Eludere il “Grande Firewall della Cina”, tramite una VPN, è sempre possibile ma anche molto rischioso. Se nei mesi scorsi il governo di Pechino aveva eseguito multe e arresti per i casi più grandi, ad esempio rivenditori abusivi di soluzioni di reti virtuali private, ora la questione si fa seria e la polizia si prepara a monitorare in maniera più estesa le attività considerate illegali, in cui rientra proprio l’uso delle VPN.

Il divieto, aggiornamento di una norma introdotta nel 1997, specifica meglio i soggetti interessati: non solo gli utenti privati ma anche le aziende, che possono utilizzare solo VPN concesse in licenza e approvate dal governo. Uno dei primi a essere bloccato e multato per la violazione della legge contro l’internet straniero era stato Zhu Yunfeng, reo di aver sfruttato la popolare Lantern VPN per accedere a siti web censurati da Pechino. La sanzione, pari a 1.000 yuan, rappresenta circa un quinto del salario mensile medio nella città natale di Zhu, Shaoguan, nella provincia di Guangdong.

Cosa succede

La legge sulla sicurezza pubblica cinese del 1997 è stata rafforzata nel 2017 con nuovi regolamenti volti a bloccare le VPN non approvate dal governo. Le multinazionali operanti in Cina, incluse le società con una proprietà intellettuale da proteggere, hanno persino dovuto fronteggiare una indisponibilità temporanea della rete privata usata sino a quel momento proprio per l’assenza di un software legittimo.

Eppure i cinesi hanno bisogno delle VPN: secondo i dati di Freedom House, un numero compreso tra i 20 e i 30 milioni in cittadini, su una popolazione di oltre 1,4 miliardi, ha aggirato il Grande Firewall nel 2018, in periodi critici per la democrazia digitale, ad esempio le elezioni a Taiwan.

L'articolo La Cina contro le VPN, dalla teoria alla pratica proviene da Data Manager Online.

Usare una VPN in certi paesi è più consigliato. Prendiamo la Cina: un cittadino estero che si dirige verso il dragone rosso non può controllare la posta di Gmail, utilizzare il cloud di Drive, navigare con Chrome oppure seguire i video preferiti su YouTube. Per tre piattaforme su quattro si tratta di attività che potrebbero avere a che fare con il lavoro e la produttività. Inoltre, dopo lo scandalo del Datagate e, ancora di più, di Cambridge Analytica, una rete privata virtuale promette di dare alle persone maggiore sicurezza, nascondendo l’indirizzo di connessione originale e facendo rimbalzare il segnale da varie postazioni al mondo. Un’opportunità che, più degli altri, sembrano cogliere gli individui con un telefonino Android, visto il supporto maggiore a tali piattaforme di quanto possa fare iOS.

Dalla Cina con amore

Il problema qui è che la maggior parte delle VPN sul Play Store sono legate in qualche modo alla Cina. Lo hanno scoperto i ricercatori dei Metric Labs, società pubblica la Top10VPN, confermando come oltre la metà delle app presenti sul negozio digitale di Google sia sviluppata da software house con sedi in Cina o comunque di proprietà cinese. Il motivo? Come si sa, il governo di Pechino ha vietato all’interno del paese le VPN, metodi troppo spesso sfruttati per violare le rigide norme nazionali. Il mercato, invece di essere affossato, ha invece subito una forte accelerazione, sebbene i controlli serrati rendano molto più rischioso surfare in modalità anonima, con pene per nulla irrisorie (si parla anche di tre anni di prigione).

Decine e decine di società hanno cominciato a rilasciare i loro programmi, forse funzionanti ma non rispettosi delle più banali regole di privacy. Ad esempio, l’86% delle app analizzate dai Metric Labs ha evidenziato enormi problemi di riservatezza dei dati sensibili ottenuti, persino peccando di informazioni sulla presenza o meno di una condivisione con terze parti. Altre non presentano alcun sito web o una benché minima presenza online, limitandosi magari a fornire un supporto tramite email con domini non proprietari ma generici del tipo Gmail, Yahoo o Hotmail. Il risultato? Vada per le funzionalità VPN, ma tante applicazioni sembrano mettere a repentaglio l’incolumità degli utenti più di quanto faccia l’assenza di una rete privata virtuale. Meglio allora affidarsi a società specializzate, magari sostenendo un canone periodico, ma con la certezza di navigare davvero protetti e lontani da occhi indiscreti.

L'articolo Oltre la metà delle VPN per Android sono legate alla Cina proviene da Data Manager Online.

Quando un gruppo di scienziati del Cern si era messo al lavoro su ProtonMail, in pochi pensavano a una simile diffusione a livello globale. Il motivo? Uno sponsor come Edward Snowden, utente della prima ora, ha contribuito a far conoscere a un vasto pubblico il client di posta, che sfrutta la crittografia end-to-end per proteggere le comunicazioni degli iscritti.

In anni in cui il Datagate e gli artifizi delle agenzie federali hanno messo a dura prova la privacy dei cittadini online, ProtonMail si è posta come piattaforma di assoluto valore per riprendersi un po’ di quella libertà perduta con la convinzione che le identità digitali fossero al sicuro da occhi indiscreti, anche utilizzando tool di terze parti. Dopo un tale successo, i ragazzi svizzeri hanno lanciato anche su Android ProtonVPN, per semplificare una navigazione al riparo dagli spioni.

Come funziona

Come qualsiasi altro servizio di virtual private network, ProtonVPN sfrutta tunnel cifrati per veicolare la richiesta e l’invio dei dati durante il browsing. Che si tratti di un portale con suffisso HTTPS o, peggio, HTTP, l’app trasferisce il traffico su propri canali, assicurandone l’anonimato. Sinora l’app era disponibile solo in versione PC e in beta ma la buona risposta di pubblico ha spinto gli sviluppatori a sbarcare su Android, il sistema presente su oltre l’80% degli smartphone al mondo.

Ma ciò che è più importante è che ProtonVPN si può usare anche gratis, seppur con il limite di un’attivazione per un solo dispositivo e server dislocati su tre paesi invece del vasto catalogo presente per chi decide di sborsare un canone mensile, da 4 a 24 euro, a seconda delle esigenze.

L'articolo ProtonMail porta la sua rete sicura su Android proviene da Data Manager Online.

Che la Cina non fosse un paese per i difensori della libertà di opinione e la privacy era risaputo. Il problema è che negli ultimi tempi anche le multinazionali stanno cadendo sotto i colpi delle norme imposte da Pechino, che stanno isolando sempre i cittadini dal resto del mondo. Dopo il fattaccio di fine luglio con protagonista Apple, che si è sbrigata nel rimuovere dall’App Store locale le applicazioni VPN in seguito alle nuove norme delle autorità in materia, questa volta tocca a WeChat facilitare lo spionaggio ai danni degli utenti. Nei giorni scorsi si era vociferato della possibilità che la famosa chat, sviluppata da Tencent, condividesse i dati degli iscritti con il governo e ora abbiamo la prova: le informazioni personali dei clienti appartengono di fatto alla dittatura comunista.

Cosa succede

“Alla piattaforma potrebbe essere chiesto di ricevere, conservare e divulgare le tue informazioni personali per un periodo di tempo prolungato in modo da soddisfare un ordine della corte o altre procedure penali, rispondere alle richieste del governo o di agenzie simili, preservare la sicurezza e i diritti di WeChat e delle compagnie connesse”. Questo è il testo che rispecchia le nuove policy del gruppo, a seguito della volontà di Pechino di ottenere, senza troppi sotterfugi, gli elementi che ritiene più necessari a indagini e operazioni interne. L’app è la più usata come servizio di chat in Cina ed è l’equivalente di WhatsApp per il mercato occidentale. I termini aggiornati non sono altro che una conseguenza della repressione alla libertà di opinione che la Repubblica Popolare sta mettendo in atto da anni e specialmente nell’ultimo biennio. A seguito delle politiche di utilizzo, elementi come nome, cognome, indirizzi email e località potranno essere tranquillamente condivisi con la polizia, anche senza motivazioni di sorta. Un ulteriore smacco alla privacy dei cittadini, già messa a duro rischio con l’innalzamento del Great Firewall e la morsa intorno all’uso e vendita di reti virtuali private.

L'articolo La Cina si prende i dati di WeChat proviene da Data Manager Online.

Passi avanti in Italia e in Europa in ottica di smart city e smart citizen. Per rendere semplice l’accesso al web ai cittadini da metà giugno l’Unione Europea ha abolito i costi del roaming dati. In Italia, invece, il ministero dello Sviluppo Economico e dei Beni Culturali, e l’Agenzia per l’Italia Digitale hanno realizzato e resa attiva da metà luglio WiFi Italia, un’app per dispositivi mobili che garantisce una copertura di rete gratuita di cui fanno parte le reti di proprietà pubblica – in particolare nei luoghi turistici e culturali – uniformando livelli di sicurezza, tutela dei dati di navigazione e privacy e soprattutto un’unica modalità di accesso condivisa fra tutte le reti Wi-Fi pubbliche e private. Al di là delle false partenze e dei margini di miglioramento, torna in auge così, il tema della sicurezza dei propri dati. Se ne parla nel Wi-Fi Risk Report di Symantec, un documento che ha permesso di indagare le abitudini, le consapevolezze e i rischi incorsi da oltre 15mila cittadini di 15 paesi nel mondo riguardo l’utilizzo del Wi-Fi libero, pubblico o privato.

Il report svela che il 70% degli italiani continua a preferire l’uso della rete Wi-Fi pubblica, quando possibile. Un’abitudine, questa, che influenza anche le scelte relative alle prenotazioni di appartamenti, alberghi in vacanza, bar o ristoranti: il 74% è infatti condizionato nella scelta di un posto dalla presenza della rete, possibilmente efficiente e gratuito. Una ricerca condotta da Purple su un campione di 2540 persone rivela che una delle operazioni più comuni è controllare la posta, che riguarda l’87% degli intervistati: il 27% usa il Wi-Fi pubblico per portare avanti compiti di ufficio, accedendo alla cloud aziendale, e addirittura il 17% effettua operazioni bancarie, pagamenti, bonifici. Senza domandarsi se queste reti offrano o no livelli minimi di sicurezza e tutela per chi le utilizza. L’intangibilità del digitale, la poca informazione riguardo al funzionamento e alle caratteristiche del Wi-Fi pubblico, e una sottostima dei rischi da violazione della privacy, espongono gli utenti al pericolo di furto d’identità, truffe e diffusione dei dati sensibili. La maggior parte degli intervistati dichiara infatti di ignorare o sottovalutare la sicurezza delle reti che usano. Purtroppo, è la quasi totalità degli intervistati (87% a livello globale, 89% in Italia) a mettere potenzialmente a rischio dati e informazioni personali. Quindi? Come durante un incontro con sconosciuti non riveleremmo mai dati personali, allo stesso modo dobbiamo approcciare la connessione a una rete pubblica, adottando le dovute precauzioni. È fondamentale sapere che gli hacker possono approfittare sia di reti non sicure sia di siti non sicuri.

#smartcity Reti pubbliche Wi-Fi? Abitudini e rischi @urbanocreativo
Click To Tweet

Per controllare che i siti siano sicuri, ovvero crittografati, bisogna badare che il sito in cui si sta navigando usi il protocollo HTTPS (Hypertext Transfer Protocol Secure) e non semplicemente HTTP, e che compaia il simbolo del lucchetto sulla destra della barra URL, a conferma che si tratta di sito web sicuro. In questo modo chi tentasse di spiare e leggere dati in una rete non riuscirà a ricevere informazioni comprensibili se queste sono scambiate con una connessione crittografata. Per i browser Chrome, Firefox e Opera è disponibile un add-on chiamato “HTTPS Everywhere” che abilita il HTTPS di default per centinaia di siti web, anche quelli che non prevedono questo protocollo autonomamente. Un’altra operazione minima consiste nell’abilitare un firewall e disattivare dalle impostazioni l’opzione di configurazione automatica del proxy per evitare possibili dirottamenti della connessione. Un altro modo per proteggersi in modo ancora più sicuro? Utilizzare una rete privata virtuale (VPN) che garantisce un “tunnel sicuro”, crittografando i dati inviati e ricevuti tra un dispositivo e internet.

Giulia Cattoni @urbanocreativo

L'articolo Reti pubbliche wi-fi? Abitudini e rischi proviene da Data Manager Online.

Ora è realtà: tutti possono finalmente accedere a ProtonVPN, il servizio di network privato gratuito che la compagnia svizzera ha aperto al pubblico. Conosciamo la piattaforma dallo scorso marzo ma per vari problemi non era andata online, dovendo rimandare il lancio alla fine di giugno. Impostato come client a pagamento, adesso la VPN è pienamente accessibile anche in modalità free, con chiare restrizioni rispetto ai quattro piani a pagamento. C’è però un punto di distinzione notevole rispetto alla concorrenza: nonostante l’opportunità di utilizzare liberamente la VPN, ProtonMail non attua alcun limite sul traffico di dati disponibile, puntando tutto sulla protezione delle informazioni scambiate e sull’assenza di monitoraggio, sia interno che da parte di agenzie terze.

Iscriversi conviene

Certo sottoscrivere un canone ha i suoi vantaggi se la VPN è uno strumento essenziale nella vita connessa di tutti i giorni. Con il piano gratuito ad esempio si può associare un solo dispositivo al profilo, con la possibilità di poter sfruttare server dislocati solo in tre paesi. PronVPN Basic, Plus e Visionary invece prevedono un’offerta scalare, con un numero incrementale di device supportati, maggiori velocità di connessione (in upload e download) e opzioni extra, come il servizio Secure Core e Top Server. Al momento ProtonVPN è accessibile solo via desktop ma essendo basata sul protocollo OpenVPN è compatibile con tutti i software che usano lo standard, quindi anche le app per iOS e Android già presenti sugli store.

ProtonMail è stata fondata nel 2013 dal CERN e dopo un periodo in beta è arrivata sul mercato a marzo. L’obiettivo è quello di offrire un client di email realmente privato e oscuro agli occhi degli spioni, anche grazie all’integrazione con TOR e all’implementazione della verifica in due fattori, come ulteriore strumento di salvaguardia della privacy.

L'articolo ProtonMail lancia la sua VPN gratuita proviene da Data Manager Online.

Apple non vuole sicuramente far irritare il governo cinese. Pechino desidera avere un ulteriore controllo sulla libertà in Rete dei suoi cittadini e ha reso ancora più stringenti i sistemi di censura che impediscono a buona parte del Paese di accedere a servizi ritenuti “pericolosi” come ad esempio Google, Facebook e Twitter. In questi giorni sono stati approvati nuovi regolamenti che prevedono tra le altre cose anche il blocco delle reti VPN utilizzate comunemente per aggirare la sorveglianza governativa. Oggi, come riferisce il New York Times, Apple ha chinato il capo davanti alle richieste del governo bloccando le app che permettono di accedere a reti private.

Express VPN, una delle piattaforme più conosciute del settore, ha diffuso una mail inviatale da Apple in cui l’avvertiva che il servizio sarebbe stato rimosso da App Store perché “includeva contenuti illegali in Cina”. Leggendo tra i vari forum di dissidenti si scopre che questa non è l’unica app che è stata cancellata dal negozio online più remunerativo al mondo. La stessa azienda di Cupertino, che ha ufficialmente mandato in pensione iPod Nano e iPod Shuffle, ha poi confermato che i software VPN sono illegali nel Paese e quindi saranno eliminati. Questa non è la prima volta che Apple accetta di promuovere la censura in Cina pur di non lasciarsi escludere da quello che è di fatto il suo terzo mercato di riferimento e quello con maggiori margini di crescita. La Mela ha infatti avviato la costruzione di un nuovo data center nella zona di Guizhou per rispettare una legge che impone che i dati dei cittadini cinesi siano conservati in strutture locali.

L'articolo Apple rimuove le app di VPN per volere della Cina proviene da Data Manager Online.

Non sono molti in Italia coloro che ritengono che la (in)sicurezza IT sia una piccola grande emergenza. Episodi però come quello dello scorso maggio, protagonista il virus WannaCry e la spettacolare infezione di centinaia di migliaia di computer in tutto il mondo, sembrano fatti apposta per far cambiare presto idea. WannaCry non è stato il più devastante, né sarà l’ultimo. Ma di sicuro ha contribuito ad alimentare il clima di timore verso il prossimo cyberattacco di massa o della prossima ondata di ransomware. La buona notizia, vogliamo essere ottimisti, è che la sicurezza non è più la cenerentola delle priorità aziendali. «Secondo gli ultimi sondaggi, tra le imprese italiane sopra i 50 addetti, l’importanza attribuita alla sicurezza è cresciuta oltre il 70 per cento, superando persino la necessità di aggiornare le business applications» – conferma Giancarlo Vercellino, research & consulting manager di IDC Italia. Il salto di qualità nei crimini informatici ha finito per incidere nella carne viva delle decisioni di investimento di aziende e istituzioni. Contribuendo alla scalata della security verso la “top three” delle priorità strategiche.

«Nell’ultimo anno, forse anche a causa delle cronache dei giornali, abbiamo osservato una tendenza interessante all’espansione della spesa in sicurezza IT in quasi il 60% delle imprese sopra i 50 addetti. Probabilmente il segnale di una inversione di tendenza importante» – afferma Vercellino. Un cambio di direzione ampiamente annunciato. IDC prevede un aumento della spesa globale in hardware, software e servizi di sicurezza del 38 per cento entro il 2020, che farà lievitare il valore degli investimenti dagli attuali 73,7 miliardi di dollari a oltre 100 (101,6) entro il 2020. Con tassi di crescita più che doppi rispetto a quello degli investimenti in IT. Il dato globale però si discosta parecchio da quello assai meno corrusco del nostro Paese. Il primo scollamento è tra agenda strategica e comportamenti operativi di spesa. «Il budget rate della sicurezza sulla spesa IT generale ammonta a pochi punti percentuali» – osserva Vercellino. Ai buoni propositi – il “sentiment”, senz’altro positivo – non fanno seguito comportamenti coerenti. Un conto è rispondere a un sondaggio sperticandosi in lodi verso le virtù benefiche della security, sul valore degli investimenti, e sulla volontà di farli. Altro è far seguire alle parole i fatti. Con il rischio – stigmatizzato da Vercellino – «di cronicizzare la vulnerabilità specifica delle imprese italiane». Secondo Mauro Cicognini, responsabile seminari di CLUSIT questo iato si spiega in parte con lo scarto culturale tra manager IT e non. «Per i primi, la sicurezza è uno dei capitoli più importanti, anche se i primi in ordine di grandezza saranno sempre gli investimenti dedicati alle applicazioni di business, all’infrastruttura, alla connettività. Tra i manager non informatici invece continuiamo a riscontrare un’informazione insufficiente. Basata in gran parte su quello che si sente dire nei telegiornali e nelle trasmissioni televisive divulgative. Lacune – sottolinea Cicognini – testimoniate dalla scarsa comprensione dell’importanza dell’IT per il business. Al di fuori di un ambito specialistico, non trovo una consapevolezza adeguata nemmeno della centralità dell’informatica per le attività core di tutte le aziende».

#sicurezza Budget in crescita, ma scollamento tra #strategia e #comportamenti
Click To Tweet

Budget in crescita ma le PMI stanno a guardare

Secondo IDC, gli investimenti in servizi di security – circa il 45 per cento degli investimenti totali – sono a livello globale la prima voce di spesa, con un fatturato attorno ai 13 miliardi di dollari. A trainare il mercato, sono i servizi gestiti. In questo quadro, però l’Italia fa eccezione. Con il software prima voce di spesa. «Se osserviamo i dati aggregati relativi all’evoluzione del mercato italiano raccolti da IDC, a guidare la crescita del settore è principalmente il comparto software, che quest’anno potrebbe attestarsi di poco sotto il 5 per cento» – afferma Vercellino. Un segmento che ha generato nel 2016 un giro d’affari complessivo superiore ai 300 milioni di euro. Spinto soprattutto dalla crescita delle applicazioni legate alla network security e alla gestione della security e delle vulnerabilità. Al secondo posto, le appliances – unified threat management, VPN, firewall, IDP, content – con una crescita di poco sotto al tre per cento e un CAGR 2016-2019 stimato in circa due punti percentuali, grazie ai buoni risultati delle soluzioni di UTM e VPN. «Un’area questa che sviluppa un valore complessivo non di molto inferiore ai 200 milioni di euro. In ambito servizi – IT Consulting e System Integration/Implementation – invece – ci muoviamo su un terreno intermedio. Qui, il giro d’affari supererà nel 2019 la quota di 600 milioni di euro» – continua Vercellino. Ma il segmento, investito da una profonda ristrutturazione dell’offerta di servizi proposti al mercato, potrebbe accelerare in modo ancora più significativo: «Quest’anno la Security as a Service potrebbe crescere per effetto del GDPR» – conferma Vercellino. «La necessità di arrivare preparati alla scadenza del maggio 2018 porterà infatti molte aziende a espandere i propri investimenti; soprattutto in quelle imprese la cui Data Transfer Policy ha sempre previsto finora il trasferimento dei dati su piattaforme cloud residenti al di fuori del perimetro europeo. Oltre il 60 per cento delle imprese con DTP extraeuropeo incrementerà gli investimenti in tecnologie di sicurezza per il cloud». Dati in crescita. Viziati però da una quota di investimenti in sicurezza rispetto al totale IT, ancora sottodimensionato. «L’aggregato complessivo della spesa in software per la sicurezza in Italia – valore superiore ai 300 milioni di euro – corrisponde a circa il 5 per cento di quella software complessiva» – mette in evidenza Vercellino. Una cifra attorno ai 6 miliardi di euro. Ritenuta da molti osservatori ancora largamente insufficiente.

Non solo. Come emerge dal recente studio di Ponemon Institute “2017 Cost of Data Breach Study”, il costo medio della violazione di dati è di 3,62 milioni di dollari a livello mondiale, in calo del 10 per cento rispetto ai risultati del 2016 (in Europa, il calo registrato è del 26 per cento), e ha evidenziato la stretta correlazione tra la risposta ai requisiti normativi come il GDPR e il costo totale della violazione. Al di là del mero rapporto tra investimenti in IT e sicurezza, le cui stime oscillano entro una forbice piuttosto ampia, va detto che le decisioni di investimento risentono delle prospettive di sviluppo dell’azienda in termini di maggiore o minore crescita del fatturato. Se l’economia cresce, la propensione agli investimenti tenderà a espandersi. Mentre in uno scenario generale dominato da incertezza e da una ripresa moderata, indebolita da una sostanziale gracilità della domanda nazionale di beni e servizi, come quella in cui l’Italia vivacchia – la dinamicità dei mercati secondari e delle transazioni B2B – ai quali appartiene quello della sicurezza informatica, tende a non sviluppare appieno tutto il suo potenziale. La già citata survey IDC conferma questo trend, evidenziando altresì le differenti connotazioni che la sicurezza assume a seconda della prospettiva industriale dalla quale la si osserva. IDC a questo proposito sottolinea le differenze sostanziali tra “data intensive industries” – come il settore finanziario, e “material intensive industries” (il manifatturiero). Una tassonomia da cui derivano comportamenti di spesa diversi. I settori in cui si spende di più sono nell’ordine: finance (8,6 miliardi di dollari), manifatturiero (discrete manufacturing), pubblico e process manufacturing. Insieme i quattro verticali coprono quasi il 40 per cento degli investimenti globali in security a livello worldwide. Comparti – si legge nel report – nei quali gli investimenti saranno più massicci almeno sino al prossimo decennio.

«Non è un caso – osserva Cicognini di CLUSIT – che in alcuni settori, banche, energia, telecomunicazioni, i più regolamentati, la spesa in sicurezza sia più significativa. Con progetti nell’ordine di milioni di euro, e una quota percentuale sul totale della spesa IT che può anche superare il 15 per cento. Diversa, la situazione nel manifatturiero, dove gli investimenti raramente superano l’ordine delle centinaia di migliaia di euro. Qui, comprensibilmente, l’imprenditore privilegia gli investimenti sul ciclo produttivo, ben sapendo che il segreto industriale è spesso meno importante della capacità di adattarsi alla variabilità delle condizioni economiche e alla rapidità nel portare i prodotti al mercato». Un solco tra comparti, ancora più profondo in Italia, per via delle profonde differenze, in termini di capacità di spesa tra microimprese e realtà medio-grandi. «A fronte di alcune grandi aziende che investono in modo significativo nel rafforzamento della sicurezza, dedicando una parte importante del proprio budget IT, la maggior parte delle piccole e medie imprese sostanzialmente non dispone di un budget specifico. Qui, la questione viene affrontata con grandi difficoltà, coprendo le esigenze ex post, quando sono intervenuti problemi» – incalza Vercellino. «Nella stragrande maggioranza dei casi, le organizzazioni corrono ai ripari soltanto quando sperimentano gli effetti di uno di questi attacchi sulla propria pelle» – conferma Stefano Volpi, practice leader per l’Italia e GSSO di Cisco. «Il 90 per cento delle aziende violate afferma che la falla nell’infrastruttura di sicurezza li ha portati a introdurre miglioramenti nelle tecnologie, policy, o metodologie di difesa dalle minacce». Una cattiva abitudine, non solo delle imprese più piccole.

#security and Vulnerability Management e Network Security in cima alle priorità
Click To Tweet

Strategia per la sicurezza non solo un problema tecnico

È verosimile ipotizzare una qualche correlazione tra complessità ed efficacia degli attacchi e crescita delle aspettative sulla sicurezza. Riuscire però a comprendere fino a che punto le proposte commerciali (hardware, software e servizi) dei principali operatori rispondono alla percezione del rischio di chi lavora su questo tema resta piuttosto complicato. «Nelle organizzazioni più mature, la sicurezza IT non è più solo un problema tecnico di qualcuno che lavora nell’IT, ma è un tema che coinvolge tanti ruoli aziendali diversi» – osserva Vercellino. «Idealmente, la sicurezza IT dovrebbe essere un mutuo consenso tra diverse figure aziendali e allo stesso tempo un traguardo mobile che si sposta di continuo insieme allo stato dell’arte. Scherzando, potremmo dire che chi lavora nella sicurezza IT non dovrebbe mai essere troppo soddisfatto, e senz’altro non dovrebbe mai abbassare la guardia». Ci si chiede allora quanto le aspettative di partenza siano influenzate da scelte e valutazioni ponderate. In che misura cioè il budget destinato alla sicurezza sia correttamente indirizzato verso le giuste priorità. A partire dall’importanza di preparare adeguatamente il terreno. «Prima di tutto, le aziende devono valutare quali sono i loro asset più preziosi e quali sono i tipi di attacchi che subiscono più spesso e attraverso quali canali. Solo dopo aver effettuato un’analisi completa della loro infrastruttura potranno decidere come allocare il budget, che oltre ai prodotti deve riguardare anche la formazione delle persone» – suggerisce Alessandro Fontana, system integrator alliance manager di Trend Micro Italia. «Vanno prese in considerazione le aree di rischio e rapportate con il valore del business. È importante effettuare una valutazione del rischio per poter stimare i possibili danni in termini economici derivanti da un attacco informatico e di conseguenza stabilire l’entità del budget da investire in soluzioni di sicurezza. Individuando le aree di maggiore criticità e investendo innanzitutto in servizi professionali a valore» – concorda Morten Lehn, general manager Italy di Kaspersky Lab. «Molto spesso si trascurano le aree vulnerabili o si vanno a rafforzare quelle dove il rischio è più basso. Così il budget non viene speso correttamente e non si ha un ROI apprezzabile».

Risk assessment, come individuare le priorità

Prima di spendere i loro budget per nuove tecnologie, le aziende dovrebbero condurre un risk assessment approfondito per comprendere meglio a quali rischi si espongono e a come farvi fronte per mitigare i rischi e individuare le corrette priorità. «Ci sono casi di aziende che si distinguono positivamente – riprende Alessandro Fontana di Trend Micro Italia – ma purtroppo la maggior parte di loro non spende bene, implementando diverse soluzioni in maniera contingente e senza una strategia». È necessario darsi una strategia e obiettivi efficaci, attraverso un approccio consulenziale e con il supporto di un system integrator. E dopo la fase di assessment, «l’azienda può decidere se affidarsi completamente a una sicurezza gestita attraverso il pagamento di un canone oppure implementare la security all’interno della propria infrastruttura gestendola autonomamente». Nel caso in cui prevalga la seconda opzione, il consiglio è di evitare l’errore di accumulare troppe soluzioni. «Quando si accumulano senza criterio strati di sicurezza possono sorgere conflitti tra software, rendendo le cose ancora più complicate di quel che già sono» – mette in guardia Enrico Sorge, responsabile cyber security di Italtel. Secondo il Cisco Annual Security Report, il 65 per cento delle aziende utilizza da 6 a oltre 50 prodotti per proteggersi. Quanto può essere allora complicato, in termini di competenze e velocità operativa, intervenire rapidamente per proteggere l’azienda? Secondo Sorge – «bisognerebbe sempre scegliere in qualità piuttosto che in quantità, affidandosi a soluzioni in grado di interoperare tra loro, in modo da automatizzare le attività quotidiane e rispondere più celermente alle emergenze durante il rilevamento di una minaccia. Perché la rapidità di contenimento è l’unico requisito assolutamente necessario per una corretta protezione».

Infatti, l’automazione dei processi critici di sicurezza, grazie anche all’astrazione delle infrastrutture, consente agli esperti IT di concentrare la loro attenzione altrove, per migliorare la difesa complessiva della rete. Lo scenario sempre più complesso delle minacce informatiche rende impossibile affidarsi a un solo prodotto. Tuttavia, come rileva Marco D’Elia, country manager di Sophos Italia è preferibile optare per un approccio sistemico, basato su soluzioni in grado di dialogare efficacemente tra loro per garantire il massimo della protezione su tutto il perimetro aziendale. Ma non solo. «Al fine di ottimizzare l’investimento dell’azienda, sia in termini economici sia di risorse umane dedicate all’IT security, è fondamentale che le aziende possano avvalersi di un’unica console di management unificata, in grado di ridurre sensibilmente tempi e costi di gestione».

#sicurezza Finance, Manufacturing e PA, i settori che investono di più
Click To Tweet

Reti senza confine e superfici di attacco in aumento

Morten Lehn di Kaspersky Lab mette in guardia dalla tendenza a investire in soluzioni tecnologiche complesse e costose, che risultano poco efficaci se non associate a un programma di formazione che abbia come obiettivo la security awareness. Si tratta di un’attività «con un basso impatto economico, ma con un alto tasso di rendimento se effettuata con gli strumenti e le metodologie adatte». Tentativi di misurare la security almeno in generale si sono sempre fatti. I risultati non sempre però sono stati all’altezza. Anche per via di un’adeguata preparazione. «Manca una cultura della misura, per cui non si stabilisce a priori, prima di affrontare la spesa in sicurezza, quale indicatore usare per capire se dopo la realizzazione del progetto si sarà più o meno soddisfatti. Ciò impedisce qualsiasi calcolo relativo alla resa dell’investimento. Se non sappiamo misurare il beneficio, non si potrà mai dire se ne è valsa la pena. In questi casi, il rischio di coltivare aspettative non correlate con la realtà e di conseguenza rimanere delusi dai risultati ottenuti, pochi o tanti che siano, è alto» – mette in guardia Cicognini di CLUSIT. Tuttavia, questi sforzi hanno una valenza diversa. Anzitutto per via delle pressioni provenienti dal board, che sempre più spesso pretende non solo un utilizzo del budget allineato a reali esigenze organizzative, ma che soluzioni e servizi acquistati restituiscano almeno una parte del valore dell’investimento. Qual è allora la distanza tra le richieste del board – quando ci sono e sono chiaramente formalizzate – e le capacità dell’IT di dare piena risposta? In che misura cioè l’IT è in grado di verificare se il budget destinato alla sicurezza è stato correttamente indirizzato verso le giuste priorità? Aspetti questi sui quali le aziende sono piuttosto restie a condividere le loro osservazioni. Atteggiamento peraltro legato a filo doppio all’atavica carenza di risorse da destinare alla sicurezza. Un gap comune sia nel pubblico che nel privato. Che finisce per incidere negativamente sulle decisioni di spesa.

Da anni CIO, CISO e tutte le figure coinvolte nel processo lottano perché le loro richieste vengano approvate. Un braccio di ferro che continua ancora oggi con modalità in parte immutate. Non stupisce allora constatare quanto sia ancora folta la schiera di coloro che pensano che il budget per la sicurezza rimanga una coperta troppo corta. «Molte aziende assegnano la maggior parte del loro budget a tre ambiti: rendere sicura la rete, aumentare i controlli su desktop e server, adottare meccanismi di gestione degli accessi sempre più raffinati. Questo approccio spesso però finisce per lasciare risorse limitate per le minacce negli ambiti cloud, dispositivi mobili e computer portatili» – conferma Cosimo Rizzo, sales engineering manager di PRES. «In realtà, una strategia di sicurezza efficace dovrebbe riuscire a proteggere l’organizzazione su tutti i fronti importanti per l’azienda. Come sottolineano i principali analisti del settore, oltre alla prevenzione, la capacità di rilevazione e di risposta agli incidenti di sicurezza, acquisisce sempre maggiore importanza. Ottenere visibilità attraverso sistemi avanzati per prendere le decisioni più opportune durante gli incidenti di sicurezza sarà una priorità fondamentale nei prossimi anni» – osserva Rizzo. Tanto più che «in virtù dell’evoluzione tecnologica, le reti non hanno più un confine definito e la superficie di attacco è drasticamente aumentata» – osserva Paolo Caloisi, director ETech BDM Italy & Malta di Fortinet. «Le aziende spesso scendono a compromessi, privilegiando le prestazioni di rete a danno della sicurezza. Questa strategia non potrà mai essere vincente. Come non lo è l’approccio “best of breed”. Per affrontare strategicamente la questione è necessaria una sicurezza intelligente e reattiva che offra visibilità su tutti gli elementi dell’infrastruttura in tempi rapidi. Solo una soluzione integrata può garantire un’efficace protezione a fronte della crescente complessità delle reti» – afferma Caloisi.

#sicurezza Reti senza confini e ROI poco chiari incidono sulle decisioni di spesa
Click To Tweet

Conclusioni

La distanza tra le buone intenzioni e la capacità di aziende e organizzazioni, di definire quali reali esigenze di security soddisfare, fatica ad accorciarsi. Non basta sapere che si vogliono difendere i propri asset né che si è in parte obbligati a farlo, per definire in modo granulare il proprio bisogno di sicurezza e le soluzioni che meglio lo soddisfano. Si tratta – come abbiamo visto – soprattutto di un vuoto culturale che intrappola le aziende in un limbo. Una bolla dentro alla quale faticano a elaborare una strategia di sicurezza che sia davvero il frutto del coinvolgimento fattivo di tutte le funzioni e di tutte le persone dell’organizzazione. Senza dubbio il tema dell’elaborazione di una strategia proattiva per la gestione della sicurezza è al centro del dibattito degli ultimi anni. Ma al di là degli slogan, e nonostante sul mercato esistano tante soluzioni che rispondono in modo soddisfacente alla gestione del rischio IT, la capacità di mettere insieme tecnologie distinte, orchestrando una strategia votata all’unificazione degli strumenti e alla prevenzione delle minacce è prima di tutto un tema di sviluppo organizzativo. Un obiettivo, che richiede l’intervento di figure specializzate in grado di gestire in modo credibile il tema di fronte al board. E non si tratta neppure di una mera questione di risorse. Anche se, senza dubbio, i budget stanziati dovrebbero e potrebbero essere più generosi. Ma che il denaro da solo non basti a elevare il livello di sicurezza in azienda lo dimostra l’andamento delle curve degli investimenti in sicurezza e del cybercrime, entrambe ascendenti. La sfida è aperta. Siamo solo agli inizi.

L'articolo Quale rapporto tra investimenti IT e sicurezza? Ecco come spendono le imprese proviene da Data Manager Online.

Internet in Cina non è certamente libero, almeno secondo gli standard occidentali. Il Governo opera uno stretto controllo sui contenuti ai quali gli utenti locali possono accedere e ha allestito un sistema di sorveglianza online tra i più sofisticati al mondo. La “Grande Muraglia di fuoco” è in grado di identificare e bloccare ogni forma di dissenso e di rendere inaccessibili tutte quelle informazioni ritenute pericolose per la stabilità dello stato da parte di Pechino. Parole come “piazza Tienanmen” e “Nepal” sono bandite. Oggi uno dei modi più efficaci per aggirare la censura governativa consiste nell’utilizzare le VPN (virtual private network) ma stando a un report realizzato da Bloomberg molto presto anche questo sistema diventerà inefficace.

La Cina sarebbe pronta a bloccare il funzionamento di ogni VPN disponibile nel Paese. Il Governo avrebbe già contattato gli operatori locali imponendo loro di impedire l’accesso a queste reti entro il termine massimo del primo febbraio 2018. Questo in realtà non è il primo tentativo delle autorità per bloccare le VPN. Qualche mese fa il Ministero dell’Industria e della Tecnologia dell’Informazione cinese aveva annunciato che il funzionamento di tali reti sarebbe stato sottoposto all’approvazione del Governo. Il provvedimento ha in sostanza reso illegale questa tecnologia.

Il blocco delle VPN probabilmente rientra nel più ampio piano per ridurre il peso delle multinazionali straniere sul mercato cinese iniziato con l’approvazione della Cyber security Law, che prevede sanzioni a quelle società che conservano i dati degli utenti locali su server posti al di fuori dei confini nazionali. La chiusura delle VPN potrebbe infatti avere un impatto negativo su realtà come Facebook, Google e Twitter in quanto moltissime persone le utilizzano per accedere alle rispettive versioni senza censura.

L'articolo La Cina stringe sulla censura e blocca le VPN proviene da Data Manager Online.

Il governo di Mosca adesso fa sul serio. In risposta al crescente utilizzo di tecniche per navigare in modalità anonima in rete, Putin ha deciso di limitare molti degli strumenti con cui migliaia di cittadini proteggono la loro privacy digitale. Non solo oppositori e attivisti ma anche giornalisti e semplici utenti che proprio non accettano la possibilità di uno spionaggio senza filtri perpetrato dagli hacker all’ombra del Cremlino. Ecco allora la mossa: far passare una legge che richiederebbe a chi fornisce servizi VPN e tool di camuffamento degli indirizzi IP di bloccare le richieste provenienti da certi domini. In parole povere, qualora la Russia volesse ostacolare la diffusione di un determinato sito di informazione alternativa, potrebbe intimare le compagnie che offrono collegamenti su reti private virtuali di fermare l’accesso a quest’ultimo da parte dei navigatori, pena una multa salata e la minaccia di un medesimo blocco all’operato delle proprie piattaforme.

Cosa succede

Ma la legge non interesserebbe solo le VPN. Stando al sito locale Vedomosti, l’obiettivo è quello di entrare a gamba tesa anche contro l’uso dei server proxy e di tutti i metodi possibili con cui le persone intendono aggirare i blocchi ordinati dal Roskomnadzor, l’organo federale russo che controlla le comunicazioni e gestisce l’oscuramento online e delle frequenze radiotelevisive. Il problema è ovviamente politico ma, per i provider, pure tecnico. Le compagnie il cui business è basato sul fornire connessioni su reti private non monitorano il traffico dei loro clienti, cioè non intervengono con l’abilitare o il bloccare l’accesso a specifici portali. Vorrebbe dire andare contro l’etica del browsing libero e non controllato, un paradosso etico che in pochi potrebbero tollerare e che minerebbe l’esistenza stessa della piattaforma. E come se non bastasse, il governo vuole mettere sotto scacco anche le attività dei motori di ricerca, che saranno obbligati ad oscurare i risultati a link bannati e inseriti in una speciale lista nera di Mosca. Per ogni infrazione del genere, le varie Google e Yandex rincorrerebbero in multe da oltre 12 mila dollari, un danno significante per i rispettivi bilanci. Resteranno inerti dinanzi alla prevaricazione del potere russo? Staremo a vedere.

L'articolo La Russia vuole controllare proxy e VPN proviene da Data Manager Online.