Scarica Sicurezza dei Sistemi Informativi: Audit, Rischi, Salvaguardia e Gestione e più Dispense in PDF di Sistemi Informativi solo su Docsity!
SECONDO PARZIALE DI INFORMATICA E SISTEMI INFORMATIVI
La premessa sulla quale si basa la sicurezza nel mondo digitale è che non esiste la sicurezza assoluta , ogni device, ogni profilo è soggetto alle minacce informatiche. A seconda dell’utilizzo che si fa del proprio device, queste minacce sono di diversa entità; si passa da una situazione di massima sicurezza nel caso in cui non si acceda ad internet e, man mano che si naviga su internet la sicurezza informatica decresce e la probabilità di incorrere nelle minacce di vario tipo è sempre più tangibile. Proprio per questi motivi l’attenzione alla gestione della sicurezza dei sistemi informativi si configura come caratteristica necessarie e inevitabile nella vita quotidiana delle moderne organizzazioni. Le minacce informatiche esistono e sono sempre più sofisticate, ma anche gli strumenti per difendersi si evolvono rapidamente. Per minacce informatiche si intendono errori e incidenti dovuti ai comportamenti degli esseri umani, calamità naturali che possono incidere nelle reti di comunicazione, rivolte e atti di terrorismo e, infine, crimini computerizzati. I responsabili sono sempre persone umane quali i dipendenti, gli utenti esterni, gli hacker e i cracker (black hat hacker); un attacco informatico si configura ogni qual volta persone non autorizzate accedono a dati o li intercettano. Un esempio può esser la sottrazione fisica di computer o dispositivi di memoria. Il trend degli attacchi informatici secondo il rapporto del 2023 sulla sicurezza ICT in Italia indica un avanzamento preoccupante, infatti i dati dal 2018 fino ad oggi indicano un incremento pari a circa il 100%. Gli attacchi informatici nell’anno in corso hanno riguardato in grande misura cybercrime, e poi in una ridotta percentuale anche hacktivism, spionaggio e information warfare. Le tipologie di attacchi che arrecano maggiori danni alle organizzazioni come per esempio le imprese, sono le attività di spionaggio e di information warfare (CRITICAL DAMAGE LEVEL); mentre invece i cybercrime e gli hactivism causano anch’essi danni informatici ma di minore entità (HIGH AND MEDIUM DAMAGE LEVEL). Le tecniche maggiormente utilizzate durante gli attacchi sono inerenti ai malware e alla ricerca delle vulnerabilità in generale, mentre il phishing (molto noto per le frodi), l’account cracking e gli attacchi tramite web sono delle tecniche il cui trend d’utilizzo è nettamente in calo. Esistono diverse tipologie di hacker: i white hat, i grey hat e i black hat. Per sicurezza informatica si intende l’insieme dei mezzi e delle tecnologie tesi alla protezione dei sistemi informativi in termini di controllo, riservatezza e integrità degli asset digitali. Gestire la sicurezza informatica significa identificare i rischi connessi ad azioni e comportamenti legati all’uso delle tecnologie e identificare strumenti tecnici, organizzativi, giuridici e umani necessari per mitigarli affinché non generino impatti superiori a una determinata soglia di tollerabilità. Le soluzioni tecnologiche attualmente disponibili sul mercato per mitigare i rischi in ambito informatico possono essere classificate in funzione dei macro-obiettivi in termini di controllo, riservatezza e integrità degli asset digitali che la sicurezza informatica si propone di raggiugere. In termini di controllo, le principali soluzioni sono basate su meccanismi di accreditamento e firewall; in termini di riservatezza, il principale strumento è rappresentato dalla crittografia, mentre in tema di integrità faremo riferimento alle tecnologie per combattere il malware, tra cui gli antivirus.
- Per garantire il controllo la maggior parte delle organizzazioni si limita a controllare l’accesso ai dati sottoponendo gli utenti a un processo di autenticazione. Il più comune metodo di accreditamento prevede l’utilizzo di username e password, che mantengono la loro efficacia solo se scelti con cura e cambiati di frequente. Le organizzazioni possono controllare l’accesso ai dati prendendo la procedura di acceso da una delle seguenti classi di meccanismi di accreditamento: i meccanismi di accreditamento intangibili che sono basati su qualcosa che l’username conosce (password, codice e pin), i meccanismi di accreditamento fisici o misti che sono basati su qualcosa che l’utente possiede (chiavi, carte identificative con foto e OTP, ovvero le one time password) e i meccanismi di accreditamento biometrici che sono basati sulle caratteristiche fisiche dell’username (impronte digitali, timbro della voce).
Un altro metodo utilizzato per garantire il controllo è il firewall, un sistema progettato per rilevare le intrusioni e impedire l’accesso non autorizzato da o verso la rete privata. I firewall possono essere strutture hardware, software o miste. Il loro costante impiego impedisce agli utenti non autorizzati di accedere a reti private connesse ad internet. Il firewall può agire in diverse aree a seconda delle esigenze dell’organizzazione: tramite filtro dei pacchetti (esamina tutto quello che entra ed esce, accettandolo o eliminandolo secondo regole predefinite), tramite un controllo a livello dell’applicazione (molto efficace, esegue determinate misure di sicurezza su applicazioni specifiche), grazie ad un controllo a livello delle connessioni (solo quelle che coinvolgono il protocollo TPC e UDP, dopo che viene controllata tale connessione i dati fluiscono liberamente) o anche grazie a un server proxy (che analizza quanto entra e quanto esce, tali server vengono anche utilizzati per archiviare localmente, le cache, e per permettere accesso rapido a siti usati di frequente). Esistono una varietà di architettura firewall in base alla mole di lavoro che deve svolgere: i firewall di base sono adatti ad una rete domestica e in questi casi il firewall viene implementato come software sul singolo computer da utilizzare; i router firewall che vengono utilizzati per i piccoli uffici; e i firewall più grandi che invece soddisfano le esigenze di grandi organizzazioni. I firewall sono anche utilizzati all’interno delle reti private virtuali o VPN (Virtual Private Network), una connessione di rete realizzata dinamicamente all’interno di una rete esistente per collegare utenti o nodi. Le VPN utilizzano strumenti di autenticazione, di crittografia e altri meccanismi di sicurezza per accertare che soltanto gli utenti autorizzati abbiano accesso alla rete stessa.
- Per garantire la riservatezza viene adoperata la crittografia, ovvero il processo di codifica dei messaggi prima che questi entrino nella rete, con la successiva decodifica da parte del ricevente legittimo, in modo che questo possa leggerli. La crittografia è il processo di trasformazione dei dati attraverso algoritmi matematici che rendono i dati illeggibili a chi non disponga di una chiave di decriptazione. Tutti i sistemi di crittografia utilizzano una chiave che permette di cifrare e decifrare il messaggio. I sistemi di crittografia possono essere simmetrici, quando utilizzano una chiave privata, e asimmetrici quando usufruiscono di una chiave pubblica; da quest’ultimo modello deriva il concetto di firma digitale. Quando mittente e destinatario utilizzano la stessa chiave, si parla di sistema a chiave privata (crittografia simmetrica). Siccome mittente e ricevente devono mantenere segreta (privata) la chiave, la gestione della stessa può essere difficoltosa. I principali problemi generati da un sistema di crittografia a chiave simmetrica sono:
- la necessità di scambio preliminare della chiave tra mittente e destinatario attraverso un canale reputato sicuro;
- la necessità di generare un numero molto elevato di chiavi (con n utenti, sono necessarie n(n-1)/2 chiavi per permettere il dialogo cifrato bidirezionale tra tutti i soggetti del sistema); Tali problemi furono eliminati con lo sviluppo della tecnologia a chiave pubblica. Si tratta di una modalità asimmetrica, poiché vengono utilizzate due chiavi: una privata ed una pubblica. Nell’approccio a chiave pubblica ogni persona dispone di due chiavi: una pubblica, che viene distribuita liberamente, e una privata che viene mantenuta segreta. Per implementare la crittografia a chiave pubblica su larga scala, è richiesta una soluzione più sofisticata. In questo caso si introduce un’autorità di certificazione, che agisce come un intermediario di fiducia tra i computer e verifica che un sito web sia affidabile. Un esempio di crittografia che utilizza la chiave pubblica, è l’SSL, il cui acronimo sta per Secure Socket Layer, il cui compito è garantire la sicurezza dei dati trasmessi su una rete, implementando il protocollo HTTPS (Secure http) per il trasferimento di dati riservati in un collegamento web based. Tale crittografia garantisce che tutti i dati trasmessi tra il client e il server vengano cifrati e che non potranno essere acquisti illecitamente e neanche modificati da tutti coloro che non sono autorizzati.
CAPTCHA (Completely Automated Public Turing Test to tell Computer and Humans Apart). Si tratta di un’immagine distorta che raffigura una combinazione di lettere e/o numeri che l’utente deve digitare in una casella di modulo prima di poter inviare il modulo in questione. Poiché l’immagine è distorta, soltanto gli esseri umani sono in grado di interpretare correttamente il codice che vi è rappresentato. SECURITY AWARENESS: Le persone rappresentano oggi un tassello critico della strategia complessiva delle organizzazioni per la sicurezza cyber. Così come è importante dotarsi di corrette soluzioni di protezione, è altrettanto importante formare le persone perché siano in grado di individuare un possibile attacco, evitarlo e soprattutto segnalarlo internamente a chi deve prendere immediate misure di contenimento. Oggi il tema della Security Awareness è di grande interesse. Il comportamento del personale di un’azienda (così come quello degli utenti di una rete domestica) è oggi estremamente determinante nel caratterizzare l’esposizione complessiva al rischio di attacchi informatici, soprattutto alla luce del fatto che ormai la maggior parte degli attacchi iniziano proprio colpendo le persone. Gli elementi che citi, sebbene possano influenzare effettivamente la propensione dell’utente a “cadere” nell’attacco, in realtà hanno un impatto abbastanza limitato. Prendiamo a esempio la costruzione di email veramente contestualizzate alla persona mediante reperimento delle informazioni sui “social” (che oggi vuol dire qualsiasi cosa). Nelle nostre prove, di fatto funzionano in modo analogo a esche “ben curate” ma per nulla contestualizzate. Per esempio, basta far leva sulla possibilità di usufruire di sconti o promozioni per invogliare qualunque utente a compiere un’azione potenzialmente pericolosa. Quindi in definitiva, il fattore umano è una delle più grandi determinanti per la sicurezza informatica di un’organizzazione e non occorrono approcci troppo sofisticati per manipolarlo a vantaggio di un attaccante (hacker). Oggi non è più applicabile un approccio che punti alla formazione delle persone “fornendo istruzioni”. Secondo la nostra esperienza, aiutano molto di più approcci in cui si solleva invece l’attenzione sulla problematica generale, mostrando come anzi non siano presenti schemi ricorrenti negli attacchi, e in particolare incentivando a dubitare in modo costruttivo e a segnalare eventi sospetti all’opportuno Contact Point reso disponibile aziendalmente. Un altro aspetto a mio avviso importante è legato alla condivisione (nella maniera appropriata) dei risultati di campagne di simulazione, potenzialmente ripetute nel tempo. La condivisione consente di innalzare la consapevolezza a tutti i livelli. La componente principale su cui lavorare per migliorare l’accortezza delle persone riguardo i temi legati all’informatica è “l’alfabetizzazione di base su alcuni aspetti in quanto, soprattutto ai livelli maggiormente operativi delle aziende, vi è la necessità di colmare alcuni gap in termini di competenze tecnologiche. Solo successivamente si potrà lavorare sulle competenze anche di carattere comportamentale, psicologico e sociale che aiutano ad interpretare le motivazioni che portano le persone a fidarsi ad esempio di email sospette o quant’altro. Spesso e volentieri per poter ovviare ai rischi informatici non servono grandi competenze specifiche settoriali ma sarebbe sufficiente una certa consapevolezza. Sebbene ormai è vero che il livello di tecnicismo raggiunto dagli attacchi, in relazione alle numerose risorse offerte dalla tecnologia, siano difficilmente affrontabili unicamente con una consapevolezza di base. SOCIAL NETWORK SECURITY: Il mondo delle reti sociali (da Facebook a Twitter, da Linkedin a Instagram) è in cambiamento incessante e il Garante per la protezione dei dati personali ne segue con attenzione gli sviluppi allo scopo di tutelare con efficacia giovani e adulti. I social network offrono vantaggi significativi e immediati: semplificano i contatti, rendono possibili scambi di informazioni con un numero enorme di persone. Queste comunità online, però, amplificano i rischi legati a un utilizzo improprio o fraudolento dei dati personali degli utenti, esponendoli a danni alla reputazione, a furti di identità, a veri e propri abusi. Non esistono più, infatti, barriere tra la vita digitale e quella reale: quello che succede on-line sempre più spesso ha impatto fuori da Internet, nella vita di tutti i giorni e nei rapporti con gli altri. I social network sono “piazze virtuali”, cioè dei luoghi in cui via Internet ci si ritrova condividendo con altri fotografie, filmati, pensieri, indirizzi, amici e tanto altro. I social network sono lo strumento di condivisione per eccellenza e rappresentano straordinarie forme di comunicazione, anche se comportano dei rischi per la sfera personale
degli individui coinvolti. I primi social network sono nati in ambito universitario, tra colleghi che non si volevano “perdere di vista” e che desideravano “fare squadra” una volta entrati nel mondo del lavoro. Facebook, per citare uno dei più famosi, agli inizi era esattamente la traduzione virtuale dell’annuario, ovvero del “libro delle fotografie” della scuola. Una bacheca telematica dove ritrovare i colleghi di corso e scambiare con loro informazioni. Le più recenti evoluzioni della tecnologia consentono ai social network di integrarsi sempre più con i telefoni cellulari, trasformando i messaggi che pubblichiamo on-line in una sorta di sms multiplo che giunge istantaneamente a tutti i nostri amici. I social network sono strumenti che danno l’impressione di uno spazio personale, o di piccola comunità. Si tratta però di un falso senso di intimità che può spingere gli utenti a esporre troppo la propria vita privata e professionale, a rivelare informazioni confidenziali, orientamenti politici, scelte sessuali, fede religiosa o condizioni di salute, provocando gravi “effetti collaterali”, anche a distanza di anni, che non devono essere sottovalutati. Tra l’altro, l’idea di impunità trasmessa dalla possibilità di utilizzare messaggi che si “autodistruggono” o di nascondersi dietro forme di anonimato può favorire in rete atteggiamenti aggressivi o violenti, in particolare verso le persone più giovani e indifese. La dignità della persona e il diritto alla riservatezza non perdono il loro valore su Internet. La tutela dei dati personali nel mondo interconnesso, per quanto più difficile, è pur sempre possibile, anche grazie alla collaborazione tra i Garanti della privacy, non soltanto europei, ma anche di altri Paesi. L’Autorità italiana interviene direttamente in caso di violazioni di propria competenza. Ma è anche costantemente impegnata per rafforzare gli strumenti a difesa degli utenti e per aumentare la loro consapevolezza sui loro diritti e doveri on-line. Non esiste più una separazione tra la vita “on-line” e quella “off-line”. Quello che scrivi e le immagini che pubblichi sui social network hanno quasi sempre un riflesso diretto sulla tua vita di tutti i giorni, e nei rapporti con amici, familiari, compagni di classe, colleghi di lavoro. Ed è bene ricordare che l’effetto può non essere necessariamente immediato, ma ritardato nel tempo. Il web è spesso raccontato come un luogo senza regole dove ogni utente può dire o fare quello che vuole. In realtà, le stesse regole di civile convivenza, così come le norme che tutelano, ad esempio, dalla diffamazione, dalla violazione della tua dignità, valgono nella vita reale come sui social network, in chat o sui blog. Non esistono zone franche dalle leggi e dal buon senso. Quando inserisci i tuoi dati personali su un sito di social network, ne perdi il controllo. I dati possono essere registrati da tutti i tuoi contatti e dai componenti dei gruppi cui hai aderito, rielaborati, diffusi, anche a distanza di anni. A volte, accettando di entrare in un social network, concedi al fornitore del servizio la licenza di usare senza limiti di tempo il materiale che inserisci on-line… le tue foto, le tue chat, i tuoi scritti, le tue opinioni. Le aziende che gestiscono i social network generalmente si finanziano vendendo pubblicità mirate. Il valore di queste imprese è strettamente legato anche alla loro capacità di analizzare in dettaglio il profilo degli utenti, le abitudini e i loro hobby, ma anche le condizioni di salute e l’orientamento politico o sessuale, le reti di contatti, per poi rivendere le informazioni a chi se ne servirà per promuovere offerte commerciali specifiche o per sostenere campagne di vario genere. Le informazioni raccolte su di te sono infatti usate per monitorare e prevedere i tuoi acquisti, le tue scelte, i tuoi comportamenti. E ricorda: anche nel web, dietro l’offerta di un servizio “gratuito”, si nasconde lo sfruttamento per molteplici scopi dei tuoi dati.
spazio per pochi server e possono rivolgersi a strutture specializzate dette colocation facilities, dove possono prendere in affitto gli spazi per i loro server. QUALI SONO LE POSSIBILI MISURE PER LA SALVAGUARDIA DEI DATI? Il backup grazie al quale le informazioni archiviate nei database correnti e trasferite nei nastri di backup dovrebbero essere cifrate in modo che, se i database fossero violati, le informazioni contenute sarebbero del tutto inutilizzabili. I siti di backup dei quali ne esistono due tipologie principali; un sito di backup a freddo è un capannone vuoto dove sono presenti tutte le connessioni necessarie per l’alimentazione dei sistemi e l’operatività dei dipendenti. Un sito di backup a caldo è una struttura backup perfettamente attrezzata con tutto l’occorrente, compresi i sistemi per la duplicazione dei dati. Nell’eventualità di un imprevisto, tutto ciò che occorre fare è ricollocare i dipendenti nel sito di backup per continuare il lavoro. Per ottenere questa ridondanza, tutti i dati vengono riprodotti in mirroring su server separati (tutto viene archiviato in modo sincronico in due sistemi indipendenti). Può apparire dispendioso, ma per un’applicazione aziendale di importanza critica, potrebbe essere meno costoso eseguire un sistema di backup parallelo di questo tipo rispetto all’interruzione dell’attività aziendale e alla perdita dei clienti. I centri di rielaborazione dati ridondanti , i quali permettono di avere un backup collocato in un’area geografica diversa, al fine di ridurre al minimo il rischio di un disastro che coinvolga entrambi i sistemi. La televisione a circuito chiuso che permette di monitorare eventuali intrusioni fisiche nei centri di elaborazione dati, nei locali dove sono custoditi i server o presso strutture esterne. Gli UPS , detti anche gruppi di continuità, non proteggono dalle intrusioni ma dai cali di tensione e dalle interruzioni momentanee che possono provocare perdita di dati.
ETICA INFORMATICA: L’etica è l’insieme dei valori e principi morali che governano la condotta di un singolo o di un gruppo. Tale tematica viene affrontata in chiave tecnologica per aumentare la consapevolezza che le tecnologie e l’informatica spesso generano un impatto sociale che necessita di essere governato in quanto possibile fonte di rischi, in parte attribuibili anche alla vulnerabilità dei sistemi. Alcune tra le principali tematiche riguardo a questioni etiche legate all’informatica riguardano la sicurezza, la qualità della vita, il divario digitale e l’accessibilità alle informazioni. Per quanto riguarda la qualità della vita e dell’ambiente di lavoro soprattutto dopo la pandemia da covid-19 sono diventati di uso comune gli uffici virtuali , ovvero uffici mobili e temporanei che vengono gestiti tramite le tecnologie dell’ICT. Notevoli passi avanti nel rapporto uomo-macchina sono stati fatti dall’ ergonomia , ovvero la scienza che si occupa di studiare il rapporto macchina-uomo, la quale ha evidenziato che l’utilizzo continuo del pc provoca patologie che possono essere prevenute grazie a pause continue, una postura corretta e l’utilizzo di tecnologie sempre aggiornate. La qualità del lavoro viene migliorata costantemente grazie all’utilizzo delle ICT che hanno determinato due fenomeni principali: il collaborative work che ha permesso la condivisione di informazioni e cooperazione e il telelavoro , ovvero la possibilità di lavorare presso la propria abitazione restando in contatto con il proprio ufficio, aumentando la produttività e la sostenibilità sociale, il tutto grazie alla connessione a banda larga e alle reti VPN. Uno degli esempi di cui si sente maggiormente parlare ai tempi d’oggi è lo smart working , il cui nome in italiano è lavoro agile, rappresenta una modalità di lavoro flessibile grazie ai device mobili. E’ entrato in vigore il 22 maggio 2017 e ha permesso di combinare flessibilità, autonomia e collaborazione in parallelo a ottimizzazione degli strumenti e degli ambienti di lavoro. è una modalità di esecuzione del rapporto di lavoro subordinato stabilita mediante accordo tra le parti, anche con forme di organizzazione per fasi, cicli e obiettivi e senza precisi vincoli di orario o di luogo di lavoro, con il possibile utilizzo di strumenti tecnologici per lo svolgimento dell’attività lavorativa” questo “allo scopo di incrementare la competitività e agevolare la conciliazione dei tempi di vita e di lavoro. La prestazione lavorativa viene eseguita in parte all’interno di locali aziendali e, senza una postazione fissa, in parte all’esterno – specifica ancora l’articolato – entro i soli limiti di durata massima dell’orario di lavoro giornaliero e settimanale derivanti dalla legge e dalla contrattazione collettiva. Con questa definizione si specifica la diversità con il telelavoro. Il datore di lavoro è responsabile della sicurezza e del buon funzionamento degli strumenti tecnologici assegnati al lavoratore per lo svolgimento dell’attività lavorativa e che gli incentivi fiscali e contributivi eventualmente riconosciuti in relazione agli incrementi di produttività ed efficienza del lavoro subordinato sono applicabili anche quando l’attività lavorativa sia prestata in modalità di lavoro agile. La retribuzione non viene più modulata sulla base dell’orario di lavoro ma dell’obiettivo lavorativo fissato con il datore. Lo smart working è un approccio all’organizzazione del lavoro orientato a generare maggiore efficienza ed efficacia nel raggiungimento dei risultati lavorativi attraverso una combinazione di flessibilità, autonomia e collaborazione, parallelamente all’ottimizzazione degli strumenti e degli ambienti di lavoro per i lavoratori. La dimensione etica della tecnologia attiva la discussione sui criteri e i valori che orientano le scelte e i giudizi di fronte al moltiplicarsi dei nuovi dilemmi e sul percorso che l’uomo deve garantire perché l’innovazione tecnologica possa effettivamente contribuire alla crescita e allo sviluppo della società. I primi a interrogarsi sulle opportunità e conseguenze per la società create dall’introduzione dei computer furono i padri fondatori negli anni Cinquanta: Norbert Wiener e Jonh Von Neumann. Mentre Wierner fu tra i primi a mettere in evidenza i rischi legati all’introduzione indiscriminata dell’automazione nelle fabbriche e ad avere la visione del computer come uno strumento di comunicazione. Von Neumann intravide la possibilità di usare il computer come macinatore di numeri per i complessi calcoli necessari alla realizzazione della bomba atomica. Negli anni Settanta, Hiltz e Turoff rilevavano come la nascita delle reti di computer rischiava di creare una nuova frontiera della disuguaglianza, ma è durante gli anni Ottanta che la coscienza di avere creato una tecnologia con aspetti controversi iniziò a diffondersi tra i docenti di informatica. Nel 1986 Mason scrisse un articolo divenuto un classico degli studi nel campo dell’etica informatica, in cui identificò 4 punti critici di interesse: riservatezza,
utenti per il raggiungimento di determinati obiettivi con efficacia, efficienza e soddisfazione in un dato contesto d’uso. Con efficacia si intende il raggiungimento degli obiettivi prefissati, con efficienza si fa riferimento al minor utilizzo di risorse che permettono l’accurato svolgimento delle mansioni necessarie al raggiungimento dell’obiettivo e con soddisfazione si presuppone l’assenza di disagio, le attività positive e la soddisfazione attraverso l’utilizzo del prodotto. Quando si studia l’usabilità di un prodotto è importante valutare se esso sia adeguato agli scopi per cui è stato costruito, in base ai requisiti dell’utente stesso (approccio user oriented). Jakob Nielsen , considerato la massima autorità sull’usabilità del web, definisce l’usabilità come la misura della qualità dell’esperienza dell’utente in interazione con qualcosa. Un prodotto è usabile quando è facile da apprendere, consente un’efficienza di utilizzo, è facile da ricordare, permette pochi errori di interazione e di bassa gravità, inoltre è piacevole da usare. L’interfaccia deve essere semplice, intuitiva, ergonomica, divertente, usabile e orientata all’esperienza dell’utente. La nascita del web ha introdotto un nuovo campo di studio chiamato ‘’web usability’’ che si occupa dell’applicazione dei principi dell’usabilità ai siti web. L’obiettivo di tutte le attività riconducibili al concetto di accessibilità di un sito o di un servizio è quello di rendere fruibili questo tipo di risorse informative anche a tutti coloro che si trovano in una situazione, seppur temporanea, di ridotta capacità sensoriale, motoria o psichica. Per giungere all’abbattimento delle barriere digitali che limitano o impediscono l’accesso agli strumenti della società dell’informazione da parte delle persone con disabilità, l’ordinamento chiede a tutti gli enti pubblici e privati di progettare, costruire e mantenere siti e servizi web nel rispetto di determinati requisiti tecnici atti a garantirne la piena fruibilità da parte di tutti i cittadini. IL DIBATTITO SUL CRIMINE INFORMATICO: Il crimine informatico è qualsiasi atto che utilizza un computer per commettere un’azione illegale. Questa definizione comprende l’individuazione di: l’obiettivo del reato, il computer utilizzato per commetterlo e/o l’utilizzo dei computer per supportare le attività criminali. Il problema dell’accesso illecito ai computer può essere considerato da due punti di vista: 1) i sostenitori dei diritti civili liberali come l’industria delle informazioni che insistono per il libero scambio delle informazioni e
- i sostenitori della privacy come gli enti pubblici o gli aziendalisti che assumono una posizione più rigida, difendendo la libertà di scambio di informazioni unicamente tra coloro che sono autorizzati all’accesso.
INFORMATICA FORENSE: detta anche giuridica, prevede l’uso di tecniche investigative formali per valutare le informazioni digitali ai fini di un giudizio legale. Le organizzazioni e i governi utilizzano sempre di più gli honeypot , una sorta di contenitori esca, per raccogliere informazioni di intelligence in modo interattivo al fine di migliorare le proprie difese o di catturare i cyber criminali. HACKING E CRACKING PIRATERIA DEL SOFTWARE: Spacciare warez , ovvero offrire gratuitamente software proprietario rubato su internet è un crimine. Le medesime leggi sui brevetti e sul copyright sono valide anche per il software, che è una forma di proprietà intellettuale. I brevetti si riferiscono all’invenzione di cose, processi o quant’altro. Un rilevante problema internazionale che le aziende si trovano a dover affrontare è la non volontà di governi e privati di riconoscere e imporre la titolarità della proprietà intellettuale, in particolare il copyright sul software. CYBERGUERRA, CYBERTERRORISMO E ALTRO: Cyberguerra è il tentativo organizzato dall’esercito di un paese di interrompere o distruggere i sistemi informativi e di comunicazione di un altro paese. Utilizza una vasta gamma di tecnologie, compresi software, hardware e tecnologie di rete, per ottenere un vantaggio informativo su un avversario. Una parte fondamentale di una strategia di cyberwar è costituita anche dal controllo dei contenuti e della distribuzione di propaganda e informazioni ai civili, alle truppe e ai governi avversari. Non è sempre immediato riuscire a distinguere gli attacchi cibernetici portati avanti da gruppi terroristici rispetto a quelli dovuti ai governi legittimi e ciò è dovuto al fatto che il cyberterrorismo non deriva dalle azioni di Stati, bensì dalle attività di singoli individui e gruppi organizzati. Consiste nell’uso delle tecnologie informatiche e di rete contro persone e proprietà per intimidire governi, civili, o qualsiasi segmento della società al fine di raggiungere obiettivi politici, religiosi o ideologici. Alcuni esempi di attacchi
elaborazione prevede fasi di registrazione, ordinamento, aggiornamento e integrazione delle informazioni di transizione con database aziendali. I TPS generano dati che, se rielaborati dai sistemi informativi a livello manageriale, si trasformano in informazioni utili e preziose per i manager di livello tattico , aiutando le organizzazioni a migliorare i propri processi decisionali. Il Management Information System (MIS) è il sistema informativo per il management che è organizzato per fornire informazioni relative ad aspetti esterni e interni all’azienda, riferiti al passato, al presente e al futuro. E’ un sistema che ha l’obiettivo di supportare i responsabili dell’azienda nell’assumere decisioni. Tale sistema è progettato per far avere informazioni valide alle persone giuste, nel formato corretto e al momento opportuno (previsioni di vendita, gestione e previsione finanziaria…). Gli input in un MIS sono dati di elaborazione transazionale prodotti dai TPS, altri dati interni e richieste ad hoc di report o riepiloghi speciali. L’aspetto elaborativo si concentra sull’aggregazione e il riepilogo dei dati. I risultati sono report formattati che forniscono ai manager di livello intermedio informazioni programmate e non ricorrenti. Il Decision Support System (DSS), con tale termine si indicano sistemi che aiutano figure di livello manageriale nel prendere decisioni in contesti caratterizzati da informazione limitata. L’attività decisionale ha un ruolo importante nella società postindustriale dove la capacità di sopravvivenza delle organizzazioni dipende dall’efficienza produttiva e dalle decisioni strategiche riguardanti il produrre, promuovere e distribuire i propri prodotti. All’interno dei componenti di elaborazione sono utilizzati modelli e dati: il DSS utilizza modelli per manipolare i dati. I dati per il DSS possono provenire da molte fonti, tra cui TPS e MIS. L’interfaccia utente è il modo in cui il DSS interagisce con l’utente, raccogliendo gli input e visualizzando i risultati. L’elaborazione supporta la fusione dei dati con i modelli, in modo che i decisori possano esaminare situazioni di soluzioni alternative. I risultati sono report grafici e testuali. L’executive Information System è un sistema informativo progettato per supportare i dirigenti di massimo livello (EIS o ESS). Consiste di tecnologia di hardware e software, dati, procedure e persone necessari a consolidare le informazioni provenienti da fonti interne ed esterne per assistere le decisioni a livello strategico. Fornisce informazioni in una forma altamente aggregata, in modo che essi possano esaminare le informazioni rapidamente, alla ricerca di tendenze e anomalie. Può inoltre garantire al decisore sia dati soft sia dati hard: i dati soft comprendono notizie testuali o altre informazioni non analitiche, mentre i dati hard comprendono fatti e numeri. Internet ha reso molto più facile raccogliere dati soft. L’uso di numerosi portali di notizie basati sul web consente agli utenti di personalizzare il contenuto delle notizie, in modo che gli assistenti possano riepilogare velocemente e valutare le informazioni che i dirigenti devono visionare. Utilizzano come input i dati provenienti da fonti e sistemi interni, dati provenienti da fonti esterne, informazioni sui concorrenti, sui mercati finanziari, notizie e qualsiasi altra informazioni che il manager ritiene importante pe le decisioni che deve prendere giorno per giorno. I progettisti di sistema forniscono ai dirigenti le informazioni in forma altamente aggregata, usando spesso icone grafiche per effettuare selezioni e grafici a barre e a linea per riepilogare i dati. L’ORGANIZZAZIONE DEI SISTEMI INFORMATIVI: I database sono delle raccolte strutturate di dati organizzati in modo da facilitare le ricerche; sono vitali per il funzionamento di un’organizzazione e per il vantaggio competitivo dell’attività. Fino agli anni settanta, erano molto semplici, con tabelle bidimensionali con le quali realizzare modelli a matrice ( flat model ) che ne costituivano l’architettura. Sempre in quest’epoca, ma leggermente più tardi, nacquero i modelli gerarchici , ogni record (dato) può avere altri record che dipendono da lui senza limiti nella profondità, ma ogni record ‘’figlio’’ non può avere più di un record genitore. Questa struttura che ha la forma di un albero rovesciato, è particolarmente efficiente nelle ricerche perché implementa in modo nativo la ricerca dicotomica, in altre parole aiuta ad affiancare il record figlio all’appartenenza ad un ramo genitoriale, al quale si può provvedere facilmente per individuarlo. Nei
modelli reticolari , invece, ogni record figlio può avere più record genitori e la caratteristica conseguente è la mancanza di uno schema gerarchico fisso, il che consente di esprimere molte più informazioni. Il modello fu poi accantonato, per poi ritornare nuovamente di estrema attualità con la nascita dell’intelligenza artificiale, la cui fonte di alimentazione sono le reti neurali, le quali hanno una forma evoluta dei database reticolari. Nel 1981 il reparto di ricerca e sviluppo dell’IBM anticipa la nascita del modello relazionale. Tale modello fu studiato già dal 1970 da Edward Codd, ingegnere del reparto di ricerca del IBM, che ricercava un modello che consentisse di superare la dipendenza del modello logico di rappresentazione dei dati dal modello fisco, cosa che il database gerarchico risolveva parzialmente data la sua struttura rigida e molto legata a come i dati venivano poi fisicamente memorizzati sul supporto magnetico. DIFFERENZA TRA GERARCHICO E RELAZIONALE: Un sistema informativo aziendale che si appoggia su un sistema relazionale ha una potenza informativa superiore a quella di un database gerarchico. I due modelli hanno infatti obiettivi diversi: il database relazionale ha quello della capacità informativa della relazione della navigazione tra le relazioni, il database gerarchico quello della velocità di interrogazione. L’evoluzione del modello relazionale è stata il database ad oggetti , anch’esso fu prima teorizzato e successivamente messo in pratica. Il database a oggetti è figlio della programmazione a oggetti, iniziata nella seconda metà degli anni Ottanta, a sua volta figlia dello sviluppo delle interfacce grafiche, le GUI (Grafic User Interface). Un oggetto è un pezzo di software riutilizzabile in più programmi, ed è facile intuire perché le GUI ne facilitano ampio uso: quando facciamo click su un simbolo sullo schermo e si verifica l’avvio di una funzionalità dell’applicazione, all’oggetto è legato un modulo software che dice al programma principale di eseguire quella determinata attività. Oggi sta diffondendosi un nuovo modello di database , detto schema-less , che rappresenta una particolare evoluzione dei database a oggetti la cui caratteristica è quella di poter memorizzare informazioni complesse ed eterogenee, senza uno schema e un formato predefinito. Questa evoluzione deriva dallo sviluppo di Internet e dalla diffusione delle informazioni nella Rete prive di un qualsivoglia standard e impossibili a definirsi. I DATA WAREHOUSE: Negli anni ottanta, quando l’evoluzione tecnologica correva veloce nel settore della capacità di elaborazione, apparve chiaro che la BI costruiva trend e previsioni, quindi necessitava della possibilità di operare su grandi moli di dati in tempo reale. Il concetto di tempo di elaborazione immediato si spostava dalle operazioni dei TPS alle operazioni decisionali e previsionali, la cui immediatezza auspicata risiede nelle operazioni di interrogazione ed elaborazione di modelli analitici e predittivi. Il data warehouse è un archivio di dati che contiene al suo interni tutti i dati di un’organizzazione. Raccoglie e aggrega dati dai sistemi transazionali (TPS) e li organizza in modo tale da essere facilmente utilizzati da strumenti ad hoc particolarmente efficienti nelle interrogazioni, nel calcolo predittivo e nel reporting. Le caratteristiche del data warehouse sono: l’integrità , nel data warehouse devono confluire dati provenienti da più fonti e ciò può comportare difficoltà di normalizzazione di formato, concetti espressi diversamente, unità di misure diverse; l’orientabilità al soggetto , ovvero che un data warehouse deve essere orientato ai temi aziendali specifici ammettendo la ridondanza perché è necessaria per l’orientamento al soggetto. Dev’essere variabile nel tempo e coprire un intervallo di tempo più ampio possibile , inoltre ha la necessità di essere non volatile in quanto non necessita di essere aggiornato in tempo reale, ma ciò che importa è che le informazioni, una volta memorizzate, non cambino. Le fasi di estrazione, trasformazione e caricamento di nuovi dati nel data warehouse sono realizzate da strumenti detti ETL (extract, transform and load). In fase di progettazione vengono individuate le informazioni di interesse, catalogate e correlate alle fonti dati dalle quali verranno estratte e documentate nel loro significato e scopo. Si crea un dizionario dati che costituirà il punto di riferimento per garantire la replicabilità delle estrazioni e l’individuazione nel tempo delle fonti. La fase di estrazione (Extract): Successivamente alla prima estrazione massiva, quando il data warehouse viene popolato per la prima volta, le estrazioni diventano incrementali, ovvero ad intervalli regolari. L’estrazione incrementale preleva solo i dati che sono stati aggiunti/variati nelle fonti alimentati successivamente all’ultima estrazione.
Il data mart è un data warehouse con ambito limitato, contiene informazioni selezionate dal data warehouse in modo da risultare personalizzato per le applicazioni di supporto decisionale di un particolare gruppo di utenti finali. Si sono diffusi nelle piccole e medie imprese e nei reparti delle grandi organizzazioni, dove in passato non era consentito sviluppare appositi data warehouse a causa degli alti costi. Gli OTP o OAP (Online Transiction/Analytical Processing): Interrogare un database significa eseguire operazioni specifiche per l’operatività sui TPS, caratterizzate da semplicità, ripetitività e alta frequenza di esecuzione. Interrogare un data warehouse significa effettuare operazioni OLAP, che sono però complesse e a bassa frequenza di esecuzione. Gli strumenti OLAP consentono agli utenti di analizzare i dati attraverso diverse dimensioni (analisi multidimensionale). I sistemi OLAP classificano i dati in base a misure e dimensioni. Le misure sono i valori o i numeri che l’utente desidera analizzare; le dimensioni forniscono un modo per riepilogare i dati. Per consentire l’analisi dei dati a livelli di minore o maggiore dettaglio, le dimensioni sono organizzate in gerarchie. Il sistema OLAP organizza i dati nei cubi: un cubo OLAP è una struttura di dati che consente l’aggiunta di più dimensioni a una tradizionale tabella bidimensionale. L’analisi dei dati in sottoinsiemi delle dimensioni è definita silcing e dicing (suddivisione a fette e dadini). Il data mining integra il sistema OLAP, in quanto fornisce funzionalità per scoprire relazioni predittive nascoste nei dati. Le applicazioni di data mining possono analizzare grandi quantità di dati al fine di identificare modelli o schemi logici non definibili a priori. I risultati possono essere utilizzati in una query ad hoc. Per aumentare il potere predittivo, gli algoritmi di data mining vengono eseguiti su data warehouse di grandi dimensioni. Una fase importante per l’esecuzione degli algoritmi di data mining è la riduzione dei dati, ossia la riduzione della complessità dei dati da analizzare. Una funzionalità di data mining usata frequentemente è quella orientata all’individuazione di associazioni. Il clustering è il processo che mette insieme record che hanno valori simili come attributi. La classificazione viene utilizzata quando i gruppi sono noti in anticipo ai record in tali classi sono segmentati. In generale, la classificazione adotta una struttura decisionale ad albero per classificare i record. I SISTEMI INFORMATIVI COME SUPPORTO AI PROCESSI AZIENDALI: Tradizionalmente le aziende sono organizzate attorno a 4 aree funzionali: marketing e vendite, supply chain management, contabilità e finanza, risorse umane. La maggior parte dei processi aziendali oltrepassa i limiti delle funzioni aziendali, perciò è utile per i manager pensare in termini di processi aziendali, utilizzando il punto di vista del cliente. Per condurre in modo efficiente i processi aziendali, le diverse aree funzionali devono condividere i dati. I sistemi informativi aziendali integrati sono sistemi che consentono alle aziende di integrare informazioni tra le varie attività dell’intera organizzazione. Anziché memorizzare informazioni in posizioni separate all’interno dell’organizzazione, i sistemi aziendali forniscono un repository centrale comune a tutti gli utenti aziendali. I sistemi informativi possono essere utilizzati per supportare processi aziendali rivolti sia all’interno che all’esterno. I sistemi rivolti all’interno (livello intra-organizzativo) supportano aree funzionali, processi aziendali e decisionali di un’organizzazione. A ogni fase del processo, si aggiunge valore sottoforma di lavoro svolto dalle persone associate al processo, e si generano nuove e utili informazioni. Queste ultime iniziano ad accumularsi al punto di ingresso e scorrono attraverso i vari anelli all’interno dell’organizzazione, avanzando con nuove e utili informazioni aggiunte a ogni fase del percorso. Per realizzare gli obiettivo definiti nei piani strategici, le organizzazioni devono disporre di informazioni aggiornate, precise e integrate, ottenibili proprio attraverso l’integrazione dei sistemi informativi aziendali. I sistemi rivolti all’esterno dell’organizzazione (livello inter-organizzativo) coordinano i processi aziendali con clienti, fornitori, partner e altri che operano al di fuori dei confini di un’organizzazione per facilitare le comunicazioni e le transazioni con tali soggetti. Scopo di tale sistema è quello di semplificare il flusso di informazioni. La condivisione di informazioni tra organizzazioni consente alle aziende di adattarsi più rapidamente a condizioni di mercato che cambiano. I sistemi informativi inter-organizzativi possono aiutare le aziende a trovare modi innovativi per svolgere innumerevoli processi che coinvolgono il cliente finale facendo svolgere alcune attività a quest’ultimo; ciò consente di minimizzare i costi e aumentare la redditività complessiva dell’azienda.
LE APPLICAZIONI PER LE ATTIVITA’ PRIMARIE E DI SUPPORTO: Il flusso informativo attraverso un insieme di attività aziendali è detto catena del valore; le informazioni scorrono attraverso aree funzionali che facilitano le attività interne dell’impresa. Le aree funzionali possono essere suddivise in attività core e di supporto. Le attività core (o primarie) sono aree funzionali all’interno di un’organizzazione che elaborano input e producono output. Le attività di supporto consentono lo svolgimento delle attività core. Esempi di attività core: marketing e vendite, servizio clienti post vendita, la trasformazione che può comprendere attività quali l’elaborazione di ordini o processi di produzione che trasformano materie prime o componenti in prodotti finiti. durante questo processo vengono verificati i livelli delle scorte di magazzino forniti dalla logistica in entrata… Attività di supporto: le attività infrastrutturali le quali la pianificazione e la contabilità finanziaria; lo sviluppo della tecnologia che comprende la progettazione e lo sviluppo di sistemi informativi che supportano le attività aziendali primarie in modo da migliorare prodotti. Può coinvolgere un’ampia gamma di responsabilità, quali la progettazione e lo sviluppo di sistemi informativi personalizzati per soddisfare una particolare esigenza aziendale oppure la selezione e l’acquisto di sistemi già presenti sul mercato; la gestione delle risorse umane ovvero attività associate alla gestione del personale, quali assunzione, addestramento, formazione, gestione di paghe e stipendi. APPLICAZOINI PER I FLUSSI INTERORGANIZZATIVI: Un’azienda può creare valore aggiunto integrando i propri sistemi interni quelli di fornitori, partner e clienti. Per ottenere ciò, le aziende collegano le rispettive catene del valore interne in modo da formare un unico sistema del valore, in cui le informazioni scorrono dalla catena del valore di un’azienda a quelle di un’altra. Il sistema del valore può essere visto come un fiume di informazioni che scorre da una fonte a una destinazione ultima. Un flusso informativo upstream è costituito da informazioni ricevute da un’altra organizzazione, flusso informativo downstream è costituito da informazioni prodotte da un’azienda e inviate a un’altra organizzazione. LA NASCITA DEI SISTEMI INFORMATIVI AZIENDALI MODERNI: I sistemi focalizzati sulle esigenze specifiche di singoli reparti non sono progettati per comunicare con altri sistemi dell’organizzazione e sono perciò indicati come applicazioni autonome o stand alone. Le applicazioni autonome sono eseguite su una varietà di piattaforme hardware, quali mainframe e middleware. Le applicazioni autonome e i computer su cui sono eseguite sono indicati come sistemi legacy. Quando le aziende utilizzano per la prima volta i sistemi informativi per supportare la propria attività, solitamente ogni reparto implementa applicazioni che lo assistono nelle attività quotidiane, ottimizzate per le proprie esigenze specifiche e per il modo in cui il personale di una particolare unità svolge i propri compiti. Questi vecchi sistemi vengono classificati come sistemi legacy, ovvero sistemi che operano entro i limiti di una particolare esigenza aziendale. I sistemi legacy e le relative applicazioni autonome possono causare problemi quando sono richieste informazioni da più sistemi dipartimentali per supportare i processi aziendali e le decisioni.
- La gestione delle relazioni con i clienti (CRM, Customer Relationship Management) è una strategia a livello d’impresa per creare e mantenere, attraverso l’introduzione di sistemi, processi e procedure affidabili, relazioni durature con i clienti concentrandosi sui flussi informativi downstream. Le applicazioni che si focalizzano sui flussi informativi downstream hanno due obiettivi: attirare potenziali clienti e fidelizzare. Per perseguire la soddisfazione dei clienti quale base per ottenere un vantaggio competitivo, le organizzazioni devono essere in grado di accedere a informazioni e di tracciare le interazioni dei dati in tutta l’organizzazione, a prescindere da dove, quando e come si verifichino tali interazioni. Le applicazioni CRM sono comunemente integrate con una completa implementazione ERP per sfruttare informazioni interne ed esterne al fine di servire meglio i clienti.
CRM OPERATIVO: L’ambiente di CRM operativo fornisce tutte le informazioni sui clienti a prescindere dal punto di contratto. Per facilitare la condivisione di informazioni e l’interazione con i clienti, si utilizzano 3 sistemi separati:
- SFA: Sales Forse Automation, il quale indica i sistemi di supporto alle vendite di un’organizzazione; tra cui le azioni che riguardano l’elaborazione e tracciamento degli ordini, la gestione di account e contatti, la gestione delle vendite e la storia dei clienti. Il personale di vendita viene aiutato a utilizzare il proprio tempo in modo più efficiente e a concentrarsi più sulla vendita. L’automazione della forza vendita migliora l’efficacia della funzione di marketing fornendo una migliore comprensione delle condizioni di mercato, dei concorrenti e dei prodotti.
- CSS: Customer Service and Support sono i Sistemi che automatizzano richieste di assistenza, reclami, resi di prodotto e richieste di informazioni. Le organizzazioni utilizzano un centro di interazione con i clienti (CIC, Customer Interaction Center) con canali di comunicazione multipli per supportare le preferenze di comunicazione dei clienti, quali Web, social network, email, contatto diretto, telefono, fax. I sistemi CSS di successo consentono tempi di risposta più rapidi, migliori tassi di risoluzione dei problemi al primo contatto e maggiore produttività del personale di servizio e supporto.
- EMM: Enterprise Marketing Management riguardano la gestione dell’esecuzione della strategia CRM, migliorando la gestione delle campagne di marketing. Molte aziende utilizzano una varietà di canali per raggiungere potenziali clienti. L’uso di strumenti EMM può aiutare a integrare queste campagne in modo da inviare i messaggi giusti alle persone giuste tramite i canali giusti. Allo stesso tempo, gli strumenti EMM forniscono notevoli capacità di analisi che possono aiutare ad analizzare l’efficacia delle campagne di marketing e a indirizzare i lead (potenziali acquirenti) al personale più adatto, in modo da ottenere migliori tassi di conversione CRM ANALITICO: Il CRM analitico si concentra sull’analisi del comportamento e delle percezioni del cliente per fornire le informazioni necessarie per individuare nuove opportunità e fornire un servizio clienti di livello superiore. Le organizzazioni possono personalizzare più facilmente le campagne di marketing a livello di segmento o anche di singolo cliente. Tali campagne personalizzate aiutano ad aumentare il cross selling e l’up selling e a gestire i clienti con informazioni accurate, tempestive e personalizzate. Tra le tecnologie chiave vi sono il data mining, il supporto decisionale e altre tecniche di business intelligence che tentano di creare modelli predittivi di vari attributi dei clienti. Una volta creati questi modelli di reporting e analisi (sia andamentale che predittiva), è possibile distribuirli ai marketing manager utilizzando una varietà di metodi di visualizzazione, tra cui pannelli di controllo digitali e altri strumenti di reportistica. Per sfruttare al massimo il processo di CRM analitico, la raccolta e l’analisi dei dati devono essere continue, in modo che tutte le decisioni riflettano le informazioni più accurate, complete e aggiornate. CRM COLLABORATIVO: Il CRM collaborativo comprende sistemi per supportare comunicazioni efficaci ed efficienti con il cliente. Quest sistemi facilitano la condivisione di informazioni nei vari reparti di un’organizzazione al fine di aumentare la soddisfazione e la fedeltà dei clienti. Integra le informazioni legate a tutti gli aspetti dei processi di marketing, vendite e supporto per migliorare il servizio ai clienti e la loro gestione. Tale sistema offre maggiore orientamento al cliente, minori barriere comunicative e una maggiore integrazione delle informazioni.
