Nuovo elaborato Sicurezza dei sistemi informatici

Sicurezza dei sistemi informatici

Cosa si intende per servizi di sicurezza e quali sono le categorie dei servizi di sicurezza?

I servizi di sicurezza sono l’insieme dei sistemi e delle procedure utilizzati per la protezione dei sistemi informatici. Secondo quanto previsto dallo standard di conformità ISO 27001, per la protezione dei sistemi informativi devono essere garantite l’integrità, la riservatezza e la disponibilità dei dati sensibili.

I meccanismi di sicurezza sono riconducibili a cinque categorie:

• Autenticazione: consente di verificare che chi accede al servizio è chi dice di essere. Chiaramente l’uso di password, in rete, espone l’utente a possibili intercettazioni e conseguente uso malevolo di tale informazione. A tale proposito, per un accesso sicuro, è necessario l’uso di procedure di “strong authentication” che si basano su algoritmi di crittografia. I metodi più diffusi sono le password, i certificati digitali, i token fisici, le smart card e i dispositivi biometrici.
• Controllo degli accessi: questa funzionalità viene gestita a livello di firmware (sistema operativo) e software (all’interno del sistema informativo). A livello di firmware viene gestita dal sistema operativo per bloccare l’accesso e/o fornire l’autorizzazione in lettura, scrittura ed esecuzione di processi e/o file. Il controllo degli accessi viene fornito dal firewall, che decide quali dispositivi far transitare e quindi quali comandi permettere verso i programmi (scrittura e/o lettura dei dati). Il controllo degli accessi viene garantito anche a livello di strutture dati (database) ovvero le autorizzazioni sia per gli accessi come amministratore che come utente (o procedure che accedono al DB). Anche in questo caso, in funzione del livello di sicurezza previsto, sono consigliate procedure di autenticazione forte attraverso sistemi di autenticazione con crittografia.
• Segretezza dei dati / riservatezza: viene garantito, attraverso questa proprietà, che le informazioni estratte in rete, siano protette con crittografia dei dati. Tale protezione riguarda i dati in modalità connessa e non connessa, e si applica sia all’archiviazione sia alla comunicazione delle informazioni.
• Integrità dei dati: i dati dalla sorgente alla destinazione non devono subire modificazioni da parte di terze parti che dovessero intervenire esternamente al processo. Un esempio è la ricezione di codici di controllo per intercettare eventuali notifiche durante il ciclo di vita dell’informazione.
• Non ripudiabilità: viene garantito che le parti che scambiano informazioni non possano negare di averlo fatto. Questa garanzia può essere gestita attraverso l’uso di firma digitale. Un chiaro esempio di tale categoria di sicurezza è la PEC.

Descrivere la crittografia evidenziando in particolare le differenze tra crittografia simmetrica e asimmetrica

Data l’immensa mole di dati, spesso sensibili, che in ogni istante attraversa la rete nel mondo dell’Information Technology, si è reso necessario realizzare complessi sistemi informatici e di rete per garantire che, senza una chiave di lettura valida, non possa essere decodificato da terzi il messaggio originario scambiato fra due interlocutori.

La crittografia è un sistema di comunicazione cifrata che, mediante un algoritmo matematico, trasforma una sequenza di caratteri in un testo chiaro, attraverso sistemi di chiavi segrete (pubbliche e private) che consentono di cifrare e decifrare il testo stesso. In base al genere di chiave utilizzato esistono due tipologie di crittografia informatica:

• Crittografia o cifratura simmetrica (convenzionale o a chiave unica): è la più usata e prevede l’uso di una chiave singola, uguale per il mittente e per il destinatario.