Le applicazioni per la gestione dei rapporti con la clientela sono, per definizione, il primo target degli attacchi “through firewall”. La loro predisposizione all’apertura, infatti, genera sull’infrastruttura fianchi aperti, Point of failure, che vanno controllati con attenzione
Da circa due anni si parla di multicanalità nella gestione dei contatti con il cliente. Se prima era “solo” il call center a dover interagire con il lato customer, ora non è più così.
Al primo punto di contatto si è aggiunto il cosiddetto contact center, cioè una struttura che si avvale di canali di comunicazione multipli per accogliere le richieste dei clienti, convogliare le offerte commerciali verso questi ultimi e, ovviamente, interagire con il macro modulo di analisi, cioè il software di supporto decisionale e di data mining. Così, l’ecosistema destinato a gestire, in maniera “push” o “pull” le relazioni con il cliente, in linea generale viene denominato Crm, Customer relationship management.
Essendo l’accezione della sigla molto ampia, alcuni analisti stanno, con difficoltà, studiando una possibile parametrizzazione della disciplina. Parallelamente, anche i consulenti per la sicurezza si trovano ad affrontare una sfida “distribuita” alla stregua delle componenti architetturali di un sistema di Crm.
Ma quanti Pof!
Allo stato attuale, all’infrastruttura operativa di un sistema Crm sono collegati i seguenti potenziali Point of failure (Pof):
• Contact Center Infrastructure. Basata sul multichannel, questo tipo di infrastruttura è fondamentalmente composta da messaggistica (posta elettronica ed instant messenger) e sistemi collaborativi basati sul Web.
• Workforce Management. In un sistema di questo tipo, “customer centric”, la visibilità sul cliente deve essere al contempo granulare e globale. Chi gestisce i reclami quindi, deve essere in diretto contatto con chi si occupa di offerta commerciale sul cliente, in maniera tale da evitare duplicazioni e dispersioni di energia.
• Call/Contact Center Integration. Si tratta di un’esigenza lapalissiana, legata ai due punti precedenti. Senza integrazione, insomma, non si va da nessuna parte.
Esistono testimonianze legate ai punti sopra descritti, che dimostrano come sia potenzialmente fattibile per gli attacker trovare e sfruttare vari PoF di questo tipo. L’evento più recente è stato da noi documentato sul numero scorso di Linea Edp e riguarda il produttore russo di antivirus Kaspersky, al quale, dopo aver rubato il database della posta elettronica, destinatario della mailing list tecnica, gli hacker hanno attribuito un falso advisory, spedendolo via e-mail con, allegato, un vero virus. Questo significa che, con la distribuzione dei processi diviene “normale” anche quella degli attacchi.
Dal punto di vista delle componenti dell’architettura operativa di un sistema Crm, i potenziali PoF riguardano principalmente quattro componenti: i vari database degli utenti, la posta elettronica, l’instant messaging e l’accesso al portale aziendale.
In ordine alla gestione dei database, poi, esiste anche un altro fattore da tenere in considerazione. È la legge sulla protezione dei dati personali, con relative integrazioni e modificazioni, cioè il Dpr 318/99, integrato anche da altre normative intervenute successivamente. Fatto sta che, neanche tanto teoricamente, chi non tutela in misura adeguata la base di dati sensibili a lui in “consegna”, può potenzialmente essere soggetto a penalizzazioni di carattere normativo.
Le soluzioni di protezione
Il firewalling da solo, allora, si è dimostrato non essere assolutamente sufficiente a garantire una protezione a un’architettura realmente distribuita.
Allo stato attuale si rende necessario perlomeno:
• Sicurezza delle comunicazioni tra i poli transazionali.
In un sistema basato sul B2B , per esempio (ma non solo), un crittosistema/vpn è evidentemente consigliabile. Naturalmente l’integrazione con un firewall è quantomai opportuna.
• Protezione della messaggistica. Autenticazione, firma e certificati digitali sono un must per garantire, tra l’altro, il non ripudio delle transazioni. E questo per tutto ciò che riguarda la messaggistica, anche quella istantanea.
Deve essere il ragionamento effettuato da Verisign e America OnLine (Aol), che hanno sottoscritto un recente accordo finalizzato alla messa in sicurezza, con l’ausilio delle Pki, dei sistemi Aim (Americaonline instant messanger) per l’impresa.
• Database Security.
Hardening e gestione degli accessi (quindi profilazione secondo il paradigma Aaa, cioè Authentication, Authorization, and Accounting) sono alla base di un’efficace protezione delle basi di dati, alla quale, ovviamente, va affiancato un livello di protezione perimetrale e di intrusion detection.
Tuttavia non si può demandare la protezione dell’architettura Crm alla mera tecnologia. Come il successo del Crm è comunque estremamente basato sulla strategia, così il top management deve prevedere un’analoga tattica di protezione delle informazioni.
In poche parole: abilitare il Crm significa anche mitigare il pericolo di attacco ai sistemi.
E solo una pianificazione di strategie e politiche di security basata su analisi del rischio, può rendere efficace l’architettura tecnologica di sicurezza.
