Laboratorio di indagine criminologica appunti

Laboratorio di indagine criminologica

La sicurezza

Che cosa è?

• Da cosa è costituita?
• Chi la realizza?
• Come funziona?

Il concetto di sicurezza non è mai a sé stante, ma è sempre oggettivato (es. sicurezza personale, urbana, aziendale ecc.).

Il concetto di sicurezza è generico ma allo stesso tempo complesso e dobbiamo porre sempre al suo fianco un aggettivo che vada a qualificarlo.

Parleremo della risk analysis, come approcciarsi allo studio di un caso di un’azienda, una ULS, un museo nel momento in cui dobbiamo capire quali sono le esigenze di sicurezza di quel luogo.

NB. Non sempre quello che viene pensato è implementabile, ovvero non sempre è possibile realizzarlo.

Parleremo della figura del security manager.

Premessa: la security aziendale a livello europeo è molto sviluppata, ci sono dei grossi investimenti mentre in Italia no. In Italia manca la cultura della sicurezza e perché le aziende fanno parte della PMI, ovvero della piccola media impresa; stiamo parlando di aziende con massimo 50 dipendenti. Naturalmente ci sono altre realtà come le multinazionali. È chiaro che per realizzare un sistema di sicurezza adeguato, occorre investire in risorse economiche ed umane e questo non è sempre fattibile.

La sicurezza è una cosa che costa!

Naturalmente noi potremmo avere il miglior sistema di sicurezza del mondo ma se non stabiliamo le policy aziendali, quelle procedure che tutti coloro che lavorano nell’azienda dovrebbero conoscere, rispettare, se ciò non accade, è come avere una cassaforte blindata e lasciare le chiavi in bella vista.

Anche il fattore umano deve essere integrato alla sicurezza fisica ed elettronica.

Quando ci sentiamo sicuri?

• Quando non abbiamo nulla da temere. Questo aspetto crea un’interiore conseguenza: se io non ho nulla da temere, significa che ho il controllo sulla situazione, significa quindi che ho tutti gli strumenti utili per poter affrontare un evento negativo.

La sicurezza assoluta è irraggiungibile, è un’idea utopistica. Possiamo tendere alla massima sicurezza ma non potremmo mai raggiungerla perché ci sono talmente tante variabili esogene, endogene, che noi non possiamo tenere tutte sotto controllo.

1

Si è insicuri quando si percepisce una minaccia e quando non si hanno gli strumenti per poter reagire negativamente.

Perché se io ho paura, è più difficile che io venga colpito da una minaccia?

Perché le persone che hanno paura mettono in atto le strategie di evitamento; es. io so di essere vulnerabile allora cerco di evitare certi luoghi, certi orari ecc.

Quali sono le categorie di persone che sono maggiormente soggette ad attacchi?

A livello di statistica le categorie meno a rischio sono donne, bambini ed anziani.

Le donne e i bambini, proprio perché mettono in atto queste strategie di evitamento, sono meno a rischio rispetto agli uomini tra i 16-50 anni perché mettono in atto meno strategie di evitamento.

Chi corre maggiori rischi?

• Le forze dell’ordine.

Tipologie di sicurezza

• Fisica
• Logica
• Aziendale/Commerciale
• Istituzionale/Governativa
• Domestica

Da che cosa è costituita?

• Cancelli, porte, grate, casseforti
• Guardie, cani, armi
• Sensori, rivelatori

I quattro comparti più utilizzati

• Controllo accessi: rilevamento biometrico (es. impronte digitali, rilevamento facciale)
• TVCC (televisione a circuito chiuso)
• Antintrusione
• Antincendio
• Metodo più sicuro

Oggi lo scopo è quello di proteggere i dati perché con la dematerializzazione dei dati cartacei della situazione con applicativi on-line, li rendono più a rischio perché più elevato è il sistema tecnologico di archiviazione del trattamento dei dati, più è facile trovare delle strade per attaccare il sistema.

2

La parola d’ordine deve essere prevenzione, fare in modo che l’evento non si verifichi.

Chi realizza la sicurezza?

• Servizi governativi, militari, forze di polizia
• Analisti del crimine
• Produttori di sistemi di sicurezza, installatori

La sicurezza necessita di una teoria

Accademica

• Insegnabile e comprensibile
• Ragionamenti a livello generale e particolare
• Sempre verificabile (errore rintracciabile)

Universale

• Deve valere per tutti i problemi possibili, a qualunque livello

Applicabile ai casi concreti

• Deve essere immediatamente traducibile in operatività

Necessità di un modello

• Ai fini della impostazione e dimostrazione della teoria
• Ai fini del ragionamento
• Ai fini dell’applicabilità

Un possibile approccio

• Definizione del concetto di sicurezza
• Individuazione delle sue componenti fondamentali e delle loro relazioni
• Formulazione di un modello
• Formulazione di una metodologia
• Verifica dell’applicabilità al caso concreto

3

1. L'essere sicuro, esente da pericolo, ovvero, quella condizione di persona o cosa che non ha niente da temere (condizione utopistica).
2. L'integrità dell'ordine collettivo e dell'incolumità dei cittadini, garantita dall'organizzazione statale (sicurezza pubblica).
3. L'insieme delle misure adottate per prevenire furti, attacchi, sabotaggi (sicurezza operativa).

Concetto di sicurezza

La sicurezza richiama immagini e situazioni positive:

• Tranquillità
• Contesto di fiducia
• Organizzato

Timore per una situazione negativa:

• Preoccupazione
• Clima di sospetto
• Disorganizzato

Paesi di lingua anglosassone: termini distinti:

• Safety
• Security

Safety

Misure protettive che un ente, pubblico o privato, intraprende per difendersi da fatti naturali, da errori umani o da guasti tecnologici.

La protezione di persone o cose da eventi di natura accidentale o causale, es. incendio o qualsiasi calamità naturale.

La safety è regolata da leggi nazionali, europee e internazionali:

• UNI: Ente nazionale italiano di unificazione
• CEN: Comité européen de normalisation
• ISO: International Organization for Standardization

4

Safety

Misure protettive che un ente, pubblico o privato, intraprende per difendersi da fatti naturali, da errori umani o da guasti tecnologici.

La protezione di persone o cose da eventi di natura accidentale o causale.

Security

Dedicata alla protezione di beni tangibili e non tangibili, da eventi criminosi volti a danneggiare esplicitamente l’ente o l'azienda.

Proteggere impegni da delle minacce, quindi tutto ciò che può produrre un danno.

Norme autonome? Non esistono delle vere e proprie normative che pongono di installare dei sistemi di security anche se ci sono delle normative europee che prevedono quali sono gli standard di sicurezza che ogni strumento, tecnologia deve avere.

Norma di security (UNI 10459/2015)

La prima versione è stata redatta nel 1995 e dopo 10 anni è stata rinnovata inserendo le cosiddette figure professionali che lavorano nell’ambito della security. All’interno di questa norma è stata introdotta una definizione di security molto ampia: “Attività volta a prevenire, fronteggiare e superare gli eventi che possono verificarsi a seguito di azioni in prevalenza illecite e che espongono le persone e i beni, materiali ed immateriali, dell’Organizzazione a potenziali effetti lesivi e/o dannosi”.

In ogni definizione di sicurezza è sempre più presente l’aspetto della prevenzione, ovvero se noi arriviamo solo a contrastare il fenomeno, significa che il fenomeno si è già verificato e come minimo ha prodotto un danno.

Lo scopo della sicurezza è quello di non far accadere nulla al bene che vogliamo proteggere, o quantomeno limitare, ridurre al minimo le possibilità che accada un evento negativo.

Sicurezza operativa (sicurezza come attività)

Insieme delle misure adottate per prevenire tutte le forme di attacco.

Questa è operativa perché abbiamo bisogno di individuare:

• Strumenti: intelligence, persone, strutture, sistemi tecnologici, procedure, controlli.

Intelligence: saper reperire o intercettare dell’informazione e saperle poi utilizzare per il proprio scopo.

5

• Funzioni: prevenzione, protezione, deterrenza, rivelazione, allarme, risposta. Rendere meno attraenti i beni che voglio proteggere.
• Principi: elusione, dissuasione, riduzione di opportunità, divieto, ritardo, difesa.

I principi sono una diretta conseguenza dei due fattori precedenti, voglio impedire che si verifichino degli eventi negativi, voglio dissuadere l’attaccante a colpire proprio la mia azienda.

In criminologia c’è proprio una corrente teorica che si chiama teoria della riduzione delle opportunità criminali che banalmente si può rifare al detto “l’occasione fa l’uomo ladro”, significa cioè che se io do un’opportunità ghiotta a qualcuno di bucare il mio sistema informatico, probabilmente quel qualcuno coglierà l’opportunità (vedo una vulnerabilità e la sfrutto).

Questa teoria dice che in ogni ambiente, in ogni contesto il crimine avviene quando sono presenti tre elementi:

1. Un autore motivato.
2. Un’opportunità.
3. Un controllo carente.

Esempio: vedo una signora anziana, voglio rubarle la borsa, l’ambiente non è controllato, c’è una carenza di forze dell’ordine nei paraggi, questi elementi favoriscono lo scippo.

In questo caso si attua un calcolo costi-benefici, ovvero il gioco deve valere la candela; togliere, eliminare le opportunità criminali rappresenta un elemento di vitale importanza.

Quando nasce l’esigenza di attuare politiche di security da parte di aziende, enti ecc.?

Possiamo racchiudere le motivazioni principali per le quali security nasce anche a livello aziendale organizzativo in questi tre punti:

1. Rispetto requisiti riservatezza imposti dallo stato: preservare le informazioni, soprattutto preservare l’integrità dei lavoratori, il lavoratore non deve essere soggetto né ad attacchi fisici, né ad attacchi che vanno a violare la privacy.
2. Tutela fisica dei beni dell’impresa: bisogna proteggere i beni che sono presenti all’interno dell’azienda e quindi anche l’incolumità fisica dei lavoratori.
3. Incolumità fisica titolari e lavoratori impresa.

La security ha conosciuto l’evoluzione a partire da metà degli anni 50. In particolare negli anni 50-60 si sente l’esigenza di un management della sicurezza all’interno dell’azienda. Siamo negli anni in netta contrapposizione tra est ed ovest, la guerra fredda, dove c’era molto spionaggio industriale.

La security si impone quindi come una panacea per difendere i segreti industriali dallo spionaggio. Si trattava di un problema di difesa nazionale, tra Stati Uniti e Russia.

Gli anni 70, non solo a livello nazionale, ma anche a livello internazionale, sono stati anni molto caldi per vari motivi:

• Aumento della conflittualità sociale.
• Terrorismo nazionale e internazionale.

6

• Sequestri di persone.

Sono stati famosi anni di piombo dove si percepivano perlopiù rischi di natura fisica, come attentati.

Il terrorismo nasce proprio in Italia all’interno di alcune aziende, dove frange di lavoratori si sono radicalizzate e hanno iniziato, per ottenere dei miglioramenti lavorativi e altri aspetti, a commettere degli atti eversivi.

Conservazione del patrimonio aziendale. Chi aveva il dovere di attuare delle misure per contrastare il problema, non aveva la cultura della prevenzione ma tendeva solamente a reagire.

Negli anni 80 inizia un periodo di svolta perché il mercato alla fine degli anni 70 viene immessa la figura del personal computer e quindi inizia un’evoluzione tecnologica che porta delle innovazioni: tant’è che il rischio percepito non è più fisico ma si teme il rischio logico, ovvero la possibilità che qualcuno, attraverso la tecnologia rubi delle informazioni.

Per la prima volta si inizia a capire che non è necessario solo reagire ma anche mettere in atto degli elementi di prevenzione.

Si inizia a difendere anche i beni immateriali: importanza delle procedure di sicurezza.

Negli anni 90 abbiamo il fenomeno della globalizzazione, ovvero l’abbattimento degli Stati nazionali, delle barriere ecc. e vi è la visione di una interconnessione a livello politico, economico e planetario.

C’è una accentuazione della competitività anche tra le aziende: non dovevano più essere in competizione con le aziende italiane ma con le aziende di tutto il mondo e questo porta a doversi preservare e avere un nuovo approccio strategico alla sicurezza. Bisogna analizzare sempre più variabili che potrebbero mettere in discussione la nostra sicurezza.

Si parla quindi di tutela di tutte le risorse, materiali, immateriali, umane, non umane letterali; si inizia a pensare anche alle cosiddette ricadute sociali della sicurezza, cioè si inizia a capire che se un’azienda viene attaccata molto spesso, in pericolo non è solo l’azienda ma anche il luogo in cui sorge l’azienda, la zona specifica.

Nasce quindi lo strumento della security policy, il fatto di dover attuare strategie, prevenire e mettere in atto sicurezze quasi scientifiche che siano sempre le stesse, adeguate al contesto e quindi delle governance a livello di sicurezza.

Oggi a che punto siamo?

È chiaro che più va avanti il progresso tecnologico e più, paradossalmente, aumentano i rischi che dobbiamo tenere in considerazione.

Oggi hanno importanza strumenti di intelligence e di security audit.

Security audit: interrogare costantemente il nostro sistema di sicurezza per verificarne il funzionamento, per controllare se ha bisogno di integrazioni. Si tratta di monitoraggio, ovvero stabilisco la mia politica di sicurezza e periodicamente la controllo se è in grado di far fronte a determinate minacce.

7

Esigenze di security

La creazione della ricchezza e il benessere hanno come contraltare la diffusione del rischio criminalità. Se la ricchezza e i beni non apparissero così diffusi, non vi sarebbero occasioni e opportunità per i reati.

Si parla di sicurezza quando ci sono dei presupposti necessari:

1. Esistenza di un bene, che appartiene ad un titolare e che il titolare abbia nei confronti del bene una volontà di protezione.

Qual è l’elemento che può distruggere, attaccare o modificare il nostro bene?

È la minaccia. Comportamento intenzionale: quando mette in atto una minaccia voglio sicuramente modificare il bene.

Senza un bene del quale mi importa, non ci sarà sicurezza.

Cosa vogliamo che non venga compromesso?

Vogliamo che il nostro bene rimanga integro. Che sia a noi sempre disponibile, io devo poter accedere al mio bene ogni volta che ne ho bisogno o voglia. Soprattutto la privatezza del bene, cioè non voglio che altri, attraverso quel bene, possano conoscere delle informazioni personali.

Volontà di protezione: su quali principi si basa?

• Integrità del bene
• Privatezza del bene
• Disponibilità del bene

Sicurezza: altri fattori

• Protezione = capacità di evitare modifiche indesiderate allo stato del bene in presenza del verificarsi di un incidente: prevenzione.
• Contrasto = tentativo di ostacolare e/o impedire l’incidente: ostacolare.

Contesto di sicurezza

S = f(B,M,P)

• S: Sicurezza
• B: Bene
• M: Minaccia
• P: Protezione

La sicurezza è in funzione del bene, della minaccia e della protezione.

8

Affinché ci sia un problema di sicurezza, occorre sempre che ci siano compresenti un bene, la sua volontà di protezione e un evento che minacci il nostro bene.

Se uno di questi elementi viene a mancare, decade la formula.

Definizione dei principali fattori nel contesto di sicurezza

• Bene = oggetto della protezione
• Valore = ciò per cui il bene è considerato tale (integrità, disponibilità, privatezza) dal titolare ma anche dalla minaccia
• Sicurezza = oggettiva condizione di assenza di pericolo
• Pericolo = condizione che compromette la sicurezza
• Minaccia = entità potenzialmente capace di produrre deliberatamente un danno al bene
• Vulnerabilità = punti deboli del bene
• Rischio = eventualità di subire un danno
• Danno = alterazione indesiderata allo stato del bene.

Differenza tra rischio e minaccia

• Rischio: è un calcolo sulle probabilità di avvenimento.
• Minaccia: entità che potenzialmente può produrre un danno.

In base alla minaccia, io vado a calcolare il rischio. Ci deve sempre essere una minaccia affinché io possa calcolare il rischio che la minaccia possa colpire il bene.

La vulnerabilità, nel nostro contesto di sicurezza, dovremmo garantire che non vi sono delle vulnerabilità al sistema che andremo a creare perché presentare delle vulnerabilità al sistema di sicurezza è come non farlo funzionare. Molto spesso le vulnerabilità sono involontarie, sono errori del sistema.

La vulnerabilità richiama il concetto di opportunità criminale.

Sistema di sicurezza: definizione

È una razionale combinazione di protezione fisica e protezione elettronica di uno o più beni nei confronti di potenziali rischi.

Sistemi di sicurezza: tipologie

• Domestico
• Commerciale
• Industriale
• Bancario
• Governativo

È chiaro che la tipologia dei sistemi di sicurezza cambia in base ai nostri scopi e che cosa devo