Sicurezza, cloud e open source

Impedire la diffusione incontrollata di dati personali in azienda è sempre più difficile. Le misure da prendere vanno dalla formazione del personale all’organizzazione dei flussi lavorativi, fino alla messa in atto delle giuste metodiche nell’utilizzo delle più recenti tecnologie informatiche.

Gianluca Pomante
Avvocato esperto in tema di Privacy e IT

Il trattamento dei dati personali da parte di un'azienda è tanto più delicato quanto più critica è l'esposizione della sua struttura ai rischi di un attacco, non necessariamente e non solo di natura informatica.
Anzi, il dato tendenziale della sottrazione di dati personali degli ultimi anni evidenzia che è molto più semplice aggirare le misure di sicurezza adottate da un'azienda che forzarle, approfittando dell'anello debole della catena che è solitamente costituito dall'elemento umano o da una fallacia nell'organizzazione dei flussi di lavoro.
Un testo interessantissimo per analizzare il fenomeno del social engineering, inteso come tecnica di manipolazione della controparte finalizzata a provocare reazioni prevedibili, è certamente "L'arte dell'inganno" di Kevin Mitnick, edito da Feltrinelli, che ripercorre alcune imprese di quello che viene considerato uno dei migliori criminali informatici della storia e che è solito affermare, nei meeting a cui partecipa in qualità di relatore, che non ha mai avuto necessità di rubare informazioni, poiché gli è sempre bastato chiederle a chi le deteneva.
Mentre per violare un server di Rete occorre superare una serie di contromisure di natura informatica che costituiscono, ormai, lo standard in qualsiasi realtà che sia anche minimamente strutturata, approfittare dell'ingenuità di un dipendente o di un bene aziendale lasciato incustodito è infinitamente più semplice e, spesso, anche meno rischioso.
Per cercare di ridurre il rischio di subire la sottrazione dei dati da parte di un malintenzionato, una prima riflessione deve essere fatta sulla valutazione periodica dei flussi documentali e di lavoro, prevedendo schemi organizzativi che impediscano, ad esempio, che stampe siano lasciate incustodite in prossimità di una stampante di Rete, che documenti possano essere cestinati senza essere stati preventivamente alterati o distrutti, che un dipendente possa fornire informazioni al telefono, tramite fax o tramite e-mail, a soggetti non identificati o non autorizzati, anche se apparentemente affidabili.

Formazione e informazione
Risulta altresì indispensabile la formazione periodica del personale, anche attraverso il confronto con soggetti esterni che, affrontando la materia della sicurezza a 360 gradi e non solo dal punto di vista informatico, sappiano aprire la mente degli interlocutori, sollecitandoli a non valutare il rischio solo sulla base della loro personale esperienza, spesso vero ostacolo all'adozione di una corretta policy aziendale.
L'attività di formazione e informazione, inoltre, non può essere generalista e attuata unicamente attraverso manualetti aziendali autoprodotti, piattaforme di autoaddestramento e valutazioni periodiche basate su quiz a risposta multipla, poiché il mancato confronto con un interlocutore, l'impossibilità di approfondire argomenti che, pur essendo attinenti a casi concreti della vita aziendale, non sono trattati da chi ha realizzato gli strumenti di formazione e la stratificazione delle nozioni, senza un rapporto diretto con l'evento, impediscono al dipendente di trasferire la pur copiosa esperienza, acquisita in teoria, alla realtà vissuta quotidianamente.
Accade, così, che venga inviato un documento riservato a un numero di fax presso un'azienda esterna, affinché sia consegnato a un dirigente presente per un incontro o addirittura di passaggio - ad esempio, presso un hotel o un ristorante -, senza considerare che la maggior parte dei risponditori telefonici sono, oggi, server che riproducono anche un apparato fax e realizzano un documento in formato pdf di quanto ricevuto.
La scorporazione tra contenuto e supporto cartaceo comporta, solitamente all'insaputa del mittente, che la stampa sarà consegnata all'interessato, ma il file resterà negli archivi del soggetto che l'ha ricevuto, alla portata di chiunque abbia accesso al relativo database.

Incognite del cloud computing
Da qualche anno, sta prendendo piede la memorizzazione remota dei dati e delle applicazioni - meglio nota come cloud omputing - che, apparentemente, ha molti vantaggi ma presenta, anche, un discreto numero di rischi.
Per localizzazione remota delle applicazioni si intende la possibilità di utilizzare un programma senza possederlo, ricorrendo a una versione presente su un server della rete Internet che lo mette a disposizione degli utenti, gratuitamente o dietro pagamento di un canone.
Per memorizzazione remota dei dati si intende la collocazione delle informazioni di cui si dispone su un elaboratore diverso da quello sul quale si lavora, affinché siano sempre disponibili tramite un qualsiasi collegamento a Internet.
Grazie alla crescita dei collegamenti adsl senza limiti di tempo o di traffico (c.d. flat) si sta sempre più diffondendo, tra gli utenti, l'abitudine di utilizzare solo temporaneamente le applicazioni, abbinata alla comodità di poter sempre raggiungere i dati che sono necessari.
Anche le grandi case produttrici di software, come Microsoft e Adobe, hanno rilasciato, negli ultimi anni, applicazioni utilizzabili a consumo, pagando un canone, e sono sempre più diffusi i servizi che permettono di lasciare in Rete i dati, sia per raggiungerli da altre postazioni che per condividerli con dipendenti e collaboratori.
Ne sono un esempio iCloud, ElephantDrive, GoogleDrive, DropBox e il recentissimo Mega.
Uno dei servizi più interessanti è certamente quello di poter mettere in Rete anche file di grandi dimensioni, che sarebbe impossibile inviare tramite posta elettronica, affinché possano essere scaricati dall'interessato, ma è importante conoscere il funzionamento dei servizi che permettono di farlo in forma riservata, grazie alla adozione di tecniche di cifratura affidabili.
Anche in questo caso è opportuno valutare le clausole contrattuali che distinguono, ad esempio, un servizio gratuito da uno a pagamento e che, solitamente, nel secondo caso, comportano una serie di garanzie per l'utente finale.
Eseguito il caricamento (upload) del file sulla piattaforma, si può decidere di condividerlo solo con un soggetto determinato, al quale, tramite sms o posta elettronica, si invieranno il link per il collegamento diretto e la password per scaricarlo (download), che sblocca anche la cifratura.
Un altro servizio interessante è quello che permette di eseguire la memorizzazione remota (backup) dei dati e delle impostazioni presenti su un tablet o su uno smartphone, affinché diversi dispositivi possano essere sincronizzati oppure si possa sostituire un dispositivo smarrito o danneggiato con uno nuovo, semplicemente sincronizzandolo con il server che fornisce il relativo servizio.
Avendo a disposizione un nuovo dispositivo, dopo qualche minuto questo conterrà gli stessi dati del vecchio e sarà possibile procedere alla cancellazione remota del vecchio apparato, rendendolo inutilizzabile se è stato smarrito o rubato ed evitando, così, il rischio di sottrazione o utilizzo illecito dei dati ivi contenuti.
Dal punto di vista della sicurezza dei dati, infatti, tale condivisione delle informazioni espone il titolare del trattamento a evidenti rischi dal punto di vista della sicurezza e della riservatezza.

Servizi irrinunciabili,
privacy a rischio

È inopportuno fidarsi ciecamente di un servizio di cloud computing che, per quanto affidabile, dipende sempre dal funzionamento dei server dell'azienda fornitrice e dalla regolarità dell'erogazione del servizio di banda larga.
Così come è inopportuno, oltre che contrario all'attuale normativa sul trattamento dei dati personali, affidare a un server remoto l'unica copia di quei dati.
Occorre, innanzitutto, prendere visione delle clausole contrattuali che regolano il rapporto e preferire una soluzione, magari più costosa, che garantisca una continuità del servizio pari o superiore al 98%, interventi in assistenza entro la giornata lavorativa successiva alla segnalazione del guasto, continuità dell'alimentazione elettrica e backup automatico dei dati con ridondanza dei server, per avere la certezza di poter ripartire in qualsiasi momento e a seguito di qualsiasi incidente.
I recenti eventi calamitosi che hanno colpito alcune zone del mondo hanno portato al centro dell'attenzione la drammaticità delle settimane successive, con aziende che non avevano subito danni alla loro struttura ma non erano ugualmente in grado di continuare a operare, perché era stata distrutta la server farm alla quale si appoggiavano.
La soluzione ottimale può essere individuata nella copia dei dati dal proprio elaboratore al server remoto, affinché siano sempre sincronizzati e sempre disponibili.
In questo modo, ciascun archivio sarà di supporto all'altro in caso di problemi.
Risulterebbe, peraltro, auspicabile l'esistenza di un terzo archivio, localizzato in una server farm diversa, per preservare i dati da un eventuale attacco informatico all'elaboratore centrale e alla copia locale.
Per quanto riguarda la sicurezza dei dati, occorre anche rilevare che l'attuale complessità dei sistemi operativi, con un numero indefinito di servizi sempre attivi, sta portando l'informatica (se non l'ha già portata) verso un punto di non ritorno, dal quale non sarà più possibile, se non a prezzo di ingenti investimenti per il supporto di personale specializzato, avere il controllo del comportamento della macchina.
Anche su piccoli sistemi, analizzando il traffico dei dati con un programma all'uopo predisposto, è possibile verificare la presenza di un'intensa attività di Rete anche durante le fasi di inutilizzo dei computer, a dimostrazione degli automatismi che caratterizzano determinate funzioni e talune tipologie di servizi.
Il software proprietario aggiunge a tale rischio l'impossibilità di verificare che all'interno del codice vi siano funzioni nascoste e sottrae al titolare del trattamento sia la facoltà di controllare che non vi siano programmi finalizzati alla sottrazione dei dati o alla violazione del sistema, sia quella di decidere se disattivare alcuni servizi inutili per non occupare risorse sempre preziose.

I vantaggi dell'open source
Sarebbe quindi preferibile, se possibile, l'utilizzo di sistemi operativi e programmi applicativi di cui si ha la disponibilità del codice sorgente.
Non è necessario procedere all'acquisto di software open source, mentre è sufficiente chiedere l'apposizione di una clausola contrattuale che preveda la disclosure del codice sorgente per la verifica delle funzioni e l'eventuale ricompilazione alleggerita.
Il software open source può essere una ulteriore scelta aziendale, che permette di far tesoro - oltre che delle capacità maturate dal reparto IT interno, in grado di intervenire direttamente sul codice per implementare e modificare funzioni di programma - anche dell'esperienza di altri utilizzatori e soprattutto di consente poter contare su una comunità di informatici indipendenti che operano costantemente sul codice sorgente, nella realizzazione di funzioni e applicativi anche radicalmente diversi e possono essere consultati come risorsa esterna, stante l'esperienza maturata nel settore.

Pubblica i tuoi commenti