industry 4.0 e sicurezza - 12 set… · nome - afi : 12 settembre 2019 - all you can track and...

Industry 4.0 e SicurezzaOssimoro o Possibilità

Gian Paolo Baranzoni AFI (Sistemi Informativi)

Nome - AFI : 12 Settembre 2019 - All You Can Track And Trace - 2019 | Industry 4.0 & Integrated Supply Chain Solutions for Smart Factory 3

INDUSTRY 4.0 E SICUREZZA

"Gli attacchi informatici possono essere più pericolosi per la stabilità delle democrazie e delle economie rispetto alle armi e ai carri armati. [...] Gli attacchi informatici non conoscono confini e nessuno è immune,.... ".

Jean-Claude Juncker, presidente della Commissione europea, indirizzo

dell'Unione europea, 13 settembre 2017

Nome - AFI : 12 Settembre 2019 - All You Can Track And Trace - 2019 | Industry 4.0 & Integrated Supply Chain Solutions for Smart Factory

Gli europei credono che

le tecnologie digitali

abbiano/ possano avere

un impatto positivo su:

Settori come i Trasporti, Energia, Salute e Finanza sono sempre più dipendenti dalle Comunicazioni e dai Sistemi Computerizzati per la gestione delle loro attività business, e conseguentemente….

4

COME VEDONO LA TECNOLOGIA I CITTADINI DELL’UNIONE

75%

25%

Economia

64%

36%

Società

67%

33%

Qualità della vita

Atteggiamenti verso l'impatto della

digitalizzazione e dell'automazione sulla vita quotidiana, Eurobarometro, 2017

86% dei cittadini europei crede che il rischio di diventare vittima della criminalità informatica sia in aumento.

86%

14%

Eurobarometro su Cybersecurity (EBS 464).

L'Internet of Things (IoT) è già

una realtà.

Entro il 2020 ci

saranno decine di miliardi di dispositivi digitali

connessi nell'UE.

studio condotto per la Commissione Europea, 2014

Fonte Statista® 2019


MA PERCHÉ PARLIAMO DI CYBERSECURITY?

+4.000 attacchi di

ransomware al

giorno

In alcuni paesi

della comunità

europea il 50% di

tutti i reati sono

Cyber crime.

+230.000 attacchi a servizi essenziali

collegati a

Internet, compresi

ospedali e servizi

di ambulanza.

Gli incidenti di

sicurezza in tutti i

settori sono

aumentati del 38%dal 2015.

L'80% delle aziende europee ha subito

un incidente di

sicurezza

informatica lo scorso anno.

Qual è il livello di

consapevolezza

e conoscenza

dei problemi

legati alla

sicurezza

informatica?

Il 51% dei Cittadini Europei non si sente

informato sulle minacce informatiche51%

49%

Il 69% delle aziende ha solo una vaga idea

della sua esposizione ai rischi informatici69%

31%

Il 60% delle aziende non ha alcuna conoscenza

di base della propria esposizione ai rischi

informatici.60%

40%

Relazione sul sondaggio sulla European Cyber Risk Survey 2016


EY Survey Report 2018/2019

6

MA QUEI DATI SONO SUPERATI…..

6.4 MiliardiIl numero di email fake inviate - ogni anno (8/2018)

50%Di autorità locali in Inghilterra che usano software

obsoleti/non più supportati (8/2018)

1.946.181.599Il numero totale di record contenenti dati

personali/sensibili che è stato compromesso tra

gennaio 2017 e marzo 2018

550 MilioniIl numero di e-mail di phishing inviate da una

singola campagna durante il primo trimestre del

2018

1.464Il numero di funzionari governativi in uno stato che

utilizzano "Password123" come password (8/2018)

2 MilioniIl numero di identità rubate ed usato per fare

commenti falsi durante un'indagine USA sulla

neutralità della rete (2018)

729,000 US$L’importo perso da un uomo d'affari in una truffa che

combina "Catphishing" e "Whaling" (2018)

3.62 MilioniIl costo medio di una singola violazione dei dati

l'anno scorso (2018)

Le segnalazioni di violazione dei dati ricevute dalle

autorità competenti superano 59.000

Nota: i dati provenienti da Bulgaria, Croazia, Estonia, Lituania e Slovacchia non sono disponibili al pubblico

GDPR Data Breach (dal 25 maggio 2018 al 28

gennaio 2019 )

Fonte: DLA Piper February 6, 2019


CYBERSECURITY = SICUREZZA 4.0

Perimetro con il quale ci

dobbiamo confrontare

Non possiamo affrontare

la sicurezza come facevamo

nel secolo scorso


CYBERSECURITY = SICUREZZA 4.0

Non posso più gestire la sicurezza come se la mia azienda fosse un castello

Non posso più gestire la sicurezza come se non sapessi che sono presenti delle componenti tecnologiche connesse in rete già all’interno del mio perimetro


CYBERSECURITY - COME AFFRONTARLA

9

1. Il metodo dello struzzo può risultare non propriamente efficace!

3. Solo la competenza può aiutare.....

BISOGNA CONOSCERE LA TECNOLOGIA E

GESTIRLA!

2. Ofelè fa el to mesté!

(Nessuno nasce imparato)

O può risultare pericoloso!


ALCUNE EVIDENZE…..

2008 - Stuxnet - il malware più avanzato ad oggi…., noto! ha bloccato il programma nucleare Iraniano

2012 - Shamoon - il distruttore del MBR - 30.000 PC Arabia Saudita (ARAMCO), rivendicazione "Cutting

Swords of Justice"

2017 - Blocco delle centrali elettriche in Ucraina (azione di sabotaggio informatico sull’Infrastruttura core)

2017 - WannaCry – identificato un Gruppo Nordcoreano come responsabile degli attacchi informatici mondiali

(NHS UK - Operazioni annullate, Ambulanze deviate, dati pazienti resi inaccessibili….

2017 - CryptoLocker - scaricato via e-mail, criptava i dati richiedendo un pagamento per la decriptazione

2018 - MAERSK blocco totale delle attività commerciali (container) del porto di…..

2018 - Atlanta tutti i servizi della municipalità bloccati per 3 settimane (Aeroporto incluso) - CryptoLocker

2018 - Automotive, cancellazione dei dati (tutti) dalle aree condivise…..(blocco totale delle attività produttive)

2019 – Baltimora, tutti i servizi della municipalità bloccati per 3 settimane (FBI Indaga) - CryptoLocker

2019 - Multinazionale Farmaceutica ha debellato un malware che operava sui propri sistemi da + un anno…….

2019 - Capital One, Data Breach con 100 milioni di utenti coinvolti…….


MA DI CHI STIAMO PARLANDO?

NERD / Lupo Solitario Ti faccio un danno per dimostrare quanto sono bravo, o per chiederti un riscatto!

Parliamo di strutture organizzate e finanziate da Governi (Budget e Risorse significativi)

Minacce di tipo avanzato e persistente che sfruttano vulnerabilità di tipo 0Day.

Quelle vulnerabilità che quando scoperte non vengono comunicate alla comunità ma vengono sfruttate………

NSSA (Nation States Sponsored Attack)

APT (Advanced Persistent Threats)

APT1 (Cina), Equation Group (USA), Cozy Bear (CSI),

Minacce che attaccano componenti tecnologiche specifiche

SCADA, Sistemi di Controllo, SIS (disattivando i Sistemi di Sicurezza) di uno specifico modello/fornitore…..


Cybersecurity – Come Affrontarla

Per affrontare in modo

EFFICACE ed EFFICIENTE

le problematiche legate

alla Cybersecurity è

necessario rivolgersi a

specialisti che operano

nell’ambito

dell’Information &

Communication

Technology Security

CIO (Chief Information Officer)

CISO (Chief Information Security Officer)

A questi si possono aggiungere figure ad alto livello specialistico, quali: Security Analyst

Security Engineer

Security Architect

Security Administrator

Security Software Developer

Cryptographer/Cryptologist

Security

Consultant/Specialist

Intrusion Detection

Specialist

Computer Security Incident

Responder

Source Code Auditor

Virus Technician

Penetration Tester

Vulnerability Assessor

La figura del CISO è richiesta

nel Cybersecurity Framework

del NIST e dalla ISO:27001


Con quali Strumenti

13

PROCESSI DI GESTIONE DI DATI ED INFORMAZIONI

ISO 27001 (Information Security Management Systems)

ITIL v3-4 (Information Technology Infrastructure Library)

ISO 20000 (IT Services Management)

…..

SISTEMI/STRUMENTI DI GESTIONE DELLA SICUREZZA

ISMS (Information Security Management System)

SOC (Security Operations Center)

Cyber Threats Intelligence

PAM (Privileged Access Management)

IPS/IDS (Intrusion Prevention System /Intrusion Detection System)

SIEM (Security Information and Event Management

Infrastructure Monitoring System (sistemi di monitoraggio delle infrastrutture)

Mobile Security System

…………..

ma soprattutto

Educazione


Educazione, Gestione, Collaborazione

14

La tecnologia è una componente nella vita di tutti i giorni, non possiamo relegarla

alla sfera privata…… in casa ho la Smart TV ed in ufficio uso il FAX……

in casa ho la fibra e vivo ”on demand”, in ufficio uso la biro…….

Tutti vanno informati/formati sui rischi e le contromisure…..

Tutti i SERVIZI/SISTEMI (Servizi, Infrastrutture) vanno GESTITI/PROGETTATI includendo la

SICUREZZA fra i parametri (security-by-design)……

I PROGETTI VANNO CONDIVISI fra tutte le componenti aziendali, dove ogni

componente aziendale ha le sue competenze e responsabilità……

I SERVIZI/SISTEMI vanno GESTITI e GOVERNATI implementando solidi processi di

Governance

Gli Stakeholders devono essere informati/formati…..

[email protected]

industry 4.0 e sicurezza - 12 set… · nome - afi : 12 settembre 2019 - all you can track and...

Documents