Abstract
Il progressivo e costante diffondersi dell’internet of things ha cambiato il concetto di sicurezza informatica aumentando esponenzialmente la superficie virtuale esposta agli attacchi e generando nuove sfide per la cyber security.
La piaga degli attacchi informatici non risparmia nessuna azienda, custode di informazioni importanti e sensibili.
E’ un dato di fatto che all’interno delle aziende “transitano” molti professionisti e dipendenti che hanno accesso a tutte le risorse del sistema informatico. Spesso il turnover è elevato e con esso gli accessi ai documenti che spesso e volentieri vengono salvati sui device mobili personali che quindi rimangono in possesso dei dipendenti anche dopo che hanno lasciato l’ufficio.
Antivirus e firewall non costituiscono più armi sufficienti per combattere questo tipo di fuga di informazioni poiché la minaccia più importante arriva dagli utenti interni all’azienda e software come antivirus e firewall non possono bloccare l’utilizzo o la diffusione non autorizzata dei documenti riservati e sensibili.
I dispostivi mobili e il cloud computing giocano in questo scenario un ruolo importantissimo in quanto vengono oramai usati come dei normali personal computer sui cui vengono salvati e condivisi documenti di ogni tipo. Inoltre vista la loro “portabilità” sono spesso oggetto di furto o “dimenticanze” mettendo in crisi la riservatezza dell’azienda e dei suoi documenti.
Boole Server è la soluzione leader di mercato per la protezione datacentrica e per la prevenzione del furto e della perdita di dati condivisi e riservati. Scelto da centinaia di clienti in tutto il mondo, da grandi marchi internazionali a piccole imprese, Boole Server protegge la condivisione di dati confidenziali, sia all’interno che all’esterno dell’azienda. La soluzione Boole Server è attualmente distribuita in oltre 20 Paesi grazie a una fitta rete di partner e di uffici in Europa, Medio Oriente e Stati Uniti.
IMQ, principale ente italiano nel settore delle valutazioni di conformità, dispone di un proprio Laboratorio per la Valutazione della Sicurezza (LVS) accreditato dall’OCSI (Organismo di Certificazione della Sicurezza Informatica). LVS IMQ ha in corso la valutazione del prodotto Boole Server secondo lo Schema Nazionale per la valutazione e certificazione della sicurezza di sistemi e prodotti nel settore della tecnologia dell’informazione (DPCM del 30 ottobre 2003). La valutazione delle funzionalità di sicurezza di Boole Server è svolta in conformità ai Common Criteria ad un livello di garanzia EAL 2+ (ALC_FLR.2).
Perché Boole Server
Boole Server è il data loss prevention software che protegge la riservatezza delle informazioni. Boole Server è un sistema di protezione completo per impedire l’utilizzo indebito dei file riservati da parte di collaboratori, fornitori e utenti non autorizzati.
Oggi è quanto mai facile perdere il controllo di un documento riservato che, senza protezione, può essere stampato, copiato o inoltrato ad un concorrente oppure ad un organo di stampa. Non dimentichiamo che anche i dipendenti possono conservare ed utilizzare i documenti in loro possesso anche quando non collaborano più con il datore di lavoro. Con Boole Server tutti i documenti ed i dati saranno sempre protetti e sotto controllo con un sistema di prevenzione perdita dati ai massimi livelli.
Il sistema progettato da Boole Server offre:
- Protezione dei file aziendali riservati
- Condivisione dati immediata e controllata con gruppi di lavoro, collaboratori o clienti, anche tramite email
- Integrabilità assoluta con le più diffuse applicazioni (es. Office, Sharepoint)
- Monitoraggio costante di tutti gli accessi e utilizzi ai file crittografati
- Flessibilità per adattarsi alle esigenze sia degli studi professionali sia delle aziende multinazionali con strutture complesse. Boole Server è applicabile ad illimitati ambiti di utilizzo. E’ adatto alle esigenze di aziende multinazionali, così come per le PMI, per studi professionali e la Pubblica Amministrazione. Tutto questo è testimoniato dall’esperienza diretta di enti e imprese che hanno già implementato e utilizzano con soddisfazione il nostro software protezione dati
- Compatibilità con tutti i tipi di dispositivi (tablet, smartphone, laptop), così che ogni utente può gestire la condivisione sicura dei file aziendali collegandosi anche dall’esterno
Boole Server – Data Centric Protection
Le aziende possono sicuramente tutelarsi da questi rischi proteggendo il documento con sistemi che permettano ad esempio “l’offuscamento” tramite la cifratura. In questo modo si può impedire la visualizzazione a chiunque non sia autorizzato.
Parallelamente il sistema deve riconoscere tutti gli utenti che devono avere accesso ai documenti riservati e con quali permessi tracciando tutte le attività svolte dagli utenti stessi.
Boole Server, il data centric protection software, è basato su un’architettura strutturata a più livelli, per una gestione ottimale della sicurezza da parte di tutti i responsabili dei dati aziendali.
A livello operativo, numerose funzionalità sono messe a disposizione degli utenti che devono lavorare su file protetti:
- Data Encryption, la crittografia dati che protegge informazioni riservate
- Private Cloud, per la creazione e la protezione di un cloud computing aziendale sicuro
- File Sharing, per la condivisione sicura dei dati aziendali
- Watermark, per evitare la diffusione non autorizzata di dati aziendali sensibili
- Secure Messenger, per scambiare messaggi cifrati in qualunque modalità (testo, e-mail, Skype, Gmail, Msn messenger) ed evitare la sottrazione di dati aziendali
Perché Certificare le caratteristiche di sicurezza offerte da un prodotto ICT?
Valutare un prodotto o un sistema ICT secondo i Common Criteria fornisce all’utente finale la garanzia che il Laboratorio per la Valutazione della Sicurezza (LVS) ha effettuato un insieme di analisi e test rigorosi che forniscono una garanzia di sicurezza tanto più elevata quanto più elevato è il livello di garanzia con cui il prodotto viene valutato.
La valutazione di sicurezza con livello di garanzia EAL2 garantisce all’utente finale un’analisi completa, da parte dell’ LVS, di un insieme di documenti specifici del prodotto certificato nel rispetto di quanto richiesto dai Common Criteria:
- Traguardo di Sicurezza e requisiti di sicurezza in esso dichiarati (documento che viene in genere pubblicato sul portale internazionale dei Common Criteria (www.commoncroteriaportal.org) insieme al Rapporto di certificazione emesso dall’Ente di Certificazione OCSI
- Specifiche funzionali e descrizione di alto livello dell’architettura di sicurezza
- Documentazione Operativa (destinata sia all’amministratore che all’ utente finale)
- Documentazione dei test effettuati dallo Sviluppatore
Oltre all’analisi dei suddetti documenti, il Laboratorio di Valutazione della Sicurezza effettua una valutazione delle vulnerabilità del prodotto basata sulla documentazione sopra riportata dimostrando la resistenza ad un insieme di test di intrusione condotti simulando l’operato di un attaccante con un potenziale di attacco di tipo “basic”.
Il livello di garanzia EAL2 inoltre fornisce la garanzia della presenza e del corretto utilizzo da parte dello Sviluppatore di un sistema di controllo della configurazione (CMS) e di procedure sicure per la distribuzione e l’accettazione del prodotto certificato.
Boole Server, nell’ottica di mantenere sempre valido il certificato, ha inoltre deciso di aumentare il livello di garanzia standard EAL2 portandolo ad EAL2+ (ALC_FLR.2), ovvero introducendo il requisito di garanzia ALC_FLR.2 Flaw reporting procedures.
L’inclusione del requisito di garanzia ALC_FLR.2 nel processo di valutazione garantisce l’implementazione, da parte di Boole Server, di procedure specifiche per gestire le segnalazioni di malfunzionamento con impatti sulla sicurezza del prodotto provenienti dall’utente finale o dallo stesso Sviluppatore. Tali procedure descrivono tutti gli step che caratterizzano la gestione del malfunzionamento partendo dalle modalità con cui è possibile inoltrare la segnalazione, passando per le modalità con cui il malfunzionamento viene classificato come non rilevante per la sicurezza o rilevante per la sicurezza e in quest’ultimo caso, identificando gli step che devono essere seguiti per implementare, testare e comunicare all’utente finale le azioni correttive.
Autori
Andrea Sella – IMQ S.p.A – Valutatore Sicurezza Informatica
Marinella Surace – Boole Server Srl – Director of Operations
Riferimenti
