RISCHIO INFORMATICO E CONTINUOUS AUDITING Monitorare in continuo

RISCHIO INFORMATICO E CONTINUOUS AUDITING: Monitorare in continuo i livelli di sicurezza: quali implicazioni? Alessandro Da Re, CRISC Chief Executive Officer 1 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Quesiti • Cosa significa “Monitorare continuamente i livelli di sicurezza” ? • Come definire in maniera accettabile la descrizione olistica di “Livello o indice di sicurezza”? (1) • Cosa misuro? Le infrastrutture IT gli “apparati di sicurezza”? I Processi e le procedure di Security Governance? Il grado di affidabilità del software? • Quali le metriche? Qualitative? Quantitative? O altro? • Chi certifica che la misurazione effettuata è efficace ? 1 - Relativamente a ciò che può essere chiamato "olistico", per definizione, la sommatoria funzionale delle parti è sempre maggiore/differente della somma delle prestazioni delle parti prese singolarmente. Pag. 2 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Security Index? Ma per favore… Pag. 3 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Proviamo ad immaginare… Quanto si può prevenire? Quali indicatori? Premonizioni Cognitive? Pag. 4 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Casi reali Oltre ai parametri operativi consentiti …non sempre va come auspico. Il caso “Bud Hollands” Pag. 5 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

GENESI • Consapevolezza e immediatezza di informazioni sui rischi; se mancano sono il primo vero rischio per il business. • Quindi, va da se, l’esigenza del controllo è evidente perché si sa, prevenire è meglio (che curare). Security Marketing! Rappresentare efficacemente i rischi al management è un driver • • I Framework di riferimento forniscono i “parametri operativi” e gli ambiti di controllo (Cob. IT, Val. IT, Risk. IT, ISO 27001 etc. ). • Risk Management e “Valore del Business”: fondamenti per la strategia di BC Da queste sintetiche ma fondamentali considerazioni è nata, nel 2000, l’idea di pensare ad un tool che fosse in grado di recepire diversi indicatori dall’ambiente, di “misurare” un “indice di sicurezza” e di relazionarlo a KPI recepite da “indicatori di Business” (Business Intelligence). Pag. 6 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Situational Awareness E’ il concetto di base nella gestione delle situazioni complesse, e consente di avere “il polso” della situazione, agire con efficacia ed efficienza, evitare situazioni di panico, prevenire. In sintesi: mantenere il controllo e la consapevolezza in qualsiasi condizione Pag. 7 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Early Warning Concetto mutuato dalla cultura militare: • Individuare le minacce prima di essere alla loro portata; • Gestire in maniera proattiva la propria infrastruttura • Prevenire gli incidenti e agire in maniera coordinata • Avere la visione completa dello scenario Pag. 8 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Definiamo; Monitorare Significa: • Conoscere l’ambiente ed il suo valore (scenario) • Scegliere uno o più framework di riferimento e confrontarlo “il più spesso possibile” • Sintesi efficace delle informazioni che ritengo strategiche • Accorgersi per tempo che “qualcosa non va” rispetto alle policy • Individuarne la causa e decidere sul rimedio nel minor tempo possibile. Il termine monitoraggio deriva dal latino monitor – oris, derivato di monere, con il significato di ammonire, avvisare, informare, consigliare. Il termine ha origine in ambiente industriale, per indicare la vigilanza continua di una macchina in funzione, mediante appositi strumenti che ne misurano le grandezze caratteristiche (velocità, consumo, produzione, ecc. ). Il significato originario si è ampliato: dalla macchina all'intero processo, a tutta una struttura operativa, includendo in essa anche le risorse umane Pag. 9 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Monitorare; paradigmi Una BIA consente di valutare l’impatto sul Business che potrebbe avere un “Rischio” non correttamente gestito. Il Risk Management, evidenzia i rischi a cui sono esposti gli Asset strategici (scope) con l’obiettivo di mitigarli. MONITORARE: Determino il grado di rischio, in funzione della criticità e natura dell’asset, della probabilità e della tipologia e numero di vulnerabilità del sistema che lo ospita o dei processi che sottende… In breve: Misurare quindi in modo oggettivo (Best Practice) un ambiente soggettivo (scope) Pag. 10 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Monitorare Continuamente? “Computer Security Audit”, rappresenta quel segmento di processi organizzativi e strumenti tecnologici atti a rilevare lo “stato di salute” di un sistema informativo. Misurare il livello di sicurezza di una infrastruttura IT è da sempre stata una sfida importante, tanto più complessa quanto più esteso è l’ambiente d’analisi. Le tecniche di Audit tradizionali, prevedono dei controlli “manuali” effettuati in istanti diversi, a campione (ISO 19011) Può accadere che nel lasso di tempo che intercorre tra l’attività di controllo effettuata nell’istante T e la successiva dell’istante T 1, avvengano dei fatti – ad esempio la rilevazione di una vulnerabilità in un sistema - tali per cui il livello di sicurezza si abbassa, esponendo l’infrastruttura a dei reali rischi di attacco. Pag. 11 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Monitorare Continuamente! “Continuous Audit” (CA) consente, se associato alle opportune attività di applicazione delle contromisure, di ridurre drasticamente il rischio di violazione dei sistemi e mantenere il livello di sicurezza vicino al target di riferimento. ISACA in un articolo apparso nella rivista “Information Systems Control Journal, Volume 5, 2002” dichiara: Continuous Auditing: Is It Fantasy or Reality? Continuous auditing has been defined as a methodology or framework that enables auditors (external and internal) to provide written results on the subject matter using one or a series of reports issued simultaneously. The ability to report on events in a real-time or near real-time environment can provide significant benefits to the users of audit reports Pag. 12 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Continuous Auditing Rappresenta una sfida complessa in quanto occorre: • Mantenere una ricognizione continua delle vulnerabilità sulle situazioni esistenti (Early Warning); • Controllare attivamente tutte le nuove situazioni che possano rappresentare un rischio; • Realizzare adeguate metriche per ricavare il Livello di Sicurezza complessivo, da rappresentare in modo intuitivo e immediato e in forma sintetica che analitica. Pag. 13 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

IT Security Index? ? ? (ma per favore 2!!!) • Non esistono standard (de facto o meno) che suggeriscano la “metrica” per definire un IT Security Index. • Tuttavia; tutto ciò che esiste è misurabile (o no? ) • Allora: perché è difficile o utopico parlare di IT Security Index? • Viene spontaneo il quantum “Qualitativo”, ancorché “Quantitativo” • Presupposto 1: In presenza di Vulnerabilità, aumenta il rischio di violazione, diminuisce l’indice di sicurezza. • Presupposto 2: Audit significa evidenziare per tempo vulnerabilità (di varia natura), che possano compromettere i requisiti di sicurezza e, di conseguenza, il business. Pag. 14 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Misure: Le metriche - esperienza I rischi IT indotti dalle minacce e dalle vulnerabilità non gestite sono molteplici e di diversa natura. Misurarli tutti significa trovarsi con una plancia di comando traboccante di strumentazione ed indicatori; in caso di emergenza, l’attenzione è rivolta solo agli strumenti più importanti e facilmente visibili. un unico indicatore, pur mantenendo il dettaglio dell’informazione, rende efficace l’intervento di remediations. Una metrica adeguata pondera i singoli rischi ricavandone un unico indice, per orientare correttamente attenzione ed investimenti sui punti realmente più critici. Schema di un abitacolo del Mikoyan-Gurevich MIG-23 BN Pag. 15 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Metriche Analisi Quali – Quantitativa per uniformare il monitoraggio dei Rischi IT, su infrastrutture tecnologiche complesse. In queste metriche di esempio, vengono inseriti nel calcolo dell’indice di sicurezza i fattori di rischio relativi alle vulnerabilità dei sistemi, e alla disponibilità di un “processo” associato ad una Applicazione critica. Il ”set” di metriche può essere esteso in modo significativo, assegnando di volta in volta il “peso” con il quale ognuna di essa influisce per il calcolo del livello di sicurezza in quello specifico ambiente. Security Metrics M 1 Numero totale di vulnerabilità di tipo HIGH 25, 0 19, 2 M 2 Numero di vulnerabilità per tipologia diverse di tipo HIGH 25, 0 19, 2 M 3 Numero di vulnerabilità di tipo MID 17, 5 9, 3 M 4 Numero di vulnerabilità diverse di tipo MID 17, 5 9, 3 M 5 Numero di vulnerabilità di tipo LOW 7, 5 3, 5 M 6 Numero di vulnerabilità diverse di tipo LOW 7, 5 3, 5 M 7 Disponibilità dei singoli servizi 0 18, 0 M 8 Disponibilità di processo “A” (p. es. Ciclo Attivo) 0 18, 0 100, 0 Totale contributo sul calcolo del Security Index Pag. 16 Contributo % ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Metriche Il rischio di violazione dei sistemi aumenta considerevolmente nel caso si fosse in presenza di più vulnerabilità di diverso tipo in più host, dando quindi più possibilità di successo nell’ottenere un accesso non autorizzato ai sistemi. La metriche rendono il calcolo del SL(Security Level) indipendente dall’ambiente e dalle dimensioni dell’organizza zione Pag. 17 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Altre security Metrics? ISACA Tools: Pag. 18 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Qhawax: “El que observa o vigila con astucia” L’esperienza e le esigenze di mercato, ha portato a ragionare e sviluppare un prodotto d’ausilio al monitoraggio continuo del Rischio, cercando di realizzare ciò che in letteratura è considerata una sfida. L’azienda, completando un percorso iniziato nel 2002, ha voluto investire risorse per lo sviluppo del prodotto, portandolo a brevetto Italiano: Pag. 19 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Qhawax: L’architettura Pag. 20 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Qhawax: L’architettura di monitoraggio Pag. 21 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Qhawax: Schema Logico modulo VA MODELLO ARCHITETTURALE QHAWAX LIVELLO DI CONTROLLO GSI: Reti, Sistemi, Servizi IT e Organizzazione Cruscotto Real-Time Reports, documentazione e Allarmi Calcolo dell’indice globale di sicurezza APPLICAZIONE Valutazione dei dati raccolti per indicatore Analisi Raccolta e archiviazione dati di analisi Analisi automatica delle vulnerabilità e trend SI Network Security Index SICUREZZA INFRASTRUTTURA Security Index per ogni singolo sistema Ambito tecnologico Classificazione delle vulnerabilità Asset Inventory Sonde distribuite Pag. 22 Security Server Metriche di Sicurezza ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Dashboard La dashboard propone un Security Level complessivo. In questo esempio, il sistema evidenzia l’aggregazione della metrica “vulnerabilità di sistema”, con la possibilità di drill-down nel singolo dettaglio. Pag. 23 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Dashboard 24 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Dashboard 25 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

I Sistemi di allerta 4 Quali sono i giusti sistemi di allerta? 4 Vengono presi correttamente in considerazione? 4 L’infrastruttura organizzativa è in grado di sostenere e garantire un adeguato livello di sicurezza agli utenti? RSS Feed Early Warning E-mail Pag. 26 SMS ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Business Intelligence La Business Impact Analysis, punto di partenza valutare l’impatto che una errata gestione del rischio, può comportare. Individuare i processi “core” dell’impresa, e valuta l’impatto economico / organizzativo del loro ripristino, in caso di emergenza, in funzione del tempo (Recovery Time Objective) e della relativa perdita economica. L’idea di integrare IT Risk con la Business Intelligence consiste, in breve, nell’ottenere indicatori relativi al “valore” del processo, e porlo in relazione con i rischi rilevati e valutare: • Costi di ripristino; • RTO massimo consentito dal business; • Scenari di impatto (what if). La sensibilizzazione verso l’IT Security, avviene attraverso parametri di conto economico e di immagine (perdita / guadagno) in funzione del Rischio. Pag. 27 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Integrazione Pag. 28 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Da Idea a brevetto Abbiamo voluto premiare l’iniziativa e l’effort di questi anni, decidendo di brevettare la soluzione. Qhawax è quindi registrato dal 2008 come brevetto n° TO 2008 A 000217 “Metodo , Apparecchio e sistema per calcolare in modo completamente automatico il livello di sicurezza di un sistema informatico”. L’analisi di applicabilità, la stesura della documentazione e la presentazione della domanda di brevetto, è stata affidata allo Studio Torta di Torino Pag. 29 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

Conclusioni Ci auguriamo che il metodo proposto possa diventare oggetto di studio e di critica proattiva da parte dei colleghi: L’obiettivo è di ampliare i concetti di monitoraggio e valutazione della sicurezza, anche e soprattutto attraverso l’aggregazione di competenze. La rappresentazione grafica dell’indice di sicurezza (Security Marketing) sarà quindi “solo” il risultato di approfondimenti e considerazioni di professionisti dell’ IT Security & Audit e della Business Intelligence. Pag. 30 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

CHI E’ LOGICAL SECURITY Presente nel mercato della sicurezza logica dal 2002, base su Treviso. Alcune referenze: • SAVE Aeroporti di Venezia • MAE - Unità di Crisi • Gruppo De’ Longhi • Università Cattolica S. Cuore- Roma • Crediveneto - BCC • Replay Fashion Box • Autovie Venete • GGP Italy • Gruppo Stefanel • Gruppo Despar • Gruppo Unicomm (Famila) • Gruppo Supermercati Alì • T-Systems Italia • YKK Pag. 31 ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

CHI E’ LOGICAL SECURITY Un gruppo di professionisti fortemente orientati alle sviluppo di competenze dei suoi consulenti e del cliente. LOGICAL SECURITY PORTFOLIO Business Process Management IT Governance & Security Compliance Business Impact Analisys Audit IT Strategy Cost Reduction Assessment Security Operation Center Management Measuring c Expertise c Mainframe Z/OS Networking Cloud Dipartimentale IT Security Technology Access Control PKI IAM VPN (IPSEC/SSL) Recovery Backup Antivirus Firewall Business Continuity Collaborazione Elettronica - EDI Applications Pag. 32 Business Intelligence ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati

RISCHIO INFORMATICO E CONTINUOUS AUDITING: Monitorare in continuo i livelli di sicurezza: quali implicazioni? Grazie per l’attenzione ! 33 Alessandro Da Re, CRISC Chief Executive Officer ATED – Monitorare in continuo i livelli di sicurezza – Quali Implicazioni. Logical Security S. r. l. 2011 Tutti i diritti riservati