Sicurezza senza compromessi o sicurezza compromessa? A voi la scelta

Secondo voi qual è la minaccia più grave di perdita di dati o di fuga di informazioni?
La maggior parte di noi istintivamente è portata a pensare agli hacker che attraverso Internet, e con metodologie raffinatissime penetrano all'interno delle reti aziendali venendo in possesso dei dati più critici.
In realtà, chiunque volesse impadronirsi dei dati di un'azienda vorrebbe trovarvicisi all'interno: le cose sono molto più semplici quando hai un accesso con credenziali regolari a una parte dei dati di un'azienda.
Sapere come e quando i dipendenti accedono alle informazioni aziendali significa avere un'infrastruttura di monitoraggio di ciò che avviene dalla postazione del dipendente (in questo ambito denominata endpoint) ai sistemi che erogano i dati.
Il controllo degli endpoint gioca un ruolo chiave nella prevenzione e nella mitigazione dei rischi correlati alla minaccia interna: le istituzioni finanziarie sono più sensibilizzate di altre aziende, soprattutto per merito delle normative internazionali sulla riduzione del rischio, mentre i settori farmaceutico e dell'alta tecnologia, dove la concorrenza è più serrata e il valore di un dato progettuale o di ricerca è proporzionalmente più elevato, tengono la guardia alta già da tempo.
La serie dei report CSI/FBI degli ultimi anni ha evidenziato che la maggior parte degli attacchi proviene dall'interno delle aziende: è da notare che alcuni endpoint sono già presidiati a dovere, sebbene, diciamocelo chiaramente, le maglie del controllo sono abbastanza larghe per permettere ai dipendenti di poter svolgere il loro lavoro.
Questo fattore deriva dalla diversa impostazione che l'ambito finanziario ha nei confronti della sicurezza, rispetto ad altri ambiti come quelli citati della farmaceutica o della tecnologia.
In questi ambiti esiste una predisposizione alla sicurezza che non solo è basata su una solida piattaforma di policy aziendali, ma è soprattutto patrimonio comune e condiviso da tutti. Sto parlando di un approccio che è ormai presente da qualche decina di anni in molte aziende e che viene instillato nei dipendenti contestualmente all'assunzione.
E' l'approccio della "sicurezza senza compromessi", che si contrappone a quello che ho incontrato in molte aziende, che chiamerò, per contrasto, della "sicurezza compromessa".
Cosa prevede quest'ultimo? Prevede che, per evitare le lagnanze dei dipendenti che si vedono cambiare una piccola componente della routine lavorativa a seguito dell'implementazione di nuove procedure, si pongano dei limiti ai controlli, si aprano le maglie dei controlli, si introducano delle eccezioni che, dal momento che non vengono documentate, diventano poi un incubo da gestire.
E' una consuetudine, statene certi. E questo genere di situazioni da un'idea di quanto, in quelle aziende, si dia importanza alla preservazione del capitale informativo.
A questo punto cosa possiamo fare?
Possiamo gestire le eccezioni (nessuna legge è perfetta) ma dobbiamo affermare con solidità che una volta che le policy sono state emanate, le eccezioni devono essere vagliate da un comitato apposito, approvate e documentate.
Inoltre, l'approccio più corretto per individuare una frode interna non si limita solo a osservare ciò che i dipendenti aprono e guardano nei documenti, ma anche il contesto di cosa stanno facendo con quelle informazioni: esistono applicazioni che si occupano di Fraud Intelligence (o Information leakage intelligence), in grado di applicare regole di controllo del contesto alle attività dell'utente interno.
Ogni organizzazione deve avere un set di policy aziendali (altrimenti dette acceptable use policy) che devono essere sostenute, rinforzate, "inculcate" nei dipendenti, in modo che sappiano con certezza dove possono andare e dove no.
Consideriamo un esempio di endpoint poco monitorati: attraverso le reti wireless all'esterno dell'istituto è possibile accedere a quegli endpoint che sono stati lasciati accesi, o ai laptop che sono stati portati fuori dall'azienda. Questo costituisce una vera e propria apertura verso la rete o i dati aziendali, senza che nessuno se ne possa accorgere.
E cosa dire delle cartelle condivise? Molti grandi progetti conservano i dati in cartelle condivise, per facilitare il flusso informativo. Ma una volta che il flusso è partito, diventa difficile da fermare. Può capitare che in una cartella condivisa vadano a finire informazioni sensibili o classificate, semplicemente a causa di un errore umano, senza alcuna intenzione.
Una volta che il documento è inserito nella cartella, diventa disponibile a chiunque.
Cosa fare per l'audit?
Le aziende devono effettuare due tipi di audit su base regolare: sua sulle loro reti, per individuare gli endpoint nascosti e altre vulnerabilità correlate, sia nei confronti delle persone che lavorano in azienda, per accertarsi che le policy di sicurezza siano state correttamente comprese e messe in pratica da tutta la struttura.
Ovviamente a monte di questo ci deve essere un processo educativo e di sensibilizzazione di tutto lo staff: e non pensate che l'amministratore delegato e il direttore generale si possano tirare indietro.

Quando la tecnologia non può nulla

Abbiamo un bel lavorare noi che ci occupiamo (anche) di sicurezza: vai da una società, cerchi di sensibilizzarla su determinati argomenti cercando di trasmettere un'immagine della sicurezza che non sia solo una voce dell'elenco dei costi, ma un vero e proprio patrimonio aziendale, una cultura, un approccio che dovrebbe permeare tutta la struttura organizzativa.
Organizzi seminari, corsi, divulghi informazioni e testi, proponi (anche) soluzioni che cerchino di mitigare i rischi relativi al trattamento di informazioni sensibili che ogni azienda tratta all'interno della sua attività.
E' un duro lavoro, poiché le aziende prima di tutto pensano a come fare business, a guadagnare soldi, a discapito di quello che è poi la capacità di preservare i risultati, ovvero il frutto del proprio lavoro, e soprattutto la privacy dei propri clienti.
Vi farò un esempio, anzi, lascerò che l'esempio ve lo faccia YouTube: in questo video potrete vedere dei rappresentanti dei sindacati che, frugando tra la spazzatura delle filiali della banca, scoprono documentazione cartacea contenente dati sensibili dei clienti.

Nome e cognome, indirizzi, Social Security Number (qualcosa come il nostro codice fiscale) associati a numeri di conto corrente, firme, tutti dati a disposizione di chiunque.

Cosa ci può insegnare questo episodio? Che le aziende finanziarie non devono investire solo nella tecnologia, ma si devono assicurare che le prassi (o le policy) aziendali sulla non divulgazione di dati sensibili siano recepite e implementate a tutti i livelli della struttura organizzativa.
E' intuibile capire come l'informazione sia sensibile in tutti i suoi formati e in ogni momento del suo ciclo di vita: dalla creazione, alla diffusione, alla replicazione, alla distruzione.
Purtroppo l'informazione è replicabile e ogni azienda che voglia garantire la propria sicurezza, deve tenerlo ben presente: ogni qualvolta avvenga la duplicazione di un dato sensibile, anche il suo nuovo formato dovrà essere salvaguardato, che si tratti di file o fotocopie cartacee.
E per implementare questo è necessario che ogni singolo impiegato sia consapevole della sua responsabilità nei confronti dell'informazione, dell'azienda e dei clienti.
Non si tratta, quindi, solo di stilare procedure e policy che una volta scritte vanno a finire in un archivio e una volta lette terminano il loro ciclo di vita nel cestino sotto il tavolo, o in quello di Windows: si tratta di creare una cultura della sicurezza e divulgarla nel modo più efficace possibile. Non parlo di comunicazioni interne o di email, ma di corsi, seminari, video, manuali, strumenti che implementano un approccio completo.
Pensate anche solo al danno di immagine che una fuga di informazioni può comportare: se foste a New York, dopo aver visto il video, aprireste un conto alla Chase Bank?

Bancomat clonati go America!

Sembra che i modi truffaldini per clonare i Bancomat siano sbarcati anche in America: secondo il Washington Post, i correntisti devono stare attenti agli sportelli automatici (ATM points, in English - da Automatic Teller Machine) che non hanno un'aspetto standard.
Nell'immagine viene mostrato un bancomat con un'enorme scatola contenente una telecamera wireless: niente a che vedere con le sofisticate tecnologie utilizzate dai criminali che operano in Italia.
Finalmente qualcosa in cui l'Europa è più avanti!

Minacce interne e protezione dei dati: un articolo da BankInfoSecurity

Vi segnalo l'interessante articolo apparso su Bank Info Security lo scorso 13 aprile: è un'intervista a Eric Cole, noto esperto di sicurezza nonché autore del volume "Insider Threat" (un must per chiunque si occupi delle frodi aziendali).
In esso si parla della maggior attenzione verso le minacce provenienti dall'interno delle aziende, dei possibili rimedi e della necessità di diffondere una maggiore cultura della sicurezza.

Sicurezza dei Bancomat: impariamo dall'India

Leggo sul sito della BBC che in India stanno sperimentando con successo degli sportelli Bancomat con riconoscimento biometrico che permettano anche a coloro che non hanno un livello di istruzione elevato di ritirare il proprio salario.
Il progetto, per il momento a livello sperimentale, permette di servire alcuni clienti della Central Bank of India, una banca statale: al momento dell'apertura del conto, l'impronta digitale del cliente viene digitalizzata e memorizzata su una carta con chip.
Al momento del prelievo, il cliente inserisce la sua carta, gli viene richiesto di appoggiare una delle dita di cui ha registrato l'impronta su un apposito scanner dello sportello ATM e il gioco è fatto.
Altro aspetto interessante del progetto sponsorizzato dalla Electronics Corporation of Tamil Nadu (ELCOT), un'agenzia governativa dello stato del Tamil Nadu, riguarda l'utilizzo di bancomat con sistema operativo Linux.

Esaminiamo brevemente i vantaggi di sicurezza di questo tipo di implementazione:

• al cliente non è richiesto di memorizzare un PIN, quindi:
1. il sistema è più semplice da gestire;
2. il sistema è più sicuro: meno password e PIN ci sono da memorizzare, meglio è. Io, ad esempio, ho 3 bancomat, 2 conti correnti online e una memoria scarsa per i numeri. Indovinate dove mi sono scritto i PIN?
• la combinazione "una cosa che ho + una cosa che sono" è più sicura della combinazione "una cosa che ho + una cosa che so". Nel caso specifico la "cosa che ho" è la carta, la "cosa che sono" è la mia caratteristica biometrica (l'impronta digitale), la "cosa che so" è il PIN. Quindi, carta+impronta digitale ha una sicurezza maggiore di carta+PIN. La carta è clonabile con tecniche ormai, purtroppo, diffuse; il PIN è ricavabile con tecniche altrettanto diffuse; l'impronta digitale è piuttosto difficile da replicare. E' ovvio che la combinazione più semplice e sicura è: una cosa che ho+una cosa che so+una cosa che sono (grazie Fabrizio per il suggerimento).

In un periodo in cui la sicurezza dei sistemi di pagamento è continuamente minacciata da tentativi più o meno riusciti di furti di identità e di frodi, sia online che agli sportelli Bancomat, è arrivato il tempo, ormai, perché la biometria permetta di rendere più sicure le nostre transazioni.
Chiedetelo alla vostra banca.
Se nel frattempo desiderate approfondire l'argomento, vi segnalo questo interessante articolo di Cecilia Biondi, che oltre ad essere un "Biometria for dummies", illustra anche alcune soluzioni presenti sul mercato.

Trojan bancari: evoluzione pericolosa

I Trojan bancari, progettati per il furto di dati finanziari, sono in rapida evoluzione. Un esempio recente, StealAll.A, inserisce una libreria DLL nel browser di Internet per rubare le informazioni inserite dagli utenti nei form. Da quanto riportato dai laboratori di Panda Software, il 53.6% del nuovo malware apparso nel 2006 era costituito da Trojan. Il 20% di questi era di tipo bancario.

Si pensa che questo veloce sviluppo sia dovuto all’utilizzo di misure di sicurezza rinforzate da parte degli organi finanziari, come le “tastiere virtuali” che si gestiscono con il mouse per evitare che i keylogger rubino informazioni dalla battitura di password o dati sensibili in modo tradizionale. I cyber criminali sono al lavoro per cercare di superare questa nuova protezione. Solo qualche mese fa, infatti, i laboratori di Panda Software hanno individuato Banbra.DCY, un Trojan bancario progettato per catturare le schermate video per osservare esattamente quali caratteri venissero inseriti attraverso le nuove tastiere virtuali.

Un’altra tecnica comune è quella di usare codici maligni realizzati per attacchi pharming. Ciò consiste nella manipolazione del DNS (domain name system) che collega i navigatori alle pagine webdesiderate e li riconduce a falsi siti legati a servizi finanziari per recuperare i dati introdotti. Banker.CHG ne è un esempio tipico.

Luis Corrons, direttore tecnico dei laboratori di Panda Software afferma “i Trojan bancari sono una delle più grandi minacce di Internet e gli attacchi che li utilizzano possono avere effetti devastanti sulle 'finanze' degli utenti. Questi codici sono creati specificatamente e possono essere installati ed operare in maniera celata. Per questo motivo sono necessarie tecnologie preventive per rilevare nuove minacce attraverso l’analisi del comportamento”.

Per tutti gli utenti che volessero analizzare il proprio PC è disponibile la soluzione gratuita online di Panda Software, TotalScan o la versione beta di NanoScan, lo scanner online che rileva il malware attivo in meno di un minuto.

Fonte: i-dome