SPECIALE SICUREZZA (ultima parte): I Livelli della sicurezza nellambito aziendale

La struttura IT di una qualsiasi azienda è composta da numerosi elementi, ciascuno con proprie caratteristiche ed esigenze. Perchè l'intero piano di sicurezza aziendale sia veramente efficace e a prova di falle, ogni elemento della struttura IT deve essere protetto adeguatamente, tenendo conto delle sue caratteristiche, delle necessità  e dei limiti.
Lasciare scoperto o non adeguatamente protetto uno qualsiasi degli elementi della struttura IT potrebbe compromettere la sicurezza dell'intera azienda. Il meccanismo è molto simile a quello dei compartimenti stagni nelle imbarcazioni, che prevede la possibilità  che uno o più settori possano essere allagati senza compromettere la stabilità  e la sicurezza dell'intera struttura. Come indicazione generale, è importante progettare e realizzare ciascun livello della propria struttura di protezione presupponendo che ogni altro livello sia stato violato.
Partendo quindi da questo concetto, possono essere considerati due differenti approcci. Il primo consiste nel muoversi dall'esterno della rete aziendale verso l'interno fino ad arrivare al nucleo costituito dai server e dalle apparecchiature del Centro Elaborazione Dati (CED). L'altro approccio muove in direzione opposta, partendo dal nucleo e dirigendosi verso il perimetro, costituito dai client e dagli utenti.
Prendendo quindi in esame il primo tipo di approccio possiamo identificare i seguenti cinque livelli di sicurezza:
1) Protezione del perimetro;
2) Protezione delle identità ;
3) Protezione della rete;
4) Protezione dei dati;
5) Protezione delle comunicazioni.

[tit:Protezione del perimetro]

Il perimetro è costituito dai client aziendali e quindi, dagli utenti che li utilizzano. Generalmente, considerando questo livello, il punto più critico e difficile da proteggere è costituito dal fattore umano. Gli utenti aziendali costituiscono infatti in un certo senso l'anello di giunzione attorno al quale ruotano e si sviluppano la maggior parte dei meccanismi aziendali e spesso costituiscono anche involontariamente un rischio per la sicurezza aziendale. Gli hacker per esempio sono in grado di utilizzare tecniche di social engineering per sfruttare utenti che non sono consapevoli o non comprendono a pieno l'importanza dei problemi relativi alla protezione dell'ambiente di lavoro. Molte delle regole relative alla protezione appaiono inutili agli utenti, che così decidono di non osservarle. Per neutralizzare queste minacce di social engineering le organizzazioni devono implementare procedure e processi chiari e precisi a cui tutti i dipendenti devono rigorosamente attenersi, dopo avere ricevuto un'adeguata formazione in merito a tali criteri. Per ogni funzione svolta devono essere disponibili istruzioni chiare e documentate.àˆ inoltre necessario fornire un'adeguata formazione in merito a processi e procedure di protezione. Le istruzioni devono offrire un quadro generale dei vari aspetti della protezione, che consenta agli utenti di comprenderne le esigenze a tutti i livelli e in qualunque momento.
Un'altra classica misura di sicurezza che viene utilizzata per la protezione del perimetro è costituita dagli antivirus, che devono essere mantenuti costantemente aggiornati. Un antivirus non aggiornato infatti, invece di rappresentare una protezione può trasformarsi esso stesso in una minaccia in quanto induce nell'utente un falso senso di sicurezza.

[tit:Protezione delle identità ]

Nell'esatto momento in cui un qualsiasi utente accede al proprio sistema, diventa un'identità  digitale. Lo Username e la Password utilizzate per superare la fase di login trasformano infatti l'identità  fisica del soggetto in un'identità  digitale, alla quale verranno assegnate regole, policy, autorizzazioni e informazioni. Grazie a questa identità  l'utente potrà 



accedere e utilizzare i servizi di rete che gli sono stati autorizzati, potrà  effettuare transazioni, inoltrare richieste e autenticare documenti. L'identità  digitale può comunque essere facilmente trafugata o simulata, in modo da consentire ad eventuali malintenzionati di ereditare i permessi assegnati al soggetto originale e sfruttarli per ottenere guadagni illeciti. Attenzione che lo Username e la Password di login sono solo una delle tante identità  digitali che sono previste in ambito informatico. I codici delle carte di credito, le firme elettroniche e la misurazione dei parametri biometrici sono altrettanti esempi di come l'identità  di un soggetto fisico possa essere riportata in forma elettronica. Risulta quindi ovvia l'importanza di proteggere adeguatamente le informazioni legate alla gestione delle identità  degli utenti, alle quali i malintenzionati attuali sembrano sempre più interessati. Purtroppo queste credenziali elettroniche sono strettamente legate agli utenti, i quali come esseri umani, risultano particolarmente vulnerabili. Questo spiega il recente successo del phishing e delle truffe che sfruttano l'ingegneria sociale. Il primo livello di difesa delle identità  punta quindi sulla formazione/informazione dei singoli soggetti coinvolti che potrebbero essere oggetto di attacco. L'autenticazione forte aggiunge un ulteriore livello di sicurezza coniugando qualche cosa che l'utente conosce (ad esempio un PIN) con qualcosa che possiede (ad esempio un token SecurID, in grado di generare una password random ogni 60 secondi). Un ulteriore livello di sicurezza delle identità  può essere garantito dal ricorso a forme di riconoscimento biometrico.

[tit:Protezione della rete aziendale]

Se un qualsiasi utente non autorizzato riesce ad accedere fisicamente all'ambiente di rete e ai dispositivi che la gestiscono, questo non può essere considerato in alcun modo sicuro. Ad esempio un addetto alla manutenzione potrebbe sostituire un disco guasto contenente dati relativi ai clienti da un array e quindi gettare il disco. Supponiamo quindi che il disco fosse comunque riparabile. A questo punto i dati si troverebbero nelle mani di terze parti. Un server accessibile agli utenti è vulnerabile, può essere inavvertitamente scollegato dalla rete o dall'alimentazione elettrica, i suoi dati possono essere trafugati, può essere danneggiato o utilizzato per accedere ad altri dispositivi e servizi fondamentaliLa prima operazione sarà  quindi quella di separare i server dagli utenti e dagli operatori umani. Tutte le stanze dei server dovrebbero essere chiuse a chiave. L'accesso a tali stanze dovrebbe essere severamente controllato e registrato. Alcuni dei
meccanismi di controllo di accesso utilizzabili prevedono l'impiego di dispositivi di riconoscimento di vario tipo e di biometrica. L'accesso deve essere predefinito e autorizzato da un responsabile. Se non esistono stanze dei server dedicate, i server devono essere protetti all'interno di appositi contenitori o alla meno peggio chiusi a chiave nei rack. La maggior parte dei rack di server può essere aperta utilizzando un'unica chiave standard, pertanto è bene non fidarsi semplicemente dei lucchetti forniti dai vendor.Tutte le stanze dei server devono essere dotate di un qualche tipo di meccanismo antincendio.L'accesso fisico riguarda oltre ai server anche le console di amministrazione remota. Non serve proteggere l'accesso diretto a monitor e tastiera se è possibile accedere ai server mediante servizi terminal da qualsiasi punto della rete interna. Allo stesso modo, è importante limitare la possibilità  che utenti, malintenzionati o meno, infettino o compromettano un sistema. A tale proposito, rimuovere periferiche di inserimento dati, quali unità  floppy e CD-ROM, da sistemi in cui non siano necessarie.

[tit:Protezione dei dati]

La crittografia del file system (EFS) consente di codificare e proteggere file che risiedono nel file system. Si basa sul disco che viene formattato con NTFS ed è disponibile a partire da Windows 2000. Questo è sicuramente il primo passo da compiere nella configurazione di sistemi basati su sistema operativo Microsoft. àˆ importante avere chiaro che EFS non crittografa i file mentre questi transitano sulla rete. EFS utilizza una chiave di crittografia file per crittografare il file e una tecnologia di chiave pubblica/privata per proteggere la chiave di crittografia file. NTFS garantisce protezione anche a livello di file e di cartelle. Questo consente di creare elenchi di controllo di accesso mediante cui definire chi ha accesso a un file e secondo quale modalità .
I dati costituiscono la linfa vitale di molte aziende, per questa ragione è importante che il ripristino di tali dati sia governato da un processo ben noto e consolidato. Effettuando periodicamente copie di backup dei dati, in questo modo qualsiasi manomissione o rimozione di informazioni, sia essa accidentale o intenzionale, potrà  essere ripristinata rapidamente mediante le copie di backup. Un processo di backup e ripristino affidabile è un requisito fondamentale per qualsiasi tipo di ambiente. I nastri di backup e ripristino devono tuttavia essere conservati in un luogo sicuro ed è opportuno farne delle copie da riporre in un altro luogo protetto, diverso da quello in cui si trovano gli originali. L'accesso non autorizzato ai nastri di backup può rivelarsi infatti altrettanto dannoso della violazione fisica dell'infrastruttura informativa.

[tit:Protezione delle comunicazioni]

Il traffico in entrata e uscita dalla rete aziendale viene protetto principalmente mediante firewall. La configurazione di un firewall può rivelarsi una vera e propria sfida da un punto di vista tecnico. Pertanto, le procedure dovrebbero indicare chiaramente e nel dettaglio i vari requisiti.Il servizio di conversione degli indirizzi di rete attuato dal firewall (NAT, Network Address Translation) consente a un'organizzazione di occultare la configurazione di porte interne e indirizzi IP al fine di impedire a utenti malintenzionati di attaccare sistemi interni mediante furto delle informazioni di rete.
Quando i dati lasciano l'ambiente che si trova sotto la vostra responsabilità , è importante che siano in uno stato che ne garantisca l'arrivo sani e salvi alla destinazione prevista. A tale proposito è possibile utilizzare la crittografia e i protocolli di tunnelling per creare una rete privata virtuale (VPN).Se i computer remoti stabiliscono una comunicazione mediante una VPN, le organizzazioni possono svolgere ulteriori operazioni per esaminare tali computer e assicurarsi che siano conformi a un criterio di protezione predefinito. I sistemi che stabiliscono una connessione vengono messi in quarantena in una parte separata della rete finchà© non sono stati svolti tutti gli appositi controlli di protezione.