La Sicurezza e i benefici per il business. Francesca Di Massimo Security Lead Italia frandim@microsoft.com Roma, 7 giugno 2006

Transcript

1 La Sicurezza e i benefici per il business Francesca Di Massimo Security Lead Italia frandim@microsoft.com Roma, 7 giugno 2006

2 Lo scenario di riferimento Gli attacchi diventano più sofisticati Le difese tradizionali sono inadeguate User GUI Applications Drivers OS H/W Physical Esempi Spyware Rootkits Phishing Attacchi alle Applicazioni L e-crime aumenta Aumento del 35% del numero di incidenti con una perdita economica media di $596,670 1 Nel 2005, Il 78% delle aziende è stata colpita da virus, il 49% ha subito furti di pc portatili e il 37% ha riportato accessi non autorizzati alle informazioni 2 L FBI stima che il computer crime costa alle aziende americane $67 billion all anno anno CERT and US Secret Service E-Crime E Watch 2 - CSI and FBI Computer Crime and Security Survey

3 L impegno di Microsoft per la sicurezza Una piattaforma sicura rafforzata da prodotti di sicurezza, servizi e guida per supportare i clienti Piattaforme sicure Innovazioni nella sicurezza Guide ed informazioni basate su scenari Processi di Incident Response Trasferimento di conoscenza e skill Collaborazione e Partnership 3

4 Gli investimenti di Microsoft: i fondamenti della sicurezza Il Security Development Lifecycle Il Security Response Center Aggiornamenti di sicurezza e strumenti 4

5 Mitigazione delle minacce e delle vulnerabilità Prevenzione Isolamento Recovery Stop ad attacchi conosciuti e non Limitare i danni usando l isolamento Ripristino del funzionamento Anti-virus Anti-spyware Anti-spam Anti-phishing Desktop firewall IP Sec User Account Protection IE 7 Windows Service Hardening Network Access Protection System Restore Malicious Software Removal Tool Intellimirror 5

6 Gestione degli accessi e delle identità Trustworthy Identity Access Policy Management Information Protection Gestione del ciclo di vita delle identità, autenticazione Accesso basato su policy Protezione dei dati attraverso l intero ciclo di vita Directory Services Lifecycle Management Strong Authentication Federated Identity Certificate Services Role-based Access Control (RBAC) Audit Collections Services Group Policy Management Console Rights Management Services Encryption Services Secure Protocols and Channels Back-up and Recovery Services 6

7 Gli investimenti in sicurezza 7 Le aree prioritarie nella valutazione degli investimenti 1. Continuità operativa 2. Risk auditing 3. Multicanalità 4. Consolidamenti organizzativi Il ritorno degli investimenti 1. Adeguamento alla compliance Valutare e prioritizzare gli investimenti in sicurezza tramite un processo di gestione del rischio integrato rispetto ai processi aziendali, abilita benefici per il business. 2. Aumento della fiducia dei clienti verso i servizi erogati dalla banca 3. Supporto ai processi di business e alle strategie con la garanzia di un infrastruttura dinamica 4. Diminuzione della complessità e dei costi di gestione dell infrastruttura 5. Mitigazione del rischio 6. Aumento della soddisfazione degli stakeholder

8 Rispettare la Compliance e migliorare la Governance Analizzare e gestire il rischio di business, far evolvere i processi organizzativi e far evolvere l infrastruttura l IT con un approccio sinergico, graduale e a lungo termine Gestione processi Gestione delle informazioni Gestione delle Informazioni Controllo e reporting efficiente Reporting Applicazioni sicure Gestione dell identit identità e degli accessi Business Continuity Monitoraggio del Business Documentazione dei processi di Business Processi ripetibili Sicurezza e Privacy Riduzione del rischio Visibilità e controllo 8 Riduzione della complessità e dei costi di dover indirizzare esigenze diverse, migliorando l efficienza l degli strumenti di controllo e riducendo il rischio

9 Il valore di business di un sistema IT sicuro e ben gestito Security, Networking, & Monitoring Anti-virus on desktops Centralized firewall Internal DNS and DHCP Remote access (VPN or TS) IPSec server isolation Monitoring of servers Firewall on servers & desktops Secure wireless network Service level monitoring on desktops Identity & Access Mgmt Limited infrastructure Limited or no IT policies No standards on desktops Directory for authentication and authorization Central administration of configurations and security Centrally manage users provisioning across heterogeneous system Desktop Engineering Automated patch management Standard desktop images Current desktop OS Automated software distribution Application compatibility testing Reference image system Automated patch management for servers Automated app compatibility testing Automated reference image system Disaster Recovery Back-up/restore on all critical servers Back-up/restore on all servers Back-up/restore on all servers and desktops Secured Messaging Infrastructure Basic services authentication Server SPAM blocking Server anti-virus scanning Server health monitoring Secure web-based access Proactive service monitoring Secure messaging for mobile devices 9 Complessità e costi ridotti, maggiore valore per il business

10 Approccio incrementale: la capacità di limitare i rischi e abilitare i benefici Benefici Riduzione dei costi Sicurezza su più livelli, del perimetro, dei server, dei desktop e dei livelli applicativi Automazione Riduzione della complessità Controllo sull infrastruttura Procedure e processi proattivi Aumento della produttività del reparto IT, dell helpdesk e degli utenti Miglioramento del ROI vs costi incremntali dell IT Miglior integrazione con il Business, più facile e più veloce e a costi minori Sicurezza proattiva procedure definite e controllo dai desktop, ai firewall, alla extranet il TCO del desktop diminuisce.. e i costi del Deployment diminuiscono Ave Desktop TCO* (US$) 10 $5,000 $4,500 Strategic Asset $3,000 Ave Cost of Desktop Deployment ** $1,000+ $350 <$100 Strategic Asset

11 Riduzione del TCO di un desktop protetto Source: Security Best Practices Can Lower PC TCO- Gartner Reserch - December

12 In questo scenario quali sono le prospettive future, chi deve farsi carico della sicurezza di Internet? L introduzione di standard tecnologici adeguati può rendere la rete Internet più sicura e migliorare lo scenario di riferimento (es. DNS spoofing, Infocard) La collaborazione tra industria, forze di polizia e governi Servizi e prodotti integrati in un'unica soluzione e facili da usare, possono alzare il livello medio di protezione di tutti i sistemi IT collegati ad Internet 12 I governi hanno un ruolo fondamentale e imprescindibile, ovvero la focalizzazione e la convergenza degli sforzi nella ricerca nella lotta al crimine e al terrorismo, nella comunicazione e nell educazione educazione nella definizione dell'etica di utilizzo di Internet e nella protezione delle infrastrutture critiche

13 Protezione contro gli attacchi di tipo Social Engineering e Protezione dal codice malevolo Filtro contro il Phishing e barra degli indirizzi colorata Navigazione protetta con privilegi limitati che non permettono di modificare file o impostazioni 13

14 Le vere cause del furto di identità Mancanza di cultura della sicurezza Admin password Admin.R386W 14

15 Le vere cause del furto di identità Mancanza di cultura della sicurezza 87 Vulnerabilità e Spyware 51 Released 11/29/2000 Released 09/28/ Days After Product Release 15

16 Le vere cause del furto di identità Mancanza di cultura della sicurezza Vulnerabilità e Spyware Password deboli 16

17 Le vere cause del furto di identità Mancanza di cultura della sicurezza Vulnerabilità e Spyware Password deboli 17

18 Infocard e l identità digitale Le password non sono adeguate Ogni utente avrà più di un identit identità adeguata all uso che ne deve fare Nuovi standard aperti guideranno l infrastruttura per la gestione delle identità ADFS InfoCard 18

19 Infocard e l identità digitale Le password non sono adeguate Ogni utente avrà più di un identit identità adeguata all uso che ne deve fare Nuovi standard aperti guideranno l infrastruttura per la gestione delle identità ADFS InfoCard 19

20 Infocard e l identità digitale Le password non sono adeguate Ogni utente avrà più di un identit identità adeguata all uso che ne deve fare Nuovi standard aperti guideranno l infrastruttura per la gestione delle identità Clienti ADFS Partner InfoCard Metasistema di identità Internet Services Applicazioni 20 WS-* Architetture Web Services Utenti

21 Considerate prima le vostre esigenze Casi aziendali: italy/casi/ Banca Fideuram Banca popolare di Vicenza Microsoft Corporation. All rights reserved. This presentation is for informational purposes only. Microsoft makes no warranties, express or implied, in this summary.