📚 CORSO COMPLETO sulle misure minime ICT AgID [Parte 1 di 2]

Nel 2015 il panorama della cyber security per le pubbliche amministrazioni italiane era in crisi. Gli attacchi informatici non erano più episodi così sporadici, ma vere e proprie ondate sistematiche. Gruppi organizzati, spesso con motivazioni anche geopolitiche, avevano iniziato a considerare le amministrazioni pubbliche come dei bersagli strategici. Il 1° agosto 2015 il Presidente del Consiglio dei Ministri emanò una direttiva che riconosceva ufficialmente una verità scomoda: l'Italia è vulnerabile. Non si trattava più di singoli hacker che rubacchiavano qualche dato, ma di minacce strutturate capaci di compromettere il funzionamento stesso dello Stato. L'AGID, l'Agenzia per l'Italia Digitale, ricevette così un mandato chiaro: definire standard minimi che tutte le amministrazioni dovevano rispettare. Non suggerimenti, ma veri e propri obblighi che definiscono una base da cui partire che tutte le pubbliche amministrazioni, dal comunello di 300 abitanti al Ministero delle Infrastrutture e dei Trasporti, devono rispettare. 2 anni dopo vengono finalmente emanate queste linee guida che prevedono 45 misure basilari che tutti devono implementare, unite ad altri controlli e misure aggiuntive che possono essere implementate per aumentare ulteriormente la sicurezza. Perché faccio questo video 8 anni dopo? Perché molte pubbliche amministrazioni non sono ancora state applicate. Ciao a tutti e benvenuti in questo nuovo video. Oggi parleremo dei controlli di sicurezza ICT, cioè delle misure individuate dall'AGID che i soggetti più critici devono adottare. Partiamo proprio da quest'ultimo punto: chi deve adottare queste misure? Le linee guida si applicano: 1, a tutte le pubbliche amministrazioni, quindi enti locali, organi pubblici, autorità nazionali e così via. 2, ai gestori di pubblici servizi, quindi a tutte le società private che però erogano servizi fondamentali per i cittadini, come energia, trasporti, eccetera. E 3, alle società partecipate, quindi società di cui lo Stato o altri enti pubblici sono soci, con una quota di proprietà che può essere totale, di maggioranza, o anche solo di minoranza. Oltre a questi 3 soggetti, indirettamente queste misure oggi devono essere applicate anche dalle aziende che sono soggette alla NIS2, al DORA, al Cyber Resilience Act e alle altre normative sulla cyber security e la protezione dei dati, perché queste normative prevedono l'adozione di determinate misure e controlli che di fatto tendono a coincidere con quelli previsti dall'Agile. I controlli Agile sono divisi in 3 livelli: misure minime, che sono 45 e sono obbligatorie per tutti, poi 44 intermedie e 32 avanzate, che non sono obbligatorie ma comunque consigliate. Hanno una natura, diciamo, operativa. L'Agile suggerisce di procedere in quel modo, ma la pubblica amministrazione è libera di fare in modo diverso. Nella descrizione vi lascio il link al documento ufficiale, che è quello che mostrerò a schermo. Nel In quel link trovate non solo il documento, ma anche dei moduli scaricabili che fungono da checklist di implementazione. Quindi sono elencate tutte le misure e c'è la possibilità di annotare se sono state adottate oppure no e che cosa è stato fatto. Ecco qua, come vedete sono un po' bruttine, diciamo, come documento, non è proprio bellissimo da guardare. Comunque perdoniamola, Agid, non c'è problema. Dal punto di vista del contenuto, le misure Agid non sono state inventate da zero. Si ispirano ai CIS Controls, che sono un insieme di linee guida, diciamo, internazionali pubblicate dal CIS, appunto il Center for Internet Security, usate in tutto il mondo. Queste linee guida sono chiamate anche SANS 20 perché sono appunto 20. Nei controlli AGID queste misure hanno 2 o 3 sottolivelli, a volte anche di più, in modo da adeguarle meglio alla realtà delle pubbliche amministrazioni italiane. Finito questo video avrete una panoramica completa di tutto quello che ogni pubblica amministrazione è chiamata a fare, sia come cose obbligatorie sia come le cose facoltative. E come vi dicevo, avrete anche una lista di quello che un'azienda, anche se non è soggetta a delle normative sulla cyber security, può fare per essere un po' più al sicuro. Iniziamo. Nella prima pagina vediamo che queste misure AGID non sono solo, diciamo, una lista di cose da fare, ma prevedono anche una parte dedicata alla modalità di implementazione. Quindi anche questa può fungere, diciamo, da checklist delle cose da fare e delle cose fatte per una pubblica amministrazione o per un'azienda che si andate a applicare queste misure. Troverete scritto in più punti questa cosa qui, quindi ABSC1, CSC1. Sono semplicemente delle cose, diciamo, che indicano— ABSC sta per Agile Basic Security Controls, mentre CSC sta per Critical Security Controls. Quindi stiamo semplicemente facendo riferimento appunto a queste misure, vengono nominate così. Partendo proprio dalla prima, vediamo che in alto c'è sempre un titolo di quello che riguarda questa misura. Misura. Quindi noi stiamo affrontando la misura 1, ok, che in questo caso è dedicata all'inventario dei dispositivi autorizzati e non autorizzati. L'AGID vuole che la pubblica amministrazione sappia quello che ha. Il principio base è: non puoi proteggere ciò che non conosci. Questo perché ogni dispositivo connesso alla rete è potenzialmente una porta d'ingresso per un attaccante. Un vecchio PC dimenticato in un ufficio, una stampante smart mai aggiornata oppure configurata male, persino un termostato negligente possono diventare il punto debole che compromette l'intera infrastruttura. Quindi la prima cosa a cui si dedicano queste linee guida è proprio l'inventario dei dispositivi. Fate una lista di quello che avete. Io ho messo in un quadrato rosso tutte le misure obbligatorie, mentre le altre sono standard oppure avanzate, quindi sono quelle che possono essere implementate ma non sono le minime. Solo le minime sono obbligatorie, lo vedete anche poi qui nell'ultima colonna. M sta per minima, S sta per standard e A sta per avanzata. Quindi nel momento in cui le vedrete cerchiate di rosso nel mio video, sapete che queste sono obbligatorie. La prima cosa da fare è implementare un inventario delle risorse attive correlato a quello ABSC 1.4. Inventario delle risorse attive banalmente è anche solo un file Excel dove sono indicati tutti i dispositivi che sono in qualche modo connessi a una rete, che sono utilizzati, che sono tecnologici in qualche modo. Tanto bene o male capiamo che una risma di fogli di carta non ci va qua dentro, ma una stampante ci va. Ok, quindi va benissimo anche un foglio Excel con indicato tutti i dispositivi, chi li utilizza, se hanno ad esempio un utilizzatore fisso, in che stanza sono, qual è lo stato. Ad esempio, vecchia stampante dismessa, non la usiamo più, però va censito tutto. Bisogna capire quello che c'è. Quello che poi suggerisce di fare come misura standard è farlo in modo automatico, cioè implementare questa misura che è la ABSC 1.1.1, perché siamo nella ABSC 1 1.1, ok, siamo qua dentro e dice potete farlo anche in modo automatico se volete. Quindi questa eventualmente è una misura standard, è una cosa che suggeriscono di fare ma non è obbligatoria. Questa invece è una misura avanzata, la terza, dice effettuare il discovery dei dispositivi collegati alla rete con allarmi in caso di anomalie. Cioè non solo potete farlo in modo automatico, potete anche fare in modo che ogni volta che si collega un dispositivo alla rete voi riceviate una specie di allarme se c'è un'anomalia. Questo perché, ad esempio, una persona che vuole attaccare un comune entra all'interno del comune e si collega alla rete. Se noi abbiamo l'inventario delle risorse attive e lo andiamo a controllare, lo vediamo e possiamo bloccarlo. Ma chiaro che se avessimo addirittura uno strumento automatico che ci avvisa quando c'è qualcuno che si collega e non dovrebbe essere collegato, beh, chiaramente siamo molto più al sicuro. Anche la quarta misura è avanzata e si parla di qualificare i sistemi connessi alla rete attraverso l'analisi del loro traffico. Qualificare, qui si intende autorizzato, non autorizzato, oppure sampante, eccetera eccetera. Questa è una cosa che chiaramente si può fare, ma è un di più. Come vedete, anche se non va presa come regola base perché non è proprio sempre così, partiamo dalle minime con la numero 1, andiamo alle standard che qui è la numero 2, e le ultime 2 misure sono avanzate. Come vedete, qui finisce il controllo numero 1, che banalmente era implementare appunto l'inventario con strumenti cartacei oppure con sistemi automatizzati. Arriviamo adesso ad altre due misure che rientrano nel gruppo 2. Nessuna di queste due è obbligatoria, siamo nell'ambito delle misure standard, e infatti sono rispetto all'inventario un passetto in avanti. Abbiamo implementare il login delle operazioni del server DHCP. Allora, qui cerco di farla molto semplice. Il server DHCP è un server che dà un indirizzo IP a tutti i dispositivi che si collegano alla rete, ok? L'indirizzo IP è un identificativo. Quindi nel momento in cui, ad esempio, collego una nuova stampante alla rete, il server DHCP gli dà un indirizzo IP. Tenere un log di queste operazioni a cosa serve? Serve a far sì che ci sia un registro che tiene traccia di tutto quello che è stato fatto e ricollega quello che è stato fatto a un determinato dispositivo. Non è una cosa essenziale, perché bene o male posso capire quello che è stato fatto anche in altri modi, ma questo sicuramente è una cosa che aiuta nel caso in cui ci sia una violazione a capire qual è il dispositivo che ha causato il danno, se ce n'è uno, o comunque a escludere delle possibilità. Il passo ancora ulteriore, sempre fra le misure standard, è utilizzare queste informazioni, quindi le informazioni conservate in questo registro che dicono quale dispositivo ha fatto cosa e in quale momento, per migliorare l'inventario delle risorse e identificare le risorse non ancora censite. Questa cosa come si traduce in pratica? Prendiamo Francesca Rossi che lavora nel comune di Almeno San Bartolomeo in provincia di Bergamo. Diciamo, lei potrà andare stanza per stanza all'interno del comune, del municipio, e censire tutti i dispositivi che sono connessi alla rete. Ma è ovvio che potrà anche perdersene qualcuno per strada. Ad esempio, uno dei dipendenti ha un portatile del comune che si porta in giro, ci sono dei tablet che lei non ha visto, o cose del genere. Utilizzare queste informazioni, quindi quelle che provengono da questo server che censisce tutti i dispositivi basandosi sull'indirizzo IP, l'aiuta a capire se c'è qualcosa che lei ha tralasciato, che non ha visto. Chiaramente non si parte da lì, non è la cosa minima che si può fare. Però qualora si ritenesse che ci fosse qualcosa che magari non è stato censito, ecco che il log di HCP ci viene in aiuto. Passiamo al terzo gruppo, siamo ancora all'interno del primo controllo, ok, la BSC numero 1, quindi siamo ancora nella parte dell'inventario. La misura minima è aggiornare l'inventario quando nuovi dispositivi approvati vengono collegati in rete. E questo è abbastanza ovvio, abbiamo un inventario, non è che la cosa è finita lì, il controllo viene implementato se ogni volta che c'è un nuovo dispositivo io vado ad aggiornare l'inventario. E anche qui la misura standard è usare uno strumento automatico per andare ad aggiornarlo. Passiamo adesso al punto 4: gestire l'inventario delle risorse di tutti i sistemi collegati alla rete e dei dispositivi di rete stessi registrando almeno l'indirizzo IP. Nel momento in cui redigete questo inventario c'è la possibilità, è molto semplice quindi ogni reparto IT è in grado di farlo, di registrare per ogni singolo dispositivo anche l'indirizzo IP, e quindi nell'inventario va messo anche questo. Come vedete, questo è obbligatorio, è una misura ritenuta minima. Volendo andare ancora oltre, c'è un'ulteriore misura: per tutti i dispositivi che possiedono un indirizzo IP, l'inventario deve indicare anche nomi delle macchine, funzioni del sistema, un titolare responsabile della risorsa e l'ufficio associato. Io francamente questa non l'avrei messa come standard, l'avrei messa come minima, perché come vi dicevo, nel momento in cui si fa un inventario, queste sono informazioni basilari da inserire. Nel momento in cui inserisco che c'è un computer, dovrò dire in quale stanza è, dovrò dire chi lo usa, altrimenti l'inventario è un po' inutile. Però, per non gravare troppo magari su quelle pubbliche amministrazioni o su quei soggetti che possono far fatica, l'hanno messa come misura consigliata. Io la consiglio caldamente. Come misura avanzata, qui abbiamo questa: dispositivi come telefoni cellulari, tablet, laptop e altri dispositivi elettronici portatili devono essere identificati anche se non sono collegati alla rete dell'organizzazione. E anche qui io sbaglierò, però secondo me dovrebbe essere questa non una misura avanzata. Nell'inventario ci deve essere scritto se c'è un portatile che è stato affidato a un dipendente che lavora solo da casa, perché anche quel portatile è un vettore possibile per un attacco. Mettiamo che un giorno arrivi, abbia il computer infettato e si colleghi alla rete, viene infettato tutto. Bisogna proprio che sia inserito all'interno dell'inventario. Però appunto è una misura avanzata, quindi questa non sarebbe obbligatoria. Le misure 5 e 6 sono entrambe avanzate, sono proprio, diciamo, il non plus ultra e vanno a concludere l'ABSC numero 1. La 5 dice installare un'autenticazione a livello di rete per limitare e controllare quali dispositivi possono essere connessi alla rete. Deve essere collegato ai dati dell'inventario per distinguere i sistemi autorizzati da quelli non autorizzati. Anche questo è molto tecnico, però è una cosa che si può fare. Consiste in pratica nel dire ci sono alcuni indirizzi IP che non devono collegarsi alla rete, sono in una blacklist, diciamo, in una lista nera di dispositivi che devono essere assolutamente tenuti fuori, chiaramente collegati all'inventario. L'inventario dovrà dire: questi dispositivi sono autorizzati, questi sono in lista nera. Altrimenti non si può capire, a prescindere, quali IP non si possono collegare. E l'ultima misura: utilizzare i certificati lato client per validare, autenticare i sistemi prima della connessione a una rete locale. Quindi facciamo la verifica anche lato dispositivo, quindi non solo lato rete. Nel momento in cui un dispositivo si collega alla rete o prova a collegarsi, il controllo 5 dice controlliamo che sia autorizzato dalla rete per poter entrare. Il controllo 6 dice controlliamo anche il dispositivo stesso, è un dispositivo sicuro, c'è qualcosa che non va. La 5, la 6 vanno un po' a braccetto, è un modo per renderlo un po' più coerente come controllo, perché io controllo sia lato rete che lato dispositivo. Passiamo al controllo numero 2, inventario. Ma l'inventario non c'era già prima? No, prima c'era l'inventario degli hardware, dei dispositivi fisici. Qua iniziamo a fare un tracciamento dei software. La misura minima è stilare un elenco di software autorizzati e le relative versioni necessarie per ciascun tipo di sistema, non consentire l'installazione di software non compresi nell'elenco. Questa è una cosa che si chiama in gergo tecnico shadow IT, cioè quella tecnologia di cui la pubblica amministrazione o l'azienda non è a conoscenza ma che i dipendenti utilizzano. Ad esempio, Esempio: un dipendente decide di installare sul suo sistema un software che dovrebbe aiutarlo a gestire le scadenze e in realtà è un malware. Fare questa cosa qua, quindi non consentire l'installazione di software non compresi nell'elenco autorizzato, previene che il dipendente possa installare un malware sul computer aziendale o dell'ente. Andando oltre, entriamo nel secondo gruppo che dice— queste sono misure standard o avanzate— che dice implementare una whitelist delle applicazioni autorizzate. Banalmente anche questa poteva essere inclusa come misura minima, perché nel momento in cui io dico questi sono i software che usa la pubblica amministrazione, non ne possono essere installati degli altri, creare una whitelist di quelli che si possono autorizzare mi sembra un po' una ripetizione. Qui però si va a includere tutta la lista di software che non sono attualmente in uso, però se un domani volessero essere implementati non c'è problema. Quindi sostanzialmente si prevedono dei software che volendo possono essere implementati. E qui poi scende un po' nel tecnico, ma di fatto è una spiegazione aggiuntiva di quello che dice prima. Per sistemi con funzioni specifiche la whitelist può essere più mirata. Quindi ad esempio su questo computer potete installare questi software, su quest'altro che serve per fare un'altra cosa ne potete installare degli altri. Quindi si può diciamo andare ancora oltre e fare whitelist in base al tipo di dispositivo. E aggiungo una cosa che però non è scontata: quando si proteggono i sistemi con software personalizzati, che può essere difficile inserire nella whitelist perché sono personalizzati, quindi non si può prevedere fin da prima che quei software saranno nella whitelist, sono stati creati diciamo ad hoc, ricorrere al punto ABSC 2.4.1. Dopo lo andremo a vedere, ma ci anticipa già che cos'è: si isola il software personalizzato in un sistema operativo virtuale. Perché software personalizzati hanno meno controlli di sicurezza, diciamo, normalmente non sono su case madri produttrici di software molto forti, per cui sono più soggetti, se vogliamo, a delle vulnerabilità. Quindi li andiamo ad eseguire in un sistema virtuale isolato dal resto della rete. Evitiamo che se quel software personalizzato contiene in realtà un malware o è infettato, vada a propagare il malware all'interno degli altri dispositivi sfruttando la rete. L'ultimo è il controllo avanzato: utilizzare strumenti di verifica dell'integrità dei file per verificare che le applicazioni nella whitelist non siano state modificate. E qui torna molto utile avere avuto visto il mio video sulle password, perché lì parlavo dei codici hash. I codici hash sono usati per cifrare ad esempio le password o i dati in un database, ma anche per controllare l'integrità dei dati. Nel momento in cui noi scarichiamo un software, il software è corredato quasi sempre da un codice hash. Quando io lo scarico nel computer, dovrei andare a verificare che questo codice sia uguale a quello previsto in origine, quindi per controllare che magari, non so, un malintenzionato non sia riuscito a sostituire il file che io volevo scaricare con un file infetto. Questa infatti è un controllo avanzato, perché ovviamente stiamo andando ancora oltre. Già per evitare questa cosa qui basterebbe questa cosa qua: non consentire l'installazione di software non compresi nell'elenco dei software autorizzati. Se sono un comune con 390 abitanti, la cosa che mi conviene non è fare questa, cioè controllare, avere sistemi di verifica dell'integrità dei file. Mi conviene dire ai miei 4 dipendenti: guardate, non scaricate nessun software che non sia compreso nell'elenco dei software autorizzati, e già sarei quasi a posto. Andiamo avanti, siamo sempre all'interno del controllo numero 2. Misura minima: eseguire regolari scansioni sui sistemi al fine di rilevare la presenza di software non autorizzati. E questo, diciamo, fa un po' pandan con quello che abbiamo visto già per quanto riguarda i dispositivi. Quindi controlliamo la rete per controllare che non ci siano dispositivi strani. Con i software la cosa è ancora più delicata in realtà, perché un software potrebbe essere anche un malware, no? Il malware, altro non è che un software malevolo. Per cui è molto importante controllare che i software che sono installati all'interno dei dispositivi o nella rete siano tutti autorizzati, non ci sia qualcosa di strano. Passiamo a una misura standard: mantenere un inventario del software in tutta l'organizzazione che copra tutti i tipi di sistemi operativi in uso, compresi server, workstation e laptop. E qui è proprio— andiamo a precisare ancora meglio il nostro inventario. Specifichiamo non solo quali software usiamo, ma quali software sono installati in ciascun dispositivo, cosa fa ciascun software e così via. E poi abbiamo le ultime due misure del controllo numero 2, che sono invece avanzate. Questa è installare strumenti automatici di inventario del software che registrino anche la versione del sistema operativo utilizzato, nonché le applicazioni installate, le varie versioni, eccetera. Dottiamoci di strumenti automatici che chiaramente hanno un costo, non sono gratuiti, che registrano costantemente i software, le versioni, se ci sono aggiornamenti di sicurezza da fare. Così diciamo che se c'è una vulnerabilità che viene corretta da una patch, quindi da un aggiornamento di sicurezza, il software ci avvisa e noi lo possiamo automaticamente installare, aggiornare, così siamo a posto. È una cosa chiaramente che si può fare in più. L'ultima: utilizzare macchine virtuali o sistemi air-gapped per isolare, eseguire applicazioni necessarie per operazioni strategiche o critiche dell'ente che, a causa dell'elevato rischio, non devono essere installate in ambienti direttamente collegati in rete. Abbiamo un po' anticipato quello che vuol dire. Di fatto si dice: se avete delle cose assolutamente necessarie, quindi abbiamo delle applicazioni necessarie che però hanno un alto livello di criticità. Ad esempio, tutto il software che gestisce tutte le carte d'identità dei cittadini è in realtà molto vulnerabile ad attacchi, ma non viene più aggiornato. Allora lo teniamo, ma lo isoliamo. Quindi quello che dice questa misura è: prendiamo questi software e li mettiamo isolati dalla rete su macchine virtuali, che sono sostanzialmente dei finti computer che stanno sul computer ma si comportano come se fossero separati, o sistemi airgapped. L'airgapped è un vuoto d'aria, quindi sostanzialmente operano con un vuoto d'aria rispetto alla normale rete, quindi sono separati. Anche questo ovviamente è una cosa super avanzata. La cosa migliore sarebbe non avere software ad elevato rischio, si rischia comunque il contagio anche degli altri dispositivi. Andiamo al controllo numero 3: proteggere le configurazioni di hardware e software sui dispositivi mobili, laptop, workstation e server. Quindi andiamo a implementare, gestire attivamente configurazione di sicurezza dei dispositivi. Non rimettiamo ai dipendenti la sicurezza dei dispositivi, anche se si tratta di portatili. Dobbiamo controllare che tutto quello che entra nella rete dell'ente sia sicuro, ed è l'ente a doverlo fare. La misura minima ovviamente è: utilizziamo la configurazione sicura standard per la protezione dei sistemi operativi. C'è un nuovo aggiornamento di sicurezza? Lo installo banalmente, non faccio cose strane che possano andare ad aprire, diciamo, la porta agli attacchi attaccanti. E qui invece va ad aggiungere un ulteriore strato di sicurezza come misura standard, che è: mettiamo una configurazione sicura standard che corrispondano alle versioni hardened del sistema operativo e delle applicazioni installate. E poi per fortuna ce lo spiega, perché magari poteva non essere così semplice. La procedura di hardening comprende l'eliminazione degli account non necessari, compresi gli account di servizio, ad esempio l'account admin che però non usa nessuno, o guest che però non deve essere previsto. Disattiviamo, eliminiamo i servizi non necessari, applichiamo le patch di sicurezza quando vengono messe, chiudiamo le porte di rete che sono aperte e che non servono. Tutte queste cose qui, quindi controlli rispetto al numero 1 un pelo più avanzati. Anche qui diciamo che se abbiamo in casa un bravo tecnico IT, io questa la farei fare comunque, perché non è detto che sia una cosa molto costosa, quantomeno la parte di eliminazione degli account non necessari la, l'applicazione delle patch, la chiusura delle porte di rete aperte, sono tutte cose che un bravo tecnico può fare, per cui magari io lo chiederei. Come misura avanzata abbiamo poi assicurare con regolarità la validazione e l'aggiornamento delle immagini di installazione nella loro configurazione di sicurezza. Controlliamo che tutto quello che abbiamo sia configurato nel modo più sicuro, non una sola volta, ma assicuriamo con regolarità la validazione e l'aggiornamento di questa configurazione. Ripetiamo questa parte qua più volte, controlliamo che sia al massimo del livello possibile. Banalmente, come esempio, un dipendente c'era, ora non c'è più perché è andato via. Io non avevo chiuso il suo account perché non era necessario in quel momento, lavorava lì. Bene, con questo controllo in più io lo vado a chiudere l'account perché non mi serve più. Andiamo avanti, sempre nel controllo numero 3: definire e impiegare una configurazione standard per workstation, server e altri tipi di sistema usati dall'organizzazione. Creare Creiamo una policy, una policy che dica come devono essere configurati i sistemi per essere sicuri. Appunto, impieghiamo questa configurazione standard per tutte le cose che abbiamo. E ovviamente, se guaruota questa seconda misura, che infatti è sempre minima, eventuali sistemi in esercizio che siano compromessi devono essere riconfigurati. Come? Tramite la configurazione standard. Quindi ci atteniamo sempre a quella cosa lì. Una cosa in più eventualmente è quando andiamo a modificare la configurazione standard, lo facciamo secondo le procedure di gestione dei Abbiamo delle procedure precise che dicono come ci comportiamo se cambia qualcosa? Bene, anche questa cosa qua, quindi l'aggiornamento delle configurazioni standard, lo facciamo seguendo queste procedure. Ovviamente non è una misura minima perché non è detto che ci siano le procedure di gestione dei cambiamenti, ma se ci sono è bene applicarle anche in questo caso. Le immagini di installazione devono essere memorizzate offline, e qui entriamo un po' più nel tecnico. Le immagini di installazione sono sostanzialmente banalmente i pacchetti che ci servono per installare un software nei nostri dispositivi. Ok, ad esempio, ho un fornitore di un software e ogni volta che io apro un nuovo dispositivo, lo attivo, viene e mi installa quel software che lui mi fornisce. Perché dice che devono essere memorizzate offline? Perché uno degli attacchi più frequenti è proprio quello di prendere le versioni conservate online e sostituirle con un Quindi perché dice devono essere memorizzati offline? Perché se io attivo un nuovo dispositivo, ad esempio compro un nuovo computer e devo andare a installare un software, la cosa migliore è che io il software ce l'abbia in una chiavetta che normalmente non è connessa da nessuna parte, perché in questo modo io lo posso installare con la certezza quasi matematica che non sia stato mai modificato. Se io lo conservo invece online o lascio che ogni volta me lo installi il fornitore e non so lui quanto è al sicuro, ecco che allora rischio di installare un malware. Proseguendo, abbiamo le immagini di installazione, quindi siamo sempre in questo settore qua, sono conservate in modalità protetta, garantendo l'integrità, la disponibilità solo agli utenti autorizzati. Non basta salvarle offline, chiaramente dobbiamo tenerle un minimo al sicuro. Strano che questa non sia una misura minima, perché francamente una volta che la memorizzo offline mi costa niente gestirla in modo che sia protetta al sicuro, cifrarla, far sì che sia affidata solo a utenti autorizzati che debbano fare determinate cose e così via. Se lo metto in una chiavetta, poi lo lascio appoggiato nell'ufficio dell'anagrafe, insomma non è proprio il massimo. Però la mette come misura standard. E poi entriamo in questa campa più complicata, dice eseguire tutte le operazioni di amministrazione remota di server, workstation, dispositivi di rete, analoghe apparecchiature per mezzo di connessioni protette. Cioè, se dovete autorizzare una connessione remota a un dispositivo, ad esempio il lavoratore che si collega da casa perché fa smart working ha bisogno di col suo computer di casa al computer che ha nell'ufficio, lo può fare, ma dovete prevedere protocolli intrinsecamente sicuri o canali sicuri. Di solito si fanno delle reti private, delle VPN, qualcosa del genere, che servono proprio a collegare i due dispositivi in modo da evitare che quello che viene fatto fra i due dispositivi venga intercettato. Anche qui siamo un po' più nello specifico, ma diciamo che comunque serve giusto per farvi capire a grandi linee che cosa dovrebbe essere previsto. Poi ribadisco, qualunque tecnico è in grado di spiegarlo e di di farlo molto meglio di me. Andiamo avanti. Utilizzare strumenti di verifica dell'integrità dei file per assicurare che i file critici del sistema non siano stati alterati. Ci ricolleghiamo un po' a quello che ho detto prima, quindi non ci torno sopra. Se un file viene alterato, chiaramente è un rischio per il dispositivo perché potrebbe essere sostituito con un malware o cose del genere. Per cui facciamo in modo di implementare degli strumenti di verifica dell'integrità dei file. Nel caso in cui la verifica di quel punto precedente venga eseguita da uno strumento automatico, quindi giustamente chiaramente dice: non è che dovete farlo sempre a mano, di far la verifica che il file sia integro. Se lo volete fare in modo automatico, però, dovete prevedere un alert nel caso in cui rilevi un'effettiva alterazione dei file. Per il supporto alle analisi— e qui stiamo entrando nel campo dell'eventuale data breach, quindi se c'è qualcosa che non va, se c'è un incidente di sicurezza o un attacco hacker, faremo poi delle analisi, no, per capire cosa è andato storto— per supportare queste analisi il sistema di segnalazione deve essere in grado di mostrare la cronologia dei cambiamenti. Non mi basta dire sì, quel file effettivamente è stato alterato, ho ricevuto un alert. Devo capire come era prima, come dopo, quando è intervenuto il cambio. Devo avere la cronologia, appunto, e possibilmente anche l'identità di chi ha eseguito ciascuna modifica, in modo da tracciare il percorso che ha fatto il file. I controlli di integrità devono inoltre identificare le alterazioni sospette del sistema, delle variazioni di permessi di file e cartelle. Le variazioni dei permessi sono particolarmente importanti perché immaginiamoci che io sia una no, sono un hacker e riesco a prendere possesso del computer di Francesca Rossi, ma mi collego, vedo che Francesca Rossi non può fare niente perché è una dipendente, diciamo, di livello basso, diciamo così. Scusami, Francesca. E quindi non ha molti accessi, non ha molte autorizzazioni, e del suo account me ne faccio poco. Ma se io mi collego col suo account e piano piano mi faccio strada aumentando i permessi di Francesca, piano piano riuscirò a vedere di più. E questo è molto importante, capire perché i permessi sono stati cambiati, perché una delle modalità più tipiche di attacco: prendo possesso di un account che non è tenuto magari così tanto al sicuro perché ha pochi permessi, e poi piano piano ci penso io ad aumentare i permessi di quell'account. E alla fine l'account di Francesca Rossi è come l'account del sindaco, può vedere tutto e siamo a posto. Ancora: utilizzare un sistema centralizzato di controllo automatico delle configurazioni che consenta di rilevare e segnalare le modifiche non autorizzate. E qui più o meno ci siamo, bene o male ripete quello che abbiamo già detto. Prendiamo un sistema centralizzato di controllo automatico che ogni volta che a Francesca viene aumentato un permesso mandi un alert, e quindi il reparto IT o il blue team, il red team, se c'è qualcuno di questo tipo, può verificare che cosa è successo e perché. L'ultima: utilizzare strumenti di gestione della configurazione dei sistemi che consentano il ripristino delle impostazioni di configurazione standard. Partiamo dalla configurazione standard e finiamo nella configurazione standard. Se quella è una configurazione che va bene, che è sicura, dobbiamo fare in modo che se succede la catastrofe noi possiamo tornare subito alla configurazione standard. E la cosa migliore è avere strumenti di gestione della configurazione dei sistemi che lo facciano velocemente o in modo automatico. Bene, come sempre spero che il video vi sia piaciuto. Questa ovviamente era la parte 1, perché sono tantissimi controlli, non voglio correre, farle corse, parlare a manetta o tenervi qua fino a dopodomani. Però non perdetevi ovviamente il video della prossima settimana, perché uscirà la parte 2, quindi vedremo anche tutti gli altri, ragioneremo sulle ultime misure e avremo quindi una lista completa di quello che c'è da fare. Noi ci vediamo al prossimo video.