Cybersecurity
La nostra visione digitale per la sicurezza garantisce alle aziende le giuste misure per la loro protezione
Mettere al sicuro dipendenti e clienti dai rischi legati a un attacco informatico è oggigiorno una responsabilità. Sicurezza fisica, gestione di informazioni sensibili, Business Continuity sono solo alcuni dei rischi che grazie al nostro Metodo è possibile circoscrivere.
Gli amici si proteggono a vicenda, e questo è quello che facciamo: aiutiamo le aziende ad assicurare i propri valori nel tempo, costruendo porte pronte ad aprirsi per accogliere gli invitati ma ben chiuse per respingere chi non è il benvenuto.
Cybersecurity significa
- Essere a norma con tutte le normative di sicurezza (vedi le normative)
- Implementare una strategia di Cybersecurity
- Assicurare l’incolumità di dipendenti e clienti (Safety)
- Proteggere impianti e sistemi industriali (IT/OT Security)
- Garantire la Business Continuity (produttività)
- Difendere dati sensibili e personali
- Tutelare la reputazione aziendale
Sottovalutare il rischio
è più comodo…
La mia azienda è piccola, non rischia di subire attacchi informatici.
Affermare che un sistema è sicuro perché nessuno lo sta attaccando è molto pericoloso - Bill Gates
Safety e Security: le definizioni
Safety: Libertà dall'occorrenza di rischi che non sono tollerabili. La Safety protegge l'uomo dalle “cose”, ovvero da eventi di natura accidentale legati all'ambiente che ci circonda.
Security: Condizione delle risorse di un sistema di essere libere da accesso non autorizzato e da modifiche non autorizzate o accidentali, da distruzione o perdita. La Security protegge le “cose” (dati, beni,…) dall’uomo, ovvero da azioni volontarie di natura malevola da lui causate.
Il contesto normativo
Regolamenti - Direttiva 2006/42/CE – Allegato I
Requisiti essenziali di sicurezza e di tutela della salute
1.1 – Considerazioni generali / 1.1.2 – Principi di integrazione della sicurezza c) In sede di progettazione e di costruzione della macchina, nonché all'atto della redazione delle istruzioni il fabbricante, o il suo mandatario, deve prendere in considerazione non solo l'uso previsto della macchina, ma anche l'uso scorretto ragionevolmente prevedibile.
1.2 – Sistemi di comando / 1.2.1 – Sicurezza ed affidabilità dei sistemi di comando I sistemi di comando devono essere progettati e costruiti in modo da evitare l'insorgere di situazioni pericolose. In ogni caso essi devono essere progettati e costruiti in modo tale che: un'avaria nell'hardware o nel software del sistema di comando non crei situazioni pericolose, errori della logica del sistema di comando non creino situazioni pericolose.
Particolare attenzione richiede quanto segue: la macchina non deve avviarsi in modo inatteso, i parametri della macchina non devono cambiare in modo incontrollato, quando tale cambiamento può portare a situazioni pericolose, non deve essere impedito l'arresto della macchina, se l'ordine di arresto è già stato dato
Regolamenti - La famiglia di Norme 62443 (ISA-IEC)
La serie di norme 62443 è stata sviluppata congiuntamente dal Comitato ISA99 e dal Comitato IEC TC65WG10 ed è dedicata alla necessità di progettare ed integrare una CyberSecurity robusta e resiliente nel sistemi industriali di controllo (ICS).
Gli obiettivi della serie 62443:
- Migliorare Safety, disponibilità, integrità e confidenzialità dei sistemi utilizzati per l'automazione industriale e il controllo di processo.
- Fornire dei criteri oggettivi per implementare l'adeguato livello di Security nei sistemi industriali di controllo e gestione dei processi.
Regolamenti - Standard minimo ICT
Lo standard minimo emanato dal governo svizzero è destinato a fornitori e operatori di infrastrutture critiche e non: è concepito come un manuale contenente le linee guida per la sicurezza informatica con particolare attenzione ai concetti di “identificazione”, “rilevazione”, “protezione”, “risposta” e “recupero”. Questo provvedimento punta ad aumentare la consapevlezza dei rischi legati alle minacce informatiche e ai furti di dati presso le piccole e medie imprese.
Cosa succede nella realtà?
In poco più di un anno sono stati danneggiati quasi 2 miliardi di file contenenti dati personali e sensibili di altra tipologia – Ernst & Young
Ogni giorno si parla di “attacchi informatici”. Ma le implicazioni sono altrettanto chiare?
- L’impianto di approvvigionamento energetico di un ospedale viene attaccato… il funzionamento dei macchinari ospedalieri è a rischio e di conseguenza la vita dei suoi pazienti!
- Indirizzi e dati sensibili di un istituto finanziario vengono sottratti. La sicurezza delle persone e la reputazione aziendale sono minacciate!
Il nostro obiettivo è creare strategie di Cybersecurity in grado di preservare i valori aziendali.
Il metodo Goodcode
Ogni imprenditore ha la responsabilità di proteggere attività e dipendenti dalle minacce informatiche che incombono sulla propria azienda. Il metodo assicura ai clienti un supporto costante per garantire: Sicurezza fisica, gestione di informazioni sensibili e Business Continuity.
Analisi
Analisi, modellizzazione logico-funzionale del sistema, zonizzazione e classificazione degli assets per criticità.
Valutazione del rischio
Valutazione del rischio e definizione dei livelli di Security.
Ottimizzazione
Prove sperimentali per verifica degli assets, progettazione e implementazione delle eventuali misure correttive.
Didattica
Formazione del personale in materia di regolamenti e sull’uso degli strumenti informatici per evitare i rischi che derivano da un uso improprio.
Cybersecurity as a service
Come ogni sfida tra il Bene e il Male che si rispetti, anche quella contro il crimine informatico non ha una fine e si rinnova di giorno in giorno. Per questo abbiamo pensato a un servizio continuativo basato sull’implementazione di una strategia di lungo periodo: Cybersecurity as a Service.
Esperienza e collaborazioni
I professionisti che mettiamo in campo per i nostri clienti sono veri esperti di Cybersecurity, e lo dimostrano le Partnership di livello internazionale costruite in questi anni, tra le quali quella col Bureau Veritas, leader mondiale nei servizi di ispezione, verifica di conformità agli standard di Safety e Security e certificazione.
Cybersecurity in pillole
A seguire qualche parola chiave e approfondimento che troverai sicuramente interessante per comprendere meglio il tema della Cybersecurity.
Requisiti essenziali di sicurezza e di tutela della salute
1.1 – Considerazioni generali / 1.1.2 – Principi di integrazione della sicurezza
c) In sede di progettazione e di costruzione della macchina, nonché all'atto della redazione delle istruzioni il fabbricante, o il suo mandatario, deve prendere in considerazione non solo l'uso previsto della macchina, ma anche l'uso scorretto ragionevolmente prevedibile.
1.2 – Sistemi di comando / 1.2.1 – Sicurezza ed affidabilità dei sistemi di comando I sistemi di comando devono essere progettati e costruiti in modo da evitare l'insorgere di situazioni pericolose. In ogni caso essi devono essere progettati e costruiti in modo tale che: un'avaria nell'hardware o nel software del sistema di comando non crei situazioni pericolose, errori della logica del sistema di comando non creino situazioni pericolose.
Particolare attenzione richiede quanto segue:
la macchina non deve avviarsi in modo inatteso, i parametri della macchina non devono cambiare in modo incontrollato, quando tale cambiamento può portare a situazioni pericolose, non deve essere impedito l'arresto della macchina, se l'ordine di arresto è già stato dato
La serie di norme 62443 è stata sviluppata congiuntamente dal Comitato ISA99 e dal Comitato IEC TC65WG10 ed è dedicata alla necessità di progettare ed integrare una CyberSecurity robusta e resiliente nel sistemi industriali di controllo (ICS).
Gli obiettivi della serie 62443:
- Migliorare Safety, disponibilità, integrità e confidenzialità dei sistemi utilizzati per l'automazione industriale e il controllo di processo.
- Fornire dei criteri oggettivi per implementare l'adeguato livello di Security nei sistemi industriali di controllo e gestione dei processi.
Lo standard minimo emanato dal governo svizzero è destinato a fornitori e operatori di infrastrutture critiche e non: è concepito come un manuale contenente le linee guida per la sicurezza informatica con particolare attenzione ai concetti di “identificazione”, “rilevazione”, “protezione”, “risposta” e “recupero”. Questo provvedimento punta ad aumentare la consapevlezza dei rischi legati alle minacce informatiche e ai furti di dati presso le piccole e medie imprese.
VPNFilter è un malware progettato per infettare i router e alcuni dispositivi di storage collegati alla rete. Si stima che al 24 maggio 2018 abbia infettato circa 500.000 router in tutto il mondo, anche se si stima che questa sia comunque una stima al ribasso. VPNFilter Può rubare dati, contiene un "kill switch" progettato per disabilitare il router infetto a comando ed è in grado di sopravvivere al riavvio del router. L'FBI ritiene che sia stato creato dal gruppo russo Fancy Bear.
“Cyber Resilience” si riferisce alla capacità di un'entità di ottenere il risultato desiderato, nonostante eventi informatici avversi. Quello di Cyber Resilience è un concetto che si ta rapidamente affermando e riunisce essenzialmente le aree della sicurezza delle informazioni, della continuità operativa e della resilienza organizzativa. Le entità cui si lega maggiormente tale concetto sono: sistemi IT, infrastrutture critiche, processi aziendali, organizzazioni, società e stati nazionali.
Per Cyber Threat Intelligence si intendono le informazioni sulle minacce e sugli attori delle stesse che contribuiscono a mitigare gli eventi dannosi nel cyberspazio. Le fonti di intelligence sulle minacce informatiche comprendono l'intelligence open source, l'intelligence dei social media, l'intelligence umana, l'intelligence tecnica o l'intelligence dal dark e deep web.
Il Malware è un software progettato intenzionalmente per causare danni a un computer, server, client o rete di computer. Esiste un'ampia varietà di tipi di Malware, tra cui virus informatici, Worm, Trojan, Ransomware, Spyware, Adware, Software Rogue e Scareware. Anche i programmi sono considerati Malware se agiscono segretamente contro gli interessi dell'utente del computer.
Il Cybersecurity Framework ideato dal NIST (National Institute of Standards and Technology) fornisce un quadro di linee guida sulla sicurezza informatica su come le organizzazioni del settore privato negli Stati Uniti possono valutare e migliorare la loro capacità di prevenire, rilevare e rispondere agli attacchi informatici. Tradotto in molte lingue e utilizzato anche dai governi giapponese e israeliano, l’ultima release del framework include una guida su come eseguire le autovalutazioni, indicazioni su come gestire il rischio nella supply chain, una manuale su come interagire con gli stakeholder, incoraggiando inoltre la divulgazione delle vulnerabilità più ricorrenti.
Protezione dei dati: perché scegliere la crittografia omomorfica
Software per la gestione delle fatture: cosa sono?
Differential Privacy: cos’è?
Sei cyber-sicuro?
Proteggi l'infrastruttura della tua azienda
Il primo passo verso l’implementazione di una strategia di Cybersecurity è un passo nel vuoto, ma non sei solo. Incontriamoci!
