Il nuovo approccio alla security di Poste Italiane
La riorganizzazione della security fisica, logica e antifrode, ha come fulcro una Security Room, che rappresenta il Centro di supervisione e controllo a livello nazionale, di tutte queste attività.
Autori: Valerio Salvi
Data: 17/06/2010
Poste Italiane ha avviato un programma di adeguamento organizzativo e tecnologico, con l’obiettivo di migliorare costantemente la risposta alle nuove minacce. Questo ha impattato sull’organizzazione di processi, risorse e piattaforme applicative. Ne parliamo con l’avv. Stefano Grassi, Responsabile Tutela Aziendale di Poste Italiane.
Come è cambiato negli ultimi anni l’approccio alla security di Poste Italiane?
La sicurezza informatica è un aspetto determinante nella definizione delle strategie aziendali visto che è un tema sempre più sentito dalle imprese e dai cittadini, che nelle loro attività quotidiane si affidano in misura crescente all’uso di computer e collegamenti telematici.
Nell’intento di migliorare costantemente la risposta alle nuove minacce, Poste Italiane ha avviato un programma di adeguamento organizzativo e tecnologico che ha visto rinnovare e migliorare i processi di sicurezza, l’impiego delle risorse, i sistemi e le piattaforme applicative, il tutto nell’ottica di una massimizzazione delle sinergie.
Tale programma è stato di pieno sostegno e supporto al processo di innovazione e sviluppo fornendo un’elevata protezione dei beni materiali ed immateriali sia dell’azienda che del cliente.
L’hardware e il software sono sempre più sofisticati e sicuri, ma il fattore umano gioca comunque un ruolo importante anche nell’era digitale: che posto occupa la sicurezza informatica nella formazione delle persone che lavorano in Poste Italiane?
La formazione rappresenta senza dubbio una parte fondamentale del processo aziendale della “sicurezza”. Per questo Poste Italiane ha avviato da tempo numerose attività di formazione ed informazione. Tra queste si segnalano in particolare le iniziative formative indirizzate a tutti i direttori degli uffici postali e agli operatori di sportello e di contact center (circa 40mila persone); si tratta di iniziative orientate alla sensibilizzazione verso i nascenti fenomeni delle frodi on line, con un particolare accento sulle nozioni necessarie ad assistere al meglio i clienti che richiedono supporto su questo tema.
Il banking online è una realtà ormai consolidata, come dimostra anche il successo dei numerosi servizi BancoPosta fruibili via internet, ma nell’opinione pubblica è ancora diffusa una certa diffidenza verso questo canale di accesso. Una diffidenza forse eccessiva rispetto ai rischi reali, certamente non superiori a quelli che si corrono anche nel mondo “fisico”. Qual è il peso delle “frodi telematiche” rispetto al totale delle transazioni effettuate, e come si evolve nel tempo?
La sicurezza dei nostri servizi on line rappresenta un punto di eccellenza e un motivo d’orgoglio per tutta l’azienda.
Possiamo affermare che, con un minimo di cautela da parte dell’utente nell’utilizzo dello strumento informatico, come peraltro richiesto nella vita di tutti i giorni, si rischia meno effettuando transazioni in internet ed utilizzando gli strumenti di pagamento elettronico rispetto all’uso del denaro contante. Purtroppo, vari fattori tra cui la non completa conoscenza dello strumento e la risonanza spesso immotivata data dai media ai fenomeni delle truffe on-line amplificano il senso di sfiducia degli utenti verso gli strumenti telematici.
Il furto di un’automobile oggigiorno non fa notizia, eppure è di gran lunga più diffuso di quanto non lo siano le frodi on line. Poste Italiane in questi anni ha investito molto nella comunicazione, creando ad esempio sezioni ad hoc sul sito internet istituzionale per fornire le conoscenze necessarie all’uso sicuro dei servizi on line, oppure attraverso un continuo dialogo con le associazioni dei consumatori o ancora con la presenza sui media quando invitata al confronto.
Come si inserisce in questo approccio la Sala Controllo Sicurezza e quali vantaggi garantisce?
La Security Room ha rappresentato un obiettivo che Poste Italiane si è posto e raggiunto al fine di costituire un Centro di supervisione e controllo a livello nazionale, dedicato alle attività di analisi e gestione di tutte le componenti di sicurezza dell’azienda (fisica, logica e finanziaria), secondo un modello di tipo “integrato e centralizzato”.
Le principali attività svolte nella Security Room sono:
- il monitoraggio in tempo reale del phishing con servizio h24, della situazione a livello mondiale dei siti clone che interessano Poste Italiane e che minacciano le credenziali di accesso dei clienti.
- il monitoraggio delle frodi attraverso l’uso di applicativi dedicati al controllo dei documenti presentati dal Cliente, delle transazioni generate sul canale web e dell'operatività real-time delle carte di debito emesse da Poste Italiane.
- il monitoraggio della sicurezza informatica, mediante un cruscotto ad hoc, con il quale è possibile visualizzare lo stato della sicurezza logica dei sistemi di Poste Italiane, eroganti sia servizi interni che di business.
- il monitoraggio degli eventi/allarmi generati dai sensori (antincendio, antirapina, antintrusione, “tasto malore”, ecc.), presenti in tutti gli uffici postali, nei Data Center, nei CMP ed in generale presso tutti gli asset fisici di Poste Italiane.
- la gestione degli impianti tecnologici e di sicurezza (interna e perimetrale) del complesso di stabili afferenti alla Direzione Centrale di Poste Italiane.
- la gestione ed il coordinamento della sicurezza del lavoro e dell’ambiente attraverso il supporto di un sistema di applicazioni in grado di tracciare gli infortuni sul lavoro assolvendo nel contempo a quelli che sono gli obblighi di legge (segnalazioni all’INAIL, ecc.).
E’ possibile delineare le principali caratteristiche dei rischi a cui siete esposti a livello internazionale?
Visto che Internet ha dato un grosso contributo al processo di globalizzazione, non è più possibile differenziare rischi derivanti da minacce nazionali o internazionali. Pertanto anche la sicurezza deve essere intesa come “globale” cioè non più limitata all’adozione da parte della singola azienda di opportune contromisure ma deve essere adottato un approccio che preveda il coinvolgimento di strutture internazionali in grado di prevenire e contrastare attacchi provenienti da ogni parte del mondo.
Quali sono le principali attività legate alle partnership con le altre taskforce di Polizia Postale e Servizi Segreti USA?
Poste, muovendosi verso la sicurezza “globale”, ha avviato la creazione di un'alleanza strategica tra forze dell'ordine, mondo accademico, giuridico ed enti del settore privato, attraverso il rafforzamento delle relazioni e la condivisione di informazioni (nuove minacce, case study, potenziali trend), permette di sostenere l'analisi e lo sviluppo di best practice contro il cyber crime nei paesi europei.
Una task force che previene le frodi informatiche
La Sala controllo sicurezza è la sede della “task force” che svolge il monitoraggio contro i tentativi di frode informatica. Ospita il presidio centralizzato della sicurezza aziendale, fisica, logica e del lavoro. Un’attività continua di “intelligence” e di diga antifrode che realizza un modello integrato di sicurezza in coordinamento tra le varie strutture. Nella Sala di controllo sono impiegati 50 specialisti di Tutela aziendale.
La Sala controllo permette di centralizzare la gestione e il monitoraggio degli allarmi in modo da potenziare l’efficienza e l’efficacia delle attività di sicurezza. Permette l’integrazione tra le diverse funzioni di sicurezza aziendale, creando un presidio operativo contro eventi illeciti e un processo di prevenzioni delle frodi.
All’interno della Sala un Centro Operativo Emergenza svolge attività di vigilanza da remoto delle sedi centrali e di gestione dei sistemi perimetrali antintrusione, videoronda, allarme, antincendio, andover control.
Nella Sala sicurezza vengono svolte attività di:
- Sicurezza Logica: per la tutela dei dati e delle informazioni aziendali con analisi dei rischi connessi.
- Monitoraggio antifrode: per prevenire le frodi e gestire gli eventuali eventi illeciti.
- Business Intelligence Security: per la gestione degli eventi critici sia di sicurezza logica, sia fisica.