Tumit Achilles yang sebenarnya dari keamanan TI (oleh Marco Strano- 2022)- Pusat Studi untuk Keamanan dan Keadilan Legalitas

Laporan ke Kongres Nasional AICA Reggio Calabria, 27 Oktober 2022.

Nama saya Marco Strano dan saya adalah manajer psikolog Kepolisian Negara Bagian sejak tahun 2020 dan saat ini konsultan senior dari sebuah departemen kepolisian di California Selatan. Saya berurusan dengan kriminologi cyber dan keamanan cyber penuh waktu dari 1995 hingga 2005 dan, khususnya, dari tahun 2001 hingga 2005 saya mengarahkan Uaci (unit analisis tentang kejahatan TI) dari polisi pos dan komunikasi. Kemudian saya terus berurusan dengan kejahatan dunia maya dalam konteks konsultasi perusahaan baik di Italia maupun di luar negeri dan saya terus melakukan penelitian terutama di bidang perusahaan.

Saat ini, terlepas dari aktivitas keamanan komputer, telah sangat berkembang keduanya dalam istilah kualitatif tetapi juga dalam istilah kuantitatif ini dalam beberapa hal tidak berkontribusi untuk membatasi risiko. Alasannya cukup sepele: dalam beberapa tahun terakhir kegiatan perusahaan telah meningkat secara eksponensial, manajemen urusan publik dan secara umum kehidupan individu yang dipercayakan pada sistem TI.

Akses Internet Penggunaan smartphone dan komputer dan secara umum prosedur yang dipercayakan pada teknologi digital dalam 20 tahun terakhir telah meningkat secara dramatis dan oleh karena itu jelas bahwa risiko kejahatan TI juga meningkat.

Transisi dari identitas fisik dan dokumenter ke identitas digital untuk kinerja kegiatan mendasar dalam kehidupan individu dan dalam prosedur organisasi juga secara progresif mencapai dan ini jelas menawarkan peningkatan pelanggaran komputer.

Kami tidak memiliki data statistik yang dapat diandalkan yang tersedia pada jumlah nyata serangan TI terhadap individu dan organisasi publik dan swasta. Faktanya, hanya persentase dari pelanggaran ini yang dikecam (karena organisasi hampir tidak pernah ingin membuat kerentanan mereka publik) dan seringkali korban serangan tidak menyadari bahwa mereka telah menderita mereka.

Lingkup kejahatan dunia maya di mana kami memiliki kemungkinan memiliki data yang paling dapat diandalkan adalah penipuan dan penipuan di mana volume total tampaknya telah meningkat pesat dalam beberapa tahun terakhir.

Saya berpendapat bahwa faktor manusia masih mewakili unsur kardinal dari keamanan TI dan karenanya harus harus disertai dengan pengembangan teknologi dan prosedur keselamatan.

Elemen utama dalam faktor manusia yang terkait dengan cyber-siciness jelas apa yang secara teknis disebut “persepsi risiko”. Persepsi risiko yang lebih besar atau lebih kecil berarti bahwa pengguna teknologi komputer mengadopsi perilaku yang kurang aman, baik di bidang organisasi maupun di tingkat pengguna individu.

Persepsi risiko serangan TI adalah elemen yang dapat diukur oleh psikolog yang terlatih dengan alat analitik yang khas dari profesi mereka (tes, wawancara, pengamatan, dll.). Dalam konteks risiko lain, dan misalnya, saya merujuk pada masalah keselamatan kerja di lokasi konstruksi, penelitian atau kegiatan pencegahan yang terkait dengan persepsi risiko biasanya dilakukan.

Sementara, sehubungan dengan risiko dalam keamanan TI, di mana risikonya jelas terkait dengan kemungkinan mengalami kerusakan untuk ilegal, penilaian pada persepsi risiko pada pengguna dan organisasi sayangnya masih merupakan aktivitas residual di jalur keselamatan.

Apa yang tampaknya (secara historis) lebih lanjut dibandingkan dengan bidang lain mungkin adalah sektor perbankan yang memiliki faktor keamanan yang sangat berakar dalam budaya organisasinya dan dalam budaya bisnisnya.

Sektor lain yang secara historis lebih maju daripada yang lain adalah militer di mana konsep kompartemen internal informasi (untuk menghindari serangan orang dalam) yang diperoleh dengan mengadopsi pelatihan khusus dan prosedur keamanan yang efektif juga dalam aliran informasi internal antara komponen organisasi adalah sesuatu yang selalu berakar kuat dalam budaya.

Tetapi sektor perusahaan lain tampaknya masih sedikit di belakang dibandingkan dengan konsep faktor manusia dalam keamanan cyber.

Organisasi -organisasi yang ingin mengadopsi penanggulangan yang efektif untuk menghindari ilegal dalam konteks digital karena itu tidak hanya harus menerapkan tindakan balasan yang secara teknis disebut “pertahanan perimeter”, yaitu teknologi untuk mencegah seseorang dari luar organisasi untuk dapat memperkenalkan diri pada sistem elektronik (apa yang kita semua kenal sebagai kegiatan peretasan) tetapi mereka harus memanjakan diri sendiri untuk dapat meningkatkan budaya (apa yang diatasi oleh orang -orang (apa yang kita kenal sebagai peretasan (apa yang kita semua akan dapat meningkatkan budaya (apa yang diatasi sebagai pengaman (apa yang diatasi sebagai pengoperasian. Mengambil contoh dari sektor publik dan swasta yang lebih lambat dari yang lain (sektor militer dan sektor perbankan).

Kejahatan dunia maya dan investigasi

Di sisi investigasi, spesialisasi departemen investigasi atau hakim akan menjadi semakin lama. Dalam beberapa tahun tertentu, polisi pos dan komunikasi mungkin tidak akan ada lagi atau bagian pelanggaran elektronik dari Carabinieri dan Guardia di Finanza karena dalam segala bentuk kejahatan akan ada sesuatu yang digital, ilmuwan komputer yang mana semua kepolisian, termasuk yang paling penting untuk meletakkan di atas pompa yang harus dilakukan oleh beberapa tnginor yang harus dimasukkan ke dalam carabinieri atau yang paling “di pinggiran kantor” yang harus dimasukkan ke dalam caraons yang harus dimasukkan ke dalam carabinieri atau yang paling “peripheral” yang harus dimasukkan ke dalam caraons yang harus diwajibkan oleh kantor polisi yang harus diwajibkan untuk itu. Teknologi dengan teknologi yang harus dilakukan dengan teknologi. Digital karena dunia akan menjadi digital di tahun -tahun mendatang bahwa tidak mungkin untuk bernalar dengan membatasi dunia nyata dan dunia virtual. Kami akan menemukan diri kami di depan satu dunia dengan komponen nyata dan komponen virtual yang sangat saling terkait.

Profil kriminal E cybercrime

Dalam profil kriminal khas mereka yang melakukan serangan komputer, ada perubahan dalam beberapa tahun terakhir. Mengetahui profil mereka yang melakukan serangan sangat penting menurut saya untuk mengatur penanggulangan yang efektif. Hanya dengan mengetahui perilaku dan profil mereka yang dapat menyerang, Anda dapat mengatur pertahanan yang sangat efektif.

Di bidang cyber-crime, para penyerang biasanya jatuh ke dalam dua kategori makro: orang luar dan orang dalam, yaitu siapa yang menyerang organisasi atau satu individu dari luar (peretas terkenal) atau yang sebaliknya melakukan serangan dari dalam karena itu adalah anggota organisasi atau orang yang tinggal di dekat individu yang diserang.

Dalam membuat profil jenis/klasifikasi penting kemudian menyangkut tingkat kompetensi kriminal orang yang menyerang dan di sini dan biasanya ada dua kategori makro: profesional (ahli) dan amatir yang memiliki keterampilan langka tetapi yang masih dapat menyebabkan kerusakan.

Jadi profil yang dimungkinkan untuk dicapai sehubungan dengan penjahat cyber terutama merupakan profil yang mempertimbangkan peran dalam organisasi (internal/eksternal) dan tingkat kompetensi techno-kriminal. Di dalam kategori makro maka ada nuansa tak terbatas tentu saja.

Mengenai profil kepribadian penyerang, kami saat ini menjalani penelitian lapangan (di kota -kota universitas AS) yang menggunakan wawancara semi -terstruktur dengan peretas muda, berusaha menguraikan profil para penjahat muda ini.

Profil kerentanan korban

Jenis profil lain yang dapat dilakukan di bidang keamanan siber menyangkut kemungkinan bahwa satu orang atau organisasi karena itu diserang penilaian risiko potensial. Profil semacam ini biasanya mempertimbangkan dua variabel klasik yang merupakan kerentanan target dan kelezatan target tetapi evaluasi berdasarkan kedua elemen ini jelas tampak sepele dan oleh karena itu faktor analisis lain digunakan yang digunakan untuk menguraikan tren dari waktu ke waktu risiko.

Selama bertahun -tahun tim peneliti saya telah mengembangkan model analitik prediktif yang dapat mengevaluasi tingkat risiko korban dunia maya untuk suatu organisasi dan untuk satu individu.

Untuk memverifikasi keamanan suatu organisasi selama bertahun -tahun, perusahaan khusus telah membuat penilaian kerentanan yang digunakan untuk mengidentifikasi situasi risiko. Biasanya dalam pemeriksaan ini beberapa perusahaan berspesialisasi dalam bidang risiko yang berbeda mengintervensi yang, bagaimanapun, sering tidak berkomunikasi satu sama lain. Pendekatan yang dirancang oleh penulis pada awalnya selama periode pelayanan kepada polisi pos dan komunikasi dan kemudian diimplementasikan di sektor sipil melalui kelompok penelitian, sebaliknya menyarankan pendekatan terintegrasi di mana satu kelompok konsultan (terkoordinasi) menganalisis pada saat yang sama semua bidang penting dari suatu organisasi. Oleh karena itu, penilaian kerentanan yang terintegrasi dapat mengevaluasi unsur -unsur risiko intrusi fisik, komputer, dan psikologis dalam organisasi oleh subjek eksternal yang bermusuhan atau orang dalam.

Protokol penelitian yang diadopsi oleh kami untuk pengembangan IVRA kami (penilaian risiko kerentanan terintegrasi) dimulai dari sampel perusahaan/organisasi dan individu individu dengan menganalisis situasi di mana serangan telah atau tidak berhasil dan karakteristik organisasi, teknologi dan psikologis korban. Unsur -unsur palatabilitas dan kerentanan yang kompatibel dengan keberhasilan tindakan ilegal jelas muncul dari analisis semacam ini.

IVRA kami disajikan untuk pertama kalinya (dalam versi beta) di Bakutel edisi 2014, konvensi bergengsi tentang teknologi informasi yang terjadi setiap tahun di Azerbaijan dan terdiri dari berbagai alat operasional untuk evaluasi dan pencegahan risiko serangan TI pada organisasi publik dan swasta dan pada individu. Setelah lebih dari 8 tahun pengalaman eksperimen dan lapangan, metode analisis (IVRA) ini telah berkembang dan sekarang tersedia untuk organisasi publik dan swasta. Biaya instrumen juga sangat rendah dan waktu administrasi sangat cepat (sekitar lima hari per 100 orang). Protokol intervensi memberikan fase pengukuran/evaluasi awal dan fase koreksi kerentanan selanjutnya.

CSLSG, pusat studi yang saya pimpin, adalah salah satu yang tertua di Italia, yang didirikan pada tahun 1999 yang terus melakukan penelitian tentang keamanan TI, terutama yang terkait dengan dunia korporat dan tersedia untuk semua jenis studi dalam -kedua dalam faktor manusia keamanan organisasi individu.