Il concetto di sicurezza informatica: le politiche di contrasto alla criminalità informatica

La sicurezza in senso lato e nell’ambito della cosiddetta Scienza della sicurezza risulta composta dai seguenti elementi:

 

1)      SAFETY;

2)      SECURITY;

3)      EMERGENCY.

Nell’ambito del concetto di sicurezza si è passati successivamente ad analizzarne il ciclo della sicurezza che consta di tre fasi:

 

1)      ANALISI;

2)      MISURE che si divide in prevenzione e protezione;

3)      GESTIONE

La sicurezza Informatica in senso lato a sua volta comprende la cosiddetta sicurezza passiva, la sicurezza attiva intesa come confidenzialità ed integrità, la Safety e la Reliability. Quando ci riferiamo alla sicurezza informatica è di fondamentale importanza prevedere quali possano essere gli effetti dei possibili guasti di un ipotetico server che percentualmente possono essere così enunciate:a) Nessuno effetto;b) Rischio trascurabile;c) Rischio significativo; d) Rischio elevato; e) Rischio catastrofico.

Il controllo della sicurezza di un programma si basa sul Semantic-Based Security model e sul Security-Typed Language. Tale modello prevede alcuni errori di programma secondo lo standard IEEE cosi dettagliati:

– ERROR

– FAILURE

– FAULT

Da un punto vista normative e codicistico nell’ambito della sicurezza informatica è stato definito il cosiddetto CODE OF GOOD PRACTICE che ha il compito di definire le politiche sulla sicurezza che devono essere adottate in qualunque contesto organizzativo. Le Security Policy forniscono le direttive di gestione ed il supporto per le informazioni di sicurezza. Per quanto riguarda invece la sicurezza organizzativa (Security Organization) essa ha il compito di definire il controllo della sicurezza delle informazioni in seno all’azienda, di mantenere la sicurezza e la facilità dei processi organizzativi delle informazioni anche quando accedono le parti terze ed infine di monitorare la sicurezza delle informazioni quando la responsabilità dell’elaborazione dell’informazione è stata conferita in out source.

Il controllo e la classificazione dei beni (asset Classification and Control) si prefigge invece di

mantenere la protezione dell’assetto organizzativo e garantire che l’assetto delle informazioni riceva un appropriato livello di protezione. La sicurezza del personale (Personnel Security) ha invece il compito di ridurre i rischi di errore,di frode o di abuso da parte degli operatori, di accertare che gli utenti siano informati delle possibili minacce e preoccupazioni sulla sicurezza delle informazioni e siano dotati a sostenere la politica della società sulla sicurezza nel corso del lavoro normale Inoltre serve anche a minimizzare i danni dagli avvenimenti e dalle disfunzioni di sicurezza ed imparare da tali avvenimenti.

La sicurezza fisica ed ambientale  (Phisical and enviromental Security) si prefigge i compito di

impedire l’accesso, il danneggiamento e l’interferenza dei non autorizzati all’interno del flusso delle informazioni del business, di impedire la perdita danni all’assetto del sistema e la interruzione delle attività economiche ed infine di impedire la manomissione o il furto delle informazioni. Il controllo di accesso  (Access Control) serve a controllare l’accesso alle informazioni, ad impedire l’accesso non autorizzato ai sistemi di informazione; ad accertare la protezione dei servizi in rete; ad impedire l’accesso non autorizzato nel calcolatore, a rilevare le attività non autorizzate ed infine ad accertarsi della sicurezza delle informazioni quando sono utilizzate le prestazioni mobili rete e tele rete.

Passiamo ora a parlare della gestione di comunicazioni ed operazioni (Communications and Operations Management) che presenta le seguenti peculiarità fondamentali:

1)      Accertarsi del corretto funzionamento e della facilità di elaborazione dell’informazione;

2)      Minimizzare il rischio di guasti dei sistemi;

3)      Proteggere l’integrità dei software e delle informazioni;

4)      Mantenere l’integrità e la validità dei processi di elaborazione dell’informazione e della comunicazione;

5)      Garantire la salvaguardia delle informazioni in rete e la protezione delle infrastrutture a supporto;

6)      Prevenire danni a beni e le interruzioni alle attività economiche;

7)      Impedire la perdita, la modifica o l’abuso delle informazioni scambiate fra le organizzazioni

Quando si parla di sicurezza informatica è necessario analizzare anche lo sviluppo e manutenzione di sistemi (System Development and Maintenance) che si prefigge il raggiungimento dei seguenti fattori:

1)      Accertare che la sicurezza sia stata costruita all’interno delle operazioni di sistema;

2)      Impedire la perdita,la modifica o il cattivo utilizzo dei dati dell’utente all’interno dei sistemi di applicazione;

3)      Proteggere la riservatezza l’autenticità e l’integrità delle in formazioni;

4)      Accertarsi che le attività di progetto e supporto alle attività siano condotte in modo sicuro e per mantenere la sicurezza del software e dei dati del sistema.

 Inoltre quando si fa riferimento allo sviluppo ed alla manutenzione dei sistemi non si può prescindere anche dall’esame della gestione continuita’operativa(Business Continuity Management) che ha il compito di neutralizzare le interruzioni alle attività economiche ed ai processi critici degli affari e dagli effetti dei guasti. Per ultimo, risulta necessario analizzare l’adeguatezza (Compliance) che consente di evitare il mancato rispetto delle leggi civili,penali e di qualsiasi requisito di sicurezza ed elevare l’efficacia e minimizzare l’interferenza per il processo di verifica del sistema.