i server e lo storage sia per gli end point. Pur trovando con facilità
sul mercato sofisticati e veloci sistemi di backup, proprietari e open,
a costi veramente bassi per gigabyte ora anche in cloud, in molti casi
i processi di backup attualmente effettuati sono volutamente parziali
o incompleti: al limite, con opportune architettura ad alta affidabilità
e con il cloud computing, lo stesso concetto di backup può essere
superato con sistemi ridondati in tempo (quasi) reale. Ma in moltis-
simi sistemi informativi, soprattutto di piccole-medie dimensioni, un vero
e proprio backup completo non è effettuato con la conseguenza che,
in caso di malfunzionamenti o di attacchi, i ripristini sono difficili, lun-
ghi ... e con perdita di una parte degli ultimi dati trattati.
Si sorvola su altri classici strumenti di sicurezza, comunque necessari,
quali il controllo degli accessi, la gestione dei codici maligni, ecc. per
soffermarsi sull'ultimo ma fondamentale strumento: il buon senso.
Buon senso e professionalità degli operatori e degli amministratori dei
sistemi, e soprattutto buon senso dell'utente finale. È lui il primo a co-
noscere quali sono le informazioni e i documenti veramente confi-
denziali e riservati, ed è lui il primo che deve proteggerli, anche sui
suoi dispositivi personali.
giugno 2012
office automation
89
Marco Bozzetti
L’Osservatorio Attacchi Informatici
è presente su Linkedin.
CERCA IL GRUPPO E ISCRIVITI
sta elettronica controlla il protocollo SMTP . Ispeziona i contenuti
delle informazioni e dei documenti richiesti o trasmessi, verificando se
contengono quanto indicato nelle policy, e comportandosi poi
come specificato, ad esempio bloccando una copia o un trasferimento
di informazioni o documenti.
Al di là dell’adozione di soluzioni DLP, o più in generale di un mi-
glioramento del livello di sicurezza ICT del sistema informativo del-
l'azienda/ente, quali sono gli strumenti che realmente possono pro-
teggere i dati riservati? Dall’esperienza sul campo dell'autore un
primo, sicuramente non esaustivo, elenco è riportato qui di seguito.
T
RE PILASTRI FONDAMENTALI
Il primo strumento è la crittografia per tutte quelle informazioni e
quei documenti realmente riservati: da usarsi non solo nell’archi-
viazione degli asset riservati e confidenziali negli storage centrali,
ma anche nei dispositivi end point. Quasi tutti i moderni sistemi
operativi hanno funzionalità di crittografia con o senza certificati
digitali, ed esistono numerosi prodotti proprietari ed open source
consolidati, sicuri ed efficienti. Cosa succede se si perde uno smar-
tphone o una chiavetta con tutti gli account, con le password in
chiaro, incluse quelle dell’home banking? Ma quanti criptano tali
informazioni? È vero, quando se ne ha bisogno occorre decrip-
tare: ma tale comodità vale il rischio?
Il secondo strumento è il blocco delle porte USB sui personal com-
puter e sui server/storage quando tali porte non si usano. È troppo
facile inserire una chiavetta USB su un sistema funzionante e copiare
in pochi secondi una enorme quantità di dati; le recenti ‘chiavette’
sono hard disk tascabili con interfaccia USB, che arrivano fino a un
terabyte di memoria: è possibile copiare interi file system ... e analiz-
zare poi con tutto comodo quali sono i dati interessanti. Il blocco e
lo sblocco delle porte USB su un pc e su un server sono attivabili
con semplici comandi dalla consolle del sistema operativo; tali porte
si usano magari solo per pochi minuti al giorno
o alla settimana per copie o aggiorna-
menti leciti. Normalmente si lasciano
sempre aperte queste porte, ipotiz-
zando che il pc è acceso quando
l'utente lo usa, e che i server sono ‘fi-
sicamente’ sorvegliati nel data center o
in una computer room. Tali ipotesi
non sono sempre vere, in alcuni mo-
menti i computer sono accesi senza al-
cun controllo (basta pensare alla pausa
caffè...) e il rischio di veloci copie su
chiavetta è veramente alto. Vale il ri-
schio la pigrizia di non effettuare con
pochi comandi il blocco/sblocco
delle porte quando serve?
Il terzo strumento è il corretto e sistema-
tico back-up dei dati e del software sia per
