(in)sicurezza informatica

L'incremento nell'uso del computer ha portato con se una diversa concezione di sicurezza informatica.

Se poi si pensa che l'utilizzo delle risorse (dati) ha cambiato il proprio modo di interagire con gli utenti, basti pensare che ancora dieci anni fa i dati, sensibili e consistenti, erano gestiti in “comunità”, ristrette mentre oggi piattaforme tipo Home banking pubblicano su internet dati di rilievo, si nota subito che la sicurezza informatica cambia con una velocità a volte tale che l'utente non riesce a proteggersi in maniera adeguata.

Ad oggi il “come” e il “ quando” viene attivato un attacco informatico non può essere conosciuto se non dopo che lo stesso si è verificato, a prescindere dal risultato.

Chi si occupa di sicurezza informatica ritiene che le tecnologie a supporto abbiano uno sviluppo troppo lento rispetto alle nuove possibilità di attacco.

Il perché di questa situazione, a torto o a ragione, risiede nel costo dello sviluppo della sicurezza, che ancora oggi viene percepito dalle aziende come un costo troppo elevato rispetto al potenziale rischio, ecco perché la cultura del mercato oggi è ancora basata sull'ipotesi che ogni sistema è perfetto, per cui si affronta la sicurezza solo come conseguenza del danno.

Purtroppo con ancora maggiore lentezza, si muovono i sistemi legislativi nel dettare la pena per il reato informatico, basti pensare che in termini legislativo la proprietà elettronica come la proprietà intellettuale non è ancora chiara.

Il primo passo per una corretta gestione preventiva dei sistemi informativi è mettere nel giusto ordine i termini e gli scopi delle attività di sicurezza.

Questo esercizio comporta anche una rivisitazione culturale del problema insieme con la sua accettazione.

E' errato, o quantomeno, non totalmente corretto, pensare e poi dichiarare la “protezione del proprio sistema informativo”, mentre sarebbe corretto dichiarare che “il proprio sistema informativo garantisce i dati ivi conservati e non ne permette il prelievo l'uso o la manipolazione fraudolente, se non a persone che hanno il diritto di accedere a quel dato”.

Per meglio comprendere questa affermazione basti pensare al sistema informatico di una banca. L'istituto anche a scopo pubblicitario definisce il proprio sistema inviolabile lo garantisce e ne effettua lanci pubblicitari i cui costi non sono irrisori. Nessuno però riflette che quel sistema è solo una parte del contenitore dei dati, quasi la totalità dei dati che permettono l'ingresso sono fuori controllo e senza sicurezza opportuna. Infatti ad esempio le credenziali al sistema di accesso (ma potremmo dire gli estratti conti, i numeri degli assegni i dati delle persone che hanno versato sul vostro conto e se ne potrebbero dire tanti altri) sono almeno su due computer fuori dal controllo bancario, stiamo parlando del pc di casa e di quello dell'ufficio, ma possono anche essere sul notebook e sullo smartphone, soprattutto sono sulla posta elettronica personale. Come si può notare abbiamo citato quattro computer facilmente penetrabili ed un sistema quello della posta sempre disponibile.

Si potrebbe obiettare che cosi niente è sicuro e si sta usando la demagogia per banalizzare il problema, vi faccio però osservare che non è necessario sviluppare grandi sistemi per penetrare la sicurezza, quando il sistema stesso mette a disposizione strade più forti ed economiche.

Quanto detto sin ora trova valore aggiunto se si mettono a confronto alcuni sondaggi effettuati sulla sicurezza.

Un primo sondaggio del 2001 sviluppato interamente attraverso interviste a personale specifico sulla sicurezza informatica rilevava che tra i metodi più diffusi per gli attacchi informatici avevamo:

• 27% attraverso applicazioni non ancora conosciute nel mondo informatico, per capirci tutti quei software che riescono ad attaccare i sistemi fin quando la sicurezza non prende coscienza dell'esistenza di tale sw e trova le giuste contromosse;
• 22% attraverso software di previsione delle password
• 17% attraverso l'uso non corretto dell'account per l'ingresso
• il resto della percentuale si spalma tra vari sistemi conosciuti o meno che definiremo di guerriglia comune.

Possiamo notare che tra queste percentuali fatta eccezione per la prima ben il 39% delle “vulnerabilità” sono da addebitarsi alla risorsa umana e non alla bravura di chi in modo malevolo tenta di accedere sui sistemi.

E' il giorno di windows 8.1

In altri post vi avevamo avvertito ed eccoci arrivati al "fatidico" giorno del rilascio ufficiale di windows 8.1

Vi ricordiamo che la versione è gratuita per chi già possiede Windows 8 ed è scaricabile attraverso il marketplace.

Per gli affezionati  Windows 8.1 è, quanto meno nello stile visivo un ritorno alla  configurazione in stile Windows 7 con la fatidica barra dello Start: c'è il classico logo sulla estremità sinistra seguito dalle applicazioni aperte o pronte a essere lanciate con un clic.

Le novità sono quasi tutte sulle app con la possibilità di visualizzarle in modi più compatti e con alcune app gratuite nuove.

Ma a parte il ritorno al fatidico tasto start Microsoft continua nella sua politica verso una nuova interfaccia, percorso già intrapreso con windows 8.

La vera novità  in questa piattaforma naturalmente la potrà verificare solo chi ha un computer touch ed è forse questo il motivo principe per cui questa versione come la precedente non ha sconvolto il mercato come invece si aspettava microsoft. 

Ma in proposito una considerazione, non ci voleva certa la zingara per capire che in questo periodo il mercato dei pc è quanto meno in flessione per cui pochi si sono dotati di questi particolari hardware.

Studio sul costo della sicurezza informatica

Gli ultimi studi effettuati evidenziano come il costo, la frequenza e il tempo di risoluzione degli attacchi informatici sia in costante crescita per il quarto anno consecutivo.

Lo studio effettuato su interviste svolte negli stati uniti e commissionato da HP ha dimostrato come il costo medio annuo del crimine informatico si sia attestato a 11,56 milioni di dollari, con un incremento del 78% rispetto ai dati rilevati quattro anni fa nella prima edizione dell’indagine. Di contro lo studio dimostra che il tempo necessario per risolvere un attacco informatico è aumentato di quasi il 130% nello stesso periodo.

Secondo l’indagine, è possibile limitare i rischi per la sicurezza dei dati e ridurre il costo dei crimini informatici dotandosi di strumenti di security intelligence avanzati come le SIEM (Security Information and Event Management), di sistemi di intelligence di rete e di funzioni di analisi dei Big Data. 

I dati salienti rilevati dall’indagine 2013

Le aziende hanno dovuto far fronte a una media di 122 attacchi settimanali andati a buon fine, una cifra che segna un aumento di 102 attacchi alla settimana rispetto al 2012. 

Il tempo medio di risoluzione di un attacco informatico è di 32 giorni, per un costo complessivo di 1.035.769 dollari, ovvero 32.469 dollari al giorno, una cifra che indica un incremento del 55% rispetto al costo medio stimato lo scorso anno, che era di 591.780 dollari su un periodo di 24 giorni. 

I crimini informatici più costosi sono quelli causati da attacchi denial-of-service, malicious insider e intrusioni dal web. Queste tipologie di attacco costituiscono, insieme, oltre il 55% dei costi del crimine informatico sostenuti annualmente da ogni azienda. 

Su base annua, la perdita di informazioni costituisce il 43% dei costi esterni totali, dato in diminuzione del 2% rispetto al 2012. L’interruzione dell’attività, o la perdita di produttività, contribuiscono ai costi esterni per il 36%, segnando un incremento del 18% rispetto al 2012. 

Le azioni di rilevamento e ripristino costituiscono le operazioni interne più costose. L’insieme di queste due operazioni ha prodotto il 49% del costo totale delle attività interne, con gli esborsi di cassa e il lavoro a rappresentare le voci di costo principali. 

Il costo del crimine informatico varia per dimensione dell’azienda, tuttavia le organizzazioni più piccole sostengono costi pro capite notevolmente superiori rispetto alle aziende più grandi.

Stavolta ad essere attaccati e bucati sono le società AVG e Avira.

AVG e Avira società leader nella gestione della sicurezza informatica, che sul mercato hanno due tra i puù conosciuti sistemi di antivirus, si sono viste hakerate da un gruppo di Haker Palestinesi.

E si è proprio cosi, giorni addietro le due società si sono ritrovati sulle loro home page un messaggio riguardante la Palestina e la loro condizione al posto della classica pagina.

Le società con imbarazzo non da poco hanno dovuto ammettere lo smacco dichiarando però che i dati privati non erano stati violati.

Ambedue le società hanno quindi dovuto ammettere che sono stati violati i servizi DNS specificando cosi secondo loro che non sono stati violati i siti direttamente riconducibili alle due aziende ma bensì il gestore dei servizi Network Solutions. 

Nello specifico l'attacco, riuscito, è stato rivendicato dall'associazione KDMS che sarebbe in stretto contatto con il gruppo Anonymus Palestina.

Oltre le società AVG e Avira  è stata violata anche la famosa applicazione whatsapp in proposito CNET ha sentito la società per capire se l’attacco ha coinvolto solo il sito ufficiale oppure anche l’applicazione mobile, ma al momento non è dato sapere molto.

Creare una falsa identità ora è reato. Ma i social network hanno bisogno di una netiquette.

Creare un falso account, è di moda dire fake, con dati di altre persone adesso è reato. 

Esistono ormai dei censimenti attendibili che dimostrano che un profilo su tre è fasullo o quanto meno non è reale. Dopo il boom dei social network gli utenti hanno deciso in molti casi gioco forza, di tornare all'anonimato proprio per proteggere le discussioni, le foto, la voglia di condividere con gli altri.

Insieme ai falsi profili il cui intento è chiaro sta prendendo piede in modo consistente il furto d'identità cioè quegli account che ricreano con nomi, cognomi, foto e dati veri profili.

Oggi in molti diciamo finalmente, creare ed aprire un fake su un social network può comportare una condanna per sostituzione di persona  e conseguenti risarcimenti del danno: ci può essere anche l’aggravante nel caso di stalking, e soprattutto non occorre che ad essere falso sia l'account di un personaggio famoso, la legge è uguale per tutti.

Poco importa che questi falsi non sempre abbiano intenti pericolosi, ma che spesso nascano anche solo per interventi scherzosi, a prescindere dall'intento questa attività è reato. 

Ma soprattutto il reato è procedibile d’ufficio, quindi anche in assenza di denuncia da parte dell'offeso si può indagare e punire il colpevole. Naturalmente i rischi e la pena si aggravano a seconda dell'uso che si fa della falsa identità ad esempio se si usano frasi offensive si corre il rischi di essere condannati anche per diffamazione. 

Ma lasciando alla giurisprudenza la parte sulla sanzione e sul reato, è forse il caso di cominciare a parlare di netiquette sui social e nelle conversazioni che si creano.

Se le persone come detto prima, tornano all'anonimato è evidente che si è perso il senso della misura nel commentare i post degli altri. 

Occorre assolutamente far capire agli utenti dei social network che essere registrati e comunicare tramite facebook, twitter, msn o quello che sia, non autorizza a rispondere in modo inadeguato.

E' si oggi in tanti pensano che se non vuoi essere disturbato non ti iscrivi se sei li sei pubblico.

Facebook e Google sferrano l'attacco facciamo un pò di chiarezza

Negli ultimi due mesi su facebook si aggira un "virus buono" che ha visto il moltiplicarsi dei post relativi alla privacy della propria immagine dei propri contenuti e delle proprio foto, è forse il caso di fare un pò di chiarezza in tal senso e cercare di convincerci che la propria privacy su facebook va si difesa, gestita e garantita, ma tutto ciò avviene prima di tutto cercando di scrivere, postare e condividere immagini delle quali poi nessuno abbia nuocere, perchè una volta postato qualcosa con qualsiasi tipo di privacy e filtro impostato questo è ormai in rete.

Un post con o senza immagini, con o senza frasi che contenga o meno un link, cosi come l'utente stesso rimarrà visibile nella ricerca da tutti, a meno di non aver effettivamente bloccato alcuni utenti da cui rimarrà nascosto. 

Mentre aspettiamo che facebook, fra qualche giorno, effettui le modifiche alla privacy sui nostri profili, Google va un passo avanti perché è seriamente intenzionata a vendere i commenti dei suoi utenti agli inserzionisti per aiutarli ad aumentare l'interesse attorno ai prodotti da questi pubblicizzati.

Quindi Grande G si prepara per il prossimo 11 novembre a modificare la gestione della privacy, rendendo possibile a terzi di usare il nostro nome, cognome, foto, scritti e post, insomma un primo passo verso il furto d'identità digitale in piena regola.

Ma almeno Grande G si è passato una mano sulla coscienza (sarebbe meglio dire sul portafoglio) e dichiara che permetterà agli utenti dei vari servizi di scegliere se cedere le proprie informazioni per fini pubblicitari o meno, ma qui la domanda sorge spontanea come farà? Gli utenti si accorgeranno che se non rispondono in modo negativo Grande G userà i dati e ...... Dobbiamo però almeno sperare che sia vero che non userà i dati dei minori di 18 anni.

Ma vediamo adesso invece nello specifico cosa e come cambia la nostra privacy. Facebook adesso provvederà alla a rimozione della funzionalità chi può leggere la tua timeline, non sostituendola con un controllo di privacy globale.  E quindi l'utente a meno di non aver bloccato delle persone da cui rimarrà non visibile sarà sempre e comunque rintracciabile nella ricerca da chiunque. Con questa nuova regola succede che tutto ciò che noi impostavamo per la nostra privacy a livello generale adesso sarà gestito nei singoli post. 

Qualcuno potrebbe obiettare " va beh basta saperlo e riesco comunque a proteggere i miei dati" si però attento perchè  creando falsi account, ed in facebook con le dovute proporzioni vi sono più falsi account del previsto, chiunque può  visualizzare i profili anche se un account "ufficiale" è stato bloccato.

Google Google bei servizi ma nessun rispetto delle persone

Google si era difesa adducendo come spiegazione che il suo non è un client di posta ma funge in tutto e per tutto da segretario, per cui come i veri segretari personali consultano e registrano dati al solo fine di essere precisi nel lavoro.

Almeno in America i giudici non se la sono bevuta, continua quindi la verifica per vedere se si il colosso americano non sia passibile di intercettazione illegale

E' infatti ormai acclarato che google preleva i dati del mittente e destinatario delle email.

Stavolta google è seriamente preoccupata per la gestione di questo servizio anche perchè in America fanno sul serio e rischia una bella class action che da quelle parti di solito creano problemi con parecchi zeri, per capirci i miliardi di dollari sborsati per le mancanze sulla privacy sono bruscolini.

Qualcuno potrebbe chiedersi ma le mie mail non sono niente di che che se ne fanno dei miei dati? molto semplice r rastrellano informazioni utili a somministrare pubblicità tagliata su misura.

A prescindere dagli americani questo è furto di dati se avete qualche dubbio sul fattaccio potete fare una cosa molto facile, la classica prova del 9. Aprite un nuovo account di posta con un altro gestore e verificate la corrispondenza dello spam e delle mail pubblicitarie a qualsiasi titolo.

Noi vi diciamo attenzione perchè cosi facendo google preleva vostri dati privati e sensibili tali per cui oltre a violare la privacy mette a serio rischio la vostra identità digitale.