VERSO UNA CULTURA DELLA SICUREZZA PREFAZIONE

1. L’impiego di sistemi informativi e di reti e l’intero settore delle tecnologie dell’informazione sono considerevolmente diversi rispetto al 1992, quando l’OCSE pubblicò le Linee-guida per la sicurezza dei sistemi informativi. Questa continua evoluzione comporta significativi benefici, ma richiede anche un’attenzione alla sicurezza molto più consistente da parte di governi, imprese, altri enti e singoli utenti che sviluppino, possiedano, forniscano, gestiscano, mantengano e utilizzino sistemi informativi e reti ("parti in causa").

2. Personal computer sempre più potenti, la convergenza di tecnologie diverse e l’impiego diffuso di Internet hanno fatto scomparire i sistemi isolati e più modesti, situati all’interno di reti prevalentemente chiuse. Oggi l’interconnessione di tutte le parti in causa è sempre più accentuata, e le connessioni travalicano i confini nazionali. Inoltre, Internet supporta infrastrutture critiche come energia, trasporti e finanze e svolge un ruolo essenziale nell’attività delle imprese, nella fornitura di servizi a cittadini e imprese da parte dei governi, e nelle comunicazioni e nello scambio di informazioni fra i singoli cittadini. Anche la natura e la tipologia delle tecnologie che formano l’infrastruttura comunicativa e informativa si sono modificate significativamente. Numero e natura dei dispositivi per l’accesso a tale infrastruttura si sono moltiplicati fino a comprendere dispositivi fissi, wireless e mobili, e l’accesso avviene in misura crescente attraverso connessioni "sempre attive". Pertanto, sono aumentati in misura sostanziale la natura, il volume e la delicatezza delle informazioni trasmesse.

3. A seguito della crescente interconnettività, i sistemi informativi e le reti sono esposti attualmente a minacce e rischi sempre più numerosi e di più varia tipologia. Tutto ciò solleva nuove problematiche di sicurezza. Per tali motivi, le presenti Linee-guida sono rivolte a tutte le parti in causa nella nuova società dell’informazione, e indicano l’esigenza di una maggiore consapevolezza e comprensione delle problematiche attinenti la sicurezza oltre che la necessità di sviluppare una "cultura della sicurezza".

4. Le presenti Linee-guida intendono fornire una risposta alla continua evoluzione del settore della sicurezza promuovendo lo sviluppo di una cultura della sicurezza — ossia, un’attenzione particolare alla sicurezza nello sviluppo di sistemi informativi e reti e l’adozione di nuovi approcci mentali e comportamentali nell’utilizzazione di sistemi informativi e reti e nelle interazioni che avvengono al loro interno. Le Linee-guida segnano una netta soluzione di continuità con l’epoca in cui la progettazione e l’utilizzazione di reti e sistemi secondo criteri di sicurezza rappresentavano troppo di frequente una valutazione a posteriori. Cresce di continuo la dipendenza delle parti in causa da sistemi informativi e reti e dai relativi servizi, che devono essere affidabili e sicuri. Solo un approccio che tenga nel debito conto gli interessi di tutte le parti in causa e la natura dei sistemi, delle reti e dei relativi servizi, può garantire un’efficace sicurezza.

5. Ciascuna parte in causa rappresenta un soggetto importante ai fini della sicurezza. Le parti in causa, ciascuna secondo il rispettivo ruolo, dovrebbero essere consapevoli dei rischi per la sicurezza che le riguardano e delle corrispondenti misure preventive, assumersi proprie responsabilità ed agire al fine di potenziare la sicurezza di sistemi informativi e reti.

6. Per promuovere una cultura della sicurezza saranno necessarie una visione ispiratrice e un’ampia partecipazione, con l’obiettivo di conferire maggiore priorità alla pianificazione e gestione della sicurezza, nonché la comprensione diffusa fra tutte le parti in causa della necessità di garantire la sicurezza. Le questioni attinenti la sicurezza dovrebbero essere oggetto di attenzione responsabile a tutti i livelli governativi e imprenditoriali ad opera di tutte le parti in causa. Le presenti Linee-guida costituiscono le fondamenta di un’attività mirante a diffondere una cultura della sicurezza in tutti settori sociali. In tal modo le parti in causa potranno inserire la sicurezza come parte integrante della progettazione e utilizzazione di tutti i sistemi informativi e tutte le reti. Con le presenti Linee-guida si propone a tutte le parti in causa di adottare e promuovere una cultura della sicurezza nel considerare, valutare e intervenire sul funzionamento di sistemi informativi e reti.

7. Le presenti Linee-guida intendono

- promuovere una cultura della sicurezza fra tutte le parti in causa come strumento per tutelare i sistemi informativi e le reti,

- sensibilizzare rispetto ai rischi per i sistemi informativi e le reti, alle politiche, prassi, misure e procedure disponibili per affrontare tali rischi, e all’esigenza che esse siano adottate e messe in pratica,

- stimolare la fiducia fra tutte le parti in causa rispetto ai sistemi informativi ed alle reti ed alle modalità della loro fornitura e utilizzazione,

- creare un quadro generale di riferimento che aiuti le parti in causa a comprendere le tematiche della sicurezza ed a rispettare valori etici nello sviluppo e nell’applicazione di politiche, prassi, misure e procedure coerenti per la sicurezza di sistemi informativi e reti,

- promuovere fra tutte le parti in causa la cooperazione e lo scambio di informazioni, nei modi opportuni, rispetto allo sviluppo e all’attuazione di politiche, prassi, misure e procedure di sicurezza,

• promuovere l’inserimento delle tematiche di sicurezza fra gli obiettivi importanti per tutte le parti in causa che siano impegnate nella definizione o nell’attuazione di standard.

8. I nove principi indicati di seguito sono complementari e dovrebbero essere letti come un insieme unitario. Essi riguardano le parti in causa a tutti i livelli, fra cui il livello politico e quello operativo. Secondo le presenti Linee-guida, la responsabilità delle parti in causa varia in rapporto al ruolo rispettivamente svolto. Per tutte le parti in causa saranno utili la conoscenza, l’educazione, lo scambio di informazioni e la formazione in quanto seguite dall’adozione di migliori prassi e da una migliore comprensione delle tematiche di sicurezza. L’impegno mirante a potenziare la sicurezza di sistemi informativi e reti dovrebbe essere coerente con i valori di una società democratica, in particolare con l’esigenza della libera circolazione delle informazioni, e con l’attenzione fondamentale alla privacy dell’individuo.

La sensibilizzazione rispetto ai rischi ed alle tutele disponibili costituisce la prima linea di difesa per la sicurezza di sistemi informativi e reti. I sistemi informativi e le reti possono essere soggetti a rischi sia esterni sia interni. Le parti in causa dovrebbero comprendere che deficit di sicurezza possono danneggiare in misura significativa reti e sistemi soggetti al loro controllo. Dovrebbero inoltre essere consapevoli dei pregiudizi potenzialmente arrecabili a terzi per effetto dell’interconnettività e dell’interdipendenza. Le parti in causa dovrebbero essere a conoscenza della configurazione e degli aggiornamenti disponibili in rapporto al proprio sistema, della collocazione di quest’ultimo nelle reti, delle buone prassi da esse applicabili per potenziare la sicurezza, e delle esigenze di altre parti in causa.

Tutte le parti in causa fanno riferimento a sistemi informativi e reti interconnessi a livello locale e globale, e dovrebbero essere consapevoli delle rispettive responsabilità per quanto concerne la sicurezza di tali reti e sistemi. Dovrebbero risponderne ciascuna nei modi opportuni in rapporto alla funzione rispettivamente svolta. Le parti in causa dovrebbero riesaminare periodicamente le proprie politiche, prassi, misure e procedure valutando se siano adeguate al rispettivo contesto. I soggetti responsabili dello sviluppo, della progettazione e della fornitura di prodotti e servizi dovrebbero prendere in considerazione le tematiche della sicurezza di reti e sistemi e diffondere tempestivamente le informazioni opportune — ivi compresi eventuali aggiornamenti — in modo che gli utenti possano più facilmente comprendere le funzioni di sicurezza dei prodotti e servizi in questione e le rispettive responsabilità in termini di sicurezza.

In ragione dell’interconnettività dei sistemi informativi e delle reti e dei rischi potenziali di danni rapidi e diffusi, le parti in causa dovrebbero agire tempestivamente ed in modo cooperativo per affrontare problemi di sicurezza. Dovrebbero scambiarsi informazioni su rischi e vulnerabilità, nei modi opportuni, e mettere in atto procedure finalizzate ad una rapida ed efficace collaborazione in modo da prevenire, individuare e rispondere a problemi di sicurezza. Quando ammissibile, ciò può comportare uno scambio di informazioni e attività di cooperazione transfrontalieri.

In considerazione della pervasività dei sistemi informativi e delle reti nelle nostre società, le parti in causa devono comprendere che le loro azioni o omissioni possono danneggiare soggetti terzi.

Pertanto, è fondamentale adottare comportamenti eticamente corretti, e le parti in causa dovrebbero mirare alla definizione e all’adozione di prassi esemplari e promuovere comportamenti che tengano conto delle esigenze di sicurezza e rispettino i legittimi interessi di terzi.

La sicurezza dovrebbe essere garantita in modi compatibili con i valori riconosciuti dalle società democratiche e, in particolare, con la libertà di manifestazione del pensiero, la libera circolazione delle informazioni, la riservatezza delle informazioni e delle comunicazioni, la protezione adeguata dei dati personali, l’apertura e la trasparenza.

L’analisi dei rischi permette di evidenziare rischi e vulnerabilità e dovrebbe essere sufficientemente ampia da tenere conto di fattori fondamentali sia interni sia esterni, come le componenti tecnologiche, i fattori fisici e umani, le politiche ed i servizi gestiti da terzi che abbiano implicazioni in termini di sicurezza. L’analisi dei rischi permetterà di definire la soglia accettabile di rischio e faciliterà l’individuazione di controlli adeguati per gestire il rischio di danni potenziali ai sistemi informativi ed alle reti, tenendo conto della natura e dell’importanza delle informazioni da tutelare.

A causa della crescente interconnettività dei sistemi informativi, l’analisi dei rischi dovrebbe prendere in considerazione i pregiudizi potenzialmente derivanti da terzi o arrecabili a terzi.

E’ necessario progettare, realizzare e coordinare in modo corretto sistemi, reti e politiche al fine di ottimizzare la sicurezza. Un fattore importante, ma non esclusivo, in tale contesto è rappresentato dalla progettazione e dall’adozione di garanzie e soluzioni adeguate in modo da evitare o limitare il pregiudizio potenzialmente derivante dai rischi e dalle vulnerabilità già individuate. Occorrono garanzie e soluzioni di natura tecnica e non tecnica, che devono essere proporzionate al valore delle informazioni presenti sui sistemi e sulle reti del singolo organismo. La sicurezza dovrebbe rappresentare una componente fondamentale di tutti i prodotti, i sistemi, i servizi e le reti, nonché costituire parte integrante della progettazione e dell’architettura di sistema. Per quanto riguarda gli utenti finali, progettare e realizzare in un’ottica di sicurezza significa soprattutto individuare e configurare prodotti e servizi per i rispettivi sistemi.

La gestione della sicurezza dovrebbe basarsi sulla valutazione dei rischi ed essere di tipo dinamico, abbracciando le attività delle parti in causa a tutti i livelli e tutti gli aspetti delle rispettive operazioni. Dovrebbe prevedere una risposta lungimirante rispetto ai rischi emergenti e comprendere la prevenzione, l’individuazione e la reazione a possibili incidenti, il ripristino dei sistemi, la manutenzione permanente, attività di verifica e di controllo indipendente. Le politiche di sicurezza relative a sistemi informativi e reti, nonché le prassi, misure e procedure connesse, dovrebbero essere coordinate e integrate in modo da creare un sistema di sicurezza coerente. Le esigenze gestionali dipendono dal livello di partecipazione, dal ruolo del singolo soggetto parte in causa, dai rischi associati e dai requisiti di sistema.

Rischi e vulnerabilità sempre nuovi e mutevoli vengono incessantemente alla luce. Le parti in causa dovrebbero costantemente riesaminare, rivedere e modificare tutti gli aspetti di sicurezza per fare fronte all’evolversi delle situazioni di rischio.