WEBVTT 00:00:00.000 --> 00:00:01.439 Fare attività di Bug Bounty è 00:00:01.439 --> 00:00:03.279 una cosa che parte prima di 00:00:03.279 --> 00:00:06.480 attivare effettivamente l'hacking da parte di 00:00:06.480 --> 00:00:09.039 hacker etici e parte con una pianificazione, 00:00:09.919 --> 00:00:12.400 cioè l'azienda deve definire obiettivi chiari 00:00:12.400 --> 00:00:14.719 e preparare un approccio adeguato. 00:00:15.214 --> 00:00:18.175 Quindi bisogna capire che asset andare 00:00:18.175 --> 00:00:20.654 a proteggere, cos'è che si vuole proteggere, 00:00:20.655 --> 00:00:22.335 quali sono le tipologie di vulnerabilità 00:00:22.335 --> 00:00:24.494 che si vogliono gestire e poi 00:00:24.494 --> 00:00:26.734 direi anche come gestisci ogni volta 00:00:26.734 --> 00:00:27.774 che trovi una vulnerabilità. 00:00:28.050 --> 00:00:30.129 Cioè tu internamente come azienda cosa 00:00:30.129 --> 00:00:32.289 fai quando la nostra piattaforma noi 00:00:32.289 --> 00:00:33.729 ti segnaliamo una vulnerabilità? 00:00:33.729 --> 00:00:35.170 E lì bisogna mettere in piedi 00:00:35.170 --> 00:00:35.890 un processo. 00:00:37.409 --> 00:00:39.250 Salve a tutti, siete all'ascolto di 00:00:39.250 --> 00:00:41.570 INSiDER - Dentro la Tecnologia, 00:00:41.570 --> 00:00:43.854 un podcast di Digital People e 00:00:43.854 --> 00:00:45.054 io sono il vostro host, 00:00:45.054 --> 00:00:46.335 Davide Fasoli. 00:00:52.815 --> 00:00:55.375 Oggi parleremo con UNGUESS di Cyber Sicurezza, 00:00:55.375 --> 00:00:57.854 e più nello specifico di Bug Bounty, 00:00:57.854 --> 00:00:59.689 un approccio nel quale le aziende 00:00:59.689 --> 00:01:02.170 offrono ricompense ad hacker etici per 00:01:02.170 --> 00:01:04.890 la segnalazione di vulnerabilità software con 00:01:04.890 --> 00:01:07.209 l'obiettivo di correggerle prima che possano 00:01:07.209 --> 00:01:09.530 essere sfruttate da malintenzionati. 00:01:09.609 --> 00:01:11.049 Prima di passare alle notizie che 00:01:11.049 --> 00:01:12.650 più ci hanno colpito questa settimana, 00:01:12.885 --> 00:01:14.724 vi ricordo che potete seguirci su 00:01:14.724 --> 00:01:18.484 Instagram a @dentrolatecnologia, iscrivervi alla newsletter 00:01:18.484 --> 00:01:20.325 e ascoltare un nuovo episodio ogni 00:01:20.325 --> 00:01:22.245 sabato mattina su Spotify, 00:01:22.245 --> 00:01:25.284 Apple Podcast, YouTube Music oppure direttamente 00:01:25.284 --> 00:01:26.405 sul nostro sito. 00:01:39.420 --> 00:01:41.739 Un reattore sperimentale francese per lo 00:01:41.739 --> 00:01:43.944 studio della fusione nucleare è riuscito 00:01:43.944 --> 00:01:45.864 a confinare idrogeno in stato di 00:01:45.864 --> 00:01:47.864 plasma per una durata record di 00:01:47.864 --> 00:01:50.185 22 minuti e 17 secondi, 00:01:50.265 --> 00:01:53.465 sorpassando così la concorrenza della ricerca cinese. 00:01:53.465 --> 00:01:55.625 Il reattore, soprannominato WEST, 00:01:55.859 --> 00:01:57.540 che ha raggiunto tale record, 00:01:57.540 --> 00:01:59.140 è stato di recente aggiornato con 00:01:59.140 --> 00:02:02.180 l'introduzione del tungsteno per il divertore, 00:02:02.180 --> 00:02:04.500 ovvero una componente essenziale per la 00:02:04.500 --> 00:02:06.900 protezione delle pareti della camera interna 00:02:06.900 --> 00:02:09.379 dall'elevata temperatura raggiunta dal plasma. 00:02:09.555 --> 00:02:11.954 Il tungsteno ha infatti una resistenza 00:02:11.954 --> 00:02:14.514 superiore al calore, il che favorisce 00:02:14.514 --> 00:02:16.275 oltre che una maggior sicurezza, 00:02:16.354 --> 00:02:18.114 anche più efficienza nel consumo di 00:02:18.114 --> 00:02:20.354 combustibile per un minore assorbimento di 00:02:20.354 --> 00:02:21.394 atomi di idrogeno. 00:02:21.680 --> 00:02:24.080 Il risultato raggiunto dal reattore WEST 00:02:24.080 --> 00:02:27.200 contribuirà ulteriormente nella serie di esperimenti 00:02:27.200 --> 00:02:29.200 che attualmente vengono svolti in tutto 00:02:29.200 --> 00:02:30.800 il mondo per affinare e studiare 00:02:30.800 --> 00:02:33.120 nuove soluzioni che potranno essere applicate 00:02:33.120 --> 00:02:35.544 nel progetto internazionale ITER. 00:02:38.264 --> 00:02:40.424 Nella corsa alla computazione quantistica, 00:02:40.424 --> 00:02:42.745 Microsoft, che finora non ha mai 00:02:42.745 --> 00:02:44.984 avuto un ruolo di particolare rilievo, 00:02:44.985 --> 00:02:46.584 ha presentato un progetto che potrebbe 00:02:46.584 --> 00:02:48.584 segnare un punto di svolta nel settore. 00:02:48.870 --> 00:02:51.189 Si tratta di Majorana 1, 00:02:51.189 --> 00:02:53.989 un chip quantistico che potenzialmente potrebbe 00:02:53.989 --> 00:02:56.150 gestire milioni di qubit in uno 00:02:56.150 --> 00:02:57.830 spazio estremamente ridotto. 00:02:57.830 --> 00:03:00.549 Di chip qubit e chip quantistici 00:03:00.549 --> 00:03:02.229 ne abbiamo parlato diverse volte, 00:03:02.495 --> 00:03:05.935 sottolineando soprattutto i limiti attuali della tecnologia, 00:03:05.935 --> 00:03:07.694 tra cui la scarsa precisione, 00:03:07.854 --> 00:03:09.614 la necessità di operare in ambienti 00:03:09.614 --> 00:03:12.014 vicini allo zero assoluto e l'incapacità 00:03:12.014 --> 00:03:14.974 di scalare esponenzialmente il numero di qubit. 00:03:14.974 --> 00:03:16.814 Il chip di Microsoft può essere 00:03:16.814 --> 00:03:19.240 considerato una svolta perché risolve due 00:03:19.240 --> 00:03:21.800 di questi problemi: utilizzando come particelle 00:03:21.800 --> 00:03:24.759 non gli elettroni, ma delle quasi-particelle 00:03:24.759 --> 00:03:27.000 di Majorana, che come risultato rendono 00:03:27.000 --> 00:03:29.479 i qubit naturalmente più resistenti alle 00:03:29.479 --> 00:03:31.974 interferenze e di conseguenza agli errori. 00:03:31.974 --> 00:03:33.735 Tuttavia è ancora necessario che il 00:03:33.735 --> 00:03:36.615 chip lavori in condizioni di temperature bassissime, 00:03:36.615 --> 00:03:39.974 per beneficiare delle proprietà delle particelle utilizzate. 00:03:40.055 --> 00:03:41.974 Risolvendo i problemi legati agli errori 00:03:41.974 --> 00:03:43.974 e all'instabilità dei qubit però, 00:03:44.250 --> 00:03:46.569 il sistema di Microsoft è estremamente 00:03:46.569 --> 00:03:48.810 scalabile fino a milioni di qubit, 00:03:48.810 --> 00:03:50.250 e in spazi ridotti. 00:03:50.250 --> 00:03:52.250 L'azienda inoltre ha progettato questo chip 00:03:52.250 --> 00:03:53.849 per un utilizzo ibrido, 00:03:53.849 --> 00:03:56.009 dove una GPU tradizionale si occupa 00:03:56.009 --> 00:03:58.409 di impostare, delegare e interpretare i 00:03:58.409 --> 00:03:59.930 calcoli al chip quantistico, 00:03:59.930 --> 00:04:02.705 per poi restituirli nella forma classica. 00:04:02.705 --> 00:04:05.264 In questo Majorana potrà essere facilmente 00:04:05.264 --> 00:04:07.905 integrato con i supercomputer esistenti e 00:04:07.905 --> 00:04:10.145 realizzare calcoli che allo stato attuale 00:04:10.145 --> 00:04:11.745 sarebbero impensabili. 00:04:23.199 --> 00:04:25.024 Il nostro mondo digitale è sempre 00:04:25.024 --> 00:04:27.345 più interconnesso e con questo cresce 00:04:27.345 --> 00:04:29.185 anche il rischio di attacchi informatici 00:04:29.185 --> 00:04:31.104 che minacciano dati personali, 00:04:31.104 --> 00:04:33.904 servizi essenziali e infrastrutture critiche. 00:04:33.904 --> 00:04:34.944 E in un panorama in cui 00:04:34.944 --> 00:04:36.625 la sicurezza non è più un'opzione 00:04:36.625 --> 00:04:38.680 ma una necessità, le aziende devono 00:04:38.680 --> 00:04:41.000 trovare nuovi strumenti ed approcci per 00:04:41.000 --> 00:04:43.159 proteggere i propri sistemi e garantire 00:04:43.159 --> 00:04:45.159 la fiducia di chi li utilizza. 00:04:45.159 --> 00:04:46.919 Per capire come affrontare queste sfide 00:04:46.919 --> 00:04:49.000 e quali strategie possono davvero fare 00:04:49.000 --> 00:04:51.479 la differenza, ne parliamo con Luca Manara, 00:04:51.479 --> 00:04:52.839 CEO di UNGUESS. 00:04:53.334 --> 00:04:54.535 Benvenuto Luca. 00:04:54.694 --> 00:04:55.974 Grazie e benvenuto. 00:04:55.974 --> 00:04:57.014 Grazie anche a voi. 00:04:57.254 --> 00:04:59.014 Questa è la terza puntata che 00:04:59.014 --> 00:05:01.974 realizziamo con UNGUESS, abbiamo parlato con 00:05:01.974 --> 00:05:05.175 Alessandro Caliandro di UX e UI, 00:05:05.175 --> 00:05:07.930 quindi esperienza utente e interfaccia utente. 00:05:07.930 --> 00:05:11.209 Poi abbiamo parlato con Edoardo Vannutelli 00:05:11.209 --> 00:05:14.889 di test di performance di siti web, 00:05:14.889 --> 00:05:18.169 di programmi software e oggi parliamo 00:05:18.169 --> 00:05:19.769 invece di cybersicurezza. 00:05:20.514 --> 00:05:22.754 Qual è quindi il legame con 00:05:22.754 --> 00:05:24.834 questi temi che apparentemente sono molto 00:05:24.834 --> 00:05:27.154 distanti l'uno dall'altro, perché UNGUESS si 00:05:27.154 --> 00:05:29.394 occupa di queste tre tematiche? 00:05:29.875 --> 00:05:33.394 UNGUESS ha un legame forte su 00:05:33.394 --> 00:05:35.810 queste unit, è un legame tecnologico. 00:05:35.810 --> 00:05:38.449 UNGUESS è una startup nata circa 00:05:38.449 --> 00:05:40.129 una decina di anni fa che 00:05:40.129 --> 00:05:42.449 ha sviluppato una soluzione in "crowdsourcing" 00:05:42.449 --> 00:05:44.770 per testare prodotti digitali. 00:05:45.089 --> 00:05:47.649 Siamo partiti con il mondo della 00:05:47.649 --> 00:05:49.649 qualità del software, quindi testare per 00:05:49.649 --> 00:05:52.305 trovare e identificare malfunzionamenti, 00:05:52.305 --> 00:05:53.985 che è quello di cui parlava 00:05:53.985 --> 00:05:55.586 anche Edoardo, un pezzo di parte 00:05:55.586 --> 00:05:57.904 dei malfunzionamenti sono legate alle performance 00:05:57.904 --> 00:05:58.944 del software. 00:05:59.264 --> 00:06:03.025 Poi abbiamo aggiunto la parte di 00:06:03.025 --> 00:06:04.959 testing collegato alla UX, 00:06:04.959 --> 00:06:06.439 UI, quello di cui ha parlato 00:06:06.439 --> 00:06:08.040 Alessandro Caliandro, che è fatto con 00:06:08.040 --> 00:06:10.120 un "crowd" di persone che vengono 00:06:10.120 --> 00:06:13.000 interrogate per accogliere feedback di esperienza 00:06:13.000 --> 00:06:14.120 d'uso sostanzialmente. 00:06:15.400 --> 00:06:17.720 Da ultima è nata invece UNGUESS Security, 00:06:17.720 --> 00:06:19.079 che è la terza business unit 00:06:19.080 --> 00:06:22.395 che sempre usa il modello in crowdsourcing, 00:06:22.395 --> 00:06:24.235 ma con degli hacker etici, 00:06:24.235 --> 00:06:25.382 quindi è un terzo, 00:06:25.382 --> 00:06:27.834 terza tipologia di crowd, 00:06:27.995 --> 00:06:33.115 sono hacker etici che identificano vulnerabilità 00:06:33.115 --> 00:06:36.319 su prodotti digitali tramite la nostra piattaforma. 00:06:36.560 --> 00:06:37.519 Di solito praticamente con il nome 00:06:37.519 --> 00:06:39.199 dei programmi di Bug Bounty. 00:06:39.680 --> 00:06:41.199 Ok, quindi quando si parla di 00:06:41.199 --> 00:06:43.759 crowdsourcing si fa riferimento ad un 00:06:43.759 --> 00:06:46.504 gruppo di persone, una community che 00:06:46.504 --> 00:06:49.225 si occupa in modo specifico dei 00:06:49.225 --> 00:06:50.264 temi che hai citato, 00:06:50.264 --> 00:06:53.544 quindi sono esperti in quest'ambito. 00:06:53.544 --> 00:06:54.824 Sì sì, corretto. 00:06:55.225 --> 00:06:58.024 Ok, approfondendo quindi il tema di oggi, 00:06:58.024 --> 00:06:59.384 quello della cyber security, 00:06:59.384 --> 00:07:02.360 la cyber sicurezza, penso che prima 00:07:02.360 --> 00:07:05.720 di addentrarci nell'aspetto un po' più tecnologico, 00:07:05.720 --> 00:07:08.439 tecnico, della questione, abbia senso porre 00:07:09.000 --> 00:07:10.279 una base normativa, ecco, 00:07:10.279 --> 00:07:11.479 per quello che stiamo dicendo, 00:07:11.479 --> 00:07:13.079 perché se da una parte è vero, 00:07:13.079 --> 00:07:16.335 indubbiamente, che le aziende stesse capiscono 00:07:16.335 --> 00:07:21.295 l'importanza di proteggersi, da avere appunto 00:07:21.295 --> 00:07:24.014 una sicurezza anche in senso cyber, 00:07:24.335 --> 00:07:26.254 ci sono anche dei requisiti normativi, 00:07:26.495 --> 00:07:29.455 a livello europeo, nati proprio per 00:07:30.329 --> 00:07:34.170 l'importanza che ricoprono questi sistemi. 00:07:34.329 --> 00:07:35.689 E a proposito di questo, 00:07:36.730 --> 00:07:38.089 la base di tutto è la 00:07:38.089 --> 00:07:42.089 direttiva NIS 2 del Cyber Resilience Act. 00:07:42.644 --> 00:07:44.165 E quindi ci racconti che impatto 00:07:44.165 --> 00:07:46.644 avrà questa direttiva sulle aziende e 00:07:46.644 --> 00:07:48.165 le pubbliche amministrazioni? 00:07:48.884 --> 00:07:50.564 La direttiva NIS 2 è una 00:07:50.564 --> 00:07:53.524 direttiva che è stata pubblicata un 00:07:53.524 --> 00:07:56.129 paio d'anni fa, viene dalla... 00:07:56.129 --> 00:07:59.250 evolve dalla direttiva NIS del 2016 00:07:59.649 --> 00:08:02.129 ed è stata adottata dall'Unione Europea 00:08:02.129 --> 00:08:04.449 per rafforzare la sicurezza delle infrastrutture 00:08:04.449 --> 00:08:07.170 critiche delle aziende in certi settori strategici. 00:08:07.384 --> 00:08:10.264 È una direttiva che prevede sostanzialmente 00:08:10.264 --> 00:08:12.584 entrata in vigore nel 2023 e 00:08:12.985 --> 00:08:15.544 le principali novità rispetto a quelle 00:08:15.544 --> 00:08:18.345 precedenti sono che si amplia il 00:08:18.345 --> 00:08:20.104 campo di applicazione, ci sono più 00:08:20.104 --> 00:08:22.104 settori coinvolti come la sanità, 00:08:22.669 --> 00:08:24.509 le telecomunicazioni, i trasporti, 00:08:24.509 --> 00:08:26.910 cioè quelle aziende nei settori strategici 00:08:27.149 --> 00:08:30.350 e include, oltre che alle grandissime, 00:08:30.350 --> 00:08:32.669 anche le medie imprese nel loro 00:08:32.669 --> 00:08:33.950 ambito di applicabilità. 00:08:34.110 --> 00:08:36.715 Impone dei requisiti di sicurezza stringenti, 00:08:36.715 --> 00:08:39.754 più stringenti rispetto alle normative precedenti 00:08:40.554 --> 00:08:42.394 per andare a gestire il rischio, 00:08:42.634 --> 00:08:44.154 tra cui appunto anche il monitoraggio 00:08:44.154 --> 00:08:45.754 e la gestione delle vulnerabilità e 00:08:45.754 --> 00:08:48.795 poi impone anche delle implementazioni di 00:08:48.795 --> 00:08:51.029 piani di continuità operativa a fronte 00:08:51.029 --> 00:08:55.509 di crisi informatiche derivanti da attacchi. 00:08:55.830 --> 00:08:57.350 Ci sono anche un altro paio 00:08:57.350 --> 00:08:59.029 di punti importanti su questa normativa 00:08:59.029 --> 00:09:01.590 che obbliga alla segnalazione degli incidenti 00:09:01.590 --> 00:09:03.269 con dei tempi precisi, 00:09:03.269 --> 00:09:05.894 quindi notifiche entro 24 ore o 00:09:05.894 --> 00:09:08.935 72 ore alle autorità che fanno 00:09:08.935 --> 00:09:11.894 riferimento e sanzioni ovviamente come tutte 00:09:11.894 --> 00:09:14.134 le normative, ci sono delle sanzioni 00:09:14.134 --> 00:09:15.975 che possono raggiungere fino al 2% 00:09:16.215 --> 00:09:18.855 del fatturato dell'azienda, quindi insomma è 00:09:18.855 --> 00:09:22.440 una direttiva che amplia e irrigidisce 00:09:22.440 --> 00:09:23.000 se vuoi... 00:09:23.000 --> 00:09:26.120 chiede misure più attente alla sicurezza 00:09:26.120 --> 00:09:28.440 a medio e grandi aziende europee. 00:09:28.440 --> 00:09:31.080 L'impatto sulle aziende è sicuramente un aumento... 00:09:31.320 --> 00:09:33.159 devono investire di più in sicurezza, 00:09:33.985 --> 00:09:36.705 in cyber security, aggiornare sistemi, 00:09:36.705 --> 00:09:39.825 software, processi in modo tale che 00:09:39.825 --> 00:09:42.785 possano gestire la cyber security in 00:09:42.785 --> 00:09:44.065 un mondo più moderno. 00:09:45.345 --> 00:09:47.665 Sicuramente avrà un impatto anche sulla formazione, 00:09:48.440 --> 00:09:51.000 c'è da formare molte persone sulla 00:09:51.000 --> 00:09:53.159 consapevolezza nella sicurezza informatica, 00:09:53.159 --> 00:09:55.720 quindi persone che stanno all'interno delle aziende, 00:09:55.720 --> 00:09:57.079 che devono sempre stare attenti a 00:09:57.079 --> 00:09:59.159 tutte le tipologie di attacchi che 00:09:59.159 --> 00:10:00.360 possono ricevere le stesse aziende e 00:10:00.360 --> 00:10:02.279 le stesse persone come gli attacchi 00:10:02.279 --> 00:10:02.839 di phishing. 00:10:03.514 --> 00:10:06.315 E poi un terzo impatto secondo 00:10:06.315 --> 00:10:08.235 me è la gestione delle crisi 00:10:08.235 --> 00:10:09.674 e risposta agli incidenti, 00:10:09.674 --> 00:10:12.634 cioè ci sono procedure o metodologie 00:10:12.634 --> 00:10:14.715 o attività da fare nel momento 00:10:14.715 --> 00:10:15.995 in cui succede un incidente. 00:10:16.440 --> 00:10:19.639 Oggi molte aziende sono impreparate a 00:10:19.639 --> 00:10:21.320 potenziali incidenti, in realtà qua si 00:10:21.320 --> 00:10:22.840 chiede di prepararsi prima. 00:10:23.399 --> 00:10:26.440 Ok, e in questa tua risposta 00:10:26.440 --> 00:10:28.600 hai fatto riferimento alle vulnerabilità, 00:10:28.919 --> 00:10:32.495 quindi ci spieghi che cos'è una vulnerabilità? 00:10:32.815 --> 00:10:35.294 Dovrebbe essere il cosiddetto bug ecco. 00:10:36.334 --> 00:10:40.975 Vulnerabilità può prendere aspetti di diverso tipo. 00:10:40.975 --> 00:10:44.095 Una vulnerabilità è qualsiasi breccia in 00:10:44.095 --> 00:10:46.950 un sistema che permetta a un 00:10:46.950 --> 00:10:50.550 potenziale malintenzionato di fare dei danni 00:10:50.550 --> 00:10:54.389 che possono essere tipicamente estrarre dei dati, 00:10:54.389 --> 00:10:56.070 rubare dei dati, oppure possono essere 00:10:56.070 --> 00:10:58.894 anche bloccare alcuni processi dell'azienda per 00:10:58.894 --> 00:11:00.335 chiedere riscatti e così via. 00:11:00.335 --> 00:11:02.735 Quindi i malintenzionati hanno l'obiettivo di 00:11:02.735 --> 00:11:05.054 guadagnare da quegli attacchi, 00:11:05.294 --> 00:11:06.975 e guadagnare soldi da quegli attacchi, 00:11:06.975 --> 00:11:09.054 e quindi cercano le vulnerabilità. 00:11:09.054 --> 00:11:10.575 Le vulnerabilità io le divido in 00:11:10.575 --> 00:11:13.250 due macro mondi, quelle tecniche, 00:11:13.250 --> 00:11:16.370 cioè quelli che sono ascrivibili a 00:11:16.610 --> 00:11:20.450 elementi tecnici tecnologici come vulnerabilità sulla 00:11:20.450 --> 00:11:23.889 propria intranet a cui si accede 00:11:23.889 --> 00:11:25.490 quando viene esposta su internet, 00:11:26.065 --> 00:11:28.465 oppure possono essere vulnerabilità sulle persone, 00:11:28.465 --> 00:11:30.785 cioè non sono propriamente vulnerabilità ma 00:11:30.785 --> 00:11:32.785 anche le persone sono vulnerabili. 00:11:32.865 --> 00:11:34.465 Quindi gli attacchi phishing, 00:11:34.465 --> 00:11:37.264 gli attacchi che permettono di entrare 00:11:37.264 --> 00:11:39.345 in un sistema facendo leva su 00:11:39.419 --> 00:11:41.019 dei dati per esempio condivisi da 00:11:41.019 --> 00:11:44.299 alcune persone oppure dalla scarsa preparazione 00:11:44.299 --> 00:11:47.980 delle persone agli attacchi informatici. 00:11:48.379 --> 00:11:50.459 Sono attacchi di social... 00:11:51.100 --> 00:11:53.179 sociali se vuoi, sono attacchi sulle persone... 00:11:53.179 --> 00:11:54.785 Social engineering. 00:11:54.785 --> 00:11:57.424 Sì, ecco, non sono del troppo 00:11:57.424 --> 00:12:00.865 differenti da quando provano a venire 00:12:00.865 --> 00:12:02.705 a casa delle persone più anziane, 00:12:02.705 --> 00:12:05.664 alcune persone, per fare delle truffe, 00:12:05.664 --> 00:12:05.825 no? 00:12:06.090 --> 00:12:08.970 Sono attacchi che fanno leva sull'incapacità 00:12:08.970 --> 00:12:11.129 delle persone di gestire quel momento, 00:12:11.129 --> 00:12:12.090 quella relazione. 00:12:12.490 --> 00:12:15.210 Ok e queste vulnerabilità - che 00:12:15.210 --> 00:12:16.889 poi è appunto il tema che 00:12:17.450 --> 00:12:19.210 affrontiamo oggi - cioè capire come 00:12:19.210 --> 00:12:22.514 si possono scovare, non possono essere 00:12:22.514 --> 00:12:25.394 evitate a priori cioè non mi 00:12:25.394 --> 00:12:27.554 basta scrivere bene il codice di 00:12:27.554 --> 00:12:29.554 un sito di un servizio di 00:12:29.554 --> 00:12:32.595 un programma oppure come dicevamo prima 00:12:32.995 --> 00:12:35.315 educare e dare informazioni, 00:12:35.315 --> 00:12:36.595 spiegare appunto come... 00:12:37.850 --> 00:12:40.170 alle persone come evitarle e quindi 00:12:40.170 --> 00:12:42.809 di fatto verrebbero meno le vulnerabilità 00:12:42.809 --> 00:12:43.769 in quel caso? 00:12:44.170 --> 00:12:46.490 Sì, sì, è possibile questo approccio, 00:12:46.490 --> 00:12:47.929 anzi, diciamo che c'è, 00:12:47.929 --> 00:12:49.850 io divido, è un tema temporale, 00:12:50.410 --> 00:12:53.404 oggi c'è bisogno di fare un 00:12:53.404 --> 00:12:55.325 grande passo per arrivare a un 00:12:55.325 --> 00:12:59.325 punto in cui c'è più consapevolezza. 00:12:59.725 --> 00:13:00.845 Da lì in poi non ci 00:13:00.845 --> 00:13:02.845 si può fermare, cioè quello che 00:13:02.845 --> 00:13:03.725 tu dici è giusto, 00:13:03.725 --> 00:13:06.409 ma il software evolve tutti i giorni, 00:13:06.490 --> 00:13:08.490 non solo il software che produci tu, 00:13:08.889 --> 00:13:11.209 ma anche il software che viene 00:13:11.209 --> 00:13:13.529 utilizzato dal tuo software di terze parti, 00:13:13.529 --> 00:13:15.769 che evolve, quindi il software non 00:13:15.769 --> 00:13:18.329 è mai statico, è sempre dinamico, 00:13:18.329 --> 00:13:20.174 sempre più dinamico, per esempio con 00:13:20.174 --> 00:13:21.774 i processi di sviluppo agili, 00:13:21.774 --> 00:13:24.014 "agile", in cui il software viene 00:13:24.335 --> 00:13:25.535 continuamente evoluto. 00:13:25.535 --> 00:13:27.134 Vedete anche voi quando installate un'app 00:13:27.134 --> 00:13:29.215 che viene aggiornata costantemente, 00:13:30.735 --> 00:13:33.309 e quindi questa evoluzione impone che 00:13:33.309 --> 00:13:36.110 devi continuamente stare al passo di 00:13:36.110 --> 00:13:38.590 questi cambiamenti, e poi anche le 00:13:38.590 --> 00:13:41.230 tipologie di attacchi e le minacce cambiano. 00:13:41.389 --> 00:13:43.710 Cioè questi malintenzionati cambiano il loro 00:13:43.710 --> 00:13:45.595 modo di attaccare perché le aziende 00:13:45.595 --> 00:13:47.274 e le persone diventano più consapevoli, 00:13:47.274 --> 00:13:49.995 quindi raffinano le proprie metodologie di attacco, 00:13:50.154 --> 00:13:52.154 di conseguenza anche ci si deve 00:13:52.154 --> 00:13:53.754 adattare costantemente nel tempo, 00:13:53.754 --> 00:13:55.675 quindi la cyber security non è 00:13:55.675 --> 00:13:57.995 una condizione che risolvi una volta 00:13:57.995 --> 00:13:58.955 per tutte, è una cosa che 00:13:58.955 --> 00:14:02.970 devi continuare a governare e gestire 00:14:02.970 --> 00:14:05.049 consapevole del fatto che è un 00:14:05.049 --> 00:14:07.210 mercato che evolve, le cose che cambiano, 00:14:07.450 --> 00:14:09.049 e quindi c'è bisogno di stare 00:14:09.049 --> 00:14:10.170 al passo con i tempi. 00:14:10.250 --> 00:14:12.170 Ok, quindi quali sono gli strumenti 00:14:12.170 --> 00:14:16.014 che possono maggiormente aiutare le aziende, 00:14:16.014 --> 00:14:19.054 le pubbliche amministrazioni nel migliorare la 00:14:19.054 --> 00:14:21.215 sicurezza dei propri servizi? 00:14:22.095 --> 00:14:24.735 Sicuramente una cosa importante da cui 00:14:24.735 --> 00:14:27.375 parto è la parte di formazione, 00:14:28.089 --> 00:14:30.809 quindi investire nella formazione del proprio 00:14:30.809 --> 00:14:32.809 personale tecnico, ma anche del personale 00:14:32.809 --> 00:14:33.850 non tecnico. 00:14:34.089 --> 00:14:38.250 Questa è una cosa che vale costantemente. 00:14:38.570 --> 00:14:39.929 Poi ci sono cose anche più 00:14:39.929 --> 00:14:41.684 tecniche che si possono fare e 00:14:41.684 --> 00:14:43.924 che vengono richieste anche dalla NIS 2, 00:14:43.924 --> 00:14:45.684 come per esempio avere un piano 00:14:45.684 --> 00:14:48.804 di risposta agli incidenti e "disaster recovery". 00:14:48.965 --> 00:14:50.725 Cioè un piano dettagliato per gestire 00:14:50.725 --> 00:14:52.725 e mitigare gli effetti di un attacco. 00:14:52.884 --> 00:14:54.644 Gli attacchi non li puoi evitare, 00:14:54.644 --> 00:14:55.445 ma li puoi controllare. 00:14:55.670 --> 00:14:57.750 Puoi controllare quello che succede dopo. 00:14:57.830 --> 00:14:59.110 Ci sono, per esempio, 00:14:59.110 --> 00:15:00.710 le aziende che producono, 00:15:00.710 --> 00:15:02.470 che hanno delle linee produttive, 00:15:02.470 --> 00:15:04.710 che devono gestire il caso di 00:15:04.710 --> 00:15:09.029 sistemi di produzione che vengono bloccati, 00:15:09.029 --> 00:15:11.365 quindi devi avere un piano per 00:15:11.365 --> 00:15:14.404 riportarli attivi, o i backup aziendali 00:15:14.404 --> 00:15:15.845 per quanto riguarda i dati, 00:15:15.845 --> 00:15:17.764 quindi procedure di ripristino backup. 00:15:18.004 --> 00:15:19.764 Fare anche molte simulazioni di attacco 00:15:19.764 --> 00:15:21.605 con dei "red teaming" che permettono 00:15:21.605 --> 00:15:23.365 di simulare gli attacchi in un 00:15:23.365 --> 00:15:26.129 ambiente "safe" anticipandoli, quindi tu simuli 00:15:26.129 --> 00:15:27.570 l'attacco e sei pronto agli attacchi 00:15:27.570 --> 00:15:28.370 che verranno. 00:15:28.529 --> 00:15:32.050 Poi aggiungo, ci sono anche sempre 00:15:32.050 --> 00:15:34.529 più importanti avere concetti di "Zero 00:15:34.529 --> 00:15:36.210 Trust Architecture", che non è un 00:15:36.210 --> 00:15:37.810 nome tecnico ma è un modello 00:15:37.889 --> 00:15:39.649 di sicurezza che assume che nessun 00:15:39.649 --> 00:15:42.254 utente o dispositivo sia sicuro per 00:15:42.254 --> 00:15:46.095 definizione o attendibile per definizione e 00:15:46.095 --> 00:15:48.574 quindi vedi che evolvono i modelli 00:15:48.574 --> 00:15:52.574 di autenticazione continue, tutti hanno gli 00:15:52.574 --> 00:15:54.574 OTP che cambiano e evolvono a 00:15:54.575 --> 00:15:55.639 seconda di dove ti trovi, 00:15:55.639 --> 00:15:57.000 come ti trovi, per accedere ai 00:15:57.000 --> 00:15:58.519 sistemi informatici dell'azienda. 00:15:58.919 --> 00:16:01.079 Questo è un modo per non 00:16:01.079 --> 00:16:02.919 dare per scontato che sia sicuro 00:16:02.919 --> 00:16:04.679 quel dispositivo o quell'utente. 00:16:04.759 --> 00:16:07.079 Da ultimo aggiungo anche quello che 00:16:07.079 --> 00:16:09.455 facciamo noi, noi facciamo programmi di 00:16:09.455 --> 00:16:12.175 bug bounty che incentivano gli esperti 00:16:12.175 --> 00:16:14.654 di sicurezza o anche hacker etici 00:16:14.735 --> 00:16:16.254 a simulare degli attacchi, 00:16:16.254 --> 00:16:17.855 quindi è simile al concetto di 00:16:17.855 --> 00:16:21.615 Red Teaming, per segnalare delle vulnerabilità 00:16:22.419 --> 00:16:25.299 offrendo delle ricompense economiche a questi soggetti, 00:16:25.299 --> 00:16:27.940 ma in questo modo io anticipo 00:16:27.940 --> 00:16:30.500 e gestisco le vulnerabilità prima che 00:16:30.580 --> 00:16:33.460 succedano e quindi mi attrezzo in anticipo, 00:16:33.620 --> 00:16:35.059 faccio delle simulazioni in anticipo e 00:16:35.059 --> 00:16:36.259 questo è quello che facciamo noi. 00:16:36.764 --> 00:16:38.205 Ok, quindi in questo caso si 00:16:38.205 --> 00:16:39.805 tratta di incentivare... 00:16:40.125 --> 00:16:43.485 perché nella direttiva NIS 2 dovrebbe 00:16:43.485 --> 00:16:48.045 esserci questa distinzione nella Vulnerability Disclosure 00:16:48.205 --> 00:16:52.410 Policies (VDP) tra riconoscere e incentivare 00:16:53.290 --> 00:16:55.610 la scoperta di vulnerabilità, 00:16:55.610 --> 00:16:56.009 giusto? 00:16:56.090 --> 00:17:00.170 Sì, nella NIS 2 incentiva questo 00:17:00.170 --> 00:17:02.410 tipo di attività e i bug 00:17:02.409 --> 00:17:04.444 bounty e le VDP sono due 00:17:04.445 --> 00:17:07.884 modelli leggermente diversi ma che parlano 00:17:07.884 --> 00:17:10.525 tutte e due alla comunità di 00:17:10.525 --> 00:17:13.005 hacking che ci sono online e 00:17:13.644 --> 00:17:17.325 sono modi per incentivare a identificare, 00:17:17.325 --> 00:17:18.845 a scovare le vulnerabilità prima che 00:17:18.845 --> 00:17:20.940 accadano e questo è un modo 00:17:20.940 --> 00:17:23.579 per essere compliant alla NIS 2. 00:17:23.900 --> 00:17:26.299 Fra l'altro, giusto per essere chiari, 00:17:26.299 --> 00:17:29.180 l'hacking in questo senso si divide 00:17:29.180 --> 00:17:30.779 anche questo in due categorie cioè 00:17:30.779 --> 00:17:32.505 non c'è solo l'hacking, 00:17:32.505 --> 00:17:35.545 l'hacker come figura negativa che pensiamo 00:17:35.545 --> 00:17:38.265 ma esistono anche degli hacker "etici", 00:17:38.265 --> 00:17:39.945 ecco come si chiamano, 00:17:39.945 --> 00:17:43.705 che invece lavorano dalla parte buona, 00:17:43.705 --> 00:17:48.379 giusta, di internet o comunque dello sviluppo. 00:17:48.619 --> 00:17:51.179 Sì, sì, allora il termine hacker 00:17:51.179 --> 00:17:53.019 è un termine che ha assunto 00:17:53.019 --> 00:17:57.019 una caratteristica, una accezione negativa solo 00:17:57.019 --> 00:17:59.025 negli ultimi anni, ma il termine 00:17:59.025 --> 00:18:00.785 hacker è un termine positivo. 00:18:00.785 --> 00:18:03.265 Quando è nata l'informatica, 00:18:03.345 --> 00:18:06.144 internet e quant'altro, fare hacking è 00:18:06.144 --> 00:18:09.025 un modo simile alla parola nerd, 00:18:09.025 --> 00:18:10.522 è vicino a questo tipo di 00:18:10.740 --> 00:18:13.779 gergo e chi fa hacking lo 00:18:13.779 --> 00:18:15.059 fa in maniera positiva. 00:18:15.940 --> 00:18:18.740 Tutti gli sviluppatori provano a fare hacking, 00:18:19.059 --> 00:18:22.099 ci sono diverse metodologie di hacking, 00:18:22.099 --> 00:18:22.500 eccetera. 00:18:22.819 --> 00:18:24.345 Quindi è una cosa che viene, 00:18:24.345 --> 00:18:27.624 se vuoi, anche insegnata alle università tecniche, 00:18:27.785 --> 00:18:29.125 come il Politecnico Milano, 00:18:29.125 --> 00:18:30.585 Ingegneria Informatica dove ho studiato io, 00:18:30.585 --> 00:18:32.025 quindi di per sé il termine 00:18:32.025 --> 00:18:33.065 hacking è positivo. 00:18:33.065 --> 00:18:34.904 Poi ha assunto una sezione negativa 00:18:34.904 --> 00:18:37.144 perché ci sono state persone che, 00:18:37.224 --> 00:18:39.464 con queste capacità, con queste conoscenze, 00:18:39.910 --> 00:18:43.269 le hanno messe al proprio fattore 00:18:43.269 --> 00:18:46.789 economico di essere proprio dei malintenzionati, 00:18:46.789 --> 00:18:50.309 quindi lo usano per metodi negativi, 00:18:50.309 --> 00:18:53.990 ma è come essere un maniscalco 00:18:53.990 --> 00:18:55.750 che apre porte, lo puoi fare 00:18:55.964 --> 00:18:58.605 perché aiuti le aziende a sistemare 00:18:59.085 --> 00:19:01.244 i propri fissi, oppure se hai 00:19:01.244 --> 00:19:02.684 quella conoscenza lo puoi usare per 00:19:02.684 --> 00:19:04.044 aprire porte e entrare in casa 00:19:04.044 --> 00:19:05.004 delle persone. 00:19:05.804 --> 00:19:07.005 Ma di per sé il mestiere 00:19:07.005 --> 00:19:09.000 non è un mestiere o la 00:19:09.000 --> 00:19:11.080 conoscenza negativa, anzi una conoscenza positiva. 00:19:11.080 --> 00:19:15.320 Poi al mondo esistono persone malintenzionate 00:19:15.319 --> 00:19:17.480 che usano la propria conoscenza per farlo, 00:19:17.480 --> 00:19:18.680 ma di per sé quindi c'è 00:19:18.680 --> 00:19:21.640 molta differenza tra hacker etico e 00:19:21.640 --> 00:19:23.494 hacker non etico, è proprio nella 00:19:23.575 --> 00:19:25.014 natura delle persone. 00:19:25.414 --> 00:19:27.895 Quindi è un concetto neutro e 00:19:27.895 --> 00:19:29.174 poi in realtà è come questa 00:19:29.174 --> 00:19:30.214 competenza viene... 00:19:30.214 --> 00:19:32.162 e dove e come viene applicata 00:19:32.162 --> 00:19:33.494 È come viene usata. 00:19:33.734 --> 00:19:34.375 Esatto, esatto. 00:19:34.769 --> 00:19:37.169 E approfondendo appunto il tema di 00:19:37.170 --> 00:19:39.569 questi strumenti di bug bounty, 00:19:39.650 --> 00:19:43.490 quindi che incentivano la scoperta di vulnerabilità, 00:19:44.049 --> 00:19:47.250 come le aziende possono organizzare e 00:19:47.250 --> 00:19:49.894 gestire un programma di questo tipo, 00:19:49.974 --> 00:19:51.894 anche grazie al vostro aiuto? 00:19:52.455 --> 00:19:53.815 Allora sì, gestire un programma di 00:19:53.815 --> 00:19:55.974 bug bounty ha delle tecnicalità che 00:19:56.615 --> 00:19:58.775 sono principalmente di processo, 00:20:01.639 --> 00:20:02.919 di cui bisogna essere a conoscenza 00:20:02.919 --> 00:20:03.960 e bisogna gestire bene, 00:20:03.960 --> 00:20:05.079 quindi le aziende che fanno programmi 00:20:05.079 --> 00:20:07.720 di bug bounty hanno strutturato dei processi, 00:20:07.720 --> 00:20:09.159 dei metodi e dei software per 00:20:09.159 --> 00:20:13.159 gestire tutti questi programmi in maniera corretta. 00:20:13.559 --> 00:20:15.694 Sicuramente fare attività di bug bounty 00:20:15.695 --> 00:20:18.335 è una cosa che parte prima 00:20:18.335 --> 00:20:22.335 di attivare effettivamente l'hacking da parte 00:20:22.335 --> 00:20:24.975 di hacker etici e parte con 00:20:24.975 --> 00:20:28.400 una pianificazione, cioè l'azienda deve definire 00:20:28.400 --> 00:20:32.000 obiettivi chiari e preparare un approccio adeguato, 00:20:32.240 --> 00:20:35.839 quindi bisogna capire che asset andare 00:20:35.839 --> 00:20:38.079 a proteggere, i propri sistemi interni, 00:20:38.079 --> 00:20:39.359 i propri dispositivi IT, 00:20:39.359 --> 00:20:40.799 le proprie applicazioni web, 00:20:40.799 --> 00:20:42.000 cos'è che si vuole proteggere, 00:20:42.694 --> 00:20:44.454 quali sono le tipologie di vulnerabilità 00:20:44.454 --> 00:20:45.894 che si vogliono gestire, 00:20:45.894 --> 00:20:47.575 si vuole solo fare attacchi tecnici 00:20:47.575 --> 00:20:49.815 o anche attacchi alle persone di 00:20:49.815 --> 00:20:53.095 phishing e poi direi anche come 00:20:53.575 --> 00:20:55.494 gestisci ogni volta che trovi una vulnerabilità, 00:20:55.740 --> 00:20:58.220 cioè tu internamente come azienda cosa 00:20:58.220 --> 00:21:00.380 fai quando la nostra piattaforma, 00:21:00.380 --> 00:21:02.220 noi ti segnaliamo una vulnerabilità e 00:21:02.220 --> 00:21:02.619 lì c'è... 00:21:02.619 --> 00:21:04.379 bisogna mettere in piedi un processo 00:21:04.539 --> 00:21:06.700 che deve avere tempi di risposta, 00:21:06.940 --> 00:21:09.845 deve avere capacità di correggere le 00:21:09.845 --> 00:21:13.444 vulnerabilità rapidamente, perché l'obiettivo è essere 00:21:13.444 --> 00:21:15.845 rapidi quando si trova una vulnerabilità 00:21:15.845 --> 00:21:16.804 e così via. 00:21:16.804 --> 00:21:20.085 Quindi parte prima di strutturare il programma, 00:21:20.085 --> 00:21:22.150 e poi si struttura un programma, 00:21:22.630 --> 00:21:24.549 si fa attraverso la nostra piattaforma, 00:21:24.549 --> 00:21:27.269 è molto semplice, si definiscono quali 00:21:27.269 --> 00:21:28.950 sono i domini, i sistemi, 00:21:29.269 --> 00:21:31.590 quali sono le tipologie di vulnerabilità, 00:21:31.590 --> 00:21:33.110 si definiscono le ricompense, 00:21:33.109 --> 00:21:38.955 i cosiddetti "bounty" che sono economiche. 00:21:38.954 --> 00:21:42.394 E cioè come ricompensi il singolo 00:21:42.394 --> 00:21:46.634 ricercatore o hacker etico quando trovano vulnerabilità, 00:21:46.634 --> 00:21:49.079 e qua ci sono vari sistemi, 00:21:49.079 --> 00:21:51.079 ma ci sono sistemi anche standard 00:21:52.039 --> 00:21:55.319 come il CVSS che sta per 00:21:55.319 --> 00:21:57.559 "Common Vulnerability Scoring System", 00:21:57.720 --> 00:21:59.400 che definisce uno "scoring" però di 00:21:59.400 --> 00:22:01.720 vulnerabilità e quindi li puoi "appiccicare" 00:22:02.384 --> 00:22:05.744 un valore e quindi quello è importante, 00:22:05.744 --> 00:22:07.345 quindi bisogna anche prevedere un budget 00:22:07.345 --> 00:22:08.625 per le ricompense. 00:22:09.904 --> 00:22:11.424 E poi mandi in esecuzione, 00:22:11.424 --> 00:22:12.785 le cose partono nel momento in 00:22:12.785 --> 00:22:16.144 cui insieme all'azienda definiamo gli scope, 00:22:16.144 --> 00:22:18.309 definiamo le tipologie di vulnerabilità, 00:22:18.309 --> 00:22:20.229 definiamo i sistemi tecnici, 00:22:20.389 --> 00:22:22.630 tipo colleghiamo un "issue tracker", 00:22:22.630 --> 00:22:24.789 cioè colleghiamo il nostro sistema a 00:22:24.789 --> 00:22:27.029 un sistema di controllo delle vulnerabilità 00:22:27.029 --> 00:22:28.470 che può stare nell'azienda in modo 00:22:28.470 --> 00:22:30.069 tale che tutto fluisca in maniera 00:22:30.069 --> 00:22:33.075 efficiente per monitorare le varie segnalazioni. 00:22:33.634 --> 00:22:35.234 O se l'azienda non ce l'ha, 00:22:35.394 --> 00:22:38.994 lavoriamo per organizzare un security team, 00:22:39.154 --> 00:22:41.795 quindi delle persone interne nostre dedicate 00:22:41.795 --> 00:22:43.955 all'analisi e alla correzione delle vulnerabilità. 00:22:44.279 --> 00:22:46.279 Se l'azienda invece ha già un 00:22:46.279 --> 00:22:47.799 team di security, può essere anche 00:22:47.799 --> 00:22:49.799 una persona che si occupa di sicurezza, 00:22:49.799 --> 00:22:51.480 c'è un lavoro costante con questa 00:22:51.480 --> 00:22:54.840 persona per continuare a gestire tutto 00:22:54.840 --> 00:22:55.640 quello che succede. 00:22:56.535 --> 00:22:58.695 Ok, quindi in questo senso nel 00:22:58.695 --> 00:23:00.295 momento in cui viene scoperta la 00:23:00.295 --> 00:23:03.575 vulnerabilità al posto di essere utilizzata 00:23:03.575 --> 00:23:05.575 magari come, diciamo così, 00:23:05.575 --> 00:23:08.934 porta di accesso dall'esterno per un 00:23:08.934 --> 00:23:13.590 attacco hacker, oppure per essere appunto rivenduta, 00:23:13.590 --> 00:23:16.150 diciamo così, nel mercato nero, 00:23:16.390 --> 00:23:19.910 ritorna questa vulnerabilità, viene fatta conoscere 00:23:19.910 --> 00:23:23.109 alla società proprietaria di questo programma 00:23:23.109 --> 00:23:25.394 che può quindi correre ai ripari, 00:23:25.394 --> 00:23:26.994 nel senso rimuoverla, ecco, 00:23:27.954 --> 00:23:31.075 e in cambio di questo l'hacker 00:23:31.075 --> 00:23:33.634 etico che ha trovato la vulnerabilità 00:23:33.634 --> 00:23:35.075 riceve un compenso. 00:23:35.234 --> 00:23:37.075 Corretto, corretto, sì, corretto. 00:23:37.529 --> 00:23:41.289 La cosa che succede poi tipicamente 00:23:41.289 --> 00:23:42.890 è che aiutiamo a correggere potenziali 00:23:42.890 --> 00:23:45.930 vulnerabilità con dei consigli da parte 00:23:45.930 --> 00:23:48.090 dei nostri esperti e dallo stesso hacker. 00:23:48.410 --> 00:23:50.250 L'hacker quando segnala una vulnerabilità per 00:23:50.250 --> 00:23:52.875 esempio suggerisce anche dei metodi per 00:23:52.875 --> 00:23:54.234 risolverla o per non fare in 00:23:54.234 --> 00:23:56.394 modo che non esista più, 00:23:56.634 --> 00:23:58.474 perché lui ha le competenze tecniche 00:23:58.474 --> 00:24:00.794 per farlo e c'è tutta un'attività 00:24:00.794 --> 00:24:03.595 che ne segue, che affianchiamo quindi 00:24:03.595 --> 00:24:07.180 per andare a correggere quel potenziale 00:24:07.180 --> 00:24:09.900 punto di ingresso e quindi a 00:24:09.900 --> 00:24:12.940 proteggersi in un ambiente protetto, 00:24:12.940 --> 00:24:14.299 che è quello del lavoro tra 00:24:14.299 --> 00:24:17.740 due aziende che fanno questo per mestiere, 00:24:17.980 --> 00:24:19.259 in modo tale che non sia 00:24:19.259 --> 00:24:21.820 qualcun altro, un potenziale malintenzionato, 00:24:21.820 --> 00:24:23.654 che la possa sfruttare. 00:24:23.734 --> 00:24:25.575 Una cosa che succede a volte 00:24:25.575 --> 00:24:28.054 è che ci sono dei servizi 00:24:28.054 --> 00:24:31.974 online che hanno un accesso tramite 00:24:31.974 --> 00:24:33.974 nome e password, ma oggi solo 00:24:33.974 --> 00:24:35.494 "nome utente" e "password" non è 00:24:35.494 --> 00:24:38.720 più sufficiente, soprattutto se sono servizi 00:24:38.720 --> 00:24:41.119 critici che fanno accedere a dei 00:24:41.119 --> 00:24:44.159 sistemi di controllo o a dei 00:24:44.159 --> 00:24:46.720 sistemi aziendali, allora in quel caso 00:24:46.720 --> 00:24:49.755 lì si suggerisce di settare un 00:24:49.755 --> 00:24:52.634 sistema che permetta di gestire delle 00:24:52.634 --> 00:24:57.035 OTP più o meno voluto. 00:24:57.035 --> 00:24:58.875 A volte le aziende non sanno 00:24:58.875 --> 00:25:01.275 neanche di avere tutte queste esposizioni, 00:25:01.619 --> 00:25:03.539 è un modo per generare awareness, 00:25:03.539 --> 00:25:05.700 guarda chi ha un problema qua, 00:25:05.700 --> 00:25:06.980 un problema qua, quindi per generare 00:25:06.980 --> 00:25:09.619 awareness nelle persone e per cominciarle 00:25:09.619 --> 00:25:11.859 a fare muovere le aziende verso 00:25:11.940 --> 00:25:15.220 una maggiore sicurezza dei propri componenti esposti. 00:25:15.220 --> 00:25:17.404 E' importante il concetto di esposto 00:25:17.404 --> 00:25:19.325 perché c'è una regola base che 00:25:19.325 --> 00:25:21.991 ti segnala l'università quando fai cyber 00:25:21.991 --> 00:25:24.684 security e che l'unico modo per 00:25:24.684 --> 00:25:26.605 essere 100% sicuri che non ci 00:25:26.605 --> 00:25:28.605 siano attacchi informatici è non essere connessi. 00:25:29.269 --> 00:25:31.269 Ma sappiamo che oggi non essere connessi, 00:25:31.269 --> 00:25:34.309 è impossibile, quindi hai sicuramente degli 00:25:34.309 --> 00:25:36.309 asset esposti, hai delle persone che 00:25:36.309 --> 00:25:38.709 lavorano in internet, che lavorano da remoto, 00:25:38.869 --> 00:25:40.149 con dei propri sistemi, 00:25:40.149 --> 00:25:42.869 quindi sono tutte cose che espongono 00:25:42.869 --> 00:25:44.869 l'azienda verso internet. 00:25:45.565 --> 00:25:47.085 Sì e quindi partecipare a un 00:25:47.085 --> 00:25:49.085 programma di questo tipo ha perfettamente 00:25:49.085 --> 00:25:50.285 senso anche da un punto di 00:25:50.285 --> 00:25:51.884 vista economico perché è vero che 00:25:51.884 --> 00:25:56.845 bisogna appunto riconoscere un incentivo economico 00:25:56.845 --> 00:25:58.845 a chi trova il bug però 00:25:58.845 --> 00:26:00.684 se pensiamo a quali potrebbero essere 00:26:00.684 --> 00:26:03.779 potenzialmente gli effetti negativi quando questo 00:26:03.779 --> 00:26:06.740 bug viene scoperto da un hacker 00:26:06.740 --> 00:26:10.980 non etico forse è molto più conveniente. 00:26:10.980 --> 00:26:12.820 E in questo senso quindi quanto 00:26:12.820 --> 00:26:15.234 sono diffusi oggi i programmi di 00:26:15.234 --> 00:26:18.194 bug bounty nelle varie aziende? 00:26:18.674 --> 00:26:20.515 Devo fare una distinzione tra Italia 00:26:20.515 --> 00:26:23.634 e Europa, ci sono paesi più 00:26:23.634 --> 00:26:26.690 avanzati come la Francia che sono 00:26:26.690 --> 00:26:28.769 più avanti, hanno molte più aziende 00:26:29.009 --> 00:26:31.329 che già utilizzano e implementano programmi 00:26:31.329 --> 00:26:32.529 di bug bounty. 00:26:32.529 --> 00:26:34.049 L'Italia da questo punto di vista 00:26:34.049 --> 00:26:35.809 è un po' più indietro e 00:26:35.809 --> 00:26:37.410 siamo qua a parlarne anche per 00:26:37.410 --> 00:26:39.410 questo e grazie per avermi invitato, 00:26:39.894 --> 00:26:41.974 per svariati motivi, per un tema 00:26:42.214 --> 00:26:43.654 più culturale e storico. 00:26:43.654 --> 00:26:44.775 Però ci sono sempre più aziende 00:26:44.775 --> 00:26:46.535 che lo fanno, aziende sempre più 00:26:46.535 --> 00:26:47.575 rilevanti che lo fanno, 00:26:47.734 --> 00:26:49.494 abbiamo clienti come Edison, 00:26:49.494 --> 00:26:54.880 le banche, Sorgenia, sono aziende che 00:26:54.880 --> 00:26:56.799 hanno cominciato da un po' a 00:26:56.799 --> 00:26:59.119 usare questi sistemi e ad aggiungerli 00:27:00.240 --> 00:27:03.920 ai metodi che normalmente usano per 00:27:03.920 --> 00:27:05.680 proteggersi verso gli attacchi, 00:27:05.920 --> 00:27:08.674 quindi sta aumentando, aumenterà sempre di 00:27:08.674 --> 00:27:10.035 più e le normative come NIS 00:27:10.035 --> 00:27:11.875 2 sono proprio orientate a far 00:27:12.035 --> 00:27:14.434 incrementare l'utilizzo di questi modelli proprio 00:27:14.434 --> 00:27:16.355 per migliorare la sicurezza in generale 00:27:16.355 --> 00:27:17.234 dei sistemi. 00:27:17.394 --> 00:27:20.329 E poi come dicevi anche oggi 00:27:20.730 --> 00:27:23.289 il codice non è scritto semplicemente 00:27:23.289 --> 00:27:25.609 da una sola società e quindi 00:27:25.609 --> 00:27:28.250 anche c'è un effetto riflesso, 00:27:28.250 --> 00:27:30.490 cioè se è una società magari 00:27:30.490 --> 00:27:32.994 anche molto importante aderisce a un 00:27:32.994 --> 00:27:34.755 programma di bug bounty ha dei 00:27:34.755 --> 00:27:38.355 benefici anche in tutto appunto l'ecosistema 00:27:38.355 --> 00:27:40.835 di aziende attorno e però ci 00:27:40.835 --> 00:27:42.275 sono dei miti, diciamo così, 00:27:42.275 --> 00:27:46.309 che vanno sfatati sui bug bounty ecco? 00:27:46.309 --> 00:27:48.630 Magari dei pregiudizi che le aziende 00:27:48.630 --> 00:27:51.269 hanno magari le più piccole nei 00:27:51.269 --> 00:27:53.509 confronti di questi programmi e il 00:27:53.509 --> 00:27:56.230 motivo per cui magari non li adottano. 00:27:56.390 --> 00:28:01.345 Si, sicuramente il primo mito è questo, 00:28:01.585 --> 00:28:02.705 se invito un hacker a testare 00:28:02.705 --> 00:28:04.785 i miei sistemi rischio di essere attaccato. 00:28:05.345 --> 00:28:08.225 Quindi è collegato a quello che 00:28:08.225 --> 00:28:10.705 dicevamo della parola usata male, 00:28:11.329 --> 00:28:12.849 perché si pensa a queste persone 00:28:12.849 --> 00:28:14.609 come dei malintenzionati, ma in realtà 00:28:14.609 --> 00:28:17.410 sono dei ricercatori, sono persone che lavorano, 00:28:17.410 --> 00:28:19.410 già fanno questo mestiere in altre aziende, 00:28:19.410 --> 00:28:21.009 sono persone ben precise, 00:28:21.329 --> 00:28:22.450 identificate. 00:28:22.930 --> 00:28:24.529 Le piattaforme di bug bounty hanno 00:28:24.529 --> 00:28:26.529 un importante ruolo in tutto questo, 00:28:26.529 --> 00:28:29.454 perché fanno lavorare queste persone in 00:28:29.454 --> 00:28:31.855 ambienti chiari, secondo regole chiare e 00:28:31.855 --> 00:28:34.494 controllate e fanno anche tutta la 00:28:34.494 --> 00:28:38.255 parte di verifica della loro identità 00:28:38.255 --> 00:28:41.055 e verifica del loro background, 00:28:41.055 --> 00:28:42.350 chi sono, dove vengono, 00:28:42.350 --> 00:28:43.470 che mestiere fanno. 00:28:44.029 --> 00:28:46.110 Quelli che noi utilizziamo sono tutti italiani, 00:28:46.110 --> 00:28:47.470 questo è importante dirlo, 00:28:47.710 --> 00:28:49.470 quindi c'è anche un approccio di 00:28:49.549 --> 00:28:51.150 verifica e certificazione di persone che 00:28:51.150 --> 00:28:53.470 sono sullo stesso territorio dove l'azienda è, 00:28:53.470 --> 00:28:55.595 quindi rispondono alle stesse regole, 00:28:55.595 --> 00:28:59.354 alle stesse leggi locali e quindi 00:28:59.674 --> 00:29:01.515 si verifica anche la professionalità di 00:29:01.515 --> 00:29:02.714 questi ricercatori di sicurezza, 00:29:02.714 --> 00:29:05.674 si fanno delle interviste per verificare 00:29:05.674 --> 00:29:06.714 la loro eticità. 00:29:06.714 --> 00:29:09.059 Diciamo che un hacker malevolo non 00:29:09.859 --> 00:29:11.700 partecipa a programmi di bug bounty, 00:29:11.940 --> 00:29:14.659 perché nel momento in cui vuole 00:29:14.819 --> 00:29:18.019 partecipare viene verificato, certificato e quindi 00:29:18.019 --> 00:29:19.059 si sa chi è. 00:29:19.220 --> 00:29:21.940 Un hacker malevolo non vuole essere identificato, 00:29:21.940 --> 00:29:24.085 vuole stare nel buio, 00:29:25.444 --> 00:29:27.924 in quella zona di non conoscenza, 00:29:28.244 --> 00:29:31.044 si identificano spesso con dei nickname, 00:29:31.044 --> 00:29:33.284 non hanno la volontà di essere 00:29:33.284 --> 00:29:35.845 identificati perché hanno la paura di 00:29:35.845 --> 00:29:39.630 essere poi scovati nella loro attività. 00:29:39.710 --> 00:29:42.190 Quindi questo è il primo mito. 00:29:43.309 --> 00:29:47.630 Il secondo è che i bug 00:29:47.630 --> 00:29:49.549 bounty sono costosi. 00:29:49.549 --> 00:29:51.710 Si, c'è un costo, 00:29:51.710 --> 00:29:53.904 a parte che i budget nell'ambito 00:29:53.904 --> 00:29:57.424 della cybersecurity dovranno sicuramente aumentare nel tempo, 00:29:57.585 --> 00:29:59.664 per rispondere anche alle normative che 00:29:59.664 --> 00:30:01.825 vengono alla NIS 2 stessa. 00:30:02.065 --> 00:30:03.904 I bug bounty sono costosi se 00:30:03.904 --> 00:30:06.640 vengono usati male, ma se inseriti 00:30:06.640 --> 00:30:08.240 in un processo, in un programma, 00:30:08.240 --> 00:30:10.559 in un metodo, in realtà sono 00:30:10.559 --> 00:30:12.400 meno costosi di tante altre attività, 00:30:12.400 --> 00:30:14.960 perché vai a pagare solo nel 00:30:14.960 --> 00:30:16.960 momento in cui effettivamente hai un problema, 00:30:17.119 --> 00:30:18.240 hai una vulnerabilità. 00:30:18.240 --> 00:30:20.079 Quindi diciamo che lì è un costo-opportunità. 00:30:20.524 --> 00:30:22.204 Quanto sarebbe costata la tua azienda, 00:30:22.204 --> 00:30:24.604 quella vulnerabilità se fosse stata scovata 00:30:24.605 --> 00:30:26.605 da un altro malevolo, 00:30:27.085 --> 00:30:29.644 e quando paghi un bounty paghi 00:30:29.644 --> 00:30:31.964 diversi ordini di grandezza in meno 00:30:31.964 --> 00:30:33.964 rispetto al danno che ti avrebbe provocato. 00:30:34.284 --> 00:30:37.750 Quindi questo è un altro mito. 00:30:37.990 --> 00:30:42.069 E poi forse, direi... 00:30:42.869 --> 00:30:45.269 che il concetto che si ha 00:30:45.269 --> 00:30:47.109 già un team di sicurezza con 00:30:47.109 --> 00:30:49.029 già delle competenze interne e quindi 00:30:49.029 --> 00:30:50.269 non ho bisogno di un programma 00:30:50.269 --> 00:30:51.190 di bug bounty. 00:30:51.955 --> 00:30:52.757 Io credo che il programma di 00:30:52.757 --> 00:30:55.315 bug bounty abbia un approccio in 00:30:55.315 --> 00:31:00.275 cui mette diverse persone con competenze diverse. 00:31:02.275 --> 00:31:04.035 Anche una prospettiva diversa, 00:31:04.035 --> 00:31:06.914 non lavorano all'interno della società. 00:31:06.914 --> 00:31:07.809 Esatto, esatto. 00:31:07.809 --> 00:31:09.410 Competenze diverse, prospettive diverse, 00:31:09.410 --> 00:31:12.049 angoli diversi, tutte a lavorare su 00:31:12.049 --> 00:31:13.330 uno stesso tema e quindi è 00:31:13.330 --> 00:31:16.130 la conoscenza collettiva di queste persone 00:31:16.210 --> 00:31:18.930 e il background diverso che permette 00:31:18.930 --> 00:31:21.570 di evolvere nell'approccio alla sicurezza. 00:31:21.730 --> 00:31:24.054 Quindi succede a tutti molto spesso 00:31:24.054 --> 00:31:27.654 che vedendo per N volte la 00:31:27.654 --> 00:31:28.855 stessa cosa non ci si accorgi 00:31:28.855 --> 00:31:29.734 più di un errore, 00:31:30.214 --> 00:31:32.294 lo si fa anche in documento 00:31:32.294 --> 00:31:35.095 word se vuoi, e quindi avere 00:31:36.720 --> 00:31:39.839 queste persone che ti segnalano cose 00:31:39.839 --> 00:31:41.440 che non hai visto o non 00:31:41.440 --> 00:31:43.359 avevi le competenze per vedere oppure 00:31:43.359 --> 00:31:45.679 anche la freschezza mentale o l'angolo 00:31:45.679 --> 00:31:48.960 mentale per vederle aggiunge valore a 00:31:48.960 --> 00:31:50.000 quello che già conosci. 00:31:50.159 --> 00:31:52.815 Quindi è uno strumento comunque di supporto, 00:31:52.815 --> 00:31:54.494 non sostituisce un team interno, 00:31:54.494 --> 00:31:56.734 non deve essere usato sempre ma 00:31:56.734 --> 00:31:58.095 a seconda della maturità, 00:31:58.095 --> 00:32:01.134 dello stato di maturità di ogni azienda. 00:32:01.855 --> 00:32:06.619 Sì certo, bisogna considerarlo nel complesso 00:32:06.619 --> 00:32:09.580 e vedere i vantaggi che può 00:32:09.580 --> 00:32:12.940 portare anche in prospettiva futura soprattuto 00:32:13.259 --> 00:32:15.259 in un contesto, come dicevamo all'inizio, 00:32:15.259 --> 00:32:18.105 anche normativo, in cui è importante, 00:32:18.744 --> 00:32:21.384 bisogna investire sempre di più in 00:32:21.384 --> 00:32:25.625 cybersicurezza perché la nostra vita passa 00:32:25.625 --> 00:32:30.105 veramente sempre di più da internet. 00:32:30.184 --> 00:32:33.450 Sì, aggiungo che la NIS 2 00:32:33.450 --> 00:32:34.730 e tutte le normative che vengono 00:32:34.730 --> 00:32:36.410 insistono anche sul tema di filiera. 00:32:36.890 --> 00:32:39.130 Cioè la mia azienda non è 00:32:39.130 --> 00:32:40.890 una azienda che è in una 00:32:40.890 --> 00:32:43.450 bolla da sola, è collegata ad 00:32:43.450 --> 00:32:45.894 altre aziende, collegata in vario modo, 00:32:45.894 --> 00:32:47.335 ma oggi sempre più anche attraverso 00:32:47.335 --> 00:32:52.535 sistemi informativi, ERP, sistemi interconnessi, 00:32:52.535 --> 00:32:54.295 questo succede nel software così come 00:32:54.295 --> 00:32:57.255 succede in processi di produzione, 00:32:57.414 --> 00:32:58.375 si parla di filiere, 00:32:58.375 --> 00:33:00.089 si parla di questo tema, 00:33:00.089 --> 00:33:01.930 quindi un prodotto finale che arriva 00:33:01.930 --> 00:33:03.450 a un consumatore è composto da 00:33:03.450 --> 00:33:05.131 tanti pezzi, che sia il suo 00:33:05.131 --> 00:33:06.650 software o non software ma è 00:33:06.650 --> 00:33:07.849 composto da tanti pezzi che vengono 00:33:07.849 --> 00:33:10.569 prodotti in giro per il mercato, 00:33:10.569 --> 00:33:12.569 per il mondo e quindi è 00:33:12.569 --> 00:33:14.924 importante che viene chiesta questa cosa 00:33:14.924 --> 00:33:18.765 qua anche perché se un anello 00:33:18.765 --> 00:33:20.845 di quella produzione è vulnerabile potrebbe 00:33:21.565 --> 00:33:25.724 rendere vulnerabile tutto il comparto e 00:33:25.724 --> 00:33:26.765 quindi si parla molto, 00:33:26.765 --> 00:33:28.470 la NIS 2 parla appositamente di 00:33:28.470 --> 00:33:30.229 controllo delle terze parti. 00:33:30.230 --> 00:33:31.750 Le terze parti sono il colore 00:33:31.750 --> 00:33:34.789 quelle aziende che sono fornitrici di 00:33:34.789 --> 00:33:36.549 un'altra azienda, quindi tu non sei 00:33:36.549 --> 00:33:37.829 responsabile solo di quello che fai 00:33:37.829 --> 00:33:39.990 tu ma anche del controllo di 00:33:39.990 --> 00:33:41.269 quello che fanno i tuoi fornitori. 00:33:41.674 --> 00:33:43.755 Che nella pratica si traduce magari 00:33:43.755 --> 00:33:46.554 in delle API che si collegano... 00:33:46.554 --> 00:33:47.674 Quando si parla software, 00:33:47.674 --> 00:33:47.994 sì. 00:33:48.154 --> 00:33:49.674 Quando si parla di software si 00:33:49.674 --> 00:33:53.515 traduce in API di terze parti, 00:33:53.515 --> 00:33:54.794 che devono essere sicure. 00:33:57.299 --> 00:33:58.980 Magari il mio software è sviluppato 00:33:58.980 --> 00:34:00.340 per una parte da un'azienda e 00:34:00.340 --> 00:34:01.779 per un'altra da un'altra azienda. 00:34:02.019 --> 00:34:05.059 Poi si parlano per API oppure no, 00:34:05.220 --> 00:34:07.220 ma tecnicamente sono due aziende che 00:34:07.220 --> 00:34:08.579 hanno due procedure e due approcci 00:34:08.579 --> 00:34:11.335 alla sicurezza diversi, perché sono due 00:34:11.335 --> 00:34:15.575 aziende diverse, però se una di 00:34:15.575 --> 00:34:17.815 queste è vulnerabile rendono vulnerabile il 00:34:17.815 --> 00:34:19.494 sistema complessivo. 00:34:22.150 --> 00:34:23.429 Bisogna stare attenti, insomma, 00:34:23.429 --> 00:34:24.550 a come si lavora non solo 00:34:24.550 --> 00:34:25.750 come lavoro io, ma anche come 00:34:25.750 --> 00:34:26.630 lavorano i miei partner, 00:34:26.710 --> 00:34:27.750 i miei fornitori. 00:34:28.309 --> 00:34:30.550 Perfetto, va bene, allora grazie Luca 00:34:30.550 --> 00:34:34.150 per averci raccontato anche questo aspetto 00:34:34.150 --> 00:34:36.710 della cyber sicurezza, quindi in particolare 00:34:36.710 --> 00:34:39.295 dei bug bounty e anche così 00:34:39.295 --> 00:34:41.855 per avere chiuso tutti gli ambiti 00:34:41.934 --> 00:34:45.535 business di cui si occupa UNGUESS, 00:34:45.614 --> 00:34:46.574 alla prossima. 00:34:46.574 --> 00:34:47.695 Grazie, grazie a voi, 00:34:47.695 --> 00:34:48.094 alla prossima. 00:34:57.200 --> 00:34:59.200 E così si conclude questa puntata 00:34:59.200 --> 00:35:01.599 di INSiDER - Dentro la Tecnologia, 00:35:01.599 --> 00:35:03.680 io ringrazio come sempre la redazione 00:35:03.680 --> 00:35:05.594 e in special modo Matteo Gallo 00:35:05.594 --> 00:35:07.594 e Luca Martinelli che ogni sabato 00:35:07.594 --> 00:35:09.835 mattina ci permettono di pubblicare un 00:35:09.835 --> 00:35:10.875 nuovo episodio. 00:35:10.875 --> 00:35:12.635 Per qualsiasi tipo di domanda o 00:35:12.635 --> 00:35:17.195 suggerimento scriveteci a redazione@dentrolatecnologia.it, 00:35:17.275 --> 00:35:20.719 seguiteci su Instagram a @dentrolatecnologia dove 00:35:20.719 --> 00:35:24.239 durante la settimana pubblichiamo notizie e approfondimenti. 00:35:24.239 --> 00:35:26.400 In qualsiasi caso nella descrizione della 00:35:26.400 --> 00:35:28.559 puntata troverete tutti i nostri social. 00:35:28.707 --> 00:35:31.667 Se trovate interessante il podcast condividetelo 00:35:31.667 --> 00:35:32.947 che per noi è un ottimo 00:35:32.947 --> 00:35:34.787 modo per crescere e non dimenticate 00:35:34.787 --> 00:35:36.227 di farci pubblicità. 00:35:36.227 --> 00:35:38.387 Noi ci sentiamo la settimana prossima.