Security by design è il termine usato per indicare l’approccio con il quale le considerazioni e le misure per prevenire o mitigare i rischi relative alla sicurezza informatica sono integrate fin dalle prime fasi dello sviluppo di hardware e software. Sebbene delimitato al mondo della protezione dei dati personali, questo concetto si trova codificato anche nel Reg. UE 679/2016 (“GDPR”) nel principio cd. della privacy by design.
Infatti, la protezione dei dati fin dalla progettazione implica che il titolare dei dati adotti misure di sicurezza adeguate a proteggere i dati e rispettare gli obblighi del regolamento. E questo fin dal primo momento in cui il trattamento viene “pensato”.
Diverse analisi hanno sottolineato la mancanza di misure di sicurezza basilari, soprattutto nei dispositivi connessi a Internet e destinati al mercato consumer. Questo avviene principalmente per la decisione dei produttori di limitare i costi legati allo sviluppo e alla produzione di periferiche sicure. Per proteggere i consumatori è richiesto un cambio di mentalità. Bisogna evitare di scaricare sulle spalle degli utilizzatori l’onere di configurare i dispositivi in modo sicuro e garantire invece che la sicurezza sia integrata nella progettazione.
È di questi giorni la notizia di una nuova legge voluta dal governo inglese per spingere i produttori di dispositivi smart ad adottare il principio della security by design. Questa nuova proposta è un primo tentativo di “incentivare” l’adozione per i dispositivi intelligenti connessi ad Internet di misure di sicurezza (es. password univoche, possibilità di segnalare le vulnerabilità, ecc.) che rispondano in qualche modo all’esigenza della security by design.
Del resto la security by design rientra nell’ambito delle principali tendenze annunciate per il 2020 nel campo della tecnologia e della cybersecurity.
Ma che cos’è la security by design? Perché sembra cosi importante? Quali rischi aiuta a mitigare? Come si coniuga con le particolarità dei dispositivi IoT?
Quali sono i principali rischi legati all’IoT
Le opportunità e i benefici che il mondo dell’Internet of Things (IoT) offre, legate soprattutto all’efficienza del business e alla redditività, non possono essere accettate senza considerare anche i rischi relativi. Negli ultimi tempi abbiamo assistito a un proliferare in rete di stime sul numero dei dispositivi IoT che saranno interconnessi nei prossimi anni. Al di là delle previsioni fatte e della loro esattezza, è noto che un aumento del numero dei dispositivi connessi accresce le possibilità di attacco e di violazioni della sicurezza.
Le vulnerabilità dei dispositivi IoT e dei servizi associati possono essere sfruttate per accedere, danneggiare e distruggere hardware e dati o causare altri danni materiali o immateriali.
Per semplificare, i dispositivi IoT con un basso livello di sicurezza presentano dei rischi che rientrano in due grandi gruppi:
– diventare una minaccia per la sicurezza informatica e la privacy degli utenti,
– diventare oggetto di attacchi su larga scala (es. DDoS)
Nel primo caso, i rischi relativi alla sicurezza informatica possono sovrapporsi a quelli concernenti la privacy degli individui.
I primi riguardano le minacce, cioè lo sfruttamento di vulnerabilità da parte di un agente per compromettere la confidenzialità, l’integrità e la disponibilità di un dispositivo o di informazioni. I secondi, invece, sono relativi alle sole operazioni che trattano dati personali per soddisfare una certa finalità.
Secondo il NIST (National Institute of Standards and Technology) i rischi dei dispositivi IoT per la sicurezza e la privacy appartengono a tre classi di mitigazione:
- proteggere la sicurezza del dispositivo: significa impedire che i dispositivi siano utilizzati per condurre attacchi (es. DDoS, intercettazione del traffico di rete, compromissione di altri dispositivi sullo stesso segmento di rete);
- proteggere la sicurezza delle informazioni: significa proteggere la confidenzialità, integrità e disponibilità delle informazioni, incluse quelle personali, acquisite, memorizzate, elaborate o trasmesse dai dispositivi IoT;
- proteggere i dati personali dei soggetti interessati: significa proteggere i diritti e le libertà degli individui i cui dati personali sono trattati, al di là dei rischi legati al dispositivo e ai dati in generale. E’ un obiettivo circoscritto ai soli dispositivi che trattano dati personali.
Normative applicabili e raccomandazioni sulla Security by design
L’importanza di integrare la sicurezza nel ciclo di vita dei prodotti e servizi IoT emerge anche dai seguenti standard e raccomandazioni:
- pratiche per la sicurezza IoT di Enisa, l’agenzia europea per la cybersecurity;
- standard ETSI TS 103 645 sulla cybersecurity per consumatori dell’Internet degli oggetti;
- codice di pratica sulla security by design dei prodotti IoT;
A questi si aggiungono gli interventi in campo normativo e regolamentare, sia pure relativi ai soli aspetti di protezione dei dati personali:
- il Reg. UE 679/2016 (“GDPR”),
- la consultazione pubblica avviata dal Garante della protezione dei dati personali nel 2015 con lo scopo di valutare il fenomeno dell’Internet delle cose ma, soprattutto, di definire misure per assicurare agli utenti la massima trasparenza nell’uso dei loro dati personali e per tutelarli contro possibili abusi,
- il futuro regolamento sulla privacy nelle comunicazioni elettroniche
L’importanza del ciclo di vita dei prodotti IoT
Il principio di Security by design è strettamente connesso con il ciclo di vita dei prodotti IoT. Il ciclo di vita si estende dalla progettazione fino alla dismissione del prodotto. E riguarda sia la componente hardware che quella software. Può capitare che una soluzione IoT sia sviluppata all’interno di una architettura, senza considerare adeguatamente l’esistenza di vincoli. Questi vincoli possono essere rappresentati da limiti dei dispositivi riguardanti, ad esempio, l’alimentazione, la capacità di elaborare informazioni oppure di trasmetterle.
Molti attacchi possono essere diretti proprio a dispositivi affetti da vincoli del genere. Essi rappresentano infatti un anello debole della catena e le loro vulnerabilità possono essere sfruttate per accedere ad altre parti di una architettura e portare ad un ampia compromissione dei dati. Questo significa che la sicurezza dell’hardware è il fondamento su cui tutto deve basarsi. È un po’ come le fondazioni di un edificio, devono essere solide per garantirne la stabilità.
Considerazioni analoghe valgono per il software e l’ambiente di sviluppo. Garantire un ciclo di vita di sviluppo del software sicuro può ridurre le vulnerabilità applicative e alimentare l’esigenza di gestire in continuità la sicurezza del prodotto, oltre a supportare meglio la fase di sviluppo.
Come progettare prodotti IoT sicuri
La condizione necessaria per proteggere in modo adeguato i dispositivi IoT e i dati che elaborano è integrare la sicurezza a ogni livello, a partire da quello hardware o fisico fino a quello delle applicazioni di business.
Esistono molte raccomandazioni orientate verso la security by design, eccone alcune significative:
- individuazione e abbandono di prassi dannose come, ad esempio, includere nei dispositivi credenziali utente e password statiche;
- pianificare e progettare un ciclo di vita dello sviluppo dei prodotti incentrato sulla sicurezza (es. vedi le raccomandazioni di Enisa);
- garantire che l’intero ambiente di sviluppo sia sicuro;
- adottare misure per ridurre al minimo l’esposizione ad attacchi (es. chiudere porte di rete inutilizzate, limitare le funzioni di librerie software di terze parti soltanto a quelle veramente necessarie, rimuovere le interfacce fisiche non necessarie, ecc..);
- seguire il principio dei privilegi minori, che significa non dare a un oggetto o componente più privilegi di quanti non ne abbia veramente bisogno;
- limitare gli effetti di qualsiasi violazione di sicurezza;
- gestire la scoperta delle vulnerabilità in modo appropriato;
- scegliere fornitori e partner affidabili dal punto di vista della sicurezza;
Naturalmente questi sono solo esempi. In realtà, nessun approccio orientato alla sicurezza può fare a meno di una analisi e gestione dei rischi ponderata.
Infine, anche se la complessità di integrare la sicurezza nel ciclo di vita dei prodotti IoT può costituire un fattore che pesa sulla sicurezza, non dimentichiamo che si stanno affermando piattaforme, come la Platform Security Architecture (PSA), che offrono guide e strumenti per aiutare le organizzazioni a realizzare questo importante obiettivo.
