Sicurezza e password degli utenti: anatomia di un data breach

28 venerdì Dic 2018

Posted by in Sicurezza

≈ Lascia un commento

Tag

, ,

Nel nostro intervento al Devoxx Marocco di Novembre 2018 (per consultare il documento in inglese: Secure Software Development Lifecycle Demystified), abbiamo esordito fornendo al nostro pubblico una cifra: 439 milioni di dollari.

Questa è la stima (per difetto) del costo del furto di dati che ha subito Equifax Inc., una società americana di monitoraggio del credito. Nel caso di Equifax, i dati rubati comprendevano i dati personali di circa 145 milioni di cittadini americani: tra i dati trafugati vi erano i codici personali dell’assistenza sociale (SSN), che negli Stati Uniti hanno il valore legale di una firma, essenziali per l’acquisto di beni o attivazione di prestiti.

Equifax non è un caso isolato: quotidianamente una miriade di siti web e società sono vittime di reati informatici.

La preda più ambita in questi crimini sono tipicamente i numeri di carte di credito e le credenziali degli utenti. Secondo una stima di IBM, il costo medio di ogni data breach (il furto di dati da parte di criminali informatici) è stato nel 2017 di ben 3,87 milioni di dollari: costi che tra gli altri possono includere le operazioni di correzione e messa in sicurezza, mancati introiti per indisponibilità dei sistemi, risarcimenti danni, perdite di valore sul mercato azionario, sanzioni e danni di immagine. Questi costi, anche grazie alla recente normativa GDPR, sono destinati a lievitare sensibilmente qualora non vengano prese per tempo le opportune contromisure (il GDPR prevede multe fino a 20 milioni di € o fino al 4% del fatturato annuo globale delle aziende).

Le analisi delle informazioni sottratte negli attacchi informatici sono di fondamentale importanza anche per la protezione dei sistemi: nelle attività di cyber threat intelligence, cioè nelle attività di ricerca e analisi delle informazioni, possono aiutare a comprendere ed individuare le minacce emergenti, così da attuare politiche di protezione adeguate. Continua a leggere →

La minaccia dei malware bancari

12 mercoledì Set 2018

Posted by in Sicurezza

≈ Lascia un commento

Tag

,

Oggi i sistemi bancari sono minacciati costantemente da software malevoli, il cui scopo principale è quello di compromettere la sicurezza dei conti degli utenti.

Una delle famiglie di malware più diffuse è quella di ZeuS / Panda, un vero e proprio kit digitale multifunzione proveniente dai paesi dell’est Europa. Date le sue capacità, tecnicamente può essere definito un RAT (Remote Access Trojan), ovvero un software malevolo progettato per riuscire a prendere il controllo di un sistema remoto.

Cyber Theft Ring

Infografica dell’FBI su malware come ZeuS

ZeuS può essere considerato una vera e propria piattaforma di attacco digitale: acquistabile sul dark web a costi variabili da pochi euro fino a qualche migliaio a seconda delle versioni e delle funzionalità incluse, permette a un attaccante di creare quello che in gergo viene definito trojan horse (“cavallo di Troia”), ovvero un programma malevolo occultato all’interno di file apparentemente innocenti, quale ad es. un file Word.
Continua a leggere →

Warm Wallet: architettura di wallet digitale per servizi IT basati su Blockchain

31 venerdì Ago 2018

Posted by in IT Transformation

≈ Lascia un commento

Tag

, , ,

Le blockchain stanno rapidamente prendendo piede come architetture rivoluzionarie, aprendo la strada a nuove opportunità di business basate su interazioni sicure e decentralizzate.

I wallet sono lo strumento con cui l’utente si interfaccia con la blockchain, forniscono le funzionalità per gestire il saldo e custodiscono le chiavi necessarie alla firma digitale delle transazioni.

Per i wallet esistono differenti tipologie di architetture e diversi componenti hardware/software disponibili sul mercato, con diversi livelli di accessibilità e affidabilità.

In questo articolo sono analizzati i diversi tipi di wallet e viene proposta un’architettura di wallet che unisce l’accessibilità e i benefici di un wallet online con la sicurezza dei cold storage basati su sistemi disconnessi dalla rete.

Schema di interazione tra utenti e blockchain


 

Wallet

Un wallet è il software che consente di interagire con una o più blockchain. Consente inoltre di eseguire e ricevere transazioni, visualizzarne lo stato e tenere traccia del proprio saldo. Continua a leggere →

Le nuove sfide della sicurezza informatica

26 giovedì Lug 2018

Posted by in Sicurezza

≈ Lascia un commento

Tag

,

Discutendo di sicurezza, in un modo o nell’altro mi ritrovo spesso ad esprimere un concetto: molti dei problemi derivano dal fattore umano, concetto che in inglese viene sintetizzato con l’acronimo PEBKAC, Problem Exists Between Keyboard And Chair.

Tutti abbiamo visto film come Codice Swordfish: anche con una pistola puntata alla tempia (accompagnata magari da distrazioni decisamente più gradevoli), un hacker esperto è in grado di bucare un qualsivoglia sistema, digitando pochi comandi alla tastiera… Ma è realmente così?

social engineering

In realtà, uno dei vettori più usati negli attacchi informatici è il social engineering, ovvero la manipolazione del fattore umano: sfruttando alcune peculiarità del carattere e del pensiero umano (empatia, curiosità, paura o anche solo bisogni materiali, come il sesso), chi attacca riesce ad avere accesso alle informazioni più disparate con uno sforzo minimo.

La versione più moderna del social engineering sono le mail di phishing: se mi arriva una mail dalla banca che mi dice che per problemi di sicurezza devo assolutamente accedere al mio Internet banking, quale sarà la mia reazione? La paura suscitata potrebbe spingermi a farlo, senza preoccuparmi della bontà della richiesta.

Per i più curiosi, uno dei libri più importanti sulle tecniche usate nel social engineering è L’arte dell’inganno di Kevin Mitnick, importante hacker-cracker statunitense degli anni ’90.
  Fonte: SMBC Comics

Continua a leggere →

Auto-organizzazione: un equilibrio tra caos e ordine eccessivo

13 mercoledì Giu 2018

Posted by in Complexity, Enterprise2.0, Management, Strategy

≈ Lascia un commento

Tag

, , , , , , ,


A tanti di noi piace il film Matrix. Le macchine che hanno controllo su tutto alla fine perdono questo loro potere. Un controllo così ben pianificato e così perfetto non ce la fa a impedire l’emergenza dell’umano che vuole scoprire e cambiare la sua realtà e si ribella contro il sistema che lo imprigiona.

Io credo che queste macchine intelligenti perdano perché pensano che l’umano è controllabile come sé stesse. È anche la situazione di tanti “capi” di oggi che ancora vogliono controllare la loro organizzazione aziendale come se fosse una macchina. Una macchina sofisticata, ingegnerizzata perfettamente per fornire prodotti perfetti.

Le macchine si possono controllare ma i sistemi viventi no. Le macchine sono prevedibili, hanno un insieme di funzioni e comportamenti limitati e di fatto se li conosciamo bene e se sono fatti bene, non ci sorprendono: sono gestibili, sono “sotto controllo”. Si può dire la stessa cosa di una persona che in continuo percepisce, pensa, agisce, cambia?

È da tempo che vogliamo che le organizzazioni siano flessibili e adattive come organismi viventi ma finora abbiamo saputo trattarle solo come macchine.

Abbiamo già cominciato ad analizzare il problema discutendone gli aspetti generali. In questo post scendiamo nel dettaglio: quale struttura potrebbe rendere un’organizzazione più flessibile e più adattabile?

Continua a leggere →

Blockchain: come sapere se “lei” è quella giusta

25 venerdì Mag 2018

Posted by in IT Transformation

≈ Lascia un commento

Tag

,

Il numero di blockchain disponibili sul mercato è in costante aumento, ogni giorno riceviamo mail di partecipazione a ICO o un invito a provare l’ultima blockchain… Ma quali sono le caratteristiche di una blockchain? Come scegliere quella più adatta al proprio scopo?

Una volta determinato il caso d’uso e compresi i motivi per cui la blockchain apporti un reale vantaggio al proprio sistema, arriva il momento di scegliere quale blockchain utilizzare.

Mentre alcune blockchain hanno caratteristiche simili, altre differiscono molto: la scelta quindi non è scontata e una non vale l’altra. Come per l’adozione di qualsiasi software è necessaria una valutazione.

In questo articolo ragioniamo su quali siano alcuni dei principali requisiti da tenere in considerazione per la selezione della blockchain più opportuna al proprio contesto di applicazione, quali ad esempio utilizzi finanziari (scambio di criptovaluta) o per il tracciamento di eventi (supply-chain, notarizzazione di documenti).

L’analisi riguarda le macro aree:

  • Requisiti sulla criticità del servizio
  • Requisiti sui dati
  • Requisiti su prestazioni e integrazioni
  • Costi

Requisiti sulla criticità del servizio

È necessario tenere ben presente il contesto business in cui si opera domandandosi quale sia il livello di criticità del servizio erogato, ad esempio situazioni potenzialmente pericolose per l’uomo o per la natura, i ricavi economici legati al servizio, o ancora implicazioni legali. Continua a leggere →

DevOps, non solo strumenti ma soprattutto persone

26 lunedì Feb 2018

Posted by in IT Transformation

≈ Lascia un commento

Tag

, , ,

La trasformazione digitale è un processo che le aziende devono attraversare per poter mantenere un vantaggio competitivo in un contesto in cui il mercato è sempre più mutevole. Gli approcci di gestione dei sistemi IT tradizionali, basati su silos aziendali, risultano oramai inadeguati di fronte alle esigenze di cambiamenti frequenti in tempi molto stretti.
Queste sfide, in aggiunta al fatto che i sistemi informativi diverranno sempre più complessi, spingono le organizzazioni a una presa di coscienza per poter affrontare una situazione che rischia di diventare ingestibile.

Proprio per questo, sempre di più le organizzazioni italiane stanno cercando di accogliere i principi DevOps all’interno del proprio ecosistema IT. DevOps è una metodologia riconosciuta a livello internazionale ed è la combinazione di due termini: Development (le attività di sviluppo) e Operations (la messa in produzione di quanto realizzato dagli sviluppatori). Il nome incarna un’esigenza di maggior collaborazione e coinvolgimento tra gli uffici, entrando quindi in forte contrapposizione al modello a silos, dove ogni reparto tende a procedere “per conto proprio” o addirittura a discapito degli altri.

Secondo la nostra esperienza, DevOps presenta molteplici definizioni, a seconda del punto di vista che si vuole enfatizzare: Continua a leggere →

Video

Dal prodotto ai servizi: l’innovazione secondo CucinaBarilla

19 lunedì Feb 2018

Posted by in IT Transformation, Open Innovation Lab

≈ Lascia un commento

Tag

, , ,

“Un buon prodotto non basta più. Per stare in tavola, la ricetta giusta è innovare”: Matteo Gori, managing director di CucinaBarilla ha raccontato la sua esperienza in Barilla all’Open Innovation Lab. L’evento si è svolto il 2 febbraio presso la sala espositiva di Cooperativa Ceramica d’Imola ed è stato organizzato da Imola Informatica, Innovami e dall’Università di Bologna.

Il cambiamento nel modello di business

Il progetto CucinaBarilla, lanciato nel 2015 dopo diverse sperimentazioni, prevede l’utilizzo di un forno particolare, disegnato in partnership con Whirpool, per cucinare una serie di piatti pronti sviluppati da Barilla. Il forno è in grado di leggere quantità d’acqua, tempo, modalità di cottura e temperatura da una etichetta RFID (Radio Frequency Identification) presente sulle confezioni dei prodotti. Per questo il forno Cucina Barilla “cucina al posto tuo e lo fa sempre bene”.

Nel suo racconto Matteo Gori ha evidenziato come, partendo da un modello di business che non funzionava, l’azienda ha avuto il coraggio di ammettere l’errore e rivedere completamente il progetto.

All’inizio infatti occorreva acquistare separatamente forno e piatti pronti sui canali di vendita tradizionali della grande distribuzione. Il costo del forno, anche se può essere usato come un normale microonde, è abbastanza elevato (699 €) e difficilmente le persone sono incentivate a sperimentare.
Continua a leggere →

Cybersecurity: la difesa è nel valore umano

04 lunedì Dic 2017

Posted by in Complexity, Digital Society, Open Innovation Lab, Strategy

≈ Lascia un commento

David Bevilacqua - Yoroi

David Bevilacqua – Yoroi

La cybersecurity è uno dei temi più popolari degli ultimi anni. Noi di Imola Informatica pensiamo che sia una questione culturale prima che tecnologica.

Per questo motivo abbiamo chiesto a David Bevilacqua di parlare all’Open Innovation Lab di Cybersecurity e di società digitale.

Bevilacqua, co-fondatore di YOROI ed ex Amministratore Delegato di CISCO Italia, ha fatto un racconto appassionante di un futuro che si avvicina velocemente, fatto di miliardi di dispositivi interconnessi, e di come siamo impreparati alla difesa di questo nuovo mondo.

Un mondo dove non esiste più una distinzione tra online e offline: tutto e tutti saranno sempre connessi alla rete anche quando non ne sono consapevoli. Tutto questo migliorerà profondamente la nostra vita, ma dobbiamo prepararci a gestire questa situazione.

Ma qual è l’aspetto più tipico della cybersecurity oggi? La facilità d’attacco!

Continua a leggere →

CoderDojo: come spiegare ai bambini la programmazione nel mondo reale

27 lunedì Nov 2017

Posted by in Digital Society

≈ Lascia un commento

Tag

, , , , ,

Si può portare la programmazione nel mondo reale?

A inizio estate ci siamo incontrati per ragionare sulle novità che avremmo potuto introdurre nel CoderDojo. È un’iniziativa che coinvolge molti di noi di Imola Informatica per avvicinare i bambini e i ragazzi alla programmazione e farli appassionare con attività divertenti.

Venivamo da due anni di Scratch nei quali avevamo esplorato quasi tutte le possibilità, compreso stendere l’impasto della pizza! 🙂 Negli eventi di solito portiamo anche attività di Tinkering, un metodo educativo per avvicinare bambini e ragazzi allo studio delle materie STEM (Scienze, Tecnologia, Ingegneria, Matematica) in modo pratico, giocando.

Avendo notato una netta separazione tra le attività di programmazione e quelle di Tinkering, abbiamo valutato la possibilità di avvicinare le due cose: si poteva portare la programmazione nel mondo reale? C’era modo di far toccare con mano gli effetti della programmazione, fuori da un computer?

Ai bambini interesserà?

Abbiamo quindi organizzato un evento con l’obiettivo di dimostrare che i principi di programmazione possono essere connessi alla realtà, ad esempio programmando un robot per eseguire dei movimenti.

I bambini erano stupefatti ed entusiasti!

Avendo avuto un riscontro positivo, abbiamo sviluppato ulteriormente l’idea. Facendo delle ricerche ci siamo accorti che la programmazione poteva essere fatta solo nel mondo virtuale o in quello reale. I due mondi non erano realmente integrati. Ci siamo quindi inventati un mondo per bambini in cui prima si simula una soluzione e poi si verifica, nella realtà, se funziona. Vogliamo quindi condividere qualche dettaglio di questa esperienza.

Un rover su Marte!

Nell’ultimo CoderDojo abbiamo tentato una replica di alcune delle attività che la Nasa ha utilizzato con il "Mars Rover Curiosity". Immagine del portale sul quale i bambini caricavano la loro simulazione per inviarla al Mars Rover Curiosity (interpretato da un MBot)

Muovere un robot su Marte è decisamente più complicato che farlo nel cortile di casa. Ogni comando subisce un ritardo di una decina di minuti e il feedback arriva sulla terra dopo altri 10. In quei 20 minuti il rover è fermo e può affondare, scivolare o altro. Quello che si fa in queste situazioni è simulare l’ambiente in cui è presente il robot ed inviargli un pacchetto unico di istruzioni.

Continua a leggere →