|
Requisiti di sicurezza e protezione 4) IL COMMERCIO ELETTRONICO torna all'indice 4.1 Introduzione torna all'indice La definizione di Commercio Elettronico è il risultato della combinazione di diversi parametri di tipo evolutivo. Molti ricordano lo standard per lo scambio di informazioni strutturate tra computers, anche di organizzazioni diverse, noto come Electronic Data Interchange. L'AIPA (Autorità Informatica per la Pubblica Amministrazione) con la comunicazione in Gazzetta Ufficiale della circolare del 3 giugno 1999, AIPA/CR/22, ha notificato al paese un sistema legale dell'atto formato in via elettronica. La firma digitale, che fa parte del più ampio genere delle firme elettroniche, è la modalità di sottoscrizione scelta dal Legislatore per dare valore legale agli atti informatici. È palese che "firma elettronica" e "firma digitale" non sono sinonimi. La prima espressione indica una tecnica che consente di associare dati (ad esempio una firma) ad altri (esempio un documento) con finalità di autocertificazione. La seconda si riferisce ad uno specifico tipo di firma elettronica cioè quella che utilizza il sistema di criptografia a chiave pubblica (o asimmetrica). La firma elettronica quindi non impone una specifica tecnologia, mentre la firma digitale comporta necessariamente il riferimento ad una tecnologia determinata, quella della criptografia a chiave pubblica. Nel 1997 è stato introdotto il termine e-business; prima di allora la parola più usata era e-commerce o commercio elettronico. Il cambio di termine significa anche un cambio di paradigma. Mentre in un primo momento l'esperienza era di vendita di prodotti che poteva essere fatta tramite la rete, successivamente si è capito che tanti altri tipi di business possano essere attivati tramite il complesso che definiamo telecomunicazione. L'integrazione si completa con il ruolo importante derivante dalla rete delle reti Internet. Qui di seguito si riassumono le principali caratteristiche del commercio elettronico nel contesto della sicurezza. Fra tutti i comparti dell'economia presenti su Internet quello che al momento determina una crescita occupazionale più significativa è rappresentato dal commercio elettronico, che tra il 1998 e il 1999 ha creato 100 mila nuovi posti di lavoro. Salgono così da 1,6 milioni nel 1998 a 2,3 milioni nel 1999 le persone che hanno un lavoro legato ad Internet. L'epicentro di questo processo si colloca nella Silicon Valley, zona dell'area della California che concentra il meglio della nuova imprenditorialità e dei finanziatori, e dove nel corso del 1998 l'ammontare degli investimenti in Venture Capital è stato di 3,3 miliardi di dollari, concentrato sulle software houses e sulle Internet Company. I risultati di questa effervescenza tecnologica sono dimostrati dal lancio da parte di 32 aziende di una "Initial Public Offering" (IPO), e dal caso delle "gazelle company", cioè di quelle aziende che dopo la quotazione sono cresciute almeno del 20% del loro valore, costituendo oggi il 2% delle società quotate in quell'area. Gli ingredienti che rendono quell'area così vincente sono rappresentati:
L'aspirante imprenditore infatti oltre a dover superare le difficoltà legate alla scelta di collaboratori specializzati e al reperimento dei capitali (anche se le cose stanno migliorando), spesso si trova isolato e quindi impossibilitato nel decollo. A sostegno di una
politica di crescita del commercio elettronico deve ancora affermarsi in
Italia una cultura informatica e una sufficiente fiducia del cliente
verso questo nuovo canale distributivo. 4.3 Nuovi scenari tecnologici torna all'indice Oggi si parla di tecnologie per la trasmissione dati a banda larga. L’accesso ad Internet sarà sempre più orientato verso soluzioni in fibra ottica con sistemi DSL, UMTS, e satellitari. I sistemi ADSL consentono anche ai provider, per esempio con tecnologie come l’UMTS, di offrire servizi innovativi. Vi sono poi delle situazioni di convergenza, quali quella tra i sistemi di trasmissione via cavo ed i sistemi di tipo wireless, con particolare riguardo ai sistemi satellitari. L’EITO (EUROPEAN INFORMATION TECNOLOGY OBSERVATORY) già dal 1993 con il proprio osservatorio segue diversi settori sul piano innovativo e ad esso conviene riferirsi per un panorama sintetico sul commercio elettronico. Nel seguito viene messo evidenza il fatto che ad oggi la vera rivoluzione causata dall’adozione di sistemi di commercio elettronico da parte delle aziende non è di tipo tecnologico, ma investe principalmente il settore del reengineering di processo. In altri termini le difficoltà che stanno incontrando e che incontreranno le realtà che implementeranno sistemi di e-commerce non sono di tipo tecnologico, ma organizzativo e strutturale. Nei prossimi anni, afferma il rapporto EITO, ci sarà un fortissimo cambiamento nella demografia della rete, che porterà già nel 2003 la popolazione utente europea ad eguagliare numericamente quella statunitense. Europa ed America, complessivamente, raggiungeranno i due terzi dell’utenza Internet nel mondo. Nei prossimi tre anni, poi, il PC, quale strumento di accesso alla rete, perderà terreno in funzione dell’avanzata di sistemi come Internet–TV, set-top box, e Personal Digital Assistant. Per quanto riguarda le dimensioni economiche del fenomeno, le vendite on-line, mondialmente, sono destinate a crescere di quattordici volte tra il 1998 ed il 2003; anno nel quale l’e-commerce mondiale raggiungerà una cifra compresa tra i 1.500 ed i 4.500 miliardi di Euro. Le principali valutazione dell’EITO circa l’e-commerce europeo sono:
La maggiore di queste cifre, realmente impressionante se si considera che è pari al 17% di tutte le vendite effettuate a livello mondiale, sarà raggiunta solo se i paesi sviluppati adotteranno politiche favorevoli alla diffusione del fenomeno. In caso contrario, comunque, il valore dell’e-commerce dovrebbe raggiungere il 7,5% del totale del commercio mondiale.
L’estrema articolazione e ramificazione della rete Internet, unite alla necessità di consentire a tutti l’accesso al server sul quale è presente il sito, pone delle inevitabili problematiche di sicurezza che devono essere assolutamente considerate se si vuole salvaguardare l’integrità e la segretezza dei dati trattati; in particolare se si è optato per una soluzione in-house. Il modo migliore per salvaguardare i propri sistemi si basa sulla combinazione di tecniche di protezione dei singoli elaboratori (host security), con tecniche rivolte alla protezione di intere reti (network security). E' importante dunque che i singoli elaboratori siano configurati al meglio per evitare intrusioni, e che anche l’accesso fisico ai locali sia esclusivamente riservato al personale autorizzato. Si può inoltre studiare una strategia che garantisca un controllo su quello che accade su tutta la nostra rete e su chi vi acceda dall’esterno. A questo fine si possono adottare sia soluzioni più o meno semplici quali la password, sia l'utilizzo di particolari porte di tramite con il mondo esterno, ovvero i firewall. L’uso della password ha come vantaggio l’estrema facilità d’uso. Di solito vengono utilizzate per consentire l’accesso a specifiche informazioni o banche dati, ad un "navigatore" già conosciuto (registrato) dal sito. L’uso della password è però preferibile per accedere a informazioni non strategiche; è infatti possibile, per un malintenzionato, entrare nel sistema grazie all’acquisizione di codici d’accesso (password) banali. Le aziende non stimolano abbastanza gli utenti della rete ad adottare parole chiave complesse. Sono infatti fin troppo diffuse password composte da quattro soli caratteri, spesso tutti uguali, o che ripropongono la data di nascita o il nome della moglie o dei figli. Anche obbligare gli utenti a cambiare periodicamente (almeno ogni tre - quattro mesi) la password è un valido sistema per impedire l’accesso a soggetti non autorizzati. In generale si può senz’altro dire che l’esperienza di molti IT Manager di grandi aziende è arrivata alla conclusione che è veramente difficile trovare il giusto equilibrio; perché password che impongono troppe regole molte volte sortiscono l’effetto opposto in termini di sicurezza, perché l’utente è costretto a scriverle da qualche parte per non dimenticarle (magari proprio accanto al video); soprattutto oggi dove in azienda, per l’accesso in rete e l’uso dei servizi, bisogna fare molti "login" digitando molte volte l’ "user" ed altrettante volte la password. Per quanto riguarda i firewall, questi sono dispositivi o software che si frappongono tra una rete interna a sicurezza più elevata ed il mondo esterno, vagliando ogni singola richiesta di dati e consentendo o meno l’accesso secondo delle predefinite politiche di sicurezza. In questo modo è possibile impedire l’accesso dall’esterno verso particolari zone della propria rete ma anche controllare il traffico interno verso particolari zone riservate con informazioni sensibili. I firewall che vengono utilizzati per comunicare con Internet utilizzano il protocollo TCP-IP. È possibile, infatti, controllare il traffico diretto verso i vari elaboratori tramite il loro indirizzo IP, che identifica ogni computer in maniera univoca. Infatti ogni computer collegato ad Internet è raggiungibile tramite l’indirizzo IP composto da 4 byte (cifre da 0 a 225) del tipo: 194.20.3.160. Quest’indirizzo è unico per ogni computer e può essere associato, ad esempio, ad un Web Server, cioè ad un server che offra il servizio di ospitare un sito Internet. Nel caso in cui si vogliano sviluppare siti Internet che si occupino di commercio elettronico, o comunque con necessità di comunicazione di dati riservati, si presenta un altro grosso problema di sicurezza. I dati che viaggiano tramite il protocollo TCP-IP, infatti, attraversano diverse reti su cui il navigatore e chi gestisce il sito spesso non hanno completo controllo. È possibile che durante il passaggio qualche malintenzionato intercetti i pacchetti contenenti informazioni riservate (come ad esempio un numero di carta di credito) per farne un uso fraudolento. Questa tecnica è detta di sniffing dei pacchetti TCP-IP; essa consente a chiunque abbia accesso ad un elaboratore posto su una delle reti attraversata dalle informazioni, di appropriarsene in maniera trasparente rispetto alla comunicazione in atto. Per ovviare a questo inconveniente si utilizza solitamente un protocollo di comunicazione criptato che cifra i dati al momento della creazione e ne consente la decrittazione solo da parte del destinatario una volta giunti a destinazione. Chiunque intercetti le informazioni durante il tragitto otterrà esclusivamente i dati cifrati e illeggibili. La maggior parte dei protocolli sicuri utilizzati su Internet si basano su tecniche di crittografia asimmetrica. La crittografia asimmetrica è così detta perché richiede una coppia di chiavi diverse, una pubblica ed una privata per ogni entità che desidera comunicare in maniera sicura. Queste chiavi non sono altro che una successione di lunghezza variabile di numeri (più è lunga la chiave in bit, più sicura è la tecnica di crittografia), che consentono, tramite diversi algoritmi matematici, di trasformare un messaggio in chiaro in criptato o viceversa. Per ovviare a problemi di contraffazione delle chiavi sono state istituite le Certification Authorities (CA); esse sono degli enti fidati, creati per garantire l’identità delle chiavi pubbliche. La CA più comune è l’americana Verisign, che garantisce tramite i propri certificati l’identità di molti siti che fanno commercio elettronico. La legislazione italiana prevede un albo delle CA a cui i vari enti possono iscriversi presentando garanzie di serietà sul trattamento e conservazione dei dati delle chiavi. Le firme digitali apposte su documenti digitali con valore legale dovranno essere garantite da CA iscritte a questo albo. E' interessante esaminare un pò più in dettaglio come queste tecniche di crittografia sono state applicate ai diversi protocolli di Internet, aggiungendo dei livelli di sicurezza alla situazione esistente. Il protocollo più usato per garantire comunicazione sicure è Secure Socket Layer (SSL) attualmente diffuso nella versione 3. Il sistema funziona in modo che le due parti codifichino il pacchetto usando la chiave pubblica dell’interlocutore e decifrino i propri pacchetti con la propria chiave privata. A livello applicativo, l’implementazione sicura dell’http si chiama https. Quando nella barra di indirizzo del nostro browser vediamo la scritta https di un sito siamo sicuri di comunicare in maniera criptata e non intercettabile per i nostri dati sensibili. Il sistema principale per fare acquisti on line è la carta de credito. Tramite un semplice numero di carta, nome, cognome e data di scadenza, infatti è possibile acquistare merce. Un CSP, (COMMERCE SERVICE PROVIDER), per processare ordini con carta di credito, deve stringere accordi con un acquirer; ovvero con un ente autorizzato all’addebito dalle società delle carte di credito. Di norma gli acquirer (banche o altri) comunicano con i CSP tramite protocolli predefiniti (standard ISO o modifiche di protocolli esistenti) su canali dedicati, od eventualmente via X25; raramente viene usata una normale concessione Internet TCP/IP. Il CSP utilizzerà dunque questo canale per verificare la disponibilità di credito sulla carta e, una volta evaso l’ordine, per chiedere l’addebitamento. Un altro sistema di pagamento spesso utilizzato è quello dei micropagameti. Nel caso di merci con prezzo unitario irrisorio, come ad esempio consultazioni di singole informazioni, giochi on line, e simili, la commissione di utilizzo delle carte di credito può essere addirittura superiore all’importo speso per il singolo acquisto. In questo caso si vendono dei tipi di tessera a scalare all’utente, che con un singolo pagamento acquista un "borsellino" da cui i pagamenti vengono successivamente scalati. La transazione con l’acquirer e la relativa commissione avvengono una tantum, poi è il CSP stesso a gestire la altre microtransazioni. Il Commerce Service Provider (CSP) è normalmente colui che si preoccupa di elaborare gli ordini ricevuti nel sito, processando le transazioni ed inoltrandole ad un’ instituzione finanziaria (banca o affine); inoltre dovrà, nel caso di ordini di beni fisici, interagire con il magazzino e il sistema di spedizione. La legislazione italiana, inoltre, prevede il diritto di recesso, equiparando le vendite online a quelle per corrispondenza. Un altro importante
fattore che la nostra e molte altre legislazioni prevedono è
l’obbligo di addebitare la carta di credito solo dopo l’effettiva
spedizione della merce. Questo implica la necessità di un sistema
estremamente affidabile, in grado di gestire ordini "in
sospeso" senza rischi di perdite, che conservi i dati sensibili
(come ad esempio numeri di carta di credito) in maniera assolutamente
sicura. 5) LE AUTORITÀ DI GARANZIA torna all'indice 5.1 Introduzione torna all'indice Il problema di selezionare ed usare password affidabili e sicure diviene sempre più importante con il passare del tempo. Il numero e l'importanza dei servizi che vengono forniti tramite i computer e le reti è sempre in crescita ed in molti casi questi servizi richiedono password o altre forme di identificazione. Per motivi diversi, tra i quali ovvie ragioni legate alla sicurezza, gli utenti devono usare diverse password per diversi sistemi o servizi, trovando difficoltà nel ricordare e proteggere le singole password. Le password non sono critiche solo durante le operazioni di login, ma anche in sofisticati sistemi di fornitura di servizi. Le password sono necessarie anche per proteggere informazioni segrete che non possono essere tenute a memoria dall'utente (es. chiavi private nel software crittografico e per l'autenticazione, che cominciano a diventare parte essenziale di molte applicazioni). Il numero di possibili password è solitamente troppo grande per permettere un attacco esaustivo, perché esso è uguale ad |alfabeto|lunghezza-password. Comunque il numero di password che sono potenzialmente selezionabili in pratica è parecchio più piccolo. Le password utente spesso consistono di semplici variazioni di parole comuni e raramente includono più di un carattere speciale. In molti più casi di quanto si possa immaginare, la password è costituita dal semplice nome dell'utente, o da un'altra informazione facilmente recuperabile. In ambienti multi-utente, in particolare su sistemi Unix, uno degli attacchi ancora più diffusi e semplici è quello basato sul guessing. Esiste del software di pubblico dominio di eccellente fattura indirizzato a questo scopo, come il famigerato crack . L'uso di tecniche d'attacco come queste è reso più facile in sistemi dove le password crittografate sono leggibili da tutti, come in molti sistemi Unix. Più precisamente, se un intruso può leggere il file Unix /etc/passwd, egli può eseguire programmi come crack per scoprire qualche password utente, e quindi sostituirsi all'utente stesso per compiere attacchi più sofisticati. Un programma basato sul guessing, può usare questo file per un attacco off-line. Un numero enorme di password per ogni utente può essere provato e se la password corrispondente verrà incontrata, essa sarà scoperta. [Crack è molto efficace in pratica, ma è richiesto comunque un grosso dispendio di spazio disco, dato che il processo di crittografia delle password dipende da un parametro chiamato "salt", che può avere valori differenti.] Su sistemi Unix più recenti, o installando appropriate patches , l'informazione sulle password può essere spostata presso un file chiamato shadow, leggibile solo dal superuser. Questa è sicuramente una miglioria rispetto ai precedenti ambienti Unix, dato che rende impossibili semplici attacchi off-line. Comunque non è sicuramente una soluzione definitiva del problema specifico. Primo, gli utenti possono usare la stessa password su sistemi differenti, e qualcuno di questi sistemi può non proteggere il file delle password. Secondo, il file shadow potrebbe divenire leggibile per una ragione qualsiasi, ad esempio tramite un nastro di backup rubato. Infine, anche se l'intruso ottiene il completo controllo del sistema, potrebbe avere bisogno delle password di normali utenti esistenti, per connettersi sotto falsa identità e magari per preparare incursioni in altri nodi della rete. Parlando in un'ottica più generale, quanto detto si può trasferire a qualsiasi sistema che richieda una certa riservatezza e quindi una certa protezione. Il modo più comune di autenticare utenti è tramite password, e i sistemi devono avere modo per convalidare le password. L'informazione relativa alle password verrà conservata in memoria, in dischi e nastri, comunicata attraverso la rete, condivisa tra gli utenti in modi più o meno sicuri. In questo scenario, la scelta da parte dell'utente di password "difficili" che resistano ad attacchi basati su guessing è essenziale. Per una buona selezione di password, tre tecniche sono generalmente note:
L'approccio "preliminare" è considerato il migliore, dato che non soffre delle difficoltà intrinseche delle altre tecniche. Sorprendentemente, la letteratura su questo soggetto è limitata, se si considera la grande importanza pratica del problema. Inoltre, i metodi proposti per una selezione preliminare delle password sono criticati e le loro prestazioni sono limitate rispetto all'efficienza ed all'affidabilità. La normativa fondamentale che regola tutta questa materia è il D.P.R. del 10/11/1997 n.513, di cui conviene evidenziare i brani più significativi. Capo I - Princìpi generali 1. Definizioni. 1. Ai fini del presente regolamento s'intende:
3. Requisiti del documento informatico.
4. Forma scritta.
5. Efficacia probatoria del documento informatico.
3. Salvo quanto previsto dall'articolo 17, le attività di certificazione sono effettuate da certificatori inclusi, sulla base di una dichiarazione anteriore all'inizio dell'attività, in apposito elenco pubblico, consultabile in via telematica, predisposto tenuto e aggiornato a cura dell'Autorità per l'informatica nella pubblica amministrazione, e dotati dei seguenti requisiti, specificati nel decreto di cui all'articolo 3:
4. La procedura di certificazione di cui al comma 1 può essere svolta anche da un certificatore operante sulla base di licenza o autorizzazione rilasciata da altro Stato membro dell'Unione europea o dello Spazio economico europeo, sulla base di equivalenti requisiti. 9. Obblighi dell'utente e del certificatore. 1. Chiunque intenda utilizzare un sistema di chiavi asimmetriche o della firma digitale, è tenuto ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad altri. 2. Il certificatore è tenuto a:
L'elenco pubblico dei certificatori, previsto dall'articolo 8 del DPR 10 novembre 1997, n.513 e specificato nel DPCM 8 febbraio 1999, viene mantenuto dall'Autorità e viene reso disponibile per via telematica attraverso la rete Internet e la rete telefonica. L'elenco deve contenere, per ogni certificatore abilitato, le seguenti informazioni:
Certificatori Alla data odierna l'elenco pubblico dei certificatori comprende otto aziende: - Società Interbancaria per l'Automazione - Cedborsa (SIA S.p.a.). (dal 27/01/2000) Il gruppo di lavoro appositamente costituito presso l'autorità ha elaborato le linee guida per l'interoperabilità dei Certificatori, contenute nella circolare AIPA n. 24.
5.3 Servizi di certificazione torna all'indice La Certification
Authority italiana è in grado di emettere certificati secondo lo
standard CCIIT X509 v3, compatibile con le specifiche attuali dello
standard SET. Attualmente può emettere certificati sia per client sia
per server, in particolare: 5.3.1 Firma digitale - Interoperabilità dei Certificatori torna all'indice La garanzia di una omogeneità operativa ed una corretta interazione tra gli utenti che utilizzano la firma digitale è il presupposto fondamentale affinché la diffusione di questo strumento sia permeante ed efficace. In altre parole, occorre garantire che i documenti firmati da un soggetto mittente che utilizza i servizi offerti da un certificatore possano essere letti e gestiti da un soggetto destinatario che invece utilizza i servizi offerti da un altro certificatore. Se ciò non fosse possibile, lo scambio di documenti elettronici potrebbe avvenire solo fra individui che utilizzano uno stesso certificatore con una evidente penalizzazione delle potenzialità offerte dagli strumenti di firma. Sul tema, la legislazione vigente consente l'utilizzo di una serie di algoritmi e di strutture dati appartenenti sia a standard de facto che a standard de jure. Al fine di non individuare una determinata specifica tecnica che potrebbe generare squilibri se non addirittura escludere dei fornitori, e con l'obiettivo di fornire delle indicazioni di riferimento validate ed approvate dagli attori di mercato, l'Autorità per l'Informatica nella Pubblica Amministrazione ha costituito un gruppo di lavoro. All'attività del gruppo hanno partecipato, oltre l'AIPA, le Certification Authority già inscritte o di imminente iscrizione nell'elenco pubblico previsto dal D.P.R. 513/99. Il gruppo, con l'ulteriore apporto della Banca d'Italia, ha prodotto un documento di Linee Guida. La conformità alle specifiche in esse contenute sono indispensabili per operare correttamente all'interno di tutta la Pubblica Amministrazione. Le Linee guida elaborate dal gruppo di lavoro costituiscono l'avvio di una continua collaborazione tra l'Autorità ed i Certificatori con l'obiettivo di garantire la massima diffusione ed efficienza dei processi connessi alla firma digitale. Tali processi seguiranno tempestivamente gli standard de jure e de facto a mano a mano che questi si renderanno disponibili a livello europeo e mondiale. I due documenti prodotti dal gruppo di lavoro fanno riferimento alle "Linee Guida per l'interoperabilità dei certificatori" e alle "Linee Guida per l'interoperabilità dei certificatori - Allegato tecnico". Sulla base di tali
documenti - che vengono qui di seguito riportati per completezza, ma che
hanno valore solo documentale e non prescrittivo - l'Autorità ha
emanato la circolare n. 24, pubblicata sulla Gazzetta Ufficiale n. 151
del 30 giugno 2000. 5.3.1.1 La Certificazione CertWEB torna all'indice
Certificare il WEB server è sicuramente utile. La certificazione del server è condizione necessaria per garantire la riservatezza delle transazione tra server e client, poichè permette di attivare il protocollo SSL per la trasmissione di pagine HTTP sicure tra il server WEB ed il browser client. La certificazione garantisce non solo la riservatezza delle transazioni, ma anche l'identità del server che effettua le transazioni; è infatti la Certification Authority (C.A.) che verifica e garantisce l'identità del server certificato. La procedura da seguire per la certificazione è la seguente:
Generalmente l'emissione del certificato avviene entro 3 gg dal completamento delle verifiche da parte della C.A.
- CertCA: Per altre Autorità di Certificazione autonome - CertMail: Per certificare la disponibilità di una casella e-mail ed abilitare l'uso di posta sicura Per inviare posta è necessario avere un mailer per l'invio di posta SICURA, un certificato personale e disporre di un mailer abilitato, come quello compreso in Microsoft Internet Explorer 4.0 o Netscape Comunicator 4.0. Se si possiede già il certificato personale CertMAIL, per inviare un messaggio criptato al corrispondente si devono per prima cosa scambiare i certificati personali (scambiarsi i certificati personali significa comunicare al proprio corrispondente la chiave pubblica, la chiave privata rimane sul vostro computer e non viene mai inviata in rete). Il sistema più semplice per scambiarsi i certificati personali è inviare un messaggio firmato al Vostro corrispondente, si prepara il messaggio normalmente e prima di inviarlo si clicca sul Message Sending Option e sulla voce Signed ('firmato'). Il corrispondente farà altrettanto. Si riceverà un messaggio con una icona indicante che il messaggio è 'firmato', contiene quindi il certificato del corrispondente. Cliccando sull'icona, il certificato verrà inserito fra quelli disponibili per l'invio di posta criptata. Si può quindi inviare un messaggio di posta SICURA ai vari corrispondenti, preparando il messaggio normalmente e prima di inviarlo cliccando sul Message Sending Option, sulla voce Signed 'firmato' e sulla Voce Encripted. Il corrispondente farà altrettanto.
5.3.1.4 Altre certificazioni torna all'indice Le altre certificazioni possibili sono le seguenti:
5.4 La normativa di riferimento torna all'indice I documenti principali di riferimento sono quindi:
5.5 La certificazione e le aziende torna all'indice Un aspetto molto importante della certificazione pubblica riguarda i problemi ed i comportamenti in proposito per esempio delle aziende. Ed un caso molto peculiare è quello delle aziende produttrici di software, in particolare destinato agli aspetti della sicurezza. Per esempio è frequente il caso di aziende note per essere state create per offrire servizi di informatica in particolare verso i grossi sistemi informativi quali quelli di banche, assicurazioni, servizi di pubblica utilità etc. Lo sviluppo del software ed in generale la continua evoluzione tecnologica ha spesso portato come risultato ad avere sistemi informativi sempre più aperti con la necessità di trovare soluzioni per la loro protezione. Nell’ambito di questa attività è nata l’esigenza di formare personale specializzato su problematiche di sicurezza dei sistemi informativi Così nell’ambito delle società di questo tipo si sono venute a formare delle divisioni importanti; dove la sicurezza è vista anche in un ambito "filosofico"; in tal modo si cerca di conoscere le problematiche specifiche; si cerca di proporre le soluzioni volta per volta più idonee a seconda dei livelli di sicurezza necessari. Possono essere soluzioni hardware o strumenti per la sicurezza che vanno poi integrati su delle realtà preesistenti, ossia di procedure finalizzate a gestire le problematiche legate alla sicurezza. Accade cioè di dover proteggere strumenti complicati con quantità immense di dati inseriti, ma che possono comunque essere violati con vecchi sistemi (quali quello di circuire il personale) o da complici involontari. La migliore modalità di approccio propone una duplice azione: - analisi delle procedure interne, delle modalità di accesso ed utilizzo del sistema informativo, analisi della violabilità che il sistema operativo comporta; - conseguente creazione del sistema con il coinvolgimento dei livelli più alti del management della policy di sicurezza che andrà poi a gestire le problematiche operative. Ma in generale è importante definire a priori a quanto potrebbe ammontare il danno di un eventuale attacco criminale, e quanto verrebbero a costare le eventuali procedure legali. Su questo argomento bisogna prendere atto del vuoto normativo in materia. Il DPR 318/del 1999 punisce penalmente chi è tenuto a conservare i dati e non lo fa proteggendosi nel modo più efficace. Questo testo legislativo è quindi importante perché va a configurare la necessità che le società di "security team" rispondano della gestione dei dati che vanno protetti e della formazione della struttura che vanno a costituire. Anche perché bisogna ricordare che un terzo degli attacchi sono avvenuti anche attraverso i virus creando danni ingenti, ma il più delle volte per cause di natura involontaria. La sicurezza assoluta comunque non esiste, e in particolare in Italia non esiste una grossa sensibilità verso il problema sicurezza. Ma ci si può porre anche altre domande sulle problematiche del commercio elettronico, per esempio ponendo l’accento su chi e come garantisce la sicurezza del servizio nel suo complesso; si può ipotizzare uno schema che vede da una parte il venditore e dall’altro il compratore, con nel mezzo il computer (Internet) e nessun altro; mentre esistono altri soggetti quali ad esempio il corriere che trasporta l’oggetto a casa. Al compratore non interessa la sicurezza in astratto ma che tutto il meccanismo funzioni in modo sicuro, oltre che rapido. In realtà per una corretta gestione del processo, si stanno cominciando ad individuare gli standard relativi a questi parametri, per poter poi di fatto certificare che un sito dove si fa commercio elettronico rispetti determinati requisiti di base che possono essere riassunti in: - trasparenza, dei prodotti e servizi (prezzi e validità delle offerte), - chiarezza nelle procedure di acquisto, - possibilità del recesso - possibilità del non ripudio. Si potrebbe obiettare che quanto finora illustrato è una fase del procedimento visto da un organismo dalla parte dei consumatori. Tornando al discorso della normativa si pone l’accento sul fatto che pochi fanno investimenti sulle normative perché hanno un costo. Ma ne esistono anche altri. Per esempio esiste un ruolo per il mondo delle "assicurazioni", che può influenzare molto i tipi di contratti che si stipulano. D'altra parte è significativo che attualmente non c’è nessun service provider che sia proprietario anche della rete. E quindi i soggetti interessati sono: - i service provider che forniscono il servizio, - l’utente che si collega - il network provider che fornisce la rete: Quindi nessuno oggi in realtà può garantire il risultato completo e finale. Non c’è una possibilità
assoluta di cautela e normalmente è responsabilità del provider
garantire tutte le variabili e le possibili conseguenze legali. | inizio pagina | |