A luglio 2018 è stata pubblicata la nuova versione dello standard internazionale ISO 19011 dal titolo “Guidelines for auditing management systems”. In contemporanea sono state approvate le versioni europea EN ISO 19011 e italiana UNI EN ISO 19011 (“Linee guida per audit di sistemi di gestione”). Lo standard è dedicato agli audit di prima e…

In questo articolo verranno trattate alcune tecniche esercitate dagli attaccanti interni per trasferire dati e informazioni al di fuori della rete aziendale. Nella seconda parte dell’articolo verrà approfondito un approccio di monitoraggio e simulazione d’attacco con il fine di prevedere gli eventi avversi più comuni. Introduzione E’ credenza comune che la maggior parte delle minacce…

Fino a pochi anni fa era raro incontrare qualcuno in grado di rispondere a questa semplice domanda: “cosa significa resilienza?” Il termine era già ben noto nel contesto scientifico, in particolare nell’ingegneria (la resilienza dei materiali) e in psicologia. Alcune aziende all’avanguardia hanno iniziato ad utilizzarlo già 12-13 anni fa, ma si trattava solo di…

Il rischio è il risultato finale, diretto, indiretto o consequenziale ad un’azione volontaria, involontaria o ad un evento accidentale ed è determinato di norma come il prodotto fra la probabilità che un evento pericoloso si realizzi e l’impatto (danno) da questo provocato. Le aziende devono svolgere una attività continua di analisi del rischio in diversi…

Quando un’azienda si trova a dover scegliente un QSA (Qualified Security Assessor) per gestire la propria conformità allo standard PCI DSS, la prima domanda che dovrebbe porsi è la seguente: “Sto scegliendo un QSA per ottenere la compliance allo standard, o sono interessato alla sicurezza della mia azienda?” Se la risposta è la compliance, probabilmente…

La tecnologia ormai ci circonda. In ogni istante, se ci pensiamo bene, una quantità ingente di informazioni circola nella grande ragnatela di Internet, una immensa rete di computer interconnessi tra loro. La rapida evoluzione degli attacchi alla sicurezza delle infrastrutture dei sistemi informativi e tecnologici rende evidente che tale fenomeno è divenuto una seria e…

Il mondo in cui si muovono le nostre organizzazioni è sempre più complesso: interconnessioni con svariati gruppi d’interesse: enti pubblici, agenzie, altre organizzazioni; innumerevoli minacce di varia origine: eventi atmosferici, attacchi cyber, instabilità politica, interruzioni di servizi essenziali quali l’energia o le telecomunicazioni; una costante velocizzazione delle attività e dei processi interni e esterni all’organizzazione,…

Riprendiamo l’articolo “Come approcciare Business Continuity e Cyber Security sinergicamente” pubblicato lo scorso 27 aprile per approfondire il tema della comunicazione in caso di crisi. Lo scopo di questo articolo è quello di tratteggiare come la comunicazione in caso di crisi possa diventare parte integrante dei processi di gestione degli incidenti fisici ma soprattutto “logici”…

Come è noto, il GDPR richiama la valutazione del rischio in due modi: valutazione del rischio per i diritti e le libertà delle persone fisiche per identificare misure tecniche e organizzative adeguate (in questo caso, il GDPR, seppure in modi diversi negli articoli 24, 25 e 32, prevede che questo rischio venga bilanciato con le…