Governance, Risk & Compliance per il Professional Social Business

Transcript

1 il tuo futuro, il nostro impegno il tuo futuro, il nostro impegno il tuo futuro, il nostro impegno il tuo futuro, il nostro impegno Governance, Risk & Compliance per il Professional Social Business Paolo Capozucca Andrea Zapparoli Manzoni il tuo futuro, il nostro impegno

2 I relatori Paolo Capozucca Advisor per l Italia di Comsec Consulting, società israeliana leader internazionale nella Information Security Partner di SEC Consulting, Security Division di ALFA GROUP Andrea Zapparoli Manzoni Da 15 anni si occupa, spesso anticipando i tempi, di tematiche di Security, tra le quali di IAM, DLP, Anti Frode, Security Intelligence, Forensics, Analisi di Vulnerabilità e Mobile Security in ambienti Enterprise, Industriali, della Pubblica Amministrazione e Governativi. Scrive articoli e saggi di Sicurezza Informatica e segue attentamente le continue evoluzioni del settore, lavorando come trusted advisor per organizzazioni nazionali ed internazionali. Partecipa alle attività di CLUSIT tenendo seminari (Sicurezza dei Sistemi SCADA e dei Social Media), partecipando a convegni, partecipando alla realizzazione di documenti (Fascicolo Sanitario Elettronico, ROSI). E CTO di SEC Consulting, Security Division di ALFA GROUP

3 Il Social Business è ormai una realtà consolidata (Fonte: SC Magazine Shining the spotlight on Social Media )

4 La diffusione dei Social Media 25 MILIARDI. Il numero di contenuti (web links, news, posts, ecc) condivisi ogni mese su Facebook (250 milioni di foto al giorno) 24 ORE. La durata totale dei video caricati ogni minuto su YouTube. 2 MILIARDI. Il numero di video visti ogni giorno su YouTube. 100 MILIONI. numero medio di tweets al giorno su Twitter. 10 MILIARDI. Il numero di immagini ospitate su Flickr. Facebook. 800 milioni di utenti (50% mobili) 400 milioni connessi in media in ogni momento

5 Prospettive di diffusione del Social Business La maggior parte delle aziende T0P500 usano attivamente i Social Media, sia internamente che nei rapporti con Clienti, Partner, Media ed altre Aziende. Entro il 2012, il 100% delle TOP 500 utilizzeranno i Social Media. By 2014, social networking services will replace as the primary vehicle for interpersonal communications for 20 percent of business users. By 2012, over 50 percent of enterprises will use activity streams that include microblogging, but stand-alone enterprise microblogging will have less than 5 percent penetration. ( Gartner Predicts 2011: Social Software Is an Enterprise Reality )

6 Il problema: cosa sono veramente i Social Media? I Social Media sono un insieme di piattaforme Web 2.0 tramite le quali gli utenti interagiscono direttamente, producendo e condividendo contenuti propri e/o elaborando contenuti altrui, in tempo reale. Questo è certamente vero, però Perché sono per lo più gratuiti? Di chi sono? Chi li controlla? Come sono regolati contrattualmente? Cosa ci fanno con i social graph degli utenti? E con i dati immessi dagli utenti? E con le foto? Sono filtrati? Sono neutrali? Sono liberi? Sono sicuri?

7 I Social Media sono anche armi Nel corso degli ultimi 2-3 anni i Social Media sono diventati armi a tutti gli effetti, e fanno ormai parte dell arsenale di strumenti cyber a disposizione di eserciti, servizi segreti, polizie, terroristi, mercenari, gruppi antagonisti e corporations. Alcuni fatti (noti) tra i più eclatanti: Utilizzati attivamente da Anonymous (e gruppi simili) Utilizzati attivamente dai Governi (Iran, Siria, Cina, USA etc) per PsyOps, OSInt ed acquisizione bersagli Utilizzati dai ribelli delle primavere arabe come C4ISR 1 ed in Libia dalle Forze Speciali, a supporto di operazioni NATO Utilizzati da Aziende contro concorrenti ed attivisti 1 Command, Control, Computers, Communications, Intelligence, Surveillance and Reconnaissance

8 I Social Media sono anche un bersaglio Essendo diventati a tutti gli effetti un arma ed un campo di battaglia, i Social Media sono inevitabilmente anche diventati un obiettivo. Questo significa che in qualsiasi momento potrebbero essere attaccati, bloccati e resi irraggiungibili, oppure più semplicemente inutilizzabili. In effetti è già successo, a causa di: rivolte, insurrezioni e guerre civili attacchi cyber di vario genere e scopo azioni di sabotaggio e di protesta attività di poisoning tramite personae / bots censura di Stato (Meglio non darli troppo per scontati).

9 I Social Media sono anche il Paradiso del Cybercrime Oggi i Social Media sono diventati una dei principali terreni di caccia per il cybercrime organizzato trans-nazionale, che ha raggiunto un fatturato nel 2011 (stimato) di 7 miliardi di dollari, in crescita del 250% sull anno precedente. Nel milioni di persone sono stati vittime di cybercrime negli USA, (2/3 tramite i Social Media, 10 al secondo) per 32 Md $ di perdite dirette. Nel mondo la stima 2010 è di oltre 110 Md $. Il costo totale worldwide (perdite dirette + costi & tempo dedicati a rimediare agli attacchi) nel 2010 è stato stimato in 388 Md $. E più del PIL del Vietnam, dell Ucraina e della Romania sommati! Se il trend continua, nel 2012 questi costi saranno pari a metà del PIL italiano. (circa 1 trilione di dollari).

10 I Social Media sono un rischio per gli Utenti Un solo esempio per tutti. Ne potremmo fare alcune migliaia, ogni giorno ce ne sono di nuovi Sfruttando la notizia della morte di Bin Laden, in poche ore decine di migliaia di utenti Facebook sono stati infettati da un trojan (non rilevato dagli antivirus) che ruba dati personali e trasforma i PC delle vittime in zombie Per la natura dei Social Media, i criminali informatici hanno la possibilità di infettare e compromettere milioni di sistemi nel giro di pochi giorni

11 I Social Media sono un rischio per il Business e per le Aziende I Social Media sono una importante fonte di rischio d impresa anche per le Aziende che non li utilizzano! Attacchi informatici, frodi, furti di dati e di denaro, di proprietà intellettuale, concorrenza sleale, danni a terze parti e di immagine, cause legali

12 E le Aziende non sono pronte ad affrontare queste problematiche Alla domanda: Avete subito perdite di dati negli ultimi 2 anni? E di che tipo? Il 90% dei CIO e dei CISO risponde non so

13 Social Business: quali contromisure, come e quando Dal momento che subire un incidente è solo questione di tempo, è di fondamentale importanza implementare un insieme di processi di gestione del rischio, armonizzati e coordinati all interno di un piano complessivo di Social Media Management: Formazione Definizione di policies e responsabilità Moderazione della conversazione Prevenzione delle minacce (early warning) Analisi dei Rischi e Monitoraggio continuo (VA, PT) Tutela legale (proattiva e reattiva) Gestione degli incidenti e degli attacchi informatici Questo sia per ottimizzare il ROI del Social Business, sia per evitare danni economici o d immagine (anche importanti e complessi da sanare), sia per impedire la perdita di dati sensibili o per rimediare ove gli incidenti si siano già verificati.

14 GRC per i Social Business: Formazione ed Awareness La conoscenza è potere. In contesto tanto nuovo e complesso, è necessario impostare dei processi di formazione continua per il management, gli utenti ed i partner. Fare formazione ed aggiornamento a tutti i livelli Definire regole chiare e condivise specifiche per l utilizzo dei Social Media Controllare e misurare il loro livello di adozione e la loro efficacia nel tempo rispetto all evoluzione delle minacce Responsabilizzare gli utenti e le strutture aziendali coinvolte, a qualsiasi titolo, dall uso dei Social Media. NB diciamolo una volta per tutte: i SM non sono un problema (solo) dell IT ne un ambito di pertinenza esclusiva del Marketing!

15 GRC per i Social Business: Organizzazione, Procedure e Controlli La potenza è nulla senza controllo. Il Web 2.0 ed il Social Business in particolare non sono un evoluzione del Web, sono una rivoluzione epocale, un nuovo mondo. Stimolare il necessario committment a livello di Direzione e di Stakeholders, sostenendolo con argomentazioni scientifiche (ROI, KPI, KSI. NB basta chiacchiere!) Creare una struttura multidisciplinare per la gestione della Social Business Strategy, che includa ed integri competenze di Marketing, Legali, di HR, di GRC e di Information Security Nominare un unico responsabile per la Social Business Strategy, che abbia una visione globale dei problemi e delle opportunità ed il potere di implementare le procedure necessarie e magari scegliere i partner giusti?

16 GRC per i S.B.: Prevenzione, Monitoraggio in real time e Reazione agli Incidenti Sul fronte interno (NB non c è più il perimetro!) Strong Authentication + Network Access Control + Next Generation Firewall Endpoint protection / Application control / Device control (anche mobile!) Data Loss & Leakage prevention / DRM / Encryption end-to-end Sul fronte esterno (NB il resto del mondo) Early Warning / Security Intelligence Cloud based antimalware / Reputation based monitoring Reputation Management / Brand Management OSInt / Analisi e correlazione dei contenuti a livello semantico SSOC (Socialmedia Security Operations Center) Tutto questo in un ottica di Risk Management, Governance & Compliance.

17 Social Business Security Il Social Business è il nuovo paradigma di attività commerciale emerso dal Web 2.0, indietro non si torna. Anche se le prospettive sono ancora tutte da comprendere, i valori in gioco sono enormi, e così anche i rischi. Gestire i nuovi scenari di rischio derivanti dall'adozione del Social Business è una necessità ed un'opportunità. Selezionare le tecnologie più adatte, formare le persone, individuare le strategie, le policies ed i controlli più efficaci in ogni contesto ed integrare diverse discipline (IT, Legal, HR, Marketing) nel processo di Social Business Security è una sfida che dobbiamo affrontare... Parliamone insieme!

18 L eccellenza italiana nel Business Process Management Nato nel 2009 come evoluzione della piattaforma RHD Presso l Università Politecnica delle Marche Finanziato dalla Regione Marche con fondi UE come progetto di innovazione tecnologica in ambito software Da una intuizione del Dott. Gaetano Ascenzi Vice Presidente della Confindustria di Fermo Presidente Innovazione Confindustria delle Marche Membro del Gruppo di Supporto Innovazione di Confindustria Amministratore Delegato di Alfa Project (Fermo)

19 LE DOMANDE che solo pochi anni fa avrebbe fatto solo un visionario Nell era dei Social Network il Process Management che funzione assume?. Nell era dell informazione destrutturata ha senso parlare di processi di circolazione dell informazione?

20 Business Process Management: l informazione condivisa Sino al 2009 Dal 2010 Persone Oggetti Negli ultimi 50 anni le informazioni trattate dalle aziende sono sempre state le stesse. Da qualche anno tutto è mutato Documenti Contratti Dati Gestione Clienti

21 Business Process Management: l informazione condivisa le informazioni strutturate, tipiche dei Persone database, sono state integrate da forme destrutturate di grande valore per le aziende. Siamo passati al 2.0 Documenti Oggetti Contratti Dati Gestione Clienti

22 Business Process Management: l informazione condivisa Mario Dirigente Mario Dirigente Mario Dirigente Clienti Persone Documenti Enrico CapoSettore Enrico CapoSettore Enrico CapoSettore Andrea CapoSettore Andrea CapoSettore Andrea CapoSettore Massimo CapoSettore Massimo CapoSettore Massimo CapoSettore Contratti Giulio Tecnico Giulio Tecnico Giulio Tecnico Franco Tecnico Franco Tecnico Franco Tecnico Oggetti Dati Gestione Attività 1 Attività 1 Attività 1 Attività 1 Attività 1 Attività 1 Attività 1 Attività 1 Le informazioni sono indipendenti dalla organizzazione ma con i social network c è un cambiamento epocale che deve permettere, comunque, la condivisione tra soggetti coerenti. La distribuzione in ambiente aziendale deve mantenere i caratteri di condivisione organizzata tipica dei BPM Attività 2 Attività 2 Attività 2 Attività 2 Attività 2 Attività 2 Attività 2 Attività 2 Attività 3 Attività 3 Attività 3 Attività 3 Attività 3 Attività 3 Attività 3 Attività 3

23 Business Process Management nell era dei Social Media Nell era dei Social Media i sistemi di Process Management assumono una doppia valenza che ha un unico denominatore: Il cambio della velocità SICUREZZA PASSIVA DEI SISTEMI SICUREZZA DEI DATI Nell era dei Social network le informazioni sono condivise in maniera immediata senza alcuna procedura di validazione. I sistemi di Process Management continuano ad assolvere alla loro funzione di validazione e controllo con la differenza che gran parte dell attività deve essere svolta attraverso automatismi in grado di analizzare elevate quantità di dati destrutturati PREMESSA I social network hanno moltiplicato le tecniche di Haking basate su attacchi simultanei costruiti attraverso gruppi di incontro. Le procedure di reazione basate sull azione degli uomini non sono più adeguate. Sono troppo lente NUOVO SCENARIO Il Process Management offre sistemi software che automatizzano la reazione attraverso tre tecniche: Analisi di simulazione di automi (DEMO) definizione di processi standard di reazione Security Intelligence legata all analisi dei dati dei log con tecniche tipiche della business intelligence

24 Il 2012 è l anno di Process Evolution (e di RHD4) Process Evolution rappresenta lo stato dell arte nei sistemi per il disegno e la simulazione di processi di business.

25 L eccellenza italiana Nato nel 2006 da un gruppo di professionisti con esperienza decennale nella consulenza dedicata al supporto dei processi di modernizzazione delle pubbliche amministrazioni e delle aziende Dalle intuizioni del Professor Germano Paini Docente Università di Milano Bicocca Docente e Consulente presso Fondazione Milano Responsabile Scientifico "Progetto Social Network degli studenti di Novara dedicato ad Italia 150" presso Regione Piemonte Docente presso Azienda Ospedaliera Universitaria - San Giovanni Battista Dal 2004 Owner e fondatore di Goaling

26 Il problema I sistemi di Knowledge Management: PRO CONTRO Sono alimentati dai sistemi informativi e dai documentali aziendali Utilizzano una logica già nota agli utenti Sono semplici e veloci da usare Seguono la strutturazione dei sistemi documentali (ECM) Sono limitati alla conoscenza esplicita contenuta negli ECM I sistemi di ricerca (es. Google): Normalmente presentano il problema dell eccessivo numero di rispondenze Sono difficili da implementare in termini di conoscenza Wiki e Social network (es. Facebook): Sono molto diffusi e semplici da usare Permettono lo scambio di opinioni Permettono di incrementare la conoscenza implicita Presentano poca autorevolezza Sono finalizzati alla comunicazione e non al KM

27 La sintesi

28 ThinkTag Smart È il Professional Social Network con cui erogare servizi per la costruzione di un Knowledge Management System innovativo che: favorisce un contesto comune per l elaborazione ed il confronto tra le conoscenze : Si creano comunità qualificate di utenti formalizza e organizza la conoscenza esplicita: Archivia oggetti di qualsiasi tipo (multimedia, documenti, web) e/o link Permette di inserire campi strutturati, informazioni non strutturate e tag Associa tra loro i tag (iper-pertinenza) fa emergere la conoscenza implicita: Utenti qualificati possono inserire commenti, segnalazioni e/o tag rende disponibile e accessibile il sistema di conoscenze individuali e delle organizzazioni: È possibile definire le regole di accesso ad oggetti, commenti e/o tag Fornisce strumenti di ricerca semplici e potenti combina le competenze degli utenti e dei gruppi professionali: Diventano attivi sia gli utenti che inseriscono oggetti che quelli che li leggono e li commentano I gruppi diventano centro di comunicazione e scambio della conoscenza

29 La metodologia dell Iper-Pertinenza L Iper-Pertinenza supporta i Social Business e nell affrontare il cosiddetto overload informativo: a fronte di un immensa disponibilità di informazioni abbiamo sempre più bisogno di informazioni e conoscenze organizzate e corrispondenti alle nostre esigenze: informazioni e conoscenze pertinenti. Ma la pertinenza non è più solo un fatto individuale. Grazie alla condivisione di esperienze in rete è possibile arricchire iperbolicamente la pertinenza: rendendola Iper-Pertinente. Una risorsa è più pertinente (Iper-Pertinente) in quanto condivisa, commentata, arricchita e organizzata da un gruppo sociale di membri di un Social Network. Ma i Social Network tradizionali sono essenzialmente orientati alla relazione tra le persone, non sono dotati di sistemi di strutturazione e organizzazione dei contenuti, sono dedicati ad uno o a pochi materiali: in una parola sono poco pertinenti rispetto ai nostri bisogni di gestire l informazione e la conoscenza.

30 I caratteri distintivi dell Iper-pertinenza focalizzazione sulla conoscenza e sulla documentazione acquisita ed elaborata dagli utenti; supporto delle relazioni interpersonali per la loro funzione veicolo per lo scambio e la condivisione; pluralità dei materiali (oltre 50 tipi di risorse di conoscenza); disponibilità dei metadati secondo standard internazionali di interscambio (Unimarc); disponibilità di funzioni per commentare soggettivamente i contenuti combinazione in un unico ambiente di: metadati standard; componente soggettiva; adozione di logiche bottom-up; organizzazione per tag; organizzazione per scaffali virtuali (gestione sistematica della conoscenza); organizzazione per legami (gestione iperconnettiva della conoscenza); pluralità delle tematiche (mix tra specializzazioni in un ottica di ibridazione interdisciplinare). costruzione sociale della semantica (attraverso l evidenziazione delle relazioni tra le tag e tra i diversi contenuti);

31 Referenze di ThinkTag Sma Rete Oncologica del Piemonte e della Valle d Aosta Università di Torino Università di Roma 3 Università La Sapienza Università Milano Bicocca McLuhan Program University of Toronto Ministero della Salute Comitato per le Celebrazioni del centenario della nascita di Norberto Bobbio Provincia di Milano Provincia di Livorno Progetto Interreg - " Med More & Better Jobs" Centro Studi per le Professioni Infermieristiche Università di Torino - Divisione Ricerca Università di Torino - Divisione Cooperazione Internazionale NursesArea.it Comune di Carmagnola Provincia di Novara

32 Grazie! Paolo Capozucca, mobile: Andrea Zapparoli Manzoni, Governance, Risk & Compliance per il Professional Social Business Roma, 23 Gennaio 2012