CyberSec (S01 E02): Dati "statici" e dati "in transito"

Comprendere la natura e il "peso" del dato

Accanto alle distinzioni, riferite al dato, previste dalle norme, e che abbiamo visto al termine della scorsa Lezione, vi sono alcune precisazioni che sono care, invece, agli esperti di sicurezza informatica e che assumono grande importanza nella vita pratica quotidiana e nell’attività professionale di tutti i giorni.

Il comprendere in ogni momento "la vita" e "il comportamento" dei dati che quotidianamente trattiamo diventa infatti essenziale per approntare un primo livello di sicurezza che sia, in un certo senso, consapevole.

In termini tecnici si parla anche, molto correttamente, di data governance, o "governo del dato": è una locuzione molto significativa che rappresenta proprio l'esigenza, per tutti, di comprendere prima il "terreno di gioco", ossia i dati che in ogni momento, e quotidianamente, transitano sul nostro smartphone, computer o scrivania ("fisica").

Una prima distinzione che sarebbe davvero utile da comprendere è quella tra dati informatici “statici” (o “immobili”) - per quanto i dati possano essere realmente immobili in una società digitale che è, oggi, frenetica - e dati “in transito”, una bipartizione che copre la maggior parte dei casi che, in concreto, possano riguardare un utente tipico.

I dati informatici possono essere pensati, in senso molto lato, come STATICI o IN TRANSITO, e presentano esigenze di sicurezza e di protezione originali e specifiche.

Il dato informatico statico è un dato che, come suggerisce la definizione, è collocato in maniera più o meno stabile su un dispositivo.

Il dispositivo può essere la memoria del computer, del telefono o del tablet, un hard disk esterno, una chiavetta, una console per videogiochi, un server nel cloud, un CD/DVD, uno smartwatch, un braccialetto fitness, un navigatore GPS o, comunque, qualsiasi tecnologia che possa contenere dei dati.

Risulta chiaro anche al neofita come un dato "fermo" in un luogo e, quindi, ben individuabile in ogni momento possa essere molto più facile da controllare e, quindi, da proteggere (tranne, ovviamente, da attacchi "fisici", furti o effrazioni).

Al contempo, però, il dato "statico sul computer dell'utente" è sempre più raro a causa dell'avvento del cloud che, negli ultimi anni, è diventata una tecnologia usata anche dall'utente comune che preferisce, quindi, delocalizzare i propri dati e "spararli" su servizi che a poco prezzo forniscono tanto spazio.

Da un lato, quindi, l'utente "alleggerisce" la memoria dei suoi dispositivi. Dall'altro, milioni di foto, video e documenti lasciano i dispositivi personali e sono conservati su computer altrui. Perchè, alla fine, il cloud è, nella maggior parte dei casi, un computer altrui.

L’unico modo per prevedere un sistema di sicurezza dei dati statici è quello di impostare una vera e propria barriera d’accesso agli stessi prevedendo l’ipotesi che, in un'ottica di analisi del rischio, un estraneo si possa impossessare del dispositivo.

L’analisi andrebbe fatta immaginando il peggior evento che possa capitare ai nostri dati più importanti: un soggetto ci ruba il computer portatile, qualcuno s’impossessa del nostro telefono, scordiamo una chiavetta USB inserita in un computer altrui o in metropolitana, perdiamo un CD, e "rappresentazioni" simili.

Il problema, in questo caso, è che la nostra attenzione non deve essere rivolta alla perdita dell’oggetto materiale in sé (che oggi, tranne casi eccezionali, ha un valore contenuto), ma al valore che assume il nostro dato.

La barriera d’accesso ai dati statici può essere di due tipi.

La prima è costuita da una password forte, ossia complessa, unica e non annotata in nessun luogo, che impedisca in prima battuta al curioso di vedere i dati.

In sintesi: chi ha rubato o trovato il nostro computer, o il telefono, o l’hard disk esterno, o la chiavetta USB, e cerca di curiosare nei nostri contenuti, non vedrà altro che una maschera di autenticazione che gli richiede  una password. Non conoscendo la password, non riuscirà ad entrare.

La seconda barriera, ben più sicura, è la cifratura dei dati: i dati sul dispositivo, anche se qualcuno possedesse nozioni o strumenti per aggirare la richiesta di password, sono incomprensibili in quanto sono stati “trattati” con algoritmi di crittografia insuperabili.

Una password sicura, e un sistema di cifratura, sono i due elementi essenziali per proteggere adeguatamente i dati "statici"

La differenza tra “dati in chiaro” e “dati cifrati”, od oscurati, è diventata oggi essenziale. Tutti i dispositivi più comuni (iOS, Android, ma anche i "vecchi" Blackberry) e tutti i sistemi operativi (Windows, Mac, GNU/Linux) più moderni permettono di impostare il file system (ossia l’organizzazione e il modo in cui sono salvati i dati sul dispositivo) cifrato, o di “preparare” e formattare dischi esterni o chiavette affinché sia richiesta, all’atto dell’inserimento del dispositivo, una password per decifrare i dati.

Questo passaggio, che non è affatto complesso da un punto di vista tecnico, cambia completamente il livello di sicurezza e di protezione dei dati, alzando sensibilmente l'invulnerabilità del sistema.

In sintesi: nessun dato presente sui dispositivi a uso del professionista o dell'utente previdente (che, ad esempio, ha i dispositivi pieni di dati personali) dovrebbe essere in chiaro, bensì dovrebbe essere sempre cifrato. Ciò permette di proteggere i dati statici all’occorrenza dei più comuni incidenti informatici.

Una buona regola, oggi indispensabile, è iniziare a "migrare" tutti i nostri dati da sistemi di memorizzazione in chiaro a sistemi di memorizzazione cifrata.

La sicurezza dei dati “in transito” è, invece, leggermente più complessa, dal momento che il transito dei dati comporta un collegamento tra due o più punti (si pensi al nostro browser che si collega a un sito web, o a una e-mail che viaggia da un utente all’altro, e così via) e, di conseguenza, approntare un ambiente sicuro in un quadro dove i punti deboli possono esser molti diventa più spinoso.

Il timore maggiore, nei dati in transito, è quello del cosiddetto man in the middle, ossia di un soggetto che si ponga “in ascolto” tra i due nodi della comunicazione e cerchi di intercettare il flusso di dati.

Per la connessione a siti web critici e di grande importanza (il sito della propria banca, il sito della cassa di previdenza, il sito della posta elettronica certificata) occorre verificare che sia sempre attivato l’https.

Quella “s” finale dopo il classico “http” cambia completamente le carte in tavola, perché indica una connessione sicura: i dati trasmessi sono cifrati e, di conseguenza, anche una intercettazione del flusso dei dati da parte di un terzo si risolverebbe nell’acquisizione di una massa di informazioni incomprensibili o, comunque, richiederebbe molte risorse ed energie in più per l'attacco.

Alcuni sistemi indicano visivamente questo tipo di connessione con un lucchetto, ed è possibile impostare le preferenze del proprio browser, o del proprio sito, di modo che si colleghi solo se dall’altra parte “vede” una connessione sicura e rifiuti altri tipi di connessioni non sicure o che costringa ("force") chi si collega ad attivare una connessione sicura.

Il sistema di https è uno standard, oggi, molto diffuso per garantire un buon livello di sicurezza (essenziale) nelle connessioni a siti e servizi sul web.

Con riferimento, invece, ai dati in transito via e-mail, le opzioni di sicurezza sono due.

La prima è quella di non inviare allegati importanti in chiaro (ad esempio: la dichiarazione dei redditi di un soggetto spedita via e-mail) ma di cifrare il documento e comunicare, poi, la chiave di decifratura con un canale sicuro, e non più la mail (ad esempio a voce).

Si pensi all’invio di un allegato cifrato e poi, successivamente, alla comunicazione della password al telefono (lo stesso principio del PIN del Bancomat che viaggia separato dalla carta). In ambito medico tali prassi sono già abbastanza diffuse, soprattutto nel caso di invio di esiti di analisi.

Una seconda idea può essere quella di usare sempre sistemi di posta elettronica certificata che, oltre a requisiti temporali, garantiscano la protezione da virus e, in molti casi, la cifratura del messaggio in viaggio.

L’uso della posta elettronica certificata anche per comunicazioni personali, e non solo per relazionarsi con altri professionisti o con uffici, può infatti alzare notevolmente il livello di sicurezza nelle comunicazioni.

Anche nelle comunicazioni via posta elettronica si può alzare il livello di sicurezza o scegliendo servizi che consentano comunicazioni cifrate, o allegando soltanto documenti cifrati per, poi, comunicare al ricevente la chiave per decifrare.