Risk Management - Catalogo minacce introduzione

RISK MANAGEMENT – IDENTIFICAZIONE DELLE MINACCE INTRODUZIONE Roberto DE SORTIS roberto.desortis@bl4ckswan.com

22/07/2017

Versione 1

TASSONOMIA DELLE MINACCE CONCETTI GENERALI Esistono diverse tassonomie utilizzate per indirizzare la metodologie di classificazione delle minacce. Le minacce

NATURALE

UMANA

ACCIDENTALE

DELIBERATA

possono avere origine naturale od antropica e può avere cause accidentali o deliberate.

Tutte le tipologie di minacce devono essere chiaramente identificate e valutate considerando altresì che le fonti delle minacce possono essere interne od esterne all’organizzazione e dipendono dal contesto in cui l’azienda opera.

AMBIENTE ESTERNO

AMBIENTE INTERNO

ORGANIZZAZIONE © BL4CKSWAN S.r.l. – IDENTIFICAZIONE MINACCE

PAG 2

CATALOGO MINACCE INTRODUZIONE Il catalogo delle minacce (Threats Catalog) rappresenta un elenco di eventi che possono, a vario titolo e sotto determinate circostanze, compromettere il patrimonio informativo aziendale e rappresenta una delle prime attività necessarie per identificare e definire i criteri di rischio.

FONTI DELLA MINACCIA

ATTUA

MINACCIA

SFRUTTANDO

VULNERABILITA’

CAUSA

IMPATTO AVVERSO

In letteratura esistono diversi cataloghi, che identificano le minacce in maniera più o meno puntuale o aggregata in base allo standard o al framework di analisi per cui sono finalizzati. A titolo meramente esemplificativo possono essere citati le seguenti fonti (lista non esaustiva):

NIST SP 800-30

ISO 27005 42 minacce raccolte in 8 macro categorie - fonti

32 minacce raccolte in 5 macro categorie - fonti

MAGERIT 179 minacce raccolte in 4 macro categorie - fonti

MICROSOFT THREAT MODEL 36 minacce focalizzate in ambito ICT

Nota: il processo di identificazione delle minacce si dovrebbe basare sull’analisi e integrazione delle serie storiche degli incidenti che effettivamente hanno interessato l’organizzazione.

© BL4CKSWAN S.r.l. – IDENTIFICAZIONE MINACCE

PAG 3

FONTI DELLA MINACCIA HUMAN In particolare per quanto riguarda le minacce perpetrate da attori umani queste possono essere caratterizzati dai seguenti fattori: • l'intento;

FONTI Hacker, cracker

Computer criminal

• Le capacità tecniche; • Il metodo utilizzati per lo sfruttamento di una vulnerabilità; • Condizioni abilitianti lo sfruttamento di una vulnerabilità.

Terrorist

MOTIVAZIONI

Challenge Ego Rebellion Status Money Destruction of information Illegal information disclosure Monetary gain Unauthorized data alteration Blackmail Destruction Exploitation Revenge Political Gain Media Coverage

Hacking Social engineering System intrusion, break-ins

POSSIBILI CONSEGUENZE

Unauthorized system access Computer crime (e.g. cyber stalking) Fraudulent act (e.g. replay, impersonation, interception) Information bribery • Spoofing System intrusion Bomb/Terrorism Information warfare System attack (e.g. distributed denial of service) System penetration • System tampering

Defence advantage Political advantage Economic exploitation Information theft Intrusion on personal privacy • Social engineering System penetration Unauthorized system access (access to classified, proprietary, and/or technology-related information) Assault on an employee Blackmail Browsing of proprietary information Computer abuse Fraud and theft Information bribery Curiosity Ego Intelligence Monetary Input of falsified, corrupted data gain Revenge Interception Malicious code (e.g. virus, logic bomb, Trojan horse) Sale of personal information • System bugs System intrusion System sabotage • Unauthorized system access

Industrial espionage (Intelligence, companies, Competitive advantage foreign governments, Economic espionage other government interests)

Insiders (poorly trained, disgruntled, malicious, negligent, dishonest, or terminated employees)

Fonte: ISO 27005 - Annex C

© BL4CKSWAN S.r.l. – IDENTIFICAZIONE MINACCE

PAG 4

CATALOGO MINACCE ISO 27005 – ANNEX C 42 MINACCE RACCOLTE IN 8 MACRO CATEGORIE - FONTI 5 EVENTI NATURALI Climatic phenomenon; Seismic phenomenon; Volcanic phenomenon; Meteorological phenomenon; Flood;

6

DANNI FISICI Fire; Water damage; Pollution; Major accident; Destruction of equipment or media; Dust, corrosion, freezing;

3

10

PERDITA DI SERVIZI ESSENZIALI

COMPROMISSIONE DELLE INFORMAZIONI

Failure of air-conditioning or water supply system; Loss of power supply; Failure of telecommunication equipment;

Interception of compromising interference signals; Eavesdropping; Theft of media or documents; Theft of equipment; Retrieval of recycled or discarded media; Disclosure; Data from untrustworthy sources; Tampering with hardware; Tampering with software;

3

DISTURBI DA RADIAZIONI Electromagnetic radiation; Thermal radiation; Electromagnetic pulses;

© BL4CKSWAN S.r.l. – IDENTIFICAZIONE MINACCE

5 GUASTI TECNICI Equipment failure Equipment malfunction Saturation of the information system Software malfunction Breach of information system maintainability

5

COMPROMISSIONE FUNZIONI Error in use Abuse of rights Forging of rights Denial of actions Breach of personnel availability

5

GUASTI TECNICI Unauthorised use of equipment Fraudulent copying of software Use of counterfeit or copied software Corruption of data Illegal processing of data

PAG 5

CATALOGO MINACCE - MAGERIT 179 MINACCE RACCOLTE IN 4 MACRO CATEGORIE - FONTI

15

39

35

90

EVENTI NATURALI

EVENTI DI ORIGINE INDUSTRIALE

ERRORI E AVARIE NON INTENZIONALI

ATTACCHI INTENZIONALI

Vengono identificate le principali minacce naturali come incendi, tempeste …

Vengono identificate le principali minacce di origine industriale come Inquinamento Meccanico, Interferenze elettromagnetiche, Interruzioni di servizi principali ed ausiliari ..

Vengono identificate le principali minacce di origine accidentale come errori lato utente, amministratore, fuga di informazioni, errori di manutenzione ,,,

Vengono identificate le principali minacce di origine intenzionale come diffusione di software malevolo, intercettazione delle informazioni, social engeneering …

Nota: l’analisi puntuale del catalogo minacce evidenzia una certa sovrapposizione delle voci nelle diverse macro categorie.

© BL4CKSWAN S.r.l. – IDENTIFICAZIONE MINACCE

PAG 6

www.bl4ckswan.com