Mai come oggi il fattore sicurezza è stato così critico per i sistemi informativi aziendali.
Trattando le implicazioni concrete della sicurezza possiamo distinguere tra protezione rispetto ad intrusioni e sicurezza dei dati.
Per
sicurezza
dei dati si vuole intendere che gli stessi devono essere:
- Riservati: i dati non devono essere soggetti (intenzionalmente o meno) a divulgazione non autorizzata.
- Integri: i dati devono essere soggetti a modifiche autorizzate da personale autorizzato.
- Disponibili: i dati devono poter essere accessibili quando sono richiesti.
I primi due punti si realizzano adottando hardware, sistemi operativi ed applicazioni che permettano l'autenticazione e la protezione dei dati.
Riguardo l'ultimo punto si può porre l'attenzione su di un paio di problemi molto comuni: la perdita dei dati dovuta a rottura del disco, e l'improduttività dovuta alla rottura della macchina che ospita i dati.
Il nuovo Codice in materia di protezione dei dati personali tratta appunto la sicurezza dei dati personali, sensibili e giudiziari dettando le regole da seguire anche per i semplici dati anagrafici.
Frasi tipiche come: "chi vuoi che sia interessato al contenuto del mio PC?!" oppure "anche se entrassero nel mio PC non sarebbe un problema, non ho nulla di importante!" trovano una efficace smentita poiché sempre più di frequente, lo scopo dell'intrusione non è quella di "rubare i dati" bensì quella di usare il vostro sistema (di cui siete penalmente responsabili) per i propri scopi.
La maggior parte delle tecniche utilizzate per l'intrusione nei sistemi non riesce a calcolare a priori l'entità dell'obiettivo, molti programmi provano a sondare indiscriminatamente migliaia di indirizzi alla ricerca di qualche falla di sicurezza su sistemi non aggiornati o male configurati. Una volta che l'intruso è penetrato, può vantarsi semplicemente di esserci riuscito, prelevare o danneggiare dati, oppure usare il vostro sistema per attività illecite.
Le soluzioni esistono:
- analisi precisa delle vulnerabilità della rete allo scopo di aggiornare e/o configurare i sistemi.
- pacchetto antivirus distribuito su tutte le macchine della rete.
- dispositivi (firewall) per proteggere e regolamentare l'accesso da e verso internet.
- esatta configurazione dei sistemi di rete.
- pianificazione delle politiche di accesso.
Credere di essere "sicuri" è rischioso, ad esempio avere un
firewall ed un
antivirus è completamente inutile se non sono correttamente aggiornati e configurati.
Un'ultima considerazione, d'obbligo, è che la totale
sicurezza di una rete
informatica non esiste. Ogni realtà va attentamente analizzata valutandone i rischi e i loro costi, per poi produrre una soluzione che ottimizzi il rapporto sicurezza/prezzo.
