Studio Informatica Forense e sicurezza Informatica

Транскрипт

1 1 Enterprise Risk Management: è possibile ridurre il rischio senza aver fatto una data Cassification? Webesene e la protezione del data in motion Studio Informatica Forense e sicurezza Informatica Dott. Alessandro Fiorenzi Consulente Sicurezza Informatica e Computer Forensic Direttivo Delegato in tema di Computer Forensics [email protected] Milano 9 Luglio 2014

2 Classificazione dei dati 2 Richiede che si proceda perlomeno a: Definizione di una Policy di quali tipi di Documenti classificare Definizione di una metrica Classificazione di tutti i documenti presenti in azienda Richiede di istruire le persone che trattano i dati ad eseguire anche la classificazione (viene chiesto loro di fare un lavoro non utile al loro business, spesso questo causa resistenza nell applicazione e valutazioni non oggettive)

3 Limiti classificazione dati 3 Policy e Metriche spesso non soggettive e non rispettano principi di oggettività e terzietà Chi classifica il documento è spesso chi lo produce, questo fa si che per bypass del controlli di processo venga assegnata una classificazione di comodo non corrispondente al reale rischio/valore Troppi documenti da classificare: nella fase iniziale ci moltissimi documenti da classificare, questo richiede molto tempo prima di essere pronti ad attivare un DLP che si basi sulla classificazione dei documenti Il rilascio di nuove versioni di documenti fa si che spesso sia mantenuta la classificazione originale anche se cambia il rischio associato. La classificazione dei dati si limita a trattare solo i contenitori dell informazione: i documenti e non l informazione da salvaguardare.

4 Tutela patrimonio aziendale 4 Il patrimonio aziendale è costituito da asset tangibili e asset intangibili, questi ultimo sono i più complessi da tutelare: know-how Segreti industriali Brevetti Informazioni sui clienti (profiling etc ) Informazioni sui prodotti e redditività Bandi gara Piani di sviluppo e acquisizione Software e servizi Etc Il DLP è uno strumento di tutela e salvaguardia del patrimonio aziendale, in particolare degli asset intangibili. Le informazioni aziendali, che costituiscono valore, non si trovano solo nei documenti, ma anche sui database, nel cvs aziendale, nel crm etc.vengono usati su portali Internet e intranet, scambiati via mail su dispositivi aziendali e non. La tutela delle informazioni è un processo complesso a causa dei molti canali con cui può essere veicolata anche illecitamente

5 DLP fase 1 5 Individuare l informazione che per l azienda rappresenta un valore da salvaguardare Avviare la sperimentazione/analisi RiskVision POC DLP Usando le policy di default, definite dagli standard internazionali ISO 27000, PCI-DSS, Sarban Oxley etc SAE etc e aggiungendo il matching dell informazione che aziendalmente riteniamo importante. La context analisys del traffico dati, la correlazione con i feed di sicurezza e l analisi heuristica permettono di individuare elementi e comportamenti sensibili per l azienda.

6 Risultati fase 1 6 Sistematicamente si scopre che: le informazioni importanti sono trattate con leggerezza: Inviate per mail a indirizzi privati o di concorrenti Pubblicate su siti internet (forum, pastebin etc ) Trattamenti illeciti: dati sensibili o personali trattati da personale non incaricato ai termini del Dlgs. 196/2003 Dati conservati in aree non protette, duplicati su desktop e portatili e mobile Informazioni amministrative eccessivamente condivise Modalità di lavoro sconosciute Uso di sistemi p2p Uso di sistemi proxy non aziendali Uso di indirizzi , e firma aziendale, all interno di forum Salvataggio di utenze e password in chiaro e loro invio per . Condivisione di dati aziendali su strumenti di IM Individuazione di agenti di minaccia interni Malware tipo zeus Tentativi di accesso a sistemi non aziendali Utilizzo di strumenti di crack e keygenerator che installano spyware Utilizzo dei portali che non prevedono la cifratura del canale di autenticazione né l hashing della password

7 Casi Reali 7

8 DLP fase 2 e 3 8 Fase 2: remediation Eliminare i falsi positivi: istruendo opportunamente il sistema Intervenire su ogni area evidenziata per ricondurre l uso dell informazione o i comportamenti a modelli in linea con la tutela dell azienda. Intervenire sui processi Intervenire sugli Incarichi dei trattamenti Intervenire sulle persone Fase 3L: Deploy Interno Definizione/integrazione delle policy aziendali relativamente alla componente DLP, indicando i comportamenti ritenuti lesivi dell azienda che verranno monitorati dal sistema Confronto con le rappresentanze sindacali al fine di spiegare che il DLP è uno strumento di tutela del patrimonio aziendale e che viene attivato con l unica finalità di salvaguardia del patrimonio. Escludendo quindi ogni utilizzo teso al controllo del lavoratore nel rispetto degli articoli 3 e 4 dello statuto dei lavoratori

9 DLP: Start 9 Fase 4: mettiamo in operativo il DLP Attivare le funzionalità del DLP Presidiare con regolarità lo strumento Arricchire nel tempo l analisi eseguita dal sistema: Raffinando e incrementando l identificazione delle informazioni «critiche/ sensibili» Adeguando l analisi alle richieste della compliance Adeguando l analisi ai nuovi scenari aziendali Trattare ogni allarme come un «incident», adottando quindi provvedimenti di remediation, di repressione e sanzionatori.

10 The Day After DLP 10 Il permanere nel tempo di allarmi, rispetto ai quali l azienda ha effettuato dei richiami impone l adozione di un protocollo forense che tuteli il diritto dell azienda Avvio fase forense: Cristallizzazione delle evidenze prodotte da DLP, con relativi log Cristallizzazione delle eventuali evidenze presenti su server e/o sugli strumenti aziendali assegnati alla risorsa Analisi e Perizia Avvio procedimento disciplinare o giuridico con l allegazione della perizia e delle evidenze informatiche

11 Grazie 11 Studio Informatica Forense Dott. Alessandro Fiorenzi Consulente Sicurezza Informatica e Computer Forensic [email protected] Mobile: 348/