Scarica Sicurezza Informatica: Obiettivi e Strumenti per Disponibilità, Integrità e Riservatezza e più Appunti in PDF di Informatica solo su Docsity!
SICUREZZA INFORMATICA
Obiettivi:
● Disponibilità
● Riservatezza
● Integrità
La sicurezza delle informazioni è un’esigenza che ha accompagnato la storia dell’uomo fin dalle antiche civiltà. Oggi ci preoccupiamo di mantenere riservate le informazioni personali, militari e d’affari. Nel V secolo a.C. gli spartani inviavano gli ordini ai capi militari tramite messaggi scritti su una striscia di cuoio che, avvolta su un bastone (lo scitale) di un diametro ben preciso, permetteva di leggere il testo in chiaro lungo il bastone. Giulio Cesare cifrava i messaggi sostituendo ogni lettera con quella che nell’alfabeto segue di qualche posizione. La crittografia, cioè la scienza della scrittura segreta, ha avuto una progressiva evoluzione nel corso dei secoli, fino ai rapidi sviluppi teorici e tecnologici impressi dalla seconda guerra mondiale, che permisero la decifrazione dei codici giapponesi e tedeschi da parte degli alleati.Oggi buona parte del pianeta vive nella società dell’informazione, basata cioè sull’uso delle informazioni come parte integrante delle attività umane. Pertanto, la sicurezza delle informazioni è diventata una componente della sicurezza dei beni in generale, o security, e non si limita alle tecniche per nascondere il contenuto dei messaggi. Qualunque programma che si occupi di preservare la sicurezza delle informazioni, persegue, in qualche misura, tre obiettivi fondamentali: la disponibilità, l’integrità e la riservatezza delle informazioni.
DISPONIBILITÀ=è il grado in cui le informazioni e le risorse informatiche sono accessibili agli utenti che ne hanno diritto, nel momento in cui servono. Questo significa che sistemi, reti e applicazioni hanno le capacità necessarie a fornire il livello di servizio e le prestazioni richieste e che, in caso di guasto o di eventi distruttivi, sono pronti gli strumenti e le procedure per ripristinare l’attività in tempi accettabili.Per impedire l’inaccessibilità delle informazioni, si deve preservare la disponibilità delle condizioni ambientali e delle risorse hardware e software a fronte sia di problemi interni, sia di attacchi esterni, per esempio provenienti da Internet, volti a impedire o a ridurre l’accessibilità ai sistemi e alle informazioni.Sistemi di backup locale e remoto, ridondanza dell’hardware e degli archivi, firewall e router configurati per neutralizzare attacchi DoS (Denial of Service), sistemi di climatizzazione, gruppi di continuità, controllo dell’accesso fisico, monitoraggio delle prestazioni sono alcuni degli strumenti che servono per mantenere la disponibilità.
INTEGRITÀ= L’integrità è il grado di Correttezza , coerenza e affidabilità delle informazioni e anche il grado di completezza, coerenza e condizioni di funzionamento delle risorse informatiche. Per l’hardware e i sistemi di comunicazione, l’integrità consiste di fattori come elaborazione corretta dei dati, livello adeguato di prestazioni e corretto instradamento dei dati.
L’integrità del software riguarda fattori come la completezza e coerenza dei moduli del sistema operativo e delle applicazioni e la correttezza dei file critici di sistema e di configurazione. Per le informazioni, l’integrità viene meno quando i dati sono alterati, cancellati o anche inventati, per errore o per dolo, e quando si perde, per esempio in un database, la coerenza tra dati in relazione tra loro.Procedure di manutenzione e diagnosi preventiva, hardware e software per la rilevazione e prevenzione di accessi illeciti, attacchi virali e intrusioni, applicazioni che minimizzano errori logici e formali di data entry, accesso ristretto alle risorse critiche e controllo degli accessi sono alcuni degli strumenti utili a preservare l’integrità delle informazioni e delle risorse.Anche le tecniche di hashing (calcolo di un numero di lunghezza fissa a partire da un qualsiasi messaggio o documento) sono usate per verificare che le informazioni non vengano alterate per dolo o per errore.
RISERVATEZZA= La riservatezza consiste nel limitare l’accesso alle informazioni e alle risorse informatiche alle sole persone autorizzate. Un’informazione è composta generalmente da più dati in relazione tra di loro, ciascuno dei quali non necessariamente costituisce un’informazione. Il nome e il numero di contocorrente di una persona, separati, non sono informazioni;è la combinazione dei due dati che costituisce l’informazione. La riservatezza dell’informazione può essere quindi garantita sia nascondendo l’intera informazione sia nascondendo la relazione tra i dati che la compongono.La riservatezza non dipende solo da strumenti hardware e software; il fattore umano gioca un ruolo chiave quando vengono ignorate le elementari regole di comportamento: •tenere le password segrete, •controllare gli accessi a reti e sistemi, •rifiutare informazioni a sconosciuti, •cifrare i documenti e i messaggi riservati e così via. Altri due obiettivi di sicurezza possono essere considerati un’estensione dell’integrità delle informazioni, applicata a eventi più complessi come l’invio di un messaggio o una transazione: •l’autenticità garantisce che eventi, documenti e messaggi vengano attribuiti con certezza al legittimo autore e a nessun altro; •il non ripudio impedisce che un evento o documento possa essere disconosciuto dal suo autore.
AUTENTICAZIONE E AUTORIZZAZIONE A u t e n t i c a z i o n e= processo mediante il quale si verifica l’identità di un’entità (utente, p r o c e s s o , c o m p u t e r , messaggio). Nessun computer, software o utente può confermare con certezza l’identità di un utente: si possono solo eseguire test che, se superati, forniscono una garanzia sufficiente dell'identità dell’interlocutore. L’entità che deve essere autenticata presenta alcune credenziali (password, certificato digitale) come prova della propria identità: se sono ritenute valide e sufficienti, l’entità è ritenuta autentica.
-Dovrebbero essere esclusi nomi di persone, luoghi, aziende, animali, prodotti, targhe automobilisti- che, date, parole del dizionario ed altri nomi o simboli riconducibili all’utente
Social engineering:Un metodo usato per conquistare l’accesso ad un sistema è il social engineering: l’attaccante si fa aiutare da un dipendente, inconsapevole, convincendolo a rivelare le i n formazioni ( come username e password) necessarie ad entrare nel sistema. -Uno dei modi più usati consiste nel presentarsi come un tecnico di assistenza, che ad es. ha urgente bisogno del nome utente e password dell’interlocutore allo scopo dichiarato di evitargli la perdita dei dati.
TOKEN:(gettone):oggetto Utilizzato da un utente (o gruppo di utenti) per pagare qualcosa o per un impiego specifico. Ad es. i gettoni che viaggiano su una LAN Token Ring e quelli impiegati dai dispositivi di autenticazione
BIOMETRIA=La biometria è la scienza e tecnologia dell’autenticazione misurando le caratteristiche fisiologiche o comportamentali di una persona. Le caratteristiche fisiche utilizzate per l’autenticazione sono: •Impronte digitali,Usate da un secolo e mezzo, mantengono la loro reputazione di unicità per ogni individuo, gemelli inclusi. Gli scanner di impronte digitali sono molto diffusi ed hanno un basso costo, molto inferiore a quello degli altri dispositivi biometrici. •Retina,La sua scansione èutilizzata in installazioni militari e governative. Il modello dei vasi sanguigni della retina è unico e stabile, sebbene siano possibili variazioni(come durante la gravidanza). La fotografia della retina richiede un’esposizione prolungata a bassa intensità luminosa ed è vista come una procedura intrusiva, sebbene non rechi danno agli occhi. •Impronta vocale,Come il riconoscimento del volto, l’analisi della voce può essere usata all’insaputa dell’interessato. E’ possibile falsificarla manipolando una registrazione, ma una voce imitata non trae in inganno un analista esperto.Questa caratteristica a volte è elencata nella categoria dei tratti comportamentali, dato che non si basa sull’osservazione di una parte del corpo.
VIRUS Programmi inserire un computer che che provocano seri danni, temporanee o permanenti. -danneggiamento o cancellazione di archivi -danneggiamento cancellazione di programmi incluso il sistema operativo -effetti grafici indesiderati sullo schermo -rallentamento del funzionamento del computer -segnalazioni di errori o guasti inesistenti La trasmissione avviene tramite imput di dati di memoria di massa, importazioni di archivi o programmi via rete, messaggio di posta elettronica. Il virus viene attivato immediatamente,a data fissa e all’esecuzione di un programma. ANTIVIRUS
È un programma in grado di riconoscere un virus ed eliminarlo, può controllare dischi mobili, posta elettronica e file scaricati da Internet. Bisogna aggiornarlo ogni tot periodo.
Organizzazione della sicurezza La sicurezza delle informazioni è il risultato di un insieme di processi ai vari livelli dell’organigramma aziendale. Non bastano strumenti e tecnologie per ottenere la sicurezza. Occorre, in primo luogo, creare un’organizzazione per la sicurezza che assuma la responsabilità di quanto attiene alla sicurezza e coinvolga l’intera struttura aziendale, in modo che tutto il personale contribuisca nel proprio ambito al disegno generale della sicurezza. L’organizzazione della sicurezza dovrebbe partire dall’alto, dove gli obiettivi e le politiche di sicurezza sono definiti in termini generali dal top management, per essere poi specificati nei dettagli man mano che si scende attraverso gli strati del modello organizzativo della sicurezza.L’approccio dall’alto al basso permette di coinvolgere tutti i livelli aziendali interessati, di assegnare precise responsabilità, di definire politiche coerenti per l’intera struttura aziendale, di sensibilizzare ed educare il personale, di finanziare adeguatamente il progetto sicurezza e di rimuovere gli ostacoli che si presenteranno quando verranno adottate procedure e strumenti che avranno un impatto sull’operatività quotidiana e sulle abitudini del personale (a tutti i livelli).In sintesi, l’obiettivo generale delle attività di sicurezza è mantenere la continuità del business aziendale e, in particolare, del lavoro del personale e del servizio ai clienti. Hardware, software, sistemi, reti, informazioni, attrezzature e personale sono elementi da proteggere, ma vanno inquadrati nel piano di sicurezza generale con l’obiettivo di assicurare la continuità operativa.
