INFORMATICA - SICUREZZA

Gennaio 2007

La sicurezza in un sistema complessa è un processo attivo e non uno stato finale [30]. Tale processo rimane attivo su un ciclo indefinito di almeno quattro passi generalmente inquadrabili:

INIZIO CICLO

Stima delle possibilità: riguarda la valutazione delle politiche di gestione, delle procedure presenti, delle leggi, dei regolamenti interni, della disponibilità finanziaria, delle capacità tecniche, ecc. al fine di stabilire se esiste per il sistema una possibilità di difendersi e fino a che punto. Ad esempio non è raro che talune ditte di piccole dimensioni, dotate di sistemi informatici non critici, decidano di investire pochissimo (o addirittura nulla) nella sicurezza informatica in quanto la probabilità di essere violati e/o danneggiati ed i conseguenti danni hanno mediamente un impatto economico sulla compagnia sicuramente inferiore (con buoni margini) a quello che avrebbe l'installazione, la gestione ed il mantenimento di un reparto per la sicurezza atto ad impedire tali fatti.

Costruzione delle barriere protettive: le barriere che il sistema complesso può implementare possono essere di natura hardware, software, umana e politica al fine di realizzare concretamente una forma di prevenzione da possibili danni ed aumentare la percezione del grado di sicurezza da parte di coloro che formano e/o impiegano il sistema stesso.

Rilevazione di intrusioni nel sistema: ossia individuazione di violazioni della politica di sicurezza e gestione del sistema. Si noti che se non c'è una politica di gestione e/o sicurezza non ha molto senso parlare di intrusione. Se infatti un sistema fosse per assurdo completamente aperto a disposizione su Internet l'accesso ai suoi dati da parte di un "curioso" ed eventualmente la loro modifica non potrebbe costituire una violazione, sia dal punto di vista dei regolamenti interni (inesistenti) che dal punto di vista legale.

Risposta del sistema: rilevata l'intrusione ed il conseguente danneggiamento si cerca, in questo passo, di porre rimedio ben pensando di classificare la problematica e l'eventuale soluzione al fine di non consentirle di ripetersi.

FINE CICLO

Lo scopo del perdurare continuo di questo ciclo è minimizzare il rischio di perdita di risorse del sistema complesso. Tale rischio dipende da tre fattori:

1) Le possibili minacce: paradossalmente risorse del sistema poco protette che però presentano scarsa attrazione per minacce esterne determinano globalmente un basso rischio;

2) Le possibili vulnerabilità: spesso a causa del ridotto budget una risorsa risulta poco protetta nel sistema da cui il rischio per una sua perdita aumenta;

3) Il valore intrinseco della risorsa: ammesso di perdere una risorsa e quindi di dover agire nel senso della sua sostituzione nel sistema, se tale azione costa poco il rischio del sistema nella citata violazione è minimo.

In definitiva, volendo minimizzare il rischio per un sistema e quindi volendo gestirne la sua sicurezza attraverso il predetto ciclo, bisogna fare in modo, nei limiti del possibile di: (a) rendere le risorse interne poco attraenti per minacce esterne (ad esempio terziarizzandole), (b) diminuire le vulnerabilità di base (ad esempio curando la scelta degli strumenti di protezione) e (c) cercare di avere risorse sostituibili a basso costo.

marcomattiucci.it

Informatica:

Cyber-Security - articoli:

Cyber-Security: