La sicurezza informatica è l'insieme dei mezzi, delle tecnologie e delle procedure tesi alla protezione dei sistemi informatici in termini di confidenzialità, integrità e disponibilità, dei beni o asset informatici.
Aspetti generali Un sinonimo che trova talvolta impiego in questo contesto è cibersicurezza, o cybersicurezza (dall'inglese cyber security), termine che più precisamente ne rappresenta una sottoclasse, essendo quell'ambito della sicurezza informatica che dipende solo dalla tecnologia: con esso si enfatizzano spesso qualità di resilienza, robustezza e reattività che una tecnologia deve possedere per fronteggiare attacchi mirati a comprometterne il suo corretto funzionamento e le sue performance.
Nella sicurezza informatica sono coinvolti elementi tecnici, organizzativi, giuridici e umani. Per valutare la sicurezza solitamente è necessario individuare le minacce, le vulnerabilità e i rischi associati ai beni informatici, al fine di proteggerli da possibili attacchi (interni o esterni) che potrebbero provocare danni diretti o indiretti di impatto superiore a una determinata soglia di tollerabilità (es. economico, politico-sociale, di reputazione, ecc...) a un'organizzazione. Oltre alle tre fondamentali proprietà (disponibilità, riservatezza, integritàIntegrità = l'oggetto non è alterato da modifiche non volute.) possono essere considerate anche: autenticità e non ripudiabilità. Le 3 + 2 proprietà insieme assicurano responsabilità e affidabilità.
La sicurezza informatica è un problema molto sentito in ambito economico-informatico per via della crescente informatizzazione della società e dei servizi (pubblici e privati) in termini di apparati e sistemi informatici e della parallela diffusione e specializzazione degli attaccanti.
L'interesse per la sicurezza dei sistemi informatici è dunque cresciuto negli ultimi anni, proporzionalmente alla loro diffusione e al ruolo da essi svolto nella collettivitàRelazione sull'esistenza di un sistema d'intercettazione globale per le comunicazioni private ed economiche (sistema d'intercettazione Echelon) (2001/2098 (INI)) del Parlamento europeo, 11 luglio 2001.
Sicurezza delle informazioni Sicurezza informatica non coincide con sicurezza delle informazioni (InfoSec). La prima si rivolge agli asset informatici (impianti, reti, dispositivi, sistemi, applicazioni, servizi), la seconda mira a mettere in sicurezza l'asset "informazione" nelle dimensioni: organizzazione, fisica ed ambientale, logica (cioè tecnologia informatica o telematica). Per la sicurezza delle informazioni la sicurezza informatica è una parte ed è un mezzo, non è la finalità. Oltretutto, esiste una netta differenza tra "dato" e informazione" (solo la contestualizzazione e/o elaborazione trasforma una collezione di dati grezzi in una informazione).
Si può sommariamente osservare che:
quando le informazioni sono non digitali allora non riguardano la sicurezza informatica, mentre la sicurezza delle informazioni è interessata; un'informazione orale (o materializzata unicamente su carta) rimane un'informazione che potrebbe essere necessario mettere in sicurezza senza dover o poter ricorrere alla sicurezza informatica.
Esiste a livello internazionale la norma ISO 27001 finalizzata alla standardizzazione delle modalità adatte a proteggere le informazioni da minacce di ogni tipo, al fine di assicurarne la riservatezza, l'integrità e la disponibilità (proprietà identificate con l'acronimo RID). Lo standard indica i requisiti di un adeguato sistema di gestione della sicurezza delle informazioni (SGSI; in inglese Information security management system o ISMS) finalizzato a una corretta gestione delle informazioni dell'organizzazione. Una fase indispensabile di ogni pianificazione della sicurezza è la valutazione del rischio e la gestione del rischio. Le organizzazioni (di qualsiasi natura, settore, dimensione) possono far certificare ISO 27001 il proprio SGSI.
Sicurezza domestica e nelle aziende Dal momento che l'informazione è un bene aziendale, e che ormai la maggior parte delle informazioni sono custodite su supporti informatici, ogni azienda è interessata a garantire la sicurezza dei propri dati, in un contesto dove i rischi informatici causati dalle violazioni dei sistemi di sicurezza sono in continuo aumento. Per questo esistono precise norme in materia di privacy, tra cui ad esempio il Regolamento generale sulla protezione dei dati. La materia privacy è però limitativa, trattando essa unicamente il tema della protezione dei dati personali ed escludendo il resto; la legge sulla privacy infatti non impone alcuna protezione per informazioni prive di dati personali. Spesso si fa confusione tra tutela dei dati personali e sicurezza delle informazioni tout court (informazioni riservate e confidenziali ma che nulla hanno che vedere con dati personali).
Sicurezza dei programmi
Il problema della sicurezza dei programmi (sistemi operativi e applicazioni) si è posto all'attenzione degli sviluppatori di software come conseguenza della sensibile crescita dell'uso degli strumenti informatici e di Internet. Per quanto riguarda la produzione di software "protetti", il concetto di sicurezza si può definire come l'assenza di condizioni conflittuali capaci di produrre danni mortali o irreparabili a un sistema. Nella progettazione di software è quindi fondamentale raggiungere il compromesso più funzionale tra l'efficienza d'uso del programma in questione e la sua capacità di "sopravvivenza" ad attacchi esterni e a errori più o meno critici. Il livello base della sicurezza dei programmi è fornito dalla sicurezza del sistema operativo su cui poggiano i programmi applicativi.
Caratteristiche di sicurezza Due caratteristiche fondamentali esplicano il concetto di sicurezza: Safety (sicurezza): una serie di accorgimenti atti ad eliminare la produzione di danni irreparabili all'interno del sistema. Reliability (affidabilità): prevenzione da eventi che possono produrre danni di qualsiasi gravità al sistema. Un software (o programma) è tanto più sicuro quanto minori sono le probabilità che si verifichi un guasto e la gravità del danno conseguente al guasto stesso.
In ordine crescente, i possibili effetti dei guasti in cui può incorrere un software sono: nessun effetto; danno trascurabile; danno significativo; danno elevato; danno catastrofico.
Verifica della sicurezza di un programma Una volta prodotto il software si procede alla verifica del suo comportamento, in modo tale da effettuare una ricerca estesa dei difetti presenti, per passare poi alla loro eventuale eliminazione. Esistono diversi modelli di sicurezza per il controllo dei programmi, basati su due metodi differenti: Semantic-based security model (modelli di sicurezza basati sulla semantica): la sicurezza del programma controllato viene esaminata in termini di comportamento del programma Security-typed language (modelli di sicurezza basati sul linguaggio): i tipi delle variabili sono seguiti dall'esplicazione delle politiche adottate per l'uso dei dati battuti. Per essere efficace un programma deve essere controllato nelle sue specifiche e deve essere privo di difetti nel codice: a questo fine viene effettuato un controllo delle specifiche del programma e delle prestazioni correlate all'affidabilità; in secondo luogo viene analizzata ogni parte di codice e funzione del sistema.
Errori di programma L'Institute of Electrical and Electronics Engineers ha catalogato gli errori nel software in tre diverse categorie a seconda della natura degli errori stessi: Error: è un errore umano verificatosi durante il processo di interpretazione delle specifiche oppure durante l'uso di un metodo o nel tentativo di risoluzione di un problema. Failure: è un comportamento del software imprevisto e incongruo rispetto alle specifiche del programma stesso. Fault: è un difetto del codice sorgente. Attacchi tipici Virus informatici Trojan Cracking
Contromisure Aggiornamento di sistemi operativi con patch di sicurezza. Antivirus: consente di proteggere il proprio computer da software dannosi, conosciuti come virus. Un buon antivirus deve essere costantemente aggiornato ad avere in continua esecuzione le funzioni di scansione in tempo reale. Per un miglior utilizzo l'utente deve avviare con regolarità la scansione dei dispositivi del computer (dischi fissi, dischi rimovibili, CD, DVD), per verificare la presenza di virus, worm ecc. Per evitare la diffusione di virus è inoltre utile controllare tutti i file che si ricevono o che vengono spediti tramite posta elettronica facendoli verificare dall'antivirus correttamente configurato a tale scopo.
Sicurezza dei sistemi informatici L'approccio odierno alla cybersecurity si focalizza sul cosa e come fare per prevenire un incidente di sicurezza e come comportarsi nel caso un tale incidente si verifichi. Ciò è anche confermato nelle linee guida (cybersecurity framework) emanate dal National Institute of Standards and Technology (NIST) che prevedono i seguenti macro-processi: Identifica (identify) Proteggi (protect) Rileva (detect) Rispondi (respond) Recupera/ripristina (recover).
Analisi del rischio La cosiddetta analisi del rischio parte dall'identificazione dei beni da proteggere, per poi valutare le possibili minacce in termini di probabilità di occorrenza e relativo danno potenziale (gravità). In base alla stima del rischio si decide se, come e quali contromisure di sicurezza adottare (piano di rischio). L'analisi del rischio tipicamente precede la fase di messa in esercizio del sistema informatico.
Spesso l'obiettivo dell'attaccante non è rappresentato dai sistemi informatici in sé, ma piuttosto dai dati in essi contenuti: la sicurezza informatica è quindi interessata ad impedire gli accessi illeciti non solo agli utenti non autorizzati, ma anche a soggetti con autorizzazione limitata a specifiche operazioni, per evitare che dei dati appartenenti al sistema informatico vengano copiati, modificati o cancellati.
Le violazioni possono essere molteplici: vi possono essere tentativi non autorizzati di accesso a zone riservate, furto di identità digitale o di riservati, utilizzo di risorse che l'utente non dovrebbe potere utilizzare ecc. La sicurezza informatica si occupa anche di prevenire eventuali situazioni di denial of service (DoS). I DoS sono attacchi sferrati al sistema con l'obiettivo di renderne inutilizzabili alcune risorse in modo da danneggiare gli utenti del sistema.
Pentest In aggiunta all'analisi del rischio è spesso eseguito un test di penetrazione, colloquialmente noto come pentest o hacking etico; esso è un attacco informatico simulato autorizzato su un sistema informatico, eseguito per valutare la protezione del sistema. Il test viene eseguito per identificare i punti deboli (denominati anche vulnerabilità), inclusa la possibilità per parti non autorizzate di accedere alle funzionalità e ai dati del sistema, e punti di forza, consentendo una valutazione completa del rischio. Non deve essere confuso con una semplice valutazione della vulnerabilità in quanto la prova non si limita a identificare debolezze ma tenta di violare le protezioni (se esistenti). Un penetration test, pur essendo una prova di sicurezza, richiede esso stesso, per sua natura, che sia predisposto un piano di sicurezza.
Minacce e vulnerabilità I sistemi informatici sono attaccabili da minacce che possono sfruttare vulnerabilità (minaccia e vulnerabilità sono concetti contigui ma distintiSenza una vulnerabilità da sfruttare la minaccia permane ma il rischio correlato è teorico ovvero potenziale.): questo potrebbe causare attacchi volti alla protezione degli accessi (con eventuale rischio ai dati) oppure a minarne la funzionalità o disponibilità di servizio. Spesso dal funzionamento o meno del sistema informatico dipende anche la sicurezza delle informazioni in esso contenute.