Analisi del rischio.

Analisi del rischio.

Un defacement, un furto di dati o di identità, carte di credito trafugate, SIM clonate, algoritmi reversati, password craccate, lettera o testamento. In un mondo che di problemi ne ha tanti, la sicurezza informatica, fintanto che non tocchi il serverino locale del pronto soccorso ove attendo ansioso, non fa notizia. Non ce ne preoccupiamo realmente. Dirigenti del settore finanziario e bancario hanno sempre tanto ripetuto come sia, dopotutto, solo un danno di immagine. L'importante è trasferire il rischio: analizzarlo, quantificarlo, categorizzarlo, produrre reportistica, memo, e-mail fiume con 1.000 righe di back-quoting, riunioni straripanti che nemmeno la Piazza Rossa e scarica-barile istituzionalizzato di refernte in referente, di quadro in quadro, dirigente in dirigente. Ma, alla fine, l'importante è trasferire questo rischio. Ad esempio sulle compagnie assicurative. E sull'ufficio legale. E sulle pubbliche relazioni. Non dimentichiamo il marketing. E paghiamo assolutamente di più lo staff che confeziona le note stampa rispetto agli sviluppatori dell'ultimo rilascio del cuore della intranet aziendale. Vogliamo dire, non è che abbiamo le porte di rete aperte in sala d'aspetto o il Wi-Fi per gli ospiti che contiene server multi-homed con la VLAN dei server Internet. No. Certo. E allora abbiamo imparato a trasfrire le ansie. Quale miglior modo di nascondere il problema che magnificarlo con una altisonante soluzione? Certo, questo non avviene solamente in Italia, ma, come spesso accade, da noi diventa aneddoto gustoso. Come gli appliance di SQL filtering per poco meno di due milioni di euro che, nonstante siano aggirati nelle prime tre ore di test dal Tiger Team prestato da una sussidiaria, sono regolarmente acquistati per onorare il trasferimento del rischio: no! Non abbiamo i database leggibili, manipolabili e conquistabili da chiunque si attacchi a una torretta: abbiamo gli appliance che analizzano e bloccano tutto il traffico SQL di tipo malicious! E questi dispositivi non lavorano solo a milioni di pacchetti al secondo, no! Hanno anche white paper commentate da analisti di Gartner. Come, come? Non funzionano frammentando i datgrammi come scritto in un documento del 1998 per non diminuire il throughput scritto nel white paper? Ma perchè qualcuno dovrebbe voler frammentare i datagrammi IP? Certo! potremmo migliorare anche l'applicazione web che dialoga con il DB. Vogliamo dire, sono anni che quei noiosi ricercatori indipendenti ci tediano con le injection. Ogni protocollo o feature che ci interessi e loro se ne escono con una injection relativa! Si, dovremmo proprio migliorare il codice che gira sui nostri server. Però, come trasferire il rischio? Con un WAF! Insomma, erano anni che non avevamo appliance o sistemi con un nuovo TLA (Three Letter Acronym). E poi, anche questo arriva corredato di una fenomenale analisi comparativa. Compriamolo.