Sicurezza Aziendale: gestione del rischio IT (Penetration Test )

Save this PDF as:
 WORD  PNG  TXT  JPG

Dimensione: px
Iniziare la visualizzazioe della pagina:

Download "Sicurezza Aziendale: gestione del rischio IT (Penetration Test )"

Transcript

1 Sicurezza Aziendale: gestione del rischio IT (Penetration Test ) Uno dei maggiori rischi aziendali è oggi relativo a tutto ciò che concerne l Information Technology (IT). Solo negli ultimi anni si è iniziato a fare attenzione a questo aspetto, grazie a una crescente consapevolezza che la sicurezza delle proprie informazioni è essenziale per evitare i rischi correlati nel mondo imprenditoriale. In termini generali, il rischio può essere definito come il prodotto della probabilità di un evento per l'impatto dello stesso, come definito nella formula Rischio = Probabilità * Impatto Secondo l international Organization for Standardization (ISO), il rischio IT è definito come la possibilità che un malintenzionato o un software malevolo possano sfruttare le vulnerabilità della rete informatica aziendale, causando danni al business. Considerando l Information Technology, è necessario prendere in considerazione aspetti di rischio quali la rilevanza di una minaccia, umana o informatica, la sicurezza del sistema, e la preparazione del personale addetto alla sicurezza. Inoltre è necessario considerare quale impatto può avere nel concreto il verificarsi di una problematica di sicurezza non solo nei confronti dell azienda, ma anche nei confronti di clienti, fornitori, finanziatori. La probabilità del verificarsi di un incidente di sicurezza è quindi una funzione della probabilità che una minaccia sia presente e che possa sfruttare con successo le vulnerabilità del sistema in questione. Le conseguenze del verificarsi di un incidente di sicurezza sono inoltre una funzione del probabile impatto che l'incidente avrà sull organizzazione stessa. Infatti lo stesso bene può avere valori diversi a seconda delle diverse organizzazioni. 1

2 Il tutto può essere quindi riassunto nella formula: Rischio = Minaccia x Vulnerabilità Valore Aziendale Anche OWASP, comunità online dedicata alla sicurezza delle web application, propone una linea guida di misurazione del rischio concreto, prendendo in esame aspetti quali la stima del rischio, i fattori di vulnerabilità, e l impatto sul business. Rischio complessivo ALTA Medio Alto Critico Rilevanza impatto MEDIA Basso Medio Alto BASSA Lieve Basso Medio BASSA MEDIA ALTA Probabilità Penetration test Il penetration test, in breve anche pentest, è una procedura che consiste in un attacco lecito a un sistema informatico, effettuato con l obiettivo di trovare eventuali debolezze di sicurezza che possano portare ad ottenere l'accesso ai dati o al sistema stesso da parte di malintenzionati, che possono inoltre minarne la funzionalità al punto di compromettere seriamente il business aziendale. Il processo prevede inizialmente la messa a fuoco degli obiettivi, prendendo di mira le informazioni disponibili e i mezzi necessari per raggiungerli. Un penetration test può essere svolto nella modalità white box, quando vengono fornite tutte le informazioni di base relative al sistema, o nella modalità black box, ove non viene fornita alcuna informazione tranne il nome della società. Possono anche essere svolti con modalità intermedie, definite gray box. Inoltre per entrambe le modalità è possibile operare sia dall interno dell organizzazione, che dall esterno della stessa, simulando quindi differenti scenari di attacco. 2

3 Ad esempio un penetration test esterno di tipo black box può essere utile ad identificare quale danno possa essere causato da un attaccante casuale esterno all'organizzazione, mentre un test interno di tipo gray box simula l operato un dipendente malintenzionato. In entrambi i casi, sarà possibile restituire informazioni sul sistema, sulla vulnerabilità agli attacchi, se le difese fornite erano sufficienti e, in caso, quali sono state efficaci e quali no. E necessario differenziare le generiche valutazioni di vulnerabilità dai reali penetration test. Nel primo caso, l analisi di un sistema andrà a scovare quali sono le possibili vie di accesso per un malintenzionato, attraverso quali vie i dati possono uscire dal sistema, e le debolezze dello stesso in generale, compresa la fragilità del sistema in caso di problematiche hardware o software. Nel secondo caso, invece, l obiettivo è quello di sfruttare effettivamente le debolezze che vengono rilevate al fine di ottenere l accesso al sistema o ai dati dello stesso. In breve, valutare la vulnerabilità è osservare una cassaforte e decidere, sulla base delle proprie conoscenze, se è sicura o meno; effettuare un penetration test significa provare ad aprirla senza averne la combinazione. A obiettivo raggiunto, sarà presentato un report al committente delle problematiche presenti nel sistema informatico. A partire da questo, sarà possibile delineare l'impatto delle stesse per l organizzazione e una serie di contromisure, tecniche e procedurali, atte a ridurre i rischi al minimo. Obiettivi del penetration test Determinare la fattibilità di eventuali attacchi informatici Identificare le vulnerabilità ad alto rischio, comprese quelle che derivano da una combinazione di vulnerabilità a basso rischio Identificare le vulnerabilità mediante procedure automatiche e mediante procedure che richiedono conoscenze specifiche, al di là delle possibilità di software di scansione automatizzati Valutare l'entità del danno in caso di reale attacco Verificare l efficacia delle difese, sia in termini di rilevazione che di risposta agli attacchi Permettere di valutare, a fronte di risultati oggettivi, l entità dei necessari investimenti in termini di conoscenze del personale e tecnologie di difesa 3

4 Procedure di penetration test I pentest vengono svolti ricercando inizialmente, dall'esterno o dall'interno, eventuali vulnerabilità nei sistemi maggiormente esposti. Quelle esterne vengono poi sfruttate al fine di violare il perimetro della rete, mentre i sistemi interni vengono ispezionati alla ricerca di altre vulnerabilità che permettano di ottenere ulteriore accesso ai dati e alle infrastrutture. In particolare: Internal Pentest I test vengono effettuati posizionandosi all'interno della rete aziendale. External Pentest I test vengono effettuati posizionandosi all'esterno della rete aziendale. Come già specificato, è inoltre possibile differenziare tra test Black Box, Gray Box e White Box, a seconda delle informazioni fornite sui sistemi da attaccare. Ecco alcuni esempi e scenari: External Pentest Black Box Simula un attacco da parte di un soggetto casuale o esterno (ad esempio un hacker generico, o uno al servizio di una azienda concorrente) ma comunque senza accesso ad informazioni e credenziali di accesso dell'azienda. Internal Pentest Black Box Simula un attacco da parte di un soggetto che abbia accesso fisico (ad esempio un consulente esterno o un visitatore in una sala riunioni) o remoto alla rete aziendale (ad esempio un computer di una segretaria compromesso). External Pentest White Box Simula la compromissione di una componente esposta all'esterno per capire che livello di accesso un soggetto malintenzionato possa ottenere alle altre parti dell'infrastruttura aziendale. Internal Pentest White Box Simula un attacco proveniente dall interno all'organizzazione da parte di un soggetto in possesso di informazioni ed accesso ad alcune parti dell'infrastruttura per capire che livello di accesso alle componenti critiche sia possibile ottenere. 4

5 Wireless Penetration Test Cerca di compromettere l'infrastruttura wireless, simulando un attacco da parte di una persona fisicamente prossima ad uno degli edifici dell'azienda in cui sia installata una rete wireless. Social Engineering Invece di attaccare la componente informatica viene attaccata quella umana. Mediante tecniche di manipolazione si cerca di indurre le persone a compiere azioni informatiche atte a dare accesso ai sistemi (ad esempio phishing) o a rivelare informazioni. Il report Il report è un documento che viene scritto al termine dell attività e che permette di riassumere in modo semplice e dettagliato tecniche utilizzate, vulnerabilità riscontrate, risultati del test e proposte di rimedio. Lo stesso è suddiviso in aree tematiche sulla base del destinatario dei singoli paragrafi. Sommario Comprende l introduzione e un riassunto di alto livello, destinato alla direzione aziendale. Tecniche utilizzate Parte tecnica che descrive nel dettaglio strumenti, attività e modalità di test. Vulnerabilità e risultati del pentest Parte tecnica che descrive nel dettaglio le vulnerabilità riscontrate e il loro impatto, dedicata al responsabile del sistema informatico. Rimedi Sezione tecnica con istruzioni e consigli su come risolvere le problematiche identificate, dedicata al responsabile del sistema informatico, al responsabile delle risorse umane, e alla direzione aziendale. 5

VULNERABILITY ASSESSMENT E PENETRATION TEST

VULNERABILITY ASSESSMENT E PENETRATION TEST VULNERABILITY ASSESSMENT E PENETRATION TEST Una corretta gestione della sicurezza si basa innanzitutto su un adeguata conoscenza dell attuale livello di protezione dei propri sistemi. Partendo da questo

Dettagli

Progetto di Information Security

Progetto di Information Security Progetto di Information Security Pianificare e gestire la sicurezza dei sistemi informativi adottando uno schema di riferimento manageriale che consenta di affrontare le problematiche connesse alla sicurezza

Dettagli

INFORMATION SECURITY. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano I SERVIZI DI CONSULENZA. www.axxea.it info@axxea.it

INFORMATION SECURITY. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano I SERVIZI DI CONSULENZA. www.axxea.it info@axxea.it INFORMATION SECURITY I SERVIZI DI CONSULENZA. AXXEA Srl Via Francesco Soave, 24 I - 20135 Milano www.axxea.it info@axxea.it INDICE 1. SICUREZZA DELLE INFORMAZIONI... 3 1.1 ANALISI DELLO STATO DELL ARTE...

Dettagli

Sicurezza informatica in azienda: solo un problema di costi?

Sicurezza informatica in azienda: solo un problema di costi? Sicurezza informatica in azienda: solo un problema di costi? Silvano Marioni, CISSP Manno, Centro Galleria 2 14 ottobre 2005 www.ated.ch Parliamo di sicurezza informatica Quali minacce possono interessarci

Dettagli

penetration test (ipotesi di sviluppo)

penetration test (ipotesi di sviluppo) penetration test (ipotesi di sviluppo) 1 Oggetto... 3 2 Premesse... 3 3 Attività svolte durante l analisi... 3 3.1 Ricerca delle vulnerabilità nei sistemi... 4 3.2 Ricerca delle vulnerabilità nelle applicazioni

Dettagli

PIANO DI TUTELA DELLE ACQUE DELLA SICILIA (di cui all'art. 121 del Decreto Legislativo 3 aprile 2006, n 152)

PIANO DI TUTELA DELLE ACQUE DELLA SICILIA (di cui all'art. 121 del Decreto Legislativo 3 aprile 2006, n 152) Commissario Delegato per l Emergenza Bonifiche e la Tutela delle Acque in Sicilia PIANO DI TUTELA DELLE ACQUE DELLA SICILIA (di cui all'art. 121 del Decreto Legislativo 3 aprile 2006, n 152) Sistema WEB-GIS

Dettagli

La sicurezza dell informazione

La sicurezza dell informazione La sicurezza dell informazione come costruire il sistema di gestione per la sicurezza dell informazione Ing. Ioanis Tsiouras 1 (Rivista Qualità, Agosto 2000) 1 Introduzione L informazione, nel linguaggio

Dettagli

Requisiti di controllo dei fornitori esterni

Requisiti di controllo dei fornitori esterni Requisiti di controllo dei fornitori esterni Sicurezza cibernetica Per fornitori classificati a Basso Rischio Cibernetico Requisito di cibernetica 1 Protezione delle attività e configurazione del sistema

Dettagli

Esempi pratici, risultati e contromisure consigliate. Massimo Biagiotti

Esempi pratici, risultati e contromisure consigliate. Massimo Biagiotti L attività di un Ethical Hacker Esempi pratici, risultati e contromisure consigliate Massimo Biagiotti Information Technology > Chiunque operi nel settore sa che il panorama dell IT è in continua evoluzione

Dettagli

CLUSIT. Commissione di studio Certificazioni di Sicurezza Informatica. Linea guida per l analisi di rischio. Codice doc.

CLUSIT. Commissione di studio Certificazioni di Sicurezza Informatica. Linea guida per l analisi di rischio. Codice doc. CLUSIT Commissione di studio Certificazioni di Sicurezza Informatica Linea guida per l analisi di rischio Codice doc.to: CS_CERT/SC1/T3 Stato: Draft 1 2 INDICE 1. Introduzione....4 2. Scopo della presente

Dettagli

TeamPortal. Servizi integrati con ambienti Gestionali

TeamPortal. Servizi integrati con ambienti Gestionali TeamPortal Servizi integrati con ambienti Gestionali 12/2013 Accesso da remoto Accesso da remoto Esempio 1 Sul Firewall devono essere aperte le porte 80 : http (o quella assegnata in fase di installazione/configurazione

Dettagli

La Guida per l Organizzazione degli Studi professionali

La Guida per l Organizzazione degli Studi professionali La Guida per l Organizzazione degli Studi professionali Gianfranco Barbieri Senior Partner di Barbieri & Associati Dottori Commercialisti Presidente dell Associazione Culturale Economia e Finanza gianfranco.barbieri@barbierieassociati.it

Dettagli

Penetration Test Integrazione nell'attività di internal auditing

Penetration Test Integrazione nell'attività di internal auditing Parma 6 giugno 2008 Penetration Test Integrazione nell'attività di internal auditing CONTENUTI TI AUDIT mission e organizzazione REVISIONE TECNICA mission e organizzazione INTERNAL SECURITY ASSESSMENT

Dettagli

Gruppo di ricerca AIEA Roma 2004-2005. Il valore del Penetration Test dal punto di vista dell auditor. Roma, 28 Settembre 2005

Gruppo di ricerca AIEA Roma 2004-2005. Il valore del Penetration Test dal punto di vista dell auditor. Roma, 28 Settembre 2005 Gruppo di ricerca AIEA Roma 2004-2005 Il valore del Penetration Test dal punto di vista dell auditor Roma, 28 Settembre 2005 1 Agenda 1. Gruppo di ricerca AIEA: obiettivi e componenti 2. Introduzione 3.

Dettagli

Media mensile 96 3 al giorno

Media mensile 96 3 al giorno Il numero di attacchi gravi di pubblico dominio che sono stati analizzati è cresciuto nel 2013 del 245%. Media mensile 96 3 al giorno Fonte Rapporto 2014 sulla Sicurezza ICT in Italia. IDENTIKIT Prima

Dettagli

DIVISIONE INFORMATICA FORENSE E SICUREZZA

DIVISIONE INFORMATICA FORENSE E SICUREZZA DIVISIONE INFORMATICA FORENSE E SICUREZZA Divisione Informatica Forense e Sicurezza DIFS La Divisione Informatica Forense e Sicurezza (DIFS) dell'agenzia, avvalendosi di un team di esperti, offre servizi

Dettagli

Il Continuous Auditing come garanzia di successo dell IT Governance

Il Continuous Auditing come garanzia di successo dell IT Governance Il Continuous Auditing come garanzia di successo dell IT Governance Essere consapevoli del proprio livello di sicurezza per agire di conseguenza A cura di Alessandro Da Re CRISC, Partner & CEO a.dare@logicalsecurity.it

Dettagli

SINPAWEB corso per Tecnico della programmazione e dello sviluppo di siti internet e pagine web co.reg 58036 matricola 2012LU1072

SINPAWEB corso per Tecnico della programmazione e dello sviluppo di siti internet e pagine web co.reg 58036 matricola 2012LU1072 Provincia di Lucca Servizio Istruzione, Formazione e Lavoro. Sviluppo Economico SINPAWEB corso per Tecnico della programmazione e dello sviluppo di siti internet e pagine web co.reg 58036 matricola 2012LU1072

Dettagli

IT Security Prodotti e soluzioni

IT Security Prodotti e soluzioni IT Security Prodotti e soluzioni www.isgroup.it isgroup@isgroup.it PIVA 03526940238 Via Badile 37, Verona 37131 Istituzionale è una struttura indipendente specializzata in IT Security in grado di offrire

Dettagli

INFORMATION SECURITY MANAGEMENT SYSTEM

INFORMATION SECURITY MANAGEMENT SYSTEM INFORMATION SECURITY MANAGEMENT SYSTEM Gestione della sicurezza informatica in azienda Guida informativa per le PMI con il contributo della 1 Sommario Introduzione 5 Obiettivi 6 Continuità operativa del

Dettagli

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy.

NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960. info@ncp-italy. NCP Networking Competence Provider Srl Sede legale: Via di Porta Pertusa, 4-00165 Roma Tel: 06-88816735, Fax: 02-93660960 info@ncp-italy.com Introduzione Il penetration testing, conosciuto anche come ethical

Dettagli

TeamPortal. Infrastruttura

TeamPortal. Infrastruttura TeamPortal Infrastruttura 05/2013 TeamPortal Infrastruttura Rubriche e Contatti Bacheca Procedure Gestionali Etc Framework TeamPortal Python SQL Wrapper Apache/SSL PostgreSQL Sistema Operativo TeamPortal

Dettagli

V.I.S.A. VoiP Infrastructure Security Assessment

V.I.S.A. VoiP Infrastructure Security Assessment V.I.S.A. VoiP Infrastructure Security Assessment INTRODUZIONE Il penetration testing, conosciuto anche come ethical hacking, ha come obiettivo quello di simulare le tecniche di attacco adottate per compromettere

Dettagli

Security & Compliance Governance

Security & Compliance Governance Consulenza, soluzioni e servizi per l ICT Security & Compliance Governance CASO DI STUDIO Copyright 2011 Lutech Spa Introduzione All interno della linea di offerta di Lutech il cliente può avvalersi del

Dettagli

La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799

La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799 Convegno sulla Sicurezza delle Informazioni La certificazione dei sistemi di gestione della sicurezza ISO 17799 e BS 7799 Giambattista Buonajuto Lead Auditor BS7799 Professionista indipendente Le norme

Dettagli

La Sicurezza dell Informazione nel Web Information System La metodologia WISS

La Sicurezza dell Informazione nel Web Information System La metodologia WISS 1 Introduzione La Sicurezza dell Informazione nel Web Information System La metodologia WISS Ioanis Tsiouras 1 (Rivista ZeroUno, in pubblicazione) I sistemi informativi con le applicazioni basate su Web

Dettagli

LA GESTIONE DELLE INFORMAZIONI IN AZIENDA: LA FUNZIONE SISTEMI INFORMATIVI 173 7/001.0

LA GESTIONE DELLE INFORMAZIONI IN AZIENDA: LA FUNZIONE SISTEMI INFORMATIVI 173 7/001.0 LA GESTIONE DELLE INFORMAZIONI IN AZIENDA: LA FUNZIONE SISTEMI INFORMATIVI 173 7/001.0 LA GESTIONE DELLE INFORMAZIONI IN AZIENDA: LA FUNZIONE SISTEMI INFORMATIVI PIANIFICAZIONE STRATEGICA NELL ELABORAZIONE

Dettagli

Application Assessment Applicazione ARCO

Application Assessment Applicazione ARCO GESI Application Assessment Applicazione ARCO Milano Hacking Team S.r.l. http://www.hackingteam.it Via della Moscova, 13 info@hackingteam.it 20121 MILANO (MI) - Italy Tel. +39.02.29060603 Fax +39.02.63118946

Dettagli

Audit & Sicurezza Informatica. Linee di servizio

Audit & Sicurezza Informatica. Linee di servizio Audit & Sicurezza Informatica Linee di servizio Application Control Consulting Molte organizzazioni hanno implementato applicazioni client/server integrate, come SAP e Oracle Queste applicazioni aumentano

Dettagli

LA FORZA DELLA SEMPLICITÀ. Business Suite

LA FORZA DELLA SEMPLICITÀ. Business Suite LA FORZA DELLA SEMPLICITÀ Business Suite LA MINACCIA È REALE Le minacce online alla tua azienda sono reali, qualunque cosa tu faccia. Chiunque abbia dati o denaro è un bersaglio. Gli incidenti relativi

Dettagli

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni

La Certificazione ISO/IEC 27001. Sistema di Gestione della Sicurezza delle Informazioni Sistema di Gestione della Sicurezza delle Informazioni 2015 Summary Chi siamo Il modello operativo di Quality Solutions Introduzione alla ISO 27001 La metodologia Quality Solutions Focus on: «L analisi

Dettagli

Modulo 1 Concetti di base della Qualità

Modulo 1 Concetti di base della Qualità Syllabus rev. 1.04 Modulo 1 Concetti di base della Qualità Il seguente Syllabus è relativo al Modulo 1, Concetti e approcci di base per la gestione della qualità in una organizzazione, e fornisce i fondamenti

Dettagli

Glossario servizi di Sicurezza Informatica offerti

Glossario servizi di Sicurezza Informatica offerti Glossario servizi di Sicurezza Informatica offerti Copyright LaPSIX 2007 Glossario servizi offerti di sicurezza Informatica SINGLE SIGN-ON Il Single Sign-On prevede che la parte client di un sistema venga

Dettagli

ICT in Italia Occupazione e professioni nell ICT

ICT in Italia Occupazione e professioni nell ICT ICT in Italia Occupazione e professioni nell ICT Ercole Colonese RUBIERRE srl Consulenti di Direzione ercole@colonese.it www.colonese.it Roma, 2008 Occupazione e professioni nell ICT Rapporto 2006 L evoluzione

Dettagli

SICUREZZA INFORMATICA MINACCE

SICUREZZA INFORMATICA MINACCE SICUREZZA INFORMATICA MINACCE Come evitare gli attacchi di phishing e Social Engineering Ver.1.0, 19 febbraio 2015 2 Pagina lasciata intenzionalmente bianca 1. CHE COSA È UN ATTACCO DI SOCIAL ENGINEERING?

Dettagli

Lo Studio di Fattibilità

Lo Studio di Fattibilità Lo Studio di Fattibilità Massimo Mecella Dipartimento di Informatica e Sistemistica Università di Roma La Sapienza Definizione Insieme di informazioni considerate necessarie alla decisione sull investimento

Dettagli

Allegato 1. Le tecniche di frode on-line

Allegato 1. Le tecniche di frode on-line Allegato 1 Le tecniche di frode on-line Versione : 1.0 13 aprile 2011 Per una migliore comprensione delle tematiche affrontate nella circolare, riportiamo in questo allegato un compendio dei termini essenziali

Dettagli

Mappatura della supply chain. Soluzioni Clienti

Mappatura della supply chain. Soluzioni Clienti Mappatura della supply chain Soluzioni Clienti Mappatura della supply chain State cercando di migliorare la gestione della supply chain della vostra organizzazione? Mappare i processi rappresenta una modalità

Dettagli

Le attività OASI per la sicurezza dei dati e dei sistemi, e per la compliance alle normative. Servizi Consulenza Formazione Prodotti

Le attività OASI per la sicurezza dei dati e dei sistemi, e per la compliance alle normative. Servizi Consulenza Formazione Prodotti Le attività OASI per la sicurezza dei dati e dei sistemi, e per la compliance alle normative Servizi Consulenza Formazione Prodotti L impostazione dei servizi offerti Le Banche e le altre imprese, sono

Dettagli

Modulo 1 Concetti di base della Qualità

Modulo 1 Concetti di base della Qualità Syllabus rev. 1.03 Modulo 1 Concetti di base della Qualità Il seguente Syllabus è relativo al Modulo 1, Concetti e approcci di base per la gestione della qualità in una organizzazione, e fornisce i fondamenti

Dettagli

Web Marketing. Ultimo aggiornamento 25-06-2011. Gli importi sono iva esclusa

Web Marketing. Ultimo aggiornamento 25-06-2011. Gli importi sono iva esclusa Web Marketing Ultimo aggiornamento 25-06-2011 Gli importi sono iva esclusa Information Technology Services Forniamo soluzioni professionali e concrete ai Vostri problemi informatici. Il nostro segreto?

Dettagli

Disaster Recovery: Aspetti tecnico-organizzativi

Disaster Recovery: Aspetti tecnico-organizzativi Disaster Recovery: Aspetti tecnico-organizzativi Business Continuity and Recovery Services IBM Italia 2002 IBM Corporation 2005 IBM Corporation LA CONTINUITÀ OPERATIVA La continuità operativa ha un perimetro

Dettagli

Un'efficace gestione del rischio per ottenere vantaggi competitivi

Un'efficace gestione del rischio per ottenere vantaggi competitivi Un'efficace gestione del rischio per ottenere vantaggi competitivi Luciano Veronese - RSA Technology Consultant Marco Casazza - RSA Technology Consultant 1 Obiettivi della presentazione Dimostrare come

Dettagli

SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE

SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE SPIKE APPLICATION SECURITY: SICUREZZA DIRETTAMENTE ALL INTERNO DEL CICLO DI VITA DEL SOFTWARE La sicurezza delle applicazioni web si sposta a un livello più complesso man mano che il Web 2.0 prende piede.

Dettagli

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159

Versione 3.2 Dicembre,2013. MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 MAIN OFFICE Via al Porto Antico 7 - Edificio Millo 16128 GENOVA Phone. 010 5954946 Fax. 010 8680159 OPERATIONAL OFFICES GENOVA MILANO ROMA TORINO NETWORK INTEGRATION and SOLUTIONS srl www.nispro.it Per

Dettagli

Università di Venezia Corso di Laurea in Informatica. Marco Fusaro KPMG S.p.A.

Università di Venezia Corso di Laurea in Informatica. Marco Fusaro KPMG S.p.A. Università di Venezia Corso di Laurea in Informatica Laboratorio di Informatica Applicata Introduzione all IT Governance Lezione 10 e 11 Marco Fusaro KPMG S.p.A. 1 Risk Analysis I termini risk analysis

Dettagli

Copyright Università degli Studi di Torino, Progetto Atlante delle Professioni 2009 IT PROCESS EXPERT

Copyright Università degli Studi di Torino, Progetto Atlante delle Professioni 2009 IT PROCESS EXPERT IT PROCESS EXPERT 1. CARTA D IDENTITÀ... 2 2. CHE COSA FA... 3 3. DOVE LAVORA... 4 4. CONDIZIONI DI LAVORO... 5 5. COMPETENZE... 6 Quali competenze sono necessarie... 6 Conoscenze... 8 Abilità... 9 Comportamenti

Dettagli

Politica per la Sicurezza

Politica per la Sicurezza Codice CODIN-ISO27001-POL-01-B Tipo Politica Progetto Certificazione ISO 27001 Cliente CODIN S.p.A. Autore Direttore Tecnico Data 14 ottobre 2014 Revisione Resp. SGSI Approvazione Direttore Generale Stato

Dettagli

Incident & Vulnerability Management: Integrazione nei processi di un SOC. Fabio Civita. Roma, 13 Maggio 2014 Complesso Monumentale S.

Incident & Vulnerability Management: Integrazione nei processi di un SOC. Fabio Civita. Roma, 13 Maggio 2014 Complesso Monumentale S. Il braccio destro per il business. Incident & Vulnerability Management: Integrazione nei processi di un SOC Roma, 13 Maggio 2014 Complesso Monumentale S.Spirito in Sassia Il braccio destro per il business.

Dettagli

Suggerimenti per rendere la PMI più sicura

Suggerimenti per rendere la PMI più sicura Suggerimenti per rendere la PMI più sicura A cura di: Enrico Venuto Politecnico di Torino 20 novembre 2015 Dematerializzazione Libera da molte lentezze, inefficenze Introduce nuove problematiche e punti

Dettagli

DEFENCE in DEPTH. Strategie di riduzione della superficie d attacco e dei rischi informatici

DEFENCE in DEPTH. Strategie di riduzione della superficie d attacco e dei rischi informatici DEFENCE in DEPTH Strategie di riduzione della superficie d attacco e dei rischi informatici Luca Bechelli Clusit luca@bechelli.net Ugo Di Nola Sinergy u.dinola@sinergy.it Roberto Banfi Sinergy r.banfi@sinergy.it

Dettagli

Analisi e gestione del rischio. ing. Daniele Perucchini Fondazione Ugo Bordoni dperucchini@fub.it

Analisi e gestione del rischio. ing. Daniele Perucchini Fondazione Ugo Bordoni dperucchini@fub.it Analisi e gestione del rischio ing. Daniele Perucchini Fondazione Ugo Bordoni dperucchini@fub.it ISCOM e infrastrutture critiche www.iscom.gov.it Premessa Prima di iniziare qualsiasi considerazione sull'analisi

Dettagli

SVILUPPO, CERTIFICAZIONE E MIGLIORAMENTO DEL SISTEMA DI GESTIONE PER LA SICUREZZA SECONDO LA NORMA BS OHSAS 18001:2007

SVILUPPO, CERTIFICAZIONE E MIGLIORAMENTO DEL SISTEMA DI GESTIONE PER LA SICUREZZA SECONDO LA NORMA BS OHSAS 18001:2007 Progettazione ed erogazione di servizi di consulenza e formazione M&IT Consulting s.r.l. Via Longhi 14/a 40128 Bologna tel. 051 6313773 - fax. 051 4154298 www.mitconsulting.it info@mitconsulting.it SVILUPPO,

Dettagli

Provincia Autonoma di Bolzano Disciplinare organizzativo per l utilizzo dei servizi informatici, in particolare di internet e della posta

Provincia Autonoma di Bolzano Disciplinare organizzativo per l utilizzo dei servizi informatici, in particolare di internet e della posta Provincia Autonoma di Bolzano Disciplinare organizzativo per l utilizzo dei servizi informatici, in particolare di internet e della posta elettronica, da parte degli uffici provinciali e dell amministrazione

Dettagli

Stefano Zanero, PhD - s.zanero@securenetwork.it CTO & Founder, Secure Network

Stefano Zanero, PhD - s.zanero@securenetwork.it CTO & Founder, Secure Network Penetration test vs. Security Assessment Capire le differenze tra le metodologie, gli obiettivi e i risultati (per non parlare di quelle tra i consulenti) Stefano Zanero, PhD - s.zanero@securenetwork.it

Dettagli

BOLLETTINO DI SICUREZZA INFORMATICA

BOLLETTINO DI SICUREZZA INFORMATICA STATO MAGGIORE DELLA DIFESA II Reparto Informazioni e Sicurezza Ufficio Sicurezza Difesa Sezione Gestione del Rischio CERT Difesa CC BOLLETTINO DI SICUREZZA INFORMATICA N. 5/2008 Il bollettino può essere

Dettagli

Definizione di un servizio finalizzato a definire un piano di disaster recovery e di intervento a beneficio delle PMI e degli studi professionali

Definizione di un servizio finalizzato a definire un piano di disaster recovery e di intervento a beneficio delle PMI e degli studi professionali Introduzione Definizione di un servizio finalizzato a definire un piano di disaster recovery e di intervento a beneficio delle PMI e degli studi professionali Relazione sul progetto Padova, 21 Luglio 2009

Dettagli

Strategie per il web e l apprendimento in rete

Strategie per il web e l apprendimento in rete Oggetto: Servizi e consulenza per la formazione on-line I NOSTRI CORSI Corso MS Office Il corso sviluppa un percorso di apprendimento graduale attraverso semplici unità formative che sviluppano le abilità

Dettagli

Descrizione servizio Websense Hosted Mail Security

Descrizione servizio Websense Hosted Mail Security Descrizione servizio Websense Hosted Mail Security Alla luce della crescente convergenza delle minacce nei confronti del Web e della posta elettronica, oggi è più importante che mai poter contare su una

Dettagli

Security Scan e Penetration Testing

Security Scan e Penetration Testing Security Scan e Penetration Testing esperienze di una realtà specializzata http://www.infosec.it info@infosec.it Il Net Probing INFOSEC Relatore: Stefano Venturoli Infosecurity 2002 Security Scan e Penetration

Dettagli

A proposito di Cyber Security

A proposito di Cyber Security Cyber Security Fingerprint Advertorial A proposito di Cyber Security La sicurezza dei sistemi di controllo e automazione industriale diventa sempre più critica in quanto reti diverse sono spesso collegate

Dettagli

"QUANDO C'E' UNA META, ANCHE IL DESERTO DIVENTA STRADA"

QUANDO C'E' UNA META, ANCHE IL DESERTO DIVENTA STRADA Progettare oggi, significa apportare innovazione, semplicità, aumento della produttività, creare valore aggiunto durante le normale attività di lavoro, sempre senza generare attriti tra la produzione e

Dettagli

I SÌ e i NO della sicurezza informatica

I SÌ e i NO della sicurezza informatica I SÌ e i NO della sicurezza informatica cosa fare cosa evitare a cosa prestare attenzione cosa riferire come mantenersi protetti La sicurezza è una responsabilità che ci dobbiamo assumere tutti. Seguite

Dettagli

1. LE MINACCE ALLA SICUREZZA AZIENDALE 2. IL RISCHIO E LA SUA GESTIONE. Sommario

1. LE MINACCE ALLA SICUREZZA AZIENDALE 2. IL RISCHIO E LA SUA GESTIONE. Sommario 1. LE MINACCE ALLA SICUREZZA AZIENDALE 1.1 Introduzione... 19 1.2 Sviluppo tecnologico delle minacce... 19 1.2.1 Outsourcing e re-engineering... 23 1.3 Profili delle minacce... 23 1.3.1 Furto... 24 1.3.2

Dettagli

Informazioni Aziendali: Il processo di valutazione dei Rischi Operativi legati all Information Technology

Informazioni Aziendali: Il processo di valutazione dei Rischi Operativi legati all Information Technology Informazioni Aziendali: Il processo di valutazione dei Rischi Operativi legati all Information Technology Davide Lizzio CISA CRISC Venezia Mestre, 26 Ottobre 2012 Informazioni Aziendali: Il processo di

Dettagli

CONVENZIONE CON GLI ATENEI E ISTITUTI DI GRADO UNIVERSITARIO ALLEGATO 3 CRITERI TECNICI PER LE MODALITA DI ACCESSO DESCRIZIONE DEL SERVIZIO DI HOSTING

CONVENZIONE CON GLI ATENEI E ISTITUTI DI GRADO UNIVERSITARIO ALLEGATO 3 CRITERI TECNICI PER LE MODALITA DI ACCESSO DESCRIZIONE DEL SERVIZIO DI HOSTING CONVENZIONE CON GLI ATENEI E ISTITUTI DI GRADO UNIVERSITARIO ALLEGATO 3 CRITERI TECNICI PER LE MODALITA DI ACCESSO DESCRIZIONE DEL SERVIZIO DI HOSTING Il servizio, fornito attraverso macchine server messe

Dettagli

ENDIAN: SERVIZI DI ASSISTENZA TECNICA (SLA)

ENDIAN: SERVIZI DI ASSISTENZA TECNICA (SLA) ENDIAN: SERVIZI DI ASSISTENZA TECNICA (SLA) INTRODUZIONE Endian propone un offerta completa di servizi di assistenza altamente qualificata che si aggiungono alle soluzioni di sicurezza già incluse nella

Dettagli

Il ROI del consolidamento dei Server

Il ROI del consolidamento dei Server Il ROI del consolidamento dei Server Sul lungo periodo, un attività di consolidamento dei server è in grado di far scendere i costi IT in modo significativo. Con meno server, le aziende saranno in grado

Dettagli

La sicurezza informatica degli impianti industriali. Case study STET. STET S.p.A. Servizi Territoriali Est Trentino. 20 novembre 2014. www.stetspa.

La sicurezza informatica degli impianti industriali. Case study STET. STET S.p.A. Servizi Territoriali Est Trentino. 20 novembre 2014. www.stetspa. La sicurezza informatica degli impianti industriali Case study STET STET S.p.A. Servizi Territoriali Est Trentino 20 novembre 2014 Presentazione della società e del progetto La società STET S.p.A. opera

Dettagli

MENSA AZIENDALE: PRENOTAZIONE E PAGAMENTO

MENSA AZIENDALE: PRENOTAZIONE E PAGAMENTO SOLUZIONE PER LA GESTIONE DELLA MENSA AZIENDALE: PRENOTAZIONE E PAGAMENTO DEI PASTI LO SCENARIO: Oggi giorno i dipendenti di molte aziende possono usufruire di un servizio mensa interno. Per erogare nel

Dettagli

SICUREZZA INFORMATICA SICUREZZA DEI DISPOSITIVI MOBILI

SICUREZZA INFORMATICA SICUREZZA DEI DISPOSITIVI MOBILI SICUREZZA INFORMATICA SICUREZZA DEI DISPOSITIVI MOBILI Consigli per la protezione dei dati personali Ver.1.0, 21 aprile 2015 2 Pagina lasciata intenzionalmente bianca I rischi per la sicurezza e la privacy

Dettagli

Case Study Certificazione BS 7799

Case Study Certificazione BS 7799 Corso di formazione Case Study Certificazione BS 7799 PRIMA GIORNATA Analisi degli standard ISO 17799 e BS7799: cosa sono, come e perché affrontare il percorso di certificazione h. 9.00: Registrazione

Dettagli

Legal Snapshot. Sicurezza delle informazioni SCENARIO ESIGENZE SOLUZIONE

Legal Snapshot. Sicurezza delle informazioni SCENARIO ESIGENZE SOLUZIONE Sicurezza delle informazioni Legal Snapshot SCENARIO Il contesto attuale è caratterizzato da continui cambiamenti ed evoluzioni tecnologiche che condizionano gli ambiti sociali ed aziendali. La legislazione

Dettagli

MS WORD 2000 ULTIMA VULNERABILITA SCOPERTA

MS WORD 2000 ULTIMA VULNERABILITA SCOPERTA SEGNALAZIONE DEL 05/09/2006 (LIVELLO DI RISCHIO 3 SU 5) MS WORD 2000 ULTIMA VULNERABILITA SCOPERTA INTRODUZIONE : Negli ultimi mesi sono state segnalate, a livello mondiale, numerose attività intese a

Dettagli

NUMERO 1O l esperienza migliora il business

NUMERO 1O l esperienza migliora il business NUMERO 1O l esperienza migliora il business Dal 1986 al vostro fianco NUMERO 1O, a più di vent anni dalla sua nascita, rappresenta il polo di riferimento nell esperienza informatica legata al business.

Dettagli

Analisi del Rischio. Approccio alla valutazione del rischio Informatico. Contromisure. Giorgio Giudice gg@ntsource.it

Analisi del Rischio. Approccio alla valutazione del rischio Informatico. Contromisure. Giorgio Giudice gg@ntsource.it Analisi del Rischio Approccio alla valutazione del rischio Informatico Contromisure Cosa è l Analisi del Rischio Un metodo per quantificare l impatto di un potenziale attacco ad un sistema Il risultato

Dettagli

RSA Sun Insurance Office Ltd

RSA Sun Insurance Office Ltd RSA Sun Insurance Office Ltd Web Application Security Assessment (http://rsage49:9080/sisweb) Hacking Team S.r.l. Via della Moscova, 13 20121 MILANO (MI) - Italy http://www.hackingteam.it info@hackingteam.it

Dettagli

Symantec Network Access Control Starter Edition

Symantec Network Access Control Starter Edition Symantec Network Access Control Starter Edition Conformità degli endpoint semplificata Panoramica Con è facile iniziare a implementare una soluzione di controllo dell accesso alla rete. Questa edizione

Dettagli

Internet Security Systems Stefano Volpi

Internet Security Systems Stefano Volpi Internet Security Systems Stefano Volpi Chi è Internet Security Systems Leader mondiale tra le aziende indipendenti nel settore della sicurezza IT Fondata nel 1994 con base ad Atlanta (Georgia) Quotata

Dettagli

L approccio di Consip alla sicurezza applicativa. Matteo Cavallini

L approccio di Consip alla sicurezza applicativa. Matteo Cavallini L approccio di Consip alla sicurezza applicativa Matteo Cavallini Chi sono Dal 2007 Responsabile della Struttura Operativa della Unità Locale della Sicurezza MEF/Consip che raggruppa nella propria constituency:

Dettagli

Il 95% dei problemi che si manifestano lavorando con la pedana Lizard è riconducibile a problemi

Il 95% dei problemi che si manifestano lavorando con la pedana Lizard è riconducibile a problemi Il 95% dei problemi che si manifestano lavorando con la pedana Lizard è riconducibile a problemi informatici. Installazione di programmi conflittuali, mancata manutenzione del pc (p.e. deframmentazione

Dettagli

BUSINESS SOLUTION FOR BUSINESS PEOPLE

BUSINESS SOLUTION FOR BUSINESS PEOPLE BUSINESS SOLUTION FOR BUSINESS PEOPLE Chi è Axioma Dal 1979 Axioma offre prodotti software e servizi per le imprese appartenenti ai settori Ai software gestionali Axioma, si affianca un'offerta di prodotti

Dettagli

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking

Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Seminario associazioni: Seminario a cura di itsmf Italia Problem Management proattivo di sicurezza secondo ITIL: attività di Etichal Hacking Andrea Praitano Agenda Struttura dei processi ITIL v3; Il Problem

Dettagli

Case study STET. Sicurezza Cibernetica Nazionale: consapevolezza e autovalutazione. Trento, 10 ottobre 2014. Case study STET

Case study STET. Sicurezza Cibernetica Nazionale: consapevolezza e autovalutazione. Trento, 10 ottobre 2014. Case study STET Sicurezza Cibernetica Nazionale: consapevolezza e autovalutazione Trento, 10 ottobre 2014 1 Presentazione della società e del progetto 2 La società Servizi Territoriali Est Trentino Società per Azioni

Dettagli

Introduzione al Cloud Computing

Introduzione al Cloud Computing Risparmiare ed innovare attraverso le nuove soluzioni ICT e Cloud Introduzione al Cloud Computing Leopoldo Onorato Onorato Informatica Srl Mantova, 15/05/2014 1 Sommario degli argomenti Definizione di

Dettagli

Strategie di web-marketing

Strategie di web-marketing Strategie di web-marketing Prima di iniziare il web-marketing Prima di iniziare una strategia di web-marketing, è necessario comprendere se questo possa essere veramente utile alla propria azienda: Cosa

Dettagli

Un'efficace gestione del rischio per ottenere vantaggi competitivi

Un'efficace gestione del rischio per ottenere vantaggi competitivi Un'efficace gestione del rischio per ottenere vantaggi competitivi Luciano Veronese - RSA Sr. GRC Consultant 1 L universo dei rischi I rischi sono classificati in molteplici categorie I processi di gestione

Dettagli

Proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni per la pubblica amministrazione

Proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni per la pubblica amministrazione Esempio strutturato di SICUREZZA ORGANIZZATIVA Proposte concernenti le strategie in materia di sicurezza informatica e delle telecomunicazioni per la pubblica amministrazione Pubblicazione del Comitato

Dettagli

Violazione dei dati aziendali

Violazione dei dati aziendali Competenze e Soluzioni Violazione dei dati aziendali Questionario per le aziende ISTRUZIONI PER L UTILIZZO Il presente questionario è parte dei servizi che la Project++ dedica ai propri clienti relativamente

Dettagli

Security Summit 2010. Insert Company Logo. L evoluzione nella sicurezza delle applicazioni Lucilla Mancini, Massimo Biagiotti, Business-e

Security Summit 2010. Insert Company Logo. L evoluzione nella sicurezza delle applicazioni Lucilla Mancini, Massimo Biagiotti, Business-e Security Summit 2010 Insert Company L evoluzione nella sicurezza delle applicazioni Lucilla Mancini, Massimo Biagiotti, Business-e L evoluzione nella sicurezza delle applicazioni

Dettagli

è la soluzione per la piccola e media impresa orientata alle lavorazioni su commessa

è la soluzione per la piccola e media impresa orientata alle lavorazioni su commessa è un azienda nata come capogruppo di aziende consolidate da anni nel settore informatico e rimasta unica per fusione delle sue consociate. Come tale rispecchia quelle che sono le radici di provenienza,

Dettagli

1) IDEA PROGETTUALE (max. 4 pagine).

1) IDEA PROGETTUALE (max. 4 pagine). Proposta preliminare di sviluppo di un Progetto Integrato di Frontiera (PIF FORMULARIO Nome del PIF: Area Tematica ( a scelta fra quelle indicate nell appendice 1 dell Avviso Pubblico Abstract (1 pagina

Dettagli

Symantec Insight e SONAR

Symantec Insight e SONAR Teniamo traccia di oltre 3, miliardi di file eseguibili Raccogliamo intelligence da oltre 20 milioni di computer Garantiamo scansioni del 70% più veloci Cosa sono Symantec Insight e SONAR Symantec Insight

Dettagli

MCloud.Gov l infrastruttura SaaS per la Pubblica Amministrazione locale

MCloud.Gov l infrastruttura SaaS per la Pubblica Amministrazione locale MCloud.Gov l infrastruttura SaaS per la Pubblica Amministrazione locale 1. Livello infrastrutturale Il Cloud, inteso come un ampio insieme di risorse e servizi fruibili da Internet che possono essere dinamicamente

Dettagli

Gestione remota archivi cartelle sanitarie e di rischio informatizzate

Gestione remota archivi cartelle sanitarie e di rischio informatizzate Gestione remota archivi cartelle sanitarie e di rischio informatizzate L odierna realtà economica impone alle aziende di differenziarsi sempre più dai concorrenti, investendo in tecnologie che possano

Dettagli

legati alla realtà delle Pubbliche Amministrazioni Roma, 11 maggio 2007

legati alla realtà delle Pubbliche Amministrazioni Roma, 11 maggio 2007 Computer Crime: i Rischi Tipici legati alla realtà delle Pubbliche Amministrazioni Roma, 11 maggio 2007 Definizione di Rischio 2 Nella fattispecie il rischio nel settore dell infrastrutture dell ICT viene

Dettagli

AZIENDA E FILOSOFIA. La scoperta di una soluzione consiste nel guardare le cose come fanno tutti ma pensare in modo diverso da come pensano tutti.

AZIENDA E FILOSOFIA. La scoperta di una soluzione consiste nel guardare le cose come fanno tutti ma pensare in modo diverso da come pensano tutti. AZIENDA E FILOSOFIA Made in bit srl si propone alle aziende come fornitore globale di soluzioni software e tecnologia informatica. Grazie alla sinergia con i propri clienti, l azienda ha acquisito un patrimonio

Dettagli

LE CERTIFICAZIONI ECDL 12 GIUGNO 2014. Lucchetti Silvia

LE CERTIFICAZIONI ECDL 12 GIUGNO 2014. Lucchetti Silvia LE CERTIFICAZIONI ECDL 12 GIUGNO 2014 IL D.M. N. 308 DEL 22.05.2014 TABELLA A-B GRADUATORIA ASPIRANTI DOCENTI II-III FASCIA RICONOSCE UN MASSIMO DI 4 PUNTI PER LE CERTIFICAZIONI INFORMATICHE. SI PRECISA

Dettagli

Var Group Approccio concreto e duraturo Vicinanza al Cliente Professionalità e metodologie certificate In anticipo sui tempi Soluzioni flessibili

Var Group Approccio concreto e duraturo Vicinanza al Cliente Professionalità e metodologie certificate In anticipo sui tempi Soluzioni flessibili Var Group, attraverso la sua società di servizi, fornisce supporto alle Aziende con le sue risorse e competenze nelle aree: Consulenza, Sistemi informativi, Soluzioni applicative, Servizi per le Infrastrutture,

Dettagli