Con l\u2019aumento degli attacchi cyber negli ultimi anni e lo sviluppo della criminalit\u00e0 informatica<\/strong>, in cui i casi di richiesta di riscatti si fanno sempre pi\u00f9 frequenti, la cybersecurity<\/strong> sta diventando un tema sempre pi\u00f9 urgente. Tra i diversi riferimenti disponibili in letteratura per costruire una metodologia di sviluppo software sicuro<\/strong>, troviamo:<\/p>\n Il GDPR non formalizza precise specifiche per lo sviluppo di software conformi al Regolamento, ma pone come capisaldi i principi di protezione dei dati fin dalla progettazione (Privacy by Design<\/strong>) e di protezione per impostazione predefinita (Privacy by Default<\/strong>). In generale possiamo quindi ritenere che le applicazioni software che trattano dati personali<\/strong> debbano essere progettate sulla base di principi e indicazioni ispirati alle pubblicazioni in materia di privacy<\/strong>.<\/p>\n Durante le fasi di analisi della sicurezza applicativa di un\u2019architettura di sistema (da definire o in fase di rivisitazione) \u00e8 necessario mettere in atto pratiche di progettazione sicura attraverso l\u2019individuazione di requisiti di sicurezza e contromisure, con un approccio di Defense in Depth<\/strong> dell\u2019applicazione.<\/p>\n Ma come si arriva a definire un software sicuro?<\/em><\/p>\n Un software \u00e8 da considerare \u201csicuro\u201d in relazione a:<\/p>\n Il processo di individuazione e modellazione delle minacce relative alla sicurezza informatica viene definito Threat modeling<\/strong> ed \u00e8 fondamentale sia come misura proattiva in fase di design e sviluppo, sia come misura reattiva nel deploy del software.<\/p>\n Gli approcci di Threat modeling che possono essere adottati sono diversi, focalizzandosi sugli asset da difendere, sugli attacker o su uno specifico software. Una delle metodologie pi\u00f9 applicate \u00e8 il modello STRIDE<\/a>:<\/p>\n Il livello di rischio viene calcolato sulla base della composizione di Impatto<\/strong> e Probabilit\u00e0<\/strong>. Questo modello pu\u00f2 essere adottato per valutare le minacce all\u2019interno dei progetti di trasformazione digitale: per esempio, nei nostri progetti seguiamo un approccio mutuato da OWASP<\/strong> per assegnare un valore (alto-medio-basso) alla probabilit\u00e0 che una minaccia venga sfruttata (exploited<\/em>) e un valore (alto-medio-basso) al relativo impatto.<\/p>\n Per garantire la sicurezza delle informazioni e la protezione dei dati personali, abbiamo raccolto un vasto insieme di misure di sicurezza<\/strong> suddivise nelle sei categorie di minacce modellate da STRIDE, identificando a priori quelle proporzionate a un livello di rischio basso e quelle proporzionate ai livelli di rischio medio e alto.<\/p>\n Per ogni nuovo progetto software e per ogni major release di software esistenti, effettuiamo una accurata analisi dei rischi attraverso una precisa metodologia, che prevede:<\/p>\n Il nostro approccio \u00e8 strutturato in modo da tenere conto della compliance con il GDPR<\/strong>, sia a livello di sicurezza dei dati personali che dei diritti degli interessati, e include anche un processo di Software Quality Assurance (SQA)<\/strong> con l\u2019obiettivo di assicurare che il processo di sviluppo software sia monitorato e conforme con lo standard ISO 27001 e il GDPR. La metodologia che abbiamo standardizzato consente di:<\/p>\n Identificare i requisiti di sicurezza prima dello sviluppo e della manutenzione di ogni sistema applicativo strategico \u00e8 il fondamento per rispondere alle nuove esigenze di cybersecurity<\/strong> e alle garanzie richieste dal mercato<\/strong>.<\/p>\n [nectar_btn size=\"large\" open_new_tab=\"true\" button_style=\"regular\" button_color_2=\"Accent-Color\" color_override=\"#0f33ce\" solid_text_color_override=\"#ffffff\" icon_family=\"none\" button_id=\"pulsante_journal_articolo\" text=\"Scopri di pi\u00f9 sulla nostra metodologia di sviluppo software\" margin_top=\"30\" url=\"https:\/\/stagingsite.intesys.it\/information-technology\/\"]\n[\/vc_column_text][\/vc_column][\/vc_row]\n","protected":false},"excerpt":{"rendered":" [vc_row type=”in_container” full_screen_row_position=”middle” column_margin=”default” column_direction=”default” column_direction_tablet=”default” column_direction_phone=”default” scene_position=”center” text_color=”dark” text_align=”left” row_border_radius=”none” row_border_radius_applies=”bg” overflow=”visible” overlay_strength=”0.3″ gradient_direction=”left_to_right”…<\/p>\n","protected":false},"author":6,"featured_media":9348,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"inline_featured_image":false,"footnotes":""},"categories":[27],"tags":[206,385,533,739],"class_list":{"0":"post-9345","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-information-technology","8":"tag-cybersecurity","9":"tag-iso-27001","10":"tag-privacy","11":"tag-system-integration"},"acf":[],"yoast_head":"\n
\nUn segnale importante \u00e8 arrivato a giugno 2021 con l\u2019istituzione dell\u2019Agenzia per la Cybersicurezza Nazionale<\/a>: la sicurezza cyber deve diventare una priorit\u00e0 per le aziende di tutte le dimensioni, a cominciare da quella dei software che utilizza.<\/p>\n\n
Definire la sicurezza di un software a partire dalle minacce<\/h2>\n
\n
\n
Il metodo Intesys per lo sviluppo di un software sicuro<\/h2>\n
\n
\nPer testare automaticamente la qualit\u00e0 e il rispetto dei requisiti di sicurezza lungo tutto il processo di sviluppo, abbiamo standardizzato un sistema preciso e strutturato di software testing<\/a> e di analisi del codice<\/a> statico (ACS), affiancando alle scansioni effettuate in logica di continuous integration da ogni sviluppatore una scansione SonarQube<\/strong> per ogni merge in develop\/master da una pull request.<\/p>\n\n