Le previsioni di PKWARE per il 2022 per la sicurezza dei dati, la privacy e molto altro

Le previsioni di PKWARE per il 2022 per la sicurezza dei dati, la privacy e molto altro

È difficile credere che il 2021 sia già finito, il che significa che è il momento delle previsioni di PKWARE per il 2022.

Ma prima di guardare nella nostra sfera di cristallo per il 2022, vediamo cosa abbiamo previsto come tendenze per il 2021:

  • Il lavoro remoto diventa la nuova normalità – Questo si sta certamente avverando, forse anche più velocemente del previsto. Molte aziende hanno adottato un ambiente di lavoro ibrido mentre la pandemia sta calando e i lavoratori esprimono apertamente la loro preferenza nella flessibilità riguardo a dove lavorano.
  • Le soluzioni di sicurezza si concentreranno a livello di dati – Questo è più difficile da misurare dopo un solo anno, ma a causa delle maggiori richieste di soluzioni olistiche di sicurezza dei dati, le tendenze sono chiare.
  • Le aziende adotteranno approcci più ampi rispetto alla conformità normativa – Questo sta diventando molto rilevante. Da quando lo abbiamo predetto un anno fa, più stati hanno già approvato regolamenti sulla privacy dei dati per conto proprio, e un paio di proposte di legge federali sono state introdotte al Congresso, il che significa che la privacy dei dati, e quindi la conformità, dovrebbe essere nella mente di ogni azienda.

Ora passiamo a quest’anno e ciò che prevediamo si concretizzerà nella sicurezza dei dati e nella gestione della privacy.

La necessità di una maggiore visibilità dei dati

Anche se le restrizioni dovute al COVID-19 si stanno allentando in alcuni luoghi, il lavoro remoto o ibrido è ancora molto popolare tra le aziende con dipendenti che hanno la possibilità di lavorare da casa. Ma con tale flessibilità arriva una maggiore necessità di visibilità dei dati. E per visibilità, intendiamo una visione di ciò che i dipendenti stanno facendo e a quali dati stanno accedendo sui dispositivi endpoint, da dove provengono le minacce e quanti dati vengono generati in tutta l’azienda. Inoltre, dato che la quantità di dati che le aziende generano, archiviano e gestiscono continua a crescere, le aziende devono essere in grado di tenere il passo con la loro protezione e avere una comprensione più profonda di dove si trovano i dati e chi vi ha accesso.

Inoltre, dato che l’outsourcing diventa un’esigenza aziendale essenziale per le startup e altre aziende di piccole e medie dimensioni che non dispongono delle competenze del personale per funzioni come la sicurezza e i servizi cloud, avranno bisogno di avere un ulteriore livello di visibilità sui loro dati. Questo include tenere traccia di chi sta accedendo a quali dati, quanti di quei dati i loro fornitori possono vedere e quando revocare l’accesso ad essi. Questa conoscenza è fondamentale per ridurre al minimo gli effetti delle violazioni dei dati e per rimanere in conformità con le normative statali, federali e internazionali.

Luce nuova sull’applicazione della privacy

Il General Data Protection Regulation (GDPR) è entrato in vigore nel 2018, e l’Unione europea (UE) sta iniziando ad aumentare le sanzioni alle aziende che non sono conformi. Lo stesso potrebbe accadere per le leggi statali sulla privacy che sono state approvate negli Stati Uniti, come il California Consumer Privacy Act (CCPA), che è stato convertito in legge nel 2018. Sebbene gli organismi preposti all’applicazione siano stati in qualche modo esitanti a far rispettare queste leggi in modo da non danneggiare finanziariamente o addirittura far fallire le aziende, le imprese devono prestare attenzione a quelle che potrebbero essere multe più significative in futuro.

Inoltre, ci aspettiamo anche che più stati continuino ad approvare le proprie leggi sulla privacy. Al momento in cui scrivo, almeno sei stati degli Stati Uniti hanno progetti di legge sulla privacy attivi, con molti altri che di recente non sono stati approvati e che probabilmente torneranno con una nuova iterazione. C’è anche il potenziale per gli Stati Uniti di passare a una regolamentazione federale per tutti i settori nei prossimi anni, simile a molte altre grandi nazioni. Presto, oltre il 50 percento della popolazione mondiale potrebbe essere coperto da una legge sulla privacy, poiché l’India sta attualmente approvando la propria. L’UE, la Cina, il Brasile e molte altre grandi nazioni hanno già adottato queste normative.

Le aziende effettueranno azioni di marketing in merito alla loro strategia sulla privacy dei consumatori

Il livello di consapevolezza dei consumatori riguardo al modo in cui le aziende stanno proteggendo i propri dati è in aumento – le persone hanno visto apparire notifiche sui propri smartphone che chiedevano loro di condividere i dati quando, ad esempio,  aprono certe applicazioni. Alcune organizzazioni si stanno distinguendo in merito alla loro strategia sulla privacy; Apple e Google stanno prendendo la cosa molto seriamente, così come le imprese nel settore dei servizi finanziari. Le aziende stanno incoraggiando i consumatori a cambiare spesso le password e li stanno informando in anticipo sul tipo di dati che stanno condividendo quando le app e i servizi sono in uso. I consumatori scelgono sempre di più a quali aziende affidare la propria attività, in parte a causa dell’approccio dell’organizzazione alla privacy e stanno diventando meno pazienti con le aziende che non prendono sul serio la protezione dei dati.

E, sebbene i consumatori non siano necessariamente a conoscenza dei nuovi Payment Card Industry Data Security Standards (PCI DSS) 4.0 che usciranno all’inizio del prossimo anno, questi standard avranno un impatto sulla pianificazione aziendale. Ciò potrebbe includere quali progetti saranno finanziati e come le aziende evolvono la loro strategia sulla privacy e la protezione dei dati delle carte di credito a seconda della nuova flessibilità che 4.0 dovrebbe fornire.

La necessità di strumenti di rilevamento e di sicurezza dei dati

Nel complesso, ciò a cui si riducono queste tre previsioni è la necessità di soluzioni automatizzate per la sicurezza dei dati. Sapere quali dati si hanno, dove e chi vi ha accesso, assicurandosi al contempo di proteggere i dati ovunque si spostino è essenziale per qualsiasi azienda, in particolare quelle che contengono informazioni sensibili come numeri di carte di credito e dati sanitari. PKWARE dispone di tutti gli strumenti necessari per questa strategia di sicurezza dei dati completa.

Fonte: PKware

Keeper Secrets Manager, il primo secret manager Zero-Trust, Zero-Knowledge, Cloud-Based

Keeper Secrets Manager, il primo secret manager Zero-Trust, Zero-Knowledge, Cloud-Based

Sai mantenere un segreto? E l’ambiente dei dati della tua organizzazione?

In una rete IT, un “segreto” è qualsiasi dato che deve rimanere riservato. Tipicamente, i “segreti” sono usati per l’autenticazione o come input per un algoritmo crittografico. I “segreti” comuni includono:

  • Credenziali di account privilegiati
  • Chiavi SSH
  • Chiavi e credenziali API e di altre applicazioni, comprese quelle utilizzate all’interno di container, sistemi CI/CD, processi di automazione, software RDP (Remote Desktop Protocol) e persino software di sicurezza
  • Password dei database e altre password system-to-system.
  • Certificati TLS/SSL e altri certificati privati per la comunicazione sicura
  • Chiavi di crittografia private

Dal momento che i secrets della rete IT sbloccano l’accesso a sistemi e dati altamente privilegiati, proteggere i segreti è fondamentale per prevenire i cyberattacchi tanto quanto proteggere le password degli utenti finali. Circa il 75% degli attacchi ransomware coinvolgono credenziali compromesse – la maggior parte delle volte, credenziali RDP.

Come i “segreti” vengono compromessi

Una delle più grandi sfide alla gestione dei segreti è la dispersione dei “segreti”, che si verifica quando le organizzazioni utilizzano un approccio ad-hoc alla gestione dei “segreti”. Diversi dipartimenti, team e persino membri del team gestiscono autonomamente i “segreti” sotto il loro controllo.

Questo approccio può sembrare ragionevole all’inizio. Per esempio, un nuovo microsito ha bisogno di accedere a un database. L’amministratore ha già un file di configurazione con dati sensibili, quindi perché non mettere al sicuro la chiave di accesso al database nello stesso file di configurazione, quindi assicurarsi che quel file sia protetto? Questo funziona quando un’organizzazione ha un numero relativamente basso di “segreti” da proteggere.

Tuttavia, quando le organizzazioni crescono, crescono anche i loro ambienti dei dati – e i “segreti” memorizzati al loro interno. Prima che il team IT se ne renda conto, i “segreti” si sono moltiplicati – solo le chiavi SSH possono essere migliaia – e sono sparsi in tutta la rete, senza un ordine particolare.

Le credenziali hardcoded o embedded sono un altro ostacolo alla gestione dei “segreti”. Molte soluzioni software, dispositivi IoT e altro hardware sono forniti con credenziali predefinite hardcoded. Se questi dispositivi e app vengono distribuiti senza cambiare le credenziali di default, i criminali informatici possono facilmente accedervi utilizzando strumenti di scansione insieme a dizionari brute-force o altri attacchi di password – o possono semplicemente consultare il manuale del dispositivo o dell’app, che contiene le credenziali di default.

Negli ambienti DevOps, i comuni strumenti di pipeline CI/CD come Jenkins, Ansible, Github Actions e Azure DevOps utilizzano segreti per accedere a database, server SSH, servizi HTTP e altri sistemi sensibili. Questi segreti sono memorizzati in un file di configurazione per il sistema di deployment o in uno di una dozzina di diversi vault di archiviazione, tutti che forniscono capacità diverse a seconda del prodotto. In uno scenario in cui gli amministratori non stanno memorizzando le credenziali nei file di configurazione o nei sistemi, è probabile che siano memorizzati nei loro ambienti DevOps. Qualunque sia il caso, gli amministratori possono o non possono avere alcun avviso sull’uso di questi segreti.

Mentre alcuni strumenti includono secrets managers integrati, che consentono alle organizzazioni di rimuovere le credenziali hardcoded/incorporate, i secrets managers funzionano solo con quegli strumenti, il che non risolve il problema della dispersione dei “segreti”.

Keeper Secrets Manager: Sicurezza Zero-Trust, Zero-Knowledge per i segreti della tua rete

Keeper è lieta di annunciare il lancio di Keeper Secrets Manager, la prima e unica piattaforma zero-knowledge basata su cloud e completamente gestita per proteggere le chiavi segrete dell’infrastruttura, quali chiavi API, password di database, chiavi di accesso, certificati e qualsiasi tipo di dato riservato.

Keeper Secrets Manager sfrutta lo stesso modello di sicurezza zero-knowledge della piattaforma Enterprise Password Management (EPM) di Keeper.

Con Keeper Secrets Manager, tutti i server, le pipeline CI/CD, gli ambienti di sviluppo e le applicazioni sviluppate in casa estraggono i segreti da un endpoint API sicuro. Ogni “segreto” viene crittografato con una chiave AES a 256 bit, e poi nuovamente crittografato da un’altra chiave applicativa AES-256. Il dispositivo client recupera il testo cifrato dal cloud Keeper, e i “segreti” vengono decifrati e utilizzati localmente sul dispositivo – non sui server di Keeper.

Inoltre, tutte le richieste del server sono ulteriormente crittografate con una chiave AES-256 via TLS per evitare attacchi Man-in-the-Middle. Questa crittografia multistrato è gestita in modo trasparente attraverso i nostri SDK lato client, che sono facili da integrare in qualsiasi ambiente.

Mentre le soluzioni concorrenti di secrets management richiedono ai clienti di acquistare hardware speciale, installare un servizio proxy o utilizzare un fornitore di servizi cloud specifico, Keeper Secrets Manager si integra perfettamente in quasi tutti gli ambienti, senza hardware aggiuntivo o infrastruttura cloud-hosted richiesta. Offre integrazioni out-of-the-box con una vasta gamma di strumenti DevOps, tra cui Github Actions, Kubernetes, Ansible e altro.

Keeper Secrets Manager è un’estensione naturale di Keeper Enterprise Password Manager (EPM). È incorporato in Keeper Web Vault, Desktop App e Admin Console, con integrazioni nel modulo Advanced Reporting and Alerts di Keeper, BreachWatch, Webhooks, integrazione con soluzioni SIEM di terze parti e strumenti di conformità. Per esempio, qualsiasi credenziale hardcoded o embedded memorizzata nel Keeper Vault di un’organizzazione sarà soggetta alle scansioni di BreachWatch, e gli amministratori IT saranno avvisati se una di queste credenziali viene compromessa.

Fonte: Keeper Security

Le 3 principali priorità IT per il 2022

Le 3 principali priorità IT per il 2022

Il 2022 è arrivato, ecco le 3 priorità IT che non puoi permetterti di trascurare quest’anno!

  • Sostenibilità

La sostenibilità è da tempo presente nell’agenda dei team IT, ma oggi, in seguito alla COP26 di Glasgow di qualche mese fa, le organizzazioni di tutto il mondo sono più che mai chiamate ad agire, e a farlo in fretta, per eliminare le emissioni nette.

Per le aziende di qualunque settore questo significa lavorare per creare soluzioni sostenibili, come sta avvenendo per la gestione del traffico aereo, dove si lavora a processi di virtualizzazione per introdurre la sostenibilità nello spazio aereo, oppure con le iniziative ESG che stanno proliferando nel settore bancario.

Se non hai ancora inserito la sostenibilità tra gli impegni del 2022, è giunto il momento di farlo. Se hai bisogno di ispirazione o vuoi scoprire cosa stiamo facendo in VMware, dai uno sguardo alla nostra strategia ESG.

  • Digitalizzazione

Nel 2020, le aziende hanno dovuto digitalizzarsi rapidamente, spinte dalla necessità.

Con l’avvicinarsi del terzo anno della pandemia di COVID-19, il bisogno di passare da una situazione di emergenza a un mondo del lavoro ibrido stabile dovrebbe essere in cima alle priorità della strategia per il 2022.

Il BIM Team di PIK Project ha introdotto di recente VMware Horizon per rendere il lavoro da remoto una soluzione di lungo termine per i dipendenti, permettendo ai propri team di gestire attraverso il cloud un numero enorme di dispositivi e tutte le risorse di cui hanno bisogno.

Le continue iniziative di digitalizzazione hanno molteplici vantaggi, che vanno dalla riduzione delle emissioni di CO2 a una forza lavoro più inclusiva e accessibile. Per ulteriori informazioni sulla digital transformation, leggi i nostri blog sull’argomento.

  • Sicurezza intrinseca

Le aziende che nel corso del 2021 hanno prestato una maggiore attenzione alla privacy, alla protezione e alla sicurezza dei dati sono oggi nella posizione ideale per avere successo.

Gli hacker diventano ogni giorno più sofisticati, e anche i metodi da loro utilizzati sono sempre più raffinati, riuscendo in alcuni casi a rimanere nascosti nelle reti aziendali per lunghi periodi di tempo. Per le aziende, questo rende più che mai necessario dotarsi di strumenti di sicurezza adeguati ed educare i propri dipendenti sui comportamenti da tenere per proteggere quanto più possibile le reti aziendali.

Uno strumento prezioso nel 2022 sarà la sicurezza intrinseca. Per ulteriori informazioni, scopri come proteggiamo clienti e partner con le soluzioni VMware Security.

Darai priorità anche tu a queste tre aree?

Fonte: vmware italy 

ITAM vs. ITSM vs. ITOM: quali sono le differenze?

ITAM vs. ITSM vs. ITOM: quali sono le differenze?

I professionisti IT sono bombardati da acronimi, e con così tante sovrapposizioni tra le varie discipline IT che non c’è da meravigliarsi se finiamo per confonderci! In questo post, definiremo ITAM, ITSM e ITOM, esploreremo le loro differenze e parleremo di una cosa fondamentale che hanno in comune: la dipendenza da dati completi e accurati degli asset IT.

Cos’è l’ITAM?

ITAM sta per IT Asset Management. È il processo di contabilizzazione di tutte gli asset che compongono l’infrastruttura IT, compreso tutto l’hardware come server, router, gateway, dispositivi degli utenti finali, tecnologia operativa e dispositivi connessi a Internet (IoT) che sono collegati alla rete, e il software in esecuzione su questi dispositivi. L’ITAM comprende i processi per l’implementazione, la manutenzione, l’aggiornamento e lo smaltimento delle risorse IT, nonché il monitoraggio e il controllo dell’utilizzo di tali risorse durante il loro ciclo di vita.

Un ITAM efficace è particolarmente necessario oggi, dato che il patrimonio IT continua ad espandersi a causa dell’accelerazione della trasformazione digitale e della mobilità. Una solida strategia ITAM aiuta le organizzazioni a gestire e ottimizzare i costi associati alla loro infrastruttura IT e a massimizzare il ROI degli investimenti IT assicurando che le risorse siano allocate in modo appropriato. Monitorando l’uso dell’hardware e del software, si possono ridurre i costi di licenza e di supporto e imporre la conformità alle politiche e ai requisiti normativi. Un ITAM efficace può anche ridurre gli sprechi eliminando lo shadow IT e i dispositivi inattivi.

Inoltre, il luogo di lavoro ibrido di oggi significa che i dipendenti accedono alle risorse aziendali da remoto, utilizzando potenzialmente dispositivi non autorizzati o non protetti che possono introdurre vulnerabilità nella rete. ITAM aiuta a garantire che tutte le risorse IT siano distribuite con i protocolli e le protezioni di sicurezza adeguati.

ITAM inizia con il processo di raccolta di un inventario completo e accurato delle risorse IT – e più i dati sono dettagliati, meglio è. Questi dati possono essere utilizzati per prendere decisioni sugli acquisti di hardware e software, sull’allocazione delle risorse, sull’applicazione delle politiche, sulla governance IT e altro ancora.

Che cos’è l’ITSM?

Mentre l’ITAM si riferisce alla gestione delle risorse hardware e software collegate a una rete, l’ITSM – o IT Service Management – è il modo in cui i team IT gestiscono la fornitura di servizi IT agli utenti. L’ITSM include tutti le attività relative alla progettazione, creazione, fornitura e supporto dei servizi IT. I casi d’uso dell’ITSM includono il change management, il configuration management, il capacity planning, e il disaster recovery, per nominarne alcuni.

L’ITSM spesso sfrutta l’IT Infrastructure Library (ITIL), un framework che descrive il modello del ciclo di vita dei servizi e fornisce processi strutturati e best practice per una gestione efficace in ogni fase. Altri framework che possono essere sfruttati per l’ITSM includono Center for Internet Security (CIS) Controls, COBIT, ISO/IEC 20000 e Microsoft Operations Framework.

L’ITSM aiuta a standardizzare i processi IT, riducendo così i costi e i rischi IT. Gestendo i servizi IT in un’organizzazione tramite flussi di lavoro ripetibili e standardizzati, l’ITSM può migliorare la governance IT e garantire che l’azienda abbia le risorse IT necessarie per funzionare.

L’IT Service Management (ITSM) è più efficiente quando si ha accesso a dati accurati e aggiornati nel CMDB. Ma il CMDB spesso non dispone di integrazioni dirette agli strumenti ITSM, richiedendo ai team del supporto di impegnare risorse interne per creare integrazioni personalizzate – o essere costretti a prendere decisioni basate su dati incompleti, obsoleti e spesso imprecisi.

Mentre l’ITAM si concentra sulla gestione degli aspetti finanziari, contrattuali e logistici di un asset IT per tutto il suo ciclo di vita, l’ITSM si concentra sulla fornitura del servizio. Poiché le soluzioni ITSM sono progettate per supportare le richieste degli utenti per i servizi IT, è un vantaggio quando possono integrarsi con le soluzioni ITAM. Attraverso questa integrazione, le soluzioni ITAM forniscono le informazioni di cui le soluzioni ITSM hanno bisogno per soddisfare le richieste di servizio.

Cos’è l’ITOM?

È qui che si fa un po’ di confusione!

La frase chiave per ITOM — o IT operations Management — è Service Operation. Tecnicamente parlando, l’ITOM è un sottoinsieme dell’ITSM, e quindi anche coperto da ITIL. L’ITOM si concentra sull’esecuzione delle attività quotidiane di gestione dell’infrastruttura IT, comprese tutte le tecnologie e le applicazioni. Questi compiti comprendono i processi di Service Operation del ciclo di vita dei servizi IT, che, secondo ITIL v3, includono:

  • Application Management
  • Change Management
  • Operations Management
  • Control processes and function
  • Scaleable practices
  • Measurement and control

Mentre l’ITSM si concentra su come i servizi vengono forniti ai clienti, l’ITOM monitora gli eventi e le prestazioni, e i processi utilizzati dall’IT per gestire le proprie attività interne.

Qual è il denominatore comune? In una parola: i dati

Affinché ITSM e ITOM siano efficaci, i team IT devono avere accesso a dati completi e accurati degli asset IT. Per questo motivo, l’ITAM è un punto di partenza essenziale per le altre due discipline, perché comporta la creazione di un inventario dettagliato delle risorse IT, di tutto l’hardware, il software e gli altri asset di rete. Senza questi dati, un ITSM e un ITOM efficaci sono impossibili. Come potete soddisfare le richieste di servizio o garantire un funzionamento continuo e affidabile del servizio se non avete informazioni su dove si trovano gli asset, chi li sta usando, se hanno bisogno o meno di aggiornamenti o altre informazioni critiche sullo stato attuale degli asset IT?

Ecco perché tutti i principali framework di governance IT – CIS, COBIT, ITIL e ISO – specificano come attività centrale ed essenziale, il processo di creazione di un inventario completo e accurato degli asset IT. Se non sapete di quali risorse IT disponete, non potete gestirle o proteggerle.

Iniziate con l’IT Discovery

Affinché l’ITSM e l’ITOM siano efficaci, è assolutamente fondamentale che le organizzazioni conoscano il proprio patrimonio IT. Ma quasi un terzo delle organizzazioni riferisce di non sapere di quali risorse dispone, dove si trovano o chi le sta utilizzando.

Una soluzione completa per l’IT Discovery, l’inventario IT e l’analisi IT, è Lansweeper che automatizza il processo di creazione e di mantenimento di un inventario delle risorse IT sempre accurato. Elimina le attività manuali che richiedono molto tempo, garantendo ai team IT l’accesso a informazioni dettagliate aggiornate al minuto su ogni risorsa collegata alla rete. In questo modo, Lansweeper aiuta le aziende ad avere un’organizzazione IT moderna e ben gestita, ottimizzando e semplificando tutti i processi inclusi in ITAM, ITSM e ITOM.

Fonte: Lansweeper

5 suggerimenti per il settore retail per prevenire gli attacchi informatici durante le festività natalizie

5 suggerimenti per il settore retail per prevenire gli attacchi informatici durante le festività natalizie

La stagione dello shopping natalizio del 2021 è alle porte e la National Retail Federation (NRF) prevede che le vendite aumenteranno dall’8,5% al ​​10,5%, un massimo storico. Tuttavia, anche il settore retail sta affrontando sfide serie, tra cui carenza di manodopera, interruzioni della catena di approvvigionamento globale e problemi di sicurezza informatica. In un recente sondaggio della NRF, il 76% dei professionisti della Loss Prevention del settore retail ha affermato che negli ultimi cinque anni gli incidenti relativi alla sicurezza informatica sono diventati una priorità assoluta nelle loro aziende.

Con i consumatori che abbracciano esperienze di acquisto di tipo omnichannel, tra cui consegna a domicilio, ritiro sul marciapiede e acquisto online, ritiro in negozio, la linea tra le vendite “in negozio” e “e-commerce” è confusa e i commercianti stanno affrontando minacce informatiche diverse rispetto a prima. Oltre agli attacchi contro i POS e i database dei clienti, i venditori devono affrontare attacchi DDoS (Distributed Denial of Service), credential-stuffing e altri bot dannosi, ransomware, attacchi di rewards program e attacchi informatici alla supply chain.

Come il settore retail può proteggere i propri negozi dagli attacchi informatici

Mantenete la stagione delle vendite natalizie allegra e luminosa con questi suggerimenti per la sicurezza:

  1. Assicurarsi che tutti i propri siti Web e le app mobili dispongano di una protezione dedicata contro bot dannosi e attacchi DDoS.
  2. Applicare tutti gli aggiornamenti software e firmware il prima possibile dopo il rilascio. Questi aggiornamenti contengono spesso importanti patch di sicurezza.
  3. Per prevenire attacchi supply chain, stabilire requisiti di sicurezza chiari e completi per i fornitori di servizi IT. Prendete in considerazione la possibilità di richiedere che siano in possesso di una certificazione di sicurezza SOC 2 Tipo 2, ISO 27001 o simile.
  4. Formare tutti i dipendenti sulle migliori pratiche di sicurezza informatica, inclusi cassieri e venditori. Anche loro devono accedere alla rete per svolgere il loro lavoro! Tutti i dipendenti devono essere istruiti sulla sicurezza informatica di base.
  5. Implementare un’architettura di sicurezza zero-trust e controlli di sicurezza delle password completi, compreso l’uso di password forti e univoche per ogni account, autenticazione a più fattori (MFA) su tutti gli account che la supportano, il role-based access control (RBAC) e l’accesso con privilegi minimi e un sistema enterprise password management  (EPM) come Keeper.

Oltre l’80% delle violazioni dei dati riuscite e quasi il 75% degli attacchi ransomware sono dovuti a password compromesse. Keeper, la piattaforma zero-knowledge di crittografia e sicurezza delle password di livello enterprise offre agli amministratori IT una visibilità completa sulle pratiche relative alle password dei dipendenti, consentendo loro di monitorare l’uso delle stesse e di applicare le politiche di sicurezza delle password in tutta l’organizzazione. Keeper richiede solo pochi minuti per l’implementazione, ha bisogno di una gestione minima e si adatta alle esigenze di organizzazioni di qualsiasi dimensione.

Fonte: Keeper Security

Gli attacchi di phishing diventano più subdoli con gli Open Redirects

Gli attacchi di phishing diventano più subdoli con gli Open Redirects

Il phishing, messaggi fraudolenti destinati a ingannare un destinatario a rivelare dati sensibili o installare malware, è stato il tipo più comune di crimine informatico nel 2020. Ci sono stati 241.324 incidenti di phishing segnalati all’FBI nel 2020, quasi il doppio del numero segnalato nel 2019. Questa cifra sarà probabilmente più alta nel 2021, dato che a metà anno il volume era del 22% più alto rispetto allo stesso periodo dell’anno precedente. Secondo il Data Breach Investigations Report di Verizon per il 2021, il 43% delle violazioni di dati ha coinvolto il phishing.

Gli utenti istruiti sono generalmente considerati la prima linea di difesa contro il phishing. La maggior parte degli utenti ormai ha avuto una formazione di base su come proteggersi dagli attacchi di phishing – sanno di non cliccare su link sospetti – almeno teoricamente. Infatti, il 65% delle organizzazioni che sono state colpite dal phishing avevano condotto una formazione anti-phishing.

Passare il mouse sopra i link per vedere se l’URL reale va al sito previsto è una tecnica di base per evitare i link dannosi. Questo è esattamente il motivo per cui i criminali informatici stanno sfruttando sempre più gli ” open redirects ” – utilizzando un URL che sembra collegare a un sito legittimo, ma reindirizza in modo subdolo il traffico a un sito dannoso.

Cos’è un open redirect?

I reindirizzamenti sono molto comuni e molto utili. Per esempio, se inserisci un URL di un particolare estratto conto bancario, il server della banca ti reindirizzerà alla pagina di login, e una volta che hai fatto il login, ti reindirizzerà automaticamente alla pagina che hai richiesto inizialmente. I reindirizzamenti sono spesso usati per ragioni tecniche, come quando un sito viene spostato su un nuovo dominio, o se le pagine del sito vengono cambiate o i siti web riorganizzati e il proprietario non vuole perdere il posizionamento nei motori di ricerca.

I reindirizzamenti sono anche usati per scopi di marketing; alcune aziende hanno più nomi di dominio per lo stesso contenuto e usano i reindirizzamenti per spostare il traffico verso il sito principale. I reindirizzamenti sono anche usati per scopi di monitoraggio degli annunci: Un annuncio specifico può contenere un URL unico che viene reindirizzato alla pagina appropriata, così è possibile valutare quanto sia efficace ogni annuncio nel generare traffico verso il loro sito.

Gli “open redirects ” indicano che un sito web non pone restrizioni sui reindirizzamenti. Questa è una pratica pericolosa che i webmaster esperti dovrebbero sapere. I siti web dovrebbero essere configurati per impedire i reindirizzamenti ad altri siti o richiedere che i reindirizzamenti esterni siano “allow listed”. Ma non tutti i webmaster sono sufficientemente informati o attenti, e gli hacker cercano di sfruttare questi siti.

Quando si utilizza un open redirect, un hacker incorpora l’URL di un sito web legittimo come link in una e-mail di phishing. La natura legittima del link è ciò che un utente attento alla sicurezza noterà – e ciò che lo rassicura che il clic è sicuro. Seppellito in quel link, tuttavia, c’è del codice che reindirizza il clic a un diverso sito web dannoso.

Come vengono sfruttati gli open redirects?

Microsoft ha recentemente pubblicato un report riguardante una diffusa campagna di phishing che combina l’ingegneria sociale “esca” con link  di open redirects per ottenere l’accesso alle credenziali degli utenti.

Il modo in cui funziona è questo: Un utente riceve un’e-mail di phishing. Se clicca sul link, viene prima portato – reindirizzato, cioè – a una pagina di phishing che mostra una verifica reCAPTCHA, che aiuta a fargli credere che stanno accedendo a un vero sito sicuro.  Poi riceve un falso messaggio di errore che chiede all’utente di reinserire le password. I ladri ora hanno le credenziali di accesso dell’utente.

Proteggersi contro gli attacchi di phishing Open Redirect

Il report di Microsoft afferma,

Le minacce e-mail di oggi si basano su tre cose per essere efficaci: un’esca convincente di ingegneria sociale, una tecnica di evasione del sistema di rilevamento ben realizzata, e un’infrastruttura durevole per portare a termine un attacco. Questa campagna di phishing esemplifica la tempesta perfetta di questi elementi nel loro tentativo di rubare le credenziali e infine infiltrarsi in una rete. E dato che il 91% di tutti i cyberattacchi hanno origine con le e-mail, le organizzazioni devono quindi avere una soluzione di sicurezza che fornisca loro una difesa multistrato contro questi tipi di attacchi.

Non è mai stata una buona idea fare affidamento solo sulla formazione degli utenti per proteggersi dagli attacchi di phishing. Molti studi hanno dimostrato che anche gli utenti addestrati cliccheranno su un’email di phishing sufficientemente sofisticata.

Remote Browser Isolation (RBI) è il modo migliore per proteggersi dagli attacchi di phishing, indipendentemente dai meccanismi che utilizzano – allegati infetti da malware, link dannosi o siti per il furto di credenziali. Con RBI i siti web vengono aperti in browser virtuali in contenitori remoti nel cloud. Solo i dati sicuri vengono trasmessi al browser sul dispositivo dell’utente: Qualsiasi malware sul sito web non raggiunge mai l’endpoint.

Soluzioni come Ericom RBI integrano il Content Disarm & Reconstruct, che analizza gli allegati all’interno del container remoto, eliminando il malware prima di consentire il download dei file con funzionalità native intatte. In base ai dati della Threat Intelligence Network di Ericom, i siti a rischio noti e quelli nuovi, sospetti o non categorizzati vengono aperti in modalità di sola lettura, impedendo agli utenti di inserire le credenziali nei siti di phishing, come quelli utilizzati per aprire campagne con reindirizzamento.

Fonte: Ericom Software

Come ridurre i costi del cloud computing

Come ridurre i costi del cloud computing

Il primo passo per rendere il cloud computing più conveniente

Le migrazioni nel cloud sono diventate sempre più popolari tra le aziende e per ovvie ragioni. Il cloud offre capacità di archiviazione illimitata, sicurezza dei dati, scalabilità, accessibilità e riduce le spese per le infrastrutture fisiche. Per questi motivi, la trasformazione digitale attraverso l’adozione del cloud è in cima alle priorità di ogni azienda, indipendentemente dal settore e dalle dimensioni. Ma lo spostamento delle risorse dai server fisici o da hosting ibrido a un servizio cloud pone specifiche sfide strategiche e tecniche per un’azienda. Il componente più impegnativo di un progetto di valutazione della migrazione al cloud? La scoperta e la valutazione della vostra attuale infrastruttura IT.

Fornire un’analisi tecnica delle macchine virtuali, dei server fisici, delle applicazioni, dei database e delle workstation è fondamentale per costruire una strategia di successo per il cloud e del business case, per cui è necessaria una solida valutazione della migrazione al cloud da cui partire. Tuttavia, se non gestiti con completa visibilità, gli ambienti cloud possono ancora occultare costi nascosti che continueranno ad aumentare man mano che ci si sposta ulteriormente verso il cloud. Pertanto, il primo passo per rendere il cloud computing più conveniente è quello di acquisire uno strumento che possa aiutarvi a tracciare e monitorare le vostre risorse cloud senza punti ciechi. È qui che entra in gioco Lansweeper.

Ottenere il 100% di visibilità dell’intero patrimonio IT con Lansweeper

Lansweeper è una soluzione avanzata di gestione delle risorse IT che fornisce una visibilità senza pari dell’intero patrimonio IT. Potete scansionare la rete on-prem, ma anche gli ambienti virtuali e cloud per recuperare informazioni dettagliate di tutte le risorse IT e combinarle in un inventario IT universale per un facile reporting.

Eseguire le scansioni dei server cloud

Negli ambienti cloud come AWS (Amazon Web Services) e Azure cloud, si paga per la capacità delle risorse che si riservano e utilizzano. Se poi si hanno risorse sottoutilizzate, si paga più del necessario. Ma anche le risorse sovrautilizzate possono diventare un problema costoso. E i server cloud sovraccarichi sono sempre una diretta conseguenza del fatto di non sapere cosa sta succedendo esattamente in un dato momento.

Lansweeper fornisce funzioni di scansione dei server cloud per aiutarti a monitorarli automaticamente.

Scansione dei contatori di prestazioni

Dopo la scansione iniziale dei server cloud, potete iniziare a recuperare metriche più dettagliate delle risorse cloud. Per esempio, con Lansweeper si può usare la scansione dei contatori delle prestazioni per misurare accuratamente il numero di risorse utilizzate dai dispositivi nella rete. Perché se non si sa quante risorse vengono utilizzate, come potrete mai sapere dove è necessario tagliare i costi o investire di più? Lansweeper analizza i vostri ambienti cloud e può immediatamente recuperare e visualizzare l’utilizzo di CPU, memoria, disco e rete delle vostre risorse cloud. Inoltre, Lansweeper può aiutarvi a pianificare la migrazione al cloud e a prevenire proattivamente i costi non necessari, determinando quante risorse servono per migrare i server on-prem all’ambiente cloud. Lansweeper fornisce anche una stima del costo complessivo dell’esecuzione delle macchine virtuali nel cloud. Si tratta di informazioni preziose per qualsiasi migrazione nel cloud.

Analizzare i dati cloud specifici all’istante

Essere in grado di analizzare i server cloud e recuperare metriche dettagliate come i contatori delle prestazioni è una cosa, ma per analizzare esattamente dove è possibile ridurre le spese, è necessario accedere a queste informazioni in modo ordinato e istantaneo. Lansweeper soddisfa questa esigenza con la sua funzione di reporting. Questi report integrati fanno risparmiare ai sistemisti molto tempo e fatica, eseguendo automaticamente query specifiche che raccolgono solo dati specifici. Provate il report sull’utilizzo della RAM, per esempio. Oppure utilizzate il report progettato per monitorare l’utilizzo della CPU nel corso del tempo. Oppure raccogliete le statistiche dei contatori di prestazioni di Windows e Linux degli ultimi 30 giorni. Questi report vi mostreranno esattamente dove intervenire nella vostra rete in pochissimo tempo.

Ricevere una notifica dei costi in eccesso tramite avvisi via e-mail

Importante è la funzione di avviso dei report. Con questa caratteristica di Lansweeper, è possbile richiedere al sistema di inviare qualsiasi report tramite e-mail. Potete programmare gli avvisi via e-mail giornalmente, settimanalmente o mensilmente in modo che non vengano inviati ogni volta che il sistema viene scansionato. Infatti, i report vuoti non vengono inviati affatto per evitare lo spam nella casella di posta elettronica. Questi avvisi via e-mail possono ricordare attività critiche che richiedono un’azione immediata e sono quindi utili ai manager IT che cercano di tagliare i costi IT ovunque sia possibile. Per esempio, quando il costo delle prestazioni di una risorsa cloud supera un certo livello, il sistema può inviare un avviso automatico via e-mail immediatamente o a un’ora specifica.

Fonte: Lansweeper

Multi-cloud, innovare E mantenere il controllo dell’IT: 5 modi in cui il Canale può essere di aiuto

Multi-cloud, innovare E mantenere il controllo dell’IT: 5 modi in cui il Canale può essere di aiuto

Nell’era multi-cloud le organizzazioni non dovrebbero scendere a compromessi sugli obiettivi che si sono posti: il Canale può essere d’aiuto

Quando si tratta di investimenti IT, il processo decisionale è diventato più complicato a causa della complessità tecnologica. Le organizzazioni lottano ancora tra due imperativi contrastanti: innovare o mantenere il controllo dell’IT? Raggiungere la libertà di eseguire applicazioni sul cloud prescelto o mantenere il controllo dell’ambiente e della spesa? In questo scenario, si parte ancora dal presupposto che non si possano avere entrambe le cose.

Eppure, le aziende dovrebbero poter ottenere sia l’una sia l’altra cosa, ovvero ciò che il nostro CEO Raghu Raghuram ha definito, durante il VMworld appena concluso, il potere dell’“AND”. Ora, per la prima volta, le aziende non devono più scendere a compromessi: il successo del business digitale richiede entrambe le cose, richiede l’approccio ‘AND’. Come ha dichiarato Raghu: “crediamo che ogni azienda debba avere libertà E controllo sul proprio business multi-cloud”.

Questa è la grande opportunità che spetta ai partner: sostenere i clienti nello sfruttare una nuova libertà ritrovata, con una piattaforma e servizi che rendono possibile AND.

Ma cosa significa tutto questo in pratica? Muovendoci verso l’era dell’innovazione E del controllo, voglio condividere cinque punti chiave che possono essere di aiuto a tutti i partner che desiderano cogliere l’immensa opportunità che questo potere dell’AND può portare al loro business e a quello dei loro clienti:

  1. Un’organizzazione a lungo termine

In VMware siamo sicuri che il multi-cloud sarà il modello da seguire per i prossimi 20 anni, ma ci rendiamo conto che l’adozione di un simile approccio non rappresenta di certo un impegno a breve termine, nemmeno quello che coinvolge le relazioni tra i nostri partner e i loro clienti che percorrono questo viaggio insieme. Il valore per il cliente è più importante che mai. Ecco perché l’enfasi sui servizi è essenziale.

Il multi-cloud non è solo tecnologia. Come ha dichiarato uno dei nostri partner al VMworld: “non si può comprare il cloud”. Ciò che i clienti acquistano è un servizio o un insieme di capacità – tra le migliaia di configurazioni e opzioni disponibili – che si adattano a loro e alle loro esigenze specifiche.

Mi spingo anche oltre: qualsiasi conversazione sul cloud oggi non dovrebbe nemmeno iniziare con il cloud. Dovrebbe iniziare piuttosto dall’applicazione, per chiedere: cosa volete che faccia l’applicazione? Cosa volete che faccia in futuro? Quali sono i vostri obiettivi di innovazione?

Lavorando con il cliente per capire le sue esigenze, i partner possono offrire la guida e i consigli su quali servizi e capacità siano i più adatti per loro. Perché, con una piattaforma multi-cloud per tutte le applicazioni, la scelta è veramente estesa.

  1. Combattere la paura della flessibilità

Scelta e flessibilità offerta possono essere intimidatorie per i clienti, il che è piuttosto comprensibile dopo anni di rigidità intorno alla selezione del cloud. È qui che i partner possono aiutare a costruire quella fiducia.

Effettuando valutazioni dell’ambiente specifico di un cliente, possono vedere molto più chiaramente dove e come il multi-cloud può fare la differenza.

Questa fiducia è fondamentale per aiutare i clienti a passare da un approccio difensivo sulle implementazioni del cloud – in risposta a un cambiamento forzato – a uno molto più proattivo. O, come lo chiamiamo noi, passare dall’essere cloud-first a essere cloud-smart. Si comincia e si finisce con l’esigenza di business e solo successivamente ci si concentra sulla scelta del cloud più adatto ai propri obiettivi.

Le aziende devono smettere di pagare per funzionalità che non usano. Lavorando fianco a fianco dei partner, le organizzazioni possono identificare le funzionalità realmente necessarie e riallocare così il budget risparmiato verso quegli investimenti in innovazione che permetteranno loro di capitalizzare meglio le nuove opportunità di business e di sfruttare tutto il potenziale delle nuove tecnologie.

  1. Guadagnare un vantaggio competitivo con l’edge

Una tecnologia che è esplosa negli ultimi anni e che non può più essere ignorata quando si parla di cloud nell’ambiente distribuito di oggi è l’edge. Le organizzazioni desiderano distribuire i carichi di lavoro su più cloud e per questo si stanno spostando verso l’edge, spingendo applicazioni e servizi più vicini a dove le persone, i dati e i dispositivi si collegano al mondo digitale in rete.

Non è certamente un’impresa da poco, questa. L’edge è un ambiente relativamente nuovo e complesso che i clienti devono ancora imparare a gestire. Per esempio, con l’AR/VR, i veicoli connessi e i giochi immersivi sempre più diffusi, sta parallelamente emergendo un nuovo tipo di carico di lavoro – le app edge-native – che deve essere eseguito nell’edge per funzionare al meglio.

L’edge è diventato uno dei luoghi in cui i partner possono davvero realizzare un vantaggio competitivo, per se stessi e per i loro clienti. VMware sta aiutando clienti e partner a navigare in questo viaggio dal data center al cloud all’edge.  Ci aspettiamo quindi di vedere molto interesse verso l’edge in futuro.

  1. L’importanza di Kubernetes

Secondo IDC (1), entro il 2025 più del 90% delle applicazioni sarà cloud native, quasi due terzi delle imprese saranno produttori di software (con codice distribuito quotidianamente), e ci saranno 1,6 volte più sviluppatori di oggi. Tuttavia, per affrontare il futuro che ci aspetta, dobbiamo trovare un modo per mettere la piattaforma Kubernetes nelle mani di più sviluppatori e ingegneri DevOps.

È necessario, inoltre, risolvere la mancanza di competenze nelle aziende, che rappresenta ancora la barriera numero uno all’adozione di Kubernetes come piattaforma per l’esecuzione di app cloud-native. Per questo, abbiamo lanciato Tanzu Community Edition per facilitare i clienti nel passaggio al cloud in modo più rapido e sicuro e accelerare così la modernizzazione delle applicazioni.

I partner possono aiutare i clienti a identificare le applicazioni più importanti per i propri requisiti di modernizzazione e creare così un migliore allineamento tra Dev e Ops in modo che entrambi lavorino insieme per offrire i migliori software e in maniera continuativa. Possono anche alleggerire gli sforzi di modernizzazione delle applicazioni combinando competenza tecnica con la consulenza professionale.

  1. Offrire un ecosistema forte e collaborativo

Per offrire supporto e guida ai clienti nell’era multi-cloud è necessario comprendere che ogni partner non può, di fatto, fare “tutto per tutti”. Questo è il motivo per cui abbiamo indirizzato i nostri sforzi nella costruzione di una comunità di partner di grande valore e con competenze da offrire in ogni fase del ciclo di vita del cliente e abbiamo realizzato VMware Cloud Marketplace. Questo nuovo servizio permette ai clienti di acquistare soluzioni certificate e convalidate dei partner direttamente dal VMware Marketplace e di distribuirle agli endpoint VMware.

Come ha affermato Giulio Morandini, CEO di R1: “Il Partner-to-Partner Accelerator è stato un vero e proprio game-changer per il nostro business, premiandoci per l’impegno con le organizzazioni di partner complementari che ci permettono di offrire sul mercato soluzioni di valore fondamentali per la trasformazione SaaS dei nostri clienti”.

Un singolo partner non è in grado di offrire da solo tutto il valore e le potenzialità del multi-cloud. Queste community danno loro la possibilità di concentrarsi su un’offerta altamente differenziante e specializzata, di espandere le capacità come e quando vogliono e coinvolgere altri partner specializzati quando necessario.

Quando parlo di specializzazioni mi riferisco, per esempio, alla sovranità dei dati. Un ambito che Sylvain Rouri, Chief Sales Officer di OVHcloud, ha sottolineato essere “in cima alle preoccupazioni delle aziende di tutto il mondo. Tutte condividono una forte volontà di riprendere il controllo”. Quando si tratta di cloud, le persone hanno tradizionalmente sofferto di problemi di fiducia; avere quindi accesso a competenze sulla sovranità dei dati all’interno del proprio ecosistema di partner rappresenta oggi più che mai un vero valore aggiunto.

Il cliente al primo posto, guidato dai partner

L’altro grande messaggio del VMworld 2021 è stato “Customer-first, partner-led“. Non possiamo andare verso un futuro multi-cloud – dove offrire a ogni azienda la potenza di AND – senza la spinta, la competenza, la passione e l’impegno del nostro ecosistema di partner. Viceversa, c’è per loro l’opportunità straordinaria di mettere a disposizione competenze e risorse uniche per offrire valore al cliente in un mercato dinamico, tanto complesso quanto emozionante.

(1) IDC FutureScape: Worldwide IT Industry 2020 Predictions

Fonte: TopTrade. A cura di Roberto Schiavone, Alliance & Channels Country Director, VMware Italia

Il governo federale degli Stati Uniti deve essere Zero Trust entro il 2024. Keeper può aiutarlo.

Il governo federale degli Stati Uniti deve essere Zero Trust entro il 2024. Keeper può aiutarlo.

L’Office of Management and Budget (OMB) e la Cybersecurity Infrastructure Security Agency (CISA) hanno affermato che il governo federale degli Stati Uniti “non può più dipendere da difese basate sul perimetro per mantenere i suoi sistemi critici e i dati al sicuro”. Per questo motivo hanno rilasciato un memorandum che delinea un obiettivo molto aggressivo: far adottare a tutte le agenzie federali un’architettura di sicurezza zero trust entro il 2024. Il memorandum cerca di fornire chiarezza e un percorso per le agenzie federali a sostegno dei recenti ordini esecutivi legati alla sicurezza da parte della Casa Bianca, tra cui l’EO del maggio 2021 che impone alle agenzie federali di utilizzare l’autenticazione a più fattori (2FA) e la crittografia end-to-end.

Il memorandum dell’OMB e della CISA richiede alle agenzie federali di soddisfare specifici obiettivi di sicurezza zero trust relativi a identità, dispositivi, reti, applicazioni e dati entro la fine dell’anno fiscale 2024. Questi obiettivi si allineano con i cinque pilastri del modello di maturità zero-trust della Cybersecurity and Infrastructure Security Agency (CISA):

  1. Identità: Le agenzie federali devono implementare una soluzione single sign-on (SSO), usare 2FA “resistenti al phishing”, e “adottare politiche di password sicure e controllare le password rispetto ai dati noti violati.”
  2. Dispositivi: Il governo federale deve mantenere “un inventario completo di ogni dispositivo che gestisce e autorizza per l’uso governativo” e gestire il rilevamento degli incidenti e la risposta per quei dispositivi.
  3. Reti: Le agenzie federali devono crittografare tutte le richieste DNS e il traffico HTTP, segmentare le loro reti e crittografare le e-mail in transito.
  4. Applicazioni: Le agenzie federali devono trattare tutte le applicazioni come se fossero collegate a Internet, condurre test di routine e “rigorosi”, e accettare segnalazioni di vulnerabilità esterne.
  5. Dati: le agenzie federali devono seguire un “percorso chiaro e condiviso per implementare protezioni che utilizzino una categorizzazione completa dei dati”, utilizzare soluzioni di sicurezza cloud per monitorare l’accesso ai dati sensibili e implementare “registrazione e condivisione delle informazioni a livello aziendale”.

Come Keeper può aiutare le agenzie governative a raggiungere il modello Zero Trust

Come unico fornitore di soluzioni per la gestione delle password disponibile sul marketplace FedRAMP, la piattaforma di gestione delle password e di cybersicurezza aziendale zero-trust and zero-knowledge Keeper è la soluzione perfetta per le agenzie governative federali per soddisfare tutti i requisiti di identità del memorandum OMB. Diamo un’occhiata:

Keeper la piattaforma Enteprise Password Management (EPM)

Keeper permette agli amministratori IT di implementare e applicare politiche di password forti in tutta la loro organizzazione. Utilizzando la console di amministrazione di Keeper, gli amministratori possono personalizzare la complessità delle password per soddisfare i requisiti del governo federale e possono automatizzare le politiche relative alle modalità di gestione delle password all’interno delle applicazioni, come SSO e 2FA.

I controlli di accesso dettagliati permettono agli amministratori di impostare le autorizzazioni dei dipendenti in base ai loro ruoli e responsabilità, impostare cartelle condivise in modo sicuro per i dipartimenti o i gruppi e consentire una condivisione sicura, granulare e controllata di credenziali e cassette di sicurezza tra dipendenti e team. Keeper supporta il controllo degli accessi basato sui ruoli (RBAC), l’auditing, il reporting degli eventi e gli standard di conformità tra cui GDPR e ISO 27001.

Keeper Secure File Storage (SFS)

A supporto dei requisiti dell’OMB per la condivisione delle informazioni a livello aziendale, Keeper SFS consente la condivisione efficiente e sicura dei file archiviati con altri utenti di Keeper. Proprio come le password memorizzate in Keeper, gli utenti possono impostare i permessi di condivisione per i file digitali (sola lettura, modifica, condivisione o modifica e condivisione).

Keeper utilizza PBKDF2 per ricavare le chiavi di autenticazione in base alla password principale dell’utente, quindi genera chiavi di crittografia AES-256 per crittografare ogni file archiviato. Il cloud di Keeper contiene solo il testo crittografato di ciascun file e la condivisione tra utenti viene eseguita utilizzando PKI per garantire che solo il destinatario di un file condiviso possa decrittarlo. I metodi di crittografia zero-knowledge di Keeper assicurano che solo l’utente possa accedere e decifrare i file archiviati.

Keeper SSO Connect

Sebbene alcuni identity providers SSO (IdP) forniscano strumenti di gestione delle password di base per i siti web che non utilizzano SAML, questi strumenti sono in genere di proprietà di ciascun IdP, potrebbero non essere compatibili con ogni ambiente di dati o stack tecnologico e potrebbero non utilizzare un’architettura di sicurezza zero-knowledge. Keeper SSO Connect colma queste lacune di sicurezza e funzionalità, consentendo alle agenzie governative di estendere facilmente e senza soluzione di continuità le proprie implementazioni SSO con Keeper.

Keeper SSO Connect è una soluzione SaaS SAML 2.0 completamente gestita che può essere distribuita su qualsiasi istanza o in qualsiasi ambiente Windows, Mac OS o Linux, nel cloud o on-premise. Si integra facilmente e perfettamente con tutte le piattaforme IdP SSO più diffuse, tra cui Microsoft 365, Azure, ADFS, Okta, Ping, JumpCloud, Centrify, OneLogin e F5 BIG-IP APM.

Keeper SSO Connect non richiede alcun servizio on-premises o cloud-hosted del cliente, né alcun software o attrezzatura aggiuntiva. L’installazione avviene in due semplici passi:

  1. Configurare SSO Connect nella console di amministrazione di Keeper.
  2. Abilitare e configurare l’applicazione Keeper all’interno dell’IdP.

Keeper BreachWatch™

A sostegno del requisito dell’OMB “controllare le password rispetto ai dati noti violati”, Keeper BreachWatch esegue la scansione dei forum del Dark Web e informa gli amministratori IT se le password dei dipendenti sono state compromesse in una violazione dei dati pubblici.

Keeper richiede solo pochi minuti per l’implementazione, una gestione minima e si adatta alle esigenze di reparti o agenzie di qualsiasi dimensione.

Fonte: Keeper Security

 

4me ha ottenuto la certificazione ISO 27001

4me ha ottenuto la certificazione ISO 27001

Per venire incontro alle esigenze dei clienti che richiedono ai propri fornitori di software di essere certificati ISO 27001, la soluzione 4me Software as a Service (SaaS) ha ora ottenuto le certificazioni ISO 27001:2013 e ISO 27018:2019.

 

All’inizio di quest’anno, 4me aveva annunciato anche la sua attestazione SOC 2 Type 2.

Queste certificazioni sottolineano gli sforzi di 4me per fornire ai suoi clienti sicurezza e privacy ad alto livello.  I clienti possono essere sicuri che l’Information Security Management System  (ISMS) di 4me è stato certificato per proteggere i loro dati, comprese le PII (Personally Identifiable Information), nel cloud.  4me manterrà queste certificazioni attraverso audit di sorveglianza annuali e un audit di ricertificazione dopo tre anni.

Potete trovare maggiori dettagli sulle misure di sicurezza di 4me al seguente link: https://www.4me.com/security/

Fonte: 4me