Il grosso problema di fondo, come evidenziato da tutti questi fatti, è l'incredibile mancanza di implementazione delle misure minime di sicurezza logica. Nel caso della regione Lazio è inconcepibile che un account con privilegi di amministrazione che per di più ha accesso da remoto non preveda l'autenticazione a due fattori (come la normativa già prevedeva!) o con token fisico. Roba da matti... spero almeno che la mazzata abbia dato a tutti una sveglia!
Gentilissimo, nel 2019 con un banalissimo vulnerability assessment SSL ho riscontrato che il sito web di una forza di polizia continuava a essere esposto a una vulnerabilità presente da tre anni precedenti...
@@davidglc Purtroppo il dato di fatto è che la maggioranza, per non dire la quasi totalità, degli enti pubblici, e non solo quelli piccoli, sia per limiti di competenza che di spesa, hanno, da sempre, trascurato l'adeguamento (che deve essere continuo) e la sorveglianza dei sistemi informativi. Non come ora che ci si preoccupa del recinto bucato solo dopo che sono entranti in casa e hanno derubato. All'origine, in molti casi, l'errore, grave, di base è stato affidare negli enti, locali e centrali, la direzione dei sistemi informativi a persone, di nomina politica e clientelare, con zero esperienza in merito (e a cascata la selezione del personale). E' ora assolutamente necessario che qualcuno si decida a fare degli audit seri e severi, a tappeto e ripetuti regolarmente, imponendo l'attuazione almeno delle regole minime di base, sarebbe anche un risparmio economico rispetto ai danni e ai costi di ripristino.
@@lucaduca9407 Corretto, lavoro nel settore della sicurezza dei sistemi informativi da circa 20 anni. Il primo e più importante step è diffondere la consapevolezza di utilizzare strumenti indispensabili come contenitori di password, in modo da utilizzare password complesse e differenti per ogni utenza, come pure i servizi di autenticazione a due fattori o basati su certificati digitali. Porto un esempio pratico: ho un servizio esposto all'accesso pubblico. Appena ho saputo che quel servizio poteva essere esposto a una vulnerabilità basata proprio sul login, ho attivato su quel servizio una pre-autenticazione basata su certificato digitale. In questo modo chiunque non disponga di un certificato emesso da una specifica autorità di certificazione non può nemmeno visualizzare la pagina di login.
10:14 "Erano delle misure obbligatorie" "Sì, sono misure obbligatorie" "Però che succede se non si applicano queste misure minime di sicurezza?" "In realtà non succede niente perchè, pur essendo una norma di obbligatoria adozione, non sono previste sanzioni" * cala il sipario sul grande circo della PA italiana *
11:40 “non hanno cancellato i dati, li hanno cifrati ma i dati c’erano” è diverso da “non hanno cancellato i dati, li hanno cifrati e ci hanno chiesto un riscatto per decifrarli” perché i dati cifrati da qualcun altro non sono utilizzabili senza chiave. Ma poi affermano di non aver pagato un riscatto ma di aver speso comunque cifre milionarie🤔
è mai possibile che un informatico italiano crei un antivirus ad HOC e che questo software viene installato gratuitamente a tutti i server statali e di grandi ditte con regolari aggiornamenti a costo zero o a noleggio col pagamento annuale di 100 euro? mah
Il grosso problema di fondo, come evidenziato da tutti questi fatti, è l'incredibile mancanza di implementazione delle misure minime di sicurezza logica. Nel caso della regione Lazio è inconcepibile che un account con privilegi di amministrazione che per di più ha accesso da remoto non preveda l'autenticazione a due fattori (come la normativa già prevedeva!) o con token fisico. Roba da matti... spero almeno che la mazzata abbia dato a tutti una sveglia!
Lll
ĺù
Gentilissimo, nel 2019 con un banalissimo vulnerability assessment SSL ho riscontrato che il sito web di una forza di polizia continuava a essere esposto a una vulnerabilità presente da tre anni precedenti...
@@davidglc Purtroppo il dato di fatto è che la maggioranza, per non dire la quasi totalità, degli enti pubblici, e non solo quelli piccoli, sia per limiti di competenza che di spesa, hanno, da sempre, trascurato l'adeguamento (che deve essere continuo) e la sorveglianza dei sistemi informativi. Non come ora che ci si preoccupa del recinto bucato solo dopo che sono entranti in casa e hanno derubato.
All'origine, in molti casi, l'errore, grave, di base è stato affidare negli enti, locali e centrali, la direzione dei sistemi informativi a persone, di nomina politica e clientelare, con zero esperienza in merito (e a cascata la selezione del personale).
E' ora assolutamente necessario che qualcuno si decida a fare degli audit seri e severi, a tappeto e ripetuti regolarmente, imponendo l'attuazione almeno delle regole minime di base, sarebbe anche un risparmio economico rispetto ai danni e ai costi di ripristino.
@@lucaduca9407 Corretto, lavoro nel settore della sicurezza dei sistemi informativi da circa 20 anni. Il primo e più importante step è diffondere la consapevolezza di utilizzare strumenti indispensabili come contenitori di password, in modo da utilizzare password complesse e differenti per ogni utenza, come pure i servizi di autenticazione a due fattori o basati su certificati digitali.
Porto un esempio pratico: ho un servizio esposto all'accesso pubblico. Appena ho saputo che quel servizio poteva essere esposto a una vulnerabilità basata proprio sul login, ho attivato su quel servizio una pre-autenticazione basata su certificato digitale. In questo modo chiunque non disponga di un certificato emesso da una specifica autorità di certificazione non può nemmeno visualizzare la pagina di login.
Ormai ...il mondo ...sta cambiando radicalmente, preparatevi a vivere senza wifi e stare nel bosco per sopravvivere
Colpite l'agenzia dell'entrata e le banche, fatte qualcosa di utile... Ma non gli ospedali.
Bravo e poi cancellateci i debiti 🤣🤣🤣
@@giuseppeciavarella8182 quella la prima cosa ..🤣🤣🤣
A pagare siamo sempre noi
Unica certezza granitica della vita oltre a madre e morte.
Pena di morte per chi fa questi atti infami e vili!
Pena di morte per chi è responsabile della sicurezza e non la assicura.
10:14
"Erano delle misure obbligatorie"
"Sì, sono misure obbligatorie"
"Però che succede se non si applicano queste misure minime di sicurezza?"
"In realtà non succede niente perchè, pur essendo una norma di obbligatoria adozione, non sono previste sanzioni"
* cala il sipario sul grande circo della PA italiana *
11:40 “non hanno cancellato i dati, li hanno cifrati ma i dati c’erano” è diverso da “non hanno cancellato i dati, li hanno cifrati e ci hanno chiesto un riscatto per decifrarli” perché i dati cifrati da qualcun altro non sono utilizzabili senza chiave.
Ma poi affermano di non aver pagato un riscatto ma di aver speso comunque cifre milionarie🤔
Maledetto CONTI!! 😄
Il phishing non è quello che dite, spiegatelo bene... nessuno prende password solo se clicchi su un link
Ancora non avete visto nulla...
La soluzione è la BLOCKCHAIN
!!!
😂😂😂😂
Tu si che non hai capito niente.
è mai possibile che un informatico italiano crei un antivirus ad HOC e che questo software viene installato gratuitamente a tutti i server statali e di grandi ditte con regolari aggiornamenti a costo zero o a noleggio col pagamento annuale di 100 euro? mah
Godo
le favole
Nessuna favola, è realtà purtroppo.
@@Skleros sei del mestiere ?
@@timiditta70 non lo è e parla a vanvera. tu come la vedi? americani? io penso di si.
Quali sarebbero le favole? Che scrivi a fare un commento se non lo argomenti?
@@alexpad8089 ci dovete arrivare da soli io argomento nelle giuste stanze