I principi fondamentali del modello Zero Trust

Il concetto di Zero Trust si basa sul principio “Non fidarti mai, verifica sempre”. Nessun utente, dispositivo o applicazione è automaticamente considerato affidabile, anche se si trova all’interno del perimetro aziendale. Ogni accesso viene verificato rigorosamente tramite strumenti e metodi di autenticazione avanzati. I pilastri fondamentali del modello includono l’autenticazione continua, il principio del privilegio minimo, la microsegmentazione delle reti e un monitoraggio costante per rilevare comportamenti anomali.

I vantaggi per le PMI

Questo approccio è particolarmente rilevante per le piccole e medie imprese (PMI), spesso bersagliate dagli attaccanti a causa di risorse limitate. L’adozione del modello Zero Trust permette di:

• ridurre i rischi di violazioni
• adattarsi al lavoro remoto e mitigare i danni derivanti da attacchi comuni come ransomware e phishing.

Tecnologie essenziali per implementare Zero Trust

Per implementare Zero Trust, le PMI possono partire con tecnologie accessibili come:

• l’autenticazione multifattoriale (MFA), che combina password con codici inviati via SMS, app o dati biometrici
• soluzioni avanzate come i sistemi di Identity and Access Management (IAM) centralizzano la gestione degli accessi

mentre firewall di nuova generazione (NGFW) e software di Endpoint Detection and Response (EDR) rafforzano la protezione delle reti e dei dispositivi.

Molte PMI stanno migrando verso Zero Trust Network Access (ZTNA) per un accesso remoto più sicuro, sostituendo le tradizionali VPN.

Zero Trust Network Access (ZTNA): un pilastro per l’accesso sicuro

Un aspetto cruciale del modello Zero Trust è lo Zero Trust Network Access (ZTNA). Si tratta di una tecnologia che sostituisce le tradizionali VPN fornendo un accesso remoto più sicuro che differisce dalle normali VPN. Infatti ZTNA consente un accesso mirato solo alle risorse specifiche richieste dall’utente o dal dispositivo. Questo approccio riduce il rischio di movimento laterale di eventuali attaccanti e limita l’esposizione di dati sensibili. Per implementare ZTNA, le PMI possono utilizzare soluzioni basate su cloud o on-premise, come quelle offerte da fornitori come Palo Alto Networks e Zscaler. La configurazione prevede l’integrazione con i sistemi IAM esistenti e l’utilizzo di criteri di controllo degli accessi basati su identità e contesto.

L’importanza del cloud e dell’intelligenza artificiale

Le piattaforme cloud, tra cui Microsoft Azure, AWS e Google Cloud, offrono strumenti integrati per la sicurezza, come la gestione delle identità e il controllo degli accessi. Inoltre, soluzioni di monitoraggio basate sull’intelligenza artificiale analizzano grandi volumi di dati in tempo reale, rilevando attività sospette.

Le sfide e le soluzioni per le PMI

Adottare Zero Trust può presentare delle sfide. I costi iniziali e la complessità di alcune soluzioni potrebbero essere ostacoli per le PMI, così come la necessità di un cambiamento culturale aziendale e la carenza di competenze interne. Tuttavia, avviare una valutazione dei rischi per individuare le vulnerabilità principali e adottare un piano di implementazione graduale rappresentano passi fondamentali. La formazione del personale è cruciale per aumentare la consapevolezza sui rischi e rafforzare la resilienza aziendale. Collaborare con fornitori o consulenti specializzati può aiutare a colmare eventuali lacune.

Il modello Zero Trust è una strategia essenziale per affrontare le sfide della sicurezza informatica moderna. Anche le PMI, con un piano ben definito e le tecnologie adeguate, possono raggiungere un livello di protezione all’avanguardia, assicurando la continuità operativa e la protezione dei propri dati in un contesto di minacce sempre più sofisticato.

[wpsurveypoll id=”1758856066″ style=”flat”]

L'articolo Zero Trust: Un Modello di Sicurezza per le Aziende Moderne sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

I Trend della Cybersecurity nel 2025

Gli attacchi basati sull’intelligenza artificiale (IA) continueranno a crescere. Gli hacker stanno sfruttando l’IA per creare malware, phishing personalizzato e attacchi mirati, rendendo queste minacce sempre più difficili da rilevare. Nel 2025, l’automazione degli attacchi su larga scala sarà una delle principali sfide per la sicurezza.

Il modello Zero Trust sta emergendo come lo standard di sicurezza per le aziende. Questo approccio richiede la verifica costante di utenti e dispositivi, riducendo i rischi associati agli accessi non autorizzati. Tale strategia si dimostra particolarmente efficace in un contesto di lavoro ibrido e remoto.

Il ransomware continua a rappresentare una delle principali minacce, con il modello ransomware-as-a-service (RaaS) che consente anche a cybercriminali meno esperti di acquistare strumenti per lanciare attacchi. Questo fenomeno contribuirà a rendere il ransomware ancora più diffuso.

Inoltre, la protezione dell’Internet of Things (IoT) diventerà una priorità. Con miliardi di dispositivi IoT connessi, aumentano i punti d’accesso per i cybercriminali. Nel 2025, le aziende dovranno implementare misure di sicurezza più robuste per difendersi da attacchi mirati a questi dispositivi.

Tecnologie Emergenti per la Cybersecurity

L’intelligenza artificiale e il machine learning (ML) saranno strumenti essenziali per rilevare anomalie, individuare minacce in tempo reale e automatizzare le risposte agli incidenti. Allo stesso tempo, la blockchain offrirà un metodo sicuro e trasparente per registrare transazioni e proteggere informazioni sensibili, garantendo l’integrità dei dati e migliorando i processi di autenticazione.

Il quantum computing, pur essendo ancora agli inizi, rappresenta sia una minaccia che un’opportunità. Da un lato, potrebbe rendere obsolete le attuali tecniche di crittografia; dall’altro, potrebbe offrire nuovi strumenti per migliorare la sicurezza. Anche l’automazione della sicurezza diventerà sempre più diffusa, con strumenti come Security Orchestration, Automation, and Response (SOAR) che consentiranno alle aziende di rispondere rapidamente agli incidenti e migliorare l’efficienza delle operazioni di sicurezza.

Come le Aziende Possono Prepararsi

Per affrontare queste sfide, le aziende devono adottare un modello Zero Trust, verificando costantemente identità, dispositivi e accessi, indipendentemente dalla loro posizione. La formazione continua del personale è un altro elemento cruciale, poiché gli errori umani rappresentano una delle principali cause di violazioni della sicurezza. Sensibilizzare i dipendenti sui rischi e sulle migliori pratiche di cybersecurity nel 2025 può fare la differenza.

Mantenere i sistemi aggiornati è fondamentale per prevenire attacchi informatici. Software obsoleti costituiscono una porta aperta per i cybercriminali, quindi le aziende devono assicurarsi che tutti i sistemi e i dispositivi siano sempre aggiornati. Collaborare con esperti di cybersecurity, attraverso fornitori specializzati o la creazione di team dedicati, è essenziale per monitorare e rispondere rapidamente alle minacce.

Infine, pianificare e testare regolarmente le risposte agli incidenti è una pratica fondamentale. Avere un piano d’azione chiaro in caso di attacco aiuta a identificare eventuali lacune e migliora la reattività dell’azienda, garantendo una risposta efficace alle emergenze.

[wpsurveypoll id=”1081218534″ style=”flat”]

L'articolo Cybersecurity 2025: Sfide e Opportunità per le Aziend sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Ramsonware è un software malevolo (malware) che ha lo scopo di limitare l’accesso alle proprie risorse su un computer o dispositivo mobile.

Può impedire l’accesso totale ad un computer o ad un telefono utilizzando un blocca schermo oppure può limitare l’accesso a uno o più file cifrandoli.

Esistono diverse varianti Ramsonware che solitamente estorcono denaro visualizzando avvisi sullo schermo, che avvertano l’utente che il dispositivo/PC è bloccato o che i file dell’utente sono stati cifrati e resi inutilizzabili.

Una volta bloccato l’accesso alle risorse, l’unico modo che l’utente ha per ritornare in possesso dei file o del PC/dispositivo bloccati è quello di pagare un importo di riscatto entro un certo tempo, in alcuni casi per mezzo di carta di credito in altri tramite bitcoin: da qui il termine Ramsonware (software che chiede un ramson ovvero riscatto).

Solitamente sono diffusi tramite email phishing che contengono allegati infetti o attraverso download drive-by. Per download drive-by s’intende quando un utente senza rendersene conto visita un sito infetto attivando lo scaricamento e l’installazione di software malevolo inconsapevolmente.

I crypto-ramsonware, sono una variante che cifra i file ed è noto che si diffondono, oltre al phishing , anche tramite applicazioni web di instant messaging, solitamente utilizzate dalle piattaforme social.

Esistono nuovi metodi di diffusione che sfruttano le vulnerabilità di siti e server web, utilizzati come punto d’ingresso per guadagnare l’accesso di reti private o aziendali.

Come proteggersi dai ramsonware

La protezione dal ransomware è essenziale per mantenere la sicurezza del tuo sistema e dei tuoi dati sensibili. Ecco alcuni passi che puoi seguire per proteggere il tuo sistema dal ransomware:

1. Installa un software antivirus: un buon antivirus può rilevare e rimuovere il ransomware dal tuo sistema. Assicurati di tenerlo aggiornato per proteggere il tuo sistema dalle ultime minacce informatiche.
2. Abilita il firewall del tuo sistema: il firewall è una barriera di sicurezza che protegge il tuo sistema dalle connessioni non autorizzate. Assicurati di averlo abilitato per proteggere il tuo sistema dal ransomware che potrebbe entrare attraverso Internet.
3. Utilizza una password sicura: i ransomware spesso utilizzano tecniche di “phishing” per indurre gli utenti a fornire le loro password. Utilizza password complesse e diversificate per ogni account che possiedi per proteggere i tuoi dati sensibili.
4. Non aprire e-mail o allegati sospetti: molti ransomware vengono diffusi tramite e-mail o allegati di posta elettronica. Non aprire mai e-mail o allegati sospetti, anche se provengono da un mittente conosciuto.
5. Non fornire le tue informazioni personali a siti web o persone non attendibili: i ransomware spesso cercano di ottenere informazioni personali, come il tuo nome, l’indirizzo o i dati finanziari. Non fornire mai queste informazioni a siti web o persone non attendibili.
6. Evita di utilizzare reti pubbliche non sicure per l’accesso ai tuoi dati sensibili: le reti pubbliche, come quelle presenti negli aeroporti o nei caffè, possono essere facilmente compromesse da hacker e ransomware. Utilizza una connessione privata o una rete virtuale privata (VPN) per proteggere i tuoi dati sensibili quando ti connetti a Internet da una rete pubblica.
7. Esegui frequentemente il backup dei tuoi dati: il ransomware può impedirti l’accesso ai tuoi dati importanti. Eseguire il backup regolarmente dei tuoi dati può aiutarti a recuperare file e cartelle compromesse.

L'articolo Ramsonware cosa sono e come proteggersi sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Se hai già letto il nostro primo articolo introduttivo sulla cyber security, o se ti occupi di sicurezza informatica, hai una idea di cosa sia una vulnerabilità informatica. Per quanto si adottino antivirus e firewall etc., la vulnerabilità numero uno siamo noi con le nostre abitudini, in particolare nella protezione password.

Cos’è una password e come posso proteggerla

Hai un account su Amazon? Sei iscritto a Facebook? Ad Instagram? Giochi online con Playstation, XBOX o Steam network? Hai una email con Gmail o Hotmail? Se hai risposto si ad almeno una delle domande vuol dire che hai almeno una password da gestire.

Le credenziali per accedere ad un servizio online sono generalmente di tipo username e password: la prima è una serie di caratteri e numeri che ci identifica all’interno di un servizio online; la seconda invece è una serie di caratteri, numeri e simboli (di punteggiatura ad esempio) che ci autentica ed autorizza ad accedere alle informazioni di un servizio online.

1. password “forte”

Fin dalla sua nascita la password deve avere in se i principali accorgimenti che la rendano sicura. Tra i criteri più semplici è quello di evitare il nostro nome e cognome, o del nostro cane o comunque una parola che possa essere facilmente indovinata da malintenzionati: come password per il vostro home banking utilizzereste la password 1234?

Più è lunga e complessa la nostra password e con più è considerata forte e sicura, più avanti ti spiego come creare una password “forte” e sicura.

2. trasmessa attraverso un canale sicuro

Quando fornisco le mie credenziali di accesso ad un servizio online, devo essere sicuro che il sito al quale le sto inviando sia quello corretto: l’indirizzo di navigazione del sito a cui mi sono collegato è corretto?

Devo inoltre sincerarmi che la connessione tra me ed il sito sia cifrata: in questo modo la comunicazione tra me ed il server, se intercettata, risulterà incomprensibile.

Se ho anche il minimo dubbio di essere collegato ad un sito truffa oppure di non essere connesso tramite un canale sicuro, devo chiudere la finestra di navigazione senza inviare alcuna informazione.

Principali attacchi alla protezione delle password

Di seguito riporto alcune delle tipologie di attacco alle nostre password

Durante la digitazione

Attacco tanto banale quanto mai efficace: guardando la digitazione sulla tastiera e guardando l’inserimento a monitor è facile capire le nostre credenziali. Con questo sistema chiunque, sconosciuto o anche un conoscente, può sapere a quale sito collegarsi, quale nome utente inserire e password… a colpo praticamente sicuro.

Fate sempre molta attenzione quando inserire le vostre password al PC se qualcuno, chiunque esso sia, vi sta alle spalle. Stesso dicasi al cellulare.

A dizionario

Questo tipo di attacco può essere eseguito tentando di accedere ad un servizio online oppure sfruttando un database di password.

In entrambi i casi viene utilizzato un elenco di password presenti in un dizionario, queste sono tipicamente:

• frasi o parole più ovvie, come quelle tipiche di default di molti programmi (es. utente: admin, password: admin);
• nomi geografici, nomi di corpi celesti, personaggi della letteratura, nomi propri di persona;
• le più recenti password decifrate dagli ultimi attacchi noti;

Forza bruta

Gli attacchi di forza bruta sono molto più impegnativi, perché possono impiegare molto tempo, rispetto a quelli a dizionario, ma sono anche quelli più efficaci.

Anche questi possono essere eseguiti sia tentando un accesso di log-in che su un elenco di password rubate.

Prevedono tecniche combinatorie che permettono di provare tutte le combinazioni di caratteri possibili per decifrare una password.

Con la velocità dei moderni computer, e perché no telefoni, le password create in modo semplice possono essere decifrate in pochissimi minuti.

Come generare una password sicura

Una password è definita forte o debole, se questa è generata con criteri per i quali la sua decifrazione sia difficile anche con programmi specifici. Quindi per la protezione della propria password, questi sono i criteri con i quali creare una password forte.

La password deve contenere:

• almeno 15 caratteri;
• lettere maiuscole e minuscole;
• numeri;
• e simboli come  ` ! ” ? $ ? % ^ & * ( ) _ – + = { [ } ] : ; @ ‘ ~ # | \ < , > . ? /

Inoltre una password forte, per essere considerata tale, non deve essere:

• il tuo login o il tuo username;
• il tuo nome, il nome di un tuo amico, il nome di un tuo famigliare o un nome comune;
• la tua data di nascita;
• una parola presente nel dizionario;
• uguale ad una tua password precedente;
• a sequenze di tastiera, come as qwerty, asdfghjkl, or 12345678

Prova a creare una password sicura dal sito https://passgen.co/

Passphrase: una soluzione più sicura alle password tradizionali

Una passphrase è una password composta da una frase o da una sequenza di parole, invece che da una combinazione di lettere, numeri e simboli. Le passphrase sono spesso più facili da ricordare e da digitare rispetto alle password tradizionali, e sono anche più difficili da indovinare o da scoprire utilizzando gli attacchi informatici.

Ad esempio, una passphrase potrebbe essere “il gatto grigio dorme sulla poltrona verde“, mentre una password tradizionale potrebbe essere “G4t$Gr3nP0ltr0n@“. Come puoi vedere, la passphrase è più facile da ricordare e da digitare, ma è anche più difficile da indovinare o da scoprire utilizzando gli attacchi informatici.

Le passphrase sono spesso utilizzate insieme ai password manager, che permettono di creare e gestire facilmente password sicure e difficili da indovinare. Se vuoi proteggere i tuoi account e i tuoi dati sensibili, ti consiglio di utilizzare una passphrase sicura invece di una password debole o facilmente indovinabile. Ricorda di scegliere una passphrase che sia facile da ricordare per te, ma difficile da indovinare per gli altri.

La possibilità di utilizzare una passphrase rispetto ad una password convenzionale dipende dal sito, o servizio online, presso il quale ci si collega.

Proteggere la password con un Password Manager

Un password manager è uno strumento che permette di gestire e proteggere le password in modo sicuro. Invece di utilizzare la stessa password per tutti i tuoi account o di scrivere le password su fogli di carta o di tenerle in un file sul tuo computer, puoi utilizzare un password manager per creare, memorizzare e gestire le tue password in modo sicuro.

I password manager sono disponibili sia per computer che per dispositivi mobili, e la maggior parte di essi offre funzionalità avanzate come la generazione di password sicure, il rilevamento di password duplicati e la sincronizzazione delle password su più dispositivi. Inoltre, molti password manager offrono anche la possibilità di proteggere le tue password con una password principale, in modo da poterle utilizzare in modo sicuro anche su dispositivi pubblici o condivisi.

Protezione della password con Bitwarden

Ti consiglio di provare il password manager Bitwarden (https://bitwarden.com), che utilizziamo come strumento aziendale di gestione delle password, utilizzando il profilo gratuito. Queste sono le caratteristiche che ci hanno portato alla scelta di questo password manager.:

1. Gestione delle password: Bitwarden ti permette di creare, memorizzare e gestire le tue password in modo sicuro.
2. Generazione di password sicure: Bitwarden offre una funzionalità di generazione di password sicure, che ti permette di creare password uniche e difficili da indovinare.
3. Sincronizzazione delle password su più dispositivi: con Bitwarden, puoi sincronizzare le tue password su tutti i tuoi dispositivi, in modo da poterle utilizzare in modo sicuro su qualsiasi dispositivo.
4. Autenticazione a due fattori: Bitwarden offre l’opzione di attivare l’autenticazione a due fattori per proteggere ulteriormente il tuo account.
5. Gestione dei dati personali: oltre alle password, con Bitwarden puoi anche gestire altri dati sensibili come indirizzi e-mail, numeri di telefono e informazioni di pagamento.
6. Estensioni per i browser: Bitwarden è disponibile come estensione per diversi browser, in modo da poter gestire le tue password direttamente dal browser.
7. App per dispositivi mobili: Bitwarden offre anche delle app per dispositivi mobili, in modo da poter gestire le tue password anche quando sei in movimento.
8. Prevede un piano gratuito che permette la generazione e la gestione completa delle password.
9. Il piano a pagamento ha un importo abbordabile anche per chi ne farebbe un uso solo personale.

Autenticazione a due fattori: protezione password maggiore

L’autenticazione a due fattori (2FA) è un metodo di autenticazione che richiede due forme di verifica per accedere a un account o a un servizio. In genere, la prima forma di verifica è la password, mentre la seconda forma può essere un codice di verifica inviato via SMS al tuo telefono, una chiamata di verifica, una notifica push su un’app per dispositivi mobili o una scansione di un codice QR.

L’utilizzo dell’autenticazione a due fattori rende più difficile per gli hacker accedere a un account, poiché essi devono conoscere non solo la password, ma anche la seconda forma di verifica. Inoltre, se la password viene rubata o indovinata, l’autenticazione a due fattori protegge comunque l’account, poiché gli hacker non possono accedere senza la seconda forma di verifica.

L’autenticazione a due fattori è particolarmente utile per proteggere account e servizi sensibili, come quelli bancari o di e-commerce. Se utilizzi un password manager che offre l’opzione di attivare l’autenticazione a due fattori, ti consiglio di attivarla per aumentare la sicurezza del tuo account. Inoltre, tieni presente che alcuni servizi online richiedono l’autenticazione a due fattori per proteggere i tuoi dati sensibili. In questi casi, è importante assicurarsi di avere sempre accesso al tuo telefono o a un’altra forma di verifica, in modo da poter accedere al tuo account o ai servizi in modo sicuro.

Se utilizzi l’autenticazione a due fattori, tieni presente che alcune app o servizi potrebbero richiedere una connessione a Internet per inviare il codice di verifica o la notifica push. Inoltre, assicurati di tenere sempre il tuo telefono o altra forma di verifica sicuri e di non condividerli con nessuno.

In generale, l’autenticazione a due fattori è un ottima protezione per le password dei tuoi account e per la salvaguardia dei tuoi dati, e ti consiglio di utilizzarla se disponibile.

[wpsurveypoll id=”498108708″ style=”flat”]

L'articolo Protezione password – creazione e gestione sicura sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Google offre molti servizi gratuiti alle persone, tra i molti abbiamo Chrome, l’app di ricerca sul nostro telefono, Maps, Youtube, etc.

Durante il nostro utilizzo di questi servizi, Google registra tutte le nostre attività organizzandole in una cronologia che, salvo diversa configurazione, non cancella mai. In base a questa cronologia di nostre informazioni riceviamo pubblicità mirate in base ai luoghi da noi frequentati, dagli ascolti musicali e le nostre visite e ricerca su siti web.

Google però ci permette di gestire le nostre informazioni, almeno in parte, e quindi di decidere se e quando eliminare automaticamente la nostra cronologia dati, in particolare dei servizi:

• Attività web e app: che includono dati audio e voce inviati al Google assistant e altre app, dati relativi alla tua navigazione con Chrome e tutti i dati raccolti da app sincronizzate al tuo Google account;
• Cronologia di YouTube: sono salvati i video visualizzati e le ricerche fatte in YouTube;
• Cronologia delle Posizioni: include tutti i luoghi visitati con il proprio device/cellulare, anche senza avere attiva una particolare app o servizio di Google.

Per accedere a queste informazioni dati devi entrare, via web, con le tue credenziali nel portale Google le mie Attività.

Per cancellare i dati salvati dal Google:

Cronologia Attività web e app

• Una volta entrato clicca su Gestione attività;
• all’interno del riquadro Attività web e app clicca sul link GESTISCI ATTIVITA’;
• quindi clicca sul link Scegli per quanto tempo conservare;
• a questa punto seleziona la voce Conserva per 3 mesi e poi elimina automaticamente e premi Avanti;

Cronologia YouTube

• ora puoi premere sul link Vai alla tua cronologia di YouTube (lo trovi poco più in alto, sopra il blocco Attività web e app);
• quindi clicca sul link Scegli per quanto tempo conservare;
• a questa punto seleziona la voce Conserva per 3 mesi e poi elimina automaticamente e premi Avanti;

Cronologia delle Posizioni

• ora puoi premere sulla voce Gestione attività;
• scorri in basso fino al blocco Cronologia delle posizioni quindi clicca sul link GESTISCI ATTIVITA’;
• ora ti trovi nella cronologia di Google Map dalla quale ti potrai rendere già conto di quante informazioni sono state salvate riguardo ai tuoi spostamenti, quindi clicca sulla icona che trovi in basso a destra per aprire un menu;
• a questa punto clicca sulla voce Elimina automaticamente Cronologia delle Posizioni;
• quindi scegli Conserva per 3 mesi e poi elimina automaticamente e premi Avanti.

[wpsurveypoll id=”397343305″ style=”flat”]

L'articolo Privacy – Come limitare e cancellare i dati da Google sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Il termine Cyber Security è recente e rientra in quella che viene in altri modi definita sicurezza informatica, computer security, IT security, etc. e si riferisce alla protezione di dispositivi hardware (Personal Computer, Server, Tablets, telefoni Smartphone, TV Smart, apparati di rete, etc) da attività di malintenzionati che hanno l’obbiettivo di accedere alle informazioni contenute nei dispositivi o a modificarne il loro comportamento a discapito dell’utilizzatore, ovvero a nostro discapito.

La velocità di crescita delle modalità d’interconnessione alla rete Internet di un numero sempre crescente di dispositivi, ha di conseguenza reso crescente l’attenzione alla sicurezza informatica e quindi all’importanza delle attività di Cyber Security da parte sia delle aziende, per proteggere la propria attività e i propri clienti, ma anche da parte dei privati ovvero noi, normali persone, che siamo sempre più spesso esposti a rischi di attacco informatico.

E’ importante ricordare che la cyber security riguarda l’adozione di supporti tecnologici, ovvero strumenti che ci proteggono direttamente da attacchi informatici, ma anche l’adozione di un codice di condotta, ovvero una serie di comportamenti, che ognuno di noi deve adottare in modo consapevole.

Vediamo ora alcuni termini e argomenti principali che andremo poi ad approfondire meglio in altri articoli più specifici; la maggior parte dei termini è inglese, ma cercherò dove possibile di utilizzare terminologie in italiano.

CIA o CID: confidenzialità, integrità e disponibilità

Uno è un acronimo inglese (CIA) mentre l’altro è il suo equivalente italiano (CID) che rappresentano i tre principi fondamentali per la sicurezza informatica:

• Confidentially (Confidenzialità): un servizio o una informazione deve essere disponibile solo alla persona corretta e a nessun altra;
• Integrity (Integrità): una serie di dati e/o servizi devono essere modificati solo da persone autorizzate;
• Availability (Disponibilità): le informazioni o servizi devono essere sempre disponibili all’accesso ed utilizzo quando vogliamo.

La Cyber Security deve far sì che ad un servizio o un insieme di dati vengano sempre garantiti questi principi, quand’anche uno solo di questi principi viene leso allora si parla di vulnerabilità e di attacco di un servizio o di un dato.

Information assets – il nostro patrimonio informativo

Si tratta dell’insieme di tutti i dati che per noi hanno valore. Per valore intendo sia economico che affettivo o comunque personale: parliamo quindi sia di accessi a siti per acquisto, sistemi di home banking, ma ci riferiamo anche a documenti di lavoro, foto personali, etc.

Sono quindi il nostro patrimonio informativo che richiede che sia gestito informaticamente rispettando i principi CIA ed in particolare i servizi che gestiscono il nostro patrimonio informativo devono garantire che informazioni ricevute o scambiate con altre persone o aziende o pubblica amministrazione siano:

• autenticate: dobbiamo essere sicuri che le informazioni che abbiamo ricevuto o modificato siano state gestite dalla persona corretta… e non, per esempio, da un impostore;
• non ripudiabili: l’utente che ci ha inviato o modificato le nostre informazioni sia impossibilitato a negarne l’evidenza… per esempio nei sistemi bancari deve essere reso impossibile che se un cliente disponga un bonifico, questo neghi di averlo fatto.

Ovviamente questi due punti valgono se le nostre credenziali siano ben protette e fuori dalla portata di altri. Diversamente è tutta un’altra storia che vedremo nei prossimi articoli.

Malware – malicious software

Il termine deriva dall’abbreviazione del termine inglese malicious software cioè software malevolo, ovvero programmi il cui unico scopo è accedere, senza autorizzazione, alle nostre risorse informatiche dall’accesso alle funzionalità del nostro PC/Telefono/SmartTV/etc. alle informazioni in esso contenute.

I malware hanno diverse definizioni in base alle tecniche e alle tecnologie che sono utilizzate per installarsi, nascondersi, operare e duplicarsi, che vedremo nel dettaglio in un prossimo articolo, ma in linea generale possono essere raggruppati in tre maggiori categorie:

• ransomware: hanno l’obbiettivo di prendere letteralmente in ostaggio i nostri dati oppure il nostro PC/Telefono/etc. in cambio del pagamento di un riscatto. Se il pagamento non avviene possono verificarsi due casi: o non riusciremo più ad accedere alle nostre risorse, o queste potranno essere cancellate dopo un certo periodo;
• spyware: hanno lo scopo di rubare informazioni, queste possono essere file salvati sul nostro dispositivo oppure informazioni in tempo reale come ad esempio la registrazione di video dalla nostra video camera del PC/Telefono/etc, audio dal nostro microfono, la digitazione dei tasti sulla nostra tastiera, la visualizzazione del nostro schermo, etc;
• botnets: sono software installati su molti PC e tutti controllati da un unico programma. Oltre ad avere lo scopo di rubare informazioni, sono veri e propri eserciti di PC sincronizzati con lo scopo di effettuare attacchi verso altri computer o server: invio di SPAM o attacchi di tipo DDOS che hanno lo scopo di rendere irraggiungibile, per esempio, un sito, etc.

Cyber security breach: cos’è e quali sono i suoi costi

Il termine breach in inglese significa breccia o violazione, una cyber security breach è quindi una violazione della sicurezza del nostro patrimonio informativo avvenuta su un particolare dispositivo (es. si è installato un malware sul mio PC o sul mio telefono), o su un particolare servizio (es. mi hanno rubato la password del mio account di Facebook ed ora non riesco più ad accedere. Oppure peggio hanno rubato le mie credenziali di accesso al mio home banking).

Le violazioni spesso non possono essere scoperte istantanemente, ma vengono riconosciute a causa di comportamenti anomali dei nostri servizi (es. non riesco più ad accedere al mio account Facebook online) o dispositivi (es. non trovo più i miei file; il PC/telefono è diventato di colpo particolarmente lento; non posso più accedere al mio telefono, etc.).

La causa di una violazione è spesso legata ad una vulnerabilità di tipo informatico (es. errore di programmazione di una applicazione) oppure comportamentale (es. non ho gestito in sicurezza la mia password di accesso a Facebook, cambiandola di volta in volta oppure creandola in modo sicuro). Approfondiremo meglio comunque questo paragrafo in un altro articolo.

Ma quali sono i costi principali?

• costo legato alla perdita finanziaria diretta a causa di furto o frode. Nella perdita diretta rientrano anche dati che hanno un valore affettivo come le foto e i video cancellati o rubati;
• danno legato alla perdita di produttività, in particolare per le aziende, a causa del tempo speso per il ripristimo dagli effetti di un attacco informatico andato a buon fine, questo comporta:
  • costi di patching: ovvero di installazione o configurazione di programmi software che riparino alla vulnerabilità che ha permesso la violazione;
  • costi di failover: ovvero costi che si rendono necessari per il rispristino dei danni subiti (es. recupero dati da backup, re-installazione di software, reset completo dei PC/Telefoni etc.), spesso delegando le attività ad aziende specializzate;
• perdita di fiducia e reputazione, in particolare per le aziende che offrono servizi online (es. Facebook), che spesso viene tradotto con perdita di utenti o meglio clienti.

Phishing

Il termine inglese deriva dal fishing probabilmente con il riferimento di voler pescare le nostre informazioni con modalità truffaldine. Il phishing, che descriveremo meglio in un prossimo articolo, è una tecnica utilizzata per carpire nostre informazioni confidenziali utilizzando generalmente email scritte con l’intento di fare leva sulla nostra buona fede (leggi questo esempio):

• ad esempio si spacciano per la nostra banca informandoci di un problema e di fornire le nostre credenziali di accesso;
• oppure la comunicazione di un negozio online che ci richiede la carta di credito per concludere la consegna;
• oppure la spedizione di una fattura a noi intestata che poi risulta essere un virus in allegato;
• etc.

Bisogna considerare che la maggior parte degli attacchi informatici andati a buon fine sono stati innescati utilizzando le tecniche di phishing invece di vulnerabilità informatiche, quindi bisogna fare molta attenzione quando si ricevono messaggi via email, ma questo lo vedremo meglio in un prossimo articolo.

Cyber security attacks ovvero gli attacchi informatici

Gli attacchi informatici possono essere raggruppati in tre principali profili di violazione:

Attacchi ad identità online

L’obbietivo di questi attacchi è rubare le informazioni di accesso a servizi pubblici online (es. Facebook, Google, Linkedin, Instagram, Youtube, etc.) quindi con lo scopo di recuperare dati di autenticazione e di identità online: se rubano i miei dati di accesso a Facebook, un malintenzionato può inviare messaggi, virus, o frodare i miei contatti spacciandosi per me oppure, se collegato ad un sistema di pagamento, può rubarmi dei soldi.

Un altro grande rischio per i nostri dati è che vengano, una volta sottratti, resi pubblici online: quindi disponibili per altri malintenzionati che possono a loro volta usufruirne.

Provate a pensare cosa succederebbe se venissero rubate le informazioni della nostra carta di credito e rese successivamente pubbliche su Internet?

Attacchi a sistemi industriali

Lo scopo è quello di sabotare la produzione di una particolare industria o di un particolare prodotto industriale.

Una attacco molto celebre è quello del malware stuxnet : semplificando e riassumendo, è stato prodotto un malware che utilizzando varie tecniche di intrusione è stato in grado di installarsi, nascondersi e manipolare il rendimento delle centrifughe di separazione dei materiali nucleari della centrale nucleare iraniana di Natanz con conseguente sabotaggio della produzione energetica.

Attacchi verso obbiettivi specifici

Si tratta di attacchi mirati verso specifiche persone, aziende o uffici di particolari enti.

Questo tipo di attacco utilizza una tecnica chiamata Spear Phishing che ha l’obbiettivo di mandare email o comunicazioni fraudolente a contatti specifici e quindi con lo scopo di recuperare più informazioni possibili per avere maggiori probabilità di successo. La tecnica di Spear phishing è tra le più diffuse per la maggior parte degli attacchi su Internet. (vedi l’infografica sullo Spear Phishing).

Vulnerabilità

La vulnerabilità è un possibile punto di ingresso di una violazione informatica; questa può essere creata e dipendere da molti fattori che vanno dal componente elettronico al suo programma software. E’ importante però ricordare che una vulnerabilità dipende molto spesso da un errore umano dovuto ad un comportamento sbagliato o comunque poco sicuro.

Minaccia o Threat

Con il termine minaccia ci riferiamo al danno che può essere prodotto in seguito ad una violazione passata attraverso una vulnerabilità.

Contromisure

Quando parliamo di contromisure ci riferiamo ad azioni che hanno lo scopo di proteggere le nostre informazioni, rendendo nulle le minacce e risolvendo le vulnerabilità.

Come essere informarti

E’ molto importante essere informati su quello che succede e su come fare per essere protetti, di seguito riporto le principali risorse di informazione sulle ultime minacce informatiche:

Sistemi operativi client più diffusi

• Sicurezza Microsoft
• Aggiornamenti di sicurezza Apple
• Android Security Bullettin

Altre risorse

• Internet Safety – CyberWise
• Cyber Aware
• Krebs on Security
• Graham Cluley – Last security news, opinion and advice;
• Schneier on Security;
• Troy Hunt;
• Wired Threat Level;
• The Hacker News;
• Info Security Magazine;

[wpsurveypoll id=”1309620106″ style=”flat”]

L'articolo Cyber Security di cosa si tratta: termini e concetti introduttivi sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Cosa significa PWNED?

Nello slang Internet PWNED viene definito come “Owned, dominated” (posseduto) or “Perfectly Owned” (perfettamente/completamente posseduto) e secondo i vari dizionari del gergo “internettiano” più o meno recente deriva da modi di dire o errori di battitura presenti in alcuni vecchi giochi per PC.

Ma esattamente cosa s’intende per account violato o pwned? Significa che qualcuno è riuscito a recuperare il nostro username (spesso la nostra email) e la nostra password per l’accesso al nostro Account Internet. Una volta violato un account spesso viene preso possesso e quindi utilizzato il servizio a proprio piacimento: viene cambiata la password e vengono eseguite attività a proprio nome con il rischio spesso di furto di denaro accedendo ai propri di sistemi di pagamento.

Le conseguenze di un account violato?

Con la crescita dei social network e dei portali di servizi, questi sono evoluti letteralmente intrecciandosi tra loro. In particolare per semplificare l’accesso agli utenti verso i propri servizi, la maggior parte dei gestori permette di utilizzare come metodo di registrazione ed autenticazione al proprio sito lo stesso dei principali social network. In questo modo si ottiene un sistema comodo detto single sign on: ovvero un sito anzichè chiedere tutta una serie di dati di registrazione, più username e password, richiede di accedere tramite Facebook, o Google+ o Twitter, etc.

In questo modo si ha la comodità di non dover ricordare diversi account ed una volta acceduto al servizio social principale, si accede automaticamente ai servizi offerti dai siti a quali si è registrati in questo modo.

Qual’è il problema fondamentale di questo sistema? Una volta che un malintenzionato ha acceduto all’account social principale avrà accesso a tutti gli altri servizi ad esso collegati, compresi quelli di pagamento.

Come può accadere?

Per ottenere un account violato esistono diverse tecniche, fondamentalmente le principali, senza voler entrare nel dettaglio in questo articolo, sono: per intercettazione, forza bruta, phishing, social engineering e per recupero da elenchi pubblici.

Intercettazione

Si ottiene un account violato dal furto delle credenziali d’accesso per intercettazione, questo avviene per mezzo di programmi che sono in ascolto tra il nostro PC ed il server al quale ci stiamo autenticando i quali registrano tutto il traffico dati. Questo tipo di attacco sfrutta la debolezza di configurazione del server al quale ci si sta collegando e la qualità della cifratura della trasmissione dati.

Forza bruta

Questa tecnica prova in modo sistematico varie possibili combinazioni di password, spesso utilizzando un database di password “più usate”. Probabilità di ottenere un account violato dipende tutto dalla qualità della nostra password: ovvero se è stata creata con i giusti criteri in modo da renderla resistente a questo tecnica di violazione.

Phishing

Via posta elettronica sempre più spesso sono spedite email falsificate ad arte che, spacciandosi per fornitori di servizi noti, richiedono i propri dati di accesso o addirittura i dati della propria carta di credito ai fini di un controllo di sicurezza. L’utente dando credito a queste email truffaldine forniscono spontaneamente a malintenzionati i propri dati di accesso, regalando di fatto il proprio account violato.  (scopri di più)

Virus

Sia via email che via sistemi di messaggistica social, Facebook in particolare, stanno circolando virus/malware che ingannando con messaggi fasulli, come provenienti da utenti noti, invitano a cliccare su link che infettano il PC, Smartphone e Tablet, quest’ultimi particolarmente sensibili a questi attacchi, che possono prendere possesso direttamente dei propri account social.

Social Engineering

Molto simile al phishing, questa tecnica viene eseguita personalmente dai malintenzionati senza necessariamente l’ausilio di strumenti tecnologici. Il più semplice è il cercare di leggere la password di una persona durante la digitazione da parte dell’utente.

Elenchi pubblici

Sempre più spesso leggiamo di siti o servizi importanti che sono stati attaccati da pirati informatici i quali acceduti alle banche dati degli utenti pubblicano su siti web pubblici tutte le informazioni, rendendole a disposizione di chiunque.

Nella top ten dei siti di servizi violati, per milioni di account rubati e pubblicati troviamo a tutt’oggi (fonte haveibeenpwned.com):

• MySpace 359,420,698  accounts
• LinkedIn  164,611,595  accounts
• Adobe  152,445,165  accounts
• VK  93,338,602 accounts
• tumblr  65,469,298 accounts
• Fling  40,767,652 accounts
• Ashley Madison  30,811,934 accounts
• Mate1.com  27,393,015 accounts
• 000webhost  13,545,468 accounts
• R2Games  13,186,088 accounts

ai quali seguono molti altri siti noti.

Come sapere se abbiamo un account violato?

Se notiamo attività anomale, messaggi non inviati da noi, oppure ammanchi sulla propria carta di credito, questo è un primo segnale che deve portare ad un serio sospetto di violazione dei propri account.

Esiste anche la possibilità che i nostri dati siano disponibili online in elenchi pubblici, pubblicati da pirati informatici che hanno violato servizi importanti (MySpace, LinkedIn, etc.): esiste un servizio gratutito online che fornita la propria email informa se i nostri dati sono stati soggetti a violazione e pubblicazione, indicando anche tramite quale servizio il nostri dati sono stati trafugati.

Il sito è https://haveibeenpwned.com/

Se dal sito risulta che siete pwned, beh allora vuol dire che dovete affrettarvi a cambiare la vostra password nel servizio che vi verrà indicato.

Inoltre se vi registrate, avrete la possibilità di essere segnalati qual’ora la vostra email comparisse all’interno di un’operazione di violazione di account tra i più noti servizi online.

Come prevenire un account violato?

Innanzitutto è importante impostare una password che sia sicura, quantomeno nella sua forma: ovvero sia superiore agli 8 caratteri e che contenga sia numeri che caratteri, possibilmente minuscoli e maiuscoli. L’ideale, inoltre, è quello di evitare parole note: in modo da prevenire attacchi sia di forza bruta che basati su dizionari di password note.

E’ importante prevedere un ricambio delle proprie password, l’ideale sarebbe almeno una volta ogni 6 mesi.

Bisogna fare attenzione anche a quando si inseriscono le proprie credenziali in modo da non essere visti e di non condividerle con nessuno.

Se utilizzate spesso servizi come Facebook, Linkedin, Twitter etc. è importante che attiviate al più presto i sistemi di sicurezza/privacy previsti da ciascun servizio.

Nei prossimi articoli vedremo come funzionano e come configurarli.

A presto.

[wpsurveypoll id=”609605656″ style=”flat”]

L'articolo Account Internet violato (PWNED)? Come saperlo? sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.

Non tutti sanno però che esistono obblighi normativi ben precisi per chi, impresa, gestisce canali elettronici per la comunicazione con la propria clientela, consulenti, partner o fornitori, tramite anche il proprio sito web o negozio online.

Dal 2009 è in vigore la legge n. 88 del 7 luglio 2009, legge comunitaria 2008, questa all’art. 42 modificando l’art. 2250 del codice civile,  ha introdotto degli obblighi di comunicazione via Internet per le imprese, le ditte individuali, professionisti e le persone giuridiche comunque dotate di partita IVA.

In generale le chi dotato di partita IVA, in ogni sito web, negozio online e canale social network istituzionale deve comunicare, quanto meno in home page:

• denominazione sociale;
• codice fiscale e partita IVA;
• la sede della società o dove sono custoditi i documenti contabili  [c.c. 2328, n. 2, 2475, n. 2, 2518, n. 2];
• l’ufficio del registro delle imprese presso il quale questa è iscritta [c.c. 2188, 2199, 2200, 2295];
• il numero d’iscrizione.

Le società per azioni [c.c. 2328, n. 4], in accomandita per azioni [c.c. 2462] e a responsabilità limitata [c.c. 2472] dovranno indicare inoltre:

• a quanto ammonta il capitale sociale interamente versato e quale risulta esistente dall’ultimo bilancio;
• se la società è in liquidazione;
• se queste hanno un unico socio (solo società per azioni ed a responsabilita’ limitata).

Secondo le ultime interpretazioni, per quanto non via sia un obbligo esplicito normativo è consigliabile che sia aggiunto alle informazioni obbligatorie anche l’indirizzo PEC dell’impresa/professionista, in quanto può rientrare nelle informazioni legali che si è tenuti a fornire per la trasparenza richiesta dai quadri normativi citati.

Non solo sul sito web e negozio online

In merito alle informazioni obbligatorie da rendere pubbliche, la normativa non specifica unicamente il proprio sito web o negozio online, ma stando alla dicitura presente negli articoli citati “[…] Negli atti e nella corrispondenza delle societa’ soggette all’obbligo dell’iscrizione nel registro delle imprese devono essere indicati […]” è opportuno che anche nella propria documentazione cartacea siano presenti le informazioni istituzionali indicate.

Approfondimenti normativi

• art. 42 LEGGE 7 luglio 2009, n. 88 (Legge comunitaria 2008 – Sito Gazzetta Ufficiale);
• Articoli del Codice Civile citati: 2188, 2199, 2200, 2295, 2328, 2462, 2472, 2475, 2518
• Obbligatorio indicare la pec in atti corrispondenza e sul proprio sito (Sito Alta Lex);

L'articolo Sito web e negozio online: dati societari obbligatori sembra essere il primo su Sviluppo software | App mobile | Sicurezza informatica.