Iniziativa : "Sessione di Studio" a Torino

Transcript

1 Iniziativa : "Sessione di Studio" a Torino Gentili Associati, Il Consiglio Direttivo è lieto di informarvi che, proseguendo nell attuazione delle iniziative promosse dall' volte al processo di miglioramento, di formazione e informazione dei propri associati, ha organizzato un incontro che vedrà l'intervento dei seguenti relatori Davide Casale (Shorr Kan IT Engineering) Roberto Obialero Fabio Nervegna (Value Process) OWASP Top 10 Mobile Risks Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo L analisi del rischio informatico: un approccio integrato L'incontro avrà luogo a: Torino, 26 febbraio 2015 Presso Collegio Universitario Renato Einaudi Sezione Crocetta Corso Lione Torino come da agenda allegata. La sessione, come sempre, è gratuita per gli associati; la partecipazione è estensibile, inoltre, ai non Soci, che intendano associarsi ad AIEA per l anno 2015 (vedi scheda d iscrizione). Per aderire all iniziativa è richiesta la compilazione dell allegata scheda di iscrizione che dovrà pervenire alla Segreteria dell AIEA, entro e non oltre il 24 febbraio p.v. Ricordiamo che la partecipazione all evento corrisponde sino a 4 ore di credito nell ambito del CISA/CISM/CGEIT/CRISC Continuing Education (CPE). Vi Aspettiamo! Il Presidente (S. Niccolini) Milano, febbraio 2015

2 Abstract delle relazioni Davide Casale, Shorr Kan IT Engineering OWASP Top 10 Mobile Risks Si analizzeranno i 10 principali rischi 2014 delle piattaforme Mobile secondo OWASP e la loro evoluzione. Si proporranno le aree di rischio più che le singole vulnerabilità specifiche con un approccio agnostico rispetto alla piattaforma Mobile; il tutto pesato secondo la Risk Rating Methodology di OWASP. La top 10 prenderà in considerazione i seguenti rischi : M1: Weak Server Side Controls M2: Insecure Data Storage M3: Insufficient Transport Layer Protection M4: Unintended Data Leakage M5: Poor Authorization and Authentication M6: Broken Cryptography M7: Client Side Injection M8: Security Decisions Via Untrusted Inputs M9: Improper Session Handling M10: Lack of Binary Protections Roberto Obialero Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo La gestione delle vulnerabilità applicative ha assunto un importanza sempre più rilevante: oltre il 60% delle circa 6000 vulnerabilità di sicurezza censite ogni anno è da ricondursi alle applicazioni software. In genere le università che formano gli sviluppatori software non prevedono corsi sulla sicurezza che consentirebbero ai programmatori di essere consapevoli dei rischi indotti dalla mancata valutazione dei principi di sicurezza nel design e soprattutto potrebbero insegnare le tecniche da attuare in un processo SSDLC. Nell ultimo decennio la Community internazionale OWASP ed il SANS Institute americano hanno svolto un ottimo lavoro di sensibilizzazione al tema attraverso la pubblicazione periodica delle TOP 10 Software Vulnerabilities e della TOP 25 Common Weakness Exposures, la redazione della documentazione sulle linee guida di Secure Coding e Testing, oltre alla creazione dei relativi percorsi formativi e di certificazione. Queste tematiche sono state riprese dalla Regione Emilia Romagna che, attraverso l unità organizzativa che gestisce la sicurezza dei sistemi informativi, ha provveduto ad adottare e pubblicare un disciplinare sulla gestione della sicurezza delle applicazioni software, contenente i requisiti cui devono adeguarsi i prodotti sviluppati sia all interno che all esterno dell Ente. Da circa 5 anni è attivo un processo continuo di verifica puntuale di tali requisiti affidato ad una terza parte: al termine dell intervento sarà presentato uno studio contenente alcuni dati statistici relativi all incidenza delle più importanti vulnerabilità applicative. Fabio Nervegna (Value Process) L analisi del rischio informatico: un approccio integrato L analisi del rischio informatico, e più in generale di quello operativo, è spesso realizzata in modalità prevalentemente manuale e talvolta non sufficientemente rigorosa in termini metodologici, anche in realtà aziendali ben strutturate. Ciò limita molto l integrazione da e verso i sistemi informativi, obbligando quindi a consistenti imputazioni manuali dei dati (con tutti i rischi di errore che ciò comporta), e riduce le opportunità di realizzare reportistica, specie quella direzionale. E tuttavia possibile ed opportuno intervenire in modo integrato per migliorare la gestione del rischio: riesaminare criticamente l approccio metodologico, automatizzandone e velocizzandone poi l esecuzione tramite soluzioni software ben interfacciate con i sistemi aziendali.

3 Relatori Davide Casale Laureato in Ingegneria delle Telecomunicazioni al Politecnico di Torino. Senior Security Engineer esperto di Security Probing e Vulnerability Assessment, di direzione di lavori su infrastrutture perimetrali di sicurezza e sistemi di intrusion detection prima per conto di Intesis Spa e quindi dal 2000 attraverso la propria società, Shorr Kan IT Engineering, di cui è tra i soci fondatori. Docente del corso di Reti di Calcolatori, per il Politecnico di Torino, Ingegneria delle Telecomunicazioni. Roberto Obialero Esperto di sicurezza informatica, gestisce il Centro di Competenza IT Security nel Gruppo Finmatica, che opera nei mercati della Pubblica Amministrazione e della Sanità attraverso i marchi ADS e Data Processing. Recentemente ha intrapreso la carriera di freelance avviando ulteriori collaborazioni con importanti società di consulenza nel settore del mercato privato. Può vantare un esperienza trentennale nel campo ICT in ruoli principalmente tecnici e di sviluppo business svolta in qualità di dipendente di compagnie nazionali ed internazionali di diverse dimensioni. Da circa 15 anni opera nel campo della sicurezza informatica occupandosi di progettazione di reti sicure, protezione di infrastrutture critiche, vulnerability assessment, gestione di incidenti e computer forensics. Laureato in Ingegneria delle Telecomunicazioni è in possesso delle certificazioni indipendenti GPPA e GCFA sulla sicurezza ottenute attraverso il programma SANS-GIAC americano; collabora attivamente in alcuni progetti di ricerca con le seguenti community di settore: Clusit, Oracle Community for Security, Capitolo italiano del Cloud Security Alliance, ed AIIC Associazione Italiana esperti in Infrastrutture Critiche. Fabio Nervegna 46 anni, Laurea in Ingegneria Elettronica al Politecnico di Milano, Master MBA presso il MIP, certificato CISA. Ha maturato un esperienza di circa 20 anni come project manager, consulente informatico, consulente di organizzazione ed auditor IT: realizzazione di policy e procedure organizzative, stesura di piani di Business Continuity, gestione di progetti informatici, IT Audit sono tra le sue principali attività di consulenza. I clienti sono imprese medio-grandi, industriali e di servizi. I settori attualmente prediletti sono il bancario e le telecomunicazioni. In passato ha operato diffusamente anche presso diversi Enti Locali (Regioni, Comuni). Attualmente opera come Senior Manager in Value Process, società milanese di Management Consulting.

4 PROGRAMMA 8.30 Registrazione dei partecipanti presso la sede del Collegio Universitario di Torino in corso Lione Apertura dei lavori e saluto: Daniela Cellino (Vicepresidente AIEA) 9.30 Davide Casale (Shorr Kan IT Engineering) OWASP Top 10 Mobile Risks Roberto Obialero Applicazioni software e gestione delle vulnerabilità: un caso concreto di successo Coffee Break Fabio Nervegna (Value Process) L analisi del rischio informatico: un approccio integrato Dibattito con i relatori Termine dei lavori

5 Mappa

6 Come arrivarci (1) Come arrivarci (2)

7 Come arrivarci (3) Dalla stazione di Torino Porta Susa, uscita lato Corso Inghilterra, circa 15 minuti a piedi.