Duello messicano

L’editoriale di Breaking News!

Concedetemi un piccolo tuffo nel passato, agli Anni ’60 ed ai film western di Sergio Leone che magari tra di voi c’è ha visto ed apprezzato. Che cosa centri con l’IT vedrò di spiegarlo tra un attimo, se avrete la pazienza di continuare la lettura.
Agosto è un periodo strano, in cui ci si può permettere qualche pausa. Divagando qua e là su quello che è l’installato nell’azienda italiana, mi è venuta la curiosità di capire se e quali siano le condizioni che indirizzano alla tecnologia su cui appoggiare il proprio sistema informativo. Certo, do per scontato che tra i criteri di scelta prevalgono da tempo quelli di copertura applicativa, ricchezza di funzionalità, diffusione, internazionalità, garanzie di assistenza ed altro ancora. Attualmente, è noto, non sono i responsabili dei sistemi informativi a dettare i criteri di scelta o, semplicemente, a far pendere la bilancia in una direzione o l’altra. Oggi le logiche del cambio di ERP sono dettate in primis dai responsabili delle varie aree operative, dalla produzione alla logistica, dalla contabilità e finanza al commerciale e marketing.

In ogni caso …
Un giorno ho preso in mano i dati, li ho segmentati secondo un certo numero di dimensioni (geografica, merceologica, di fatturato o personale …) e, solo per dare un chiarimento, ho aggiunto ai numeri qualche considerazione: le conclusioni sarà ciascuno di voi a trarle. Ho suddiviso l’installato in tre contesti concorrenti: IBM con il suo As/400, il mondo Microsoft e quello Unix. Per non complicare troppo gli scenari ho lasciato da parte le soluzioni SaaS, quelle Linux e qualche altra che in Italia è meno rappresentativa.
Mano a mano che il lavoro si concretizzava, mi si è tornata davanti agli occhi una scena: il finale ad altissima tensione de “Il buono, il brutto e il cattivo” che si svolge in un’aia circolare in cui si fronteggiano il buono, Clint Eastwood, il brutto, Eli Wallach e il cattivo, Lee Van Clif.

Il “triello”
Abituato ai duelli alla pistola con due che si fronteggiavano per dimostrare chi sia più veloce ad estrarre e a sparare dritto, devo dire che è un episodio che mi è rimasto impresso. In quello che viene definito Stallo alla Messicana oppure Triello (termine, a mio gusto, decisamente orrendo), i contendenti invece sono tre e ciascuno deve studiare una strategia per sopraffare gli altri due, minimizzando parallelamente i pericoli. Una partita a scacchi complessa e rischiosa.
Tornando all’analisi di mercato, la tenzone tra As/400, Microsoft e Unix è comunque intrigante. Non mi sono preoccupato di mettere in evidenza i numeri complessivi del fenomeno quanto le percentuali che ho desunto dalla casistica contenuta nel mio data base. In ogni caso, diciamo che ho preso in esame un campione di oltre 15.000 aziende, per cui assolutamente attendibile.

Un piccolo ricordo per concludere
Non l’ho mai conosciuto in maniera adeguata, anche se ci siamo incrociati più volte, ma la notizia che Mino Zucchetti è mancato in questi giorni mi ha colpito profondamente. Al di fuori delle capacità imprenditoriali, che i risultati dimostrano senza ombra di dubbio, vorrei sottolineare che ha intuito in anticipo i potenziali del nascente mercato informatico e li ha declinati in funzione delle sue esperienze professionali, verso gli studi dei Commercialisti e dei Consulenti del Lavoro come pure per gli uffici paghe. Non solo, ma oltre all’impegno come produttore di software ha creato dal nulla – o, se preferite, inventato nel senso che non c’erano esempi a cui ispirarsi – il modello organizzativo per una rete di partner commerciali ed applicativi estesa a tutta Italia. Davvero una persona unica.

Alberto Delaini

Cybersecurity per PMI

ENISA te la spiega in modo chiaro!

Oggi come oggi non esiste azienda che non abbia il tema della sicurezza informatica in agenda. Rimane però il problema di come implementare efficacemente i sistemi di difesa.
L’ENISA, l’ente chiave per la Cybersecurity dell’Unione Europea, ha pubblicato alcuni documenti con i quali segnala alle PMI le misure di sicurezza necessarie per affrontare i Cyber Risk del giorno d’oggi.
All’interno dei documenti prodotti si trovano le linee guida dedicate a: la sicurezza dei dati personali, l’analisi degli standard in tema di sicurezza e privacy, una Cloud Security Guide e, soprattutto, l’Handbook on Security of Personal Data Processing del 2018, indicato più volte dalle varie autorità di controllo come benchmark per valutare ed affrontare i cyber risck.

L’ENISA, ha stilato una serie di punti di attenzione, che aiutano le PMI ad affrontare la cyber security, in uno scenario ormai completamente digitalizzato.

Ma perché le PMI?

A causa della pandemia, le PMI hanno dovuto adottare in tempi rapidissimi, misure di continuità aziendale come servizi cloud, aggiornamento dei loro servizi Internet e dei loro siti web, possibilità per il personale di lavorare da remoto. Ma proprio aumentando l’esposizione di informazioni e dati personali, che si incrementa il rischio di attacchi via email, phishing e malware.

La necessità di adottare nuove misure in tempi rapidi ha spesso portato le PMI a mettere in secondo piano la sicurezza. Tuttavia, secondo l’ENISA, le piccole e medie imprese sono un obiettivo prediletto dai cyber criminali in quanto spesso forniscono servizi a organizzazioni più grandi. Queste entità diventano quindi un canale attraverso cui arrivare a realtà più grandi.

A fronte di tale contesto, l’ENISA ha prodotto una ricerca sul campo, onde comprendere le principali esigenze e criticità delle PMI in questo periodo storico, per poi fornire una serie di punti di attenzione tarati sui risultati concreti.
I risultati della ricerca
Oltre l’85% delle aziende interpellate per la ricerca ha dichiarato che i problemi di sicurezza informatica subiti avrebbero un grave impatto negativo sulla loro attività, mentre il 57% ha dichiarato che molto probabilmente potrebbero arrivare alla chiusura in conseguenza a tali gravi incidenti.
Stante ciò, imperversa nelle PMI la falsa sicurezza che i controlli sulla sicurezza inclusi nei software e servizi IT che hanno acquistato saranno sufficienti e che non saranno necessari ulteriori controlli di sicurezza da parte loro, a meno che non siano imposti dalla normativa.
Mentre il 36% degli intervistati ha riferito di aver subito un incidente di security negli ultimi 5 anni, l’8% degli stessi intervistati ha dichiarato di aver subito un incidente di sicurezza informatica dall’inizio della crisi pandemica; il che indica un forte aumento degli incidenti durante il breve lasso di tempo dall’inizio della crisi.
In definitiva, la ricerca ha accertato che:
• la maggior parte delle PMI (più dell’80%) tratta informazioni “critiche” (ovvero la cui violazione può comportare gravi ripercussioni legali e lesioni ai diritti degli interessati), rendendo la sicurezza informatica una priorità;
• la maggior parte delle PMI utilizza alcuni controlli di sicurezza di base – come la protezione antivirus degli endpoint, i backup, i firewall ma spesso non vengono eseguiti aggiornamenti software sistematici; inoltre un numero inferiore e fin troppo basso di PMI esegue corsi di sensibilizzazione in materia di sicurezza e utilizza sistemi di logging e alerting;
• vi è un esteso utilizzo del cloud per vari servizi informativi e strumenti di accesso remoto di vario tipo, funzionalità e livelli di sicurezza; difatti il 25% ha dichiarato di aver utilizzato un qualche tipo di accesso remoto prima della pandemia, mentre durante la pandemia ha fatto esteso ricorso a servizi cloud che consentono almeno l’accesso e l’uso di e-mail, l’elaborazione di file e la comunicazione a distanza;
• phising, malware e attacchi web-based sono le cause più comuni di incidenti di sicurezza sperimentati dagli intervistati;
• criticità comuni a tutti sembrano essere la consapevolezza e l’impegno della gestione della sicurezza, a loro volta legati al budget, all’allocazione delle risorse e all’effettiva attuazione delle pratiche di sicurezza informatica.
Alla luce di quanto sopra, emergono per le PMI sono le seguenti criticità:
1. scarsa consapevolezza della sicurezza informatica tra il personale;
2. protezione inadeguata delle informazioni “critiche”;
3. mancanza di budget adeguati;
4. mancanza di specialisti o capacità adeguate in materia di cybersicurezza;
5. mancanza di adeguate linee guida in materia di cybersicurezza specifiche per le PMI; circa tale aspetto, la ricerca segnala che alcune linee guida in realtà esistono (come l’ISO/IEC 27001) ma sono ritenute troppo complesse e troppo vincolate dall’apporto di esperti esterni;
6. lo “shadow IT”, ovvero lo spostamento del lavoro in un ambiente ICT fuori dal controllo delle aziende, stante l’utilizzo di dispositivi e reti non aziendali per connettersi e utilizzare i dati aziendali;
7. scarso supporto della direzione aziendale.
Le sfide e le misure della sicurezza.
La maggiore sfida consiste innanzitutto nel far prendere consapevolezza sull’argomento. Essere a conoscenza delle minacce derivanti dalla scarsa sicurezza è il primo passo per un’inversione di rotta delle PMI.
È fondamentale poi definire i costi di attuazione delle misure di contrasto (spesso manca infatti, un budget dedicato), incentivare la disponibilità di specialisti di cyber security in grado di supportare questi soggetti, definire linee guida adeguate rivolte al settore delle PMI.

In concreto, l’ENISA suggerisce una serie di raccomandazioni per tutelare maggiormente la sicurezza delle PMI. Eccole di seguito:

Raccomandazioni nei confronti delle persone:
1. Responsabilità in materia identificate in modo chiaro e assegnate ad una precisa figura aziendale
2. Impegno e leadership mostrati dal management nel sostenere la sicurezza
3. “Buy-in” dei dipendenti, i quali devono ricevere comunicazione efficace e formazione adeguata in tema di sicurezza informatica e sui protocolli da rispettare
4. Consapevolezza e formazione dei dipendenti, quanto alle minacce e contromisure attuabili
5. Policy di sicurezza informatica
6. Gestione delle terze parti (vaglio preliminare, verifiche ecc.)

Raccomandazioni di processo:
1. Audit periodici
2. Pianificazione e risposta agli incidenti di sicurezza
3. Utilizzo di accessi centralizzati e corretta gestione delle password
4. Patch e aggiornamenti software regolari e automatizzati
5. Protezione dei dati personali, ai sensi della normativa in materia

Raccomandazioni tecniche:
1. Sicurezza delle reti delle PMI (in particolare, tramite firewall)
2. Installazione di antivirus su tutti i dispositivi ed endpoint
3. Utilizzo di strumenti di protezione della posta elettronica e della navigazione web
4. Crittografia applicata a più livelli possibili
5. Monitoraggio della sicurezza e eventuale segnalazione di attività sospette
6. Sicurezza fisica degli ambienti e dispositivi utilizzati
7. Backup sicuri regolari, automatizzati e crittografati (Vi ricordate la regola del 3,2,1 ?)

Le iniziative di sicurezza richieste all’UE

Evidenziate le tematiche chiave della sicurezza, il documento annota poi le raccomandazioni indirizzate agli stati membri, finalizzate a supportare le PMI:

a. promuovere la cyber sicurezza in generale, ad es. tramite campagne congiunte con le associazioni di imprese onde sensibilizzare la collettività imprenditoriale sul tema;
b. fornire linee guida e modelli mirati (qui a livello nazionale viene in mente il ruolo già svolto da AGID, oltre che dal Garante per la protezione dei dati personali);
c. stilare norme di cybersicurezza incentrate sulle PMI (idem come sopra);
d. rafforzare l’approccio risk-based con modelli adatti alle PMI (il documento menziona gli esempi di framework tedeschi e francesi in merito);
e. rendere la sicurezza informatica accessibile, sia a livello di costi (ad es. con finanziamenti mirati, favorendo il pooling in comune tra le PMI ecc.) che di know-how (ad es. con l’accesso facilitato a linee guida e documenti specifici di supporto);
f. promuovere la creazione di ISAC (ovvero centri di condivisione e analisi delle informazioni), anche tramite partenariato pubblico-privato.
L’augurio è che in tempi di PNRR, anche il nostro Paese riuscirà a far fruttare queste importanti indicazioni: come già detto in partenza la situazione è già caotica e critica, per cui ogni ritardo peserà in maniera decisiva.

Roberto Giovanni Loche
RL Solutions
rloche@rlsolutions.it – Mobile: +39 331.2917785

Giocando a nascondino con gli Hacker

quattro domande a Claudio Leonardi

Il rapporto Clusit 2023 evidenzia che gli attacchi cyber hanno registrato nel 2022 a livello globale e nazionale il valore più elevato di sempre e la maggior percentuale di crescita annua. Secondo Lei quali sono i contorni reali del problema per la Piccola e Media Azienda Italiana?

Le PMI sono un target veramente appetibile per i cyber criminali: spesso sono meno strutturate e dotate di minori risorse di sicurezza rispetto alle grandi aziende, utilizzano tecnologie obsolete o non aggiornate, non formano adeguatamente il personale aumentando il rischio di errori umani. Tutti questi fattori legati alla scarsità di risorse da dedicare alla cybersecurity facilita di gran lunga il compito dei cyber criminali e rende ancora più difficile la gestione dei rischi informatici, avendo un impatto devastante sull’economia delle PMI e di conseguenza sull’economia del paese (ricordiamo che le PMI rappresentano il 92% delle imprese attive sul territorio italiano, Fonte Il Sole 24 Ore)
Furto di dati sensibili, blocco delle attività aziendali e problemi a livello di reputazione sono solo alcuni dei danni che il cyber crime può provocare alle Piccole e Medie Imprese. Per questo motivo riteniamo che l’utilizzo di tecnologie innovative, in grado di prevenire e proteggere il patrimonio aziendale insieme a una corretta formazione e evangelizzazione del personale sui temi della cybersecurity possano seriamente mitigare il rischio di subire un cyberattack.

A fronte di questo scenario decisamente preoccupante, qual è l’approccio di 4Securitas al tema della Sicurezza Informatica?

4Securitas nasce in primo luogo per offrire alle aziende una corretta percezione della sicurezza informatica e aumentarne il livello di consapevolezza. Le nostre tecnologie si basano sul fondamentale principio della prevenzione: una efficace prevenzione facilita enormemente tutte le fasi successive, evitandole nella maggior parte dei casi.
La prevenzione si basa su attività come il vulnerability assessment, in grado di evidenziare i potenziali punti deboli di un sistema per risolverli e anticipare un possibile attacco di sicurezza informatica. A tal fine in 4Securitas abbiamo ACSIA CRA (Cyber Risk Assessment), uno strumento in grado di automatizzare queste procedure, facendo continuamente una radiografia dei sistemi dal punto di vista di un cybercriminale. Parliamo in questo caso di una valutazione continuativa della postura di sicurezza dei sistemi. Altro prodotto di punta e che basa tutta la usa tecnologia sulla prevenzione è ACSIA XDR Plus (Automated Cyber Security Intelligence Application), che offre ai clienti un prodotto che permette la correlazione in tempo reale degli eventi in tutti i domini al fine di nascondere l’infrastruttura IT, interrompendo la ricognizione pre-attacco e la raccolta di informazioni che i criminali informatici attuano per finalizzare il proprio cyber attack.

Le vostre soluzioni di Cybersecurity come operano e in cosa si differenziano dalle soluzioni tradizionali?

Storicamente, l’intera industria della sicurezza informatica si è concentrata nel creare soluzioni cyber in grado di bloccare il criminale informatico nel momento in cui viola il sistema, ovvero quando l’attacco è già in corso. Invece, al contrario delle altre soluzioni, il nostro prodotto ACSIA XDR Plus agisce quando la minaccia è solo una minaccia, impedendo ai criminali informatici di valutare le debolezze dei sistemi IT e bloccando proattivamente i loro tentativi prima che diventino un attacco vero e proprio.
Anche ACSIA CRA (Cyber Risk Assessment) ,è uno strumento innovativo che si basa sulla prevenzione infatti analizza la situazione della di sicurezza informatica delle aziende, valutando con una scansione passiva le informazioni pubblicamente esposte di un’infrastruttura IT: risorse digitali, dati, informazioni e servizi.

Secondo Lei, quale strategia la Piccola e Media Azienda Italiana, deve mettere in campo per difendersi dagli attacchi informatici?

Ecco, è proprio nella parola “difendersi” che sta il grande equivoco. Le aziende italiane non devono difendersi dai cyber criminali, ma devono prevenire le loro azioni, introducendo strategie e strumenti in grado di monitorare attivamente i flussi di dati e i processi e infine bloccare le minacce. Per ragioni di sostenibilità economica sappiamo ad esempio che non sarebbe possibile avvalersi del personale umano per eseguire continuamente operazioni di vulnerability assessment. Le Piccole e Medie Imprese dovrebbero dunque, ad esempio dotarsi di strumenti in grado di automatizzare queste procedure, facendo una valutazione continuativa della postura di sicurezza dei sistemi e implementare strumenti in grado di bloccare le minacce in modo automatizzato, a un prezzo accessibile, e senza l’impiego di grandi risorse per creare squadre dedicate, anche questo poco sostenibile per aziende di piccole e medie dimensioni. Appare inoltre fondamentale conoscere e anticipare le intenzioni degli attaccanti, in modo da saperle contrastare o mitigare con successo, nel più breve tempo possibile, qualora un attacco dovesse effettivamente andare a segno, vanificando gli sforzi effettuati in sede di prevenzione e difesa dei dati e dei sistemi IT.

Claudio Leonardi – CEO

4Securitas Italia

www.4securitas.com