Difesa in profondità

Un castello non si affidava a un'unica parete. Aveva un fossato, una parete, un cancello, delle guardie e un mastio. Se il fossato non bastava, c'era la parete. La sicurezza usa la stessa idea, chiamata difesa in profondità: diversi strati indipendenti, così quando uno cede, un altro rimane in piedi.

Ecco sei strati che una scuola o una piccola azienda potrebbe usare:

• Persone: consapevolezza, regole chiare, qualcuno a cui chiedere.
• Perimetro: il bordo tra l'esterno e l'interno, come un firewall e porte chiuse a chiave.
• Rete: come l'interno è suddiviso e controllato.
• Dispositivi: aggiornamenti, blocchi dello schermo, antivirus, cifratura del disco.
• Applicazioni: controlli di accesso, impostazioni sicure, software aggiornato.
• Dati: backup, cifratura e regole su chi può aprire cosa.

Perché gli strati funzionano: la regola della moltiplicazione. Supponiamo che una minaccia abbia una probabilità del 50 % di superare ogni strato e che gli strati si comportino indipendentemente (il cedimento di uno non fa cedere un altro). Per arrivare fino in fondo, la minaccia deve superare ogni strato:

• 1 strato: 0,5 = 50 %
• 3 strati: 0,5 × 0,5 × 0,5 = 12,5 %
• 5 strati: 0,5 alla potenza 5 = circa 3 %

Anche un insieme di strati mediocri è meglio di un'unica parete forte. Se un'unica parete lascia passare solo il 10 %, due strati che lasciano passare ciascuno il 30 % danno 0,3 × 0,3 = 9 %, e un terzo strato del 30 % porta il risultato al 2,7 %. Inoltre, un'unica parete ha un'altra debolezza: quando cede, non rimane nient'altro.

Sii onesto sui limiti di questa aritmetica. Gli strati reali non sono perfettamente indipendenti. Se il personale viene ingannato e rivela una password, diversi strati che si fidano tutti di quella password cedono insieme. Perciò gli strati dovrebbero essere diversi per natura (una persona, un blocco, un logaritmo), non tre copie della stessa cosa.

Sei compiti della difesa. L'istituto statunitense per gli standard NIST descrive il suo Cybersecurity Framework con delle funzioni. La versione 2,0 (2024) ne indica sei:

• Governare: decidere regole, ruoli e priorità.
• Identificare: sapere che cosa si possiede e che cosa potrebbe andare storto.
• Proteggere: mettere in atto misure di sicurezza.
• Rilevare: accorgersi quando sta succedendo qualcosa.
• Rispondere: agire in caso di incidente.
• Ripristinare: tornare al lavoro normale e imparare dall'esperienza.

Non sono gradini da salire una sola volta. Sono compiti che un team di sicurezza svolge continuamente. Questo corso li affronta a turno: questo mondo riguarda soprattutto Governare e Identificare, i mondi da 2 a 4 riguardano Proteggere e Rilevare, mentre il mondo 5 riguarda Rispondere e Ripristinare.