Introduzione alla sicurezza [modalità compatibilità]€¦ · con una guardia armata alla porta e...

Un progetto di Realizzato daUn progetto di Realizzato da

INTRODUZIONE ALLA SICUREZZA

Tutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della documentazione allegata, senza previa autorizzazione di ADFOR S.p.A. 1

AvvertenzaQuesto manuale riveste esclusivamente carattere didattico e di complementoall’esposizione del relatore del Corso, e non intende quindi sostituirsi in alcun modo alladocumentazione ufficiale dei prodotti programma cui fa riferimento.

Stante la pluralità delle informazioni esposte e delle loro fonti, ADFOR non assume alcunaresponsabilità in merito ai singoli contenuti della dispensa, pur assicurandone lacomplessiva correttezzacomplessiva correttezza.

Nomi di prodotti e società citati nel presente manuale possono essere marchi dei rispettiviproprietari.

Tutti i marchi sono registrati dai rispettivi proprietari.

Gli eventi citati nel presente manuale sono da ritenersi semplici esempi e qualunqueGli eventi citati nel presente manuale sono da ritenersi semplici esempi e qualunqueriferimento a società, organizzazione, prodotti, persone o eventi reali è puramentecasuale.

Tutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della documentazione allegata, senza previa autorizzazione di ADFOR S.p.A.


Generalità

LA SICUREZZA DEI SISTEMI INFORMATIVIGeneralità


Il villaggio globale dell’informazione


Le Forme dell’Informazione

Occorre distinguere tra dati e informazioni.I dati possono anche essere processati mediante I dati possono anche essere processati mediante tecnologie informatiche, ma diventano informazioni solo quando acquistano un significato specificosolo quando acquistano un significato specifico.Nella vita quotidiana tutti abbiamo a che fare con una miriade di differenti forme di informazione.L’Informazione può assumere la forma di testo, ma anche di contenuto multimediale (suoni, immagini, video, ecc.).

Tutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della

documentazione allegata, senza previa autorizzazione di ADFOR S.p.A. 5

Il Valore dell’Informazione

L’Informazione è conoscenza che qualcuno ha acquisitoacquisito.L’Informazione priva di significato è un semplice dato dato. Se si tratta di informazione o dato è determinato principalmente dal beneficiario. Il valore dell’Informazione è pertanto determinato dal valore che il beneficiario annette ad essa.



L’Informazione come fattore di produzione

I fattori di produzione di una azienda od organizzazione sono solitamente il capitale il organizzazione sono solitamente il capitale, il lavoro e le materie prime.È importante sottolineare che anche l’informazione È importante sottolineare che anche l’informazione è un fattore di produzione.

òIl Businesses non può esistere senza l’informazione.Ad esempio: Un magazzino che perde le informazioni su

èclienti e giacenze è in grado di operare?Alcuni ambiti del business, come ad esempio la

t bilità h ddi itt l’i f i l contabilità, hanno addirittura l’informazione come loro unico oggetto.



L’Informazione e l’Immagine aziendale

Nella maggior parte dei casi l’informazione è l’asset

aziendale più sottovalutato.

È un grave errore perchè la perdita informazione È un grave errore perchè la perdita informazione

può influenzare direttamente il bene più prezioso

dell’azienda, la sua IMMAGINE.



“L’i f i è h “L’informazione è un asset che, come ogni altro asset importante, ha un ogni altro asset importante, ha un valore per l’azienda e di conseguenza d d g t t deve essere adeguatamente protetto.”p


Sistema Informativo

Il trasferimento e l’elaborazione dell’Informazione richiede l’utilizzo di un “information system” o richiede l utilizzo di un information system o Sistema Informativo.Ogni sistema avente lo scopo di trattare Ogni sistema avente lo scopo di trattare informazioni è un “information system”.

Non è necessariamente un “IT system” (Information y (Technology System).

Esempi di “information system” sono:Archivi contenuti in schedariTelefoni mobiliStampanti…



Sistema Informativo Tecnologico (IT System)

Un IT system consiste di vari strumenti tecnici tra di loro correlati in qualche modo Tali mezzi loro correlati in qualche modo. Tali mezzi includono:

Workstation o postazioni di lavoro che consistono di un Workstation, o postazioni di lavoro, che consistono di un PC con il software sia di sistema che applicativo.Trasporto dei dati mediante una rete cablata o wirelessTrasporto dei dati mediante una rete, cablata o wireless.Server centrali, che consistono di un server con il software di sistema ed applicativo.software di sistema ed applicativo.Dati memorizzati: spazio disco, e-mail e database.Telefonia.Telefonia.



Protezione dell’informazione

L’informazione “tradizionale”materiale e coincidente col suo supportomateriale e coincidente col suo supporto.facilmente proteggibile con mezzi fisici.

L’i f i “ d ”L’informazione “moderna”immateriale e svincolata dal suo supporto fisicodifficilmente proteggibile con metodi tradizionali

L’informazione digitale può facilmente essere:intercettata, copiata, trasportata, spostata, diffusa,modificata, contraffatta, falsificata, alterata,distrutta.



Generalità

LA SICUREZZA DEI SISTEMI INFORMATIVIGeneralità


Generalità (1 di 2)

La Sicurezza Informatica si occupa dell'analisi delle vulnerabilità del rischio delle minacce e della vulnerabilità, del rischio, delle minacce e della conseguente protezione dell'integrità logico-funzionale (software) di un sistema informatico e funzionale (software) di un sistema informatico e dei dati in esso contenuti o scambiati in una comunicazione con un utentecomunicazione con un utente.Le misure adottate per la Sicurezza Informatica sono di carattere organizzativo e tecnologicosono di carattere organizzativo e tecnologico.



Generalità (2 di 2)

Una corretta implementazione dell’Information Security deve essere in grado di bilanciare aspetti Security deve essere in grado di bilanciare aspetti diversi:

I requisiti di qualità dell’informazione richiesti I requisiti di qualità dell informazione richiesti dall’organizzazione.I rischi associati a tali requisiti di qualitàI rischi associati a tali requisiti di qualità.Le contromisure necessarie a mitigare tali rischi.La necessità di assicurare la continuità La necessità di assicurare la continuità dell’organizzazione anche nel caso di un evento catastrofico.



Amare verità sulla Sicurezza Informatica

La Sicurezza totale non esiste!l’unico computer sicuro è quello non connesso ad alcuna l unico computer sicuro è quello non connesso ad alcuna rete, chiuso in un caveau blindato, con una guardia armata alla porta e con una guardia armata alla porta e... spento!

La Sicurezza Informatica totaleLa Sicurezza Informatica totaleè un asintoto:

avvicinandosi ad essa i costi aumentano sempre di più, mentre la sicurezza aumenta sempre meno.

èLa sicurezza è un trade-off, un compromessoragionevole bilanciamento fra costi e benefici.



Miti da sfatare sulla Sicurezza Informatica

La Sicurezza Informatica è interesse e responsabilità del solo responabile ITresponsabilità del solo responabile IT.

Le minacce alla Sicurezza che arrivano dall’esterno ùsono quelle più pericolose.

La Sicurezza Informatica è assicurata salvaguardando la rete e l’infrastruttura IT.

Il coinvolgimento del Management non è Il coinvolgimento del Management non è fondamentale.

Add l l i i l i iù Addottare le soluzioni tecnologice più all’avanguardia aumenta la sicurezza.



I requisiti dell’Informazione sicura

Per Sicurezza Informatica si intende la protezione dei requisiti di:

Disponibilita’Disponibilita’RiservatezzaRiservatezza

q

Integrita’Integrita’

L’Informazione gestita dai processi IT e fornita al L Informazione gestita dai processi IT e fornita al business attraverso i sistemi e le reti di telecomunicazioni deve soddisfare questi tre criteri per

d ff d b lTutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della


essere considerata affidabile.

I requisiti RID (CIA per gli anglosassoni)

RISERVATEZZA (CONFIDENTIALITY)Le informazioni riservate devono essere accessibili solo Le informazioni riservate devono essere accessibili solo da parte di persone autorizzate.

INTEGRITA’ (INTEGRITY)INTEGRITA (INTEGRITY)L’informazione deve essere valida, completa e trattata con metodi di elaborazione analogamente validi e con metodi di elaborazione analogamente validi e completi.

DISPONIBILITA’ (AVAILABILITY)DISPONIBILITA (AVAILABILITY)L’informazione deve essere presente e utilizzabile dagli utenti autorizzati quando richiestoutenti autorizzati quando richiesto.



Riservatezza

Include anche le misure per la protezione della PrivacyPrivacy.Esempi di contromisure

Mi i h ll’i f i bbi Misure per garantire che all’informazione non abbiano accesso persone cui l’informazione non è necessaria alla propria attività (principio del “need to know”)propria attività (principio del need to know ).Imporre una separazione di responsabilità (“segregation of duties”) tra chi si occupa di sviluppo delle applicazioni of duties ) tra chi si occupa di sviluppo delle applicazioni e chi di gestione dei processi operativi.Creare una rigida separazione, nell’ambito dei sistemi, g p , ,tra l’ambiente di sviluppo, di test, di accettazione e di produzione.



Integrità

Le caratteristiche dell’integrità sono:Correttezza del datoCorrettezza del dato.Completezza del dato.

E i di iEsempi di misureTutte le modifiche a sistemi e dati devono essere

t i t autorizzate. Ogni attività degli utenti del sistema è memorizzata (logged)(logged).Tecniche crittografiche.



Disponibilità

Le caratteristiche della disponibilità sonoTempestività (timeliness)Tempestività (timeliness).Continuità (continuity).Robustezza (robustness)Robustezza (robustness).

Esempi di misureGestione e memorizzazione dei dati.Procedure di Backup. Procedure di Emergenza per assicurare che le attività possano essere riavviate quanto prima dopo un evento catastrofico Procedura D/R o Disaster Recoverycatastrofico. Procedura D/R o Disaster Recovery.



Risk Management

VALUTAZIONE E GESTIONE DEL RISCHIORisk Management


Risk Management (1 di 3)

Prima di mettere in atto una qualsiasi misura di sicurezza occorre sapere da quali rischi dobbiamo sicurezza occorre sapere da quali rischi dobbiamo proteggerci.Il Rischio è definito come l’incertezza Il Rischio è definito come l’incertezza nell’ottenimento di un risultato, sia in termini di opportunità che di minacceopportunità che di minacce.L’Analisi del Rischio (Risk Analysis) è la metodologia

èche supporta l’azienda nell’individuare i rischi cui è esposta.




Il rischio, il possibile danno o perdita di informazione sono determinati da diversi fattoriinformazione sono determinati da diversi fattori.

minacce, o piuttosto l’opportunità che una minaccia si materializzi e le possibili conseguenze o impattimaterializzi, e le possibili conseguenze o impatti.vulnerabilità, cioè le esposizioni o debolezze che possono essere sfruttate da una minaccia per avere successo.essere sfruttate da una minaccia per avere successo.

Quando un rischio si manifesta, ad esempio l’attacco di un hacker si ha un incidentel attacco di un hacker, si ha un incidente.Quando il rischio che si manifesta è talmente grave da minacciare la continuità delle attività da minacciare la continuità delle attività dell’organizzazione, ad esempio un allagamento del CED si parla di “disaster”



CED, si parla di “disaster”.


L’estensione del rischio e la valutazione del management sugli impatti determinano se e quali management sugli impatti determinano se e quali misure debbano essere adottate al fine di ridurre il rischiorischio.Solo dopo l’identificazione delle minacce e la determinazione del rischio si mette in atto il determinazione del rischio, si mette in atto il processo di Gestione del Rischio.

èIl Risk Management è un processo continuo all’interno del quale i rischi sono identificati,

l d l dvalutati e ridotti con le contromisure ad un accettabile livello.



Analisi e Gestione del Rischio

Minaccia VulnerabilitàElemento

Analisi

Rischio

ContromisureContromisureGestione


Le minacce e le conseguenzeIMPATTO

SUL

SecurityBUSINESS Strategico

Finanziario

Disponibilita’Disponibilita’Confidenzialita’Confidenzialita’ Disponibilita’Disponibilita’Confidenzialita’Confidenzialita’ Disponibilita’Disponibilita’Confidenzialita’Confidenzialita’Disponibilita’RiservatezzaOperativo

Integrita’Integrita’Integrita’Integrita’Integrita’Integrita’IntegritàIntegritaIntegritaIntegritaIntegritaIntegritaIntegritaIntegrità

CALAMITA’ ATTINATURALI ATTI

DOLOSIERRORI

INCIDENTI



MINACCE

Quadro delle MinacceREQUISITI DI SICUREZZA

CHE L’EVENTO PUO’ COMPROMETTERE

CATEGORIE EVENTI

C I DC I D A1 Calamità naturali e ambientali X A2 Eventi distruttivi accidentali (incendio, crollo,

allagamento) X A Inagibilità per cause

fisiche accidentali A3 Indisponibilità servizi/utilities fondamentali XA3 Indisponibilità servizi/utilities fondamentali X B1 Sabotaggio fisico X

B Inagibilità per cause fisiche intenzionali B2 Furto X X

C1 Guasti/malfunzionamenti hardware X C Guasti e C2 Saturazione/degrado X C Guasti e

malfunzionamenti C3 Malfunzionamenti software X X D1 Errori nelle operazioni di esercizio delle applicazioni X X D2 Errori nelle operazioni ausiliarie (output, trasmissioni,

ecc)X D Errori ecc)

D3 Errori di utilizzo da parte degli utenti X E1 Accesso non autorizzato per visione o divulgazione

dati X

E2 Accesso non autorizzato per modifica dati / frode XE Utilizzo illecito E2 Accesso non autorizzato per modifica dati / frode X E3 Divulgazione di patrimonio software aziendale X F1 Manomissione / Distruzione del software X X F2 Manomissione / Distruzione dei dati X X F Sabotaggio logico F3 C t i i d i X X


F3 Contaminazione da virus X X

Schema logico misure di protezione

MINACCE

CALAMITA’ NATURALI ATTI

DOLOSI

ERRORI

INCIDENTI

NTIV

E

TIV

E

PREVEN

e um

ane

Applic

ativ

i

Dat

i

nolo

gia

stru

tture

IMPATTO CO

RRETT

Disponibilita’Disponibilita’Confidenzialita’Confidenzialita’ Disponibilita’Disponibilita’Confidenzialita’Confidenzialita’

MIS

URE

Ris

ors

Sis

tem

i

Tecn

Infr

as

SUL

BUSINESS

MIS

URE CIntegrita’Integrita’Integrita’Integrita’

MISURE DI EARLY DETECTION

M MTutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della

documentazione allegata, senza previa autorizzazione di ADFOR S.p.A.

Risk Assessment e Mitigation

patto

RISKASSESSMENT

RISKMITIGATION

Impat

to

Imp

RISCHIORESIDUO

Freque

RISCHIO

VulnerabilitàuenzaVulnerabilità

TERMINI DEL PROBLEMAIMPATTO PROBABILITA’ VULNERABILITA’

Stima dei danni per l’azienda in Quanto si stima probabile che Inversamente ptermini di :•Perdite economiche e finanziarie•Perdite di opportunità di business

Q pla minaccia si traduca in un evento effettivo

proporzionale al grado di efficacia delle misure di i


•Danno di immagine•Penali

sicurezza

Quantificare il danno

L’operazione di quantificazione del danno a seguito di un incidente non è semplicedi un incidente non è semplice.Un danno è meramente patrimoniale è direttamente quantificabiledirettamente quantificabile.Spesso il danno è difficilmente calcolabile per la perdita di:

ProduttivitàCosti di ripristinoClientelaValore azionarioCredibilità



Minacce e Contromisure

VALUTAZIONE E GESTIONE DEL RISCHIOMinacce e Contromisure


Categorie di Minacce

La minaccia è una qualunque cosa che potenzialmente può produrre un danno. La possibilità/probabilità che p p p puna minaccia sfrutti una vulnerabilità per causare un danno determina un rischio.Le minacce possono essere divise in:

Minacce dovute all’azione dell’uomoMi d t ll’ i d ll’Minacce non dovute all’azione dell’uomo

Entrambe le tipologie di minacce si possono ulteriormente suddividere in:ulteriormente suddividere in:

danneggiamenti alle infrastrutture informatiche, ad esempio computer, software o database.danneggiamenti alle componenti fisiche, ad esempio costruzioni, documentazione, apparati elettrici, idraulici, di riscaldamento, raffreddamento o ventilazione.



riscaldamento, raffreddamento o ventilazione.

Minacce dovute all’azione dell’uomo

Minacce intenzionali dovute a persone che intenzionalmente procurano un dovute a persone che intenzionalmente procurano un danno al sistema informativo.tali persone possono essere interni od esterni (es hacker) tali persone possono essere interni od esterni (es. hacker) all’organizzazione.il danno può riguardare l’informazione, ma anche il danno può riguardare l informazione, ma anche dispositivi fisici.

Minacce non intenzionaliMinacce non intenzionalidovute a persone che involontariamente causano danni all’azienda. spesso favorite dalla mancata adozione di opportune contromisure.



Minacce in aumento

Cambia la natura delle minacce…Cyber attacks virusCyber attacks, virus

Furto d’identitàf d d h hfrodi ai consumatori (casi di phishing)

Crimine organizzatocarte di credito (miliardi di Euro)

Si stima che almeno l’80% degli incidenti non viene griportato per vari motivi, tra cui

l’organizzazione non è in grado di riconoscere che il g gproprio sistema è stato violato.l’organizzazione è riluttante ad ammetterlo.



Passato, presente e futuro delle Minacce ICT


Minacce non dovute all’azione dell’uomo

Le minacce, non dovute all’azione dell’uomo, sono dovute a fenomeni naturali fulmini incendi dovute a fenomeni naturali, fulmini, incendi, alluvioni, uragani, terremoti.Molti dei danni derivanti da tale tipo di minacce Molti dei danni derivanti da tale tipo di minacce dipendono dalla ubicazione dei dispositivi.



Applicare le Contromisure

Evitare il rischionon intraprendere alcuna attività specifica che comporti non intraprendere alcuna attività specifica che comporti rischio.

Ridurre il rischioRidurre il rischioridurre il rischio ad un livello accettabile (contromisure appropriate).

Accettare il rischio identificatoaccettare che il sistema è sottoposto ad un rischio (ridotto).

Non è possibile costruire un sistema completamente esente da rischio

sarebbe di difficile utilizzo (procedure troppo restrittive).non è possibile prevedere tutti i tipi di attacchi!



Contromisure atte a gestire il rischio tipologie

L’analisi del rischio produce una lista di minacce a ciascuna delle quali è associato un grado di ciascuna delle quali è associato un grado di importanza.Ogni minaccia grave deve essere analizzata ed Ogni minaccia grave deve essere analizzata ed occorre individuare una o più contromisure che la possano contenerepossano contenere.Le misure possono essere volte a:

ridurre l’opportunità che un evento accadaminimizzare le conseguenze una combinazione delle due



Contromisure Preventive

La prevenzione riduce la possibilità che una minaccia si realizzi, generando un incidente.minaccia si realizzi, generando un incidente.Esempi di misure preventive sono:

Mettere in atto misure per irrobustire (hardening) la Mettere in atto misure per irrobustire (hardening) la sicurezza dei sistemi di elaborazione e/o gli apparati di comunicazione

Chiusura delle porte di rete non utilizzate.Disattivazione dei servizi non utili.Cancellazione delle utenze standard (es. Administrator)Cancellazione delle utenze standard (es. Administrator)…

Aggiornamento delle componenti di sistema (patch t)management)

…



Contromisure Detettive (1 di 2)

Le misure detettive devono assicurare che un incidente possa essere rilevato quanto prima e che incidente possa essere rilevato quanto prima e che ognuno sia informato di ciò è stato fatto per rilevarlo rilevarlo.

Un esempio è la video di sorveglianza con cartelli che informi della sua presenzainformi della sua presenza.

Se le conseguenze dirette di un incidente non sono gravi o vi è il tempo di ridurre ogni possibile gravi, o vi è il tempo di ridurre ogni possibile danno, l’uso di misure detettive può essere una buona opzionebuona opzione.



Contromisure Detettive (2 di 2)

Informando semplicemente i dipendenti che l’uso di internet è monitorato si dissuade la maggior parte internet è monitorato, si dissuade la maggior parte delle persone a farne un uso improprio.La tracciabilità connessa al monitoraggio gioca un La tracciabilità, connessa al monitoraggio, gioca un ruolo crescente.



Esempi Contromisure Preventive e Detettive


Contromisure Repressive

Le misure repressive sono quelle che servono a minimizzare le conseguenze di un incidente quando minimizzare le conseguenze di un incidente, quando questo è ormai avvenuto.Limitarsi a sapere che qualcosa è accaduto non è Limitarsi a sapere che qualcosa è accaduto non è infatti sufficiente.Esempi di tale misure sono:

Usare un estintore per spegnere un piccolo incendioFare un backup periodico delle informazioni utilizzateUtilizzare un sito diverso dove proseguire il lavoro…



Contromisure Correttive

Le misure correttive servono a ripristinare la situazione dopo un incidente.situazione dopo un incidente.L’incidente produce solitamente delle conseguenze, vi è quindi la necessità di ripristinare la situazione a vi è quindi la necessità di ripristinare la situazione a quella prima dell’incidente.L’estensione della perdita dipende dalle estensione L estensione della perdita dipende dalle estensione e robustezza delle misure di tipo repressivo che sono state adottate.Se per esempio si perde un database l’estensione della perdita dipende dalla frequenza con cui sono fatti i back-up. Meno recente è il back-up, maggiore è la perdita.



Trasferire e/o Accettare il Rischio Residuo

Vi sono eventi che non possono essere completamente anticipati ed altri le cui completamente anticipati ed altri le cui conseguenze non sarebbero accettabili.

Per essi l’azione più opportuna è ridurre le conseguenze.p pp gAd esempio una assicurazione può proteggere dai danni economici prodotti da un incendio.pDopo avere applicato tutte le misure di sicurezza che si sono ritenute adeguate e di costo bilanciato grispetto al valore degli asset rimane solitamente un rischio residuo non coperto dalle misure scelte.ÈÈ compito del management decidere se tale rischio residuo possa essere ritenuto accettabile.



Sicurezza Fisica

SICUREZZA FISICA E SICUREZZA LOGICA ISicurezza Fisica


Sicurezza Globale ICT (1 di 2)


Sicurezza Globale ICT (2 di 2)

Siamo abituati a pensare alla sicurezza in termini tecnologicitecnologici

Password, crittografia, firewall, antivirus…Ma la sicurezza delle informazioni nel suo Ma la sicurezza delle informazioni nel suo complesso riguarda

tecnologiegprocessipersone

Quindi la sicurezza delle informazioni si fa a livellofisicologicoorganizzativo



Misure Sicurezza Fisica

La Sicurezza Fisica, in prima istanza, fornisce misure atte alla difesa della proprietàmisure atte alla difesa della proprietà.In tale contesto occorre definire

A hi è i ll’ di i d l A chi è consentito entrare nell’area di interesse del business e quindi decidere se proteggere l’area.Se si decide di farlo occorre poi stabilire quanto severa Se si decide di farlo occorre poi stabilire quanto severa deve essere la protezione che si mette in atto (videocamere all’esterno e/o all’interno dell’immobile, (videocamere all esterno e/o all interno dell immobile, acquisizione di sistemi di controllo accessi, ecc.).



Misure Sicurezza Fisica

Misura di Sicurezza Fisica non è solo protezione dal furtofurto.Possono compromettere la Sicurezza Fisica

S i ld d i hi i ( i di Surriscaldamento dei macchinari (server, apparati di rete, cablaggi, …)Interruzione di corrente elettricaInterruzione di corrente elettricaEventi naturaliA i i d ll’ l t i liAzioni dell’uomo volute o inconsapevoli



Dispositivi di Memorizzazione

Regole chiare per tutti i collaboratori circa le modalità di trattamento dei dispositivi di modalità di trattamento dei dispositivi di memorizzazione.Misure specifiche quando un impiegato viene Misure specifiche quando un impiegato viene assunto o lascia il suo impiego nell’organizzazioneParticolare attenzione ai dispositivi mobili:Particolare attenzione ai dispositivi mobili:

TelefoniChiavette USB Schede di memoriaSmartphoneLaptop…



Protezione perimetrale

Le vulnerabilità identificate richiedono misure che sono specifiche del tipo di spazio

Hintzbergen, J., Baars, H., Hintzbergen, K. and Smulders, A.


The Basics of Information Security - A practical handbook

Protezione Perimetrale – Perimetro esterno

L’anello esterno che circonda l’area dove opera il business può essere protetto da barriere naturali business può essere protetto da barriere naturali (vegetazione, corsi d’acqua, …) o architettoniche (recinzioni, staccionate, mura perimetrali, …)( , , p , )L’anello esterno deve consentire accessi alle persone autorizzate, mediante barriere sorvegliate da personale auto ate, ed a te ba e e so vegl ate da pe so ale e/o mediante verifica elettronicaL’area compresa tra l’anello esterno e l’area del L area compresa tra l anello esterno e l area del business può essere usata per la sorveglianza o per servizi ausiliari (parcheggi, meglio se fuori dal palazzo). (p gg , g p )Tale aree devono avere una appropriata illuminazione e possibilmente essere dotate di videosorveglianza



Protezione Perimetrale - Edifici

In aggiunta alle serrature tradizionali si fa oggi molto uso anche di sistemi a carta elettronica o molto uso anche di sistemi a carta elettronica o serrature a codice.I dispositivi Biometrici sono ancora poco diffusi Essi I dispositivi Biometrici sono ancora poco diffusi. Essi si basano su tecnologie che misurano ed analizzano caratteristiche del corpo umano al fine di caratteristiche del corpo umano al fine di consentire l’autenticazione (impronte, immagine della retina o dell’iride impronta della voce o del della retina o dell’iride, impronta della voce o del volto, …)



Protezione Perimetrale – Aree speciali (1 di 2)

Aree per l’immagazzinamento di materiale speciale.Ser er roomServer room.Contengono materiali sensibili all’umidità, al calore (sono essi stessi produttrici di calore), al fuoco, alla mancanza di energia elettrica. In tali aree, inoltre, non si devono conservare i supporti di back up.Nelle server room l’aria deve essere raffreddata, deumidificata e filtrata.



Protezione Perimetrale – Aree speciali (2 di 2)

Occorre inoltre utilizzare dispositivi indipendenti di generazione di energia elettrica:generazione di energia elettrica:

Gruppi di batterie di emergenza e dispositivi UPS (Uninterruptible Power Supply) che garantiscano (Uninterruptible Power Supply) che garantiscano correzione delle variazioni di energia elettrica con assorbimento dei picchi.Generatori di emergenza di energia elettrica per garantire energia per tempi più lunghi di quelli garantiti da gruppi di batterie. Tali generatori devono essere testati regolarmente e dotati di sufficiente carburante per garantirne il funzionamento per un lungo periodo di per garantirne il funzionamento per un lungo periodo di tempo.



Protezione Perimetrale - Ambiente di Lavoro

UmiditàL’atmosfera dell’area ove sono collocati i server deve essere L atmosfera dell area ove sono collocati i server deve essere deumidificata. Non devono essere posizionati tubi d’acqua ed impianti di riscaldamento centralizzato.

FuocoIl fuoco è una delle maggiori minacce ad un’area speciale come l’area dei server o dei dispositivi di rete.

È necessario adottare delle misure adeguate:Rivelatori di fumoApparecchi per lo spegnimento del fuoco

l’ d l d b ll l Evitare l’immagazzinaggio di materiale di imballo in tali aree I cablaggi utilizzati devono avere caratteristiche speciali di resistenza al fuoco



resistenza al fuoco

Sicurezza Logica

SICUREZZA FISICA E SICUREZZA LOGICA IISicurezza Logica


Identificazione, Autenticazione, Autorizzazione

Nell’ambito del processo di concessione dei diritti di accesso si distinguono tre fasidi accesso, si distinguono tre fasi

Identificazione. In tale fase la persona o sistema forniscono le proprie credenziali di identificazione forniscono le proprie credenziali di identificazione (utenza, token, …), si dichiara la propria identità.Autenticazione. Il sistema determina se le credenziali Autenticazione. Il sistema determina se le credenziali sono autentiche, se cioè la persona è veramente chi dice di essere tramite:

Qualcosa che si sa (ad es. pin, password).Qualcosa che si ha (ad es. smart card).Q l h i è ( d d ti bi t i i)Qualcosa che si è (ad es. dati biometrici)

Autorizzazione: è l’ultima fase, in essa il sistema determina a quali risorse deve essere consentito l’accesso



determina a quali risorse deve essere consentito l accesso

Entità coinvolte

soggettouna entità (utente host applicazione) che vuole una entità (utente, host, applicazione) che vuole accedere ad un oggetto.

oggettooggettouna risorsa il cui accesso viene controllato.

di itti di diritti di accessopermessi di un soggetto per accedere ad un oggetto.

Diritti di accessoUtente host soggetto oggetto

Diritti di accesso Risorsa hw o swUtente host

applicazione



Gestione degli Accessi Logici (accesso al SI)

Esistono diversi Modelli di gestione degli accessi logici in particolare vi sono i seguenti:logici, in particolare vi sono i seguenti:

Discretionary Access Control (DAC)Mandatory Access Control (MAC)Mandatory Access Control (MAC)Role Based Access Control (RBAC)



Discretionary Access Control (DAC)

In questo modello la decisione di autorizzare l’accesso alle informazioni spetta al proprietario dei l accesso alle informazioni spetta al proprietario dei dati, che definisce chi può avere accesso alle informazioni e quali privilegi debbano essergli informazioni e quali privilegi debbano essergli concessi.Esempi sono:Esempi sono:

Dare ad altri l’accesso alla propria “home directory”I i i f i i h i d i Inviare informazioni a persone che non possiedono essi stessi alcuna abilitazione ad accedere alle medesime informazioniinformazioni.



Mandatory Access Control (MAC)

In questo modello si definisce e gestisce centralmente quali persone o sistemi abbiano centralmente quali persone o sistemi abbiano diritto ad accedere alle informazioni.A differenza del Modello DAC i privilegi non sono A differenza del Modello DAC i privilegi non sono determinati solo dal proprietario delle informazioni, ma anche dal sistemama anche dal sistema.Nel sistema ad ogni soggetto (utente) deve essere assegnato un livello di abilitazione, e ad ogni oggetto (risorsa) deve essere assegnato un livello di l fclassificazione.



Role Based Access Control (RBAC)

In questo modello l’autorizzazione all’accesso è basata sulla funzione (ruolo) che il singolo utente svolge sulla funzione (ruolo) che il singolo utente svolge nell’organizzazione.In accordo con le Policy aziendali i ruoli e In accordo con le Policy aziendali, i ruoli, e l’assegnazione degli utenti ai vari ruoli, è determinato dalle Risorse Umane, mentre il diritto all’accesso è dalle so se U a e, e t e l d tto all accesso è determinato dal proprietario dell’informazione.L’utente eredita i privilegi dal ruolo che gli è assegnato.L utente eredita i privilegi dal ruolo che gli è assegnato.L’amministratore del sistema deve semplicemente assegnare utenti a gruppi di utenti e i gruppi ai ruoli assegnare utenti a gruppi di utenti e i gruppi ai ruoli previsti.



Monitorare gli accessi

Oltre a definire una modalità per il controllo degli accessi è anche importante controllare accessi è anche importante controllare sistematicamente chi ha accesso a cosa, al fine di individuare eventuali abusiindividuare eventuali abusi.Si deve verificare e/o garantire che solo le persone autorizzate abbiano accesso alle informazioni autorizzate abbiano accesso alle informazioni, questo può anche essere stabilito da regolamenti cui l’organizzazione deve conformarsicui l’organizzazione deve conformarsi.La concessione di privilegi di accesso non è solo un

h h l dtema tecnico, ma ha anche implicazioni di tipo organizzativo.



Principio del Privilegio Minimo

Non è necessario avere le credenziali di amministratore per effettuare attività “normali”amministratore per effettuare attività normali .Secondo questo principio devono essere assegnati solo i privilegi strettamente indispensabilisolo i privilegi strettamente indispensabili.L’implementazione pratica si chiama UAC (User

è ùAccess Control) ed è giù presente nei sistemi Windows.

Tutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della documentazione allegata, senza previa autorizzazione di ADFOR S.p.A. Pag 68

Finestre di dialogo UAC


Crittografia

LE MISURE TECNOLOGICHECrittografia


Algoritmi crittografici

Vi sono tre tipologie di algoritmici crittografici:Simmetrico (a chiave simmetrica o segreta)Simmetrico (a chiave simmetrica o segreta).Asimmetrico (a chiave asimmetrica).One wayOne-way.



Confidenzialità (1 di 2)

Tecniche per proteggere i dati da accessi non autorizzatiautorizzati

il mittente crittografacrittografa il messaggio, lo invia, il destinatario lo decrittografadestinatario lo decrittografa.

ProblemaCome accordarsi in modo sicuro tra mittente e Come accordarsi, in modo sicuro, tra mittente e destinatario per usare la stessa chiave (senza trasmetterla in rete)?trasmetterla in rete)?



Confidenzialità (2 di 2)

Una sola chiave usata per crittografare e decrittografare deve rimanere segreta (secret

Algoritmi a chiave privata

decrittografare , deve rimanere segreta (secret key).

Testo in

mittente ricevente

Testo in Testo in chiarochiave

segreta

chiaro

crittografia decrittografia

Testo cifrato



Crittografia a chiave pubblica (1 di 2)

Ogni persona ha due chiavi corrispondentiuna privataprivata (nota solo a lui) una privataprivata (nota solo a lui) una pubblicapubblica (nota a tutti)

Al it i i t i iAlgoritmi asimmetricicrittografia (semplice)decrittografia (molto complicata)

Per usare la crittografia a chiave pubblica non ènecessario scambiarsi alcuna chiave.Quanto crittografato con la chiave pubblica puòQ g p pessere decrittografato soltanto con la corrispondente chiave privata, e viceversa.



p p ,

Crittografia a chiave pubblica (2 di 2)

Autenticazione mittente + integrità dei dati, no confidenzialità

Chiave privata

mittente ricevente

Testo in mittente

Chiave pubblicaitt t

Testo in chiaro

Testo in chiaro


mittente


T ifTesto cifrato


Confidenzialità con chiave pubblica e privataConfidenzialità, no autenticazione mittente, no integrità dati

Chiave pubblicamittente ricevente

Testo in ricevente

Chiave privatai t

Testo in chiaro

Testo in chiaro


ricevente


Testo cifrato


Esempio Integrità + Confidenzialità (1 di 2)

Alice “scarica” da un elenco pubblico la chiave pubblica di Bobpubblica di Bob.Genera una chiave (ad esempio) DES casuale e con quella cifra il messaggioquella cifra il messaggio.Alice cifra la chiave DES con la chiave pubblica di Bob e gli invia:

Testo cifrato + chiave DES cifrata con chiave pubblica Bob

Bob decifra con la sua chiave privata la chiave DES e con questa decifra e legge il messaggio.Con il medesimo sistema Bob può rispondere ad Alice.



Esempio Integrità + Confidenzialità (1 di 2)


Firma digitale

La firma digitale è creata usando la crittografia asimmetrica Essa è un metodo per garantire che la asimmetrica. Essa è un metodo per garantire che la informazione digitale (documento) sia stata effettivamente prodotta e/o inviata da chi afferma effettivamente prodotta e/o inviata da chi afferma di essere ed è perciò comparabile alla classica firma di un documento cartaceodi un documento cartaceo.Per la firma digitale si usano generalmente due algoritmi:algoritmi:

uno per garantire che l’informazione non è stata modificata da altrimodificata da altri.l’altro per garantire la identità della persona che ha “firmato” l’informazione



firmato l informazione.

Certificato Digitale


Algoritmi crittografici “one way”

Questa forma di crittografia è anche chiamata “hashfunction”. L’algoritmo è utilizzato in prevalenza per g p psapere se sono intervenute modifiche sui dati dopo la loro registrazione/invio. L’algoritmo può anche essere usato per avere la conferma che la password digitata sia la stessa di quella memorizzata (i sistemi di sicurezza solitamente non memorizzata (i sistemi di sicurezza solitamente non memorizzano la password stessa, ma il corrispondente codice “hash”) in tal modo nessuno può risalire al ) pvalore della password.L’algoritmo è utilizzato per verificare l’integrità dei dati e/o messaggi, ma non è utilizzabile per garantire la riservatezza.



Infrastrutture a chiave pubblica (PKI) (1 di 3)

Una PKI, attraverso accordi, procedure e una struttura organizzativa fornisce garanzie in merito struttura organizzativa, fornisce garanzie in merito alla persona o sistema cui appartiene una specifica chiave pubblicachiave pubblica.La PKI è suddivisa in:

C ifi i A h i i è l A h i h il Certification Authorities: è la Authority che emette il certificato ed è considerata fidata da tutte le entità coinvoltecoinvolteRegistration Authorities: sono i sistemi di registrazione e autenticazione degli utenti che fanno richiesta di autenticazione degli utenti che fanno richiesta di certificatoCertificate Server: il front-end delle CA e delle RA




Validation authority È il ruolo svolto da un "partner" della CA che la riconosce È il ruolo svolto da un partner della CA che la riconosce e la dichiara credibile. Nel caso dei certificati digitali, le VA sono gli editori di software applicativi e di piattaforma VA sono gli editori di software applicativi e di piattaforma (Sistemi operativi etc.) che hanno "embedded" il certificato della CA e quindi sono in grado di riconoscere lo standard della CA.




Hintzbergen J Baars H Hintzbergen K and Smulders A


Hintzbergen, J., Baars, H., Hintzbergen, K. and Smulders, A.The Basics of Information Security - A practical handbook

Commercio Elettronico

Quando una organizzazione decide di far uso di servizi per il commercio elettronico deve affrontare servizi per il commercio elettronico deve affrontare dei rischi completamente nuovi rispetto a quelli che si affrontano usando Internet solo per la ricerca di si affrontano usando Internet solo per la ricerca di informazioni. I nuovi temi da esaminare sono:

Transazioni sicure per i pagamenti (Visa MasterCard Transazioni sicure per i pagamenti (Visa, MasterCard, IDeal, PayPal)Protezione delle informazioni da frodiProtezione delle informazioni da frodiDefinizione di chiare condizioni contrattualiGarantire il non ripudio di un acquistoGarantire il non ripudio di un acquistoGarantire il prezzo



Confidenzialità nella trasmissione dati

Protezione crittografica a basso livello SSL (Secure Socket Layer): il contenuto di ogni pacchetto TCP

Confidenzialità: protezioni a livello sistema operativo

Socket Layer): il contenuto di ogni pacchetto TCP viene crittografato con un sistema a chiave privata.Web sicuro (HTTPS): HTTP su SSL attivabile Web sicuro (HTTPS): HTTP su SSL, attivabile configurando il Web server.Riservatezza della posta elettronica: PGP (Pretty Good Privacy), sistema a chiave pubblica.



Tipica intermediazione finanziaria

Struttura di intermediazione

moneta

beni Impegno

Cliente Venditore

beni Impegno

beni

La moneta passa di mano Un intermediario garantisce

Cliente Venditore

La moneta passa di mano

tra venditore e acquirente

Un intermediario garantisce

la solvibilità dell’acquirente

in cambio di una commissioneTutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della

documentazione allegata, senza previa autorizzazione di ADFOR S.p.A.

in cambio di una commissione

Intermediazione finanziaria in Internet

Problemicomunicazione via rete con la struttura di intermediazioneaccertamento dell’identità del clientediverse valute nazionaliindividuazione on-line frodipoco adatto alle microtransazioni

Struttura di

intermediazione

reteimpegnoCliente Venditore

beni

retep g



beni

PEC Posta Elettronica Certificata

LE MISURE TECNOLOGICHEPEC Posta Elettronica Certificata


PEC Posta Elettronica Certificata (1 di 3)

È un sistema di “trasporto” di documenti informatici che presenta delle forti similitudini informatici che presenta delle forti similitudini con il servizio di posta elettronica “tradizionale”tradizionale .Aggiunta delle caratteristiche tali da fornire agli utenti la certezza a valore legale dell’invio e utenti la certezza, a valore legale, dell’invio e della consegna (o meno) dei messaggi e-mail al destinatario destinatario. La Posta Elettronica Certificata ha lo stesso valore l l d ll d l dlegale della raccomandata con la ricevuta di ritorno con attestazione dell'orario esatto di spedizione.




Il termine "certificata" si riferisce al fatto che il gestore del servizio rilascia al mittente una il gestore del servizio rilascia al mittente una ricevuta che costituisce prova legale dell’avvenuta spedizione del messaggio ed eventuali allegati spedizione del messaggio ed eventuali allegati. Allo stesso modo, il gestore del destinatario invia al mittente la ricevuta di avvenuta consegna mittente la ricevuta di avvenuta consegna. I gestori certificano quindi con le proprie "ricevute":

il messaggio è stato spedito e da chi è stato spedito.il messaggio è stato consegnato e a chi.il messaggio non è stato alterato.

Tutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della documentazione allegata, senza previa autorizzazione di ADFOR S.p.A. Pag 91

Misure Organizzative

SICUREZZA FISICA E SICUREZZA LOGICA IIIMisure Organizzative


Policy di Sicurezza (1 di 4)

Il management deve definire una Policy per la sicurezza delle informazioni in modo da fornire un sicurezza delle informazioni in modo da fornire un indirizzo ed un supporto all’azienda.La Policy deve essere scritta in accordo con i La Policy deve essere scritta in accordo con i requisiti di business e nel rispetto delle leggi e norme esistentinorme esistenti.La Policy deve essere approvata dal Consiglio di Amministrazione e quindi pubblicata (ad esempio sulla Intranet della organizzazione) in modo da

d b lessere disponibile a tutti.




Caratteristiche e contenuti di una Policy:Struttura gerarchica: un documento di Policy ha Struttura gerarchica: un documento di Policy ha solitamente una struttura gerarchica.Regolamenti: un regolamento è un documento di maggior Regolamenti: un regolamento è un documento di maggior dettaglio rispetto al documento di Policy e relativo ad un ambito più ristretto.pProcedure: descrivono in dettaglio come le misure devono essere implementate e possono contenere istruzioni operative (ad esempio “clear desk policy”).




Caratteristiche e contenuti di una Policy:Standard: possono contenere ad esempio lo standard Standard: possono contenere, ad esempio, lo standard per la configurazione di una particolare piattaforma.Linee Guida: è un documento a supporto che descrive Linee Guida: è un documento a supporto che descrive particolari aspetti implementativi, fornendo in tal modo un supporto esplicativo.pp p




La policy di Sicurezza Informaticaè approvata dal Top Management.è approvata dal Top Management.

La policy è tipicamente diffusacon una circolare pubblicata sullacon una circolare pubblicata sullaintranet .

http://xx.xx.xx.xx/ISMS/index.htm


Verifica ed accordo di non divulgazione

Per posizioni di lavoro che coinvolgono informazioni confidenziali occorre garantire che la riservatezza confidenziali, occorre garantire che la riservatezza continui ad essere osservata anche dopo la fine del rapporto di lavoro Per garantire ciò tutti i rapporto di lavoro. Per garantire ciò tutti i dipendenti che rivestono posizioni che implicano l’accesso ad informazioni confidenziali dovrebbero l accesso ad informazioni confidenziali dovrebbero firmare un “Non Disclosure Agreement” (NDA).Occorre anche eseguire verifiche su tale personale Occorre anche eseguire verifiche su tale personale, la cui profondità è da rapportare al livello di confidenzialità delle informazioni associato alla confidenzialità delle informazioni associato alla posizione.



Collaboratori a contratto

Gli stessi requisiti di sicurezza che si applicano al personale devono essere anche estesi a qualsiasi personale devono essere anche estesi a qualsiasi altro collaboratore esterno che venga ingaggiato in qualunque forma anche per un tempo limitatoqualunque forma anche per un tempo limitato.Negli accordi da stipulare con i fornitori, come ad esempio le agenzie di lavoro interinale devono esempio le agenzie di lavoro interinale, devono essere previste sanzioni in caso di violazione degli accordiaccordi.



Procedure e Responsabilità

Al fine di mantenere un efficace gestione e controllo dell’IT è fondamentale per controllo dell IT, è fondamentale per l’organizzazione documentare le procedure per l’esecuzione delle varie attività ed assegnare l esecuzione delle varie attività ed assegnare opportunamente le responsabilità. Una procedura operativa include solitamente Una procedura operativa include solitamente informazioni sui seguenti temi:

C t tt l i f i iCome trattare le informazioniCome, quando e quale backup deve essere fatto

d d dLe persone da contattare in caso di incidenteCome gestire i log di audit



Separazione dei Compiti

La separazione dei compiti è importante per evitare variazioni non intenzionali o non autorizzate Se variazioni non intenzionali o non autorizzate. Se ognuno, infatti, potesse autonomamente implementare le proprie variazioni si otterrebbe implementare le proprie variazioni, si otterrebbe una situazione fuori controllo in cui nessuno è a conoscenza delle variazioni fatte da altriconoscenza delle variazioni fatte da altri.In relazione alla separazione dei compiti, per ogni attività occorre distinguere chi la decide (farla non attività occorre distinguere chi la decide (farla, non farla), chi la esegue e chi la controlla. Tali compiti dovrebbero essere assegnati a persone diversedovrebbero essere assegnati a persone diverse.



Separazione degli Ambienti (1 di 2)

Al fine di assicurare che le variazioni siano implementate in modo controllato occorre che implementate in modo controllato occorre che siano definiti ambienti separati per lo sviluppo, il test l’accettazione e la produzione e siano definiti test, l accettazione e la produzione e siano definiti e documentati i processi per il trasferimento di modifiche da un ambiente all’altromodifiche da un ambiente all altro.Ogni ambiente deve avere specifichi requisiti di sicurezzasicurezza.



Separazione degli Ambienti (2 di 2)

Nell’ambiente di test occorre, tra gli altri, eseguire i test che verifichino la corretta implementazione i test che verifichino la corretta implementazione dei requisiti di sicurezza. Dopo che l’utente finale nell’ambiente di Dopo che l’utente finale, nell’ambiente di accettazione, ha verificato che quanto prodotto è conforme alle proprie specifiche il software può conforme alle proprie specifiche, il software può essere portato nell’ambiente di produzione.I processi di passaggio in produzione devono prevedere la possibilità che, a fronte di problemi

d bb ll hnon previsti, si debba ritornare alla vecchia versione del software.



Visione complessiva della Sicurezza Informatica

INFORMATIONINFORMAZIONEATTACK ATTACK


Business Continuity Management (1 di 2)

Esistono eventi con conseguenze tanto gravi su persone e sistemi da mettere a rischio la persone e sistemi da mettere a rischio la sopravvivenza dell’azienda.L’unica possibilità di sopravvivenza è aver L’unica possibilità di sopravvivenza è aver analizzato con cura tali eventualità ed aver documentato le misure e le procedure necessariedocumentato le misure e le procedure necessarie.Questo è lo scopo della Business Continuity Management (BCM)

Evitare che le attività del business siano interrotte, d ll d proteggere i processi critici dalle conseguenze di una

interruzione di ampia portata dell’attività dei sistemi informativi e consentire un rapido ripristino



informativi e consentire un rapido ripristino.

Business Continuity Management (2 di 2)

Il piano di continuità descrive come le informazioni richieste dai processi di business critici possono richieste dai processi di business critici possono essere rese velocemente disponibili.La gestione della business continuity è solitamente La gestione della business continuity è solitamente divisa in due separati, ma strettamente connessi, componenti:componenti:

Business Continuity Planning (BCP) in cui si garantisce la continuità dei processi di businesscontinuità dei processi di business.Disaster Recovery Planning (DRP) dove sono pianificate le attività di ripristino dopo un evento catastroficoattività di ripristino dopo un evento catastrofico.



Disaster Recovery e Business Continuity Plans

Il DRP è volto a ripristinare immediatamente l’attività dopo un disastro ed è messo in atto l attività dopo un disastro ed è messo in atto mentre l’evento è ancora in corso.Il BCP interviene successivamente ed ha un ambito Il BCP interviene successivamente ed ha un ambito più vasto. Il BCP organizza un sito alternativo dove l’attività può continuare mentre si ripristina la sede l’attività può continuare mentre si ripristina la sede originale.In altre parole:

DRP: Vi è ora un disastro e si definisce cosa fare per ll dtornare alla produzione.

BCP: Vi è stato un disastro e si vuole ripristinare la it i ll t t i i i d l di t



situazione allo stato in cui era prima del disastro.

Esempio: RTO Recovery Time Objective


Firewall

LE MISURE TECNOLOGICHEFirewall


Definizione Firewall

È un sistema di protezione perimetrale tra due reti (ad es LAN e Internet)reti (ad es.LAN e Internet).Un firewall, è un dispositivo che connette una rete fidata “trusted” (presumibilmente sicura) con una fidata “trusted” (presumibilmente sicura) con una rete non fidata “untrusted” (potenzialmente insicura) insicura). Tutto il traffico da e verso Internet deve passare da un unico nodo (il firewall).Il firewall non deve essere visibile.



Vantaggi del Firewall

Centralizza le politiche di sicurezza.Centrali a i log e i messaggi di allarmeCentralizza i log e i messaggi di allarme.Previene il foot-printing.Permette di usare sistema di strong security.



Limiti del Firewall

Non protegge contro virus e trojan.Non protegge contro n o i (sconosci ti) attacchiNon protegge contro nuovi (sconosciuti) attacchi.Non protegge contro le connessioni che non lo attraversano (connessioni modem).Non protegge da cattive o inesistenti policy.Non protegge da attacchi interni (75%-80%).Non protegge da attacchi fisiciNon protegge da attacchi fisici.Non può funzionare da unico punto di difesa.



Personal Firewall

A differenza dei firewall perimetrali, il personal firewall è eseguito direttamente sul sistema che firewall è eseguito direttamente sul sistema che dovrebbe proteggere.È soggetto alla disattivazione da parte di malewareÈ soggetto alla disattivazione da parte di maleware.La configurazione è lasciata agli utenti finali spesso poco esperti.Può conoscere quale sia l’applicazione che ha generato il pacchetto.



Tipologie

LE MISURE TECNOLOGICHETipologie


Protezione da codice malevolo

Malware è una combinazione delle parole Malicious e Software e fa riferimento a componenti software e Software e fa riferimento a componenti software indesiderate quali, ad esempio, virus, worm, trojan e spywaree spyware.L’uso di antivirus e firewall è ormai insufficiente ad evitare la minaccia da codice malevoloevitare la minaccia da codice malevolo.

Una delle cause principali, che rende tali misure insufficienti è l’azione dell’uomo che mediante insufficienti, è l’azione dell’uomo, che mediante comportamenti non prudenti (ad esempio l’apertura di un allegato ad una mail) favorisce la diffusione di tale codice allegato ad una mail) favorisce la diffusione di tale codice malevolo.



Protezione da codice malevolo

Un elenco di attività illecite comprende:PhishingPhishingSpam Diffusione di vari tipi di codice malevolo:Diffusione di vari tipi di codice malevolo:

VirusWormWormTrojanHoaxLogic bombSpywareB t tBotnetRootkit

Social EngineeringTutti i diritti riservati. E' vietata la riproduzione anche parziale di questo manuale e della


Social Engineering

Phishing e Spam

Phishing È una forma di frode Internet Di solito la vittima riceve È una forma di frode Internet. Di solito la vittima riceve una mail che richiede di inviare, per i più svariati motivi, informazioni personali riservate, quali codici di accesso informazioni personali riservate, quali codici di accesso bancari, codici PIN o dettagli relativi a carte di credito.

SpamSpamE’ un termine generico che indica messaggi non richiesti. Il termine riguarda solitamente e-mail non richieste, ma g ,è considerato Spam anche il ricevimento di messaggi promozionali non richiesti. Il costo nei casi migliori è l ll i i à di ll i d i i d ll legato alla attività di cancellazione dei messaggi dalla propria mail-box, in questo si può essere aiutati da un filtro



filtro .

Virus

È un programma che volutamente si replica, talvolta modificandosi Il modo con cui il virus si talvolta modificandosi. Il modo con cui il virus si diffonde dipende dal vettore che contiene il codice eseguibileeseguibile.Il virus può replicarsi al di fuori del sistema infettato Il vettore è solitamente un programma infettato. Il vettore è solitamente un programma, ma anche un documento può contenere codice eseguibile (macro ActiveX ) eseguibile (macro, ActiveX, …). Nella maggior parte dei casi il virus è equipaggiato

“ l ” d ò hcon un “carico utile” costituito da tutto ciò che non è direttamente utile alla sua diffusione.



Virus: contromisure

Assicurare la presenza di un antivirus aggiornato sia sul computer personale che sul server di postasul computer personale che sul server di posta.Assicurare che nelle attività per diffondere la consapevolezza sia previsto il tema dei virusconsapevolezza sia previsto il tema dei virus.Assicurare che il tema dei virus sia presente nelle policy di sicurezza.Assicurare che vi siano modi efficaci di segnalazione degli incidenti e buone procedure per gestire le attività successive.



Worm

A differenza di un virus, un worm non ha bisogno dell’attività di un utente per replicarsi ma lo fa dell attività di un utente per replicarsi, ma lo fa autonomamente quando è attivato. In tal modo può diffondersi molto velocementediffondersi molto velocemente.Contromisure:

A i l di i i i i l Assicurare la presenza di un antivirus aggiornato sia sul computer personale che sul server di postaAssicurare che esista un tool di monitoraggio della rete Assicurare che esista un tool di monitoraggio della rete per il rilevamento di wormAssicurare consapevolezza sul tema dei worms e la Assicurare consapevolezza sul tema dei worms e la presenza nelle policy.Assicurare modi efficaci segnalazione incidenti-



Assicurare modi efficaci segnalazione incidenti

Trojan

È un programma che esegue un’attività non conosciuta dall’utente dannosa per l’integrità del conosciuta dall utente dannosa per l integrità del sistema infettato.Il “carico utile” serve spesso ad installare una Il “carico utile” serve spesso ad installare una “backdoor”, attraverso la quale sconosciuti individui ottengono l’accesso al sistema infettato individui ottengono l’accesso al sistema infettato. Non si replica. Anche per questo la sua presenza nel

òsistema può risultare sconosciuta per molto tempoContromisure:

Come per virus e worms + utilizzo personal firewall e monitoraggio della rete.



Hoax

È un messaggio di posta elettronica che vuole convincere il lettore della propria autenticità al convincere il lettore della propria autenticità al fine di convincerlo ad una particolare azione, solitamente l’invio del messaggio stesso ad altrisolitamente l invio del messaggio stesso ad altri.L’obiettivo di un hoax è di tipo psicologico non tecnico convincere il lettore ad inviare lo stesso tecnico, convincere il lettore ad inviare lo stesso messaggio ad altri (una forma di social engineering). Contromisure:

Come precenti.



Logic Bomb

È un pezzo di codice inserito nel software di sistema Tale codice esegue una funzione al sistema. Tale codice esegue una funzione al verificarsi di specifiche condizioni. Non sempre è utilizzato per scopi malevoli utilizzato per scopi malevoli.

Un programmatore può inserire, per esempio, un programma che distrugge archivi sensibili quando lascia programma che distrugge archivi sensibili quando lascia l’organizzazione.

Contromisure:Contromisure:Prevedere una attività di revisione del software, scritto da personale dell’azienda o a contratto, da parte di una da personale dell azienda o a contratto, da parte di una terza parte.



Spyware

È un programma che, a scopo di frode, raccoglie informazioni e quindi le invia ad una terza parte informazioni e quindi le invia ad una terza parte. Non ha l’intento di danneggiare il PC e/o il software installato ma piuttosto violare la privacy installato, ma piuttosto violare la privacy. Contromisure:

Assicurare l’aggiornamento del software di sistema.Assicurare la presenza di scanner per chiavi di registro

èsospette. Talvolta un progranma antivirus è in grado, esso stesso, di individuare spyware.U l fi ll i l l di Usare un personal firewall per rivelare la presenza di traffico sospetto, specialmente traffico che lascia il computer senza apparente motivo



computer senza apparente motivo.

Botnets

È difficile da rilevare ed analizzare, in quanto non produce un danno o un sovraccarico al sistema È produce un danno o un sovraccarico al sistema. È costituito da una connessione in rete di milioni di sistemi infetti L’infezione avviene mediante un sistemi infetti. L infezione avviene mediante un semplice testo o codice HTML, che varia costantemente contenuto in una e-mail che a sua costantemente, contenuto in una e-mail che a sua volta contiene un link ad un indirizzo IP che fornisce la connessione ad un altro computer infetto nella la connessione ad un altro computer infetto nella botnet dal quale viene quindi immediatamente infettatoinfettato.



Rootkit (1 di 2)

È un software spesso usato da una terza parte (solitamente un hacker) dopo avere ottenuto (solitamente un hacker) dopo avere ottenuto l’accesso ad un sistema.Si nasconde profondamente all’interno del sistema Si nasconde profondamente all’interno del sistema operativo, causandone un comportamento instabile.Impossibile da rimuovere senza danneggiare il sistema operativo.Può lavorare a due livelli:

livello kernel (con accesso all’intera memoria)( )livello utente (accesso alla memoria utente)



Rootkit (2 di 2)

Lo scopo di tale software è leggere, alterare o influenzare i processi i dati di sistema o i file influenzare i processi, i dati di sistema o i file. Permette all’intruso di ottenere accesso al sistema senza che l’utente se ne accorga senza che l’utente se ne accorga. Vi sono rootkit per ogni sistema operativo. Una rootkit può creare file nascosti, connessioni di rete, entry point alla memoria. Per essere totalmente sicuri di avere rimosso totalmente una rootkit occorre formattare il disco e totalmente una rootkit occorre formattare il disco e reinstallare l’intero sistema.



Social Engineering (1 di 3)

Nel campo della Information Security per Social Engineering si intende lo studio del comportamento Engineering si intende lo studio del comportamento individuale di una persona al fine di carpire informazioni.È un metodo subdolo e improprio quando usato su una persona che conosce la chiave crittografica di un sistema. Similmente al cosiddetto metodo del tubo di gomma (il quale è però una forma di tortura) può essere, secondo gli esperti, un modo sorprendentemente ffi i t tt l hi tt tt efficiente per ottenere la chiave, soprattutto se

comparato ad altri metodi crittanalitici.




Per l’attacker è impossibile attaccare un sistema informatico in cui non riesce a trovare bug informatico in cui non riesce a trovare bug. Quando ciò accade l'unico modo che ha per procurarsi le informazioni di cui necessita è quello procurarsi le informazioni di cui necessita è quello di attuare un attacco di ingegneria sociale.

èUn social engineer è molto bravo a nascondere la propria identità, fingendosi un'altra persona: in tal modo egli riesce a ricavare informazioni che non potrebbe mai ottenere con la sua identità reale.




In effetti, nella crittografia moderna, è facile dimostrare che l'anello più debole è l'essere umano dimostrare che l anello più debole è l essere umano e non i codici e le macchine. Le procedure crittografiche più robuste limitano al Le procedure crittografiche più robuste limitano al minimo l'intervento dell'uomo.

èUn esempio, per analogia, è l'uso all'interno delle banche di casseforti a tempo, le cui chiavi non sono in dotazione al personale.

Il principio su cui si basa tale metodo è che le persone ll d d f d l d d l l à interessate alla decodifica del codice, sapendo l'inutilità

dell'essere umano ai fini dell'operazione, eviteranno minacce e torture contro di esse



minacce e torture contro di esse.

Backup e Restore

LE MISURE TECNOLOGICHEBackup e Restore


Backup e Restore (1 di 2)

Scopo dei backup, o copie di riserva, è garantire l’integrità e disponibilità delle informazioni l integrità e disponibilità delle informazioni.

Le conseguenze della perdita di informazioni dipendono da quanto vecchie sono le informazioni che si ricavano da quanto vecchie sono le informazioni che si ricavano dai backup. Considerare con attenzione la frequenza con cui i backup Considerare con attenzione la frequenza con cui i backup vengono eseguiti.

Importante effettuare periodicamente dei test di Importante effettuare periodicamente dei test di ripristino delle informazioni a partire dai backup disponibili.disponibili.



Backup e Restore (2 di 2)

Occorre anche prestare attenzione a come sono trattati i backup. In particolare occorre:trattati i backup. In particolare occorre:

Conservare i backup in una sede sicura, non collocarli quindi vicino al server, ove sono già collocati i dati originali.Garantire che il tempo di conservazione dei backup sia conforme ai requisiti di legge o se più stringenti alla conforme ai requisiti di legge o, se più stringenti, alla policy aziendali.Se affidati a una terza parte, definire opportunamente le p , ppclausole contrattuali, con attenzione ai requisiti di sicurezza.V l t i d ti i ti d bb Valutare se i dati memorizzati debbano essere crittografati.



Sicurezza delle Reti (1 di 3)

Una sfida importante per la information security è gestire reti che si estendano al di fuori dei confini gestire reti che si estendano al di fuori dei confini dell’azienda.IntranetIntranet

È una rete privata interna. Per l’utente la intranet è come una versione privata di Internet Scopo primario è come una versione privata di Internet. Scopo primario è la condivisione di informazioni all’interno dell’organizzazione. Può essere usata anche per dell organizzazione. Può essere usata anche per teleconferenze e per facilitare e stimolare l’attitudine a lavorare in gruppo.




ExtranetUna extranet è una rete interna all’azienda il cui scopo è Una extranet è una rete interna all azienda il cui scopo è rendere disponibili, in sicurezza, le informazioni aziendali a clienti, partner, fornitori al di fuori della a clienti, partner, fornitori al di fuori della organizzazione. Una extranet richiede l’uso di misure di protezione:FirewallCertificati Digitali o altri metodi di autenticazioneCrittografia per le informazioni in transitoVPN (Virtual Private Networks) che consente comunicazioni protette via Internet.




VPNUna Virtual Private Network (VPN) utilizza una rete di Una Virtual Private Network (VPN) utilizza una rete di comunicazione già esistente, solitamente Internet, al fine di consentire la condivisione di informazioni tra reti di consentire la condivisione di informazioni tra reti geograficamente separate come se si fosse all’interno della rete della propria azienda.I dati sono efficacemente protetti, assicurandone in tal modo l’integrità, l’autorizzazione all’accesso e l’ t ti ità d t il’autenticità, quando sono trasmessi.Sono stati sviluppati molti protocolli di trasmissione per assicurare la disponibilità di tale servizio il più assicurare la disponibilità di tale servizio, il più conosciuto ed usato è il protocollo IPsec.



Trattamento dei media

LA SICUREZZA DEI SISTEMI INFORMATIVITrattamento dei media


Trattamento dei media

Con la parola “Media” si fa qui riferimento a qualunque cosa consenta la memorizzazione di dati: carta, CD, DVD, chiavette USB, hard disk, nastri di backup, smartphone, ecc.Evitare che le informazioni finiscano nelle mani sbagliate o che si realizzino le seguenti conseguenzeche si realizzino le seguenti conseguenze

Pubblicazione non autorizzataModificheCancellazioneDistruzione di assetInterruzione di attività di businessInterruzione di attività di business

Alla scadenza dei termini di conservazione dei dati memorizzati, i file contenenti informazioni sensibili devono ,essere distrutti in modo adeguato, utilizzando cioè tool di cancellazione che distruggano i dati in sicurezza.



Dispositivi mobili

L’uso di dispositivi mobili cresce esponenzialmente, come pure cresce la loro capacità di come pure cresce la loro capacità di memorizzazione.Il miglior modo per proteggere le informazioni dalla Il miglior modo per proteggere le informazioni dalla pubblicazione non autorizzata o da abusi è estendere ai dispositivi mobili la classificazione estendere ai dispositivi mobili la classificazione delle stesse.



Interscambio di informazioni (1 di 3)

Per evitare che le informazioni finiscano nelle mani sbagliate è importante definire accordi sullo sbagliate, è importante definire accordi sullo scambio di informazioni. Lo scopo dello scambio di informazioni e gli accordi stabiliti in merito devono informazioni e gli accordi stabiliti in merito devono essere documentati.In mancanza di regole chiaramente definite un In mancanza di regole chiaramente definite un impiegato o un collaboratore esterno potrebbero scambiare informazioni confidenziali con la scambiare informazioni confidenziali con la controparte sbagliata. Aumentare la consapevolezza in questa area costituisce una importante misura di in questa area costituisce una importante misura di sicurezza.




Quando il sistema di una organizzazione deve essere connesso a quello di un’altra occorre definire ed connesso a quello di un altra occorre definire ed implementare delle regole al fine di proteggere il sistema e le informazioni contenute dai rischi di sistema e le informazioni contenute dai rischi di sicurezza.Vulnerabilità possono esistere in relazione ai sistemi Vulnerabilità possono esistere in relazione ai sistemi di comunicazione aziendale, come chiamate telefoniche o teleconferenze telefonate telefoniche o teleconferenze, telefonate confidenziali, o memorizzazione digitale di dati da inviare via faxinviare via fax.




Quando si devono scambiare informazioni ad alta confidenzialità è importante sapere che le moderne confidenzialità è importante sapere che le moderne stampanti hanno, spesso, funzioni di scanner, fax o copiatura e sono equipaggiate con un disco che copiatura e sono equipaggiate con un disco che memorizza tutte le informazioni che deve elaborare Mediante opportune applicazioni è elaborare. Mediante opportune applicazioni è possibile ottenere l’accesso a tale disco e copiare tutti i dati in esso contenuti Inoltre un tecnico di tutti i dati in esso contenuti. Inoltre un tecnico di manutenzione può facilmente asportare tale disco senza che nessuno se ne accorgasenza che nessuno se ne accorga.



Conclusioni

INTRODUZIONE ALLA SICUREZZAConclusioni


Le regole per la Sicurezza Globale (1 di 2)

Tamponare le vulnerabilità: sistematico aggiornamento fix patch eccaggiornamento fix, patch, ecc.Potenziare la gestione degli strumenti di identificazione e autenticazioneidentificazione e autenticazione.Attuazione misure di prevenzione ben bilanciate in un quadro architetturale e non come insieme di prodotti-tecnologie.Pianificare, attuare e provare le misure di ripristino (dal back-up al Disaster Recovery).



Le regole per la Sicurezza Globale (2 di 2)

Monitorare e misurare funzionalità e prestazioni dei sistemi sistemi. Registrare e tenere traccia degli attacchi, anche presunti e/o bloccatipresunti e/o bloccati.Sensibilizzare e formare tutti gli utenti, iniziando dai vertici.Verificare periodicamente l’adeguatezza delle misure rispetto ai costi ed ai rischi.



Introduzione alla sicurezza [modalità compatibilità]€¦ · con una guardia armata alla porta e...

Documents

Transcript of Introduzione alla sicurezza [modalità compatibilità]€¦ · con una guardia armata alla porta e...