La crescente digitalizzazione e la compenetrazione IT aumentano enormemente le potenzialità e la portata di possibili attacchi e pongono tutti i settori di fronte a grandi sfide. Parallelamente si continuano a scoprire nuove minacce. Secondo le stime, nel 2015, sono stati rubati mezzo trilione di dati (Symantec) e si stima un danno di 390 miliardi di euro (VMware). Anche nel 2015 le vulnerabilità del software erano in primo piano sulla scala delle minacce redatta dall’Agenzia Europea per la Sicurezza dell’Informazione (Enisa). Quest’anno gli attacchi sono aumentati drammaticamente. Secondo l’indagine compiuta in Germania dall’Agenzia per la Sicurezza (BSI) ad aprile 2016, la minaccia da Ramsonware è cresciuta di 10 volte in soli quattro mesi. 1/3 delle società intervistate ne era già stata colpita. A causa di questo la fiducia degli utenti per l’IT sta costantemente calando e, allo stesso tempo, investitori e clienti richiedono molteplici requisiti di sicurezza sempre più rigidi.
Questo emerge anche nel nuovo regolamento UE per la protezione dei dati, che invoca un cambiamento di paradigma nello sviluppo di software – in breve: security by design e by default (Art. 25). Durante l’intero ciclo di vita del sistema devono essere adottate sia misure per la sicurezza tecnica che anche per quella organizzativa: dall’analisi e dalla progettazione (il momento della definizione dei mezzi di trattamento), fino alla gestione e allo smaltimento (il trattamento stesso). Possono inoltre essere trattati come standard (by default) solo i dati personali assolutamente necessari, in modo sicuro e affidabile. Come possono essere attuate queste richieste in maniera efficace ed efficiente?
Solo tecnica non è sufficiente
Nonostante, per un lungo periodo, la sicurezza dell’applicazione sia stata affrontata principalmente con misure tecniche, come la crittografia e l’autenticazione, ora anche ENISA, nella sua pubblicazione “Privacy and Data Protection by Design”, chiede un approccio interdisciplinare. Ne consegue che anche il regolamento UE richiede misure tecniche, organizzative, regolamenti per la sicurezza, attuazione delle norme nonché una comprensione adeguata da parte dei collaboratori e l’attuazione degli aspetti legali. Al fine di dimostrarne l’implementazione, il regolamento UE consiglia una certificazione.
ISO 27001:2013, lo standard internazionale per la sicurezza dell’informazione, riflette il cambio di paradigma nello sviluppo di software. Inoltre, a questo proposito, con la ISO 27034 è stato rilasciato un apposito sub-standard per la sicurezza dell’applicazione. Questo offre una guida utile e molto pratica per l’attuazione del principio di sicurezza by design e by default.
ISO 27034 come guida
La ISO 27034 fornisce in particolare raccomandazioni per l’integrazione della sicurezza delle informazioni nell’intero ciclo di vita del sistema – con cinque aspetti chiave:
- definizione dei requisiti tenendo conto degli interessi degli stakeholder, economicità e conformità.
- Segue un’analisi dei rischi per l’intero ciclo di vita e per tutti i livelli di architettura, come richiesto anche dal regolamento UE.
- Da questo si deduce l’attuazione di opportune misure come, ad esempio, dal secure coding fino alla gestione sicura dei dati di test.
- La sicurezza operativa viene costantemente migliorata tramite audit e analisi degli incidenti.
- Il ciclo si conclude con il deposito e la distruzione sicura dei dati e del software.
La sicurezza dell’informazione è ormai diventata parte integrante di una gestione aziendale responsabile e deve essere attuata ogni giorno da tutti come parte integrante dei processi di lavoro.
