Non è certo un mistero che i cyber attacchi siano all’ordine del giorno.


I cyber criminali cercano e sfruttano continuamente nuove problematiche per essere più efficaci nelle loro azioni criminali.


A questo si aggiunge la rapida evoluzione dei sistemi informatici ormai largamente utilizzati, che dovrebbero essere aggiornati tempestivamente.


Se le nostre reti ed i sistemi che le compongono crescono rapidamente, può diventare complesso identificare e tenere sotto controllo le eventuali problematiche che potrebbero esporci a cyber attacchi e perdite di dati.


Vediamo quindi quali sono le tre verifiche essenziali che dovremmo effettuare periodicamente sui sistemi informatici.



1) VULNERABILITY ASSESSMENT


Il Vulnerability Assessment è la verifica puntuale delle problematiche (vulnerabilità) di cui sono affetti i sistemi informatici dell’azienda.


Tra queste sono incluse l’assenza di aggiornamenti dei sistemi o delle applicazioni, mis-configurazioni, difetti di progettazione, protocolli errati, condivisioni dannose, utenze non più in utilizzo, ecc.


Queste problematiche, se sfruttate da un attaccante malintenzionato, potrebbero portare alla violazione dei sistemi con conseguente infezione da parte di malware o perdita di dati.


È importante eseguire un approfondito Vulnerability Assessment dei sistemi aziendali (server, pc, dispositivi mobili,) almeno una volta all’anno, meglio se più frequentemente.


La gestione continua e regolare del ciclo di verifica delle vulnerabilità viene indicata con il termine Vulnerability Management.


Questa rappresenterebbe l’ideale per il monitoraggio dei sistemi e l’identificazione tempestiva delle problematiche.


Ma richiede anche risorse dedicate a questo processo e in mancanza di queste risorse, è essenziale affidarsi ad un buon esperto di Cyber Security che possa effettuare un Vulnerability Assessment dei sistemi almeno ogni 6-12 mesi.



2) PENETRATION TEST


Il Penetration Test è la verifica della sfruttabilità delle vulnerabilità rilevate con il Vulnerability Assessment.


In pratica, se il Vulnerability Assessment scova le problematiche dei sistemi, con il Penetration Test si testa quanto e come queste potrebbero essere utilizzate dai cyber criminali per violare gli stessi sistemi.


Si tratta di un test complesso, condotto dal punto di vista di un potenziale attaccante simulando l’attacco informatico di un utente malintenzionato (pur assicurando di non apportare danni reali ai sistemi che si stanno testando, ma valutandone gli effetti potenziali).


Viene effettuato da Ethical Hackers con una conoscenza approfondita dei sistemi e dei protocolli.


Sebbene spesso il Vulnerability Assessment sembri una verifica sufficiente, è solo tramite il Penetration Test che si può valutare davvero il grado di esposizione dell’azienda ai cyber attacchi, ma anche i dati ed i sistemi che un criminale potrebbe raggiungere una volta ottenuto l’accesso.


È essenziale effettuare entrambe le verifiche ed affidarsi ad esperti Cyber Security di lunga data che saranno in grado di assicurare alta affidabilità pur conducendo test efficaci.



3) CODE REVIEW


La Code Review è la verifica del codice con cui sono scritte applicazioni software e siti web alla ricerca di vulnerabilità e di problematiche di qualità che potrebbero essere sfruttate per violare questi sistemi o che potrebbero in ogni caso influire negativamente sul corretto funzionamento.


La revisione del codice viene quindi eseguita per scovare difetti, funzionalità errate o pericolose, eventuale presenza di malware, ma anche per migliorare la qualità, le prestazioni del software e verificare la compatibilità con gli standard di sicurezza.


È molto importante che questa attività venga condotta da personale differente rispetto all’autore o agli autori del codice oggetto di verifica, e che chi la esegue abbia un’ottima conoscenza dei sistemi e dei linguaggi di programmazione.


Spesso ignorata tra le verifiche dei sistemi informatici, l’attività di Code Review dovrebbe invece essere obbligatoria in particolare in presenza di software critico, applicazioni (incluse quelle mobili) che trattano dati sensibili e portali di e-commerce.


È buona pratica eseguire la revisione del codice prima che le applicazioni e i siti vengano messi in esercizio, per poter mitigare le eventuali problematiche scovate.


Ma è altresì importante ripetere la verifica periodicamente per assicurare che non siano presenti nuovi difetti (come ad esempio un malware iniettato nel codice).


Buon lavoro!