Newsgroup: it.comp.sicurezza.varie
Titolo: Ma in Italia serve la sicurezza ?

Salve a tutti,
mi occupo di sicurezza informatica e cybercrime...forensic ecc.
Sono iscritto come CTU al tribunale, ho pubblicato una guida
sull'internet security e scritto articoli ecc. ecc.
Poi ho provato a proporre la BS 7799 ad alcune aziende...
INSOMMA pare che in Italia la sicurezza informatica sia vista solo col
Dlgs. 196/03
MA COME MAI ??? 
Qualcuno sa se esistono aziende (spec. PMI) che hanno subito danni
REALI da attacchi informatici ? O furto di informazioni vitali ?
Oppure il cybercrime si riduce alla caccia ai pedofili e a chi scarica
mp3 e la sicurezza informatica si riduce a mettere un antivirus sui PC
?
Scusate lo sfogo ma non capisco perchč i media parlano di phishing,
ecc. e poi non trovo casi Italiani rilevanti....voglio dire se non ci
sono ladri d'auto č inutile aprire un'azienda di antifurti per auto o
no ?
Ciao a tutti e Grazie per le Vs. opinioni in merito :-)
Dr. Nanni Bassetti - Security Consultant
---------------------------------------------------
My home page:
http://www.nannibassetti.com/

no ?
Il ROI non è misurabile su un fatto che solo statisticamente avviene.
Io mi occupo di integrazione della sicurezza logica con quella fisica
e organizzativa e per la mia esperienza  c'è richiesta solo dopo
essere stati scottati. 
Non è una novità, negli anni mi è capitato decine di volte con le
politiche di backup delle aziende... eppure sembra così semplice.
Alcuni stanno facendo una politica seria di backup solo dopo la legge
sulla privacy.
Per mia esperienza, gli unici danni diffusi sono quelli provocati dai
virus, i danni per furti di informazione sono relativi e le
statistiche dicono che gran parte delle volte partono dall'interno.
Una seria politica di sicurezza interna costa molto di più di un
firewall e con le dimensioni medio piccole delle nostre aziende è
quasi impossibile proteggere realmente la conoscenza aziendale.
Andrea

 MA COME MAI ??? 
Secondo me i motivi sono due:
1) La stragrande maggioranza delle aziende italiane sono PMI, e per le
piccole aziende le problematiche di sicurezza sono relativamente poco
importanti: le informazioni potenzialmente in pericolo sono poche, e quelle
interessanti ancor meno. In queste condizioni, un qualsiasi imprenditore un
po' smaliziato può arrangiarsi con un personal firewall, un programmino di
backup e un antivirus senza dover chiedere aiuto a dei professionisti. Per
la maggior parte delle PMI il DPS è soltanto un'immane rottura di palle,
l'ennesima tassa indiretta.
2) L'alfabetizzazione informatica media delle aziende italiane è minima.
Normalmente questo sarebbe un fattore di rischio, ma in Italia
l'arretratezza informatica è talmente esasperata che paradossalmente
costituisce una protezione. Voglio dire, cosa importa diventare un esperto
di sicurezza delle reti Wi-Fi quando la stragrande maggioranza delle
aziende ha a malapena una LAN ethernet? A che pro diventare guru di router
e firewall quando tantissime aziende a malapena si collegano a Internet in
dialup con un modem 56k? Perché mai essere maghi dei web server, se quando
va bene le aziende hanno un sitarello di cinque pagine su Aruba?
-- 
asd

 
Le aziende che curano "per scelta" la sicurezza delle informazioni sono 
pochissime. Quelle che la curano "per necessità" sono poche. Il problema
non è solo italiano. Nel mio caso ci occupiamo di sicurezza delle 
informazioni a livello internazionale ed il medesimo atteggiamento lo 
vediamo ovunque.
Semmai il problema in Italia è amplificato dal fatto di avere una economia
molto più basata sulla piccola e micro-impresa che in qualunque altra 
parte del mondo. Aggiungi al tutto un momento "fiacco" per l'economia.
Vagli a spiegare al piccolo imprenditore che deve spendere soldi per un 
qualcosa di cui non riesce a misurare il ritorno... il ragionamento medio 
è "se e quando succede vedremo cosa si può fare!".
Anch'io qualche anno fa ho fatto la scelta delle qualificazioni
BS7799 L.A. e CISSP, per me e per alcuni dei miei collaboratori. 
Servono certamente per impostare un metodo, solo in poche occasioni
(aziende più complesse) sono direttamente utilizzate.
Comunque sia in Italia che all'estero i clienti li troviamo. Ci vuole 
pazienza e occorre concentrarsi su organizzazioni grandi, i 
piccoli di norma (abbiamo visto qualche eccezione) o non capiscono
o se capiscono non possono permettersi un consulente di sicurezza...
-- 
A.B.


Ma allora mi incazzo che i media e le newsletter continuano a parlare
di phishing e virus ecc. e poi sono tutti casi stranieri...
DI fatto oggi conviene investire in skills di sicurezza? Anche se
avessi 1 milione di euro non so se lo investirei per una
certificazione ...a questo punto la sicurezza diventa come il web
development, ossia in mano ai ragazzini che lo fanno per hobby tanto i
clienti non sanno giudicare...
UNA PROPOSTA: perchè non creare un'associzione che mira a parlare
"terra terra" di sicurezza e che la affronta con un taglio pratico ?
Che serve parlare di Wi-Fi (come diceva l'amico dalai lamah
antoni...@hotmail.com
) o di vulnerabilità del VOIP ? Parliamo di
sicurezza in modo intelleggibile ed organizziamo eventi con titoli
comprensibili...insomma facciamo come i porno amatoriali, non facciamo
le vedere i pericoli irreali (ad oggi) ma quelli reali.
Penso che troppo si parli di spoofing e sniffing ecc. sono cose che
l'impiegato medio della ns. PMI non sa fare e non farebbe mai...ma
parlare di web apps. e delle loro vulnerabilità, oppure della
formazione dei dipendenti a non usare male le e-mail, i siti e a non
parlare troppo sarebbe più utile credo...
A presto ;-)


 
Ci avevo pensato, ma per motivi diversi. 
.1. Più che parlare, occorre fare. 
.2. Il mercato della sicurezza è ancora troppo piccolo per farsi
    concorrenza fra noi. Il tempo della competizione arriverà, 
    ora è il momento della cooperazione.
.3. In associazione si possono pensare a operazioni di comunicazione
    più in grande stile di quelle che ci possiamo permettere
    singolarmente.
Non mancano le difficoltà naturalmente quali la definizione di 
criteri oggettivi con cui accettare o meno soci, una certa 
tendenza all'isolamento della categoria (tendiamo alla 
convinzione di non aver bisogno degli altri), una certa resistenza
(comprensibile) a mettere a fattor comune conoscenze e soprattutto
metodologie. In passato avevo provato a lanciare una simile 
proposta ai colleghi che conosco e non se n'era riuscito a cavare 
nulla, neanche a livello di discussione preliminare.
Rimango convinto (ma è un'opinione, non un fatto) che oggi 
il mercato di riferimento per la sicurezza siano le aziende dal 
medio in su. Una simile associazione dovrebbe fare i conti 
con un mercato ristretto verso l'alto della piramide e difficile, 
in cui le "grandi case" sono ben introdotte.
Tutto poi si può fare. Se i colleghi del NG pensano che le 
cose siano maturate per pensare seriamente ad una simile 
associazione, sentirei volentieri le loro opinioni.
Caro NanniB, se riusciamo a mettere insieme uno zoccolo duro
di colleghi a cui l'idea interessi magari riusciamo a delineare
i dettagli e a farne una cosa operativa!
-- 
A.B.
<Actions speak louder than words!>

i dettagli e a farne una cosa operativa!
Hai dato un occhiata a quelle che esistono?
Io sono iscritto a CLUSIT e non mi trovo male, è un po' più legata al
mondo aziendale... ma siamo in diversi e comunque non credere che sia
facile promuovere la sicurezza.
Andrea


http://www.nannibassetti.com/
Non c'è più forza nella normalità c'è solo monotonia !

 
Lungi da me! Troppi capelli bianchi (sono in questo settore 
dal 1989). Credo che il problema sia proprio questo, tentare
di promuovere la sicurezza, specie in tempi magri come 
questi, è sbagliato. I contratti che ci portiamo a casa
sono sempre generati dalla necessità di un cliente di
risolvere "un altro problema" che per la sua soluzione
richiede (spesso insieme ad altre cose) sicurezza.
Una tendenza degli specialisti di sicurezza (ma in generale
di tutti gli specialisti di qualunque settore) è di 
parlarsi molto fra loro o di massimi sistemi o di 
dettagli tecnologici. Il più delle volte queste chiacchere
sono irrilevanti sul mercato, il cliente finale vuole 
risolvere il *suo* problema che spesso non coincide
con quello dello specialista. 
-- 
A.B.

 l'impiegato medio della ns. PMI non sa fare e non farebbe mai...
Questa è un'affermazione poco responsabile e che non tiene in
considerazione le ben note statistiche sugli internal threats.
Ciao.
-- 
Ripetetele ai vostri figli:
O vi si sfaccia la casa,
La malattia vi impedisca,
I vostri cari torcano il viso da voi.

 Andrea


Questo è un problema. Se la sicurezza per le medie e grandi organizzazioni
è un mercato piccolo, quello per la PMI è un mercato fra il povero e
l'inesistente. 
Anche perchè se Rischio = Minaccia x Vulnerabilità x Danno (come da
letteratura) il fatto che molte aziende piccole non abbiano segreti di 
gran valore da difendere e siano comunque in grado di sopravvivere
ad un incidente informatico perchè vanno avanti bene anche con la 
carta... paradossalmente le rende più sicure (no, meglio dire "meno
esposte al rischio")
Aggiungici una capacità di spesa fra il poco ed il quasi nulla... e
lo scenario è desolante (almeno per le PMI).
-- 
A.B.

 
Molto simpatica. Sikurezza.org è molto tecnica ed operativa così 
come il Clusit è molto più generico e orientato ai massimi 
sistemi (ed in parte assomiglia a quelle associazioni che in 
altri paesi vengono chiamate "lobby" -- con la differenza che 
in molti paesi questo termine non ha una connotazione negativa).
Ognuna di queste fa bene il suo mestiere.
Credo che NanniB volesse proporre una associazione orientata ad 
operazioni di comunicazione / promozione / sensibilizzazione 
verso potenziali clienti piuttosto che luoghi (fisici o virtuali) 
di scambio di informazioni tecniche. 
Il potenziale cliente medio non ha bisogno ne del 
Clusit che gli racconti le tendenze future delle architetture
di sicurezza ne di Sikurezza.org che gli spieghi perchè una
chiave crittografica di 512 bit è meglio di una di 64 bit.
Un cliente vuole sapere perchè spendere soldi ora e cosa ne 
ricaverà dopo. Purtroppo sono sempre convinto che, con poche
eccezioni, il mercato delle PMI è perso in partenza...
Mi piacerebbe molto avere torto ;-)
-- 
A.B.

 ricaverà dopo.
Boh: io non credo nella "creazione di bisogni".
Se il cliente ha una necessità, cercherà chi può soddisfare tale
necessità.


 
Mi sono piegato male. Anch'io non intendevo la creazione
forzata di bisogni. Intendevo la capacità di capire le
necessità *del potenziale cliente* (magari anche quelle 
di cui non ha piena coscienza) non quella di creargli 
bisogni inesistenti (atteggiamento disonesto).
Questo richiede la capacità e la voglia di ascoltare, 
cose abbastanza rara oggi come ieri (checcè ne dicano 
quelli che abusano del "ai vecchi tempi...").
-- 
A.B.

 ...
esistono ma si guardano bene dal pubblicizzare la cosa... esempio: cosa
penseresti sapendo che dal tuo conto corrente bancario sono stati sottratti
un po' di soldini per via informatica ?

 necessitÃ .
Credo che il punto di vista sia diverso: non si tratta di *creare*
necessità, ma di *far capire* che queste necessità esistono, prima
che si verifichi il danno.
Di fatto, l'ottica della PMI italiana *non è in grado* di valutare
come danno *a priori* qualche ora di fermo pc con l'aggravio delle
spese per ripristino della situazione preesistente.
La sicurezza non viene vista come investimento, e i danni relativi
alla sua mancanza sono considerati solo remotissime possibilità.
-- 
Bye by V.(ipera e le solite differenze tra bottegai e commercianti
          o tra "paròn de fabrica" e imprenditori)

 
Sono d'accordo. Per poterlo fare occorre prima *ascoltare* , con 
sincera volontà, piacere e curiosità intellettuale quello 
che il cliente vuole dirci (anche perchè la *sua* definizione
di *investimento* non corrisponde necessariamente alla mia).
Non diciamo cose diverse, è solo un fatto di come mettiamo 
in fila la catena di causa-ed-effetto.
-- 
A.B.

 Ciao.

 
Già ....ma i morti e feriti si vedranno fra poco...è inevitabile
poichè l'informatica è sempre più presente nelle ns. vite. E quando ti
fregano l'auto vedi come ti compri l'antifurto...
Ma penso soltanto che non se ne accorgano e basta...facciamo un
esperimento.
Qualcuno provi a penetrare un sito e rubare qualche informazione
riservata, senza rompere niente (lo so che è un reato).
Vedrete che l'azienda non se ne accorgerà mai! E voi con quei dati ci
fate quello che volete...una volta ho visto il codice per vincere una
Porshe ma non l'ho usato...pensate che danno avrebbe ricevuto
l'azienda ????
Ciao
Dr. Nanni Bassetti - Security Consultant
---------------------------------------------------
My home page:
http://www.nannibassetti.com/


 in fila la catena di causa-ed-effetto.
Diciamo anche che non aiuta il fatto che molti consulenti siano anche 
venditori, commercializzatori implementatori di sistemi di protezione. 
Fossero consulenti puri, in senso deontologico, non potrebbero vendere e 
sarebbero più credibili nel momento che propongono un investimento, 
perchè ragionevolmente si potrebbe pensare suggeriscano il meglio [*] 
per una particolare applicazione o soluzione, e non ciò che li fa 
guadagnare di più o rientrare a ogni costo nel budget di una 
disponibilità precomunicata.
E' anche vero che poi quando l'azienda si decide a fare vorrebbe appunto 
queste figure miste che progettano, implementano, vendono, installano, 
mantengono, collaudano ... chiavi in mano. La qual cosa è alquanto 
contradittoria ed è spesso foriera di grandi inculate.
Questo è uno dei tanti motivi per cui la grande azienda, che 
internamente ha almeno parte di know-how e conoscenze, e si pone il 
problema ed investe: si da dei capitolati ed obbiettivi e può 
confrontare scenari tecnici e commerciali credibili ed omogenei alle sue 
aspettative. La piccola non ci capisce una sega, confronta proposte 
enormemente differenti fatte spesso anche da grandi cazzari, spesso non 
si raccapezza, e quindi o va di fiducia (se ha conoscenze ben 
referenziate da altri imprenditori di sua fiducia, anzi spesso si 
sentono anche tra concorrenti per queste cose, anche se commercialmente 
si azzannano tutti i giorni, è questa è usanza comune e per certi versi 
molto singolare) o aspetta tempi migliori.
Quando il mercato è credibile e gli scenari operativi sono chiari e ben 
delineati, non è vero che la PMI non investa, o investa meno e male: 
anzi investe in proporzioni spesso molto più e meglio della grande 
azienda, essendone spesso il titolare anche il proprietario e tenendoci 
anche più del dovuto a figurare particolarmente bene o a curare il suo 
gioello come fosse la più grande azienda al mondo.
Il problema vero è che il settore informatico è giovane, 
legislativamente acerbo, commercialmente sbragato, e sopratutto popolato 
da un immane fauna di coglioni di varia natura.
[*] miglior compromesso tra esigenza e costo

 
Quello che sostenevo verso l'inizio del thread. Tutti i mercati 
giovani hanno queste caratteristiche e sempre le avranno.
-- 
A.B,

 
Come mi disse (ma lo diceva a tutti) la mia Rettrice nel consegnarmi 
la laurea "... e si ricordi che questo pezzo di carta vale tanto 
quanto la persona che lo ha in tasca".
Tempo addietro tentai (con risultati nulli) a convincere
l'Ufficio del Garante sulla Privacy almeno ad iniziare una discussione
sulla possibilità di istituire un registro (per titoli? per esame? 
un misto? ) di consulenti per l'adempienza al d.lgs.196/2003. Di fatto 
la risposta (superficiale) fu che c'erano già troppi albi professionali
per mettersi a gestirne uno nuovo... 
Solo recentemente ho scoperto che tale registro è stato istuito dalla 
Legge Stanca (quella per l'accessibilità dei siti) per i professionisti
che dovranno giudicare la rispondenza dei siti della PA alla legge. 
Senza nulla togliere ai miei concittadini disabili, non vedo perchè per
giudicare l'accessibilità di un sito hai bisogno di un professionista
qualificato da un organo dello Stato, mentre per giudicare il 
livello di sicurezza di tutti i dati di una regione o di un ministero, 
chiunque si possa proporre a suo piacimento. 
Misteri della politica!
-- 
A.B.

 per mettersi a gestirne uno nuovo... 
E non posso che essere d'accordo con lui...
-- 
cat: .signature: No such file or directory

 
Anch'io sono d'accordo con lui, è la motivazione che mi lascia perplesso. 
Specie alla luce del "due pesi e due misure" applicato poi alla creazione 
di un albo per la "accessibilità" dei siti. Perchè creare un simile albo 
professionale per valutare cinque (forse sei) criteri di accessibilità e 
non uno per valutare situazioni molto più eterogenee e complesse di 
sicurezza?
Poi gli albi professionali se usati male sono uno strumento di potere, me 
ne rendo conto. Allora o li aboliamo e lasciamo che sia il mercato (che
ci mette tempo e lascia vittime lungo il percorso) a normalizzare 
l'offerta o li trasformiamo in qualcosa di positivo (uno strumento di 
garanzia per il mercato), cioè in quello che dovevano essere fin
dal principio.
-- 
A.B.

 da un immane fauna di coglioni di varia natura.
Mha ! Non credo piů in questa "favola" č dal 1998 che dicono che le
cose cambieranno, che l'informatizzazione e l'informatica sono il
futuro ecc. ecc.
Attualmente vedo che il business tecnologico č portato avanti dalle
playstation, dalle videochiamate (per dirsi ciao facendo vedere gli
occhialoni Dior all'amico cazzone) e a tutto il ramo ludico (chat,mp3
e divx).
E' l'esigenza che non esiste, si preferisce rischiare...tanto sono
tutti convinti che non accade mai niente di rischioso...
RIBADISCO se uno vi frega i dati dal sito e voi non guardate mai i log
files, non ve ne accorgerete mai!
Solo che sul sito...evidentemente non transitano cose preziose...e
siamo al problema azienda <-> sito web , che dal 1996 non si riesce a
sbloccare.
Bho? A questo punto penso che sia utile far capire i pericoli...anche
se io stesso non so se qualcuno preferirebbe rischiare di passare una
giornata a re-istallare i sistemi operativi dei propri pc, piuttosto
che anticipare questo evento nefasto con un consulenza, che gli
illustri come proteggersi.
Cioč vige l'idea: "quando mi capita ci penso"
Non so rimango dell'idea che noi consulenti e i media dovrebbero
abbassare il tiro e cominciare a parlare di casi italiani ecc.
Cmq se qualcuno ha una soluzione...sono accettati i
suggerimenti...altrimenti mi apro una pizzeria :-D
Ciao a tutti
Dr. Nanni Bassetti - Security Consultant
---------------------------------------------------
My home page:
http://www.nannibassetti.com/
 
 



Più l'organizzazione, azienda o P.A. è piccola, più è vero.
Per questo che rimango nel settore delle medie e grandi organizzazioni. 
Le PMI ci capita di inciamparci a volte e non rifiutiamo certo di 
aiutarle se vogliono, ma non le inseguiamo. 
-- 
A.B.

 aiutarle se vogliono, ma non le inseguiamo.
Vabbè per rimanere nel settore tuo bisogna entrarci...il problema poi
è quello degli agganci...non credo che se vado a citofonare alla
Vodafone quelli mi danno un lavoro di consulenza...come fare il
consulente per la polizia postale o i carabinieri, devi conoscere
qualcuno che ti segnali...non c'è un INVIA IL TUO CV nei siti
dell'arma ;-))))
CMQ per curiosità come si chiama la tua azienda?
ciao


 CMQ per curiosità come si chiama la tua azienda?
"Che gli headers siano con voi" (anche questo fa parte delle
nozioni che è utile conoscere).
P.S. per A.B. Perchè axamonline ci mette secoli ad aprirsi?
              (e non ho un modemino a 33K)
-- 
Bye by V.

 
Hmm bella domanda. Intendi dire ora e adesso o sempre (nel senso
che hai provato piů volte e sempre lento č) ???
Do un'occhiata e ti so dire. Grazie della segnalazione.
-- 
A.B.

 che hai provato piů volte e sempre lento č) ???
Ho provato stasera, non so se sia sempre cosě (ci ha messo almeno un
paio di minuti ad aprire la pagina dal link dell'altro sito).
-- 
Bye by V.

               (e non ho un modemino a 33K)
a me va bene e veloce (ADSL LIbero)

 
Va bene ma allora come funziona? Sono io veramente sfigato a trovare
davanti aziende disinteressate che mettono l'informatica e la
sicurezza dopo il taglio delle unghie dei piedi? In quasi dieci anni
di attività nel settore...
Illuminatemi ;-)))
Ciao

 per eudora o outlook...vabbè ma cqm .... irrilevante
Anche il fatto di Google News è irrilevante :-) si tatta di
forma mentis... headers --> infoimprese --> nic --> cognome
e nome --> paginebianche... il tutto in meno di un minuto.
Ma era un "caso" facilissimo e senza trucchi... e le parole
d'ordine sono "paranoia" e "curiosità".
P.S. per A.B. E' sempre buono il gelato a Saint Tropez?
-- 
Bye by V.

 Illuminatemi ;-)))
Fortuna, ingegno, intrufolamenti, accordi con partners di altro
settore, passaparola e un gran sbattimento.
Le pubblicità per chi non può investire a tamburo battente sono
solo un discreto spreco, a meno che, non siano già mirate ad un
particolare target e si conoscano già i punti deboli su cui far
leva.
Ci sono inoltre in giro troppi prodottini di "security" a basso
costo che pur essendo indirizzati al mercato consumer, grazie a
pubblicità aggressive e lavaggi del cervello portano le aziende
ad acquistarli come panacea di tutti i mali e le inducono ad un
illusorio senso di sicurezza e *soluzione definitiva*.
Questi prodottini vengono installati come se fossero cavalli di
frisia con filo spinato e scarica di corrente elettrica, e dopo
lasciati lì a marcire senza neppure tenere conto che anche loro
vanno configurati bene e aggiornati, quindi capisci che ciò che
manca è la cultura di base, e ci vorranno anni prima che questa
venga impartita (e mi domando, da chi?) e assimilata.
-- 
Bye by V.(ipera alle prese con un regolamento per l'utilizzo di
          automezzi aziendali)

 
Non lo so.... perche? Dover saperlo ?!?   :-()
-- 
A.B.


... sono sempre più confuso :-() Mi sono perso un passaggio? :-)
-- 
A.B.


No, almeno che io sappia...
-- 
A.B.

Sentimi bene, A.B., ma chi ti ha messo in mente certe idee?

Ma dalle parti di Saint Tropez ci sei passato senza dubbio.
-- 
Bye by V.(ipera che forse era la cioccolata calda che era buona
          in provincia di Pregnana)