Riduci il rischio con un penetration test (o: ‘Come parlare di assicurazioni senza addormentarsi’)

Blog di Andy | Pubblicato il giovedì 12 maggio 2022

Un test di penetrazione sui vostri sistemi informatici può aiutare a individuare le vostre debolezze prima che lo faccia qualcun altro…

Ok, qual è il tema più noioso del mondo?

Calcoli per la casa? Le rotonde britanniche? Relazioni fiscali? Sicuramente non la politica al momento (ma non andiamo oltre).

Io preferisco l'assicurazione

Ora, non sto prendendo in giro le persone che lavorano nel settore assicurativo. Alcuni dei miei migliori amici sono assicuratori. Ma è un lavoro davvero noioso.

Non sono un fan delle materie matematiche in generale. ha sofferto invece che studiare matematica a scuola. Quindi i calcoli assicurativi, i premi in percentuale e tutto il resto sono già contro me. Inoltre, però, l’assicurazione è per definizione qualcosa che non si desidera mai avere bisogno di. Un po’ come armeria nucleare. Anche se quel paragone è interessante, dimenticate che l’ho menzionato.

Come si vede, l'assicurazione si concentra su una somma di negativi. Tutti i ‘cosa succederebbe se’ e i ‘solo in caso di emergenza’ si condensano in un unico calcolo matematico complesso. Un calcolo che tenta di bilanciare i possibili effetti di innumerevoli incidenti contro la probabilità che essi si verifichino. Sinceramente, mentre scrivo questo, sto già addormentandomi.

Ok, così da non farvi addormentare pure voi, diamo un’altra occhiata a questo problema per cercare di darci una sbattuta in faccia.

Rischio

Sì. Suona un po’ più sexy, no? Quando iniziamo a parlare di rischio – essenzialmente l’altro lato della medaglia assicurativa – iniziamo a esplorare cose come paracadute che non si aprono o che restano bloccati nei meccanismi di un combinato. Sì: è il dettaglio più piccolo Cosa potrebbe andare storto Siamo noi che dobbiamo concentrarci su questo. Non sull’algoritmo che decide quanto dobbiamo pagare e sui termini e le condizioni della sua copertura.

E quando parliamo di rischio, guardiamo anche alle modalità per mitigarlo e combatterlo. Sì, ho dovuto cercare la definizione di ‘rischio”.‘lottare’Anche io ho riscontrato questo nel mio lavoro di ricerca. Siamo qui per ampliare il vostro vocabolario.

Per tornare al tema generale, essere ‘attenti’ è più noioso che ‘non importa se fai attenzione’. Ma è il nostro stato di default. Non avremmo molto da guadagnare senza un sano senso di autocontrollo e di evitare i rischi. Quindi chiudiamo la porta di casa quando usciamo e guardiamo entrambi i lati quando attraversiamo la strada. Beh, più di una volta.

Mitigando il rischio

Quando si tratta di assicurazione auto, guidare con più attenzione riduce il rischio di un incidente. Oggi esistono numerose compagnie assicurative che offrono sconti ai conducenti attenti. Utilizzano dispositivi o app dedicati sul tuo smartphone per registrare il tuo comportamento di guida. È un modo attivo per garantire che l’esposizione al rischio sia limitata. Inoltre, in cambio di queste informazioni, risparmi sulla tua polizza.

Allora, che dire dei rischi per le aziende? Beh, la salute e la sicurezza sono importanti, certo, anche se notoriamente oggetto di lamentele. Ma quando si tratta di cose negative che possono accadere nel mondo degli affari, le fughe di dati sono emerse come una delle situazioni più spiacevoli e probabilmente una delle più costose in termini di risarcimenti e sanzioni.

British Airways Nel 2019 fu multato con 183 milioni di sterline, e questo avrà aggiunto al bilancio dei consulenti e del personale IT incaricato di risolvere la vulnerabilità che l'aveva causata. In USA nel 2017, la società di credito Equifax perso i dati personali e finanziari di quasi 150 milioni di persone a causa di un software non aggiornato, una delle sue basi di dati. La multa di $575 milioni è stata spettacolare perché non hanno informato il pubblico per diverse settimane.

Le violazioni dei dati sono solitamente il risultato di vulnerabilità nella sicurezza informatica sfruttate, e, come nel caso di Equifax, si tratta di vulnerabilità che possono essere individuate e risolte se si tiene sotto controllo il sistema operativo. Le verifiche periodiche dei sistemi che gestiscono le attività aziendali (facciamo pure i conti: sono almeno altrettanto importanti per l’organizzazione quanto l’infrastruttura fisica) equivalgono a guidare con attenzione. Ridurre il rischio. Assicurazione.

“Qual è il modo migliore per verificare i punti deboli dei sistemi della mia azienda?”, vi chiedo di certo di dire.

Beh, l’avete visto il film?‘Prendi me se puoi’, con protagonista Leonardo di Caprio e Tom Hanks? È la storia straordinaria e molto divertente basata sulla vita di Frank Abagnale Jr., Abagnale è un personaggio affascinante, condannato per furto, falsificazione e frode. Secondo lui, si è presentato come avvocato, medico e pilota di aeroplano, nonostante non avesse alcuna formazione o qualifica per un qualsiasi incarico. La sua abilità consisteva nella falsificazione: negli anni '60 e '70 era attivo quando i documenti cartacei erano la principale fonte di prova.

Quando l'FBI finalmente riuscì a rintracciarlo, Abagnale fu giudicato colpevole e condannato a oltre tre anni di carcere federale negli Stati Uniti. Tuttavia, la sua relazione con l'FBI divenne piuttosto interessante. Il successo che aveva nel eludere le manovre dell'FBI per anni lo rese una fonte importante di informazioni per loro. Ha tenuto lezioni all'Accademia dell'FBI e sostiene di aver lavorato direttamente per essa (anche se possiamo fidarci delle sue parole su questo punto?).

Un po' di digressione

Il punto è che, a volte, il modo migliore per testare un sistema, sia che si tratti della falsificazione di documenti o della sicurezza digitale, è utilizzare le tecniche che un vero criminale o un hacker potrebbe utilizzare. E questo è ciò che potete fare con la vostra sicurezza informatica. Avete mai incontrato qualcosa del genere? test di penetrazione?

Test di penetrazione? Che cazzo è? quello?

Lo so: suona, ehm, allarmante. Ma in sostanza, un test di penetrazione utilizza una serie di tecniche che cercano di trovare i punti di accesso ai tuoi sistemi informatici. È molto simile a ciò che gli hacker e i bot utilizzano davvero per ottenere l’accesso. Quando trovano porte aperte o informazioni esposte, vengono rilevate delle segnalazioni. Quindi è possibile individuare le azioni da intraprendere per riparare i buchi nel sistema.

In linea di massima, è necessario eseguire regolarmente test di penetrazione sui propri sistemi informatici. Regolarmente vengono rilevati nuovi rischi e modi per sfruttare le vulnerabilità, soprattutto nei sistemi e nel software più diffusi, quindi è necessario assicurarsi che: a) i propri sistemi siano regolarmente aggiornati e b) vengano effettuati regolarmente test per verificare l’eventuale presenza di nuove vulnerabilità.

Non è così grave come sembra. Ok, come posso ottenere un test di penetrazione?

A Idency disponiamo di un ampio set di test e verifiche che possiamo effettuare nell’ambito di un servizio che chiamiamo IdencyAudit. I test di penetrazione fanno parte di quel servizio e possiamo anche aiutarti a capire cosa devi fare per proteggere il tuo sistema quando vengono riscontrate delle vulnerabilità. Perché, andiamo sul serio: è importante che tu le individuisca prima che lo faccia qualcun altro.

Richiedete un appuntamento Se desiderate discutere – siamo felici di consigliare o semplicemente di discuterne il percorso.

Quindi – credo che possiamo tutti essere d’accordo sul fatto che l’assicurazione sia una faccenda noiosa quanto l’acqua di fogna (o forse è più grave dell’acqua da lavare i piatti?). Quando si tratta di rischio, invece, è molto meglio – e potrebbe farti risparmiare enormi somme di denaro – se prendi provvedimenti prima che la calamità si verifichi.

Buonanotte – e non fate incubi…

Andy B