Sicurezza informatica: disponibilità, integrità e riservatezza dei dati

Cos’è la sicurezza informatica ed è possibile metterla in atto? Si deve premettere che una sicurezza informatica aziendale totale, cioè garantita al 100%, è un’utopia. È comunque sempre bene ricordare che non esiste protezione senza una politica della security.

Con questo si intende un disegno strategico tale da definire, organizzare la riservatezza e integrità informatica e gestire tutti gli aspetti a essa collegati, da quelli tecnici a quelli di management e di business, incluse la confidenzialità e disponibilità dei dati.

Ciò significa che non è pensabile, per un’azienda che voglia proteggere i propri asset, guardare alla sicurezza informatica come un’attività “one time”.

Definizione di sicurezza informatica

Il termine sicurezza informatica, cyber security o sicurezza digitale si riferisce a tutte le procedure messe in atto per proteggere informazioni (sostanzialmente dati come account, file, immagini, ecc.) con azioni e pratiche di difesa di computer, dispositivi mobili, server, rete, dati e sistemi elettronici da attacchi e danni informatici.

È necessario impostare un insieme di attività che tenga conto, per esempio, di azioni quali l’identificazione delle aree critiche, la gestione dei rischi, dei sistemi e della rete, delle vulnerabilità e degli incidenti, il controllo degli accessi, la gestione della privacy e della compliance, la valutazione dei danni eccetera.

La definizione di sicurezza informatica, prima di tutto, deve far rima con disponibilità e integrità dei dati e riservatezza, oltre che delle informazioni, degli accessi.

Le tre caratteristiche della sicurezza informatica

Al centro di ogni strategia di sicurezza informatica vi è un concetto fondamentale, la triade CIA: Confidentiality, Integrity, Availability, ovvero la riservatezza, l’integrità e la disponibilità dei dati.

Qui di seguito sono dunque esplicitate le tre caratteristiche della sicurezza informatica. Si tratta di quegli aspetti su cui focalizzare l’attenzione per garantirsi di avere una corretta e adeguata gestione della security.

• Disponibilità dei dati, ossia salvaguardia del patrimonio informativo nella garanzia di accesso, usabilità e confidenzialità dei dati. Da un punto di vista di gestione della sicurezza significa ridurre a livelli accettabili i rischi connessi all’accesso alle informazioni (intrusioni, furto di dati, ecc.).
• Integrità dei dati, intesa come garanzia che l’informazione non subisca modifiche o cancellazioni a seguito di errori o di azioni volontarie, ma anche a seguito di malfunzionamenti o danni dei sistemi tecnologici.
• Riservatezza informatica cioè gestione della sicurezza in modo tale da mitigare i rischi connessi all’accesso o all’uso delle informazioni in forma non autorizzata e ovviamente data privacy.

Disponibilità: garantire l’accesso ai dati

La disponibilità si riferisce alla capacità di garantire l’accesso ai dati quando necessario. In altre parole, i dati devono essere sempre disponibili per gli utenti autorizzati.

Perché l’Availability è importante

• Continuità operativa: la disponibilità dei dati è essenziale per garantire la continuità operativa di un’azienda.
• Soddisfazione del cliente: l’indisponibilità dei dati può causare interruzioni del servizio e insoddisfazione dei clienti.
• Perdita di produttività: l’impossibilità di accedere ai dati può comportare una perdita di produttività per gli utenti.

Come garantire la disponibilità dei dati

• Ridondanza: la ridondanza dei sistemi e dei dati è fondamentale per prevenire i guasti e garantire la continuità operativa.
• Backup regolari: consentono di ripristinare i dati in caso di perdita o danneggiamento.
• Disaster recovery: avere un piano di disaster recovery che definisce le procedure da seguire in caso di un evento disastroso, come un incendio o un attacco informatico.

Integrità: assicurare l’accuratezza dei dati

L’integrità si riferisce alla capacità di garantire che i dati non siano modificati in modo non autorizzato. In altre parole, i dati devono rimanere accurati e affidabili nel tempo.

Perché è importante

• Decisioni accurate: l’integrità dei dati è fondamentale per prendere decisioni accurate basate su informazioni corrette.
• Prevenzione di frodi: la modifica non autorizzata dei dati può essere utilizzata per commettere frodi o manipolare i risultati di un’analisi.
• Conformità normativa: molte normative richiedono che i dati siano accurati e affidabili, e una violazione dell’integrità può comportare sanzioni.

Come garantire l’integrità dei dati

• Hashing: è una tecnica che consente di creare un’impronta digitale univoca di un file, che può essere utilizzata per verificare se il file è stato modificato.
• Controllo della versione: è un sistema che consente di tenere traccia delle modifiche apportate a un file nel tempo, facilitando il ripristino di una versione precedente in caso di necessità.
• Backup regolari: I backup regolari consentono di ripristinare i dati in caso di perdita o danneggiamento.

Riservatezza: proteggere ciò che è privato

La riservatezza, o confidenzialità, si riferisce alla capacità di limitare l’accesso ai dati a coloro che sono autorizzati a visualizzarli. In altre parole, solo le persone che hanno il diritto di conoscere determinate informazioni dovrebbero potervi accedere.

Perché è importante

• Protezione della privacy: la riservatezza è fondamentale per proteggere la privacy degli individui, tutelando i loro dati personali da accessi non autorizzati.
• Prevenzione di perdite finanziarie: la divulgazione di informazioni sensibili, come dati finanziari o proprietà intellettuale, può comportare gravi perdite economiche per le aziende.
• Mantenimento della reputazione: una violazione della riservatezza può danneggiare gravemente la reputazione di un’azienda o di un individuo.

Come garantire la riservatezza

• Crittografia: è una tecnica fondamentale per proteggere i dati, rendendoli illeggibili a chiunque non disponga della chiave di decifrazione.
• Autenticazione: l’autenticazione a più fattori (MFA) è un meccanismo di sicurezza che richiede agli utenti di fornire più credenziali per accedere a un sistema, rendendo più difficile l’accesso non autorizzato.
• Controllo degli accessi: l’implementazione di politiche di controllo degli accessi, che definiscono chi può accedere a quali risorse e con quali privilegi, è essenziale per garantire la riservatezza.

I dati sulla sicurezza informatica in Italia

Secondo l’Osservatorio Cybersecurity & Data Protection nel 2023 il mercato italiano della cyber security ha raggiunto un valore complessivo di 2,15 miliardi di euro, con una crescita del +16% rispetto all’anno precedente. Il rapporto tra spesa in cyber sicurezza e Pil in Italia si è attestato allo 0,12% mentre nel 2022 era pari allo 0,10%. Insomma un vero e proprio boom.

Del resto le aziende hanno vissuto un aumento considerevole degli attacchi informatici: secondo i dati contenuti nel rapporto Clusit 2024 e raccolti da altre fonti autorevoli, come il Security Operations Center di FASTWEB e la Polizia Postale, il quadro della situazione della cybersecurity a livello globale e in Italia è allarmante.

Nel 2023 sono stati analizzati oltre 2.779 incidenti informatici gravi, con un aumento del 12% rispetto all’anno precedente. L’Italia ha registrato un incremento ancora più marcato, con un aumento del 65% degli attacchi gravi.

Sicurezza dei dati informatici: i 6 passi per proteggere il patrimonio di informazioni

I dati sono uno dei beni più preziosi per ogni business: analizzati e gestiti in modo efficace, infatti, possono avere un impatto positivo su molti aspetti operativi, dal marketing alle vendite.

Ecco perché mettere in atto puntuali strategie di protezione dei dati e sicurezza informatica (ossia adottare politiche, metodologie e strumenti per mettere al sicuro l’infrastruttura aziendale) è fondamentale per il successo di ogni organizzazione.

Ma allora quale attività è fondamentale per la sicurezza informatica? Di seguito i (primi) sei passi fondamentali da compiere, soprattutto alla luce delle nuove direttive.

Affidarsi al parere degli esperti in sicurezza informatica può pertanto essere utile per capire con chiarezza da dove iniziare.

• Sapere quali sono i dati da proteggere (e dove sono) – Capire di quali dati dispone la propria organizzazione, dove si trovano e chi ne è responsabile. Questo è fondamentale per la costruzione di una buona strategia di data protection.
• Formare i dipendenti sulla sicurezza informatica – La privacy e la sicurezza dei dati sono una parte fondamentale del nuovo GDPR. Quindi è imprescindibile che il personale sia pienamente consapevole dell’importanza della salvaguardia del processo del trattamento dei dati personali. Statisticamente, infatti, gli esperti rilevano che i problemi di sicurezza IT più comuni e rovinosi sono proprio dovuti a errori umani. La perdita di una chiavetta USB o di un portatile contenente informazioni sensibili danneggia la reputazione dell’organizzazione o può portare a sanzioni. Anche una inadeguata gestione delle password può comportare dei rischi per l’azienda.
• Creare un elenco dei dipendenti che hanno accesso ai dati sensibili – Proprio perché l’errore umano è foriero di problemi di sicurezza dei dati, mantenere un controllo serrato su chi può accedere a quali informazioni è importante. Occorre ridurre al minimo i privilegi e concedere l’accesso solo ai dati di cui ogni risorsa ha bisogno. Inoltre, l’inserimento di watermark (il marchio digitale che identifica l’autore di un file video, audio o di un’immagine, mediante un’invisibile trama di bit contenente le informazioni sul copyright, NdR) nei file può aiutare a prevenire il furto di dati da parte del personale e permette di identificare la fonte in caso di violazione. Questa pratica prevede l’aggiunta al database di record di rilevamento unici (i seed) che offrono la possibilità di monitorare il modo in cui i dati vengono utilizzati. Permettono inoltre di tracciare il loro percorso, anche nel caso in cui vengano spostati al di fuori del controllo diretto dell’organizzazione.
• Effettuare un’analisi dei rischi – Gli esperti consigliano di effettuare regolari valutazioni del rischio per individuare eventuali potenziali pericoli per i dati dell’organizzazione. Con questa prassi dovrebbero essere esaminati tutti i tipi di minaccia identificabili (sia digitali che fisici): dalla violazione dei dati online, alle interruzioni di corrente. In questo modo è possibile identificare eventuali punti deboli nel sistema di sicurezza aziendale, stabilire le priorità e formulare quindi un preciso piano d’azione per evitare danni, riducendo così il rischio di dover poi far fronte a una violazione ben più costosa.
• Installare il software di protezione antivirus affidabili ed eseguire scansioni regolari – Una delle misure più importanti per la protezione dei dati e la sicurezza informatica è anche una delle più semplici. Con un buon sistema di prevenzione attiva e scansioni regolari è infatti possibile ridurre al minimo la minaccia di una perdita di dati. Investire in un buon software antivirus e antimalware aiuterà a non far cadere le informazioni sensibili nelle mani sbagliate.
• Eseguire regolarmente il backup dei dati più importanti e sensibili – Effettuare un backup regolare è una pratica spesso trascurata. Poter contare su una continuità di accesso alle informazioni rappresenta una dimensione fondamentale della sicurezza informatica. Se si considera quanto tempo e quali sforzi son necessari per recuperare i dati, è chiaro che una strategia di backup è una mossa vincente.

Il ruolo dei sistemi di identity and access management per la protezione

La protezione delle informazioni e la sicurezza informatica delle applicazioni aziendali sui dispositivi mobili è solo garantita da un sofisticato sistema di controllo delle identità. È il parere degli esperti di TechTarget che, in particolare, fanno riferimento ai sistemi di identity and access management (IAM).

I sistemi IAM cercano da sempre di rispondere a quesiti fondamentali per la sicurezza IT aziendale: “Chi ha accesso a cosa e perché?” “Come rafforzare le policy di accesso?”.

Gli esperti concordano nel dire che ogni azienda dovrebbe essere in grado di rispondere a queste domande in modo rapido e corretto.

Purtroppo, nella realtà non è ancora così. Solitamente, infatti, implementare un sistema IAM maturo risulta troppo complesso e costoso. D’altro canto, però, i costi derivanti da un attacco rischiano di essere ancora più gravosi.

I sistemi IAM impediscono agli hacker di accedere a privilegi, applicazioni e dati sensibili degli utenti una volta compromesse delle credenziali.

I sistemi IAM e l’organizzazione interna

L’identity and access management aiuta inoltre a soddisfare i requisiti di conformità relative a separazione dei ruoli. E lo fanno applicando policy di accesso per account e dati sensibili, e facendo sì che gli utenti non dispongano di privilegi eccessivi.

Secondo gli esperti i sistemi IAM possono ridurre i costi di helpdesk (con modalità self-service di reimpostazione delle password e aggiornamento dei profili). E migliorano la produttività dei dipendenti (consentendo un log-in veloce, ad esempio utilizzando il single sign-on).

Il sistema di identity and access management fornisce informazioni su come gli utenti usano le applicazioni (chi ha effettuato il log-in, quando, quali dati ha usato). Queste possono essere utilizzate non solo per motivi di sicurezza informatica, ma anche per comprendere i modelli tipici di interazione. È possibile analizzare come lavorano i dipendenti e come si comportano i clienti in merito ad acquisti. E anche in relazione a come si interagisce con sito o app. Conoscere e comprendere questi aspetti rappresenta la chiave per semplificare, migliorare e ottimizzare le esperienze d’uso di dipendenti e clienti.

Lavoro nella sicurezza informatica

Tra le competenze più richieste in questo momento vi sono quelle che appartengono al profilo di esperto di sicurezza informatica. Il lavoro nella sicurezza informatica è in crescita, ma cosa si deve sapere fare per potersi candidare per una posizione in questo ambito?

Le competenze di chi lavora nella cyber security devono garantirgli la possibilità di calcolare i rischi di attacco, prevenire le minacce e mitigare i rischi. Servono in generale skill di security engineer, data security administrator, network security architect.

Secondo le rilevazioni del portale Reteinformaticalavoro tra le richieste di professioni informatiche in Italia quella dell’esperto in security è in crescita. D’altra parte, Capgemini sottolineava che nel 2020 la richiesta di talenti in cybersecurity arrivava dal 72% di società. Tale domanda rispetto all’offerta faceva emergere un divario di competenze pari al 25%.

CISO e DPO: chi sono i responsabili della sicurezza informatica aziendale

Sono tante le figure che operano in questo settore, in particolare il CISO è il responsabile della sicurezza informatica di un’azienda. Nelle aziende può essere impiegato l’ICT security manager che gestisce la politica di sicurezza, così come hacker etici (white hat contrapposti ai black hat) ossia coloro che scoprono le falle nei sistemi informatici per contrastare i criminali che se ne approfitterebbero.

Vi è poi un’altra figura fondamentale: il Data protection officer – DPO, obbligatorio nelle aziende si occupa di proteggere i dati secondo quanto stabilito dal Regolamento per la protezione dei dati europeo – GDPR. Ecco qui di seguito quanto sono diffuse alcune di queste competenze.

Competenze: quali sono e quanto sono diffuse le figure professionali al lavoro sulla sicurezza informatica

In base a quanto rilevato dall’Osservatorio Information Security & Privacy a proposito dei ruoli legati alla security più diffusi nelle organizzazioni durante il 2018 si è avuto il boom del Data Protection Officer. Ben il 65% delle aziende monitorate dal Politecnico di Milano hanno formalizzato al proprio interno questa posizione.

D’altra parte, non si è avuta la stessa velocità di diffusione del Chief Information Security Officer CISO che era già presente nel 47% dei casi.

Continua a essere assente nel 37%, dove le questioni sicurezza sono affidate al CIO o alla figura che cura sicurezza fisica e logica.

Data privacy e sicurezza informatica

La digital transformation ha fatto crescere esponenzialmente la quantità di informazioni digitali a disposizione delle aziende. Tra queste tantissime sono di tipo personale e, in particolare, sensibili.

Data privacy e cyber security del patrimonio informativo sono gli obiettivi del GDPR. Il regolamento europeo è quindi un documento fondamentale per le aziende. Include indicazioni su misure organizzative, processi e tecnologie finalizzate a ridurre i rischi di compromissione dei dati critici aziendali.

Chi viola quanto stabilito dal GDPR è soggetto a pesanti sanzioni. Queste possono ammontare siano a 20 milioni di euro o al 4% delle entrate. E quanti sono stati penalizzati da un eventuale data breach ha diritto al risarcimento dei danni.