I professionisti della sicurezza valutano le minacce e le vulnerabilità in base al potenziale impatto che hanno sulla riservatezza, l’integrità e la disponibilità delle risorse di un’organizzazione, ovvero i suoi dati, le applicazioni e sistemi critici. Sulla base di tale valutazione, il team di sicurezza implementa una serie di controlli di sicurezza per ridurre i rischi all’interno del proprio ambiente. Nella sezione successiva, forniremo spiegazioni precise e dettagliate di questi principi nel contesto di InfoSec, quindi esamineremo le applicazioni del mondo reale di questi principi.
Riservatezza
Riservatezza si riferisce agli sforzi di un’organizzazione per mantenere i propri dati privati o segreti. In pratica, si tratta di controllare l’accesso ai dati per impedire la divulgazione non autorizzata. In genere, ciò implica garantire che solo coloro che sono autorizzati abbiano accesso a risorse specifiche e che a coloro che non sono autorizzati sia attivamente impedito di ottenere l’accesso. Ad esempio, solo i dipendenti autorizzati del libro paga devono avere accesso al database dei salari dei dipendenti. Inoltre, all’interno di un gruppo di utenti autorizzati, potrebbero esserci limitazioni aggiuntive e più rigorose sulle informazioni precise a cui tali utenti autorizzati possono accedere. Un altro esempio: è ragionevole che i clienti di e-commerce si aspettino che le informazioni personali che forniscono a un’organizzazione (come carta di credito, contatto, spedizione o altre informazioni personali) siano protette in modo da impedire l’accesso o l’esposizione non autorizzati.
La riservatezza può essere violata in molti modi, ad esempio attraverso attacchi diretti progettati per ottenere l’accesso non autorizzato a sistemi, applicazioni e database al fine di rubare o manomettere i dati. La ricognizione della rete e altri tipi di scansioni, l’intercettazione elettronica (tramite un attacco man-in-the-middle) e l’escalation dei privilegi di sistema da parte di un utente malintenzionato sono solo alcuni esempi. Ma la riservatezza può anche essere violata involontariamente a causa di errori umani, incuria o controlli di sicurezza inadeguati. Gli esempi includono l’incapacità (da parte degli utenti o della sicurezza IT) di proteggere adeguatamente le password; condivisione di account utente; intercettazioni fisiche (note anche come surf sulle spalle); mancata crittografia dei dati (in elaborazione, in transito e quando archiviati); sistemi di autenticazione scadenti, deboli o inesistenti; e furto di apparecchiature fisiche e dispositivi di archiviazione.
Le contromisure per proteggere la riservatezza includono la classificazione e l’etichettatura dei dati; forti controlli di accesso e meccanismi di autenticazione; crittografia dei dati in elaborazione, in transito e in archivio; steganografia; capacità di cancellazione remota; e un’istruzione e una formazione adeguate per tutti gli individui con accesso ai dati.
Integrità
Nell’uso quotidiano, l’integrità si riferisce alla qualità di qualcosa che è intero o completo. In InfoSec, l’integrità consiste nel garantire che i dati non siano stati manomessi e, quindi, possano essere considerati affidabili. È corretto, autentico e affidabile. I clienti e-commerce, ad esempio, si aspettano che le informazioni sui prodotti e sui prezzi siano accurate e che quantità, prezzi, disponibilità e altre informazioni non verranno modificate dopo aver effettuato un ordine. I clienti bancari devono poter avere fiducia che le loro informazioni bancarie e i saldi dei conti non siano stati manomessi. Garantire l’integrità implica la protezione dei dati in uso, in transito (ad esempio quando si invia un’e-mail o si carica o si scarica un file) e quando vengono archiviati, su un laptop, un dispositivo di archiviazione portatile, nel data center o nel cloud .
Come nel caso della riservatezza, l’integrità può essere compromessa direttamente tramite un vettore di attacco (come la manomissione dei sistemi di rilevamento delle intrusioni, la modifica dei file di configurazione o la modifica dei registri di sistema per eludere il rilevamento) o involontariamente, tramite errore, mancanza di attenzione, errori di codifica o politiche, procedure e meccanismi di protezione inadeguati.
Le contromisure che proteggono l’integrità dei dati includono crittografia, hashing, firme digitali, certificati digitali Le autorità di certificazione (CA) attendibili rilasciano certificati digitali per organizzazioni per verificare la propria identità agli utenti del sito web, in modo simile al modo in cui un passaporto o una patente di guida possono essere utilizzati per verificare l’identità di una persona., sistemi di rilevamento delle intrusioni, controllo, ol e meccanismi di autenticazione forte e controlli di accesso.
Notare che l’integrità va di pari passo con il concetto di non ripudio: l’incapacità di negare qualcosa. Utilizzando le firme digitali nella posta elettronica, ad esempio, un mittente non può negare di aver inviato un messaggio e il destinatario non può affermare che il messaggio ricevuto fosse diverso da quello inviato. Il non ripudio aiuta a garantire l’integrità.
Disponibilità
Sistemi, applicazioni e dati sono di scarso valore per un’organizzazione e per i suoi clienti se non sono accessibili quando gli utenti autorizzati ne hanno bisogno. Molto semplicemente, disponibilità significa che reti, sistemi e applicazioni sono attivi e in esecuzione.Assicura che gli utenti autorizzati abbiano accesso tempestivo e affidabile alle risorse quando sono necessarie.
Molte cose possono mettere a rischio la disponibilità, inclusi guasti hardware o software, interruzioni di corrente, disastri naturali ed errori umani. Forse l’attacco più noto che minaccia la disponibilità è l’attacco denial-of-service, in cui le prestazioni di un sistema, sito Web, applicazione basata sul Web o servizio basato sul Web vengono intenzionalmente e maliziosamente degradate, oppure il sistema diventa completamente irraggiungibile.
Le contromisure per garantire la disponibilità includono ridondanza (in server, reti, applicazioni e servizi), tolleranza ai guasti hardware (per server e archiviazione), patch software regolari e aggiornamenti del sistema, backup, ripristino di emergenza completo piani e soluzioni di protezione da attacchi Denial of Service.
Applicazione dei principi
A seconda degli obiettivi di sicurezza di un’organizzazione, del settore, della natura dell’attività e di eventuali requisiti normativi applicabili, uno di questi tre principi potrebbe avere la precedenza su un altro. Ad esempio, la riservatezza è vitale all’interno di alcune agenzie governative (come i servizi di intelligence); l’integrità ha la priorità nel settore finanziario dove la differenza tra $ 1,00 e $ 1.000.000,00 potrebbe essere catastrofica; e la disponibilità è fondamentale sia nel settore dell’e-commerce (dove i tempi di inattività possono costare alle aziende milioni di dollari), sia nel settore sanitario (dove la vita umana potrebbe andare persa se i sistemi critici non sono disponibili).
Un concetto chiave da comprendere sulla triade della CIA è che dare la priorità a uno o più principi può significare il compromesso degli altri. Ad esempio, un sistema che richiede un’elevata riservatezza e integrità potrebbe sacrificare prestazioni fulminee che altri sistemi (come l’e-commerce) potrebbero apprezzare maggiormente. Questo compromesso non è necessariamente una cosa negativa; è una scelta consapevole. Ogni organizzazione deve decidere come applicare questi principi in base ai propri requisiti unici, bilanciati con il desiderio di fornire un’esperienza utente sicura e senza interruzioni.
Per conoscere altri concetti fondamentali sulla sicurezza, leggi Cosa sono i controlli di sicurezza?