Scarica numero di ED Link - Elsag Datamat

COVER STORY
da/from pag. 1
IL SECURITY OPERATION CENTER DI ELSAG DATAMAT
THE ELSAG DATAMAT SECURITY OPERATION CENTER
Se l’uso di tali prodotti software è irrinunciabile,
è tuttavia fondamentale l’apporto
fornito dal personale del SOC, che
con la sua esperienza e professionalità è
in grado di governare in maniera appropriata
il processo di analisi. Al monitoraggio
deve affiancarsi una costante attività
di “security intelligence”, ovvero
un’azione continua di aggiornamento
delle vulnerabilità e delle nuove tecniche
di attacco: due processi complementari
ed entrambi determinanti per il raggiungimento
dell’obiettivo.
Con la locuzione “security devices management”
viene identificata la seconda
macro-area, quella relativa alla gestione
dei dispositivi di sicurezza. Una delle attività
principali del nostro SOC è di amministrare
da remoto (oltre che, all’occorrenza,
con interventi on site) i
dispositivi di sicurezza del cliente. È questo
uno degli aspetti fondamentali della
cosiddetta “sicurezza gestita”: il cliente
viene liberato dall’onere della gestione
diretta dei dispositivi e dalla necessità di
disporre al proprio interno di figure specializzate
in materia (un ruolo, quello
dello specialista di sicurezza, che ha le
proprie peculiarità e che molto difficilmente
può essere unificato tout-court
con il sistemista di rete o il responsabile
IT). Tutta l’attività di gestione ruota attorno
al concetto di “policy”, ovvero alle
regole che vengono applicate nella configurazione
degli apparati di sicurezza, le
quali sono implementate tenendo conto
delle politiche di alto livello definite dalla
direzione dell’azienda/organizzazione,
delle best practice di settore e dell’esperienza
acquisita dagli operatori. Riferen-
The services provided by the Elsag
Datamat Security Operation Center
can be classified into three macro
areas: real time network monitoring,
security device management and IT
incident management. Let’s look at
them in this order. Real time device
monitoring refers to the real time
control of events occurring in a network,
in order to identify possible security
violations or potentially
dangerous or suspect actions. In this
area the support provided by vertical
tools is essential to gather and
analyse events occurring continuously
in the network (mainly logs), in
order to identify possible threats. But
while the use of these software products
is vital, the support offered by
SOC personnel is also essential, providing
the experience and professional
skill needed to manage the
analysis process correctly. Monitoring
must be accompanied by constant
security intelligence activities,
involving continuous upgrading to
protect against vulnerabilities and
new attack techniques. These two
complementary processes are both
essential to achieve the objective.
Security devices management is the
second macro area. One of the main
activities of our SOC is the remote
administration of customer security
devices (with on-site intervention
where necessary). This a key aspect
of “managed security”: customers
are freed of the burden of managing
devices themselves and the need to
employ specialists (whose services
dosi alle policy di sicurezza, si parla giustamente
non soltanto di “policy management”,
ovvero del processo di gestione
continuativa delle stesse, ma anche di
“policy enforcement”, cioè dell’applicazione
centralizzata (e in qualche modo
“forzata”) delle regole definite a tutto il
perimetro dell’organizzazione.
Ultima delle tre macro-aree nelle quali
abbiamo schematizzato l’operatività del
Security Operation Center di Elsag Datamat
è quella della gestione degli incidenti.
Per una migliore comprensione del
concetto d’incidente informatico prendiamo
a prestito la definizione utilizzata
nella norma internazionale ISO/IEC
18044 (definizione assorbita anche da
norme più note quali la ISO 27001) che lo
descrive come “un evento o una serie di
eventi non voluti o inattesi di sicurezza
informatica, i quali hanno una significativa
probabilità di compromettere le operazioni
di business e di costituire una minaccia
per la sicurezza delle
informazioni”. Dalla definizione si evince
la stretta correlazione del concetto d’incidente
informatico con il processo di
analisi degli eventi di sicurezza precedentemente
descritto.
Il processo di gestione degli incidenti informatici
è usualmente suddiviso – e tale
schematizzazione è ormai consolidata
nella letteratura di settore – in quattro
sotto-processi, ovvero: incident identification,
che consiste nell’individuazione
di potenziali attività “maliziose” in corso;
incident classification, ovvero la classificazione
del livello di criticità della minaccia
associata all’evento in corso al fine
di individuarne la tipologia e identificare
il target dell’attacco; incident notification,
cioè la comunicazione dell’incidente
all’interno dell’organizzazione di riferimento
(in particolare, nell’ambito del
“computer security emergency response
team”, un gruppo di esperti appositamente
costituito per la gestione di situazioni
critiche o di emergenza); “response
& containment”, che consiste nell’individuazione
delle appropriate strategie di
contenimento e di reazione all’incidente
in corso al fine di limitarne l’impatto sui
sistemi e sui servizi.
È comunque riduttivo identificare l’attività
del nostro SOC esclusivamente nei
processi che abbiamo descritto. Tipicamente,
infatti, viene fornita una vasta serie
di servizi “complementari” a quelli descritti
ma non di minor importanza: dalla
8