Premessa

La guida Surveillance Self-Defense (rilasciata dall’EFF pubblicamente con licenza CC-BY) è un’ottima risorsa alla portata di tutti~~, purtroppo non ancora disponibile in italiano~~. Dopo un po' di ricerche sono venuto a conoscenza di varie inziative di traduzione, ma non esattamente in linea con quello che avevo in mente. Pertanto ho deciso di iniziare a tradurre e adattare all’italiano una selezione dei suoi contenuti. Comincio da quello che secondo me è la base delle basi, che è necessario aver digerito prima ancora di accendere un computer: fare mente locale su cosa, del nostro mondo digitale, ha per noi un valore, e da chi proteggerlo. Il come verrà dopo, abbiate pazienza.

Il risultato ho deciso di battezzarlo “Guida Galattica di Autodifesa Digitale”. Questa è la prima parte.

Parte 1: Pianificazione della sicurezza

Cercare di proteggere tutti i nostri dati e dispositivi da chiunque e in ogni momento è controproducente e frustrante.

La sicurezza (informatica) è un processo attraverso il quale, con una pianificazione ragionata, si prepara una strategia di difesa adatto alle nostre esigenze specifiche.

La sicurezza informatica non ha a che fare (soltanto) con gli strumenti che utilizziamo o con i programmi che scarichiamo o installiamo. Tutt’altro! Il primo passo consiste nel capire, precisamente, da quali minacce informatiche vogliamo proteggere i nostri dati e dispositivi. Solo in secondo luogo ci focalizzeremo sul come.

In gergo tecnico, per minaccia s’intende un potenziale evento (accidentale o intenzionale) che potrebbe rendere inefficaci o inutili le misure di sicurezza che proteggono ciò che per noi ha un valore. Ad esempio, eventi atmosferici come alluvioni o temporali sono minacce accidentali, perché potrebbero distruggere i computer o dischi su cui abbiamo memorizzati i nostri dati preziosi. Al contrario, l’esistenza di soggetti interessati a rubare le nostre password è una minaccia intenzionale.

Per contrastare una minaccia è necessario capire cosa intendiamo proteggere e da chi. Quest’attività è si definisce in gergo “threat modeling”—che tradotto alla lettera significa “modellazione delle minacce,” (suona male, lo so). Più semplicemente vuol dire essere in grado di comprendere “come sono fatte” le minacce (i loro mezzi, risorse, interessi, etc.).

Questa guida spiega i concetti basilari per costruire un “piano di difesa” per i nostri dati e capire quali soluzioni sono più adatte.

Esempio concreto (non digitale)

Ma com’è fatto un piano di sicurezza? Facciamo un esempio concreto. Immaginiamo di dover mettere al sicuro la nostra casa e gli oggetti di valore in essa custoditi. Iniziamo col domandarci:

  • Cosa c’è in casa mia che vale la pena proteggere? Gioielli, dispositivi elettronici, documenti fiscali e d’identità, passaporti, fotografie, etc., sono i primi valori e beni a cui solitamente si pensa. Questi si definiscono asset.
  • Da chi voglio proteggerli? Ladri, co-inquilini e ospiti sono solo alcuni esempi di potenziali avversari.
  • Se qualcosa va storto, vi sarebbero gravi conseguenze? Gli asset che abbiamo in casa e che desideriamo proteggere sono unici e impossibili da rimpiazzare? In caso contrario, avremmo tempo e denaro sufficienti per sostituirli? Siamo assicurati contro i furti?
  • Quanto è necessario proteggerli? Ci sono spesso furti nel quartiere? Co-inquilini e ospiti sono affidabili? Che capacità avrebbero tali avversari? Ad esempio, nel caso di furti, si tratta di ladruncoli improvvisati o di professionisti ben attrezzati? Quanto spesso ospito persone sconosciute?
  • Quanto intendiamo esporci per evitare tali conseguenze? Siamo disposti a comprare e installare una cassaforte? Possiamo permetterci una serratura di alta qualità? Avremmo tempo e risorse per aprire una cassetta di sicurezza in banca per tenere i nostri valori?

Riflettendo su queste domande riusciremo a capire le minacce specifiche (ovvero, che interessano il nostro caso specifico), gli asset, le capacità degli avversari e la “probabilità” (volutamente tra virgolette, perché non in accezione statistica) che una minaccia si concretizzi in un evento.

Da dove cominciare per costruirsi il proprio piano di sicurezza digitale?

Fare una pianificazione della sicurezza significa essere in grado di rispondere a queste cinque domande. Riprendiamo gli esempi appena visti, calandoli nella nostra sfera digitale:

  1. Cosa voglio proteggere?
  2. Da chi?
  3. Cosa accade se qualcosa va storto?
  4. Quanto è effettivamente necessario proteggere?
  5. Quanto sono disposto a spendere per evitare le conseguenze di una minaccia?

Vediamo da vicino ognuna di queste domande.

Domanda 1: Cosa voglio proteggere?

Gli asset sono ciò che per noi ha valore e che intendiamo proteggere. Nel contesto della sicurezza digitale, gli asset sono tipicamente “ciò che è un dato o un’informazione”. Per esempio, email, contatti, messaggi, posizione geografica e, più in generale, “i nostri file”. I nostri dispositivi, come ad esempio il nostro smartphone, sono quasi sicuramente un asset.

Passo 1: Stendiamo una lista dei nostri asset. Dati memorizzati, dove, chi vi ha accesso, cosa previene che chi non dovrebbe accedervi non vi acceda?

Domanda 2: Da chi (voglio proteggere i miei asset)?

Per rispondere a questa domanda è importante identificare chi potrebbe avere interesse verso di me e i miei dati. Una persona o entità che costituisce una minaccia per i nostri asset è un avversario. Ad esempio: il nostro datore di lavoro, un (ex) partner, la concorrenza, il governo, o un criminale informatico in una rete pubblica.

Passo 2: Compiliamo una lista dei nostri avversari, o di coloro che potrebbero tentare di impossessarsi dei nostri dati. La nostra lista potrebbe includere individui, organizzazioni, agenzie governative o aziende.

ATTENZIONE: A seconda di chi sono i nostri avversari, in alcune circostanze, potrebbe essere necessario distruggere questa lista una volta finita la nostra pianificazione della sicurezza. Volendo fare un passo in più: la maggior parte dei dati e delle informazioni creati durante la pianificazione della sicurezza costituiscono essi stessi degli asset e, in quanto tali, vanno protetti.

Domanda 3: Cosa accade se qualcosa va storto?

Ci sono molte strade che i nostri avversari potrebbero seguire per avere accesso ai nostri dati. Per esempio, potrebbe leggere le nostre comunicazioni private direttamente, mentre transitano in una rete; oppure potrebbe cancellarle o alterarle.

I moventi di ogni avversario sono i più disparati e le loro tattiche possono variare significativamente. Ad esempio, se l’avversario è un’agenzia governativa che vuole arginare la diffusione di un video con scene di violenze perpetrate da una polizia, allora potrebbe accontentarsi banalmente di cancellare le copie (dei file) di tale video, oppure di limitare il funzionamento corretto dei siti che lo offrono in streaming. Un esempio opposto è quello di un nostro avversario politico, che come movente potrebbe avere l’accesso a documenti segreti, allo scopo di pubblicarli senza il nostro consenso, per screditarci.

In questo senso, fare una pianificazione della sicurezza significa capire quanto gravi possono essere le conseguenze nel caso in cui un nostro avversario riuscisse ad accedere a uno dei nostri asset. Per determinare l’entità del danno dobbiamo considerare le capacità di ognuno dei nostri avversari. Per esempio, gli operatori telefonici hanno accesso (in varia misura, a seconda dei casi e della legge specifici) ai tabulati telefonici. Se decidiamo di considerare il nostro operatore telefonico come nostro avversario, allora dobbiamo essere consapevoli che, tra le sue capacità, c’è anche quella di accedere a tali dati. Altro esempio: un criminale collegato ad una rete Wi-Fi pubblica ha la capacità di intercettare, quantomeno, le nostre comunicazioni non opportunamente cifrate, mentre un’agenzia governativa può avere risorse, mezzi, e quindi capacità, più elevate.

Passo 3: Prendiamo nota di cosa ogni avversario potrebbe arrivare a fare con i nostri asset (dati privati, ad esempio).

Domanda 4: Quanto è effettivamente necessario proteggere?

Il livello di rischio è la probabilità che uno asset sia concretamente affetto da una specifica minaccia. O, in altre parole, che una minaccia si concretizzi verso uno specifico asset.

Il livello di rischio va di pari passo con le capacità di cui sopra. Ad esempio: anche se gli operatori telefonici hanno accesso ad una grande quantità di nostri dati sensibili, il rischio che si mettano a pubblicarli online—a scapito della nostra reputazione—è molto basso.

È importante distinguere tra cosa potrebbe succedere e la probabilità che effettivamente tale evento avvenga. Per esempio, esiste la minaccia di crollo per qualasiasi edificio, ma il rischio di tale evento è più elevato nelle aree sismiche.

Quantificare il rischio è un processo personale e soggettivo. Alcuni decidono di ignorare certe minacce indipendentemente dall’effettiva probabilità di accadimento, semplicemente perché giudicano troppo dispendioso anche solo considerare la mera esistenza di tali minacce—a qualsiasi probabilità. In altri casi, alcune persone ignorano alti rischi perché non li vedono la minacci come un problema.

Passo 4: Scriviamo una lista di minacce che intendiamo prendere sul serio, e altre che invece consideriamo troppo rare o di basso impatto da destare preoccupazione.

Domanda 5: Quanto sono disposto a spendere per evitare le conseguenze di una minaccia?

Non esiste una scelta perfetta per la sicurezza (informatica e non). Non tutti hanno le stesse priorità, preoccupazioni o accesso a risorse. Una valutazione del rischio ci aiuterà a pianificare la giusta strategia per ogni specifico caso, bilanciando comodità, costo e sicurezza.

Per esempio, un avvocato che rappresenta il proprio cliente in un caso di sicurezza nazionale sarà disposto a investire cospicue risorse per proteggere le comunicazioni riguardanti il processo; un genitore che invia email con “foto di gattini simpatici” ai propri figli non sarà disposta ad investire un granché per proteggere tali comunicazioni.

Passo 5: Mettiamo giù una lista di opzioni che abbiamo a disposizione per mitigare le minacce specifiche che ci riguardano. Nel farlo, dobbiamo considerare le nostre risorse finanziarie, tecniche o sociali.

Ripetere regolarmente

Ricordiamoci che una pianificazione della sicurezza cambia nel tempo, perché nel tempo cambiano le nostre situazioni. Pertanto è bene revisionare con regolarità le nostre scelte.
Concretamente, una volta terminata una pianificazione in base alla situazione corrente, mettiamoci un promemoria sul calendario per ripetere la stessa attività, eventualmente riconsiderando le nostre valutazioni.

Come proteggere i nostri asset?

Partiremo da una delle esigenze essenziali: comunicare con gli altri. Nella prossima parte della Guida Galattica di Autodifesa Digitale vedremo come comunicare in modo sicuro.

Paternità

La presente Guida Galattica di Autodifesa Digitale è una traduzione arricchita dell'opera Surveillance Self Defense dell'Electronic Frontier Foundation (EFF), con qualche adattamento per la lingua italiana e qualche esempio per chiarire ove necessario. L'opera originale è rilasciata con licenza Creative Commons Attribution (CC-BY).