Sicurezza della rete e Byod: verso un end user più consapevole

Transcript

1 Sicurezza della rete e Byod: verso un end user più consapevole a cura di Albert Rodriguez C on più di cinque miliardi di dispositivi mobili in tutto il mondo e solo 2 miliardi di computer il passaggio al mobile come forma principale di collegamento alle reti aziendali procede con sempre maggiore rapidità. Proteggere tali dispositivi sta diventando una priorità assoluta per i direttori della sicurezza e i CIO. Con la crescente adozione, da parte delle aziende, del trend Bring Your Own Device (Byod), che permette ai collaboratori l utilizzo dei dispositivi personali come strumento di lavoro, la necessità di proteggere le applicazioni che girano su questi dispositivi diventa più critica. Le applicazioni mobili rappresentano un nuovo bersaglio per le minacce, dato il rischio più elevato di attacco rispetto alle applicazioni web. Gli hacker si concentrano sempre più sulle applicazioni mobili, perché molte organizzazioni non sono consapevoli dei rischi per la sicurezza che queste introducono. Le survey e le ricerche sul tema sicurezza commissionate dai più grandi player del settore stanno letteralmente affollando il web. Tutte hanno un punto in comune: l inconsapevolezza del rischio da parte dell utente. Il comportamento degli utenti è una delle variabili che può causare rischi anche notevoli all interno di un azienda dichiara Alessandro Peruzzo, Amministratore unico di Panda Security Italia. La scarsa consapevolezza dei pericoli che si possono affrontare utilizzando dispositivi IT, siano fissi o mobili, e la conoscenza poco approfondita delle diverse tecniche utilizzate dagli hacker per violare la privacy degli utenti e commettere azioni fraudolente offre la misura del pericolo che corrono le aziende. Da una ricerca anonima e indipendente condotta da Opinion Matters che ha coinvolto 200 responsabili delle decisioni IT negli Stati Uniti, in aziende che vanno dai 5 ai 50 dipendenti, sono state identificate le pratiche antivirus più diffuse tra le piccole imprese ed è stato misurato il livello di fiducia degli intervistati riguardo ai sistemi di sicurezza adottati in azienda, rilevando le loro opinioni riguardo alle soluzioni IT basate su cloud. I principali risultati emersi dalla ricerca hanno messo in luce come il 27% degli amministratori IT ha dichiarato di non utilizzare lo stesso programma antivirus con la stessa data di rinnovo licenza su tutte le macchine presenti in azienda. Un terzo (33%) non dispone di una soluzione antivirus gestita centralmente ma, dato più eclatante, quasi la metà (48%) ha dichiarato di non essere in grado di valutare quali PC o server presenti sulla rete siano a rischio. Tra le numerose sfide che deve affrontare la sicurezza delle infrastrutture la più critica è sicuramente quella di prevenire accessi non autorizzati alla rete aziendale e la protezione delle informazioni sensibili. Questo è quello che emerge da un indagine condotta da B2B International nel luglio 2012 per conto di Kaspersky Lab. Ai dipendenti responsabili di settori critici dell azienda, compresi quelli che si occupano di sicurezza IT, è stato chiesto di elencare tre obiettivi che considerano fondamentali per il personale IT. Da questo è emerso che la pre- Alessandro Peruzzo occupazione maggiore è il rischio di accessi Amministratore unico non autorizzati alla rete aziendale (31% degli Panda Security Italia intervistati). La protezione delle informazioni, invece, è la priorità assoluta per il 27%, che ritiene importante effettuare il backup dei dati, combattere qualsiasi problema legato alla perdita di dati ad opera 50 - Sistemi&Impresa N.9 - dicembre 2012

2 dei dipendenti e respingere gli attacchi dei cyber criminali. Il controllo dei dispositivi mobile si posiziona solo al terzo posto della classifica, con il 13% che lo considera uno degli aspetti maggiormente critici. Questo dato è in contrasto rispetto al dato per cui il 55% degli intervistati sono preoccupati della sicurezza dei dispositivi mobile. La crittografia dei dati sensibili La crittografia è uno strumento indispensabile per proteggere le informazioni ed è sempre più utilizzato per combattere il cyber-crime. Secondo la ricerca, il 44% degli IT specialist di 22 paesi hanno già implementato tecnologie di crittografia per proteggere i dati delle aziende. La crittografia è la quinta tecnologia di protezione più utilizzata perché, anche nel caso in cui i criminali dovessero riuscire ad accedere all infrastruttura IT dell azienda, non riuscirebbero comunque ad utilizzare i dati sottratti. Nonostante ciò, molte aziende non utilizzano ancora questa tecnologia. Secondo la ricerca, solo un terzo degli specialisti IT (36%) utilizza la crittografia full-disk e meno della metà (44%) non protegge le informazioni sensibili. La crittografia su dispositivi esterni quali drive USB è adottata dal 32% degli intervistati. La crittografia dei dati sensibili è al terzo posto nella classifica delle misure che le aziende vogliono implementare. Allo stesso tempo però, le aziende incontrano numerose difficoltà nell adottare sistemi di crittografia e questo dimostra che hanno bisogno di sistemi di protezione efficaci e facili da implementare. Specializzata proprio in crittografia è SafeNet che mette in allerta le organizzazioni sull importanza di redigere al più presto policy adeguate sul fronte della sicurezza e piani formativi per i dipendenti. Cambiare i comportamenti delle persone è difficile e richiede tempi lunghi osserva Orlando Arena, Regional Sales Director Enterprise di SafeNet, attraverso attività formative e informative volte ad aumentare il loro livello di percezione dei rischi informatici, e richiedendo spesso anche modifiche a livello procedurale e organizzativo. Analogamente, è necessario garantire che le policy di utilizzo della strumentazione aziendale siano facilmente comprensibili e che al contempo le tecnologie implementate Orlando Arena Regional Sales Director Enterprise SafeNet per garantire la sicurezza non impattino sulla fruibilità dei servizi e delle applicazioni di business. Il 35% delle aziende ha subìto la perdita di dati a causa di una sicurezza non adeguata La perdita di dati causata da attacchi alle infrastrutture IT delle aziende sta diventando sempre più comune. Secondo la ricerca, il 35% degli IT specialist ha subìto perdite di dati a causa di infezioni malware. Le cause di perdita di dati sono anche gli attacchi via (21%) e il phishing (17%). La perdita di dati importanti avviene spesso attraverso le vulnerabilità delle applicazioni (25%): i cyber criminali utilizzano applicazioni software per scaricare programmi nocivi sui computer delle vittime. Il rischio della perdita di dati causato da incidenti di questo tipo potrebbe essere eliminato implementando sistemi di protezione efficienti che garantiscono il controllo delle vulnerabilità potenziali del software ed educando i dipendenti all utilizzo delle cosiddette App. Gran parte dei danni provengono dall utilizzo di dispositivi mobile: il 23% degli intervistati ha infatti identificato la perdita di dati proprio a causa dello smarrimento di questi dispositivi. Che tipo di dati perdono le aziende? Secondo il 36% informazioni di tipo finanziario o relativo ai proprio clienti, mentre il 31% ha risposto dati relativi ai dipendenti. Scarsa prevenzione, servono strategie Secondo una ricerca di Symantec solo il 54% dei device mobili utilizzati anche in azienda ha installato un software antivirus, nonostante ben il 40% degli accessi alla intranet aziendale avvenga da un device personale. Inoltre nel 46% dei casi l azienda non fornisce indicazioni chiare in caso di gravi rischi per la sicurezza dei device personali. Se da una parte quindi il fenomeno del Byod aumenta la disponibilità delle applicazioni in qualsiasi momento e in qualsiasi luogo oltre a contribuire a ridurre le spese per gli acquisti di dispositivi It dall altra può rivelarsi un fattore che cela una complessità in più per i dipartimenti IT, in considerazione della prevenzione dei rischi connessi all uso di dispositivi diversi da quelli tradizionali. Fortinet Internet Security Census 2012 è un iniziativa di ricerca che è stata condotta tra il 31 maggio e il 12 giugno 2012 per conto di Fortinet dalla società di ricer- Sistemi&Impresa N.9 - dicembre

3 che di mercato indipendente Vision Critical. La ricerca ha coinvolto persone con formazione universitaria, in età compresa tra 20 e 29 anni, lavoratori attivi a tempo pieno che possiedono uno smartphone, un tablet o un laptop. Dalla ricerca a livello globale emerge con chiarezza la portata della sfida per i sistemi IT aziendali rappresentata dagli utenti Byod. Dalla survey emerge lo scarso grado di considerazione attribuito alla sicurezza da parte dei dipendenti appartenenti alla Gen-Y (la generazione di giovani nati tra gli anni novanta e i primi anni del duemila) che utilizzano dispositivi personali, incluso il dato poco rassicurante che più di un dipendente su 3 non avrebbe rispettato le policy di sicurezza dell azienda in base alle quali al personale non è consentito usare i propri dispositivi per lavoro o nell ambiente di lavoro. Nel complesso, i risultati sottolineano l urgenza con cui le aziende dovrebbero sviluppare una strategia di sicurezza che consenta di rendere sicura e gestibile l attività degli utenti Byod. in realtà molto complessi, può contribuire a elevare i livelli di sicurezza. Sulla stessa linea David Gubiani, Technical Manager, Check Point Software, secondo il quale il comportamento degli utenti è uno dei fattori di rischio, anzi è sicuramente il più importante. Quello che è difficile è ottenere un buon livello di controllo e di sicurezza, garantendo allo stesso tempo agli utenti la possibilità di utilizzare appieno le potenzialità di Internet anche al di fuori del contesto strettamente aziendale. L educazione dell utente finale, insieme con la visione della sicurezza come processo in grado di coinvolgere le persone, le politiche di sicurezza e la tecnologia, è la chiave del successo delle soluzioni Check Point. Secondo Novell il fattore su cui lavorare ha un aspetto bipolare: da un lato c è la cultura informatica dell utente, dall altro la responsabilità dell IT. Infatti, dice Christian Zemella, Sales engineer, più sono forti le difese, più saranno astuti i modi di aggirarle, l eterno gioco di guardie e ladri si applica anche alla sicurezza informatica, ma non per questo bisogna alzare bandiera bianca. La tecnologia per lavorare in sicurezza esiste ed è accessibile e affidabile, ma la cultura di chi ne fa uso è la vera chiave di tutto. Il compito dell IT deve essere quello di rendere le cose il più semplice possibile e di fornire software e infrastrutture flessibili al punto da garantire la sicurezza senza quasi che l utente finale se ne debba preoccupare. In ultima analisi, anche dando per assunto che la protezione dai malware non è raggiungibile al 100%, si tratta di valutare l effettiva importanza dei dati che stiamo proteggendo, e di rendere sconvenienti gli sforzi necessari per aggirare le difese che li proteggono. La sicurezza inizia dal comportamento dell utente Partiamo da questo ultimo dato per sottolineare un aspetto che ancora non emerge dalle survey: nessuno garantirà mai una protezione dai malware al 100% se prima non si interviene in termini di formazione e consapevolezza sugli utilizzi accettabili, o impropri, della strumentazione aziendale. Il comportamento degli utenti è il reale fattore di rischio perché difficilmente controllabile. È così per i vendor? Il comportamento degli utenti è uno dei fattori di rischio da considerare nell adozione di metodi di protezione e messa in sicurezza della pro- Technical Manager David Gubiani Se l azienda si appropria dei dati pria infrastruttura commenta con Sistemi&Impresa Umberto Pirovano, Check Point Software Italia personali Parallelo al tema del comportamento responsabile Senior System Engineer di Fortinet. La diffusione di strumenti personali sempre più potenti e di facile e immediata adozione, un uso promiscuo degli stessi su reti pubbliche e private e una spesso scarsa consapevolezza del livello di rischio derivante da alcune azioni, sono tutti fattori che contribuiscono ad abbassare i livelli di sicurezza della propria rete qualora non siano adottati strumenti in grado di mantenere segregazione, visibilità e scansione del traffico, mantenendo un livello di protezione real time. Senz altro l educazione dei propri utenti nell uso di sistemi apparentemente semplici, ma dell utente Byod è quello della protezione del dato proprietà del dipendente da parte dell azienda. Come riuscire a coniugare la diretta responsabilità dell utente sui dati aziendali con la protezione dei dati personali? Un incidente di percorso secondo alcune policy permette alle aziende di appropriarsi dei dati dell utente distruggendoli. Come rispondono i vendor? Abbiamo rilevato differenti approcci a questo problema. Si tratta di aspetti delicati che devono essere trattati in modo chiaro e il più possibile esaustivo nelle policy 52 - Sistemi&Impresa N.9 - dicembre 2012

4 che regolano l utilizzo e l accesso alle risorse aziendali di questi dispositivi spiega Orlando Arena, Regional Sales Director Enterprise di SafeNet. Occorre tener presente che la possibilità di usare un dispositivo personale per lo svolgimento dell attività lavorativa sia normalmente vista come un benefit in ottica Byod e che quindi sia del tutto motivato che il dipendente, come contropartita, debba accettare di adeguarsi a policy che prescrivano comportamenti atti a salvaguardare la sicurezza delle informazioni aziendali e sia consapevole che l azienda possa utilizzare adeguati strumenti tecnologici per cautelarsi in tal senso, nel pieno rispetto della legislazione applicabile. Un opinione condivisa anche da Panda Security, secondo cui il fenomeno del Byod porta con sé numerosi rischi e problemi legati all utilizzo di dispositivi personali che contengono applicazioni, non solo ad uso aziendale, che potrebbero compromettere la sicurezza di una società. È necessario quindi stabilire delle rigide policy relative agli accessi di dispositivi mobili alla rete aziendale e di formare gli utenti sui comportamenti più adeguati da tenere nell utilizzo dei propri device per il business. Inoltre, sarebbe opportuno definire anche attività regolari di backup dei dati per evitare perdite o furti accidentali che potrebbero avvenire fuori dall ambiente lavorativo commenta Peruzzo. I perimetri della rete aziendale accolgono sempre più dispositivi mobili, piattaforme client e modalità di accesso. Quello del Byod non è certo un trend destinato a scomparire osserva Luca Collacciani, Sales Manager Italy di Akamai. Eppure, a oggi, molti CSO non sono ancora in grado di dedicare a questa tematica tempi e risorse adeguate: anche in questo caso un sistema di difesa basato sul cloud può venire in aiuto perchè in grado di portare Internet in una struttura di application delivery aziendale integrata e garantire così il livello di protezione necessaria. Byod: si può essere sicuri senza essere troppo restrittivi Ci sono anche buone notizie. Oggi la tecnologia in ambito security permette una separazione tra dati pubblici di proprietà dell azienda e dati privati. La capacità di isolare completamente l ambito aziendale da quello personale consente agli utenti di utilizzare per scopi aziendali i propri device, garantendo all azienda un livello di sicurezza adeguato. Luca Collacciani, Sales Manager Italy Akamai Per permettere questa totale separazione, Check Point ha sviluppato una soluzione che consente di utilizzare le applicazioni aziendali quali posta, calendario e rubrica in modo completamente sicuro e distinto da tutte le applicazioni private. In caso di incidente, l azienda potrà cancellare da remoto e in modo sicuro solamente ciò che è all interno della nostra applicazione, ovvero ciò che è aziendale spiega David Gubiani. In sintonia con questa filosofia della flessibilità in ambito sicurezza anche Fortinet che spiega come Byod significa consentire ai propri dipendenti, a contractors e guest, l utilizzo del proprio device sulla rete aziendale. Secondo il vendor statunitense occorre un approccio che non penalizzi la flessibilità derivante dall impiego di asset personali senza rinunciare per questo alla sicureza dei dati. Web filtering, spam filtering, data leak protection, application control uniti ad Antivirus in line e IPS diventano ancora più importanti quando i dati sono trasmessi da device di uso personale. Un approccio di controllo e visibilità sul traffico di rete è secondo noi molto più agile considerando la disomogeneità dei dispositivi (anche nell ambito dello stesso produttore e dello stesso sistema operativo), la volatilità dei modelli, e le logiche di acquisto consumer che non consentono un azione a livello di dispositivo come può avvenire nell ambito del procurement di asset aziendali dice Umberto Pirovano. Sono molti i meccanismi di difesa e controllo che FortiOS 5.0 mette in campo per realizzare un Byod sicuro. Come la Device identification, per scrivere policy di sicurezza secondo il device utilizzato, la Client Reputation, per la misura dei comportamenti in rete degli utenti e relativo scoring, il controllo del traffico in rete con web content filtering, antivirus/malware/botnet, il controllo degli accessi remoti. Nella catena della sicurezza aziendale gli utenti rappresentano al tempo stesso l anello più forte e il più debole. Una formazione appropriata è dunque fondamentale secondo Akamai: modificare un architettura di security obsoleta è un operazione necessaria che tuttavia, spesso, incontra resistenze all interno dell azienda spiega Luca Collacciani di Akamai. Tecniche di sicurezza tradizionali come lo scrubbing e il re-routing non sono più proponibili dice Collacciani : attualmente, i servizi cloud based rappresentano la risposta migliore alle minacce distribuite perché, oltre a consen- Sistemi&Impresa N.9 - dicembre

5 tire un esperienza utente ineccepibile, sono in grado di scalare in maniera dinamica, sopprimendo così attacchi che mutano di minuto in minuto. Per questa ragione secondo Akamai è bene educare gradualmente l elemento umano del proprio network a questo tipo di transizione: la regola numero uno è non avere paura di innovare. Qualcun altro, come Novell, parla del giusto compromesso da trovare tra azienda ed end user. La risposta sta nella teconolgia che scegliamo per implementare le politiche che riteniamo adeguate. Questa deve permettere di implementare il compromesso che aziende e utenti raggiungono per ottenere reciproco beneficio commenta Zemella. Secondo la proposizione di Novell la tecnologia dovrebbe permettere di eliminare solo i dati aziendali sensibili, senza necessariamente eliminare anche quelli privati dell utente. Questa è l essenza stessa del Byod. Inoltre, siamo sicuri che sia veramente l utente ad essere responsabile dei dati che si trovano sulla sua periferica mobile? Non sono un esperto di giurisprudenza, ma so che non vorrei trovarmi in tribunale a dover difendere questa tesi. La tecnologia deve evitare che questo accada. Meglio prevenire che curare? Come le soluzioni di chi fa della sicurezza IT il suo core business sono in linea con questo claim? È un vecchio adagio che raccoglie senz altro una perla di saggezza dicono da SafeNet. L approccio più consolidato alla sicurezza delle informazioni si ispira a esso, mettendo in atto tutta una serie di misure rivolte a proteggere il perimetro aziendale e a prevenire l acceso dei cattivi alle informazioni aziendali. Con il progressivo dissolvimento del perimetro (mobilità, servizi cloud) e la sempre crescente necessità di condivisione dei dati con l esterno dell azienda, occorre però rendersi conto del fatto che, prima o poi, qualcosa potrà verificarsi. Di conseguenza, è necessario non sottovalutare la necessità di mettere in atto anche meccanismi di sicurezza in grado di garantire che episodi di perdita o furto di dati importanti non abbiano conseguenze dannose. Il ricorso alla cifratura dei dati o a tecniche similari, unitamente a un controllo degli accessi basato sui ruoli, rappresenta per SafeNet, e per un sempre maggior numero di organismi di sicurezza e analisti di mercato, la risposta più efficace da questo punto di vista. Anche per Fortinet prevenire è senz altro meglio che curare ma, nell ambito della sicurezza informatica, è meglio non tralasciare la diagnosi precoce. Recentemente dicono dalla società abbiamo visto parecchi esempi di attacchi sofisticati che tendono a rimanere invisibili fino al raggiungimento degli obbiettivi finali. Allo stesso tempo le attività embrionali dei PC infettati da botnet devono essere identificate e bloccate alla loro insorgenza. Fortinet è in grado di identificare e bloccare attacchi dal livello di rete fino al livello delle applicazioni. Nella versione 5.0 del sistema operativo dei propri gateway di sicurezza, ha affiancato alla protezione a livello applicativo contro le Botnet esistenti, un nuovo motore Antivirus in grado di bloccare azioni Botnet e un motore di Client Reputation per la misurazione in tempo reale della liceità dei comportamenti degli utenti in rete. Quello della prevenzione si dimostra il comportamento più raccomandato da tutti i vendor della sicurezza informatica. Chi sul mercato è presente da più tempo, come Panda Secutity, ritiene che le proprie soluzioni sono state tra le prime a includere tecnologie preventive di rilevazione del malware. Si tratta di un tipo di tecnologia spiega Peruzzo, Amministratore unico di Panda Security Italia, che si è poi evoluta in quella che chiamiamo Intelligenza Collettiva, soluzione proprietaria in grado di individuare minacce latenti e sconosciute e garantire un livello di protezione elevato. È importante sottolineare secondo Peruzzo che un utilizzo corretto di Internet, dei social media e della posta elettronica può evitare attacchi da parte degli hacker e gravi danni alla reputazione e ai dati aziendali. Un altra soluzione particolarmente focalizzata sulla prevenzione degli attacchi informatici è targata Check Point. Vorrei citare la nostra Software Blade dedicata all Intrusion Prevention, che è stata considerata da NSS Labs una delle migliori sul mercato anche nel 2012 dichiara il Technical Manager della società israeliana. A volte prevenzione è sinonimo di alta latenza nelle performance. Non è così per Akamai, che ha dedicato l ultimo decennio a rendere Internet un luogo migliore, più veloce e sicuro, mettendo a punto una piattaforma intelligente e altamente distribuita, capace di promuovere l efficienza IT e favorire al contempo la crescita dei clienti. L Intelligent Platform di Akamai consente di ripartire, in modo rapido e flessibile, Umberto Pirovano Senior System Engineer Fortinet 54 - Sistemi&Impresa N.9 - dicembre 2012

6 funzionalità di difesa ben mirate ai margini di Internet, troncando dunque gli attacchi in prossimità della fonte, in modo altamente scalabile. Si tratta di un approccio totalmente innovativo in quanto supera il tradizionale compromesso che porta a sacrificare prestazioni e disponibilità a vantaggio di una maggiore sicurezza. C è chi ricorda che il tema della prevenzione appartiene a quel genere di vuoto culturale in materia di sicurezza molto diffuso nelle organizzazioni nostrane. Negli Stati Uniti è scontato considerare il possibile danno economico a fronte di un security incident spiega Christian Zemella di Novell. Per evitarlo vengono definiti i budget di spesa disponibili per la sicurezza informatica; in Italia questo modo di pensare riguarda, purtroppo, solo poche evolute realtà, o una minoranza di aziende che si trovano a proteggere dati molto sensibili. Quello che si dovrebbe capire è che si tratta di una strada senza ritorno, una volta che la nostra sicurezza è stata violata, non è garantito che i danni si possano riparare, e anche quando ci si riesce, tempi, sforzi e costi sono infinitamente superiori a quelli che avremmo impiegato per mettere in sicurezza i nostri sistemi; ancora una volta, è un problema di cultura. Per mettere al sicuro bisogna prima saper rassicurare Durante la tavola rotonda organizzata da Sistemi&Impresa lo scorso 19 settembre dedicata al Byod la richiesta da parte di una grande azienda ai vendor è stata quella di essere più rassicuranti e più chiari sul tema sicurezza. I vendor come rispondono? Da sempre obiettivo di Panda Security è acquisire maggiore fiducia da parte dei nostri clienti e ciò è possibile soltanto garantendo la massima trasparenza e onestà sulle nostre soluzioni, sulle capacità di protezione offerte e sui nostri servizi dichiara Peruzzo. Nonostante il massimo impegno e la trasparenza da parte del vendor si consiglia di non sottovalutare le minacce, anche le meno dannose. È fondamentale per questo analizzare e mettere in luce tutti i rischi ai quali un azienda e i suoi utenti possono incorrere, soprattutto per riuscire a sviluppare un progetto ad hoc con le soluzioni più adeguate per rispondere alle singole esigenze. Sulla stessa linea troviamo Check Point. Essere rassicuranti significa dimostrare ai clienti la competenza Christian Zemella Systems Engineer Novell dell azienda sul tema delle minacce informatiche e su come siano in grado di influire sui processi di business. La chiarezza è alla base di ogni nostra comunicazione fanno sapere, fermo restando che essere chiari significa anche avere ben presenti, e non minimizzare, le possibili conseguenze di un attacco andato a buon fine. Quella della chiarezza è una richiesta del tutto lecita da parte delle aziende utenti secondo Novell. Le tecnologie esistono e sono pronte. È ora che chi le fornisce dichiari senza remore che la sicurezza informatica non è una irraggiungibile chimera. Allo stesso tempo però, ci vuole chiarezza da entrambe le parti. Un equazione dove il fattore umano è una variabile fondamentale. Le aziende devono essere disposte a seguire i loro partner tecnologici anche quando si tratta di fare lo sforzo per cambiare, almeno in parte, la cultura aziendale e le abitudini dei loro utenti; nella maggior parte dei casi, la tecnologia da sola non basta, anche se aiuta molto. L arma dell innovazione tecnologia segna la strada anche per SafeNet. La sicurezza deve necessariamente giocare il ruolo di fattore abilitante per il business e, in quanto tale, indicare la strada attraverso la quale l innovazione tecnologica può dispiegare al meglio i propri benefici, contribuendo a un sano sviluppo dell azienda dichiara Orlando Arena. Evidenziare rischi, senza indicare in modo chiaro quali tra essi vadano affrontati e gestiti in modo prioritario, con tempi compatibili con le esigenze del business, è l atteggiamento più miope che i professionisti della sicurezza possano tenere. Attenuare i rischi operativi e proteggere l infrastruttura aziendale all interno di un panorama di minacce impegnativo come quello odierno, non è impossibile: la strada da perseguire è quella dell innovazione sostiene Luca Collacciani di Akamai. Protezioni altamente distribuite basate sul cloud sono diventate un requisito necessario all interno di una qualsiasi architettura di difesa, per il semplice fatto che consentono di superare le sfide poste dalla natura distribuita di Internet. Offrono scalabilità, flessibilità e prestazioni on demand, oltre alla capacità di mitigare gli attacchi lontano dall origine, prima cioè che abbiano la possibilità di raggiungere l infrastruttura core dell azienda. Una difesa collocata sui margini è l unica in grado di adattarsi al punto tale da assorbire e deviare gli attacchi su vasta scala. Sistemi&Impresa N.9 - dicembre