SICUREZZA INFORMATICA

Trattamento dei dati secondo un decreto-legge “privacy”: n. 196 del 2003; dà le basi fondate di una
legge del 1996 (675, prima legge che tutela le persone e gli altri soggetti rispetto al trattamento dei
dati personali.

Cosa coinvolge la privacy:

• Software (applicativi, programmi, permettono di trattare i dati contenuti in un file)

• Hardware (parte fisica, gli strumenti che compongono un computer, connessioni, schede di
rete)

DL 2003:

Trattamento = qualunque operazione eseguita con strumenti elettronici o operazioni manuali di un

dato

Dati =

• Personali = qualunque e informazioni relativa a una persona che permette di identificare la

persona stessa, ivi compreso un numero di identificazione personale
• Sensibili = dati che rivelano le caratteristiche della persona

Titolare del trattamento = persona che ha il potere decisionale in maniera autonoma sule finalità e
sulle modalità del trattamento. Deve anche decidere il profilo della sicurezza. [Per tutte le aziende
sanitarie] DIRETTORE GENERALE

Responsabile del trattamento = designato dal titolare; DIRETTORE DI STRUTTURE COMPLESSE

Incaricati del trattamento = tutte le persone che dal responsabile devono accettare per iscritto che
conoscono le modalità di trattamento dei dati; TUTTI GLI OPERATORI

Nel 2016, l’UE ha deciso di regolamentare le linee guida del trattamento dei dati (GDPR): emana per
tutti gli stati un regolamento. In Italia vige dal 25 maggio del 2018: nella legge del 2003 mancava una
figura

• Data protection officer = responsabile per la protezione dei dati, ma non per un trattamento
sbagliato (DPO)
• Interno o esterno all’azienda = nascita di un mercato

DATA BREACH: violazione dei dati

SOFTWARE

Accedere a un applicativo

• Username (identificato l’utente) e password (per limitare l’accesso)

• Password: composta da almeno 8 caratteri (deve essere cambiata ogni 6 mesi se si tratta di
dati comuni o ogni 3 mesi se si tratta di dati sensibili)

Login/logout

Log file: sistema di registrazione di tutte le operazioni svolte; traccia tutti i tipi di trattamento fatti
(primo strumento di indagine)
Trasmissione sicura

Regolamento UE n. 910/2014 eIDAS: ha l’obbiettivo di fornire una base normativa a livello

comunitario per i servizi fiduciari e i mezzi di identificazione elettronica degli stati membri

Firma digitale: (composta dall’impronta) strumento che consente di firmare i documenti

direttamente dal pc o smartphone mantenendo lo stesso valore legale della tradizionale firma
autografa; garantisce l’integrità del documento e la pec garantisce che il tutto sia integro nel
trasporto. Vengono rilasciate da aziende certificatrici, in che modo?

• Smart card
• Token USB
• App su dispositivo per firma remota

PROCESSI DI FIRMA

• Si parte dal documento

• L'utente calcola l’impronta attraverso un logaritmo (logaritmo di Hash) che restituisce una
stringa funzione del documento (Digest)
• La stringa viene poi cifrata con l’algoritmo a chiave asimmetrica usando la chiave privata del
mittente
• Il risultato di tale codifica è la firma elettronica del documento
• La firma viene allegata al documento che ora risulta firmato

PEC

La posta elettronica certificata o PEC è un tipo particolare di posta elettronica che permette di dare a
un messaggio di posta elettronica lo stesso valore legale di una tradizionale raccomandata con
avviso di ricevimento, garantendo così la prova dell'invio e della consegna.

Per certificare l'invio e la ricezione di un messaggio di PEC, il gestore di posta invia al mittente una
ricevuta che costituisce prova legale dell’avvenuta spedizione del messaggio e dell’eventuale
documentazione allegata. Allo stesso modo, il gestore invia al mittente la ricevuta di avvenuta (o
mancata) consegna del messaggio, con precisa indicazione temporale (fonte AGID).

Dal 1º luglio 2013 le comunicazioni tra imprese e pubblica amministrazione devono avvenire solo via
posta elettronica certificata (PEC), non essendo più accettate le comunicazioni in forma cartacea.
Ogni PA ha l’obbligo di creare una casella PEC per ogni registro di protocollo e comunicare ciascun
indirizzo all’AgID. Le imprese e i professionisti devono comunicare i propri indirizzi PEC ai rispettivi
organi competenti (Registro Imprese e Ordini Professionali) che ne consentono la consultazione
telematica alle pubbliche amministrazioni.

Il ruolo di AgID
La normativa PEC attribuisce all’Agenzia per l’Italia digitale le seguenti competenze:
• definisce le regole tecniche e provvede al loro aggiornamento;
• gestisce l’iscrizione e l’elenco dei gestori di posta elettronica certificata;
• vigila e controlla le attività esercitate dai gestori iscritti nell’elenco.

Elenchi PEC
L’Agenzia ha il compito di provvedere alla pubblicazione di tali caselle in un elenco consultabile per
via telematica denominato Indice delle Pubbliche Amministrazioni
Consideriamo due domini di PEC gestiti da 2 gestori di PEC differenti (le stesse considerazioni
valgono anche se i domini di PEC afferiscono allo stesso gestore)
• Il mittente compone il messaggio collegandosi al proprio gestore e lo predispone per l’invio.
• Certificazione dell’invio. Quando si spedisce un regolare messaggio da una casella di posta
certificata si riceve dal proprio provider di posta certificata una ricevuta di accettazione,
firmata dal gestore, che attesta il momento della spedizione ed i destinatari (distinguendo
quelli normali da quelli dotati di PEC)
• Integrità del messaggio. Il gestore di posta certificata del mittente crea un nuovo messaggio,
detto busta di trasporto, che contiene il messaggio originale e i principali dati di spedizione;
la busta viene firmata dal provider, in modo che il provider del destinatario possa verificare
la sua integrità (ovvero che non sia stato manomesso nella trasmissione).
• Certificazione di consegna. Il gestore PEC del destinatario riceve la “busta” e controlla la
validità della firma del gestore del mittente e la validità del messaggio. Se tutti i controlli
hanno avuto esito positivo, il gestore del destinatario invia una ricevuta di presa in carico al
gestore del mittente. Il destinatario riceve quindi dal proprio gestore il messaggio nella
propria casella di posta. Il gestore del destinatario invia una ricevuta di avvenuta consegna
alla casella del mittente.
Il processo si conclude anche se il destinatario non ha ancora letto il messaggio di posta.

Certificazione della consegna

Un messaggio di posta certificata viene consegnato nella casella del destinatario inserito nella sua
"busta di trasporto".
Non appena effettuata la consegna il provider del destinatario invia al mittente la ricevuta di
consegna, un messaggio email, firmato dal gestore che attesta:
• la consegna
• data e ora di consegna
• contenuto consegnato.
Va sottolineato l'ultimo punto: infatti la ricevuta di consegna contiene, in allegato, anche il
messaggio vero e proprio (con tutti i suoi eventuali allegati). Questo significa che la posta certificata
fornisce al mittente una prova, firmata dal provider scelto dal destinatario, di tutto il contenuto che
è stato recapitato (con data e ora di recapito).
Questa è una delle caratteristiche più significative che distingue la posta certificata dai normali mezzi
per l'invio di documenti ufficiali in formato cartaceo

FIRMA DIGITALE
Il Regolamento UE n° 910/2014 - eIDAS
→ Il Regolamento eIDAS (electronic IDentification Authentication and Signature) - Regolamento
UE n° 910/2014 sull’identità digitale - ha l’obiettivo di fornire una base normativa a livello
comunitario per i servizi fiduciari e i mezzi di identificazione elettronica degli stati membri.
Con riferimento alla firma digitale il Regolamento (articolo 25, comma 3) prescrive che:
→ ” Una firma elettronica qualificata basata su un certificato qualificato rilasciato in uno Stato
membro è riconosciuta quale firma elettronica qualificata in tutti gli altri Stati membri.”

Il Regolamento eIDAS disciplina tre tipologie di firme elettroniche:

✓ Firma Elettronica - dati in forma elettronica, acclusi oppure connessi tramite associazione
logica ad altri dati elettronici e utilizzati dal firmatario per firmare.
✓ Firma Elettronica Avanzata (FEA) - firma elettronica che soddisfi i seguenti requisiti: è
connessa unicamente al firmatario; è idonea a identificare il firmatario; è creata mediante
dati per la creazione di una firma elettronica che il firmatario può, con un elevato livello di
sicurezza, utilizzare sotto il proprio esclusivo controllo; è collegata ai dati sottoscritti in modo
da consentire l’identificazione di ogni successiva modifica di tali dati.
 ✓ Firma Elettronica Qualificata (FEQ) – che in aggiunta a quelle di una firma elettronica
avanzata possiede queste caratteristiche: è creata su un dispositivo qualificato per la
creazione di una firma elettronica; è basata su un certificato elettronico qualificato; ha
effetto giuridico equivalente a quello di una firma autografa.

Firma Digitale (FD): la Firma Digitale (ovvero Firma Elettronica Qualificata), invece, è definita come
"un particolare tipo di Firma Elettronica Avanzata basata su un certificato qualificato (rilasciato da un
Certificatore accreditato dall'AgID) e su un sistema di chiavi crittografiche, una pubblica e una
privata, correlate tra loro, che consente al titolare tramite la chiave privata e al destinatario tramite
la chiave pubblica, rispettivamente, di rendere manifesta e di verificare la provenienza e l'integrità di
un documento informatico o di un insieme di documenti informatici".
Certificato digitale: il Certificato digitale è un documento elettronico che associa l’identità di una
persona o azienda ad una chiave pubblica ed esso viene usato nella crittografia asimmetrica. Nel
caso della firma digitale, la norma richiede una particolare modalità tecnologica, quella della
crittografia a chiavi asimmetriche detta anche crittografia a doppia chiave.

Dal punto di vista del diritto la firma digitale possiede le seguenti caratteristiche:
− autenticità: la firma digitale garantisce l’identità del sottoscrittore
− integrità: la firma digitale assicura che il documento non sia stato modificato dopo la
sottoscrizione
− non ripudio: la firma digitale attribuisce piena validità legale al documento; pertanto, il
documento non può essere ripudiato dal sottoscrittore ovvero l'autore di una FD non potrà
negare la paternità e la validità della firma stessa
− Possono dotarsi di firma digitale tutte le persone fisiche: cittadini, amministratori e
dipendenti di società e pubbliche amministrazioni.
− Per dotarsi di firma digitale è necessario rivolgersi ai certificatori accreditati autorizzati
(Certification Autority) da AgID che garantiscono l’identità dei soggetti che utilizzano la firma
digitale.

Certification Autority: la Certification Authority è una organizzazione che garantisce l'appartenenza

di una chiave pubblica ad un determinato soggetto, mediante l'emissione di certificati

AGID – Agenzia per l’Italia digitale

Il regolamento eIDAS stabilisce che gli Stati membri designino un organismo di vigilanza stabilito nel
loro territorio o, sulla base un accordo con un altro Stato membro, un organismo di vigilanza stabilito
in tale altro Stato. L’organismo di vigilanza in ambito eIDAS per l’Italia è AgID.
− L’Agenzia per l'Italia Digitale è l’agenzia tecnica della Presidenza del Consiglio che ha il
compito di garantire la realizzazione degli obiettivi dell’Agenda digitale italiana e contribuire
alla diffusione dell'utilizzo delle tecnologie dell'informazione e della comunicazione,
favorendo l'innovazione e la crescita economica.
− AgID ha il compito di coordinare le amministrazioni nel percorso di attuazione del Piano
Triennale per l’informatica della Pubblica amministrazione, favorendo la trasformazione
digitale del Paese.
− AgID sostiene l’innovazione digitale e promuove la diffusione delle competenze digitali
anche in collaborazione con le istituzioni e gli organismi internazionali, nazionali e locali.
− All’Agenzia per l’Italia Digitale, istituita con il decreto legislativo n. 83/2012, spetta la
programmazione ed il coordinamento delle attività delle amministrazioni per l'uso delle
tecnologie dell'informazione e della comunicazione attraverso l’elaborazione (anche sulla
base dei dati e delle informazioni acquisiti dai soggetti obbligati all’attuazione del CAD) del
Piano Triennale
“Codice dell'amministrazione digitale” (CAD) (decreto legislativo n. 82 del 7 marzo 2005 e s.m.i.).
ll Codice dell'Amministrazione Digitale (CAD) è un testo unico che riunisce e organizza le norme
riguardanti l'informatizzazione della Pubblica Amministrazione nei rapporti con i cittadini e le
imprese.
▫ Il CAD stabilisce che le pubbliche amministrazioni si debbano organizzare utilizzando le
tecnologie dell'informazione e della comunicazione per la realizzazione degli obiettivi di
efficienza, efficacia, economicità, imparzialità, trasparenza, semplificazione e partecipazione,
nel rispetto dei principi di uguaglianza e di non discriminazione, per l'effettivo
riconoscimento dei diritti digitali dei cittadini e delle imprese.
▫ Il CAD, come modificato dal decreto legislativo 13 dicembre 2017, n. 217, costituisce la
principale fonte normativa e fornisce il contesto di riferimento per la definizione e
l’attuazione del Piano Triennale 2019-2021 ai fini della realizzazione del processo di
trasformazione digitale delle amministrazioni. Tale processo coinvolge non solo l’informatica
ma anche l’organizzazione e la comunicazione
Le amministrazioni pubbliche sono obbligate a gestire i procedimenti amministrativi utilizzando le
tecnologie dell'informazione e della comunicazione e a fornire gli opportuni servizi di
interoperabilità o integrazione.

Supporti sicuri per la firma digitale avanzata:

+ Smart Card
+ Token USB
+ App su dispositivo per firma remota
La firma digitale remota è una tipologia di firma digitale, accessibile via rete (Intranet e/o Internet),
nel quale la chiave privata del firmatario viene conservata assieme al certificato di firma, all'interno
di un server remoto sicuro (basato su un HSM - Hardware Security Module) da parte di un
certificatore accreditato. Le firme remote posso essere:
→ Firme remote (richiedono PIN e codice OTP – notifica su app del cellulare)
→ Firme remote automatiche (richiedono solo PIN) – vengono utilizzate per firme massive e su
applicativi che sono registrati presso il provider

Modalità di firma

Le firme vengono apposte mediante l’utilizzo di softwares che sono soggetti a licenza d’uso e sono a
pagamento. I software invece di lettura e verifica della firma hanno licenze gratuite e possono essere
liberamente scaricati.

Il processo di firma
Si parte con l'impronta di un documento che è una sequenza di caratteri ottenuta applicando una
funzione di calcolo, detta funzione di hash, al file. Uno stesso file a cui è applicata la stessa funzione
di hash genera sempre la medesima impronta. La stringa di output è univoca per ogni file e ne è un
identificatore.
1. L'utente calcola l'impronta digitale del documento con un algoritmo di Hash che restituisce una
stringa funzione del documento (Digest).
2. La stringa viene poi cifrata con l'algoritmo a chiave asimmetrica usando la chiave privata del
mittente.
3. Il risultato di tale codifica è la firma elettronica del documento.
4. La firma viene allegata al documento che ora risulta firmato elettronicamente. Il documento così
firmato è in chiaro ma possiede la firma del mittente e può essere spedito in modo che esso possa
essere letto da chiunque ma non alterato poiché la firma digitale ne garantisce l'integrità.

Il processo di verifica della firma

La verifica della firma digitale avviene da parte del destinatario che:
▪ applica al messaggio ricevuto la stessa funzione di hash che aveva applicato il mittente
ottenendo il digest del messaggio;
▪ prende la chiave pubblica del mittente e la utilizza per decifrare la firma digitale ottenendo il
digest del messaggio;
▪ confronta i due digest. Se sono uguali la verifica è andata a buon fine

La sicurezza di un algoritmo di hash risiede nel fatto che la funzione non sia:
+ reversibile - non sia cioè possibile risalire al messaggio originale conoscendo solo questo
dato
+ non deve essere mai possibile che si riescano a creare intenzionalmente due messaggi
diversi con lo stesso digest.
+ la minima modifica del messaggio deve portare ad un'alterazione radicale dell'impronta del
messaggio (effetto «valanga»).
+ Esistono diverse famiglie di algoritmi sviluppate per la crittografia dei documenti. Quella
utilizzata ad oggi per la firma digitale è la SHA-256. La sigla SHA sta per Secure Hash
Algorithm.
+ Sha-256 produce un digest di 256 bit

I software di verifica della firma

La verifica della firma digitale e la successiva estrazione degli oggetti firmati può essere effettuata
con qualsiasi software in grado di elaborare file firmati in modo conforme alla Deliberazione CNIPA
21 maggio 2009, n. 45. I produttori dei seguenti software rendono disponibili per il download i propri
prodotti gratuitamente:
• Digital Signature Service
• DigitalSign Reader
• Firma OK!
• PkNet
• DIKE

IL VALORE PROBATORIO DELLA FIRMA DIGITALE

Estratto CAD: Art. 21 – Valore probatorio del documento informatico sottoscritto
− Il documento informatico, cui è apposta una firma elettronica, sul piano probatorio è
liberamente valutabile in giudizio, tenuto conto delle sue caratteristiche oggettive di qualità,
sicurezza, integrità e immodificabilità.
− Il documento informatico sottoscritto con firma elettronica avanzata, qualificata o digitale,
formato nel rispetto delle regole tecniche di cui all'articolo 20, comma 3, che garantiscano
l'identificabilità dell'autore, l'integrità e l'immodificabilità del documento, ha l'efficacia
prevista dall'articolo 2702 del codice civile. L'utilizzo del dispositivo di firma si presume
riconducibile al titolare, salvo che questi dia prova contraria.
 − Codice Civile art. 2702: La scrittura privata fa piena prova, fino a querela di falso, della
provenienza delle dichiarazioni da chi l'ha sottoscritta, se colui contro il quale la scrittura è
prodotta ne riconosce la sottoscrizione, ovvero se questa è legalmente considerata come
riconosciuta

Consegnare un dispositivo di firma e farlo usare da un’altra persona è una procedura contraria alla
legge e che può avere gravi conseguenze.

Il CAD prescrive che "Il titolare del certificato di firma è tenuto ad assicurare la custodia del
dispositivo di firma e ad adottare tutte le misure organizzative e tecniche idonee ad evitare danno ad
altri; è altresì tenuto ad utilizzare personalmente il dispositivo di firma" (art. 32, c. 1).
Dunque il titolare non solo non può consegnare a chiunque il dispositivo, ma deve "assicurarne la
custodia" e usarlo personalmente. Affidarlo a un terzo, oltre a violare queste disposizioni, costituisce
un rischio incalcolabile: infatti, nel caso in cui l'uso del dispositivo da parte di un'altra persona
provochi un danno ad altri, egli è tenuto al risarcimento se non prova di aver adottato "tutte le
misure tecniche e organizzative" idonee ad evitarlo (art. 2050 del codice civile). Prova
evidentemente impossibile, se ha affidato il dispositivo a un'altra persona!

La prassi in questione mina alla radice la fiducia che si dovrebbe porre nello strumento della firma
digitale e rende incongrua la disposizione presente in due punti del CAD: "Il documento informatico
sottoscritto con firma elettronica qualificata o con firma digitale [...] si presume riconducibile al
titolare del dispositivo di firma" (art. 20, c. 2) e "L'utilizzo del dispositivo di firma si presume
riconducibile al titolare, salvo che questi dia prova contraria" (art. 21, c. 2).

La norma, dunque, non stabilisce che la firma digitale è una prova incontrovertibile e mai
contestabile, ma prevede una inversione dell’onere della prova. In altre parole, in via automatica, la
firma digitale si considera proveniente dal suo titolare, ma quest’ultimo può sempre disconoscere la
sottoscrizione, per smentire di avere egli sottoscritto con firma digitale l’atto. Egli insomma deve
riuscire a provare di non avere apposto la propria firma digitale, ma che essa è stata abusivamente
utilizzata da terzi. Una prova tutt’altro che facile da fornire se il firmatario ha consegnato a terzi il
token di firma e/o il relativo PIN.

Da ciò deriva che nel caso in cui il soggetto titolare della firma dimostri di non aver utilizzato
personalmente il dispositivo di firma in questione, per riflesso starà dimostrando anche di non aver
garantito con tutta la diligenza necessaria la custodia dello stesso. Diventerà in tal modo
responsabile dell’atto sottoscritto a seguito della negligenza nella corretta gestione del dispositivo di
firma.

Il valore dei diversi formati di firma digitale secondo la Cassazione

La Corte di Cassazione si è espressa, a Sezioni Unite, con la sentenza n. 10266/2018 del 27 aprile
2018 sul valore dei diversi formati di firma digitale, avvalorando la tesi secondo cui i due formati
(CAdES e PAdES) sono equivalenti e pienamente efficaci.
Nel caso di specie, la parte ricorrente aveva sollevato una questione relativa alla ritualità della
notifica del controricorso depositato dalla controparte, lamentando il fatto che tale notifica sarebbe
avvenuta allegando al messaggio inviato via PEC tre file con estensione «.pdf» e non «.p7m» e, di
conseguenza, da ritenere privi di idonea firma digitale. Secondo la Cassazione, tuttavia, tale
doglianza è inammissibile.
Prendendo in considerazione anzitutto il panorama normativo europeo, appare pacifico che i due
formati di firma digitale siano equivalenti e debbano essere riconosciuti e convalidati dai Paesi
membri, senza eccezioni. La sentenza della corte di Cassazione si limita, di fatto, a riconoscere il
principio di equivalenza tra diversi formati di firma digitale che già risultava delineato dal dettato
normativo delle disposizioni in materia. Tuttavia, essa appare comunque utile in quanto consente di
chiarire, fugando ogni dubbio residuo circa l’adeguatezza della firma PDF, l’approccio da seguire in
un settore particolarmente complesso dato l’elevato livello di tecnicismo che può sicuramente
determinare delle difficoltà pratiche per i non esperti

ENCODING, ENCRYPTION, HASHING

Quali sono le differenze tra encoding, encryption e hashing?
Esiste spesso molta confusione riguardo le differenze tra encoding, encryption e hashing.
Nonostante siano tutte tecniche per convertire dati da una forma ad un’altra, esse possiedono
differenze sostanziali e, nello specifico, non possono essere equivalentemente utilizzate nel caso in
cui siano necessari particolari requisiti di sicurezza all’interno del vostro sistema o applicazione.

ENCODING (CODIFICA)
Lo scopo dell’encoding è quello di trasformare un dato in modo che possa essere consumato in
modo appropriato e sicuro da un differente tipo di sistema.
Lo scopo quindi non è quello di mantenere l’informazione segreta, bensì che possa essere utilizzata
da sistemi differenti! L’encoding trasforma i dati in forme diverse utilizzando uno schema che è
disponibile a tutti al fine di poter facilmente ricavare il valore originale.
Per ottenere il valore iniziale non è necessaria una chiave ma è sufficiente soltanto conoscere
l’algoritmo che è stato utilizzato per encodare il dato. Nelle lezioni precedenti abbiamo visto un
sistema di encoding che utilizza come algoritmo la tabella ASCII. Qui a fianco trovate altri due esempi
di codifica.

ENCRYPTION
Lo scopo della cifratura è quello di trasformare un dato in modo che il suo contenuto venga reso
segreto per tutti ad eccezione del destinatario previsto.
L’operazione di cifratura viene effettuata tramite l’utilizzo di una chiave che deve essere tenuta
segreta. Sulla base della chiave utilizzata, possono essere individuati due tipi di cifratura: a chiave
simmetrica o a chiave asimmetrica.
Cifratura a chiave simmetrica: la cifratura a chiave simmetrica rappresenta un metodo semplice per
cifrare testo in chiaro dove la chiave di cifratura è la stessa utilizzata per la fase di decifratura,
rendendo l'algoritmo molto performante e semplice da implementare. In questo caso è importante
che lo scambio della chiave avvenga in maniera sicura.
Cifratura a chiave asimmetrica: la cifratura asimmetrica è un tipo di crittografia dove ad ogni attore
coinvolto nella comunicazione è associata una coppia di chiavi:
➢ la chiave pubblica, che deve essere distribuita;
➢ la chiave privata, appunto personale e segreta; Il meccanismo si basa sul fatto che, se con
una delle due chiavi si cifra un messaggio, allora quest'ultimo sarà decifrato solo con l'altra.

HASHING
Lo scopo dell’hashing è quello di assicurare l’integrità del dato, in modo da avere la garanzia che
qualunque modifica effettuata al dato originale possa essere facilmente individuata. Tecnicamente,
l’hashing prende un input arbitrario e produce una stringa di lunghezza fissa avente i seguenti
attributi:
• Lo stesso input produce sempre lo stesso output
• Molteplici input differenti non dovrebbero produrre lo stesso output
• Non deve essere possibile ottenere l’input a partire dal dato di output
Qualunque modifica effettuata sul dato in input dovrebbe risultare in un cambiamento sostanziale
dell’hash risultante ottenuto.
L’hashing è tipicamente utilizzato insieme a meccanismi di autenticazione in modo da fornire prove
concrete che il messaggio non sia stato modificato e, inoltre, che sia stato inviato dalla persona
corretta (firma digitale).

Come mettere in sicurezza i dati (hardware)

Come preservare gli archivi?

• BACKUP, che viene diviso in

▪ Nas: più locale, un altro computer che fa la copia dei dati

vantaggi:

• Il gestore è la persona fisica

• Costo dell’infrastruttura

Gli svantaggi:

• Luoghi dove installarla: luogo lontano almeno 40 km dal server fisico

• Costi di manutenzione dei dischi e verifica
• Non accessibile da qualunque dispositivo

▪ Cloud:
• Ci pensa qualcun altro
• Non bisogna pensare a quale hardware o software viene utilizzato
• No ridondanza
• Accessibile a tutti
• Costi solo su ciò che si utilizza
• Backup dei dati e dell’applicativo
• Stabilire i tempi di SLA, ovvero i tempi di ripristino
• Linea internet veloce
• Trasmissione sicura

TEMPO DI SLA DI 4 ORE = il servizio di cloud deve essere in grado di ripristinare tutto il sistema entro
4 ore

BACKUP DEI DATI:

Anagrafica: contiene i dati che identificano una persona attraverso un ID casuale (permette di sapere
di chi sono i dati sensibili senza avere un riferimento esplicito alla persona)

Campi: colonne che contengono delle informazioni omogenee

Record: stringhe o righe che corrispondono ad un unico individuo

MODALITÀ PER RENDERE SICURI I DATI:

• Salvare in sistemi diversi le tabelle dei dati personali e dei dati sensibili
• Far viaggiare i dati in maniera crittografata
Protocollo di TCP/IP: è il protocollo di collegamento dati utilizzato in internet per consentire a
computer e altri dispositivi di inviare e ricevere dati

IP: Internet protocol; per andare in internet si è bisogno di una scheda di rete, identificata da un
codice (MAC address). Questo codice deve essere trasformato in un indirizzo IP attraverso il DHCP

DHCP: macchina che trasforma gli indirizzi MAC address in indirizzi per poter andare su internet

TCP: controlla la trasmissione tra due o più dispositivi di rete. Crea la connessione fra due indirizzi IP
e gestisce la consegna dei pacchetti dati

DNS: sono le macchine che traducono gli indirizzi IP in nomi facili da ricordare

WIFI: tecnologia che permette di connettere in rete uno o più dispositivi senza utilizzare i cavi,
sfruttando le onde radio (onde elettromagnetiche) che vengono da un apparecchio in grado di
generarle, il modem.

Guglielmo Marconi: inventore del telegrafo

SICUREZZA INFORMATICA

Per sicurezza informatica si intende l’insieme dei mezzi e delle tecnologie utilizzati per la protezione
dei sistemi informatici in termini di disponibilità, confidenzialità e integrità dei beni. Parametri ai
quali, attualmente, se ne aggiunge un altro, che è quello dell’autenticità delle informazioni.

La sicurezza nell’informatica corrisponde a realizzare tutte le misure e tutte le tecniche necessarie

per proteggere l’hardware, il software, i dati e le reti dagli accessi non autorizzati, al fine di
garantirne la riservatezza ed anche eventuali usi illeciti (divulgazione, modifica e distruzione). La
“cybersecurity” rappresenta una sottoclasse della sicurezza informatica, essendo quell’aspetto che
dipende solo dalla tecnologia informatica

▫ SERVER: un server è un dispositivo informatico (fisico o virtuale) che offre servizi in rete a
dispositivi clients. Es: server di posta, server web, server applicativi (cartella clinica,
laboratorio, radiologia, anatomia patologica, ecc)
▫ CLIENT: è un dispositivo informatico, generalmente fisico, che usufruisce dei servizi erogati
in rete dai servers. Es: desktop pc, laptop pc, smartphone, stampanti, tablet, ecc
Tipologia di reti
 o INTERNET: nome composto dal latino inter=“fra” e dal termine inglese net=“rete” è un
insieme di reti di computer, sparse per il mondo, interconesse tra di loro, ad accesso
pubblico
o INTRANET: è una rete locale (LAN), o un raggruppamento di reti locali, usata all'interno di
una organizzazione per facilitare la comunicazione e l'accesso all'informazione, che può
essere ad accesso ristretto
o EXTRANET: una parte della intranet che viene resa accessibile a clienti, partner o altre
persone esterne all'organizzazione

Viene detto «Web» (nome inglese che significa «rete»), contrazione di «World Wide Web» (da cui
l'acronimo www), una delle possibilità offerte dalla rete Internet di navigare tra documenti realizzati
attraverso dei link ipertestuali. Il concetto di Web è stato messo a punto dal CERN (Centro Europeo
di Ricerca Nucleare) nel 1991 da una squadra di ricercatori a cui apparteneva Tim-Berners LEE, il
creatore del concetto di iperlink, considerato oggi come il padre fondatore del Web

Protocolli di rete
Per protocollo di rete, si intende l’insieme delle regole formali attraverso le quali le apparecchiature
elettroniche stabiliscono una connessione e dialogano tra di loro. I protocolli che già utilizzate tutti
giorni a vostra insaputa sono:
→ TCP/IP: l'uso combinato di due protocolli per la trasmissione di dati su Internet
→ Http/https: navigazione web – porta 80
→ Smtp/Pop3/Imap: posta elettronica – porte 25-465 (smtp) – porte 110-995 (pop3) – porte
110-993 (imap)
→ Protocolli di messaggistica istantanea: whatsapp, telegramm, …
→ FTP/sFTP: utilizzato per trasferire file da computer su internet (WeTransfer)

Il carattere «s» che precede o segue in nome del protocollo (https, sftp) significa che le
comunicazioni scambiate sono criptate (s=secure) utilizzando la crittografia SSL, la quale utilizza dei
certificati SSL a chiavi asimmetriche rilasciati da Certification Authorities (CA) autorizzate.

Tipologie di danni ed intrusioni sui dati:

• Eventi accidentali
• Eventi indesiderati

La maggior parte degli attacchi informatici avviene per distrazioni della persona.
Tra le forme più comunemente rilevate di errori e abitudini rischiose troviamo:
+ una inadeguata gestione delle proprie password,
+ l'incapacità di riconoscere siti fraudolenti,
+ Apertura di allegati pericolosi all’interno di messaggi mail e di URL ingannevoli.

Strumenti di difesa informatica

La sicurezza del software e dei sistemi operativi
Il termine malware (malicious software, software dannoso) indica qualunque software che agisca
contro l'interesse dell'utente. Oltre al computer o al dispositivo infetto, il malware può colpire anche
tutti i dispositivi con cui questo comunica.
I Tipi Di Malware Più Diffusi:
1) Virus. è un programma o una sezione di codice caricato nel computer senza che il proprietario ne
sia a conoscenza o lo abbia autorizzato
2) Worm. sono programmi che creano copie di sé stessi in diversi punti di un computer. L'obiettivo di
questo tipo di malware è solitamente quello di saturare computer e reti, impedendo che vengano
utilizzati. A differenza dei virus, i worm non infettano i file.
3) Trojan. sono un particolare tipo di malware che i criminali usano per prendere il completo
controllo di un dispositivo elettronico, mobile o fisso. I trojan si presentano sotto forma di
programmi legittimi, sebbene in realtà siano una versione fasulla della app contenente un malware.
In genere, questi trojan si nascondono nei marketplace di app pirata non ufficiali, spingendo gli
utenti a scaricarli.

Lo spear phishing è una truffa tramite cui i cybercriminali spingono le vittime a rivelare informazioni
sensibili, come le credenziali di accesso. In alcuni casi, i truffatori riescono ad ottenere l'accesso ai
dati tramite link o allegati malevoli, che, una volta aperti, installano malware nel computer della
vittima.

Contromisure
Aggiornamento di sistemi operativi con patch di sicurezza. Spesso gli aggressori sfruttano alcune
vulnerabilità dei sistemi operativi per introdursi all’interno dei pc.
→ Antivirus: consente di proteggere il proprio computer da software dannosi, conosciuti come
virus. Un buon antivirus deve essere costantemente aggiornato ad avere in continua
esecuzione le funzioni di scansione in tempo reale.
→ intrusion detection system (IDS) è un dispositivo software o hardware (o a volte la
combinazione di entrambi, utilizzato per identificare accessi non autorizzati ai computer o
alle reti locali
→ Controllare tutti i file che si ricevono o che vengono spediti tramite posta elettronica
→ Verificare l’affidabilità dei mittenti di posta elettronica
→ Verificare l’origine dei siti web navigati
→ Gestire in maniera corrette le proprie credenziali

Protezione dei dati

+ Backup
+ Criptazione
+ Profilazione utenti: definizione delle tipologie di accesso
BACKUP: In informatica, il backup è la duplicazione di un file o di un insieme di dati su un supporto
esterno al computer. Serve, insomma, per avere una copia delle nostre foto, conversazioni sui
software di messaggistica, contenuti del nostro sito e molto altro.
CRIPTAZIONE: Lo scopo della cifratura è quello di trasformare un dato in modo che il suo contenuto
venga reso segreto per tutti ad eccezione del destinatario previsto. Vengono criptati non solamente i
dati presenti nei database ma anche i colloqui che avvengono all’interno della rete.
PROFILATURA UTENTI: gli accessi agli applicativi devono essere abilitati solamente al personale
autorizzato mediante il rilascio di credenziali personali (utente + password o pin). Devono essere
definiti anche i livelli di accesso: nessun accesso, sola lettura, lettura/scrittura, [Link]
essere disattivati in maniera tempestiva gli account di coloro i quali non sono più autorizzati
all’accesso dei dati. Le attività effettuate su dati personali o sensibili devono essere tracciate
attraverso la gestione dei logs applicativi.

Protezione dell’hardware e delle reti informatiche

Un firewall, è un componente hardware e/o software di difesa perimetrale di una rete,
originariamente passivo
Un web application firewall (WAF) è una specifica forma di firewall software che filtra, monitora e
blocca traffico HTTP in entrata e uscita da un servizio web. Ispezionando il traffico HTTP, una
soluzione WAF può prevenire attacchi provenienti da minacce veicolate attraverso il web
I firewalls sono in grado, per esempio, di autorizzare o negare il passaggio dei protocolli di rete

VIRUS VS FIREWALL

Protezione dell’hardware e delle reti informatiche

Un PROXY è un componente hardware (server) utilizzato come intermediario verso la navigazione
web. Il proxy crea una «barriera di difesa» verso il web, filtrando le connessioni in entrata ed in
uscita.
Attraverso un server proxy è possibile anche definire delle whitelists o delle denylists all’interno
delle quali vengono elencati i siti che possono o non possono essere navigati, oppure è possibile
abilitare solamente alcuni soggetti alla navigazione assegnando loro delle credenziali di accesso
senza le quali non è possibile accedere alla navigazione Internet.