La sicurezza informatica e protezione dei dati. Presentazione a cura dell'Ing. Massimo Piceni

1. Non aprite quella valvola
Parma, 12 Maggio 2015
Ing. Massimo Piceni

2. Evoluzione del cybercrime
• Fino a pochi anni fa, il cybercrime mirava
principalmente a fare danni e «scena»
– Obiettivo preferito le imprese grandi e famose
– Piccole imprese usate come «palestra»
– L’evidenza di misure di sicurezza scoraggiava gli hacker
• Recentemente, evoluzione verso il furto di informazioni
specifiche
– Obiettivo tutte le aziende che hanno del know how
interessante (anche molto piccole)
– Le misure di sicurezza non scoraggiano gli hacker, ma li
spingono a metodi di intrusione diversi
– Gli hacker sono oggi organizzati.

3. Stato della sicurezza informatica
• Recenti eventi hanno dimostrato che nessuno è al
sicuro:
– 2014: attacchi a Sony, Ebay, Benetton, JPMorgan,
Korea Hydro & Nuclear Power
• I rischi «escono» dal PC:
– Dispositivi mobili attaccabili (misure di sicurezza molto
più scarse)
– Rischi per la cosiddetta Internet of Things (oltre il 70%
dei dispositivi vulnerabili secondo HP)
– Sistemi industriali vulnerabili ed attaccati.

4. Eclatanti scarsità di misure di sicurezza
• Le prime 7 password più usate al mondo nel 2014 sono (fonte
SplashData):
– 123456, password, 12345, 12345678, qwerty, 123456789, 1234
• Si stima che quasi la metà dei dispositivi di rete installati abbiano
ancora la password di default
• Moltissimi installatori usano la stessa password su Clienti diversi e
dispositivi diversi (incluse password di amministrazione di Server e
domini)
• Circa 180.000 «siti» vulnerabili alla SQL-injection; il 97% dei furti di
informazioni legati a questa vulnerabilità (fonte Barclays)
• Oltre ¼ dei dispositivi usano sistemi operativi obsoleti e non più
aggiornabili per la sicurezza (Windows XP o precedenti)
• Quasi tutti gli ATM utilizzano sistemi operativi embedded vecchi di
oltre 10 anni.

5. Il caso dei dispositivi industriali
• Dal report Symantec di aprile 2015, risultano quasi 150
vulnerabilità scoperte negli ultimi 3 anni
• Le interfacce dei sistemi industriali sono, spesso, poco
sofisticate e poco sicure (vecchie tecnologie)
• Spesso, scarse competenze IT degli installatori
• I rischi connessi sono alti e gli attacchi possono portare
potenzialmente molta visibilità
• Interessante anche dal punto di vista dello spionaggio
industriale
• 2014: furto di informazioni critiche ad un operatore
nucleare coreano
• 2014: attacco alla fornace di un’acciaieria tedesca .

6. Come colleghiamo i dispositivi
Indirizzo IP pubblico
Diretto o direttamente
mappato sul dispositivo

7. Come colleghiamo i dispositivi
Virtual Private
Network (VPN)

8. Come colleghiamo i dispositivi

9. Come colleghiamo i dispositivi
Virtual LAN
(vLAN)

10. Come colleghiamo i dispositivi

11. Come colleghiamo i dispositivi

12. Come colleghiamo i dispositivi

13. Ingegneri dell’Informazione
• Sono iscritti al cosiddetto terzo settore dell’Albo degli
Ingegneri
• Le attività sono disciplinate dal DM 37/2008
• Tecnicamente quasi ogni azienda che debba implementare
o rinnovare un sistema informatico, deve, per legge avere
un progetto firmato da un professionista iscritto all’Albo
• Legge assolutamente disattesa
• Se gli Ingegneri dell’Informazione progettassero, dirigessero
i lavori e collaudassero ogni sistema, la stragrande
maggioranza degli incidenti di sicurezza non accadrebbe
• Ciò che è scontato per il settore Civile, non lo è per quello
dell’Informazione, malgrado la strategicità crescente.

14. Grazie !
Ing. Massimo Piceni - Studio di Ingegneria dell’Informazione
Partner di Master – Consulenti d’Impresa
http://www.masterconsulting.org