Nad S.r.l. gdpr Archivi

Social Engineering, di cosa si tratta esattamente?

18 Giugno 2019

Il social engineering – l’ingegneria sociale – è l’arte di manipolare persone coinvolte in dinamiche sociali e, dunque, di gruppo. Il suo scopo è quello di carpire informazioni sensibili.

Quest’arte della truffa è sempre più usata con un allarmante tasso di successo per violare sistemi informatici. Tra gli analisti si fa avanti l’idea di affrontare il fenomeno con un approccio che fonda l’aspetto tecnico con quello psicologico/antropologico/umanistico. Il solo approccio tecnico è decisamente insufficiente ad arginare il social engineering.

Efficienza del Social Engineering

L’evoluzione tecnologica ci ha condotto a vivere in un momento storico in cui le interazioni umane quotidiane avvengono oramai in un contesto prevalentemente “non fisico”.
Non più contatti faccia a faccia, ma cloud, big data, social media e mobile. Gli attacchi di Social Engineering risultano pericolosi proprio perché non tecnici. O quantomeno non principalmente tecnici.

Le aziende possono adottare misure di sicurezza fitte, strutturate ed all’avanguardia, ma ovunque sia presente forza lavoro “umana”, sono presenti anomalie costantemente rilevabili. Autostima, fiducia negli altri, sottomissione, calcolo, interesse, dissonanza cognitiva, ignoranza, sono i nuovi piedi di porco (armi?) che rendono di poco conto – a volte inutili – tali misure difensive.

Come combattere il Social Engineering

Il Social Engineering non è altro che la manipolazione umana: sfrutta conoscenze nell’ambito psicologico, sociologico, antropologico, umanistico ed infine informatico. Non esistono quindi misure di sicurezza tecniche costantemente e sicuramente valide, che possano arginarlo.

L’unica risposta plausibile ad esso è il coinvolgimento della forza lavoro tutta. La formazione delle risorse umane è il principale modo di fornire loro gli strumenti per poter riconoscere un eventuale attacco e, conseguentemente, poter rispondere adeguatamente ad esso.

I target più comuni sono i lavoratori che si trovano “ciberneticamente” ai confini dell’azienda: receptionist, help desk, assistenti, clienti e fornitori.
L’attaccante dapprima instaura una certa tipologia di relazione con la vittima (professionale, d’amicizia, empatica e così via). Successivamente, crea appositamente una situazione di grave emergenza e si propone come unico risolutore.

Aperto il varco in e tramite uno dei bersagli sopracitati, per l’attaccante è semplice iniettare una entità tecnologica (backdoor, spyware, malware…) qualsiasi. Questa, a sua volta, può generare impatti fortemente negativi per l’azienda: una “semplice” perdita economica, perdita di business continuity, conseguenti danni reputazionali.

Non è un caso se GDPR e normativa sui dati personali si basino contemporaneamente su tecnica ed umanistica. Queste devono dunque divenire competenze imprescindibili per gli analisti.

Password efficaci – rafforza la sicurezza dei tuoi account

23 Gennaio 2019

Creare una password sicura ed efficace sembra facile, ma così non è.

Alla fine di questo 2018, SplashData pubblica l’ottava lista annuale delle 100 peggiori password utilizzate dagli utenti. Tra esse, le dieci più scontate e quindi più insicure, sono:

123456
Passw0rd
123456789
12345678
12345
111111
1234567
sunshine
qwerty
iloveyou

Come creare una password sicura?

Si parta dal fatto più ovvio, la password non deve essere una semplice sequenza numerica e non deve neanche essere una parola o una frase comune: evitare il proprio nome o cognome, e la nostra data di nascita o quella dei nostri cari più vicini.

Piuttosto che dire come non debba essere creata una password, ecco quali direttive usare per costruirne una incorruttibile.

Prima di tutto, deve essere composta da almeno dieci caratteri. Questi devono a loro volta essere alfanumerici, con alcuni speciali (quali ad esempio: #@[]è…). D’obbligo l’alternanza di caratteri minuscoli e maiuscoli.

La password C0st@nt1n0pol! dovrebbe essere inviolabile poichè rispetta tutte le indicazioni precedenti. Effettivamente è molto robusta, ma perché sia maggiormente inviolabile dovremo usare qualche altro espediente.

Per migliorare la sicurezza è utile quindi usare parole senza senso compiuto (es: Rhp05G@@1?) oppure frasi composte da più parole (Bl4d3rUNn3rèb£ll!ss!m0); inoltre, è bene utilizzare una password diversa per ogni account.

Infine è bene evitiare di lasciare le proprie parole chiave scritte in luoghi visibili (postit, quaderni, etc.) e soprattutto di inviarle via mail.

Come ricordare le password

Rimane il problema di ricordarle, come fare se non possiamo scriverle da nessuna parte?

Ci sono programmi o app che vi permettono di memorizzarle. Tali programmi sono a loro volta protetti da una password. E’ necessario a questo punto ricordare quell’unico codice di sicurezza per accedervi e poter recuperare tutti gli altri.

PHP 5 fine vita – milioni di siti web vulnerabili

19 Dicembre 2018

A partire da questo mese, le versioni 5.6 e 7.0 del linguaggio di scripting lato server PHP raggiungeranno la fine del ciclo di vita e non saranno più supportate. I siti Web che utilizzano queste versioni di PHP verranno eseguiti su piattaforme che non riceveranno più aggiornamenti o patch di sicurezza.

Tali siti saranno estremamente vulnerabili ad attacchi informatici e, di conseguenza, all’esposizione dei dati.

Diffusione di PHP 5

E’ necessario aggiornare immediatamente i siti che eseguono PHP 5 alle versioni più recenti (e supportate!) di PHP: 7.2 e 7.3. Purtroppo a molte aziende manca la visibilità di quante e quali applicazioni possiedano. Quali di esse siano esposte su Internet e di conseguenza ad attacchi. Quali eseguano PHP e, conseguentemente, debbano aggiornare all’ultima versione.

PHP 5 è ancora molto diffuso, eppure è evidente ci si stia muovendo per aggiornare i siti. Nel grafico seguente, è possibile osservare un picco nell’adozione della versione 7 di PHP, probabilmente in un ultimo tentativo di aggiornamento prima della fine del ciclo di vita:

Stato del supporto e cicli vitali

PHP 5.6

PHP 7.0

PHP 7.1

PHP 7.2

PHP 7.3

NON riceverà aggiornamenti di sicurezza dopo il 31 dic 2018.

NON riceverà aggiornamenti di sicurezza dopo il 3 dic 2018.

Riceverà aggiornamenti di sicurezza fino al 1 dicembre 2019.

Riceverà aggiornamenti di sicurezza fino al 30 novembre 2020.

Rriceverà aggiornamenti di sicurezza fino al 6 dicembre 2021.

E’ sufficiente ragionare su alcuni dati:

WordPress, il software che alimenta il 31% dei siti web, raccomanda l’utilizzo di PHP 7.2 ma il 64,5% usa ancora il 5.x e il 19,8% usa 7.0.
Laravel 5.7 richiede ≥7.1.3.
Magento 2 supporta 7.0.13-7.0.x e 7.1.x.

Conseguenze prossime

Per fare un esempio, proprio recentemente, è stata divulgata una nuova vulnerabilità di Drupal che ha richiesto la necessità di applicare patch su migliaia di host.

Sfortunatamente, molti team di sicurezza sono parzialmente ciechi: risorse sconosciute, non documentate e non gestite che spesso fungono da incursioni per attacchi informatici e violazioni dei dati dall’esterno. Avrebbero bisogno di un sistema che monitorasse costantemente le risorse Web. Uno strumento di scansione che si aggiorni automaticamente con le ultime informazioni sulle nuove vulnerabilità, proprio come le versioni obsolete di PHP.

E’ chiaro che molte aziende non siano in grado di porre rimedio autonomamente a queste vulnerabilità. Ma la visibilità della portata dell’impatto consente ad un’organizzazione di gestire e comprendere il proprio rischio complessivo e di quali strategie adottare.

E’ dunque ovvio che quelle aziende che possiedono siti che utilizzano ancora PHP 5.x (o 7.0) debbano contattare il proprio provider di hosting per iniziare ad utilizzare una versione sicura del linguaggio. Quantomeno la 7.2.

Le aziende che avessero necessità di identificare se siano vulnerabili o che avessero necessità di supporto nel migrare (piattaforme o applicazioni) ad una versione sicura di PHP contattino NAD oggi stesso.

Marriott hotels sotto attacco – a rischio dati 500 milioni clienti

3 Dicembre 2018

Attacco haker al colosso del turismo a stelle e strisce Marriott.

Il database delle prenotazioni della catena di alberghi Starwood, parte del gruppo Marriott, ha subito un attacco hacker. L’attacco stesso ha coinvolto i dati di 500 milioni di clienti dal 2014. O almeno, così riferisce la società, aggiungendo che è in corso un’inchiesta interna e che i clienti colpiti verranno avvisati.

La Marriott ha spiegato in una nota che un dispositivo di sicurezza interno ha segnalato un tentativo di accesso al database Starwood.
Anche il procuratore generale di New York ha aperto un’istruttoria sul caso.

Una «persona non autorizzata» causa dell’attacco

Dopo una breve indagine è emerso che «una persona non autorizzata si è appropriata di alcune informazioni». Per 327 milioni dei 500 milioni clienti colpiti si tratta di

dati personali come nome, cognome, indirizzo di casa, di posta elettronica, numero di telefono, numero del conto, data di nascita, giorno di arrivo e della partenza.
Siamo profondamente dispiaciuti per l’incidente

ha detto la compagnia americana annunciando di aver creato un sito per aiutare i clienti colpiti negli Stati Uniti e in altri Paesi.

Questo subito da Marriot è più grande data breach della storia

Secondo il principal security researcher di Kaspersky Lab,

si tratta di uno dei più grandi data breach di sempre. Mentre cerchiamo di accertare l’entità reale dell’attacco, sembra chiaro che le precauzioni prese dal gruppo Marriott non siano state sufficienti, dal momento che una terza parte non autorizzata è riuscita ad infiltrarsi nel sistema. I dati erano criptati, ma è possibile che gli hacker abbiano sottratto anche le chiavi di accesso, a riprova del fatto che un ulteriore livello di sicurezza sarebbe dovuto essere presente al fine di evitare una situazione simile.

Il rischio per le carte di credito

Non solo la mole di dati trafugati è enorme, ma la tipologia di dati personali coinvolti rappresenta un database di dati estremamente privati di milioni di persone; in alcuni casi sono stati coinvolti persino i dati delle carte di credito. Questo apre la possibilità che ulteriori minacce possano verificarsi, da attacchi di spear-phishing al cyber spionaggio. Un incidente di tale portata potrebbe rappresentare un punto di svolta nell’adozione di policy per la privacy e di più attente abitudini personali circa i dati che condividiamo.

Attacco Hacker – danni alla pubblica amministrazione italiana

23 Novembre 2018

Il 12 Novembre è avvenuto un allarmante attacco hacker, che ha avuto ricadute importanti in particolare nella pubblica amministrazione.

Sicuramente l’attacco cibernetico dal maggior impatto lanciato nel 2018 contro l’Italia.

Gli hacker hanno trafugato i dati personali di centinaia di migliaia di cittadini. Hanno colpito circa 3000 soggetti del pubblico e del privato, più di 30000 domini e circa 500000 caselle postali, delle quali 98000 del CISR (Comitato Interministeriale per la Sicurezza della Repubblica).

“La situazione è sotto controllo, ma vanno prese al più presto misure adeguate per innalzare le cyber difese”

Questa la dichiarazione dell’Intelligence Italiana. L’attacco sembrerebbe essere partito dall’estero, per poi essere bloccato nel giro di poche ore.

Pubblica amministrazione

L’azione ostile ha mandato in tilt i tribunali, poichè il furto di dati personali delle Pec di magistrati ha generato il conseguente blocco dei servizi delle Corti d’appello di tutto il Paese.

L’attacco hacker ha interessato anche i ministeri di Esteri, Interno, Difesa, Economia, Sviluppo economico. Roberto Baldoni, il vicedirettore del Dis con delega alla cyber security, dichiara che la situazione ora è sotto controllo; quanto accaduto dimostra che debbano essere prese al più presto misure adeguate per innalzare le cyber difese.

Telecom di Pomezia bersaglio dell’attacco hacker

La polizia postale indaga sugli hacker, il cui bersaglio sarebbe stato Telecom di Pomezia (Roma), fornitore di servizi di Posta Elettronica Certificata.

Il 12 Novembre l’azienda si è resa conto di quanto stesse accadendo ed ha bloccato il servizio in via precauzionale. Il giorno dopo, Telecom ha notificato l’incidente al Centro nazionale anticrimine informatico per la protezione delle infrastrutture critiche; questi infine l’ha segnalato al Nucleo per la sicurezza cibernetica, istituito presso il Dis.

Telecom – per tutelare i propri clienti – ha bloccato il servizio ed ha inviato ai propri utenti una mail contenente un link per ottenere il reset della password della pec. L’azienda riattiva la casella postale certificata dell’utente solo dopo che questi ha eseguito il cambio della password stessa.

Il 14 novembre Giuseppe Conte ha ricevuto la notifica dell’episodio, data la rilevanza del medesimo. Il presidente del Consiglio ha convocato una riunione tecnica del Comitato interministeriale per la sicurezza della Repubblica (Cisr) per un approfondimento.

Al termine della riunione Baldoni ha tenuto una conferenza stampa per rassicurare la popolazione in merito alle operazioni di contenimento adottate:

“la situazione è sotto controllo, il ripristino della funzionalità è tuttora in atto”. I singoli devono cambiare le password di accesso alla Pec.

Il vicedirettore dei Dis ha inoltre segnalato la necessità di rendere più forte il sistema di difesa, sostenendo che non si tratti di un problema tecnologico ma legislativo e contrattuale.

Strategia conseguente all’attacco

Il Cisr ha individuato le azioni da attuare al più presto. Il vicedirettore del Dipartimento delle Informazioni per la Sicurezza ha affermato che

“gli operatori che erogano servizi essenziali per il funzionamento del Paese devono innalzare il livello delle proprie difese; bisogna poi evitare contratti nella Pa sulla base del massimo ribasso nel campo del cyber ed attivare un Centro di valutazione e certificazione nazionale per i prodotti, processi e servizi telematici delle organizzazioni inserite all’interno del perimetro della sicurezza nazionale”.

Chi gestisce informazioni delicate per il Paese – quali le Pec dei ministeri – deve avere adeguati sistemi di cyber difesa. Tale adeguatezza sarà certificata da un apposito Centro nazionale.

Considerazioni sull’attacco

Il capo della cyber security del Dipartimento delle Informazioni per la Sicurezza, istituzione responsabile al massimo livello della sicurezza del Paese, ha il compito di anticipare ed eludere eventuali attacchi. Il Dis in Italia possiede le equivalenti funzioni della Central Intelligence Agency (CIA) negli Stati Uniti d’America.

Pare strano che il capo della cyber security del Dis abbia consigliato pubblicamente di cambiare le password delle pec a fatti avvenuti. L’intelligence dovrebbe prevenire gli attacchi hacker, intervenendo d’anticipo. E’ evidente che il problema sia stato, purtroppo, sottovalutato o non si sia riusciti ad evidenziarlo col giusto tempismo.

Facebook – caduta sempre più libera dopo indagine NYT

16 Novembre 2018

Nel leggere la colossale indagine del New York Times su Facebook di pochi giorni fa, ci siamo chiesti se fosse più interessante il reportage in sè, o le conseguenze che sarebbero derivate.

La reazione

Giovedì scorso è arrivata la pronta risposta, ma l’impatto è stato oltremodo fiacco.

Mark Zuckerberg, CEO di Facebook, ha tenuto una conferenza telefonica programmata con i giornalisti per discutere di “Un piano per la governance e l’applicazione dei contenuti” (A Blueprint for Content Governance and Enforcement), che includeva nuove misure di controllo dei contenuti stessi.

Un nuovo aggiornamento sull’approccio pianificato del social network per gestire post problematici e problemi diversi come il bullismo alle notizie false.

Ma, naturalmente, i giornalisti volevano parlare dei problemi vorticosi emersi dai rapporti del New York Times.
La domanda clue è chiaramente se veramente

Facebook abbia pagato lobbisti per attaccare rivali e critici

Facebook risponde “Non lo sapevo”

Zuckerberg ha affermato – come emerge dall’articolo del The Verge – di non avere la minima idea di chi internamente a Facebook abbia pagato lobbisti discutibili (in questo caso noti come Definers Public Affairs).

“Ho saputo di questa relazione quando ho letto il pezzo del New York Times di ieri”, ha detto Zuckerberg. “Non appena ho letto, ho detto che questo non è il tipo di azienda con cui vogliamo lavorare e abbiamo smesso di lavorare con loro”.

Il COO di Facebook Sheryl Sandberg ha pubblicato un post su Facebook spiegando che anche lei non lo sapeva e ha detto che alcuni elementi del reportage del Times sono falsi o “semplicemente sbagliati”.

Il consiglio d’amministrazione di Facebook ha supportato Sandberg e Zuckerberg e ha definito “ingiusto” l’articolo del New York Times. Qualora voleste approfondire in merito, vi consigliamo la lettura di questo articolo pubblicato dal The Guardian in merito.

Il fatto è che, come sottolineato ovunque per tutto il web, il termine “ingiusto” è davvero interessante e parla praticamente da solo.

Ingiusto non significa falso.

Le colpe

Quindi a chi vanno le colpe se i capi non sapevano? Posizione strana per i leader di Facebook…

La verità, tuttavia, è che i problemi delineati in questa storia provengono dall’alto del management. Che si tratti di processo decisionale scadente o di totale assenza di decisioni, i problemi portati alla luce dal NYT devono essere fatti risalire a due sole persone: Zuckerberg e Sandberg.

WP GDPR Compliance – Siti WordPress compromessi

12 Novembre 2018

Le vulnerabilità segnalate di WP GDPR Compliance consentono ad aggressori non autenticati di ottenere un’escalation dei privilegi, consentendo loro di infettare ulteriormente i siti vulnerabili.

Il popolare plugin è stato inizialmente rimosso dal repository di WordPress. Successivamente è stato reinserito in concomitanza con il rilascio della versione 1.4.3, (correzione di diverse vulnerabilità).

Qualsiasi sito usi WP GDPR Compliance deve immediatamente aggiornare alla versione più recente, oppure disattivarlo e rimuoverlo qualora non sia possibile aggiornare.

WP GDPR COMPLIANCE COMPROMESSO

Nell’uso tipico, il plugin gestisce alcuni tipi di azioni che includono la creazione di richieste di accesso ai dati e richieste di cancellazione richieste dal GDPR. Includono anche funzionalità per la modifica delle impostazioni del plugin all’interno della dashboard di amministrazione di WordPress.

Le versioni sino alla 1.4.2 (inclusa) di WP GDPR Compliance non riescono a fare controlli di capacità per apportare tali modifiche alla configurazione. Se un utente malintenzionato invia opzioni e valori arbitrari a questo endpoint, questi salva/aggiorna i campi di input nella tabella delle opzioni del database del sito interessato.

Per di più, il plugin esegue chiamate tali che possono essere utilizzate dagli autori di attacchi per attivare azioni WordPress arbitrarie.

Si tratta di due vulnerabilità distinte che possono essere però considerate come una singola vulnerabilità di escalation di privilegi.

NUMEROSI SITI COMPROMESSI

Questo exploit permette di installare nuovi account di amministratore sui siti interessati.

Sfruttando questa vulnerabilità gli hacker possono accedere immediatamente a un account privilegiato. Possono dunque installare un plugin o un tema dannoso contenente una shell Web o altro malware per infettare ulteriormente il sito della vittima.

CONSIDERAZIONI FINALI

Fino al momento del rilascio della patch, più di centomila siti WordPress che utilizzavano il plugin WP GDPR Compliance erano vulnerabili a questo tipo di attacco. È di fondamentale importanza che qualsiasi sito che utilizza questo plugin esegua l’aggiornamento immediatamente.

In secondo luogo è necessario procedere ad un’analisi del sito (temi, plugin, database mysql e così via).

Per assurdo, a causa di WP GDPR Compliance i titolari dei siti colpiti dal malware dovranno comunicare al Garante la violazione del proprio sito!

CIO – cosa possono imparare dalla criminalità informatica

8 Novembre 2018

Nad completa la rassegna della Business Continuity, pensando al modus operandi dei CIO delle aziende.

Ricordiamo che per CIO si intende il direttore informatico, ovvero il manager responsabile della funzione aziendale tecnologie dell’informazione e della comunicazione.

Secondo la ricerca di Hackmageddon sulle motivazioni scatenanti gli attacchi informatici nel 2018, circa l’80% era guidato dal cyber crime (criminalità informatica).

L’organizzazione meticolosa crescente dei gruppi criminali rappresentano un’opportunità per i Chief Information Officer (CIO) lungimiranti di capire chi e cosa stanno affrontando.

Il CIO può essere meglio preparato a mitigare i cyber risk (rischi cibernetici) all’interno dell’azienda, traducendo la psicologia – ovvero le motivazioni – e le modalità di azione di questi attori delle minacce in decisioni perspicaci e informate.

Non tutti i crimini informatici sono connessi con bande

Non tutte le bande di criminali informatici sono in realtà bande. Si tratta a volte di individui singoli, spesso con connessioni con lo stato.

Si faccia l’esempio di Alexey Belan, hacker russo che ha compromesso più di un miliardo di account. Secondo Digital Shadows, egli ha avuto accesso a wiki aziendali che hanno rivelato flussi di lavoro amministrativi e dettagli della rete privata virtuale. Semplicemente, poichè i cookie degli ambienti di staging venivano spesso riutilizzati negli ambienti di produzione, Belan ha potuto bypassare le misure di autenticazione. Ad ogni attacco, ha anche raccolto indirizzi e-mail e password, usati poi per colpire altre vittime.

Il consiglio in merito è che le chiavi e le credenziali di crittografia non debbano essere riutilizzate negli ambienti di produzione e di gestione temporanea (sviluppo…).

I CIO dovrebbero concentrarsi sui fondamentali della sicurezza

Non c’è dubbio che il cyber crimine si sia progressivamente spostato dai lupi solitari a veri e propri sindacati organizzati. Un mix terrificante di mafia e business moderno.

Un chiaro esempio è il gruppo organizzato detto Lazarus, famoso per aver investito il proprio tempo aprendo conti bancari per trasferimenti. Poi, dopo aver trovato un insider per dare una mano con l’accesso alla rete, ha infine distribuito furtivamente keylogger per ottenere le credenziali di vari account.

È importante ricordare che gli attori avanzati di minacce persistenti come Lazarus spesso approfittano dei fondamenti di sicurezza mancanti.

I CIO devono utilizzare le informazioni su tattiche, tecniche e procedure per concentrarsi su aspetti fondamentali: assegnare priorità ad aggiornamenti e patch specifici, formare i dipendenti per identificare le tattiche di phishing e configurare correttamente i dispositivi di sicurezza della rete.

I malintenzionati cercano sempre il modo più facile per entrare in una rete, come ad esempio password predefinite (di fabbrica) di server o semplici attacchi di phishing. Il CIO deve occuparsi di questo e assicurarsi che tutto il suo team sia pronto.

Ogni dipendente ha la responsabilità di concentrarsi sulla sicurezza come parte dei suoi doveri quotidiani.

Il crimine informatico è interessato solo ed esclusivamente ai soldi

Un singolo acronimo rappresenta l’intera mentalità delle corporazioni criminai informatiche: ROI o ritorno sull’investimento. Questo è il motivo per cui acquistare sul dark web credenziali rubate in precedenza e pacchetti di exploit già pronti è fondamentale ed efficace per tali operazioni.

Le motivazioni e la psicologia della maggior parte dei cyber criminali non sono complicate. Il cyber crime è il modo in cui si guadagnano da vivere.

Si prenda come esempio l’organizzazione recentemente smantellata, InFraud, che gestiva un forum nella dark-web che collegava venditori affidabili di carte di pagamento e altri preziosi dati rubati con acquirenti interessati. Si stima che InFraud, in quanto facilitatore di questo commercio, abbia causato perdite per aziende e privati per 455 milioni di euro.

I CIO possono imparare da esempi quali InFraud in molti modi.

È essenziale sapere dove sono archiviati i dati, come accedervi e come potrebbero essere esposti.

I CIO dovrebbero assicurarsi che le aziende possano rilevare l’uso insolito di credenziali valide. Le aziende che agiscono secondo legge dovrebbero provare ad emulare questi modelli collaborativi. In tal modo sarebbe possibile mitigare il cyber risk, scambiando feedback, conoscenze, informazioni e tecniche tra fornitori, gruppi di risposta ad emergenze informatiche e imprese private .

Business Continuity Plan e perchè ognuno ne ha bisogno

Business Continuity Plan – necessario ad ogni azienda

6 Novembre 2018

Per Business Continuity si intende il poter continuare a lavorare nonostante il verificarsi di un disastro. Come dice il nome, continuare a fare le cose che si faceva prima del disastro stesso o comunque subire un’interruzione il più limitata possibile nel tempo.

Ciò che può andare male quando si parla di Business Continuity in ambito IT può essere rappresentato da molte cose. Potrebbe essere il singolo computer, un insieme di server, le linee internet, lo storage sul quale stanno i nostri dati, le applicazioni che ci permettono di accedere ai dati stessi e molto altro ancora.

Con disastro si può intendere quello di tipo ambientale, come inondazioni e terremoti, ma anche cose molto più semplici, quali virus o utenti che cancellano file più o meno dolosamente.
Un esempio su tutti è CryptoLocker ed i suoi effetti in questi ultimi due anni. Quasi quotidianamente CryptoLocker ha cifrato una parte consistente dei dati, per cui parte del business di varie aziende è perso e in qualche modo va recuperato o addirittura ricreato.

La Business Continuity si prefigge l’obiettivo di aiutare l’azienda che dovesse incappare in disastri, facendo in modo che l’impatto sul business sia il meno oneroso possibile, limando i costi.

A fronte di un danno bisogna capire quanto è accettabile un disastro.

E’ sempre necessario possedere un progetto di Business Continuity, ottenuto valutando quali siano i costi di inattività (downtime) per l’azienda. Il fattore tempo è variabile, al punto che per alcune aziende non è possibile stare ferme nemmeno per pochi secondi.

[wc_spacing size="40px" class=""][/wc_spacing]

RTO e RPO – cosa sono e come sono legati alla business continuity

RPO è l’acronimo di Recovery Point Objective. E’ l’intervallo di tempo che passa tra il disastro e la data dell’ultimo salvataggio utilizzabile dei dati.

L’RTO, o Recovery Time Objective, indica il tempo necessario a far ripartire il sistema dopo l’incidente.

E’ evidente che questi valori rappresentino la qualità della buisness continuity di un’azienda.

Più si riesce a mantenere bassi RTO e RPO, più il piano è efficiente e meno si perdono soldi e dati.

Il backup e la business continuity

Il backup si occupa di salvare i dati, mentre la Business Continuity si preoccupa di salvare il tempo (downtime).
Avvenuto il disastro, sarà necessaria una certa quantità di tempo per ripristinare – ad esempio – i dati. Il backup in sè non è quindi sufficiente.

La Business Continuity tende a minimizzare il tempo che si impiega a tornare operativi con tutti i dati. Il backup risulta quindi una parte dell’intero piano di Business Continuity.

La Business Continuity si occupa di quindi di tenere stretti i tempi di ripartenza, mentre il backup si occupa solo di salvare i dati e non si preoccupa di quanto (e come) ci metteremo a ripartire.

Il backup offsite è un altro tipo di backup che aggiunge un gradino in più alla sicurezza del semplice backup. Creando backup esternamente alla struttura (offsite per l’appunto) nel caso in cui nel posto di lavoro vengano persi, distrutti o rubati, c’è comunque un secondo luogo da cui recuperarli. Tale tipologia di backup aumenta la sicurezza dei dati, ma non accorcia i tempi di ripartenza da un disastro.

Business Continuity e Disaster recovery

Il disaster recovery, si occupa di mettere in piedi le procedure per ripristinare i sistemi allo stato precedente ad un avvenuto disastro.

Per raggiungere la perfezione della business continuity, si dovrebbe avere un sistema di disaster recovery istantaneo: una volta che è successo il disastro, immediatamente faccia tornare tutto allo stato iniziale e senza alcun impatto.

Il traguardo della perfezione assoluta della business continuity e del disaster recovery in tempo zero rasenta quasi l’impossibilità. Qualunque azienda, anche la più sofisticata e corazzata, ha pochi secondi di downtime, ma non zero. Questo è in ogni caso altamente desiderabile: il processo di disaster recovery deve esistere, di modo che qualcuno e/o qualcosa si accorga dell’avvenuto disastro e metta in atto le procedure che rimedino ad esso.

Come accorciare RPO e RTO – investimenti

Gli investimenti per avere un tempo di recovery di qualche secondo sono sicuramente maggiori di altre soluzioni che hanno invece un tempo di indisponibilità dei sistemi più lungo.

La regola più efficace è che quanto minori sono i tempi di RPO e RTO tanto più è necessario investire.

E’ necessario avere un piano a monte della disater recovery

Poichè quando c’è un malfunzionamento il panico regna, c’è il rischio di agire in modo scoordinato e seguendo l’istinto personale. In quei momenti è evidente come sia necessario avere un piano riflesso di analisi e studi effettuati a freddo: lì si trovano i passi esatti e sistematici da compiere per ripartire e rispondere ad un disastro.

Purtroppo sono tante le realtà che non hanno previsto un piano, nonostante le complessità nascoste nei sistemi informativi all’apparenza tanto semplici.

È fondamentale che tutte le aziende ragionino su questo problema. Analizzino quale sia il costo di un down e quindi ponderino ed investano su una soluzione di business continuity (e conseguente disaster recovery).

Tutti hanno bisogno di un piano di Business Continuity.

Tag: gdpr