L offerta IT Security & Infrastructures Gruppo Finmatica a process enabling IT company

Transcript

1 L offerta IT Security & Infrastructures Gruppo Finmatica a process enabling IT company

2 L offerta IT Security & Infrastructures

3 Alcuni progetti significativi Siamo presenti sul mercato dell informatica dal Il nostro team di sistemisti qualifi cati supporta effi cacemente le Aziende e gli Enti Pubblici nella progettazione e realizzazione di soluzioni IT innovative riducendo i costi e complessità delle architetture e migliorando i livelli di effi cienza. Progettiamo e realizziamo soluzioni d avanguardia per semplifi care i processi e far condividere le informazioni. Regione Emilia-Romagna Servizio Sistema Informativo Informatico Regionale Affi damento pluriennale servizi di sicurezza Il contesto è costituito da un sistema informativo complesso in ambiente eterogeneo composto da 400 server, 700 apparati di rete, centinaia di applicazioni, 5000 utenti interni con distribuzione dei servizi sull intero territorio regionale. L obiettivo dell attività è stata la valutazione del livello intrinseco di sicurezza del sistema, l eliminazione delle vulnerabilità e la diffusione cultura della sicurezza nei confronti dei gestori del SIIR e degli utenti fi nali. L approccio è consistito nell esecuzione di un primo assessment di carattere generale, nella defi nizione di una Security Policy e delle procedure di gestione e di test della sicurezza. In seguito si è provveduto all esecuzione di test periodici (Security Scan), alla verifi ca della sicurezza di tutte le applicazioni software prima del rilascio. In parallello son stati integrati nuovi componenti nell architettura di sicurezza e alle verifi che a campione sugli utenti in merito alla consapevolezza delle procedure di sicurezza ed alla confi gurazioni dei loro strumenti di lavoro informatici. Il progetto ha conseguito i seguenti benefi ci: un miglioramento generale del livello di sicurezza, la consapevolezza dei rischi, la formalizzazione di checklist per l installazione di server ed apparati di rete, la riduzione dei costi del patching applicativo, la diffusione della cultura di sicurezza presso gli utenti fi nali e l estensione delle politiche di sicurezza regionali a fornitori e partner. Sistema di monitoraggio integrato In Regione erano presenti diversi sistemi di monitoraggio indipendenti limitati alle varie architetture (IBM, HP, MOM, MRTG, Hobbit). Gli obiettivi dell attività sono stati la migrazione ad un unico sistema integrato di facile mantenimento, l utilizzo di applicazioni Open Source, l accesso degli utenti condizionato all appartenenza al gruppo di gestione, il porting degli script per il monitoraggio applicativo e l integrazione del calcolo SLA sui servizi erogati in regime di hosting. L approccio è consistito nell analisi dell esistente, nell integrazione a livello di infrastruttura (hardware, server, rete) ed a livello applicativo (Web, App, DBMS); sono poi stati erogati alcuni corsi di formazione al personale ed è stato attivato un servizio di supporto. Il progetto ha conseguito i seguenti benefi ci: l avvicendamento dei precedenti sistemi di monitoraggio con unica applicazione, la razionalizzazione dei gruppi di utenze e delle viste associate, l introduzione del metodo per il calcolo automatico dello SLA sui servizi erogati, la formazione del personale tecnico per l implementazione massiva del controllo dei sistemi e l azzeramento dei costi di licensing. 3

4 Regione Calabria Nuovo Sistema Informativo Amministrativo Regionale Sistema di monitoraggio integrato Il contesto è costituito da un sistema informativo complesso in ambiente eterogeneo composto da circa 50 server e 50 applicazioni, 2500 utenti interni con distribuzione dei servizi sull intero territorio regionale. Gli obiettivi dell attività sono stati l adozione di sistema di monitoraggio di facile mantenimento, l utilizzo di applicazioni Open Source, l accesso degli utenti condizionato all appartenenza al gruppo di gestione. L approccio è consistito nell analisi dell esistente, nell integrazione a livello di infrastruttura (hardware, server, rete) ed a livello applicativo (Web, App, DBMS); sono poi stati erogati alcuni corsi di formazione al personale. Il progetto ha conseguito i seguenti benefi ci: l adozione di un sistema di monitoraggio automatico dell intera infrastruttura applicativa con unica applicazione, la razionalizzazione dei gruppi di utenze e delle viste associate, la formazione del personale tecnico per l implementazione massiva del controllo dei sistemi e l azzeramento dei costi di licensing. Fornitura soluzione di log management Architettura elaborativa centralizzata nel CED regionale di Catanzaro, composta da circa 100 log sources comprendenti 50 server per la maggior parte virtualizzati oltre ad un corrispondente numero di applicazioni di tipo eterogeneo (MS Windows, Linux, Database Oracle, Application Server Tomcat ecc.). Appliance LogLogic MX3020 con architettura completamente ridondata, reporting mensile sugli accessi degli AdS (conformità al relativo provvedimento del Garante Privacy), memorizzazione locale fi le di log per un anno, supporto per attività di computer forensics; soluzione scalabile in vista di possibile espansione sistemi informativi. Aggiornamento documento DPS ed analisi dei rischi - Conformità a Codice sulla protezione dei dati personali (D.Lgs.196/03) Valutazione della criticità delle informazioni al fi ne di ottenere una loro classifi cazione con riferimento alle grandezze fondamentali delle sicurezza, identifi cazione dei dati da proteggere e loro classifi cazione in base alla loro criticità e tipologia. Individuazione dei potenziali incidenti, mediante analisi dei possibili agenti di minaccia che potrebbero insistere sui dati. Valutazione del livello di esposizione al rischio ed indicazione delle possibili contromisure, misurazione del rischio residuo e stesura del piano di mitigazione. Redazione Studio di Fattibilità Tecnica Conformità ad art. 50 del Codice di Amministrazione Digitale Attività di consulenza (Business Impact Analysis ed analisi costi-benefi ci) su organizzazione, servizi informatici interni ed esterni, soluzioni tecnologiche, condivisione esigenze di continuità operativa. Riferimento metodologico estratto dalle «LINEE GUIDA PER IL DISASTER RECOVERY DELLE PUBBLICHE AMMINISTRAZIONI» DigitPA. Redazione dello Studio di Fattibilità Tecnica da sottoporre da parte dell Amministrazione al parere di AID (ex DigitPA). Successiva redazione del Piano di Continuità operativa da integrare con il Piano di Disaster Recovery Comune di Firenze Realizzazione di un infrastruttura Oracle in alta affi dabilità in confi gurazione RAC su due siti geografi camente distanti e collegati in fi bra ottica. Del sistema viene effettuato un backup fi sico tramite l utility RMAN integrato con il sistema di Backup dell Ente IBM Tivoli. Del database viene inoltre effettuata una replica remota su un terzo sito di Disaster Recovery. AO Carlo Poma di Mantova Revisione completa dell infrastruttura di backup dell Ente per quanto riguarda tutti i 10 database Oracle presenti, 4

5 con l implementazione di un sistema centralizzato RMAN integrato con il software di backup dell Ente Symantec NetBackup, sul quale sono confi gurate le policy per la duplica a caldo dei database primari su un sito remoto. Provincia di Ravenna Consolidamento di tutta l infrastruttura Oracle dell Ente (7 database in versioni ed edizioni differenti) in un unico ambiente in alta affi dabilità Oracle RAC permettendo un notevole recupero dei costi di licensing. Completa la confi gurazione l implementazione del sistema di Backup fi sico dei database tramite RMAN e la replica dei principali sul sito di Disaster Recovery. Azienda Ospedaliera di Reggio Emilia È stato implementato un sistema di monitoraggio esteso, in grado di analizzare sia lo stato che le performance dei server ma soprattutto lo stato e le performance degli applicativi sanitari critici.tramite l implementazione di svariati controlli e plug in proprietari si registrano i tempi di risposta applicativi, sia relativi a singole fasi specifi che che a simulazioni di interi percorsi login, ricerca, somministrazione, logout, storicizzandoli su database e permettendone una rappresentazione grafi ca. Allo stesso tempo, vengono impostate soglie di allarme in gradi di avvisare gli operatori CED in caso di rallentamenti e relativi disservizi. San Donato Milanese Rivisitazione dell intero CED in ottica di Continuità di Servizio, implementazione di Oracle in confi gurazione RAC, backup fi sici tramite utility RMAN integrata nel sistema di backup Time Navigator ed implementazione di un infrastruttura di virtualizzazione. Tutto il CED viene monitorato tramite un sistema NMS che controlla l hardware ed il middleware persente (Oracle, Domino, Application Server). Regione Marche Implementazione di un infrastruttura Oracle RAC, della relativa confi gurazione dei backup fi sici tramite RMAN integrati con IBM Tivoli, di un infrastruttura di application server (Apache httpd Apache Tomcat) ridondati in bilanciamento di carico con apparati hardware F5. Comune di Cagliari Fornitura di un sistema di Log Management per la storicizzazione e consultazione dei log di accesso degli amministratori di sistema. Applicazione da noi interamente sviluppata in grado di storicizzare tutti i log di accesso provenienti da tutti i sistemi operativi e database, permettendo funzionalità di consultazione (tramite browser web) ed archiviazione. 5

6 Offerta, partnership e certificazioni L offerta IT Security & Infrastructures è così articolata: > IT Security Consulting: attività consulenziali sulla sicurezza in cui ci si propone in qualità di advisor indipendente su tutte le tematiche relative alla gestione della sicurezza informatica; > IT Security Design & Deploy: supporto nella progettazione ed implementazione sicura dei sistemi informativi con l obiettivo di proteggere i dati e le comunicazioni, sia attraverso soluzioni open source che attraverso l integrazione di prodotti commerciali; > IT Infrastructures Design & Deploy: supporto nella progettazione ed implementazione di sistemi di monitoring della disponibilità e delle prestazioni dei sistemi informativi, di soluzioni per la razionalizzazione delle risorse elaborative e gestione della continuità operativa con una attenzione particolare alle tecnologie innovative. Allo scopo di massimizzare l impegno delle persone e di ridurre i costi, gli interventi sono effettuati in modo da vincolare l attività al raggiungimento di un obiettivo prefi ssato, rappresentato dalla consegna di un deliverable, sia sotto forma di un documento di analisi condiviso con il Cliente sia un sistema oggetto di collaudo positivo rispetto alle specifi che di progetto. Partnership tecnologiche di Settore Partner Livello Partner Partner Partner Certified Partner Silver Partner Professional Partner Registered Partner Certificazioni Professionali Ambito Organizzazione Acronimo GIAC GCFW IT Security GIAC GCFA ISECOM OPST Fortinet FCNSA VMware VCP Cisco CCNA IT Infrastructures Zabbix ZCS Zabbix ZCLE Oracle OCP Prodotti Firewall, UTM Security Information and Event Management (SIEM) Cancellazione sicura Cifratura Endpoint e Shares System Monitoring Firewall, UTM Software per la virtualizzazione Apparati di rete Certificazione Giac Certified Firewall Analyst Giac Certified Forensic Analyst OSSTMM Professional Security Tester Fortinet Certified Network Security Administrator (2) Vmware Certified Professional (2) Cisco Certified Network Associate Zabbix Certified Specialist (3) Zabbix Certified Large Environment (3) Oracle Certified Professional dati aggiornati a febbraio

7 IT Security Consulting Sicurezza Organizzativa e Compliance È una attività di consulenza di alto livello per l analisi e la gestione dei rischi di tipo onnicomprensivo sugli aspetti della sicurezza: organizzativo, procedurale, tecnologico e fi sico. In generale la rilevazione dello scenario avviene tramite interviste al personale ed acquisizione di documentazione; attraverso l analisi dei dati raccolti si può avere una fotografi a generale ma completa della situazione. La certifi cazione ISO è basata sullo standard internazionale riconosciuto ovunque ed il suo possesso è una prerogativa spesso richiesta per offrire servizi informatici verso una comunità di clienti garantendo il rispettodei principi base di sicurezza. Nell offerta sono previsti anche gli interventi propedeutici alla redazione dei piani di BC/DR obbligatori dal recepimento delle norme contenute nel nuovo Codice di Amministrazione Digitale (art 50 bis). Viene offerto supporto anche in materia di Privacy (Codice sulla protezione dei dati personali (D.Lgs.196/03), provvedimento del Garante sugli Amministratori di Sistema, sugli aspetti legali e contrattuali in materia di Cloud Computing ed, in prospettiva, sulle nuove norme che saranno introdotti dalla Direttiva EU Data Protection. Valutazione livello di sicurezza dell infrastruttura IT Si tratta di un audit approfondito ed oggettivo del livello di sicurezza dei componenti di base della infrastruttura IT (application e database server, apparati di rete e di sicurezza, dispositivi wireless) alla ricerca di eventuali vulnerabilità. A seconda delle regole di ingaggio concordate si potrà ampliare l intervento sino all esecuzione di un penetration test, attività più invasiva che mira a prendere il controllo dell apparecchiatura sotto esame, oppure a sfruttare una vulnerabilità mediante delle tecniche di exploit e portare via i dati dal sistema oggetto del test. È disponibile anche un servizio di supporto in merito alle modalità di eliminazione delle vulnerabilità, oltre alle possibilità di erogare dei corsi di formazione rivolti al personale tecnico. Un altro intervento disponibile è quello in cui viene realizzato un audit delle politiche del fi rewall aziendale in cui viene verifi cata la coerenza tra le politiche di indirizzo progettate e tracciate sulla carta e le regole di fi ltraggio effettivamente applicate. Incident Handling & Computer Forensics Questa attività consulenziale è disponibile a fronte di un «incidente informatico di sicurezza»; in pratica si tratta di verifi care la reale portata del problema e di ricostruire post mortem la dinamica dell incidente basandosi su opportune tecniche investigative. Esempi di incidente possono essere la compromissione di un sito web a seguito di un attacco informatico, la sottrazione di informazioni sensibili dai sistemi informativi aziendali oppure un utilizzo doloso di un dispositivo PC client aziendale. L intervento prevede l esecuzione di una copia, senza modifi care gli originali, di tutti i dati (disco, memoria, processi ecc.) presenti sui dispositivi di memorizzazione del sistema oggetto dell incidente e la successiva analisi su di un sistema separato; in seguito si correlano i risultati e si produce un report dell incidente basato su dati oggettivi ed incontrovertibili. Questa attività nota negli ambienti forensi come CTP (Consulenza Tecnica di Parte) può essere poi utilizzata anche in sede giudiziaria. 7

8 IT Security Design & Deploy Ci si propone di caratterizzare le architetture di rete Intranet (i sistemi interni che erogano servizi nei confronti degli utenti aziendali) ed i servizi esposti su Internet (siti web, ecommerce, posta elettronica, DNS) secondo il principio della «Defense in Depth», rendendo quindi più diffi cili le potenziali attività ostili da parte di un attaccante. Attraverso partnership commerciali o tramite l utilizzo di soluzioni Open Source possono essere integrati nell infrastruttura dei sistemi informativi prodotti specializzati nel contrasto alla diffusione del malware oppure di protezione nei confronti dei dati memorizzati e delle comunicazioni. Prodotti di protezione perimetrale e servizi di sicurezza I sistemi di protezione perimetrale (fi rewall, IDS/IPS, sistemi antivirus e servizi UTM associati) possono spaziare su diverse soluzioni in funzione delle dimensioni e della topologia dell architettura di riferimento; questi sistemi possono essere forniti sotto forma di appliance oppure quali componenti software da integrare nella piattaforma virtualizzata e possono essere integrate all interno di realtà di qualunque dimensione ed esigenze di performance richieste. Sistemi di log management e security event correlation (SIEM) I sistemi di log management e di correlazione degli eventi di sicurezza tenderanno sempre più a rappresentare il «cruscotto» della sicurezza aziendale. Le motivazioni che possono spingere all investimento su tali soluzioni sono diverse: > Compliance normativa, in Italia il decreto del Garante sul monitoraggio delle attività degli Amministratori di Sistema, negli USA le disposizioni HIPAA e GLBA, oltre alle normative specifi che di settore quali PCI-DSS e SOX oltre allo standard ISO 27001; > Necessità di concentrare in un unico punto tutti gli eventi di sicurezza inviati da tutti i componenti dell architettura elaborativa al fi ne di monitorare in tempo reale il livello di rischio e rispondere in modo organizzato e tempestivo ad un eventuale attacco informatico; > Utilizzando la stessa infrastruttura di controllo ed archiviazione centralizzata dei fi le di log è possibile avere un repository su cui effettuare delle analisi basate su tecniche di Business Intelligence pertinenti aspetti diversi dalla sicurezza, ma rese possibili attraverso le informazioni contenute nei fi le di log, quali il processo di sviluppo del software oppure quello di gestione dei sistemi informativi. Le soluzioni proposte possono spaziare su diverse offerte in funzione delle dimensioni e della topologia dell architettura di riferimento oppure dalle esigenze di conformità; questi sistemi possono essere forniti sotto forma di appliance oppure di componenti software, virtual machine, da integrare nella infrastruttura virtualizzata e possono svolgere la loro funzione all interno di realtà di qualunque dimensione ed esigenze di performance richieste. Soluzioni di cancellazione sicura, cifratura dei dati nelle share di rete e negli endpoint Le funzioni di cancellazione fornite in modo nativo dai sistemi operativi rimuovono solo il puntatore al dato che rimane quindi memorizzato sul media sino a quando non viene completamente sovrascritto; le cronache degli incidenti informatici riportano spesso casi di hard disk o computer usati su cui vengono rinvenuti migliaia di record sensibili appartenenti ad utenti o clienti; un altro problema riguarda le stampanti di rete che spesso hanno a bordo hard disk di diverse centinaia di GB su cui vengono memorizzati tutti i dati potenzialmente riservati che sono oggetto di stampa. Ci sono inoltre delle precise disposizioni in materia (relative alle misure minime di sicurezza) dettate dalla normativa italiana sulla Privacy. È possibile indirizzare entrambi i problemi utilizzando delle soluzioni che adottano algoritmi di cancellazione standard internazionali. Sotto l aspetto della riservatezza è possibile cifrare i dati immagazzinati in una share di rete e le relative comunicazioni rendendole di fatto disponibili ai soli componenti del gruppo che ne ha in carico la gestione; i casi tipici sono quelli rappresentati dalle informazioni relative alla retribuzione dei dipendenti oppure quelli relativi ai progetti strategici per l azienda. Un altra soluzione consente di cifrare, sia a livello di disco che a livello di cartella, i dati contenuti su un dispositivo PC o portatile. 8

9 IT Infrastructures Design & Deploy Systems & Infrastructure Management La complessità degli attuali sistemi informativi rende particolarmente diffi coltose le attività di verifi ca delle funzionalità e della qualità dei servizi erogati. L adozione di sistemi di system management - application monitoring consente un approccio proattivo nella gestione di un intero sistema, monitorando i parametri vitali dell intera infrastruttura, prevenendo molti disservizi e consentendo una organica politica di evoluzione dell architettura hardware e software. Il costante controllo degli indicatori classici quali utilizzo CPU, occupazione risorse di memorizzazione, quantità dati trasferiti, numero sessioni, ecc., può essere abbinata al controllo di parametri ambientali quali temperatura, umidità, fumo, rilevamento allagamenti ed apertura accessi, consentendo, tramite un immediato allertamento del personale, la prevenzione di disastri nell ambito di tutta l infrastruttura IT. Allo stesso modo, il controllo dei tempi di risposta delle applicazioni più critiche, permette una verifi ca costante della qualità di servizio erogato ai propri utenti, consentendo in caso di calo di performance, la possibilità di incrociare questi dati con quelli relativi all utilizzo dell infrastruttura riducendo sensibilmente le attività di analisi della problematica in essere. La soluzione di monitoring basata sul prodotto Zabbix (totalmente open source per qualunque realtà dimensionale) consente di mantenere sotto controllo l integrità e le prestazioni dei sistemi informativi e può essere applicata a qualunque realtà tecnologica che faccia uso della tecnologia IP. La versatilità del prodotto, la vasta esperienza progettuale e la condizione di unico Certifi ed Partner sul territorio italiano ci pongono in una posizione di riferimento per il mercato italiano negli ambiti della progettazione, realizzazione, supporto tecnico ed erogazione formazione. L offerta in tal senso può essere opportunamente strutturata e rivendibile sotto forma di servizio di gestione erogabile a vari livelli di servizio in varie modalità (insourcing, outsourcing). Perchè scegliere Zabbix La soluzione consente di superare alcune limitazioni presenti in altre alternative Open Source come ad esempio: > l uso di un considerevole numero di plugin che comporta aggiornamenti delle release complessi ed onerosi; > l assenza della funzionalità nativa autodiscovery dei sistemi da controllare; > alti costi di licensing e manutenzione. Caratteristiche di Zabbix: > sistema di monitoring Open Source; > architettura centralizzata o distribuita; > sistema scalabile sino ad oltre dispositivi controllati; > monitoring in tempo reale della disponibilità e delle performance; > controllo dell intera infrastruttura ICT con un solo strumento; > possibilità di creare servizi IT gerarchici; > fl essibilità d uso: interazione tramite agent o protocollo SNMP; > controllo di sistemi operativi, applicazioni, apparati di rete; > interfaccia web, creazione di viste personalizzate; > servizio di alerting personalizzabile. Continuità di servizio SAN, Cluster, Virtualizzazione, Oracle R.A.C. sono alcune delle tecnologie disponibili in grado da garantire l affi dabilità pressoché totale (99,999%) dei componenti IT. Queste tecnologie risultano anche particolarmente utili nel rendere dinamica e fl essibile l infrastruttura informatica garantendo espandibilità delle componenti fi siche e logiche. Backup e Disaster Recovery Per garantire il ritorno alla normale operatività occorre implementare e gestire sia un processo di backup locale, in modo da espletare le ordinarie funzioni di recupero dati erroneamente cancellati o modifi cati, sia un processo di disaster recovery che permetta la disponibilità e fruibilità dei dati anche in situazioni di malfunzionamento delle risorse IT. Le realizzazioni di sistemi di backup disk-to-disk permettono di raggiungere gli obiettivi preposti di primo livello mantenendo costi contenuti e prestazioni elevate. Le possibili soluzioni spaziano da sistemi base, implementate tramite software open-source ed apparati hardware caratterizzati da costi contenuti, fino a soluzioni di classe enterprise, comprendenti software dedicati al management di sistemi complessi, 9

10 muniti di hardware specializzati dedicati alla gestione di librerie fi siche o virtuali, in grado di soddisfare le esigenze più articolate. Le realizzazioni di sistemi di disaster recovery permettono di raggiungere gli obiettivi preposti di secondo livello. Esse si possono attuare sia a livello fi sico, gestendo repliche di basso livello san-to-san, che a livello di servizio sfruttando le caratteristiche che la singola tecnologia mette a disposizione. Virtualizzazione e Server Consolidation La virtualizzazione, nata nell ambito dei sistemi mainframe proprietari, è divenuta negli ultimi anni la tecnologia di punta nella realizzazione dei servizi IT. La virtualizzazione consente una fl essibilità senza precedenti, oltre ad un intrinseco aumento dell affi dabilità. Tramite l implementazione di sistemi virtuali è possibile effettuare il dispiegamento di nuove confi gurazioni server e recuperare, a seguito di guasti hardware, funzionalità in pochi minuti. Questa tecnologia consente, inoltre, l ottimizzazione degli investimenti hardware, riuscendo a sfruttare al meglio tutte le caratteristiche che gli elaboratori di ultima generazione mettono a disposizione. Groupware e Communication La qualità delle comunicazioni interpersonali è un valore aggiunto imprescindibile in ogni realtà aziendale. L avvento della comunicazione digitale tramite ha costituito il fondamento necessario per l ottimizzazione di quasi tutti i processi aziendali. Per consentire maggiore diffusione e migliore fruizione delle informazioni si sono evoluti nuovi sistemi che integrano tra loro diverse tecniche quali , telefonia, istant messaging in un unico sistema centralmente amministrato e gestito che consenta la fruibilità delle applicazioni e delle comunicazioni attraverso piattaforma sia PC che mobile. Oggi è possibile realizzare sistemi integrati di comunicazione a costi contenuti con l aiuto delle tecnologie disponibili in ambito della comunity opensource. 10

11 L offerta IT Security & Infrastructures

12 Gruppo Finmatica soluzioni, software e servizi per le infrastrutture IT Finmatica Data Processing ADS Systematica HMO via del Lavoro Bologna Tel Fax Le informazioni contenute in questo documento sono soggette a modifica senza preavviso e non comportano alcun obbligo da parte delle aziende del gruppo. Le aziende del gruppo non si assumono alcuna responsabilità per eventuali errori contenuti in questa pubblicazione. Tutti i prodotti e i nomi di società citati sono marchi o marchi registrati delle rispettive società.