Le misere di sicurezza nei sistemi informativi: il punto di vista di un giurista alla luce della legge sulla tutela dei dati personali

• Autore: Marco Maglio
• Carica: Avvocato - Presidente della Commissione Giuridica di AIDiM
• Pagine: 7-33

Page 7

@1. Introduzione: la nozione di sicurezza informatica

Certamente uno dei luoghi comuni più frequentati dall'odierno dibattito in corso nel nostro paese sul tema del diritto alla riservatezza è l'osservazione secondo la quale "non c' è privacy senza sicurezza".

Non è un caso se tanto la direttiva comunitaria n. 46/95¹ in tema di libera circolazione dei dati personali, quanto la legge italiana n. 675 del 1996²che daPage 8 quel testo dell'Unione Europea prende le mosse, dedicano a questo argomento alcuni articoli e molta attenzione.

Nasce quindi, anche per il giurista e più in generale per chi si occupi del trattamento legittimo di dati personali, la necessità di confrontarsi con questo elemento che viene così sottratto al suo naturale alveo di competenza tecnica,

Cercheremo quindi di orientarci in questo intricato ginepraio fatto di sigle, acrandoli e di termini informatici e, con buona pace degli addetti ai lavori, ci proponiamo di individuare alcune linee guida che possano essere seguite anche da chi fatica a ricordare la differenza che esiste tra un bit ed un byte.

Intendiamo muoverci in punta di piedi, ben sapendo che lo sconfinamento in terrìtori di ricerca altrui provoca spesso risultati imprecisi ed interpretazioni equivoche; d'altro canto, come giuristi, assistiamo spesso a questo tipo di "turismo culturale" nei nostri tenitori naturali dì ricerca da parte di non addetti ai lavori e siamo quindi consapevoli che quando non si conosce a menadito la reale topografia di un luogo si può cadere vittime di trabocchetti, insidie e persino di bucce di banana.

Con queste premesse, osserviamo preliminarmente che il tema della sicurezza dei sistemi per il trattamento automatico dell'informazione è diventato di rilevante attualità, non solo per gli esperti di informatica, ma anche per tutti gli utenti della crescente varietà di applicazioni rese possibili dai progressi tecnologici.

Solo qualche anno fa, invccc, chi si occupava di sicurezza veniva vÌsto con diffidenza in quanto portatore di problemi ed annunciatore di sciagure:Page 9 da una parte si limitavano pesantemente le prestazioni delle macchine per contrastare minacce spesso percepite come inesistenti o assai improbabili; dall'altra 1'utilizzatole del sistema veniva costretto a ricordre passmord, compilare chiavi o numeri segreti, seguire noiose procedure di gestione, etc. Oggi tale epoca sembra superata e l'iniziale diffidenza ha lasciato il posto alla consapevolezza che le enormi potenzialità degli strumenti informatici noe potrebbero essere sfruttate appieno senza un approccio serio e sistematico alla soluzione dei problemi di sicurezza.

Volendoci avvicinare al problema con un approccio definitorio possiamo osservare che, nell'ambito della gestione informatica dei dati, il vocabolo "sicurezza" indica la capacità di salvaguardare riservatezza, integrità e disponibilità dell'informazione (elaborata su computer, memorizzata su supporti di varia natura o trasmessa lungo canali di comunicazione) contrastando efficacemente ogni minaccia sia di tipo accidentale sia di tipo intenzionale.

Più precisamente :

- salvaguardare la riservatezza dell'informazione significa ridurre a livelli accettabili il rischio che un'entità possa, volontariamente o ìnvolontariamente, accedere all'informazione stessa senza esserne autorizzata;

- salvaguardare l'integrità dell'enformazione significa ridurre a livelli accettabili il rischio che possano avvenire cancellazioni o modifiche di informazioni a seguito di interventi di entità non autorizzate o del vcrificarsi di fenomeni non controllabili (come il deteriorarsi dei supporti di memorizzazione, la degradazione dei dati trasmessi su canali rumorosi, i guasti degli appara ti, i problemi ai sistemi di distribuzione dell'energia, gli incendi, gli allagamenti) e prevedere adeguate procedure di recupero delle informazioni (ad esempio i piani di back-up);

- salvaguardare la disponibilità dell'informazione significa ridurre a livelli accettabili il rischio che possa essere impedito alle entità autorizzate l'accesso alle informazioni a seguito di interventi di altre entità non autorizzate o del: verificarsi di fenomeni non controllabili del tipo già visto al punto precedente.

Il problema della sicurezza informatica si arricchisce di nuove sfumature quanto più si cerca di precisarne i vari aspetti. Infatti occorre chiedersi che cosa significa salvaguardare la riservatezza, integrità e disponibilità dell'informazione e capire quali minacce devono essere contrastate con opportune contromisure. Inoltre, in moki casi ancora più difficile capire a qualePage 10 livello è opportuno ridurre i rischi suddetti tenuto conto che in pratica questi non possono mai essere ridotti a zero e che è quasi sempre necessario accettare un compromesso tra costi e prestazioni,

Un sistema di trattamento di dati può considerarsi sicuro solamente rispetto alla sua capacità di soddisfare, nel contesto in cui opera, una serie di parametri preventivamente stabiliti. Il problema centrale quindi è individuare i criteri di costruzione dell'edificio della sicurezza informatica; a questo proposito ci sembra corretto proporre tre aree di riflessione su questo tema che devono essere analizzate e discusse:

1) la definizione della "politica della sicurezza del sistema" cioè delle regole che precisano in quale modo i dati e le altre risorse sono gestite, protette e distribuite all'interno del sistema;

2) l'analisi delle possibili minacce che possono essere apportate al sistema;

3) l'individuazione delle specifiche funzioni di sicurezza presenti nel sistema, allo scopo di far rispettare tanto le regole quanto i meccanismi che le realizzano.

Questi tre aspetti dell'indagine consentiranno di cogliere sia la statica che la dinamica del problema della sicurezza informatica.

@2. I Criteri valutazione della sicurezza informatica

Per inquadrare correttamente il problema della sicurezza informatica ci sì deve chiedere chi sono i soggetti coinvolti nella gestione informatica dei dati personali e quali sono le loro rispettive esigenze: da questo angolo prospettico emergono due figure fondamentali:

a) l'utilizzatore del sistema (inteso come proprietario del sistema e dei dati in esso elaborati);

b) il fornitore del sistema (inteso come la persona fisica o giuridica responsabile del sistema finale consegnato all'utilizzatole).

L'utilizzatore dispone, o dovrebbe disporre, di una specifica politica di sicurezza o almeno di una serie di obiettivi e ha l'esigenza di verificare che un dato sistema che gli viene offerto sia in grado di soddisfare tale politica o tali obiettivi nell'ambiente in cui dovrà operare. Egli ha, inoltre, l'esigenza di paragonare sistemi diversi per poter decidere quale può rispondere nel modo migliore alle sue esigenze.Page 11

Il fornitore di sistema deve affrontare una maggiore quantità di bisogni:

a) preliminarmente ha la necessità di produrre sistemi versatili e cioè sistemi che offrano le funzionalità necessarie a soddisfare le politiche di sicurezza degli utilizzatoli;

b) quindi, ha l'esigenza di convincere l'utilizzatore dell'adeguatezza delle funzioni fornite dal sistema;

e) infine ha l'esigenza di cautelarsi, da un punto di vÌsta legale, qualora l' utilizzato re di un sistema subisca danni che imputa a cattivo funzionamento del sistema dal punto di vista della sicurezza. Dall'analisi delle necessità dei dee soggetti interessati emergono essenzialmente, due problemi:

a) da un lato si evÌdenzia il bisogno di tecniche per il progetto di sistemi sicuri;

b) dall'altro si fa strada l'esigenza di definire criteri e metodologie per valutare il livello di fiducia che può essere riposto nella capacità di un sistema informatico di contrastare efficacemente le minacce a cui è esposto.

E di tutta evidenza che il processo di valutazione deve essere preceduto da una fase di preparazione dei criteri di sicurezza del sistema.

Infatti, l'operazione di valutazione sulla sicurezza di un sistema consiste principalmente:

a) nel verificare che il sistema preveda le funzioni dì sicurezza precisate nei criteri astrattamente prefissati;

b) nel fare in modo che i meccanismi che mettono in pratica i parametri di sicurezza siano efficaci nel contrastare le minacce cui il sistema è esposto, e che le funzioni e i meccanismi siano stati realizzati correttamente.

La verifica della correttezza dovrebbe essere intesa come verifica che le funzioni e i meccanismi siano stati realizzati senza commettere errori e senza l'inserimento volontario, a fini fraudolenti, di vulnerabilità nascoste.

E opportuno precisare che il processo di valutazione ben difficilmente potrà rispondere in modo affermativo o negativo alla domanda: "Il sistema soddisfa le specifiche di sicurezza?" La valutazione, infatti, dovrà in gran parte essere condotta mediante tecniche empiriche che possono portare soltanto ad una stima della probabilità che il sistema rispetti le specifiche ovvero ad una stima della fiducia che può essere riposta nella capacità del sistema di far rispettare una politica di sicurezza.Page 12

Negli approcci alla valutazione correntemente seguiti, tale fiducia viene ottenuta non solo direttamente attraverso verifiche tecniche sul sistema (con rigore crescente al crescere del livello di fiducia richiesto), ma anche influenzando il processo di sviluppo del sistema stesso. Una volta giunti alla definizione di una raccolta di criteri, l'operazione di valutazione potrebbe, ad esempio, essere Svolta dall'utilizzatole o dal fornitore ma tale approccio si è dimostrato praticamente inattuabile. La valutazione infatti,è un'operazione assai complessa che richiede competenze e strumenti estremamente specializzati che di solito il fruitore di un sistema informatico noe possiede; d'altra parte, se quest'opera di controllo fosse svolta dal fornitore essa perderebbe l'indispensabile requisito di imparzialità. Ciò fa apparire come necessaria l'istituzione di enti indipendenti specializzati in tale...