Sicurezza informatica: differenze tra le versioni
Contenuto cancellato Contenuto aggiunto
Etichette: Annullato Modifica visuale |
da computer security a cyber security |
||
| (43 versioni intermedie di 25 utenti non mostrate) | |||
Riga 1:
{{NN|informatica|aprile 2013|solo l'ultima sezione ha delle note}}
[[File:U.S. Navy Cyber Defense Operations Command monitor.jpg|thumb|''Navy Cyber Defense Operations Command'', unità che controlla le attività non autorizzate nei sistemi informativi della [[United States Navy]] (2008)]]
La '''sicurezza informatica''' (
== Aspetti generali ==
Un sinonimo che trova talvolta impiego in questo contesto è '''
Nella sicurezza informatica sono coinvolti elementi tecnici, organizzativi, giuridici e umani. Per valutare la sicurezza solitamente è necessario individuare le minacce, le [[vulnerabilità informatica|vulnerabilità]] e i [[rischio|rischi]] associati ai beni informatici, al fine di proteggerli da possibili [[Attacco informatico|attacchi]] (interni o esterni) che potrebbero provocare danni diretti o indiretti di impatto superiore a una determinata soglia di tollerabilità (es. economico, politico-sociale, di reputazione, ecc...) a un'organizzazione. Oltre alle tre fondamentali proprietà (disponibilità, riservatezza, integrità) possono essere considerate anche: [[autenticità]], non ripudiabilità, responsabilità, affidabilità.
La sicurezza informatica è un problema molto sentito in ambito
L'interesse per la sicurezza dei sistemi informatici è dunque cresciuto negli ultimi anni, proporzionalmente alla loro diffusione e al ruolo da essi svolto nella collettività<ref>[http://www.privacy.it/ueEchelon.html ''Relazione sull'esistenza di un sistema d'intercettazione globale per le comunicazioni private ed economiche (sistema d'intercettazione Echelon) (2001/2098 (INI))''] del [[Parlamento europeo]], 11 luglio 2001</ref>.
=== Sicurezza delle informazioni ===
Sicurezza informatica non coincide con '''sicurezza delle informazioni''' ('''InfoSec''')<ref>{{Cita web|url=https://www.microsoft.com/it-it/security/business/security-101/what-is-information-security-infosec |titolo=Cos'è la sicurezza delle informazioni (InfoSec)?}}</ref>. La prima si rivolge agli asset informatici (impianti, reti, dispositivi, sistemi, applicazioni, servizi), la seconda mira a mettere in sicurezza l'asset "informazione" nelle dimensioni: organizzazione, fisica ed ambientale, logica (cioè tecnologia informatica o [[telematica]]). Per la sicurezza delle informazioni la sicurezza informatica è una parte ed è un mezzo, non è la finalità.
Si può sommariamente osservare che:
* quando le informazioni sono non digitali allora non riguardano la sicurezza informatica, mentre la sicurezza delle informazioni è interessata;
* un'informazione orale (o materializzata unicamente su carta) rimane un'informazione che potrebbe essere necessario mettere in sicurezza senza dover o poter ricorrere alla sicurezza informatica.
Esiste a livello internazionale la norma [[ISO 27001]] finalizzata alla standardizzazione delle modalità adatte a proteggere le informazioni da minacce di ogni tipo, al fine di assicurarne
=== Sicurezza domestica e nelle aziende ===
Dal momento che l'[[informazione]] è un bene [[impresa|aziendale]], e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni azienda è interessata a garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento. Per questo esistono precise norme in materia di [[privacy]], tra cui ad esempio il [[Regolamento generale sulla protezione dei dati]]. La materia privacy è però limitativa, trattando essa unicamente il tema della protezione dei dati personali ed escludendo il resto; la legge sulla privacy infatti non impone alcuna protezione per informazioni prive di dati personali. Spesso si fa confusione tra tutela dei dati personali e sicurezza delle informazioni ''tout court'' (informazioni riservate e confidenziali ma che nulla hanno che vedere con dati personali).
== Sicurezza dei programmi ==
{{vedi anche|Sicurezza dei sistemi operativi}}
Il problema della sicurezza dei programmi ([[sistema operativo|sistemi operativi]] e [[applicazione (informatica)|applicazioni]]) si è posto all'attenzione degli sviluppatori di [[software]] come conseguenza della sensibile crescita dell'uso degli strumenti informatici e di [[Internet]]. Per quanto riguarda la produzione di software "protetti", il concetto di ''sicurezza'' si può definire come l'assenza di condizioni conflittuali capaci di produrre danni mortali o irreparabili a un sistema. Nella progettazione di [[software]] è quindi fondamentale raggiungere il compromesso più funzionale tra l'efficienza d'uso del [[programma (informatica)|programma]] in questione e la sua capacità di "sopravvivenza" ad attacchi esterni e a errori più o meno critici. Il livello base della sicurezza dei programmi è fornito dalla [[sicurezza dei sistemi operativi|sicurezza del sistema operativo]] su cui poggiano i programmi applicativi.
=== Caratteristiche di sicurezza ===
Line 51 ⟶ 38:
In ordine crescente, i possibili effetti dei guasti in cui può incorrere un [[software]] sono:
* nessun effetto;
* danno trascurabile;
* danno significativo;
* danno elevato;
Line 83 ⟶ 70:
* Rileva (''detect'')
* Rispondi (''respond'')
*
=== Analisi del rischio ===
Line 96 ⟶ 83:
===Minacce e vulnerabilità===
I sistemi informatici sono attaccabili da '''minacce''' che possono sfruttare '''vulnerabilità''' (minaccia e vulnerabilità sono concetti contigui ma distinti<ref>Senza una vulnerabilità da sfruttare la minaccia permane ma il rischio
* eventi accidentali;
* eventi indesiderati.
In taluni contesti una minaccia la si deve per lo più considerare come scontata, di fronte alla quale si può direttamente fare poco, mentre sulle vulnerabilità sfruttabili da questa minaccia si può normalmente agire (anzi: la gran parte dei metodi di protezione
=== Eventi accidentali ===
Line 152 ⟶ 139:
Innanzitutto a livello fisico e materiale, ponendo i [[server]] in luoghi il più possibile sicuri, dotati di sorveglianza e/o di controllo degli accessi, nonché di sistemi di protezione da danni (fuoco, acqua, sbalzi di corrente, eventi catastrofici, ecc); anche se questo accorgimento fa parte della sicurezza fisica e non della "sicurezza informatica", spesso il fatto di adottare le tecniche più sofisticate genera un falso senso di sicurezza che può portare a trascurare quelle semplici.
La '''sicurezza ambientale''' è la sicurezza di protezione fisica applicata alle strutture edilizie (edifici, stanze, vani e piani, aree di passaggio o ingresso/uscita o sosta, ecc.) o agli impianti tecnologici relativi alle costruzioni edili (elettrico, climatizzazione, antincendio, termoidraulico, controllo accessi, rete dati, anti effrazione, ecc.). Una sbarra ad un varco carrabile, una telecamera all'ingresso principale di una sede, una canalina cavi anti effrazione posta sui muri esterni, una chiave elettronica per accedere ad un piano/stanza, un tornello ad una porta/varco, il raffrescamento e un sensore anticendio di una sala CED, sono esempi di dispositivi di sicurezza ambientale.
==== Sicurezza attiva (sicurezza logica) ====
Per sicurezza attiva si intendono le tecniche e gli strumenti mediante i quali le informazioni e i dati (nonché le applicazioni)
Questo livello è normalmente logico e prevede l'[[autenticazione]] e l'[[autorizzazione (informatica)|autorizzazione]] di un'entità che rappresenta l'utente o il servizio nel sistema. Le operazioni effettuate dall'utente durante il processo di autenticazione sono tracciate in [[file]] di [[log]]. Questo processo di tracciamento delle attività è detto ''[[accountability]]''. A esso si associa la successiva fase di [[audit (informatica)|''audit'']] che è la valutazione di conformità (alle regole) dei dati di log. A volte viene usato il termine ''audit'' per entrambe le fasi.
La sicurezza passiva e quella attiva sono tra loro complementari ed entrambe indispensabili per raggiungere un livello di sicurezza adeguato.
Line 164 ⟶ 151:
A metà strada tra la sicurezza logica e quella organizzativa è l'audit (informatico) di sicurezza. Esso è eseguito attraverso specifici strumenti dei sistemi operativi o applicazioni software particolari; tramite l'audit è possibile mappare lo stato di sicurezza (ed, eventualmente, di conformità a norme e policy) relativo a impostazioni o utilizzi di apparati, servizi, terminali.
Come detto sopra, la valutazione informatizzata dei log, associata alla relativa comparazione con le regole definite, è un altro esempio di audit di sicurezza. Esistono sistemi informatici che automatizzano il monitoraggio di sicurezza dei log e degli eventi in generale. Sono audit perché i risultati della scansione sono confrontati con i requisiti di conformità impostati (regole interne, normative, bollettini dei vendor, metriche suggerite dalle organizzazioni che si occupano di sicurezza, come l'OWASP).
Questo tipo di audit, svolto da strumenti informatici, è differente dagli audit intesi come verifiche ispettive (queste, invece, sono eseguite da persone che le conducono ai processi del sistema di gestione).
Line 171 ⟶ 158:
Numerose ricerche hanno negli ultimi anni evidenziato come il fattore umano sia una componente essenziale dell'attacco informatico. L'utente finale è oggi considerato l'anello debole del sistema uomo-macchina<ref>{{Cita web|url=https://www.csoonline.com/article/2137210/security-awareness/studies-prove-once-again-that-users-are-the-weakest-link-in-the-security-chain.html|titolo=Studies prove once again that users are the weakest link in the security chain|sito=CSO Online}}</ref> ed è stimato che più del 90% degli incidenti di sicurezza hanno all'origine una qualche forma di errore umano<ref>{{Cita web|url=https://securityintelligence.com/the-role-of-human-error-in-successful-security-attacks/|titolo=The Role of Human Error in Successful Security Attacks|sito=IBM Security Intelligence}}</ref><ref>{{Cita web|url=https://www.computerworld.com/article/2910316/90-of-security-incidents-trace-back-to-pebkac-and-id10t-errors.html|titolo=90% of security incidents trace back to PEBKAC and ID10T errors|sito=Computerworld}}</ref>. Tra le forme più comunemente rilevate di errori e abitudini rischiose troviamo una inadeguata gestione delle proprie password, l'incapacità di riconoscere siti fraudolenti, allegati email pericolosi e URL ingannevoli. Vista l'importanza della componente umana nella determinazione del cyber-rischio complessivo a cui una organizzazione è esposta<ref>{{Cita web|url=https://www.coruscan.com/cyber-risk/human-component|titolo=The Human Component of Cyber Risk|sito=The Coruscan Project}}</ref>, l'addestramento alla sicurezza in ambito informatico, mirato ad incrementare la consapevolezza dell'utente finale, a tutti i livelli, non solo consente di conformarsi ai regolamenti di settore e alle [[buone pratiche]] della cyber-difesa ma è oggi considerato essenziale<ref>{{Cita web|url=https://www.theguardian.com/media-network/media-network-blog/2013/feb/12/business-cyber-security-risks-employees|titolo=Risky business: why security awareness is crucial for employees|sito=The Guardian}}</ref> nella riduzione del rischio.
L'attenzione per l'utente finale rappresenta un cambiamento culturale profondo per molti operatori nel campo della sicurezza informatica, che hanno tradizionalmente affrontato il problema da una prospettiva esclusivamente tecnica, e segue le linee guida indicate dai maggiori 'security centers' mondiali<ref>{{Cita web|url=https://www.cpni.gov.uk/developing-security-culture|titolo=Developing a Security Culture|sito=CPNI - Centre for the Protection of National Infrastructure|accesso=25 novembre 2019|dataarchivio=9 ottobre 2018|urlarchivio=https://web.archive.org/web/20181009013120/https://www.cpni.gov.uk/developing-security-culture|urlmorto=sì}}</ref>, che incoraggiano a sviluppare all'interno dell'azienda una cultura della sicurezza, riconoscendo che un utente consapevole costituisce una importante linea di difesa contro gli attacchi informatici.
Nell'ambito dell'analisi dei rischi connessi alla sicurezza informatica, gli errori o i comportamenti difformi/illegittimi dell'utente e/o dell'addetto con ruoli privilegiati (sviluppatori, sistemististi, collaudatori, ecc.) sono identificati come minacce che potrebbero sfruttare vulnerabilità di diverse categorie.
==== Altri fattori ====
Line 193 ⟶ 182:
Queste tre caratteristiche vengono spesso citate utilizzando la definizione "CIA Triad"<ref>Sean Brooks & Ellen Nadeau (2015), Privacy Risk Management for Federal Information Systems. Information Technology Laboratory, NIST, Gaithersburg, MD.</ref> (da Confidentiality, Integrity, Availability).
Le proprietà di riservatezza, integrità e disponibilità dei dati costituiscono l'assunto base sul quale vengono svolte tutte le successive valutazioni di sicurezza. Tali proprietà sono in genere affiancate anche dalla proprietà di ''[[non ripudio]]'', ovvero dalla possibilità di attribuire con certezza un dato
Il raggiungimento della disponibilità dipende da diversi fattori che interferiscono tra utente e sistema, quali: [[robustezza (informatica)|robustezza]] del [[software]] di base e applicativo, [[affidabilità]] delle apparecchiature e degli ambienti in cui essi sono collocati. Spesso dal funzionamento o meno del sistema informatico dipende anche la sicurezza dei dati in esso contenuti.
Line 200 ⟶ 189:
Le possibili tecniche di attacco sono molteplici, perciò è necessario usare contemporaneamente diverse tecniche difensive per proteggere un sistema informatico, interponendo barriere fra l'attaccante e l'obiettivo. Il sistema informatico deve essere in grado di impedire l'alterazione diretta o indiretta delle informazioni, sia da parte di utenti non autorizzati, sia a causa di eventi accidentali; inoltre deve impedire l'accesso abusivo ai dati. Inoltre in generale non è buona norma assumere che le contromisure adottate in un sistema siano sufficienti a scongiurare qualsiasi attacco.
Per far fronte a evenienze derivanti da possibili guasti o danni fisici, come sicurezza fisica o passiva molte volte si opera in un contesto di [[ridondanza (ingegneria)|ridondanza]] degli apparati (es. [[server cluster]]) ovvero con [[sistema distribuito|sistemi distribuiti]] all'interno di piani di [[disaster prevention]] che, assicurando la tolleranza ai guasti ([[fault tolerance]]), garantiscano [[affidabilità]] e disponibilità, cioè la [[continuità operativa]] del [[sistema informatico]] e dell'azienda. A volte si preferisce agire anche in maniera preventiva tramite piani di [[disaster prevention]].
Tra le contromisure più comuni di tipo logico sulla [[rete locale]] di un sistema e sui suoi sottosistemi troviamo:
Line 219 ⟶ 208:
== Sicurezza nelle reti ==
{{vedi anche|Sicurezza e vulnerabilità delle reti|Sicurezza del cloud computing}}
[[File:Encryption - decryption.svg|thumb
Un altro filone della sicurezza informatica si occupa delle problematiche di sicurezza connesse alla [[trasmissione (telecomunicazioni)|trasmissione]] di [[informazione|informazioni]] [[confidenzialità|confidenziali]] in rete o su qualunque sistema di [[telecomunicazioni]] ovvero l'invio e la ricezione di dati confidenziali protetti ovvero protezione dei dati in transito.
Line 243 ⟶ 233:
== Questioni giuridiche e regolamentazione globale ==
Una delle principali battaglie e delle lamentele dell'industria degli antivirus è quella relativa alla creazione di una regolamentazione unificata e globale, una base di regole comuni per giudicare legalmente, ed eventualmente punire, i [[Crimine informatico|crimini informatici]] e i [[Crimine informatico|criminali informatici]]. Infatti, ancora oggi, anche se una società produttrice di antivirus dovesse riuscire a scoprire chi è il [[Crimine informatico|criminale informatico]] dietro alla creazione di un particolare [[Virus (informatica)|virus]] o di un [[malware]] o di un qualsiasi attacco informatico, spesso le autorità locali non possono comunque agire.<ref name="ted.com">{{Cita web
{{Citazione|[Computer viruses] switch from one country to another, from one jurisdiction to another — moving around the world, using the fact that we don't have the capability to globally police operations like this. So the Internet is as if someone [had] given free plane tickets to all the online criminals of the world."<ref name="ted.com"/>|[[Mikko Hyppönen]]}}
Line 250 ⟶ 240:
== Note ==
<references />
== Bibliografia ==
Line 285 ⟶ 275:
* [[Hardening]]
* [[Sicurezza del cloud computing]]
* [[Security Information and Event Management|SIEM]]
* [[Privacy]]
* [[Regolamento generale sulla protezione dei dati]]
Line 299 ⟶ 289:
== Altri progetti ==
{{interprogetto|preposizione=sulla|wikt=sicurezza informatica}}
== Collegamenti esterni ==
* {{Collegamenti esterni}}
* {{FOLDOC|security|security}}
* {{en}} http://ec.europa.eu/information_society/activities/sip/index_en.htm Safer Internet Europa
* [https://web.archive.org/web/20171107024245/http://www.cyberlaws.it/cybersecurity-cybercrime/data-security/ Raccolta della normativa applicabile in materia di sicurezza dei dati], ''CyberLaws.it''
| |||