CYBER SECURITY E SOCIAL NETWORKS: MINACCE, RISCHI E CONTROMISURE INFORMATION RISK MANAGEMENT

Agenda TASSONOMIA DEGLI AGENTI OSTILI E DELLE MINACCE ATTACCHI RECENTI E RELATIVI IMPATTI SCENARI DI RISCHIO E STRUMENTI DI MITIGAZIONE LA SOCIAL MEDIA SECURITY POLICY NEL CONTESTO DELLE ATTIVITÀ DI CYBER SECURITY 1

Rapporto Clusit 2015 https://clusit.it/rapportoclusit/ 2

La Sicurezza nei Social Media liberamente scaricabile http://c4s.clusit.it Licenza CC-BY-SA versione 3.0 3

Situazione globale Oggi i Social Media sono diventati una dei principali terreni di caccia per il cybercrime organizzato trans-nazionale, che nel 2014 ha raggiunto un turnover (stimato) di 15 miliardi di dollari, in crescita del 10% sull anno precedente. Nel 2014 74 milioni di persone sono stati vittime di cybercrime solo negli USA, (2/3 tramite i Social Media, 10 al secondo) per 32 Md $ di perdite dirette. Nel mondo la stima 2014 è di oltre 110 Md $. Osserviamo sul campo che il trend continua imperterrito, perché: Il ROI per i cyber criminali è in media del 750-800% alla settimana Le barriere di accesso per mettersi in affari sono bassissime Il rischio di essere individuati, perseguiti e puniti è troppo basso I proprietari delle piattaforme Social non fanno security. 4

Dati e Statistiche 5

Dinamiche e trend la superficie di attacco complessivamente esposta dalla nostra civiltà digitale cresce più velocemente della nostra capacità di proteggerla. la vera questione per i difensori (con riferimento ai dati, alle infrastrutture informatiche ed a tutti quei servizi, molti dei quali critici, oggi realizzati tramite l ICT) non è più se, ma quando si subirà un attacco informatico (dalle conseguenze più o meno dannose), e quali saranno gli impatti conseguenti. Tutto ciò che può essere attaccato lo sarà. O lo è già stato. La ragione principale per cui gli attaccanti hanno la meglio è economica, non tecnica, e risiede nella crescente asimmetria tra i differenti modelli di business : per ogni dollaro investito dagli attaccanti nello sviluppo di nuovo malware, o nella ricombinazione di malware esistente per nuovi scopi, il costo sopportato dai difensori è di milioni di dollari. 8

Le principali minacce generiche derivanti dall uso dei Social Media si possono riassumere in: Malware (trojan, worms, rootkits, etc) Applicazioni di terze parti non trusted / maliziose Spam (in combinazione con malware) Phishing & Whaling Furto di identità Danni alla privacy Diffamazione Stalking Oltre alle minacce generiche, le minacce specifiche derivanti dall uso dei Social Media in ambito business si possono riassumere in: Danni all'immagine ed alla reputazione Interruzione del servizio Perdita di dati riservati / proprietà intellettuale Open Source Intelligence (OSInt) da parte di concorrenti Danni a terze parti (liabilities / responsabilità) Frodi e Social Engineering Minore produttività dei collaboratori 9

I Social Media sono una importante fonte di rischio d impresa anche per le Aziende che non li utilizzano! Attacchi informatici, frodi, furti di dati e di denaro, di proprietà intellettuale, concorrenza sleale, danni a terze parti e di immagine 10

I Social Media sono l'ambito nel quale i criminali ed i malintenzionati ottengono maggiore efficacia e minori rischi / costi. Uno spear phishing "ben fatto" su LinkedIn o su Facebook può avere un tasso di conversione del 70-80%. Questo tasso di successo elevatissimo consente ai criminali di rimanere "under the radar", facendo attacchi a gruppi relativamente piccoli di bersagli e diluendoli nel tempo per non dare nell'occhio. Tutti i principali attacchi degli ultimi 2 anni sono partiti da uno S.P. su Social Network. 11

Più un Brand è famoso e seguito, più i suoi comunicatori sono bravi, più ha "followers", più sarà considerato un "watering hole" dai cattivi. Si colpisce la pagina FB del Brand per colpire tutte le zebre (gli utenti) in un colpo solo. 19

Phishing via Facebook Spear Phishing via LinkedIn 20

Mal-Advertising a pagamento su Facebook che punta a siti malevoli (!) 21

Un solo esempio per tutti. Ne potremmo fare alcune migliaia, ogni giorno ce ne sono di nuovi Sfruttando la notizia della morte di Bin Laden, decine di migliaia di utenti Facebook sono stati infettati da un trojan (non rilevato dagli antivirus) che ruba dati personali e trasforma i PC delle vittime in zombie, al servizio dei cybercriminali Per la natura dei Social Media, i criminali hanno la possibilità di infettare e compromettere milioni di sistemi nel giro di poche ore 22

A PsyOps test via Twitter (by the Syrian Electronic Army, a pro-assad mercenary group) 24

Associated Press Twitter account hijacking caused to NYSE a 53B $ loss in 5 minutes 25

Che fare nel nuovo scenario Fare formazione ed aggiornamento a tutti i livelli (i VIP sono i più pericolosi!) Definire regole chiare e condivise specifiche per l utilizzo dei Social Media (Social Media policy orientate alla Security) Controllare e misurare il loro livello di adozione e la loro efficacia nel tempo rispetto all evoluzione delle minacce Responsabilizzare gli utenti e le strutture aziendali coinvolti, a qualsiasi titolo, dall uso dei Social Media. NB diciamolo una volta per tutte: i SM non sono un problema (solo) dell IT ne un ambito di pertinenza esclusiva del Marketing! Occorre uscire dai Silos e lavorare in maniera multidisciplinare. 26

Serve un framework avanzato di cyber security KPMG ha sviluppato un proprio "Cyber Security Framework" che comprende in un unico modello integrato tutti i servizi finalizzati alla protezione delle informazioni, dei sistemi IT e degli asset immateriali, quali il Brand, inclusa la protezione sui "social". INTEGRATE THREAT INTELLIGENCE Threat Intelligence Design & Implementation Benchmarking & Challenge Peer Support & Network PREPARE Cyber Maturity Assessment and Gap Analysis Information Security & Cyber Strategy Security Organization & Design Security Architectural Design Enterprise Risk Management Information Risk Management Performance Management & Metrics Business Continuity & Planning PREPARE INTEGRATE THREAT INTELLIGENCE PROTECT DETECT & RESPOND TRANSFORMATION GOVERNANCE, ASSURANCE & COMPLIANCE PROTECT Target Operating Model Identity & Access Management Security & Technology Assessment Asset Discovery Records Management DETECT & RESPOND SOC Design & Implementation Cyber Attack Detection & Security Analytics Threat & Vulnerability Mgmt. Security Event / Incident Management & Forensic TRANSFORMATION Cyber Security Transformation Program Management Security Cultural Change, Education and Awareness Management And Specialist Training GOVERNANCE, ASSURANCE & COMPLIANCE Privacy & Information Governance / Privacy & Industrial Compliance Certification Support Support to Internal / External Audit Governance Risk and Compliance solutions Security & Compliance Monitoring 27

Strumenti di mitigazione E di fondamentale importanza implementare un insieme di processi di gestione del rischio, armonizzati e coordinati all interno di un piano complessivo di Social Business Security basato su Policies precise, specifiche ed aggiornate che includa: Prevenzione Monitoraggio Moderazione Gestione Crisis Management Definizione di policies e responsabilità per tutti gli attori coinvolti Moderazione in real time della conversazione in ottica Security Prevenzione delle minacce tramite Cyber Intelligence Analisi dei Rischi Cyber e suo aggiornamento continuo Tutela legale (proattiva e reattiva) Gestione in real time degli incidenti e degli attacchi informatici 28

Conclusioni Stimolare il necessario commitment a livello di Direzione e di Stakeholders, sostenendolo con argomentazioni scientifiche (statistiche, ROI, KPI, KSI. NB basta chiacchiere!) Dedicare risorse e $$$. Non pensate di cavarvela gratis. E NO, la vostra agenzia di Digital Marketing non vi può supportare. Deve collaborare però, e capire di cosa stiamo parlando. Creare una struttura multidisciplinare per la gestione della Social Media Strategy che includa ed integri competenze di Marketing, Legali, di HR, di Risk Management e di Information Security Management; Nominare un unico responsabile per la Social Media Strategy che abbia una visione globale dei problemi e delle opportunità (inclusa la Security); Utilizzare persone skillate*. Scegliere i consulenti giusti ma non dare in outsourcing il tutto. Questo è know-how strategico per l azienda. * (non in Web Marketing! in Social Business, alcuni con competenze di Security) 29

2015 KPMG Advisory S.p.A. è una società per azioni di diritto italiano e fa parte del network KPMG di entità indipendenti affiliate a KPMG International Cooperative ("KPMG International"), entità di diritto svizzero. Tutti i diritti riservati. Denominazione e logo KPMG e "cutting through complexity" sono marchi registrati di KPMG International Cooperative ("KPMG International").