Arrivano le valutazioni di sicurezza informatica

Nate per esigenze di sicurezza nazionale, le metodologie ITSEC si sono estese negli anni '90 a prodotti di carattere commerciale. La situazione nei principali Paesi europei dove operano strutture pubbliche e private

Il DPCM 8 febbraio '99 introduce per la prima volta in un atto amministrativo pubblicato sulla G.U. un requisito di valutazione ITSEC. In realtà un atto precedente. la Direttiva PCM/ANS/TI001, emessa nell'agosto 1995 dall'Autorità Nazionale per la Sicurezza, citava la necessità che i sistemi destinati a custodire informazioni segreto di Stato fossero valutati e certificati secondo i criteri ITSEC.

È grande la probabilità che i due atti amministrativi citati abbiano trovato i lettori interessati alle tematiche relative alla firma elettronica e alla sicurezza informatica in generale, digiuni in termini di conoscenza di che cosa si nasconda sotto l'acronimo ITSEC e curiosi di conoscere il contenuto di requisiti come livello di valutazione E2 oppure robustezza dei meccanismi HIGH ed il perché di tali richieste.

Cominciamo a rispondere al primo interrogativo: ITSEC è l'acronimo di Information Technology Security Evaluation Criteria, Criteri per la Valutazione della Sicurezza nella Tecnologia dell'Informazione, e costituisce la base normativa Europea, pubblicata la prima volta nel 1992 da parte della Commissione delle Comunità Europee (DGXIII), con cui gli organismi di Terza Parte che eseguono prove e certificazioni indipendenti nel settore della sicurezza informatica operano.

Prove, Valutazioni di Terza Parte e Certificazioni

Spesso, soprattutto in contesti nei quali l'utilizzo di un bene può costituire un rischio per l'acquirente o per il destinatario del servizio a cui il bene è strumentale, ci cauteliamo, come acquirenti/utenti del prodotto o servizio, richiedendo l'evidenza di prove di conformità a norme di sicurezza.

Da parte loro i fornitori del prodotto o servizio accedono a servizi di prova indipendenti, a testimonianza della progettazione e produzione nel rispetto della regola d'arte, volendo dimostrare al mercato di aver compiuto tutti i possibili sforzi per assicurare l'assenza di errori sistematici di progettazione e di produzione.

Quella sopra descritta è prassi consolidata da decenni nel contesto della "sicurezza personale o antinfortunistica" o safety. Esigenze di corretta genesi dei "grandi sistemi complessi", e il sistema di cui la firma digitale è un elemento abilitante ne è un esempio, fanno sì che la prassi divenga comune anche nel contesto dell'altra accezione di sicurezza, cioè la tutela dei beni e delle informazioni o security.

Nei servizi di Terza Parte rivolti ai prodotti sono identificabili due momenti: servizi di prova o di valutazione e servizi di certificazione. Il primo momento è di tipo strettamente tecnico, costituendo l'attività di un laboratorio di prova, che sottopone a prova o valutazione il prodotto, producendo un esteso rapporto tecnico contenente i risultati. Tale rapporto di prova o di valutazione è, per sua natura, destinato ad un lettore preparato nel settore oggetto della prova. Da cui nasce l'esigenza del secondo momento, la certificazione, che è di tipo tecnico-legale. Il certificatore, sulla base delle evidenze tecniche presenti nel rapporto produce un certificato, documento sintetico destinato ad un pubblico di lettori e di committenti più vasto.

Per l'aspetto tecnico, nel settore della sicurezza informatica si parla di valutazioni. Valutare significa esprimere un giudizio sulla base di criteri che devono preesistere all'operazione di valutazione stessa. L'azione del valutare si applica qualora non sia possibile misurare, cioè associare un valore numerico ad una grandezza. Da notare che, a sua volta, una valutazione può essere composta anche da un insieme di misure di carattere oggettivo attraverso la cui totalità si può esprimere un verdetto imparziale, ove sia possibile individuare dei riferimenti numerici utilizzabili.

I criteri di valutazione sono quindi lo strumento, la metodologia pubblicata, attraverso la quale è possibile esprimere un giudizio su quanto sicuro sia un sistema o un prodotto informatico. Vista la natura diversissima dei prodotti e dispositivi (hardware e software) e dei sistemi informatici, i criteri devono essere utilizzabili in tutti i casi sia necessaria una misura di sicurezza informatica. Per la loro generalità, non possono quindi contenere requisiti funzionali, applicabili forse ad alcune tipologie di prodotti o sistemi e non ad altre.

Fondamenti dei criteri ITSEC

Si presuppone che il sistema sia realizzato per un modello di business noto, che determini dei requisiti operativi noti, sia collocato in un determinato ambiente fisico, siano identificabili delle politiche di sicurezza e degli obiettivi di sicurezza in termini di riservatezza, integrità e disponibilità. ed uno scenario di minacce a cui il sistema è sottoposto.

Gli obiettivi di sicurezza determinano l'esigenza di funzionalità di sicurezza a loro difesa, per contrastare le minacce.

Se formalizziamo la definizione delle funzionalità ritenute necessarie, otteniamo una serie di requisiti, come presenti in una ipotetica norma, applicabile per quel sistema (quell'ambiente di esercizio, quello scenario delle minacce, quell'insieme di funzionalità). Tale ipotetica norma prende il nome di Target di Sicurezza.

Ebbene, semplificando al massimo, i criteri ITSEC sono definibili come i criteri pubblici per valutare la conformità di un sistema o un prodotto qualsiasi al proprio Target di Sicurezza. Ciò che è stato detto per un sistema vale anche nel caso di un prodotto informatico, fatto salvo il fatto che per un prodotto non si potrà parlare di ambiente di utilizzo reale, ma di ambiente di utilizzo presunto, così come lo ha ipotizzato il suo progettista.

Come avviene la valutazione

Realizzare sicurezza costa, così come sottoporre i prodotti/sistemi a valutazione. E il costo di realizzazione della sicurezza non dovrebbe essere superiore al valore delle informazioni da proteggere. Aggiungiamo al Target di Sicurezza introdotto precedentemente, che contiene per ora indicazioni di come il prodotto/sistema realizza la sicurezza, indicazioni sintetiche che esprimano quanto vogliamo essere garantiti del risultato.

Questa informazione sintetica in ITSEC prende il nome di livello di garanzia, e si esprime con 7 livelli, per garanzie crescenti da EO (nessuna garanzia) a E6 (massima garanzia).

Inoltre, le singole funzionalità di sicurezza sono realizzate con algoritmi software o con logica hardware, chiamati in termini generali meccanismi da ITSEC.

Aggiungiamo ancora al Target di Sicurezza una indicazione sintetica che descriva quanto robusti debbano essere i meccanismi, in funzione della forza con cui possono essere perpetrati gli attacchi, cioè in funzione della competenza dell'attaccante, del tempo che costui può avere a disposizione per condurre l'attacco, del livello di complicità con gli utenti autorizzati del prodotto/sistema, del tipo di strumentazione necessarie a condurre l'attacco.

Tutte le condizioni descritte, che costituiscono le risorse dell'attaccante, sono realizzabili o no nella pratica in funzione dell'ambiente in cui è collocato il prodotto/sistema e della sua modalità d'uso. L'indicazione sintetica nel Target di Sicurezza esprime la robustezza dei meccanismi, che può assumere tre valori: basic, medium o high.

Così completato, il Target di Sicurezza descrive ora compiutamente i requisiti per il nostro prodotto/sistema. Vediamo ora come avviene la sua valutazione.

I criteri ITSEC si fondano sulla sistematica suddivisione dell'argomento sicurezza nei tre aspetti: funzionalità (ciò che il prodotto/sistema deve fare per la sicurezza), efficacia (in che misura le funzionalità di sicurezza annullano le minacce) e correttezza (come il sistema è stato implementato, quanto fedelmente rispetto all'idea del progettista).

Da quanto esposto finora appare che la funzionalità è di definizione libera e diversa da caso a caso, dipendendo pesantemente dalla tipologia di prodotto/sistema che la realizza, dagli obiettivi alla base delle sua realizzazione, dallo scenario di minacce che si propone di contrastare.

Il Target di Sicurezza contiene la formalizzazione di tutto questo. L'insieme dei due aspetti di efficacia e correttezza costituisce quella che in ITSEC è la garanzia. La figura 2 fornisce la rappresentazione delle tre componenti su di un piano cartesiano.

Si noti che la garanzia ha una componente (l'efficacia), che è esprimibile solo relativamente all'ambiente in cui il prodotto/sistema si trova ad operare ed in particolare relativamente allo scenario delle minacce possibili in tale ambiente.

L'altra componente (la correttezza) è invece intrinseca del processo attraverso il quale il prodotto sistema viene disegnato, realizzato e gestito.

Le analisi di correttezza

Dato il significato attribuito all'aspetto correttezza, ITSEC parte dal presupposto che un processo ben strutturato e ben realizzato stia alla base di un progetto e di un esercizio di qualità.

Per verificare ciò, l'analisi di correttezza, richiesta al valutatore, prende in esame i vari prodotti di ciascuna fase del processo e ne verifica la consistenza e la tracciabilità con i requisiti. Vengono presi in esame documenti relativi allo sviluppo e all'esercizio in numero e con dettaglio crescente con il livello di garanzia richiesto per la valutazione.

In particolare, per tutti i livelli, sono oggetto dell'analisi di correttezza i seguenti argomenti: il processo di sviluppo, l'ambiente di sviluppo, la documentazione di esercizio, l'ambiente di esercizio. Ciascuno di essi si suddivide in vari aspetti, per ciascuno dei quali in ITSEC sono contenuti i criteri di correttezza e le azioni che il valutatore dovrà compiere.

Le analisi di efficacia

Per la parte efficacia ITSEC considera sei analisi di efficacia, che devono essere prodotte dallo sponsor, cioè colui che richiede la valutazione, e, in maniera indipendente, dal valutatore utilizzando la documentazione consegnata per l'aspetto della correttezza. In aggiunta a ciò il valutatore è chiamato ad effettuare una serie di test di intrusione, per verificare la sfruttabilità delle eventuali vulnerabilità riscontrate.

ITSEC considera efficaci le funzionalità presenti in un prodotto/sistema se: