Cyber Resilience 'by design e by default

Transcript

1 Cyber Resiliece 'by desig e by default Luca Bechelli Iforma(o & Cyber Security Advisor Dire9vo e Comitato Tecico - Scie(fico CLUSIT

2 Ci soo cose che o cambiao mai OWASP Top OWASP Top Top te vulerabilities 2017 A1 Ijectio A2 Broke Autheticatio ad Sessio Maagemet A3 Cross-Site Scriptig (XSS) A4 Isecure Direct Object Refereces [Merged+A7] A5 Security Miscofiguratio A6 Sesitive Data Exposure A7 Missig Fuctio Level Access Cotr [Merged+A4] A8 Cross-Site Request Forgery (CSRF) A9 Usig Compoets with Kow Vulerabilities A10 Uvalidated Redirects ad Forwards A1:2017-Ijectio A2:2017-Broke Autheticatio A3:2017-Sesitive Data Exposure A4:2017-XML Exteral Etities (XXE) [NEW] A5:2017-Broke Access Cotrol [Merged] A6:2017-Security Miscofiguratio A7:2017-Cross-Site Scriptig (XSS) A8:2017-Isecure Deserializatio [NEW, Commuity] A9:2017-Usig Compoets with Kow Vulerabilities A10:2017-Isufficiet Loggig&Moitorig [NEW,Comm.] 2

3 Primi 6 mesi del % di tutti gli attacchi registrati dal 2011

4 Privacy by desig Security Search & replace Descritta da sette pricipi, defiiti egli ai 90 (i particolare el 1995): Proactive ot Reactive: The PbD approach attempts to aticipate ad prevet privacy-ivasive evets before they happe. Privacy as the Default Settig: Esure that persoal data is automatically protected i ay give IT system or busiess practice, so that if a idividual does othig, their privacy still remais itact. Privacy Embedded ito Desig: Privacy should be embedded ito the desig ad architecture of IT systems ad busiess practices. Full Fuctioality Positive-Sum, ot Zero-Sum: PbD seeks to accommodate all legitimate iterests ad objectives i a wi-wi maer, balacig seemly opposig iterests, such as security ad privacy. Ed-to-Ed Security Full Lifecycle Protectio: PbD exteds throughout the etire lifecycle of the data ivolved, from start to fiish. Visibility ad Trasparecy: It seeks to assure all stakeholders that compoet parts ad operatios remai visible ad trasparet, to users ad providers alike. Respect for User Privacy Keep it User-Cetric: Above all, it puts the iterests of the idividual by offerig such measures as strog privacy defaults, appropriate otice, ad empowerig user-friedly optios.

5 Privacy by Desig Art.25 Protezioe dei dati fi dalla progettazioe e protezioe per impostazioe predefiita: u teedo coto dello stato dell arte e dei costi di attuazioe, oche della atura, dell ambito di applicazioe, del cotesto e delle fialita del trattameto, come ache dei rischi aveti probabilita e gravità diverse per i diritti e le libertà delle persoe fisiche costituiti dal trattameto, sia al mometo di determiare i mezzi del trattameto sia all atto del trattameto stesso il titolare del trattameto mette i atto misure teciche e orgaizzative adeguate, quali la pseudoimizzazioe, volte ad attuare i modo efficace i pricipi di protezioe dei dati, quali la miimizzazioe, e a itegrare el trattameto le ecessarie garazie al fie di soddisfare i requisiti del presete regolameto e tutelare i diritti degli iteressati.

6 By desig e by default: obiettivi da perseguire correttezza e traspareza: i dati sarao trattati i modo corretto e trasparete ei cofroti dell iteressato, i particolare prevededo iformative adeguate prima di itrapredere qualsiasi trattameto e successive comuicazioi riguardo ad evetuali modifiche rispetto a quato iizialmete idicato; limitazioe della fialità: i dati sarao raccolti esclusivamete per fialità determiate, esplicite e legittime e successivamete trattati i modi che o siao icompatibili co tali fialità; liceità: i dati sarao raccolti e trattati, ad eccezioe dei casi tassativi esplicitamete previsti dal Regolameto, solo i preseza di ua o più delle codizioi di liceità da quest ultimo idetificate; esattezza: i dati devoo essere mateuti esatti e, se ecessario, aggiorati. Pertato, dovrao sussistere tutte le misure ecessarie a cacellare o rettificare tempestivamete i dati iesatti rispetto alle fialità per le quali soo trattati; miimizzazioe dei dati: i dati devoo essere adeguati, pertieti e limitati a quato strettamete ecessario alla realizzazioe delle fialità per cui sarao raccolti; limitazioe della coservazioe: i dati sarao coservati i ua forma che cosetirà l idetificazioe degli iteressati per u arco di tempo o superiore a quello ecessario al coseguimeto delle fialità per le quali soo stati raccolti e trattati; resposabilizzazioe: l azieda dovrà essere i grado di comprovare l adozioe di misure e processi idoei a garatire il rispetto dei pricipi descritti ai puti che precedoo, delle orme del GDPR (accoutability) e delle misure idividuate sulla base dell aalisi dei rischi.

7 GRAZIE Domade? Osservatorio Iformatio Security & Privacy Liea Guida per la Data Protectio Impact Assessmet blicazioi/liea-guida-per-la-dataprotectio-impact-assessmet Luca Bechelli Direttivo e Comitato Tecico Scietifico Clusit luca@bechelli.et