L’utilizzo di metodi, tecniche e strumenti specifici consentono di garantire l’autenticità e il non ripudio dei dati integrandoli nelle fondamentali caratteristiche di sicurezza delle informazioni costituenti la famosa triade nota con l’acronimo RID: riservatezza, integrità e disponibilità.
Ora, proseguiremo con l’analisi di un’altra proprietà fondamentale: l’affidabilità.
Questo elemento svolge un ruolo chiave nel completare il panorama degli attributi necessari per proteggere le informazioni contro diverse tipologie di minacce.
In questo articolo approfondiremo come l’affidabilità si integra in un sistema di sicurezza delle informazioni (ISMS) e proporremo strategie per massimizzare la sua efficacia nel contesto di un ambiente informativo sempre più complesso e gravato da minacce.
Indice degli argomenti
L’affidabilità nella ISO/IEC 27000:2018
La ISO/IEC 27000:2018 “Information technology Security techniques Information security management systems Overview and vocabular” fornisce, tra le altre, la definizione “3.55 reliability property of consistent intended behaviour and results” quindi l’affidabilità è la “proprietà di comportamenti e risultati previsti coerenti”.
Il termine è anche richiamato nella definizione del concetto di “3.28 Information security” indicato come “Preservation of confidentiality (3.10), integrity (3.36) and availability (3.7) of information Note 1 to entry: In addition, other properties, such as authenticity (3.6), accountability, non-repudiation (3.48), and reliability (3.55) can also be involved.”.
Identificare la proprietà dell’affidabilità nel contesto delle proprietà delle informazioni contribuisce certamente a ridurre la probabilità e/o la gravità dei rischi inerenti alla gestione di un ISMS.
L’affidabilità va comunque combinata con le altre fondamentali proprietà della sicurezza delle informazioni quali riservatezza, integrità, disponibilità, non ripudio e autenticità.
Questa sinergia può effettivamente potenziare la capacità di cibersicurezza di sistemi e reti nei settori critici, inclusi i servizi essenziali, il settore finanziario, l’intelligenza artificiale e la sicurezza delle informazioni nel suo complesso.
Analizziamo di seguito alcuni scenari che evidenziano e confermano questa tesi.
L’affidabilità nel DORA
In un mondo sempre più guidato dalla digitalizzazione e dall’impiego di complesse tecnologie ICT, il settore finanziario si trova a dover fronteggiare minacce in costante evoluzione che rappresentano una sfida per la resilienza operativa, le prestazioni e la stabilità delle organizzazioni che operano all’interno del particolare ecosistema.
È in questo scenario che il Regolamento UE 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario (il c.d. DORA: Digital Operational Resilience Act) ha istituito un quadro comune sulla resilienza operativa digitale delle entità finanziarie che costituisce il metodo più idoneo per garantire l’applicazione omogenea e coerente di tutte le componenti della gestione dei rischi informatici da parte del settore finanziario dell’Unione Europea.
L’art. 3 di tale Regolamento definisce la «resilienza operativa digitale» come la capacità dell’entità finanziaria di costruire, assicurare e riesaminare la propria integrità e affidabilità operativa, facendo leva sulle tecnologie ICT necessarie per garantire la sicurezza dei sistemi informatici e di rete utilizzati dall’entità finanziaria.
Così, l’affidabilità operativa risalta come una componente essenziale della resilienza operativa nel settore finanziario, in grado di sostenere la capacità di una banca o di un’altra istituzione finanziaria di fornire servizi ininterrotti e di qualità elevata, anche in presenza di incidenti e interruzioni.
Quindi, come specificato nel Considerando 48, del DORA, per tenere il passo con l’evoluzione del contesto delle minacce informatiche, le entità finanziarie dovrebbero dotarsi di sistemi ICT aggiornati, affidabili e capaci. Ciò, non solo per garantire il trattamento dei dati richiesto per i loro servizi, ma anche per assicurare una resilienza tecnologica sufficiente che consenta loro di fare adeguatamente fronte alle esigenze di trattamento aggiuntive derivanti da condizioni di stress del mercato o da altre situazioni avverse.
L’affidabilità nella NIS 2
L’affidabilità è una proprietà che rileva anche nell’ambito della Direttiva UE 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza nell’Unione (la c.d. NIS 2). In particolare, questo corpus normativo indica l’affidabilità come attributo fondamentale ed imprescindibile dei DNS.
Il DNS: Sistema dei Nomi di Dominio, secondo la definizione fissata dall’art. 6/1 n.19) di detta Direttiva, è un sistema di nomi gerarchico e distribuito che consente l’identificazione di servizi e risorse su internet, permettendo ai dispositivi degli utenti finali di utilizzare i servizi di inoltro e connettività di internet, al fine di accedere a tali servizi e risorse.
Più semplicemente, si tratta di un “mediatore” tra gli indirizzi IP leggibili dalle macchine e i nomi di dominio facilmente comprensibili dalle persone. Questo sistema di indirizzamento permette così agli utenti di accedere a siti web, inviare e-mail e connettersi a servizi cloud senza dover memorizzare lunghe sequenze numeriche.
In generale, l’affidabilità del DNS è fondamentale per mantenere una navigazione su Internet fluida, sicura ed efficiente. Un sistema DNS non sicuro e non affidabile è, infatti, più esposto a diversi tipi di attacchi informatici, ciascuno dei quali mira a compromettere la stabilità, la sicurezza o la funzionalità del sistema (come, ad esempio, lo spoofing e il poisoning DNS).
In tale contesto, il Considerando 32 della NIS 2, pone l’affidabilità come fattore indispensabile per l’operatività quotidiana di internet, stabilendo che l’adozione e la conservazione di un sistema DNS affidabile, resiliente e sicuro costituisce una condizione chiave per mantenere l’integrità di internet ed è essenziale per il suo funzionamento costante e stabile, da cui dipendono l’economia e la società digitali.
L’affidabilità dei sistemi di AI
Il concetto di affidabilità – o, meglio, di trustworthiness: attendibilità – è una proprietà fondamentale che i sistemi di AI (o con una componente di AI) devono garantire. La ISO/IEC 22989 “Information technology — Artificial intelligence — Artificial intelligence concepts and terminology” fornisce, tra le altre, la definizione “3.5.16 Trustworthiness – capacità di soddisfare le aspettative degli stakeholder in modo verificabile”. La definizione è integrata dalle seguenti note:
- a seconda del contesto o del settore, ma anche del prodotto o servizio specifico, dei dati e della tecnologia utilizzati, si applicano caratteristiche diverse e necessitano di verifica per garantire che le aspettative delle parti interessate siano soddisfatte;
- le caratteristiche di “trustworthiness” includono, ad esempio, affidabilità, disponibilità, resilienza, sicurezza, privacy, protezione, responsabilità, trasparenza, integrità, autenticità, qualità e usabilità;
- l’affidabilità è un attributo che può essere applicato a servizi, prodotti, tecnologia, dati e informazioni, nonché, nel contesto della governance, alle organizzazioni.
È quindi evidente, anche in questo caso la rilevanza che assume nel contesto dell’AI il concetto di affidabilità o per essere ancora più precisi di attendibilità.
Il termine “trustworthiness” è comunemente tradotto con “affidabile”, ma nel contesto dell’AI risulta più appropriato utilizzare “attendibile”. Una dichiarazione è “affidabile” se pur non essendo verificata è stata formulata da un soggetto noto per la sua credibilità. È, invece, “attendibile” se è verificata da altri (si resta in “attesa” della verifica).
Metodi, tecniche e strumenti per dimostrare l’affidabilità di un’informazione
Tra gli strumenti disponibili per dimostrare l’affidabilità di un dato prevalgono le misure organizzative rispetto a quelle tecniche, che sono, invece, prevalenti per dimostrare le proprietà della autenticità e del non ripudio. Specificamente, tra le misure organizzative possono essere considerate quelle di seguito specificate.
Verifica delle fonti
Controllare che l’informazione provenga da fonti affidabili, autorevoli, referenziate, rintracciabili. È importante considerare aspetti come la verifica delle credenziali e dell’analisi della reputazione della fonte, oltre che la sua storia nel tempo.
Quando possibile è bene accedere alla fonte primaria, evitando quindi passaggi, riassunti, estrapolazioni, interpretazioni dell’informazione.
Verifica incrociata e/o di coerenza
Confrontare l’informazione con altre fonti indipendenti per confermare la sua validità. La convergenza di diverse fonti sulla stessa informazione aumenta la sua affidabilità.
Quando possibile dovrebbe essere valutata anche la coerenza dell’informazione, confrontandola con altre note e già verificate come affidabili. Eventuali dubbi potrebbero sollevare questioni in merito all’affidabilità.
Deve essere verificata anche la reputazione passata della fonte e precedenti esperienze a testimonianza della sua affidabilità.
Verifica della tracciabilità
Verificare la tracciabilità dell’informazione, anche tramite misure tecniche come la blockchain, per garantire che l’informazione non sia stata manipolata o alterata durante il trasferimento o la trasmissione.
Revisione da parte di esperti
Coinvolgere esperti qualificati per valutare l’accuratezza e la coerenza dell’informazione. Tali soggetti possono apportare conoscenze specializzate che contribuiscono a valutare l’affidabilità dell’informazione e/o la fonte.
Le misure tecniche e organizzative
Ancora, tra le misure organizzative valgono quelle già indicate per tutelare la proprietà del non ripudio:
- archiviazione sicura;
- procedure e politiche;
- audit e certificazioni.
Ovviamente, misure tecniche contribuiscono a garantire l’affidabilità dell’informazione e, in particolare, che la stessa non venga alterata nei vari passaggi. Tra le misure tecniche sono da considerare quelle che garantiscono la tracciabilità dei sistemi e l’integrità, come ad esempio:
- software di verifica delle frodi;
- algoritmi di autenticazione e firma digitale;
- blockchain.
Un esempio concreto
Un esempio può aiutare a comprendere il contesto in cui può essere necessario – o potrebbe essere richiesto contrattualmente – ricorrere agli strumenti utilizzati per garantire l’affidabilità di un’informazione. Volutamente, a differenza degli esempi riportati negli articoli citati relativi alle proprietà dell’autenticità e del non ripudio, si è scelto un esempio che considerasse misure di carattere organizzativo e non tecnico.
Un’azienda sta sviluppando un’applicazione innovativa per un prodotto tradizionale presente da anni sul mercato agendo nella massima riservatezza anche per non dare adito a sospetti da parte della concorrenza. Per poter procedere, ha necessità di acquisire alcune informazioni direttamente dai suoi fornitori, i quali potrebbero però informare i suoi concorrenti.
Preferisce quindi procedere tramite la ricerca su pubblicazioni di carattere scientifico e tecnico facendo ricorso a misure organizzative di verifica incrociata e di coerenza per confermare l’affidabilità delle informazioni reperite.
- Verifica incrociata con altre fonti indipendenti. Vengono effettuate più ricerche di studi pubblicati su riviste qualificate che trattino della stessa applicazione. L’individuazione di altre fonti che confermano i risultati della applicazione in questione, la convergenza di queste fonti aumenta l’affidabilità dell’informazione.
- Coerenza dell’informazione. Si confrontano i risultati delle ricerche con le conoscenze scientifiche attuali sull’applicazione e dei suoi possibili effetti. Se i risultati sono in linea con ciò che è noto in letteratura scientifica e tecnica, questo rafforza la validità delle ricerche effettuate.
- Valutazione della reputazione della fonte. Si verifica la reputazione delle riviste scientifiche e tecniche su cui sono state pubblicate le ricerche. Se si tratta di riviste di alto livello, note per la qualità dei contenuti, ciò aumenta l’affidabilità delle informazioni reperite. Ovviamente è anche opportuno verificare la reputazione degli autori degli studi. Ricercatori riconosciuti come esperti sul tema e che hanno pubblicato analisi in passato rilevatesi affidabili, sostengono la validità delle indagini condotte.
- Analisi di precedenti esperienze. Si cercano ulteriori studi condotti dagli stessi autori o su tematiche simili per valutare ulteriormente la coerenza nei risultati.
Conclusioni
In questo articolo si è cercato di evidenziare come l’affidabilità sia una proprietà fondamentale per garantire che le infrastrutture critiche e i sistemi informatici funzionino in modo prevedibile e coerente.
L’integrazione dell’affidabilità con le altre proprietà fondamentali della sicurezza delle informazioni—riservatezza, integrità, disponibilità, non ripudio e autenticità—diventa un pilastro per la costruzione di ecosistemi sicuri e robusti.
Questa integrazione consente non solo di proteggere le informazioni critiche e i sistemi da attacchi esterni o malfunzionamenti interni, ma anche di garantire la continuità operativa.
