Digital Crimes e Modello 231: gestione dei rischi (Information Security Policy), presìdi di controllo e formazione interna

Digital Crimes e Modello 231: gestione dei rischi (Information Security Policy), presìdi di controllo e formazione interna

Premessa L’avvento della digitalizzazione ha modificato profondamente il mondo aziendale. L’inarrestabile diffusione di internet e delle nuove tecnologie ha imposto alle aziende un grado sempre più elevato di informatizzazione aziendale. Questo processo, volto a, condizionare l’intera dimensione dell’impresa all’utilizzo di strumenti e sistemi informatici, è ormai divenuto condizione imprescindibile per ottimizzare l’organizzazione di diversi processi…

La risposta agli incidenti: una questione aperta

La risposta agli incidenti: una questione aperta

Il 30 agosto scorso l’European Union Agency for Network and Information Security[i] (ENISA) ha pubblicato il rapporto annuale sugli incidenti rilevati nel 2017 dalle imprese fornitrici di servizi di comunicazione elettroniche[ii]. Il rapporto trova il suo fondamento giuridico nell’art. 13 bis della direttiva UE 140/2009[iii] che ha introdotto importanti elementi di novità nel quadro normativo europeo,…

Incident Response: dal Processo alle Procedure

Incident Response: dal Processo alle Procedure

Premessa In un precedente articolo dal titolo “Security Operations Center: il cuore della protezione dell’Informazione[1]”, focalizzato sulle strutture dedicate alla gestione operativa della cyber-security, ho fatto riferimento a processi tipici di un Security Operations Center (SOC). L’assenza di standard di riferimento e di rigide nomenclature promuove una certa libertà di definire i contorni, spesso liquidi…

Nuova versione della ISO 19011 sugli audit

Nuova versione della ISO 19011 sugli audit

A luglio 2018 è stata pubblicata la nuova versione dello standard internazionale ISO 19011 dal titolo “Guidelines for auditing management systems”. In contemporanea sono state approvate le versioni europea EN ISO 19011 e italiana UNI EN ISO 19011 (“Linee guida per audit di sistemi di gestione”). Lo standard è dedicato agli audit di prima e…

Insider Threat: Tecniche di Exfiltration

Insider Threat: Tecniche di Exfiltration

In questo articolo verranno trattate alcune tecniche esercitate dagli attaccanti interni per trasferire dati e informazioni al di fuori della rete aziendale. Nella seconda parte dell’articolo verrà approfondito un approccio di monitoraggio e simulazione d’attacco con il fine di prevedere gli eventi avversi più comuni. Introduzione E’ credenza comune che la maggior parte delle minacce…

Ecco perché nessuno può definirsi Manager della Resilienza, ma anche perché ogni Organizzazione dovrebbe averne uno

Ecco perché nessuno può definirsi Manager della Resilienza, ma anche perché ogni Organizzazione dovrebbe averne uno

Fino a pochi anni fa era raro incontrare qualcuno in grado di rispondere a questa semplice domanda: “cosa significa resilienza?” Il termine era già ben noto nel contesto scientifico, in particolare nell’ingegneria (la resilienza dei materiali) e in psicologia. Alcune aziende all’avanguardia hanno iniziato ad utilizzarlo già 12-13 anni fa, ma si trattava solo di…

Quando procedere ad una DPIA ex art. 35 GDPR: la “prevalutazione d’impatto”

Quando procedere ad una DPIA ex art. 35 GDPR: la “prevalutazione d’impatto”

Tra le novità introdotte dalla nuova disciplina europea in materia di protezione dei dati (Reg. UE 2016/679 – G.D.P.R.) un posto di rilievo spetta sicuramente alla Valutazione d’impatto sulla protezione dei dati (anche detta DPIA – Data Protection Impact Assessment), disciplinata dall’art. 35 del Regolamento [1]. Tale norma prevede che la DPIA contenga almeno: una…

L’analisi dei rischi. Un approccio con la logica Fuzzy

L’analisi dei rischi. Un approccio con la logica Fuzzy

Il rischio è il risultato finale, diretto, indiretto o consequenziale ad un’azione volontaria, involontaria o ad un evento accidentale ed è determinato di norma come il prodotto fra la probabilità che un evento pericoloso si realizzi e l’impatto (danno) da questo provocato. Le aziende devono svolgere una attività continua di analisi del rischio in diversi…

Come scegliere il giusto QSA

Come scegliere il giusto QSA

Quando un’azienda si trova a dover scegliente un QSA (Qualified Security Assessor) per gestire la propria conformità allo standard PCI DSS, la prima domanda che dovrebbe porsi è la seguente: “Sto scegliendo un QSA per ottenere la compliance allo standard, o sono interessato alla sicurezza della mia azienda?” Se la risposta è la compliance, probabilmente…

Unità di crisi informatica: le basi per gestire al meglio l’emergenza

Unità di crisi informatica: le basi per gestire al meglio l’emergenza

La tecnologia ormai ci circonda. In ogni istante, se ci pensiamo bene, una quantità ingente di informazioni circola nella grande ragnatela di Internet, una immensa rete di computer interconnessi tra loro. La rapida evoluzione degli attacchi alla sicurezza delle infrastrutture dei sistemi informativi e tecnologici rende evidente che tale fenomeno è divenuto una seria e…