Data Security Analytics «Tutto il merito è di quei quattro italiani»

Transcript

1 <Insert Picture Here> Data Security Analytics «Tutto il merito è di quei quattro italiani» Gaetano Ascenzi ALFA GROUP Chief Technology Officer Paolo Capozucca SEC Consulting the Security Division of ALFA GROUP C.E.O

2 OBIETTIVO DEL SEMINARIO Data Security Analytics si sta imponendo come elemento organizzativo per ottimizzare e rendere efficace la raccolta e l analisi dei dati legati alla sicurezza. L intervento vuole generare un punto di vista dello stato dell arte evidenziando modalità di approccio, Progettazione, tecnologie disponibili e parallelismi con altri ambiti di analisi. 2

3 INDICE Definizione di Data Security Analytics Scenario di riferimento Progetto Conclusioni 3

4 DEFINIZIONE DI DATA SECURITY ANALYTICS SPIEGAZIONE INDIPENDENTE DI DATA SECURITY ANALYTICS Non esiste una definizione indipendente. Curiosamente l allocuzione, nonostante sia di uso comune, non ha indotto l introduzione di una definizione in Wikipedia. Ampliando la ricerca ad ambiti specializzati come il MIT di Boston, anche in questo caso non è stato possibile trovare elementi di convergenza. Perché? Non è che siamo di fronte alla solita situazione degli informatici: «io non lo so ma ho ragione perché i fatti mi cosano». (citazione dell assessore Palmiro Cangini interpretato da Paolo Cevoli) 4

5 DEFINIZIONE DI DATA SECURITY ANALYTICS Monitor Database Activity, Block Threats, and Audit Efficiently Across the Enterprise monitors Oracle and non-oracle database traffic to detect and block threats, as well as improves compliance reporting by consolidating audit data from databases, operating systems, directories, and other sources SOLO I VENDOR HANNO DEFINITO I principali vendor mondiali si stanno dedicando alla Data Security Analytics attraverso precise scelte progettuali: 5

6 LO SCENARIO Lo scenario socio-economico 6

7 LO SCENARIO il contesto socio economico LE SCELTE CHE HANNO INFLUENZATO LA DSA A partire dall introduzione su scala globale della posta elettronica si è assistito all incremento delle fonti dati, dei database e delle connessioni tra individui. Tutto questo è stato amplificato con i fenomeni di Twitter, Facebook. Il Cloud è da identificare come un punto di passaggio che tende a razionalizzare le risorse per poter gestire al meglio i «big Data». Ora siamo ad un nuovo passaggio che, per caratteristiche tecniche e quantità di denaro disponibile, si annuncia come il più grande intervento nel mondo ICT mai realizzato: E il progetto Smart Cities. 7

8 LO SCENARIO il contesto socio economico LO SCENARIO INDOTTO DALLE SMART CITY SMART CITY è l unica reale linea di progetto europea (FSE ) in grado di incidere sul mondo dell ICT in considerazione di una dotazione economica senza precedenti (11 miliardi di euro in 7 anni). Con il cambiamento epocale a cui siamo e saremo sottoposti, nessuno avrà una capacità di investimento i tale da definire priorità di sviluppo capaci di entrare in concorrenza con Smart City. Quale impatto si genera sul Data Security Analytics. Siamo tutti interconnessi Siamo tutti generatori/ricevitori di dati Siamo tutti accessibili direttamente dagli utenti sono tutti dotati di database localizzati. 8

9 LO SCENARIO la situazione dei database Data Diversity Data Volume Traditiona l Tools Desired Time to Answer IL PUNTO DI VISTA DELLE APPLICAZIONI i dati cresceranno in maniera esponenziale Tra il 2009 and 2020 i dati digitali cresceranno ad un CAGR del 45% IDC 2010 Storage Market View I dati non strutturati pesano più del 90% nell universo digitale IDC 2011 Digital Universe Study: Extracting Value from Chaos 9

10 LO SCENARIO CONCLUSIONI La Data Security Analytics rappresenta la necessaria evoluzione di sistemi che non sono nati per analizzare ma per collezionare dati. Probabilmente, per l esplosione di quantità di dati e di tipologie di device alcuni concetti architetturali delle applicazioni come: Generazione dei Log, mission critical, reazione real time, dovranno essere riscritti e adeguati allo scenario. Il silos dei dati è insostituibile ma dovranno essere sviluppate tecniche di analisi in grado di combinare i grandi contenitori con i piccoli agglomerati diffusi geograficamente. C è chi ipotizza grandi elaborazioni batch centralizzate affiancate a sistemi di filtro direttamente installati sulle periferiche. 10

11 IL PROGETTO Le tecnologie disponibili Un esempio di flusso operativo di progetto Metodi di valutazione di un progetto di DSA Quali sono le obiezioni abituali? 11

12 SIEM IL PROGETTO la tecnologia DATA SECURITY ANALYTICS E UN MODELLO DI INTEGRAZIONE DEI DATI Protezioni Applicazioni DAM Dati Sistemi Data Security Analytics Un sistema informativo è composto di: Sistemi, Dati, Applicazioni, Protezioni. Un sistema di Data Security Analytics è un ambiente che avvolge e protegge il sistema informativo frapponendo tutta una serie di protezioni ed aggregando tutti i dati e le informazioni di controllo. 12

13 IL PROGETTO la tecnologia DATA SECURITY ANALYTICS I sistemi di DATA SECURITY ANALTYCS raccolgono le varie fonti dati generando contenitori di dati omogenei a disposizione di Auditor e Security Manager per l analisi della situazione e la redazione di policy e procedure per il miglioramento del sistema 13

14 IL PROGETTO Un Esempio Il WORKFLOW DI UN PROGETTO DSA È necessariamente un progetto ciclico che può essere schematizzato utilizzando il modello di Deming (Ciclo PDCA) 14

15 IL PROGETTO Metodi di valutazione «Lavoro di valutazione dei vantaggi potenziali di un investimento in sicurezza, in particolare in sicurezza delle informazioni» MATRICE DI VALUTAZIONE DI UN DSA R.O.S.I. Return On Security Investments 15

16 IL PROGETTO metodi di valutazione Indicatori: KDCI = Key Direct Cost Indicator KICI = Key Incident Cost Indicator KMRI = Key Measurable Return indicator KQRI = Key Qualitative Return Indicator MATRICE DI VALUTAZIONE DI UN DSA Approccio per il calcolo degli indicatori 16

17 IL PROGETTO metodi di valutazione KDCI_1 Acquisto della soluzione (ammortizzato in più anni) KDCI_2 Implementazione della soluzione KDCI_3 Manutenzione della soluzione KDCI_4 Costo annuale per la gestione KDCI_5 Acquisto della piattaforma (ammortizzato in più anni) KDCI_6 Costo della formazione annuale (costo medio della formazione X numero di utenti) KDCI_7 Spese di consulenza annuali KDCI_8 Spese generali annuali MATRICE DI VALUTAZIONE DI UN DSA Analisi dei Costi diretti per la misura di sicurezza 17

18 IL PROGETTO metodi di valutazione La valutazione dei costi relativi agli incidenti solitamente si basa su analisi storiche, interne o esterne, che purtroppo non sono sempre di facile reperimento (vedi ROSI). MATRICE DI VALUTAZIONE DI UN DSA KICI_1impatti sul business: diminuzione delle vendite, diminuzione della soddisfazione dei clienti, perdita di reputazione/immagine; KICI_1 tempo richiesto per la gestione dell incidente; KICI_1 spese per consulenze esterne; KICI_1 costi di ripristino dei sistemi. Analisi dei costi legati agli incidenti 18

19 IL PROGETTO metodi di valutazione KMRI_1 incremento dei profitti e/o del fatturato; KMRI_2 aumento della produttività; KMRI_3 riduzione dei costi associati ad incidenti ed attività di rimedio; KMRI_4 riduzione delle perdite finanziarie dovute a multe o penali; KMRI_5 riduzione dei costi operativi diminuzione del personale, riduzione dei costi hardware e software, riduzione dei costi di licenza e di affitto, riduzione dei costi di manutenzione); KMRI_6 aumento delle prestazioni relative a processi IT e di business (sulla base di Key Performance Indicators); KMRI_7 aumento dell innovazione tecnologica. MATRICE DI VALUTAZIONE DI UN DSA Analisi dei Ritorni quantificabili 19

20 IL PROGETTO metodi di valutazione Indicatori che si classificano come «Intangible» KQRI_1 protezione e/o aumento della reputazione dell organizzazione; KQRI_2 miglioramento del clima aziendale nonché del morale dei propri dipendenti; KQRI_3 riconoscimento del ruolo di leader del settore; KQRI_4 conformità a normative, leggi o regolamenti; KQRI_5 maggiore soddisfazione da parte del cliente finale; KQRI_6 acquisizione di specifiche competenze su tematiche innovative. Gli intangibili, se quantificati in maniera adeguata, sono elementi indicatori che entrano sempre più spesso nelle valutazioni del patrimonio aziendale. Pertanto in fase di Merge/acquisition, audit bancaria, sono elementi che ormai rientrano tra gli elementi che creano o sottraggono valore. MATRICE DI VALUTAZIONE DI UN DSA Analisi dei Ritorni non quantificabili 20

21 CONCLUSIONI Return On Security Investments UN DSA GENERA RISPARMI ECONOMICI? KDCI_1+ +KDCI_n+KICI_1+ +KICI_n ROSI =. KMRI_1+ +KMRI_n+KQRI_1+ +KQRI_n ROSI > 1 Vantaggio per l azienda 21

22 CONCLUSIONI Per la Tecnologia: I DB sono sicuri? Accesso costante da diverse applicazioni ed utenti Impossibile da bloccare senza impattare sulla sua accessibilità. Vulnerabile (SQL injection, buffer overflow) Per I Processi Patches (ex. Oracle CPU) non applicate in modo tempestivo Implementazione delle procedure (def./shared pass.wd, etc.) Per il Personale La minaccia dall'interno I vostri DBA, Sys Admin, programmatori. LE OBIEZIONI «Ho il mio DB ed un intera batteria di firewall che mi proteggono» 22

23 CONCLUSIONI LE OBIEZIONI Forse questa è la situazione oggi, ma non può essere il caso per il futuro Gli Auditors sono molto più restrittivi oggi La sicurezza dei DB sta diventando indispensabile per gli auditors Le aziende possono programmare l utilizzo della soluzione DAM in anticipo, rispetto ad adottarla in un periodo molto breve come richiesto dagli auditors «Posso sostenere la mia compliance senza adottare questo strumento di controllo» 23

24 CONCLUSIONI LE OBIEZIONI Dopo aver fallito l audit lo sarà! Le statistiche di VZB dimostrano che le violazioni dei DB aumentano (>80% dei record violati) Si può pensare di partire con pochi DB critici contenenti dati sensibili e poi allargarsi a tutti i dati «La sicurezza dei DB non è una priorità per noi» 24

25 CONCLUSIONI LE OBIEZIONI Non è corretto 80% del valore non richiede attività di amministrazione Esistono Compliance wizard Limitazione dei falsi positivi La maggior parte degli alert sono di alto interesse per l azienda e riflettono problemi reali nei DB e nelle applicazioni che vi accedono «Questo tipo di strumenti richiede molto lavoro di amministrazione del sistema» 25

26 CONCLUSIONI Il DSA è il miglior strumento di audit al mondo Fornisce una copertura completa di tutte le transazioni rilevanti (Tutte le TRX attraverso XX tabelle, tutti i XX comandi attraverso l intero DB, tutte le TRX attraverso l intero DB) Ha un minimo impatto sulle performance del DB È controllato dai gestori della security (Separation of Duties) È una soluzione unica per coprire il traffico locale e all interno del DB (ad esempio stored procedures, triggers, views, etc ) LE OBIEZIONI «Ho capito che questo è uno strumento di sicurezza, noi abbiamo solo bisogno di un tool di auditing» 26

27 CONCLUSIONI LE OBIEZIONI Questi strumenti sono importanti, ma non permettono di raggiungere i requisiti di compliance richiesti per i DB: Percorso di audit completo per le informazioni sensibili Separation of Duties Patching di sicurezza accurato e disponibile immediatamente Ho già investito in IPS e strumenti generici di VA Non posso giustificare ulteriori investimenti 27

28 CONCLUSIONI Chi può adottare un sistema di Data Security Analytics? Chi deve adottare un sistema di Data Security Analytics? Ci sono indicatori che evidenziano la necessità di un sistema di Data Security Analytics? Genera risparmi economici? 28

29 CONCLUSIONI È NECESSARIO ADOTTARE UN SISTEMA DSA? La risposta può essere una sola: «se ho dati rilevanti per la mia azienda devo adottare un DSA!» 29

30 CONCLUSIONI CHI PUO ADOTTARE UN SISTEMA DI DATA SECURITY ANALYTICS? Encrypte d Stored Traffic Procedures Zero- Day Hacks Qualunque azienda abbia: dati rilevanti almeno un minimo di strutturazione dell attività in processi controllati necessità di comunicazione interna ed esterna 30

31 CONCLUSIONI Criticità dei dati aziendali Esigenze di Compliance e Certificazione Immagine Presenza di dati sensibili Presenza di transazioni economiche Innalzamento di tutto il livello di sicurezza Miglioramenti sui processi elaborativi Migliore analisi dei processi decisionali Ottimizzazione dell organizzazione CI SONO INDICATORI CHE EVIDENZIANO LA NECESSITA DI UN DSA? Sicurezza Obblighi Ottimizzazione 31

32 CONCLUSIONI L aderenza alle leggi sulla sicurezza dei dati è obbligatoria Molte normative, inclusa la PCI DSS per le transazioni delle carte di credito, la Sarbanes Oxley per le aziende quotate in borsa, la HIPPA nel settore medico e farmaceutico e molte altre richiedono policy di revisione e di prevenzione delle violazioni sulle basi dati delle aziende. Le leggi che richiedono notifica sulle violazioni dei dati sono in ruolo negli Stati Uniti e nella UE e possono rappresentare sanzioni significative in caso di furto e violazione delle informazioni sensibili, in aggiunta al danno subito dalla stessa impresa frodata. CHI DEVE ADOTTARE UN DSA? Qualunque azienda abbia a cuore il suo business e la propria sopravvivenza Tutte le aziende che hanno strategie di business vincenti hanno attualmente un approccio al mercato dinamico, capace di cogliere il minimo segnale. Il modello di DSA deve muoversi alla stessa velocità. 32

33 CONCLUSIONI 33

34 CONCLUSIONI ANALISI DEGLI OBBLIGHI NORMATIVI E DI COMPLIANCE Sarbanes-Oxley Health Insurance Portability and Accountability Act (HIPAA) Basel II EU Directive on Privacy and Electronic Communications Payment Card Industry Data Security Standard (PCI DSS) Provvedimento del Garante della Privacy sugli Amministratori di sistema Provvedimento del Garante della Privacy sulla Tracciabilità delle operazioni bancarie Dlgs. 196/2003 ISO SAS 70 34