Fondamenti di Sicurezza Informatica

Fondamenti di Sicurezza Informatica

Che cos'è la cybersecurity

La cybersecurity (o sicurezza informatica) è l'insieme di pratiche, tecnologie e processi progettati per proteggere sistemi informatici, reti, applicazioni e dati da attacchi digitali, accessi non autorizzati, danni e interruzioni del servizio. In un ecosistema sempre più interconnesso, in cui aziende, infrastrutture critiche e privati cittadini dipendono da piattaforme digitali, la sicurezza informatica non è una questione esclusivamente tecnica.

La disciplina si estende ben oltre la protezione dei singoli dispositivi, abbracciando l'intera catena di gestione del dato: dalla raccolta all'elaborazione, dallo storage alla trasmissione, fino alla dismissione sicura. Il perimetro difensivo tradizionale (il firewall come "muro" aziendale) ha lasciato spazio a modelli più sofisticati come lo Zero Trust Architecture, in cui nessuna entità, interna o esterna alla rete, viene considerata intrinsecamente affidabile. Ogni richiesta di accesso deve essere verificata, autenticata e autorizzata in modo esplicito, indipendentemente dalla provenienza.

I ruoli professionali nella cybersecurity

Il settore della sicurezza informatica ospita una vasta gamma di specializzazioni, ciascuna con competenze, responsabilità e contesti operativi distinti.

Compliance obbligatoria: NIS2 e ISO 27001

Con l'entrata in vigore della Direttiva NIS2 (Network and Information Security 2, recepita in Italia con il D.Lgs. 138/2024), le organizzazioni operanti in settori critici (energia, trasporti, sanità, finanza, infrastrutture digitali) sono obbligate per legge a dotarsi di figure professionali dedicate alla sicurezza e a implementare misure tecniche e organizzative specifiche, incluso l'obbligo di notifica degli incidenti significativi entro 24 ore.

Parallelamente, la certificazione ISO/IEC 27001 rappresenta lo standard internazionale de facto per i Sistemi di Gestione della Sicurezza delle Informazioni. Adottarla su base volontaria consente alle organizzazioni di dimostrare a clienti e partner un impegno concreto e verificabile nella protezione dei dati, con ricadute positive sulla fiducia e sulla competitività.

Le motivazioni degli attori della minaccia

Comprendere perché qualcuno attacca un sistema è fondamentale quanto sapere come lo fa. Gli attori della minaccia (threat actor) si distinguono non solo per le tecniche utilizzate, ma soprattutto per le motivazioni che guidano le loro azioni, i loro obiettivi e il livello di sofisticazione con cui operano.

La distinzione tra queste categorie non è sempre netta: gruppi APT (Advanced Persistent Threat) sponsorizzati da stati utilizzano spesso infrastrutture e tattiche mutuate dal cybercrimine per garantire la propria deniability operativa.

La triade CIA: i fondamenti della sicurezza informatica

Il modello CIA Triad costituisce il pilastro concettuale di tutta la sicurezza informatica moderna. Le tre proprietà (Riservatezza, Integrità e Disponibilità) definiscono gli obiettivi che ogni sistema sicuro deve perseguire e forniscono il framework di riferimento per valutare qualsiasi controllo di sicurezza.

Riservatezza (Confidentiality)

La riservatezza garantisce che le informazioni siano accessibili esclusivamente alle entità esplicitamente autorizzate. Una violazione si verifica quando dati sensibili vengono esposti a soggetti non autorizzati, intenzionalmente (data breach orchestrato) o per negligenza (bucket S3 pubblico per errore di configurazione). Il principio di minimo privilegio (least privilege), per cui ogni utente o processo deve disporre solo dei permessi strettamente necessari, è la sua applicazione pratica più immediata.

Integrità (Integrity)

L'integrità garantisce che i dati non vengano alterati, corrotti o manomessi senza autorizzazione, né durante la trasmissione né durante la conservazione. Un sistema che garantisce l'integrità è in grado di rilevare qualsiasi modifica non autorizzata. Un log di sistema manomesso da un attaccante per cancellare le tracce di un'intrusione è una violazione classica di questo principio.

Disponibilità (Availability)

La disponibilità garantisce che sistemi, reti e dati siano accessibili e operativi quando necessario per gli utenti legittimi. Gli attacchi che prendono di mira questo principio, come gli attacchi DDoS (Distributed Denial of Service) o il ransomware che cifra i dati aziendali, mirano a rendere un servizio irraggiungibile o inutilizzabile. Un servizio bancario online che subisce anche solo 30 minuti di downtime può causare danni economici e reputazionali significativi.

I meccanismi di protezione dei principi CIA

Ogni principio della triade CIA è presidiato da specifici meccanismi tecnici e procedurali. La tabella seguente mappa i controlli più rilevanti:

Crittografia e controllo degli accessi (→ Riservatezza)

La crittografia trasforma i dati in un formato illeggibile per chiunque non disponga della chiave corretta. Algoritmi come AES-256 per la crittografia simmetrica e RSA o ECC per quella asimmetrica sono gli standard di riferimento. Il protocollo TLS 1.3 ne è l'applicazione più diffusa nella comunicazione in rete, garantendo riservatezza e autenticazione del canale.

Il controllo degli accessi disciplina chi può fare cosa su quali risorse. I modelli più adottati sono RBAC (Role-Based Access Control), in cui i permessi sono assegnati per ruolo, e ABAC (Attribute-Based Access Control), più granulare e basato su attributi contestuali.

Un elemento critico è la memorizzazione sicura delle password. L'hashing tramite algoritmi lenti e resistenti al brute-force come bcrypt o Argon2 è oggi una best practice irrinunciabile:

import bcrypt
password = b"password_sicura_123"
hashed = bcrypt.hashpw(password, bcrypt.gensalt(rounds=12))
print(f"Hash bcrypt: {hashed.decode()}")
if bcrypt.checkpw(password, hashed):
    print("Autenticazione riuscita")
else:
    print("Credenziali non valide")

Best practice: Non memorizzare mai le password in chiaro o con algoritmi di hashing deboli come MD5 o SHA-1, progettati per la velocità e quindi inadatti alla protezione delle credenziali. Usa sempre bcrypt, Argon2 o scrypt con un fattore di costo adeguato all'hardware disponibile.

Hash e audit trail (→ Integrità)

Le funzioni di hash crittografiche (SHA-256, SHA-3) producono un'impronta digitale univoca e di lunghezza fissa per qualsiasi dato in ingresso. Anche una singola modifica al dato originale produce un hash completamente diverso, rendendo qualsiasi manomissione immediatamente rilevabile. Questo meccanismo è alla base della verifica degli artefatti nelle pipeline CI/CD, della firma digitale dei documenti e dell'integrità dei pacchetti software.

import hashlib
def calcola_hash_file(filepath: str) -> str:
    sha256 = hashlib.sha256()
    with open(filepath, "rb") as f:
        for chunk in iter(lambda: f.read(8192), b""):
            sha256.update(chunk)
    return sha256.hexdigest()
hash_originale = calcola_hash_file("artefatto.tar.gz")
print(f"SHA-256: {hash_originale}")
# Confronta con il valore atteso per verificare l'integrità prima del deploy

L'audit trail è il registro immutabile e firmato di tutte le operazioni eseguite su un sistema: chi ha effettuato quale azione, quando e da quale indirizzo. Combinato con l'hashing, costituisce la prova forense di riferimento in caso di incidente e il requisito tecnico per la conformità a normative come GDPR e NIS2.

Ridondanza e bilanciamento del carico (→ Disponibilità)

La ridondanza elimina i single point of failure attraverso la duplicazione dei componenti critici: server, link di rete, storage, alimentatori. Le architetture attivo-attivo, in cui tutti i nodi sono operativi simultaneamente, offrono la massima resilienza. Le architetture attivo-passivo mantengono invece uno standby pronto a subentrare in caso di guasto del nodo principale.

Il bilanciamento del carico (load balancing) distribuisce il traffico in ingresso su più istanze del servizio, prevenendo il sovraccarico di un singolo nodo. In contesti cloud-native, strumenti come Kubernetes con il suo Ingress Controller e AWS Elastic Load Balancer automatizzano questi meccanismi, integrandosi con sistemi di auto-scaling per rispondere dinamicamente ai picchi di traffico, inclusi quelli generati da attacchi volumetrici.

Asset, vulnerabilità, minacce e rischio

Asset e vulnerabilità

Un asset è qualsiasi risorsa di valore per un'organizzazione che debba essere protetta da potenziali danni, perdita o accesso non autorizzato. Le categorie principali sono:

• Asset fisici: server, dispositivi di rete, workstation, dispositivi mobili, data center
• Asset informativi: database, codice sorgente, proprietà intellettuale, dati personali soggetti al GDPR
• Asset intangibili: reputazione aziendale, fiducia dei clienti, continuità operativa, valore del brand

Le vulnerabilità sono le debolezze intrinseche di un sistema che possono essere sfruttate da un attaccante per compromettere uno o più principi della triade CIA. Possono essere di natura tecnica (bug nel software, patch mancanti, configurazioni errate), procedurale (policy di sicurezza inadeguate o non applicate) o umana (personale non formato, scarsa consapevolezza dei rischi).

Nota: La gestione delle vulnerabilità segue un ciclo strutturato: identificazione (vulnerability scanning, penetration test) → valutazione tramite il sistema di scoring CVSS e i codici CVE → remediation (patch, workaround, compensating control) → verifica. Questo processo, formalizzato come Vulnerability Management continuo, è un requisito esplicito della Direttiva NIS2.

Minacce comuni

Le minacce basate sull'ingegneria sociale (social engineering) sfruttano la psicologia umana piuttosto che le vulnerabilità tecniche. Sono tra le più efficaci e difficili da contrastare perché by-passano completamente le difese perimetrali, prendendo di mira direttamente l'utente finale.

Consiglio operativo: La mitigazione più efficace contro il social engineering è la formazione continua degli utenti, integrata da simulazioni periodiche di phishing controllato (phishing simulation campaign). Sul piano tecnico, l'adozione dell'autenticazione multi-fattore (MFA) su tutti i sistemi critici riduce drasticamente il rischio anche quando le credenziali vengono compromesse.

La relazione tra vulnerabilità, minacce e rischio

Il rischio non è sinonimo di minaccia né di vulnerabilità: è il prodotto della loro combinazione, ponderato dalla probabilità di accadimento e dall'impatto potenziale sull'organizzazione:

Rischio = Probabilità di exploit × Impatto sull'organizzazione

Un'organizzazione con una vulnerabilità critica su un server esposto su Internet e una minaccia attiva che la sfrutta (come un gruppo APT che usa un exploit noto per quella CVE) è esposta a un rischio elevato. La gestione del rischio consiste nell'applicare controlli di sicurezza per ridurre la probabilità di exploit, limitare l'impatto di un eventuale incidente, o entrambi. Il risultato di questa analisi alimenta il piano di trattamento del rischio, uno degli artefatti centrali di qualsiasi programma di sicurezza maturo, sia esso allineato a ISO 27001 o al NIST Cybersecurity Framework.