Passa ai contenuti principali

Sicurezza delle supply chain in ambito ICT



Negli ultimi anni la tendenza nel settore delle forniture ICT è sempre più quella di esternalizzare questa tipologia di servizi. Tra le cause di questa tendenza ci sono vari fattori: la difficoltà del reperimento sul mercato del lavoro delle competenze richieste, l'oggettiva diminuzione dei costi in un mercato sempre più competitivo col conseguente abbattimento dei costi fissi per le aziende, la velocità di dispiegamento di tali risorse nell'ambito delle infrastrutture IT nel cloud, la possibilità di concentrarsi sul proprio core business mantenendo un alto profilo di governance, la scalabilità delle risorse dove si paga solo per ciò che effettivamente si usa. Il risultato è che i data center in house si svuotano di hardware fisico per andare sul cloud nelle sue varie declinazioni:  infrastrutture IaaS e PaaS, piattaforme SaaS, servizi SOCaaS.

Chiaro che questa impostazione presenta delle criticità dal punto di vista della sicurezza in quanto generalmente si tende a sottovalutare gli aspetti legati alla sicurezza del cloud pensando che questi siano completamente a carico del fornitore. In realtà questi servizi cloud si fondano su una responsabilità condivisa tra il cliente ed il fornitore e quindi è importante approfondire volta per volta le catene di responsabilità. Trascurare questi aspetti ha come risultato la lunga catena di violazioni di sicurezza e relativi data breach che abbiamo visto negli ultimi anni e che è superfluo qui elencare.

Quali sono i rischi? Mettere in produzione software non sicuro presenta gravi rischi di compliance, le applicazioni potrebbero essere sfruttate per inserire codice malevolo distribuito attraverso canali ritenuti attendibili. Attraverso vulnerabilità delle reti è possibile inserire ransomware ed esfiltrare infoimazioni sensibili e riservate, la mancanza di formazione specifica degli utenti porta ad aumentare la superficie d'attacco puntando sul fattore umano, la delocalizzazione di queste risorse porta a rischi globali di cyberwarfare.

Per la verifica di queste catene di responsabilità il GDPR offre uno strumento normativo importante con i primi due paragrafi dell'art. 28 che riguardano il Responsabile del trattamento che per il nuovo regolamento è sempre un soggetto esterno che tratta dati personali per conto e su indicazioni del Titolare del trattamento. 

Con quale approccio dobbiamo affrontare l'adozione delle misure organizzative e tecnologiche richiamate dal paragrafo 1 dell'art. 28 del GDPR per garantire la sicurezza di queste supply chain in ambito ICT?

Dal punto di vista delle misure organizzative, lo strumento principale è l'adozione di check-list di valutazione. Tali check-list possono essere dedotte dalla parte dedicata ai fornitori nelle best practice di settore e framework esistenti come ISO/IEC 27002 e 27701 ed estensioni cloud 27017 e 27018, misure ENISA, (NIST) Framework Nazionale di Cybersecurity, controlli OWASP per lo sviluppo sicuro delle applicazioni (top ten proactive controls). Definizione e verifica delle catene di responsabilità e della possibilità del diritto di Audit sul fornitore, test della business continuity.

Dal punto di vista delle misure tecniche vanno verificati e approfonditi i controlli sui processi di backup e replica delle informazioni implemetazione di sistemi di alert e notifiche, testare le applicazioni prima della loro messa in produzione, definizione delle metriche e Key Performance Indicator, utilizzo di software per l'identificazione la risposta e la prevenzione delle vulnerabilità di sicurezza e conformità sul cloud quali Sophos Cloud Optix.

Per quanto riguarda il rischio globale il ricorso di molte aziende italiane a servizi IaaS completamente monopolizzato dai big player del mercato quali Microsoft Azure, Amazon AWS e Google Cloud Platform pone l'urgenza dell'implementazione di sistema di infrastrutture cloud nazionale in particolare per le PA.

Commenti

Post popolari in questo blog

CISO e DPO: interazione e compatibilità tra due figure strategiche nella difesa dei dati

Col recepimento della NIS2 in attuazione della direttiva (UE) 2022/2555, relativa a misure per un livello comune elevato di sicurezza informatica nell'Unione, sentiremo sempre più spesso parlare della figura professionale del CISO che è l'acronimo inglese di Chief Information Security Officer. In questo articolo esaminiamo il rapporto tra questa figura attinente alla sicurezza informatica e quella del Responsabile della protezione dei dati RPD conosciuto anche con l'acronimo di DPO (Data Protection Officer) come disciplinato dal Regolamento europeo sulla protezione dei dati personali (UE) 2016/679. Diciamo subito che entrambe sono figure che operano nell'ambito della sicurezza dei dati, con ruoli distinti ma complementari. Ecco una panoramica di ciascun ruolo e delle loro possibili interazioni. Ruolo del CISO: Il CISO è responsabile della sicurezza delle informazioni e dei sistemi aziendali. Si occupa della gestione dei rischi legati alla sicurezza informatica, della...

La natura del dato genetico, cosa sappiamo del data breach di 23andMe

Ormai non passa giorno che non si abbia notizia dalla stampa di settore e perfino dalle cronache cittadine di nuovi data breach, notizia recente quella della vendita nel dark web di dati di un noto istituto di analisi fiorentino e fa certo scalpore che in queste violazioni siano coinvolte organizzazioni anche ben strutturate, ma certo il data breach di 23andMe , azienda leader del settore dei test genetici fai da te, lascia davvero stupefatti soprattutto per la facilità con la quale è stato perpetrato: l'attaccante non ha dovuto scrivere neanche una riga di codice! Cosa sappiamo? In una recente comunicazione agli iscritti è l'azienda stessa a fare luce sui fatti e a dare le prime indicazioni agli utenti, leggiamo insieme la traduzione in italiano del comunicato di 23andMe: Di recente abbiamo appreso che alcune informazioni del profilo, che un cliente crea e sceglie di condividere con i propri parenti genetici nella funzione DNA Relatives, sono state accessibili da singoli acco...

Come smaltire in sicurezza i documenti cartacei.

Aziende, enti, liberi professionisti e privati cittadini spesso trascurano di smaltire in maniera corretta i documenti cartacei, eppure tante attività di HUMINT (acronimo di HUman INTelligence) si basano proprio sul recupero di materiale cartaceo smaltito in maniera scorretta, non avete idea di quante informazioni interessanti si possono ottenere rovistando nella spazzatura della persone e in effetti questa è una delle prime attività che viene assegnata alle reclute delle agenzie di intelligence.  Per questo occorre adottare una procedura per il corretto smaltimento dei documenti cartacei. I rischi sono che dati personali di natura particolare, numeri di carte di credito, password appuntate, dati giudiziari possano essere facilmente recuperati e utilizzati da soggetti non autorizzati al trattamento per scopi fraudolenti o illegali. Inoltre lo smaltimento o il recupero non deve recare pregiudizio all'ambiente, in Italia la materia è disciplinata dal D. Lgs. 152/2006. Ecco alcuni sug...