Siamo sempre più consapevoli della vulnerabilità delle infrastrutture (sistemi idrici, compagnie di telecomunicazioni, banche, reti elettriche, sistemi sanitari, ecc.) a tutti i tipi di attacchi informatici. Secondo McAfee, la criminalità informatica è aumentata del 53% nel 2008. Nell'aprile del 2010, i clienti di Optus, i loro provider di servizi Internet e un ampio gruppo di importanti clienti aziendali hanno subito un degrado del traffico a seguito di un attacco DDoS proveniente dalla Cina. Secondo Gartner e McAfee, il furto di proprietà intellettuale nel 2009 è stato stimato intorno a un trilione di dollari. Gli attacchi di rete colpiscono l'infrastruttura in tutta la rete, danneggiando i router, modificando le tabelle di routing, sovraccaricando i server DNS, causando guasti ai server di posta elettronica, avvelenando le cache ARP e DNS e così via.


Elementi di analisi del rischio:
una vulnerabilità è una debolezza o un difetto/bug in un sistema che può essere sfruttato per comprometterlo o attaccarlo. Le minacce sono un insieme di circostanze o agenti che hanno il potenziale di causare perdite o danni a un sistema sfruttando le vulnerabilità esistenti. Gli attacchi prendono di mira servizi di sicurezza chiave come la riservatezza (crittografia, privacy, anonimato/steganografia), l'integrità (firme digitali convenzionali e cieche, hash, indirizzi MAC) e la disponibilità (backup, siti hot/cold, ridondanza), noti collettivamente come CIA/Riservatezza-Integrità-Disponibilità. Gli attacchi prendono di mira anche obiettivi di sicurezza come l'autenticazione (utilizzando attacchi man-in-the-middle e spoofing di identità/indirizzo), l'identificazione, l'autorizzazione, la non ripudiabilità, la responsabilità/registrazione/audit, ecc. Le minacce sfruttano le vulnerabilità e possono essere accidentali (errore umano involontario) o dolose (virus). I controlli (misure di salvaguardia, contromisure, elementi di protezione o misure di sicurezza) sono meccanismi o procedure per mitigare le vulnerabilità (utilizzando le tre direzioni di prevenzione, rilevamento e ripristino, e talvolta anche di deterrenza). È fondamentale essere consapevoli dei costi e della portata dei controlli. Inoltre, i controlli sono soggetti ad analisi di vulnerabilità e minacce. Ad esempio, un programma antivirus obsoleto rappresenta un pericolo significativo (a causa dell'ignoranza, della negligenza o dell'intento malevolo dell'utente, oppure perché il produttore dell'antivirus non consente aggiornamenti manuali, optando invece per aggiornamenti automatici, ad esempio tramite cloud).

Un asset completamente isolato (un server senza connessione di rete) è sicuro ma non utile; pertanto, è necessario stabilire un compromesso tra sicurezza e disponibilità. Allo stesso modo, non si dovrebbero impiegare risorse per proteggere entità prive di valore rilevante. Il controllo dovrebbe essere sufficientemente efficace da scoraggiare un aggressore, ma non assolutamente perfetto per ragioni di costo. Il rischio è la probabilità che una specifica minaccia sfrutti una specifica vulnerabilità; non vi è mai certezza assoluta. Esempi di asset critici includono persone, hardware/software, dati, documentazione, impianti fisici, ecc. L'impatto del rischio è la perdita associata allo sfruttamento. Pertanto, è necessario comprendere sistematicamente i rischi di un sistema e decidere come controllarli. L'analisi del rischio è il processo di identificazione, valutazione e riduzione dei rischi a un livello accettabile. Definisce e controlla minacce e vulnerabilità e implementa misure di riduzione del rischio. L'analisi del rischio è una disciplina composta da tre parti: (i) Valutazione del rischio: determinazione dei rischi esistenti. (ii) Gestione del rischio: valutazione delle alternative per mitigare il rischio. (iii) Comunicazione del rischio. Il documento presenta i risultati di cui sopra in modo comprensibile ai responsabili delle decisioni, non solo ai responsabili della sicurezza ma, soprattutto, ai leader aziendali che in ultima analisi sono responsabili di ciò che desiderano nelle loro organizzazioni. Per organizzare il processo di analisi del rischio, è necessario considerare risorse, vulnerabilità e minacce. Il rischio è una funzione di risorse, vulnerabilità e minacce: (rischio) = (risorse) x (minacce) x (vulnerabilità). Durante l'analisi del rischio, vengono assegnati valori ad risorse, vulnerabilità e minacce. La struttura di base dell'analisi del rischio è: (1) Valutazione. Valutare le risorse informative e informatiche. Determinare le vulnerabilità del sistema. Considerare le minacce provenienti dall'interno e dall'esterno dell'organizzazione. Dare priorità ai rischi. (2) Esame. Verificare la disponibilità di contromisure di sicurezza, valutarne l'efficacia e determinarne i costi (installazione, licenze nascoste, funzionamento, aggiornamenti, ecc.). (3) Implementazione e monitoraggio. Tra coloro che dovrebbero essere coinvolti in questo processo figurano: esperti di sicurezza, esperti interni del settore (coloro che meglio comprendono il funzionamento effettivo delle cose), manager responsabili dell'implementazione dei controlli, avvocati e leader aziendali/organizzativi. L'identificazione delle risorse (o individui/entità/oggetti/cose di valore) può includere persone, risorse fisiche (come edifici, reti e computer) e risorse logiche (come reputazione, proprietà intellettuale, conformità legale e software). Nell'affrontare il rischio, sono possibili diversi approcci, tra cui: (i) Evitare il rischio implementando un controllo o modificando la progettazione. (ii) Trasferire il rischio modificando la progettazione per introdurre un rischio diverso o assumendo una compagnia assicurativa. (iii) Accettare il rischio. Ciò implica rilevare e ripristinare il rischio stabilendo un piano rigoroso in caso di attacco (ad esempio, utilizzando infrastrutture tolleranti ai guasti, failover, alta disponibilità, ridondanza, backup, siti freddi o siti caldi).

Identification2.tiffpTipi di analisi del rischio

Nell'ambito dell'analisi del rischio si possono individuare due approcci: (1) Analisi quantitativa. Questa assegna valori numerici reali ai costi delle misure di sicurezza e ai potenziali danni. In questo caso, vengono definiti l'Esposizione di Perdita Annuale (ALE), la Dichiarazione di Rischio di Lesione (ROSI) e la probabilità che si verifichi un evento. Questo approccio può risultare impreciso e inaffidabile. Le fasi di questo tipo di analisi sono: (i) Identificare e valutare le risorse. (ii) Determinare le vulnerabilità e il loro impatto. (iii) Stimare la probabilità di sfruttamento. (iv) Calcolare l'ALE. (v) Riepilogare i controlli applicabili e i relativi costi. (vi) Proiettare i risparmi annuali derivanti dai controlli. L'esposizione al rischio (o perdita attesa) è il prodotto dell'impatto del rischio moltiplicato per la probabilità del rischio. Ad esempio, nel caso della perdita di un server, l'impatto del rischio è il costo di sostituzione del server, ad esempio 17.000 €, e la probabilità di perdita è, ad esempio, 0,10. Ciò si traduce in un'esposizione al rischio di 17.000 x 0,10 = 1.700. L'esposizione complessiva misurata su base annua è l'ALE. In questo tipo di analisi, dovrebbe essere eseguita un'analisi costi-benefici dei controlli.

Il rischio influenza la valutazione del valore di un controllo. Una misura utile è il rapporto: (esposizione al rischio prima dell'implementazione del controllo) meno (esposizione al rischio dopo l'implementazione del controllo) diviso per (il costo del controllo). (2) Analisi qualitativa. Questa valuta il rischio relativo dell'organizzazione rispetto alle minacce. Si basa su giudizio, intuizione ed esperienza. Classifica la gravità delle minacce in base alla sensibilità delle risorse. È soggettiva e manca di dati numerici per giustificare il ritorno sull'investimento. Le fasi dell'analisi qualitativa del rischio sono: (i) Identificare l'ambito. Definire il problema. (ii) Creare un team. Includere esperti competenti in materia, manager incaricati dell'implementazione e utenti. (iii) Identificare le minacce. Selezionare da elenchi di minacce note. Ideare nuove minacce, combinando minacce e vulnerabilità. (iv) Dare priorità alle minacce per ogni risorsa. Identificare la probabilità di accadimento. Definire un livello di minaccia fisso, ad esempio, da basso (valore 1) ad alto (valore 5). Assegnare un valore a ciascuna minaccia. Questa è un'approssimazione della probabilità di rischio derivante dall'approccio quantitativo. (v) Impatto della perdita. Per ogni minaccia, determinare l'impatto della perdita. Viene definita una classificazione fissa, ad esempio, da basso (valore 1) ad alto (valore 5). Questa viene utilizzata per dare priorità al danno alle risorse dovuto alla minaccia. (vi) Impatto totale o fattore di rischio. Questa è la somma della priorità della minaccia e della priorità dell'impatto. Ad esempio, per la minaccia di furto, se la priorità della minaccia è 2 e la priorità dell'impatto è 3, il fattore di rischio è 5; per la minaccia di incendio, se la priorità della minaccia è 3 e la priorità dell'impatto è 5, il fattore di rischio è 8; per la minaccia di alluvione, se la priorità della minaccia è 2 e la priorità dell'impatto è 5, il fattore di rischio è 7. (vii) Identificare controlli/misure di sicurezza. Viene stabilito un insieme iniziale di potenziali controlli. I controlli sono associati a ciascuna minaccia. Iniziare con i rischi con la priorità più alta. (viii) Vengono eseguite analisi costi-benefici. Questa fase può essere iterata con la fase 6. (ix) Classificare i controlli: valutare le misure di sicurezza. Sono ordinate in base al fattore di rischio. Ad esempio, per una minaccia di incendio, se il fattore di rischio è 8, una possibile misura di sicurezza è un sistema antincendio e il costo della misura di sicurezza è di 18.000 €. Per una minaccia di alluvione o uragano, se il fattore di rischio è 7, una possibile misura di sicurezza è un piano di continuità operativa e il costo della misura di sicurezza è di 87.000 €. (x) Comunicare i risultati. Questa fase si conclude con una relazione scritta che viene presentata a tutti i membri sotto forma di riunioni specifiche in base al livello gerarchico degli individui all'interno dell'organizzazione. La riunione con i manager non è la stessa della riunione con i dipendenti di livello inferiore.


Identification3.tiffpConsiderazioni finali
Il nostro gruppo di ricerca opera da oltre vent'anni nel campo dell'analisi del rischio a livello globale, in tutti i tipi di organizzazioni e scenari in cui è necessario proteggere adeguatamente informazioni e conoscenze, dai sistemi embedded alle grandi organizzazioni con implementazioni di rete Web/Web 2.0 e infrastrutture di virtualizzazione e cloud.

Questo articolo fa parte delle attività svolte nell'ambito del progetto LEFIS-APTICE (finanziato da Socrates, Commissione europea).

Bibliografia

- Areitio, J. “Sicurezza delle informazioni: reti, informatica e sistemi informativi”. Cengage Learning-Paraninfo. 2010.
- Areitio, J. “Analisi della vulnerabilità delle informazioni”. Rivista Conectrónica. N. 131. Ottobre 2009.
- Areitio, J. “Test di sicurezza per valutare e migliorare il livello di rischio per la sicurezza”. Rivista Conectrónica. N. 134. Febbraio 2010.
- Norman, TL “Analisi del rischio e selezione delle contromisure di sicurezza”. CRC Press. 2009.
- Kelsey, T. “Spazi dei social network: da Facebook a Twitter e tutto ciò che c'è in mezzo”. Apress. 2010.
- Zittrain, J. “Il futuro di Internet e come fermarlo”. Yale University Press. 2009.
- Solove, DJ “Comprendere la privacy”. Harvard University Press. 2010.
- Wacks, R. “Privacy: A Very Short Introduction”. Oxford University Press. 2010.
- Nissenbaum, H. “Privacy in Context: Technology, Policy and the Integrity of Social Life.” Stanford Law Books. 2009.
- Schneier, B. “Secrets and Lies: Digital Security in a Networked World.” Wiley. 2004.
- O'Harrow, R. “No Place to Hide.” Free Press. 2006.
- Solove, DJ “The Digital Person: Technology and Privacy in the Information Age”. NYU Press. 2006.
- Solove, DJ e Schwartz, P. “Information Privacy Law”. Aspen Publishers, Inc. 2008.
- Solove, DJ e Schwartz, P. “Privacy and the Media.” Aspen Publishers, Inc. 2008.
- Schwartz, P. e Solove, DJ “Information Privacy: Statutes and Regulations.” Aspen Publishers, Inc. 2008.
- Benkler, Y. “La ricchezza delle reti: come la produzione sociale trasforma i mercati e la libertà”. Università di Yale. 2007.
- Mather, T., Kmaraswamy, S. e Latif, S. “Sicurezza e privacy nel cloud: una prospettiva aziendale su rischi e conformità”. O'Reilly Media. 2009.
- Solove, DJ e Schwartz, P. “Privacy, informazione e tecnologia”. Aspen Publishers, Inc. 2008.

Autore:

Prof. Dr. Javier Areitio Bertolín – E.Mail: Questo indirizzo email è protetto dagli spambot. È necessario abilitare JavaScript per visualizzarlo.
Professore presso la Facoltà di Ingegneria.
Direttore del Gruppo di Ricerca su Reti e Sistemi presso l'Università di Deusto.

Maggiori informazioni o un preventivo