La proprietà dell’autenticità è un necessario fattore integrativo della triade RID (riservatezza, integrità, disponibilità) per potenziare in concreto la capacità di cibersicurezza delle organizzazioni.
Un altro aspetto molto importante della sicurezza delle informazioni riguarda la fiducia e la responsabilità delle transazioni in ambienti digitali che sono garantite da un’altra importante proprietà: il non ripudio.
Indice degli argomenti
Definizione e importanza del non ripudio
Il non ripudio è definito dalla norma ISO/IEC 27000:2018 “Information technology Security techniques Information security management systems Overview and vocabular” come (3.38) la “capacità di dimostrare il verificarsi di un evento dichiarato o azione e delle sue entità originarie”.
Il concetto è anche ripreso dalla UNI CEN ISO IEC 27002:2022 che, in più punti, lo indica come proprietà per:
- la sicurezza delle informazioni nella gestione dei progetti (5.8), in funzione della quale dovrebbero essere presi in considerazione i requisiti di non ripudio insieme ai requisiti derivati dai processi di business, come la registrazione e il monitoraggio delle transazioni;
- il trasferimento delle informazioni (5.14) le cui regole, procedure e accordi dovrebbero sempre includere anche controlli per assicurare la tracciabilità e il non ripudio, compreso il mantenimento di una catena di custodia delle informazioni durante il transito;
- l’uso della crittografia (8.24) che può essere utilizzata per raggiungere diversi obiettivi per la sicurezza delle informazioni, tra i quali proprio il non ripudio, attraverso l’utilizzo di tecniche crittografiche per fornire evidenza del verificarsi o meno di un evento o di un’azione;
- i requisiti di sicurezza delle applicazioni (8.26) che dovrebbero includere il non ripudio insieme alla riservatezza, all’integrità e alla prova dell’invio e della ricezione dei documenti chiave (ad esempio contratti relativi a gare e procedure contrattuali).
Tali richiami ci aiutano a comprendere come il non ripudio di un evento o di un’azione sia una proprietà essenziale per la fiducia digitale e la responsabilità nelle transazioni elettroniche.
Strumenti e misure per dimostrare il non ripudio di eventi o azioni
Tra gli strumenti disponibili per garantire il non ripudio di un evento o di un’azione, ne possono essere annoverati alcuni che sono utilizzati anche per dimostrare altre proprietà delle informazioni. Facciamo riferimento, in particolare a:
- firme digitali o firme elettroniche;
- certificati digitali;
- timestamps;
- blockchain;
- crittografia.
Inoltre, risultano funzionali anche le misure tecniche e organizzative riportate nella seguente tabella.
| MISURE TECNICHE | |
| Registro di accesso alle informazioni | Registro dettagliato delle attività che coinvolgono l’informazione, inclusi gli accessi per consultazione, modifica, trasmissione, per poter dimostrare chi ha originato, modificato, trasmesso l’informazione. |
| Protocolli di Sicurezza | Protocolli di sicurezza robusti per la comunicazione, come SSL/TLS per la comunicazione su Internet, al fine di contribuire a garantire l’integrità e l’autenticità dei dati scambiati e quindi il non ripudio. |
| MISURE ORGANIZZATIVE | |
| Archiviazione Sicura | Conservare le informazioni in archivi sicuri, con controlli di accesso controllato, per garantire – anche in questo caso – che le informazioni siano protette da manipolazioni non autorizzate. |
| Procedure e Politiche | Implementare procedure e politiche aziendali chiare per la gestione e la protezione delle informazioni. |
| Audit e Certificazioni | Sottoporre i sistemi e i processi coinvolti nella gestione delle informazioni ad audit regolari. Ottenere certificazioni di sistemi di gestione (come, ad esempio, la ISO/IEC 27001:2022) può fornire ulteriore prova della correttezza e dell’affidabilità del sistema di gestione delle informazioni. |
Sfide nell’implementazione del non ripudio
Nonostante i vantaggi, l’implementazione del non ripudio presenta sfide significative che riguardano essenzialmente la gestione:
- delle chiavi private, che è uno degli aspetti più critici e sfidanti. Le chiavi private devono rimanere confidenziali e protette da accessi non autorizzati. La loro esposizione può compromettere l’intero sistema di sicurezza. Il furto o la perdita delle chiavi private può permettere a persone con intenti malevoli di falsificare l’identità degli utenti autorizzati, compromettendo l’integrità e la non ripudiabilità delle transazioni digitali;
- dell’infrastruttura necessaria per il supporto delle tecnologie di non ripudio che è complessa e costosa. La gestione di tale infrastruttura include l’implementazione e la manutenzione di server sicuri, di software di gestione delle chiavi e di protocolli di sicurezza aggiornati.
Per affrontare queste sfide si propongono le soluzioni riportate nella tabella seguente.
| Sfida nell’implementazione del non ripudio | Soluzioni proposte |
| Gestione delle chiavi crittografiche | Utilizzo di un Modulo di sicurezza hardware (HSM: Hardware Security Module). Gli HSM sono dispositivi fisici che gestiscono e proteggono le chiavi crittografiche. Forniscono un ambiente sicuro dove le chiavi possono essere generate, gestite e archiviate lontano da potenziali attacchi software. Politiche di rotazione delle chiavi. Dovrebbero essere implementate politiche di rotazione regolari per minimizzare il rischio associato a possibili esposizioni di chiavi. Dovrebbero anche essere oggetto di aggiornamento costante. |
| Gestione dell’infrastruttura necessaria per il supporto delle tecnologie di non ripudio | Automazione e monitoraggio. L’utilizzo di soluzioni automatizzate per il monitoraggio continuo dell’infrastruttura può aiutare a identificare e mitigare rapidamente potenziali minacce. Adozione di standard di sicurezza. Andrebbero implementati framework di sicurezza standardizzati e conformi alle normative internazionali per garantire l’integrità dell’infrastruttura. Ad esempio, le norme della famiglia ISO/IEC 27000 o le Guide NIST forniscono un ampio ventaglio di strumenti disponibili. |
La blockchain come opportunità per rafforzare il non ripudio
La tecnologia blockchain offre una opportunità per rafforzare il non ripudio poiché registra le transazioni in blocchi di dati che sono collegati e protetti tramite crittografia. Questa struttura rende la blockchain estremamente sicura e resistente alle modifiche, poiché ogni blocco successivo nella catena contiene una “impronta” digitale del blocco precedente.
Questo meccanismo non solo garantisce l’integrità dei dati, ma anche la loro origine, poiché ogni transazione può essere verificata e tracciata fino alla sua fonte.
Tra le applicazioni che garantiscono il non ripudio sulla blockchain ricordiamo:
- gli smart contracts o contratti intelligenti. Si tratta di protocolli informatici che facilitano, verificano o eseguono la negoziazione o l’esecuzione di un contratto in modo autonomo e decentralizzato;
- i sistemi di votazione elettronica. La blockchain può essere utilizzata per creare sistemi di votazione che garantiscono l’anonimato e allo stesso tempo impediscono agli elettori di negare il loro voto.
Comunque, anche il ricorso alla blockchain richiede una valutazione accurata dei rischi associati.
Il non ripudio nel Regolamento eIDAS 2
Si è in attesa della pubblicazione nella Gazzetta Ufficiale – essendo terminato l’iter di approvazione – del Regolamento UE noto con l’acronimo eIDAS 2 (Electronic Identification, Authentication and trust Services: Identificazione Elettronica, Autenticazione e Servizi Fiduciari).
È il provvedimento normativo di modifica di eIDAS, il Regolamento UE n. 910 del 2014 “in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche nel mercato interno”. Questo Regolamento ha (aveva) come obiettivo principale quello di creare un framework normativo per i servizi di identificazione elettronica (eID) e per i servizi fiduciari (come le firme elettroniche e i sigilli elettronici, le validazioni temporali elettroniche e gli strumenti di delivery certificati).
Tuttavia, con l’evolversi delle tecnologie digitali e l’aumento delle necessità di servizi digitali transfrontalieri più integrati e sicuri, si è reso necessario un “recast”.
Tra le principali novità introdotte da eIDAS 2 vi sono i portafogli europei di identità digitale (i cc.dd. EUDI Wallet: European Digital Identity Wallets). Si tratta, in sostanza, di un’applicazione software sicura che può essere installata su dispositivi mobili, come smartphone o tablet, o potenzialmente accessibile tramite un’interfaccia web. È concepito per offrire ai cittadini e alle imprese dell’Unione Europea un modo sicuro, interoperabile e facilmente accessibile per gestire e utilizzare le loro identità digitali.
In particolare, secondo il Considerando 13 di eIDAS 2, gli EUDI Wallet dovranno disporre, tra le proprie funzioni, di un pannello di gestione comune che sarà embedded into design (incorporato nella progettazione), al fine di garantire un livello più elevato di trasparenza, di tutela della privacy e di controllo sui dati personali da parte degli utenti.
Tale funzione prevede un’interfaccia semplice e di facile utilizzo con una panoramica di tutte le parti facenti affidamento sulla certificazione con cui l’utente condivide dati, inclusi gli attributi, e del tipo di dati condivisi con ciascuna parte facente affidamento sulla certificazione.
La stessa funzione, attiva per impostazione predefinita, consentirà agli utenti di tracciare tutte le transazioni eseguite tramite l’EUDI Wallet con almeno i seguenti dati: l’ora e la data della transazione, l’identificazione della controparte, i dati personali richiesti e i dati condivisi.
Tali informazioni dovrebbero essere memorizzate anche se la transazione non è stata conclusa e non sarà possibile contestare l’autenticità delle informazioni contenute nella cronologia delle transazioni.
La proprietà del non ripudio rileva così come pillar anche delle nuove norme in materia di identificazione elettronica e servizi fiduciari per le transazioni elettroniche.
Un esempio pratico di applicazione del non ripudio
Un esempio può aiutare a comprendere il contesto in cui può essere necessario – o potrebbe essere richiesto contrattualmente – ricorrere ad alcuni degli strumenti normalmente utilizzati per garantire il non ripudio di un’informazione.
Certificato digitale – contesto
Un’azienda deve inviare un contratto ad un partner. Utilizzando un certificato digitale, il processo potrebbe prevedere una serie di passaggi progressivi quali:
- la negoziazione dei dettagli della transazione;
- la predisposizione del contratto di partnership che riporti i termini e le condizioni della collaborazione, con la presenza di eventuale documentazione aggiuntiva (es. disegni della proprietà, certificati di conformità, autorizzazioni);
- l’utilizzo da parte del rappresentante legale del proprio certificato digitale per apporre una firma elettronica al contratto al fine di garantire l’autenticità del documento e degli allegati;
- l’invio del contratto al partner tramite un canale sicuro, come un’email criptata o una piattaforma di condivisione documenti sicura;
- la ricezione del documento da parte del partner che utilizza un software di verifica per confermare l’autenticità del documento stesso (controllando la validità e che la firma sia stata apposta da una fonte attendibile) nonché le sue entità originarie (non ripudio);
- l’apposizione della firma a cura del partner tramite un analogo sistema.
Nell’esempio, il certificato digitale offre un alto livello di sicurezza e garantisce il non ripudio e l’autenticità al documento, garantendo che sia stato firmato da una fonte autorizzata e che non sia stato alterato durante il trasferimento.
In altri termini viene protetta anche la riservatezza e l’integrità del documento.
Conclusioni
Poiché le attività e le relazioni umane si svolgono oramai prevalentemente in ambienti digitali, la necessità di garantire efficacemente il non ripudio è incalzante.
Si è evidenziato come le organizzazioni dovrebbero adottare una strategia proattiva di gestione delle chiavi crittografiche e delle infrastrutture di supporto e considerare l’opportunità di integrare nuove tecnologie come la blockchain, valutando attentamente i rischi associati.
È comunque fondamentale adottare standard di sicurezza e soluzioni innovative. Solo attraverso un impegno costante verso la ricerca, lo sviluppo e l’adozione di pratiche migliori è possibile mantenere e rafforzare la fiducia nell’ecosistema digitale globale.
