Sicurezza ICT e continuità del Business. Igea Marina Rimini - 5 luglio 2013

Transcript

1 Sicurezza ICT e continuità del Business Igea Marina Rimini - 5 luglio 2013

2 Indice L approccio alla Sicurezza ICT La rilevazione della situazione L analisi del rischio Cenni agli Standard di riferimento Considerazioni pragmatiche finali

3 L approccio alla Sicurezza ICT

4 La pervasività ICT rende la sicurezza un elemento chiave per garantire la continuità operativa

5 Le due facce del problema Sistemi Informativi Equilibrismo tra budget e obiettivi - Aggiornamento competenze discontinuo - Insufficiente relazione con l alta Direzione - Difficoltà nel valutare i costi non sicurezza - Direzione Aziendale - Si aspetta un ICT sicuro per il Business - Spesso inconsapevole dei rischi effettivi - Percepisce solo i costi dell investimento - Totale delega delle scelte tecniche a CIO

6 Sicurezza ICT e budget Progressiva continua riduzione del Budget ICT Progetti e investimenti in ottica Business Avere visione medio/lungo termine Attuare interventi bilanciati Prestare attenzione verso gli aspetti organizzativi

7 La rilevazione della situazione

8 La sicurezza globale ICT Sicurezza Fisica Protezione hardware e strutture Protezione rete delle comunicazioni Sicurezza Logica Protezione software e dati Aspetti Organizzativi Procedure e normative Ruoli e responsabilità

9 Business Impact Analysis Tecnica per l identificazione degli asset critici di un determinato processo di business aziendale. Per i sistemi IT gli elementi significativi sono: Identificazione delle applicazioni business critical e della infrastruttura tecnologica (Data Center, Linee TLC, server, storage, ) sulla quale sono installate e rese disponibili Identificazione delle vulnerabilità degli ambienti tecnologici e analisi per le aree a maggior rischio dei Sigle Point Of Failure (SPOF) e dei corrispondenti tempi di recupero

10 Micro Vulnerabilità Power & Cooling nei Computer Room e DataCenter Carichi corretti Tempi di alimentazione Estrazione calore Controllo efficienza gruppo batterie Monitoraggio Vendor SLA Service di supporto hardware Response Time Resolution Time 9x5 24x7 NBD 24h 48h Sostituzione Riparazione On-Site / Off-Site Centro Esterno Disponibilità Parti Ricambio Ripristino Sistemistico OS Ripristino Configurazioni Apparati

11 La situazione infrastrutturale As-Is

12 L analisi del rischio

13 Risk Assessment Risk Assessment non considera soltanto le vulnerabilità esistenti ma anche le minacce che gravano sui processi critici e le conseguenze che ne potrebbero derivare I metodi comunemente utilizzati sono due: Metodo quantitativo Analizza la probabilità che un evento si verifichi e la perdita economica che l evento produrrebbe. Si ottiene il Costo Stimato Annuale che è la media delle totali perdite potenziali per la probabilità che si verifichino Metodo qualitativo Valuta le minacce, la vulnerabilità, i controlli deterrenti, preventivi, detettivi, correttivi. Definiti degli scenari si eseguono test confrontando risultati con i requisiti attesi e quindi si attuano policy di salvaguardia mediate tra rischio misurato e rischio accettabile

14 I Danni Quale danno al Business Aziendale può derivare dall indisponibilità prolungata delle Applicazioni e/o dalla perdita dei Dati Aziendali? Stop operativo ai processi aziendali Impatti economici negativi Perdita di clienti Perdita di reputazione Incremento spese legali

15 La Reputazione avere reputazione equivale ad affermare che i soggetti influenti hanno fiducia nel prodotto/servizio, nel marchio aziendale e nel modo in cui vengono gestiti i rapporti nei loro confronti

16 Cenni agli Standard di riferimento

17 Standard BS7799/ISO17799/ISO27002 BS7799 e ISO17799 sono lo Standard per le politiche e le procedure di Sicurezza delle informazioni inizialmente conosciuto come standard inglese BS7799 pubblicato dal British Standards Institution (1995) successivamente adottato dal comitato tecnico internazionale ISO IEC diventando ISO17799 (Information Technology Code of practice for information security management) rivisto ulteriormente è diventato ISO27002 (Luglio 2007)

18 Standard BS7799/ISO17799/ISO27002 Lo standard fa esplicito riferimento alla Business Continuity: " To counteract interruptions to business activities and to protect critical business processes from the effects of major failures or disaster " A differenza di altri standard più tecnologici, l approccio è di tipo organizzativo e si rivolge ai livelli più alti della organizzazione, a coloro, cioè, che sono in grado di prendere le decisioni Lo standard fornisce linee guida all organizzazione verso una profonda conoscenza dei propri processi, flussi informativi e sistemi a supporto del business

19 Nist Da un punto di vista più tecnologico, il NIST (National Institute of Standards and Technology - USA) ha redatto delle raccomandazioni che forniscono indicazioni e strategie relativamente ai seguenti tipi di sistemi: Desktop e Notebook Server Siti WEB LAN/WAN Sistemi Distribuiti Mainframe

20 Nist Il documento del NIST (Contingency Planning Guide for Information Technology Systems) fornisce le linee guida per la predisposizione del Piano di Emergenza per i sistemi informativi e si riferisce alle misure da applicare durante il verificarsi di una emergenza per ripristinare al più presto le funzionalità più rilevanti dei sistemi informativi indicando i seguenti passi principali: Realizzazione della Business Impact Analysis Identificazione dei controlli preventivi Sviluppo delle strategie di recupero Progettazione, testing ed esercizio Manutenzione e aggiornamento del piano

21 Itil Molte organizzazioni, per la gestione dei servizi di Information Technology, hanno adottato la metodologia ITIL (Information Technology Infrastructure Library) Creato dalla Central Computer and Telecommunication Agency inglese (CCTA) e mantenuto dall Office of Government Commerce Non è uno standard, è una raccolta di best practices per la gestione dei servizi IT

22 Itil In relazione alla Business Continuity, le sezioni di ITIL di maggior interesse sono: SERVIZI SUPPORTO EROGAZIONE Gestione Incidenti Gestione Problemi Continuità di Erogazione

23 Proteggere il Business Applicare la metodologia della Business Continuity aiuta le aziende nel proteggere il loro business e nell ottenere la compliance con le leggi internazionali e le normative, riducendo i rischi e migliorando il rapporto prestazioni/costi

24 BC Processo Continuo Non è un intervento una tantum ma un processo Operativo e Gestionale continuo Non è un lusso ma una necessità per l Azienda

25 Considerazioni pragmatiche finali

26 La sicurezza assoluta non esiste La sicurezza deve essere calata nello specifico contesto dell Organizzazione: i suoi processi, i suoi sistemi, la sua organizzazione, la sua cultura Il peggior nemico è la falsa sicurezza Non solo bisogna fare, ma anche documentare quello che si è fatto Qualunque siano le soluzioni e le modalità di intervento prescelte, è il top management che deve dare un forte commitment ed essere lo sponsor autorevole del progetto Prevenire 3, misurando sistematicamente La Legge di Murphy è vera, prima o poi, qualche guaio arriva: è necessario farsi trovare preparati La sicurezza ICT è come una catena: tanto sicura quanto sicuro deve essere il suo anello più debole

27 Affidatevi a un partner, non solo fornitore! Grazie