Download ViriliSicurezzaInformazione.pdf

Contents : La sicurezza dell'informazione nelle organizzazioni interconnesse Francesco Virili 1 Introduzione La gestione della sicurezza non un fatto nuovo per chi si occupa di sistemi informativi ma in tempi recenti essa ha cominciato ad assumere complessit e rilevanza crescenti. Uno dei fattori che ha certamente contribuito ad accrescere la complessit e i costi della sicurezza dell'informazione l'enorme diffusione dei sistemi connessi alle cosiddette "unbounded networks" (Internet). Il fatto di essere permanentemente collegati a un sistema di reti geografiche di portata globale rende le probabilit di essere oggetto di attacco dall'esterno molto concrete tanto da giustificare affermazioni come quella che segue: Nonostante gli sforzi degli esperti di sicurezza nessuna misura pu garantire che un sistema connesso ad una 'unbounded network' sar invulnerabile agli attacchi. La disciplina della 'Survivability' pu aiutare a garantire che questi sistemi possano continuare a fornire i servizi essenziali e mantenere propriet primarie come integrit confidenzialit e performance nonostante la presenza di intrusioni (Tradotto da ELLISON FISHER LINGER LIPSON LONGSTAFF MEAD 1999 pag. 1). L'affermazione qui riportata conclude una breve analisi sulla vulnerabilit delle istituzioni finanziarie on line riportata in (VIRILI 2001) a cui rinviamo il lettore interessato ad ulteriori approfondimenti su questo tema. Appare comunque evidente come la connessione ad Internet accresca gli aspetti di rischio e possa presentare anche particolari implicazioni dal punto di vista dell'organizzazione della funzione sicurezza come vedremo nelle prossime sezioni. Un altro aspetto molto importante che tende ad accrescere la complessit attuale della gestione della sicurezza rispetto al passato rappresentato dallo scenario economico e politico internazionale che la guerra globale al terrorismo innescata dagli attentati dell'11 settembre 2001 sta correntemente delineando. Per molte organizzazioni specie in Europa non esiste un rischio diretto e concreto di attentati terroristici che ne metta direttamente a repentaglio le risorse e la capacit di business. Esiste per un'importante componente sistemica nel rischio di attentati terroristici che pu produrre conseguenze simili a quelle del temuto e ormai dimenticato "millennium bug". L'esistenza di forti interdipendenze a livello globale tra le organizzazioni di tutto il mondo fa s che la paralisi di alcune di esse possa danneggiare indirettamente anche coloro che si trovano in relazione di business con i soggetti colpiti con un effetto domino che si pu propagare molto rapidamente fino a generare ripercussioni negative a livello di sistema. Tali effetti sono spesso destinati ad essere ulteriormente aggravati e amplificati dal gioco delle aspettative nei mercati finanziari. La difesa rispetto a questo tipo di rischi sistemici aggiunge dunque un ulteriore elemento di complessit alla gestione della sicurezza dell'informazione. Non possiamo dunque attribuire esclusivamente a fattori emotivi e passeggeri la generale crescita dell'attenzione per tutti gli aspetti della sicurezza anche in realt in cui il rischio di attentati terroristici rimane estremamente basso. Oggi dunque pi difficile e pi importante di ieri garantire con mezzi adeguati la sopravvivenza dell'organizzazione. Accanto ai consueti rischi per eventi colposi imprevisti o catastrofici come incendi o allagamenti e alle minacce di intrusioni "fisiche" come quelle per furto e sabotaggio necessario oggi fronteggiare le intrusioni "virtuali" provenienti dalla rete Internet e le incertezze 1 derivanti da "effetti domino" collegate al sistema in cui l'organizzazione opera. Entrambi questi fattori di rischio sono intimamente collegati alla forte e crescente interconnessione e interdipendenza delle organizzazioni. Essa come vedremo pur determinando delle nuove vulnerabilit pu anche essere sfruttata per mitigarle. Nelle sezioni che seguono affronteremo dapprima il tema della gestione della sicurezza nelle organizzazioni con particolare riguardo alla sicurezza dell'informazione quindi ne passeremo in esame alcuni aspetti organizzativi. 2 La funzione sicurezza dell'informazione: dalla gestione in seno al CED al Business Continuity Management La gestione della sicurezza delle informazioni nata in un contesto che era tipicamente molto diverso da quello attuale. Quando i primi sistemi corporate per la gestione amministrativa hanno cominciato a diffondersi a partire dalla seconda met degli anni '60 la tecnologia allora disponibile era quella dei mainframe di tipo multiterminale ad architettura fortemente accentrata e gestiti da personale specializzato: la famiglia di mainframe IBM System 3/60 introdotta nel 1964 ha rappresentato il paradigma e il fondamento di questa concezione architetturale che si rapidamente diffusa in tutto il mondo e costituisce ancora oggi nel

INFO HASH : 3139e4057003ea5f5f689a3494261173dbf2862c

Download now

File Size: 101.7 kb