Talk "Come Costruire un firewall Umano" Italian Hacker Camp 2018
2 likes1,313 views
Scopo di questa nuova ricerca 竪 identificare il livello di percezione e di consapevolezza che hanno le aziende nella sicurezza informatica fra i propri dipendenti. Lobiettivo sar quello di individuare ed evidenziare gli elementi pi湛 trascurati su questo che 竪 lelemento pi湛 debole della catena della sicurezza logica. Cercheremo di fornire dei suggerimenti per gestire e mitigare il problema. La sicurezza informatica 竪 un processo ed 竪 costituita da numerosi elementi. Alcuni anni fa questo aspetto era sinonimo di aspetti tecnologici e prodotti come Antivirus e Firewall. Oggi levoluzione del concetto ha portato ad includere nel processo anche il fattore umano (H). Chi difende il "fortino" ha bisogno che il suo utente maturi. La tecnologia arriva fino ad un certo punto poi deve scattare la consapevolezza. La frase ricorrente secondo cui la catena della sicurezza 竪 fatta dal l'anello pi湛 debole 竪 quanto mai vera. Abbiamo tutti sorriso vedendo il biglietto da visita di Kevin Mitnick fatto di piccoli attrezzi per lo scasso: il genio della ingegneria sociale che non sfrutta la tecnologia per entrare nel "fortino" ma la buona fede delle persone indipendentemente dallincarico che esse ricoprono in azienda. Una telefonata convinta pu嘆 trarci facilmente in inganno e portarci a rivelare informazioni sensibili. Per cui non serve un Virus o un Trojan ma il mix di tecnologia e errori umani sono le armi che verranno sempre pi湛 utilizzati per carpire i dati delle aziende.
More Related Content
What's hot (20)
Similar to Talk "Come Costruire un firewall Umano" Italian Hacker Camp 2018 (20)
More from Luca Moroni (18)
Talk "Come Costruire un firewall Umano" Italian Hacker Camp 2018
- 1. Luca Moroni CISA - Italian Hacker Camp - 2 Agosto 2018 Come costruire un firewall umano
- 2. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Chi sono ISACA VENICE research team coordinator Research n.1: Vulnerability and Penetration Test. Users guidelines about third party penetration test. Research n.5: Cyber Security Awareness of N/E Italian Critical Infrastructures: Scenarios and Guidelines for self-assessment Member of ISACA VENICE Chapter Translation team Securing Mobile Devices ITA Publisher White Paper 束Cybersecurity Risk Insurance損 Research team coordinator 束Lerrore umano negli incidenti informatici e nella perdita dei dati sensibili損 Graduation in Computer Science (1989. Milan), CISA, ISO 27001 and ITIL V3 certified and other tech certifications. Focused on Cybersecurity since 2000 and lecturer in some seminars about this topic. ISACA Venice Board Member, Founder IT CLUB FVG, Member Club Bit, Founder Cyber Secuirty Angel Alliance. Founder of the innovative company Via Virtuosa, which focuses on scouting and promotion of expertises in Cybersecurity and IT governance in NE of Italy.
- 3. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Cosa 竪 ISACA Venice ISACA Information Systems Audit & Control Association ISACA息 (www.isaca.org) 竪 una associazione internazionale, indipendente e senza scopo di lucro. Con oltre 135.000 associati e 217 capitoli in 188 paesi, aiuta gli individui e le imprese a massimizzare il valore ottenibile dalle informazioni e dalla tecnologia e a gestirne i relativi rischi. Fondata nel 1969, ISACA息 si avvale della competenza di oltre 450.000 professionisti che si occupano di audit, assurance, cybersecurity, governance, gestione dei rischi e innovazione, 竪 una fonte affidabile di conoscenze, standard, opportunit di relazioni e sviluppo di carriera. ISACA VENICE Chapter ISACA VENICE Chapter 竪 un'associazione non profit costituita in Venezia nel novembre 2011 da un gruppo di professionisti del Triveneto che operano nel settore della Gestione e del Controllo dei Sistemi Informativi. Riunisce coloro che nell'Italia del Nord Est svolgono attivit di Governance, Auditing, Controllo e Security dei Sistemi Informativi promuovendo le competenze e le certificazioni professionali sviluppate da ISACA. L'associazione favorisce lo scambio di esperienze, promuove un processo di sensibilizzazione di tutti i livelli organizzativi aziendali alla necessit di stabilire adeguati criteri di controllo sia di affidabilit dell'organizzazione sia di sicurezza dei sistemi.
- 4. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Lo spunto Ci sono poche indicazioni e linee guida sul fattore H che per嘆 竪 molto critico. Non ci sono tools automatici, Patch. Strumenti di IA. Dovevamo approfondire Il cervello non 竪 roba tecnica ma fa parte del sistema di sicurezza
- 5. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Struttura ipotizzata del White Paper 1. Scenario 2. Survey 3. Le componenti non tecnologiche di un attacco 4. Problematiche tipiche in azienda 5. Componente psicologica e subconscio 6. Campagne di Awareness 7. Business Case 8. Linee guida 9. Conclusioni GRUPPO DI LAVORO Luca Moroni Coordinamento Sonia Gastaldi Sociologia con competenze ICT Marco Cozzi CIO con esperienza su errori in azienda Claudio Fusco Internal Auditor Patrizia Zecchin Internal Auditor Patrocini ad oggi
- 6. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Apriamo la scatola di montaggio Cominciamo a montarla Con qualche piccola aggiustatina da Maker
- 7. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Vulnerabilit Umane /ParisSalesforceDeveloperGroup/sensibilisation-la-scurit-salesforce We have Dave!!
- 8. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Capiamo il contesto con un Survey 1. Qual 竪 il ruolo dellutente nella sicurezza logica della mia azienda? 2. Ci sono stati incidenti informatici dovuti ad errore umano? 3. Viene fatta formazione agli utenti sulla sicurezza informatica? 4. In caso di incidente informatico le persone non IT sanno cosa devono fare? 5. Come reputi il livello di sicurezza informatica nella tua azienda? 6. Se vengono fatte delle prove di sicurezza con che frequenza vengono svolte? 7. Vengono fatte delle prove per misurare il livello di sicurezza. Di che tipo? 8. La direzione dell'azienda 竪 conscia dell'impatto sul business del rischio Cyber? 9. Un incidente informatico bloccante che impatto avrebbe sul business dell'azienda? 10. Lazienda ha una procedura da mettere in atto in caso di incidente informatico? Campione ad oggi 35 rispondenti. Per Settore
- 9. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Le risposte Campione ad oggi 35 rispondenti. Per Fatturato
- 10. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Le risposte Campione ad oggi 35 rispondenti. Per Numero Dipendenti
- 11. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Camagne di Phishing Mirato Analisi delle vulnerabilit Pentration Test Domande agli utenti sul tema della Sicurezza Informatica Audit delle Password (per verificare la robustezza) Prove di Ingegneria Sociale Le risposte Vengono fatte delle prove per misurare il livello di sicurezza. Di che tipo? Non parliamo di VA e PT ma se vi interessa scaricate il Quaderno 1
- 12. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Perch竪 parlare di Social Engineering La differenza rispetto al passato 竪 semplice: I bad guys hanno imparato ad usare il S. E. per lesecuzione di attacchi estremamente diversificati e, da alcuni punti di vista, innovativi e creativi. Le informazioni personali reperibili via Social Network possono spesso rappresentare una vera e propria miniera doro per chi attacca. Tutti noi lo usiamo nelle relazioni personali e di lavoro This is how hackers hack you using simple social engineering Security Summit 2009 Social Engineering Roul 束Nobody損 Chiesa
- 13. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 束Da APK al Golden Ticket Storia di un penetration test損 Andrea Pierini, Giuseppe Trotta HACKINBO Spring Edition 2017 Partiamo da l狸?.... SIIII
- 14. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Caratteri di un Social Engineer Caratteri distintivi - Abili doti relazionali - Molto bravo a mentire - Nasconde la propria identit - Prevede sospetti e resistenze - Si adatta al contesto - Paziente - Non deve avere necessariamente competenze informatiche Insomma un VENDITORE che usa il Neuromarketing con finalit criminali Adeanna Cooke
- 15. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Come funziona La psicologia e la naturale tendenza delle persone a fidarsi del prossimo hanno un ruolo importantissimo; una volta che il S.E. ha stabilito il contatto con la vittima, pu嘆 usare uno o pi湛 differenti approcci: fingersi autorevole (supporto tecnico, superiore in grado, esperto, autorit, ecc) sfruttare lignoranza (tecnica, legislativa, ecc) della vittima provocare un senso di colpa (violazione di regolamenti o leggi, ecc) o panico (virus, situazione critica, ecc) nella vittima sfruttare un desiderio (pornografia, dipendenze, ecc) o stimolare lavidit (premi, acquisti scontati, ecc) della vittima abusare della buona fede/compassione della vittima (richiesta di aiuto tecnico o lavorativo, catene di santantonio, finte campagne di solidariet, ecc) Beware of fake customers, auditors, tax inspectors, public administration, surveyors, head hunters, travel agencies.
- 16. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Il Cervello Primitivo (decide) I ricercatori hanno dimostrato che gli esseri umani prendono le loro decisioni in modo emotivo e istintivo, giustificandole successivamente razionalmente. Lultima parola spetta al cervello primitivo, sempre lontano dal dolore e sempre vicino al piacere! Un attacco sociale non viene riportato perch辿 ammette una propria debolezza. Che potrebbe avere un danno di responsabilit ma anche influenzare lauto stima e provocare critiche dai colleghi. Il cervello Primitivo 竪 lelemento critico del Firewall Umano Il Cervello Razionale (pensa) Il Cervello Intermedio (ascolta)
- 17. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Il Cervello Primitivo (lanello debole) 竪 egocentrico, 竪 egoista, 竪 il centro dellIo. Ha due soli obiettivi: allontanarci dal dolore e avvicinarci al piacere ! Ununica missione preservarci dal pericolo e dalla sofferenza! 竪 sensibile ai contrasti netti!. In presenza di un contrasto netto 竪 in grado di prendere decisioni veloci, senza rischio percepito, in assenza entra in confusione e scappa! 竪 concreto! E alla ricerca continua della sicurezza, di ci嘆 che gli risulta familiare e che pu嘆 essere riconosciuto velocemente. E sensibile a messaggi concreti, chiusi bianco o nero, vinco o perdo, guadagno o fallisco. ricorda linizio e la fine! Dimentica con estrema facilit tutto ci嘆 che 竪 nel mezzo. In un messaggio efficace il valore e il contenuto pi湛 importanti sono presenti fin dallinizio! 竪 visivo! E noto che il senso della vista risulta predominante sugli altri, il nervo ottico 竪 connesso direttamente al cervello primitivo e gli trasmette le informazioni 25 volte pi湛 velocemente rispetto al nervo uditivo. reagisce fortemente alle emozioni! Le Neuroscienze hanno dimostrato che una forte emozione associata ad unevento facilita larchiviazione dello stesso nella memoria a lungo termine Il Cervello Primitivo (decide), prende in considerazione le informazioni che arrivano dagli altri due e prende le decisioni!
- 18. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Fare prove di S.E. ha dei vincoli https://youtu.be/-Q9DAAGnv4g Se ti interessa WEBINAR Social Engineering: Fino a che punto ci si pu嘆 spingere. 27/9/16 Ad avviso dei supremi giudici sono tendenzialmente ammissibili i controlli difensivi 束occulti損 anche 束ad opera di personale estraneo allorganizzazione aziendale, in quanto diretti allaccertamento di comportamenti illeciti diversi dal mero inadempimento della prestazione lavorativa, sotto il profilo quantitativo e qualitativo損, purch辿 le modalit di accertamento non siano 束eccessivamente invasive損 e siano 束rispettose delle garanzie di libert e dignit dei dipendenti Sentenza Cassazione 10955 del 27 maggio 2015
- 19. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Il Firewall H degli altri: Le Fake News Associated Press Twitter Account Hijacking caused to NYSE a 35B $ loss in five minutes 4/2013 Danni sul Brand 5/2018
- 20. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Possono essere un problema? Lattacco sul Brand e la reputazione sono un alto rischioIl processo della diffusione delle informazioni false passa per una serie di meccanismi cognitivi che ci porta (tutti, nessuno escluso) ad acquisire informazioni per coerenza con la nostra visione del mondo e a ignorare tesi a contrasto Il futuro della Cybersecurity in Italia: ambiti progettuali strategici Gennaio 2018 pagina 60
- 21. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Campagne di Awareness 1. phishing e spear phishing 2. minacce mobile e device USB smartphones e portatili 3. social engineering e password policy 4. sicurezza fisica e pulizia della scrivania 5. uso di internet, rischi e download 6. uso del Wi-Fi e BT 7. sicurezza BYOD, politiche di Pin e criptazione. Cancellazione remota. 8. rischi nella perdita dei dati, uso delle informazioni riservate. 9. pericoli e rischi cloud, uso sicuro delle App 10.uso dei social e valore dei dati aziendali divulgati. I commenti I 10 comandamenti
- 22. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 FRAUD & CYBERCRIME HOW CAN YOU PROTECT YOUR COMPANY? BNP PARIBAS 2017 Immediatezza Il Cervello Primitivo 竪 visivo
- 23. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Docente Vs. On-line Il Cervello Primitivo 竪 concreto Ma il portafoglio 竪 vuoto
- 24. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 STAKEHOLDERS Chi dovrebbe partecipare/contribuire al processo di pianificazione della campagna? IT department; DPO; uff. Organizzazione; uff. Formazione / HR; IA. GOALS Quali obiettivi vogliamo raggiungere? diminuire/prevenire i casi di crimini informatici; sviluppare la consapevolezza dei rischi sui dati online; sensibilizzare tutto il personale sulle tematiche della cybersecurity. AUDIENCE A chi 竪 rivolta la campagna? inizialmente al solo personale Italia; da proporre alle branch/societ estere; potenzialmente anche ai clienti. Un Business Case CYBERSECURITY AWARENESS 2017/18 Come si fa un campagna
- 25. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 ANALISI DELLA SITUAZIONE Qual 竪 il principale problema da evidenziare? o cyber attacchi (specialmente tramite phishing/spear phishing) Quali sono le risorse disponibili? o Regolamento Informatico; o Policy IT; o Procedure IT. Cosa vogliamo evitare assolutamente che succeda in azienda? o perdita economica diretta o indiretta. STRATEGIA Come vogliamo raggiungere i nostri obiettivi? distribuire una serie di messaggi mirati attraverso lo sviluppo di una campagna di sensibilizzazione (video + schede di approfondimento + test -> analisi dati -> follow-up). TATTICHE Come vogliamo implementare la strategia? individuazione degli elementi per il riconoscimento della campagna; sviluppare video di sensibilizzazione di 1 min. con delle schede di approfondimento; pubblicazione dei moduli e delle schede nella intranet comunicando i contenuti a tutti i dipendenti Italia; predisposizione questionario di valutazione e analisi degli esiti. Un Business Case CYBERSECURITY AWARENESS 2017/18 Come si fa una campagna
- 26. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Analisi della Situazione Risk Assessment = Check Controls 27002:2013
- 27. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Dare delle indicazioni su cosa fare Il regolamento informatico La politica aziendale sulla Cybersecurity Le procedure di dettaglio (esempio) GESTIONE E CONTROLLO DEGLI ACCESSI LOGICI GESTIONE DEGLI INCIDENTI DI SICUREZZA CLASSIFICAZIONE DELLE INFORMAZIONI ASSEGNAZIONE E RESTITUZIONE DEGLI ASSET ICT QUALIFICA DEI FORNITORI INFORMATICI ANALISI DEI RISCHI ICT BACKUP/SALVATAGGIO DEI DATI INFORMATICI VULNERABILITY ASSESSMENT / PENETRATION TEST
- 28. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Primi spunti 1. Ragionare sugli obiettivi considerando il cervello primitivo e puntando a massimizzare il ROI 2. No One Shot ma una attivit continuativa 3. Capire il livello di maturit dei miei utenti e definire delle regole. 4. Partire da chi 竪 pi湛 critico (es. quadri) per definire il target della formazione e segregare le informazioni. 5. Insegnare a verificare in modi differenti gli interlocutori e a pensare prima di fare click. 6. Usare contenuti brevi e non tecnici 7. Puntare sulla sfera personale 8. Formare le vostre controparti 9. .. To be continued Call to Action considerare sempre che lutente sia compromesso
- 29. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 https://www.globalknowledge.com/us-en/content/articles/top-paying-certifications/ Limportanza di fare le scelte giuste MARKETTA MOMENT Limportanza della qualifica 束vendor neutral損 Limportanza della governance e del rischio nel business delle aziende Noi iniziamo i corsi a Settembre
- 30. Come costruire un firewall umano - Luca Moroni IHC Padova 2-8-2018 Se non avete ancora risposto al questionario. https://goo.gl/forms/VAVRDwwprRtN3ldn1 Fatelo, Grazie l.moroni@viavirtuosa.it