Information Security e Cybersecurity sono termini associati alla sicurezza dei sistemi informatici. In questo articolo esaminiamo le differenze tra i due sistemi ai fini della conservazione e della protezione dei dati, le tipologie di attacco informatico e le misure di sicurezza da adottare
Nell'articolo
Information Security: definizione
Analizziamo il significato dell’espressione Information Security, spesso sintetizzata nell’acronimo anglosassone InfoSec. È questa la prima forma di sicurezza dei sistemi informativi; si basa da circa 10 anni sul rispetto di un acronimo ben noto a tutti coloro che si occupano di sicurezza dei sistemi informativi:
CIA – confidentiality, integrity, availability.
Information Security: obiettivi
L’obiettivo di un programma di sicurezza delle informazioni prevede che i dati digitali, residenti su server, desktop, laptop od altrove, ad esempio nel cloud:
- non siano accessibili a soggetti non autorizzati (Confidentiality),
- siano mantenuti integri e non soggetti a modifiche non autorizzate (Integrity),
- siano sempre disponibili all’utente che abbia bisogno di questi dati (Availability).
Questo concetto di sicurezza, nel corso del tempo, si è rivelato insufficiente a garantire adeguata protezione dei dati; tanto è vero che ancora oggi esistono degli esperti di sicurezza informatica, che non sono esperti di sicurezza cibernetica.
Cybersecurity: definizione
Cybersecurity è un’espressione che fa riferimento alla protezione dei dati, presenti in forma elettronica, proteggendoli in particolare da compromissione ed attacchi.
Un aspetto fondamentale della cybersecurity è quello di classificare i dati informatizzati in funzione della:
- criticità,
- ubicazione,
- livello di esposizione al rischio
- tecnologie disponibili per proteggere i dati stessi.
Information Security e Cybersecurity: conservazione e protezione dei dati
La garanzia di corretta conservazione e protezione dei dati, insita nel concetto di Information Security, viene notevolmente ampliata quando si entra nel campo della Cybersecurity. In questo caso la protezione si estende non solo all’intera rete dove i dati risiedono (o lungo nel quale i dati transitano), ma prende in considerazione tutta una varietà di tecniche di attacco criminoso; tecniche che possono coinvolgere il sistema informativo in quanto tale, ma anche i dispositivi informatici personali, come ad esempio lo smartphone.
Ecco il motivo per cui la diffusione dello Smart Working, senza aver adottato appropriate misure di protezione del terminale utilizzato in ambito domestico, ha portato ad un incremento significativo degli attacchi informatici, come vistosamente dimostrato dall’attacco al sistema informatico sanitario della regione Lazio.
Sistemi Informativi: le tipologie di attacco
A questo proposito, è opportuno ricordare che ad oggi le tipologie di attacchi ai sistemi informativi possono essere divise in tre grandi categorie:
- cybercrime, che mira a ottenere un guadagno economico,
- cyber attacchi, per solito di origine politica,
- cyber terrorismo, la cui origine è insita nel nome.
Le modalità con cui questi attacchi possono essere perpetrati sono diverse, utilizzando vari tipi di malware; ad esempio virus, Trojan, pop up Trojans, spyware, ransomware, hardware e Botnet.
Un’altra varietà di attacchi comprende gli attacchi DDS – denial of service ed il phishing.
Quest’ultima tipologia di attacchi sfrutta non tanto le debolezze informatiche, quanto le debolezze umane.
Purtroppo i manuali di comportamento, che vengono distribuiti ai dipendenti che operano in Smart Working, spesso dedicano decine di pagine agli aspetti tecnologici, ma non agli aspetti comportamentali.
Siamo tuttora in mancanza di informazioni aggiornate, ma non v’è dubbio che un pop up Trojan, vale a dire un pop-up che appare sullo schermo del dipendente che lavora a domicilio, presentando una proposta assai attraente, come ad esempio un elettrodomestico offerto ad un prezzo stracciato, possa indurre facilmente il dipendente a cliccare su di esso per avere maggiori informazioni.
Infosec e Cybersec per un approccio alla sicurezza dei sistemi informativi
Da queste descrizioni appare chiaro come un approccio corretto alla sicurezza complessiva dei sistemi informativi debba prevedere sia l’utilizzo di tecniche infosec, sia di tecniche cybersec.
Alla prima categoria di tecniche appartengono tutti gli applicativi che garantiscano l’adozione di profili informatici di accesso di elevata sicurezza, con scelta di parole chiave altrettanto sicure; i profili informatici devono essere basati sull’ormai famoso principio inglese del “need to know”; devono curare in particolare che eventuali spostamenti dei dipendenti da una funzione ad un’altra siano accompagnati da un’appropriata rettifica dei profili di accesso ai dati; in termini di categorie di dati accessibili ed in termini di tipologia di intervento sui dati, come ad esempio autorizzazione a leggere, creare, modificare, cancellare i dati.
L’adozione di sistemi che rivelano una possibile intrusione di rete rappresenta un passo avanti, che potrebbe costituire un punto di raccordo fra infosec e cybersec.
Sicurezza informatica ma anche sicurezza fisica
L’esperienza ha già mostrato come una politica soddisfacente di sicurezza dei dati non può basarsi solo su aspetti informatici, ma richiede anche un intervento di natura fisica.
Ricordiamo infatti che più di una volta i malviventi, che hanno perpetrato attacchi con ransomware, sono riusciti a cifrare non solo i dati in linea, ma anche i dati di backup; questo ha messo in crisi tutto il sistema informatico attaccato dai malviventi.
Sicurezza fisica: quali misure adottare
L’introduzione di una misura di sicurezza fisica consiste ad esempio nell’effettuare un backup regolare dei dati supporti asportabili; questi dati andranno custoditi, non già nel cloud od in un altro sistema informativo, ma in un locale protetto (ad esempio il caveau di un istituto di vigilanza privata). Ciò rende in pratica inattaccabile la copia di backup da un qualsivoglia attacco informatico.
Proseguendo su questo filo logico, qualora i dati informatici siano stati ricavati da documenti stampati, come spesso accade quando viene scannerizzato un documento cartaceo, la custodia del documento stampato in un raccoglitore, posto in un locale ad accesso protetto, rappresenta una misura di infosec, e non di cybersec.
Mi auguro che questi esempi siano sufficienti per permettere di inquadrare la differenza, ma anche la complementarietà delle misure necessarie per garantire che i dati, fondamentali per la sopravvivenza e operatività di un’azienda, siano sempre protetti e disponibili.
Per un approfondimento consulta il volume di EPC Editore:
Aggiornati con i corsi di formazione dell’Istituto INFORMA:
Una squadra di professionisti editoriali ed esperti nelle tematiche della salute e sicurezza sul lavoro, prevenzione incendi, tutela dell’ambiente, edilizia, security e privacy. Da oltre 20 anni alla guida del canale di informazione online di EPC Editore