Inoltre l’OCSE indica anche una serie di principi, per la precisione otto, che tutte le organizzazioni dovrebbero seguire o quantomeno tenere a mente per non incorrere in pericoli futuri per la propria incolumità digitale, siano esse aziende, enti o addirittura governi. ”Questa iniziativa ribadisce, laddove ve ne fosse ancora necessità, l’importanza strategica della sicurezza digitale” spiega l’esperto Pierluigi Paganini Chief Information Security Officer di Bit4Id e responsabile Responsabile Editoriale del canale Security Notes. ”Viviamo in una società in cui la componente tecnologica ha raggiunto un livello di penetrazione impensabile persino cinque anni fa, tutti noi siamo parte di una rete globale che va protetta così come le informazioni in essa circolanti.”
I principi sono divisi sostanzialmente in due categorie che sono “principi generali”, di carattere contestuale, e “principi operativi” orientati invece alle azioni effettive da mettere in campo nei prossimi anni:

Principi generali

1. Consapevolezza, competenza ed empowerment
Tutte le parti interessate devono comprendere quali sono i rischi effettivi per la sicurezza digitale e devono imparare a gestirli. Le organizzazioni devono essere consapevoli che la sicurezza digitale può influenzare il conseguimento dei loro obiettivi economici e sociali e che la loro gestione del rischio per la sicurezza digitale può influenzare anche gli altri attori. Esse dovrebbero avere la possibilità, attraverso la formazione e l’acquisizione delle competenze necessarie, di comprendere i rischi per aiutare a governare e valutare l’impatto potenziale delle loro decisioni sulla gestione del rischio sulla sicurezza digitale nelle loro attività e nell’ambiente digitale generale.

2. Responsabilità
Tutti devono assumersi la responsabilità per la gestione della sicurezza digitale. Le organizzazioni dovrebbero agire in modo responsabile in base ai loro ruoli, in base al contesto e alla loro capacità di agire al fine di tener conto dell’impatto potenziale delle loro decisioni sugli altri attori coinvolti. Le aziende, gli enti e i Governi dovrebbero in ogni caso riconoscere che un certo livello di rischio per la sicurezza digitale deve essere accettato per raggiungere obiettivi economici e sociali.

3. I diritti umani e i valori fondamentali
Il rischio della sicurezza digitale va gestito in modo trasparente e nel rispetto dei diritti umani e dei valori fondamentali. La gestione del rischio per la sicurezza digitale dovrebbe essere attuata compatibilmente con i diritti umani e con i valori fondamentali riconosciuti dalle società democratiche, inclusa la libertà di espressione, il libero flusso delle informazioni, la riservatezza delle informazioni, la tutela della privacy e dei dati personali; essa deve essere basata su una condotta etica che rispetti e riconosca i legittimi interessi degli altri e della società nel suo insieme. Le organizzazioni mirino quindi ad avere una politica generale di trasparenza sulle loro pratiche e sulle loro procedure di gestione del rischio.

4. Cooperazione
Serve cooperazione anche a livello transfrontaliero. L’interconnessione globale crea interdipendenze tra le parti interessate e necessita di cooperazione in materia di digital security risk management: essa dovrebbe avvenire in maniera trasversale includendo governi, pubbliche amministrazioni e organizzazioni private; infine dovrebbe estendersi anche oltre i confini territoriali di ogni singolo paese, abbracciando forme di partnership transnazionali.

Principi operativi

5. la valutazione del rischio e ciclo di trattamento
I leader e i decision maker dovrebbero garantire che la digital security venga amministrata sulla base della valutazione continuativa del rischio. La valutazione dei rischi per la sicurezza digitale dovrebbe essere effettuata come un processo sistematico e ciclico contuninativo. Le organizzazioni dovrebbero valutare le possibili conseguenze delle minacce sulla vulnerabilità delle attività economiche e sociali in campo e informare i decision maker per il trattamento del rischio. Quest’ultimo dovrebbe mirare a ridurre le problematiche ad un livello relativamente accettabile, tenendo conto del potenziale impatto sugli interessi degli altri soggetti, sull’economia e sulle attività sociali. Il trattamento del rischio comprende varie opzioni: accettare, ridurre, trasferire, evitare o una combinazione di questi elementi.

6. Misure di sicurezza
Va garantito che le misure di sicurezza siano opportune e commisurate al rischio. La valutazione del rischio per la sicurezza digitale dovrebbe portare alla selezione, al funzionamento e al miglioramento delle misure di sicurezza per ridurre le problematiche al livello accettabile determinato nella valutazione del rischio e del trattamento. Le misure di sicurezza devono essere appropriate e commisurate al rischio e la loro selezione dovrebbe tener conto del loro potenziale impatto negativo e positivo sulle attività economiche e sociali che mirano a proteggere, sui diritti umani, sui valori fondamentali e sugli interessi altrui. Tutte le tipologie di azioni dovrebbero essere prese in considerazione, siano esse fisiche, digitali, o relativi a persone, processi e tecnologie coinvolte nelle attività.

7. Innovazione
I leader e decision maker devono assicurare che l’innovazione sia sempre un fattore altamente considerato. L’innovazione dovrebbe essere considerata come parte integrante dei processi di digital security: pertanto vafavorita sia nella progettazione sia nell’esecuzione delle attività economiche e sociali basate sul contesto digitale, nonché nella progettazione e nello sviluppo delle misure di sicurezza appropriate.

8. Preparazione e continuità
Venga assicurato che un piano di preparazione e di continuità sia sempre in esecuzione. Un piano di supporto e di continuità in caso di attacco sia sempre adottato al fine di ridurre gli effetti negativi degli incidenti di sicurezza e sostenere la resilienza delle attività economiche e sociali. Il piano deve individuare le misure per prevenire, individuare, rispondere e riparare i danni degli incidenti di sicurezza digitali. Le organizzazioni dovrebbero fornire processi di attribuzione dei livelli di escalation basati sulla grandezza e sulla gravità degli incidenti, nonché il loro potenziale di estendersi ad altri nell’ambienti digitale. In sintesi, procedure di notifica adeguate dovrebbero essere considerate come parte fondamentale dell’attuazione dei piani sulla digital security.

In conclusione, l’OCSE ha diffuso principi generali e operativi per la gestione della sicurezza digitale al fine di avvisare Governi, Pubbliche Amministrazioni e imprese che senza processi integrati e senza collaborazioni internazionali la prevenzione dei rischi legati alla sicurezza digitale è pressoché impossibile: la creazione di un ecosistema unitario è una priorità fondamentale per la salvaguardia dell’economia globale e della società nel suo insieme.  “Sono principi che devono rappresentare un punto di partenza per la definizione e l’attuazione di una cyber strategia a livello nazionale. L’informazione e la conoscenza sono oggi in reale patrimonio di individui, aziende e governi e garantire l’attuazione di principi di sicurezza digitale è indispensabile per preservarli dalle crescenti e sempre più sofisticate minacce informatiche” conclude Paganini.

Debutto ufficiale per Exchange Server 2016: dopo una fase di preview, Microsoft ha reso disponibile in via ufficiale la nuova versione del servizio dedicato alla gestione della posta elettronica in ambito aziendale. A caratterizzarlo è una profonda integrazione con gli strumenti cloud offerti dal gruppo di Redmond e con i tool della suite Office 365. Sono state introdotte funzionalità aggiuntive dedicate al ripristino, rafforzati i sistemi per la protezione dei dati e migliorate caratteristiche come Data Loss Prevention, Managed Availability, Automatic Recovery e Exchange Admin Center, quest’ultimo accessibile via browser Web.

]]> https://www.salpalan.it/windows-10-un-nuovo-windows-2/ Wed, 02 Sep 2015 12:35:20 +0000 http://www.salpalan.it/?p=4786 Leggi]]> “One product family, one platform, one store” è il motto scelto da Microsoft per presentare il nuovo sistema operativo. In queste poche parole sono racchiuse le motivazioni che hanno portato allo sviluppo di Windows 10: un’unica piattaforma che coprirà una famiglia di prodotti dalle caratteristiche eterogenee, attraverso nuove funzionalità, un’interfaccia rinnovata e un unico store digitale, dove gli utenti possano trovare tutte le applicazioni, sia quelle tradizionali, sia quelle ottimizzate per i dispositivi dotati di touchscreen.

Windows 10 è un nuovo Windows, perché rappresenta per Microsoft un grande cambiamento rispetto a Windows 8. Il sistema operativo è stato progettato per un mondo “mobile first, cloud first”, in cui le persone non sono più vincolate ad un determinato dispositivo, ma usano (per lavoro o per svago) una moltitudine di device. Windows 10 è quindi la prima versione veramente multipiattaforma, in quanto può essere installato non solo su smartphone, phablet, tablet, notebook, ibridi e PC, ma anche su console, grandi schermi touch e pure sui microcontrollori per la Internet of Things, come Intel Galileo. Microsoft ha confermato che Windows 10 potrà essere installato su tutti i Lumia con Windows Phone 8 (con alcune limitazioni).
Durante la keynote di presentazione, Terry Myerson (Vice Presidente della divisone Operating Systems) è stato a tal proposito estremamente chiaro e diretto: «Windows 10 è la piattaforma più globale di sempre». Nella prima preview ufficiale il discorso si è fatto ancor più chiaro: un sistema operativo per un «more personal computing» che ha il dovere di reinventare l’idea di Windows verso la logica del servizio.

Sette edizioni

Il 13 maggio 2015, Microsoft ha svelato ufficialmente il numero delle edizioni di Windows 10. Sono sette (Home, Mobile, Pro, Enterprise, Education, Mobile Enterprise e IoT Core), ognuna delle quali ottimizzata per specifici dispositivi, in modo da soddisfare le esigenze di tutte le tipologie di utenti.

Windows 10 Home: edizione desktop per PC, tablet e dispositivi 2-in-1 con Cortana, Microsoft Edge, Continuum, Windows Hello e varie app universali, tra cui quella che permette di eseguire i giochi della Xbox One.
Windows 10 Mobile: edizione per smartphone e piccoli tablet con tutte le app presenti nell’edizione Home, alle quali si aggiunge la versione touch di Office.
Windows 10 Pro: edizione desktop per PC, tablet e 2-in-1 con tutte le funzionalità dell’edizione Home, alle quali si aggiungono specifiche feature per le piccole aziende, tra cui Windows Update for Business.
Windows 10 Enterprise: edizione simile alla Pro con funzionalità specifiche per le medie e grandi organizzazioni.
Windows 10 Education: edizione simile alla Enterprise indirizzata alle scuole e alle università.
Windows 10 Mobile Enterprise: edizione per smartphone e piccoli tablet indirizzata alle aziende.
Windows 10 IoT Core: edizione specifica per i dispositivi connessi che fanno parte della Internet of Things.

Ne consegue che qualsiasi allegato ricevuto in posta elettronica DEVE essere considerato potenzialmente pericoloso, e valutato anche con l’apporto dell’intelligenza umana, dall’utente o, in casi dubbi,  da un tecnico
Le ragioni sono molteplici:

1 potrebbe essere un virus o un codice malevolo non ancora riconosciuto e di conseguenza fatto filtrare erroneamente dall’antispam e dall’antivirus
2 potrebbe essere un virus che ha infettato il computer di un vostro corrispondente che è stato aggiunto alla white list dell’antispam (su vostra richiesta o di un collega)
3 potrebbe essere un virus o un codice malevolo che vi è stato inoltrato da un ignaro collega attraverso la posta interna
4 potrebbe essere un codice realizzato ad hoc e quindi tecnicamente non un vero e proprio virus, non riconoscibile come minaccia dai sistemi antispam / antivirus.

Gli allegati potenzialmente pericolosi si riconoscono dalle icone o meglio dalle estensioni cioè la parte del nome che segue il punto (es: in DOCUMENTO.DOC l’estensione è DOC, in FOGLIO.XLS è XLS
Le estensioni pericolose più diffuse sono

1 Documenti Office (Word Excel, Powerpoint) . DOC, .DOCX, .DOT-XLS, PPT
2 Programmi eseguibili .EXE, .CMD, .BAT, .SCR, .JAR, .PIF, .COM, .DLL, .MSC, .MSI, .HTA, .MSP, JS, .PS1, .PS2, REG, .LNK, .INF
3 macro di office .DOCM, .DOTM, .XLSM, .XLTM, .XLAM, .PPTM, .POTM, .PPAM, .PPSM, .SLDM
4 File di archivio  .ZIP, .RAR perché ingannano più facilmente l’antispam e possono contenere gli altri tipi di file pericolosi

Non c’è ragione al mondo per aprire un allegato che abbia una estensione che non conosciamo (quindi che NON SIA DOC, DOCX, XLS, PDF, ZIP)
Se si riceve un allegato con una estensione diversa da queste, il livello di attenzione si deve immediatamente alzare.

Non c’è ragione al mondo per aprire un allegato di tipo eseguibile o macro (quindi che SIA EXE, CMD, BAT, SCR, JAR, WS, VBS, DOTM, XLAM, ecc.)

Un altro modo di ingannare i sistemi e gli utenti è l’uso della doppia estensione.
Se L’utente riceve un allegato che si chiama APRIMI.PDF.exe sarà portato a credere di avere a che fare con un innocuo documento PDF, in realtà è l’estensione presente DOPO il punto situato più a destra che definisce il tipo di file. Si tratta quindi di un eseguibile che con ogni probabilità sarà stato nominato in quel modo con scopi fraudolenti.

Ultimamente sta aumentando il numero di casi in cui il virus non viene allegato al messaggio, ma in quest’ultimo viene incluso un collegamento ad un sito esterno.
Se l’utente clicca sul collegamento, avvia il download del virus.

La provenienza del messaggio, in sé, non costituisce una garanzia. Tipicamente questi messaggi fraudolenti usano tecniche di mascheramento (spoofing) e di ingegneria sociale per apparire “normali”, nascondere le caratteristiche che potrebbero mettere in allarme e indurre gli utenti ad aprirli.

E’ più che mai necessaria l’attenzione e la collaborazione di tutti per innalzare il livello di consapevolezza dei rischi e dei limiti dei sistemi automatici di protezione.