abilitare in modo semplice lo spostamento con continuità dallo scrubbing on-premises a quello cloud-based in caso di attacco. In questo modo, la sicurezza ibrida di nuova generazione è in grado di rilevare gli attacchi e agire autonomamente, trasferendo la responsabilità dello scrubbing in base a parametri tecnici e di business dal on-premises al cloud prima ancora che l’azienda subisca un danno.

È quindi necessario un approccio multi-livello in grado di difendere le applicazioni aziendali, i dati e le reti, combinando la potenza di un’appliance specializzata nella protezione dagli attacchi DDoS con l’esperienza di un servizio cloud-scrubbing di protezione appositamente pensato per i DDoS, in una soluzione completa che si avvalga di un’analisi comportamentale on-premises dinamica per identificare e mitigare gli attacchi, del machine learning per rilevare le minacce sfuggenti o le anomalie del traffico, e di potenti funzionalità di automazione per aumentare l’efficienza.

Minacce indirizzate in modo specifico alle applicazioni possono essere scoperte a partire dalle logiche del flusso di dati, dai segnali aggregati da HTTP, dai confini delle richieste TCP, dalle transazioni, dalla salute del server, e da altre caratteristiche simili.
Quando il picco del volume on-premises minaccia di interrompere l’attività rallentando o arrestando l’accesso alle applicazioni, sia corporate sia consumer, il traffico dell’attacco volumetrico può essere facilmente reindirizzato al servizio on-demand cloud-based, con una scalabilità quasi infinita, che permette di alleviare la pressione creata da tali attacchi frontali al business.

È davvero il momento di adottare un approccio ibrido alla sicurezza, che combinando le migliori caratteristiche di due modelli diversi fornisca una soluzione unica, completa ed efficiente. Benvenuti nella nuova era della sicurezza!

L'articolo Attacchi DDoS. Perché la sicurezza di nuova generazione deve essere ibrida proviene da Data Manager Online.

Tecnologie e soluzioni informatiche hanno svolto un ruolo essenziale per il presente e il futuro delle imprese, ma sotto la spinta di fattori come la mobilità, il social, l’esplodere delle informazioni generate dalle transazioni e dalle interazioni tra persone e oggetti sta trasformando profondamente il modo in cui il business fa leva sulle infrastrutture fisiche e i dispositivi e di conseguenza sta cambiando la modalità di indirizzamento degli investimenti tecnologici, il deployment e il provisioning delle risorse di elaborazione, le decisioni strategiche che sono alla base dell’acquisizione di soluzioni informatiche. Secondo IDC, entro la fine del 2016 due terzi dei CEO delle 500 maggiori aziende mondiali, inseriranno la Digital Transformation al centro delle proprie strategie, ma le organizzazioni più piccole, specie se già infrastrutturate, non saranno meno esposte al vento della “nuova” informatica.

Sarà una sfida complessa, che tocca in prima persona CIO, CTO, Chief Innovation e Digital Officer, figure oggi inserite all’interno di processi decisionali sempre più dinamici e interdipendenti. L’urgenza con cui è necessario posizionarsi in nuovi ecosistemi (mobile business, customer engagement, data-driven marketing, IoT) è tale da porre immediati interrogativi sull’adeguatezza di modelli, infrastrutture e ambienti IT: non solo di quelli comunemente definiti legacy o tradizionali, ma anche di quelli espressione di scelte compiute pochi anni orsono.

Per offrire alle imprese private e pubbliche italiane una serie di spunti importanti, IDC ha organizzato, tra Roma e Milano, un duplice evento dedicato all’evoluzione del data center e ai temi della flessibilità e dell’automazione di infrastrutture che oggi sono sempre più software defined sul piano della gestione dei carichi di lavoro e del provisioning di applicazioni e servizi di rete.

Aprendo a Roma l’evento che verrà replicato il 20 aprile a Milano, Fabio Rizzotto, Senior Research & Consulting Director di IDC Italia ha rilevato come in questi ultimi due anni il fenomeno della Digital Transformation ha cominciato ad assumere proporzioni estese e pervasive, interessando le aziende e le diverse line of business nella loro integrità. Tanto, ha osservato l’esperto, che «le decisioni riguardanti gli investimenti in tecnologie oggi non vengono prese all’interno della divisione IT, ma nella sala del consiglio di amministrazione». Il top management ha capito che le opportunità offerte dalla digitalizzazione comportano una domanda tecnologica partecipata da parte di tutte le divisioni aziendali. La parola d’ordine, per infrastrutture che devono rispondere a una costante accelerazione nei tempi di sviluppo, testing e deployment di nuovi prodotti e servizi ad alto contenuto digitale è “agilità”.

Quali temi interessano questo percorso di adeguamento del data center? «Secondo le nostre valutazioni – afferma Rizzotto – da qui a un paio d’anni, il grosso delle decisioni di investimento infrastrutturale – parliamo di tre decisioni su quattro – riguarderanno temi come la commoditizzazione dello storage e dei suoi strumenti gestionali, la virtualizzazione dei servizi di rete, e la cosiddetta “informatica software defined.» Il data center deve rispondere alla spinta verso la convergenza, alimentata da fenomeni come la ibridizzazione del cloud, ossia dalla necessità di poter trasferire i carichi di lavoro da infrastrutture di proprietà a capacità in outsourcing e viceversa; il crescente dominio delle piattaforme di provisioning e orchestrazione open source, non più vincolate ai limiti – e alla familiarità – di ambienti proprietari protetti; l’enorme richiesta di risorse necessarie per soddisfare un fabbisogno analitico che non può essere pianificato.

Rizzotto si è soffermato anche sulle priorità della “data center operation” in Italia. «Sicurezza e compliance continuano a rappresentare la prima delle sfide che i CIO sono chiamati ad affrontare, insieme ai limiti imposti sui costi e alla necessità di mantenere il passo di aggiornamento delle tecnologie server e storage». Seguono la capacità di utilizzare al meglio il modello cloud e la migrazione dei dati dai sistemi legacy. Nel settore pubblico dominano, insieme alla sicurezza, la voglia di maggiore integrazione tra dati e applicazioni, il miglioramento delle performance e una diversa user experience per i cittadini verso cui sono rivolti i servizi.

Come rispondono Cisco e Intel, i due main sponsor dell’evento, alla richiesta di data center sempre più automatizzati e capaci di adattarsi in modo smart alle variabili esigenze di capacità e disponibilità di applicazioni e servizi? Secondo Emiliano Politano, Enterprise Technology Specialist, Intel Italia, per trarre pieno vantaggio dalla flessibilità del cloud le aziende devono evolvere verso infrastrutture software defined. «Fondamento di questo tipo di infrastruttura è una architettura hardware comune basata su processori Intel x86, che a loro volta si sono specializzati per vari ambiti di utilizzo, siano essi server, storage e networking, con feature integrate direttamente all’interno del silicio.» E Alberto Degradi, Architectural Leader di Cisco Italia, il leader globale del networking cerca di favorire la transizione verso la “application economy” dei suoi clienti rispondendo a tre necessità fondamentali: «produttività, capacità di mantenere i costi sotto controllo e capacità di far leva sul software defined network già dal lato delle applicazioni».

Le videointerviste

L'articolo Infrastrutture software defined: l’arte della flessibilità proviene da Data Manager Online.

Nel suo nuovo ruolo, Desiderio si occuperà di definire la strategia di F5 Networks nella Region per espandere ulteriormente il business dell’azienda, in particolare nelle aree della security, dell’application delivery e del deployment delle applicazioni cloud.

Desiderio vanta 25 anni di esperienza nel mercato IT, con ruoli di crescente responsabilità nelle vendite e nel business. Prima di approdare in F5 Networks, dal 2010 è stato Sales Director Italia, Turchia e Medio Oriente per Infoblox, occupandosi di guidare lo sviluppo, incrementare le vendite e la competitività e guidare la crescita della società. Precedentemente, ha ricoperto il ruolo di Direttore Commerciale Southern Europe and Middle East per Imprivata dal 2005 al 2010 e Sales Director Italia e Grecia per Novell dal 2003 al 2005. Ha maturato inoltre esperienze significative nel regno Unito dal 1989, occupandosi di vendite e consulenza di business in aziende come Silvestream, Staffware e Banctec.

“Siamo molto contenti di avere con noi Maurizio, un manager con una grande esperienza nello sviluppo del business, nelle vendite e nella gestione del Canale. Grazie alle sue capacità, continueremo a far crescere il business di F5 Networks e a rafforzarne la posizione nel mercato della sicurezza e dell’application delivery, per rispondere sempre in maniera efficace alle esigenze dei clienti e garantire loro il livello di servizio di cui hanno bisogno.” Ha commentato Diego Arrabal – VP Southern Europe and Middle East di F5 Networks.

L'articolo Nuova nomina in F5 Networks proviene da Data Manager Online.