Re: Possibile attacco quasi sempre di successo basato su social engineer

----- Original Message -----
From: "Fabio Pietrosanti (naif)" <naif@sikurezza.org>
To: <ml@sikurezza.org>
Sent: Wednesday, May 21, 2003 7:42 PM
Subject: Re: Possibile attacco quasi sempre di successo basato su social
engineering
> [4] Che io abbia visto corsi di security awareness ( e sul rispetto
delle
>     policy ) per i dipendenti ne fanno solo in realta' grandi e
veramente
>     strutturate dove il management dell'azienda ha veramente deciso di
>     investire in sicurezza, ma le aziende con questo approccio sono
veramente
>     poche, per cui imho la soluzione e' praticamente sempre da trovarsi
sul
>     fronte tecnico ( almeno il tecnico sa' essere paranoico ;> ) .

Comunque sia il solo aspetto tecnico non contempla l'aspetto umano.
La sicurezza in realta non esiste quando entra in gioco questo fattore.
Sarebbe molto diverso se si parlasse di intercomunicazione tra sole
macchine, in quel caso tutti
i tecnicismi potrebbero arrivare a prevenire gli attacchi e a fornire
valide
contromisure.
Nel caso di operatori umani non esiste la possibilita di avere questa
certezza.
Un sistema con operatori umani non e sicuro per definizione.
Il social engineering (peraltro una tecnica vecchia come il mondo)
dovrebbe
farci spostare l'ottica
da infrastruttura sicura a infrastruttura sufficientemente protetta, che
sono cose ben diverse.
La nostra sensazione di sicurezza e protezione (parlo come amministratore
di
sistema) e quantomai
fasulla e serve piu che altro per farci sentire (a torto) tranquilli.
Una azienda puo spendere soldi fin che vuole per formare i dipendenti, a
quel punto avra dipendenti
formati e si sentira tranquilla ma piu ne ha e piu avra la possibilita che
uno di quelli se ne freghi e
faccia come vuole (magari un utente di alto livello che si sente sicuro).
La fiducia e un'arma potentissima e pensare che la nostra paranoia possa
qualcosa e pura fantasia.

> Saluti
> Fabio Pietrosanti ( naif )
> E-mail: fabio@pietrosanti.it - naif@sikurezza.org
> PGP Key available on my homepage: http://fabio.pietrosanti.it/

Ciao

Fabio Macor




---------------------------------------------
Virus Free E-mail
---------------------------------------------


________________________________________________________
http://www.sikurezza.org - Italian Security Mailing List