Post on 24-Aug-2020
Tracciamento delle operazioni bancarie:
il concetto di Power User
e il trade-off tra norme, standard
ed esigenze di produttività
AIEA, Milano 18 Maggio 2011
Paolo CapozuccaAdvisory & Alliance Manager
Gruppo Terasystempaolo.capozucca@gruppoterasystem.it
B.U. SECURITY: CHI SIAMO
8 Principal Sec. Consultant 6 Sec. Program Manager 28 Security Consultant
Oltre 80 certificazioni
ICT SECURITY AUDITING & COMPLIANCE
(DL 196, SOX, DL. 231, L.262,..)
ORGANIZZAZIONE, RUOLI, PROCESSI
ANALISI DEL RISCHIO
IDENTITA’ DIGITALI FEDERATE
DATA LOSS & LEAKAGE PREVENTION
DAM: DB ACTIVITY MONITORING
CLOUD SECURITY e SECURITY per il CLOUD
Security Team operante dal 1998, in Italia, Europa, Medio Oriente
DIGITAL IDENTITY IN ITALIA: INPDAP
DIGITAL IDENTITY IN ITALIA: SPARKLE
ABN AMRO UK – Progetto Risk Assessment ICT Sarbanes-Oxley
ALPHA BANK (Grecia): Identità digitali e Role Mgmt
EUROBANK (Grecia, Romania, Bulgaria): Identità digitali e Role Mgmt
HALK BANK – Banca Turca : Role Management e Identità Digitali
TCMB - Banca Centrale Turchia : Identità digitali federate
UNICREDIT TIRIAC BANK (Romania): Identità digitali e Role Management
ASTELIT MOBILE (Ucraina): Identità digitali
VODAFONE (Albania e Romania): Identità digitali federate per adeguamentoSarbanes-Oxley
REFERENZE SECURITY FINANCE & TELCO ALL’ESTERO
INFORMATION SECURITY: COSA E’ CAMBIATO TRA XIII E XXI SECOLO?
SECURITY: MOLTO SEMBRA FATTO MA….
… FORSE NON ANCORA PROPRIO TUTTO!
* Articolo pubblicato su DailyMail.co.uk nel mese di Agosto 2008
XXI SECOLO: ANDREW CHAPMAN E IL DATA LOSS
Andrew Chapman con l’hard disk comprato su eBay
e che conteneva informazioni bancarie private di più
di un milione di persone*
10
INFORMATION SECURITY AL TEMPO DEL CLOUD COMPUTING
Le informazioni digitalizzate da proteggere: un asset che ogni anno raddoppia di volume.
11
INFORMATION SECURITY AL TEMPO DEL CLOUD COMPUTING - 2
In un contesto normativo internazionale e italiano sempre più capillare e complesso: (SOX, BASEL III, D.Lgs 231/01, L.262/2005, D.Lgs 196/2003)
12
TERASYSTEM NELLA CLOUD SECURITY ALLIANCE
OBIETTIVI: CONVERGENZA, UNIFICAZIONE, SEMPLIFICAZIONE
Area delle Regole
Area della Infrastruttura
Area di
Chi Opera
Area del cosa può accadere e del cosa accade
INFORMAZIONI
POLICY MGMT
IDE
NT
ITY
MG
MT
CONTROLMGMT
INFR
AST
RU
CT
UR
EM
GM
T
PLAN: definizione ISMS
ambito ISMS, obiettivi ISMS (Policy), individuazione rischi, Controlli, preparazione di un SoA: Statement of Applicability
DO: implementazione
ed attivazione ISMSdefinizione Piano di Risk Management, implementazione Piano di Risk Management, implementazione dei Controlli
CHECK: monitoraggio e revisione ISMS attivazione procedure di monitoraggio, revisione periodica efficacia ISMS, revisione periodica Livello di Rischio residuo, auditing periodico
ACT: manutenzione e
adeguamento (miglioramento ) ISMS implementazione migliorie, attivazione azioni correttive e preventive, comunicazione azioni e risultati, controllo raggiungimento obiettivi
INFORMATION CENTRIC SECURITY
OBIETTIVI: CONVERGENZA, UNIFICAZIONE, SEMPLIFICAZIONE
Spunti importanti dal ROSI 2.0
Pattern DLP, DAM, ROLE MANAGEMENT
5.10: DLP
5.11: DAM
5.12: ROLE MANAGEMENT
DOPO LA SECURITY: E LA DATA PROTECTION ?
Data Protection
Sicurezza
Backup
Archiving
Disaster Recovery
Business Continuity
Data Eradication
PRINCIPALI CAUSE DI PERDITA DATI
Fonte: KPMG
Principali cause di perdita dati
Fonte: KPMG
Principali cause di perdita dati
Perdite dati per settore
Fonte: KPMG
Sicurezza del dato
Data Security
Enterpise Policy Management
Identity & Access
Management
Information Integrity
Management
Security Informations &
Event Management
Access Control Management
Policy
Identità
IntegritàEventi
Configurazioni
CLASSIFICAZIONE DEI DATI
Classificazione dei dati
La classificazione dei dati e delle informazioni degli Enti ha una duplice valenza, da unlato discende di fatto dagli obblighi di legge connessi, in particolare, alla normativasulla privacy (D. Lgs. 196/2003 e Provvedimenti del Garante), dall’altro è necessario alfine di attribuire a ciascuna informazione l’adeguato livello di protezione, rispettoalla criticità del dato per la missione dell’Ente (secondo gli standard internazionali disicurezza, per esempio, ISO 27001).
In entrambi i casi, il livello di protezione dei dati e delle informazioni classificate, intermini di controlli di sicurezza tecnici, organizzativi o fisici, deve essere determinatoattraverso un procedimento di analisi dei rischi cui le informazioni medesime sonoesposte.
I POWER USER AL LAVORO (FINO A IERI)
Sys Admin
Net Admin
Mail Admin
Audit & Monitor
Log
Log
Log
ManagedZone
User
Zone
L’amministrazione delle applicazioni, dei server e degli apparati avviene direttamente
sugli ambienti target.
I privilegi di accesso sono generalmente di livello
elevato
La unica forma di reale deterrenza dalle
manipolazioni è la Separation of Duties
tra i Power User
Non costituisce però una “prova” forense
in caso di contestazione
Le tracce e le evidenze delle operazioni ICT sono a cura dei sistemi gestiti e quindi
esse stesse soggette ad azioni da parte dei
Power User
User
Zone
ManagedZone
Sys Admin
Net Admin
Mail Admin
Audit & Monitor
NOOSAdmin
Log
Log
Log
Log
Log
Log
COME?
1. Disaccoppiare i Power User
dai Sistemi Gestiti
2. Fornire un logging
autonomo, indipendente,
inalterabile
I POWER USER da OGGI: Una rivoluzione silenziosa
Protezione in tempo reale dei database ed aderenza alle
esigenze di Compliance e Data Protection
DAM: DB Activity Monitoring
DAM: Le componenti necessarie
IntrusionPrevention
VirtualPatching
Tracciabilita dell’accesso degli
utenti ai database in ambienti
WAN e LAN
strumenti di Vulnerability
assessment per DB Oracle,
SQL Server, MySQL, DB2
Strumenti per la
gestione ed
il reporting
delle attivia’
di auditing
Virtual patching
basati sulle
vulnerabilità
note dei DB
con azione
“0” day
protections
Prevenzione
delle
intrusioni
dall’interno
del DB, con
pieno
controllo dei
POWER USER
.
ILM: INDIPENDENZA DAI VENDOR!
Su tutto il ciclo di Information LifeCycle Management
Collect /
Organize
Replicate/
Monitor
Access /
Share
Protect / Recover
Migrate /
Archive
Delete /
Destroy
Business Needs
GRAZIE!
Vi aspettiamo al
SECURITY SUMMIT DI ROMA
Paolo CapozuccaAdvisory & Alliance Manager
Gruppo Terasystempaolo.capozucca@gruppoterasystem.it