Sicurezza, il modello vincente

Aziende

Le dimensioni dell’azienda, in tema di sicurezza informatica, contano poco o niente: tutti, dai più piccoli ai colossi, sono potenziali vittime delle minacce in circolazione sulla rete.

Nonostante la grande mole di notizie relativa agli attacchi subiti dalle aziende in giro per il mondo, non è così scontata la comprensione del problema della sicurezza dei sistemi informativi da parte delle aziende, soprattutto quelle di dimensioni medio piccole. Infosecurity 2004 sarà l’occasione per un momento di incontro con aziende produttrici ed esperti del settore. Le novità di rilievo saranno parecchie poiché il mercato, nel corso dell’anno passato, ha sfidato la generale crisi annunciando una lunga serie di nuove soluzioni volte a migliorare i livelli di sicurezza con sistemi dai costi più contenuti grazie anche a un’offerta maggiormente diversificata che consente alle aziende di trovare sistemi adatti alla propria area di business e al desiderato impegno economico. Certo non è solo una questione di prodotto, la maggior parte delle soluzioni in commercio rappresenta già oggi un più che valido strumento per proteggersi da tutte le attuali minacce e da molte di quelle future, si tratta, in molti casi, di migliorarne la gestione, di implementare policy corrette e di formare il personale addetto e non. 2003: spamming e network worm all’attacco L’anno che ci siamo appena lasciati alle spalle ha fatto segnare un record, purtroppo negativo, per quanto riguarda la sicurezza informatica. L’anno del ventesimo compleanno dei virus è stato anche il peggiore di tutti, sia per quanto riguarda il numero (siamo a quota 90.000 virus conosciuti) sia per quanto riguarda la tipologia di minacce diffuse. Nel 2003 abbiamo assistito alle potenzialità dei nuovi network worm quali Slammer, che in gennaio ha colpito in un quarto d’ora decine di migliaia di server SQL, e Blaster, che ad agosto ha infettato migliaia di personal computer domestici e non solo. Le conseguenze sono state, in entrambi i casi, molto gravi e hanno fatto suonare non pochi campanelli d’allarme, soprattutto perché la loro diffusione è stata consentita dalla presenza di vulnerabilità nei sistemi non corrette dalla tempestiva applicazione di patch. Anche il fronte spamming ha aperto nuovi scenari, primo fra tutti la collaborazione tra virus writer e spammer che ha visto questi ultimi utilizzare tool virali per l’invio di email di massa (Sobig.F ne è un valido esempio). In secondo luogo il fenomeno stesso è balzato ancor di più all’attenzione del pubblico a causa, soprattutto, della grande mole di email spazzatura in circolazione. In risposta al dilagare dello spamming si sono mossi, oltre ai produttori, anche le organizzazioni nazionali e internazionali: l’Europa, con la direttiva numero 58 entrata in vigore il primo novembre, ha tentato di porre un freno al fenomeno, ma i problemi ancora sussistono. Sybari Software, in collaborazione con l’IViR (Institute for Information Law) dell’Università di Amsterdam, ha portato avanti uno studio i cui risultati sono significativi:”ciò che stiamo osservando è che le aziende europee sono favorevoli a una legislazione che combatta lo Spam, ma non credono che questo sia sufficiente per diminuire i costi correnti e i rischi che si stannoaffrontando oggi”afferma Paolo Cavalsassi, Territory Manager Sybari per l’Italia. “Le società non hanno chiaro cosa rappresenti lo Spam per le proprie organizzazioni e non stanno applicando corrette politiche di utilizzo delle e-mail. Gli amministratori stanno incrementando l’utilizzo di software che in grado di monitorare l’utilizzo delle e-mail da parte dei propri dipendenti, e i rischi cui i propri dipendenti possono esporre l’organizzazione. Il focus di Sybari è fornire maggiore potere alle organizzazioni per rafforzare le politiche aziendali e assicurare che i dipendenti siano in linea con queste politiche. Una soluzione software anti-Spam non è efficace se non abbatte i costi correntemente causati dallo Spam e non limita l’esposizione dell’azienda ai rischi”. Questa è una delle tante posizioni delle aziende di sicurezza in relazione allo spamming e rappresenta opinioni diffuse. La mostra convegno dedicata all’information security aprirà i battenti, per la terza volta in Italia, dall’11 al 13 febbraio. Numerosi gli appuntamenti e grande l’affluenza di aziende espositrici che in numero sempre crescente credono nell’importanza di questo annuale appuntamento che,quest’anno, si arricchisce di Storage Expo, un nuovo spazio espositivo dedicato alla business continuity , altro importante fattore di sicurezza all’interno delle aziende.Oltre alla lunga lista di stand (consultabili sul sito internet di Infosecurityall’indirizzo http://www.infosecurity.it/contents/ infosecurity/ita/elencoespositori.asp ) risulta molto popolata e interessante anche la programmazione di convegni e tavole rotonde (l’elenco è consultabile sul sito internet di Infosecurity all’indirizzo http://www.infosecurity.it/contents/infosecurity/ita/conve gni.asp ), tradizionale punto di incontro e confronto sui molteplici aspetti della sicurezza informatica. Infosecurity 2004 guida all’uso 36-47_speciale_5.imp.c 2-02-2004 11:28 Pagina 38 Queste nuove minacce, però, non devono spaventare più del dovuto poiché, sembra paradossale, ma allo sviluppo degli strumenti e delle tecniche di information security fa da contraltare un aumento degli attacchi e delle minacce.D’altro canto è vero anche il contrario, vale a dire che alla crescita delle minacce corrisponde anche l’evoluzione degli strumenti per difendersi: l’importante è imparare a utilizzare i maniera corretta gli strumenti messi a disposizione. Nel 2004 più attenzione alla gestione I campanelli d’allarme suonati nel corso dell’anno, hanno fatto in modo che molti focalizzassero l’attenzione sulle problematiche di gestione del parco macchine destinate alla sicurezza dei sistemi. In molti casi, gli investimenti da parte delle aziende sono stati fatti, e anche in maniera massiccia, ma quello che manca ancora è un vera e propria cultura della sicurezza che pervada tutta l’infrastruttura aziendale e che porti a seguire più precise e complete policy in materia. E’importante sottolineare come due grossi fenomeni virali come Slammer e Blaster hanno sfruttato vulnerabilità note dei sistemi per la loro propagazione. Questo significa che molte aziende non hanno delle politiche di applicazione delle patch o quantomeno queste non sono sufficientemente veloci. Da più parti si parla di “patch management”, a sottolineare l’importanza di questo aspetto della sicurezza; come a evidenziare che un prodotto iper-evoluto è in realtà inutile se non viene aggiornato e tenuto sotto controllo. Allo stesso tempo, un altro importante aspetto da non sottovalutare è quello della cultura della sicurezza. Molto spesso rigidi regolamenti vengono imposti all’interno degli uffici senza sensibilizzare il personale sul perché essi debbano essere adottati. Questo modo di procedere è evidentemente errato, poiché il concetto di sicurezza deve entrare a far parte della quotidianità dell’azienda a tutti i livelli: a partire dal CEO fino ad arrivare a ogni singolo impiegato. Da più fronti gli esperti di information security sottolineano questi aspetti, a testimonianza di quanto sia rilevante procedere in questa direzione: ad esempio, Alec Muffett, Chief Architect di Sun Microsystems Professional Services in Europa, intervistato sugli argomenti che interesseranno il suo discorso di apertura a Infosecurity 2004, afferma che le peggiori minacce per i sistemi informativi sono “l’ignoranza, la mancanza di consapevolezza e la mancanza di vigilanza.Ma non finisce qui, c’è anche un diffuso approccio carente nella progettazione, nell’installazione e nell’architettura dei sistemi informativi.”Come si può ben immaginare, di pareri simili ce ne sono parecchi e Infosecurity 2004 sarà sicuramente ilposto ideale dove confrontarsi sulle problematiche e soprattutto sulle soluzioni,valutando le molteplici offerte delle tante aziende espositrici.

Autore: ITespresso
Clicca per leggere la biografia dell'autore  Clicca per nascondere la biografia dell'autore