Newsgroup: it.lavoro.informatica
Titolo: IT Security in Italia

Salve
Vorrei chiedere agli addetti ai lavori, come mai non ho mai visto un
annuncio di richiesta di lavoro per IT security specialist/architect?
Come viene gestita la sicurezza informatica nelle aziende italiane? Chi si
occupa della sicurezza? Il solito mal pagato e sovrastato da tonnellate di
lavoro del sys admin? Come reagiscono al rischio di cyber-attack le aziende
che specialmente basano il business sul E-Business? Pensano di essere immuni
se hanno un firewall? O pensano che il rischio non esiste perche non sono
mai state attaccate (la realta e' non sono mai state in grado di detect un
attacco)?
Oppure la situazione e' diversa?
Grazie
Tony

 Tony
Sono daccordo con te!
Io sono un sistemista e  lavorando in outsourcing posso dire che di
aziende ne ho viste veramente tante e tutte se ne strafregano della
sicurezza! Pensano che un firewall e un antivirus possano essere la
soluzione ideale per un problema che sconoscono!!!
Non sanno niente di sicurezza informatica, non pensano minimamente che ci
possono essere molte più probabilità che un attacco informatico arrivi
dall'interno! Aspetta e spera che un firewall se ne accorga! :-D
-- 
questo articolo e` stato inviato via web dal servizio gratuito 
http://www.newsland.it/news
 segnala gli abusi ad 
ab...@newsland.it

 e' diversa?
NON pensano.
Kizz,
Eli+
-- 
*** Marco Tizzoni  ***************************************************
* Microsoft Certified Professional x2 ID#: 2244986                   *
* Cisco Certified Network Associate 2.0	ID#: CSCO10589953	     *
* Key Fingerprint: 58FE 190E 47BB C197 823C  D7B4 DE6F EA83 EBE2 C140*

 dall'interno! Aspetta e spera che un firewall se ne accorga! :-D
Anche se l'attacco viene effettuato dall'esterno su uno dei servers del DMZ
(tipo Web/Mail, etc..) il firewall non se ne accorge...dopotutto il traffico
passa legalmente sulle porte consentite...
Come prime risposte mi sembrano poco incoraggianti...
Tony

 Come viene gestita la sicurezza informatica nelle aziende italiane?
Un mio ex-amico dipendente Accenture si occupa(va) della sicurezza in 
Omnitel (quindi Accenture fa anche questo). 
Per il resto ci sono diverse piccole società nel campo, io stesso ero in 
contatto con una di queste (
http://www.secureway.it/
) perché molto 
interessato dal settore, poi il caso ha voluto che finissi in 
tutt'altro campo.
stewie

 wrote in message
news:7Gp4a.94304$F63.2...@news.xtra.co.nz...

Tanto con lo stato pietoso dell'ebiz in Italia che vuoi andare a hackerare?
chissa' quanti server/webserver/db avranno ancora la password di
default.....

 interessato dal settore, poi il caso ha voluto che finissi in
beh io ci ho lavorato in secureway fino ad un paio di mesi fa, della
sicurezza informatica fanno il loro core business, nel senso che forniscono
consulenza ad alto livello ai vari clienti per le problematiche di
sicurezza. Di per se e' un'azienda piccola, ma fa parte del gruppo ITWAY
(
www.itway.it
) che e' lider(veramente) in Italia sulla sicurezza.
Lazarus.

 occupa della sicurezza?
Con il Norton o il Panda antivirus....ogni tanto cliccano su "update" e lo
aggiornano....
Quando gli proponi servizi legati alla security...ti dicono:" Ce l'ho
l'esperto, è quello che mi ha installato l'antivirus, ogni tanto viene qui
ad aggiornarlo..:"
Solo dopo aver subito danni di un certo "peso" capiscono che non è così.
Essi che dovrebbe essere come per le assicurazioni auto.
Paghi un servizio di security per garantirti "l'immunità" da certe cose...ma
in Italia spendere per qualcosa che al momento non serve, non si vede, non
si tocca...è sempre un casino...
Oddio...fortunatamente tutti tutti no....ma molti sì :-(
Ciao
Shiva :-)

 Oppure la situazione e' diversa?
La situazione, IMHO è che esistono più "esperti di sicurezza" (o presunti
tali) di clienti che comprano dalla ditta di e-business.
Come, per fare un esempio diverso, paradossalmente tra poco esisteranno più
DJ di gente che va in discoteca, più medici che pazienti, ecc
E al di là di queste considerazioni sarcastiche (i mestieri che "vanno di
moda" sono i peggiori, vista la concorrenza spietata tra i lavoratori) c'è
da dire che alcune aziende che si occupano di sicurezza sono le prime a
essere cialtrone. Ne ho viste alcune che chiedevano fior di soldoni per un
test a distanza sulla sicurezza con report inviato via email. Mi dà l'idea
che prendano soldi dalle ditte sprovvedute puntandogli contro qualche test
automatico e poi inviandogli il report.... insomma a lanciare uno script
siamo buoni anche da noi. Un vero esperto di sicurezza viene sul posto,
smanetta sul server, controlla l'architettura disegnata dal sysadmin, si
consulta con quest'ultimo, controlla le patch installate sul server, va a
vedere i privilegi nei db,ecc ecc ma soprattutto con un lavoro che richiede
almeno una settimana a tempo pieno, non una mattinata e magari da remoto. E
soprattutto in genere quelli che vengono sono sistemisti diversi per ogni
architettura. C'è quello esperto di solaris, quello di hp-ux ecc, non uno
smanettone tuttologo. Questi quà invece IMHO lo sai che fanno? Appena
trovano un cliente che abbocca e chiede un test, gli lanciano un nessus
contro (o qualcosa di analogo), lo spaventano facendogli vedere quanti buchi
ha e poi gli chiedono n*10^4 euro per ricostituire tutto da zero perché
"così è insicuro".

Dimenticavo di dire che IMHO un normale sistemista si deve occupare ANCHE di
sicurezza (e non viceversa), un po' come l'elettricista che si occupa ANCHE
della sicurezza degli impianti, no? PErché creare una figura che faccia solo
quello?

 router.
ULTRA-STRA-MEGA-ROTFL :-)))))))))))))))))))))))))))

 ha scritto nel messaggio
news:b2td75$1foocg$1...@ID-125505.news.dfncis.de...

dipende dalla realta'. Se e' grande e' una figura necessaria e distinta dal
sistemista, non fosse altro che, per esempio, solo specializzarsi nella
branca di Computer Forensic (autopsie dopo i danni del crecher di turno ) o
diventare un vero esperto di IDS , necessita di un Culo elevato al Quadro e
di tanto tanto tempo ; ricordati che il sistemista, essendo occupato col
mocio vileda dopo l'installazione del server, non ne ha piu' :-))

 Tony
Da me la password č... password O_O
(account di amministrazione di rete).
Non posso cambiarla perchč decidono tutti i grandi capi.
chi si occupa della sicurezza ogni tanto rilascia qualche mail con scritto
"mi raccomando fate le password piu lunghe di 6 caratteri" oppure "non
usate come password il vostro nome di battesimo"...
con il risultato che le psw degli utenti sono piu sicure di quelle che
"contano".
mah.


 Come viene gestita la sicurezza informatica nelle aziende italiane?
Viene ignorata, semplice

 Oppure la situazione e' diversa?
qua si piange a latte versato!
la sicurezza (sicurezza?) la fa il sistemista disperato di turno..
poi a volte viene un clown (tipo accenture) e ti dice che ha la verita'
in tasca e se il capo la beve ecco che:
- sei meno sicuro di prima (ed e' gia un record secondo me)
- sei piu' leggero
- ti senti felice
- se succede qualcosa scappi
Ergo

 - se succede qualcosa scappi
mmm... false sense of security e' ancora piu pericolosa del true sense of
insecurity...
Tony

 wrote in message
news:b2td75$1foocg$1...@ID-125505.news.dfncis.de...

Giusto, se per questo l'anello piu' debole di un sistema di sicurezza sono
gli utenti ...Loro dovrebbero essere i primi ad 'occuparsene a livello' o
almeno essere al corrente che esista. Al secondo posto ci sono i sys-admin,
con architetture network che  alcune volte fanno 'rabbrividire', tipo DMZ
che non sono vere DMZ,  internal modems che si connettono dall'interno
all'esterno (e viceversa) e che quindi by-passano il firewall, inesistemti o
ridicole security policies...
Un sistemista dovrebbe essere paragonato al medico generico che conosce un
po' di tutto...poi ci sono gli specialisti. E' chiaro che ci sono anche un
mare di wanna-be che pretendono di essere dei security expert dopo aver
provato il nuovo tool scaricato da 
www.ora_ti_hacko.box.sk
  .
Comunque ci sono anche specialisti serii che si occupano exclusivamente di
sicurezza a tutti i livelli e che lo fanno da anni ...
Ciao
Tony

 non si tocca...è sempre un casino...
Ricorderò sempre la frase che mi disse l'amministratore di una società...
"Un server ? E io dovrei comprare un computer per chiuderlo in una stanza ?
Io i computer ho bisogno di usarli!"
Massimo

ams67(kiwi) ha scritto:

IMVHO gia il senso di sicurezza (vero o falso) e' un errore e uno stato
mentale che porta a disastri...
Gli attacchi che puoi subire (e non rilevare) sono tanti tantissimi, e
spesso ci sono situazioni grottesche dove non serve neanche un IDS,
basta guardare le directory htdocs per rendersi conto che:
- all'80% delle persone che hanno serve win2k esposti su internet 
nessuno ha spiegato che IIS messo li e lasciato stare e' sicuro quanto
la capanna di paglia dei tre porcellini
- l'smtp che ti gira come processo e ti prende il 70% del tempo cpu non
e' un servizio di sistema necessario (come ho sentito dire da un
"tennnico" una volta) e' solo un open relay mal configurato o sfondato
che sta partecipando allegramente allo spam di chissa' quante caselle.
- non e' mettendo un firewall da 400 mila vecchie lire che si risolve
tutti i problemi
- non e' avendo una dmz che si vive tranquilli
- la password root sull'utente root e' una cosa stupida (sapessi
quante...)
- la password nulla o admin sull'administrator e' una cosa stupida.
- le remote shell vanno segate se non necessarie
....
....
....
ma tanto che parlo a fare... mi ascoltano solo dopo che qualcuno
ha distrutto qualcosa...
Ergo

Oppure la situazione e' diversa?
L'unica altra cosa che so è che avevo ricevuto una proposta da
un'azienda che fa della security il proprio business... in pratica
avevano costruito un accrocchione in un solo armadio con stonebeat,
tre firewall1 in ha e un altro paio di macchine win2k e volevano
metterci i sistemisti a farci i turni sopra (3 turni x 8 ore e anche
nei weekend le rotazioni).
Ci ho pensato un po' eppoi ho lasciato perdere.... me lo dici come
fanno a coprire una settimana, weekend compresi, con 4 persone ?
Li in NZ invece com'e' ?
Krusty

interessato dal settore...
whoops!
Krusty

(
www.itway.it
) che e' lider(veramente) in Italia sulla sicurezza.
Mah, afaik ITWAY è solamente un distributore di prodotti.....
nella sua sede principale non esistono tecnici!
Krusty

 Li in NZ invece com'e' ?
Come ho detto prima, tutto il mondo e' paese...E' chairo che e' ancora piu'
assurdo pensare che una delle potenze economiche come l'Italia (perche'
anche se sembra strano..l'Italia lo e') non abbia un sistema piu' adatto per
proteggere l'assett delle proprie azinde ... In the UK per esempio, sta
entrando in vigore una legge che impone alle aziende che manipolano
sensitive data (come dati personale e credit card numbers) di essere
accreditate alla normativa ISO 17799 o (BS 7799). Se non passi il test non
puoi fare e-buz.
http://www.vnunet.com/News/1138801
In NZ la situazione non e' tanto dissimile da quella italiana dal punto di
vista di 'security awareness'. Gran parte del mio lavoro e' dedicato alla
'evangelizzazione' del concetto di sicurezza presso le compagnie governative
e private piu' a rischio. Posso dire che l'unico modo per attirare la loro
attenzione e' tramite lo 'spavento' ... Dopo previa autorizzazione mi
diletto a penetrare i loro costosissmi FW oppure modificare le loro
importantissime e-mail (e.g. cambiare il valore $ 1,000 to $ 1,000,000). In
questo modo (solo in questo modo) sto iniziando ad avere i primi
risultati...ma la strada e' ancora tutta in salita...
Buona fortuna a tutti i systemisti e non ...
Tony

Buona fortuna a tutti i systemisti e non ...
Denghiů, anche a te!
Ciao,
Krusty