Cybersecurity in UE: la risposta alle minacce informatiche

Reazioni fra l'Osservatorio nazionale d'informatica forense che ha contribuito autorganizzazione dell'evento di oggi
Come prima cosa fatemi ringraziare il senatore si Vestroni che ho capito che arriverà a salutarci nel corso della della mattinata non è qui per i saluti iniziali
Perché Cerato appunto la possibilità di ospita ci qui in questa prestigiosa sede istituzionale per parlare di temi che sono assolutamente all'ordine del giorno al tema della cyber sicurezza se ne parla molto se ne parla molto in tanti ambiti
La cosa che mi colpisce sempre che i più famosi esperto di Cyber Security riconosciuto in Italia sono avvocati e la cosa mi disturba un po'perché mi piacerebbe che invece può essere recide esclusivamente ingegneri informatici in questo ruolo ma per carità gli avvocati sanno comunicare meglio
Però l'obiettivo nostro anche oggi è proprio quello di riuscire a farlo comprendere a condividere con tutti le competenze che sono all'interno delle categorie professionali nostra soprattutto nell'ottica di tutelare le le risorse che diventano oggi come oggi critiche su tutti gli ambiti della nostra vita dei trasporti a alle infrastrutture critiche alle e ai servizi essenziali offerte cittadini tutto transito ovviamente per l'informatica e quindi la necessità di una sicurezza assoluta io giusto due parole l'associazione ogni Fed informatici forensi che se vogliamo in questo mondo della sabbia seguite arriva dopo arriva quando ormai da quel fatto se vogliamo perché deve andare a raccogliere tutti quegli elementi che
Sono utili sia per il procedimento ma anche per capire che cosa è successo e come mai è successo solamente indispensabile che poi diventano quelle considerazioni quelle analisi che diventano preziosissime per migliorare la tutela poi di tutto quello che viene dopo
All'interno della nostra associazione siamo pochi ma vi posso dire più o meno in tutte le attività che ci sono
Di informatica forense in Italia sono capitano sempre all'interno del nostro gruppo che per quanto piccolo sappiamo che insomma ormai ogni indagine comincia sempre un dispositivo digitale effettivamente veniamo chiamati quasi sempre proprio all'interno a pescare all'interno di questa associazione io però qua sono mi sento pronto quasi a casa anche se questa è la prima volta che entro in questa sede perché sono in compagnia di tutti amici
Tre compagnie provvede il mio ex presidente Carla Cappiello della dell'ingegnere oltre che al presidente Massimo Cerri che adesso ci verrà a salutare
Oltre che ovviamente ai colleghi di onice gli hanno partecipato oltre ai consiglieri Comit mi è capitato di vedere quindi veramente mi sento a casa e quindi proprio per lasciare anche un un un tono informale se consentì Carraio
Ti presento come consigliere decenni assolutamente ma soprattutto come io tira sempre vista come un presidente che ha avuto una grandissima attenzione sui temi dell'informatica e del terzo settore e questo secondo me una cosa fondamentale per
Anche nel mondo ingegneristico c'è questa
Sorta di differenziazione no ecco aver colto l'importanza soprattutto nel mondo di oggi di valorizzare questo settore secondo me fondamentale quindi grazie per il contributo che ci aiuti aiutato a costruire in questi anni ovviamente sperando che possa continuare in seguito
Se Buongiorno a tutti grazie Paolo grazie a Onitsha grazie per le belle parole ma in realtà io
Voglio dire come credo tanti occhi
Ho valorizzato questo sito ha cercato di valorizzare questo settore perché ho capito che è un settore che trasversale su tutte le materie quindi io non sono un ingegnere del terzo settore sono un ingegnere civile ma anche nell'ambito civile ma nell'ambito industriale in tutti gli ambiti ormai dobbiamo per forza avvalerci di figure competenti
Del terzo settore
Naturalmente porto il mio saluto personale ma quello del consiglio nazionale degli ingegneri
A questo evento che tratta uguale a trattare dei temi è un tema che riguarda
Fortemente la professione e la professionalità
Degli ingegneri in particolari ma che è un tema anche di grandissima attualità
Lo so è un tema dove io leggo che è necessario e qua bisogna prendere maggiore consapevolezza all'intervento sempre di due soggetti la politica il politico ma anche il tecnico se queste due figure via riuscissero a integrarsi sicuramente arriveremo a norme e a direttive se guardiamo all'Europa che sono complete diversamente come purtroppo in tanti ambiti accade
Noi abbiamo sempre dei provvedimenti che lasciatemelo dire fra virgolette sono un po'Zoppi mi viene da pensare riferendomi a a nostra la nostra nazione alla all'ultimo disegno di legge che ormai ha già passato in Senato
E che sta passando alla Camera che sancisce un principio quindi la la politica va bene è un principio che è sano no mi riferisco al disegno di legge sull'acquisizione dei cellulari e quindi dei dati sui dei cellulari
Il principio è sano cioè non bisogna abusare
Della del dello strumento che ci viene dato cioè molti pm hanno abusato no hanno tirano fuori dai cellulari dati voglio Perrone vede se io non parlo proprio con dei con linguaggio tecnicistico
Quindi i pm spesso hanno abusato con l'acquisizione dei dati l'estrazione di dati dai cellulari dove esiste tutta la nostra vita professionale e anche privata
E quindi il principio di questa norma anche dice no guarda tu devi estrarre solamente quei dati che sono conferenze ti all'oggetto dell'indagine che sei portando avanti è un principio sano giustissimo che la politica persegue correttamente ma in termini attuativi e operativi
La politica non ha ascoltato i tecnici perché operativamente quel disegno di legge è carente come dicevo prima Zoppo
Per diversi ordini di fattori quelli più tecnici istrici
Ma anche quelli legati all'attività che svolge professionista nel caso specifico spesso professionista forense no perché tirare fuori i dati filtrare coi dati in tempi ristrettissimi come stabilisce la norma ebbe è un'attività importante è un'attività che deve essere anche compensata e ad oggi il il il il il consulente l'ingegnere informatico l'ingegnere forense come voi sapete pagato quattro virgola zero settantacinque euro l'ora
Che è una cosa scandalosa quindi qual è il rischio il rischio è che tu fai una norma quali non c'ha il tecnico che opera in in quel settore
E su questo poi sulla la revisione delle tariffe forensi con Paolo Paolo sa benissimo anche presidente dell'Ordine di Roma siamo facendo un lavoro
Enorme ciclopico e speriamo di arrivare a un obiettivo ma trasferendo questo stesso concetto di mancanza di scollegamento tra politica e tecnica e trasferendolo più in Europa mi viene da pensare alla direttiva NIS due
No che nel gennaio di cui questo questo evento Boy parla rapaci sarà un relatore Paola Paola Rocco
E e questa è una direttiva che ha subito se non erro un suo correttivo infatti e due a gennaio del due mila venti tre
Ed è una direttiva che riguarda la sicurezza delle reti e dei sistemi informatici ed analitica molto stringente molto severa che detta le del detta delle dei principi come dire
Sani tra virgolette cioè rafforza i requisiti di sicurezza come dire razionalizzare gli obblighi di reportistica introduce delle misure di di supervisione molto rigide
Introduce dei requisiti attivi i tempi applicativi molto rigidi
Legati anche al controllo degli accessi però e quindi è una misura che incide fortemente sulle aziende e sulla vita
Delle aziende ma anche alla fine a cascata di tutti i cittadini e anche in questo caso in termini applicativi forse c'è qualcosa da rivedere no
Perché perché non c'è trans non c'è una un un periodo di transizione cioè anche qua viene la norma dice o guarda dalla ottobre due mila ventiquattro deve essere così e noi
Rispetto alla nostra situazione della nostra nazione forse qualche qualche problemino ce l'abbiamo problema problemi attuativi ma anche problemi di costi perché un'azienda per adeguarsi alla normativa alla direttiva europea deve affrontare dei costi importanti
I fondi dedicati non mi sembra che ce ne siano no quindi questo per dire qui mi fermo perché io voglio dire lascio parlare chi esperto del settore
Questo per dire che è importantissimo che il professionista competente
Oltre ormai a essere credibile trasversale sia chiamato a monte cioè quando si fa la norma non quando la norma deve essere recepita
Perché altrimenti veramente chi soffre
E tutto il paese grazie
Grazie cala
Toccato due temi importantissimi fatto innanzitutto che ci sono delle competenze che devono essere che sono già a disposizione della collettività oltre che della politica ovviamente ma che a cui non si attinge con la dovuta
Attenzione probabilmente e il riconoscimento stesso di queste competenze attraverso dei compensi che siano adeguati perché altrimenti le due cose devono andare per forza a braccetto
E allora volevo invitare presidente Massimo Cerri
Aspetti qui accanto a al ponte un ponte
Grazie
Bene grazie Paolo grazie a tutti
Una ringraziamento per questo in vedo che avete fatto all'ordine degli ingegneri che onorato di partecipare e prendendo spunto da Paolo che oggi vedo come presidente ogni fa che nel pomeriggio aveva come consigliere dell'ordine quindi
Abbiamo finalità comuni e portiamo avanti quello che è stato impostato già nel tempo quello della valorizzazione del terzo settore che ormai
Da tempo
Permea nell'ambito dell'interdisciplinarietà che esiste nel settore dell'ingegneria oggi pensare a una qualsiasi iniziativa senza la compenetrazione degli aspetti dell'ingegneria civile ambientale di quella industriale di quella dell'informazione
è assolutamente anacronistico
E prendevo spunto dal fatto che molti degli esperti sono avvocati e quindi mi ricollego alle parole anche di Carla io credo che dobbiamo con coraggio assumeranno un come dire un ruolo partecipativo anche su temi sociali al di là di quello che in quanto appartenenti agli ordini perché lo è
O per la vocazione dell'esercizio della Tia l'ingegnere per chi lo è o della vocazione professionale che ognuno ha dobbiamo cercare la nostra rappresentanza in Europa
Nella
Nelle realtà della politica anche attraverso i nostri tecnici però perché spesso ci troviamo nella condizione in cui da tecnici siamo chiamati a mettere a terra come diciamo volgarmente quello che non solo il desolato del San Donato
Doverci trovare in condizioni in cui la norma rimane in zona paludosa avevano dedicato alla sicuramente una condizione che mette in difficoltà noi negli aspetti realizzativi
Ma sappiamo bene che il nostro operato a quello al servizio della collettività e dunque una problematica e poi si
Ripresenta al cittadino tal quale quindi auspichiamo che nel tempo insomma non sarà presentarsi a politica in quanto tecnici possano essere sempre migliore Brando il tema di oggi
Sarebbe sicurezza è un tema del quale parliamo ormai da decenni ma se ne parla permettetemi di dire tra esperti e io non lo sono quindi diciamo che ne ho sentito parlare per questo dico se ne parla da decenni oggi la spinta che si diffonda si diffonda fino all'ultimo cittadino questo concetto
E in qualche modo la direttiva va nella direzione anche della rafforzare il tema della formazione a tutti i livelli nelle realtà che possano essere sottoposto in a questo tipo di attacco immaginando gli attacchi che ci arrivano dal mondo esterno
Per condividere qualche numero insieme avranno spunto dal rapporto Cluzet tra due mila ventiquattro che ci dice
Il fortissimo aumento che ha cessato riportando i dati al due mila ventitré di quelli che sono i gravi incidenti che a livello globale vedono nato peggioramento rispetto all'anno precedente con un incremento del dodici per cento
Ma al di là dell'incremento numerico l'aspetto diciamo sì rilevante perché il livello di si emeriti è aumentato a siamo parlando dell'ottantuno per cento dei casi analizzati che rientrano nella fascia definita elevata e critica
Cosa incide su questo certamente non c'ho io dal contrasto geopolitico
Quindi tutte le cose di cui sappiamo situazione Ucraina rossa così come la situazione se belle Palestina
Perché questi aspetti comportano proprio l'attenzione da parte delle AA organizzazioni governative a quello che accade nel resto del mondo dunque si favorisce questo tipo di tematica
E ne
Due mila ventitré l'undici per cento di questi attacchi essa dovrebbe legato attacchi che hanno riguardato il nostro Paese e dunque al pettine un incremento importante rispetto al due mila ventidue
E di questi attacchi il sessantacinque per cento in incremento rispetto all'anno passato proprio quelli che hanno riguardato il livello di gravità definita elevata o critica
Tutto ciò che cosa diciamo così ci può portare come riflessione per la giornata di oggi abbiamo relatori molto esperto di caccia compagne vanno una riflessione sulla dimensione sociale della tematica sarebbe sicurezza che non è più se mai lo è stata nei fatti versata
Ma non i principi è una tematica di conoscenza comune noi dobbiamo cercare di favorire quanto più la partecipazione attiva del cittadino a questa tematica e da professionisti mettere in campo tutte quelle persone le nostre per cui la vita conoscenze per fare in modo che questo sistema appaia sempre più robusto in modo tale che i sistemi software di protezione e la difesa delle infrastrutture perché anche di questo parliamo possano essere le più solide
Possibili in questo momento
Accanto a quello che diceva essere gli aspetti di carattere geopolitico a livello internazionale si affranca voi aspetti più specifici immaginiamo la supply chain a cui siamo abituati e quindi l'aver creato una catena che può generare una vulnerabilità all'interno delle organizzazioni indipendente dalla singola organizzazione ma quanto vi scendiamo verso il basso tanto più incrementa il rischio proprio per quella tematica che dicevo di mancata percezione del rischio dunque conoscenza e mancata attuazione di tutto ciò che i tecnici gli esperti ci dicono essere gli strumenti disponibili per fronteggiare questo tipo di attacchi così come l'e-commerce e sappiamo che è aumentato notevolmente
Chi di noi ormai con la fase pandemia che c'è stata non ha conosciuto questa modalità di acquisto
Per fare un esempio personale da come diceva Paolo ce l'avevamo in un contesto tutto sommato di amici
Nel fare la ricerca su internet di un appartamento in affitto mi arriva dopo poche ore l'e-mail da una persona che mi dice o in un appartamento in affitto con queste caratteristiche sono quelle che io cercavo in questo luogo che è quello che io cercavo
Mi scrive
Dini come possiamo fare perché mi trovo fuori mandami cortesemente Dini che se interessato così io rimando Libano e su cui fare il bonifico appena mi fatto il bonifico chi metterà in condizioni di vedere l'appartamento cioè voi fa sorridere perché il Paese da Villari io c'ho la pelle d'oca ma non se la sono presa tremarella nel nella mia scarsissima conoscenza per la sua fatti reali Cervi rappresento fattivamente questi ultimi due giorni
E dunque rispetto a questo l'indirizzo che ci arriva dall'Europa tutto sommato è benvenuto ebbe abisso anche in un contesto più ampio noi la transizione digitale come paese l'abbiamo avviata Antoine può far oggi la spinta che abbiamo del pianeta va in questa direzione
L'augurio è che ci permetta di rafforzarla e che è in linea con l'Europa possiamo rendere più robusto non so sistema e più partecipi i nostri cittadini grazie a tutti
Grazie Massimo effettivamente toccato alcuni temi mi piace riprendere perché sono la rappresentanza politica dei tecnici anche i tecnici del settore dell'informazione è fondamentale che ci sia in nelle istituzioni proprio perché il nostro mondo è tutto rientrato sugli aspetti che ormai fanno parte della vita digitale vera e propria ma anche altre cose è interessante l'aspetto geopolitico perché può distrarre ma in realtà gli attacchi informatici sono finalizzati proprio a attività dei cyber war di di guerra digitale
Anche non so se avete sentito ci sono diverse problematiche legate alla navigazione aerea per i disturbi che vengono fatti e segnali GPS quindi in realtà anche gli aspetti informatici hanno un ruolo sebbene alla disperazione vengo che mentre sui fenomeni proprio quelli fisici
E la dimensione sociale è verissimo a a me è capitato e a tanti nostri colleghi andare nelle scuole a cercare di spiegare ai ragazzi perché è quello il punto di partenza
Come si utilizzano dispositivi digitali eccome
Vivere in una dimensione digitale però è qualche cosa che è una goccia nel mare bisognerebbe qualcosa di più istituzionalizzato perché gli insegnanti di oggi
Con
Non è una colpa loro ovviamente così come i genitori di oggi e non è una colpa loro almeno questo non hanno la capacità la sensibilità per poter affrontare queste tematiche e quindi a maggior ragione tutto deve far parte di una dimensione sociale anche della vita digitale delle persone
E allora a questo punto ringraziando questa introduzione bellissima che abbiamo avuto introduco il primo relatore di oggi che è il professor Stefano Panzeri sparse vai sopra il Po di anche tu
Presso Stefano Panzeri professore diversità di Roma Tre chi si occupa di controlli automatici controlli digitali controlli di processo al direttore del laboratorio
Di automazione del Dipartimento di Informatica e automazione in particolare segue proprio i problemi
Cyber per i sistemi di controllo industriale allora debbano grazie Vargas l'introduzione grazie a tutti per l'invito
Grazie Carla
Un ottimo periodo questo per parlare di cyber sicuramente come diceva prima Carla Cappiello
Chiama tematica che uno pensa di aver esaurito sempre invece no perché
Come dire il panorama che poi diciamo anche illustrato prima Massimo ci dimostra il panorama cyber di attacchi De Cello stato prima Massimo ci dimostra che questo
Non è vero dunque io mi interesso
Personalmente
Sistemi di automazione industriale ormai penso da trent'anni
Stiamo parlando quindi di oggetti che vanno sotto il nome di sistemi scada PLC la sua e non so quanti di voi possono essere familiari con queste terminologia ma immaginabili PLC in fin dei conti sono soltanto quegli apparati informatici di basso livello che in un qualunque ambiente industriale infrastrutturale
Manifatturiero come volete voi
Sono collegati direttamente agli apparati di campo quindi sono quegli oggetti che controllano tipicamente robot otto motori o carrelli macchine no quindi come dire sono quasi il cuore pulsante diciamo così un pochettino di tutta quella che è l'automazione
In qualunque settore voi la pensiate applicata e quando dico qualunque settore
Possiamo parlare di billing Automation possiamo parlare
Di del settore marittimo grandi navi da crociera la stessa cosa possiamo parlare di qualunque sistema ecco troverete oggetti più o meno di questo tipo che la fanno da padrone sono sempre
Alla fine del computer però chiaramente sono c'ho delle caratteristiche particolari di robustezza efficienza durata nel tempo l'oggetto di questo tipo può tranquillamente rimanere in opera anche vent'anni
Che sempre giù da un lato dall'altro invece è un problema perché come sono andate le cose poi in Italia negli ultimi trenta quarant'anni mai di realtà in tutto il resto del mondo
è successo che a partire dagli anni cinquanta c'è stato un progressivo aumento della digitalizzazione dico tutti quanti Projest processi produttivi
Nonché di tutte quante le infrastrutture principali che che conosciamo adesso è chiaro che negli anni Cinquanta ci saranno stati quattro computer in tutto il mondo
Negli anni Sessanta già le cose erano diversa settanta ottanta negli anni ottanta il controllo digitale era già una cosa molto comune questi viale C risalgono a più o meno cominciano ad apparire più o meno in una in quel periodo abbiamo continuato a installare questo materiale per tutti gli anni ottanta novanta ancora adesso si va avanti
E però signori internet arrivata negli anni novanta cioè è arrivata quando ormai la maggior parte della digitalizzazione del processo del controllo dei processi era era avvenuta all'interno delle aziende
E questi oggetti avevano un grado di protezione contro gli attacchi cyber paria Ziero
Ma no zero gli da venerdì Meno di zero cosa cioè meno di zero meno uno meno due semplicemente perché non prevedevano di essere collegati a internet cosa è successo dopo successo che praticamente i piani alti diamo delle aziende dove c'erano gli uffici gli studi di progettazione nella stanza dell'amministratore delegato tutte queste belle cose
Chiaramente hanno cominciato ad a valersi di quella che sono connessione a internet normali per fare normale attività d'ufficio come lo facciamo noi oggi
Ricordatevi tutto è cominciato durante gli anni Novanta
Poi è chiaro che interna che si è sviluppata per tutto questo tempo e fino ad arrivare all'inizio di questo secolo che più o meno come la conosciamo adesso
Sebbene ovviamente oggi servizi siamo più veloce più efficienti più tutto ma ricordatevi che più velocità più efficienza per noi è e anche per quelli che commettono crimini informatici quindi come dire
Le autostrade le le percorrono tutti diciamo così le persone perbene
I mafiosi la stessa cosa
Allora il quello che quindi che è successo e che tutta una serie di dispositivi di apparati si sono trovati scope
Alla merce di malintenzionati che erano in grado di venire da fuori passare per gli strati alti diciamo così delle delle scritte information armato management gli strati alti dell'azienda o dell'infrastruttura e scendere piano piano sotto
Ovviamente queste cose negli anni Novanta sua cominciato a studiare perché comunque avevamo capito già che c'erano dei pirico io ricordo una delle prime normative del settore la SP novantanove non so se qualcuno la conosce a novantanove sola pubblicata proprio più o meno da quelle parti del mille novecentonovantanove che erano normativa che già parlava di come proteggere gli impianti industriali però signori valesse più novantanove che poi è la madre della moderna
Sessantadue quattro quattro tre che è la normativa principe che in questo momento si applica per gli impianti industriali
E insomma c'è nel passato il suo bollino
Più trenta diciamo così ma non per mettere in sicurezza tutto ma per scrivere una norma compiuta ampia che desse delle linee guida adeguate la trasformazione invece che queste normative implicavano procede ha proceduto sempre abbastanza a rilento o meglio con velocità diverse
Cosa avete vi faccio un po'di storia però insomma diciamo che potrebbe essere interessante questa cosa
Con velocità diverse perché ricordiamoci intanto che per esempio in Italia match abbiamo che per quello che riguarda la produzione industriale mentre sembra che l'ottanta per cento del del PIL dovuto alle piccole e medie imprese e la piccola e media impresa di un venti per cento di quelle grande ma la differenza dalle piccole medie e quelle grandi abissale
è abissale le grandi sanno come difendersi perché le grandi sono andate sotto attacchi pesantissimi in tutti questi anni
E hanno messo in piedi dei gruppi di lavoro hanno fior di aziende ai consulenti che egli aiutano a proteggere i loro sistemi e ciononostante ogni tanto leggiamo sul giornale
La Barilla viene attaccato da piuttosto che altre aziende ma se non volete guardare in Italia basta che vi ricordate per esempio l'attacco che c'è stato al Colonial fai tua Enna
Statunitense in pochi anni fa tre anni fa quattro anni fa non mi ricordo
Che ha messo in crisi tutta quanta la distribuzione di olio della costa est degli Stati Uniti ma non quattro cose quattro stupidaggini
Non volavano via Roma l'animazione macchine non si muovevano ce la potrà se non c'era niente quest'anno con dei rasoi bloccato completamente un oleodotto gigantesco
Di quelli che partono diciamo così
Dalle
Pianure della Florida della Georgia somma dove stanno i pozzi di petrolio da quelle parti a controlli ma è un po'più verso il Texas portano quest'olio diciamo così verso tutto quanto alla costa nord delle la costa est degli Stati Uniti ricordatevi che negli Stati Uniti Sabiona costare stomaco Stores
Nel centro
Certo allora va bene hanno messo in crisi non so quanti milioni di persone
Hanno pagato un riscatto Venanzo hanno pagato riscatto più o meno quattro milioni di dollari dopo di che siccome so bravi grazie alla collaborazione anche tra tutte le polizie internazionali sicuramente anche la polizia postale italiano avrà collaborato circa la metà di questi soldi sono stati recuperati perché i Bitcoin
è vero che son belli per farsi pagare però anni per quelli che le usano sono perfettamente tracciabile quindi si sa esattamente dove finiscono ognuno possa avere un picco anche strada fa certo quando cominciano a dividersi mille reflui insomma no non ritrovi più però un paio di milioni dollari sono stati comunque riportati a casa l'altro ma io sono stati pagati c'è niente da fare
Ora queste cose socio successi in America succedono in Italia succede tutto romano continua ma la grande impresa comunque sa come difendersi da piccola e media impresa non sa come fare perché per la piccola e media impresa impresa ancora oggi i costi della dell'applicazione di questa normativa sono elevatissimi ora ci sono alcune piccole e medie imprese che cadranno nella ministro due dopo Paola
Rocco ci spiegherà bene che cosa significa le quali si troveranno per forza in difficoltà e forse qui che deve intervenire anche la politica in qualche modo cosa Successo cosa successe invece alle infrastrutture
Delle infrastrutture per le infrastrutture e la storia è stata leggermente diverso perché per le infrastrutture
Noi partiamo da una situazione più o meno negli anni settanta ottanta visitati come dire oggetti molto compartimentati
Abbastanza indipendenti che ne so ferrovie certa
Dentro c'aveva tutta quanta la parte del controllo delle dei loro scambi stazione eccetera eccetera segnaletica però aveva anche una sua linea di telecomunicazioni privata praticamente ora andando avanti efficientamento sicuramente
è indubbio che mantenersi delle linee di delle comunicazioni private costa molto di più che affittarla qualcun altro che le sa gestire bene
E quindi come dire privatizzando e tagliando via tutte quante le fette che non erano core business
Chiaramente sia cominciato ad avere delle infrastrutture che dipendevano in parte da apparati gestiti dentro casa e in parte da apparati gestiti da qualcun altro
Il nostro mondo piano piano per ragioni veramente di tutti i tipi dall'economia alla allo sviluppo tecnologico lo scelte anche politiche qualche volta perché chiaramente le privatizzazioni costate una scelta politica non è mica stava una cosa che
Sono state imposte no quanto a torto o a ragione ma comunque sono state imposte alla per tutti questi motivi il nostro sistema infrastrutturale ma è successo in tutto il mondo signori ha cominciato a intrecciarsi
E poi soprattutto anche la quantità di servizi
Che sono offerti al pubblico sono diversi da quelli che ci potevamo che potevamo avere negli anni ottanta e tutte queste cose comportano l'utilizzo di infrastrutture differenti dipendenze anzi come diciamo noi nel settore di
Interdipendenza ora quando parliamo scusate di interdipendenze
Arriva la tematica delle infrastrutture critiche
Perché perché le infrastrutture critiche sono quelle dalle quali dipende la nostra salute la nostra salute è legata indissolubilmente a queste cose il nostro benessere legato indosso demenza queste cose
Le infrastrutture tra di loro sono collegate Effetti a cascata deleterie possono avvenire in ogni momento ed ecco che per forza a cominciare come vedete dall'inizio diciamo del secolo
Si affaccia popolati ematica dello studio delle infrastrutture che vive come oggi noi la conosciamo prima negli Stati Uniti perché ovviamente li hanno capito
Causa anche poté torri gemelle che le cose potevano essere molto pericolose che gli effetti a cascata erano delle cose vere un po'dopo in Europa
Il tutto purtroppo condito da alcuni attentati che ci sono stati gli hanno messo in evidenza un pochettino alcune criticità europee la metropolitana di Londra l'attacco alla fermata
Ah datogli a cos'era la fermata Barcellona del del tre nove ricordatelo tutti attentati molto brutti che però insomma
Qualche maniera non può risvegliato le coscienze europea perché non li fino all'epoca pensava che il terrorismo non esistesse
Il terrorismo non è oggi il principale motore dello sviluppo della Cyber Security perché mi ricordo mi ricordo che la sabbia simili oggi è un problema che riguarda la criminalità organizzata
Solo a scopo di estorsione fa quindi non ci stanno altri modi di tutte le altre cose sono veramente poca poca roba i settori nel frattempo poi vedremo con la NIS due son diventati tanti
Chiaramente ogni ogni nuova normativa ne mette dentro alcuni ne tira fuori altri però è chiaro che energia trasporti
E oggi sicuramente banche le infrastrutture dei mercati finanziari la sanità e tutto queste belle cose l'acqua potabile le acque reflue son diventato chiaramente l'infrastruttura molto visibile
Tutte le infrastrutture digitali la pubblica amministrazione lo spazio i servizi citino chi più ne ha più ne metta questi sono poi di settori di cui vedremo o dopo tutti questi settori sono chiaramente interessati e legati
L'una all'altro ora il fatto che siano legati tra di loro fa la differenza
Perché se ne potessimo lavorare in maniera verticale su ciascun settore sarebbe non dico facile ma più o meno il lavoro sarebbe già fatto perché quale azienda
Non sa gestire insicurezza dei propri apparati
Lo fanno tutti perché lo devono fare Consolo ci sono normative ma ci sono come dire obblighi istituzionali insomma devono rispettare tutta una serie di dettami
Legislativi ma il problema è che molto spesso queste cose vengono fatte pensando di vivere in un mondo che intorno è ideale
Cioè io gestisco il mio sistema di scambi e di segnalazione ma
Non posso nulla o non mi rendo conto di cosa può succedere sì improvvisamente non c'è la corrente elettrica
Perché mica la faccio io la corrente elettrica la contro c'è un contratto
Un contratto con varie aziende sì magari ci metto pure qualche penale così no
E però le finali non ripagano
I problemi che possono succedere alle persone
Magari ma ripagano di qualche disservizio un ritardo ma se succede qualcosa di brutto non va bene
Ora questo lavorare in maniera indipendente è stato il credo diciamo così di tutte queste infrastrutture per tutti gli anni Novanta forse i primi dieci anni del nuovo secolo ora fortunatamente le cose stanno cambiando stanno cambiando per forza di cose perché si è capito che in realtà bisogna allargare lo sguardo lavorare anche facendo modelli matematici un po'più ampi cercando di capire che cosa succede in quell'infrastruttura se in quest'altra abbiamo
Un problema come dire
Mi viene sempre citare questa frase di floridi conoscerete sicuramente il nostro filosofo italiano che lavorava Oxford adesso stai il è nostro compito trasformare la complicatezza in complessi da chi significa sostanzialmente
Ciò che non capiamo è complicato frodi fa sempre queste semplici se uno mi chiede
Cinque mila euro rilevo che gli rispondo complicato
Per di no non lo non se po'fa non esiste complicate ritenuto negativo fatti dice pure normanna
Che complicato è uno stato mentale invece la complessità che è lo stato del mondo che significa tanti oggetti tra di loro interagenti in qualche modo alle volte escono fuori come dire dalla realtà biologica ma alle volte li costruiamo nuovi così perché sono tutte le infrastrutture tecnologiche bellissima che abbiamo costruito
Ecco tutta questa complessità di che essere gestita e quando la gestisci scoprì che la risk analysis che hai fatto fino all'altro ieri non va più bene
Devi cominciare a mettere dentro anche quello che ti succede intorno quello che ti potrebbe succedere intorno
E non solo questa cosa ovviamente ormai è stata ben compresa e anche messa in pratica da tutte le normative più recenti e in Italia abbiamo ACM che la rete ci percepisce e che a me tu messo sugli exit non solo quando ti succede qualcosa tu lo devi comunicare ANIA
Perché chi vuol dire comunicare vuol dire che io ti dico guarda che non solo ciò questo problema la rete elettrica qui in questa zona
Ma prevedo che insomma c'è una certa probabilità che questo problema nei prossimi dieci minuti si allargherà pure a questa zona questa zona quest'altra zona
Allora il gestore ce ne sono della rete elettrica o contro scusatemi della della
Dei trasporti delle Ferrovie di di tutto quello che vi pare può avendo un'informazione
Come dire di previsione su eventuali disservizi eventualmente mettere in pratica di le contromisure preventive che aumento al suo livello ovvia allerta o di
Risposta diciamo così a eventuali problemi che possono anche
Siccome viviamo in un mondo molto connesso non possiamo non ha vere delle strategie
Che preveda hanno al loro interno una maggiore connessione stiamo andando da questa parte queste vero
Voi direte ma in tutta questa bella modellistica che ci stai raccontando tutto dei sistemi complessi Zabel come entrano in Saber entra pure lui perché pure Zabel si può modellare io posso modellare come un attacco cyber può andare a influire su un magari un certo servizio si tratta solo di usare un porto d'intelligenza che c'abbiamo
Nel nostro Paese perché sono tante le persone che studiano queste cose semplicemente forse oggi ancora non sono abbastanza valorizzate K e forse ha ragione anche Paola quando dice che le normative andrebbero fa presentando prima i tecnici e poi dopo
Magari mettendo le in pratica normale viceversa perché se no poi i tecnici che devono fare niente mettono fanno quello che possono diciamo così con
Del vigile devono essere per forza applicate allora il cyber farà fa farà parte di questo livello modi modellazione più ampio e quindi un attacco cyber potrebbe
Essere come dire
La notizia di un attacco Saber potrà essere utilizzata per capire quali affetti da qualche parte magari si andranno a verificare e allora sviluppare dei sistemi di supporto alle decisioni sarà un pochettino più semplice ma vi sono va porta
Non c'è se non in piccoli casi in piccoli di situazioni dove ovviamente già si è dimostrato che c'è un'efficienza abbastanza importante ora parlando di cyber
Adesso non la voglio fare controlli anzi soprattutto vorrei chiedere a Paolo quanti minuti ancora ciò
Ce l'ho
Campane parlando di cyber è chiaro che se andiamo a vedere quali sono gli approcci normativi oggi diciamo così più utilizzabili sul pianeta non è che noi non possiamo non citare il framework mista Frémaux che visto che io cito sempre solo per un motivo perché da quando Obama il dodici febbraio due mila tredici tira fuori un Executive Order
Nel quale dice mo'bisogna fa
Ultima cosa proprio disse esattamente così credo proprio esattamente con queste parole
Febbraio due mila quattordici viene pubblicato il ministro
Ecco qui c'abbiamo da imparare sull'efficienza
De di un l'organizzazione che quando si mette in moto poi micidiale
Non ci vogliono anni e anni per ragionare su queste cose
Va bene e quindi tirano fuori il questo freno alcun freno che molto interessante che
Come dire è un oggetto che è stato utilizzato per aiutare le aziende soprattutto il comparto privato diciamo così a provare a mettersi in regola a mettersi in regola a cercare di fare cose giuste per proteggersi da attacchi cyber non è una cosa che valeva solo per infrastrutture però loro li all'epoca l'hanno pensata effettivamente solo per le infrastrutture critiche
Perché hanno capito che fondo gli attacchi cyber lì c'avevamo degli affetti
Molto molto deleterie e vedete che ci sono tutta una serie di funzioni denti fai prova del quintetto risponda recovery
Qui stiamo parlando ovviamente di cose tecniche a queste cinque funzioni corrispondono voi ventuno categorie novantotto sottocategorie
E sostanzialmente un responsabile della sicurezza utilizzando questo Framework è in grado di mettere in piedi perlomeno cominciare a strutturare un sistema che abbia un senso per la protezione o dei dati o delle funzionalità diciamo di un sistema tutta questa cosa funziona anche con della specie di scorecard sommavano praticamente per può fare una specie di assessment dando un po'di punteggi qua e là a tutte le cose che già fa scopre che sta messo malissimo e a quel punto cerca di mettere in piedi delle azioni che che riportino su con questo punteggio in modo tale da raggiungere il livello privi issato prefissato da chi precisato dall'azienda perché non c'è niente di imposto da nessuna parte
Da questo primo che è stato molto interessante effettivamente tra l'altro vedete che il ventisei febbraio due mila quattro l'altro ieri l'hanno aggiornato ed è diventato al ministro due punto zero
L'hanno aggiornato e hanno detto beh va be'ma questo passo usato veramente da chiunque perché gli sembra un po'troppo settoriale all'inizio quindi l'hanno riprogettato un pochettino e hanno introdotto anche una nuova funzione che questa governa
E ancora devo capire perfettamente perché insomma il metro e molti uscito veramente da molto poco
Ma in generale una funzione che in qualche maniera serve per effettivamente distribuire le azioni tra le altre funzioni quindi è una una funzione di governance che oggettivamente mancava
A tutto questo soffre e muore
Va benissimo
In italiano
Beh intanto in Italia c'è stato un tentativo di riprendere questo brand molto il tentativo fatto da parte di sapienza soprattutto sostanzialmente il CCISS di sapienza e il ciniche illa serve il sì di National a Lab che è un'organizzazione diciamo così no profit fatta di docenti universitari poi alla fine
I quali hanno sotto l'egida del Garante per la protezione dei dati personali e come vedete anche del dis e dipartimento informazione per la sicurezza
Sono riusciti a in qualche maniera a prendere il framework mista e tradurlo diciamo così
In italiano ma non tanto tradurlo ma diciamo proprio renderlo un po'più praticabile in Italia per cui alle famose cinque funzioni e non è stato aggiunto niente tranne che però alcune colonne sono state specificato un po'meglio diciamo così e quindi lo Stato indicati livelli di priorità maturità la metodologia di contestualizzazione
Che è una cosa importante perché chiaramente no era una cosa applicarla un comparto produttivo ma cosa impropri Carloni infrastruttura e allora dare delle metodologie che ti consentano di e rendere un po'più effettiva questo
Questo faremo che sicuramente è stato importante chiaramente
Questo oggetto è a disposizione di tutti dell'ultimo possono utilizzare però finalmente vediamo
Arriva finalmente negli ultimi anni la nostra agenzia per la Sardegna sicurezza nazionale che cerca invece di rimettere
Un po'in ordine no tutto quello che succede in Italia
E in qualche maniera l'anello che mancava a tutti quegli altri reparti delle degli elencati vedere prevenzione e contrasto tra chi mira informatica lì dentro ci sta la Guardia di Finanza ai carabinieri la polizia postale
Che vi ricordo che è quella proprio che si occupa del di crimine informatico
Poi c'è tutta quanta la parte di difesa militare quindi tutti quanti i reparti che trattano in generale la la Cyber Security e ce ne sono vari
E poi tutta la destra invece di nuovo il bis nelle due agenzie
Principali per la gestione delle informazioni tutto a sinistra invece abbiamo ACM che in qualche maniera è stata incaricata anche di redigere di redigere la politica disabile psichico ridi
Nazionale e quindi è uscito con tutta una serie di documenti che sono disponibili sul loro sito web
Tre sono gli obiettivi fondamentali di questa strategia nazionale prevede che sono citate anche le infrastrutture nazionali perché altro non potrebbe essere quindi effettivamente ci stiamo muovendo nella direzione
Giusta ma
E vedete che protezione risposte sviluppo son tre cose che competono ad ACN e che sono perseguire in questo momento anche con molta intensità
Sono uscite tutta una serie di obiettivi del loro intendono realizzare e piano piano stanno pubblicando tutta una serie di documenti che servono a implementare tutti queste che loro chiamano misure
Ottantaquattro misure le famose ottantaquattro misure
Ce ne sono alcune che ex praticamente hanno quasi visto la completa implementazione e altre un po'più complicate da realizzare che effettivamente richiederanno un po'più di tempo vi faccio vedere questa slide
Perché in questa slide e si capisce un po'meglio
No tutte le cose che ho detto prima
Partendo dal basso ACN ha messo in piedi il si è rotta italiani Cyrte
E il praticamente il centro che si occupa di dare la risposta diciamo così agli attacchi informatici nell'immediato e notate che questo livello qui chiamato livello tecnico è direttamente collegato a chi
Per esempio a tutti quanti gli operatori dei servizi essenziali che sono previsti dalla Nissan uno pochi dall'Avis due tanti adesso quindi tutti questi operatori che dovranno in qualche maniera dire che hanno subìto un attacco informatico dovranno comunicarlo qui al Sirti Italia
Non solo
Prenderanno anche le comunicazioni da tutti quanti gli enti che stanno nel perimetro nazionale di ritmi di me pedinano nazionale di sicurezza digitale che non so se la vede raggruppa un certo numero di operatori molto importante leva all'italiano eguali a no non solo avuto l'obbligo di comunicare come sono fatte le loro reti quali sono gli apparati che utilizzano sono stato un censimento vero e proprio
Dettato da tante motivazioni ma comunque hanno l'obbligo anche qui di comunicare
Sì ci sono degli attacchi informatici o no
Operatori della comunicazione e altri operatori che grazie ancora ad altre normative sempre avranno questo hanno e avranno sempre di più l'obbligo di comunicare quindi praticamente X Sirti Italia dentro CN è quello che raccoglie
Istante per istante tutto quello che succede in Italia
E quindi è un punto di raccordo toh di raccordo fenomenale in futuro
Si pensa si prevede che queste informazioni opportunamente aggregate ed elaborate potranno essere invece ridistribuite a quegli operatori che effettivamente potranno giovarsi di questo tipo di
Di informazione al livello un po'più alto abbiamo il nucleo
Mcs il nucleo
Di cyber sicurezza nel nuovo nucleo stabile sicurezza mi sembrano andaluse dunque che è un livello un pochettino più politico diciamo così un pochettino più politico anche se già scritto operativo
Diciamo ed è l'anello di collegamento tra la parte operativa e la parte completamente
Politica il tutto dipende ovviamente dalla Presidenza del Consiglio qui dal presidente del Consiglio il quale già ovviamente il diritto di fare qualsiasi cosa
Detto questo questa veramente l'ultima slide
Tutte le normative che stiamo già applicando e che andremo ad applicare più o meno sono queste che vedete qua
Quindi questa c'è c'è elencava all'inizio l'Anis del due mila sedici poi il perimetro nazionale protezione cibernetica che è del due mila venti Lannes ventidue la miss due che è stata come dire tirata fuori nel ventidue e che dovrà essere recepita diciassette entro il diciassette ottobre del ventiquattro del socio ne parlerà Paola perché molto importante la direttiva Cerra che sempre sulla resilienza delle infrastrutture critiche anche questa contiene un sacco di cose che riguardano le infrastrutture
Il Regolamento Dora che ha come qui scritto l'ambizioso obiettivo di consolidare armonizzare a livello europeo ho lasciato avaro ambizioso perché insomma non è facile
I principali requisiti di residenza operativa digitare nel settore finanziario questo è un regolamento europeo non c'ha bisogno di nessun tipo l'approvazione in Italia entra in vigore il diciassette gennaio due mila venticinque e poi
Il nuovo Regolamento macchine che è stato pubblicato il ventinove giugno due mila ventidue signori degli parente dal ventitré il ventiquattro e il venticinque il mondo della cyber
Cambia completamente obblighi e adempienze a non finire per le aziende
A questo punto signori miei
Qui la politica deve intervenire o comunque
A favorire diciamo così questa trasformazione vedremo tra un paio d'anni un'Italia molto diversa grazie a tutti
Due cose una una domanda che volevo farti era scusa Stefano una
Una domanda che può fare dei pilastri sbaglio non ho visto l'università o le strutture universitaria dei pilastri della sua idea prima non l'ho visto ho visto tutte strutture diciamo operative del carabinieri Guardia di finanza forze dell'ordine ma non ho visto l'università o sbaglio sbaglio c'è un collegamento in cui c'è c'è una partecipazione attiva alla della visita sì sì sì sì
Sta alle università in realtà alcune sono impegnate su questo fronte
Ricordiamoci che vicini comunque mette insieme tutti quanti laboratori sedersi fioriti
Nazionali però vi devo dire che le persone che in Italia si occupano di sapersi chili di specificatamente per i sistemi di controllo industriale sono pochissime
Diciamo io e il gruppo nel quale che parcheggiano l'Ente porto avanti sicuramente siamo quasi un'eccezione a livello italiano perché perché io non vengo dal settore dell'informatica ma vengo dal settore dell'automazione alle specificità
E in più
Ero già appassionato Isabel signorili sin dagli anni Novanta
ça va sans dire diciamo messo insieme le due cose credo che la prima volta da lei scritto qualcosa che riguarda la serve il sì di ulivi i sistemi di controllo sarà stato un articolo su automazione strumentazione di più di vent'anni fa
Allora con l'ingegner Renzo Tieri ieri ingegnere milanese che
Penso delle spie stava nel comitato SP novantanove
Tra l'altro che si occupava di queste cose Giada prima di me praticamente inventò all'inizio già tutto questo settore che poi ho scoperto che o Amadori che curo tuttora
Diciamo così però in Italia di persone che fanno automazione e che quindi conoscono bene la struttura di questi sistemi che non sono apparati informatici normali
Signori già quella storia no confidenzialità disponibilità integrità
Però purtroppo al primo posto
Per i sistemi industriali cioè la disponibilità perché gli impianti non li puoi fermare allora Giano andiamo più bene andiamo Giano andiamo più d'accordo con gli informatici normali che meglio ci mettono quasi sempre la confidenzialità cioè la protezione del dato c'hanno ragione se parliamo le carte di credito pure la mia ci mancherebbe altro
Ma se parliamo dell'infrastruttura tecnologica le cose cambiano quindi le priorità sono diverse
Le
Gli apparati sono veramente molto differenti è chiaro che la Sauber non può essere prudenti credenti via cioè è sempre quella ma se alla fine no insomma le tecniche non possono che essere quelle ma va declinato in una maniera un po'particolare ecco questa cosa in Italia insomma
Ma come nel resto del mondo di non siamo differenti da tutti gli altri come immagine grazie Stefano
Questo non fa che rafforzare quel concetto di collaborazione che ci deve essere al River trattarla qualche anno fa che qualche anno fa abbiamo fatto un master a Roma tre che era proprio l'ha partecipato pure Paolo Paola se ti chiami Paolo partecipare a questo master
Proprio sulla se pensili dedicata al sistema di controllo industriali forse quest'anno riusciamo a rilanciarlo nuovamente non è facile perché fatto in collaborazione con tante aziende e quindi aziende che fanno come azione non è semplicissimo iniziativa praticamente quasi unica in tutti i dati
Grassi se no si si è un po'un bellissimo Mastra Couto piacere di partecipare che raccoglieva effettivamente le più grandi aziende italiane del settore tra l'altro entrato prima di introdurre Pallaro quella che sta in il inserendo le slide
Anche concetto dalla complessità con la politica a seconda andrebbe un po'rivisto perché oggi c'è un'estrema semplificazione di qualunque problematico ma questo non prova italiano proviamo a livello globale
E forse l'informatica un po'ci confonde le idee perché rendendo semplici qualunque cosa nasconde quella che in realtà la complessità che sta dietro
Quindi probabilmente ecco questa ipersensibili azione andrebbe un po'tolta parliamo della complessità dei termini in cui è e lealmente al mondo attuale chiedendo appunto che gli e Sperti competenti possono partecipare anche a questi processi
Perché la complessità va gestita perché assolutamente allora invito Paola Rocco visto il palco Pavarotti come spettri sapessimo feriti
Presidente della Commissione per la sicurezza informatica presso l'ordine degli ingegneri di Roma realizzato tantissimi eventi su tutti gli aspetti che riguardano la sicurezza informatica noi stessi ci siamo trovati in maniera conflittuale a volte perché in effetti la sicurezza in pratica entra in gioco in qualunque aspetto che riguarda l'informatica quindi compiacere Paola
Parlaci della lista che a questo punto è diventato il tema su cui tutti si aspettano di capire esattamente che si tratta
Grazie Paolo
Buongiorno a tutti io la ringrazio Carla Paolo anche ovviamente due ordine degli ingegneri di Roma perché mica stempera l'opportunità di partecipare di portare il messaggio della star del intimoriti e la divulgazione della Sai destituiti sia all'interno che all'esterno del mondo ingegneristico
E grazie per questa alla partecipazione a un convegno in questa bellissima sala io come ha detto Paolo mi occupo di sicurezza informatica da molto tempo non dirò quanto verrà evitare che si facciano conteggi soglie Tamas sono stata abbastanza fortunata perché ho iniziato a lavorare sulla cyber security a sicurezza informatica quando ancora non era di moda nel due mila tre e quindi diciamo ho potuto vedere qual è la variazione diciamo quello è il percorso che c'è stato e sicuramente in questi anni c'è un'attenzione molto molto maggiore
Per tutto quanto del tutto quello che effettivamente ha legato alla sapessi più riti il pulsante ok esperto a ok e parli ma di cosa parleremo oggi è stato citato molto la direttiva inizio due
è perché perché porta delle novità importante parlarne oggi sia perché dovrà essere recepita appunto abbiamo detto a ottobre due mia ventiquattro quindi non manca tantissimo
Sicuramente Baa prima conosciuta prima di essere appunto applicata e basta comunque compreso quello tutto quello che è l'ambito della differenza rispetto alla precedente direttiva che un po'è legata da tutti quelli che sono stati gli scenari che si sono verificati la situazione e anche le minacce che sono presenti
All'interno della a della realtà del mondo del mondo digitale sempre più avanzato parleremmo di quelli che sono i soggetti di caratteristiche peculiari dell'Agnus due sciacquone e ampliato si amplia il numero di oggetti che sono obbligati a essere conformi a questa direttiva
Vedremo poi che ovviamente come è stato citato prima ce ne sono tante di direttive principi di sicurezza son sempre quelli
C'è un'analogia molto forte Trani su due e quello che ci dice il Regolamento Gini Diarra effettivamente che cosa bisogna riportare quando si verifica un attacco perché la gestione degli incidenti cosa deve essere deposti basato quando si verificano degli attacchi è molto importante
è stato citato perché perché comunque la condivisioni di tutte quelle che sono le minacce informatiche possibili l'andamento di quello che si sta verificando all'interno dell'Ariete
è importante per prevenire e per riuscire a contenere quelli che sono gli incidenti ai possibili incidenti di sicurezza che cosa ci dice l'Anis due ovvero la direttiva del due mila
Ventidue la venticinque cinquantacinque
Antica diciamo lo scenario di quello che era la precedente iniziò a nessuno
Proprio perché si voglia uniformare il più possibile e ampliare quello che nell'ambito di di applicabilità pezzi
Per farvi un esempio molto semplice io posto diciamo proteggere tutto quello che all'interno di una casa a costruire una casa bensì pura ma se tutto il mondo circostante e comunque questo stesso
Contesto del quale io mi sto occupando si avvale vedremo dopo il concetto anche dei fornitori o di una catena o di parti operative che sono generate gestite da altre parti o comunque una variazione nel mio contesto si sarebbe chiudi ti c'è una variazione dello scenario
E quindi diciamo devono essere prese in considerazione
E tanti ambiti è importante quindi che non ci sia una limitazione soltanto di alcuni di di per far rispettare le misure di sicurezza in alcuni casi mantenere un po'più a livello ampio quella che è la catena di produzione
Fatti vedremo che sono il concetto dell'entità a cui si applica la direttiva e ampliato non si parla solo delle infrastrutture critiche ma si parla di operatori essenziali e importanti
L'ambito di applicazione dello Shinto riguarda servizi forniti da fornitori di reti di comunicazione elettronica e prestatori di servizi di fiducia
Registri di nomi di dominio di primo livello ne parleremo dopo lo vedremo nel dettaglio perché ovviamente un qualche ci sono delle dei fornitori di servizi che il servizio sono molto importanti a livello della sicurezza perché fornitori del servizio dipendenze perché quello che succede in tutti quelli che possono essere gli attacchi di phishing le modifiche e gli attacchi che si possono verificare rientrano erano ruolo molto importante quelli che sono i fornitori dei dei dei servizi di risoluzione dei nomi di dominio
Quindi diciamo anche per questo viene applicata proprio su questa a su questi fornitori delle caratteristiche molto più importanti
A quell'altro concetto che varia varia perché non deve essere soltanto grande un'azienda ma può essere anche di medie e piccole dimensioni ma dipende dall'importanza del prodotto questa a costruendo e quindi e soprattutto dopo ad esempio si introduce il concetto di un'azienda che possono operatore che possa portare una perturbazione del suo servizio offerto potrebbe generare quindi un impatto significativo sulla sicurezza pubblica
Quindi diciamo siamo abbiamo oltre il concetto estiva anche a vedere tutte quelle che sono delle degli operatori che sono collegati è un soggetto critico in ragione della particolare importanza a livello nazionale regionale per quel particolare settore o per il tipo di settore di settori offerto le pubbliche amministrazioni quindi anche gli enti le pubbliche amministrazioni a livello locale istituti di istruzione in particolare che svolgano attività di ricerca critica e quindi diciamo il mondo
E lo vedremo lo si vede all'interno di questa slide degli operatori ai quali si applica la direttiva molto ampliato molto ampliato proprio per quello che dicevamo prima perché la catena ovviamente di fornitura del servizio è molto ampia
Nonna e e la definizione di stilista di servizi critici infrastrutture critiche che sono quelle principali diventa un po'più deve essere un pochino più ampliato in quelle che sono le considerazioni alle considerazioni più importanti che cosa quindi vediamo all'interno della delle l'identità che cambiano vi dicevo come rispetto alla alle ventidue identità che preveda un'ora una definizione di domini di registrazione
Quelli sicuramente tutte quelle che sono le pubbliche amministrazioni anche queste sono differenti
A tutto quello che è anche Manufacturing quindi diciamo tutte diciamo si vede un ampliamento di quello nell'ambito lo scenario e soprattutto il fatto che scarica piccole anche mediante riprese che sono comunque collegate nell'ecosistema esistenziale ed importante delle infrastrutture critiche
Lo vedremo dopo perché all'interno quindi devi requisiti minimi che devono aderire a che devono rispettare gli operatori senza cali ci sono ovviamente anche tutte questi partita catena della supply chain
Che è molto molto importante dati neri in considerazione
Qualche cosa si miscela alla direttiva miss due che su che cosa bisogna focalizzarsi ovviamente abbiamo visto prima il framework citato dal professor Panzeri Trevor pianista
E ma anche la ISO sono dei framework a degli standard strutturati perché quando si va a fare un'analisi del vizio gli ambiti devono essere
Ben definiti identificati e bisogna soprattutto essere
Bisogna comunque avere contezza di tutta una serie di domini fondamentali qui ci andiamo c'è un suggerimento su quelli che sono i minimi requisiti che devono rispettare
Ovviamente si parla di rispettare la sicurezza nell'analisi e nella valutazione dei sistemi ti quindi diciamo significa si dà molta importanza anche alla parte delle procedure e i processi perché non esiste soltanto alla sicurezza
è un termine che è stato definito molto spesso non è soltanto insieme di misure tecnologiche ma anche un insieme di
Process di e di procedure perché
Perché comunque io devo gestire e mantenere un sistema informatico quanti determinati livelli di sicurezza nei quali vede processa supporto nemmeno verificano io posso
Rilasciare oggi una una macchina va su questa macchina al momento pezzata configurata
In un determinato modo e quindi con determinati criteri di sicurezza se non interviene se non intervengono N process che sono stati di cui diciamo le principali aziende
Italiane sono strutturate ma procedersi per l'analisti e l'identificazione delle di degli aggiornamenti software che devono essere installate delle modifiche alle configurazioni
Il riesame di tutte quelle che sono le misure di sicurezza o un oggetto che già dopo due giorni tre giorni alla settimana ha delle problematiche di sicurezza
è stato detto al sistema c'è questa mi ricordo sempre questa frase all'interno della delibera della cinque Carlos diatomee tema
Ah insicurezza chiuso tutti gli accessi scollegato dalla Rete
Implementato delle misure di sicurezza fisica eppure non sono questi confidente del fatto che stato messo in sicurezza questo per dirvi che può intercorrere in qualsiasi momento
Una soprattutto una variazione anche delle procedure e di quello che effettivamente è l'utilizzo sesso del sistema informatico volontariamente o involontariamente da parte delle persone che lo gestiscono che può comportare la una una diminuzione del livello di sicurezza e la possibilità di un attacco per citarvi un esempio si può aprire malauguratamente si può installare un software che abita apre una porta di cui era una punizione verso perno ebbene quel server nel giro di pochi
Di pochi giorni di poche ore viene attaccato quindi diciamo e questa la per dargli un'indicazione di quella che può essere la complessità ed è lì ella il legame tra quelli che sono i process che devono essere ben strutturati per la gestione
La gestione ampiamente di un attacco Seidel quindi immettere in piedi una incident response da management alcolisti prima di tutto nel dire infatti ricito prima le politiche e poi tutta una serie di misure di sicurezza perché si verifica un attacco informatico io lo devo sapere da rilevare come faccio a rilevare un attacco informatico siccome tutti gli strumenti sono digitalizzati
E l'abbiamo visto anche nelle catene dei sistemi di controllo industriale adesso tutto e digitali è un indizio Happy le telecamere
Le telecamere anche che noi abbiamo Casalloni Indirizzo IP non sono degli oggetti fisici che potevano pensare di essere degli oggetti non soggetti a tutti quelli che sono gli attacchi di sicurezza
Mai invece lo sono quindi diciamo qualsiasi oggetto deve
Deve essere comunque
Schedato analizzato e soprattutto deve essere possibile risalire a effettivamente a quelle che sono alle possibili cause di un incidente che si verifica sullo scherzo vedremo dopo ad esempio l'analisi dell'opera
Indi tutti gli apparati una buona prassi quella di
Tracciare e Longari tutte quelle che sono le attività sui server proprio per poter tra
Aveva una una una gestione in caso di incidente proattiva si utilizzano degli strumenti di sicurezza ci sono oltre gli strumenti di sicurezza anche prima proattivi
Cioè che analizzano preventivamente e adesso sulla base anche dell'intelligenza artificiale che da molto una mano esso tutte queste e questa tecnica e riescono a anelli levare delle possibili incidenti
Questi degli eventi di insicurezza diciamo sempre possibili perché poi su tutto quello che si verifica c'è sempre una differenza se sono effettivamente falsi positivi falsi negativi o affettivamente sono degli incidenti veri e propri
C'è una parte della continuità operativa molto importante del crack management perché poi molto importante che i servizi ovviamente tutti quegli importanti per il business ma ha portato anche a quello che succede attraverso pranzo un bel tutto debba essere opportunamente dei Cappato continuavo quindi costruito su infrastrutture inondate
E ci siamo coi tutte le procedure per la gestione dell'evento di crisi perché esisti verificare vento di crisi devono essere
Che blocca la continuità operativa questo perdere aziende ti offrono soprattutto dei servizi molto importanti
C'era era è una Agresti riscritta testate verificata quella che è una procedura per la gestione della crisi di attività che devono essere svolte il lì tra di attività che devono essere svolte la possibilità della rilevazione
E le contromisure che devono essere in campo per potere tra mantenere curare la continuità del riflessa la catena dei fornitori anche questo è quello che vi dicevo prima e molto molto importante come si svolge è un'attività molto complessa all'interno delle aziende
Sonante a testimonianza io per all'interno della dell'attività lavorativa che normalmente svolgo qualsiasi prodotto qualsiasi reparto industriale decide di acquistare un prodotto che magari velatamente io non ha comunque un risvolto informatico
E tanti applicazioni che si comprano non si conosce bene ma sono applicazioni che utilizzano ovviamente dei servizi in cloud in Sas da perché anche per un notevole risparmio economico quindi vengono introdotti all'interno di un'azienda la catena di tutti i fornitori della nidifica distesi i requisiti di sicurezza definiti all'interno di un'azienda
Lo abbiamo i propri fornitori e molto importante e che questo sia coi appunto anche inserito e contrattualizzato come viene richiesto
Perché diciamo in questo modo
E tutto formalmente analizzato rappresentato e definito
Vengono inseriti molto spesso anche la parte del best-practice inseriti anche la hitleriani su tutta questa parte di reportistica per tutti quelli che sono i servizi che vengono offerti ma comunque in generale la cantina della sopra il Siena e assicurare che comunque i requisiti di sicurezza di tutti i fornitori
E i subfornitori responsabili e trattamento il sub responsabili del trattamento che ci dice facendo l'analogia chiarezza del G di Diarra sono comunque adeguati a quelli che che si sono
I requisiti della dell'azienda primaria
Ovviamente poi comizi come si calzato mesi e di Tina la parte della sicurezza nella produzione dei sistemi e dei servizi deve essere inserita anche all'interno della Sibilla di questi processi aziendali anche questo è un punto molto importante perché quando viene definito un nuovo prodotto un nuovo servizio soprattutto aziende che si occupano di produzione di servizi
Che vengono poi utilizzati dai e fruibili da tutto quello che il pubblico è importante che ci sia anche lì una catena di verifica della sua destituiti
Molto molto importante perché perché sia quando il prodotto viene creato quando viene realizzato e poi messo in produzione
Si è verificato in ogni punto il Rigamonti dopo una parte dei test di valutazione dell'efficacia delle misure di sicurezza messe in campo sia comunque conformi a quelle che sono le normative
Molto molto importante da parte del collega dedica scherza interprete Jean testa e quindi che che possano anche essere verificati perché poi c'è anche un'azione di verifica che può essere fatta
Dalla del verso gli operatori essenziali è molto importante che si è servito per quello che vi ho raccontato prima un sistema un'applicazione che viene che viene prodotta oggi è già soggetta da dopo dopo poche ore a una dando una giornalisti dati un nuovo pezzo di nuovo aggiornamento software perché le minacce informatiche sono sempre molto a frequenti e crescenti di a di nella nella velocità di produzione nello stesso modo possono essere sfruttate delle volte soprattutto una volta che vengono messe in campo dei prodotti sistemi operativi o di prodotti a effettivi rivestite
Più tempo all'attaccante per poter capire quali possono essere le vulnerabilità da sfruttare
E quindi una catena un ciclo infinito questo ciclo infinito come viene gestito il mese gestito con un ciclo appunto periodico di attività di verifica e di teste di sicurezza che deve essere implementato
è importante anche viene citato dalla dalla direttiva tutte quelle che sono le politiche quindi dico che nella parte italiana viene tradotto ora la sanità sai verrà Fedel sicurezza
Male fai bella faide di generi che viene definita ma che in realtà si tratta di misure di sicurezza di Harding di base certi tutte le applicazioni
Di tutti i tutte le applicazioni informatiche quindi tutti i servizi informatici
Debbano avvenire comunque una adeguato livello di robustezza quindi misture di pratiche di sale dell'igiene che vengono definite qui sono le best practice di sicurezza
è stato citato anche prima la parte di avere un sistema di controllo accerti la parte di non aderire a servizi pubblicati che possano essere sfruttati da vulnerabilità
Quindi tutta una serie di pratiche che devono essere messe in campo oneste a un livello basico a livello un livello minimo onesti citiamoli misure minime che a che erano ancorate Chieti si richiedeva la uno nove sei anche la la contestualizzazione del misti requisiti minimi di sicurezza di solito si tenga molto a minimizzare i requisiti di sicurezza dicendo al minimo deve essere fatta questa cosa
Che diciamo non accettabile vecchie
Il contesti sono sempre molto diversi sono delle best practice delle attività che ovviamente devono essere fatte che non possono a essere trascurate perché altrimenti si va ricade in quello che dicevo prima un server che può essere esposto malauguratamente sforzo sull'internet attaccato oppure può essere banalmente una password Polizzi debole può essere il può essere si può verificare un accesso abusivo al sistema informatico quindi diciamo sono dei requisiti minimi di sicurezza che devono garantire che easy beni informatici non siano non siamo attaccati con una facilità incisiva
Poi si procedure importante quanto importanti utilizzo della crittografia e della cifratura ovviamente questo punto ma molto importante lo vedremo anche nel seminario che faremo sulla Proxima mente sulla Franz Guerra ovviamente
Ci sono delle dei deterrenti nella nell'affare la notifica l'esempio la notifica alla al garante in caso di violazione dei dati se i dati sono stati citati indiciamo ci sono delle pratiche di sicurezza come la cifratura dei reati
E consentono diciamo di protegge relax setta
Proteggere l'aspetta perché perché Stelio Cipro o il mio sistema con degli algoritmi ovviamente che sono robusti perché poi c'è anche il discorso che possono essere tutto può essere comunque
Decifrato ma richiede comunque nel tempo e delle fonti in più e soprattutto una attenzione quindi una necessità da parte dell'attaccante di Golia perseguire quel tipo di attacco perché banalmente se io posso entrare in una casa perché la porta alla fine trae mi fa mi consente di entrare ma non ci sono grati all'ingresso è molto facile chi chiunque può entrare in questa abitazione è un po'più difficile
Se ci sono delle grate OCSE ci sono delle misure di sicurezza aggiuntive hostess sono presenti ad esempio nelle cassette di sicurezza possono essere prese estirpate portate d'altra parte ma richiedono comunque
Un tempo superiore per poter andare via risalire a prendere gli oggetti i dati che sono all'interno quindi sicuramente sono delle misure di sicurezza molto importanti come vi dicevo nel caso della dimostrazione quindi anche in caso di incidenti di sicurezza di è possibile data Brizio possono comunque è esimere da quella che è la notifica della dalla dal Garante
Perché proteggono comunque di fatto i dati sì ovviamente tutto viene dimostrato tutte quelle che sono ovviamente le policy sia per la sicurezza delle risorse umane che vengono citate vecchie perché anche in tutti quelli che sono i prezzi aziendali della Human resource quindi della assunzione dei dipendenti
Della gestione del profilo dei dipende perché sono molto importanti tutto quello che io porto all'interno di un'azienda deve essere opportunamente
Deve essere opportunamente analizzato catalogato e gestito questo è il concetto
Che cosa si dice sulla parte della reportistica di un attacco è molto non è capitato che di di vedere insomma di di di riscontrare che non fa una determinata reportistica adeguate in caso di incidente si pensa molto anche al fatto che ci sia o meno un veri la verifica più o meno di andata Brizio ma quello che ci dice anche la normativa che è molto importante
E quella di a vivere sempre a disposizioni di fornire tutte quelle che sono le informazioni relativamente all'incidente che si è verificato quando si è verificato
Qual è la possibile causa che ha verificato l'incidente e tutte quelle azioni che poi i sono state messe in campo per contenere l'incidente
è importante la condivisione perché perché leggendo queste stesse informazioni e la condivisione consente anche ad altri soggetti poco un sentire anche ad altri operatori di riuscire a mettere in campo delle misure di sicurezza adeguate per poter prevenire la diffusione degli incidenti
Tempo facevano degli attacchi canzone Where è stato legato ad una vulnerabilità degli apparati di rete
Anche quella una vulnerabilità conosciuta degli apparati dei testi ovviamente Benda
Diffusa e pubblicata con dei bollettini specifici e mirati e all'interno delle singole aziende magari avrebbe potuto evitare la propagazione della a degli attacchi danzo guerre di quel tipo quindi diciamo è molto molto importante questo tipo di il la rilevazione la reportistica dell'incidente
E la comunicazione
Vi dicevo che c'è un'analogia tra Lannister due rigidi Diarra per la parte della gestione dei fornitori
A per la parte anche delle sanzioni lo vedremo dopo perché ovviamente quelli che sono i subfornitori la parte della supply chain
è quella che vi dicevo prima responsabile il super responsabile della catena del giudiziaria
Infatti anche Gidp are ci dice che i medesimi requisiti di sicurezza devono essere garantiti da responsabile trattamento dal super responsabile trattamento
Chissà cosa per il regime delle delle sanzioni
Molto simile quindi per la parte delle di quello che vediamo delegificare delle sanzioni
Con quelle che riguarda riguardano principalmente in databili c'è soprattutto un'altra analogia sono le e tempistiche di notifica dell'incidente che sono anche milaniste due settantadue ore
Limita ventiquattro ore nel caso in cui ci siamo incidente con un impatto transfrontaliero quindi molto più importante però diciamo ci sono gli stessi requisiti altro stringenti per la comunicazione
Allora di un incidente
Molto importante anche l'analogia tra le sanzioni perché lo stesso delle operatori essenziali e operatori importanti differiscono sulla percentuale del fatturato che sul quale possono essere si possono essere sanzioni amministrative e anche penali
Però diciamo c'è una una forte analogia tra entrambi i regolamenti
Io non so se vi sono domande ma vi ringrazio per l'attenzione
Molto interessante perché ha accettato la una visione complessiva e globale di tutta la miss
Che che peraltro appunto comporterà tutta una serie di complicazioni immagino io ti volevo chiedere proprio all'interno dell'azienda sono previsti investimenti visto se ce lo può dire insomma
Allora diciamo in generale Ifil si da allora e un c'è un punto un po'particolare da discutere sull'altra parte della direttiva ancora sul fatto che sembra che ci sia ancora da qui fino a quando arriva il il decreto di recepimento
Autobus ancora un po'di incertezza c'è ancora un po'di incertezza sulla lista effettivamente di chimica di un meno che era un po'allo stesso punto
Ed anche dell'ANIP della nessuno e nella nel suo nuovo lei ebbe adesso qui rispetto a quello c'è scritto che ogni due anni deve essere
Deve essere definito e censito comunque l'elenco di tutti quelli che sono gli operatori ricadono all'inizio traccia
Ovviamente quello che vi dicevo prima sono delle best practice e per questo gli ho fatto il paragone anche tra allarmi sta la ISO ventisette mila uno anche degli uomini e anche il cd piazza sono ci sono stati comunque nel corso del tempo una serie di
La normativa che alle quali le aziende devono comunque in generale aderire sì non perché siamo obbligati a uno perché
In alcuni casi in alcuni casi perché ci sono come dicevamo la la gestione e la segnalazione degli incidenti da Tabriz leggi di piazza
Però ci sono delle best practice perché sono comuni a quei principi che violentato quindi diciamo il che cosa c'è di differenza c'è differenza che c'è ci sono delle sanzioni
Ci sono pecuniarie abbastanza stringenti che non vengono fatte delle cose
C'è un livello di globalizzazione perché all'interno dell'Unione Europea tutti lo devono rispettare e comunque di fatto come per tutte le misure di sicurezza sono delle
Best-practice delle norme che
Si cerca di mettere in campo molto spesso però all'interno delle aziende si mettono in campo in maniera non proprio adeguata magari alla domandare una sei conforme cosa che facevo prima quando in seguito agli accertamenti di sicurezza se conforme al sistema di norme attinenti la risposte forti
Andando poi a verificare nel dettaglio si andavano a capire che c'erano delle carenze e quindi diciamo i molto è molto difficile e soprattutto implementare correttamente queste misure di sicurezza ma è molto importante perché comunque soprattutto per la parte della gestione degli incidenti altro punto c'è sempre questa riluttanza all'interno degli italiani dichiarare impossibilitata Brizio
Possibile incidente di insicurezza shampoo acquista a questa diciamo un po'di cultura che vai un po'in contrasto con quello che è la condivisione che dicevamo prima bisogna comunque determinati posti condividerle perché se ne va a beneficio di tutti quindi
La la parte dello sharing la condivisione delle informazioni anche in caso di incidente di sicurezza possono utili per altri che peraltro assieme grazie al Tour
E anche questo è un altro punto diciamo Po un po'ostico che vedo ancora parleremo anche di questo devo anche sulle scelte responsabili toccheremo perfetta
Grazie Paola grazie ancora
Professor ingegnere Ugo lo pensa
Insegna del corso di laurea magistrale di sicurezza informatica rivestita di Bari
Fa parte la commissione d'ingegneria forense all'ordine ingegneri della provincia di Bari ed è anche un grosso Cioni fra che fa parte del consiglio direttivo prego Ugo
Grazie grazie buongiorno a tutti grazie al senatori per averci invitato grazie a Paolo ad Alessandro e colleghi consiglieri per tre tutti insieme organizzato questo evento
Sono stati sollevati una serie di temi molto interessanti tant'è che durante l'intervento del presidente di Roma sono andato a
Di rendere visibili due slide che avevo tolto perché mi ritenevo fosse non eccessivamente attinente ma in realtà poi hanno lanciato una serie di spunti mi presento molto rapidamente mi chiamo volo persona doppia formazione sono ingegnere informatico è un giurista quindi quando parlo di informatica parlo però come ingegnere informatico non come giurista come diceva prima Paolo
Mi occupo di sicurezza informatica anche se i miei interessi di ricerca accademica riguardano anche l'innovazione digitale nell'ambito della didattica e della patologia al momento sono estinte la professoressa per la che è stata appunto incaricato da questo governo di di vedere
I programmi di studio ai sistemi di valutazione Della didattica è proprio su questo volevo incentrare oggi il mio intervento vero
Sulla l'introduzione a livello europeo ma anche a livello italiano della didattica della sicurezza informatica perché noi parliamo sempre appunto Dio spinte ho parlato Ignis due abbiam parlato i grandi aziende ma la sicurezza informatica impatta
Onde marginalmente ma nella stragrande maggioranza dei casi il privato cittadino al privato cittadino che completamente inerme e questo è un è un tema assolutamente orizzontali orizzontali dicevano prima Paolo e cala dicevano
Bisogna coinvolgere la politica deve coinvolgere gli e Sperti ma chi sono gli e Sperti
Gli esperti del settore dell'innovazione dell'informazione sono quelli previsti dal DPR trecentoventotto del due mila uno quindi sono gli ingegneri informatici ingegneri dell'informazione più in generale sono quelli previsti dalla circolare del Consiglio nazionale dei periti industriali e periti industriali laureati quindi sono anche loro sono gli iscritti alla Camera di Commercio nell'elenco dei periti e degli esperti tecnici
Sono quelli iscritti ad associazioni tipo nel nostro settore l'associazione degli informatici professionisti quindi previsti dalla legge quattro due mila tredici non si sa neanche di preciso chi sia un esperto
Secondo problema è il problema della didattica
Problema della didattica a mio avviso specialmente nel settore universitario risente di un grossissimo vulnus
Noi abbiamo professori ordinari di non so idraulica che non hanno mai visto una diga in vita loro perché perché la didattica universitaria prevede che l'unico elemento di specialmente nei settori bibliometrici l'unico elemento di sviluppo della carriera sia firmare perché non sempre si scrivono degli articoli scientifici
Le capacità didattiche le capacità tecniche in settori delicati come per esempio tutte le scienze applicate non si può insegnare dal mio avviso una scienza applicata senza insegnarla o anche altri settori diritti e non posso insegnare diritto amministrativo senza sapere che cosa il Consiglio di Stato me pare un'assurdità
Però è quello che di fatto oggi succede perché l'inizio faccio duecento pubblicazioni scientifiche all'anno
Non so come faccio perché significa più di due uno ogni due giorni la pubblicazione scientifica una scienza applicata al mio punto di vista richiede dei quattro e i sei mesi di lavoro quindi non so come si faccia a pubblicare quattro due trecento articoli all'anno e quindi abbiamo persone che non non hanno un vero al mondo dell'industria non vedo il mondo delle professioni mondo le pressioni per lasciamolo proprio perdere perché completamente
Distante dal settore accademico non il Mibac quando facciamo l'incontro con le parti sociali l'ordine degli ingegneri all'ordine dei periti non viene neanche indicato non è proprio neanche invitato al tavolo più volte ho chiesto di invitarlo ma sono stato non mi è stata data neanche risposto quindi temi sono sono davvero davvero tanti
Andando quindi avanti la un po'di statistica Alitalia il quinto paese al mondo per futuri account Gmail
In questo contesto quasi il novantuno per cento degli account di posta elettronica sono rubati a privati cittadini
Il nove virgola tre per cento riguardano le aziende quindi vedete come l'impatto sull'azienda che peraltro è un impatto anche sul cittadino indiretto sia di un decimo rispetto all'impatto sul cittadino
Ecco qui vedete come ci sia un confronto tra
Il il link dei dati
Tra il primo semestre del due mila venti tre e il secondo semestre due mila ventidue vedete come ci siano degli incrementi in particolar modo i ricchi di numero di telefono più password ha subito un incremento percentuale nell'arco di sei mesi del Trecento settantadue per cento
Quindi vedete come ci sia un problema serio Chitty non so se per condivideremo le slide ovviamente ci sono tutte le fonti ci sono anche i link per come edificare questi questi dati
Furto di dati relativo alle carte di credito credo che qui chiunque si occupi di informatica forense gli sarà capitato almeno una circostanza di una truffa bancaria o para bancaria chiamiamola così quindi carte di credito
Istituti finanziari più generale
Nordamerica primo posto seguito dall'Europa l'Europa è al secondo posto al mondo per furto di dati relativi in tutto questo l'Italia si colloca nera
Blacklist chiamiamola così anche se oggi non è più politicamente corretto dirlo al quindicesimo posto
Ecco qui gli account più rubati vedete come forum e siti web non lo scritto ma si tratta forum e siti web di realtà finanziarie il settore finanziario superi il venti per cento uno su cinque
Questione intelligenza artificiale questa intelligenza artificiale pone un altro problema che vedo raramente trattato
Nel nell'ambito accademico ma non solo
Pone un problema di sovranità delle tecnologia
Adesso c'è stato il copie d'
Tutte le scuole e le università anche università che storicamente erano quelle che gestivano gli assetti internamente pensiamo alle apposta Elettronica pensano le mail quasi tutte sono migrate con qualche eccezione Torino sono migrate al flauto
è nato un problema problema sollevato peraltro gruppo di attivisti come tra piano socio qualcuno di voi mi ha sentito parlarne avuto che fare il problema sollevato non tanto un problema di di piazza che poi è stata messa una pezza che fra un po'dovremo rimettere perché aspettiamo che France tre vediamo cosa succede ma è nato un problema di analisi di infrastruttura noi in Europa non c'abbiamo il cloud
Vogliamo mettere come vogliamo abbiamo delle infrastrutture diverso e sicurezza ma ne non c'abbiamo il cloud
Chiunque di noi utilizzi i servizi cloud utilizza Microsoft utilizza Bugo utilizza Amazon incidentalmente utilizza Alibaba basta non esistono altri servizi cloud degni di questo nome
Chi in Italia fa Cloud
In realtà cosa fa compresi vende servizi di terzi non ci sono infrastrutture reali e questo è un problema serio
Perché quella che noi chiamiamo intelligenza artificiale anche se nel calcio ci siamo dimenticati il nome intelligenza artificiale un nome improprio perché quella che noi utilizziamo oggi la vogliamo chiamare Giannini la vogliamo chiamare Coppa e l'occhio vogliamo chiamare c'è oggi Pitti
E e Iaia service cioè noi sfruttiamo il cloud le capacità
Le performances del cloud per i complessi e lunghi calcoli che servono l'intelligenza artificiale senza Claudio di intelligenza artificiale avrebbe un impatto enormemente più ridotto quindi quando parliamo di vedremo fra un attimo che esistono addirittura a marzo due mila ventiquattro quindi parliamo il mese scorso Sonate nuovi tipi di attacchi informatici per esempio è nato il trompe l'I King io vado a formattare il prompt dell'intelligenza artificiale in maniera tale che mi rilevi delle informazioni per cui che l'intelligenza artificiale era stata programmata per proteggere
Quindi mentre noi parliamo di questi nuovi attacchi di questi nuovi scenari siamo ancora dietro con i nostri
I nostri Indirizzo i politici che prevederebbe Rocca entro il due mila venticinque domani
Ci sia il cloud nazionale la Cenni ha fatto tutto un protocollo dove dice Signori per il momento scuole pubbliche amministrazioni eccetera eccetera potete utilizzare Klaus stranieri proposto che sono classificati in questa maniera classificati i dati insomma
Senza entrare nel tecnico che poco rilevante però sappiate che dal due mila venticinque ci sarà il cloud nazionale
Io non credo che sia neanche cominciato questo tipo di progetto
Ecco qui ci sono alcuni esempi di attacchi informatici per il comune cittadino questo è un un un attacco che ho tra virgolette subito io ovviamente mi sono divertito un attimo per capire cosa stesse succedendo un mio amico a cui era stato compromesso un account di Facebook Messenger
Che mi ha chiesto di votare una sua foto per un contrasto assolutamente credibile è una cosa che succede ogni giorno ci viene chiesto quotidianamente guardano faccio parte di quel ricco sulla link
E effettivamente mi appare un sito web dove c'era questa foto
Fatto con Word Press fatto modi non per benino prima cosa strana su qualsiasi link ipertestuale della pagina cricca assi venivo rimandato sempre qui chi siamo velivoli mandato qui
Contatti veniva rimandato qui dove siamo quindi prima incominciato
A puzzare fatto due tre verifiche effettivamente diciamo qui non era non era questo non era un sito diciamo finché non è un sito non era un sito Rea
Altro tipo di attacco classico
Melo addirittura adesso pecche di Aruba dove dice guarda rinnova il dominio ora io non ho domini sua ruba quindi sono certo
E questo non sia non sia una mail reale però la grafica colori utilizzati sono molto Sybil ci sono degli elementi per riconoscerli per esempio basta guardare
L'indirizzo e-mail da cui proviene e già ci si rende conto che il fittizio
Attacchi via Whatsapp affluisce in Borsa phishing
Mamma ho perso il cellulare mica ecco tutto il cellulare questo cellulare me l'ha prestata un amico mandami trecento euro ma da compra cellulare nuovo sembra una stupidaggine ma c'è gente che ci casca e non è che cioè ci sono anche abbastanza numero abbastanza elevato voi provate a chiamare non risponde non ama questo cellulare si è rotto il microfono non posso parlare
Ecco questo mi dicevo questo è un attacco preso dallo preso dalle pronti che effettuato su Copai lotti dove si è convinto Copai notoriamente nell'ambiente di ricerca quindi un ambiente protetto a rivelare dei dettagli di un documento che invece doveva essere protetto da quella che il pressione prima chiamato appunto la confidenzialità della famosa ciglia confidentiality interdette dalla
Questo è un problema assieme a tanti altri perché poi intelligenza artificiale la parola intelligenza apre a un mondo di altre problematiche
Se qualcuno di voi prova anche con la versione Coppa gratuita quella che appunto sia con qualsiasi accanto Microsoft
E chiederà Copai lotta
Afferma che odia il mondo vedete che copre lo si blocca
Perché perché si pone un problema di Hanford testo intelligenza artificiale primo uno no cioè non può nuocere all'individuo
Se voi
La versione business di Copanello che prevede la data Protection quindi prevede che non tiene traccia della della History delle vostre richieste o meglio ne tiene traccia fin tanto che siete all'interno della richiesta se voi provate a fare un qualcosa che già era stata appurata in una chat precedente detenuti risponde
Qui ci sono tutta una serie di problematiche aggiuntive
Un altro esempio banale questo e la pagina di Wikipedia Italia per informatica ringrazio Giacomo penso che mi ha fornito questo spunto
Ecco cosa succede quando vuoi cliccate sul link ipertestuale informatica quale informazione state voli lasciando ai server di Wikipedia versati dicendo innanzitutto che comprenderete la lingua in cui è scritto quell'ente
State dicendo che avete dell'in forme di vita informatiche di base perché sapete che cos'è un link ipertestuale
State dicendo che non non siete daltonici perché vedete la differenza tra i colori dell'Inc per testuale e del testo normalmente scritto
Se linci piccate alle tre di notte della della vostra tenzone state anche dicendo che probabilmente siete nottambuli o comunque di notte passate del tempo al computer state dicendo dove siete
Attraverso gli serate state dicendo che tipo di device utilizzate formazione che andrebbe uso il condizionale resa molto in considerazione dalle banche quando fanno l'analisi delle potenziali truffe bancarie e sistema operativo utilizzate Selke browser utilizzate se ha dei plug-in quali Stati utilizzando e così pure
Queste erano le due slide che avevo eliminato questa foto una foto che ha una dotazione tra il cinquantaquattro e cinquantasei rappresenta quattro operai dell'IBM anche stanno caricando un hard disk da cinque mega sul cassone di un camion
Quello è un hard disk da cinque merita questo è il mille novecentocinquantaquattro mille novecento cinquanta Cent
Perché vi faccio vedere questa foto per darvi un'idea negli anni cinquanta di quale fosse lo sviluppo dell'informatica una piccola nota il termine banca quando li sentiamo dire una cosa che non funziona in Francia Lombardia
Deriva da fatto storico c'era un mi pare fosse lei mi h le menti di Boston non funzionava
Il tecnico va ad aprire il compiuto entra nel computer trovo una valvola termoionica con un bozzo di farfalla sopra la sete essendo un ottimo conduttore di corrente elettrica aveva causato un corto circuito quando il responsabile del servizio di Chiesa what was proprio qual era il problema rispose x a Banca è un Bacco baco da seta ed allora il termine banche viene correntemente utilizzato
Per indicare un malfunzionamento informa
Questo era il cinquantaquattro cinquantasei nel mille novecentoquarantanove
L'avvocato e magistrato statunitense li ha rinviati introduce il termine Julie metri x Julie metri ha peraltro penso di presso su un ottimo articolo di un nostro collega dell'ingegner manca sul giornale ingegnere tre anni fa
Poi c'è la giuria Itria illa ci sono tutta una serie di esempi tecnici che faceva diceva noi dobbiamo introdurre degli elementi di misurabilità del diritto
E l'ingegner manca poi diceva attenzione che oggi il concetto di informatica ma di sicurezza informatica forse più dettagliatamente non è di pertinenza di un settore scientifico disciplinare
è di pertinenza di gruppi di lavoro articolati sono necessari degli esperti in informatica sono necessari degli esperti giuristi ci sono detti necessari gli esperti di organizzazione aziendale se parliamo di quello di cui abbiamo parlato fino ad ora sono necessari degli esperti investigativi se parliamo per esempio di informatica forense sono necessarie una serie di competenze
Che devono convivere e qui subentra un altro problema non esiste una riserva di legge sulla professione di informatico per cui succede quello che diceva Paolo prima che nel settore giustizia l'informatico l'avvocato
E che è un problema serio perché informatico ragiona sullo zero sull'uno l'avvocato ragiona sul fatto che se io dico il giudizio che si gli assi di volano e nessuno mi oppone giuridicamente Jassim volano
La rilevanza buone approvandi solo per fare un esempio se io dico mio studente di consegnare un compito entro il cinque di giugno lo studente capisce che deve consegnare il compito entro il cinque di giugno Sordi con l'avvocato incomincia a dire ma il termine perentorio decade invece ordinatorio produce effetti decadenziali di che tipo eccetera eccetera quindi vivono una realtà molto molto più complessa per cui e necessario
E invece sta per esempio per la questione
Data Protection avvocato del sollecito il PRG di PRG di PRG DPR
La data Protection una parte della Daris data Security che fa parte della Cyber Security che si interseca in continuazione con la comprai
Quindi un mondo molto più articolato se io vado a dire che l'indirizzo IP è un dato personale che devo proteggere poi qualcuno mi deve spiegare come faccio io visti i sistemi che mi mi verificano se Lippi anonimo nei sistemi che mi dicono se Lippi è quello che abitualmente uso dei sistemi che mi verificano se tipiche usato cinque minuti fa era sul Roma quello che utilizzerò adesso invece e sul New Yorker
Come fanno questi sistemi a verificare se mi accesso è legittimo o meno
E quindi introduttive la sicurezza informatica dovrebbe essere insegnata a scuola ma non perché lo dico io Europa ha stilato un elenco di otto competenze chiave che il cittadino dovrebbe avere la competenza numero quattro è la competenza digitale
La competenza digitale viene declinata attraverso una serie di opzioni che sono quelle che vedete nella slide la quinta di queste opzioni e sicurezza incluso appunto la sicurezza informatica
Questi sono diciamo le le linee guida che vengono fornite quindi approccio critico nei confronti della Val di
Affidabilità e dell'impatto delle informazioni e dei dati resi disponibili con strumenti digitali consapevolezza di principi etici e legali connessi omesso in grassetto sottolineato capacità di gestire proteggere informazioni contenuti dati identità digitali quel discorso delle identità digitali l'ho sottolineato per alcune ragioni il primo che il concetto d'identità digitale oggi a una valenza volevo dare un attimo avanti volevo non c'è forse l'ho tolto
Ha una valenza giuridica nel senso che nel due mila ventidue è successo in due corti comune europea e un'americana
Che ad essere citato in giudizio non è stata una persona fisica non è stata una persona giuridica sono state delle identità digitali e non delle truffe intuito ma Luther
Il security responsabili ma delle aziende è riuscito a trovare il wallet su cui il bitcoin erano stati depositati è stato messo se nessun decreto conservativo nei confronti di entità digitali gli atti giudiziari sono stati depositati contro la nella Block ce quindi il concetto di identità digitale ha una valenza molto ampia e la protezione delle ditta digitali pensiamo al nostro conto corrente bancario o pensiamo alla nostra identità sulle carte di credito è un concetto estremamente importante ma anche per un'altra ragione perché l'Europa ha deciso che queste competenze digitali
Fossero di particolare interesse nella nell'ambito di una formazione quindi ha dedicato un framework che ha chiamato framework DG compie attualmente alla versione due punto due
Che entra ancora in maggiore dettaglio su come la scuola di ogni ordine e grado dovrebbe il in in segnare queste diciamo competenti ecco questa è la versione inglese purtroppo si vede poco vedete come al quarto blocco c'è sicurezza
Cosa dovremmo insegnare protegge i dispositivi proteggere dati personali e privacy proteggere salute benessere proteggere l'ambiente già vi faccio notare due cose vedete come nella versione inglese di documenti si parli di Sirti ora chiunque si occupi di sicurezza informatica sacche la safety e una parte della Cyber Security perché la safety si occupa della protezione d'eventi accidentali Pulcella Security che invece sì occupa della protezione da che quindi il termine
Accorta si stia Security che sebbene sia una cosa fosse anche di poco conto però denota come in chi ha scritto questo tipo di linee guida non sia una persona che si occupa di sicurezza informatica con assoluta certezza ma non all'ultimo dica cosa
Se andiamo a declinare vedete come la protezione dell'identità che era elencata nelle linee guida europea sparisce
Dal Di Cicco sparisce completamente perché perché nessuno ha fatto un tanto al chilo realtà vedremo adesso te ne mancano tante altre
Ecco vedete questo
è un esempio questo il framework sito Trust che uno di framework attualmente i più utilizzati
Nelle scelte strategiche di protezione degli assetti vedete come gli asset da protegge dai realtà vogliamo proteggere dati informazioni però io al dato informazione di accedo attraverso delle credenziali dell'utente e quindi devo proteggere l'utente
Diacceto attraverso un dispositivo e quindi devo proteggere il dispositivo li leggo gli analizzo di modifico attraverso delle applicazioni e quindi devo proteggere le applicazioni l'invio ricevo attraverso delle reti telematiche e quindi devo proteggere il traffico di rete utenti date periferiche sono ha citati diciamo tra linee guida e DG con applicazioni network Traffic non c'è traccia
Quindi tutta la parte di formazione che è tipica dell'utente aggiorna le applicazioni con continuità occhio il sito di avere protocollo https parliamo proprio di formazione di base non appaiono all'interno nelle indicazioni europei né all'interno del questione safety e security di cui gli ho parlato cara qui questi sono i riferimenti ai due contenziosi in realtà ce n'è anche un terzo Facebook ma che mette in torni centrale d'Asia litigation
Dove per la prima volta viene inviata una notifica questo dementi nata in America in Italia non siamo diciamo così
Scaltri usiamo questo termine viene inviata una notifica di un atto giudiziario attraverso un messaggio Facebook forse così eccessivo anche meno diciamo
Diciamolo quindi intenso di Fassino ha recuperato un po'di tempo sono stato abbastanza rapido sono le conclusioni cosa propongo perché altrimenti elencare quello che non va e limitativo
Innanzitutto andrebbe secondo me introdotta la sicurezza informatica come nono punto delle competenze chiave perché perché la sicurezza informatica non può essere limitata a una competenza digitale la sicurezza informatica
E un processo quindici ci vogliono competenze di varia natura competenze di natura organizzativa delle competenze di giuridiche che nelle classi inferiori distruzione chiameremo di educazione civica delle competenze informatiche e anche in alcuni casi delle piccole competenza investigativa
Riserva di legge per svolge il mestiere informatico volutamente non ho scritto introdurre una riserva di legge perché la riserva di legge esiste già ed è nel DPR trecentoventotto due mila uno solamente che non viene e e rispettata
Adesso che c'è stata la riforma Cartabia né come Onnis siamo stati a più riprese qui da Fiorenza collega reali interpellati non è stato introdotto il mestiere dell'informatico forense
Noi abbiamo se voi fate andate a dare un'occhiata negli albi
Rinnovati DC chiude i tribunali troverete gente laureata in scienze politiche che iscritta nell'albo degli ingegneri
Perché è perché non esiste un albo ed informatici forense quello più vicino la mi scrivo pur non essendo geni
Rivedere la selezione degli impieghi degli ed impiego dei docenti il la scuola superiore scuole diciamo parliamo medie superiori informata anzi segna e la scuola nettare aver scuola primaria l'insegnamento informatica basta essere duecentesco elementare concorsi titoli una trentina d'ora scuola media superiore basta una laurea abilitante e una serie di certificazioni raccolte punti varie per poter insegnare informatica senza magari aver mai fatto l'informatica indica proprio la scuola superiore diciamo rispetto all'università un vantaggio che si può svolgere la libera professione quindi ogni tanto qualche docente che svolge la libera professione lo trovate e nell'università le scienze applicate devono secondo me essere insegnato da gente che le applica forse anche perché lo dice
La parola sesso quindi dare alla ricerca lo scettro
Uber alles secondo me e un errore strategico la ricerca importantissima ci dice quello che faremo domani ma le dobbiamo fare anche oggi
Coinvolgere degli stakeholder tecnici non mi soffermo perché è stato già detto a più riprese destinare parte di finanziamenti per scuole università specificatamente all'insegnamento della sicurezza informatica
Non con docenti curricolari ma con esperti presi dal mondo neanche dell'azienda delle professioni
Il professionista è quello che ogni giorno si confronta con problemi di varia natura perché il giorno vien si occupa di informatica forense un giorno si occupa di incident response l'altro giorno si occupa di crauti
Quindi professionista è quello che ha una panoramica ampia insegnarlo nelle scuole
Verificare che nel mondo dell'istruzione si insegni effettivamente quanto previsto perché perché il framework dice con sé bene limitato comunque prevede un insegnamento dell'informatica o almeno della sicurezza informatica
Io non so se qualcuno di voi ha figli N due mai visto introdurre a nessuno il concetto di sicurezza informatica da scuola
Nel corso di laurea triennale l'informatica ad un Ibra di una trentina in sé trentotto esami ce un esame di sicurezza informatica per va be'c'è il corso di laurea magistrale che credo che per i tecnici sia uno dei pochissimi nel Sud Italia
Rivedere modernizzare le linee guida del DG compra eh
Per vedere una stringente frequenze dell'emissione ed aggiornamento dell'Egitto informatica la sicurezza informatica viaggia alla velocità della luce gli aggiornamenti non possono essere aggiornamenti che avvengono nell'arco dei lustri o addirittura delle decadi
Grazie mille ci sono domande sono a rischio
Grazie ai
Rischi sollevato e ritoccato tempi importanti come appunto intanto tiene esperto che che non è una cosa banale la dimensione sociale l'importanza dico con una formazione a livello base anche ai nostri ragazzi
Però c'è un tema che effettivamente nessuna l'ha toccato pure della sovranità delle tecnologie si parla tanto di sovranità in tanti altri ambiti però stranamente telecomunicazioni stanno andando a finire gli americani conta prossima operazione di Tim
Il cloud non è europeo e la intelligenza artificiale senza Claudio non la faccia non la possiamo fare quindi la sovranità le comunicazioni è assolutamente fondamentale
L'abbiamo visto lo stesso problema si è creato nel settore dell'energia abbiamo visto cosa è successo negli ultimi anni
A quali costi siamo andati incontro perché ha investito il sovranità Energia chimismo tutto l'asse adriatico a una serie per esempio gli investimenti fatti in tecnologie di produzione alternativa dell'energia ma mancano gli accumulatori quindi l'energia si disperde che viene immessa e comprata dalla rete abbiamo visto poi che cosa succede in termini di costi
Io volevo grazie Ugo io volevo fare i saluti a senatore
Sequestro mi scusi
Genio
Pedoni il innanzitutto un grazie per averci consentito di organizzare questo evento Baggio di oggi di averci messo a disposizione la sala è un contesto che appunto ci consente di confrontarci con un interlocutore fondamentale
La politica
Le competenze dei tecnici molto spesso è un tema che è stato sollevato più volte nel corso di questo di questo di questa mattinata è proprio il fatto che
Capita di vedere le gite escono normative
Che non hanno poi avuto quel momento di confronto con il tecnici
Ma non perché tecnico potesse natura tende ad essere un po'a divagare a ad appassionarsi a emigrato ma assolutamente nella giusta e corretta visione politica che ci deve essere nell'ambito di una nazione
Però non posso neanche
Essere completamente al di fuori da quelle scelte che poi vanno a condizionare la vita del cittadino attraverso magari una normativa che non tiene conto di tanti aspetti che avrebbero dovuto essere quindi tanto grazie per questa poltiglia di confronto e che gli ha lasciato Roma per disastri suoi saluti grazie
Intanto grazie grazie a voi grazie chiaramente Alloni fissa è che
Con il presidente l'ingegnere reale presso reale qui insieme all'ingegnere capi all'anno organizzando l'ho chiesto di organizzare di prendere questa sala per parlarvi questo che un tema ormai mai
Diventato
Sempre più da prendere in un di prenderlo con di petto perché in realtà sembra come se signora ci si lascia portare avanti
Ma non si capisce che in realtà è una contingenza enorme perché quando si parla di dati si parla di qualcosa che sempre più soprattutto oggi che siamo andando verso l'intelligenza artificiale e quindi la cyber sicurezza e l'intelligenza artificiali debbono per forza comunque
Essere valutati attentamente ente stiamo in una rivoluzione ripeto epocale ma dobbiamo sa della saperla guidare è importante quello che lei ha detto prima nel senso il coinvolgimento dei tecnici è essenziale
Dopodiché la politica deve avere il suo deve fare il suo ruolo cioè quella di esseri sintesi delle varie competenze e che avere una visione che perché gli serve poi la visione politica la visione politica
Non può fare a meno del coinvolgimento dei tecnici purtroppo si è partiti come al solito perché disabile sicurezza ne parliamo dalla ormai da tre quattr'anni cinque anni si è incominciato a parlarne però siccome al solito siamo in ritardo bisogna accelerare e perché non solo più all'intervento che ho sentito prima apparati parlava del problema energetico ma ci troveremo di fronte a anche un problema di gestione anche lì del potere tra nazioni perché l'Italia che in realtà è il confine tra l'Occidente e l'Oriente che è quella anche per quanto riguarda quelli che sono le guerre del futuro cioè quindi chi ha il possesso dei dati ha vinto per cui il sa pr controllare la tutto il settore dei dati essenziale quindi essenziale anche tutte le cose che ho sentito prima che leggevo qui sul monito perché non mi giravo e quindi la il a iniziare anche dall'Università Rizzieri anche dalle scuole
A iniziare dalla dare tecnici qualificati
Nell'unione fra il pubblico e il privato perché poi il pubblico e il privato in questo caso devono lavorare per forza
In in sinergia perché uno non può fare a meno dell'altro ma soprattutto se uno rimane indietro all'altro è già un problema
Per cui necessario camminare di pari passo e quindi convegni come questo dove comunque si parla
Di Seidler sicuri di importantissimo e magari Bilancio facciamone un altro po'insieme magari studiando meglio legato anche all'intelligenza artificiale che un un settore che va a va preso in considerazione immediatamente bisogna parlarne
Assolutamente non solo da un punto di vista normativo giuridico ma anche proprio da un punto di vista infrastrutturale cioè noi effettivamente stiamo mancando di infrastrutture tecnologiche e digitali che ci servono per poter essere non indipendenti nella logica di fare a meno di tutti gli altri ma di non dipende e questo problema non dipendere dagli altri che invece detengono tecnologica e quindi in questo senso
Assolutamente disponibile a questo continuò confronto sulle tematiche andando sempre a fondo grazie Silvio
Ecco e speriamo di avere in Europa l'ingegner Cappiello che magari ci aiuterà anche l'Europa portare avanti queste tematiche grazie
Cozza sistemando le slide Alessandra ecco Alessandro è un esperto di sicurezza informatica si occupa di compliance di odi Thing di informatica forense
Dei incident response che proprio il tema che trattiamo oggi oltre ad essere un membro del direttivo dell'Associazione Onlus fare quindi da Benvenuto
Come hai capito qualcuno ha già introdotto alla necessità di fare la la dell'aumento degli incidenti la comunicazione quanta
Tra la parte più difficile perché preparare la difesa forse è più facile gestire un incidente la parte più complessa che si
Mi fino a gestire un momento critico per ogni azienda
Momento a cui normalmente non siamo preparati e che ha un momento decisivo per la continuità del business
Un attimo due breve presentazione mi occupo di sicurezza informatica da molto tempo ufficiosamente dal novantasette ho iniziato la mia invece attività professionale all'interno delle aziende del gruppo Cassa di risparmio all'epoca sembrava in futuro oggi non esiste più perché è servita
In genere Ing all'intera quale prima disoccupato delle sale parto desideri dipanarsi mente del gruppo banche c'è referenze e con ingresso di Intesa San Paolo sono andato farmi di otiti King di sito di governance
Sono consulente del Tribunale di Firenze sono all'interno del direttivo di onestà e sono stato nel comitato scientifico di closet
La prima associazione italiana per la sicurezza informatica
E sono membro anche dell'Open Data Protection Board e Diarra che è l'associazione nazionale dei Rites mendace
Perché sì ma paga rare di INCE mentre Stones
Perché la gestione efficiente ed efficace vincente senza protegge business aziendale
Quando succede un incidente di sicurezza cosa cosa succede non si ferma soltanto non è un incidente per cui Ornavasso guerra Ona dell'azione dei sistemi o un danno sostanziale all'azienda o un fermo dell'operatività
Ho un coinvolgimento dell'attività diretta da esca superiore a quella stimata o delle spese legali o dei danni reputazionali o una serie di implicazioni per cui un incidente un danno gravissimo che l'azienda vive come sembra prendessimo una polmonite di quelle fulminanti e ci porta ci portasse in ospedale
Ecco l'incidente l'incidente informatico da questo punto di vista è un elemento estremamente critico
Come facciamo a gestire un incidente
Mi tagliandolo con soluzioni tecnologiche ma la soluzione tecnologica non è tutto con soluzioni assicurative organizzative e infine per quella che è l'il rischio rischio residuale con la situazione se serve il rischio che da qualche anno comincia a essere diffuse in ambito aziendale
Perché dobbiamo parlare di incidente dal Consales
Gidp arrestato accennato anche negli interventi precedenti ci ha detto che intanto il data vicino alcune case dobbiamo comunicarlo entro settantadue ore
Quindi già abbiamo una una norma che ci dice di rapportarci con gli enti incerti i tempi in certe circostanze
Miss due ed ora con misure d'ora le cose chiaramente si complicano ma si comprano in positivo nel senso che ci chiedono una maggiore reattività perché essere più reattivi significa attente ridurre l'impatto dell'incidente
è necessario parlare perché gli attacchi e Ida Papiccio sono in costante crescita vedete qui ho un
Da un cuore coda che è quello di un gruppo in cui si parla data rieditata brecce su tale che anche gestisco dal due mila di risciò otto circa in cui tutti i giorni o credono Brenta si riesca a riportare notizie in tutto il mondo di centinaia di migliaia di da capricci
Ci crede in ciò che non riesco a leggere tutti Tarcisio
Ci credo anche perché purtroppo le faccia lotti purtroppo ormai perché ci sono tanti di quegli impegni per cui è difficile farle tutti i giorni però sono in costante crescita e questo è imbarazzante perché quando Faenza permea due mila diciotto a gestire questo gruppo
Non avevo questo flusso d'informazione così alta oggi la questione è costante l'ultimo evento più significativo è quello di del belle non proprio l'ultima azienda di questo mondo allo subito andata Ricci di quarantasei milioni di i dati
Una cosa importantissima e gravissima e la reputazione date
Soprattutto non è più possibile gestire al meglio come si faceva talvolta in alcune aziende un incidente di sicurezza ci pensano quelli dello bresciano ci pensano i sistemisti no così non si può più fare i tempi sono stringenti
Le sanzioni sono alte così non si può più fare
Ma l'altro la più importante normale non c'è un'azienda che non abbia subito un incidente di sicurezza che non rischia di subirlo andrebbe
Incide tre Vines significa essere preparati tecnologicamente organizzativamente a proteggersi rispondere procedere ricoveri di un incidente di sicurezza come con soluzioni di protezione
Di monitoraggio identificazione degli attacchi delle compromissioni e la letti chiaramente con la raccolta delle evidenze perché questo è un aspetto assolutamente sottovalutato spesso e ripristino l'operatività invece
Dalle manager tradizionale è considerato l'elemento principale ripartiamo subito
Come lo possiamo fare tramite un modello organizzativo entrambe soluzione tecnologica
Il modello organizzativo è fondamentale la tecnologia senza l'organizzazione non va da nessuna parte purtroppo piaccia o non piaccia
Chi vende sicurezza vende spesso
Prodotti ma non vende servizi professionali non vende supporto alle fasi critiche
Come a un modello organizzativo passabile predisposizione di un piano di incidente responsabile
Oggi quasi tutte le aziende hanno un piano di business continenti che può essere basato sul beccata piuttosto che sulla vero sarebbe pronto a partire essere acceso ma ce l'hanno
Ecco bisogna iniziare a pensare a un piano di incidenti responsabile simile a quello della business continuity strutturato ben organizzato che preveda la definizione di un'unità di crisi cioè le figure apicali in azienda di che saranno coinvolte prendere delle decisioni drammatiche dolorose importanti e tempestive nel momento in cui si verifica un incidente informatico
E poi le policy
E polizia sono sono quelli regole che ci devono dire per la gestione incidente come misurare il livello di servizi Tipper capire quanto sono a rischio di incidente
Come misurare l'efficacia anche delle misure di sicurezza perché il problema è io metto su un apparato che mi protegge ok
è quanto efficace l'ho messo su sono al sicuro no
Se non mi sono le efficaci a non va da nessuna parte
Processo un processo di rilevazione segnalazione dell'incidente queste fondamentale ma anche un processo di gestione l'incidente ovvero è successo una violazione di Sisteron Ransom con accesso abusivo un trattamento illecito dei dati
Tempi
Specialisti priorità modalità d'ingaggio
Questi sono elementi determinanti per la gestione di un incidente
Un piano di test perché abbiamo messo tutti su un bel piano organizzativo però nessuno si ricorda dei testarlo
E questo è l'altro problema
Programmato a farle una tenera segna la prima misurazione del livello di sedersi siccome lo facciamo con uno dei più di primo livello
Piano di controlli di primo livello ma lo vogliamo navale invulnerabilità sesto compensation teste
La misurazione dell'efficacia invece cosa come voi può avvenire attraverso uno detta o un cero modo dopo controlli di secondo e primo livello insieme e attraverso la verifica dell'efficacia dei sistemi di protezione e di tracciatura ma soprattutto del Pecci Inga
Per fortuna comincia a essere abbastanza diffuse non rappresenta più una problematica così cretina
Il processo di rilevazione e segnalazione del cedente per cosa passa ma si tutto per la raccolta dell'oca
Perché se non raccogliamo quello che succede sui nostri sistemi non possiamo sapere cosa succede su quei sistemi nessuno alle persone stanno fisse su una macchina a vedere quello che succede dobbiamo raccogliere in un punto unico i loghi dei sistemi per capire se c'è una memoria feroce
Un regolano un comportamento
Dovuto a un maggiore carico potrebbe essere fisiologico
Correlare qua queste venti perché quello che sono e l'ho che mi arrivano da fare con la dall'Ips con quelli che la un accesso a un'ora alle tre di notte del l'utenza del sistemista
Deve essere un elemento che in fase di correlazione di far saltare un campanello d'allarme cioè ladri di notte se non c'è una chiamata d'intervento per un di servizio i sistemi sono mi si deve collegare chiaro
Quindi deve partire una parte di correlazione degli eventi scatenino di una dipana le stesse e l'apertura eventualmente di un incidente
Il processo di di gestione incidente parte dall'individuazione degli specialisti e possono essere più volte
Questa è una cosa che per me importante spesso e volentieri nell'aziende quando si parla di scelta incidente la facciamo fare chiede l'operational perché conosce i sistemi
L'oppressione delle aziende conosce sistemi vero verissimo lo conosce meglio degli degli specialisti di incidente responsi e di ricerca forense che ha un problema però
Non è abituato a gestire situazioni critiche stressanti
In cui si deve fare molto in poco tempo si deve fare bene quindi l'operational risk andare sotto stress e non è capace di farlo non sempre tutti quelle fanno Brescia sono in grado di fare questo tipo di lavoro
Definizione delle basi operative definizione delle priorità perché le priorità sono l'elemento determinante nel sostenere l'incidente
Modalità d'ingaggio delle visto delle risorse e delle business unit perché potrei aver bisogno di un legale esterno di un di un esperto di digital Francis che stanno potrei avere bisogno anche della parte compliance internazione all'azienda o di quella di comunicazione però devo definire come interagire come ingaggiati
Definizione dei tempi per ogni fase i tempi siamo con tempi contingentati
Piano dei test si fa presto a dire che ama i test come lo faccio deve individuare una serie di teste compatibili con l'attività dell'azienda e quindi il livello di rischio a cui è esposta
Cioè non posso pensare di andare a fare un teste che non ha niente a che fare con quella che è l'attività dell'azienda quindi a far qualcosa di concreto
Realistico probabilistica mentre che si può stare in piedi e può verificarsi
Farlo almeno tre volte l'anno non posso fare un testo è una volta l'anno che l'ho fatto sarà posto superata la comparsa no non serve a nulla almeno tre volte l'anno perché
Come scritto in fondo e lo sottolineato al solo facendo presto per effettivi ripetuti nel tempo che ci si allena fa a essere creativi e a migliorarsi
Quando fate cassa però chiaramente qualcosa a me ne non sa diventato tanto bravo tra qualcosa non va quindi votazione degli esiti piano di rientro di miglioramento degli esiti perché se c'è qualcosa che non ha funzionato la prossima volta deve funzionare perché se succede invece nella realtà o un problema non oltre stemmi e fallito o un problema vero
Le soluzioni tecnologiche
In parte ne sono state giacciono accennate prevenzione e monitoraggio racconta Elena Dement'mitigazione del rischio e ripristino
Come prevenzione prevenzione stiamo viene ormai di tecnologia nelle aziende bene o male nel tempo ci siamo riempiti di intorno al Prevention fallo la segmentazione la Rete
Comincia andare tanto di moda anche riguarda perché c'è un fallo che comincia a essere diffuso diffuso perché la cena detto che oggi la guarda fece un paio è un must
E DRI TRC presto cifratura delle connessione dei dati Furnari il management in Intini Bidussa tendenziale durante a due fattori vorrebbe i casseurs mente e penso esce un testo queste sono strumenti di prevenzione son quelli che sono messi a difesa delle nostre strutture
Dopodiché dobbiamo fare monitoraggio per capire cosa succede
E questo me lo facciamo attraverso raccolta dei dati
Il traffico di rete dello che dell'IPS del faro perché sono a parte il trimestrale ma anche degli apparati di rete perché anche quelli comunque danno delle formazioni importanti l'Observer application server
E da Pavese eventi che delle lei noia ma evidenti di ACeS management è il cuore delle identità digitali in azienda
Negli ultimi trend è il target di gli attacchi più o significative all'interno dell'azienda per cui presidiare tantissimo questo tipo di attività di soggetto
Perché a forme di tre che Intelligence per capire quanto su quanto il mondo Esterno interessata non emanerà malevola
Poi dovremo fare un qualcosa a seconda delle nostre dimensioni del nostro balletto che sia quello dei o costituire un so che interno magari aziende grandi e ce lo possono permettere perché hanno il personale e le risorse per farlo oppure dare un servizio se servisse fuori
A chi fa un servizio di Stoccarda professionale per l'azienda quindi raccoglie dati li analizza ricorrere
Con loro si definisce un processo di analisi di escalation d'apertura dell'incidente
Questo ci permette di fare il monitoraggio
A questo punto soluzioni tecnologiche per la raccolta e l'analisi
L'accordatura sarà venire con metodi e strumenti della digital forensi per dare garanzia semplicità di veridicità dei dati in modo da poterli usare in qualsiasi sede anche giudiziaria per l'atterraggio aziendale
Questo lo dico non perché oppure digital forensi che ma perché purtroppo si sperimenta in azienda che una raccolta così fatto un po'Manera veloce raffazzonata senza crismi di processi e di metodi adeguati farsi che si abbiano dopo problemi a rappresentare questi dati nei confronti dell'autorità nei confronti del assicurazioni nei confronti degli stakeholder
E allora a questo punto visto che ci sono oggi le metodologie ci sono gli e Sperti utilizziamo le risorse che abbiamo per fare le regole le cose al meglio
Raccolta di no che i dati del sistema di monitoraggio programmati in analisi e l'altra
Rischia di guardare centinaia
Non migliaia di server postazioni di lavoro una media azienda italiana ad avere cinquanta cento computer fra osserverei postazione di lavoro abbastanza regolare
Quindi se dovesse andare a fare un'aria male si di queste c'è da c'è un lavoro importante i tempi sono contingentati
Potrebbe coinvolgere sistemi non pazienza sistema in cloud sistemi in Richard diverse perché Cloud bello ma c'è un club in Italia voi ciò da parte di bilanciata nell'altra religione America o Asia quindi potrei dovere intervenire su quella parte la ma come diceva il professore all'inizio potrà avere anche sistemi di industriali
E quindi dovrei magari ante interventi su quelli perché
Perché magari l'attacco non è volto a creare un danno all'azienda affermando che sarebbe magari a volte ad alterare il processo produttivo di un ingranaggio di un decimo di millimetro però se rovino di un decimo altro di un decimo di millimetro la creazione di un ingranaggio che ha un disservizio è un danno all'azienda perché quello non mi regge più il carico di lavoro per quel progetta
Tempi stringenti imposti dalle dalla tutto la necessità di ripristinare l'operatività perché l'azienda che è ferma non produce reddito quindi queste primo tra i due
Il secondo a ci sono delle normative che ci impongono tempi di risposta contingentati
Due se non rispettiamo le normative ci arrivano rischiamo di di prendere delle sanzioni quindi tre buoni motivi per fare le cose dai
E in poco tempo
Qual è la soluzione secondo soprattutto quando dobbiamo lavorare su tanti sistemi utilizzare un approccio che si chiama di riuscire ovvero visitatore incident response
Che ci permette tramite strumenti open ma sorse ma anche commerciali quindi Leonard libera scelta dell'azienda di operare simultaneamente su tutti i sistemi per la raccolta delle evidenze
Quindi dopo un comando per cui su dieci venti cento sistemi mille
Raccolto un certo tipo di formazione la collezione in tutto in un in un punto unico l'analisi zoo senza dover avere per forza dieci persone distribuite arraffare la stessa attività su ogni computer a mano
Questa tempestività efficienza
Soluzioni per concernente l'azione dei
Individuato il vettore d'attacco le modalità di ingresso le vulnerabilità tecnica organizzativa perché vulnerabilità non sono solo tecnica spesso sono l'organizzative e umane anche
Soltanto che si procede a identica soluzione teste delle soluzioni non si butta una soluzione così
Esista funziona ok non funziona si trova si testa perché se dopo miliardi potrebbe creare un altro problema nel funzionamento dell'applicazione ci sta sopra
Sì e Seneca valuta l'implementazione il ripristino è un'operazione che spesso dalla pista sconti realizzassero i codici viene dato un aiuto beccata
Presenti COO acquisì aprirne Fix porre Stovall abitata venisse
A cui si apre Rizzo
Ora
Detto tutto questo cosa R. dimesse cosa non ebbe dimesse com'è che in un'azienda Mann mondane ma anche nella pubblica amministrazione perché poi pubblica amministrazione l'azienda la fine concetto sempre il solito siamo
Realtà e utilizzate come sia per collocare dei servizi
Come ci accorgiamo di un incidente
Se io non ho quei prestiti di monitoraggio che ho detto prima io me ne accorgo perché qualcuno me lo dice un cliente o fornitori dice guarda che ho saputo ho avuto un accesso abusivo dai suoi dettato dall'accesso abusivo dalla tua rete
Oppure ho trovato i tuoi dati da qualche altra parte
Prova di tutti i giorni succede purtroppo
Se ha un approccio di tipo correctness
O un sistema di monitoraggio che non in tutti i casi perché sarei troppo ottimista
Però in una buona parte dei casi è in grado di individuare dei comportamenti anomali che sottoposti ad analisi nuovi canali SISMI posso fa scattare una catena di controllo per cui
Vado a capire se si tratta di un incidente oppure no
Questo cosa fa fa sì che un'indagine in cui ho un approccio dalla finestra io ho già la raccolta di Londra da tanti sistemi ho un perimetro già identificato cioè i loghi e mi dicono che sono coinvolti in dieci sistemi bene partiamo da quelli poi da quei dieci arriveremo magari a trenta cinquanta ok però tanto parte da dieci
Ho già tanti dati su cui partire su cui fare da cui partire a cui aggiungo l'analisi laica senta c'è un approccio non
Cosa o il caso che qualcuno o la fortuna mi dice sono stato compromesso alla dallo cominciare a capire qual è il perimetro della mia compromissione il tempo Titti Ittiti passa e questo è un problema Miss due Dora
è un grosso problema
O almeno informazione perché non raccolgo l'ovvio
Quindi se non raccolgo l'opera l'unica formazione anche erano è quella della cioè una volta individuato il perimetro è quello di andare a raccogliere tutti i dati dai quindi o anche un'analisi meno puntuale meno attendibile
Quindi la linea spesso si parla più di
Dice vince mentre Stone sarebbe differenze
Perché incidente Prevention piuttosto che semplicemente incidente è necessario assumere il fatto che oggi un incidente prima o poi può capitare come primo poi siamo caduti tutti dalla bicicletta e ci siamo sbucciate un ginocchio prima o poi un incidente succede più o meno grave
Ma soprattutto perché questa modalità di Ernesto per farsi trovare pronti permette di
Tracciare le azioni di un agente di minaccia anche se ha cancellato le prove della sua attività se rimane silente per sfruttare i sistemi se permanente da mesi all'interno che si sta
La dice a far sì che tradizionale ho parlato prima di di firme non di digital forensi tradizionale perché perché la dice Francis tradizionale ha un approccio legato al secolo computer agli smartphone singoli
è più invasiva e richiede molto tempo quando abbiamo un un ampio numero di sistemi in cui dobbiamo andare a ricercare non
Tutto ma certi elementi puntuali
Poterlo fare simultaneamente su tanti strumenti su tante postazioni di lavoro su tante sarebbe attraverso gli strumenti di difesa ci permette di essere più relativi e tempestivi
Ragioniamo quelli sono i termini di chiede dell'azienda
Prodi
Restavano investe
Se perché eticamente sulla sicurezza percepita come un costo è quella che mette i bastoni allego fra le ruote all'operatività e quella che costa quindi costando molto per perché mi devo sobbarcare qualcosa che che non mi porta a vantaggio lo faccio perché la normativa non lo dice lo faccio al minimo purtroppo questo e spesso l'approccio cioè in Italia faccia un'analisi di Ronchi segnò un approccio non on a procedere alla perdita di
Il business
Molto tempo ferme quindi perdita di clienti azioni legali perché comunque sto tanto fermo e quindi l'azione risarcitoria possono partire le la di servizio che saltano sicuramente
Fu un tentativo di di destituzione l'incapacità spesso anche di ripristinare tutto quello che c'è oltre
Se ha un approccio
Intanto riesco a determinare rapidamente nel perimetro
Individuale politico il vettore d'attacco
Riesco anche interrompere rapidamente prima
Che nell'altro approccio una un accesso abusivo una una conduzione di azioni illecite a mio danno
Riesca rilevando in tempo a ottenere anche da questo tipo di approccio sconti sulla parte sagre
Quindi in definitiva quello che può essere un maggior costo è compensato da una maggiore reattività nel ripristinare far ripartire il business dell'azienda
Con questo io chiuso
Grazie grazie Alessandro io volevo Ritter riflettevo su questo concetto delle aree dimesse perché già si fa fatica come spiegato due anche gli altri a convincere che non è solo una questione normativa rispondere alle esigenze di sicurezza ma va invece proprio incontro a un'esigenza di business ed è sempre più evidente insomma questa cosa
Però quando si parla di di vita Fresi che incident response la vedo come se fosse ancora quella cioè che s'già se non si arriva qui poi probabilmente gli strumenti nessuno li vorrà mettere in da altra importante è importante perché ad oggi
Anche la selezione sui server rischio oggi pagano i sinistri
Però qualcuno ha già cominciato a dire io i rischi il incidenti di Ramses non li pago
Prima o poi
Arriveremo a un punto in cui il numero di incidenti grazie che le assicurazioni Saddle dovranno pagare è talmente alto farà scattare qualcosa come scartato per la parte automobilistica
In cui verrà chiesto che sia un perito e che le cose siano certificati una certa maniera
E a quel punto strade e a quel punto sarà un dovere alla forse fa meglio farsi trovare pronti da questo punto di vista chiaro
Forse costa di più ma una volta che le risorse ce l'ha in azienda
Le può sfruttare quelle competenze per mettere su un'infrastruttura reti messe per tutelarsi e per fare un passo per ripartire prima in caso di incidente perché la fine ripartire prima vuol dire guadagnare soldi e se si riesce a trasferire il concetto di quella che con l'impegno di risorse di competenze in ROI per l'azienda
Anche management capisce quella la strada che si può seguire che vale la pena seguire a quel punto
Grazie grazie Alessandro
Siamo perfettamente nei tempi per concludere io ringrazio ancora senatore si Vestronia anche per essere passato salutarci oltre che merci dato l'opportunità di questo per l'evento di oggi
E volevo lasciare la parola a te Carla per chiudere perché io gli ho già parlato nel corso della sessione però non piace a sentire cosa ne pensate da
Voglio dire sono è un tema attuale ma debbo dire da chi non è un esperto del settore veramente complesso e difficile si legge
La complicatezza ma anche la complessità
L'aspetto però alla complicatezza da ingegnere tendo a veramente a a trasformarla insomma in complessità affinché Sat sicura e consapevole che di avere intorno
Professionisti capace capaci di gestirla
Perché Statuto la e è chiaro che la politica
Che deve fare sintesi che deve fare il suo mestiere
Deve però anche ascoltarci
Perché come ho detto all'inizio altrimenti ogni provvedimento
Poi diviene inattuabile o comunque ci fa perdere tempo tanto tempo e invece noi dobbiamo essere efficaci
E dire fulmini nelle nostre azioni perché mi sembra di aver capito che insomma la velocità della luce è raggiunta dalla da dal dallo sviluppo tecnologico no
E quindi insomma io credo che in ogni caso momenti come questi ne parlavamo sottovoce con Paolo poc'anzi siano dove la politica si ascolta anche capendo forse poco sotto profilo tecnicistico
Però sono importanti perché quando poi si trovano a dover affrontare questi temi si ricordano che forse c'è qualcuno che qualcosa ne sa e che quindi può dare il suo valido competente contributo grazie a tutti per essere intervenuti