www.supsi.ch/forense

http://www.tio.ch/

15/05/2017

 

Da “Wanna Cry” a “Wanna be Happy”

Dr. Alessandro Trivilini

Responsabile Servizio Informatica forense SUPSI, Dipartimento tecnologie innovative

 

Serve un nuovo approccio alla gestione dei cyber attacchi consapevole, agile e interdisciplinare

 

A questo punto lo possiamo dire, anzi, lo possiamo citare di nuovo, perché Kaspersky nei mesi scorsi lo aveva detto a più riprese: «prima o poi è diventato ora». Senza alcun preavviso e senza rumore si è materializzato un attacco senza precedenti, non tanto per le sue modalità offensive, quanto per la sua portata. Una scalabilità di questo tipo non si era mai vista. Siamo di fronte ad attacchi sempre più agili e  resilienti capaci di plasmare la loro efficacia ad immagine e somiglianza dei collaboratori aziendali e alla natura dei dati digitali che trattano quotidianamente. Il (temporaneo) risultato di questi attacchi porta alla luce un fenomeno sempre più rilevante: i crismi tradizionali di sicurezza sono una condizione necessaria ma non più sufficiente. Serve un nuovo approccio alla gestione dei cyber attacchi consapevole, agile e interdisciplinare, utile in azienda per pianificare correttamente e per tempo tutte le fasi critiche che intercorrono tra le conseguenze dell’attacco subito e il business aziendale, come per esempio: la riduzione dei rischi di propagazione del danno, il mantenimento dei servizi critici, la protezione dei dati sensibili, la riduzione dei costi di intervento da parte di esterni, la comunicazione tra tecnici, collaboratori e quadri aziendali e la salvaguardia della reputazione aziendale post incidente.

Si tratta di un lavoro da fare insieme, in cui aziende, centri di ricerca, associazioni del settore e autorità giudiziarie devono collaborare, ognuno nel suo settore di competenza, per contrastare un nemico di cui non vedremo mai il volto, ma che di fatto quando colpisce lo fa indistintamente, senza se e senza ma, perché i prossimi attacchi informatici avranno sempre più un imprinting simile a un impianto a vasi comunicanti: persone e oggetti interconnessi tra loro nel tempo, in cui l’infezione di uno potrebbe contagiare in tempi non sospetti la buona salute dell’altro, con le reciproche conseguenze. 

E in tutto questo le collaborazioni assumono un ruolo fondamentale, per ridurre i costi ma anche per fronteggiare adeguatamente un problema camaleontico che ha risorse infinite. La neo nata collaborazione a livello nazionale tra ATED ICT Ticino, l’Associazione Svizzera per la Sicurezza dell’Informazione (CLUSIS) e la SUPSI (con il Servizio di Informatica Forense del Dipartimento tecnologie innovative) ha proprio a questo scopo, fronteggiare in forma interdisciplinare e congiunta i vari aspetti che contraddistinguono questa straordinaria digitalizzazione, con grande focus sulla cyber security.

All’alba di un nuovo giorno, ecco alcune brevi domande per capire se i tecnici informatici della mia azienda sono adeguatamente preparati alla gestione di un incidente informatico come quello dei giorni scorsi:

La mia azienda prevede un piano di gestione dell’incidente informatico (IRP) prima che questo accada?

I tecnici informatici della mia azienda conoscono le moderne tecniche di penetration testing e le loro conseguenze sui sistemi di produzione?

Il responsabile della sicurezza informatica della mia azienda è preparato alla gestione di tutte le fasi critiche post incidente?

Il responsabile della sicurezza informatica della mia azienda conosce i vincoli tecnici forensi e legali entro cui muoversi in caso di incidente, onde evitare di alimentare la propagazione del danno o, peggio ancora, di perdere dati sensibili importanti per il business aziendale?

Il responsabile della sicurezza informatica della mia azienda conosce le caratteristiche tecniche e i vincoli di utilizzo delle crypto valute (come il Bitcoin) e della Blockchain? 

Non rimane quindi che lasciare alle persone coinvolte nella gestione e nella manutenzione della sicurezza aziendale l’ardua sentenza, per migrare adeguatamente da “Wanna Cry” a “Wanna be Happy”.