Ci occupiamo di analisi di sicurezza dei sistemi informatici
con l’obiettivo di individuare potenziali minacce e vulnerabilità
che mettono a rischio:
La procedura di analisi e valutazione del rischio comprende:
LEGGI UN ESTRATTO DEL DIALOGO TRA CLIENTE E ZENIT SECURITY
Greta
Perché devo dare priorità alla sicurezza informatica?
Zenit Security
Basta avere un concorrente invidioso, un partner corrotto o custodire dati importanti
per essere vittime di attacchi informatici.
Greta
Fino a oggi mai avuti questi problemi
Zenit Security
Può darsi, ma senza un’analisi del livello di sicurezza dei suoi sistemi è difficile saperlo.
Tenga conto che molti attacchi sono sofisticati e difficili da scoprire.
Greta
Ma noi siamo una piccola realtà...
Zenit Security
Spesso non si è "attaccati" per la dimensione dell’azienda ma per il valore dei dati.
Greta
Allora quali potrebbero essere le conseguenze di questi attacchi?
Zenit Security
Ecco alcuni esempi:
Greta
Come posso valutare il livello di sicurezza del mio ambiente di lavoro?
Zenit Security
Come prima cosa è necessaria un’analisi delle risorse informatiche e, in secondo luogo,
si progettano le contromisure adeguate per proteggere i sistemi e le informazioni digitali.
Greta
Grazie per le informazioni. Parlerò con il Manager e vi contatteremo prima possibile
Zenit Security
È stato un piacere. Lieti di averle dato assistenza.
L’analisi di sicurezza delle risorse informatiche si sviluppa in tre fasi:
ASSET IDENTIFICATION
Attività di analisi che individua e classifica i beni aziendali (asset) da proteggere come ad esempio:
THREAT ASSESSMENT
Attività di studio che individua le possibili minacce e le vulnerabilità dei sistemi informatici che potrebbero mettere
a rischio di sicurezza:
RISK ASSESSMENT
Attività di studio che consiste nella valutazione del rischio, ossia:
Terminata la fase di analisi, si progetta un piano di protezione personalizzato
che permette di gestire la sicurezza dei sistemi e delle reti informatiche
contro minacce e vulnerabilità.
Il piano di protezione si basa su standard ben noti:
La gestione della sicurezza dei sistemi e delle reti informatiche prevede due fasi:
CONTROLLO E COLLAUDO
Attività di test, verifica e validazione delle politiche di sicurezza aziendali implementate nei sistemi informatici.
I controlli di prevenzione devono essere eseguiti periodicamente.
MONITORAGGIO CONTINUO
La gestione continua e proattiva previene gli eventi che possono compromettere la sicurezza e la stabilità dei sistemi informatici e delle informazioni digitali.
CREARE LE REGOLE DI SICUREZZA AZIENDALI
Ogni azienda deve prevedere le proprie regole di sicurezza utili a identificare e classificare le risorse da proteggere.
Le regole di sicurezza, o politiche aziendali, sono fondamentali per:
Queste regole devono coinvolgere, inoltre, Management, dipendenti e collaboratori esterni dell’azienda perché,
ad esempio, il banale furto o smarrimento di un dispositivo in loro possesso può compromettere la sicurezza
delle informazioni digitali.
Occorre prestare attenzione al ruolo e alle responsabilità del personale aziendale, il quale deve adeguarsi alle regole
di sicurezza.
VALUTARE LE STRATEGIE DI SICUREZZA
Le strategie del piano di protezione aziendale sono realizzate sulla base dei risultati ottenuti nella fase di analisi
di sicurezza.
Ecco alcuni esempi di strategie di sicurezza:
APPLICARE LE REGOLE DI SICUREZZA
Le regole di sicurezza aziendali sono implementate sotto forma di controlli software o hardware, con la garanzia (assurance) che siano rispettate al fine di tutelare la sicurezza dei sistemi e delle informazioni digitali.
TEAM AGILE/DevOps
Il team informatico deve essere, almeno in parte, composto da professionisti con forti competenze (hard skills) nel settore della sicurezza informatica e capaci di gestire eventuali incidenti e disastri informatici.
I professionisti in sicurezza informatica devono essere integrati nel processo di sviluppo del software, che prevede:
COSA È UN’INFORMAZIONE?
Un’informazione è composta da diversi dati in relazione tra di loro.
Ad esempio, il nome e il numero di carta di credito sono due forme di dati separati.
L’informazione sta nella combinazione fra questi dati.
Le informazioni possono essere in formato:
SICUREZZA DELLE INFORMAZIONI
La sicurezza delle informazioni si estende a tutti i sistemi che gestiscono sia le informazioni digitali che quelle analogiche, garantendo i parametri RID.
In particolare la gestione delle informazioni comprende:
SICUREZZA INFORMATICA
La sicurezza informatica, invece, è limitata e va applicata soltanto ai sistemi che gestiscono le informazioni digitali
con lo scopo di garantire i parametri RID.
Esempio:
Nel 2016 alcuni appartamenti in Finlandia sono rimasti senza acqua calda per una settimana perché il sistema
di riscaldamento ha subito un attacco informatico.
In questo caso l’attacco ha preso di mira la disponibilità del servizio e non le informazioni.
Si parla, comunque, di incidente di sicurezza informatica.
RISERVATEZZA (PRIVACY)
Garantire la riservatezza/confidenza (privacy) significa limitare l’accesso a risorse e informazioni soltanto al personale autorizzato.
Le tecniche per garantire la riservatezza sono:
La riservatezza è garantita anche dal fattore umano, che consiste nel:
Violare le politiche di sicurezza aziendali significa imbattersi in un incidente o disastro informatico.
INTEGRITA'
I dati e le Informazioni digitali sono considerati integri se:
Per mantenere integri il più possibile i sistemi informatici occorre che:
DISPONIBILITA'
La gestione della sicurezza informatica deve permettere alle informazioni e ai sistemi informatici di essere sempre accessibili (entro i tempi previsti) al personale autorizzato.
Gli strumenti necessari per avere i dati sempre disponibili sono:
I sistemi informatici di emergenza sono fondamentali per diminuire il rischio di incidente e disastro informatico.
All’interno di un sistema informatico la gestione delle informazioni digitali è soggetta a una durata limitata nel tempo.
Tale durata è stabilita in base allo scopo dei dati (data retention policy). In alcuni casi la normativa in materia di privacy prevede il diritto all’oblio, cioè l’obbligo di eliminare prima possibile le informazioni digitali per assicurare i diritti
delle persone interessate.
AUTENTICITÀ E NO-RIPUDIO
Autenticità e No-Ripudio sono considerati un’evoluzione dell’integrità delle informazioni digitali.
Un esempio di autenticità e no-ripudio è la firma digitale.
La firma digitale utilizza tecniche di hashing e crittografia forte per dimostrare che la provenienza e l’integrità
di un documento siano attribuite soltanto a un autore legalmente valido.
Esempio:
Mai lasciare la firma digitale al vostro commercialista, potrebbe cedere legalmente la vostra azienda!
