30 Responses

  1. avatar
    jackallo at |

    Già letto tutto, Sil.
    E’ fatto molto bene.
    Certo è un documento che si basa, però, fondamentalmente solo su interviste ad esperti, ma, ad esempio, il commento del nostro Paese, nonostante la sua estrema sinteticità, è abbastanza lucido.

    Reply
  2. avatar
    Morgana at |

    Ciao Silendo e lettori, di recente ad un convegno di studi in cyber-security addetti ai lavori in security aziendale affermano che la sicurezza informatica non esiste: alias, l’eventualità di individuare aziende che commissionano attività antifrode è permeata da eventi contestuali ed emergenze occasionali. In passato, circa 7 anni fa in un altro convegno di studi, personale altamente qualificato e con alte referenze di responsabilità, ha affermato che l’unico computer sicuro è spento, ha il cavo staccato, è chiuso in una stanza con porta blindata…e al di fuori vi è una guardia giurata.
    Detto ciò…piove sul bagnato della cyber-security, ma non bisogna scoraggiarsi…forza!!!! Andiamo avanti

    Morgana Fiduciosa

    Reply
  3. avatar
    jackallo at |

    E io non posso che sottroscrivere quell’affermazione di 7 anni fa… 😉

    Reply
    1. avatar
      AllegraBrigata at |

      La sicurezza assoluta non esiste in nessun campo :)

      A.

      Reply
  4. avatar
    barry lyndon at |

    ecco un ottimo modello di coordinamento/collaborazione interministeriale in mabito cyber: DoD & DHS a braccetto…anzi a cyber-braccetto 😉

    http://www.dhs.gov/xlibrary/assets/privacy/privacy_nppd_jcsp_pia.pdf

    Reply
    1. avatar
      AllegraBrigata at |

      Ciao Barry. Che tu sappia il coordinamento Difesa/Sicurezza interna è reale? Per quello che so io no.

      Andrea

      Reply
      1. avatar
        barry lyndon at |

        Ciao Andrea :)

        Sil & Vittorio: presente!! 😉

        Sinceramente non sono in grado di misurare il livello di effettiva collaborazione tra DHS e DoD e neanche di valutare se tra loro vi è un reale ed efficace coordinamento.

        Basandomi sull’analisi dei documenti (legislativi e non) disponibili, rilevo che, sin dall’istituzione del DHS (son passati 10 anni!), uno principali obiettivi del governo USA è stato quello di costruire un sistema di coordinamento, collaborazione e condivisione informativa tra le varie agenzie federali nel campo della cybersecurity e della protezione delle infrastrutture critiche nazionali.

        Tale sistema, basato sulla compartimentazione per settore, affida – in ambito sicurezza “interna” – a ciascun organismo governativo la protezione di una o più aree. Ad es. al DoD, la National Strategy to Secure Cyberspace del 2003, assegna la protezione della c.d. Defense Industrial Base – DIB (cioè il complesso delle aziende statunitensi di rilevanza strategica nel campo della difesa); al Dipartimento del Tesoro, invece, tocca occuparsi di protezione dei sistemi bancari e finanziari… e così via per le altre altre agenzie federali, fino a coprire tutti i settori di interesse nazionale.

        In tale quadro, il DHS, oltre ad essere competente per la protezione delle reti di tlc, di informazione, di trasporto, dei servizi di emergenza, dei servizi postali e…,last but not least, nel garantire la “continuità governativa” (in caso di attacco cyber), ha anche il compito, per il tramite della National Cyber Security Division e dello US-CERT, di fungere da organismo di coordinamento nel campo della cybersecurity connessa alla dimensione “interna”. Per tale motivo la maggior parte delle iniziative di collaborazione/coordinamento interagenzia, nascono su input del DHS, che riveste, appunto, un ruolo di “leading agency” nel settore.

        A conferma di tale posizione dominante, si deve leggere il programma Joint Cybersecurity Services Pilot (vedi il documento che ho linkato), che nasce come un’iniziativa di coordinamento tra DHS e DoD per elevare il livello di protezione della Defense Industrial Base. Qualcuno, a tale riguardo, si spinge addirittura nel vedere tale programma di coordinamento quale primo step di un progressiva devoluzione di competenze dal DoD al DHS nel campo della cybersecurity “interna”…

        Ricollegandomi al mio incipit, premesso che condivido le considerazioni di Silendone Nostro, di Vittorio e di Jack in merito alla tendenza degli USA di usare il modello organizzativo “millefoglie”, sono dell’idea che è meglio avere un coordinamento programmato ed organizzato, previsto normativamente ed in corso di costruzione come quello statunitense….che non….NON averne proprio. Anche se, devo aggiungere, che sebbene in Italia manchi ancora l’architettura legislativa/organizzativa, i punti di contatto e le forme di collaborazione tra Difesa ed Interno non mancano….come anche i tavoli tecnici (più o meno formalizzati) tra pubblico e privato 😉

        PS: Sil… ancora devo abituarmi alla nuova veste del blog!

        Reply
        1. avatar
          barry lyndon at |

          la 624th Operations Center Intelligence Surveillance & Reconnaissance Division (AFCYBER) della US Air Force (ispirandosi* ad un recente documento reso pubblico da McAfee) ha stilato la lista dele 10 minacce cyber più pericolose per il 2012:

          http://publicintelligence.net/ufouo-u-s-air-force-top-ten-cyber-threats-2012/

          *= usando la funzione “cut&paste” 😉

          Reply
          1. avatar
            barry lyndon at |

            l’UE e la Cina alleati nel settore della cybersecurity?

            si, o meglio, hanno manifestato pubblicamente l’interesse a farlo nel prossimo futuro, costituendo una apposita TaskForce .

            In tal senso la nota stampa congiunta, rilasciata il 14 febbraio, in occasione del 14mo EU-China summit, tenutosi qualche giorno fa a Beijing:

            “The two sides recognized the importance of deepening understanding and trust on
            cyber issues, and were committed to enhancing exchanges and cooperation in tackling
            obstacles and threats, in order to maximize the positive role of secure ICT and Internet in promoting economic and social development, as well as to exchanging views on shared risks. In this regard, the two sides agreed to set up a EU-China Cyber Taskforce.”

            qui il documento integrale (che consiglio di leggere approfonditamente ;)) che riporta altre aree di interesse strategico in cui i 2 soggetti collaborano (ad es. progetto Galileo – GPS) o intendono sviluppare forme di collaborazione/cooperzione (ad es. nel campo energetico):

            http://www.consilium.europa.eu/uedocs/cms_data/docs/pressdata/EN/foraff/127967.pdf

            Reply
  5. avatar
    Anonimo at |

    Silendo caro, considerando le notiziole di questa mattina, tu stai proprio sul pezzo, eh!

    S.

    Reply
    1. avatar
      AllegraBrigata at |

      Ciao S.
      A cosa ti riferisci?
      :)

      R.

      Reply
  6. avatar
    Il Pulcino at |

    “La sicurezza assoluta non esiste in nessun campo”….
    …….Mah….
    Il Pulcino

    Reply
  7. avatar
    Anonimo at |

    Ciao Silendo,

    riflessione: considerando che i proclami ideologici di piazza si sono trasferiti allo spazio web dei gruppi hacker e figure affiliate, (vedi le attività di Anonymous che accusa la Grecia di voler affondare la democrazia di cui è stata la culla),

    mi chiedevo: quanto potrebbe volerci perché i gruppi nel settore del crimine organizzato ricorrano in modo professionale e come strategia di offesa ‘personalizzata’ alle cyber-minacce?

    ed è uno strumento che potrebbe essere tarato specificatamente per gli scopi (vari) di tali org.?

    cioé, l’expertise in oggetto è costosa e necessita di HR molto ad hoc. non è che la metti su mandando uno dei tuoi a studiare informatica..
    chissà come si pongono rispetto a questo mezzo i più organizzati gruppi criminali..hai qualcosa di interessante da segnalare?

    P.S. possiamo chiedere a Pulcino perché quel ‘mah’? io concordo per altre ragioni (non tecniche o tecnologiche) che non può esistere la sicurezza assoluta in generale e mi pare difficile anche per motivi tecnici che si possa raggiungere sul web o nelle applicazioni relative. ma Pulcino mi pare sottintenda il contrario..o no? (ciao Pulcino)

    S.

    Reply
  8. avatar
    Morgana at |

    A proposito di insicurezza e hackering….questo è del 16 gennaio:
    http://blog.panorama.it/mondo/2012/01/16/borsa-israeliana-sotto-attacco-hacker-crisi-tra-cia-e-mossad/

    Morgana

    Reply
  9. avatar
    jackallo at |

    Dear Barry, sarebbe molto bello, ma in realtà collaborano pochissimo. Per non dire che non collaborano proprio.

    Intanto sta arrivando all’approvazione definitiva la proposta di legge denominata “PRECISE Act 2011”. Presentata come “the mostly privately operated national critical infrastructure to adopt information security standards to safeguard their IT systems and networks” (e il GAO, IMHO, già si frega le mani!), in pratica introdurrà che:

    1. Il DHS avrà ufficialmente il compito di coordinare e gestire gli “IT security efforts among the federal government’s non-defense and non-intelligence agencies as well as the operators of the critical infrastructure”;

    2. Verranno creati dei nuovi “mechanisms to foster the sharing of cyber-threat information among federal, state and local governments and businesses operating the nation’s critical IT infrastructure”. Ovvero, si creerà l’ennesima struttura “a soppalco”, come le chiamo io, per capire come mai quelle precedenti non hanno funzionato. Il nome sarà “National Cybersecurity and Communications Integration Center” (che in realtà è già operativo, ma voi questo già lo sapete!).

    Se vi interessa leggerla:
    http://homeland.house.gov/sites/homeland.house.gov/files/HR3674_ANS.pdf

    Reply
    1. avatar
      AllegraBrigata at |

      Barry latita…. :)

      V.

      Reply
  10. avatar
    jackallo at |

    Questione organizzazioni criminali italiane che utilizzano “l’hacking” come strumento per fare “fatturato”. Che io sappia, allo stato attuale la risposta è no.
    Ci sono, ma non sono italiane (romania per il carding, tempo fa la nigeria per lo spam, ecc.).

    Il problema, a mio avviso, è capire che, se ormai non ci piove che ci siano organizzazioni più o meno strutturate di “hacker” state-sponsored, non è detto che nel breve periodo non ci possano essere gruppi di hacker professionisti che sono “mafia-sponsored”. Mi spiego meglio, mandare a studiare ingegneria informatica alla nuova generazione di giovani appartenenti alle ‘ndrine calabresi potrebbe essere non fattibile, troppo costoso (in termini di tempo, ovviamente) e non è detto che il talento giusto possa essere realmente acquisibile da un po’ di libri. Allora, soluzione: perchè non “comprare” i servizi di questi gruppi per specifici target (banche?!?!.. ne hanno violate 3 solo nell’ultima settimana utilizzando il cappello di “Anonymous”). Costa meno di quello che si possa pensare.
    Insomma, sub-appaltiamo il lavoro, magari il contatto lo gestiamo con una delle varie società off-shore già create per gestire “altro” e ci mettiamo anche un ulteriore schermo, utilizzando un bel “brand” famoso (“Anonymous” o “Lulzsec”), così la spostiamo sull’hacktivism, e… tutto potrebbe quadrare, che dite..? 😉

    Reply
    1. avatar
      AllegraBrigata at |

      A parer mio questo schema non funziona con le nostre mafie. Hanno ben altro da fare.

      V.

      Reply
  11. avatar
    jackallo at |

    Certo Sil, gli americani sono maestri della “INT-sfogliatella alla napoletana”, strato su strato, billions su billions. Altrimenti come la fai girare la macchina delle Companies del settore Difesa.
    Non solo nel settore c-mf ovviamente.

    Reply
    1. avatar
      AllegraBrigata at |

      Gli americani pensano che i problemi si risolvano incrementando. Maggiori risorse, maggiore personale, ecc.
      Jack: ti seguo. Bravo.
      Un consiglio: ascolta i consigli di Silendone nostro 😉

      Vittorio

      Reply
  12. avatar
    Anonimo at |

    Per Jackallo,

    carissimo grazie. io pensavo in effetti a qualcosa del genere, cioé proprio comprare ‘servizi’ di questo tipo dagli ‘specialisti’.

    ora, le mafie ns per i prox dieci anni avranno assai probabilmente molto da fare, come sottolinea V. ; inoltre non sono pronte a livello di mentalità e il loro modus operandi non si sposa con queste metodologie.

    ma le altre? e i loro affari su scala globale? e se le ns mafie avessero di fronte a sé un futuro ristretto sul territorio ma dipendente da schemi criminali globali gestiti dalle altre? (se cambiano gli equilibri ‘mondiali’ degli attori statali e siamo nel ‘paranormal world’ di cui nel post su Davos, anche i cartelli ‘mafiosi’ potrebbero in futuro cercare/cambiare le coordinazioni intercontinentali. io non dico che i clan messicani o delle favelas di Rio si gettano sull’hacking come risorsa, ma se pensiamo, tipo, a come gli iraniani tendono ad intreccciare rapporti in sud-america…il loro modo sempre assai ambiguo, metti che uno riflette sul tipo di supporto che potrebbe dare a questo tipo di formazioni per contrastare rivali politici rafforzando le attività di mafie che ne colpiscono il territorio attraverso direttrici commerciali, droga armi investimenti esteri o che so…..io non dico ora. magari tra 10 anni potrebbe essere. solo che se mai potesse essere tra 10 anni, vuol dire che eventualmente comincerà da qui a 5. …………)

    non se premere ‘invio’….mi si capisce quello che scrivo?????

    cmq, sono inrealtà in una fase di delirio isterico causa lavoro ma volevo dire a Jack: grazie per la risposta e per il tuo tempo! :-)))

    S.

    Reply
  13. avatar
    CL at |
    Reply

Leave a Reply


(obbligatorio)