La trasformazione digitale è un fenomeno ormai in veloce movimento. In realtà è difficile trovare una definizione univoca del termine. Sicuramente è legato alla diffusione ed alla pervasività dell’infrastruttura IT che è ormai divenuta il sistema nervoso delle organizzazioni sia nell’ambito dei prodotti che dei servizi.
Dal punto di vista tecnologico la trasformazione digitale aumenta notevolmente la complessità sia dell’ambito infrastrutturale che applicativo. E’ facilmente comprensibile , in quanto l’utente, ha richieste sempre maggiori è più sofisticate.
Come utenti non abbiamo più il solo PC e non abbiamo un unico luogo di utilizzo delle applicazioni. La nostra esperienza implica l’utilizzo di diversi dispositivi, sempre connessi e sempre in movimento.
Ci aspettiamo un utilizzo delle applicazioni e delle informazioni molto semplice ed intuitivo. Nell’interazione con le applicazioni, o meglio con i processi, della nostra azienda, ci aspettiamo la stessa “esperienza utente” che abbiamo come consumatori: identifichiamo una applicazione, la scarichiamo, la utilizziamo.
Nessuna autorizzazione, nessun vincolo, nessun training. Un’esperienza intuitiva, veloce, semplice, efficace.
In questo, chi è chiamato a gestire l’infrastruttura IT deve trovare un equilibrio tra la richiesta di libertà dell’utente e la necessità di mantenere il controllo, dove l’aspetto sempre più attuale è proprio la sicurezza.
Secondo il nostro punto di vista, prima di adottare le tecnologie, comunque indispensabili nello scenario attuale, è fondamentale avere un approccio strutturato basato sul buon senso.
Per analogia con la propria abitazione, il buon senso è necessario per evitare il “rischio” di concentrarsi sull’acquisto del migliore ( e più costoso) antifurto, senza prima avere completamente compreso quali sono i beni da mettere in sicurezza, quali sono i punti di accesso da controllare, quali sono i punti “deboli” della struttura.
In ambito informatico gli attacchi sfruttano la vulnerabilità dei due attori principali: i sistemi e gli umani.
Conoscere gli asset informatici della propria azienda
Non posso avere un solido piano di sicurezza se non ho una chiara e precisa visione degli asset che devo proteggere, di dove sono ubicati e del loro valore.
Sembra una domanda banale ma è purtroppo evidente che molte organizzazioni non sono completamente a conoscenza degli asset hardware e software presenti al loro interno.
Non è un problema di superficialità o disattenzione. Ci sono molte attenuanti rispetto a questo problema: il proliferare della tipologia dei dispositivi, l’utilizzo dei dispositivi personali nel “perimetro aziendale” (BYOD, CYOD; etc.), la stratificazione delle ere informatiche, la dismissione di alcune componenti, i furti, i rinnovamenti tecnologici parziali e/o dinamici, gli avvicendamenti del personale.
In un panorama così complesso il nostro concetto di “buon senso” prevede l’utilizzo di tecnologie in grado di automatizzare la gestione. E’ importante dotarsi di piattaforme che , partendo dai concetti di discovery ed inventory, consentano di avere una visione certa degli asset associata ad una gestione precisa e produttiva.
A questo punto faccio riferimento ad un documento dell’Agid intitolato “Misure minime di Sicurezza ICT per le Pubbliche Amministrazioni”. Nell’elenco dei Capitoli di tale documento si legge:
Dato che le applicazioni sono di concezione e produzione umana, anche se aiutata da piattaforme di sviluppo automatico, la presenza di errori nel codice è inevitabile. I software vendor sono quindi costretti a pubblicare le relative correzioni (PATCH) il cui numero è in continuo aumento. Inoltre non è vero che le PATCH sono solo relative ad alcuni ambienti dominanti.
Valutare e correggere le vulnerabilità
La nostra indicazione è di dotarsi di una piattaforma in grado di controllare e gestire in modo strutturato le vulnerabilità di tutte le applicazioni software presenti in azienda. E’ altrettanto importante associare questo tipo di tecnologia con uno schema di processi che consenta una gestione ragionata di questa importantissima attività.
Per capire quanto la vostra organizzazione abbia sotto controllo la situazione possono venire in aiuto alcune semplici domande di self-assessment:
- Esistono procedure codificate per il Patching delle Applicazioni e dei Sistemi Operativi?
- E’ sufficiente affidarsi alle procedure di ogni singolo Vendor/Fornitore?
- Avete tecnologie in grado di avere una gestione unificata e completa?
La gestione dei privilegi di amministratore
Continuando a fare riferimento al documento dell’Agid, al punto 5 si fa riferimento ad un altro aspetto importante, che molto spesso scopro non essere sotto controllo da parte delle organizzazioni: l’uso appropriato dei privilegi di amministratore.
Molto spesso gli utenti, per diversi motivi, necessitano e pretendono i privilegi di amministratore.
Spesso si ovvia a questo problema concedendo i privilegi per periodi di tempo limitati, tuttavia il rischio rimane elevato.
Anche in questo caso c’è una tecnologia che ci può aiutare, poiché gestisce l’elevazione dei privilegi in modo selettivo, concedendoli solo per task specifici e mirati, evitando in questo modo la possibilità da parte di malware di sfruttare questo stato.
Per capire quanto la vostra organizzazione abbia sotto controllo la situazione possono venire in aiuto alcune semplici domande di self-assessment:
- Quanto questo aspetto è sotto controllo nelle vostre organizzazioni?
- Quante eccezioni sono state concesse?Quante sono state «dimenticate»?
- Avete optato per un blocco totale invece della libertà dell’utente? Sono soddisfatti di questa scelta? E’ compatibile con lo svolgimento delle loro mansioni?
Concludo con una considerazione finale relativa in modo specifico al problema del Ransomware. E’ sempre più diffusa la pratica del Whitelisting , e cioè di definire un set di applicazioni “eseguibili” da parte di un utilizzatore, ha comunque limitazioni dovute alla gestione ed in particolare ai processi di autorizzazione. Anche in questo caso esiste una tecnologia in grado di implementare un Whitelisting intelligente ed automatico , basato sull’owner dell’eseguibile. In pratica è in grado di bloccare qualunque eseguibile (basti pensare al Ransomware) il cui owner (identificato nella codifica dell’eseguibile) sia l’utente. E’ possibile eseguire solo gli eseguibili identificati da chi gestisce l’IT e che sono di proprietà di un Trusted Installer (ad esempio un software vendor o il dipartimneto IT).
L’articolo è parte di un progetto di comunicazione editoriale che Agendadigitale.eu sta sviluppando con il partner IVANTI
