CHIEF SECURITY OFFICER SUMMIT 2008 - 8-10 dicembre - Ginevra

I responsabili della sicurezza di Europa, Africa e Medio Oriente sono invitati al secondo CSO SUmmit che si terrà a Ginevra i prossimi 8-10 dicembre, 3 giorni intensi di incontri e interventi che copriranno tutte le aree dell'Information Security aziendale.

Maggiori informazioni su:
http://www.mistieurope.com/default.asp?page=65&return=70&ProductID=6765&LS=EMS207122

Yoggie: una security appliance per notebook

Avete mai pensato che il vostro notebook potrebbe essere più efficiente senza la suite di programmi di sicurezza che ospita?
Quando collegate il vostro portatile a una rete wi-fi che non è la vostra solita rete aziendale, non vi sentite un po' meno sicuri?

In Yoggie ci hanno riflettuto molto e hanno pensato che se vi portaste un'appliance di security dedicata, potreste svincolare il portatile dai compiti di controllo della sicurezza e al contempo essere più sicuri.
Se state aggrottando le sopracciglia per la perplessità, ne avete ben donde.
Ma sappiate che l'appliance di cui sto parlando risiede in una chiave USB o in una scheda ExpressCard. E nella versione base contiene 12 applicazioni di sicurezza, ovvero:

• Anti-virus
• anti-spam
• Firewall
• Anti-Phishing
• Anti-spyware
• Sistema di rilevazione e prevensione delle intrusioni
• Proxy email e Web
• Sicurezza adattiva
• Web Filtering/Parental Content Control
• Adaptive Security Policy™
• Multi-Layer Security Agent™
• Layer-8 Security Engine™

L'azienda israeliana che lo produce garantisce (e io lo sto testando in questi giorni) che potete inserire scheda o chiave nel vostro notebook, installare il driver e lasciarle curare tutti gli aspetti di sicurezza della vostra connettività Internet.
Guardate questo video e capirete di più:



Naturalmente il sistema operativo è Linux.

Siti aziendali: il 90% è vulnerabile

Da una recente ricerca emerge come il 90% dei siti aziendali presentino rilevanti vulnerabilità, una realtà da non sottovalutare, soprattutto nelle piccole società

Da una ricerca condotta da Whitehat Security su oltre 600 siti web appartenenti a grandi e piccole società, emerge come 9 su 10 presentano gravi falle, in grado di permettere un attacco da parte di malintenzionati. Le vetrine aziendali sono quindi particolarmente vulnerabili alle intrusioni, veicolate tramite tecniche di cross-site scripting. Un fenomeno da non sottovalutare e da combattere con i mezzi più idonei.

Secondo Whitehat Security, il 70% dei siti web permetterebbe l'esecuzione di script arbitrari potenzialmente malevoli nel contesto di un dominio apparentemente fidato. Per quanto riguarda la tanto paventata Sql Injection, ovvero la possibilità di "iniettare" comandi Sql all'interno del codice HTML, secondo la società solamente il 5% delle pagine web esaminate presenterebbe tale vulnerabilità.

I problemi legati alla sicurezza derivanti dai cross-site scripting sono stati rilevati in passato anche in portali di società dal calibro di IBM e Google: «si tratta di un problema sottostimato», ha dichiarato il CTO di Whitehat Jeremiah Grossman, «e proprio per questo da tenere nella dovuta considerazione».

Oltre a tale tipologia di attacchi, è bene inoltre tenere in considerazione tutte le varianti, quali il cross-site request forgery, ovvero l'esecuzione di script arbitrati all'interno di domini apparentemente fidati, problematica con la quale si è dovuta scontrare anche Trend Micro, uno dei principali produttori mondiali di antivirus.

I siti web che presentano i problemi di sicurezza maggiori sono legati al mondo delle imprese assicurative, presentando nell'84% dei casi vulnerabilità anche gravi. Per quanto riguarda i portali che si occupano di informatica, ben il 72% di essi presenta bug in grado di minare seriamente la sicurezza dell'intera struttura.

Tratto da PMI.it

Autenticazione biometrica per le transazioni finanziarie: nuovo standard ISO

ISO ha appena pubblicato uno standard per aumentare la sicurezza delle transazioni finanziarie digitali.
Il nuovo standard, ISO 19092:2008, Financial services Biometrics – Security framework, stabilisce le specifiche di sicurezza per l'implementazione e la gestione di tecnologie di identificazione biometrica allo stato dell'arte all'interno dell'industria finanziaria.

Lo sviluppo di tecnologie digitali ha portato a una proliferazione di transazioni elettroniche che hanno condotto una riduzione dei costi e a una grande efficienza: questi altissimi volumi espongono quindi la comunità finanziaria ai rischi di alterazioni accidentali o dolose, di alterazione o distruzione dei dati.
La necessità di un metodo di autenticazione più robusto ha portato i ricercatori a rivolgersi alla biometria, considerata sempre più un affidabile metodo di identificazione: utilizzando le impronte digitali, l'identificazione della voce, lo scan della retina o del viso, la biometria ha vantaggi come la convenienza e la facilità d'uso, la sicurezza e la non invasività.

Il nuovo standard ISO 19092:2008 descrive il framework di sicurezza per l'utilizzo della biometria nell'autenticazione all'interno dei servizi finanziari.

Per chi volesse saperne di più: http://www.iso.org/iso/catalogue_detail?csnumber=50145

Analizzare "virtualmente" l'impatto dei cambiamenti nelle IT operation

La maggior parte dei problemi che incontriamo nelle IT operation sono spesso conseguenza di un cambiamento dell'ambiente di produzione.
Ogni cambiamento introduce un rischio nella normale operatività, e, come molti di noi hanno sperimentato, non è scevro da problemi.
Ogni organizzazione IT, che sia di un'azienda o di un'istituzione, di un ente accademico o di una banca, ha le sue peculiarità, in termini operativi, ma anche in termini organizzativi.
Esistono certo le prassi del change management, ma la contestualizzazione in un ambiente operativo di produzione, che, nella maggior parte dei casi, è difforme dall'ambiente di test, è estremamente ardua.
Mantenere un ambiente di test sincronizzato con quello di produzione comporta dispendio di tempo e risorse, e quindi il rigore non è la prassi.
StackSafe, un'azienda americana ha meditato su queste problematiche e ha progettato un test center che permette di costruire ambienti di test dove importare "interamente" gli ambienti di produzione in una sandbox, in cui sarà possibile effettuare qualsiasi tipo di prova.
Il termine "interamente" virgolettato è d'uopo, poiché credo difficilmente proponibile una replica tout-court dell'ambiente di produzione per molte realtà, ovvero, ci si può tendere per approssimazioni successive.
ma l'idea è assolutamente innovativa e degna di nota.
Basandosi su Xen Hypervisor, StackSafe è in grado di creare ambienti virtuali ospitati per ora su Linux, ed entro la metà di febbraio anche su Windows 2003.
Pensate: potreste avere una "vera" replica dell'ambiente di produzione - una vera chimera per ogni responsabile delle IT operations - e sottoporlo a test funzionali, stress test, mitigare finalmente il rischio.
Sarà più semplice condurre analisi dell'impatto dei cambiamenti, analisi "What-if", valutazione dei problemi e dei guasti, test di integrazione di nuove componenti del sistema.
Una panacea per molti grattacapi, e un metodo per ridurre i rischi, tenendo però ben presente importanti istanze quali:
- l'impossibilità di creare ambienti di test in tutto e per tutto uguali agli ambienti di produzione;
- il confronto tra il costo dell'utilizzo della sandbox di Stacksafe e l'attuale costo dell'operatività di un ambiente di test. In entrambi i costi è necessario includere il costo dei rischi correlati - la parte più ardua da calcolare, naturalmente, ma che è imprescindibile da questa valutazione - che saranno ovviamente diversi e auspicabilmente inferiori nel caso di Stacksafe.