INFORMAZIONE, TRATTAMENTO SICURO DELLA

INFORMAZIONE, TRATTAMENTO SICURO DELLA.

– Cloud computing. Dispositivi mobili. Social networking. Uso di dispositivi personali per attività lavorative. Cybercrime organizzato. Attività di intelligence. Bibliografia

La sicurezza nel trattamento delle informazioni è largamente influenzata dal contesto tecnologico e di mercato. L’inizio del 21° sec. ha visto la diffusione del cloud computing, dei dispositivi mobili e dei social network, che, per molti aspetti, ha introdotto nuove problematiche circa la sicurezza nel trattamento delle informazioni. Tali nuove problematiche sono comunque espressione delle classiche esigenze di sicurezza: la confidenzialità, o riservatezza (per cui l’accesso al dato deve essere possibile solamente da par te dei soggetti autorizzati), l’integrità (per cui il dato non deve essere manipolato o creato da soggetti non legittimati a farlo) e la disponibilità (per cui il dato deve essere accessibile all’utente secondo quanto stabilito contrattualmente).

Inoltre, nuovi aspetti sociali sono emersi nell’ambito della sicurezza dell’informazione, come la prassi di utilizzare dispositivi personali anche in ambito lavorativo, il cybercrime organizzato e la tendenza di governi e servizi segreti a considerare il campo della sicurezza informatica un ulteriore ambito in cui esercitare attività di intelligence e di pressione rispetto a Stati e organizzazioni straniere.

Cloud computing. – La sicurezza del cloud computing è un tema particolarmente delicato, essendo questa una tendenza tecnologica e di mercato che ha mostrato una crescita molto elevata (la spesa per il cloud computing è cresciuta del 43,2% nel 2013 secondo l’Associazione nazionale imprese ICT). Il NIST (National Institute of Standards and Technology) ha definito il cloud computing come un modello di servizio che permette di mettere a disposizione dell’utente risorse di elaborazione (server, rete, servizi, software ecc.) a richiesta e di facile approvvigionamento. Tali risorse sono parte di un insieme che il fornitore del servizio gestisce nella sua totalità senza differenziare tra gli utenti e accessibile facilmente via rete. Una caratteristica chiave del cloud computing è l’economia di scala, per cui, oltre a vantaggi di tipo tecnico e gestionale, se ne ottengono anche di tipo economico.

I servizi di cloud computing possono essere classificati in tre principali categorie: IaaS (Infrastructure as a Service), in cui il fornitore del servizio mette a disposizione l’infrastruttura hardware, che rivende nella forma di macchina virtuale e spazio di memorizzazione; PaaS (Platform as a Service), in cui viene messa a disposizione una piattaforma software su cui poter sviluppare applicazioni, tipicamente basate su tecnologia web; SaaS (Software as a Service), in cui, tramite un’interfaccia, tipicamente web, è possibile utilizzare da remoto un software come, per es., quelli per la gestione della casella di posta elettronica o di social network, oltre ad applicazioni tradizionali quali elaborazione testi. I diversi modelli ereditano i problemi di sicurezza delle tecnologie su cui si basano. Tuttavia, nel cloud computing, la gestione della sicurezza è demandata al fornitore del servizio, il quale è solitamente più preparato dei suoi utenti circa la sicurezza dei sistemi informatici e, anche grazie all’economia di scala, può adottare soluzioni per la disponibilità di dati e servizi di gran lunga migliori di quelle che i suoi clienti potrebbero adottare autonomamente. D’altro canto, i fornitori di servizi di cloud computing sono difficilmente sottoponibili a processi di verifica (auditing) circa l’ottemperanza ad appropriate pratiche di sicurezza come, per es., quelle relative alle politiche di accesso da parte del personale del fornitore del servizio al contenuto dei dispositivi e ai data centers.

Specifici rischi nascono in virtù della gestione centralizzata e della condivisione di risorse su ampia scala previsti dai servizi di cloud computing. Poiché gli utenti accedono alle risorse e ai dati tramite la rete, il ruolo di questa diventa molto più critico sia dal punto di vista della disponibilità (per es., un problema di connettività rende inutilizzabile qualsiasi servizio in cloud), sia dal punto di vista della confidenzialità e dell’integrità dei dati nel trasferimento tra utente e fornitore della cloud. I modelli IaaS, PaaS e SaaS prevedono deleghe via via crescenti nella gestione dei sistemi al fornitore del servizio, fino al caso SaaS, dove praticamente tutto il sistema, anche il software applicativo, è fornito dalla cloud. Tanto più la delega è ampia tanto meno l’utente ha il controllo sulla sicurezza dei propri dati.

In tutti i modelli è previsto che utenti indipendenti condividano, senza rendersene conto, risorse di calcolo fisiche e logiche. È quindi fondamentale che gli ambiti operativi degli utenti siano adeguatamente isolati in modo da garantire sia che un comportamento malevolo o erroneo di un utente non abbia impatto sugli altri, sia che un’eventuale intrusione esterna nelle risorse di un certo utente non comporti danni agli altri. Il tipico modello di servizio basato su cloud prevede una, se pur parziale, perdita di controllo sui dati. Infatti, spesso, non si conosce né la localizzazione geografica dei dispositivi di memorizzazione, né l’insieme dei soggetti giuridici coinvolti nel loro trattamento. Per questo motivo, l’aspetto contrattuale e legale assume una connotazione del tutto diversa rispetto agli approcci tradizionali di gestione informatizzata dei dati. Per grandi categorie di clienti, i termini contrattuali tendono a essere omogenei e non flessibili, soprattutto per i servizi a basso costo o gratuiti. Di contro, qualora si volessero soddisfare particolari esigenze, si rischia di perdere gran parte dei vantaggi economici. Ciò viene aggravato dalla possibilità, concreta, che lo stesso fornitore del servizio in cloud, per esigenze di economicità e di bilanciamento del carico, possa spostare parte dei dati dei propri clienti e le loro macchine virtuali presso un distinto operatore di cloud, demandando di fatto la custodia e il trattamento dei dati stessi.

A tutt’oggi, non si ha un quadro normativo esplicito per il cloud computing. Esiste in Italia una ben definita legislazione sulla privacy (d. legisl. 196/2003 - Testo unico sulla privacy) che riguarda tutti gli aspetti di sicurezza per il trattamento dei dati personali che, se pur non nata pensando a uno scenario di tipo cloud, si applica anche in tali casi. In materia è intervenuta anche l’Unione Europea che, tramite la direttiva 95/46/CE, garantisce una protezione equivalente all’interno dei suoi confini. Inoltre, sono autorizzati i trasferimenti di dati da uno Stato membro verso un Paese terzo solo nel caso in cui questo abbia un livello di protezione adeguato o che goda di particolare deroga. Un esempio di deroga è il Safe harbor che è stato promosso dal governo degli Stati Uniti e ha agevolato l’esportazione di servizi di cloud computing da parte di compagnie americane per il trattamento di dati personali dei cittadini europei. Nel caso in cui il fornitore del servizio abbia sede in un altro Paese, e quindi sia assoggettato a una diversa giurisprudenza, l’utente si assume una responsabilità anche giuridica di aver delegato il trattamento dei dati a soggetti giuridicamente non vincolati alla normativa del proprio Stato.

Un aspetto importante, soprattutto per l’utenza imprenditoriale, che tipicamente investe ingenti risorse nei suoi sistemi informatici, è il problema del lock-in. Con questo termine si intende la dipendenza dalla tecnologia proprietaria con cui è realizzato un servizio (tipicamente nei modelli PaaS e SaaS). In assenza di standard comuni diventa impossibile, oppure estremamente oneroso, migrare verso un differente fornitore di servizi in cloud e quindi cambiare il soggetto a cui si demanda il trattamento dei dati.

I servizi di cloud computing utilizzano, per tutti gli utenti, un unico software di virtualizzazione, detto hypervisor, che permette di condividere in maniera molto flessibile infrastrutture fisiche e rappresenta la tecnologia fondante per il modello IaaS e, indirettamente, anche per i modelli PaaS e SaaS. Quindi, una vulnerabilità in tale software può avere un effetto catastrofico su tutti gli utenti per quanto riguarda confidenzialità, integrità e disponibilità di dati e servizi.

Per mitigare, almeno in parte, alcuni rischi legati all’uso di servizi di cloud computing si può ricorrere a tecniche crittografiche che possano garantire la confidenzialità (cioè inibire l’accesso ai dati da parte del fornitore dei servizi, di enti governativi o di virus) e la verifica dell’integrità del dato prima che questo venga usato (per es., in processi aziendali, dove dati errati possono provocare danni ingenti; si pensi al caso del settore bancario). Le tecniche crittografiche non hanno modo invece di ovviare al problema della disponibilità, in particolare della rete, per la quale bisogna ricorrere a tecniche di ridondanza dei dispositivi. L’ideale sarebbe che il dato venisse trattato in maniera crittografica dai dispositivi che l’utente usa per accedere ai servizi, in maniera da ridurre il più possibile la dipendenza della sicurezza dei dati da un software che non è sotto il diretto controllo dell’utente. Sebbene le soluzioni a questi problemi siano presenti nella letteratura scientifica (alcuni esempi sono la crittografia omomorfica, le strutture dati autenticate, le tecniche di secure multi-party computation), gran parte dell’offerta di servizi in cloud che sono stati pro-posti sul mercato non prevede questo tipo di trattamento, mentre è caratteristica distintiva di prodotti, a diffusione ridotta, relativi a categorie di utenze ben specifiche (per es., in ambito legale e notarile). Nelle soluzioni comuni, l’utente deve comunque fidarsi del software fornito dall’operatore, pur eseguendolo sui propri dispositivi, senza aver modo di verificare la bontà delle soluzioni fornite. Sono rare le proposte commerciali che permettono di utilizzare software open-source per ovviare a questo problema.

Dispositivi mobili. – La possibilità di accedere in qualunque posto e in qualsiasi momento all’informazione ha ricevuto, da parte sia di utenze private sia di utenze imprenditoriali, una sempre maggiore attenzione nel primo quindicennio del 21° secolo. La nascita di tecnologie di connessione mobile a larga banda (3G e 4G) e di dispositivi leggeri e con grande capacità di calcolo, come smartphone e tablet, ha reso possibile l’adozione su amplissima scala dell’idea di mobile computing in ambito sia privato sia imprenditoriale. Nel 2014 circa il 70% della popolazione europea possedeva uno smartphone e in Italia quasi il 50% lo utilizzava per connettersi a Internet. Poiché i dati trattati dai dispositivi mobili risiedono nella maggior parte dei casi in cloud, le problematiche di sicurezza relative al cloud computing hanno un impatto su chiunque utilizzi dispositivi mobili per uso personale o lavorativo. Inoltre i dispositivi mobili presentano loro peculiari criticità dovute al modo in cui tali dispositivi vengono usati.

Una pratica altamente diffusa, incentivata dai produttori, ma rischiosa sotto l’aspetto della sicurezza, è quella di installare sui propri dispositivi mobili un gran numero di applicazioni senza che l’utente ponga la dovuta attenzione ai permessi concessi all’applicazione stessa. Non è trascurabile la possibilità che, per pura superficialità, venga autorizzata un’applicazione a raccogliere e trattare una serie di informazioni che l’utente in linea di principio considera private come, per es., geolocalizzazione, informazioni sulle ricerche effettuate, contatti della rubrica telefonica e così via. Non è da escludere, inoltre, che un software autorizzato o un virus installato su un telefonino o su un tablet possa effettuare intercettazioni ambientali all’insaputa dell’utente mediante l’attivazione del microfono o della videocamera del dispositivo stesso.

Social networking. – Tramite i servizi di social networking gli utenti possono interagire tra loro, per lo più in forma pubblica, al fine di scambiarsi materiale multimediale, riferimenti a materiale su web, commenti, opinioni. Tali servizi hanno introdotto nuove problematiche per il trattamento dei dati in ambito sia privato sia lavorativo. Una caratteristica importante dei social network è la loro semplicità d’uso. La comodità di questi sistemi spinge gli utenti a utilizzarli per scambi che sarebbe più opportuno effettuare in forma privata. Le problematiche principali sono quindi relative a comportamenti inadeguati degli utenti stessi, che spesso non si rendono conto degli effetti che la pubblicazione di certe informazioni può avere sulla propria vita privata, sulla propria posizione professionale o per la propria azienda.

Tutti gli utenti di un social network devono accettare la privacy policy (politiche sulla privacy) del servizio, che stabilisce in che modalità le informazioni immesse nel sistema debbano essere trattate e come debbano essere considerate da un punto di vista legale (per es., le responsabilità derivanti dalla diffusione o dal mantenimento dell’informazione). Essendo tali servizi erogati a titolo gratuito, le politiche sulla privacy mirano a tutelare maggiormente il fornitore del servizio da rischi di tipo legale piuttosto che la privacy degli utenti.

Poiché i servizi di social networking permettono di creare collegamenti tra utenti amici, tra i quali lo scambio di informazioni è preferito (sia da un punto di vista del comportamento utente, sia da un punto di vista tecnico), essi rappresentano un ambiente favorevole per attività malevole a vari livelli. I social network sono stati usati per supportare attività miranti a manipolare persone e per indurle a comportamenti contrari a buone pratiche di sicurezza (social engineering). Un tipico obiettivo di tali attività è il cosiddetto furto di identità, cioè l’acquisizione di informazioni personali allo scopo di poter impersonare la vittima (per es., per effettuare acquisti a suo nome). Gli stessi collegamenti tra gli utenti, spesso pubblicamente accessibili, possono essere utili per chi intende intraprendere attività di questo tipo. Un aspetto importante legato ai social network riguarda l’emergere di fenomeni di dipendenza psicologica nei confronti del loro utilizzo, con un impatto negativo sulla produttività e sulla scala dei valori delle persone. Gli adolescenti si sono rivelati particolarmente vulnerabili in tal senso.

Uso di dispositivi personali per attività lavorative. – Gli strumenti hardware e software di trattamento dell’informazione messi a disposizione dell’utenza privata (spesso gratuitamente) hanno raggiunto, nei primi quindici anni del 21° sec., livelli di comodità e semplicità di utilizzo tali che moltissimi aspetti della vita privata delle persone sono oramai basati su di essi.

Gli utenti di tali strumenti tendono a non poterne fare a meno e quindi fanno pressioni presso il proprio datore di lavoro per poter utilizzare gli stessi strumenti nel loro ambito lavorativo. La politica che consente ai dipendenti di un’organizzazione di poter usare gli strumenti personali di trattamento di informazioni sul posto di lavoro (o in generale per scopi lavorativi) è detta Bring-your-own-device (BYOD). Questo approccio inizialmente ristretto all’uso di smartphone, tablet e notebook personali, viene oramai esteso anche all’utilizzo di social network o altri strumenti basati su cloud tipicamente pensati per uso privato. Tale politica è stata accettata in molte organizzazioni in virtù di un vantaggio in termini di produttività del lavoratore stesso e di vantaggio competitivo nell’acquisizione del personale rispetto alle organizzazioni concorrenti. Il BYOD ha creato una serie di nuove problematiche di sicurezza. La compagnia ha minor controllo sul dispositivo, in particolare sul modello del sistema operativo e delle applicazioni installate al suo interno, sul soggetto che lo utilizza, sull’uso che ne fa e sulle caratteristiche di sicurezza che tali dispositivi devono avere. Aumenta la probabilità di compromissione e di diffusione impropria di dati aziendali. Un dispositivo usato anche per scopi personali potrebbe avere più probabilità di essere rubato o smarrito assieme al suo contenuto di dati aziendali. L’utilizzo del dispositivo stesso su reti non fidate aumenta la probabilità di attacchi e furto di identità che possono avere un impatto anche sull’azienda. Un dispositivo infettato durante un uso privato può essere il veicolo di infezione che compromette un’intera rete aziendale. In generale il livello di sicurezza richiesto in azienda è tipicamente difficile da ottenere assieme al livello di usabilità richiesto per l’utilizzo privato, e in ogni caso, il raggiungimento di un tale compromesso comporta dei costi di gestione aggiuntivi che possono annullare i vantaggi del BYOD.

Cybercrime organizzato. – Nel primo quindicennio del 21° sec. si è osservato un notevole aumento del crimine informatico (cybercrime) e della sua organizzazione. Gli obiettivi del cybercrime sono, analogamente al crimine ordinario, di tipo economico, ideologico, politico, sessuale e così via.

In ogni caso, le azioni di questo tipo di crimine mirano a ottenere informazioni private, a fornire materiale multimediale illecito (per es., pedofilia), a impedire la fruizione di servizi informatici regolari (denial-of-service). Il cybercrime si avvale di strumenti propri della sicurezza informatica per proteggersi dalle azioni delle forze di polizia, tende a porre le proprie basi in Stati in cui la normativa è inadatta a perseguire questo tipo di crimine in modo efficace e, da lì, agisce in tutto il mondo tramite la rete Internet.

L’aumento del cybercrime è stato accompagnato dalla nascita di una struttura simile a una filiera industriale, in cui ciascuna entità è altamente specializzata nella realizzazione e nel supporto (a pagamento) di un particolare aspetto di un’azione criminale informatica. La creazione di un virus si è quindi trasformata da attività tecnica ad attività di organizzazione e gestione di altre entità, più o meno organizzate, che offrono informazioni personali, informazioni su vulnerabilità non ancore note (i cosiddetti zero-day), prodotti finiti (per es., un virus), semilavorati, servizi di diffusione di virus (per es., mediante il cosiddetto spam), servizi di sfruttamento di computer compromessi (botnet) e così via. Molti di questi prodotti e servizi hanno un vero e proprio listino prezzi e possono essere acquistati o affittati. Il cybercrime si avvale anche dei modelli di servizio tipici del cloud computing, per cui risulta possibile affittare risorse di calcolo e servizi specificatamente progettati per eseguire attacchi informatici.

Attività di intelligence. – Sebbene molti Stati abbiano perseguito in maniera forte il cybercrime, ci sono evidenze che organizzazioni con un’ampia disponibilità di risorse (probabilmente Stati o agenzie di intelligence) sfruttino gli stessi approcci del cybercrime per ottenere vantaggi di tipo informativo, politico o diplomatico. Nel 2010 è stato scoperto il virus Stuxnet, la cui ingegnerizzazione è stata riconosciuta, da esperti del settore, come molto più complessa di qualsiasi altro virus scoperto in precedenza. Inoltre, le vittime cui Stuxnet ha provocato ingenti danni sono stati specifici sistemi industriali situati in Iran, in cui Stuxnet è stato in grado di compromettere sistemi di controllo non normalmente accessibili da parte di cybercriminali comuni. L’elevato costo di realizzazione di un software del genere lascia immaginare un committente altamente organizzato. Questo tipo di azioni è stato denominato Advanced persistent threat (APT), con cui si intende una metodologia di attacco che sconfina spesso nella logica della cyberwar. Caratteristiche distintive di tali minacce sono la complessità e la raffinatezza con cui vengono combinati contemporaneamente diversi meccanismi (per es., vulnerabilità non comunemente note, cioè zero-day, e tecniche di occultamento dagli antivirus comuni) e la persistenza della minaccia, secondo la quale l’attaccante persevera sull’obiettivo e cerca di rimanere invisibile per un lungo tempo, anche anni, ma lentamente raggiunge lo scopo. Azioni di questo tipo sono quasi sempre supportate da altre azioni di intelligence di tipo tradizionale. Dopo Stuxnet, sono stati scoperti vari altri APT creati principalmente per motivi di spionaggio. Nel 2013, ha ricevuto un’ampia attenzione mediatica internazionale il caso noto come Datagate, a seguito delle rivelazioni di Edward Snowden circa il programma di spionaggio di massa condotto dalla NSA (National Security Agency) americana che ha coinvolto diversi Paesi, compresi membri dell’Unione Europea, nonché alcuni grossi operatori di servizi di cloud computing. Gli stessi governi sono vittime di divulgazione non autorizzata di informazioni confidenziali. Wikileaks (https://wikileaks.org) è un’organizzazione senza scopo di lucro, attiva dal 2007, che, in difesa della libertà di parola e di stampa, raccoglie e divulga al grande pubblico documenti che espongono azioni oppressive o comportamenti non etici dei governi.

Bibliografia: T. Mather, S. Kumaraswamy, S. Latif, Cloud security and privacy, Sebastopol (Cal.) 2009; NIST (National Institute of Standards and Technology), Cloud computing synopsis and recommendations, 2012, https://www.cloudcomputingcaucus.org/pdfs/Cloud_Computing_Synopsis_Recommendations_NIST_May2012.pdf; Cybercrime exposed, cybercrime as-a-service. McAfee White paper, 2013, http://www.mcafee.com/uk/resources/white-papers/wp-cybercrime-exposed.pdf; Assintel - Associazione nazionale imprese ict, Il mercato del software e servizi in Italia: scenari, strategie, soluzioni per interpretare il cambiamento, Milano 2014.