La Sicurezza Informatica Realizzato da Zanghi Valentina Introduzione

La Sicurezza Informatica Realizzato da: Zanghi Valentina

Introduzione Fino a circa dieci anni fa, l’uso del PC non comportava , alla maggior parte di noi, particolari preoccupazioni nella protezione dei dati contenuti in esso. Per evitare perdita di dati , ad intervalli regolare, effettuavamo il Backup per prevenire perdita di dati nel caso in cui si fosse verificato un mal funzionamento del computer. L’utilizzo di Password all’avvio del computer, ci garantiva una garanzia contro l’accesso da parte di terze persone. Con il nascere e il diffondersi delle reti informatiche, ovvero “Internet”, cominciarono a nascere problemi di rischio dovuti Realizzato da: Zanghi Valentina

§minacce di intrusioni § possibilità di divulgazione non autorizzata di informazioni § intrusione e distruzione di servizi offerti dall’utenza. Con il nascere di questi ed altri problemi di sicurezza, i legislatori dei paesi più industrializzati, sentirono la necessità di istituire un settore specifico dell’informatica denominato. Sicurmatica che si occupasse delle norme inerenti: il trattamento e la salvaquardia degli strumenti informatici e delle informazioni in esse contenute. Realizzato da: Zanghi Valentina

Elenco degli argomenti • • • Sicurezza informatica Gestione del rischio Organizzazione della Sicurezza Standard ed Enti di Standardizzazione Crittografia Autenticazione Protezione dei dati Le Minacce Elenco dei tipi di attacchi I Firewall Norme sulla sicurezza informatica Realizzato da: Zanghi Valentina

Sicurezza Informatica La sicurezza delle informazioni è una componente della sicurezza dei beni in generale. Qualunque programma che si occupi della sicurezza delle informazioni, deve perseguire 3 obiettivi fondamentali: 1. la disponibilità 2. l’Integrità 3. la riservatezza Realizzato da: Zanghi Valentina Elenco argomenti

Alla sicurezza possiamo aggiungere altri due obiettivi che possiamo considerarli una estensione dell’integrità delle informazioni (invio di un messaggio o esecuzione di transazione): • l’autenticità: essa garantisce che l’invio di un messaggio o una transazione vengono attributi con certezza al destinatario. • Il non ripudio garantisce che il messaggio o transazione, conosca il suo autore(ovvero chi lo ha mandato o eseguito). Realizzato da: Zanghi Valentina

LA DISPONIBILITA §La disponibilità è il grado in cui le informazioni e le risorse informatiche sono accessibili agli utenti che ne hanno diritto, nel momento in cui servono. Per impedire che i dati siano accessibili, si deve tener conto: §Delle condizioni ambientali(energia, temperatura, umidità, atmosfera, ecc. . ) §Delle risorse hardware e software (guasti, errori, blackout, disastri, ecc. ) §Di attacchi esterni( attacchi provenienti ad esempio da internet che causano l’accessibilità ai dati e alle informazioni ). Realizzato da: Zanghi Valentina

L’INTEGRITA L’integrità per ciò che riguarda le informazioni , è il grado in cui le informazioni devono essere: corrette, coerenti e affidabilità; L’integrità riguarda le risorse informatiche, è il grado in cui le risorse devono avere: completezza, coerenza e buone condizioni di funzionamento; L’integrità per ciò riguarda l’hardware e i sistemi di comunicazione, consiste : -in un livello adeguato di prestazioni -in un corretto instradamento dei dati. L’integrità per ciò che riguarda il software riguarda: -la completezza e la coerenza dei moduli del sistema operativo e delle applicazioni - la correttezza dei file critici di sistema e di configurazioni. Realizzato da: Zanghi Valentina

La riservatezza consiste nel limitare l’accesso alle informazioni e alle risorse informatiche alle sole persone autorizzate. Si applica sia all’archiviazione, sia alla comunicazione delle informazioni. Realizzato da: Zanghi Valentina

Gestione del rischio Adesso esamineremo i rischi connessi ai vari aspetti di sicurezza delle informazioni analizzando: 1)I beni da difendere 2)Gli obiettivi di sicurezza 3)Le minacce alla sicurezza 4)La vulnerabilità dei sistemi informatici 5)L’importo causato dall’attuazione delle minacce 6)Il rischio Realizzato da: Zanghi Valentina

1) BENI DA DIFENDERE In genere un bene è qualsiasi cosa, materiale o immateriale che ha un valore e dovere essere protetto. Nel campo della sicurezza delle informazioni i beni di una azienda sono: - le risorse informatiche - il personale (utenti, amministratori, addetti alla manutenzione) - le informazioni - la documentazione - l’immagine dell’azienda Nel campo della sicurezza delle informazioni, i beni di un individuo sono: -informazioni personali - la privacy Realizzato da: Zanghi Valentina

2)Obiettivi di sicurezza Gli obiettivi di sicurezza, sono il grado di protezione che si intende attuare per i beni in termini di: Disponibilità Integrità Riservatezza Per sapere quale obiettivo adottare, i beni si classificano in categorie e ad ognuno di essi si assegna il tipo di sicurezza: Per le password e i numeri di identificazione il requisito piu importante per raggiungere l’obiettivo della sicurezza, è la riservatezza Per le informazioni contabili di una banca che esegue transazioni on-line i requisiti richiesti sono: disponibilità, integrità e riservatezza. Per le informazioni pubblicate sul sito web i requisiti richiesti sono: disponibilità, integrità. Realizzato da: Zanghi Valentina

3)MINACCE ALLA SICUREZZA -Una minaccia è una azione: potenziale, accidentale, deliberata, essa può portare alla violazione ad un o più obiettivi di sicurezza. Le minacce possono essere classificate: naturale, Tabella esempi di minacce ambientale e umana. Minaccia Deliberata Accidentale X Terremoto X Inondazione Bombardamento X Furto X Temperatura alta o bassa X X X Guasto Hardware X X Errori software Deterioramento supporto di memoria Ambientale Realizzato da: Zanghi Valentina X

Per esempio: un allagamento dovuto a forti piogge è una minaccia accidentale di origine naturale che influisce notevolmente alla sicurezza in quanto interrompere l’utilizzo dei servizi informatici. Altro esempio è un cavallo di Troia installato all’apertura di un allegato di posta elettronica infetto, questa è una minaccia deliberata di origine umana e coinvolgere tutti gli obiettivi di sicurezza , ciò vìola la sicurezza nei 3 obiettivi: - disponibilità in quanto il computer cade sotto il controllo esterno e non può più essere disponibile al suo proprietario -integrità in quanto le sue informazioni possono essere cancellate o alternate -riservatezza in quanto i dati possono essere divulgati e letti dagli estranei. L’entità che mette in atto la minaccia è chiamato agente. Realizzato da: Zanghi Valentina

4) Vulnerabilità dei sistemi informatici La vulnerabilità è un punto debole del sistema informatico(hardware, software e procedure) che, se colpito da una minaccia, porta a qualche violazione degli obiettivi di sicurezza. Una vulnerabilità, di per se, non causa una perdita di sicurezza ma è la combinazione tra vulnerabilità e minaccia che determina la possibilità che vengono violati gli obiettivi di sicurezza. Realizzato da: Zanghi Valentina

5) L’impatto causato dall’attuazione delle minacce L’impatto si ha quando la minaccia colpisce il sistema e dipende dal valore del bene e dalla violazione degli obiettivi di sicurezza. L’impatto è grave e coinvolge tutti gli obiettivi di sicurezza (disponibilità, integrità e riservatezza ). Realizzato da: Zanghi Valentina

6) Il rischio è tanto maggiore quando è l’impatto che ha causato e l’alta probabilità che esso si verifichi. Possiamo definire il rischio l’insieme: della gravità dell’impatto (conseguenza di un evento dannoso) e la probabilità che si verifichi l’evento dannoso. Possiamo classificare il rischio i due fasi: • Analisi del rischio • Controllo del rischio Analisi del rischio In questa fase si classificano le informazioni e le risorse soggette a minacce e vulnerabilità e si identica il livello di rischio associato ad ogni minaccia. Controllo del rischio In questa fase vengono individuate le modalità che l’azienda intende adottare per i rischi associati alla perdita della disponibilità delle informazioni e risorse informatiche e della integrità e della riservatezza di dati ed informazioni. Realizzato da: Zanghi Valentina

Organizzazione della sicurezza La sicurezza delle informazioni è il risultato di un insieme di processi ai vari livelli dell’organigramma aziendale. L’organizzazione della sicurezza parte dall’alto dove gli obiettivi e le politiche di sicurezza sono definiti dal top management per poi essere specificati nei dettagli mano che si scende attraverso gli strati del modello organizzativo della sicurezza. Questo esame dovrà tenere in considerazione il quadro legislativo tracciato dalle leggi criminalità informatica e sulla privacy. Realizzato da: Zanghi Valentina

Standard ed enti di standardizzazione Gli enti di standardizzazione sono organizzazioni di natura molto differente che coprono aspetti normativi diversi a secondo di casi. Svolgono altre attività come la pubblicazione di documenti che possono essere facilmente interpetrati secondo gli standard internazionali. Elenchiamo alcuni enti di standardizzazione: -ITU (international Telecominication Union , è un organizzazione ONU dove governi e settore privato coordinato le reti e i servizi globali di telecomucazioni. -ISO (international Organization for Standardization, è la maggiore organizzazione internazionale di standardizzazione e comprende gli enti di standardizzazione nazionale di 146 paesi. -IETF ( Internet Engineering Task Force). Realizzato da: Zanghi Valentina

La crittografia consiste nel cifrare, cioè rendere incomprensibili, un testo in chiaro attraverso un algoritmo di cifratura che fa uso in input di una chiave. Le tecniche crittografiche permettono: - di trasformare dati, informazioni e messaggi in modo da nascondere il contenuto a chiunque non sia autorizzato e attrezzato per prendere visione. - di impedire ad estranei di alterare i dati, segnalando qualunque tentativo in tal senso. - di garantire l’autenticità dei dati, associandoli in modo certo al loro proprietario. Vi sono due tipi di crittografia: Crittografia simmetrica Crittografia asimmetrica Realizzato da: Zanghi Valentina

Crittografia Simmetrica L’uso della crittografia simmetrica conferisce riservatezza al messaggio ma non assicura l’autenticazione o il non ripudio, poiché non c’è un associazione univoca e sicura tra la chiave e un individuo. Questo tipo di crittografia viene utilizzata per cifrare grandi quantità di dati cosa che è possibile con la cifratura asimmetrica. Realizzato da: Zanghi Valentina

Crittografia Asimmetrica La asimmetrica , ossia a chiave pubblica fa uso di due chiavi diverse per cifrare e decifrare i messaggi o documenti. Con un sistema crittografia a chiave pubblica, gli utenti possono comunicare in modo sicuro attraverso un canale insicuro dover concordare in anticipo una chiave. Realizzato da: Zanghi Valentina

Autenticazione All’atto dell’autenticazione, l’entità che chiede di essere autenticata, deve essere in possesso di una password o un certificato digitale, come prova della propria identità. Una volta che l’utente è stato autentificato, il passo successivo è assicurato che possa accedere solo alle risorse per cui è autorizzato. Vi sono diversi tipi di autenticazione: -autenticazione locale: è quella utilizzata da un computer o un portatile -autenticazione indiretta: è usata nei moderni sistemi distribuiti per consentire a diversi utenti ad accedere ai servizi di rete. -autenticazione off-line: -è quella utilizzata dai sistemi che utilizzano la chiave pubblica (PKI). Realizzato da: Zanghi Valentina

Indipendentemente dai metodi usati , sistemi di autenticazione hanno generalmente alcuni elementi in comune: -una persona da autenticazione -una caratteristica su cui basare l’autenticazione Il meccanismo di accesso è una funzione successiva a quella di autenticazione. I fattori di autenticazione sono diversi in 3 categorie: -qualcosa che sai: ( password, passphrase, PN) -qualcosa che hai: ( smart card , tohen) -qualcosa che hai: (caratteristiche biometriche come in pronte digitali, retina, iride, volto, voce). Realizzato da: Zanghi Valentina

Password L’uso delle password è uno dei più antichi sistemi di autenticazione. Con l’uso delle reti , le password in chiaro, hanno avuto poca vita perché era più facile impossessarsene. A partire dal 1967 cominciò a essere introdotto l’hashing delle password, che viene tuttora utilizzato. Un Hash è un numero binario di lunghezza fissa, ricavato da un input(file, messaggio, blocco di dati, )di lunghezza variabile che funge da impronta del dato di partenza. Dato che dall’hash è impossibile ricostruire la password , il sistema è relativamente sicuro, a meno di attacchi di forza bruta o basati su dizionari delle parole più usate. Realizzato da: Zanghi Valentina

Token Un token è un fattore di autenticazione della categoria , l’utente deve essere in possesso del token al fine di essere autenticato dal computer. Se il token viene smarrito, rubato o prestato, l’utente non ha modo di farsi autentificare. Token passivi: sono le carte di credito, bancomat di vecchia generazione (prive di processore), si chiamano così perché i dati di identificazione sono registrati su una striscia magnetica. Token attivi: A differenza dei token passivi, quelli attivi non strasmettono il proprio dato segreto per autenticare l’utente cioè una password usata una sola volta. I token attivi usano solitamente tecniche crittografate che li rendono immuni da intercettazioni. Realizzato da: Zanghi Valentina

FIRMA DIGITALE Per verificare che un dato documento sia stato realmente prodotto o inviato, nel caso di comunicazione in rete, da chi afferma di averlo fatto, viene utilizzata la firma digitale che garantisce l’autenticità di colui che dice di aver firmato quel dato documento. La firma digitale deve essere: Verificabile, non falsificabile e non ripudiabile. Questa direttiva ha fatto si che la firma digitale generata dagli Stati facente parte l’Unione Europea, fosse riconosciuta dagli stessi. Realizzato da: Zanghi Valentina

Protezione dei dati Parlando di disponibilità dei dati è alla possibilità che si guastano i dischi fissi o la rete cessi di funzionare o che si verifichi un blackout, considerare che gli meccanismi di protezione e di controllo degli accessi di funzionino regolarmente e che sono necessari per il funzionamento , siano a loro volta accessibili e contengono dati validi. Per garantire l’accessibilità dei dati è naturalmente necessario che le connessioni di rete funzionino e siano affidabili. Per quanto riguarda gli aspetti che riguardano i dati, fattore importante da considerare è l’integrità; non si possono infatti definire disponibili dati che siano solo parziali, privi di informazioni essenziali per il loro utilizzo. Realizzato da: Zanghi Valentina

L’insieme delle garanzie di: Disponibilità dei dati Ininterrotto e regolare funzionamento dei processi aziendali Altro problema per la protezione dei dati contenuti nei dischi fissi (Hardisk) , consiste nel mantenere una copia a caldo dei dati , aggiornata in tempo reale, pronte a subentrare alla copia primaria senza causare la minima interruzione dal servizio. Realizzato da: Zanghi Valentina

BACKUP IL Backup consente di proteggere i dati in un supporto fisico diverso da quello in uso, effettuato una copia di riserva dei dati di interesse dell’organizzazione , per poterne fare uso al momento di necessità. Il backup può essere fatto in diversi modi: -Backup normale: richiede più tempo perché copia tutti i file selezionati, ma sarà più rapido nel ripristino poiché richiede solo il supporto utilizzato più di recente. - Backup incrementale: richiede meno tempo in fase di Backup copia solo i file creati o modificati dopo l’ultimo - normale o incrementale. Tutti i supporti utilizzati sia per il primo Backup normale, che per tutti i successivi incrementali. Realizzato da: Zanghi Valentina

LE MINACCE Un virus informatico nel senso generico della parola, è un programma scritto per alterare il modo in cui un computer opera, senza il permesso o la consapevolezza dell’utente. Un virus è un frammento di codice che inserisce se stesso in un programma ospite , inclusi i sistemi operativi, al fine di diffondersi. I virus possono infettare sia server di rete che normali computer. I virus maligni possono essere programmati per danneggiare il computer attraverso l’alterazione di programmi, la cancellazione di file o formattazione dell’Hardisk I virus benigni non sono progettati per fare danno ma semplicemente per replicare se stessi e far sentire la propria presenza tramite messaggi testuali piuttosto che audio e video Realizzato da: Zanghi Valentina

Esistono diverse tipologie di virus: -Virus che infettano i file: questi virus infettano i programmi , normalmente file eseguibili con estensioni. Possono infettare altri file quando un programma infetto viene eseguito da floppy, disco fisso, cd- rom o rete. -Virus del settore boot: questi virus infettano il boot record del disco fisso o di un floppy, ovvero quell’aria che serve ad avviare il computer. Questi virus sono sempre residenti in memoria. - Virus MBR( Master Boot Reccod ): sono simili ai precedenti , solo che il codice virale si localizzerà in parti diverse a secondo del tipo di partizione del disco è possibile rimuovere il virus riavviando la macchina in DOS e usando un antivirus. Realizzato da: Zanghi Valentina

- Virus multipartito: questi virus, noti anche come polipartito, infettano sia il boot che i file programma. Sono particolarmente difficile da rimuovere perché ripulendo il record di boot senza rimuovere i virus dai file infetti, comporterà una nuova infezione del boot record e viceversa. -Macro virus: questi virus infettano i dati. I marco virus possono infettare i file prodotti dalle applicazioni quali: Word, Excel, Pawe. Point ed Access. -Virus Hoax: più che virus : , sono messaggi di avviso contenenti falsi allarmi, vengono definite Bufale e sono quasi sempre spedite via e- mail. Solitamente avvisano della scoperta di un nuovo virus e invitano a diffondere, tramite altre e- mail, l’informazione. Realizzato da: Zanghi Valentina

LE VIE DI ACCESSO Un computer è collegato con l’ambiente esterno tramite periferiche e porte di rete. Non tutte presentano uguale criticità, alcune, come le connessioni di rete, possono esposte in modo continuativo a intrusioni dovute interamente a cause esterne. Realizzato da: Zanghi Valentina

PREVENZIONE DEGLI ATTACCHI Di seguito vengono elencate le prevenzione degli attacchi: • Dotarsi di un antivirus efficace e tenerlo sempre aggiornato, far eseguire periodicamente scansioni totali del sistema, far analizzare i file e i programmi prima di eseguirli o aprirli; • Installare uno strumento antimalware con protezione in tempo reale, abilitare l’aggiornamento automatico, eseguire periodiche scansioni del sistema; • Visitare regolarmente i siti produttori del sistema operativo e del software applicativo utilizzato sul proprio sistema e scaricare e installare gli aggiornamenti relativi alla sicurezza. Realizzato da: Zanghi Valentina

• Scegliere le password in modo opportuno (e diverse tra di loro e cambiarle periodicamente. • Installare un Firewall e configurando con delle restrizioni e controlli sul traffico di rete. Se possibile , evitare di lasciare il computer accesso e collegato in rete quando non lo si usa, disabilitare opzioni come la condivisione di file e stampanti, se non necessarie. • Evitare di aprire gli allegati di posta elettronica di e-mail senza averli esaminati con un antivirus. • Evitare sempre di avviare il sistema con un floppy di dubbia provenienza. Realizzato da: Zanghi Valentina

Elenco dei tipi di attacchi Il Malware Si definisce malware un qualsiasi software creato con il solo scopo di creare danni più o meno estesi al computer su cui viene eseguito. Il termine deriva dalla contrazione delle parole inglesi malicious e software e ha dunque il significato letterale di "programma malvagio". Worm, Trojan, Spyware, Adware Coookie, Spam, Hijacking, Phishing, Dialer Realizzato da: Zanghi Valentina

Il Troian Un trojan, (Cavallo di Troia), è un programma per computer che contiene funzionalità maliziose note a chi lo ha programmato, ma non all'utente. Un trojan horse è chiamato in questo modo poichè esegue delle azioni nascoste all'utente, facendo credere a quest'ultimo di essere in possesso di qualcosa di realmente utile. In genere col termine Trojan ci si riferisce ai trojan ad accesso remoto, composti generalmente da 2 file: il file server, che viene installato nella macchina vittima, ed un file client, usato dal pirata per inviare istruzioni che il server esegue. In questo modo, la vittima è indotta a far entrare il programma nel computer, ed eseguire il programma. I trojan non si diffondono autonomamente come i virus o i worm, quindi richiedono un intervento diretto dell'attaccante per far giungere l'eseguibile malizioso alla vittima Un trojan può contenere qualsiasi tipo di istruzione maliziosa e pornografica. Spesso i trojan sono usati come veicolo alternativo ai worm e ai virus per installare delle backdoor o dei Keylogger. Realizzato sui sistemi bersaglio. da: Zanghi Valentina

Worm Un worm è una particolare categoria di malware in grado di autoreplicarsi. È simile ad un virus, ma a differenza di questo non necessita di legarsi ad altri eseguibili per diffondersi. Tipicamente un worm modifica il computer che infetta, in modo da venire eseguito ogni volta che si avvia la macchina e rimanere attivo finché non si spegne il computer o non si arresta il processo corrispondente. Il worm tenta di replicarsi sfruttando Internet in diverse maniere, spesso i mezzi di diffusione sono più di uno per uno stesso worm. Realizzato da: Zanghi Valentina

Lo Spam Lo spam ( o e-mail spazzatura) è l’invio di tanta pubblicità e l’invio delle e-mail indesiderate che invadono le caselle di posta elettronica. Il rimedio è quello di far controllare le e-mail da un programma che fa da filtro antispam. Gli spam arrivano al vostro indirizzo grazie a programmi specifici che sfruttano tutto ciò che contiene una “@” nei forum e nelle chat. Questi programmi, chiamati crawler funzionano grosso modo come i motori di ricerca in internet. Realizzato da: Zanghi Valentina

Spyware Mentre state navigando in Internet, qualcuno, di nascosto, sta raccogliendo dei dati sul vostro Pc. Si tratta di un programma “Spyware”. Vengono usati da da “spamer” e “ craker” ovvero diversi tipi di pirati informatici, e anche da società che si occupano di pubblicità on-line, per conoscere le vostre abitudini quando navigate in Internet, quali programmi usate e quali avete installato. Alcuni raccolgono dati anche su tutto quello che digitate. Realizzato da: Zanghi Valentina

Phishing In ambito informatico si definisce phishing una tecnica utilizzata per ottenere l'accesso ad informazioni personali e riservate con la finalità del furto di identità mediante l'utilizzo dimessaggi di posta elettronica fasulli, opportunamente creati per apparire autentici. Grazie a questi messaggi, l'utente è ingannato e portato a rivelare dati sensibili, come numero di conto corrente, nome utente e password, numero di carta di credito ecc. Per difendersi dal phishing inviato via e-mail, basta cancellare l'e-mail. Realizzato da: Zanghi Valentina

Dialer Un dialer è un programma per computer che crea una connessione ad Internet, ad un'altra rete di calcolatori o semplicemente ad un altro computer tramite la comune linea telefonica o un collegamento ISDN. Alcuni di questi programmi sono creati per connettersi a numeri a tariffazione speciale. La maggior parte dei dialer impostati per connettersi a numeri a tariffazione speciale utilizza metodi illegali, rientrando così nella fattispecie del reato di truffa. Per le denunce compete la Polizia Postale Gli utenti con una connessione DSL o simile (per esempio una connessione ad internet attraverso la rete locale) generalmente non sono soggetti alla minaccia dei dialer. Realizzato da: Zanghi Valentina

Firewall Il firewall è un componente passivo di difesa perimetrale che può anche svolgere funzioni di collegamento di due o più tronconi di rete. Usualmente la rete viene divisa in due sottoreti: una, detta esterna, comprende l'intera internet mentre l'altra interna, detta LAN (Local Area Network)che comprende una sezione più o meno grande di un insieme di computer locali. La sua funzionalità principale in sostanza è quella di creare un filtro sulle connessioni entranti ed uscenti, in questo modo il dispositivo innalza il livello di sicurezza della rete e permette sia agli utenti interni che a quelli esterni di operare nel massimo della sicurezza. Realizzato da: Zanghi Valentina

• Un worm è una particolare categoria di malware in grado di autoreplicarsi. È simile ad un virus, ma a differenza di questo non necessita di legarsi ad altri eseguibili per diffondersi. • Tipicamente un worm modifica il computer che infetta, in modo da venire eseguito ogni volta che si avvia la macchina e rimanere attivo finché non si spegne il computer o non si arresta il processo corrispondente. Il worm tenta di replicarsi sfruttando Internet in diverse maniere, spesso i mezzi di diffusione sono più di uno per uno stesso worm. • Il mezzo più comune impiegato dai worm per diffondersi è la posta elettronica: il programma malizioso ricerca indirizzi e-mail memorizzati nel computer ospite ed invia una copia di se stesso come file allegato (attachment) a tutti o parte degli indirizzi che è riuscito a raccogliere. Realizzato da: Zanghi Valentina

Adware E’ un tipo di software distribuito gratuitamente in cambio della visualizzazione di pubblicità tramite appositi banner inseriti nel programma stesso. È’ una forma di distribuzione che si è diffusa notevolmente grazie a Internet e un modo per ripagare dei costi di sviluppo i produttori di programmi. Spesso viene data la possibilità di far scomparire il banner dalla finestra di lavoro del programma, pagando una piccola cifra in denaro al produttore, di entità simile a quelle richieste per la fornitura di software in modalità shareware. Realizzato da: Zanghi Valentina

Cookie I cookies (letteralmente "biscottini") sono piccoli file di testo che i siti web utilizzano per immagazzinare alcune informazioni nel computer dell'utente. I cookie sono inviati dal sito web e memorizzati sul computer. Sono quindi reinviati al sito web al momento delle visite successive. Le informazioni all'interno dei cookie sono spesso codificate e comprensibili. Lenon applicazioni più comuni vanno dalla memorizzazione di informazioni sulle abilitazioni dell'utente, alla tracciatura dei movimenti dell'utente stesso all'interno dei siti web che visita. Realizzato da: Zanghi Valentina

Hijacking: portare l'utente a visitare determinate pagine indipendentemente dalla sua volontà e dalle sue abitudini in rete. Questo può essere fatto solo assumendo direttamente il controllo della macchina usata dall'utente. Questa tecnica, permette ai dirottatori di eseguire sul nostro computer una serie di modifiche tali da garantirsi la nostra visita alle loro pagine al solo scopo di incrementare in modo artificioso il numero di accessi e di click diretti al sito e conseguentemente incrementare i guadagni dovuti alle inserzioni pubblicitarie Queste azioni possono limitarsi alla semplice modifica della pagina iniziale del browser, all'aggiunta automatica di siti tra i preferiti fino a radicali modifiche al nostro. Realizzato da: Zanghi Valentina

Riferimenti normativi sulla Sicurezza Informatica L’evoluzione tecnologica e l’uso sempre più diffuso di strumenti informatici in tutti i settori di attività, hanno spinto negli anni il legislatore ad adeguare progressivamente il sistema legislativo vigente, ai cambiamenti imposti dall’emergere di nuovi e sempre più sofisticati strumenti e sistemi di scambio delle informazioni, al fine di tenere conto delle mutate realtà che la tecnologia ha inevitabilmente comportato. Di seguito vengono elencati, in ordine cronologico, i principali riferimenti normativi riguardanti la sicurezza informatica: Realizzato da: Zanghi Valentina

• 1993: Legge 23/12/93 n. 547 Integrazione del codice penale con l’introduzione dei reati di criminalità informatica; • 1996: Legge 31/12/96 n. 675 Tutela dei dati personali (legge sulla privacy) • 1999: Decreto del Presidente della Repubblica 28/07/99 n. 318 Regolamento per l’individuazione delle misure minime di sicurezza per il trattamento dei dati personali (regolamento previsto dalla legge 675/96); • 2002: Direttiva del Presidente del Consiglio dei ministri 16 gennaio 2002 Sicurezza informatica e delle telecomunicazioni nelle Pubbliche Amministrazioni; • 2003: Decreto Legislativo 30/6/03 n. 196 Codice in materia di protezione dei dati personali (abroga ed estende la legge sulla Privacy del ’ 96 e il suo regolamento sulle misure minime di sicurezza). Realizzato da: Zanghi Valentina

Reati di criminalità informatica Nel 1993 la storia informatica entra ufficialmente nei codici del nostro sistema legislativo nel quale è stata promulgata la legge 23 dicembre 1993 n. 547, che ha modificato e integrato il codice penale e quello di procedura penale, introducendo i reati di criminalità informatica. In questa legge veniva così attribuita una importanza giuridica agli strumenti e sistemi informatici e telematici, che fino ad allora non erano stati considerati alla stessa stregua di altri mezzi. Realizzato da: Zanghi Valentina

Con questa legge vengono effettuate molte importanti equiparazioni dei sistemi informatici: vengono ad esempio modificati alcuni articoli del codice penale estendendo alcuni reati inerenti violenza alle cose, anche all’alterazione o distruzione dei programmi informatici, nonché alle azioni volte al malfunzionamento di sistemi informatici e telematici. Viene sancita l’applicazioni delle disposizioni concernenti gli atti pubblici e le scritture, anche ai documenti informatici; si introduce il concetto di “domicilio informatico”; v iene equiparata la corrispondenza informatica o telematica a quella epistolare, telegrafica e telefonica; viene punito il furto e la diffusione di password. Realizzato da: Zanghi Valentina

La legge sulla Privacy • In termini di riservatezza e privacy, la legislazione vigente non mira ad impedire il trattamento dei dati personali, bensì a regolamentarlo, permettendo all’interessato di conoscere la finalità del trattamento dei suoi dati e subordinandone la legittimità, al consenso informato della persona. • La legge 31 dicembre 1996 n. 675, comunemente nota come “legge sulla privacy” finalizza alla tutela delle persone rispetto al trattamento dei dati personali. Questa legge prevedeva al suo art. 15, l’emanazione di un regolamento riguardante le misure minime di sicurezza per il trattamento dei dati personali. Tale regolamento veniva pubblicato con il Decreto del Presidente della Repubblica 28 luglio 1999 n. 318. Realizzato da: Zanghi Valentina

A decorrere dal 1° gennaio 2004 la legge 675/96 è stata abrogata e sostituita dal Decreto legislativo 30 giugno 2003 n. 196 – “Codice in materia di protezione dei dati personali”, il quale estende la legge sulla privacy del 1996 e il suo regolamento del 1999 sulle misure minime di sicurezza. Uno dei primi aspetti è comprendere il significato dei termini “ trattamento”, “dati identificativi” e soprattutto “dati personali” e “dati sensibili”. • “trattamento”: qualunque operazione o complesso di operazioni, effettuanti anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il rafforzo, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei dati, anche se non registrati in una banca dati; Realizzato da: Zanghi Valentina

• “dato personale”: qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche indirettamente mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di identificazione personale; • “dati identificativi”: i dati personali che permettono l’identificazione diretta dell’interessato; • “dati sensibili”: i dati personali idonei a rilevare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei a rilevare lo stato di salute e la vita sessuale. Realizzato da: Zanghi Valentina

La finalità della legge riguarda la garanzia che il trattamento dei dati personali si svolga nel rispetto dei diritti, delle libertà fondamentali e della dignità dell’interessato, con particolare riferimento alla riservatezza e protezione dei suoi dati personali. Riassumendo gli aspetti della legge, possiamo evidenziare 3 aspetti fondamentali: – – – Il diritto di accesso della persona ai dati che lo riguardano; La legittimità e le finalità del trattamento dei dati personali; Il consenso informato dell’interessato. Realizzato da: Zanghi Valentina

Cosa si rischia se non si rispettano le norme sulla protezione e sul trattamento dei dati personali Le sanzioni possono essere sia di carattere risarcitorio che di carattere amministrativo e penale. • Aspetto risarcitorio: è previsto l’art. 15 che cita: “chiunque cagioni danno ad altri per effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. 2050 del codice civile”. • Sanzioni amministrative: L’omessa o inidonea informativa all’interessato, sanzionata dall’art. 161, prevede multe da 3. 000 a 18. 000 euro che possono arrivare fino a 30. 000 euro nei casi di dati sensibili giudiziari o di trattamenti che presentano rischi specifici. • Sanzioni penali: sono stabilite dall’art. 167 che riguarda il trattamento illecito di dati e nel quale, se dal fatto deriva nocumento, è prevista la reclusione da un minimo di 6 mesi ad un massimo di 3 anni, in funzione degli articoli violati e della tipologia di violazione. Realizzato da: Zanghi Valentina

Definizione “legale” di Sicurezza Informatica Sicurezza fisica Sicurezza tecnica Sicurezza dei dati Sicurezza logistica Sicurezza dei programmi Sicurezza legale Sicurezza applicazioni Realizzato da: Zanghi Valentina