Passa ai contenuti principali

Sicurezza delle supply chain in ambito ICT



Negli ultimi anni la tendenza nel settore delle forniture ICT è sempre più quella di esternalizzare questa tipologia di servizi. Tra le cause di questa tendenza ci sono vari fattori: la difficoltà del reperimento sul mercato del lavoro delle competenze richieste, l'oggettiva diminuzione dei costi in un mercato sempre più competitivo col conseguente abbattimento dei costi fissi per le aziende, la velocità di dispiegamento di tali risorse nell'ambito delle infrastrutture IT nel cloud, la possibilità di concentrarsi sul proprio core business mantenendo un alto profilo di governance, la scalabilità delle risorse dove si paga solo per ciò che effettivamente si usa. Il risultato è che i data center in house si svuotano di hardware fisico per andare sul cloud nelle sue varie declinazioni:  infrastrutture IaaS e PaaS, piattaforme SaaS, servizi SOCaaS.

Chiaro che questa impostazione presenta delle criticità dal punto di vista della sicurezza in quanto generalmente si tende a sottovalutare gli aspetti legati alla sicurezza del cloud pensando che questi siano completamente a carico del fornitore. In realtà questi servizi cloud si fondano su una responsabilità condivisa tra il cliente ed il fornitore e quindi è importante approfondire volta per volta le catene di responsabilità. Trascurare questi aspetti ha come risultato la lunga catena di violazioni di sicurezza e relativi data breach che abbiamo visto negli ultimi anni e che è superfluo qui elencare.

Quali sono i rischi? Mettere in produzione software non sicuro presenta gravi rischi di compliance, le applicazioni potrebbero essere sfruttate per inserire codice malevolo distribuito attraverso canali ritenuti attendibili. Attraverso vulnerabilità delle reti è possibile inserire ransomware ed esfiltrare infoimazioni sensibili e riservate, la mancanza di formazione specifica degli utenti porta ad aumentare la superficie d'attacco puntando sul fattore umano, la delocalizzazione di queste risorse porta a rischi globali di cyberwarfare.

Per la verifica di queste catene di responsabilità il GDPR offre uno strumento normativo importante con i primi due paragrafi dell'art. 28 che riguardano il Responsabile del trattamento che per il nuovo regolamento è sempre un soggetto esterno che tratta dati personali per conto e su indicazioni del Titolare del trattamento. 

Con quale approccio dobbiamo affrontare l'adozione delle misure organizzative e tecnologiche richiamate dal paragrafo 1 dell'art. 28 del GDPR per garantire la sicurezza di queste supply chain in ambito ICT?

Dal punto di vista delle misure organizzative, lo strumento principale è l'adozione di check-list di valutazione. Tali check-list possono essere dedotte dalla parte dedicata ai fornitori nelle best practice di settore e framework esistenti come ISO/IEC 27002 e 27701 ed estensioni cloud 27017 e 27018, misure ENISA, (NIST) Framework Nazionale di Cybersecurity, controlli OWASP per lo sviluppo sicuro delle applicazioni (top ten proactive controls). Definizione e verifica delle catene di responsabilità e della possibilità del diritto di Audit sul fornitore, test della business continuity.

Dal punto di vista delle misure tecniche vanno verificati e approfonditi i controlli sui processi di backup e replica delle informazioni implemetazione di sistemi di alert e notifiche, testare le applicazioni prima della loro messa in produzione, definizione delle metriche e Key Performance Indicator, utilizzo di software per l'identificazione la risposta e la prevenzione delle vulnerabilità di sicurezza e conformità sul cloud quali Sophos Cloud Optix.

Per quanto riguarda il rischio globale il ricorso di molte aziende italiane a servizi IaaS completamente monopolizzato dai big player del mercato quali Microsoft Azure, Amazon AWS e Google Cloud Platform pone l'urgenza dell'implementazione di sistema di infrastrutture cloud nazionale in particolare per le PA.

Commenti

Post popolari in questo blog

Cancellazione sicura: la sanificazione dei dati informatici

La sanificazione è un punto importante del ciclo di vita del dato: quando il dato giunge al termine del suo ciclo vitale ovvero quando è diventato inutile, obsoleto o ridondante è essenziale poterlo dismettere in modo sicuro facendo in modo che non sia possibile per nessuno poterlo ricostruire in alcun modo. Formattare i dischi da smaltire non basta, è come buttare nel cassonetto un libro strappando solo la pagina dell'indice, il primo che passa potrebbe recuperarlo e leggerlo. I vostri dati sono tutti al loro posto pronti per essere ripristinati. Secondo un'indagine condotta da uno dei maggiori produttori mondiali di HD sulla vendita online di supporti di memorizzazione usati è stato possibile recuperare integralmente il contenuto di questi hard disk ben 7 volte su 10. Molti dati personali vengono recuperati da supporti digitali smaltiti in modo superficiale. In cosa consiste la sanificazione dei dati? Si definisce sanificazione dei dati quel processo attraverso il qua

Chiamate vocali a prova di intercettazione con Signal

Di tanto in tanto mi capita di scorrere la lista di coloro tra  miei contatti che sono iscritti a Signal, l'applicazione voip gratuita e open source basata sulla crittografia end-to-end lanciata nel 2014 dall'organizzazione no profit Open Whisper Systems, e mi dolgo davvero di quanto pochi essi siano soprattutto se paragonati con quelli iscritti alla più popolare app di messagistica di Meta, ovvero la maggior parte di loro. Anarchico, hacker, crittografo, maestro d'ascia, skipper, Moxie Marlinspike, il fondatore del servizio Signal, è convinto che il progresso tecnologico debba andare di pari passo con la sicurezza degli utenti. Così intorno alla sua "creatura" è nata una community di persone che mettono la privacy al primo posto. Tra questi anche Edward Snowden il whistleblower ex consulente dell'NSA, l'agenzia per la sicurezza nazionale degli Stati Uniti, che nella primavera del 2013 divulgò una serie di informazioni classificate sui piani di sorveglian

L'arte del camuffamento: come ingannare gli algoritmi di riconoscimento facciale

La società nella quale viviamo è purtroppo diventata anche una società del controllo e della sorveglianza. Per proteggere la nostra privacy è opportuno adottare un modello di autodifesa digitale (privacy threat model) adeguato al nostro profilo di rischio. Se sei arrivato su questa pagina e stai leggendo questo blog allora hai già fatto il primo passo: puoi far parte anche tu del nostro gruppo di #gentesicura . Per sviluppare un modello di autodifesa digitale occorre farsi alcune domande: che tipo di informazioni voglio proteggere? Da chi le voglio nascondere? Quale sarebbe l'impatto sulla mia vita se queste informazioni venissero scoperte? Oggi una delle minacce più gravi è certamente rappresentata dai sistemi di videosorveglianza e dai loro algoritmi di riconoscimento facciale. Probabilmente in qualche banca dati digitale è già presente una vostra foto collegata al vostro nome e cognome. Anche se non è detto che questo database sia pubblico, è sempre buona norma fare una ricerca