Le misure minime di sicurezza ICT per la PA: cosa sono e come applicarle

Entro fine anno tutte le amministrazioni dovranno adottare queste misure, tratte Critical Security Controls emessi dal SANS Institute e adattate alla realtà italiana. Vediamo come cambieranno lo scenario della sicurezza informatica pubblica

A seguito di un iter durato complessivamente più di un anno, lo scorso 4 aprile sono finalmente giunte in Gazzetta Ufficiale, come allegato alla Circolare AgID n. 1/2017 del 17 marzo 2017, le attese “Misure minime di sicurezza ICT per le pubbliche amministrazioni”. Con questo ultimo atto formale dunque le misure minime sono diventate di adozione obbligatoria da parte di tutte le Pubbliche Amministrazioni entro la fine del corrente anno, sotto la responsabilità del dirigente preposto ai sistemi informativi dell’organizzazione o alla sua digitalizzazione.

Le Misure Minime non giungono tuttavia inattese: in effetti il documento, che era stato finalizzato già nell’aprile del 2016 al termine di un processo di sviluppo che aveva compreso anche una estesa consultazione con alcune Pubbliche Amministrazioni di riferimento e con i componenti del Nucleo di Sicurezza Cibernetica, era stato anticipato sin dal settembre 2016 sui siti Web dell’Agenzia per l’Italia Digitale e del CERT-PA proprio per consentire alle Amministrazioni di iniziare a familiarizzare con le Misure Minime in largo anticipo rispetto alla loro pubblicazione in Gazzetta Ufficiale, e poter quindi pianificare con calma il relativo percorso di verifica ed adeguamento.

Ma cosa sono ed in cosa consistono le Misure Minime? Si tratta di un insieme ordinato e ragionato di “controlli”, ossia azioni puntuali di natura tecnica od organizzativa, che l’Agenzia per l’Italia Digitale ha predisposto al fine di fornire alle pubbliche amministrazioni un riferimento pratico per valutare e innalzare il proprio livello di sicurezza informatica, avvalendosi in ciò della sua facoltà di dettare “indirizzi, regole tecniche e linee guida in materia di sicurezza informatica” anche in ottemperanza alla direttiva del 1° agosto 2015 del Presidente del Consiglio dei ministri che impone l’adozione di standard minimi di prevenzione e reazione ad eventi cibernetici.

Come ben specifica la Premessa presente nel documento, l’insieme dei controlli che costituiscono le Misure Minime AgID, denominati AgID Basic Security Controls (ABSC) è stato composto partendo dalla base, già consolidata e assai apprezzata dalla comunità mondiale degli esperti di sicurezza, costituita dai cosiddetti “SANS 20” (oggi noti come Critical Security Controls) emessi dal SANS Institute. Tuttavia gli ABSC non sono una mera e letterale traduzione italiana dei controlli SANS/CSC, ma costituiscono un ragionato adattamento alla nostra realtà nazionale di alcuni controlli accuratamente selezionati come maggiormente significativi tra quelli presenti nelle ultime due versioni (la 5.1 e la 6.0) della lista. Ciò in considerazione delle peculiarità della nostra Pubblica Amministrazione, che non trova immediato riscontro nella più evoluta realtà statunitense.

Massima cura è stata inoltre posta nel modulare i controlli in modo da non costringere le Amministrazioni, soprattutto quelle più piccole, ad introdurre misure esagerate per la propria organizzazione, con evidente inutile dispendio di risorse. Per tale motivo i singoli controlli CSC sono stati trasposti nei controlli ABSC suddividendoli in famiglie di misure di dettaglio più fine, che possono essere adottate in modo indipendente proprio per consentire alle Amministrazioni di graduare il proprio sistema di sicurezza per meglio adattarlo alle effettive esigenze della specifica realtà locale.

Per facilitarne ulteriormente l’adozione, minimizzando gli impatti implementativi sull’organizzazione interessata, i controlli sono inoltre stati suddivisi in tre gruppi verticali, riferiti a livelli complessivi di sicurezza crescente. I controlli del primo gruppo (livello “Minimo”) sono quelli strettamente obbligatori ai quali ogni Pubblica Amministrazione, indipendentemente dalla sua natura e dimensione, deve essere conforme in termini tecnologici, organizzativi e procedurali: essi dunque rappresentano complessivamente il livello sotto al quale nessuna Amministrazione può scendere. I controlli del secondo gruppo (livello “Standard”) rappresentano la base di riferimento per la maggior parte delle Amministrazioni, e costituiscono un ragionevole compromesso fra efficacia delle misure preventive ed onerosità della loro implementazione. I controlli del terzo gruppo (livello “Alto”) rappresentano infine il livello adeguato per le organizzazioni maggiormente esposte a rischi, ad esempio per la criticità delle informazioni trattate o dei servizi erogati, ma anche l’obiettivo ideale cui tutte le altre organizzazioni dovrebbero tendere. Naturalmente va considerato che il raggiungimento di elevati livelli di sicurezza, quando sono molto elevati sia la complessità della struttura che l’eterogeneità dei servizi da essa erogati, può essere eccessivamente oneroso se applicato in modo generalizzato: ogni Amministrazione dovrà pertanto avere cura di individuare al suo interno gli eventuali sottoinsiemi tecnici e/o organizzativi, caratterizzati da una sostanziale omogeneità di requisiti ed obiettivi di sicurezza, all’interno dei quali potrà applicare in modo omogeneo le misure adatte al raggiungimento degli obiettivi stessi.

Per quanto riguarda i contenuti, le Misure Minime prevedono, nella loro formulazione attuale, otto insiemi (o “classi”) di controlli. Vediamole brevemente.

I controlli delle prime due classi (ABSC 1 e 2) riguardano rispettivamente l’inventario dei dispositivi autorizzati e non autorizzati e quello dei software autorizzati e non autorizzati. In pratica essi impongono all’organizzazione di gestire attivamente i dispositivi hardware e i pacchetti software in uso, predisponendo e mantenendo aggiornati, a diversi livelli di dettaglio e con differenti modalità attuative a seconda del livello di sicurezza, i rispettivi inventari, e prevedendo inoltre meccanismi per individuare e/o impedire tutte le anomalie operative, ossia l’impiego di elementi non noti e/o esplicitamente autorizzati.

I controlli della terza classe (ABSC 3) riguardano la protezione delle configurazioni hardware e software sui sistemi in uso presso l’organizzazione.

I controlli della quarta classe (ABSC 4) sono finalizzati ad individuare tempestivamente, e correggere, le vulnerabilità dei sistemi in uso, minimizzando la finestra temporale nella quale le vulnerabilità presenti possono essere sfruttate per condurre attacchi contro l’organizzazione.

I controlli della quinta classe (ABSC 5) sono rivolti alla gestione degli utenti, in particolare gli amministratori, ed hanno lo scopo di assicurare il corretto utilizzo delle utenze privilegiate e dei diritti amministrativi sui sistemi in uso.

I controlli della sesta classe (ABSC 8) hanno lo scopo di contrastare l’ingresso e la diffusione nell’organizzazione di codice malevolo di qualsiasi provenienza.

I controlli della settima classe (ABSC 10) sono relativi alla gestione delle copie di sicurezza delle informazioni critiche dell’organizzazione, che in ultima analisi sono l’unico strumento che garantisce il ripristino dopo un incidente.

L’ottava ed ultima classe (ABSC 13) riguarda infine la protezione contro l’esfiltrazione dei dati dell’organizzazione, in considerazione del fatto che l’obiettivo principale degli attacchi più gravi è la sottrazione di informazioni.

La norma attuativa prevede che ciascuna Amministrazione debba non solo implementare i controlli rilevanti, ma anche dare brevemente conto della modalità di implementazione compilando un apposito modulo il quale andrà poi firmato digitalmente e conservato dall’Amministrazione stessa, salvo inviarlo al CERT-PA in caso di incidenti (link per scaricare il modulo).  Da notare infine che le Misure Minime richiedono che le Pubbliche Amministrazioni accedano sistematicamente a servizi di early warning che consentano loro di rimanere aggiornate sulle nuove vulnerabilità di sicurezza: a tal proposito il CERT-PA fornisce servizi proattivi ed informativi a tutte le amministrazioni accreditate.

Fonte: Agenda Digitale italia - Autore: Corrado Giustozzi

Perché dobbiamo insegnare ai bambini come stare online

I nostri occhi inseguono uno schermo in ogni momento della giornata. I dispositivi ci accompagnano ovunque, al lavoro, a casa, nelle nostre tasche, persino al polso. E l'età di accesso a questi dispositivi, e di conseguenza a Internet, continua ad abbassarsi. Ecco perché le competenze digitali dovrebbero essere una parte essenziale della formazione scolastica sin dai primi anni d'età. È quello che sostiene la DQ Alliance, una associazione globale che coinvolge famiglie, scuole, università, imprese, organizzazioni non-profit e agenzie governative allo scopo di migliorare l’ambiente digitale per le generazioni future. Il loro progetto, "DQ Project", ha come obiettivo primario la diffusione e l’insegnamento dell’Intelligenza Digitale (DQ), ossia la somma di abilità sociali, emotive, cognitive, essenziali per la vita digitale. Gli educatori (e i politici) devono superare la visione arcaica delle tecnologie dell’informazione come "strumento". È urgente coltivare la capacità dei bambini di vivere online e offline, in un mondo in cui i media digitali sono onnipresenti. In altre parole, offrire ai giovani studenti le conoscenze e le abilità per essere padroni delle proprie emozioni e del proprio comportamento nell'era digitale. Queste capacità devono essere accompagnate da un'educazione ai valori umani di integrità, rispetto, empatia e prudenza. Sono questi valori che permettono l'uso sapiente e responsabile della tecnologia. Nella visione del DQ Project, l'educazione digitale è una sorta di educazione civica moderna che tiene conto della più grande rivoluzione che l'umanità ha vissuto negli ultimi decenni: Internet. Stiamo trascurando la cittadinanza digitale L'intelligenza digitale può essere suddivisa in tre livelli:

1) Cittadinanza digitale: l’abilità di usare le tecnologie digitali e i media in maniera sicura, responsabile ed efficace. 

2) Creatività digitale: l’abilità di diventare parte di un ecosistema digitale, co-creando nuovi contenuti e trasformando idee in realtà usando strumenti digitali. 

3) Imprenditoria digitale: l’abilità di usare i media digitali e le tecnologie per risolvere sfide globali o creare nuove opportunità. 

Sia la creatività digitale che l'imprenditoria digitale stanno vivendo un momento di protagonismo nel mondo della formazione, dato che sempre più scuole, università e istituti privati puntano su di esse in un'ottica lavorativa. Negli Stati Uniti, soprattutto, l'alfabetizzazione mediatica, la programmazione, e in alcuni casi la robotica, stanno già trovando spazio nei programmi scolastici. La cittadinanza digitale, però, è spesso trascurata dagli educatori. Questi tendono a pensare che i bambini apprendano certe competenze da soli, o che esse facciano parte dell’educazione che lo studente riceve a casa. I genitori, d’altro canto, tendono a sottovalutare questo tipo di competenze e sono portati a pensare che le “nuove generazioni”, i “nativi digitali”, abbiano una sorta di capacità innata per imparare a usare correttamente i media e i dispositivi digitali. Ma in questo caso non stiamo parlando di sapere muovere le dita sullo schermo di un ipad: interazione altamente intuitiva per qualsiasi neonato (e di cui dovremmo smettere di meravigliarci). I bambini sono sempre più spesso esposti ai rischi legati alla tecnologia: dipendenza tecnologica, cyberbullismo, o adescamento online. Possono anche assorbire e interiorizzare norme comportamentali negative che pregiudicano la loro capacità di interagire con gli altri. Inoltre, l'esposizione online è amplificata per i bambini vulnerabili, compresi quelli con esigenze speciali, le minoranze e quelli provenienti da famiglie economicamente svantaggiate. Non solamente sono i più frequentemente esposti ai rischi, ma sono anche quelli che si trovano ad affrontare le conseguenze più gravi. Nei casi in cui esiste una consapevolezza di questi rischi, spesso genitori e insegnanti sono portati a criminalizzare Internet, capro espiatorio astratto di ogni male. Il movente di questa attitudine è la paura. La paura è causata da una genuina ignoranza. Questa situazione è dovuta al gap digitale dell'attuale generazione di educatori e genitori, incapace di offrire la formazione digitale adeguata alle nuove generazioni. Ed è un problema che dobbiamo affrontare. Per quanto riguarda l'Italia, questo aspetto è messo in luce nel Piano Nazionale Scuola Digitale (PNSD), lanciato un anno fa: 

I dati dell’indagine OCSE TALIS 2013 vedono l’Italia al primo posto per necessità di formazione ICT dei propri docenti: almeno il 36% ha infatti dichiarato di non essere sufficientemente preparato per la didattica digitale, a fronte di una media del 17%. L’Italia è inoltre il primo Paese dell’OCSE, con distanza rispetto agli altri, per percentuale di docenti oltre i 50 anni - il 62%, rispetto a una media OCSE del 35% nella scuola secondaria (Fonte: OECD Education at a glance, 2014). La formazione degli educatori è il primo ostacolo che dovremo affrontare come paese e, come abbiamo visto, partiamo da una posizione svantaggiata.

Il Piano Nazionale Scuola Digitale ha come oggetto l'innovazione della scuola italiana. Il documento contiene molti buoni propositi su come la scuola dovrà affrontare le sfide della modernizzazione digitale e ripensare la didattica, gli ambienti di apprendimento, le competenze degli studenti, la formazione dei docenti. "L’educazione nell’era digitale non deve porre al centro la tecnologia, ma i nuovi modelli di interazione didattica che la utilizzano", si legge nel rapporto. È però ancora troppo presto per tirare le somme o capire come questi propositi si concretizzeranno nella formazione degli studenti della scuola primaria.

Quali abilità digitali dovrebbero imparare i bambini
Un bambino dovrebbe iniziare a studiare cittadinanza digitale il prima possibile, idealmente prima di iniziare a usare videogiochi, social media o qualsiasi dispositivo tecnologico. Seguendo un approccio pedagogico, il DQ Project individua otto abilità che dovremmo insegnare ai giovani(ssimi) studenti: 

• Identità digitale: l’abilità di costruire e gestire una salutare identità online e offline con integrità. Il bambino deve essere consapevole della propria personalità digitale e dell'impatto a breve e lungo termine della sua presenza online.

• Gestione dello “screen time”: l’abilità di gestire in maniera autonoma l’esposizione allo schermo (e quindi a Internet), il multitasking e l’interazione durante l'uso di videogiochi online e social media. Il bambino deve essere in grado di utilizzare i dispositivi digitali e i media con maestria e controllo, allo scopo di raggiungere un sano equilibrio nella vita, sia online che offline.

• Cyberbullismo e prudenza online: l’abilità di riconoscere situazioni di cyberbullismo e di districarsi in esse in maniera intelligente e responsabile. Il bambino deve essere in grado di rilevare i rischi online e i contenuti problematici (ad esempio, la violenza e l'oscenità), e sapere quali misure adottare per limitarli.

• Sicurezza informatica: l’abilità di proteggere i propri dati creando password forti e di gestire diversi tipi di attacchi informatici. Il bambino deve essere in grado di rilevare le minacce informatiche (ad esempio hacking, truffe, malware), e di adottare le corrette pratiche per la protezione dei dati personali. 

• Empatia digitale e intelligenza emozionale: l’abilità di mostrare empatia verso i bisogni e i sentimenti altrui online. Il bambino deve avere la capacità di costruire buone relazioni con gli altri attraverso i media digitali.

• Pensiero critico e alfabetizzazione digitale: l’abilità di distinguere online tra l’informazione vera e quella falsa, i contenuti buoni e quelli nocivi, i contatti affidabili e quelli discutibili. Il bambino deve essere in grado di trovare, valutare criticamente, utilizzare, condividere e creare contenuti digitali, e incluso avere una conoscenza basica di programmazione.

• Comunicazione digitale: l’abilità di comprendere la natura delle relazioni online e la corretta interazione con le persone dall'altra parte dello schermo. Il bambino deve essere in grado di comunicare e collaborare con altre persone usando i media digitali, e di impegnarsi in un dibattito in modo costruttivo.

• Diritti digitali e privacy: l’abilità di amministrare con discrezione le informazioni personali condivise online, per proteggere la propria privacy e quella degli altri. Il bambino deve conoscere e comprendere i diritti personali e legali, come il diritto alla privacy, il diritto di proprietà intellettuale, la libertà di parola e la protezione da discorsi di odio.

Cosa può fare lo Stato, cosa possiamo fare noi
Come mette in guardia il World Economic Forum: senza un programma di educazione digitale nazionale efficace, il controllo e l’accesso alle tecnologie non saranno distribuiti in maniera uniforme, amplificando le disuguaglianze che ostacolano la mobilità socio-economica. La responsabilità politica è quella di costruire le fondamenta per una corretta formazione digitale a partire dalla scuola primaria. I bambini stanno già vivendo immersi in un mondo che spesso neanche gli adulti comprendono. La soluzione non è tecnologica, ma pedagogica. Spetta a noi far sì che siano dotati delle competenze e del supporto necessario per sfruttare questi strumenti in maniera responsabile e proficua. (Foto via Getty Images)

Fonte: Valigia Blu - Autore: Marco Nurra

CYBERTERRORISMO: L'ITALIA È AL SICURO? GLI SCENARI E LE ATTUALI CONTROMISURE

(di Francesco Bergamo)

30/12/15 

In questo periodo si parla molto di sicurezza internet per contrastare il terrorismo. Alcuni suggeriscono l'oscuramento totale del web in caso di attacco, altri di potenziare i controlli preventivi. Come fare dunque per fermare il terrorismo che corre sul web senza creare danni agli utenti e alle aziende italiane che lavorano online? Per arrivare a capo del complesso mondo web, Difesa Online chiede chiarimenti a Corrado Giustozzi, tra i massimi esperti italiani di sicurezza cyber, consulente della struttura governativa cui è affidata la sicurezza cibernetica della Pubblica Amministrazione italiana (il CERT-PA) ed apprezzato anche all'estero, tanto da essere membro ormai da tre mandati del Permanent Stakeholders' Group di ENISA, l'Agenzia dell'Unione Europea per la Sicurezza delle Reti e delle Informazioni.

Professor Giustozzi, che cosa significa terrorismo web?

Iniziamo col fare un po' di chiarezza sui termini e sugli ambiti. Il Web non è Internet ma solo una delle sue componenti, per la precisione quella che consente la “pubblicazione” di informazioni testuali o multimediali organizzate come un grande ipertesto (sui cosiddetti “siti”) e la “navigazione” degli utenti fra le relative pagine. Internet è qualcosa di diverso e di più del Web: è il sistema globale di reti e di protocolli che assicura l'interconnessione ed il trasporto delle informazioni, ed è quindi il “tessuto nervoso” che unisce utenti, siti, dispositivi ed altro ancora. Su Internet viaggia il Web ma anche cose che non sono Web quali ad esempio la posta elettronica, gli instant message (tipo Twitter), le chat (tipo Whatsapp), le telefonate (VoIP o altro), le interconnessioni per scambio di file o dati, quelle per il controllo remoto di apparati, eccetera. Parlare dunque di “terrorismo Web” è impreciso o quantomeno vago, e bisogna specificare meglio cosa si intende.

Parlando dunque più propriamente di “uso di Internet a fini terroristici” (come correttamente recita la definizione adottata ad esempio dall'UNODC, l'Ufficio delle Nazioni Unite per il controllo della droga e la prevenzione del crimine) possiamo evidenziare due modalità differenti di utilizzo: uno che vede Internet come mezzo, e l'altro che la vede come fine. Nel primo caso essa viene sfruttata in due modi diversi: sia come semplice strumento di comunicazione, ritenuto più sicuro e meno intercettabile di quelli tradizionali, che come mezzo di diffusione, utile per veicolare propaganda ideologica e fare proselitismo per la propria causa. Nel secondo caso essa viene invece considerata come possibile oggetto di attentati, ossia come obiettivo di attacchi cibernetici finalizzati a sabotare quei sistemi (infrastrutture critiche) dai quali dipendono servizi importanti o vitali per le comunità da colpire.

E' vero che playstation e skype, programmi che usano i terroristi per comunicare tra loro, non possono essere monitorati?

Questo è vero solo in parte. Innanzitutto occorre premettere che i canali di comunicazione più appetibili per i terroristi non sono tanto quelli non intercettabili bensì quelli non sospetti, che non è affatto la stessa cosa. L'uso di crittografia, ad esempio, rende un canale non intercettabile ma al contempo può attirare l'attenzione di chi ne monitorizza l'uso e spingerlo ad investigare più a fondo. Di solito quindi i terroristi, almeno per le comunicazioni strategiche, cercano di usare canali convenzionali, senza dare nell'occhio; e da questo punto di vista un eventuale utilizzo della chat utilizzata dai giocatori del network Playstation, benché tutta da confermare, sarebbe in effetti una scelta efficace.

Sul piano maggiormente tecnico, esistono senz'altro sistemi di messaggistica intrinsecamente più difficili da intercettare rispetto ad altri, in quanto protetti da forme di crittografia ovvero basati su protocolli distribuiti di tipo peer to peer nei quali non esistono “nodi” centrali da poter mettere sotto controllo. Skype apparteneva un tempo a questo secondo tipo, oltre ad utilizzare crittografia particolarmente robusta, ed era dunque virtualmente impossibile da intercettare; ma da quando la piattaforma è stata acquistata da Microsoft la sua architettura è stata trasformata da decentralizzata a centralizzata, rendendola così suscettibile di intercettazione con la collaborazione del gestore (ossia Microsoft).

Quanti danni può fare il terrorista che agisce tramite internet?

Si tratta di una stima molto difficile da fare. Certamente viviamo in un mondo sempre più popolato di automatismi, i quali gestiscono funzioni sempre più critiche e sono sempre più accessibili da Internet: tutto ciò, in generale, costituisce un grave tallone d'Achille per la Società in quanto è estremamente difficile garantire che tutti questi dispositivi o sistemi siano perfettamente sicuri ed inviolabili.

In uno scenario fatto di infrastrutture critiche interconnesse ad Internet la quantità di danni teoricamente provocabili da un attacco terroristico mirato e determinato è dunque potenzialmente enorme, in quanto sono numerosissime le possibilità che apparentemente si offrono: deviare un treno su un binario sbagliato, aprire una diga, spegnere i semafori di una città, mettere fuori uso i bancomat, confondere i sistemi di controllo del traffico aereo... Per fortuna non tutti questi attacchi sono possibili o addirittura plausibili, perché ovviamente le contromisure di protezione esistono. Ma la complessità delle reti gioca a nostro sfavore e quindi il rischio che qualche sistema critico non sia difeso adeguatamente, e possa pertanto essere attaccato con successo, non è purtroppo trascurabile.

Un altro discorso va fatto sugli attacchi interamente “logici”, ossia quelli finalizzati a colpire le informazioni di rilevanza critica per il funzionamento della Società. Un sabotaggio diretto ad alterare i contenuti delle transazioni interbancarie o degli scambi in Borsa potrebbe avere effetti ben più devastanti di quelli provocati da un attacco convenzionale, ed essere assai più elusivo e difficile da rilevare e correggere.

Un ultimo tipo di considerazioni riguarda gli attacchi “preparatori” o di supporto ad attività terroristiche convenzionali. Ad esempio è concepibile che nell'imminenza di un'azione i terroristi possano pensare di prepararsi il terreno disarticolando i sistemi di comunicazione generali dell'obiettivo o quelli delle forze di sicurezza, o magari diffondendo falsi allarmi in modo da confondere l'analisi della situazione e rallentare le attività di reazione.

L'Italia è al sicuro?

Difficile dire chi è al sicuro e chi no in questo gioco. Certamente l'Italia, così come tutti i Paesi occidentali industrializzati, è consapevole del problema e si sta attrezzando per aumentare il livello di prevenzione, detezione e repressione delle minacce. Il nostro Paese ad esempio si è dotato già nel 2013 di una formale strategia per la protezione dello spazio cibernetico nazionale, e partecipa sin dall'inizio alle specifiche esercitazioni periodiche, svolte in ambito sia militare (NATO) che civile, finalizzate proprio a verificare la capacità di risposta alle crisi mediante simulazione di attacchi cibernetici condotte alle infrastrutture critiche. Ricordo inoltre che proprio pochi giorni fa il Governo ha annunciato lo stanziamento straordinario di fondi per 150 milioni di Euro destinati al comparto intelligence e finalizzati a rafforzare i sistemi di analisi e prevenzione delle minacce. Tanto è stato fatto, e probabilmente tanto ancora resta da fare; l'importante è non abbassare la guardia e pensare di essere al sicuro: le minacce cambiano ed evolvono ogni giorno, e chi si difende non può mai stare fermo.

Come viene monitorato il web dalla sicurezza?

Esistono molti modi per farlo, e sono diverse le istituzioni delegate a farlo. Naturalmente non è possibile sorvegliare e controllare tutto, sia per motivi tecnologici che legali; e quindi si scelgono solitamente delle “scorciatoie” che consentono di ottenere comunque risultati egualmente significativi a fronte di uno sforzo tecnologico relativamente ridotto.

Una tecnica sempre più usata in quanto considerata promettente a livello strategico si basa sull'analisi delle cosiddette “fonti aperte”, termine con cui si identificano insiemi mirati di informazioni liberamente accessibili quali siti Web pubblici, forum di discussione aperti, blog e così via. Impiegando sia sistemi automatici di analisi dei testi che analisti umani per filtrare e correlare le informazioni raccolte, si riesce ad ottenere una buona conoscenza di ciò che si dice e si fa in determinate comunità di utenti o in ambiti selezionati, geografici o meno.

A livello più tattico si analizzano continuamente le anomalie di traffico e gli incidenti di sicurezza, segnalati ai CERT istituzionali dalle apposite strutture di gestione dei servizi di rete presenti nelle grandi aziende e nelle pubbliche amministrazioni, per ottenere un quadro complessivo e tempestivo delle vulnerabilità e delle minacce in atto, nonché della loro localizzazione e diffusione. Ciò consente una più efficace azione di allerta e reazione ad eventuali attacchi in corso, oltre che di generale prevenzione.

Quanto personale servirebbe per avere un livello di sicurezza adeguato?

Sicuramente molto più di quello attualmente impiegato nel nostro Paese in ambito sia civile che militare.

Il Presidente del Consiglio Renzi sarebbe per il blocco totale di internet in caso di attacco. Lei cosa ne pensa?

Non mi sembra una grande idea, per vari ordini di motivi.

Innanzitutto è tecnicamente difficoltoso, se non proprio impossibile, “spegnere” Internet anche solo per brevi periodi e su scala limitata. Ricordiamoci che Internet nasce proprio per essere una rete resiliente, pervasiva, in grado di funzionare anche se alcuni suoi nodi vengono spenti. Soprattutto in un Paese come il nostro, dove le comunicazioni non sono accentrate sotto il diretto controllo di un unico provider di regime, per bloccare Internet occorre la collaborazione attiva di innumerevoli operatori grandi e piccoli, pubblici e privati, di rete fissa e di rete mobile... è davvero complicato, non basta semplicemente tirare giù un interruttore da qualche parte.

In secondo luogo non è detto che bloccando Internet si renda più difficile l'azione dei terroristi. Nel caso di un attacco cinetico, ossia rivolto in termini fisici contro obiettivi materiali o umani, ci sono poche probabilità che i componenti del commando in azione sul campo usino Internet per comunicare e coordinarsi tra loro: è molto più plausibile che usino normali cellulari se non ricetrasmettitori PMR a bassa potenza (walkie-talkie), e quindi bloccare Internet non servirebbe semplicemente a nulla. Nel caso invece di attacco cibernetico, rivolto dunque verso sistemi o servizi in Rete, allora un eventuale blocco di Internet farebbe addirittura il gioco del nemico: infatti, dato che lo scopo degli attaccanti è impedire l'erogazione al pubblico di determinati servizi critici, un eventuale blocco di Internet otterrebbe esattamente lo stesso scopo e dunque non sarebbe altro che un clamoroso autogol!

In ogni caso il blocco di Internet avrebbe invece il gravissimo effetto collaterale di impedire la diffusione di notizie al pubblico e il coordinamento dei soccorsi, e dunque peggiorerebbe significativamente la gestione della crisi.

Perché, se i servizi ne sottolineano l'importanza da molto tempo (v. intervista), Renzi lo decide solo ora?

Probabilmente all'epoca le valutazioni politiche erano diverse e forse anche i tempi non erano maturi. Oggi, con l'accresciuta credibilità della minaccia internazionale e il proliferare di situazioni a rischio (legate anche al Giubileo in corso), l'esigenza di dare una risposta adeguata è divenuta non più procrastinabile.

L'arretratezza e la lentezza della rete informatica nazionale, rispetto alle altre nazioni europee, può essere un vantaggio od uno svantaggio nella guerra contro il cyber terrorismo?

Per quanto possa sembrare ironico, in determinate situazioni essere meno tecnologicamente avanzati può effettivamente costituire un vantaggio in termini di resilienza. È chiaro infatti che, tanto per fare un esempio banale, se il sistema di controllo di una diga è accessibile solo in locale e non tramite Internet, quello che è uno svantaggio in termini di efficienza gestionale si ripaga in termini di sicurezza perché quella diga non potrà mai essere azionata indebitamente da remoto a seguito di un'intrusione cibernetica.

Ciò non vuol dire che dobbiamo essere fieri o vantarci di una certa arretratezza tecnologica che forse ancora affligge alcune infrastrutture del nostro Paese, né considerarci automaticamente più al sicuro solo per questo motivo. Lo sviluppo tecnologico che implica un forte tasso di automazione industriale è inevitabile e va perseguito, su questo non ci sono dubbi. Alcuni Paesi si sono lanciati molto prima di noi su questa strada, e forse un po' troppo velocemente ed in modo poco prudente, ed oggi si ritrovano con infrastrutture automatizzate molto efficienti ma piuttosto vulnerabili, in quanto nel loro sviluppo non è stato tenuto in debita considerazione l'inserimento di misure di sicurezza specificatamente progettate per la protezione contro attacchi e sabotaggi deliberati. In altre parole, si è visto che alcune infrastrutture critiche sono safe ma non secure, ossia sono protette contro errori e malfunzionamenti ma non contro azioni malevole dirette intenzionalmente a danneggiarle o alterarne il funzionamento. Oggi per fortuna su questo tema c'è molta più consapevolezza rispetto ad alcuni anni fa, e quindi i nuovi sviluppi hanno fatto tesoro degli errori del passato.

Fonte: Difesa Online - Francesco Bergamo

I rischi informatici per le aziende nel 2013

La fine dell’anno si avvicina (e stando ad alcuni anche la fine del mondo..) e non mancano le previsioni sulla sicurezza informatica per il prossimo anno. Blue Coat Systems, azienda specializzata nella sicurezza web, mette in guardia le aziende dalle minacce che  potrebbero diffondersi sulle loro reti. Vi proponiamo un sunto dei principali rischi per il mondo enterprise.

Attacchi informatici su larga scala: di solito sono i meno considerati dalle aziende perché non sono mirati alla propria specifica organizzazione. Nel 2013 decine o centinaia di computer e periferiche aziendali potrebbero infettarsi a causa di malware distribuiti su larga scala. Sempre più spesso accade infatti che  malintenzionati paghino ingenti somme di denaro ai cyber criminali che gestiscono le bot, per poter utilizzare il loro sistema di computer infetti. Questo consente ai cybercriminali che hanno preso di mira una determinata azienda di dare in affitto o acquistare macchine completamente infette che fanno parte di un intervallo di indirizzi IP target.  A mano a mano che le dimensioni dell’azienda aumentano, la certezza che un cybercriminale possa trovare un sistema infetto da cooptare aumenta a livello esponenziale.  Di conseguenza, quella che era un’infezione causata da un attacco per il mercato di massa, può subdolamente trasformarsi in un attacco mirato.

Mobile: dagli attacchi sotto forma di app, alle botnet mobili

Sono sempre più numerose le aziende che permettono ai dipendenti di accedere alle reti aziendali da dispositivi mobili e si prevede che nel 2013 proprio questi dispositivi mobili diventeranno l’ obiettivo primario per i criminali informatici. Oggi giorno, gli attacchi di penetrazione degli smartphone avvengono mediante l’invio di Sms o gli acquisti in-app effettuati dall’interno di applicazioni non autorizzate, operando entro i parametri di una app, senza infrangere il modello di sicurezza del telefonino. Si prevede che nel 2013 il malware non si presenterà come un’app dello smartphone, ma sfrutterà invece il sistema di sicurezza del dispositivo stesso per identificare le informazioni preziose e inviarle ad un server. Di pari passo con questa nuova minaccia di malware mobile si prevede la comparsa della prima rete botnet mobile in grado di inviare messaggi Sms per gestire e controllare i server.

Malnet: nuovi perfezionamenti per garantire attacchi più sofisticati e credibili

Nel 2013 è probabile che la maggior parte del malware sarà distribuito da grandi reti malnet che gestiscono il “malware come un modello di business”.  Queste infrastrutture sono molto efficaci sia a lanciare gli attacchi che ad infettare gli utenti. Il risultato? Un florido business per gli operatori di reti malnet che il prossimo anno punteranno a investire in attività che permettano lo sviluppo di attacchi più sofisticati e credibili. Gli operatori di malnet saranno, ad esempio, in grado di creare email di phishing migliori che imitino la vera pagina di un istituto finanziario. Potranno, inoltre, investire nella realizzazione di facciate più plausibili di siti Web e in kit di exploit più completi in modo da rendere i loro attacchi più credibili, aumentando le probabilità di successo.

Il modello dei big data si confronta con l’intelligenza delle minacce

Il settore della sicurezza adatterà il modello dei big data per comprendere meglio le vulnerabilità potenziali a livello di rete e di utente. Tutte le soluzioni di sicurezza e di networking generano dei log, ovvero volumi significativi di informazioni sui comportamenti degli utenti, il traffico che attraversa la rete e altro ancora. Scavare in questi dati per trovare schemi comprensibili di comportamenti rischiosi, minacce e anomalie della rete, consentirà di realizzare nuovi sistemi di difesa.

Per le aziende, il consiglio è quello di focalizzare i propri sistemi di difesa su visibilità di tutto il traffico compreso quello Web, non Web e persino Ssl. Ogni soluzione di difesa registra il traffico. Riesaminare questi log su base costante per identificare le anomalie è fondamentale per fermare gli attacchi.

Fonte: PC Professionale 

Sicurezza informatica e Decreto Legislativo 231: un binomio inscindibile

L’inarrestabile diffusione di internet ha coinvolto a tal punto ogni aspetto delle nostre vite che ormai qualsiasi tipo di azienda o ente collettivo, a prescindere dalle dimensioni o dal settore di attività, per restare al passo con l’era della tecnologia, si è dotato di sistemi e apparecchiature informatiche.
L’apertura dei sistemi di informazione all’universo digitale ha portato, come diretta conseguenza, una crescente necessità di adeguamento delle misure di sicurezza, atte a salvaguardare i dati e le informazioni aziendali. Di questo passo sicurezza informatica e d.lgs. 231 sono divenuti parte di un binomio inscindibile, alimentando un dibattito che da un lato analizza le diverse tipologie di reato e dall’altro cerca di fornire soluzioni concrete per prevenire gli abusi. La questione risulta più che mai complessa, soprattutto se si considera la stretta connessione che esiste tra il decreto 231, la normativa in materia di privacy e quella relativa allo Stato dei Lavoratori.
La Legge 48/2008, con cui è stata ratificata la Convenzione di Budapest del Consiglio d’Europa sulla criminalità informatica del 23 Novembre 2001, ha apportato diverse modifiche sia al Codice Penale che a quello di Procedura Penale, modificando inoltre l’art. 24 del d.lgs. 231/01 a cui ha aggiunto l’art. 24 bis (Delitti informatici e trattamento illecito di dati quali reati presupposto) che inserisce numerosi reati informatici fra quelli presupposti dal decreto in questione. Accesso a sistema informatico o telematico, intercettazione, impedimento e interruzione illecita di comunicazioni informatiche o telematiche, danneggiamento di informazioni dati programmi sistemi informatici o telematici, trattamento illecito dei dati e violazioni connesse alla legge a tutela del diritto d’autore sono solo alcuni dei reati introdotti. Per orientarsi con maggiore facilità in questa articolata normativa, sono stati individuati tre diversi gruppi di reati, all’interno della Legge 48/2008.
a) articoli 615 ter, 617 quater, 617 quinquies, 635 bis, 635 ter, 635 quater e 635 quinquies C.P.. I reati di questa categoria riguardano il danneggiamento di hardware, di software e di dati: è prevista la punizione per l´accesso abusivo ad un sistema e l´intercettazione o l´interruzione di dati compiute attraverso l´installazione di appositi software o hardware e viene considerata aggravante la commissione degli stessi reati in sistemi informatici di pubblica utilità;
b) articoli 615 quater e 615 quinquies C.P.: tali articoli puniscono la detenzione e la diffusione di software e/o di attrezzature informatiche atte a consentire la commissione dei reati di cui alla precedente lett. a);
c) articoli 491 bis e 640 quinquies C.P. Considerano la violazione dell´integrità dei documenti informatici e della loro gestione attraverso la falsificazione di firma digitale (elettronica).
Una prima analisi è sufficiente per cogliere la forte relazione tra i differenti reati i quali, considerati nel complesso, rivelano la mancanza di sistemi che assicurano una sicurezza completa e totale sui diversi fronti.
Purtroppo la regola d’oro del “prevenire è meglio che curare” troppo spesso rimane inascoltata e mentre le prevenzioni connesse ai reati societari o contro le PA, piuttosto che quelli legati alla sicurezza sui luoghi di lavoro, risultano questioni molto sentite e altamente valorizzate, per l’analisi dei reati informatici lato 231 si riscontra una preoccupante mancanza di attenzione. Eppure la posta in gioco è davvero alta se si considera il fatto che l’intera vita aziendale, in tutti i suoi aspetti, è condizionata – più o meno direttamente - dai sistemi informatici.
La messa in sicurezza di un sistema passa innanzitutto dalla mappatura delle aree a rischio. Le prime azioni da intraprendere coinvolgono sistemi ICT aziendali e posta elettronica, punti deboli comuni a qualsiasi reparto per poi coinvolgere la gestione dei documenti informatici, dei dati riservati e sensibili o delle credenziali di accesso ai sistemi, altri aspetti da non sottovalutare nella redazione di un modello organizzativo finalizzato alla gestione dei rischi. Fatto questo il passo successivo è la definizione dei protocolli penali-preventivi redatti nel rispetto della normativa vigente. Definire e rendere note specifiche deleghe nelle differenti aree aziendali, nominando un amministratore di sistema e i suoi collaboratori specificandone ruolo, poteri e responsabilità dei singoli soggetti è essenziale per mettere in atto un’organizzazione puntale. La proceduralizzazione delle attività informatiche e di tutte quelle attività da considerarsi a rischio-reato, svolte con l’ausilio o per mezzo di strumenti informatici è l’ultima fase del processo.
E’ opportuno sottolineare che fare prevenzione in ambito di applicazione 231 non si limita a mettere in atto delle procedure ma prevede anche l’assunzione di norme comportamentali, collegate sia all’applicazione delle normative in materia di privacy, che alla gestione delle licenze che all’adozione di un regolamento informatico aziendale.
Una formazione interna chiara e puntuale centrata sulla portata normativa ma ancor più sull’applicazione concreta delle procedure è il migliore strumento per prevenire i reati. Purtroppo molto spesso le aziende sono inconsapevoli dello spessore e dell’importanza rivestita da un modello 231 e la diffusione in rete di prodotti preconfezionati, realizzati senza tener conto delle specificità di ciascuna azienda, non ha fatto che accrescere il problema portando, in alcuni casi, a far decadere integralmente la validità del modello. Per evitare tutto questo è fondamentale attribuire la giusta attenzione al modello 231 affidandosi alla professionalità di un responsabile di sicurezza informatica in grado di interpretare le esigenze aziendali e di congiungere ottimizzazione organizzativa ad un’attività di prevenzione dei reati

Fonte: Consulente Legale Informatico - Avv. Valentina Frediani

Violati gli archivi delle università italiane?

Annunciati via Twitter e diffusi via Torrent dati apparentemente provenienti dai database degli atenei. Chi c'è dietro la nuova sigla che ha rivendicato l'intrusione?

Roma - L'appena creato account Twitter @LulzStorm ha divulgato i link BitTorrent a un archivio contenente dati personali di studenti e professori di diverse università italiane. Nei documenti contenuti in un unico file pubblicizzato con tre tweet diversi informazioni ed elenchi di studenti e docenti che variano a seconda della singola università: nelle cartelle relative ad alcune università compaio anche numeri di cellulari di alcuni studenti, per altre si tratta di email corredate dalle relative password, in alcuni casi i danni sono limitati a informazioni di non particolare rilevanza, mentre nei casi peggiori vi è tutto tutto: nome, cognome, email, numero di telefono, indirizzo, password e codice fiscale degli studenti. "Italiani - si legge nel comunicato di LulzStorm - come potete affidare i vostri dati a tali idioti? È uno scherzo? I loro siti sono pieni di debolezze. Cambiate password ragazzi; cambiate concetto di sicurezza, università. Avremmo potuto rilasciare molto di più, avremmo potuto distruggere db e reti intere. Siete pronte per tutto questo?" Pronti o no, il consiglio è che gli studenti delle università coinvolte (Università degli Studi di Bologna, quella di Siena, di Salerno, del Salento, di Cagliari, Bari, Pavia, Foggia, Messina, Urbino, Torino e quella di Modena e Reggio Emilia, La Sapienza di Roma, la Pontifica Università Antonianum, la Seconda Università degli Studi di Napoli, la Bocconi, la Bicocca e il Politecnico di Milano) verifichino di non essere nella lista divulgata e in ogni caso provvedano a cambiare le proprie password. (C.T.)

Fonte: Punto Informatico - Autore: Claudio Tamburrino

Taggia: da un incontro all'Istituto Comprensivo, allarme sui giovani indifesi nella giungla di internet

L’iniziativa è stata curata dalla struttura dell’Istituto che si occupa di questa problematica: docenti Mariella Ramoino e Sabrina Cavallo, in collaborazione con l’UNICEF della provincia di Imperia e l’associazione Mani Colorate, che fa capo a Marco Canavese.

Europa l’età media per iniziare ad usare la navigazione in rete ormai si è abbassata a 7 anni. La metà dei piccoli internauti passa sul web circa un’ora e mezza al giorno. I più attivi però sono i ragazzini tra i 15 ed i 16 anni. Il 77% di essi si connette tutti i giorni per più ore spesso di notte. Il 30% dei giovani tra gli 11 ed i 16 anni presenta già sintomi legati ad un uso eccessivo di internet. Otto ragazzi su 10 sono on line 3 ore al giorno e nel 90% dei casi i genitori non controllano. Sono solo alcuni dei dati emersi in una serata, quella di ieri, dedicata dall’Istituto Comprensivo di Taggia, ad un incontro con i genitori su “Uso sicuro, sano e consapevole di internet”. L’iniziativa è stata curata dalla struttura dell’Istituto che si occupa di questa problematica: docenti Mariella Ramoino e Sabrina Cavallo, in collaborazione con l’UNICEF della provincia di Imperia e l’associazione Mani Colorate, che fa capo a Marco Canavese. "Questa serata è nata da un’esigenza concreta – ha spiegato il Dirigente Scolastico Rosario Michero – Un gruppo di ragazzi portava tra le pareti scolastiche tensioni che avevano la loro radice nelle chat di Facebook. Da qui l’idea di comprendere meglio il discorso insieme ai genitori, facendo “rete”, questa volta una rete virtuosa, con l’UNICEF di cui la nostra scuola è ambasciatore e con Marco Canavese che è uno dei nostri Consiglieri d’Istituto". La dott. ssa Colomba Tirari responsabile UNICEF della provincia di Imperia ha dato la sua immediata adesione, contribuendo fattivamente all’evento. L’associazione Mani Colorate di Marco Canavese ha messo a disposizione un ricco materiale audiovisivo, già collaudato nelle scuole del basso Piemonte dove MANI COLORATE è molto attiva e altrettanto apprezzata. In una sala Insegnanti gremita di madri e padri dell’Istituto Comprensivo di Taggia hanno parlato la dott. ssa Paola Ravani, coordinatore dell’UNICEF per il progetto amici in rete e funzionario della Polizia di Stato, lo psicologo Alberto Torre di Taggia, il consulente informatico Microsoft per programmi di formazione Mauro Ozenda.
"La rete internet è gremita di pedofili – ha spiegato la dott.ssa Ravani – è gente senza scrupoli che si racconta le sue esperienze e che ha addirittura le sue feste e le sue ricorrenze. Solo nell’ultimo anno sono stati effettuati 180 arresti e 70 mila persone sono state sottoposte a controllo per la frequentazione di siti pedopornografici. 150 ragazzine di Ventimiglia erano entrate in relazione attraverso la chat con un uomo che da alcune di loro era riuscito ad ottenere foto nude in cambio di ricariche per il telefonino. E sono ragazzine che appartengono a famiglie normali". Lo psicologo Alberto Torre per rappresentare il fenomeno dell’altissima percentuale di ragazzi che viaggiano ore ed ore in internet ha fatto un calzante paragone: "Voi lascereste le porte di casa aperte prima di andare a dormire? Eppure questo è come se accadesse, perché magari mentre voi dormite i vostri figli sono in giro per il mondo, nella rete. Per loro è un mezzo potente che soddisfa la loro naturale spinta a socializzare. Per questo non serve il proibizionismo , ma è necessario impostare con i giovani una strategia dell’ascolto e conoscere bene il pianeta di internet". Mauro Ozenda è entrato proprio in questo settore ben padroneggiato dai giovani “nativi digitali” e poco conosciuto dall’attuale generazione di genitori. “I genitori devono essere consapevoli del fatto che sono sempre responsabili dei fatti compiuti dai propri figli, anche quando questi viaggiano in internet. Quindi è bene che essi abbiano il controllo delle password dei figli e vadano a vedere quali siti essi frequentano. Ciò che va in rete lascia sempre una traccia – ha affermato – e può essere pericoloso. I crimini informatici sono in netto aumento. Ci sono individui specializzati nel recupero e nella ricerca dei nostri dati personali dalla rete. Questa attività è finalizzata alla vendita al mercato nero di pacchetti di dati solitamente a cifre che si aggirano fra i 100/1000 dollari. L'obiettivo primario oggi della criminalità organizzata in Rete è quella di carpire i dati di natura personale di ciascuno di noi per trarne poi un illecito guadagno. E' fondamentale che i genitori effettuino un attento controllo e mettano idonei filtri alla navigazione dei propri figli minori". Dal dibattito è emersa la disponibilità dei genitori a continuare gli incontri in un vero e proprio percorso di aggiornamento. "Nel prossimo anno scolastico – ha spiegato il Dirigente Rosario Michero – l’Istituto Comprensivo di Taggia intensificherà l’azione di formazione, coinvolgendo i ragazzi e tutte le famiglie dell’Istituto. Ci avvarremo ancora diverse volte dei relatori che abbiamo conosciuto e di altri “alleati” come ad esempio la Polizia Postale. Intanto da domani distribuiremo a tutti una miniguida predisposta dall’UNICEF e dall’associazione “MANI COLORATE”, per l’uso sicuro e consapevole di internet. Siamo solo all’inizio di un percorso, che rientra pienamente negli obiettivi più virtuosi del nostro Piano dell’Offerta Formativa".

Fonte: Sanremonews - Autore: Stefano Michero

Sicurezza Informatica: le 10 cose "tecniche" da non fare per le piccole imprese

Evitare le comuni trappole indicate di seguito è importante sia che i tuoi clienti abbiano un piccolo ufficio con dipendenti collegati da remoto o siano un'azienda con personale amministrativo e assistenza interna.

Non assegnare la gestione informatica a un dipendente che non è un tecnico professionista. In molte piccole imprese, la risoluzione dei problemi tecnici e l'assistenza agli utenti ricade su chiunque abbia qualche vaga conoscenza informatica. Ma se quella persona è stata assunta per compiere altre funzioni, come seguire la contabilità o il settore commerciale, il tempo che dedica al supporto informatico è solo tempo che non dedica alla sua reale funzione e la scarsa competenza tecnica potrebbe mettere a serio rischio l'azienda. Non affidarti a procedure di backup manuale. I backup devono essere pianificati a cadenza regolare e automatici. Se ci si affida al fattore umano per premere un pulsante e avviare la procedura, saranno problemi ogni volta che la persona incaricata non è in ufficio o semplicemente si dimentica. Non dimenticare che gli smartphone sono come computer portatili. Se i dipendenti utilizzano smartphone per l'attività aziendale, questi devono poter contare su una protezione di sicurezza proprio come i loro computer. Gli smartphone contengono quantità crescenti di informazioni aziendali vitali e devono essere inseriti nei programmi di protezione aziendali. Non eliminare le apparecchiature obsolete senza fare nulla. Certo, sostituisci le apparecchiature obsolete e guaste, ma prima di farlo, assicurati di pulire gli hard disc e di fare in modo che i tuoi vecchi computer e le tue stampanti rotte apparentemente privi di valore non siano invece una miniera d'oro per i ladri di identità. Cerca poi di smaltire questi apparecchi secondo le relative normative, evitando di gettarli in una discarica generica. Non pensare che i dipendenti possano leggerti nel pensiero. Illustra chiaramente le regole per la protezione dei dati, sfruttando la responsabilità nell'uso dei social media e utilizzando dispositivi esterni come unità USB e smartphone. Meglio fissare tali criteri per iscritto anziché pensare che i dipendenti si affidino al buon senso e poi restare delusi. Non utilizzare i social media senza avere un piano. Molte piccole imprese hanno pagine Facebook e account Twitter. Ma il numero delle imprese, sia grandi che piccole, che hanno sofferto danni alle pubbliche relazioni a causa di tweet imbarazzanti dimostra che scelte affrettate o superficiali in ambito di social media possono avere l'effetto contrario. Non evitare le sessioni di formazione. L'acquisto di una nuova stampante o di un nuovo laptop non serve a nulla se non si sa come usarli appieno. Se la tua impresa, come la maggior parte delle piccole imprese, non dispone di personale IT dedicato, assicurare una formazione di base per gli acquisti di nuova tecnologia è una prassi che si ripaga da sola. Non occorre assumere un formatore, ma tutto il personale deve acquisire familiarità con il manuale d'istruzioni. Non uscire di casa senza le protezioni di sicurezza. Molti credono che la sicurezza e-mail e Internet aziendali siano a prova di bomba, il che può condurre a comportamenti online rischiosi. Se non osi cliccare su un collegamento sospetto o visitare uno strano sito Web dal tuo computer, è bene non farlo nemmeno dal computer del lavoro. Non ignorare le recensioni negative dei clienti. Le recensioni online possono avere un impatto enorme sulla percezione dell'attività aziendale da parte del pubblico. Se qualcuno si lamenta del servizio ricevuto e ne scrive su un blog o su un sito di recensioni come Yelp, rispondi immediatamente mostrando che sei disposto ad ascoltare e intendi risolvere il problema. Non utilizzare software piratato. Se la tua è un'azienda legittima, devi procurarti licenze software legittime. È il solo modo in cui otterrai l'assistenza dal tuo vendor, oltre essere la cosa giusta da fare.

Fonte: Trend Micro

WinLockr, bloccare Windows con la penna USB

WinLockr è un programma per bloccare Windows con la penna USB. Offre anche un’opzione per il blocco tramite password. Supporta XP, Vista e Windows 7.

Windows offre un’opzione per bloccare il PC, la troviamo all’interno di Impostazioni Screensaver. Quando entrerà in funzione il nostro Screensaver, il PC tornerà alla schermata di accesso e, qualora avessimo impostato una password di accesso, i nostri dati saranno protetti da occhi indiscreti. E’ una funzione utile, interessante ma non esaudisce il desiderio di chi vuole bloccare, immediatamente, il proprio PC, alzarsi dalla sedia e andare in pausa o assentarsi qualche minuto. WinLockr è l’applicativo per bloccare Windows con la penna USB, richiede una minima configurazione iniziale e i risultati sono immediati. Dovremo estrarre la penna USB per bloccare, immediatamente, Windows e proteggerlo da occhi indiscreti. WinLockr è portatile. Chiede al primo avvio di impostare una password per l’accesso al programma. Offre due opzioni, il blocco tramite password oppure tramite penna USB. Abbiamo scelto il blocco tramite penna USB ma non è obbligatorio, potrete scegliere anche il blocco tramite password e/o utilizzare entrambi.

Fonte: Italia Software

Pedopornografia, irruzione senza fili

Gli agenti statunitensi hanno seminato il panico tra le mura domestiche di un cittadino di Buffalo. Accusato di aver scaricato immagini illegali a mezzo WiFi. L'uomo è stato scagionato: non aveva protetto la propria rete

"Sei ripugnante, ammettilo. Un pedofilo!". Così un agente della U.S. Immigration and Customs Enforcement (ICE) ad un misterioso cittadino di Buffalo (New York), recentemente accusato di aver scaricato migliaia di immagini e filmati a sfondo pedopornografico. "Vi state sbagliando. Io non ho fatto niente", ha risposto l'uomo in preda al terrore. E infatti l'uomo si è rivelato del tutto innocente, dopo che gli agenti gli avevano perquisito laptop e dispositivo cellulare. Troppo esiguo il tempo per cancellare i file, dal momento che i federali avevano deciso di fare irruzione all'alba nell'abitazione dell'uomo. Grida, minacce. Alle 23:30 della sera prima il misterioso netizen Doldrum aveva iniziato a scaricare migliaia di immagini pedopornografiche, facendo scattare gli agenti che stavano già seguendo da tempo i suoi spostamenti online. Senza ordinanze specifiche, un provider locale aveva consegnato agli agenti l'indirizzo fisico dell'abbonato in questione. Con un piccolo dettaglio che è probabilmente sfuggito agli agguerriti agenti dell'ICE: il possessore di una connessione WiFi potrebbe non corrispondere al reale colpevole. Specie se il cittadino di Buffalo non si è mai preoccupato - e non si preoccupa più del 30 per cento della popolazione statunitense - di proteggere la propria rete. Tutto è bene quel che finisce bene. L'uomo è stato alla fine scagionato, mentre il venticinquenne John Lucchetti è finito nelle mani degli agenti a stelle e strisce. Doldrum sarebbe stato identificato anche grazie alla State University of New York di Buffalo, le cui infrastrutture di rete erano state sfruttate dallo stesso Lucchetti per lo scaricamento illecito di immagini.
Piccola curiosità: il misterioso uomo ha rinunciato a qualsiasi azione legale nei confronti degli agenti, preferendo invece la pubblicazione della vicenda sui quotidiani locali. ICE dovrebbe svolgere con più attenzione il proprio lavoro, soprattutto informarsi meglio sulle connessioni WiFi prima di fare irruzione in casa degli innocenti.
Fonte: Punto Informatico - Autore: Mauro Vecchio

Eurostat, Italia tra paesi dell'Unione Europea più a rischio sicurezza

navigatori italiani sono tra i piu' esposti ai rischi sicurezza su internet, da virus a problemi di protezione della privacy, ma anche phising e accesso a siti inadeguati o pericolosi da parte dei bambini. E' quanto emerge dai dati Eurostat, l'Ufficio statistico dell'Unione europea, diffusi in occasione del Safer Internet Day, manifestazione promossa dall'Ue per migliorare la consapevolezza dei rischi legati al web.

Secondo i dati diffusi da Bruxelles, quasi un terzo dei cittadini europei che navigano su internet ha subito l'attacco di un virus, e in Italia la percentuale sale al 45%: sono i risultati di un'inchiesta realizzata da Eurostat alla vigilia della giornata dedicata alla sicurezza sulla rete. Nonostante la maggioranza degli "internauti" europei, ovvero l'84%, utilizzi un programma di protezione, il 31% ha avuto problemi di virus informatici negli ultimi 12 mesi, con la conseguente perdita di informazioni o semplicemente di tempo; le percentuali piu' alte si sono registrate in Bulgaria (58%), Malta (50%), Slovacchia (47%), Ungheria (46%) e Italia (45%). La percentuale di chi ha subito perdite finanziarie legate all'uso di internet per pagamenti e' invece pari in Europa al 3%. Il 4% ha segnalato abusi riguardanti informazioni personali trasmesse via internet o altre violazioni di dati confidenziali: le percentuali piu' elevate sono state registrate in Bulgaria e Spagna (7%), seguite da Italia e Olanda (6%). Limitato rimane l'uso di un programma di "filtro" per l'uso di internet da parte dei bambini: nel 2010, solo il 14% delle famiglie con bambini "internauti" lo ha predisposto. In Italia la quota dei genitori che ha utilizzato un programma di protezione e' particolarmente bassa, il 4%, contro il 24% in Francia. I genitori italiani sono pero' quelli che hanno denunciato piu' spesso l'accesso da parte dei bambini a siti non appropriati o a contatti con persone potenzialmente pericolose (11% contro una media europea del 5%). Un altro ambito di ricerca molto importante su cui l’Eurostat ha focalizzato la propria attenzione è quello della sicurezza per i bambini e i giovani che hanno a che fare con Internet. Nell’ultimo anno la media europea di controllo da parte dei genitori sull’utenza dei propri figli e di installazione di filtri è stata del 14%. Da questo punto di vista i genitori più responsabili sembrano essere quelli di Lussemburgo e Repubblica Ceca con il 25%. Queste ultime percentuali relative al “parental control” diventano ancora più preoccupanti se associate alle recenti cronache da cui si evince che la maggior parte degli abusi e delle violenze su minori, avviene attraverso il canale del web e si localizza soprattutto nel dominio di Facebook, potente strumento di comunicazione ma anche catalizzatore di sguardi malintenzionati. L'indagine di Eurostat riguarda gli utenti privati, mentre per le imprese bisogna fare riferimento al Global Threat report di Cisco e ai dati Istat secondo i quali il 29,4% delle imprese ha dichiarato di disporre di una politica di sicurezza Ict formalmente definita e con un programma di revisione regolare. A questo link trovate il rapporto completo in formato pdf.
Fonte: Protezione Account

Formazione Uso Sicuro e Consapevole Nuove Tecnologie

GFI Labs, le dieci regole per accedere alla Rete in sicurezza nel 2011

Tom Kelchner, Communications e Research Analyst di GFI Software, produttrice di software di protezione Web e posta, servizi di rete e sicurezza, suggerisce le 10 regole per navigare sicuri nel corso del 2011. Se un qualsiasi nuovo computer può essere preso dalla confezione e connesso direttamente a Internet, farlo rappresenta un errore madornale per la sicurezza.

1. Limitare l'accesso alla rete alle persone che ne necessitano. Nelle piccole e medie imprese capita spesso che vengano assegnati alla quasi totalità dei dipendenti privilegi completi di accesso alla rete e ai dispositivi, anche se in realtà non ce ne sono i requisiti lavorativi. Tali decisioni comportano però una serie di rischi per la sicurezza aziendale. Se presumibilmente l'azienda ha assunto persone affidabili, come amministratori IT e specialisti responsabili di sicurezza per proteggere la rete aziendale, offrire privilegi completi rimane comunque un rischio… e non si può mai sapere.
2. Serve una strategia per prevenire la perdita dei dati. Le minacce interne possono spesso essere quelle più pericolose e da cui probabilmente ci si protegge meno, semplicemente perché i dipendenti e il management nelle piccole e medie imprese tendono ad avere elevati livelli di fiducia reciproca. L'attività di rete dovrebbe essere monitorata e dovrebbe essere tendenzialmente vietata la connessione di dispositivi portatili, come le chiavette USB. Semplicemente, è estremamente facile per un dipendente scontento sottrarre dati confidenziali senza essere notato. Anche i lavoratori mobili rappresentano un problema per gli amministratori, e le aziende dovrebbero attuare una strategia definita sull'utilizzo di laptop e smartphone.
3. Limitare la navigazione su Internet ed educare gli utenti a riconoscere le minacce. Gli utenti spesso non conoscono le minacce presenti su Internet. È meglio prevenire i problemi potenziali, quali download pericolosi o social engineering, che conducono a codici malevoli. In assenza di un motivo di business per visitare i siti Web, può essere utile limitare la capacità di navigazione attraverso white o black list. I siti peer-to-peer possono essere vettori di malware o dare ai membri P2P remoti possibilità di accesso ai dati aziendali se il client non è configurato correttamente. Anche i siti di social networking, come ad esempio Facebook, possono portare a link malevoli. Questi possono provenire dall'account compromesso di un amico, senza che nessuno si accorga che quel determinato link rimanda a un sito malevolo. Il malware scaricato sulla macchina dell'utente può poi diffondersi attraverso la rete.
4. Eseguire regolarmente audit di rete è fondamentale. Monitorare gli event log ed effettuare regolarmente controlli fornisce dati importanti sulla rete. Audit regolari consentono di ottenere informazioni sui materiali disponibili in rete. L'analisi dei log consente di comprendere come vengono utilizzate le risorse e come migliorarne la gestione. Date le richieste di conformità che oggi incidono sulle aziende, mantenere gli audit di rete aggiornati è "un must" e rappresentano una risorsa critica se qualcosa dovesse andare storto. La gestione delle vulnerabilità e delle patch è inoltre essenziale per qualsiasi strategia di sicurezza della rete. Le macchine su cui mancano alcune patch o gli ultimi aggiornamenti di sicurezza rappresentano un bersaglio facile per i creatori di malware e gli hacker, è quindi importante che gli amministratori dispongano della tecnologia in grado di identificare, valutare e riparare qualsiasi buco riscontrato in rete.
5. Verificare la sicurezza dei sistemi prima di connetterli alla rete. Se un qualsiasi nuovo computer può essere preso dalla confezione e connesso direttamente a Internet, farlo rappresenta un errore madornale per la sicurezza. Prima di connettere qualsiasi computer a un cavo Ethernet o alla linea telefonica, deve essere installato un software anti-malware. Una volta messe in atto queste misure di sicurezza e che la macchina è connessa a Internet, è fondamentale che queste funzionalità di sicurezza siano costantemente aggiornate per assicurare la protezione da malware e virus. I sistemi operativi, i browser e le altre applicazioni sono esposte a buchi di sicurezza. Una volta scoperta la falla, viene solitamente sfruttata nell'arco di poco tempo. Un responsabile degli acquisti IT dovrebbe essere responsabile anche del monitoraggio dei siti web del produttore o dei feed dei social media per le notifiche sul rilascio degli aggiornamenti.
6. Rafforzare le policy di sicurezza. Le policy di sicurezza sono praticamente inutili se non vengono supportate e promosse da parte del management. Allo stesso tempo, bisogna trovare un equilibrio per consentire ai dipendenti di portare avanti il loro lavoro. Se le policy sono troppo restrittive, i dipendenti troveranno un modo per evitarle. Bisognerebbe fornire inoltre una spiegazione ai dipendenti sul perché vengono attuate determinate policy. Se i dipendenti sono consapevoli del perché non possono fare una determinata cosa, sono più propensi a rispettare tali policy. Un approccio dittatoriale porterà solamente a un senso di risentimento da parte dei dipendenti.
7. Autenticare sempre chi effettua chiamate. Autenticare le chiamate telefoniche potrebbe sembrare un processo ridondante per gli amministratori quando riconoscono direttamente la voce di chi chiama. Tuttavia, dare nuove password e informazioni confidenziali al telefono senza seguire una procedura di autenticazione idonea potrebbe causare problemi di sicurezza che spesso non possono essere tracciati a ritroso fino al punto di origine - risultando poi molto più difficili da rilevare e da gestire. Lo spear-phishing - che consiste in attacchi di social engineering mirati - è sempre più diffuso e gli utenti dovrebbero essere informati su come distinguere una richiesta legittima di informazioni da un tentativo di phishing - che avvenga via email o telefonicamente.
8. È necessario eseguire i backup ma anche verificarli. Non si è praticamente mai sentito che un back-up di sistema sia fallito, ma testare i backup e confermare che il piano di disaster recovery funziona realmente è tutta un'altra questione. Per prima cosa, i backup per essere efficaci devono essere creati su base regolare e tenuti offsite in un luogo sicuro. Se questo già avviene, il passaggio successivo è quello di garantire realmente che i backup funzionino in caso di emergenza. Spesso, vi sono richieste di conformità per la crittografia dei backup. È bene controllare due volte che la crittografia sia realmente abilitata per i backup e che i dati possano essere recuperati.
9. Cosa fare se il programma di disaster recovery non funziona. In teoria, il piano aziendale di disaster recovery è probabilmente un capolavoro. Può sembrare perfetto sulla carta, archiviato nella cartella "disaster recovery" sul PC aziendale. Ma come funziona in pratica? Si è provato a simulare una situazione di disaster recovery in cui i backup devono essere utilizzati in modo da ripristinare i sistemi e renderli nuovamente attivi in modo da poter continuare il lavoro e ridurre al minimo la perdita di profitto? . Pianificare una simulazione di questo tipo per garantire che l'azienda possa effettivamente andare a ritroso nei backup rappresenta un elemento fondamentale per la sicurezza. Un piano di disaster recovery che fallisce una volta messo in pratica non è altro che un ulteriore disastro!
10. Chiedere aiuto se necessario. Non bisogna temere di chiedere aiuto per i compiti più importanti. Eseguire da soli le impostazioni di rete è un compito estremamente impegnativo. È consigliabile cercare aiuto all'esterno se non si possiedono ancora l'esperienza e gli skill sufficienti. Se da un lato ricorrere a un aiuto esterno può risultare costoso,dall'altro i professionisti assicureranno che il lavoro sia eseguito correttamente.

GFI Software offre un'unica fonte di software di protezione web e posta, archiviazione, back-up e fax, servizi di rete e sicurezza e soluzioni ospitate per piccole e medie imprese. Grazie alla tecnologia vincitrice di numerosi riconoscimenti, a una politica tariffaria concorrenziale e alla particolare attenzione rivolta ai requisiti specifici delle piccole e medie imprese (PMI), GFI soddisfa le esigenze informatiche delle PMI su scala mondiale. Inoltre, è un Microsoft Gold Certified Partner. Ulteriori informazioni all'indirizzo http://www.gfi-italia.com/.

Fonte: Protezione Account