Non ha importanza cosa pensiate dell'ambiente nel quale vengono eseguiti i vostri sistemi, non potete considerare la sicurezza come un qualcosa di scontato. Anche i sistemi del tipo 'standalone' non collegati ad internet, possono risultare a rischio (anche se ovviamente il loro rischio risulta essere diverso da un sistema collegato al mondo esterno).
Per questo motivo � molto importante considerare le ripercursioni sulla sicurezza dovute alle vostre azioni. Il seguente elenco illustra le diverse problematiche da considerare:
Mentre voi state pensando alla sicurezza, non dimenticate che i potenziali intrusi non sono solo quelli che attaccano il vostro sistema dall'esterno. Molte volte la persona che perpetra una violazione risulta essere un utente interno alla compagnia. In questo modo la prossima volta che vi aggirate tra le scrivanie dell'ufficio, guardatevi intorno e domandatevi:
1.7.1. I rischi dell'ingegneria sociale
Mentre la prima reazione degli amministratori, per quanto riguarda le problematiche riguardanti la sicurezza, pu� essere quella di concentrarsi sull'aspetto tecnologico, � molto importante mantenere una certa prospettiva. Molto spesso, le violazioni che si verificano nel campo della sicurezza non presentano un fattore tecnologico, ma presentano un fattore umano.
Le persone interessate a tali violazioni, spesso usano un fattore umano per poter baipassare i controlli tecnologici dovuti all'accesso. Questo metodo � conosciuto come ingegneria sociale. Ecco un esempio:
L'operatore del secondo turno riceve una telefonata esterna. Colui che chiama dice di essere il CFO dell'organizzazione (il nome e le informazioni personali del CFO sono state ottenute dal sito web dell'organizzazione, nella pagina "Team Manageriale").
La persona che chiama dice di trovarsi in tutt'altra parte del modo (forse questo fa parte di una storia inventata, oppure la vostra pagina web riporta che il CFO della vostra compagnia � presente in un determinato salone in una citt� di un'altra nazione).
L'impostore racconta tutte le sue disavventure; il portatile � stato rubato all'aeroporto, ed � con un cliente molto importante e necessita di accedere alla pagina intranet dell'azienda, per poter controllare cos� lo stato dell'account del cliente stesso. Con molta gentilezza questa persona chiede di poter accedere alle informazioni necessarie.
Sapete cosa potrebbe fare il vostro operatore in circostanze simili? Se il vostro operatore non ha una policy specifica a riguardo (in termini di procedure), voi non saprete mai con sicurezza cosa potrebbe accadere.
L'obiettivo delle policy e delle procedure � quello di fornire una guida chiara su quello che si pu� e non si pu� fare. Tuttavia, le suddette procedure funzionano se tutte le persone le osservano. Ma si presenta sempre lo stesso problema — e cio� risulter� difficile che tutte le persone rispetteranno le suddette policy. Infatti, a seconda della natura della vostra organizzazione, � possibile che voi non abbiate l'autorit� sufficiente a definire tali procedure, e tanto meno a farle rispettre. E allora?
Sfortunatamente, non vi sono risposte facili a questa domanda. l'educazione degli utenti potrebbe esservi molto utile; fate ci� che potete per informare la vostra community sulle procedure inerenti la sicurezza, e metteteli a conoscenza della presenza di tale fenomeno. Organizzate dei meeting durante l'ora di pranzo. Inviate degli articoli relativi alla sicurezza tramite le mailing list dell'organizzazione. Rendetevi disponibili per rispondere ad eventuali domande che possono essere formulate da parte degli utenti.
In breve, inculcate il pi� possibile queste idee ai vostri utenti.
