mission alta disponibilità resilienza paradigma buon senso

Transcript

1 1 Fill In the Blanks ha, fin dalla sua nascita, avuto una specifica mission: progettare e realizzare architetture informatiche ad alta disponibilità, quindi con caratterizzazione di una accentuata resilienza. E questo paradigma lo abbiamo declinato in molti modi: - Creando infrastrutture server con alta/altissima continuità operativa - Sviluppando soluzioni di backup multilivello - Progettando architetture di rete ad elevata sicurezza logica - Formando ed educando gli IT manager e gli utenti sul tipo di soluzioni da noi proposte e sulla loro gestione e menutenzione In quest ottica parlare di Sicurezza Informatica, sia se essa coinvolge gli aspetti normativi delle leggi Privacy, 231, videosorveglianza, documentazione sostitutiva, sia se riguarda le best practise dei processi di certificazione viene quas spontaneo: ogni nostra attività ha come fine primario garantire sicurezza e continuità. Perché non è solo una questione di legalità o di certificazione: è, soprattutto, una questione di buon senso.

2 2 Hacktivism Intrusion Prevention / Detection Cloud Security Access Point Restore Granulare Data Leak Continuous Backup Mobile Security Archiviazione Off-Side Firewall Backdoor Virtualizzazione Synchronous Storage Identity Management Single Sign On Obiettivo dell intervento: Non una trattazione tecnologica di soluzioni informatiche utilizzate o utilizzabili per la protezione del dato (..innumerevoli..) [per domande tecniche far riferimento al collega dell area sys] MA Un escursus su molteplici ambiti nei quali la sicurezza informatica gioca un ruolo fondamentale nei processi aziendali e SOPRATTUTTO risulta fondamento per l adempimento normativo o per l adozione di best practise o compliance aziendali [NOTA su DNT : a fine presentazione]

3 3 ALCUNE NORME Le prime 6 norme derivano da DLg 196/2003 (Privacy) - Misure minime di Sicurezza Allegato B Ad esse, peraltro, fa ampio riferimento anche la 231 Le successive 4 riguardano alcuni standard di sicurezza informatica richiesti nel processo di certificazione ISO 27000

4 4 Entriamo nel merito di alcune soluzioni informatiche BACKUP Tipo 1: sistema basato sulla masterizzazione di un CD o DVD Tipo 2: Sistema basato su un unità composta da un juke-box con rotazione automatica di nastri (con policy predefinita, es. 1 per ogni giorno della settimana) Tipo 3: Sistema basato sulla copia sincrona di un device appartenente ad una architettura SAN (storage area network) in una struttura delocalizzata. Sono tutti sistemi di Backup? Sono tutti a norma? Probabilmente lo sono, ma con SLA (in termini di RTO ed RPO completamente diversi)

5 5 Credenziali & Autenticazione Tipo 1: La credenziale di accesso all azienda è codificata nella banda magnetica del bagde Il sistema di autenticazione è un software dedicato alla gestione personale Apertura porta dell ufficio (credenziale «fisica») L utente dichiara le proprie Credenziali di accesso al proprio computer Un sistema di autenticazione locale valida tali credenziali L utente ha passato 3 livelli di autenticazione, anche se essi sono tutti tra loro scorrelati. Tipo 2: Sistema basato su una badge dotato anche di transponder RFID (tag): Apertura automatica della sbarra ingresso e delle porte di accesso all azienda e all ufficio. Lettore di card sul computer che permette l autenticazione automatica sul sistema informatico. Un unico strumento di autenticazione governato centralmente da un unico sistema di autenticazione Sono tutti sistemi di AUTENTICAZIONE e di gestione delle CREDENZIALI?

6 6 Gestione delle Credenziali Utente Tipo 1: sistema di gestione PUNTUALE delle credenziali di accesso sui singoli file (es. Ms Windows 7) Tipo 2: Sistema basato su una architettura «server based» che gestisce le credenziali di accesso a tutte le risorse aziendali in modo centralizzato, con specifica definita per site geografico, per unit aziendale e per singolo utente Sono tutti sistemi dei controlli di Accesso alle risorse? Sono tutti a norma? Probabilmente lo sono, ma con SLA completamente diverse

7 7 Protezione Accessi (firewall) Tipo 1: Firewall Software (Windows 7) con impostazioni personalizzabili delle regole per il traffico del PC in ingresso ed in uscita, sul Dominio Aziendale, su una rete privata (casa) o su una rete pubblica. Tipo 2: Sistema basato su una device multi-interfaccia per gestire in modo dedicato VPN multiple, Vlan, Aree Wifi, sottoreti, Packet Inspection, URL filtering e molto altro ancora. Sono tutti sistemi di gestione della Sicurezza della rete? Sono tutti a norma?

8 7

9 8 Continuità Operativa Tipo 1: Il singolo PC dispone di un sistema per generare l immagine completa dello stesso (sistema operativo, applicazioni, dati e configurazioni). In caso di necessità (crash del PC) è possibile ripristinare l intero sistema (RTO = qualche ora; RPO: all ultima immagine effettuata) Tipo 2: Sistema di server (cluster) virtualizzati su 3 nodi. In caso di indisponibilità di un nodo i sistemi (virtuali) vengono spostati in tempo reale su uno dei nodi disponibili, rendendo i servizi correlati alle VM da spostare immediatamente operativi (di fatto senza che l utenza abbia sensazione del riavvio). Sono entrambe soluzioni di CONTINUITA OPERATIVA?

10 9 Controllo Attività Tipo 1: Un semplice server Linux con funzioni di Proxy Filtrante (Squid) dotato di diversi add-on per il filtraggio dei contenuti. Esso consente di mantenere un database dei siti visitati, delle violazioni, dei siti più visitati in generale e per ciascun utente. Il sistema di filtraggio si basa sia su un database di indirizzi (url), sia su confronto di parole, ma anche sulla dimensione, quantità e tipo di immagini del sito controllato. Tipo 2: Thin Client che permette la connessione ad un sistema centralizzato (profilo Terminal Services o Virtual Machine) con attivazione di regole ed autorizzazioni specifiche per ciascun profilo (applicazioni, accessi, fruibilità,..) Tipo 3: Inspection Software che controlla in tempo reale ed in modo puntuale TUTTE le attività svolte sul PC [con attenzione agli ambiti di legalità del suo utilizzo nei confronti del Dlg196 Privacy dei quali potrà dare riscontro l Avv. Frediani] Sono tutte soluzioni di CONTROLLO delle ATTIVITA?

11 10

12 10 TUTELA del DATO (privato) Parliamo di MOBILE device (smartphone,tablets, ), che spesso (erroneamente) non vengono considerati alla stessa stregua dei normali PC nell attuazione delle norme di sicurezza (antivirus,backup, ) Tipo 1: Il nostro smartphone è protetto da un PIN che ne impedisca l accesso Tipo 2: Il sistema centralizzato di Unify Communication è in grado di governare gli smartphone aziendali e, in caso di furto o smarrimento, può cancellarne il contenuto, resettare la password etc. Sono tutte soluzioni per TUTELARE i DATI?

13 11

14 12 DIPENDE da MOLTI FATTORI. Alcuni dei più importanti STRUMENTI: che come visto sono molteplici e con attitudine ed obiettivi diversi, anche nell ambito della stessa tematica CONTESTO: il contesto aziendale; per cosa vengono utilizzati gli strumenti aziendali, che tipologia di informazioni vengono gestite [private, riservate, secretate, ] CONTRATTI: sia interni [dichiarative, accordi] sia con terze parti, in particolare con chi gestisce i sistemi informativi aziendali (e si colloca, quindi, nel ruolo di «Amministratore di Sistema») RISCHI: l analisi dei rischi (declinata in funzione dei dati aziendali e dei servizi) è un punto cruciale nel definire la soluzione informatica più adatta

15 13 Analisi dei RISCHI (su dati e sistemi) PURI Perdita dei Sistemi Informativi o parti di essi e delle informazioni in essi contenute causa eventi catastrofali Danni a terzi per perdita di informazioni STRATEGICI Scelta di soluzioni ICT non coerenti con lo sviluppo organizzativo aziendale Incapacità di cogliere le opportunità di business connesse all utilizzo di nuove tecnologie OPERATIVI.[next]

16 14 Analisi dei RISCHI OPERATIVI STRUMENTI COMPORTAMENTI

17 14

18 Alcune statistiche 15

19 16 A proposito di RISCHI COMPORTAMENTALI: i legislatori si muovono per venir incontro alla tutela degli utenti informatici E notizia recente l adozione da parte degli Stati uniti di tecnologie DNT (Do Not Track): esse permetteranno di non far registrare percorsi di navigazione su internet, ricerche, download e tutto quanto permetteva ai cookies (biscottini) di «profilare» gli utenti (tipicamente a scopi commerciali). Lo slogan che forse avrete sentito è «premi il bottoncino che mangia il biscottino» Esiste già questa possibilità sui browser di ultima generazione (vd. fig), ma la scelta di NON farsi tracciare NON era vincolante per i siti WEB. Con le norme sul DNT lo diviene (almeno dal punto di vista normativo). La responsabile per l Agenda Digitale Europea (Neelie Kroes) annuncia passi della Comunità Eu verso lo stesso obiettivo

20 17 CONOSCENZA degli strumenti, dei rischi, delle Normative GOVERNO e CONTROLLO dei Comportamenti degli utenti e dei servizi dei Fornitori esterni QUESTA DEVE ESSERE l ALCHIMIA da trovare per trovare il giusto EQUILIBRIO tra Legalità, Sicurezza, Certificazione e. E la ricetta non potrà che essere diversa per ciascuna delle vostre aziende

21 18