15 domande di autovalutazione sul livello di sicurezza di una attività

Ben inteso, queste poche domande non possono essere esaustive ma vogliono essere utili e se vogliamo provocatorie, per chi normalmente pensa che bastino pochi elementi per mantenere in sicurezza, dati ed informazioni di una qualsiasi attività. Buona riflessione...

1. E' valutata la sicurezza dei dati e delle informazioni aziendali solo a livello IT o a 360 gradi? (Furto, incendio, attività di spionaggio, social engineering, etc.).
Va di moda oggi parlare di sicurezza ed il termine si associa con facilità ed inevitabilmente al comparto informatico. I dati e le informazioni dovrebbero essere visti come un qualcosa di liquido capaci di assumere qualsiasi forma. I dati vengono comunicati a voce, viaggiano su linee elettriche, via cavo, su fibra, insomma in una miriade di modalità.
La sicurezza di una attività inizia dalle serrature e porte di accesso e continua su tutto ciò che comunica e porta dati all'esterno, indifferentemente che siano supporti, tecnologie e persone. Ciò espone ad una miriade di possibilità di attacco per ledere e carpire informazioni utili, una mancanza di attenzione od una focalizzazione solo su alcuni particolari rende fortemente esposti.

2. E' utilizzato abitualmente solo software costantemente aggiornato alle ultime versioni e relativi aggiornamenti di sicurezza?
Utilizzare software non più supportato, che siano sistemi operativi piuttosto che programmi o applicazioni, ci espone in maniera forte a vulnerabilità ed attacchi.

3. Le chiavi degli autoveicoli aziendali in parcheggio sono custodite abitualmente in cassaforte?
La sicurezza di una attività è basata sui dettagli, con un facile accesso ai veicoli, in caso di tentativi di furto, è possibile portare via beni preziosi dell'attività, compresi macchinari, attrezzature, documenti, hardware e software. Tutto ciò che viene rubato può anche essere utilizzato per eventuali estorsioni.

4. Se oggi rubassero tutto l'Hardware aziendale, rimarrebero ancora a disposizione tutti i dati necessari per poter continuare a lavorare?
La resilienza e la continuità del business all'interno di una attività è fondamentale. Qualsiasi attività dovrebbe essere in grado di mantenere la propria capacità operativa a seguito di danni e problemi sui dati e le informazioni, ache se agli inizi ridotta.

5. Il personale aziendale è formato per fronteggiare attacchi di Social Engineering?
I punti deboli non sono solo i sistemi ma anche le persone, se non sono presenti corrette politiche di comportamento e prevenzione, si aprono "voragini" enormi in grado di esporre ad ingenti rischi.

6. Viene revisionato almeno ogni anno lo stato di salute dell'attività sotto il profilo della sicurezza dei dati e delle informazioni?
C'è sempre qualcosa che cambia, c'è sempre di conseguenza la necessità di adattarsi alle vulnerabilità interne ed esterne. Anche se in presenza di disponibilità economiche ridotte, una revisione periodica minima è d'obbligo.

7. Sulle scrivanie, nei momenti di pausa e a fine giornata lavorativa, rimangono fogli e documenti incustoditi?
I dati sono dati, sempre! E' buona norma non lasciarli mai incustoditi.

8. Si usano normalmente apparecchiature tritacarta per distruggere i supporti cartacei prima di buttarli?
I dati sono dati, sempre! Anche quando non servono più, è necessario quindi distruggerli in maniera corretta.

9. E' presa in esame anche la sicurezza telefonica?
Molti telefoni cordless non sono neanche criptati, basta un semplice scanner per ascoltare le telefonate aziendali.

10. Hanno accesso agli archivi e ai dati solo ed esclusivamente le persone preposte?
Se non è possibile definire con precisione, chi può accedere a che cosa, non esiste neanche il livello di sicurezza minimo.

11. Sono di norma bonificati tutti i supporti Hardware in vendita o in rottamazione?
Tutto l'hardware che non serve più e viene venduto, ceduto o rottamato, continua a contenere dati. Senza una cancellazione sicura o distruzione adeguata dei supporti espone a rischi di lettura e recupero dei dati da parte di persone non autorizzate.

12. Se viene collegata una chiavetta USB in grado di simulare una tastiera od un mouse ad uno dei sistemi operativi, viene segnalato il tentativo di frode?
I sistemi di sicurezza non iniziano e non si esauriscono con un semplice antivirus. Sono necessarie più protezioni per dare livelli di sicurezza accettabili.

13. Sono presenti computer e relativi monitor rivolti verso finestre a vetri trasparenti e senza tende?
Se una azienda lavora a progetti importanti, basta un buon binocolo o un buon telescopio per scoprire molte più informazioni di quanto abbiate idea. La concorrenza può essere sempre in agguato...

14. All'interno dei sistemi informatici, vengono trattati solo dati pertinenti all'ente o il personale immette e tratta senza autorizzazione dati propri? (Foto private, film, musica, utilizzo di email private, documenti, software pirata, etc.).
Se i dipendenti di un ente, senza autorizzazione, immettono e trattano dati personali sui sistemi informatici aziendali, rischiano di esporre i sistemi a rischi di sicurezza, a volte anche gravi. Il trattamento delle informazioni deve essere sempre coerente.

15. Vengono rivelati con non curanza: dati, informazioni, politiche, obiettivi aziendali, con persone non pertinenti o vige abitualmente un atteggiamento di massima riservatezza?
La riservatezza è sempre d'oro! Informare le persone sbagliate può esporre a volte anche a grandi rischi.

Andrea Guzzo

Sicurezza informatica, diversi approcci per realtà diverse. E le piccole e medie realtà?

La sicurezza informatica è sempre stata importante, ma semplicemente, per decenni è stata ignorata...
Complici non solo gli utilizzatori finali delle applicazioni e dei servizi in uso, ma soprattutto coloro che hanno scritto e ancora scrivono codice vulnerabile.
Complici tutte quelle aziende che offrono software, piattaforme e servizi, senza investire in adeguati studi per la protezione dei dati.
Complici tutti coloro che vogliono fare interagire qualsiasi cosa ad ogni costo..., è il business del momento; piattaforme online..., servizi online..., automoblili interattive..., frigoriferi che ti fanno la spesa..., ma ogni cosa ha un prezzo...

Avete voluto far interagire tutto con tutto? Adesso sono guai!
I frigoriferi ci profilano, i televisori interattivi ci spiano ed i telefoni sanno tutto di noi, anche quando sono spenti...

Non ho mai creduto che si potesse fare sicurezza senza "blindare" il più possibile i dati, il tempo mi ha dato ragione. Gli ambienti militari e di intelligence hanno ancora molto da insegnare...
Nel frattempo, la sicurezza non è diventata solo una necessità, ma il business nel business, intanto, le grandi realtà, anche se non lo fanno volentieri, possono investire considerevoli somme per la protezione dei dati e delle informazioni, i piccoli ed i medi continuano a rimanere soli...

L'errore è nell'approccio!

Una piccola azienda non può permettersi un centro di sicurezza che analizza dalla mattina alla sera, codici e protocolli, non funzionerebbe neanche se il servizio fosse esterno. L'approccio sulla sicurezza che realizzi per le piccole imprese è molto diverso e corrisponde a necessità diverse dalle grandi infrastrutture. Non solo, la sicurezza non è un prodotto, a poco serve un firewall se non lo adatti regolarmente a quello che transita sulla rete, a poco serve un antivirus se gli deleghi la protezione di tutto.
A condire per bene l'insalata, ci sono alcuni commerciali disposti a vendervi qualsiasi cosa, facendo leva sull'ignoranza e l'allarmismo, così vi sentirete più sicuri senza sapere di essere nella stessa condizione iniziale, ma con qualche soldo in meno...
Ricordo ancora un "genio" che ho conosciuto anni fa, che vendeva  proxy server con content filter assemblati da lui con vecchie versioni Linux, piene di bug e falle di sicurezza, i clienti però credevano di essere al sicuro.

Ma allora come fare?

Le grosse aziende, hanno processi e personale dedicato alla sicurezza IT, le loro infrastrutture non sono prive di vulnerabilità ma hanno mediamente un alto livello di sicurezza e capacità reattiva agli attacchi. Hanno un approccio mediamente globale ed una attività di controllo costante.
Le piccole e medie aziende, non hanno la stessa possibilità, soprattutto per una questione di costi, ma possono innalzare i loro livelli di sicurezza se insieme ad un bravo professionista, si sottopongono a valide analisi, controlli, attività di audit al fine di individuare almeno le maggiori criticità ed implementare le dovute protezioni. Mantenendo almeno revisioni cicliche e giocando quindi sulla prevenzione.
Individuare punti critici ignorati, implementare le dovute protezioni e attuare revisoni cicliche, non metterebbe al riparo da tutto ma consentirebbe di innalzare in media un livello di protezione informatica che mediamente è basso se non scadente.
Tempo fa, entrando nello studio di un professionista mi bastò fargli una domanda perchè non dormisse sonni tranquilli per un mese. Non aveva minimamente idea di alcuni pericoli a cui era esposto, da allora sta implementando, seppur gradatamente, una serie di processi che innalzeranno i criteri di funzionalità, resilienza e proattività della propria infrastruttura informatica. Non sarà mai totalmente immune, ma avrà gli strumenti adeguati per continuare a lavorare in situazioni critiche e avere sempre i dati a disposizione. Si, è vero, tutto ciò ha un costo che chiunque se potesse ne farebbe volentieri a meno, ma quando ti ritrovi con l'impossibilità di lavorare perchè i dati sono stati danneggiati, cancellati, criptati o quant'altro, allora quel costo che sembrava inutile o fastidioso, diventa un valore aggiunto in grado di permetterti di lavorare anche in un momento critico.

Prevenire dunque, costruendo delle soluzioni intorno ai dati al fine di proteggerli e variando con una revisione ciclica le soluzioni, al variare delle condizioni esterne ed interne alla propria infrastruttura.
Per fare questo è necessaria una certa esperienza, con competenze che non devono arrivare solo dal settore informatico, perchè l'approccio alla protezione dei dati deve essere globale e multidisciplinare.

Il particolare, fa la differenza...

Andrea Guzzo