Replay – Quando la digital transformation si scontra con una pandemia: affrontare le nuove sfide sfruttando il Cloud

Il 26 maggio si è tenuta la tavola rotonda dal titolo “Quando la digital transformation si scontra con una pandemia: affrontare le nuove sfide sfruttando il Cloud” durante la Cyber Security Virtual Conference 2021.

• Moderatore: Andrea Pasquinucci, PhD – Certified Information Systems Auditor (CISA), Certified Information Systems Security Professional (CISSP)
• Emiliano Casalicchio, Professore in Informatica (Computer Science) Sapienza Università di Roma
• Simone Pezzoli, Chief Information Security Officer, Autostrade
• Marco Rottigni, Chief Technical Security Officer EMEA, Qualys

Andrea Pasquinucci, PhD – Certified Information Systems Auditor (CISA), Certified Information Systems Security Professional (CISSP)

“Ci sono quattro fili d’Arianna, uno è la digital transformation alla quale assistiamo tutti i giorni: il processo sempre più invasivo e veloce di adozione di strumenti digitali, che era già in corso e che continua ad accelerare costantemente. Il secondo è il cloud che negli ultimi 2-3 anni che si è posto come il campione tecnologico per questo sviluppo. La pandemia in quanto evento eccezionale ha cambiato e stravolto molti aspetti del mondo IT. Dulcis in fundo, la problematica della sicurezza informatica: gestire e operare sul cloud ricordandosi della sicurezza dal punto di vista della confidenzialità, dell’integrità, della disponibilità ma anche dell’autenticità dei dati, delle informazioni e dei servizi.”

Emiliano Casalicchio, Professore in Informatica (Computer Science) Sapienza Università di Roma

“Credo sia doveroso capire come utilizzare il cloud nel settore della healthcare, o meglio in italiano dell’assistenza sanitaria. Dobbiamo distinguere diverse categorie di sistemi: alcuni sono già stati portati nel cloud o possono esserci portati e altri no.
Il cloud può aiutare a migliorare la sicurezza dei punti deboli della catena. La sicurezza dei sistemi healthcare può essere aumentata dal cloud, perché nel cloud è possibile implementare sistemi efficaci per l’anomaly detection e l’intrusion detection, modelli e algoritmi per la prevenzione e mitigazione degli attacchi. La sfida per il futuro prossimo, in cui avremo sempre più sistemi spostati verso il cloud e dispositivi impiantabili, macchinari degli ospedali interconnessi e collegati ai sistemi di diagnostica e memorizzazione delle immagini, è quella di studiare e realizzare delle metodologie, modelli e algoritmi che permettano di implementare nel cloud i sistemi di self protection. Bisogna creare sistemi che monitorino lo stato dei dispositivi che non si trovano nel cloud e che permettano di identificare possibili attacchi o anomalie e per prendere misure di prevenzione e protezione.”

Simone Pezzolli, Chief Information Security Officer, Autostrade

“Un approccio alla cyber security orientato a 360°, per raggiungere il mondo IT, quello dell’ufficio, quello periferico e gestire tutto insieme. Ciò è sicuramente molto complesso, poiché si lavora persone che hanno delle competenze completamente differenti – pensiamo all’impiantista e alle persone che lavorano su questi impianti e alla loro manutenzione, all’installazione delle videocamere affinché le attività di videosorveglianza avvengano in maniera efficace – quindi la sicurezza su questa parte di business è molto difficile da applicare. Ci troviamo a confrontarci con una strumentazione completamente diversa, con protocolli di comunicazione diversi da quelli della IT. L’obiettivo è implementare in primis delle strategie di segregazione dei dati in modo che i vari ambienti non vadano a creare delle disfunzionalità, in caso di un incidente da una o dall’altra parte, e gli strumenti di monitoraggio, che ci permettono di controllare quello che avviene e prevenire quanto più possibile eventuali problematiche e circoscriverle con delle strategie di segregazione.
Altro tema che fa parte dell’equazione è quello dell’interoperabilità delle infrastrutture, come C-Roads, ITS (Intelligent Transport o Transportation Systems), quindi le macchine intelligenti o a guida autonoma. Questa interoperabilità renderà l’autostrada, quindi l’infrastruttura, un luogo dove questi canali verranno messi a disposizione, sia per l’autovettura, per l’autoveicolo,per gli utenti con i propri strumenti digitali, per le smart cities. Tutto quello che è alla fine intelligente viene collegato, l’Internet of Things diventa strumento abilitante per questi player all’interno della delle infrastrutture. Si tratta di un meccanismo in divenire che stiamo andando a definire, utilizziando delle best practice internazionali, IEC 62443 per esempio per la parte periferica, noi ci siamo certificati ISO 27001 sulla parte diciamo IT dei servizi erogati lato enterprise IT.”

Marco Rottigni, Chief Technical Security Officer EMEA, Qualys

“Shift left security non ha nessuna connotazione politica, ma si tratta di avvicinarsi quanto più possibile all’origine del problema. L’origine del problema sono le vulnerabilità che vengono codificate nelle applicazioni. Qualche tempo fa leggevo il bellissimo report appena uscito di Verizone, “Data Breach Investigations Report” per il 2021, che fornisce due informazioni che mi hanno un stupito. La prima è che, per la prima volta nella storia, gli incidenti di compromissione dei sistemi cloud battono on-premises. Quindi ci sono state più compromissioni a distanza cloud rispetto a quelle on-premises. La seconda è che al 80% le breach hanno utilizzato come vettore per l’attacco web applications. Questo significa che quella è la superficie vulnerabile, le web application, che vengono sviluppate con dei processi che sono più o meno agili e efficaci, ma tutte iniziano con la codifica e finiscono con la messa in produzione. Nel caso del più recente, il paradigma DevOps, si assiste a un loop, non termina la vita dell’applicazione con la sua messa in produzione ma si ha un processo di feedback costante verso il tema dello sviluppo, con integrazione costante rispetto al feedback fornito da chi le applicazione le usa. Shift left significa spostare i controlli di sicurezza quanto più vicini all’origine di questo di questo ciclo. Se riuscissimo a fare dei controlli comportamentali dell’applicazione non solo quando arriva in produzione, ma nel momento in cui c’è il primo semilavorato, la prima semi codifica, ecco che riusciamo a identificare la superficie vulnerabile con larghissimo anticipo, almeno quella più eclatante, la più pericolosa. Riusciamo a dare tutte le informazioni e l’autonomia che serve agli sviluppatori per chiudere le falle in tempo, con una trasparenza della security. È questo il vero segreto, perché la security è spesso percepita come un ostacolo che genera negli sviluppatori scarsa agilità nel supportare i processi di business, e si cerca di aggirarla.”