I Briganti de Monte Tajà

L’editoriale di Breaking News!

“E proprio quando la carrozza era costretta a rallentare perché la salita si faceva erta e le ruote slittavano sul fondo di terra e sassi della stradella stretta e scoscesa, dopo la curva cieca con le fronde della fitta vegetazione che impedivano di vedere a pochi metri, i briganti saltavano fuori dalla boscaglia con i loro cappellacci stracciati e gli schioppi agitati per aria, minacciavano il postiglione, afferravano le briglie dei cavalli costringendoli a fermarsi, facevano scendere i passeggeri e li rapinavano di tutto senza pietà …”
Chissà quante volte il nonno Duilio me l’ha raccontato con la sua voce profonda tenendomi sulle ginocchia quando ero piccolo. Qualche anno dopo, accomodato al suo fianco sul sedile della Lancia Ardea di un improbabile colore azzurro che comunque mi piaceva un sacco, me lo ripeteva nel momento in cui passavamo per la strettoia cupamente ombreggiata del famigerato Monte Tajà, il teatro di questi assalti di tanti e tanti anni prima. Non avevo paura perché la mano del nonno che mi sfiorava in una carezza era rassicurante, anche se nella mia fantasia si materializzavano terribili ceffi barbuti, urla di minaccia con grida di terrore come controcanto, neri mantelli svolazzanti, archibugi arrugginiti e caricati a mitraglia.
Non ho mai saputo quale fosse l’ambientazione storica di queste truci vicende perché, allora, la mia percezione del tempo era estremamente vaga. Poteva essere l’ottocento (d’altronde il nonno era nato nel 1888) o magari anche il settecento, prima della discesa di Napoleone che nelle sue campagne d’Italia sarebbe passato proprio a qualche chilometro da lì. Oggi il panorama è tutto diverso: la boscaglia si è sfoltita lasciando spazio a vigneti perfettamente allineati, la strada è asfaltata e un semplice cambio di marcia fa superare l’erto pendio, tutto attorno è uno spettacolo di abitazioni coloniche trasformate in trattorie, B&B o seconde case di campagna. Il lago di Garda si intuisce dietro al crinale delle colline e il Monte Tajà delle mie storie che assomigliavano a favole si ritrova tra i campi sportivi di Veronello e il centro commerciale al casello di Affi, Autostrada del Brennero.

I briganti sono spariti?
Di briganti sembra non rimanere traccia. O magari mi sbaglio? Non passa settimana che trombe dei Media, impegnati ad affastellare sulle nostre spalle notizie raramente positive e incoraggianti, non ci ammannisca scenari di aziende che con un SMS, un Tweet o una email, dalla mattina alla sera sbattono in strada camionate di dipendenti. Stanno per fallire? No, guadagnano milioni di Euro e per guadagnare miliardi spostano altrove stabilimenti, centri direzionali e – dulcis in fundo – sedi fiscali. Poi magari le loro previsioni e i business plan di amministratori delegati dallo stipendio affollato di zeri non si dimostrano così preveggenti. Ho recentemente saputo – una soddisfazione sadica ma, purtroppo, fine a sé stessa – di una multinazionale del nord Europa che aveva spostato dall’Italia alla Cina quasi tutte le attività. Per una specie di nemesi, il suo quartier generale sta in uno di quei Paesi che si autodefiniscono farisaicamente “frugali”, tanto per fustigare la nostra italica (indiscutibile, ma non così marcata né esclusiva come dicono) abitudine alla dissipazione.
Stabilimenti chiusi, persone spedite ai cosiddetti “ammortizzatori sociali” con espressione che fa accapponare la pelle. Tempo un paio d’anni e si sono accorti, tra altri intoppi tutt’altro che banali, che il settore ricerca e sviluppo di nuovi prodotti, punta di diamante della sede italiana, con i talenti cinesi ha poco da spartire. Gran lavoratori questi ragazzi con gli occhi a mandorla, sempre disposti al sacrificio e professionalmente ferratissimi. Ma l’inventiva, la capacità di immaginare e poi realizzare dal nulla novità di successo pare non essere nelle loro corde.
Per farla breve, la multinazionale è tornata in Italia, sta cercando di trovare ed attrezzare un nuovo stabilimento al posto di quello chiuso in fretta e furia ma soprattutto sta contattando affannosamente i suoi ex collaboratori per “ricomprarli” a qualunque prezzo. Il mio sincero augurio è … lasciamo perdere.

Senza santificare nessuno
Senza santificare nessuno e senza voler dare lezioni di economia, continuo testardamente a credere nell’uomo e nella possibilità di studiare soluzioni che armonizzino le differenti esigenze – del capitale ma anche della forza lavoro ai vari livelli – e minimizzino le conseguenze di qualche fase di crisi che comunque nel tempo capita regolarmente.
Mi si materializza davanti agli occhi l’immagine del Cav. Luigi Lucchini che, nel clima di feroce contestazione e legittime rivendicazioni di inizio anni ’80, alle centinaia di dipendenti che erano andati ad assediarlo a casa sua, tra vociare di megafoni e sventolio di minacciosi stendardi rossi, ha dato la risposto più inaspettata. E’ uscito da solo in maniche di camicia tra di loro, aprendo senza timori il cancello della villa, ha iniziato ad ascoltare le lamentele di ciascuno sollecitandolo ad esporle, ha trasformato un conflitto di “tutti contro una immagine stereotipata” in un confronto tra persone, sia pure con ruoli, obiettivi ed idee niente affatto coincidenti. Per chiudere, un vero tocco di classe: attenuatasi la tensione, ha fatto cenno al cameriere di offrire a tutti qualcosa di fresco e dissetante, un ristoro per la calura. Era un autunno caldo e non solo in termini sindacali.
Ho assistito alla scena assieme a qualche collega: dalle finestre dell’ufficio, dall’altra parte della strada, oltre a vedere sentivamo perfettamente che cosa dicevano. Non è un modello ripetibile, anche perché il contesto lavorativo di oggi si sviluppa con dinamiche del tutto differenti. Non fingo neppure di ignorare che il Cav. Lucchini i suoi affari ha sempre saputo condurli in maniera accorta e a proprio vantaggio, ma quello che vorrei esprimere è che da una parte le relazioni di lavoro oggi non sono più da azienda a dipendente ma sfumano in un labirinto di ruoli, gerarchie e rimandi che raramente assumono un volto, un nome, una responsabilità; dall’altra che i collaboratori troppo spesso non vengono percepiti come persone ma come tessere di un Domino: troppo facile, con un singolo tocco, mandare a gambe all’aria i destini di tutta una catena.
Infine io continuo cretinamente ad essere convinto che persone motivate e orgogliose di quello che viene chiamato Brand – che nel loro piccolo alimentano e sentono pure proprio – siano incredibilmente più produttive, partecipi e disponibili di tutte le altre.

Nel chiudere vorrei chiedere un attimo di silenzio per i Briganti de Monte Tajà e i loro emuli dell’epoca. Nessuna giustificazione ai crimini e alle arcinote crudeltà, ma quasi sempre si trattava di ignoranti, affamati, reietti e disperati che non avevano trovato altra scelta per vivere, anzi per sopravvivere.
Nessuno di loro aveva conti segreti alle Cayman e sospetto che quelli che avevano sotterrato sotto la vecchia quercia un forziere di monete d’oro o un semplice fazzoletto con pochi talleri, marenghi, fiorini o quello che volete fossero davvero rarissimi. Essere briganti era il loro mestiere nell’impossibilità, all’epoca e nel contesto, di mettere in atto un più tranquillo e legale “Piano B”.

​

​

Alberto Delaini

Sophos Cybersecurity on Tour

abbiamo raggiunto la metà delle  tappe di questa sessione

Il tema della sicurezza informatica e l’urgenza di garantirla alla propria azienda sono certamente noti. Vale la pena di dedicare un po’ del proprio tempo per conoscere metodologie e strumenti che possano assicurare alle imprese di ogni tipologia e dimensione i migliori strumenti di difesa.
Partecipa al Sophos Cybersecurity on Tour, una serie di eventi innovativi dedicati all’evoluzione del portfolio di soluzioni di Sophos ed alle novità su prodotti e servizi rilasciate nell’ultimo anno.

PROSSIME TAPPE

Struttura dell’evento:

• Mattino 10.30-14.00 : sessione tecnico-commerciale riservata ad Operatori Informatici per approfondire le possibili sinergie e le relazioni di Partnership con Sophos.
• Pomeriggio 14.00-18.00 : sessione sulle novità di prodotto rilasciate da Sophos negli ultimi mesi dedicata ai Clienti soli o accompagnati dal proprio Rivenditore di fiducia.

Avrai la possibilità di:

• approfondire il panorama delle minacce informatiche in Italia
• conoscere in anteprima le novità su Sophos Firewall, Sophos Endpoint, Sophos MDR e molto altro ancora
• ascoltare dalla viva voce di un cliente Sophos i vantaggi ottenuti attraverso queste soluzioni.

Visita la pagina dedicata per conoscere le location degli incontri e l’agenda completa di ogni evento. Registrati subito!

Vulnerability Assessment e Penetration Test: confronto

strumenti per la sicurezza da adottare in coppia

​

I termini che riguardano la sicurezza sono relativamente recenti, sempre più specifici e qualche volta poco comprensibili per i non esperti. Proviamo a fare chiarezza relativamente ad un paio di aspetti chiave.
Vulnerability Assessment e Penetration Test sono entrambe metodologie di verifica della sicurezza informatica, spesso si applicano nello stesso contesto, ma non devono essere confuse perché svolgono attività differenti con obiettivi finali diversi.

In massima sintesi, possiamo caratterizzarle in questo modo:
– il vulnerability assessment è la ricognizione che identifica potenziali vulnerabilità
– il penetration test è la simulazione di un attacco informatico che ci fa capire quanto e come queste criticità possano essere utilizzate per intenti criminali.

Vulnerability Assessment
Il vulnerability assessment è un approccio sistematico per l’identificazione dei punti deboli in un sistema, una rete, un’applicazione. È basato sostanzialmente su una scansione automatizzata e periodica di reti, dispositivi e applicazioni che consente di attuare un processo di individuazione, revisione, classificazione e assegnazione di priorità alle vulnerabilità, rilevate prima che possano essere sfruttate da reali malintenzionati.
La maggior parte degli attacchi informatici sfrutta infatti vulnerabilità note che molto spesso sono già potenzialmente risolvibili applicando degli aggiornamenti software (security patch). Questo tipo di verifica consente di mapparle secondo un piano di priorità definibile attraverso la combinazione del punteggio di gravità della vulnerabilità (CVSS, Common Vulnerability Scoring System, norma tecnica aperta) e della criticità del sistema informatico interessato legata per esempio all’importanza per il business aziendale, al tipo di dati trattati, all’esposizione o meno su internet, ecc.

Penetration Test
Il penetration test (Pen Test) è una strategia di valutazione delle minacce che prevede la simulazione di attacchi reali per valutare i rischi associati a potenziali violazioni della sicurezza. Il pen test ha lo scopo di cercare vulnerabilità sfruttabili contro l’infrastruttura di sicurezza di un’organizzazione utilizzando una combinazione di scansioni automatiche e di attacchi di tipo manuale, imitando i comportamenti di cyber criminali e utilizzando le vulnerabilità per violare ed entrare (penetrare, appunto) nel sistema. Per l’esecuzione di questi test gli ethical hacker, oltre che basarsi sull’esperienza e sull’estro, generalmente seguono anche metodologie open source strutturate ed internazionalmente condivise quali OWASP (Open Source Foundation for Application Security) Security Testing Guides e OSSTMM (Open Source Security Testing Methodology).
In questo modo, i penetration test consentono ai team di sicurezza di capire in modo approfondito le modalità con cui i cyber criminali potrebbero violare i dati (ad esempio bypassando l’autenticazione o scalando privilegi) o interrompere il servizio, e correggere o potenziare i controlli di sicurezza per evitare che questo accada nella realtà. Poiché i test sono eseguiti da esperti che seguono costantemente le evoluzioni del mondo degli hacker, i falsi positivi risultano ridotti e spesso vengono portati alla luce difetti che i team interni potrebbero altrimenti non scoprire.

Tipologie di Penetration Test
I pen test possono essere suddivisi in varie tipologie, ad esempio: interno/esterno se condotto rispettivamente da rete interna o da internet; black box, white box o grey box a seconda che non venga fornita alcuna informazione sul target da attaccare, vengano fornite informazioni sulla sua architettura e/o credenziali di accesso oppure venga seguito un approccio intermedio. I peneration test possono poi essere denominati in funzione dell’ambito dove viene eseguito il test: si parla quindi di pen test applicativo, della rete, dell’hardware (ad esempio su dispositivi mobile, IOT o OT), wireless, voip, ecc.
Al termine di un penetration test viene fornito un report dettagliato sulle vulnerabilità riscontrate, le violazioni effettuabili con le relative modalità e livello di rischio, e le indicazioni per correggerle.

Differenze tra i due strumenti
Sebbene entrambe le tipologie di test rientrino nella categoria della valutazione delle minacce; ci sono alcune differenze tra le due metodologie, declinabili in termini di strategia, di approccio, di perimetro e con vantaggi e svantaggi che rendono entrambi, di fatto, complementari.
A livello di strategia, il vulnerability assessment controlla i punti deboli noti in un sistema e genera un rapporto sull’esposizione al rischio, mentre il penetration test ha lo scopo di sfruttare i punti deboli su un sistema o un’intera infrastruttura IT per scoprire eventuali minacce al sistema.
L’approccio del vulnerability assessment, come suggerisce il nome, è un processo che esegue la scansione automatizzata di sistemi e dispositivi alla ricerca di punti deboli con l’aiuto di strumenti automatici. Il penetration test, d’altra parte, richiede un approccio metodologico ben pianificato e viene eseguito da persone esperte che comprendono tutti gli aspetti della postura di sicurezza.
In termini di perimetro, l’ambito del penetration test è mirato e coinvolge anche un fattore umano. Il test non comporta solo la scoperta di vulnerabilità che potrebbero essere utilizzate dagli aggressori, ma anche lo sfruttamento delle stesse per valutare fin dove potrebbero arrivare i cyber criminali dopo una violazione. Quindi, la valutazione della vulnerabilità diventa uno dei prerequisiti essenziali per eseguire un pen test.
Il vulnerability assessment, essendo un test automatico e passivo, ha il vantaggio di non creare alcun problema ai sistemi informatici e di poter essere ripetuto anche frequentemente (ad esempio mensilmente o settimanalmente) in modo da avere una situazione estremamente aggiornata sulle vulnerabilità presenti nella propria organizzazione. Può anche essere condotto, senza costi aggiuntivi, “a tappeto” su tutte le reti, dispositivi e applicazioni. Inoltre consente di individuare tutta una serie di vulnerabilità note e più “semplici” che, se corrette (spesso hanno già patch disponibili), permettono ad un penetration test eseguito successivamente di porre la concentrazione su vulnerabilità non note e più complesse senza dover perdere tempo a evidenziare difetti che si potrebbe osar definire come “ovvii”.
Il penetration test, d’altro canto, è più completo e permette di avere una scansione e una valutazione più rigorosa dei sistemi. Tuttavia essendo molto più articolato e complesso da eseguire e contemplando anche diverse azioni e tentativi di violazione manuali, richiede tempi più lunghi e costi sicuramente maggiori rispetto a un vulnerability assessment. Per queste ragioni non può essere eseguito a tappeto e frequentemente su tutte le reti, i dispositivi e le applicazioni, ma necessita di essere concentrato su specifici target e di essere effettuato solo in alcuni particolari momenti (ad esempio in occasione del rilascio in produzione di un nuovo applicativo critico ed esposto su internet o su pochi applicativi una volta l’anno). Non è escluso, infine, che il pen test, quando eseguito su sistemi in produzione, possa causare qualche rischio soprattutto di disponibilità (stabilità e funzionamento) del servizio.

Cosa scegliere per la propria azienda?
In realtà, non si tratta di una questione di scelta, singolarmente infatti, queste due metodologie non sono sufficienti a proteggere il sistema: è importante che si instauri una vera e propria cultura della sicurezza, che si traduca in un progetto integrato, nel quale siano comprese anche le attività di prevenzione delle minacce come il Vulnerability Assessment e il Penetration Test.

Roberto Giovanni Loche
RL Solutions
rloche@rlsolutions.it – Mobile: +39 331.2917785

Il Lunario

L’editoriale di Breaking News!

Nel periodo di inizio anno sulle previsioni – del tempo, ma non solo – ci inciampi ad ogni passo. Difficile capirne la serietà e consistenza, visto che si nascondono tutte dietro al paravento di un “esperto”. Abbiamo appena finito (ma siamo sicuri?) di essere assordati dalle sentenze dei virologi in tempo di Covid e proseguiamo con quelle, parimenti infauste, degli economisti e degli ecologisti. Del resto, se una previsione non è a tinte fosche che razza di previsione è? Già lo sapevano gli antichi, già Agamennone, ai tempi della guerra di Troia, si sfogava sull’indovino Calcante che conosceva il passato ed il futuro chiamandolo “Profeta di sventure”. Detto questo, mi darebbe un immenso sollievo il pensare che il futuro che tutti questi sadici ci somministrano quotidianamente, con razione doppia a fine anno, non sia proprio quello descritto, specie per quanto riguarda il nostro bistrattato pianeta.

Per restare sul tempo, quello metereologico
Fermiamoci solo per un momento ad uno di questi moderni vaticini, quella metereologico. Cinquant’anni fa un inappuntabile Colonnello Bernacca spiegava ogni sera al telegiornale le previsioni del tempo, scusandosi il giorno successivo per qualche imprecisione o abbaglio. Ma allora non c’erano i satelliti né i computer con i sofisticati modelli predittivi.
In materia mi ha sempre intrigato una cosa: il lunario. Tanti anni or sono, al muro di ogni cucina era appeso in bella mostra il calendario con le fasi della luna, a volte arricchito con anticipazioni sul tempo: caldo o freddo, soleggiato o piovoso. Quello di Frate Indovino era di certo il più noto ma a Verona, la Verona delle mie origini, ce n’era un altro che spopolava: il Pojana. Anzi, a voler essere pignoli “il Lunario del Pojana Maggiore” dal nome del paese vicentino di Giovanni Spello, quello che lo ha inventato nell’anno di grazia 1832, duecento anni fa o giù di lì. Lo trovavi in ogni cartoleria ed edicola e, se proprio te ne dimenticavi, c’era uno strillone che per Via Mazzini, la centralissima Via Nuova dello struscio, e si sgolava per incoraggiarne l’acquisto. Le volte che era ubriaco, quasi sempre, stimolava i compratori timidi con toni ruvidi ma efficaci, tipo: “Chi non compera il Pojana l’è el fiol de una …”. Diciamo che non ricordo bene come suonasse la rima.
Però, al di là del folclore, c’è un fatto inconfutabile: il Pojana, nelle previsioni, ci azzeccava quasi sempre. E i contadini – Verona era una città essenzialmente agricola, vedasi la Fiera dei Cavalli e quella dell’Agricoltura sopravvissute con successo fino ad oggi – si basavano su queste indicazioni, integrandole con le feste dei vari Santi che indicavano il momento per seminare, mietere o vendemmiare in continuità con i detti popolari che tutti sapevano recitare: “A la Candelora de l’inverno semo fora”. In ogni caso, per scaramanzia o per crearsi un’alternativa, c’era regolarmente chi aggiungeva come controcanto “Ma se piove o tira vento de l’inverno semo drento”. La Candelora cade il 2 febbraio e, nella liturgia, corrisponde con la Presentazione al Tempio.

Previsioni in salsa attuale
Oggi abbiamo solo da scegliere: esperti e soloni di ogni risma ma anche – a supporto – l’Intelligenza Artificiale che non si è ancora capito bene se darà vantaggi superiori agli inconvenienti che i catastrofisti ci sventolano in faccia ogni giorno. Manca solo che ritornino gli aruspici, che facevano previsioni in funzione di quanto svelavano loro le viscere delle vittime immolate agli dei, e siamo al completo.
In ogni caso la più grande fortuna dell’uomo è di non avere una visione sul futuro. Così non ci possiamo preoccupare di cose certe ma solo attrezzarci per quelle ipotizzate o temute. Il ché non vuol dire che si debba procedere giorno per giorno alla “come viene viene”.

Un grande augurio a tutti quanti, a partire da me stesso, perché nel 2024 e anche oltre siamo in grado di indovinare le strategie migliori per la vita personale e professionale nonché di corazzarci per affrontare le difficoltà con tutte le energie che servono, chinando la testa quando serve ma pronti a rialzarla il più in fretta possibile.
Sereno anno a tutti!

​

Alberto Delaini