More Related Content
What's hot
What's hot (8)
Similar to Cyber Risk Assessment: Rileva, Intervieni e Previeni il rischio
Similar to Cyber Risk Assessment: Rileva, Intervieni e Previeni il rischio (20)
Cyber Risk Assessment: Rileva, Intervieni e Previeni il rischio
- 1. Cyber Risk Assessment: Rileva, Intervieni e Previeni il rischio Marco Viscardi 25 Marzo 2022
- 2. Cyber Risk Assessment Cos’è ? Il Cyber Risk assessmentè un insiemedi analisi eprocedure utiliper neutralizzare il fenomeno del Cyber Risk. Si trattadi un’analisi delsistemainformativodi un’impresa, mirataa individuaretuttii potenzialipunti deboli che possonomettere a rischiolasicurezza dei dati aziendali.
- 3. Cyber Risk Assessment Non dovrebbe essere necessario : • Tutte le Aziende hannoun firewall installato • Tutte hanno un antivirus/antimalware sui PC • Quasi tutte hanno sistemi di filtro e controllo della mail… EPPURE… Perchè effettuarlo?
- 5. Cyber Risk Assessment Gli attaccanti sfruttano il fatto che le Aziende blindano i portoni principali, ma dimenticano aperta lafinestrella del bagno… Perchè gli attacchi hannosuccesso? E la rete lo sa…
- 6. La Rete conosce delle Aziende molto più di quanto le Aziende conoscono di loro stesse…
- 7. Comefunziona un attacco Ransomware…
- 8. Consentediottenereunquadrochiaroe completodeirischicyberedelloroimpatto Permettediidentificareleareediinterventoela loropriorità(Pianodimitigazione) 01 02 03 Consentedidestinare budgetdoveèveramente necessarioperlasicurezza aziendale Cyber Risk Assessment Perchè effettuarlo?
- 9. Cyber Risk Assessment Processo consigliato da AgID
- 10. Rischidell’Azienda SiconcretizzanoperMEZZOdi MINACCE… SfruttandoVULNERABILITA’Aziendali: • Perdita Dati (da risorse interne oppure presso terzi) e dover pagare per recuperarli • Pubblicazione dati Riservati • Blocco Operatività • Perdita di reputazione • Fermo servizi pubblicati (e-commerce, portali B2B) • Sanzioni (non allineamento GDPR) • Rischio di azioni legali • Aumento costi per le assicurazioni da cyber rischio • Ransomware/Malware • Web Application attack (SQL Injection/XSS) • Phishing • Botnet sottrazione credenziali • Social Engineering • Attacchi DDoS • Attacchi IoT • Tecnologiche • Umane • Processi non definiti • Configurazioni errate • No piano Disaster Recovery • Vulnerabilità fornitori/partner • Gestione dei permessi lacunosa Cyber Risk Assessment Definizione di Cyber Risk
- 11. Probabilità (quantoèprobabilechesucceda?) • Indica la probabilità che l’evento accada Cyber Risk Assessment Impatto e Probabilità • Perdita economica • Perdita Reputazione • Non conformità Legale/Normativa GDPR Impatto/Conseguenze (Chetipodidanniprovocherebbe?)
- 12. Cyber Risk Assessment Flusso delle attività IDENTIFICAZIONE DEFINIZIONE MITIGAZIONE ANALISI End Matrice Rischio Impatto x Probabilità Definizione rischio Piano di Mitigazione Identificazione “Crown Jewels” • Processi Business Critical • Servizi IT che li abilitano • Analisi flusso dei dati • Analisi sui servizi identificati • Analisi sui servizi esposti • CTI • Security Assessment VA/PT Phishing Simulation Gap Analysis • Framework NIST • Framework nazionale Cyber Security • Misure minime AGID Accettabile NON Accettabile Critico • Pianificazione • Priorità • Definizione tecnologie • Definizione Processi di Risposta Retest dopofix vulnerability Tuning CyberRisk Assessment dopo12 mesi Asset Discovery (se necessario)
- 13. Cyber Risk Assessment Identificazione degli asset IDENTIFICAZIONE Identificazione “Crown Jewels” • Asset Business Critical • Servizi IT che li abilitano • Processi che li supportano Partire dagli asset, identificando gli ambiti di maggiore criticità, per adottare le misure necessarie rispetto alle esigenze di business. Ambiti applicativi (critici e non), ambito organizzativo, processi di business e beni strumentali che caratterizzano in modo peculiare l’azienda. Ambito organizzativo, processi, procedure operative, infrastrutture ICT, ambiti applicativi di supporto (email, internet, informatica utente, ...)
- 14. Cyber Risk Assessment Analisi del Rischio IDENTIFICAZIONE ANALISI • Analisi sui servizi identificati • Analisi sui servizi esposti Vulnerability Assessment Gap Analysis • Misure minime AGID Per comprendere le vulnerabilità tecnologiche dell’Azienda, viene effettuato un Vulnerability Assessment approfondito con particolare attenzione agli asset ritenuti più critici. Vengono utilizzati sistemi di Cyber Threat Intelligence per capire quali e quante informazioni circa la mia Azienda sono di pubblico dominio. Vengono inoltre testai gli exploit tramite Penetration Test Vengono analizzati i processi aziendali e verificato il gap esistente con le best practices (misure minime AGID). Questo tipo di assessment permette di circostanziare i dati evidenziati dalla attività di VA/PT
- 15. Cyber Risk Assessment Matrice del Rischio DEFINIZIONE End Matrice Rischio Impatto x Probabilità Definizione rischio Accettabile NON Accettabile Critico E’ la fase centrale del processo di Cyber Risk Assessment. Con i dati raccolti nella fase di analisi, si definisce la gravità dei rischi identificati, secondo una matrice impatto x probabilità. Si definisce quindi la soglia di rischio che l’Azienda decide di accettare (Risk Appetite), per le risultanze «critico» e «non accettabile» si procede a piano di mitigazione.
- 16. 1. Blocco attività operative, (gestionale, pianificazione, file office) dovute a ransomware • Policy backup non sufficienti • Vulnerabilità 2. Perdita/pubblicazione di progetti riservati di proprietà dei clienti • Vulnerabilità nei sistemi accesso /VPN 3. Perdita dati su device mobili/Laptop a causa di malware Cyber Risk Assessment Rischio pre mitigazione
- 17. Cyber Risk Assessment Piano di Mitigazione MITIGAZIONE Piano di Mitigazione • Pianificazione • Priorità • Definizione tecnologie • Definizione Processi di Risposta Il piano di mitigazione ha lo scopo di abbassare il livello del rischio cyber aziendale secondo un piano di intervento a medio-lungo termine. Si definiscono i primi interventi che possono essere messi in atto che, in modo veloce ed economico, possono già risolvere diversi problemi, (Quick Win). Per il resto si condivide un piano di interventi secondo l’esempio a fianco.
- 18. Mitigazione : Fix delle vulnerabilità, MFA sulle VPN, revisione dei processi di accesso Mitigazione : backup su cloud/immutabili, installazione EDR, Fix vulnerabilità Cyber Risk Assessment Rischio post mitigazione
Editor's Notes
- i.