Cyber security risks in the social world

1. +
CYBER SECURITY RISKS IN
THE SOCIAL WORLD
Massimo Chirivì
Membro del CD di AIPSI, Capitolo Italiano ISSA
CEO Innovamind srls

2. Condividere è un dovere etico… La condivisione è conoscenza.
About me:
➢ CEO & Founder Innovamind srls
➢ 20 anni di esperienza nel settore
➢ Ethical Hacker
➢ Membro del CD di AIPSI (Associazione Italiana Professionisti della Sicurezza Informatica)
➢ Membro dell’americana ISSA (Information Systems Security Association)
➢ Membro Federprivacy
➢ Membro ICTTF International Cyber Threat Task Force
➢ Socio AICA
➢ Microsoft Certified It Professional
➢ Relatore in seminari e tavole rotonde su tematiche di sicurezza ICT
➢ Docente esterno in vari istituti scolastici
➢ Esperto e coordinatore di progetti ICT nella PA
➢ CTP
➢ Consulente e responsabile ICT in PMI e PA
Massimo Chirivì - info@massimochirivi.net ------ Twitter: @massimochirivi ------ Faceboook: @massimochirivi ------ www.massimochirivi.net

3. AIPSI - www.aipsi.org
(www.aipsi.org)
• AIPSI, Associazione Italiana Professionisti Sicurezza
Informatica, capitolo Italiano di ISSA, Information Systems Security
Association, (www.issa.org) che conta >>10.000 Soci, la più grande
associazione non-profit di professionisti della Sicurezza ICT nel mondo
• AIPSI è il punto di aggregazione sul territorio e di trasferimento di know-
how per i professionisti della sicurezza digitale, sia dipendenti sia liberi
professionisti ed imprenditori del settore
• Sede Centrale: Milano
• Sedi territoriali : Ancona-Macerata, Lecce, Torino, Verona-Venezia
• Contatti: aipsi@aipsi.org, segreteria@aipsi.org
3

4. Primari obiettivi AIPSI
• Aiutare i propri Soci nella crescita professionale e quindi nella crescita del
loro business
• offrire ai propri Soci servizi qualificati per tale crescita, che includono
• Convegni, workshop, webinar sia a livello nazionale che internazionale
via ISSA
• Rapporti annuali e specifici OAD, Osservatorio attacchi Digitali in Italia
• Supporto nell’intero ciclo di vita professionale
• Formazione specializzata e supporto alle certificazioni, in particolare eCF
Plus (EN 16234-1:2016, in Italia UNI 11506)
• Rapporti con altri soci a livello nazionale (AIPSI) ed internazionali (ISSA)
• Contribuire alla diffusione della cultura e la sensibilizzazione per la
sicurezza informatica agli utenti digitali
• Collaborazione con varie Associazioni ed Enti per eventi ed iniziative
congiunte: AICA, Assintel, Assolombarda, Anorc, CSA Italy, FidaInform, FTI,
Inforav, Polizia Postale, Smau, i vari ClubTI sul territorio, ecc.
4

5. CYBER SECURITY RISKS IN THE SOCIAL WORLD
5
Concetto n°1)
Qualsiasi azienda è costituita da persone fisiche.
Concetto n° 2)
Non ESISTE una soluzione informatica adeguata
a garantire al 100% la sicurezza aziendale.
BISOGNA conoscere meglio lo strumento che utilizziamo!

6. L’azienda tipo.
6
• Wireless
• Posta Elettronica
• Cloud
• Search Engine
• Smartphone e tablet
• Android
• IOS
• Windows Phone
• Sistemi operativi diversi sui desktop
• Release di android diverse
• APP sui dispositivi mobili
• Utilizzo dei preferiti
• Sincronizzazioni dei browser
• Dropbox
• OneDrive
• e centinaia di altri …
Gli attori aumentano esponenzialmente…

7. L’azienda Social
7

8. Il nuovo dipendente
8
Altre variabili:
• Connessioni esterne
• VPN
• Tethering
• Access Point
• Alberghi
• Connessioni domestiche
• Free WIFI
• …

9. Il fattore umano al centro del problema.
9
CHIEF/CEO
Utenti
La signora delle pulizie
Il manutentore
I consulenti esterni
Il partner del CEO
L’IT ADMIN
Il gestore telefonico ed i suoi grandi tecnici
Il custode
Le «…» del CEO
Gli amici tuttologi
…

10. La soluzione?
 Prevenzione
 Competenza
 Formazione
 Innovazione (soprattutto «update your brain»)
10

11. Prevenzione
11
• Vulnerability Assessment
• Backup
• Piani di disaster recovery
• Pen Testing
• Patching/Update
• Sicurezza fisica
• Firewall di nuova generazione
• Antivirus di nuova generazione
Ma soprattutto un monitoraggio continuo dei LOG, Eventi, Errori, ecc…

12. Competenza
 Diffidare da certificazioni commerciali DPO, ITADMIN, NETWORKING,
ecc.ecc.
 I ruoli principali all’interno di un’azienda sono quelli dell’IT ADMIN e/o
DPO e bisogna selezionarli tenendo conto di:
 Competenza
 Esperienza
12

13. Un buon inizio?
 Open Source Intelligence (OSINT)
 Brica (Business Risk Intelligence & Cyberthreat Awareness)
 SHODAN
 https://cve.mitre.org/
13

14. Analizziamo tutto…
14
Alert di un firewall…

15. …
15

16. Shodan
16

17. Log in tempo reale di un firewall
17

18. Si continua ad analizzare…
18

19. Non dimentichiamoci di:
19
• IOT
• Orologi presenze (cavo lan)
• Telefoni VOIP
• Access Point
• Stampante multifunzione
• Macchine industriali
• Apparati di networking dislocati e non protetti

20. e sui social network?
 Lo sappiamo che Facebook analizza le foto?
20

21. Può fare di meglio…
21

22. Whatsapp?
22
Lo sapete che si possono tracciare gli stati di ogni singolo utente?
https://robertheaton.com/

23. e myactivity of Google?
23

24. Abbiamo pensato agli attacchi al sito?
24

25. Prevenzione.
25

26. Come dicevamo anche sul CVE
26

27. Arriviamo alle domande…
 Open Source o Proprietary Software?
 Come proteggere il sito web aziendale?
 L’infrastruttura aziendale è al sicuro?
 Il mio business è protetto da incidenti digitali?
 Ciò che condivido sul web da chi viene letto?
 Il personale della mia azienda conosce lo strumento che utilizza?
27

28. Andiamo on LINE?
28

29. Grazie
www.massimochirivi.net
info@massimochirivi.net
facebook e Twitter: @massimochirivi
Linkedin: http://it.linkedin.com/in/chirivi
Sito smau – www.smau.it
Sito AIPSI -- www.aipsi.org
Studia, prova, amplia, ricerca, analizza, migliora …
… condividi con gli altri anche tu