Cyber crime in Italia -...
Transcript of Cyber crime in Italia -...
![Page 1: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/1.jpg)
Cyber crime in Italia
Marco R.A. Bozzetti
Presidente AIPSI
Ideatore e curatore OAD
CEO Malabo Srl
la situazione dal Rapporto OAD 2016 e pragmatici suggerimenti su
come proteggersi
![Page 2: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/2.jpg)
2
AIPSI, Associazione Italiana Professionisti Sicurezza Informatica
• http://www.aipsi.org/
• Capitolo italiano di ISSA, Information Systems Security Association, (www.issa.org)
• >>10.000 Soci, la più grande associazione non-profit di professionisti della Sicurezza ICT
• ISSA Journal, Webinar, Conferenze, …
• AIPSI è il punto di aggregazione e di trasferimento di know-how sul territorio per i professionisti della sicurezza, sia dipendenti sia liberi professionisti ed imprenditori del settore
• Primari obiettivi AIPSI
• Aiutare i propri Soci nella crescita professionale e quindi del loro business
• offrire ai propri Soci qualificati servizi per tale crescita
• diffondere la cultura e la sensibilizzazione per la sicurezza informatica agli utenti digitali,
• Sedi territoriali : Milano, Ancona-Macerata, Roma, Lecce
• Collaborazione con varie associazioni ICT ed Enti per eventi ed iniziative congiunte: AICA, Anorc, i vari ClubTI sul territorio, CSA Italy, FidaInform, Inforav, Polizia Postale, Smau, ecc.
![Page 3: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/3.jpg)
3
• Che cosa è
• Indagine via web cui liberamente rispondono i diversi interlocutori: il Rapporto annuale non ha stretta validità statistica ma fornisce chiare e valide indicazioni sulla situazione e sul trend in Italia, basilari per un’efficace analisi dei rischi ICT
• Obiettivi iniziativa
• Fornire informazioni sulla reale situazione degli attacchi informatici in Italia
• Contribuire alla creazione di una cultura della sicurezza informatica in Italia
• Sensibilizzare i vertici delle aziende/enti sulla sicurezza informatica
• Che cosa fa
• Indagine annuale condotta attraverso un questionario on-line indirizzato a CIO, CISO, CSO, ai proprietari/CEO per le piccole aziende
• Gruppo OAI su Linked
• Come
• Assoluta indipendenza anche dagli Sponsor (coprire, parzialmente, i costi di realizzazione)
• Stretto anonimato sui rispondenti al questionario on line via web
• Collaborazione con numerose associazioni (Patrocinatori) per ampliare il bacino dei rispondenti e dei lettori
OAD, Osservatorio Attacchi Digitali in Italia (ex OAI)
![Page 5: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/5.jpg)
5
Rapporto 2016 OAD
• In corso di completamento, sarà pubblicato il 20 luglio 2016
• Workshop-conferenza stampa di presentazione dei risultati il 20 luglio 2016
• Chi fosse interessato a ricevere il Rapporto 2016 lasci il suo biglietto da vista con email. Gli verrà inviato il codice coupon per scaricare (gratuitamente) il Rapporto OAD 2016
![Page 6: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/6.jpg)
6
Gli attacchi digitali in Italia:una anteprima dal Rapporto 2016
![Page 7: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/7.jpg)
7
Le risposte al Questionario 2016 OAD
• Questionario online via web con 65 domande e risposte, multiple o singola, da selezionare con un click tra quelle predefinite
• Risposte completamente anonime
• Coinvolti potenziali rispondenti dalle mailing list di AIPSI, di Malabo, di NextValue, dei Patrocinatori
• 294 rispondenti in totale
![Page 8: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/8.jpg)
8
62,4%
28,2%
9,4%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0% 70,0%
Mai o non rilevato
Meno di 10 casi
Più di 10 casi
% rispondenti
© OAD 2016
37,6%
Attacchi rilevati nel 2015
![Page 9: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/9.jpg)
9
Confronto percentuale degli attacchi rilevati nelle varie edizioni di OAI-OAD (indicatore di trend NON STATISTICO)
0,0%
10,0%
20,0%
30,0%
40,0%
50,0%
60,0%
70,0%
80,0%
2007 2008 2009 2010 2011 2012 2013 2014 2015
% r
isp
on
de
nti
Mai o non rilevati Meno di 10 Più di 10
© OAD 2016
![Page 10: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/10.jpg)
10
Percentuale numero di attacchi ripartiti per dimensione di azienda/ente
48,1%
40,0%
25,0%
26,7%
21,4%
0,0%
42,3%
53,3%
66,7%
60,0%
28,6%
50,0%
9,6%
6,7%
8,3%
13,3%
50,0%
50,0%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0% 70,0%
< 50
51 - 100
101 - 250
251 - 1000
1001 - 5000
> 5001
% rispondenti
Nu
me
ro d
ipe
nd
en
ti p
er
Azi
en
da/
Ente
Più di 10 casi
Meno di 10 casi
Mai
© OAD 2016
![Page 11: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/11.jpg)
11
Ripartizione percentuale per tipologia di attacco (risposte multiple)
78,4%
71,9%
34,0%
29,4%
29,4%
27,5%
19,6%
15,7%
15,7%
14,4%
13,7%
11,1%
9,8%
9,2%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0% 70,0% 80,0% 90,0%
Malware
Social Eng.
Furto disp.
Saturaz. risorse
Ricatti ICT
Sfrut. vulnerabilità
Attacchi reti
Acc. non aut. Sis.
Attacchi sic. fisica
Acc. non aut. Programmi
Furto info da PdL mobili
Acc. non aut. Dati
APT e TA
Furto info da risorse fisse
% rispondenti
© OAD 2016
Sempre ai primi 4 posti
nelle 6 edizioni OAI-OAD
![Page 12: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/12.jpg)
12
Attacchi nei servizi in cloud (risposte multiple)
0,0%
2,5%
3,4%
19,3%
27,7%
75,6%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0% 70,0% 80,0%
SI nei servizi PaaS
SI nei servizi IaaS
SI nei servizi SaaS
Non so
Non vengono utilizzati servizi in cloud
NO
% Rispondenti © OAD 2016
![Page 13: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/13.jpg)
13
Impatto degli attacchi subiti
85,4%
14,6%
Impatto poco significativo Impatto molto significativo
© OAD 2016
![Page 14: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/14.jpg)
14
Quali gli attacchi più temuti nel prossimo futuro? (risposte multiple)
4,2%
7,6%
15,1%
16,0%
16,8%
21,0%
25,2%
26,1%
27,7%
34,5%
37,0%
44,5%
54,6%
73,9%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0% 70,0% 80,0%
Attacco fisico
TA e APT
Furto apparati ICT
Furto di informazioni da dispositivi fissi
Accesso a e uso non autorizzato dei programmi software (2° Livello)
Accesso a e uso non autorizzato dei dati trattati (3° Livello)
Accesso a e uso non autorizzato dei sistemi (host - 1° Livello)
Saturazione risorse ICT
Attacchi alle reti e ai DNS
Furto di informazioni da dispositivi mobili
Sfruttamento vulnerabilità del codice software
Ricatti sulla continuità operativa
Attacchi di Social Engineering, incluso il Phishing
Codici maligni (malware)
% rispondenti© OAD 2016
![Page 15: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/15.jpg)
15
Quali le motivazioni degli attacchi? (risposte multiple)
6,7%
21,8%
22,7%
28,6%
33,6%
34,5%
51,3%
52,1%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0%
Terrorismo
Spionaggio (anche industriale)
Azione Dimostrativa
Sabotaggio
Vandalismo
Hacktivism
Ricatto o ritorsione
Frode informatica
% rispondenti© OAD 2016
![Page 16: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/16.jpg)
16
Come proteggersi ?Alcune considerazioni «pratiche»
![Page 17: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/17.jpg)
17
• La sicurezza dell’ICT è un elemento chiave per:
– garantire la continuità operativa dell’Azienda o dell’Ente
• La Business continuity è un problema di business
• le informazioni e le risorse ICT che li trattano sono un asset
e come tali vanno protette
• garantire la compliance alle varie normative e certificazioni
Sicurezza digitale … non solo un problema tecnico
![Page 18: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/18.jpg)
18
La sicurezza globale ICT
Sicurezza
Globale
ICT
Sicurezza fisica
Sicurezza logica
Aspetti organizzativi:
• Procedure e normative
• Ruoli & responsabilità
![Page 19: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/19.jpg)
19
• Le misure tecniche ed organizzative “tradizionali” di prevenzione e protezione possono non essere sufficienti per individuare e contrastare attacchi come TA e APT
– ma sono comunque necessarie: DMZ, IPS/IDS, antivirus, antispyware, ecc.
• Analisi e gestione dei rischi sistematiche
• Sistematica analisi dei comportamenti anche con tecniche di intelligenza artificiale, fuzzy logic, statistica bayesiana, ecc.
– Sistematico monitoraggio delle risorse ICT (reti, OS, middleware, applicazioni), del loro utilizzo ed analisi di eventuali anomale variazioni rispetto alla “normale” media
• Analisi dei carichi di traffico, delle CPU, delle memorie (swapping, …)
• Analisi dei log degli utenti e soprattutto degli operatori di sistema
• Scannerizzazione “intelligente” delle sorgenti di connessioni e di dati
• Correlazioni intelligenti ed automatiche tra gli innumerevoli eventi
• Tecniche euristiche per “problem solving”
Le misure tecniche
![Page 20: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/20.jpg)
20
Le misure organizzative
• Non sono burocrazia
• Non sono solo per le grandi strutture
• Sono necessarie anche per la conformità a numerose norme e leggi nazionali ed internazionali
• Includono:
• Chiara e pubblica definizione di ruoli e competenzeseparazione dei ruoli (SoD, Separation of Duties) matrici RACI
• Definizione delle Policy e delle relative procedure organizzative
• Definizione dei controlli e di come attuarli
• Selezione e controllo del personale e dell’uso dell’ICT
• Auditing
• Analisi dei log degli operatori e degli utenti ICT
• Radiazione dei sistemi obsoleti
• Sensibilizzazione, formazione, addestramento degli utenti e degli operatori ICT (interni o terzi)
Nuovo regolamento europeo sulla
privacy
![Page 21: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/21.jpg)
21
L’effettiva sicurezza ICT dipende da come viene gestita
• Sia dal punto di vista tecnico
– Può essere terziarizzata
• Sia dal punto di vista organizzativo e del personale
– Deve essere gestita internamente
– Forte «commitment» dal vertice aziendale
• Fondamentale avere strumenti di misura e controllo, usati sistematicamente
• Fare riferimento agli standard ed alle best practice consolidate: Famiglia ISO 27000, Cobit 5 (4.1- DS5) , ITIL v.3, ecc.
![Page 22: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/22.jpg)
22
Come scegliere fornitori e consulenti realmente competenti?
• La maggior parte delle aziende e degli enti (PAL) italiani sono dimensionalmente piccoli, e non possono avere qualificate ed aggiornate competenze interne per la sicurezza digitale (e più in generale per tutto l’ICT)
• Si avvalgono pertanto di fornitori e di consulenti esterni, cui spesso delegano completamente e senza alcun controllo tutti gli aspetti della sicurezza digitale (e/o dell’intero loro sistema informatico)
• Le certificazioni professionali sono uno degli strumenti a livello sia di singola persona sia di azienda/ente.
• Ma ne esistono molte, quali sono quelle di riferimento e realmente affidabili?
![Page 23: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/23.jpg)
23
• D. Lgs. 16 gennaio 2013, n. 13
–Art. 3 Sistema nazionale di certificazione delle competenze
–Art. 17 Riordino della formazione professionale
• UNI 11506: Attività professionali non regolamentate - Figure professionali operanti nel settore ICT - Definizione dei requisiti di conoscenza, abilità e competenze
– In vigore
Da professionista a Professionista Certificato
EUCIP e-CF
3.0
UNI
11506
e-CFPlus(AICA)
![Page 24: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/24.jpg)
24
• Il sostanziale valore aggiunto della certificazione e-CF (UNI 11506, CEN 16234) è indicato nei seguenti punti
• ha valore giuridico in Italia e in Europa (se erogata da una associazione registrata presso il MISE)
• può valorizzare alcune altre certificazioni indipendenti
• si basa sulla provata esperienza maturata sul campo dal professionista
• qualifica il professionista considerando l’intera sua biografia professionale e le competenze ed esperienze maturate nella sua vita professionale (e non solo per aver seguito un corso e superato un esame)
Perché fare riferimento alle certificazioni eCF?
![Page 25: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/25.jpg)
25
Si richiedono certificazioni sulla sicurezza digitale? (risposte multiple)
57,1%
37,8%
12,6%
11,8%
6,7%
5,9%
0,0% 10,0% 20,0% 30,0% 40,0% 50,0% 60,0%
L'Azienda/Ente non richiede questo tipo di certificazioni per taluni ruolie figure professionali ai suoi Fornitori ICT
L'Azienda/Ente non richiede questo tipo di certificazioni per taluni ruoliICT al proprio interno
L'Azienda/Ente richiede questo tipo di certificazioni per taluni ruoli ICTal proprio interno
L'Azienda/Ente prevede di richiedere nel prossimo futuro questo tipo dicertificazioni per taluni ruoli e figure professionali ai suoi fornitori ICT
L'Azienda/Ente richiede questo tipo di certificazioni per taluni ruoli efigure professionali ai suoi Fornitori ICT
L'Azienda/Ente intende richiedere nel prossimo futuro questo tipo dicertificazioni per taluni ruoli ICT al proprio interno
Titolo
• La strada è in salita …• La certificazione eCFPlus per la reale qualificazione del professionista è
un elemento basilare nell’ambito degli obiettivi di AIPSI per la crescita professionale dei suoi Soci
© OAD 2016
![Page 26: Cyber crime in Italia - media.gswi.westcon.commedia.gswi.westcon.com/media/WestconSecurityItaly/Dream IT 2016... · sicurezza digitale (e/o dell’intero loro sistema informatico)](https://reader031.fdocument.pub/reader031/viewer/2022022801/5c714d1b09d3f2b45c8c2d93/html5/thumbnails/26.jpg)
27
Riferimenti
www.aipsi.org
www.issa.org
www.malaboadvisoring.it