Piero Tagliapietra, profile picture
Uploaded byPiero Tagliapietra
2,389 views

I rischi dei Social Media in Ambito Aziendale

Il documento analizza i rischi associati all'uso dei social media in ambito aziendale, evidenziando la crescente interazione tra dipendenti e piattaforme social. Vengono discussi vari tipi di minacce, tra cui la diffusione di malware, la perdita di dati sensibili e danni alla reputazione aziendale. Si sottolinea l'importanza di una gestione attenta della corporate image e delle informazioni condivise dai dipendenti durante l'orario di lavoro.

Embed presentation

Downloaded 67 times
Piero Tagliapietra - Security Specialist - Project Work         1                       POLITECNICO  DI  MILANO  –  CEFRIEL   MASTER  IN  ALTO  APPRENDISTATO  DI  I°  LIVELLO  “SECURITY  SPECIALIST”           I  rischi  dei  Social  Media  in   Ambito  Aziendale     Introduzione  alla  Social  Business  Security                     Tutor:   Ing.  Giulio  Perin   Ing.  Enrico  Frumento     Presentata  da:   Piero  Tagliapietra                   2012/2014    
Piero Tagliapietra - Security Specialist - Project Work         2   SCENARIO   4   Social  Media  e  Social  Media  Business   4   Sicurezza  e  Social  Media   5   Analisi  dei  rischi  nel  dettaglio   10   Diffusione  Malware   10   Spam,  Phishing  e  frodi   11   Social  Engineering  e  Spear  Phishing   11   Diffusione  o  furto  di  dati  sensibili  o  d’identità   11   Diffusione  d’informazione  riservate  o  false   11   Danni  d’immagine  o  reputazione   11   OSINT   12   Diffamazione,  Ingiuria,  Stalking   12   Hacktivism  e  cracking  dei  profili  ufficiali   12   Violazione  dei  reati  presupposto   12   Violazione  dell’art.  4  l.  300/70   13   Diminuzione  della  produttività  dei  dipendenti   13   Tabella  di  sintesi   13   Aspetti  legali   15   MODELLIZZAZIONE  DELLE  MINACCE   17   Elementi  del  modello   17   Asset   17   Minacce   18   Informazioni  private  o  riservate  o  sensibili:   18   Asset  finanziari   18   Proprietà  intellettuale   18   Segreti  industriali   19   Sicurezza  fisica   19   Risorse  informatiche  e  rete  aziendale   19   Immagine  e  reputazione  personale   19   Immagine  e  reputazione  aziendale   19   Perdita  di  proprietà  intellettuale   20   Vulnerabilità   20   Estrinseche   20   Intrinseche   20   Exploit   21   Driven  by  download   21   Web  Exploit   22   Modello   22   RISK  TREE   25   Creazione  di  un  Dossier  Digitale   25   Pubblicazione  di  documenti   26   Danni  d’immagine   27   Attacco  ai  sistemi  aziendali   28   Interconnessione  dei  rischi   29  
Piero Tagliapietra - Security Specialist - Project Work         3   DREAD   30   MITIGAZIONE   34   Formazione   35   Policy   35   Elementi  cardine   36   Guidelines   38   Elementi  cardine   39   Strumenti  tecnologici   40   Piattaforme  di  monitoraggio   40   Piattaforme  di  gestione  dei  Social  Media   40   IDS  e  DLP   40   Backup  e  data  retention   41   Monitoraggio  del  traffico   41   Aggiornamenti  automatici   41   BIBLIOGRAFIA   42      
Piero Tagliapietra - Security Specialist - Project Work         4   Scenario   Social  Media  e  Social  Media  Business   I Social Media sono un insieme di tecnologie, piattaforme e strumenti online che le persone utilizzano per scambiare opinioni, informazioni, esperienze e contenuti multimediali e per stabilire relazioni. Possiamo dire quindi che i Social Media facilitano le interazioni tra gruppi di persone. Dovendo andare a identificare alcune delle specificità di questi strumenti possiamo utilizzare quelle descritte da Bennato 1 ed elencare le quattro peculiarità di questo media: replicabilità (per definizione ogni oggetto digitale può essere duplicato), ricercabilità (qualunque testo, salvo alcune eccezioni specifiche, è ricercabile), persistenza (una volta pubblicati online l’autore ne perde il controllo e non può garantirne l’eliminazione) e scalabilità (i contenuti possono essere diffusi in maniera virale in modo più o meno rapido). Tuttavia, anche se in parte si tratta di un qualcosa di nuovo, sappiamo che tutti i media si appoggiano su infrastrutture pre-esistenti e in molti casi possiamo ritrovare questa tendenza nel fatto che gli utenti tendano a considerare come narrow cast la comunicazione digitale (avendo una tradizione di media, anche digitali, con una portata limitata) mentre utilizzano piattaforme di broadcasting e parlando quindi con un numero estremamente alto di persone. Il numero di utenti che utilizza i Social Media e partecipa su Social Network è cresciuto enormemente negli ultimi anni in un trend che non ha riguardato solamente gli USA, ma che ha investito tutto il mondo. Se prendiamo ad esempio l’Italia vediamo che su una popolazione di circa 28 milioni di utenti online2 oggi gli utenti attivi di Facebook, secondo i dati ufficiali sono quasi 22 milioni, il 78% della popolazione online. Se andiamo leggermente oltre vediamo che 13 milioni di persone si connettono quotidianamente e 7 milioni di utenti si collegano tramite telefono3 . Anche se con numeri inferiori troviamo diversi milioni di utenti attivi anche su Twitter, Linkedin, Google+ mentre migliaia di persone scrivono sul proprio blog personale o si geolocalizzano su Foursquare. Vediamo quindi che durante il giorno le persone raccontano la propria vita attraverso vari dispositivi, in vari momenti, su diverse piattaforme. Da questo punto di vista possiamo vedere come la fruizione dei media sia cambiata e come si possano identificare due trend precisi da questo punto di vista: da un lato infatti abbiamo una fruizione multi-device sequenziale, dove l’utente si sposta da un oggetto all’altro fruendo però sempre dello stessa tipologia di contenuto, dall’altra invece abbiamo una fruizione multi-device contemporanea durante la                                                                                                                 1 Sociologia dei Media Digitali, Laterza, Roma-Bari 2011 2 Dati audiweb di luglio http://www.audiweb.it/cms/view.php?id=6&cms_pk=265 3 http://vincos.it/2012/05/11/nasce-losservatorio-social-media-in-italia-google-cresce-e-insidia- linkedin/
Piero Tagliapietra - Security Specialist - Project Work         5   quale l’utente utilizza più strumenti contemporaneamente (ad esempio twittando durante un evento televisivo). Ovviamente un bacino di utenti così ampio non ha lasciato le aziende indifferenti che hanno visto i Social Media come un nuovo territorio da colonizzare e sfruttare per attività di tipo promozionale, commerciale e per relazionarsi con i propri consumatori. Questo ha portato alla creazioni di pagine su Facebook, ad account aziendali su Twitter e alla realizzazioni di presidi su varie piattaforme: se prendiamo la lista delle Fortune 5004 vediamo che il 23% di queste ha un blog aziendale, il 62% un account Twitter e il 58% una pagina Facebook. Ovviamente le numeriche degli utenti e le attività aziendali sui Social Media mostrano a prima vista uno scenario apparentemente tranquillo, ma una lettura più profonda e completa di questo fenomeno può aiutarci a comprendere che queste piattaforme e tecnologie possono anche rappresentare un rischio per le aziende Sicurezza  e  Social  Media   In modo da comprendere in maniera esaustiva quali sono i rischi e i pericoli che possono nascere per un’azienda dai Social Media dobbiamo approfondire alcuni dei punti toccati in precedenza. Abbiamo detto che il numero di persone che utilizzano i Social Media è sempre più elevato, ma questi soggetti non sono semplicemente cittadini, sono anche dipendenti, manager e amministratori delegati: sono quindi in possesso di informazioni sull’azienda che non sempre possono essere rese pubbliche. Il fatto che, inavvertitamente, queste informazioni vengano condivise online è ben più di una possibilità: in alcuni casi infatti gli utenti sono convinti di agire secondo logiche di narrowcasting e non si rendono conto della diffusione (e dell’impatto) che possono avere i loro update. Oltretutto in molti casi il piano personale e lavorativo tendono a sovrapporsi. È infatti molto difficile per delle persone normali, per gli amici e i follower, comprendere quando si passa da un registro ufficiale ad uno comune: normalmente si tende a creare un unico insieme ibrido. Ovviamente questo rappresenta un ulteriore problema dal momento che alcune dichiarazioni che non rispecchiano necessariamente quelle dell’azienda possono essere lette come ufficiali. Oltretutto, anche qualora si riuscisse a tenere separati i due piani, qualunque messaggio ad opera dei dipendenti, dei manager e degli dipendenti andrebbe a contribuire alla costruzione della corporate image. Dobbiamo infatti ricordare che l’immagine aziendale (o corporate image usando le parole di Ugo Volli5 ) è un elemento semiotico frutto delle varie                                                                                                                 4 http://econsultancy.com/it/blog/9607-fortune-500-social-media-statistics-infographic 5 Semiotica della Pubblicità, Laterza, 2002
Piero Tagliapietra - Security Specialist - Project Work         6   discussioni che si sviluppano intorno alla marca e che quindi comprende sia i messaggi volontari (quelli ad esempio emessi in maniera ufficiale dall’azienda), sia involontari (ad esempio quelli dei dipendenti) che percepiti (discorsi fatti dagli utenti). Il grande passaggio verso il cosiddetto web 2.0 ha quindi spostato gli equilibri riducendo di fatto il potere dei messaggi volontari in favore di quelli involontari e recepiti: sempre più la marca è un elemento costruito collettivamente secondo logiche dal basso e quindi, i dipendenti, anche in maniera involontaria sono parte attiva della corporate image con i propri account e i propri update. Oltretutto molti di questi messaggi sono pubblicati durante l’orario di lavoro. Abbiamo infatti detto che le persone utilizzano i Social Network e i Social Media durante tutta la giornata e, se estendiamo il tutto all’impresa, questo significa che anche i dipendenti, durante l’orario lavorativo, utilizzeranno questi strumenti per interagire con i propri amici e condividere informazioni. Queste attività non vengono necessariamente fatte tramite computer di lavoro, uno strumento sul quale eventualmente è possibile esercitare una forma di controllo e tutela, ma spesso tramite gli smartphone personali che in un secondo momento vengono collegati al computer o alla rete interna. La consumerizzazione dell IT e le pratiche di BYOD (Bing You Own Device) da questo punto di vista complicano la gestione della sicurezza. La presenza di strumenti personali del dipendente infatti può limitare il controllo (e la protezione) da parte dell’azienda sui propri asset materiali e immateriali. Inoltre possiamo dire che, normalmente, le persone tendono ad attribuire uno scarso valore alle informazioni in loro possesso e, conseguentemente, a condividerle in maniera più facile: così come una password è condivisa più facilmente di un token o di una smart card, allo stesso modo, condividere informazioni con i propri contatti online, non viene percepito come attività rischiosa o dannosa. Questo porta in molti casi ad un approccio ingenuo che può aumentare l’esposizione dell’azienda a dei rischi. Oltre alla condivisione di informazioni, un approccio di tipo ingenuo espone anche a tutta un’altra categoria di rischi: in molti casi infatti gli utenti, convinti che l’ambiente dei Social Media sia sicuro (perché popolato da contenuti prodotti da altri utenti e da materiali condivisi dai propri amici) rischiano di premere con maggior frequenza su link poco sicuri e di immettere malware di vario tipo all’interno della computer aziendali, e, di conseguenza, di compromettere la rete aziendale. Nonostante molti dipendenti non considerino i Social Media come sorgenti di rischio, la loro pericolosità non è sfuggita a coloro che si occupano di sicurezza e di gestione dei Social Media. Se andiamo a prendere i dati di una recente analisi (pubblicata il 9 agosto) condotta da Altimeter6 vediamo che è                                                                                                                 6 i dati originali sono disponibili a questo indirizzo http://www.web- strategist.com/blog/2012/08/09/risk-management-guarding-the-gates-altimeter-report/ mentre una loro elaborazione è disponibile al seguente
Piero Tagliapietra - Security Specialist - Project Work         7   inizia a farsi strada una certa consapevolezza.                                                                                                                                                                                                                                                                                                                               http://www.emarketer.com/Article.aspx?R=1009309&ecid=a6506033675d47f881651943c21c 5ed4&goback=%2Egde_4417941_member_156431387
Piero Tagliapietra - Security Specialist - Project Work         8   Rischio Critico Significativo Moderato Debole Nessuno Danni di reputazione o all’immagine del brand 35% 31% 23% 4% 6% Diffusione d’informazioni confidenziali 15% 17% 31% 25% 10% Perdita di Proprietà Intellettuale (IP) 13% 15% 31% 25% 10% Problemi di carattere legale o di compliance 13% 17% 25% 27% 15% Diffusione di dati personali o sensibili 13% 21% 33% 15% 15% Forto d’identità o Hijacking 12% 13% 29% 22% 21% Interruzione della Business Continuity 10% 12% 29% 21% 27% Malware 8% 15% 33% 35% 8% Attacchi di Social Engineering 6% 12% 29% 35% 15% Danni all’infrastruttura informativa 6% 6% 31% 40% 15% Riduzione della produttività 4% 10% 31% 37% 17% Diffamazione dei dipendenti 2% 21% 27% 29% 19% I problemi che possono essere innescati da Social Media sono di diverso tipo e riguardano sia aspetti materiali (come la diffusione di materiale protetto) che immateriali (danni alla reputazione o all’immagine del brand). Se andiamo oltre possiamo osservare come la percezione del rischio cambi anche in funzione delle piattaforme7 . Sorgente di Rischio Significativo Moderato Basso Nessuno Facebook 35% 30% 25% 10% Twitter 25% 35% 33% 8% YouTube e altre piattaforme video 15% 28% 43% 15% Blog di altri utenti e commenti 10% 37% 44% 10% Blog aziendale e commenti 8% 15% 43% 31% Linkedin 8% 15% 43% 35% Giudizi e valutazioni su piattaforme dedicate 5% 18% 33% 45% Pinterest 5% 15% 33% 48% Piattaforme di condivisione delle immagini 3% 25% 38% 35%                                                                                                                 7 In questo caso le valutazione delle piattaforme sono soggettive e non parametrate sulla presenza effettiva di rischi, vulnerabilità o exploit noti
Piero Tagliapietra - Security Specialist - Project Work         9   Foursquare 3% 20% 20% 58% Intranet e Social Network Enterprise (es. Yammer) 3% 15% 35% 48% Google+ 0% 18% 49% 33% YahooAnswer, Quora ed analoghi 0% 13% 43% 45% Da questo primo breve elenco possiamo iniziare a distinguere tra due diverse tipi di attività: da un lato abbiamo dipendenti che, senza distinzione d’orario, pubblicano contenuti su piattaforme esterne (azione attiva) che possono condurre o a danni d’immagine o alla fuoriuscita di informazioni riservate o fungere da supporto per eventuali attacchi di Social Engineering e dall’altro dipendenti che, utilizzando piattaforme esterne durante le ore di lavoro, espongono i computer e la rete aziendali a dei rischi derivanti da attacchi esterni di vario tipo. Uno degli aspetti predominanti che emerge dalle tabelle prese in analisi in precedenza, è come i rischi maggiori (percepiti) siano legati ai danni di reputazione e all’immagine aziendale. Si tratta di timori fondati dal momento che: • Possono essere causate da una molteplicità di attori (dipendenti o attaccanti) • La diffusione di queste piattaforme e la naturale viralità dei contenuti che su di esse transitano possono amplificare la portata degli attacchi o dei danni • Richiedono una gestione attenta (da parte del community manager in molti casi) e una pianificazione accurata (da parte del management e dei responsabili della comunicazione) • Le persone non distinguono tra utenti e profili ufficiali e quindi, in molti casi, anche gli update personali dei dipendenti possono avere ricadute sulla corporate image.    
Piero Tagliapietra - Security Specialist - Project Work         10   Analisi  dei  rischi  nel  dettaglio     Dopo questo primo e generico elenco necessario approfondire e dettagliare questi elementi in modo da comprendere più a fondo quali siano gli elementi che contraddistinguono i diversi rischi sui Social Media. In modo da semplificare la lettura, alcuni rischi strettamente collegati, sono stati riassunti in un'unica categoria. A livello di rischi possiamo identificare • Diffusione di Malware • Spam,phishing e frodi • Social Engineering e Spear Phishing • Diffusione o furto di dati sensibili o d’identità • Diffusione d’informazioni riservate o false • Open Source Intelligence da parte dei concorrenti • Diffamazione, Ingiuria, Stalking • Danni d’immagine e di reputazione • Hacktivism e hacking dei profili di comunicazione aziendale • Violazione di reati presupposto (231/01) • Violazione dell’art. 4 L.300/70 • Diminuzione della produttività da parte dei dipendenti In modo da poter comprendere meglio le tipologie di rischio per ognuna di queste categorie è stata fatto un approfondimento ulteriore e, i vari rischi, sono stati valutati tramite un’analisi qualitativa analizzandone frequenza e impatto e andando a considerare quindi tre macrocategorie (accettabile, grave, inaccettabile). Ovviamente, la valutazione è parziale dal momento che non sono stati selezionati target ed asset specifici da proteggere. Impatto Basso Minore Moderato Alto Catastrofico Frequenza 1 2 3 4 5 Raro 1 1 2 3 4 5 Improbabile 2 2 4 6 8 10 Possibile 3 3 6 9 12 15 Probabile 4 4 8 12 16 20 Certo 5 5 10 15 20 25 Uno degli aspetti principali da considerare è che questi rischi non sono scollegati tra loro, ma che molto spesso assistiamo a una combinazione di essi. Diffusione  Malware   In questo caso si tratta principalmente di rischi la cui frequenza è molto elevata (certa) e il cui impatto può andare da minore ad alto. Si tratta quindi di rischi gravi o inaccettabili a seconda della realtà aziendale. Gli attacchi legati al malware (trojans, worms, rootkit, etc.) sono tutti driven by download e
Piero Tagliapietra - Security Specialist - Project Work         11   prevedono la presenza di un attaccante esterno. Questi attacchi sono particolarmente frequenti e sfruttano principalmente la credibilità,il senso di sicurezza del gruppo e la prova sociale. Spam,  Phishing  e  frodi   In questo caso il rischio è possibile con un impatto moderato-alto a seconda della realtà aziendale. Questi rischi possono essere in preparazione ad attacchi più mirati (ad esempio acquisizione di credenziali o informazioni per attacchi di Social Engineering, OSINT o Spear Phishing) Social  Engineering  e  Spear  Phishing   In questo caso il rischio è possibile con un impatto alto-catastrofico. Dato che alla base degli attacchi basati su questi metodi ci sono la ricerca d’informazioni o lo sviluppo di relazioni con la vittima, appare subito evidente che i Social Media rappresentano un terreno particolarmente fertile. In molti casi infatti non sono solo le vittime a rivelare informazioni su di sé, ma sono anche i colleghi e amici. La possibilità di entrare in relazione online facilità molto il compito e le attività degli ingegneri sociali. Diffusione  o  furto  di  dati  sensibili  o  d’identità   In questo caso i rischi sono accettabili o gravi a seconda dell’attore coinvolto e della tipologia d’informazioni diffuse. In questo caso infatti possiamo avere due tipologie distinte di attori: da un lato un dipendente che, dando scarso valore alle informazioni e percependo i Social Media come riservati e sicuri, diffonde in maniera involontaria informazioni su di sé, sull’azienda o sui colleghi; dall’altra abbiamo un attaccante (esterno o interno) il cui obiettivo è la diffusione delle informazioni. Possiamo quindi distinguere tra atti passivi (diffusione inconscia) e attivo (distribuzione conscia finalizzata ad uno scopo preciso). A livello di frequenza, il primo rischio descritto (comportamento naïve dei dipendenti) appare come più probabile e frequente. Diffusione  d’informazione  riservate  o  false   Questo rischi sono gravi (possibili e con un impatto alto): come nel caso precedente possiamo identificare un comportamento passivo ed uno attivo data la presenza di due attori (dipendente inconsapevole e attaccante). La diffusione di informazioni false rappresenta un elemento particolarmente interessante e significativo dal momento che all’interno dei Social Media la verifica delle fonti e dei contenuti avviene raramente. Se aggiungiamo a questo la viralità delle condivisioni, vediamo che l’impatto di questo rischio è decisamente elevata (soprattutto se vengono sfruttati meccanismi per creare in maniera artificiosa credibilità nelle fonti). Danni  d’immagine  o  reputazione   Come emerso dalla tabella questi rischi sono percepiti come i più probabili e
Piero Tagliapietra - Security Specialist - Project Work         12   con impatto maggiore: date anche le premesse sono da considerarsi come gravi o inaccettabili. In questo caso i Social Media rappresentano uno dei terreni che meglio si prestano a questi rischi: i dipendenti possono infatti pubblicare informazioni false, riservate, sensibili in maniera inconsapevole sui propri profili, sui presidi aziendali ufficiali o sulle pagine dei competitor mentre degli attaccanti possono farlo in maniera consapevole. L’elevato numero di utenti, la scalabilità dei contenuti e la loro persistenza rendono questo rischio inaccettabile. OSINT   Le operazioni di Open Source Intelligence da parte dei concorrenti rappresentano uno dei nuovi grandi rischi introdotti dai Social Media. In passato questo rischio era presente (andando ad analizzare i documenti pubblici ad esempio) ma era un accettabile o grave: con la mole d’informazioni pubbliche condivise dai dipendenti sulle varie piattaforme, possiamo dire che questo rischio oggi è classificabile come grave o inaccettabile a seconda della realtà. In questo caso troviamo una molteplicità di attori coinvolti: da un lato abbiamo infatti i dipendenti che pubblicano in maniera inconsapevole o consapevole le informazioni e dall’altro attaccanti esterni. Diffamazione,  Ingiuria,  Stalking   Si tratta di rischi al momento accettabili (rari e ad impatto moderato) ma che stanno vedendo nell’ultimo anno una radicale crescita. In molti casi infatti gli utenti non si rendono conto che, tramite i Social Media, comunicano ad un pubblico (qualunque insieme di persone superiore a due secondo la definizione giuridica) e che quindi si espongono facilmente ad una violazione degli art. 594 e 595 c.p. In questo caso il rischio diretto per l’azienda è relativamente basso (dato che la responsabilità penale è soggettiva), ma rischia di avere ripercussioni sull’immagine o di perdere figure chiave all’interno del management o dei progetti. Hacktivism  e  cracking  dei  profili  ufficiali   In questo caso, a seconda della realtà aziendale, possiamo definire questo rischio come grave (improbabile e con un impatto moderato-alto). Sono ormai diversi i casi in cui presidi ufficiali sono stati obiettivo di minacce da parte di hacktivisti: alcuni casi sono stati diffusi messaggi falsi (a seguito del furto delle credenziali) o notizie potenzialmente diffamatorie o con pesanti ricadute sull’immagine aziendale. In questo caso gli attori prevalenti sono attaccanti esterni. Una delle nuove frontiere di questo fenomeno potrebbe essere il ransomware applicato ai presidi ufficiali. Violazione  dei  reati  presupposto   A seguito della legge 231/01 sono stati individuati diversi reati presupposto molti dei quali possono essere commessi anche tramite Social Media. In
Piero Tagliapietra - Security Specialist - Project Work         13   questo caso, dato che si tratta comunque di piattaforme nuove, possiamo definire questi rischi come gravi o inaccettabili a seconda della realtà aziendale. La frequenza infatti che avvengano violazione dei reati presupposto è possibile (devono infatti essere commessi da figure apicali) ma in casi di aziende con forti legami con le PA l’impatto può essere catastrofico. Così come per la violazione dell’art. 4 l.300/70 in questo caso gli attori principali sono interni all’azienda. Violazione  dell’art.  4  l.  300/70   Nonostante vi sia la necessità di controllo è necessario tener presente di questo rischio che può comunque essere considerato accettabile. Qualora infatti si mettano in campo strumenti di controllo e monitoraggio dei Social Media è necessario infatti procedere con cautela onde evitare di andare oltre i limiti del controllo a distanza del dipendente. Diminuzione  della  produttività  dei  dipendenti   Questo rappresenta un rischio accettabile o grave la cui valutazione richiede un’attenta analisi. In molti casi infatti, un’errata lettura può portare ad una maggiore esposizione a rischi: i dipendenti che si vedono privati dell’accesso ai Social Media possono infatti ricorrere a proxy o device personali poco protetti. In questo caso gli attori coinvolti sono esclusivamente interni. Tabella  di  sintesi   Tipologia Frequenza Impatto Rischio Diffusione  Malware   Probabile Alto Inaccettabile Spam,  Phishing  e  Frodi   Probabile Moderato Grave Social   Engineering   e   Spear   Phishing   Possibile Catastrofico Inaccettabile Diffusione   o   furto   di   dati   sensibili  o  d’identità   Probabile Alto Inaccettabile Diffusione   di   informazioni   riservate  o  false   Possibile Alto Grave Danni   d’immagine   o   di   reputazione   Probabile Alto Inaccettabile OSINT   Certo Alto Inaccettabile Diffamazione,   Ingiuria,   Stalking   Raro Moderato Accettabile Hacktivism   e   cracking   dei   profili  ufficiali   Improbabile Moderato Grave Violazione   dei   reati   presupposto   Possibile Alto Grave Violazione   dell’art.   4   l.   300/70   Possibile Alto Grave Diminuzione   della   produttività  dei  dipendenti   Probabile Basso Accettabile
Piero Tagliapietra - Security Specialist - Project Work         14   In  base  a  questa  prima  analisi  siamo  in  grado  di  definire  una  scala  dei  rischi  e   decidere  eventuali  interventi  di  carattere  generale:  sarà  poi  l’analisi  sulla  singola   realtà  aziendale  (in  base  a  target,  contesto  e  agli  altri  parametri)  a  definire  con   maggior  precisione  il  piano  d’azione,  le  priorità  e  le  modalità  di  mitigazione.  In   tutti  questi  casi  ci  troviamo  davanti  a  rischi  non  intrinsechi:  utilizzando  infatti   delle  soluzioni  di  varia  natura  (sia  tecnologiche  sia  a  livello  umano)  è  possibile   ridurre  i  valori  legati  alla  frequenza  e  in  alcuni  casi  anche  l’impatto.    
Piero Tagliapietra - Security Specialist - Project Work         15   Aspetti  legali     La sicurezza dei Social Media comporta inoltre una profonda riflessione dal punto di vista legale dal momento che vanno ad incrociarsi diversi elementi. Prima di tutto il fatto che i dipendenti, sui Social Media, utilizzano i propri account personali e spesso device personali: questo ovviamente limita le possibilità di indirizzo e di controllo da parte dell’azienda. Il datore di lavoro rischia infatti d’incorrere in problematiche legate alla violazione dell’art. 4 l. 300/70 (controllo a distanza del dipendente) qualora monitori in maniera poco trasparente e non dichiarata le attività dei dipendenti esterne all’attività lavorativa. Dal momento che gli account usati dai dipendenti sono personali (e non strumenti lavorativi) e che vengono usati al di fuori dall’orario lavorativo è evidente come le azioni di controllo debbano essere curate ed attente. Tuttavia, per il datore di lavoro, il controllo è un elemento irrinunciabile dal momento che alcuni dei reati presupposto della 231/01 (responsabilità amministrativa dell’azienda). Possono infatti essere commessi i seguenti reati • Turbata libertà dell’industria e del commercio (art. 513 c.p.) • Illecita concorrenza con minaccia o violenza (art. 513 bis c.p.) • Frode dell’esercizio del commercio (art. 515 c.p.) • Abuso d’informazioni privilegiate (D. Lgs. 24.02.1998, n° 58, art. 184) • Manipolazione del mercato (D. Lgs. 24.02.1998, n° 58, art. 185) Questi reati possono infatti essere commessi sia da dipendenti che da figure apicali o tramite l’utilizzo di un account personale o tramite l’uso di account fasulli (che in molti casi possono comunque essere ricondotto all’azienda). Oltre a questi elementi (consolidati ormai nella giurisprudenza) è necessario tener presente che le normative legate al mondo digitale sono in rapida evoluzione ed espongono ad ulteriori rischi. Al momento infatti, come recentemente sancito da una sentenza della corte di cassazione (n° 44126) non è configurabile la responsabilità dell’editore per omesso controllo (art. 57 c.p. e 57 bis c.p.) per quanto riguarda i prodotti editoriali digitali. Tuttavia, oggi ogni azienda è potenzialmente configurabile un editore: dopotutto le pagine ufficiali su Facebook possiedono alcune caratteristiche (ad esempio il filtraggio preventivo per alcune parole chiave) che potrebbero far sì che l’azienda risulti sanzionabile per omesso controllo (ovviamente sempre a condizione di una modifica degli art. 57 e 57 bis. C.p.). Diventa però quindi fondamentale un presidio costante sulle evoluzioni normative. Oltre ai reati che possiamo identificare come direttamente collegabili alle attività aziendali è opportuno anche ricordare come nel 2012 ci sia stato un forte aumento delle cause per diffamazione e ingiuria tramite Social Media. Le violazioni degli articoli 594 e 595 c.p. infatti ha visto affermarsi nel nostro
Piero Tagliapietra - Security Specialist - Project Work         16   ordinamento la consuetudine che vuole come foro competente quello in viene reso noto alla vittima il fatto e questo, tramite gli smartphone portato ad una notevole mobilità. Risulta infatti sempre più facile scegliere a priori il foro nel quale si vuole essere giudicati e dichiarare che la notifica è avvenuto in quella sede. La differenza tra diffamazione e ingiuria all’interno dei Social Media è inoltre molto labile dal momento che basta “taggare” la vittima per ricadere nell’ingiuria ed ometterla per ricadere invece nella diffamazione. Oltretutto, essendo luoghi pubblici per definizione, vengono sempre applicate le aggravanti. La componente normativa, oltre che a problemi sul controllo dei dipendenti e nella gestione delle proprie attività, nasconde diverse difficoltà per quanto riguarda la dimensione trans-nazionale dei crimini che possono essere messi in atto. Questa problematica in realtà accomuna tutti i reati informatici e non solamente quelli commessi tramite i Social Media.    
Piero Tagliapietra - Security Specialist - Project Work         17   Modellizzazione  delle  minacce   Elementi  del  modello   Prima di procedere con la modellizzazione è necessario definire gli elementi che verranno utilizzati e lo scopo di tale attività. Per la modellazione verranno quindi definiti termini piuttosto ampi dal momento che non si affronta un caso specifico ma si vuole analizzare un fenomeno generale • Asset: entità (materiale o immateriale) che hanno valore per l’azienda • Minaccia: circostanza o evento in grado di arrecare dei danni a un soggetto o ente • Vulnerabilità: debolezza di un sistema che può essere impiegata per un exploit • Exploit: modalità di attacco che sfrutta una vulnerabilità • Esposizione: vicinanza o contatto con una minaccia • Rischio: in questo caso si considera solamente come prodotto di frequenza per impatto (incertezza negativa sugli obiettivi) • Contromisura: qualunque sistema, strumento, pratica in grado di ridurre le vulnerabilità o le minacce di un dato sistema • Attacco: l’atto (o il tentativo) di superare o violare le misure di controllo o protezione di un determinato sistema Asset   A livello macroscopico di modello possiamo dire che ci sono degli asset che possono essere compromessi da minacce; queste sfruttano degli exploit legati a delle vulnerabilità: l’esposizione alle minacce comporta un rischio che può essere mitigato attraverso delle contromisure. A livello generale possiamo dire che ogni azienda ha degli asset da tutelare e proteggere legati al suo business specifico. L’uso errato o improprio dei Social Media rischia di mettere in pericolo i seguenti asset, la cui distruzione, sottrazione, danno possono impedire all’impresa di raggiungere i suoi obiettivi. Rimanendo sempre a livello generale, al fine della modellizzazione possiamo identificare i seguenti asset da tutelare: 1. Informazioni private o riservate o sensibili: possono essere rubate, sottratte o utilizzate contro il legittimo proprietario per realizzare attacchi d’ingegneria sociale e sviluppare ATP (advanced persistent threat) 2. Beni finanziari: possono essere sottratti attraverso delle frodi o essere direttamente collegati a una diminuzione della produttività dei dipendenti 3. Proprietà intellettuale: può essere rubata o sottratta e successivamente diffusa (comportando un danno economico per l’impresa)
Piero Tagliapietra - Security Specialist - Project Work         18   4. Informazioni aziendali riservate: la cui diffusione può portare a perdite economiche, diminuzione della competitività, danni di reputazione e d’immagine 5. Sicurezza fisica: che può essere minacciata da criminali di vario tipo 6. Strumenti aziendali: che possono essere compromessi da malware di vario tipo e portare a danni economici o a una diminuzione della produttività 7. Reputazione/Immagine personale e aziendale: può essere danneggiata da azioni di vario tipo e risultare irreparabilmente compromessa 8. Identità digitale: che può essere sottratta o manipolata (furto d’identità o identity spoofing) Possiamo quindi fare alcune distinzioni tra beni (asset) aziendali e personali, tra materiali e immateriali, tra primari e secondari. Minacce   Al   fine   di   realizzare   una   modellizzazione   completa   è   necessario   definire   in   maniera  puntale  le  minacce  legate  ai  Social  Media  collegati  ai  singoli  asset   Informazioni  private  o  riservate  o  sensibili:     • Creazione   di   un   Dossier   Digitale   utilizzando   le   informazioni   pubbliche   diffuse  sui  Social  Media  (DD)   • Raccolta  dati  secondari  informazioni  che  l’utente  concede  alla  piattaforma   e  che  vengono  rivendute  a  sua  insaputa  DS)   • Esposizione  dei  dati  a  seguito  di  una  cattiva  configurazione  dei  settaggi  di   privacy  (Es)   • Mancanza   di   controllo   sugli   update   e   sulle   informazioni   diffuse   da   altri   utenti  (EsS)   • Inferenze  predittive  di  dati  sensibili  basate  sui  comportamenti  dell’utente   e  su  quelle  dei  suoi  contatti  (anche  su  informazioni  non  diffuse)  (IF)   • Identificazione  di  tutti  gli  account  dell’utente  (anche  se  aperti  sotto  falso   nome  o  pseudonimo)  usando  immagini  o  email  di  registrazione  associate   all’identità  reale  (ReId)   Asset  finanziari   • Frodi  (FR)   • Perdita  di  produttività  a  seguito  del  tempo  speso  dai  dipendenti  sui  Social   Media  (TL)     Proprietà  intellettuale     • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  e  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   una   errata  
Piero Tagliapietra - Security Specialist - Project Work         19   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma)   (IpPt)     Segreti  industriali   • La  pubblicazione  da  parte  dei  dipendenti  d’informazioni  sulle  procedure  e   sulle  modalità  di  lavoro  può  essere  usato  da  un  attaccante  per  creare  un   finto  profilo    aziendale  per  ottenere  l’accesso  ai  dati  e  alle  informazioni   aziendali  (FsDb)   • I   dipendenti   possono   pubblicare   in   maniera   accidentale   progetti   e   informazioni   confidenziali   a   causa   di   un’errata   valutazione   dell’importanza   dei   documenti   o   del   livello   di   confidenzialità   dei   Social   Media  (FsAc)     Sicurezza  fisica   • Diffusione   o   pubblicazione   accidentale   d’informazioni   che   possono   illustrare  a  un  attaccante    il  numero  di  persone  presenti,  le  funzioni  e  gli   orari  degli  uffici  (SFac)   • Pubblicazioni   di   immagini   che   possono   essere   usate   per   inferire   informazioni  sulle  attività  lavorative  (SFIm)   • Diffusione  di  informazioni  personali  che  possono  essere  usati  per  trovare,   identificare  e  minacciare  le  persone  (SFst)     Risorse  informatiche  e  rete  aziendale   • Diffusione  di  malware  nella  rete  aziendale  (MW)   Immagine  e  reputazione  personale   • Campagne   mirate   per   il   danneggiamento   della   reputazione   e   dell’immagine  personale  (IMs)   • Campagne   automatizzate   per   il   danneggiamento   della   reputazione   e   dell’immagine  personale  (IMa)   • Un  attaccante  può  entrare  in  possesso  d’informazioni  riservate  e  ricattare   il  soggetto  (ES.)   • Dato  che  i  processi  di  verifica  dell’identità  delle  piattaforme  sono  deboli  è   possibile   che   degli   attaccanti   creino   dei   profili   fasulli   con   conseguente   furto  d’identità  (FId.)   • Il   fatto   di   non   poter   dimostrare   con   sicurezza   l’identità   della   persona   rende   più   complessi   e   difficili   gli   atti   di   repudiation   qualora   vengano   diffuse  informazioni  false  o  diffamanti  (RP.)   Immagine  e  reputazione  aziendale   • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  o  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   un’errata  
Piero Tagliapietra - Security Specialist - Project Work         20   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma  o  di   una  mancata  policy  documentale  interna)  (IpPt.)   Perdita  di  proprietà  intellettuale     • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  o  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   un’errata   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma)   (IpPt.)   Vulnerabilità     Estrinseche   Si   tratta   di   vulnerabilità   sulle   quali   l’azienda   può   esercitare   un   certo   grado   di   controllo  e  mettere  in  campo  alcune  strategie  di  mitigazione.  In  questo  caso  si   tratta   di   vulnerabilità   collegate   agli   elementi   direttamente   collegati   all’azienda   (software,  hardware,  middleware,  wetware)  inclusi  nei  vari  processi.  In  questo   caso  ci  concentreremo  sul  fattore  umano  (wetware).   Bias  cognitivi  propri  degli  esseri  umani   • Gli  attaccanti  conoscono  bene  alcune  degli  errori  cognitivi  che  inducono  le   persone   a   reputare   come   credibili   o   interessanti   link,   informazioni   e   update.   Scarsa  conoscenza  dei  mezzi   • L’uso   dei   social   media   viene   vissuto   come   naturale   dagli   utenti   e   soprattutto,  più  che  come  spazi  aperti,  questi  vengono  considerati  come   stanza   chiuse   e   sicure   nelle   quali   è   possibile   comunicare   solo   ed   esclusivamente  con  i  propri  contatti.   Poca  consapevolezza  degli  attacchi   • Associato  alla  scarsa  conoscenza  dei  mezzi  gli  utenti  trascurano  spesso  i   pericoli  legati  all’uso  della  tecnologia  e  in  particolare  dei  Social  Media.   Basso  valore  delle  informazioni   • Gli   asset   intangibili   vengono   valutati   e   trattati   in   maniera   molto   più   superficiale  rispetto  ai  beni  fisici.  Il  problema  principale  risiede  nel  fatto   che   il   valore   delle   informazioni   non   dipende   dal   singolo   elemento,   ma   dalla  connessione  di  tutti  i  dati  diffusi.     Appare   evidente   la   maggior   parte   delle   vulnerabilità   è   legato   a   una   scarsa   conoscenza.   Intrinseche   Alcune minacce sono legate non tanto a comportamenti degli utenti ma a problemi delle piattaforme.
Piero Tagliapietra - Security Specialist - Project Work         21   Impossibilità  di  eliminare  i  contenuti   • A  causa  dell’eterogeneità  delle  policy  e  dei  TOS  delle  varie  piattaforme  e   della   loro   continua   evoluzione   è   possibile   che,   una   volta   caricato   del   materiale  su  un  Social  Media  l’azienda  ne  perda  il  controllo  rendendo  di   fatto  impossibile  la  cancellazione.  Questo  vale  anche  per  le  informazioni   personali.  In  molti  casi  oltretutto,  quando  una  persona  estranea  condivide   il   contenuto,   la   duplicazione   rende   impossibile   sia   la   cancellazione   che   l’eliminazione.     Metodi  di  autenticazione  deboli   • Le  modalità  di  autenticazione  sui  Social  Media  sono  estremamente  deboli:   a  causa  del  proliferare  delle  piattaforme  gli  utenti  tendono  a  replicare  le   stesse  combinazioni  nome/mail  e  password.  In  molti  casi  è  possibile  che   per  ragioni  di  semplicità  utilizzino  la  mail  di  lavoro.   Non  validazione  delle  informazioni   • L’unica   validazione   fatta   durante   la   registrazione   riguarda   l’email   che   deve   essere   attiva:   non   vi   sono   ulteriori   processi   e   questo   ovviamente   porta  alla  diffusione  di  profili  falsi.   Diffusione  dati  di  navigazione   • I  protocolli  di  comunicazione  possono  essere  usati  per  ottenere  diverse   informazioni   che   un   attaccante   può   sfruttare   per   identificare   delle   potenziali  vulnerabilità  del  sistema  usato  dal  target.   • La  “presence”  (presenza  segnalata  dai  sistemi  di  messaggistica  istantanea   e  chat)  fornisce  informazioni  rilevanti  a  un’attaccante  sulle  abitudini  della   vittima  e  rappresenta  un  ottimo  sistema  per  sfruttare  delle  vulnerabilità   mentre  la  vittima  è  lontana  dal  computer.   Diffusione  dati  d’informazioni  fatte  da  terzi   • In  alcuni  casi  gli  utenti  sono  attenti  alle  informazioni  che  condividono  e   alle  impostazioni  di  sicurezza  dei  propri  account  sui  Social  Media,  tuttavia   non   hanno   controllo   sui   propri   contatti   (amici   e   follower)   che   possono   condividere  informazioni  su  di  essi.   Exploit     Dato che si tratta di azioni che vengono innescate da comportamenti degli utenti in questo caso possiamo identificare due metodologie di exploit principali. Driven  by  download   • In   questo   caso   l’utente   scarica   (in   maniera   consapevole   o   inavvertitamente)  il  malware.  
Piero Tagliapietra - Security Specialist - Project Work         22   Web  Exploit   • L’utente  naviga  su  un  sito  (nella  maggior  parte  cliccando  su  link  malevoli   su   mail   di   phishing)   e   la   vulnerabilità   in   questo   caso   sono   legati   ai   browser,  ai  plugin  e  alle  varie  componenti.   In   entrambi   i   casi,   l’utente   preme   su   un   link   (o   su   un   eseguibile)   malevolo   o   ricevuto   tramite   posta   o   tramite   comunicazione   privata   o   visto   su   un   social   media.  Nella  maggior  parte  dei  casi  le  APT  (advanced  persistent  threat)  iniziano   proprio   con   una   mail   si   spear   phishing:   secondo   una   ricerca   di   TrendMicro   questo  avviene  nel  91%  dei  casi.8   Modello     Prima  di  passare  ad  analizzare  e  sviluppare  l’albero  dei  rischi  è  stato  delineato   un  modello  generale  dello  scenario  di  riferimento             In  questo  caso  il  modello  è  stato  volutamente  lasciato  molto  generale  e  con  lo   scopo  di  tratteggiare  quali  sono  gli  scambi  di  base  soprattutto  con  i  Social  Media:   le   interazioni   di   dettaglio   con   la   Intranet   e   con   un   ipotetico   servizio   in   Cloud   Computing   per   la   gestione   della   posta   non   è   stato   approfondito   in   quanto   al   momento  esterno  all’obiettivo  di  progetto.     In  questo  caso  appare  evidente  come  i  rischi  siano  presenti  soprattutto  nel  caso   in  cui  i  Social  Media  vengano  utilizzati  sulla  postazione  di  lavoro  (PC);  tuttavia,   anche  rimuovendo  il  collegamento  diretto  tra  PC  e  Social  Media,  dal  momento   che   la   fruizione   avviene   anche   tramite   device   mobili   (smartphone),   qualora   questi  strumenti  vengano  collegati  alle  postazioni  aziendali  il  rischio  non  viene                                                                                                                   8 http://www.infosecurity-magazine.com/view/29562/91-of-apt-attacks-start-with-a- spearphishing-email/
Piero Tagliapietra - Security Specialist - Project Work         23   eliminato,   ma   in   alcuni   casi   parzialmente   ridotto   o   addirittura   avviene   un   incremento  (spesso  i  dispositivi  degli  utenti  sono  privi  di  sistemi  di  protezione  e   quindi  più  esposti  ad  attacchi).     Nel  caso  in  cui  si  volesse  anche  rimuovere  il  collegamento  con  l’esterno  (DMZ  o   tramite  una  Dual-­‐Zone  Arch)  questa  soluzione  non  permetterebbe  in  ogni  caso  di   eliminare  i  rischi  dal  momento  che  gli  utenti  continuerebbero  ad  interagire  e  ad   utilizzare   all’esterno   delle   aree   protette   i   Social   Media   e   quindi   la   loro   esposizione  rimarrebbe  costante.     Per   la   modellazione   iniziale   è   stata   scelta   la   metodologia   STRIDE   di   Microsoft   dove   l’acronimo   identifica   sei   macro-­‐categorie   all’interno   delle   quali   possono   essere  posizionate  le  minacce  identificate:     • Spoofing  user  identity  −  si  applica  al  caso  in  cui  un  attaccante  riesce  ad   impersonare  un  altro  utente.   • Tampering   with   data   −   si   riferisce   al   fatto   che   un   attaccante,   con   modifiche  opportune  dei  dati,  riesca  ad  attaccare  un  sistema  con  lo  scopo   di  scalarne  i  diritti.   • Repudiation  −  rappresenta  il  rischio  che  una  transazione  legittimamente   svolta  non  venga  riconosciuta  da  parte  di  uno  degli  attori  coinvolti.   • Information   disclosure   −   si   riferisce   al   fatto   che   un   attaccante   possa   guadagnare   l’accesso   a   dati   che   il   legittimo   proprietario   non   vuole   esporre.   • DoS  Denial  of  Service  −  rendere  indisponibile  una  risorsa  del  sistema.   • Escalation   of   privilege   −   rappresenta   il   rischio   che   un   attaccante   possa   scalare  i  privilegi  di  un  sistema  e  guadagnare  maggiori  crediti     Dato  che  in  questo  caso  l’analisi  è  rimasta  ad  alto  livello,  anche  dal  punto  di  vista   della   modellazione   delle   minacce   e   il   ricorso   alla   metodologia   STRIDE   gli   elementi  identificati  sono  di  carattere  generale    
Piero Tagliapietra - Security Specialist - Project Work         24       In  generale  la  minaccia  principale  è  legata  allo  Spoofing  user  identity:  i  sistemi  di   autenticazione   deboli   sui   Social   Media   e   le   informazioni   diffuse   sulle   varie   piattaforme  rendono  relativamente  semplice  per  un  attaccante  impersonificare   un’altra  persona.     In   molti   casi,   collegato   alla   user   identity   spoofing   troviamo   l’information   disclosure.  Abbiamo  infatti  situazioni  in  cui  la  diffusione  di  informazioni  private   avviene   in   maniera   inconsapevole   (le   policy   eterogenee   e   la   loro   evoluzione   continua,  la  scarsa  cura  degli  utenti  nell’impostazione  dei  livelli  di  privacy  sono   le  principali  cause),  ma  altre  nelle  quali  l’impersonificazione  di  un  altro  utente   rappresenta  la  soluzione  di  base  per  raccogliere  informazioni  sul  proprio  target.     Ovviamente,  una  volta  ottenute  informazioni  e  il  contatto  con  l’utente  è  possibile   usare   questa   conoscenza   (e   i   privilegi   ottenuti)   per   ridurre   la   disponibilità   di   servizi  o  lanciare  attacchi  avanzati.     A  livello  generale  è  necessario  considerare  anche  la  Repudiation  (collegata  con  la   user   identity   spoofing):   simulando   infatti   l’identità   di   una   persona   è   possibile   fare  in  modo  che  comunicazioni  non  ufficiali  o  non  legittime  vengano  ritenute   vere  o  credibili.        
Piero Tagliapietra - Security Specialist - Project Work         25   RISK  TREE     Una  volta  definiti  asset,  minacce,  modello  generale  è  necessario  analizzare  i  vari   elementi   per   poter   comprendere   meglio   le   relazioni   esistenti   tra   di   essi   e   a   valutare   quali   possono   essere   le   soluzioni   ottimali   al   fine   di   ridurre   i   rischi   individuati.     A  livello  grafico  sono  stati  differenziati  i  nodi  AND  (segnalati  dalla  doppia  linea)  e   i   nodi   OR   (nessun   segno   grafico)   mentre   non   sono   stati   differenziati   a   livello   grafico  processi,  rami  e  foglie  (dato  che  si  tratta  di  una  overview).     Al  fine  dell’analisi,  dati  gli  obiettivi  di  progetto,  gli  alberi  dei  rischi  qui  disegnati   non  hanno  raggiunto  i  livelli  più  bassi  (con  identificazione  di  contromisure  da   implementare  a  livello  tecnologico),  ma,  come  nei  precedenti  casi,  si  è  mantenuta   un’analisi  di  alto  livello.   Creazione  di  un  Dossier  Digitale           Il   primo   elemento   da   considerare   (soprattutto   a   seguito   di   quanto   emerso   durante  l’analisi  STRIDE)  è  la  costruzione  di  un  dossier  digitale  da  parte  di  un   attaccante   dal   momento   che   può   rappresentare   il   punto   di   partenza   per   la   maggior  parte  degli  attacchi.     In  questo  caso  la  discriminante  principale  è  rappresentata  dalle  impostazioni  di   privacy  da  parte  dell’utente  (generalmente  l’opposizione  è  tra  profilo  aperto  e   chiuso).     A  livello  preliminare  possiamo  notare  immediatamente  che  è  possibile  agire  in   maniera   limitata   e   solamente   su   alcune   delle   cause:   essendo   gli   account   personali  l’azienda  ha  scarso  potere  d’indirizzo  (come  definito  inizialmente  nel   paragrafo  dedicato  ai  temi  legali)  e,  anche  qualora  gli  utenti  agiscano  in  maniera  
Piero Tagliapietra - Security Specialist - Project Work         26   responsabile  non  possono  modificare  gli  update  e  i  contenuti  postati  e  pubblicati   dai  propri  amici/contatti.     Pubblicazione  di  documenti             La   pubblicazione   di   documenti   riservati   distingue   principalmente   tra   due   atti:   volontari   e   involontari.   In   questo   caso   non   c’è   distinzione   tra   atto   volontario   interno   o   di   un   attaccante:   qualora   infatti   un   dipendente   decida   di   compiere   questo  atto  in  maniera  consapevole  è  da  considerarsi  come  attaccante.     A  livello  generale  questo  tipo  di  albero  è  applicabile  anche  alla  diffusione  dei  dati   o  di  informazioni  sensibili:  nella  fase  di  definizione  delle  minacce  abbiamo  infatti   distinto   per   diverse   di   esse   la   pubblicazione   volontaria   o   involontaria   (accidentale).  Questo  stesso  albero  può  quindi  essere  considerato  valido  anche   per   le   minacce   legate   alla   proprietà   intellettuale,   segreti   industriali   e   più   in   generale  per  le  informazioni  riservate  o  sensibili.      
Piero Tagliapietra - Security Specialist - Project Work         27   Danni  d’immagine         A  livello  generale  per  quanto  riguarda  i  danni  d’immagine  o  reputazione  non  è   stato   ritenuto   opportuno   distinguere   tra   comportamenti   eseguiti   dal   singolo   tramite   account   personale   o   aziendale:   la   responsabilità   penale   rimane   soggettiva   e   in   ogni   caso   gli   utenti   non   distinguono   tra   account   personali   e   aziendali  (come  citato  inizialmente  la  corporate  image  è  una  somma  di  discorsi   formata  anche  da  quello  che  i  dipendenti  dicono).     A   livello   generale   ritorna   un   elemento   già   incontrato   nei   precedenti   alberi:   l’errata   percezione   (o   configurazione).   In   molti   casi   infatti   molti   dei   comportamenti   che   espongono   a   dei   rischi   sono   legati   principalmente   a   una   scarsa   conoscenza   dei   mezzi   (una   sorta   di   digital   divide)   e   delle   conseguenze   (legal  divide).        
Piero Tagliapietra - Security Specialist - Project Work         28   Attacco  ai  sistemi  aziendali         L’attacco   a   sistemi   aziendali   (compromissione   della   postazione   del   singolo   ed   eventuale   estensione   alla   rete   aziendale)   rappresenta   l’elemento   più   interessante  e  complesso  soprattutto  se  rapportato  al  modello  generale.     Emergono  chiaramente  come  le  modalità  di  exploit  principali  siano  quelle  driven   by   download   e   in   generale   i   web   exploit   che   possono   essere   impiegati   sulle   diverse  piattaforme.  In  questo  caso  l’attacco  sui  Social  Media  e  sugli  Smartphone   potrebbe   essere   ulteriormente   approfondito   andando   ad   analizzare   le   motivazioni   (soprattutto   cognitive)   che   spingono   un   utente   a   cliccare   su   un   determinato  link  o  a  eseguire  un  determinato  programma.     Da  questo  punto  di  vista  la  relazione  con  altri  utenti,  la  creazione  di  un  dossier   digitale  rappresentano  elementi  chiave  per  la  concretizzazione  di  questo  attacco.   Da  un  punto  di  vista  delle  contromisure  da  adottare  l’attenzione  sui  nodi  AND  è   quella  più  promettente  anche  se  può  risultare  complesso  (soprattutto  per  quanto   riguarda   gli   smartphone   e   il   divieto   di   attaccarli,   anche   solo   per   ricaricarli,   ai   computer  aziendali)      
Piero Tagliapietra - Security Specialist - Project Work         29   Interconnessione  dei  rischi         Ovviamente  l’aspetto  più  interessante  è  rappresentato  dai  rapporti  che  collega  i   vari  alberi  sino  a  qui  delineati.  Vediamo  che  in  molti  casi  è  possibile  identificare   degli   elementi   di   base,   ma   che   alcune   delle   sorgenti   non   sono   strettamente   collegate   e   che   soprattutto   riguardano   il   comportamento   dell’utente   nella   sua   sfera  privata.     Appare   quindi   evidente   come   solo   in   alcuni   casi   sia   possibile   andare   ad   agire   utilizzando  anche  soluzioni  software  ed  hardware,  ma  che  nella  maggior  parte   dei   casi,   per   ridurre   i   rischi   sia   necessario   educare   le   persone   e   renderle   consapevoli  delle  minacce  e  dei  rischi.      
Piero Tagliapietra - Security Specialist - Project Work         30   DREAD     In   modo   da   ordinare   le   minacce   in   ordine   di   priorità   è   stato   scelta   come   metodologia   la   DREAD   Analysis   con   la   classificazione   standard.   Nonostante   la   metodologia   DREAD   sia   in   parte   deprecata   per   l’eccessiva   soggettività   delle   valutazioni   (che   tendono   ad   essere   particolarmente   elevate   qualora   l’analisi   venga   fatta   da   un   esperto   di   sicurezza   e   particolarmente   bassa   se   svolta   da   persone   che   conoscono   poco   la   materia)   in   questo   caso   rappresenta   uno   strumento   ideale   per   definire   le   priorità   e   quali   sono   le   minacce   sulle   quali   è   fondamentale  agire.     Anche   se   il   Microsoft   Security   Response   Center   (MSRC)   ha   optato   per   una   revisione  delle  tipologie  di  impatto  (dismettendo  la  scala  a  tre  valori  in  favore  di   una  a  quattro  con  critical  –  important  –  moderate  –  low)  in  questo  caso,  in  modo   da   facilitare   la   prioritizzazione   si   è   scelto   di   usare   la   scala   tradizionale   attribuendo  diversi  punteggi  (high  6  –  medium  3  –  low  1)  e  di  usare  la  scala  a   quattro  per  la  classificazione  finale  (rating)     Questa  scelta  è  legata  alle  modalità  di  valutazione  normalmente  eseguite  dagli   utenti:  qualora  venga  data  una  scala  con  un  numero  elevato  di  valori  si  possono   osservare   alcuni   comportamenti   standard:   da   un   lato   la   polarizzazione   (verso   l’alto   o   il   basso)   qualora   il   numero   di   soggetti   sia   basso,   dall’altro,   qualora   il   numero   di   soggetti   sia   più   ampio,   si   osserva   un   appiattimento   sui   valori   intermedi  rendendo  quindi  più  complesso  l’attività  di  prioritizzazione.       Utilizzando   una   scala   composta   da   tre   valori   e   con   punteggi   diversi   (non   trasparenti   agli   utenti)   diminuisce   la   possibilità   di   un   appiattimento   anche   qualora  l’analisi  venga  svolta  da  più  soggetti:  diventa  quindi  un  modo  per  ridurre   la  soggettività  dell’analisi  e  arrivare  anche  a  valutazioni  condivise.         Rating   High  (6)   Medium  (3)   Low  (1)   D   Damage   potential   L’attaccante   è   in   grado   di   modificare   il   sistema   di   sicurezza;   ottiene   tutte   le   autorizzazioni;   agisce   come   amministratore   di   sistema;   carica   contenuti;     Diffusione   di   informazioni   confidenziali   Diffusione   di   informazioni   di   basso  livello   R   Reproducibility   L’attacco   può   essere   eseguito   in   qualunque   momento   senza   una   L’attacco   può   essere   replicato   ma  solo  qualora  si   verifichino   L’attacco   è   molto   difficile   da   riprodurre,   anche  
Piero Tagliapietra - Security Specialist - Project Work         31   preparazione   specifica   o   che   si   verifichino   condizioni   particolari   determinate   condizioni   conoscendo   eventuali  falle  del   sistema   di   sicurezza   E   Exploitability   Un   programmatore   con   competenze   di   base   sarebbe   in   grado   di   effettuare   l’attacco.   Un   programmatore   competente   sarebbe   in   grado   di   effettuare   l’attacco   e   ripeterlo   L’attacco  sarebbe   possibile   solo   da   parte   di   persone   con   competenze   estremamente   elevate   A   Affected  users   Tutti   gli   utenti   con   configurazione   di   base   Alcuni   utenti   con   una   configurazione   personalizzata   Una   minima   parte  degli  utenti   D   Discoverability   Sono   disponibili   pubblicamente   informazioni   sull’attacco.   Le   vulnerabilità   sono   presenti   negli   strumenti   usati   quotidianamaente     ed  è  verificabile     La   vulnerabilità   è   collegata   solamente   a   una   feture   poco   usata   dagli   utenti.   Sono   necessarie   alcune   riflessioni   per   capire   come   sfruttare   tali   vulnerabilità   Il   baco   di   sicurezza   è   sconosciuto   ed   è   improbabile   che   un   utente   scopra   in   che   modo   sfruttarlo        
Piero Tagliapietra - Security Specialist - Project Work         32   Tenendo  presente  quanto  definito  in  precedenza  andiamo  ora  ad  attribuire  un   punteggio  alle  varie  minacce.         Minaccia   D   R   E   A   D   Totale   Rating   Informazioni   personali   Creazione   di   un   dossier  digitale   6   6   6   3   6   27   Critical   Raccolta   di   dati   secondari   6   3   3   6   6   24   Important   Cattiva   configurazione   privacy   6   3   6   3   6   24   Important   Diffusione   informazioni  da  terzi   1   3   6   6   3   19     Inferenze   predittive   sui  dati  sensibili   6   1   1   3   3   14   Moderate   Riconciliation  Account   3   6   6   6   6   27   Critical   Furto  d’identità   6   1   3   1   3   14     Finanziari   Frodi   6   1   2   3   1   13   Moderate   Perdita  di  produttività   1   1   1   3   1   7   Low   Proprietà   intellettuale   Pubblicazione   accidentale   di   documenti   1   3   1   1   1   7   Low   Pubblicazione   volontaria   di   documenti   6   1   6   1   3   17   Important   Pubblicazione   volontaria  di  immagini   1   3   6   3   3   16     Pubblicazione   accidentale  di  SI   6   6   6   3   3   24     Pubblicazione   volontaria  di  SI   6   1   3   1   1   12     Diffusione  involontaria   di  informazioni   1   1   3   1   6   12   Moderate   Infrastrutture   Diffusione  di  malware   6   1   6   1   3   17   Important   Immagine   Campagna   mirata   per   il   danneggiamento   della  reputazione   3   3   3   3   3   15   Moderate   Campagna   automatizzata   per   il   danneggiamento   della   reputazione   6   1   6   1   3   17   Important   Ricatto   6   1   6   1   1   15   Moderate   Repudiation   3   1   3   1   3   11   Low   Legali   Violazione   di   leggi   o   regolamenti   6   1   6   1   1   15       Tipologia Frequenza Impatto Rischio Diffusione  Malware   Probabile Alto Inaccettabile Spam,  Phishing  e  Frodi   Probabile Moderato Grave Social   Engineering   e   Spear   Possibile Catastrofico Inaccettabile
Piero Tagliapietra - Security Specialist - Project Work         33   Phishing   Diffusione   o   furto   di   dati   sensibili  o  d’identità   Probabile Alto Inaccettabile Diffusione   di   informazioni   riservate  o  false   Possibile Alto Grave Danni   d’immagine   o   di   reputazione   Probabile Alto Inaccettabile OSINT   Certo Alto Inaccettabile Diffamazione,   Ingiuria,   Stalking   Raro Moderato Accettabile Hacktivism   e   cracking   dei   profili  ufficiali   Improbabile Moderato Grave Violazione   dei   reati   presupposto   Possibile Alto Grave Violazione   dell’art.   4   l.   300/70   Possibile Alto Grave Diminuzione   della   produttività  dei  dipendenti   Probabile Basso Accettabile   Andiamo   ora   ad   ordinare   le   varie   minacce   in   modo   da   definire   all’interno   dei   sistemi  di  mitigazione  quali  saranno  le  contromisure  principali.     • Creazione  di  un  dossier  digitale  –  27  –  critical   • Identificazione  di  tutti  gli  account  dell’utente  –  27  –  critical   • Raccolta  dati  secondari  –  24  –  important   • Esposizione  su  Social  Media  per  cattiva  configurazione  –  24  –  important   • Pubblicazione  volontaria  dei  documenti  –  17  –  important   • Diffusione  di  Malware  –  17  –  important   • Campagne  automatizzate  per  il  danneggiamento  della  reputazione  –  17  –   important   • Campagna   mirata   per   il   danneggiamento   della   reputazione   –   15   -­‐   moderate   • Ricatto    -­‐  15  –  moderate   • Inferenze  sui  dati  sensibili  –  14  –  moderate   • Frodi  –  13  –  moderate   • Diffusione  involontaria  di  informazioni  –  12  –  moderate   • Repudiation  –  11  –  low   • Perdita  di  produttività  –  7  –  low   • Pubblicazione  accidentale  di  documenti  –  7  –low   • Analisi  non  solo  esterna  ma  anche  interna  sui  processi  e  sull’uso  dei  Social   Media  
Piero Tagliapietra - Security Specialist - Project Work         34   Mitigazione     I   Social   Media,   in   base   a   quanto   analizzato   in   precedenza,   rappresentano   un‘importante   fonte   di   rischio   per   le   aziende   e,   collegati   ad   essi,   abbiamo   individuato   alcuni   rischi,   minacce   e   vulnerabilità.   In   questo   caso   l’analisi   condotta  è  legata  principalmente  a  un  uso  passivo  di  questi  strumenti,  ma  non   bisogna   dimenticare   che   sempre   più   le   aziende   usano   questi   strumenti   per   condurre  le  proprie  attività  (Social  Business).     A  livello  generale  dobbiamo  infatti  rilevare  che  parlare  di  Social  Media  impatta   sempre   più   l’organizzazione   nel   suo   insieme   e   diventa   sempre   più   complesso   delineare   chiaramente   un   singolo   uso   o   una   dimensione   specifica   nell’uso   dei   Social  Media.  Possiamo  infatti  distinguere  quattro  vettori  di  comunicazione  che   possono  essere  sviluppati  da  un’azienda  attraverso  queste  piattaforme:   • Interno   –   interno:   strumenti   di   collaborazione   tra   i   dipendenti   (ad   esempio  i  Social    Network  Aziendali)   • Interno   –   Esterno:   comunicazione   con   l’esterno   per   dare   visibilità   alle   iniziative  ad  ai  progetti  (principalmente  Personal  Branding,  Marketing  e   Comunicazione)   • Esterno  –  Interno:  raccolta  di  informazioni  sui  prodotti,  sui  servizi  e  sul   brand  (attività  di  intelligence  e  monitoraggio)   • Esterno  –  Esterno:  discussioni  tra  gli  utenti  che  avvengono  al  di  fuori  dei   presidi  aziendali  (monitoraggio)     Viste   le   premesse   (e   che,   a   livello   generale,   un   incidente   è   una   questione   di   tempo)   è   critico   implementare   alcune   soluzioni   che   permettano   di   ridurre   i   rischi  mitigando  le  vulnerabilità.  Risulta  fondamentale,  da  questo  punto  di  vista,   adottare  un  approccio  integrato  ed  armonizzato  che  coinvolga  varie  funzioni.     I   vari   ambiti   aziendali   devono   necessariamente   coinvolti   dal   momento   che   i   rischi   trovati   non   riguardano   esclusivamente   un   ambito   singolo,   ma   principalmente   l’ambito   legale   (e   di   compliance),   operativi   e   reputazionali.   I   quindi   i   Social   media   non   sono   un   problema   solamente   IT   e   di   pertinenza   esclusiva  dell’area  comunicazione  e  marketing.     Per   riuscire   quindi   a   prevenire,   mitigare   e   rispondere   in   maniera   efficace   è   fondamentale  una  collaborazione  tra  Marketing,  IT,  Legal,  HR  e  IT  in  modo  da   valutare  in  maniera  completa  e  integrata  le  attività.     La   multidisciplinarietà   del   team   è   fondamentale   poiché   quello   che   abbiamo   delineato  è  uno  scenario  ibrido  che  riguarda  sia  le  pratiche  interne  dell’azienda   (principalmente  uso  attivo  dei  Social  Media)  sia  le  pratiche  esterne  (attività  del   singolo  al  di  fuori  degli  spazi  aziendali):  diventa  quindi  fondamentale  integrare   strumenti  tecnologici,  formazione,  policy  e  guidelines.    
Piero Tagliapietra - Security Specialist - Project Work         35   Formazione     Dato   che   uno   dei   problemi   rilevanti   nell’analisi   è   legato   alla   scarsa   consapevolezza   da   parte   degli   utenti   dei   rischi   e   del   funzionamento   dei   Social   Media  è  opportuno  predisporre  delle  sessioni  di  formazione.     A  seconda  del  livello  e  del  ruolo  è  importante  sottolineare  quali  sono  gli  aspetti   da   tenere   in   considerazione   e   quali   possono   essere   i   rischi   principali.   I   due   elementi  principali  da  illustrare  sono  collegati  agli  aspetti  normativi  /legali  e  al   funzionamento/minacce.     Qualora   in   azienda   venga   fatto   un   uso   attivo   dei   Social   Media   è   fondamentale   predisporre   una   sorta   di   certificazione   interna   in   modo   da   essere   sicuri   le   persone   che   gestiscono   la   presenza   dell’azienda   abbiano   ben   chiari   i   limiti   e   i   rischi  delle  piattaforme  che  utilizzano.     Un  ulteriore  elemento,  più  semplice  da  implementare  all’interno  dell’azienda,  è   una   raccolta   di   domande   frequenti   che   illustrino   funzionamento,   tematiche   principali  e  rischi  connessi  con  i  Social  Media.         Sia   nelle   attività   di   formazione   che   nelle   FAQ   dovranno   essere   illustrate   con   precisione   i   rischi   legati   alla   diffusione   di   informazioni   personali   spiegando   come,   un   attaccante,   potrebbe   usare   anche   informazioni   apparentemente   innocue    per  compiere  altre  tipologie  di  attacchi.     A  livello  di  formazione  è  possibile  anche  misurare  in  parte  i  risultati  conseguiti   dall’attività  valutando  il  numero  di  utenti  che  partecipano  alle  sessioni  (qualora   siano  facoltative),  il  tasso  di  successo  (o  la  media)  all’interno  della  certificazione   interna  sull’uso  dei  Social  Media,  il  numero  di  views  (rapportate  agli  utenti  unici   e  di  ritorno)  della  pagina  delle  FAQ.     Policy     Uno  dei  principali  strumenti  per  la  mitigazione  dei  rischi  è  rappresentato  dalle   Policy.   Questa   è   l’unico   strumento   para-­‐giuridico   che   permette   al   datore   di   lavoro   di   disciplinare   le   attività   aziendali   e   indirizzare   le   azioni   svolte   con   strumenti  di  lavoro.     Diversamente  dalle  linee  guida  le  policy  hanno  alcune  caratteristiche  specifiche.   Si  tratta  infatti  di  un  documento  che  deve  essere:   • Specifico   • Chiuso   • Prescrittivo   • Non  Interpretabile     Oltre   a   questi   punti   nella   policy   devono   essere   definite   delle   sanzioni   e,   soprattutto  deve  essere  previsto  un  controllo  che  le  misure  definite  nelle  policy   vengano  realmente  rispettate.    
Piero Tagliapietra - Security Specialist - Project Work         36     L’aspetto   di   controllo   è   quello   più   delicato   da   gestire:   all’interno   dei   paragrafi   introduttivi  (aspetti  legali)  il  tema  del  controllo  a  distanza  del  lavoratore  (art.  4  l.   300/70)  emerge  con  forza  per  quanto  riguarda  il  monitoraggio.    Tuttavia  senza   monitoraggio   si   corre   il   rischio   di   svuotare   la   policy   di   significato   e   di   venire   meno  ad  alcune  delle  prescrizione  del  dlgs  231/01  (funzione  di  controllo).     A  seconda  poi  della  realtà  aziendale  dovranno  poi  essere  sviluppate  delle  policy   specifiche:   all’interno   di   questa   analisi   abbiamo   definito   un   caso   generico,   ma   questo  documento  deve  essere  calato  sulla  singola  realtà  aziendale.  A  seconda   infatti  dell’azienda  cambiano  il  contesto,  gli  asset  e  i  rischi.     Oltre  alla  Social  Media  Policy  dovranno  essere  presenti  all’interno  dell’azienda   anche  altri  documenti  che  regolamentino  altre  aspetti  (ad  esempio  mail  policy,   policy  documentale,  password  policy)  e  che  i  vari  documenti  siano  collegati  tra   loro  con  diversi  rimandi.     Elementi  cardine     A   livello   generale   è   possibile   individuare   i   seguenti   elementi   che   dovranno   essere  presenti  in  ogni  policy  che  voglia  regolamentare  l’uso  dei  Social  Media  in   azienda:     • Semplicità:   dato   che   tutti   i   dipendenti   utilizzano   questi   strumenti   è   necessario  redigere  un  documento  che  venga  letto  e  compreso  da  tutti  e   che  illustri  nell’introduzione  lo  scopo  di  adozione  della  policy  e  i  rischi  per   i   dipendenti   e   per   l’azienda.   Nell’introduzione   può   esserci   spazio   anche   per   spiegare   ai   dipendenti   il   fatto   che   anche   informazioni   apparentemente  innocenti  o  banali  possono  essere  usati  da  un  terzi  per   sviluppare   attacchi   informatici   più   pericolosi   (sia   per   il   singolo   che   per   l’azienda).   • Disciplina  sull’uso  dei  Social  Media  sui  computer  aziendali:  a  seconda   dell’azienda   specifica   dovrà   essere   definito   se   i   dipendenti   possono   o   meno  utilizzare  i  Social  Media  sulle  postazioni  di  lavoro.  È  fondamentale   illustrare   rapidamente   quali   sono   i   rischi   principali   e   le   minacce   che   possono  derivare  dall’uso  dei  Social  Media  (con  alcune  case  history  per   dare  maggior  forza  alla  narrazione)   • Disciplina  sull’uso  e  collegamento  dei  device  personali  ai  computer   aziendali:   dal   momento   che   le   persone   utilizzano   i   Social   Media   soprattutto   dai   propri   device   mobili   è   importante   considerare   questo   aspetto   durante   la   redazione   della   policy.   Qualora   infatti   si   decida   di   impedire  completamente  l’accesso  dalla  postazione  personale  è  possibile   che  gli  utenti  accedano  attraverso  i  propri  device.  Questi  strumenti,  come   sottolineato   in   precedenza,   sono   maggiormente   esposti   e   per   questo   è   necessario   definire   con   chiarezza   se   tali   strumenti   possono   essere   collegati  alle  postazioni  e  alla  rete  aziendale.   • Trade  off  tra  esigenze  personali  e  lavorative:  dato  che  l’uso  dei  Social   Media   rappresenta   un   elemento   della   quotidianità   di   molti   utenti,  
Piero Tagliapietra - Security Specialist - Project Work         37   impedirne  completamente  l’uso  per  incentivare  la  produttività  potrebbe   essere   controproducente   (verrebbero   utilizzati   device   personali   o   gli   utenti   investirebbero   le   loro   energie   o   il   loro   tempo   per   tentare   di   superare  le  contromisure  adottate  dall’azienda).   • Integrazione  con  altre  policy  e  codici  interni:  è  necessario  specificare   che  qualora  i  dipendenti  non  tengano  separate  attività  personali  da  quelle   professionali   possono   applicarsi   ai   loro   account   le   policy   già   vigenti   in   azienda.   Qualora   infatti   il   dipendente   entri   in   relazione   con   colleghi,   dirigenti,  fornitori,  clienti  devono  essere  rispettate  le  disposizioni  già  in   essere  (ad  esempio  il  Codice  Eitco  aziendale).  Un  ulteriore  elemento  da   sottolineare   (qualora   non   sia   presente   una   mail   policy)   è   il   fatto   che   la   mail   aziendale   non   può   e   non   deve   essere   utilizzata   per   registrarsi   su   piattaforme   di   Social   Networking   e   in   generale   ai   Social   Media   e   che   devono   essere   usate   anche   password   diverse   da   quelle   in   uso   per   il   proprio  account  aziendale.   • Disclaimer:   anche  se  privi  di  valore  legale  è  necessario  predisporre  dei   disclaimer  che  i  dipendenti  devono  utilizzare  qualora  abbiano  dei  blog  o   commentino  servizi  o  prodotti  dell’azienda  (in  modo  da  evitare  accuse  di   astroturfing).   Oltre   alla   tutela   per   pubblicità   ingannevole,   l’uso   del   disclaimer  svolge  anche  una  funzione  di  awareness  dal  momento  che  il   solo   fatto   di   utilizzarlo   costringe   gli   utenti   a   prendere   consapevolezza   delle  proprie  responsabilità.   • Condivisione   di   informazioni   lavorative   e   di   documenti:   salvo   casi   specifici   (qualora   ad   esempio   vengano   sviluppate   attività   di   comunicazione   sui   Social   Media)   deve   essere   ribadito   che   materiali,   progetti  e  documenti  non  devono  essere  pubblicati,  condivisi  o  scambiati   attraverso   piattaforme   terze.   Uno   degli   elementi   fondamentali   da   associare   a   questo   punto   è   una   corretta   policy   documentale:   in   questo   modo  gli  utenti  possono  comprendere  un  maniera  immediata  gli  usi  che   possono  essere  fatti    di  determinate  informazioni.  Deve  comunque  essere   ribadito  il  fatto  che  le  informazioni  riservate  non  possono  e  non  devono   essere  condivise  sui  Social  Media:  diventa  quindi  importante  ribadire  un   concetto  fondamentale,  ovvero  che  all’interno  dei  Social  Media  la  privacy   è   un   concetto   quasi   del   tutto   assente   e   che   quello   che   viene   condiviso   deve  ritenersi  sempre  diffuso  e  pubblico.   • Riferimento  a  sistemi  di  monitoraggio  attivi:  onde  evitare  la  violazione   dello  statuto  dei  lavoratori  è  necessario  informare  i  dipendenti  qualora  si   usino   strumenti   di   monitoraggio.   Il   monitoraggio   non   deve   essere   fatto   sui  singoli  utenti,  ma  sul  brand  e  su  keyword  generiche  e  non  deve  essere   legato  a  comunicazioni  private.  Possono  essere  monitorate  e  controllate   le  discussioni  e  gli  update  diffusi  pubblicamente  e  indicizzati  dai  motori  di   ricerca.   • Uso  dei  loghi  e  del  nome  dell’azienda:  in  modo  da  limitare  i  danni  di   reputazione   e   d’immagine   dell’azienda   è   fondamentale   definire   in   quali   casi  può  essere  usato  il  logo  o  il  nome  dell’azienda  e  quali  possono  essere   le  eccezioni.  Vietare  completamente  l’uso  del  nome  o  del  logo  può  infatti   porre  al  riparo  da  alcuni  rischi  ma  ridurre  le  opportunità  aziendali  dato   che  avverrebbe  un  azzeramento  delle  attività  e  delle  iniziative  di  personal  
Piero Tagliapietra - Security Specialist - Project Work         38   branding  verso  l’esterno  e  di  conseguenza  dell’attrattività  e  della  visibilità   dell’azienda.   • Segnalazione   di   elementi   sospetti:   qualora   si   ricevano   richieste   particolari     sul   proprio   lavoro   da   parte   di   contatti     sui   Social   Media   è   obbligatorio  segnalare  ogni  elemento  al  reparto  IT  o  Sicurezza  in  modo  da   verificare  che  non  si  tratti  di  tentativi  di  Social  Engineering.       Qualora   l’uso   dei   Social   Media   sia   passivo   da   parte   dell’azienda   è   possibile   redigere   una   sola   policy   mentre   qualora   questi   strumenti   vengano   utilizzati   anche   in   maniera   attiva   per     progetti   di   comunicazione,   marketing   e   da   altre   funzioni  è  necessario  predisporre  varie  policy  e  nel  dettaglio  si  parla  di:   • Program  policy   • Program  framework  policy   • Issue  specific  policy   • System  specific  policy     L’uso   dei   Social   Media   come   canali   attivi   richiede   una   maggior   cura   e   un’attenzione     superiore:   se   consideriamo   ad   esempio   l’uso   della   mail   per   l’utilizzo  di  tali  piattaforme  è  necessario  valutare  l’uso  della  mail  aziendale  per  la   creazione   degli   account.   Nella   maggior   parte   dei   casi   infatti   i   TOS   delle   piattaforme  prevedono  che  gli  account  e  i  follower  siano  legati  all’email:  qualora   il  dipendente  usi  la  propria  mail  personale  per  registrare  l’account  è  possibile   che  in  caso  di  cessazione  del  rapporto,  egli  non  sia  tenuto  a  restituire  l’account   aziendale.     Qualora   l’azienda   sia   presente   attivamente   sui   Social   Media   all’interno   della   policy  è  necessario  stilare  un  elenco  dei  presidi  attivi,  degli  utenti    che  gestiscono   tali  entità  e  delle  regole  di  pubblicazione  per  tutti  i  dipendenti.     Guidelines     Unito  alle  policy  le  linee  guida  rappresentano  un  ulteriore  elemento  necessario   da  sviluppare  all’interno  dell’azienda.  Dal  momento  che  sugli  account  personali   non   è   possibile   applicare   le   policy   (in   quanto   non   sono   strumenti   aziendali)   definire   quali   possono   essere   gli   usi,   i   rischi   e   le   conseguenze   di   un   cattiva   gestione  dei  propri  account  personali  è  fondamentale.     Diversamente   dalle   policy   infatti   le   guidelines   sono   generiche,   hanno   un   certo   margine  d’interpretazione,  non  prevedono  strumenti  di  controllo  e  monitoraggio   e   non   prevedono   sanzioni.   Rappresentano   quindi   dei   consigli   e   degli   esempi   virtuosi  ai  quali  i  dipendenti  dovrebbero  attenersi  (o  astenersi  nel  caso  di  esempi   negativi).     Questa  attività  rientra  nelle  attività  di  awareness,  un  elemento  importantissimo   dal  momento  che  nell’analisi  precedentemente  svolta,  la  scarsa  consapevolezza   degli   utenti   dei   rischi   era   uno   delle   minacce   principali.   È   possibile   sviluppare   diversi  documenti  di  questo  tipo  ma  principalmente  possiamo  distinguere  tra  
Piero Tagliapietra - Security Specialist - Project Work         39   • Linee  guida  generali:  contenente  la  carta  dei  diritti  sui  Social  Media  dei   dipendenti,  le  best  practice,  i  rischi  e  comportamenti  da  evitare   • Linee  guida  specifiche:  a  seconda  delle  singole  piattaforme  da  considerare   è   possibile   predisporre   delle   linee   guida   specifiche   per   aiutare   i   dipendenti  nella  gestione  dei  propri  account  sui  Social  Media.     Elementi  cardine     A   livello   generale   è   possibile   individuare   i   seguenti   elementi   che   dovranno   preferibilmente  essere  presenti  nelle  linee  guida  aziendali  legati  ai  social  media:     Area  generale  e  legale   • I   diritti   dei   dipendenti   sui   Social   Media:   per   prevenire   critiche   e   risentimento   da   parte   dei   dipendenti   è   opportuno   stilare   una   carta   che   illustri  quali  sono  i  diritti  dei  dipendenti  e  il  valore  che  l’azienda  riconosce   ai  Social  Media   • Normative  di  riferimento:  dal  momento  che  in  molti  casi  il  legal  divide  è   alla  base  di  comportamenti  potenzialmente  pericolosi,  è  opportuni  fornire   ai  dipendenti  un  inquadramento  generale     • Diffamazione   e   ingiuria:  poiché  si  tratta  dei  due  reati  che  negli  ultimi   anni   stanno   avendo   la   maggior   diffusione   (soprattutto   perché   gli   utenti   considerano  i  Social  Media  come  privati  e  non  pubblici)  è  fondamentale   illustrare  brevemente  gli  articoli  594  c.p.  e  595  c.p     Principi  di  sicurezza   • Usare  una  password  diversa  per  ognuno  dei  propri  account     • Usare  password  complesse   • Utilizzare  passphrase  e  non  password   • Prestare   attenzione   ai   messaggi   anche   se   provenienti   da   amici   e   contatti:  dato  che  uno  degli  elementi  identificati  riguarda  l’Id  Spoofing  è   necessario   fare   in   modo   che   gli   utenti   prestino   attenzione   ad   eventuali   richieste  di  contatto  da  parte  di  utenti  che  non  conoscono  direttamente.       Privacy   • Impostare  correttamente  i  livelli  di  riservatezza  sulla  piattaforma   • Ridurre  il  numero  di  informazioni  disponibili  a  tutti   • Fare  attenzione  alle  persone  con  le  quali  si  entra  in  contatto   • Non  fare  affidamento  sull’anonimato  o  al  nickname:    in  alcuni  casi  gli   utenti   si   sentono   protetti   dal     fatto   di   utilizzare   pseudonimi,   ma   è   necessario  illustrate  come  sia  relativamente  semplice  identificare  l’utente   che   si   nasconde   dietro   un   nome   finto   (ad   esempio   attraverso   la   riconciliazione  tra  diversi  account)   • Prestare  attenzione  alla  geolocalizzazione   • Prestare  attenzione  al  collegamento  tra  i  vari  account:  in  diversi  casi   gli  utenti,  per  gestire  al  meglio  la  loro  presenza,  collegano  i  propri  account   sui   Social   Media.   Tuttavia   in   alcuni   casi   è   possibile   che   le   piattaforme  
Piero Tagliapietra - Security Specialist - Project Work         40   abbiano   impostazioni   di   privacy   diverse   e   che   quindi   gli   utenti   condividano  in  maniera  inconsapevole  alcune  informazioni  pur  essendo   convinti  di  aver  configurato  correttamente  le  impostazioni  di  sicurezza.   • Prestare  attenzione  ai  tool  di  automazione   • Verificare   regolarmente   la   propria   esposizione   tramite   egosurfing:   in  modo  da  controllare  che  non  siano  avvenuti  furti  d’identità  è  possibile   consigliare  agli  utenti  di  usare  i  motori  di  ricerca  (o  alcune  piattaforme   selezionate)  per  fare  analisi  sul  proprio  nome,  cognome  e  nickname.  Oltre   a  prevenire  eventuali  furti  d’identità  può  essere  un  sistema  per  rendere   consapevoli  gli  utenti  del  numero  di  informazioni  che  condividono  online.     Strumenti  tecnologici     Dal  momento  che  l’analisi  condotta  è  ad  alto  livello  e  non  è  calata  su  una  realtà   specifica,  le  contromisure  tecnologiche  verranno  tratteggiate     Piattaforme  di  monitoraggio   In   modo   da   evitare   danni   di   reputazione   o   d’immagine   è   fondamentale   che   l’azienda   attivi   dei   sistemi   di   analisi   dei   contenuti   diffusi   online.   A   livello   generale  è  opportuno  impostare  come  chiavi  di  ricerca  il  nome  dell’azienda  o  del   brand,  nomi  di  progetti  o  documenti  particolarmente  sensibili,  i  nomi  delle  figure   apicali.       In  questo  caso  ovviamente  non  si  elimina  il  rischio,  ma  attraverso  un  sistema  di   alert,   l’intervento   tempestivo   (nelle   prime   ore   dall’eventuale   inizio   della   crisi)   permette   di   evitare   l’escalation   e   di   contenere   il   focolaio   o   di   predisporre   contromisure  per  limitare  i  danni.     L’uso  di  queste  piattaforme  consente  anche  di  rispondere  a  quanto  definito  dal   dlgs  231/01     Piattaforme  di  gestione  dei  Social  Media   Qualora   l’azienda   decida   di   usare   attivamente   i   Social   Media   è   necessario   prevedere  l’adozione  di  uno  strumento  di  gestione.  In  questo  modo  risulta  infatti   più  facile  organizzare  le  attività,  verificare  le  responsabilità  misurare  i  risultati   conseguiti  attraverso  tali  attività.     IDS  e  DLP   È   necessario   prestare   attenzione   non   solamente   a   ciò   che   cerca   di   entrare   all’interno  della  rete  aziendale,  ma  dato  che    nell’analisi  è  emerso  come  rischio  la   diffusione   di   informazioni   e   documenti   aziendali   è   necessario   indirizzare   lo   sguardo  anche  su  quello  che  potrebbe  essere  portato  all’esterno.  Ovviamente  per   implementare   questa   soluzione   è   necessario   prevedere   un   sistema   di   gestione   degli  accessi  e  dei  permessi.    
Piero Tagliapietra - Security Specialist - Project Work         41   Backup  e  data  retention   In  modo  da  prevenire  la  perdita  dei  dati  a  seguito  della  compromissione  della   postazione   o   della   rete   aziendale   è   opportuno   prevedere   anche   un   sistema   di   backup  e  di  conservazione  dei  dati.  Questo  non  dovrà  dipendere  dall’utente  ma   essere  automatizzato  in  modo  da  garantire  che  il  salvataggio  dei  dati  avvenga  in   maniera  corretta.     Monitoraggio  del  traffico   Soluzioni   che   impediscano   la   navigazione   verso   determinati   siti   può   rappresentare   una   soluzione   ottimale   per   ridurre   l’esposizione   all’interno   dell’azienda   (efficace   soprattutto   per   ridurre   i   rischi   legati   al   phishing   e   allo   spear  phishing).  A  seconda  dell’attività  sui  Social  Media  è  possibile  optare  per   una  soluzione  in  whitelistin  o  in  blacklisting  (tenendo  presente  i  vincoli  delle  due   soluzioni  e  le  necessità  operative  aziendali)     Aggiornamenti  automatici     Una   delle   cause   individuate   che   poteva   condurre   a   una   compromissione   della   postazione   dell’utente   era   la   combinazione   tra   minaccia   nota   e   software   non   aggiornati.   Da   questo   punto   di   vista,   l’obbligatorietà   degli   aggiornamenti   o   la   centralizzazione  di  questo  processo  sarebbe  funzionale.        
Piero Tagliapietra - Security Specialist - Project Work         42   Bibliografia     Berlingieri   Elvira,   “Evitare   i   rischi   legali   dei   Social   Media”,   Apogeo,   2012   (Kinde   edition)   Cialdini  Robert,  “Le  Armi  della  persuasione”,    Giunti,  2010  (kindle  edition)   Gruppo  di  sviluppo  M5,  “Sicurezza  Informatica”,  Mc  Graw  Hill,  2003   Mitnik  Kevin,  “L’arte  dell’inganno”,  Feltrinelli,  2003   Volli  Ugo,  “Semiotica  della  pubblicità”,  Laterza  2005   Weinshenk   M.   Susan,   “Neuro   we   bdesign.   L’inconscio   ci   guida   nel   web”,   Apogeo,   2010    

More Related Content

PPT
22. Conclusione del corso
byRoberto Polillo
 
PDF
Progettazione e realizzazione di siti web, a.a. 2016/17
byPaolo Sordi
 
PDF
La sicurezza delle reti aziendali ai tempi di Facebook
byAmmLibera AL
 
PDF
Triboo WEBinar - Web 2.0
bytriboomanagement
 
PDF
OPPORTUNITA’ DEL WEB 2.0 E DEI SOCIAL NETWORK
byRiccardo Franconi
 
PDF
SocialNetwork Security
byguest23c22c6
 
PPT
Lavorare coi social media
byDino Amenduni
 
PDF
iDialoghi - La Sicurezza dei Social Media in ambito Business
byiDIALOGHI
 
22. Conclusione del corso
byRoberto Polillo
 
Progettazione e realizzazione di siti web, a.a. 2016/17
byPaolo Sordi
 
La sicurezza delle reti aziendali ai tempi di Facebook
byAmmLibera AL
 
Triboo WEBinar - Web 2.0
bytriboomanagement
 
OPPORTUNITA’ DEL WEB 2.0 E DEI SOCIAL NETWORK
byRiccardo Franconi
 
SocialNetwork Security
byguest23c22c6
 
Lavorare coi social media
byDino Amenduni
 
iDialoghi - La Sicurezza dei Social Media in ambito Business
byiDIALOGHI
 

What's hot

PDF
Web 2 0 - Michele D'Alena
byUSAC Program
 
PDF
Turismo 2.0 e web seminario uniurb - cuspide
byForlani Fabio
 
PDF
Web 2.0
byAdv Media Lab
 
PDF
Social Business - un nuovo modo di fare impresa
byFabrizio Martire
 
PDF
intranet management - intranet, digital workplace, collaboration, quali diffe...
byGiacomo Mason
 
PPTX
Il Non profit in rete
byRoberto Polillo
 
PPTX
18. Content sharing sites
byRoberto Polillo
 
PPT
Web 2.0 comunicare al futuro
byAlessia Tronchi
 
PPT
social media & Web 2.0
byRosario Sica
 
PPT
1. Introduzione al corso
byRoberto Polillo
 
PPT
Della Valle Enterprise 2.0- Potenzialità di combinare SOA e Web 2.0
byEmanuele Della Valle
 
PPT
GreenFleet e Web 2.0: i social network a supporto della mobilità sostenibile
byFLEETBLOG
 
PPT
Gestione dei social networks nel Comune di Rimini
byMauro Ferri
 
PPTX
Realtà Aumentata
byDara Bellinvia
 
PPT
Web 2.0 e nuove strategie di marketing
bySAPIENZA, University of Rome
 
PDF
Data Web Marketing: contaminazioni tra Semantic Web, Social CRM e VRM
byMatteo Brunati
 
PDF
[Intranet management] intranet, covid 19 e remote working - che cosa abbiamo ...
byGiacomo Mason
 
PDF
Intranet tra globale e locale - webinar - [intranet management]
byGiacomo Mason
 
PDF
Scrivere una Social Media Policy
byPiero Tagliapietra
 
Web 2 0 - Michele D'Alena
byUSAC Program
 
Turismo 2.0 e web seminario uniurb - cuspide
byForlani Fabio
 
Web 2.0
byAdv Media Lab
 
Social Business - un nuovo modo di fare impresa
byFabrizio Martire
 
intranet management - intranet, digital workplace, collaboration, quali diffe...
byGiacomo Mason
 
Il Non profit in rete
byRoberto Polillo
 
18. Content sharing sites
byRoberto Polillo
 
Web 2.0 comunicare al futuro
byAlessia Tronchi
 
social media & Web 2.0
byRosario Sica
 
1. Introduzione al corso
byRoberto Polillo
 
Della Valle Enterprise 2.0- Potenzialità di combinare SOA e Web 2.0
byEmanuele Della Valle
 
GreenFleet e Web 2.0: i social network a supporto della mobilità sostenibile
byFLEETBLOG
 
Gestione dei social networks nel Comune di Rimini
byMauro Ferri
 
Realtà Aumentata
byDara Bellinvia
 
Web 2.0 e nuove strategie di marketing
bySAPIENZA, University of Rome
 
Data Web Marketing: contaminazioni tra Semantic Web, Social CRM e VRM
byMatteo Brunati
 
[Intranet management] intranet, covid 19 e remote working - che cosa abbiamo ...
byGiacomo Mason
 
Intranet tra globale e locale - webinar - [intranet management]
byGiacomo Mason
 
Scrivere una Social Media Policy
byPiero Tagliapietra
 

Viewers also liked

PDF
Digital in 2017: Southern Europe
byWe Are Social Singapore
 
PDF
2017 Digital Yearbook
byWe Are Social Singapore
 
PDF
Giornalismo digitale convegno 4 e 5 luglio 2012 d bianchi e n. novelli.ppt
byVittorio Pasteris
 
PPT
Rischi e opportunità nei Social Media
byLuca Alagna
 
PDF
File 2 recensione e pagamento
byilfattoquotidiano.it
 
PDF
File 1 annuncio e scambio mail
byilfattoquotidiano.it
 
PDF
Brand reputation bto 2012 29 novembre 2012
byFrancesco Tapinassi
 
KEY
turise.me
byPiero Tagliapietra
 
KEY
User Camp Bologna09
byPiero Tagliapietra
 
PDF
Social Media Policy - Handnote
byPiero Tagliapietra
 
PDF
20 termini per conoscere il Social Media Monitoring
byPiero Tagliapietra
 
PDF
Tesi Camp
byPiero Tagliapietra
 
KEY
Post ms tag
byPiero Tagliapietra
 
PDF
Avis 03 Opportunità
byPiero Tagliapietra
 
KEY
Identità e Cultura
byPiero Tagliapietra
 
KEY
I Qr Code con bit.ly
byPiero Tagliapietra
 
PDF
Salone del Risparmio 2015 - Leader digitali
byPiero Tagliapietra
 
KEY
Convergiamo
byPiero Tagliapietra
 
KEY
Social Media for Business
byPiero Tagliapietra
 
PDF
Avis 01 Scenario
byPiero Tagliapietra
 
Digital in 2017: Southern Europe
byWe Are Social Singapore
 
2017 Digital Yearbook
byWe Are Social Singapore
 
Giornalismo digitale convegno 4 e 5 luglio 2012 d bianchi e n. novelli.ppt
byVittorio Pasteris
 
Rischi e opportunità nei Social Media
byLuca Alagna
 
File 2 recensione e pagamento
byilfattoquotidiano.it
 
File 1 annuncio e scambio mail
byilfattoquotidiano.it
 
Brand reputation bto 2012 29 novembre 2012
byFrancesco Tapinassi
 
turise.me
byPiero Tagliapietra
 
User Camp Bologna09
byPiero Tagliapietra
 
Social Media Policy - Handnote
byPiero Tagliapietra
 
20 termini per conoscere il Social Media Monitoring
byPiero Tagliapietra
 
Tesi Camp
byPiero Tagliapietra
 
Post ms tag
byPiero Tagliapietra
 
Avis 03 Opportunità
byPiero Tagliapietra
 
Identità e Cultura
byPiero Tagliapietra
 
I Qr Code con bit.ly
byPiero Tagliapietra
 
Salone del Risparmio 2015 - Leader digitali
byPiero Tagliapietra
 
Convergiamo
byPiero Tagliapietra
 
Social Media for Business
byPiero Tagliapietra
 
Avis 01 Scenario
byPiero Tagliapietra
 

Similar to I rischi dei Social Media in Ambito Aziendale

PDF
Il ruolo dei social media nelle organizzazioni moderne: profili comportamenta...
byDario Bellanuova
 
PDF
Sophos a TBIZ2011
byTechnologyBIZ
 
PPT
SideCamp LUISS 9 luglio: Social media e enterprise 2 0
byAlessandro Prunesti
 
PPT
SideCamp LUISS 9 luglio: Social media e Enterprise 2 0
byAlessandro Prunesti
 
PDF
Business social media cagliari 12112012
byLorenzo Guerra
 
PPT
Socialnetwork Cna
byFabrizio Favre
 
PPTX
Clusit Edu Social Business Security
byiDIALOGHI
 
PPTX
I social media
bySaraCasula96
 
PDF
La sicurezza delle reti aziendali ai tempi di Facebook
byhantex
 
PDF
Social Network Security powered by IBM
byAngelo Iacubino
 
PDF
Social Media e Banche
bySocial Media Easy
 
PDF
Social Media Per Le Banche
byRoberto Grossi
 
PPS
Breve storia della comunicazione
byAndrea Bolcati
 
PPT
Aziende e Social Media secondo Groundswell
byDML Srl
 
PPTX
Social Media Marketing: Presentazione I social media per l'Enterprise 2.0
bypmicamp
 
PDF
Cos'è il Social Web
bykformedia
 
PDF
Venezia camp 2012 Galdino Vardanega
byGaldino Vardanega
 
PDF
La comunicazione 2.0 - Presentazione a Schio
byAssociazioneWakonda
 
PDF
Velluti Social Media Ed Enterprise 2
byLorenzo Velluti
 
PDF
Social Media per le Pmi (R2)
bySocial Media Easy
 
Il ruolo dei social media nelle organizzazioni moderne: profili comportamenta...
byDario Bellanuova
 
Sophos a TBIZ2011
byTechnologyBIZ
 
SideCamp LUISS 9 luglio: Social media e enterprise 2 0
byAlessandro Prunesti
 
SideCamp LUISS 9 luglio: Social media e Enterprise 2 0
byAlessandro Prunesti
 
Business social media cagliari 12112012
byLorenzo Guerra
 
Socialnetwork Cna
byFabrizio Favre
 
Clusit Edu Social Business Security
byiDIALOGHI
 
I social media
bySaraCasula96
 
La sicurezza delle reti aziendali ai tempi di Facebook
byhantex
 
Social Network Security powered by IBM
byAngelo Iacubino
 
Social Media e Banche
bySocial Media Easy
 
Social Media Per Le Banche
byRoberto Grossi
 
Breve storia della comunicazione
byAndrea Bolcati
 
Aziende e Social Media secondo Groundswell
byDML Srl
 
Social Media Marketing: Presentazione I social media per l'Enterprise 2.0
bypmicamp
 
Cos'è il Social Web
bykformedia
 
Venezia camp 2012 Galdino Vardanega
byGaldino Vardanega
 
La comunicazione 2.0 - Presentazione a Schio
byAssociazioneWakonda
 
Velluti Social Media Ed Enterprise 2
byLorenzo Velluti
 
Social Media per le Pmi (R2)
bySocial Media Easy
 

More from Piero Tagliapietra

PDF
Quando la mindfulness incontra il Management
byPiero Tagliapietra
 
PDF
Parliamo di Contratti
byPiero Tagliapietra
 
PDF
I superpoteri del Digital PR - Augure aPRtivo
byPiero Tagliapietra
 
PDF
SMW Milan 2015: Reputation Mobile Scenario
byPiero Tagliapietra
 
PDF
SMW Milan 2015: Agile PR
byPiero Tagliapietra
 
PDF
Lean Social Media Monitoring
byPiero Tagliapietra
 
PDF
Social Media Policy - SMW Milan
byPiero Tagliapietra
 
PDF
Una tool chain per la Social VA
byPiero Tagliapietra
 
PDF
I rischi dei Social Media
byPiero Tagliapietra
 
PDF
Supercharing reach and engagement on Twitter and Facebook
byPiero Tagliapietra
 
PDF
Romagnacamp13 socialmediaengineering
byPiero Tagliapietra
 
PDF
Matrimonio: Basi Sociobiologiche
byPiero Tagliapietra
 
PDF
Avis 02 Pericoli
byPiero Tagliapietra
 
PDF
Diabete italia 131012
byPiero Tagliapietra
 
KEY
Presentare un bilancio
byPiero Tagliapietra
 
KEY
Quando un Semiotico incontra una Biologa
byPiero Tagliapietra
 
PDF
Campagna ADV Facebook Letizia Moratti
byPiero Tagliapietra
 
Quando la mindfulness incontra il Management
byPiero Tagliapietra
 
Parliamo di Contratti
byPiero Tagliapietra
 
I superpoteri del Digital PR - Augure aPRtivo
byPiero Tagliapietra
 
SMW Milan 2015: Reputation Mobile Scenario
byPiero Tagliapietra
 
SMW Milan 2015: Agile PR
byPiero Tagliapietra
 
Lean Social Media Monitoring
byPiero Tagliapietra
 
Social Media Policy - SMW Milan
byPiero Tagliapietra
 
Una tool chain per la Social VA
byPiero Tagliapietra
 
I rischi dei Social Media
byPiero Tagliapietra
 
Supercharing reach and engagement on Twitter and Facebook
byPiero Tagliapietra
 
Romagnacamp13 socialmediaengineering
byPiero Tagliapietra
 
Matrimonio: Basi Sociobiologiche
byPiero Tagliapietra
 
Avis 02 Pericoli
byPiero Tagliapietra
 
Diabete italia 131012
byPiero Tagliapietra
 
Presentare un bilancio
byPiero Tagliapietra
 
Quando un Semiotico incontra una Biologa
byPiero Tagliapietra
 
Campagna ADV Facebook Letizia Moratti
byPiero Tagliapietra
 

I rischi dei Social Media in Ambito Aziendale

  • 1.
    Piero Tagliapietra -Security Specialist - Project Work         1                       POLITECNICO  DI  MILANO  –  CEFRIEL   MASTER  IN  ALTO  APPRENDISTATO  DI  I°  LIVELLO  “SECURITY  SPECIALIST”           I  rischi  dei  Social  Media  in   Ambito  Aziendale     Introduzione  alla  Social  Business  Security                     Tutor:   Ing.  Giulio  Perin   Ing.  Enrico  Frumento     Presentata  da:   Piero  Tagliapietra                   2012/2014    
  • 2.
    Piero Tagliapietra -Security Specialist - Project Work         2   SCENARIO   4   Social  Media  e  Social  Media  Business   4   Sicurezza  e  Social  Media   5   Analisi  dei  rischi  nel  dettaglio   10   Diffusione  Malware   10   Spam,  Phishing  e  frodi   11   Social  Engineering  e  Spear  Phishing   11   Diffusione  o  furto  di  dati  sensibili  o  d’identità   11   Diffusione  d’informazione  riservate  o  false   11   Danni  d’immagine  o  reputazione   11   OSINT   12   Diffamazione,  Ingiuria,  Stalking   12   Hacktivism  e  cracking  dei  profili  ufficiali   12   Violazione  dei  reati  presupposto   12   Violazione  dell’art.  4  l.  300/70   13   Diminuzione  della  produttività  dei  dipendenti   13   Tabella  di  sintesi   13   Aspetti  legali   15   MODELLIZZAZIONE  DELLE  MINACCE   17   Elementi  del  modello   17   Asset   17   Minacce   18   Informazioni  private  o  riservate  o  sensibili:   18   Asset  finanziari   18   Proprietà  intellettuale   18   Segreti  industriali   19   Sicurezza  fisica   19   Risorse  informatiche  e  rete  aziendale   19   Immagine  e  reputazione  personale   19   Immagine  e  reputazione  aziendale   19   Perdita  di  proprietà  intellettuale   20   Vulnerabilità   20   Estrinseche   20   Intrinseche   20   Exploit   21   Driven  by  download   21   Web  Exploit   22   Modello   22   RISK  TREE   25   Creazione  di  un  Dossier  Digitale   25   Pubblicazione  di  documenti   26   Danni  d’immagine   27   Attacco  ai  sistemi  aziendali   28   Interconnessione  dei  rischi   29  
  • 3.
    Piero Tagliapietra -Security Specialist - Project Work         3   DREAD   30   MITIGAZIONE   34   Formazione   35   Policy   35   Elementi  cardine   36   Guidelines   38   Elementi  cardine   39   Strumenti  tecnologici   40   Piattaforme  di  monitoraggio   40   Piattaforme  di  gestione  dei  Social  Media   40   IDS  e  DLP   40   Backup  e  data  retention   41   Monitoraggio  del  traffico   41   Aggiornamenti  automatici   41   BIBLIOGRAFIA   42      
  • 4.
    Piero Tagliapietra -Security Specialist - Project Work         4   Scenario   Social  Media  e  Social  Media  Business   I Social Media sono un insieme di tecnologie, piattaforme e strumenti online che le persone utilizzano per scambiare opinioni, informazioni, esperienze e contenuti multimediali e per stabilire relazioni. Possiamo dire quindi che i Social Media facilitano le interazioni tra gruppi di persone. Dovendo andare a identificare alcune delle specificità di questi strumenti possiamo utilizzare quelle descritte da Bennato 1 ed elencare le quattro peculiarità di questo media: replicabilità (per definizione ogni oggetto digitale può essere duplicato), ricercabilità (qualunque testo, salvo alcune eccezioni specifiche, è ricercabile), persistenza (una volta pubblicati online l’autore ne perde il controllo e non può garantirne l’eliminazione) e scalabilità (i contenuti possono essere diffusi in maniera virale in modo più o meno rapido). Tuttavia, anche se in parte si tratta di un qualcosa di nuovo, sappiamo che tutti i media si appoggiano su infrastrutture pre-esistenti e in molti casi possiamo ritrovare questa tendenza nel fatto che gli utenti tendano a considerare come narrow cast la comunicazione digitale (avendo una tradizione di media, anche digitali, con una portata limitata) mentre utilizzano piattaforme di broadcasting e parlando quindi con un numero estremamente alto di persone. Il numero di utenti che utilizza i Social Media e partecipa su Social Network è cresciuto enormemente negli ultimi anni in un trend che non ha riguardato solamente gli USA, ma che ha investito tutto il mondo. Se prendiamo ad esempio l’Italia vediamo che su una popolazione di circa 28 milioni di utenti online2 oggi gli utenti attivi di Facebook, secondo i dati ufficiali sono quasi 22 milioni, il 78% della popolazione online. Se andiamo leggermente oltre vediamo che 13 milioni di persone si connettono quotidianamente e 7 milioni di utenti si collegano tramite telefono3 . Anche se con numeri inferiori troviamo diversi milioni di utenti attivi anche su Twitter, Linkedin, Google+ mentre migliaia di persone scrivono sul proprio blog personale o si geolocalizzano su Foursquare. Vediamo quindi che durante il giorno le persone raccontano la propria vita attraverso vari dispositivi, in vari momenti, su diverse piattaforme. Da questo punto di vista possiamo vedere come la fruizione dei media sia cambiata e come si possano identificare due trend precisi da questo punto di vista: da un lato infatti abbiamo una fruizione multi-device sequenziale, dove l’utente si sposta da un oggetto all’altro fruendo però sempre dello stessa tipologia di contenuto, dall’altra invece abbiamo una fruizione multi-device contemporanea durante la                                                                                                                 1 Sociologia dei Media Digitali, Laterza, Roma-Bari 2011 2 Dati audiweb di luglio http://www.audiweb.it/cms/view.php?id=6&cms_pk=265 3 http://vincos.it/2012/05/11/nasce-losservatorio-social-media-in-italia-google-cresce-e-insidia- linkedin/
  • 5.
    Piero Tagliapietra -Security Specialist - Project Work         5   quale l’utente utilizza più strumenti contemporaneamente (ad esempio twittando durante un evento televisivo). Ovviamente un bacino di utenti così ampio non ha lasciato le aziende indifferenti che hanno visto i Social Media come un nuovo territorio da colonizzare e sfruttare per attività di tipo promozionale, commerciale e per relazionarsi con i propri consumatori. Questo ha portato alla creazioni di pagine su Facebook, ad account aziendali su Twitter e alla realizzazioni di presidi su varie piattaforme: se prendiamo la lista delle Fortune 5004 vediamo che il 23% di queste ha un blog aziendale, il 62% un account Twitter e il 58% una pagina Facebook. Ovviamente le numeriche degli utenti e le attività aziendali sui Social Media mostrano a prima vista uno scenario apparentemente tranquillo, ma una lettura più profonda e completa di questo fenomeno può aiutarci a comprendere che queste piattaforme e tecnologie possono anche rappresentare un rischio per le aziende Sicurezza  e  Social  Media   In modo da comprendere in maniera esaustiva quali sono i rischi e i pericoli che possono nascere per un’azienda dai Social Media dobbiamo approfondire alcuni dei punti toccati in precedenza. Abbiamo detto che il numero di persone che utilizzano i Social Media è sempre più elevato, ma questi soggetti non sono semplicemente cittadini, sono anche dipendenti, manager e amministratori delegati: sono quindi in possesso di informazioni sull’azienda che non sempre possono essere rese pubbliche. Il fatto che, inavvertitamente, queste informazioni vengano condivise online è ben più di una possibilità: in alcuni casi infatti gli utenti sono convinti di agire secondo logiche di narrowcasting e non si rendono conto della diffusione (e dell’impatto) che possono avere i loro update. Oltretutto in molti casi il piano personale e lavorativo tendono a sovrapporsi. È infatti molto difficile per delle persone normali, per gli amici e i follower, comprendere quando si passa da un registro ufficiale ad uno comune: normalmente si tende a creare un unico insieme ibrido. Ovviamente questo rappresenta un ulteriore problema dal momento che alcune dichiarazioni che non rispecchiano necessariamente quelle dell’azienda possono essere lette come ufficiali. Oltretutto, anche qualora si riuscisse a tenere separati i due piani, qualunque messaggio ad opera dei dipendenti, dei manager e degli dipendenti andrebbe a contribuire alla costruzione della corporate image. Dobbiamo infatti ricordare che l’immagine aziendale (o corporate image usando le parole di Ugo Volli5 ) è un elemento semiotico frutto delle varie                                                                                                                 4 http://econsultancy.com/it/blog/9607-fortune-500-social-media-statistics-infographic 5 Semiotica della Pubblicità, Laterza, 2002
  • 6.
    Piero Tagliapietra -Security Specialist - Project Work         6   discussioni che si sviluppano intorno alla marca e che quindi comprende sia i messaggi volontari (quelli ad esempio emessi in maniera ufficiale dall’azienda), sia involontari (ad esempio quelli dei dipendenti) che percepiti (discorsi fatti dagli utenti). Il grande passaggio verso il cosiddetto web 2.0 ha quindi spostato gli equilibri riducendo di fatto il potere dei messaggi volontari in favore di quelli involontari e recepiti: sempre più la marca è un elemento costruito collettivamente secondo logiche dal basso e quindi, i dipendenti, anche in maniera involontaria sono parte attiva della corporate image con i propri account e i propri update. Oltretutto molti di questi messaggi sono pubblicati durante l’orario di lavoro. Abbiamo infatti detto che le persone utilizzano i Social Network e i Social Media durante tutta la giornata e, se estendiamo il tutto all’impresa, questo significa che anche i dipendenti, durante l’orario lavorativo, utilizzeranno questi strumenti per interagire con i propri amici e condividere informazioni. Queste attività non vengono necessariamente fatte tramite computer di lavoro, uno strumento sul quale eventualmente è possibile esercitare una forma di controllo e tutela, ma spesso tramite gli smartphone personali che in un secondo momento vengono collegati al computer o alla rete interna. La consumerizzazione dell IT e le pratiche di BYOD (Bing You Own Device) da questo punto di vista complicano la gestione della sicurezza. La presenza di strumenti personali del dipendente infatti può limitare il controllo (e la protezione) da parte dell’azienda sui propri asset materiali e immateriali. Inoltre possiamo dire che, normalmente, le persone tendono ad attribuire uno scarso valore alle informazioni in loro possesso e, conseguentemente, a condividerle in maniera più facile: così come una password è condivisa più facilmente di un token o di una smart card, allo stesso modo, condividere informazioni con i propri contatti online, non viene percepito come attività rischiosa o dannosa. Questo porta in molti casi ad un approccio ingenuo che può aumentare l’esposizione dell’azienda a dei rischi. Oltre alla condivisione di informazioni, un approccio di tipo ingenuo espone anche a tutta un’altra categoria di rischi: in molti casi infatti gli utenti, convinti che l’ambiente dei Social Media sia sicuro (perché popolato da contenuti prodotti da altri utenti e da materiali condivisi dai propri amici) rischiano di premere con maggior frequenza su link poco sicuri e di immettere malware di vario tipo all’interno della computer aziendali, e, di conseguenza, di compromettere la rete aziendale. Nonostante molti dipendenti non considerino i Social Media come sorgenti di rischio, la loro pericolosità non è sfuggita a coloro che si occupano di sicurezza e di gestione dei Social Media. Se andiamo a prendere i dati di una recente analisi (pubblicata il 9 agosto) condotta da Altimeter6 vediamo che è                                                                                                                 6 i dati originali sono disponibili a questo indirizzo http://www.web- strategist.com/blog/2012/08/09/risk-management-guarding-the-gates-altimeter-report/ mentre una loro elaborazione è disponibile al seguente
  • 7.
    Piero Tagliapietra -Security Specialist - Project Work         7   inizia a farsi strada una certa consapevolezza.                                                                                                                                                                                                                                                                                                                               http://www.emarketer.com/Article.aspx?R=1009309&ecid=a6506033675d47f881651943c21c 5ed4&goback=%2Egde_4417941_member_156431387
  • 8.
    Piero Tagliapietra -Security Specialist - Project Work         8   Rischio Critico Significativo Moderato Debole Nessuno Danni di reputazione o all’immagine del brand 35% 31% 23% 4% 6% Diffusione d’informazioni confidenziali 15% 17% 31% 25% 10% Perdita di Proprietà Intellettuale (IP) 13% 15% 31% 25% 10% Problemi di carattere legale o di compliance 13% 17% 25% 27% 15% Diffusione di dati personali o sensibili 13% 21% 33% 15% 15% Forto d’identità o Hijacking 12% 13% 29% 22% 21% Interruzione della Business Continuity 10% 12% 29% 21% 27% Malware 8% 15% 33% 35% 8% Attacchi di Social Engineering 6% 12% 29% 35% 15% Danni all’infrastruttura informativa 6% 6% 31% 40% 15% Riduzione della produttività 4% 10% 31% 37% 17% Diffamazione dei dipendenti 2% 21% 27% 29% 19% I problemi che possono essere innescati da Social Media sono di diverso tipo e riguardano sia aspetti materiali (come la diffusione di materiale protetto) che immateriali (danni alla reputazione o all’immagine del brand). Se andiamo oltre possiamo osservare come la percezione del rischio cambi anche in funzione delle piattaforme7 . Sorgente di Rischio Significativo Moderato Basso Nessuno Facebook 35% 30% 25% 10% Twitter 25% 35% 33% 8% YouTube e altre piattaforme video 15% 28% 43% 15% Blog di altri utenti e commenti 10% 37% 44% 10% Blog aziendale e commenti 8% 15% 43% 31% Linkedin 8% 15% 43% 35% Giudizi e valutazioni su piattaforme dedicate 5% 18% 33% 45% Pinterest 5% 15% 33% 48% Piattaforme di condivisione delle immagini 3% 25% 38% 35%                                                                                                                 7 In questo caso le valutazione delle piattaforme sono soggettive e non parametrate sulla presenza effettiva di rischi, vulnerabilità o exploit noti
  • 9.
    Piero Tagliapietra -Security Specialist - Project Work         9   Foursquare 3% 20% 20% 58% Intranet e Social Network Enterprise (es. Yammer) 3% 15% 35% 48% Google+ 0% 18% 49% 33% YahooAnswer, Quora ed analoghi 0% 13% 43% 45% Da questo primo breve elenco possiamo iniziare a distinguere tra due diverse tipi di attività: da un lato abbiamo dipendenti che, senza distinzione d’orario, pubblicano contenuti su piattaforme esterne (azione attiva) che possono condurre o a danni d’immagine o alla fuoriuscita di informazioni riservate o fungere da supporto per eventuali attacchi di Social Engineering e dall’altro dipendenti che, utilizzando piattaforme esterne durante le ore di lavoro, espongono i computer e la rete aziendali a dei rischi derivanti da attacchi esterni di vario tipo. Uno degli aspetti predominanti che emerge dalle tabelle prese in analisi in precedenza, è come i rischi maggiori (percepiti) siano legati ai danni di reputazione e all’immagine aziendale. Si tratta di timori fondati dal momento che: • Possono essere causate da una molteplicità di attori (dipendenti o attaccanti) • La diffusione di queste piattaforme e la naturale viralità dei contenuti che su di esse transitano possono amplificare la portata degli attacchi o dei danni • Richiedono una gestione attenta (da parte del community manager in molti casi) e una pianificazione accurata (da parte del management e dei responsabili della comunicazione) • Le persone non distinguono tra utenti e profili ufficiali e quindi, in molti casi, anche gli update personali dei dipendenti possono avere ricadute sulla corporate image.    
  • 10.
    Piero Tagliapietra -Security Specialist - Project Work         10   Analisi  dei  rischi  nel  dettaglio     Dopo questo primo e generico elenco necessario approfondire e dettagliare questi elementi in modo da comprendere più a fondo quali siano gli elementi che contraddistinguono i diversi rischi sui Social Media. In modo da semplificare la lettura, alcuni rischi strettamente collegati, sono stati riassunti in un'unica categoria. A livello di rischi possiamo identificare • Diffusione di Malware • Spam,phishing e frodi • Social Engineering e Spear Phishing • Diffusione o furto di dati sensibili o d’identità • Diffusione d’informazioni riservate o false • Open Source Intelligence da parte dei concorrenti • Diffamazione, Ingiuria, Stalking • Danni d’immagine e di reputazione • Hacktivism e hacking dei profili di comunicazione aziendale • Violazione di reati presupposto (231/01) • Violazione dell’art. 4 L.300/70 • Diminuzione della produttività da parte dei dipendenti In modo da poter comprendere meglio le tipologie di rischio per ognuna di queste categorie è stata fatto un approfondimento ulteriore e, i vari rischi, sono stati valutati tramite un’analisi qualitativa analizzandone frequenza e impatto e andando a considerare quindi tre macrocategorie (accettabile, grave, inaccettabile). Ovviamente, la valutazione è parziale dal momento che non sono stati selezionati target ed asset specifici da proteggere. Impatto Basso Minore Moderato Alto Catastrofico Frequenza 1 2 3 4 5 Raro 1 1 2 3 4 5 Improbabile 2 2 4 6 8 10 Possibile 3 3 6 9 12 15 Probabile 4 4 8 12 16 20 Certo 5 5 10 15 20 25 Uno degli aspetti principali da considerare è che questi rischi non sono scollegati tra loro, ma che molto spesso assistiamo a una combinazione di essi. Diffusione  Malware   In questo caso si tratta principalmente di rischi la cui frequenza è molto elevata (certa) e il cui impatto può andare da minore ad alto. Si tratta quindi di rischi gravi o inaccettabili a seconda della realtà aziendale. Gli attacchi legati al malware (trojans, worms, rootkit, etc.) sono tutti driven by download e
  • 11.
    Piero Tagliapietra -Security Specialist - Project Work         11   prevedono la presenza di un attaccante esterno. Questi attacchi sono particolarmente frequenti e sfruttano principalmente la credibilità,il senso di sicurezza del gruppo e la prova sociale. Spam,  Phishing  e  frodi   In questo caso il rischio è possibile con un impatto moderato-alto a seconda della realtà aziendale. Questi rischi possono essere in preparazione ad attacchi più mirati (ad esempio acquisizione di credenziali o informazioni per attacchi di Social Engineering, OSINT o Spear Phishing) Social  Engineering  e  Spear  Phishing   In questo caso il rischio è possibile con un impatto alto-catastrofico. Dato che alla base degli attacchi basati su questi metodi ci sono la ricerca d’informazioni o lo sviluppo di relazioni con la vittima, appare subito evidente che i Social Media rappresentano un terreno particolarmente fertile. In molti casi infatti non sono solo le vittime a rivelare informazioni su di sé, ma sono anche i colleghi e amici. La possibilità di entrare in relazione online facilità molto il compito e le attività degli ingegneri sociali. Diffusione  o  furto  di  dati  sensibili  o  d’identità   In questo caso i rischi sono accettabili o gravi a seconda dell’attore coinvolto e della tipologia d’informazioni diffuse. In questo caso infatti possiamo avere due tipologie distinte di attori: da un lato un dipendente che, dando scarso valore alle informazioni e percependo i Social Media come riservati e sicuri, diffonde in maniera involontaria informazioni su di sé, sull’azienda o sui colleghi; dall’altra abbiamo un attaccante (esterno o interno) il cui obiettivo è la diffusione delle informazioni. Possiamo quindi distinguere tra atti passivi (diffusione inconscia) e attivo (distribuzione conscia finalizzata ad uno scopo preciso). A livello di frequenza, il primo rischio descritto (comportamento naïve dei dipendenti) appare come più probabile e frequente. Diffusione  d’informazione  riservate  o  false   Questo rischi sono gravi (possibili e con un impatto alto): come nel caso precedente possiamo identificare un comportamento passivo ed uno attivo data la presenza di due attori (dipendente inconsapevole e attaccante). La diffusione di informazioni false rappresenta un elemento particolarmente interessante e significativo dal momento che all’interno dei Social Media la verifica delle fonti e dei contenuti avviene raramente. Se aggiungiamo a questo la viralità delle condivisioni, vediamo che l’impatto di questo rischio è decisamente elevata (soprattutto se vengono sfruttati meccanismi per creare in maniera artificiosa credibilità nelle fonti). Danni  d’immagine  o  reputazione   Come emerso dalla tabella questi rischi sono percepiti come i più probabili e
  • 12.
    Piero Tagliapietra -Security Specialist - Project Work         12   con impatto maggiore: date anche le premesse sono da considerarsi come gravi o inaccettabili. In questo caso i Social Media rappresentano uno dei terreni che meglio si prestano a questi rischi: i dipendenti possono infatti pubblicare informazioni false, riservate, sensibili in maniera inconsapevole sui propri profili, sui presidi aziendali ufficiali o sulle pagine dei competitor mentre degli attaccanti possono farlo in maniera consapevole. L’elevato numero di utenti, la scalabilità dei contenuti e la loro persistenza rendono questo rischio inaccettabile. OSINT   Le operazioni di Open Source Intelligence da parte dei concorrenti rappresentano uno dei nuovi grandi rischi introdotti dai Social Media. In passato questo rischio era presente (andando ad analizzare i documenti pubblici ad esempio) ma era un accettabile o grave: con la mole d’informazioni pubbliche condivise dai dipendenti sulle varie piattaforme, possiamo dire che questo rischio oggi è classificabile come grave o inaccettabile a seconda della realtà. In questo caso troviamo una molteplicità di attori coinvolti: da un lato abbiamo infatti i dipendenti che pubblicano in maniera inconsapevole o consapevole le informazioni e dall’altro attaccanti esterni. Diffamazione,  Ingiuria,  Stalking   Si tratta di rischi al momento accettabili (rari e ad impatto moderato) ma che stanno vedendo nell’ultimo anno una radicale crescita. In molti casi infatti gli utenti non si rendono conto che, tramite i Social Media, comunicano ad un pubblico (qualunque insieme di persone superiore a due secondo la definizione giuridica) e che quindi si espongono facilmente ad una violazione degli art. 594 e 595 c.p. In questo caso il rischio diretto per l’azienda è relativamente basso (dato che la responsabilità penale è soggettiva), ma rischia di avere ripercussioni sull’immagine o di perdere figure chiave all’interno del management o dei progetti. Hacktivism  e  cracking  dei  profili  ufficiali   In questo caso, a seconda della realtà aziendale, possiamo definire questo rischio come grave (improbabile e con un impatto moderato-alto). Sono ormai diversi i casi in cui presidi ufficiali sono stati obiettivo di minacce da parte di hacktivisti: alcuni casi sono stati diffusi messaggi falsi (a seguito del furto delle credenziali) o notizie potenzialmente diffamatorie o con pesanti ricadute sull’immagine aziendale. In questo caso gli attori prevalenti sono attaccanti esterni. Una delle nuove frontiere di questo fenomeno potrebbe essere il ransomware applicato ai presidi ufficiali. Violazione  dei  reati  presupposto   A seguito della legge 231/01 sono stati individuati diversi reati presupposto molti dei quali possono essere commessi anche tramite Social Media. In
  • 13.
    Piero Tagliapietra -Security Specialist - Project Work         13   questo caso, dato che si tratta comunque di piattaforme nuove, possiamo definire questi rischi come gravi o inaccettabili a seconda della realtà aziendale. La frequenza infatti che avvengano violazione dei reati presupposto è possibile (devono infatti essere commessi da figure apicali) ma in casi di aziende con forti legami con le PA l’impatto può essere catastrofico. Così come per la violazione dell’art. 4 l.300/70 in questo caso gli attori principali sono interni all’azienda. Violazione  dell’art.  4  l.  300/70   Nonostante vi sia la necessità di controllo è necessario tener presente di questo rischio che può comunque essere considerato accettabile. Qualora infatti si mettano in campo strumenti di controllo e monitoraggio dei Social Media è necessario infatti procedere con cautela onde evitare di andare oltre i limiti del controllo a distanza del dipendente. Diminuzione  della  produttività  dei  dipendenti   Questo rappresenta un rischio accettabile o grave la cui valutazione richiede un’attenta analisi. In molti casi infatti, un’errata lettura può portare ad una maggiore esposizione a rischi: i dipendenti che si vedono privati dell’accesso ai Social Media possono infatti ricorrere a proxy o device personali poco protetti. In questo caso gli attori coinvolti sono esclusivamente interni. Tabella  di  sintesi   Tipologia Frequenza Impatto Rischio Diffusione  Malware   Probabile Alto Inaccettabile Spam,  Phishing  e  Frodi   Probabile Moderato Grave Social   Engineering   e   Spear   Phishing   Possibile Catastrofico Inaccettabile Diffusione   o   furto   di   dati   sensibili  o  d’identità   Probabile Alto Inaccettabile Diffusione   di   informazioni   riservate  o  false   Possibile Alto Grave Danni   d’immagine   o   di   reputazione   Probabile Alto Inaccettabile OSINT   Certo Alto Inaccettabile Diffamazione,   Ingiuria,   Stalking   Raro Moderato Accettabile Hacktivism   e   cracking   dei   profili  ufficiali   Improbabile Moderato Grave Violazione   dei   reati   presupposto   Possibile Alto Grave Violazione   dell’art.   4   l.   300/70   Possibile Alto Grave Diminuzione   della   produttività  dei  dipendenti   Probabile Basso Accettabile
  • 14.
    Piero Tagliapietra -Security Specialist - Project Work         14   In  base  a  questa  prima  analisi  siamo  in  grado  di  definire  una  scala  dei  rischi  e   decidere  eventuali  interventi  di  carattere  generale:  sarà  poi  l’analisi  sulla  singola   realtà  aziendale  (in  base  a  target,  contesto  e  agli  altri  parametri)  a  definire  con   maggior  precisione  il  piano  d’azione,  le  priorità  e  le  modalità  di  mitigazione.  In   tutti  questi  casi  ci  troviamo  davanti  a  rischi  non  intrinsechi:  utilizzando  infatti   delle  soluzioni  di  varia  natura  (sia  tecnologiche  sia  a  livello  umano)  è  possibile   ridurre  i  valori  legati  alla  frequenza  e  in  alcuni  casi  anche  l’impatto.    
  • 15.
    Piero Tagliapietra -Security Specialist - Project Work         15   Aspetti  legali     La sicurezza dei Social Media comporta inoltre una profonda riflessione dal punto di vista legale dal momento che vanno ad incrociarsi diversi elementi. Prima di tutto il fatto che i dipendenti, sui Social Media, utilizzano i propri account personali e spesso device personali: questo ovviamente limita le possibilità di indirizzo e di controllo da parte dell’azienda. Il datore di lavoro rischia infatti d’incorrere in problematiche legate alla violazione dell’art. 4 l. 300/70 (controllo a distanza del dipendente) qualora monitori in maniera poco trasparente e non dichiarata le attività dei dipendenti esterne all’attività lavorativa. Dal momento che gli account usati dai dipendenti sono personali (e non strumenti lavorativi) e che vengono usati al di fuori dall’orario lavorativo è evidente come le azioni di controllo debbano essere curate ed attente. Tuttavia, per il datore di lavoro, il controllo è un elemento irrinunciabile dal momento che alcuni dei reati presupposto della 231/01 (responsabilità amministrativa dell’azienda). Possono infatti essere commessi i seguenti reati • Turbata libertà dell’industria e del commercio (art. 513 c.p.) • Illecita concorrenza con minaccia o violenza (art. 513 bis c.p.) • Frode dell’esercizio del commercio (art. 515 c.p.) • Abuso d’informazioni privilegiate (D. Lgs. 24.02.1998, n° 58, art. 184) • Manipolazione del mercato (D. Lgs. 24.02.1998, n° 58, art. 185) Questi reati possono infatti essere commessi sia da dipendenti che da figure apicali o tramite l’utilizzo di un account personale o tramite l’uso di account fasulli (che in molti casi possono comunque essere ricondotto all’azienda). Oltre a questi elementi (consolidati ormai nella giurisprudenza) è necessario tener presente che le normative legate al mondo digitale sono in rapida evoluzione ed espongono ad ulteriori rischi. Al momento infatti, come recentemente sancito da una sentenza della corte di cassazione (n° 44126) non è configurabile la responsabilità dell’editore per omesso controllo (art. 57 c.p. e 57 bis c.p.) per quanto riguarda i prodotti editoriali digitali. Tuttavia, oggi ogni azienda è potenzialmente configurabile un editore: dopotutto le pagine ufficiali su Facebook possiedono alcune caratteristiche (ad esempio il filtraggio preventivo per alcune parole chiave) che potrebbero far sì che l’azienda risulti sanzionabile per omesso controllo (ovviamente sempre a condizione di una modifica degli art. 57 e 57 bis. C.p.). Diventa però quindi fondamentale un presidio costante sulle evoluzioni normative. Oltre ai reati che possiamo identificare come direttamente collegabili alle attività aziendali è opportuno anche ricordare come nel 2012 ci sia stato un forte aumento delle cause per diffamazione e ingiuria tramite Social Media. Le violazioni degli articoli 594 e 595 c.p. infatti ha visto affermarsi nel nostro
  • 16.
    Piero Tagliapietra -Security Specialist - Project Work         16   ordinamento la consuetudine che vuole come foro competente quello in viene reso noto alla vittima il fatto e questo, tramite gli smartphone portato ad una notevole mobilità. Risulta infatti sempre più facile scegliere a priori il foro nel quale si vuole essere giudicati e dichiarare che la notifica è avvenuto in quella sede. La differenza tra diffamazione e ingiuria all’interno dei Social Media è inoltre molto labile dal momento che basta “taggare” la vittima per ricadere nell’ingiuria ed ometterla per ricadere invece nella diffamazione. Oltretutto, essendo luoghi pubblici per definizione, vengono sempre applicate le aggravanti. La componente normativa, oltre che a problemi sul controllo dei dipendenti e nella gestione delle proprie attività, nasconde diverse difficoltà per quanto riguarda la dimensione trans-nazionale dei crimini che possono essere messi in atto. Questa problematica in realtà accomuna tutti i reati informatici e non solamente quelli commessi tramite i Social Media.    
  • 17.
    Piero Tagliapietra -Security Specialist - Project Work         17   Modellizzazione  delle  minacce   Elementi  del  modello   Prima di procedere con la modellizzazione è necessario definire gli elementi che verranno utilizzati e lo scopo di tale attività. Per la modellazione verranno quindi definiti termini piuttosto ampi dal momento che non si affronta un caso specifico ma si vuole analizzare un fenomeno generale • Asset: entità (materiale o immateriale) che hanno valore per l’azienda • Minaccia: circostanza o evento in grado di arrecare dei danni a un soggetto o ente • Vulnerabilità: debolezza di un sistema che può essere impiegata per un exploit • Exploit: modalità di attacco che sfrutta una vulnerabilità • Esposizione: vicinanza o contatto con una minaccia • Rischio: in questo caso si considera solamente come prodotto di frequenza per impatto (incertezza negativa sugli obiettivi) • Contromisura: qualunque sistema, strumento, pratica in grado di ridurre le vulnerabilità o le minacce di un dato sistema • Attacco: l’atto (o il tentativo) di superare o violare le misure di controllo o protezione di un determinato sistema Asset   A livello macroscopico di modello possiamo dire che ci sono degli asset che possono essere compromessi da minacce; queste sfruttano degli exploit legati a delle vulnerabilità: l’esposizione alle minacce comporta un rischio che può essere mitigato attraverso delle contromisure. A livello generale possiamo dire che ogni azienda ha degli asset da tutelare e proteggere legati al suo business specifico. L’uso errato o improprio dei Social Media rischia di mettere in pericolo i seguenti asset, la cui distruzione, sottrazione, danno possono impedire all’impresa di raggiungere i suoi obiettivi. Rimanendo sempre a livello generale, al fine della modellizzazione possiamo identificare i seguenti asset da tutelare: 1. Informazioni private o riservate o sensibili: possono essere rubate, sottratte o utilizzate contro il legittimo proprietario per realizzare attacchi d’ingegneria sociale e sviluppare ATP (advanced persistent threat) 2. Beni finanziari: possono essere sottratti attraverso delle frodi o essere direttamente collegati a una diminuzione della produttività dei dipendenti 3. Proprietà intellettuale: può essere rubata o sottratta e successivamente diffusa (comportando un danno economico per l’impresa)
  • 18.
    Piero Tagliapietra -Security Specialist - Project Work         18   4. Informazioni aziendali riservate: la cui diffusione può portare a perdite economiche, diminuzione della competitività, danni di reputazione e d’immagine 5. Sicurezza fisica: che può essere minacciata da criminali di vario tipo 6. Strumenti aziendali: che possono essere compromessi da malware di vario tipo e portare a danni economici o a una diminuzione della produttività 7. Reputazione/Immagine personale e aziendale: può essere danneggiata da azioni di vario tipo e risultare irreparabilmente compromessa 8. Identità digitale: che può essere sottratta o manipolata (furto d’identità o identity spoofing) Possiamo quindi fare alcune distinzioni tra beni (asset) aziendali e personali, tra materiali e immateriali, tra primari e secondari. Minacce   Al   fine   di   realizzare   una   modellizzazione   completa   è   necessario   definire   in   maniera  puntale  le  minacce  legate  ai  Social  Media  collegati  ai  singoli  asset   Informazioni  private  o  riservate  o  sensibili:     • Creazione   di   un   Dossier   Digitale   utilizzando   le   informazioni   pubbliche   diffuse  sui  Social  Media  (DD)   • Raccolta  dati  secondari  informazioni  che  l’utente  concede  alla  piattaforma   e  che  vengono  rivendute  a  sua  insaputa  DS)   • Esposizione  dei  dati  a  seguito  di  una  cattiva  configurazione  dei  settaggi  di   privacy  (Es)   • Mancanza   di   controllo   sugli   update   e   sulle   informazioni   diffuse   da   altri   utenti  (EsS)   • Inferenze  predittive  di  dati  sensibili  basate  sui  comportamenti  dell’utente   e  su  quelle  dei  suoi  contatti  (anche  su  informazioni  non  diffuse)  (IF)   • Identificazione  di  tutti  gli  account  dell’utente  (anche  se  aperti  sotto  falso   nome  o  pseudonimo)  usando  immagini  o  email  di  registrazione  associate   all’identità  reale  (ReId)   Asset  finanziari   • Frodi  (FR)   • Perdita  di  produttività  a  seguito  del  tempo  speso  dai  dipendenti  sui  Social   Media  (TL)     Proprietà  intellettuale     • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  e  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   una   errata  
  • 19.
    Piero Tagliapietra -Security Specialist - Project Work         19   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma)   (IpPt)     Segreti  industriali   • La  pubblicazione  da  parte  dei  dipendenti  d’informazioni  sulle  procedure  e   sulle  modalità  di  lavoro  può  essere  usato  da  un  attaccante  per  creare  un   finto  profilo    aziendale  per  ottenere  l’accesso  ai  dati  e  alle  informazioni   aziendali  (FsDb)   • I   dipendenti   possono   pubblicare   in   maniera   accidentale   progetti   e   informazioni   confidenziali   a   causa   di   un’errata   valutazione   dell’importanza   dei   documenti   o   del   livello   di   confidenzialità   dei   Social   Media  (FsAc)     Sicurezza  fisica   • Diffusione   o   pubblicazione   accidentale   d’informazioni   che   possono   illustrare  a  un  attaccante    il  numero  di  persone  presenti,  le  funzioni  e  gli   orari  degli  uffici  (SFac)   • Pubblicazioni   di   immagini   che   possono   essere   usate   per   inferire   informazioni  sulle  attività  lavorative  (SFIm)   • Diffusione  di  informazioni  personali  che  possono  essere  usati  per  trovare,   identificare  e  minacciare  le  persone  (SFst)     Risorse  informatiche  e  rete  aziendale   • Diffusione  di  malware  nella  rete  aziendale  (MW)   Immagine  e  reputazione  personale   • Campagne   mirate   per   il   danneggiamento   della   reputazione   e   dell’immagine  personale  (IMs)   • Campagne   automatizzate   per   il   danneggiamento   della   reputazione   e   dell’immagine  personale  (IMa)   • Un  attaccante  può  entrare  in  possesso  d’informazioni  riservate  e  ricattare   il  soggetto  (ES.)   • Dato  che  i  processi  di  verifica  dell’identità  delle  piattaforme  sono  deboli  è   possibile   che   degli   attaccanti   creino   dei   profili   fasulli   con   conseguente   furto  d’identità  (FId.)   • Il   fatto   di   non   poter   dimostrare   con   sicurezza   l’identità   della   persona   rende   più   complessi   e   difficili   gli   atti   di   repudiation   qualora   vengano   diffuse  informazioni  false  o  diffamanti  (RP.)   Immagine  e  reputazione  aziendale   • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  o  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   un’errata  
  • 20.
    Piero Tagliapietra -Security Specialist - Project Work         20   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma  o  di   una  mancata  policy  documentale  interna)  (IpPt.)   Perdita  di  proprietà  intellettuale     • Atto  inconsapevole  (accidentale)  da  parte  del  dipendente  (IpAc)   • Sottrazione  o  pubblicazione  (deliberata)  da  parte  di  un  attaccante  (IpDb)   • Mancanza  o  perdita  di  controllo  da  parte  dell’azienda  su  quello  che  viene   pubblicato   sui   Social   Media   (in   alcuni   casi   dipende   da   un’errata   valutazione  delle  policy  d’uso  e  dei  Terms  of  Service  della  piattaforma)   (IpPt.)   Vulnerabilità     Estrinseche   Si   tratta   di   vulnerabilità   sulle   quali   l’azienda   può   esercitare   un   certo   grado   di   controllo  e  mettere  in  campo  alcune  strategie  di  mitigazione.  In  questo  caso  si   tratta   di   vulnerabilità   collegate   agli   elementi   direttamente   collegati   all’azienda   (software,  hardware,  middleware,  wetware)  inclusi  nei  vari  processi.  In  questo   caso  ci  concentreremo  sul  fattore  umano  (wetware).   Bias  cognitivi  propri  degli  esseri  umani   • Gli  attaccanti  conoscono  bene  alcune  degli  errori  cognitivi  che  inducono  le   persone   a   reputare   come   credibili   o   interessanti   link,   informazioni   e   update.   Scarsa  conoscenza  dei  mezzi   • L’uso   dei   social   media   viene   vissuto   come   naturale   dagli   utenti   e   soprattutto,  più  che  come  spazi  aperti,  questi  vengono  considerati  come   stanza   chiuse   e   sicure   nelle   quali   è   possibile   comunicare   solo   ed   esclusivamente  con  i  propri  contatti.   Poca  consapevolezza  degli  attacchi   • Associato  alla  scarsa  conoscenza  dei  mezzi  gli  utenti  trascurano  spesso  i   pericoli  legati  all’uso  della  tecnologia  e  in  particolare  dei  Social  Media.   Basso  valore  delle  informazioni   • Gli   asset   intangibili   vengono   valutati   e   trattati   in   maniera   molto   più   superficiale  rispetto  ai  beni  fisici.  Il  problema  principale  risiede  nel  fatto   che   il   valore   delle   informazioni   non   dipende   dal   singolo   elemento,   ma   dalla  connessione  di  tutti  i  dati  diffusi.     Appare   evidente   la   maggior   parte   delle   vulnerabilità   è   legato   a   una   scarsa   conoscenza.   Intrinseche   Alcune minacce sono legate non tanto a comportamenti degli utenti ma a problemi delle piattaforme.
  • 21.
    Piero Tagliapietra -Security Specialist - Project Work         21   Impossibilità  di  eliminare  i  contenuti   • A  causa  dell’eterogeneità  delle  policy  e  dei  TOS  delle  varie  piattaforme  e   della   loro   continua   evoluzione   è   possibile   che,   una   volta   caricato   del   materiale  su  un  Social  Media  l’azienda  ne  perda  il  controllo  rendendo  di   fatto  impossibile  la  cancellazione.  Questo  vale  anche  per  le  informazioni   personali.  In  molti  casi  oltretutto,  quando  una  persona  estranea  condivide   il   contenuto,   la   duplicazione   rende   impossibile   sia   la   cancellazione   che   l’eliminazione.     Metodi  di  autenticazione  deboli   • Le  modalità  di  autenticazione  sui  Social  Media  sono  estremamente  deboli:   a  causa  del  proliferare  delle  piattaforme  gli  utenti  tendono  a  replicare  le   stesse  combinazioni  nome/mail  e  password.  In  molti  casi  è  possibile  che   per  ragioni  di  semplicità  utilizzino  la  mail  di  lavoro.   Non  validazione  delle  informazioni   • L’unica   validazione   fatta   durante   la   registrazione   riguarda   l’email   che   deve   essere   attiva:   non   vi   sono   ulteriori   processi   e   questo   ovviamente   porta  alla  diffusione  di  profili  falsi.   Diffusione  dati  di  navigazione   • I  protocolli  di  comunicazione  possono  essere  usati  per  ottenere  diverse   informazioni   che   un   attaccante   può   sfruttare   per   identificare   delle   potenziali  vulnerabilità  del  sistema  usato  dal  target.   • La  “presence”  (presenza  segnalata  dai  sistemi  di  messaggistica  istantanea   e  chat)  fornisce  informazioni  rilevanti  a  un’attaccante  sulle  abitudini  della   vittima  e  rappresenta  un  ottimo  sistema  per  sfruttare  delle  vulnerabilità   mentre  la  vittima  è  lontana  dal  computer.   Diffusione  dati  d’informazioni  fatte  da  terzi   • In  alcuni  casi  gli  utenti  sono  attenti  alle  informazioni  che  condividono  e   alle  impostazioni  di  sicurezza  dei  propri  account  sui  Social  Media,  tuttavia   non   hanno   controllo   sui   propri   contatti   (amici   e   follower)   che   possono   condividere  informazioni  su  di  essi.   Exploit     Dato che si tratta di azioni che vengono innescate da comportamenti degli utenti in questo caso possiamo identificare due metodologie di exploit principali. Driven  by  download   • In   questo   caso   l’utente   scarica   (in   maniera   consapevole   o   inavvertitamente)  il  malware.  
  • 22.
    Piero Tagliapietra -Security Specialist - Project Work         22   Web  Exploit   • L’utente  naviga  su  un  sito  (nella  maggior  parte  cliccando  su  link  malevoli   su   mail   di   phishing)   e   la   vulnerabilità   in   questo   caso   sono   legati   ai   browser,  ai  plugin  e  alle  varie  componenti.   In   entrambi   i   casi,   l’utente   preme   su   un   link   (o   su   un   eseguibile)   malevolo   o   ricevuto   tramite   posta   o   tramite   comunicazione   privata   o   visto   su   un   social   media.  Nella  maggior  parte  dei  casi  le  APT  (advanced  persistent  threat)  iniziano   proprio   con   una   mail   si   spear   phishing:   secondo   una   ricerca   di   TrendMicro   questo  avviene  nel  91%  dei  casi.8   Modello     Prima  di  passare  ad  analizzare  e  sviluppare  l’albero  dei  rischi  è  stato  delineato   un  modello  generale  dello  scenario  di  riferimento             In  questo  caso  il  modello  è  stato  volutamente  lasciato  molto  generale  e  con  lo   scopo  di  tratteggiare  quali  sono  gli  scambi  di  base  soprattutto  con  i  Social  Media:   le   interazioni   di   dettaglio   con   la   Intranet   e   con   un   ipotetico   servizio   in   Cloud   Computing   per   la   gestione   della   posta   non   è   stato   approfondito   in   quanto   al   momento  esterno  all’obiettivo  di  progetto.     In  questo  caso  appare  evidente  come  i  rischi  siano  presenti  soprattutto  nel  caso   in  cui  i  Social  Media  vengano  utilizzati  sulla  postazione  di  lavoro  (PC);  tuttavia,   anche  rimuovendo  il  collegamento  diretto  tra  PC  e  Social  Media,  dal  momento   che   la   fruizione   avviene   anche   tramite   device   mobili   (smartphone),   qualora   questi  strumenti  vengano  collegati  alle  postazioni  aziendali  il  rischio  non  viene                                                                                                                   8 http://www.infosecurity-magazine.com/view/29562/91-of-apt-attacks-start-with-a- spearphishing-email/
  • 23.
    Piero Tagliapietra -Security Specialist - Project Work         23   eliminato,   ma   in   alcuni   casi   parzialmente   ridotto   o   addirittura   avviene   un   incremento  (spesso  i  dispositivi  degli  utenti  sono  privi  di  sistemi  di  protezione  e   quindi  più  esposti  ad  attacchi).     Nel  caso  in  cui  si  volesse  anche  rimuovere  il  collegamento  con  l’esterno  (DMZ  o   tramite  una  Dual-­‐Zone  Arch)  questa  soluzione  non  permetterebbe  in  ogni  caso  di   eliminare  i  rischi  dal  momento  che  gli  utenti  continuerebbero  ad  interagire  e  ad   utilizzare   all’esterno   delle   aree   protette   i   Social   Media   e   quindi   la   loro   esposizione  rimarrebbe  costante.     Per   la   modellazione   iniziale   è   stata   scelta   la   metodologia   STRIDE   di   Microsoft   dove   l’acronimo   identifica   sei   macro-­‐categorie   all’interno   delle   quali   possono   essere  posizionate  le  minacce  identificate:     • Spoofing  user  identity  −  si  applica  al  caso  in  cui  un  attaccante  riesce  ad   impersonare  un  altro  utente.   • Tampering   with   data   −   si   riferisce   al   fatto   che   un   attaccante,   con   modifiche  opportune  dei  dati,  riesca  ad  attaccare  un  sistema  con  lo  scopo   di  scalarne  i  diritti.   • Repudiation  −  rappresenta  il  rischio  che  una  transazione  legittimamente   svolta  non  venga  riconosciuta  da  parte  di  uno  degli  attori  coinvolti.   • Information   disclosure   −   si   riferisce   al   fatto   che   un   attaccante   possa   guadagnare   l’accesso   a   dati   che   il   legittimo   proprietario   non   vuole   esporre.   • DoS  Denial  of  Service  −  rendere  indisponibile  una  risorsa  del  sistema.   • Escalation   of   privilege   −   rappresenta   il   rischio   che   un   attaccante   possa   scalare  i  privilegi  di  un  sistema  e  guadagnare  maggiori  crediti     Dato  che  in  questo  caso  l’analisi  è  rimasta  ad  alto  livello,  anche  dal  punto  di  vista   della   modellazione   delle   minacce   e   il   ricorso   alla   metodologia   STRIDE   gli   elementi  identificati  sono  di  carattere  generale    
  • 24.
    Piero Tagliapietra -Security Specialist - Project Work         24       In  generale  la  minaccia  principale  è  legata  allo  Spoofing  user  identity:  i  sistemi  di   autenticazione   deboli   sui   Social   Media   e   le   informazioni   diffuse   sulle   varie   piattaforme  rendono  relativamente  semplice  per  un  attaccante  impersonificare   un’altra  persona.     In   molti   casi,   collegato   alla   user   identity   spoofing   troviamo   l’information   disclosure.  Abbiamo  infatti  situazioni  in  cui  la  diffusione  di  informazioni  private   avviene   in   maniera   inconsapevole   (le   policy   eterogenee   e   la   loro   evoluzione   continua,  la  scarsa  cura  degli  utenti  nell’impostazione  dei  livelli  di  privacy  sono   le  principali  cause),  ma  altre  nelle  quali  l’impersonificazione  di  un  altro  utente   rappresenta  la  soluzione  di  base  per  raccogliere  informazioni  sul  proprio  target.     Ovviamente,  una  volta  ottenute  informazioni  e  il  contatto  con  l’utente  è  possibile   usare   questa   conoscenza   (e   i   privilegi   ottenuti)   per   ridurre   la   disponibilità   di   servizi  o  lanciare  attacchi  avanzati.     A  livello  generale  è  necessario  considerare  anche  la  Repudiation  (collegata  con  la   user   identity   spoofing):   simulando   infatti   l’identità   di   una   persona   è   possibile   fare  in  modo  che  comunicazioni  non  ufficiali  o  non  legittime  vengano  ritenute   vere  o  credibili.        
  • 25.
    Piero Tagliapietra -Security Specialist - Project Work         25   RISK  TREE     Una  volta  definiti  asset,  minacce,  modello  generale  è  necessario  analizzare  i  vari   elementi   per   poter   comprendere   meglio   le   relazioni   esistenti   tra   di   essi   e   a   valutare   quali   possono   essere   le   soluzioni   ottimali   al   fine   di   ridurre   i   rischi   individuati.     A  livello  grafico  sono  stati  differenziati  i  nodi  AND  (segnalati  dalla  doppia  linea)  e   i   nodi   OR   (nessun   segno   grafico)   mentre   non   sono   stati   differenziati   a   livello   grafico  processi,  rami  e  foglie  (dato  che  si  tratta  di  una  overview).     Al  fine  dell’analisi,  dati  gli  obiettivi  di  progetto,  gli  alberi  dei  rischi  qui  disegnati   non  hanno  raggiunto  i  livelli  più  bassi  (con  identificazione  di  contromisure  da   implementare  a  livello  tecnologico),  ma,  come  nei  precedenti  casi,  si  è  mantenuta   un’analisi  di  alto  livello.   Creazione  di  un  Dossier  Digitale           Il   primo   elemento   da   considerare   (soprattutto   a   seguito   di   quanto   emerso   durante  l’analisi  STRIDE)  è  la  costruzione  di  un  dossier  digitale  da  parte  di  un   attaccante   dal   momento   che   può   rappresentare   il   punto   di   partenza   per   la   maggior  parte  degli  attacchi.     In  questo  caso  la  discriminante  principale  è  rappresentata  dalle  impostazioni  di   privacy  da  parte  dell’utente  (generalmente  l’opposizione  è  tra  profilo  aperto  e   chiuso).     A  livello  preliminare  possiamo  notare  immediatamente  che  è  possibile  agire  in   maniera   limitata   e   solamente   su   alcune   delle   cause:   essendo   gli   account   personali  l’azienda  ha  scarso  potere  d’indirizzo  (come  definito  inizialmente  nel   paragrafo  dedicato  ai  temi  legali)  e,  anche  qualora  gli  utenti  agiscano  in  maniera  
  • 26.
    Piero Tagliapietra -Security Specialist - Project Work         26   responsabile  non  possono  modificare  gli  update  e  i  contenuti  postati  e  pubblicati   dai  propri  amici/contatti.     Pubblicazione  di  documenti             La   pubblicazione   di   documenti   riservati   distingue   principalmente   tra   due   atti:   volontari   e   involontari.   In   questo   caso   non   c’è   distinzione   tra   atto   volontario   interno   o   di   un   attaccante:   qualora   infatti   un   dipendente   decida   di   compiere   questo  atto  in  maniera  consapevole  è  da  considerarsi  come  attaccante.     A  livello  generale  questo  tipo  di  albero  è  applicabile  anche  alla  diffusione  dei  dati   o  di  informazioni  sensibili:  nella  fase  di  definizione  delle  minacce  abbiamo  infatti   distinto   per   diverse   di   esse   la   pubblicazione   volontaria   o   involontaria   (accidentale).  Questo  stesso  albero  può  quindi  essere  considerato  valido  anche   per   le   minacce   legate   alla   proprietà   intellettuale,   segreti   industriali   e   più   in   generale  per  le  informazioni  riservate  o  sensibili.      
  • 27.
    Piero Tagliapietra -Security Specialist - Project Work         27   Danni  d’immagine         A  livello  generale  per  quanto  riguarda  i  danni  d’immagine  o  reputazione  non  è   stato   ritenuto   opportuno   distinguere   tra   comportamenti   eseguiti   dal   singolo   tramite   account   personale   o   aziendale:   la   responsabilità   penale   rimane   soggettiva   e   in   ogni   caso   gli   utenti   non   distinguono   tra   account   personali   e   aziendali  (come  citato  inizialmente  la  corporate  image  è  una  somma  di  discorsi   formata  anche  da  quello  che  i  dipendenti  dicono).     A   livello   generale   ritorna   un   elemento   già   incontrato   nei   precedenti   alberi:   l’errata   percezione   (o   configurazione).   In   molti   casi   infatti   molti   dei   comportamenti   che   espongono   a   dei   rischi   sono   legati   principalmente   a   una   scarsa   conoscenza   dei   mezzi   (una   sorta   di   digital   divide)   e   delle   conseguenze   (legal  divide).        
  • 28.
    Piero Tagliapietra -Security Specialist - Project Work         28   Attacco  ai  sistemi  aziendali         L’attacco   a   sistemi   aziendali   (compromissione   della   postazione   del   singolo   ed   eventuale   estensione   alla   rete   aziendale)   rappresenta   l’elemento   più   interessante  e  complesso  soprattutto  se  rapportato  al  modello  generale.     Emergono  chiaramente  come  le  modalità  di  exploit  principali  siano  quelle  driven   by   download   e   in   generale   i   web   exploit   che   possono   essere   impiegati   sulle   diverse  piattaforme.  In  questo  caso  l’attacco  sui  Social  Media  e  sugli  Smartphone   potrebbe   essere   ulteriormente   approfondito   andando   ad   analizzare   le   motivazioni   (soprattutto   cognitive)   che   spingono   un   utente   a   cliccare   su   un   determinato  link  o  a  eseguire  un  determinato  programma.     Da  questo  punto  di  vista  la  relazione  con  altri  utenti,  la  creazione  di  un  dossier   digitale  rappresentano  elementi  chiave  per  la  concretizzazione  di  questo  attacco.   Da  un  punto  di  vista  delle  contromisure  da  adottare  l’attenzione  sui  nodi  AND  è   quella  più  promettente  anche  se  può  risultare  complesso  (soprattutto  per  quanto   riguarda   gli   smartphone   e   il   divieto   di   attaccarli,   anche   solo   per   ricaricarli,   ai   computer  aziendali)      
  • 29.
    Piero Tagliapietra -Security Specialist - Project Work         29   Interconnessione  dei  rischi         Ovviamente  l’aspetto  più  interessante  è  rappresentato  dai  rapporti  che  collega  i   vari  alberi  sino  a  qui  delineati.  Vediamo  che  in  molti  casi  è  possibile  identificare   degli   elementi   di   base,   ma   che   alcune   delle   sorgenti   non   sono   strettamente   collegate   e   che   soprattutto   riguardano   il   comportamento   dell’utente   nella   sua   sfera  privata.     Appare   quindi   evidente   come   solo   in   alcuni   casi   sia   possibile   andare   ad   agire   utilizzando  anche  soluzioni  software  ed  hardware,  ma  che  nella  maggior  parte   dei   casi,   per   ridurre   i   rischi   sia   necessario   educare   le   persone   e   renderle   consapevoli  delle  minacce  e  dei  rischi.      
  • 30.
    Piero Tagliapietra -Security Specialist - Project Work         30   DREAD     In   modo   da   ordinare   le   minacce   in   ordine   di   priorità   è   stato   scelta   come   metodologia   la   DREAD   Analysis   con   la   classificazione   standard.   Nonostante   la   metodologia   DREAD   sia   in   parte   deprecata   per   l’eccessiva   soggettività   delle   valutazioni   (che   tendono   ad   essere   particolarmente   elevate   qualora   l’analisi   venga   fatta   da   un   esperto   di   sicurezza   e   particolarmente   bassa   se   svolta   da   persone   che   conoscono   poco   la   materia)   in   questo   caso   rappresenta   uno   strumento   ideale   per   definire   le   priorità   e   quali   sono   le   minacce   sulle   quali   è   fondamentale  agire.     Anche   se   il   Microsoft   Security   Response   Center   (MSRC)   ha   optato   per   una   revisione  delle  tipologie  di  impatto  (dismettendo  la  scala  a  tre  valori  in  favore  di   una  a  quattro  con  critical  –  important  –  moderate  –  low)  in  questo  caso,  in  modo   da   facilitare   la   prioritizzazione   si   è   scelto   di   usare   la   scala   tradizionale   attribuendo  diversi  punteggi  (high  6  –  medium  3  –  low  1)  e  di  usare  la  scala  a   quattro  per  la  classificazione  finale  (rating)     Questa  scelta  è  legata  alle  modalità  di  valutazione  normalmente  eseguite  dagli   utenti:  qualora  venga  data  una  scala  con  un  numero  elevato  di  valori  si  possono   osservare   alcuni   comportamenti   standard:   da   un   lato   la   polarizzazione   (verso   l’alto   o   il   basso)   qualora   il   numero   di   soggetti   sia   basso,   dall’altro,   qualora   il   numero   di   soggetti   sia   più   ampio,   si   osserva   un   appiattimento   sui   valori   intermedi  rendendo  quindi  più  complesso  l’attività  di  prioritizzazione.       Utilizzando   una   scala   composta   da   tre   valori   e   con   punteggi   diversi   (non   trasparenti   agli   utenti)   diminuisce   la   possibilità   di   un   appiattimento   anche   qualora  l’analisi  venga  svolta  da  più  soggetti:  diventa  quindi  un  modo  per  ridurre   la  soggettività  dell’analisi  e  arrivare  anche  a  valutazioni  condivise.         Rating   High  (6)   Medium  (3)   Low  (1)   D   Damage   potential   L’attaccante   è   in   grado   di   modificare   il   sistema   di   sicurezza;   ottiene   tutte   le   autorizzazioni;   agisce   come   amministratore   di   sistema;   carica   contenuti;     Diffusione   di   informazioni   confidenziali   Diffusione   di   informazioni   di   basso  livello   R   Reproducibility   L’attacco   può   essere   eseguito   in   qualunque   momento   senza   una   L’attacco   può   essere   replicato   ma  solo  qualora  si   verifichino   L’attacco   è   molto   difficile   da   riprodurre,   anche  
  • 31.
    Piero Tagliapietra -Security Specialist - Project Work         31   preparazione   specifica   o   che   si   verifichino   condizioni   particolari   determinate   condizioni   conoscendo   eventuali  falle  del   sistema   di   sicurezza   E   Exploitability   Un   programmatore   con   competenze   di   base   sarebbe   in   grado   di   effettuare   l’attacco.   Un   programmatore   competente   sarebbe   in   grado   di   effettuare   l’attacco   e   ripeterlo   L’attacco  sarebbe   possibile   solo   da   parte   di   persone   con   competenze   estremamente   elevate   A   Affected  users   Tutti   gli   utenti   con   configurazione   di   base   Alcuni   utenti   con   una   configurazione   personalizzata   Una   minima   parte  degli  utenti   D   Discoverability   Sono   disponibili   pubblicamente   informazioni   sull’attacco.   Le   vulnerabilità   sono   presenti   negli   strumenti   usati   quotidianamaente     ed  è  verificabile     La   vulnerabilità   è   collegata   solamente   a   una   feture   poco   usata   dagli   utenti.   Sono   necessarie   alcune   riflessioni   per   capire   come   sfruttare   tali   vulnerabilità   Il   baco   di   sicurezza   è   sconosciuto   ed   è   improbabile   che   un   utente   scopra   in   che   modo   sfruttarlo        
  • 32.
    Piero Tagliapietra -Security Specialist - Project Work         32   Tenendo  presente  quanto  definito  in  precedenza  andiamo  ora  ad  attribuire  un   punteggio  alle  varie  minacce.         Minaccia   D   R   E   A   D   Totale   Rating   Informazioni   personali   Creazione   di   un   dossier  digitale   6   6   6   3   6   27   Critical   Raccolta   di   dati   secondari   6   3   3   6   6   24   Important   Cattiva   configurazione   privacy   6   3   6   3   6   24   Important   Diffusione   informazioni  da  terzi   1   3   6   6   3   19     Inferenze   predittive   sui  dati  sensibili   6   1   1   3   3   14   Moderate   Riconciliation  Account   3   6   6   6   6   27   Critical   Furto  d’identità   6   1   3   1   3   14     Finanziari   Frodi   6   1   2   3   1   13   Moderate   Perdita  di  produttività   1   1   1   3   1   7   Low   Proprietà   intellettuale   Pubblicazione   accidentale   di   documenti   1   3   1   1   1   7   Low   Pubblicazione   volontaria   di   documenti   6   1   6   1   3   17   Important   Pubblicazione   volontaria  di  immagini   1   3   6   3   3   16     Pubblicazione   accidentale  di  SI   6   6   6   3   3   24     Pubblicazione   volontaria  di  SI   6   1   3   1   1   12     Diffusione  involontaria   di  informazioni   1   1   3   1   6   12   Moderate   Infrastrutture   Diffusione  di  malware   6   1   6   1   3   17   Important   Immagine   Campagna   mirata   per   il   danneggiamento   della  reputazione   3   3   3   3   3   15   Moderate   Campagna   automatizzata   per   il   danneggiamento   della   reputazione   6   1   6   1   3   17   Important   Ricatto   6   1   6   1   1   15   Moderate   Repudiation   3   1   3   1   3   11   Low   Legali   Violazione   di   leggi   o   regolamenti   6   1   6   1   1   15       Tipologia Frequenza Impatto Rischio Diffusione  Malware   Probabile Alto Inaccettabile Spam,  Phishing  e  Frodi   Probabile Moderato Grave Social   Engineering   e   Spear   Possibile Catastrofico Inaccettabile
  • 33.
    Piero Tagliapietra -Security Specialist - Project Work         33   Phishing   Diffusione   o   furto   di   dati   sensibili  o  d’identità   Probabile Alto Inaccettabile Diffusione   di   informazioni   riservate  o  false   Possibile Alto Grave Danni   d’immagine   o   di   reputazione   Probabile Alto Inaccettabile OSINT   Certo Alto Inaccettabile Diffamazione,   Ingiuria,   Stalking   Raro Moderato Accettabile Hacktivism   e   cracking   dei   profili  ufficiali   Improbabile Moderato Grave Violazione   dei   reati   presupposto   Possibile Alto Grave Violazione   dell’art.   4   l.   300/70   Possibile Alto Grave Diminuzione   della   produttività  dei  dipendenti   Probabile Basso Accettabile   Andiamo   ora   ad   ordinare   le   varie   minacce   in   modo   da   definire   all’interno   dei   sistemi  di  mitigazione  quali  saranno  le  contromisure  principali.     • Creazione  di  un  dossier  digitale  –  27  –  critical   • Identificazione  di  tutti  gli  account  dell’utente  –  27  –  critical   • Raccolta  dati  secondari  –  24  –  important   • Esposizione  su  Social  Media  per  cattiva  configurazione  –  24  –  important   • Pubblicazione  volontaria  dei  documenti  –  17  –  important   • Diffusione  di  Malware  –  17  –  important   • Campagne  automatizzate  per  il  danneggiamento  della  reputazione  –  17  –   important   • Campagna   mirata   per   il   danneggiamento   della   reputazione   –   15   -­‐   moderate   • Ricatto    -­‐  15  –  moderate   • Inferenze  sui  dati  sensibili  –  14  –  moderate   • Frodi  –  13  –  moderate   • Diffusione  involontaria  di  informazioni  –  12  –  moderate   • Repudiation  –  11  –  low   • Perdita  di  produttività  –  7  –  low   • Pubblicazione  accidentale  di  documenti  –  7  –low   • Analisi  non  solo  esterna  ma  anche  interna  sui  processi  e  sull’uso  dei  Social   Media  
  • 34.
    Piero Tagliapietra -Security Specialist - Project Work         34   Mitigazione     I   Social   Media,   in   base   a   quanto   analizzato   in   precedenza,   rappresentano   un‘importante   fonte   di   rischio   per   le   aziende   e,   collegati   ad   essi,   abbiamo   individuato   alcuni   rischi,   minacce   e   vulnerabilità.   In   questo   caso   l’analisi   condotta  è  legata  principalmente  a  un  uso  passivo  di  questi  strumenti,  ma  non   bisogna   dimenticare   che   sempre   più   le   aziende   usano   questi   strumenti   per   condurre  le  proprie  attività  (Social  Business).     A  livello  generale  dobbiamo  infatti  rilevare  che  parlare  di  Social  Media  impatta   sempre   più   l’organizzazione   nel   suo   insieme   e   diventa   sempre   più   complesso   delineare   chiaramente   un   singolo   uso   o   una   dimensione   specifica   nell’uso   dei   Social  Media.  Possiamo  infatti  distinguere  quattro  vettori  di  comunicazione  che   possono  essere  sviluppati  da  un’azienda  attraverso  queste  piattaforme:   • Interno   –   interno:   strumenti   di   collaborazione   tra   i   dipendenti   (ad   esempio  i  Social    Network  Aziendali)   • Interno   –   Esterno:   comunicazione   con   l’esterno   per   dare   visibilità   alle   iniziative  ad  ai  progetti  (principalmente  Personal  Branding,  Marketing  e   Comunicazione)   • Esterno  –  Interno:  raccolta  di  informazioni  sui  prodotti,  sui  servizi  e  sul   brand  (attività  di  intelligence  e  monitoraggio)   • Esterno  –  Esterno:  discussioni  tra  gli  utenti  che  avvengono  al  di  fuori  dei   presidi  aziendali  (monitoraggio)     Viste   le   premesse   (e   che,   a   livello   generale,   un   incidente   è   una   questione   di   tempo)   è   critico   implementare   alcune   soluzioni   che   permettano   di   ridurre   i   rischi  mitigando  le  vulnerabilità.  Risulta  fondamentale,  da  questo  punto  di  vista,   adottare  un  approccio  integrato  ed  armonizzato  che  coinvolga  varie  funzioni.     I   vari   ambiti   aziendali   devono   necessariamente   coinvolti   dal   momento   che   i   rischi   trovati   non   riguardano   esclusivamente   un   ambito   singolo,   ma   principalmente   l’ambito   legale   (e   di   compliance),   operativi   e   reputazionali.   I   quindi   i   Social   media   non   sono   un   problema   solamente   IT   e   di   pertinenza   esclusiva  dell’area  comunicazione  e  marketing.     Per   riuscire   quindi   a   prevenire,   mitigare   e   rispondere   in   maniera   efficace   è   fondamentale  una  collaborazione  tra  Marketing,  IT,  Legal,  HR  e  IT  in  modo  da   valutare  in  maniera  completa  e  integrata  le  attività.     La   multidisciplinarietà   del   team   è   fondamentale   poiché   quello   che   abbiamo   delineato  è  uno  scenario  ibrido  che  riguarda  sia  le  pratiche  interne  dell’azienda   (principalmente  uso  attivo  dei  Social  Media)  sia  le  pratiche  esterne  (attività  del   singolo  al  di  fuori  degli  spazi  aziendali):  diventa  quindi  fondamentale  integrare   strumenti  tecnologici,  formazione,  policy  e  guidelines.    
  • 35.
    Piero Tagliapietra -Security Specialist - Project Work         35   Formazione     Dato   che   uno   dei   problemi   rilevanti   nell’analisi   è   legato   alla   scarsa   consapevolezza   da   parte   degli   utenti   dei   rischi   e   del   funzionamento   dei   Social   Media  è  opportuno  predisporre  delle  sessioni  di  formazione.     A  seconda  del  livello  e  del  ruolo  è  importante  sottolineare  quali  sono  gli  aspetti   da   tenere   in   considerazione   e   quali   possono   essere   i   rischi   principali.   I   due   elementi  principali  da  illustrare  sono  collegati  agli  aspetti  normativi  /legali  e  al   funzionamento/minacce.     Qualora   in   azienda   venga   fatto   un   uso   attivo   dei   Social   Media   è   fondamentale   predisporre   una   sorta   di   certificazione   interna   in   modo   da   essere   sicuri   le   persone   che   gestiscono   la   presenza   dell’azienda   abbiano   ben   chiari   i   limiti   e   i   rischi  delle  piattaforme  che  utilizzano.     Un  ulteriore  elemento,  più  semplice  da  implementare  all’interno  dell’azienda,  è   una   raccolta   di   domande   frequenti   che   illustrino   funzionamento,   tematiche   principali  e  rischi  connessi  con  i  Social  Media.         Sia   nelle   attività   di   formazione   che   nelle   FAQ   dovranno   essere   illustrate   con   precisione   i   rischi   legati   alla   diffusione   di   informazioni   personali   spiegando   come,   un   attaccante,   potrebbe   usare   anche   informazioni   apparentemente   innocue    per  compiere  altre  tipologie  di  attacchi.     A  livello  di  formazione  è  possibile  anche  misurare  in  parte  i  risultati  conseguiti   dall’attività  valutando  il  numero  di  utenti  che  partecipano  alle  sessioni  (qualora   siano  facoltative),  il  tasso  di  successo  (o  la  media)  all’interno  della  certificazione   interna  sull’uso  dei  Social  Media,  il  numero  di  views  (rapportate  agli  utenti  unici   e  di  ritorno)  della  pagina  delle  FAQ.     Policy     Uno  dei  principali  strumenti  per  la  mitigazione  dei  rischi  è  rappresentato  dalle   Policy.   Questa   è   l’unico   strumento   para-­‐giuridico   che   permette   al   datore   di   lavoro   di   disciplinare   le   attività   aziendali   e   indirizzare   le   azioni   svolte   con   strumenti  di  lavoro.     Diversamente  dalle  linee  guida  le  policy  hanno  alcune  caratteristiche  specifiche.   Si  tratta  infatti  di  un  documento  che  deve  essere:   • Specifico   • Chiuso   • Prescrittivo   • Non  Interpretabile     Oltre   a   questi   punti   nella   policy   devono   essere   definite   delle   sanzioni   e,   soprattutto  deve  essere  previsto  un  controllo  che  le  misure  definite  nelle  policy   vengano  realmente  rispettate.    
  • 36.
    Piero Tagliapietra -Security Specialist - Project Work         36     L’aspetto   di   controllo   è   quello   più   delicato   da   gestire:   all’interno   dei   paragrafi   introduttivi  (aspetti  legali)  il  tema  del  controllo  a  distanza  del  lavoratore  (art.  4  l.   300/70)  emerge  con  forza  per  quanto  riguarda  il  monitoraggio.    Tuttavia  senza   monitoraggio   si   corre   il   rischio   di   svuotare   la   policy   di   significato   e   di   venire   meno  ad  alcune  delle  prescrizione  del  dlgs  231/01  (funzione  di  controllo).     A  seconda  poi  della  realtà  aziendale  dovranno  poi  essere  sviluppate  delle  policy   specifiche:   all’interno   di   questa   analisi   abbiamo   definito   un   caso   generico,   ma   questo  documento  deve  essere  calato  sulla  singola  realtà  aziendale.  A  seconda   infatti  dell’azienda  cambiano  il  contesto,  gli  asset  e  i  rischi.     Oltre  alla  Social  Media  Policy  dovranno  essere  presenti  all’interno  dell’azienda   anche  altri  documenti  che  regolamentino  altre  aspetti  (ad  esempio  mail  policy,   policy  documentale,  password  policy)  e  che  i  vari  documenti  siano  collegati  tra   loro  con  diversi  rimandi.     Elementi  cardine     A   livello   generale   è   possibile   individuare   i   seguenti   elementi   che   dovranno   essere  presenti  in  ogni  policy  che  voglia  regolamentare  l’uso  dei  Social  Media  in   azienda:     • Semplicità:   dato   che   tutti   i   dipendenti   utilizzano   questi   strumenti   è   necessario  redigere  un  documento  che  venga  letto  e  compreso  da  tutti  e   che  illustri  nell’introduzione  lo  scopo  di  adozione  della  policy  e  i  rischi  per   i   dipendenti   e   per   l’azienda.   Nell’introduzione   può   esserci   spazio   anche   per   spiegare   ai   dipendenti   il   fatto   che   anche   informazioni   apparentemente  innocenti  o  banali  possono  essere  usati  da  un  terzi  per   sviluppare   attacchi   informatici   più   pericolosi   (sia   per   il   singolo   che   per   l’azienda).   • Disciplina  sull’uso  dei  Social  Media  sui  computer  aziendali:  a  seconda   dell’azienda   specifica   dovrà   essere   definito   se   i   dipendenti   possono   o   meno  utilizzare  i  Social  Media  sulle  postazioni  di  lavoro.  È  fondamentale   illustrare   rapidamente   quali   sono   i   rischi   principali   e   le   minacce   che   possono  derivare  dall’uso  dei  Social  Media  (con  alcune  case  history  per   dare  maggior  forza  alla  narrazione)   • Disciplina  sull’uso  e  collegamento  dei  device  personali  ai  computer   aziendali:   dal   momento   che   le   persone   utilizzano   i   Social   Media   soprattutto   dai   propri   device   mobili   è   importante   considerare   questo   aspetto   durante   la   redazione   della   policy.   Qualora   infatti   si   decida   di   impedire  completamente  l’accesso  dalla  postazione  personale  è  possibile   che  gli  utenti  accedano  attraverso  i  propri  device.  Questi  strumenti,  come   sottolineato   in   precedenza,   sono   maggiormente   esposti   e   per   questo   è   necessario   definire   con   chiarezza   se   tali   strumenti   possono   essere   collegati  alle  postazioni  e  alla  rete  aziendale.   • Trade  off  tra  esigenze  personali  e  lavorative:  dato  che  l’uso  dei  Social   Media   rappresenta   un   elemento   della   quotidianità   di   molti   utenti,  
  • 37.
    Piero Tagliapietra -Security Specialist - Project Work         37   impedirne  completamente  l’uso  per  incentivare  la  produttività  potrebbe   essere   controproducente   (verrebbero   utilizzati   device   personali   o   gli   utenti   investirebbero   le   loro   energie   o   il   loro   tempo   per   tentare   di   superare  le  contromisure  adottate  dall’azienda).   • Integrazione  con  altre  policy  e  codici  interni:  è  necessario  specificare   che  qualora  i  dipendenti  non  tengano  separate  attività  personali  da  quelle   professionali   possono   applicarsi   ai   loro   account   le   policy   già   vigenti   in   azienda.   Qualora   infatti   il   dipendente   entri   in   relazione   con   colleghi,   dirigenti,  fornitori,  clienti  devono  essere  rispettate  le  disposizioni  già  in   essere  (ad  esempio  il  Codice  Eitco  aziendale).  Un  ulteriore  elemento  da   sottolineare   (qualora   non   sia   presente   una   mail   policy)   è   il   fatto   che   la   mail   aziendale   non   può   e   non   deve   essere   utilizzata   per   registrarsi   su   piattaforme   di   Social   Networking   e   in   generale   ai   Social   Media   e   che   devono   essere   usate   anche   password   diverse   da   quelle   in   uso   per   il   proprio  account  aziendale.   • Disclaimer:   anche  se  privi  di  valore  legale  è  necessario  predisporre  dei   disclaimer  che  i  dipendenti  devono  utilizzare  qualora  abbiano  dei  blog  o   commentino  servizi  o  prodotti  dell’azienda  (in  modo  da  evitare  accuse  di   astroturfing).   Oltre   alla   tutela   per   pubblicità   ingannevole,   l’uso   del   disclaimer  svolge  anche  una  funzione  di  awareness  dal  momento  che  il   solo   fatto   di   utilizzarlo   costringe   gli   utenti   a   prendere   consapevolezza   delle  proprie  responsabilità.   • Condivisione   di   informazioni   lavorative   e   di   documenti:   salvo   casi   specifici   (qualora   ad   esempio   vengano   sviluppate   attività   di   comunicazione   sui   Social   Media)   deve   essere   ribadito   che   materiali,   progetti  e  documenti  non  devono  essere  pubblicati,  condivisi  o  scambiati   attraverso   piattaforme   terze.   Uno   degli   elementi   fondamentali   da   associare   a   questo   punto   è   una   corretta   policy   documentale:   in   questo   modo  gli  utenti  possono  comprendere  un  maniera  immediata  gli  usi  che   possono  essere  fatti    di  determinate  informazioni.  Deve  comunque  essere   ribadito  il  fatto  che  le  informazioni  riservate  non  possono  e  non  devono   essere  condivise  sui  Social  Media:  diventa  quindi  importante  ribadire  un   concetto  fondamentale,  ovvero  che  all’interno  dei  Social  Media  la  privacy   è   un   concetto   quasi   del   tutto   assente   e   che   quello   che   viene   condiviso   deve  ritenersi  sempre  diffuso  e  pubblico.   • Riferimento  a  sistemi  di  monitoraggio  attivi:  onde  evitare  la  violazione   dello  statuto  dei  lavoratori  è  necessario  informare  i  dipendenti  qualora  si   usino   strumenti   di   monitoraggio.   Il   monitoraggio   non   deve   essere   fatto   sui  singoli  utenti,  ma  sul  brand  e  su  keyword  generiche  e  non  deve  essere   legato  a  comunicazioni  private.  Possono  essere  monitorate  e  controllate   le  discussioni  e  gli  update  diffusi  pubblicamente  e  indicizzati  dai  motori  di   ricerca.   • Uso  dei  loghi  e  del  nome  dell’azienda:  in  modo  da  limitare  i  danni  di   reputazione   e   d’immagine   dell’azienda   è   fondamentale   definire   in   quali   casi  può  essere  usato  il  logo  o  il  nome  dell’azienda  e  quali  possono  essere   le  eccezioni.  Vietare  completamente  l’uso  del  nome  o  del  logo  può  infatti   porre  al  riparo  da  alcuni  rischi  ma  ridurre  le  opportunità  aziendali  dato   che  avverrebbe  un  azzeramento  delle  attività  e  delle  iniziative  di  personal  
  • 38.
    Piero Tagliapietra -Security Specialist - Project Work         38   branding  verso  l’esterno  e  di  conseguenza  dell’attrattività  e  della  visibilità   dell’azienda.   • Segnalazione   di   elementi   sospetti:   qualora   si   ricevano   richieste   particolari     sul   proprio   lavoro   da   parte   di   contatti     sui   Social   Media   è   obbligatorio  segnalare  ogni  elemento  al  reparto  IT  o  Sicurezza  in  modo  da   verificare  che  non  si  tratti  di  tentativi  di  Social  Engineering.       Qualora   l’uso   dei   Social   Media   sia   passivo   da   parte   dell’azienda   è   possibile   redigere   una   sola   policy   mentre   qualora   questi   strumenti   vengano   utilizzati   anche   in   maniera   attiva   per     progetti   di   comunicazione,   marketing   e   da   altre   funzioni  è  necessario  predisporre  varie  policy  e  nel  dettaglio  si  parla  di:   • Program  policy   • Program  framework  policy   • Issue  specific  policy   • System  specific  policy     L’uso   dei   Social   Media   come   canali   attivi   richiede   una   maggior   cura   e   un’attenzione     superiore:   se   consideriamo   ad   esempio   l’uso   della   mail   per   l’utilizzo  di  tali  piattaforme  è  necessario  valutare  l’uso  della  mail  aziendale  per  la   creazione   degli   account.   Nella   maggior   parte   dei   casi   infatti   i   TOS   delle   piattaforme  prevedono  che  gli  account  e  i  follower  siano  legati  all’email:  qualora   il  dipendente  usi  la  propria  mail  personale  per  registrare  l’account  è  possibile   che  in  caso  di  cessazione  del  rapporto,  egli  non  sia  tenuto  a  restituire  l’account   aziendale.     Qualora   l’azienda   sia   presente   attivamente   sui   Social   Media   all’interno   della   policy  è  necessario  stilare  un  elenco  dei  presidi  attivi,  degli  utenti    che  gestiscono   tali  entità  e  delle  regole  di  pubblicazione  per  tutti  i  dipendenti.     Guidelines     Unito  alle  policy  le  linee  guida  rappresentano  un  ulteriore  elemento  necessario   da  sviluppare  all’interno  dell’azienda.  Dal  momento  che  sugli  account  personali   non   è   possibile   applicare   le   policy   (in   quanto   non   sono   strumenti   aziendali)   definire   quali   possono   essere   gli   usi,   i   rischi   e   le   conseguenze   di   un   cattiva   gestione  dei  propri  account  personali  è  fondamentale.     Diversamente   dalle   policy   infatti   le   guidelines   sono   generiche,   hanno   un   certo   margine  d’interpretazione,  non  prevedono  strumenti  di  controllo  e  monitoraggio   e   non   prevedono   sanzioni.   Rappresentano   quindi   dei   consigli   e   degli   esempi   virtuosi  ai  quali  i  dipendenti  dovrebbero  attenersi  (o  astenersi  nel  caso  di  esempi   negativi).     Questa  attività  rientra  nelle  attività  di  awareness,  un  elemento  importantissimo   dal  momento  che  nell’analisi  precedentemente  svolta,  la  scarsa  consapevolezza   degli   utenti   dei   rischi   era   uno   delle   minacce   principali.   È   possibile   sviluppare   diversi  documenti  di  questo  tipo  ma  principalmente  possiamo  distinguere  tra  
  • 39.
    Piero Tagliapietra -Security Specialist - Project Work         39   • Linee  guida  generali:  contenente  la  carta  dei  diritti  sui  Social  Media  dei   dipendenti,  le  best  practice,  i  rischi  e  comportamenti  da  evitare   • Linee  guida  specifiche:  a  seconda  delle  singole  piattaforme  da  considerare   è   possibile   predisporre   delle   linee   guida   specifiche   per   aiutare   i   dipendenti  nella  gestione  dei  propri  account  sui  Social  Media.     Elementi  cardine     A   livello   generale   è   possibile   individuare   i   seguenti   elementi   che   dovranno   preferibilmente  essere  presenti  nelle  linee  guida  aziendali  legati  ai  social  media:     Area  generale  e  legale   • I   diritti   dei   dipendenti   sui   Social   Media:   per   prevenire   critiche   e   risentimento   da   parte   dei   dipendenti   è   opportuno   stilare   una   carta   che   illustri  quali  sono  i  diritti  dei  dipendenti  e  il  valore  che  l’azienda  riconosce   ai  Social  Media   • Normative  di  riferimento:  dal  momento  che  in  molti  casi  il  legal  divide  è   alla  base  di  comportamenti  potenzialmente  pericolosi,  è  opportuni  fornire   ai  dipendenti  un  inquadramento  generale     • Diffamazione   e   ingiuria:  poiché  si  tratta  dei  due  reati  che  negli  ultimi   anni   stanno   avendo   la   maggior   diffusione   (soprattutto   perché   gli   utenti   considerano  i  Social  Media  come  privati  e  non  pubblici)  è  fondamentale   illustrare  brevemente  gli  articoli  594  c.p.  e  595  c.p     Principi  di  sicurezza   • Usare  una  password  diversa  per  ognuno  dei  propri  account     • Usare  password  complesse   • Utilizzare  passphrase  e  non  password   • Prestare   attenzione   ai   messaggi   anche   se   provenienti   da   amici   e   contatti:  dato  che  uno  degli  elementi  identificati  riguarda  l’Id  Spoofing  è   necessario   fare   in   modo   che   gli   utenti   prestino   attenzione   ad   eventuali   richieste  di  contatto  da  parte  di  utenti  che  non  conoscono  direttamente.       Privacy   • Impostare  correttamente  i  livelli  di  riservatezza  sulla  piattaforma   • Ridurre  il  numero  di  informazioni  disponibili  a  tutti   • Fare  attenzione  alle  persone  con  le  quali  si  entra  in  contatto   • Non  fare  affidamento  sull’anonimato  o  al  nickname:    in  alcuni  casi  gli   utenti   si   sentono   protetti   dal     fatto   di   utilizzare   pseudonimi,   ma   è   necessario  illustrate  come  sia  relativamente  semplice  identificare  l’utente   che   si   nasconde   dietro   un   nome   finto   (ad   esempio   attraverso   la   riconciliazione  tra  diversi  account)   • Prestare  attenzione  alla  geolocalizzazione   • Prestare  attenzione  al  collegamento  tra  i  vari  account:  in  diversi  casi   gli  utenti,  per  gestire  al  meglio  la  loro  presenza,  collegano  i  propri  account   sui   Social   Media.   Tuttavia   in   alcuni   casi   è   possibile   che   le   piattaforme  
  • 40.
    Piero Tagliapietra -Security Specialist - Project Work         40   abbiano   impostazioni   di   privacy   diverse   e   che   quindi   gli   utenti   condividano  in  maniera  inconsapevole  alcune  informazioni  pur  essendo   convinti  di  aver  configurato  correttamente  le  impostazioni  di  sicurezza.   • Prestare  attenzione  ai  tool  di  automazione   • Verificare   regolarmente   la   propria   esposizione   tramite   egosurfing:   in  modo  da  controllare  che  non  siano  avvenuti  furti  d’identità  è  possibile   consigliare  agli  utenti  di  usare  i  motori  di  ricerca  (o  alcune  piattaforme   selezionate)  per  fare  analisi  sul  proprio  nome,  cognome  e  nickname.  Oltre   a  prevenire  eventuali  furti  d’identità  può  essere  un  sistema  per  rendere   consapevoli  gli  utenti  del  numero  di  informazioni  che  condividono  online.     Strumenti  tecnologici     Dal  momento  che  l’analisi  condotta  è  ad  alto  livello  e  non  è  calata  su  una  realtà   specifica,  le  contromisure  tecnologiche  verranno  tratteggiate     Piattaforme  di  monitoraggio   In   modo   da   evitare   danni   di   reputazione   o   d’immagine   è   fondamentale   che   l’azienda   attivi   dei   sistemi   di   analisi   dei   contenuti   diffusi   online.   A   livello   generale  è  opportuno  impostare  come  chiavi  di  ricerca  il  nome  dell’azienda  o  del   brand,  nomi  di  progetti  o  documenti  particolarmente  sensibili,  i  nomi  delle  figure   apicali.       In  questo  caso  ovviamente  non  si  elimina  il  rischio,  ma  attraverso  un  sistema  di   alert,   l’intervento   tempestivo   (nelle   prime   ore   dall’eventuale   inizio   della   crisi)   permette   di   evitare   l’escalation   e   di   contenere   il   focolaio   o   di   predisporre   contromisure  per  limitare  i  danni.     L’uso  di  queste  piattaforme  consente  anche  di  rispondere  a  quanto  definito  dal   dlgs  231/01     Piattaforme  di  gestione  dei  Social  Media   Qualora   l’azienda   decida   di   usare   attivamente   i   Social   Media   è   necessario   prevedere  l’adozione  di  uno  strumento  di  gestione.  In  questo  modo  risulta  infatti   più  facile  organizzare  le  attività,  verificare  le  responsabilità  misurare  i  risultati   conseguiti  attraverso  tali  attività.     IDS  e  DLP   È   necessario   prestare   attenzione   non   solamente   a   ciò   che   cerca   di   entrare   all’interno  della  rete  aziendale,  ma  dato  che    nell’analisi  è  emerso  come  rischio  la   diffusione   di   informazioni   e   documenti   aziendali   è   necessario   indirizzare   lo   sguardo  anche  su  quello  che  potrebbe  essere  portato  all’esterno.  Ovviamente  per   implementare   questa   soluzione   è   necessario   prevedere   un   sistema   di   gestione   degli  accessi  e  dei  permessi.    
  • 41.
    Piero Tagliapietra -Security Specialist - Project Work         41   Backup  e  data  retention   In  modo  da  prevenire  la  perdita  dei  dati  a  seguito  della  compromissione  della   postazione   o   della   rete   aziendale   è   opportuno   prevedere   anche   un   sistema   di   backup  e  di  conservazione  dei  dati.  Questo  non  dovrà  dipendere  dall’utente  ma   essere  automatizzato  in  modo  da  garantire  che  il  salvataggio  dei  dati  avvenga  in   maniera  corretta.     Monitoraggio  del  traffico   Soluzioni   che   impediscano   la   navigazione   verso   determinati   siti   può   rappresentare   una   soluzione   ottimale   per   ridurre   l’esposizione   all’interno   dell’azienda   (efficace   soprattutto   per   ridurre   i   rischi   legati   al   phishing   e   allo   spear  phishing).  A  seconda  dell’attività  sui  Social  Media  è  possibile  optare  per   una  soluzione  in  whitelistin  o  in  blacklisting  (tenendo  presente  i  vincoli  delle  due   soluzioni  e  le  necessità  operative  aziendali)     Aggiornamenti  automatici     Una   delle   cause   individuate   che   poteva   condurre   a   una   compromissione   della   postazione   dell’utente   era   la   combinazione   tra   minaccia   nota   e   software   non   aggiornati.   Da   questo   punto   di   vista,   l’obbligatorietà   degli   aggiornamenti   o   la   centralizzazione  di  questo  processo  sarebbe  funzionale.        
  • 42.
    Piero Tagliapietra -Security Specialist - Project Work         42   Bibliografia     Berlingieri   Elvira,   “Evitare   i   rischi   legali   dei   Social   Media”,   Apogeo,   2012   (Kinde   edition)   Cialdini  Robert,  “Le  Armi  della  persuasione”,    Giunti,  2010  (kindle  edition)   Gruppo  di  sviluppo  M5,  “Sicurezza  Informatica”,  Mc  Graw  Hill,  2003   Mitnik  Kevin,  “L’arte  dell’inganno”,  Feltrinelli,  2003   Volli  Ugo,  “Semiotica  della  pubblicità”,  Laterza  2005   Weinshenk   M.   Susan,   “Neuro   we   bdesign.   L’inconscio   ci   guida   nel   web”,   Apogeo,   2010