Tavola disegno 1 copia

“Le nuove sfide della sicurezza informatica” di Claudio De Paoli, responsabile Practice ICT Security

“Le nuove sfide della sicurezza informatica” di Claudio De Paoli, responsabile Practice ICT Security

04-05-2012

“Le nuove sfide della sicurezza informatica” di Claudio De Paoli, responsabile Practice ICT Security

La sicurezza delle informazioni, in un mondo permeato dal continuo progresso tecnologico e dalla costante evoluzione degli strumenti informatici accessibili a tutti, rappresenta un “bene” la cui tutela è sempre più importante. Al crescere del grado di criticità delle informazioni, nel caso di danneggiamenti o di furti, deve crescere la protezione che l’asset merita e, di conseguenza, devono aumentare le misure preventive e correttive di sicurezza.
 
Oggi, se si pensa all’evoluzione tecnologica alla quale assistiamo quasi impotenti, la guerra fredda o lo spionaggio industriale, per carpire le informazioni al nemico con i metodi più disparati, sono solo un lontano ricordo. Ma, in un mondo nel quale l’informazione è centrale, sia per perseguire obiettivi di business sia per tutelare la sicurezza e la difesa dei paesi stessi, gli strumenti e le attività che è necessario predisporre per difendersi devono essere pienamente adeguate ai tempi.
 
Nello spazio virtuale, nel quale si proiettano oggi tutti gli aspetti della vita quotidiana (politica, sociale, economica, industriale) è indispensabile adottare un approccio realmente finalizzato alla protezione delle informazioni. E questo risulta ancora più evidente in alcuni ambiti nei quali la sicurezza dell’intero “sistema Paese” potrebbe essere messa a rischio di fault o, peggio, di attacchi deliberati: pensiamo alle “infrastrutture critiche europee” individuate dalla Direttiva UE 2008/114/CE, che le valuta e sostiene la necessità di migliorarne la protezione.
 
In tal senso, appare opportuno parlare di “difesa attiva”, quando si intende l’adozione di comportamenti, misure e azioni finalizzati alla prevenzione e al contrasto di eventi potenzialmente dannosi o azioni illecite che mirano a compromettere il perimetro e la stabilità delle organizzazioni, delle aziende, dei paesi.
 
Security Governance, Risk e Compliance
 
In questi ultimi anni si è rafforzata  presso le aziende la consapevolezza che una efficace sicurezza delle informazioni possa valorizzare l’Organizzazione riducendo le perdite dovute agli eventi che hanno impatti sulla sicurezza e garantendo che incidenti e violazioni di sicurezza non abbiano effetti dannosi.
 
Tale consapevolezza è stata senz’altro maturata anche a seguito dell’introduzione, sia in ambito internazionale sia nel nostro Paese, di  diverse normative, come ad esempio: il D.Lgs. n. 196/2003 o il D.Lgs. n.231/2001, il Sarbanes Oxley Act 2002 e alcune normative di settore come la Data Security Standard emessa dal Payment Card Industry (PCI-DSS), che obbligano le aziende e le amministrazioni pubbliche ad adottare misure tecniche e organizzative a tutela della sicurezza e della salvaguardia di particolari tipologie di dati.
 
Gestire la compliance ai requisiti imposti da queste normative comporta il superamento di diverse sfide:
  • coinvolgere tutte le unità organizzative e il management nella definizione di nuovi processi
  • analizzare l’impatto dei requisiti normativi sui sistemi ICT
  • individuare e implementare le contromisure in grado di rispondere in modo efficace ai requisiti tecnici
  • verificare in modo costante l’efficacia dei processi di compliance e la corretta implementazione delle contromisure
  • attivare processi di escalation per rispondere a eventuali non conformità ad elevato rischio.
 
grafico ICT 5.jpg

Più in generale, se sostituiamo il concetto di normativa con una policy definita dall’azienda stessa e derivante dall’analisi dei rischi di diversa natura ai quali l’organizzazione è soggetta, le considerazioni relative alle sfide di compliance rispetto alla policy sarebbero ovviamente del tutto simili a quelle descritte.
La sicurezza informatica è quindi divenuta uno dei temi all’attenzione dei dirigenti e del top management delle imprese private e pubbliche e richiede competenze e conoscenze in diversi settori: dai processi di business alle vulnerabilità di nuove tecnologie, dall’organizzazione del personale alle procedure operative per la gestione di un sistema informativo.
 
Frodi, Cybercrime e Infrastrutture Critiche
 
Il fenomeno della comunicazione e dello scambio di informazioni e fruizione di nuovi servizi online basato su Internet ha mutato in modo eccezionale non solo le nostre abitudini ma anche gli scenari di rischio connessi alla sicurezza di persone,  organizzazioni, aziende, come anche quelli di interi paesi.
 
Lo sviluppo di Internet ha anche contribuito a cambiare lo scenario internazionale dei crimini. I reati commessi sfruttando l’uso di strumenti informatici è infatti completamente evoluto negli ultimi dieci anni: dalle attività di spionaggio dei primi anni novanta e dalle azioni dimostrative di poche persone con competenze tecniche molto verticali si è giunti a un vero e proprio mercato underground (black market), nel quale operano molte persone e organizzazioni criminali.
Le attività riconducibili al black market sono in continua crescita e costituiscono una minaccia reale per i cittadini, per le imprese, per le banche e gli Istituti Finanziari. E’ all’attenzione di tutti i professionisti del settore l’aumento di attacchi basati sull’uso di semplici toolkit che possono essere semplicemente acquistati in rete da chiunque, a prezzi estremamente contenuti (come ad esempio Zeus). Questi toolkit semplificano la creazione di malware, come i Trojan, e riescono a eludere gli apparati di autenticazione e autorizzazione di sistemi di home banking anche molto sofisticati. Ma possono anche diffondere malware (come ad esempio Stuxnet) nei sistemi di controllo industriale basati su PLC, in grado di “spiare” un impianto industriale o alterarne il comportamento: nuove forme di attacco ai sistemi industriali che sono, di fatto, una concreta minaccia per la sicurezza di interi paesi.
 
Una ulteriore, incombente minaccia per aziende pubbliche e private è quella relativa alle frodi. Si è registrato, infatti, un costante aumento del numero di incidenti, dal furto di informazioni, fino all’utilizzo di dati raccolti illecitamente sulla rete per commettere reati e “monetizzarli”. In crescita anche le perdite, in termini economici e di immagine, a danno di istituzioni pubbliche e soggetti economici privati.
 
Di recente anche il Comitato Parlamentare per la Sicurezza della Repubblica (COPASIR) nel “Rapporto sulle possibili implicazioni e minacce per la sicurezza nazionale derivanti dall’utilizzo dello spazio cibernetico”, ha analizzato nel dettaglio questi temi e ha dichiarato che la difesa dello spazio cibernetico deve essere al centro delle strategie di protezione di tutti i paesi per la difesa di un bene comune, come previsto per la protezione di altri “spazi”, ad esempio l’atmosfera o le acque internazionali.
 
Ė chiaro che lo spazio cibernetico può diventare l’anello debole della catena di protezione sviluppata negli anni, sia dagli organi di sicurezza e difesa dei paesi sia dalle aziende private a tutela dei propri interessi economici. Ed è anche chiaro che tutti hanno l’urgenza di sviluppare strategie di protezione nel Cyberspace, vista l’assoluta rilevanza che questo spazio ha assunto nel nostro mondo.
 
Evoluzione delle soluzioni e dei servizi ICT e nuove minacce
 
Un’altra importante esigenza delle aziende e delle amministrazioni pubbliche è riconducibile all’adeguamento delle strategie di sicurezza rispetto alla continua trasformazione del mercato  Information & Communication Technology.
 
Il fenomeno dei social network, la rapida diffusione di smartphone, l’avvento delle tecnologie di cloud computing sono un evidente esempio della rapidità con la quale il mondo ICT evolve.
 
Ad ognuno di questi scenari è semplice associare una serie di minacce e relative esigenze di sicurezza:
  • il proliferare dei social network ha contribuito in modo notevole alla diffusione di informazioni personali molto utili al furto d’identità
  • l’uso sempre più vasto di smartphone sta determinando la focalizzazione del mondo del cybercrime sullo sviluppo di tool e strumenti simili ai Trojan e ai Malware in grado di eludere i sistemi di sicurezza di questi nuovi device
  • il cloud computing, che semplifica in modo significativo la gestione dei sistemi informativi delle aziende, solleva una serie di importanti questioni sulle garanzie di riservatezza dei dati, sulla compliance alle normative vigenti in uno specifico paese, sulla capacità dei provider di garantire, in che modo e con quali livelli di servizio, la continuità operativa dei processi specifici di un particolare settore d’industria.
Le sfide della Sicurezza Informatica sono quindi fortemente connesse all’evoluzione delle tecnologie del mercato ICT, come anche ai cambiamenti dei paradigmi d’offerta di questo stesso mercato: la sfida è riuscire ad adeguare efficacemente e velocemente competenze e organizzazione a questa continua mutazione.