Audit di sicurezza

Sappiamo tutti che il controllo degli accessi alle informazioni è essenziale per preservare confidenzialità e integrità (e quindi anche privacy) delle stesse. E' però un processo difficile da implementare fino in fondo e con successo, perché quasi sempre include il fattore umano che ne rappresenta l'anello debole (ex: basta pensare al Social Engineering). 

Insomma alla fine, a meno che non si stia parlando di autenticazione tra sistemi, c'è sempre un utente che fa qualche cosa :-)

Per sopperire quindi alla inevitabile fallacia del controllo degli accessi, bisogna necessariamente ricorrere anche ad attività complementari, tra le quali la più importante è quella dell'audit di sicurezza. La definizione che Wikipedia ne dà è la seguente:

"Nell'ambito della sicurezza informatica, l'audit è una valutazione tecnica manuale o sistematica misurabile di un sistema o di un'applicazione."

Per implementare correttamente un auditing degli accessi è necessario aver già attivato un processo rigoroso di identificazione e autenticazione degli utenti e dei sistemi. Un audit infatti  in cui vi siano utenti anonimi o il proliferare di utenze funzionali (che andrebbero utilizzate solo in caso di autenticazioni tra sistemi) sarebbe infatti poco significativo se non addirittura inutile.

Volendo caratterizzare le due attività, potremmo affermare che il controllo degli accessi è un processo preventivo: si impedisce agli utenti di accedere a dati per i quali essi non sono autorizzati; l'auditing è invece un processo reattivo: si controlla che l'accesso ai sistemi o alle informazioni da parte degli utenti autenticati sia conforme alle politiche aziendali.

In conclusione, mediante l'auditing e l'opportuna pubblicizzazione all'interno della struttura lavorativa, si può indurre un meccanismo psicologico negli utenti che li disincentiva nel attuare comportamenti malevoli. Spesso invece si tende ad implementare meccanismi di controllo degli accessi, anche molto complessi, tralasciando però quasi totalmente la fase di audit di sicurezza. 

Insomma mettete qualcuno a controllare questi benedetti Log!