Information Security 32

32 ott/nov/dic 2015

Anno VI

light

sicurezza informatica e delle informazioni

WEB SECURITY Per proteggere un’azienda non serve essere un esperto IT

PRIMO PIANO Crittologia.

Di cosa stiamo parlando?

CLOUD Tutti lo vogliono.

Ma in Italia a che punto siamo?

Edisef s.r.l. ROC n°17883 ISSN 2037 - 5611 Pubbl. mensile registrata presso il Tribunale di Roma il 7/10/2010 n°379 Poste Italiane S.p.A. Spedizione in abbonamento postale - 70% Roma Aut. n. C /RM/109 2010

INDICE

4 PRIMO PIANO

6 12

ATTUALITÀ

6 Il costo degli attacchi DoS Alessandro Livrea

Introduzione alla crittologia Marco Scattareggia

18 Shopping all’insegna della sicurezza Ivan Straniero

Per proteggere un’azienda non è necessario essere un esperto IT Morten Lehn

Come scegliere la giusta soluzione di sicurezza

WEB SECURITY

18 22 26

Per accedere ai contenuti da QRCode, devi utilizzare un lettore QR. Inquadra il codice QR tramite la fotocamera digitale del tuo telefono. Il tuo cellulare aprirà l’indirizzo corrispondente. Se non hai un lettore QR installalo sul tuo cellulare o smartphone, puoi trovarne molti gratuiti nei negozi/ store di applicazioni per il tuo cellulare (iTunes, App storr, Android market, Blackberry Appworld, Ovi store, ecc.).

Information Security n. 32 ott/nov/dic 2015

QR

Morten Lehn

1

INDICE

CYBERCRIME

29 Furti d’identità e frodi creditizie continuano a crescere Beatrice Rubini

32

BUSINESS CONTINUITY

Blocco dei sistemi ed interruzione del business. Ecco come limitare i danni Claudio Panerai

CLOUD

37

37 Sicurezza delle app: un elefante nella stanza del cloud Paolo Arcagni

Information Security n. 32 ott/nov/dic 2015

39

2

Il cloud in italia. a che punto siamo Stefano Sordi

41

CYBERCRIME Come scegliere la giusta soluzione di sicurezza Morten Lehn

EDITORIALE

di Maria Giulia Mazzoni Direttore Responsabile

TUTTE LE SFIDE DELL’ANNO CHE VERRÀ Anno che vai, minaccia che trovi.

Quali saranno le principali sfide che il 2016 porterà in dote per gli esperti di sicurezza informatica?

A fare il punto ci ha pensato un report di Intel Security che prevede un anno di ‘tribolazioni’ legate al consolidamento delle più frequenti minacce ed una progressiva espansione di fenomeni come il ‘ransomware’ (malware che cripta i dati sui dispositivi e poi chiede un riscatto per sbloccarli) e di ogni genere di attacco ai dati personali contenuti nel dispositivi indossabili. Il nemico pubblico numero uno per il prossimo anno sarà quindi, spiegano a chiare lettere gli esperti di Intel, l’hacker che attenterà ai nostri dati sensibili cercando di introdursi sui nostri smartphone, tablet ed all’interno dei sempre più diffusi sistemi cloud-based. Assolutamente da non sottovalutare quindi, avverte Intel, lo sviluppo del cosiddetto ‘mercato nero’ di password e username che alimenta il

pericoloso fenomeno del furto di identità. Così, tra vecchie conoscenze e nuove preoccupazioni, il mercato della sicurezza informatica saluterà il 2015 preparandosi ad affrontare un nuovo anno ricco di incertezza e noi della rivista Information Security saremo pronti come sempre a raccontarvelo. Quali sono i costi e le conseguenze di un attacco DoS? Cos’è un ‘attacco di copertura’ e come è possibile difendersi? Come scegliere la giusta soluzione per garantire la sicurezza di propri server? Di questo ed altro parleremo già nelle pagine che seguiranno. Quali sono i dati relativi ai furti di identità finalizzati alle frodi creditizie che, come ci spiegano gli esperti del CRIF, in Italia continuano inesorabilmente a crescere? Come impostare una corretta sicurezza IT e come affrontare (più o meno) serenamente il mondo degli acquisti online. E ancora. Quali possibilità si aprono con lo sviluppo dei sistemi cloud-based e soprattutto quali sono le relative sfide per la sicurezza? Quanto è importante prevedere una business continuity e come limitare i danni procurati da una perdita di accessibilità del dato? Saluteremo poi anche noi il 2015 dandovi un assaggio di quanto tratteremo il prossimo anno presentandovi il primo di una serie di approfondimenti legati alla crittologia, declinando le varie forme di crittografia e crittoanalisi, e analizzando le implicazioni che questa ha nelle procedure di cyber security e fraud management. Non mi resta quindi che augurarvi una buona lettura e darvi appuntamento il prossimo anno. u Information Security n. 32 ott/nov/dic 2015

3

COMITATO CONSULTIVO

www.informationsecuritynews.it Piero Giovanni Caporale - Sicurezza Organizzativa e Gestionale Settore ICT - DigitPA Raoul Chiesa - Founder, Security Brokers Inc. Isabella Corradini - Professore di Psicologia sociale della Facoltà di Psicologia dell’Università degli Studi dell’Aquila e Presidente del Centro Ricerche Themis Mauro Cosmi - Value Team S.p.A Elena Ferrari - Docente del Dipartimento di Informatica e Comunicazione dell’Università dell’Insubria Pierfrancesco Ghedini - Direttore Dipartimento Tecnologie dell’Informazione e Biomediche - Azienda USL di Modena – in qualità di AISIS (Associazione Italiana Sistemi Informativi in Sanità) Gianpiero Guerrieri - Dirigente Analista.

Direttore UOC Sistema Informativo, Sistema di Reporting Aziendale e ICT - Azienda Ospedaliera San Giovanni Addolorata Giovanni Hoz - Direttore Sistemi Informativi Policlinico A. Gemelli Andrea Lisi - Professore a contratto di Informatica Giuridica - Scuola Professioni Legali, Facoltà Giurisprudenza - Università del Salento, Presidente di ANORC (Associazione NazionaleOperatori e Responsabili della Conservazione Sostitutiva), Coordinatore del Digital&Law Department Studio Legale Lisi, Studio Associato D&L - Business&Legal Consultancy, ICT &International Trade, Executive Management SCiNT - Study&Research Centre Giovanni Manca - Esperto di digitalizzazione documentale nella PA e sicurezza ICT Alberto Manfredi - MSc, CISA, CISSP, GCFA, CRISC - Presidente Cloud Security Alliance - Italy Chapter

Carlo Maria Medaglia - Docente e coordinatore RFID Lab - CATTID Università La Sapienza di Roma Baldo Meo - Responsabile Comunicazione Garante per la protezione dei dati personali Elio Molteni - Presidente AIPSI, ISSA Italian Chapter Alessandro Musumeci - Direttore Centrale Sistemi Informativi (DCSI), Ferrovie dello Stato Silvano Ongetta - Presidente AIEA, Associazione Italiana Information Systems Auditors Massimo F. Penco - Presidente Associazione Cittadini di Internet, Membro del Antiphishing Working Group, Vice presidente Gruppo Comodo Filomena Polito - Presidente APIHM - Associazione Privacy and Information Healthcare Manager Andrea Rigoni - Director General GC-SEC Global Cyber Security Center Giuseppe Russo - Chief Technology Officer - Oracle Hardware group Marco Scattareggia - KEY DATA ANALYICS - Practice Manager Corrado Aaron Visaggio - Ricercatore in Ingegneria del Software presso il Dipartimento di Ingegneria dell’Università degli Studi del Sannio Anthony Cecil Wright - Presidente ANSSAIF, Associazione Nazionale Specialisti Sicurezza in Aziende di intermediazione Finanziaria Stefano Zanero - Responsabile Tecnico, Secure Network

PER COLLABORARE La collaborazione è sempre gradita ma deve rispettare alcune caratteristiche tecniche.

Articoli – I testi devono essere originali, liberi da diritti d’autore verso terzi e non sottoposti ad altre pubblicazioni. La decisione sull’eventuale pubblicazione è ad esclusiva discrezione della Redazione. I testi devono pervenire in formato elettronico in qualsiasi forma di Word Processing e non devono superare le 15.000 battute (spazi inclusi). Grafici, loghi e immagini a corredo devono pervenire in redazione in f.to jpg, tiff, pdf o eps con risoluzione minima di 300 dpi.

Testi e immagini devono essere inviati a: redazione@edisef.it oppure visti in originale a: EDISEF - Piazza Pio XI, 62 - 00165 ROMA

Information Security Anno V - n. 32 Ottobre/Novembre/Dicembre 2015 Direttore Responsabile Maria Giulia Mazzoni Collaboratori Alberto Blasi, Giulia Paparozzi Grafica e impaginazione Giulia Pissagroia Redazione Oriana Mazzini Gestione e Servizi Marco Bompiani ROC – Registro Operatori di Comunicazione n. 17883 – Pubblicazione bimestrale registrata presso il Tribunale di Roma il 7/10/2010 n. 379 Codice ISSN: ISSN 2037-5611 Edisef Roma Poste Italiane S.p.A. Spedizione in Abbonamento Postale – D.L. 353/2003 (conv. in L. 27/02/2004 n. 46) Art. 1 Comma 1 – DCB Roma – Euro 10,00 BONIFICO BANCARIO Banca Popolare del Lazio Ag. 45 Piazzale della Radio 41 00146 ROMA IBAN: IT80 U051 0403 205C C036 0001 434 Siti internet www.edisef.it www.informationsecuritynews.it Abbonamenti Piazza Pio XI, 62 00165 Roma Tel. 06 6626717 Fax 06 66013885 Abbonamenti 06 61774006 e-mail: info@edisef.it Finito di stampare nel mese di Ottobre 2015 presso: C.S.R. SRL TIPOGRAFIA Via di Pietralata, 155 00158 Roma