Security

Per lavorare senza sorprese

Non si tratta più di un problema indirizzabile dal solo IT aziendale

La sicurezza informatica in ambito aziendale sta obiettivamente attraversando una nuova fase, che richiede un nuovo approccio alla tematica da parte dell’azienda. Innanzitutto viene messo in discussione pesantemente il framework classico di difesa.

Diventa sempre più chiaro che non si tratta più di un problema indirizzabile dal solo IT aziendale ma, deve essere una soluzione che molto più di prima si prefigura come processo aziendale primario, cross e a supporto di tutti gli altri.

Si (ri)parla infatti sempre più spesso di Security & Privacy by design & by default. Sicuramente il nuovo regolamento per la privacy GDPR in questo senso, ha dato nuova enfasi con l’obiettivo primario, la garanzia di un alto livello di protezione, avendo sempre a faro le esigenze di prestazione del Business.

Incremento attacchi Health

2016


Incremento attacchi Banking / Finance

2016


Incremento attacchi GDO/Retail

2016


Incremento attacchi Critical Infrastructures

2016



Fonte: Rapporto Clusit 2017

Com'è cambiata la Cybersecurity negli ultimi anni?

Il panorama attuale per tipologia di attacchi e motivazioni, è profondamente mutato rispetto anche solo a qualche anno fa. Tutti gli osservatori sulla tematica cybersecurity lo confermano con i dati. Non è fare terrorismo psicologico, ma essere realisti, quando si afferma che tutti si è potenzialmente vulnerabili e bersagli del cybercrime e quindi “is not a matter of if, but a matter of when“. Bisogna sfatare l’immaginario collettivo in cui siano solo le grandi società americane, grandi brand, ad essere attaccate per attivismo . Le motivazioni sono notevolmente mutate e hanno come target qualsiasi azienda, anche le realtà della PMI che costituiscono il tessuto delle aziende italiane sono pesantemente bersagliate.

Come si stanno diffondendo le minacce nel web?

I browser sono diventati una sorta di piccoli sistemi operativi nel sistema operativo che, per quanto quest’ultimo possa essere blindato, aprono le porte a malware che sfruttano falle dei plugin o delle app installate nei browser stessi.

La grande diffusione di malware ora acquistabili anche su Darkweb, praticamente a la carte avendo a disposizione associazioni malavitose per il cybercrime as a service, mette in evidenza come Data-Leak Aziendale (sottrazione di dati aziendali) e il Ramsonware (richiesta di riscatto per sbloccare dati) siano due facce della stessa medaglia. Nel primo caso vengono sottratte con attacchi silenti, anche prolungati nel tempo, informazioni di proprietà industriale e quindi potenzialmente rivendibili ad alto prezzo sul mercato nero e darkweb. Nell’altro caso tipicamente vengono trattate informazioni che non hanno necessariamente interesse per il mercato ma molto per l’interessato. Chi si vede criptate le proprie informazioni, bloccato il proprio lavoro, inaccessibili le proprie foto personali molto facilmente desiste e paga per riavere il tutto.

La diffusione ha come primario vettore lo Spear Phishing, sempre più mirato, sempre più insidioso.

Sul tappeto ci sono parecchie sfide che si prospettano nell’approccio al tema della sicurezza

GDPR: il nuovo regolamento Europeo sulla privacy già in vigore e che deve essere implementato, “by design & by default” come indicato nel testo entro maggio 2018. Questa non è una grana da gestire in più ma una reale opportunità per migliorare la qualità generale della sicurezza aziendale

Protezione delle informazioni aziendali indirizzabile con meccanismi di Data Loss Prevention: molte aziende hanno poca consapevolezza dello stato, del flusso di informazioni e di quelli che sono i “gioielli della corona”

SCADA e IoT . Sono sempre più presenti nella cronaca gli incidenti mettendo in evidenza quanto possano essere pericolosi fermi sugli impianti, al cuore della produzione mettendo in ginocchio le aziende e mettendone seriamente a repentaglio reputazione e credibilità con i clienti

Digitalizzazione o industria 4.0 passa anche per l’implementazione di una sicurezza che permetta di sostenere questa rivoluzione che le aziende non possono non cavalcare

Zero-Day Vulnerability: utilizzando meccanismi di protezione avanzata che sfruttino l’analisi dei comportamenti sospetti

GDPR Readiness

È sempre più chiaro che l’aspetto tecnologico, seppur fondamentale, sia solo l’ultimo elemento abilitante della catena del valore dell’IT. Ecco che, contrariamente a quanto viene fatto da altri operatori che del GDPR evidenziano solo sanzioni alimentando terrorismo psicologico, per noi, invece, costituisce una reale opportunità da cogliere. Un’occasione per migliorare la maturità della sicurezza e della privacy aziendale, che per vari motivi, non ultimo quelli di budget, sono stati tenuti sempre per ultimi.

E’ chiaro che debba essere condotta una accurata analisi preliminare con assessment qualificati, che possano fornire una corretta valutazione della maturità dell’asis avendo chiaro il gap verso obiettivi prefissi. Il tutto dovrà poi sfruttare capacità di architettura delle soluzioni che integrando prodotti e rivedendo opportunamente processi, permettano di essere conformi alla normativa e pronti ad eventuali brecce. Non esistono prodotti “out of the box” che possano promettere di fare tutto quello che è richiesto per protezione, tutela e compliance. Non esiste al momento una certificazione specifica, sono però chiare delle linee guida che sono tracciate e devono essere individuate in azienda.

La scelta di un partner che accompagni in tematiche come GDPR, Data Loss Prevention e protezione proprietà intellettuale si basa su 3 pillar fondamentali.

Awareness e consapevolezza della Tematica si Sicurezza aziendale

Approccio Consulenziale

Disegno e implementazione IT Security

Lo nostra proposta



Soluzioni


Awareness – Consapevolezza Tematica Sicurezza aziendale


  • Corsi Cyber security Awareness
  • eLearning & Video communications
  • Live Streaming
  • Campagne di Phishing interno mirate con verifica rispetto Policies (phishing readiness)

Approccio Consulenziale


  • Assessment su tematiche di Cybersecurity
  • BIA, Risk assessment, Gap Analysis
  • Vulnerability Ass., Pen-testing
  • Data Classification (sesitivity & Impact), DLP assessment
  • GDPR Readiness
  • Scada & Cloud security
  • Modello di Data Governace (focus Sicurezza)

Disegno e Implementazione IT Security


  • Approccio «olistico» alla soluzione
  • Sicurezza Perimetrale
  • Data Loss Prevention
  • Siem e log Management
  • Crittografia per la protezione dati strutturati e non strutturati (es.DB e posta o File system)
  • Resilienza (Disaster Recovery /Business Continuity)