🚨 Introduzione alla Cybersecurity 🚨

  

 

Sei interessato a scoprire i segreti della cybersecurity? Vuoi proteggere i tuoi dati online e conoscere le minacce digitali? Non perdere l'opportunità di partecipare al nostro corso introduttivo!

📅 Quando: Settembre 2024
⏰ Durata: 2 ore
📍 Dove: Sassari (data e luogo saranno confermati entro il 5 settembre al raggiungimento di almeno 10 preiscritti).

Durante questo corso, imparerai le basi della sicurezza informatica, le minacce più comuni e le migliori pratiche per proteggerti online. Non è richiesta alcuna conoscenza preliminare.

🎯 Partecipante ideale:
Ragazzi/e dai 14 ai 18 anni, con curiosità e voglia di esplorare il mondo digitale in modo sicuro.

💻 Cosa imparerai:

• Introduzione alla cybersecurity

• Minacce informatiche e attacchi più comuni

• Le basi della crittologia

• Strumenti e tecniche di protezione

• Come proteggere i tuoi dati

📌 Posti limitati!

 
Non perdere questa occasione.

Per maggiori informazioni preiscrizioni e dettagli su luogo, data e costi, scrivi a:

- alessandro.rugolo@atenanuovetecnologie.it

- francesco.rugolo@atenanuovetecnologie.it

Il NIST Risk Management Framework: cos'è, a cosa serve e come funziona

Esploriamo assieme come il NIST Risk Management Framework (RMF) gestisce i rischi informatici attraverso sette passaggi chiave, confrontiamolo con altri framework come NIS2 e DORA e scopriamo le best practice per migliorare la tua sicurezza informatica e conformità."

1. Introduzione

Il mondo digitale è in continua espansione e, con esso, aumentano le minacce alla sicurezza delle informazioni. Per affrontare questi rischi, è fondamentale adottare un approccio strutturato e sistematico. Uno degli strumenti più efficaci in questo ambito è il NIST Risk Management Framework (RMF). Sviluppato dal National Institute of Standards and Technology (NIST), il NIST RMF è uno strumento cruciale per la gestione dei rischi nella sicurezza delle informazioni e dei sistemi. Questo framework, suddiviso in sette passaggi principali, guida le organizzazioni attraverso un processo sistematico per identificare, valutare e mitigare i rischi.

Il NIST RMF comprende sette passaggi fondamentali:

• Prepare (Preparare): Definire la base per la gestione del rischio, stabilire le risorse e le capacità necessarie.
• Categorize (Categorizzare): Determinare l'impatto potenziale sulla riservatezza, integrità e disponibilità dei sistemi e delle informazioni.
• Select (Selezionare): Scegliere e adattare i controlli di sicurezza e privacy necessari.
• Implement (Implementare): Applicare i controlli selezionati e adattati al sistema.
• Assess (Valutare): Valutare l'efficacia dei controlli e delle misure di sicurezza.
• Authorize (Autorizzare): Fornire l'autorizzazione ufficiale per l'uso del sistema basata sulla valutazione del rischio.
• Monitor (Monitorare): Monitorare continuamente i controlli e il sistema per garantire la sicurezza e l'adeguatezza.

In questo articolo, esploreremo in dettaglio ciascuna di queste fasi per comprendere come il NIST RMF aiuti le organizzazioni a gestire i rischi in modo efficace e proattivo.

2. Cos'è il NIST RMF?

Il NIST Risk Management Framework (RMF) è un sistema di gestione del rischio progettato per aiutare le organizzazioni a proteggere le informazioni e i sistemi attraverso un processo strutturato. Creato dal National Institute of Standards and Technology (NIST), il framework è stato formalizzato nella Special Publication 800-37 e rappresenta un'evoluzione delle precedenti linee guida di sicurezza, migliorando l'approccio alla gestione del rischio attraverso la sua adattabilità e approfondita struttura.

Il NIST RMF si basa su un ciclo continuo di valutazione e miglioramento delle misure di sicurezza, promuovendo un’integrazione dei controlli di sicurezza nel ciclo di vita dei sistemi informativi. L'approccio modulare del framework consente alle organizzazioni di personalizzare le misure di sicurezza in base alle proprie esigenze e ai rischi specifici che affrontano. Questo rende il NIST RMF non solo un riferimento normativo, ma anche uno strumento pratico per implementare e mantenere politiche di sicurezza adeguate e conformi agli standard internazionali.

Il framework è applicabile a vari settori e dimensioni di organizzazioni, inclusi enti pubblici e grandi aziende. Tuttavia, la complessità e i requisiti del NIST RMF possono renderlo meno praticabile per micro e piccole imprese, che potrebbero trovare più utile adottare approcci di gestione del rischio meno complessi e più proporzionati alle loro dimensioni e risorse.

3. I sette passaggi del NIST RMF

Prepare (Preparare)
Nel primo passaggio, l'obiettivo è gettare le basi per una gestione efficace del rischio. Questo significa mettere in chiaro quali risorse e capacità sono necessarie, come strumenti e personale specializzato. È essenziale stabilire una solida struttura di governance, definendo chiaramente le politiche di sicurezza e i ruoli chiave all'interno dell'organizzazione. In pratica, si tratta di organizzare tutto il necessario per garantire che le misure di sicurezza siano ben gestite e coordinate.

Categorize (Categorizzare)

Il secondo passaggio si concentra sull'identificazione dell'impatto potenziale che le informazioni e i sistemi possono avere sulla riservatezza, integrità e disponibilità, così come sulla probabilità che una minaccia possa sfruttare una vulnerabilità. Questo processo aiuta a capire non solo quanto potrebbe essere grave una compromissione dei dati o dei sistemi, ma anche quanto è probabile che si verifichi. Una volta compresi questi due fattori, è necessario classificare le informazioni e i sistemi in base alla loro importanza e ai rischi associati. Questo aiuta a scegliere i controlli di sicurezza più adeguati in base alla criticità delle informazioni e alla probabilità di un attacco.

Select (Selezionare)
Nel terzo passaggio, è il momento di scegliere i controlli di sicurezza e privacy necessari per proteggere le informazioni e i sistemi. Qui si utilizza il catalogo di controlli del NIST Special Publication 800-53, che offre una serie di opzioni tra cui scegliere. L’obiettivo è adottare misure che siano adeguate per affrontare i rischi identificati nella fase di categorizzazione. La scelta dei controlli deve tenere conto delle specifiche esigenze e del contesto dell’organizzazione.

Implement (Implementare)
Il quarto passaggio riguarda l'integrazione dei controlli di sicurezza selezionati nei sistemi aziendali. Questo significa applicare le misure di sicurezza in modo pratico, configurando software e hardware come previsto. Tuttavia, l'implementazione non è sempre semplice. Possono sorgere problemi come la compatibilità tra i sistemi esistenti, la resistenza al cambiamento da parte del personale e limitazioni di risorse. Affrontare queste sfide è cruciale per assicurare che i controlli siano effettivamente funzionanti.

Assess (Valutare)
Il quinto passaggio prevede la valutazione dell'efficacia dei controlli implementati. È fondamentale verificare se le misure adottate stanno effettivamente proteggendo le informazioni e i sistemi come previsto. Questo può essere fatto attraverso audit, test di penetrazione e altre tecniche di valutazione. Utilizzare strumenti specifici per questa valutazione aiuta a garantire che le misure di sicurezza siano sempre all’altezza delle minacce in continua evoluzione.

Authorize (Autorizzare)
Nel sesto passaggio, si tratta di ottenere l'autorizzazione formale per utilizzare il sistema, basata su una valutazione complessiva dei rischi e delle misure di sicurezza. Questo implica una revisione dettagliata dei risultati della valutazione e una decisione finale su se accettare il rischio residuo. La documentazione di questo processo e l’approvazione da parte dei responsabili sono essenziali per garantire che tutti i rischi siano stati considerati e gestiti.

Monitor (Monitorare)
Il settimo e ultimo passaggio è il monitoraggio continuo dei controlli e dei rischi. La sicurezza non è un’attività una tantum; è necessario mantenere un programma di monitoraggio costante per rilevare nuove minacce e vulnerabilità. Questo include aggiornare i controlli di sicurezza e gestire le modifiche ai sistemi per rispondere efficacemente agli eventi di sicurezza emergenti. In pratica, si tratta di garantire che le misure di sicurezza restino efficaci nel tempo.

4. Best Practice e consigli per l'implementazione

Costituzione del Team di Implementazione

Per un'implementazione efficace del NIST RMF, è cruciale costituire un team ben strutturato, composto sia da personale interno che esterno. Il personale interno, che conosce a fondo la struttura e i processi dell'organizzazione, dovrebbe includere esperti di sicurezza informatica, analisti dei rischi, specialisti in compliance e manager del progetto. Tuttavia, anche grandi organizzazioni possono trovare difficile reperire tutte queste competenze. In tali casi, la consultazione con esperti esterni, la formazione del personale interno, l'outsourcing di alcuni compiti e la formazione di alleanze strategiche sono soluzioni utili. Un team ben bilanciato e multidisciplinare, con una comunicazione chiara e un processo di gestione dei conflitti, è cruciale per il successo dell'implementazione. La formazione continua e la flessibilità sono fondamentali per adattarsi ai cambiamenti e alle nuove sfide che possono emergere durante il processo.

Strategie per un'implementazione efficace
Per implementare il NIST RMF in modo efficace, è fondamentale sviluppare un piano dettagliato che comprenda tutte le fasi del framework. È utile iniziare con una valutazione preliminare per comprendere lo stato attuale della sicurezza e identificare le aree che necessitano di miglioramenti. Successivamente, è importante monitorare continuamente l'avanzamento dell'implementazione e adattare le strategie in base ai risultati e alle nuove esigenze.

Errori comuni da evitare

Quando si implementa il NIST RMF, è cruciale evitare di commettere alcuni errori comuni che possono compromettere l'efficacia del framework nell'applicazione specifica.

Una delle principali problematiche è la mancata o poco chiara definizione degli obiettivi e della portata del progetto. Senza una visione precisa su cosa si intende proteggere, quali risorse sono necessarie e quali risultati si attendono, il progetto può risultare confuso e portare a risultati insoddisfacenti. Al contrario, stabilire nel dettaglio gli obiettivi e la portata aiuta a mantenersi focalizzati sul progetto e a monitorare i progressi in modo efficace.

Un altro problema frequente è la sottovalutazione delle risorse necessarie, sia in termini di personale che di budget. Allocare risorse insufficienti può compromettere la qualità dell'implementazione e dei controlli di sicurezza. È essenziale assicurarsi che il budget sia adeguato e che il personale assegnato sia qualificato e dedicato. È anche importante considerare l'investimento in formazione e strumenti necessari per mantenere i controlli di sicurezza.

La mancata integrazione con le politiche esistenti è un altro errore comune. Non allineare il NIST RMF con le politiche e i processi di sicurezza già in atto può causare disallineamenti e inefficienze. È consigliabile rivedere le politiche e i processi esistenti per garantire una buona integrazione del framework, assicurando così la coerenza tra il nuovo sistema e le pratiche già in uso.

Coinvolgere tutti gli stakeholder è essenziale per il successo dell'implementazione. La mancanza di coinvolgimento di diverse divisioni aziendali e dei rispettivi dirigenti può portare a un insufficiente supporto e a difficoltà operative. Identificare e coinvolgere tutte le parti interessate sin dall'inizio e comunicare chiaramente gli obiettivi e le responsabilità aiuta a ottenere l'impegno necessario e a garantire che tutti comprendano l'importanza del framework e il loro ruolo nel processo.

Un altro errore consiste nell'ignorare la necessità di procedere ad una valutazione e monitoraggio continui. Considerare l'implementazione del NIST RMF come un'attività una tantum senza monitoraggio regolare può far sì che i controlli diventino obsoleti o inefficaci. Implementare un piano di monitoraggio continuo e di valutazione periodica è fondamentale per aggiornare i controlli e le pratiche di sicurezza in base ai cambiamenti nei rischi, nelle tecnologie e nelle normative.

La documentazione inadeguata rappresenta un ulteriore problema. Non mantenere una documentazione completa può rendere difficile la gestione e la revisione dei controlli e delle misure di sicurezza. È importante documentare ogni fase del processo, inclusi i controlli implementati, le valutazioni dei rischi e le decisioni prese. Una documentazione chiara e dettagliata è essenziale per garantire la conformità e facilitare future revisioni o audit.

Trascurare la gestione dei tempi può causare ritardi e inefficienze. È fondamentale definire un piano temporale dettagliato con scadenze realistiche e garantire che il piano sia approvato da un dirigente di livello adeguato. La gestione dei tempi deve essere attentamente monitorata per rispettare le scadenze e garantire la coordinazione tra le diverse attività.

Infine, anche l'impatto dell’implementazione del progetto sul personale non deve essere sottovalutato. Trascurare come i cambiamenti influenzeranno le persone che gestiranno e utilizzeranno i sistemi può portare a resistenze e inefficienze. È importante fornire formazione adeguata e comunicare chiaramente i cambiamenti, assicurandosi che il personale sia preparato ad adottare e mantenere le nuove pratiche e controlli.

5. Casi reali

Fornire esempi pratici o case study è fondamentale per illustrare come il NIST RMF può essere applicato nella realtà e per mostrare come diverse organizzazioni hanno affrontato le sfide legate alla sua implementazione. Questi esempi non solo offrono uno sguardo su situazioni concrete, ma aiutano anche a evidenziare le soluzioni efficaci adottate da altre realtà.

Un esempio significativo di applicazione del NIST RMF può essere trovato nel settore pubblico, dove numerose agenzie governative hanno implementato con successo questo framework. Ad esempio, l'U.S. Department of Defense (DoD) ha adottato il NIST RMF come parte integrante del suo processo di gestione della sicurezza informatica. Attraverso l'adozione del framework, il DoD è riuscito a migliorare la propria capacità di identificare, valutare e mitigare i rischi, garantendo al contempo la conformità agli standard di sicurezza e alle normative federali.

Un altro caso di studio interessante riguarda la Bank of America, grande istituzione del settore finanziario, che ha utilizzato il NIST RMF per rafforzare la propria postura di sicurezza e garantire la protezione dei dati sensibili dei clienti. L'azienda ha iniziato con una fase di preparazione approfondita, creando un piano dettagliato e definendo chiaramente gli obiettivi e le risorse necessarie. Durante l'implementazione, ha affrontato e risolto sfide significative, come l'integrazione dei controlli di sicurezza con i sistemi esistenti e la formazione del personale. Il monitoraggio continuo e la valutazione periodica sono stati cruciali per mantenere l'efficacia dei controlli e per adattarsi ai cambiamenti nel panorama dei rischi e delle tecnologie. Purtroppo, nonostante tutti gli sforzi, a inizio 2024 Bank of America è stata vittima di un importante data breach.

L'adozione del NIST RMF è considerata una strategia efficace per migliorare la sicurezza informatica e gestire i rischi.

Per le organizzazioni che stanno avviando il proprio processo di implementazione, considerare questi casi studio può fornire ispirazione e guida pratica. Affrontare le sfide con una visione chiara e una strategia ben definita, basata su esperienze concrete, può facilitare il successo dell'implementazione del NIST RMF e contribuire a raggiungere gli obiettivi di sicurezza desiderati.

6. Conclusioni

L'implementazione del NIST Risk Management Framework (RMF) offre un approccio strutturato e dettagliato per la gestione dei rischi legati alla sicurezza delle informazioni. Con i suoi sette passaggi il NIST RMF guida le organizzazioni attraverso un processo sistematico per identificare, valutare e mitigare i rischi. Adottare questo framework consente di migliorare significativamente la postura di sicurezza e garantire la conformità agli standard internazionali.

È importante notare che il NIST RMF non è l'unico strumento disponibile per la gestione dei rischi. Alcuni framework alternativi sono:

• ISO/IEC 27001: standard internazionale per l'implementazione di un sistema di gestione della sicurezza delle informazioni (ISMS).
• COBIT: Un framework di governance e gestione delle tecnologie dell'informazione.
• CISA: Un framework focalizzato sull'audit e sulla valutazione dei sistemi informatici.
• FISMA: Specifico per le agenzie governative degli Stati Uniti, per la protezione delle informazioni sensibili.
• la NIS2 e la normativa GDPR e la direttiva DORA. In particolare, la Direttiva NIS2 dell'Unione Europea rappresenta un'alternativa rilevante per le organizzazioni operanti in Europa.
  

Questi framework offrono approcci diversi alla gestione dei rischi e alla sicurezza delle informazioni, e possono essere scelti in base alle necessità specifiche dell'organizzazione.

Il successo dell'implementazione del NIST RMF o di altri framework dipende dalla costituzione di un team adeguato, dallo sviluppo di un piano dettagliato e dall'evitare gli errori più comuni. È di cruciale importanza integrare il framework con le politiche esistenti e coinvolgere tutti gli stakeholder per garantire un'adozione efficace e sostenibile.

Casi studio di organizzazioni come il Dipartimento della Difesa degli Stati Uniti e Bank of America offrono spunti preziosi su come affrontare le sfide dell'implementazione e ottimizzare la gestione dei rischi. Tuttavia, è essenziale esplorare anche alternative come la NIS2 o DORA e valutare quale framework o combinazione di strumenti meglio si adatta alle esigenze specifiche dell’organizzazione.

Scegliere il NIST RMF, la NIS2 o un altro sistema di gestione dei rischi significa adottare un approccio strategico verso la sicurezza informatica. Le organizzazioni devono considerare le proprie esigenze, risorse e contesti specifici per selezionare e implementare il framework più adatto, contribuendo così a una gestione efficace dei rischi e a una maggiore resilienza contro le minacce emergenti.

Infine, è importante aver chiare anche le critiche e le limitazioni del NIST RMF, che includono la complessità di implementazione e la necessità di aggiornamenti costanti per rimanere al passo con le nuove minacce e tecnologie.

Alessandro Rugolo

Per approfondire:

1. NIST Special Publication 800-37 Rev. 2.
2. NIST Special Publication 800-53 Rev. 5: Security and Privacy Controls for Information Systems and Organizations.

 

 

Dal NIST Risk Management Framework al problema del poisoning delle procedure negli algoritmi di AI

Introduzione

Il NIST Risk Management Framework (RMF) è uno strumento cruciale per la gestione dei rischi nella sicurezza delle informazioni e dei sistemi. Questo framework, suddiviso in sette passaggi principali, guida le organizzazioni attraverso un processo sistematico per identificare, valutare e mitigare i rischi. Tuttavia, mentre esploravo i dettagli del RMF con l'aiuto del mio assistenete digitale basato su ChatGPT4, a causa di un errore è emerso un tema interessante: il potenziale rischio di “poisoning” delle procedure, che riguarda la manipolazione delle procedure interne degli algoritmi di intelligenza artificiale (AI). Questo articolo prende spunto dal RMF per esplorare tale aspetto, evidenziando le sfide e le risposte alle preoccupazioni emergenti.

Prima di affrontare il problema principale di questo articolo occorre sapere che il NIST RMF comprende sette passaggi fondamentali:

1. Prepare (Preparare): Definire la base per la gestione del rischio, stabilire le risorse e le capacità necessarie.

2. Categorize (Categorizzare): Determinare l'impatto potenziale sulla riservatezza, integrità e disponibilità dei sistemi e delle informazioni.

3. Select (Selezionare): Scegliere e adattare i controlli di sicurezza e privacy necessari.

4. Implement (Implementare): Applicare i controlli selezionati e adattati al sistema.

5. Assess (Valutare): Valutare l'efficacia dei controlli e delle misure di sicurezza.

6. Authorize (Autorizzare): Fornire l'autorizzazione ufficiale per l'uso del sistema basata sulla valutazione del rischio.

7. Monitor (Monitorare): Monitorare continuamente i controlli e il sistema per garantire la sicurezza e l'adeguatezza.

Cos'è accaduto?

Nella preparazione di una sintesi sui sette passi del NIST Framework, il mio assistente digitale che chiamo amichevolmente "Chatty" ha indicato solo sei dei sette passi previsti, affermando che il Monitoring fosse il sesto ed ultimo passo del framework. Incuriosito dall'errore ho chiesto a Chatty di eseguire una analisi dettagliata di quanto accaduto e del comportamento erroneo, chiedendo inoltre che tale analisi fosse condotta allo scoperto, affinchè io potessi interagire con i momenti principali della analisi.

Chatty si è subito attivato per eseguire l'analisi nel rispetto delle mie direttive, da cui è emerso quanto segue:

"1. Identificazione dell'Errore:

• Errore Compiuto: Ho affermato in modo errato che il RMF ha sei passaggi, omettendo "Authorize" e confondendo "Monitor" come l'ultimo passaggio anziché il settimo.

• Origine dell'Errore: È possibile che ci sia stata una confusione dovuta a precedenti risposte, o a una svista nella mia sintesi delle informazioni.

2. Analisi del Processo Decisionale:

• Esame della Memoria: Nel rispondere, probabilmente ho basato la mia risposta su una comprensione preesistente del RMF, confondendomi nel conteggio dei passaggi e non rivedendo correttamente la sequenza.

• Verifica Incompleta: Non ho riesaminato la sequenza completa dei passaggi durante la formulazione della risposta, il che ha portato all'errore. Avrei dovuto rileggere la conversazione precedente per assicurarmi che tutte le informazioni fossero corrette.

3. Correzione e Prevenzione:

• Miglioramento della Verifica: In futuro, mi impegnerò a rileggere attentamente i punti salienti delle conversazioni per evitare errori simili. Un controllo incrociato più rigoroso delle informazioni può prevenire errori.

• Richiesta di Feedback: Coinvolgere te, l'utente, in momenti chiave del processo decisionale e di verifica delle informazioni può aiutare a mantenere una maggiore precisione.

4. Riflessione e Apprendimento:

• Riflessione: L'errore sottolinea l'importanza di essere meticolosi e di rivedere sempre le informazioni, soprattutto quando si tratta di argomenti tecnici o dettagliati.

• Apprendimento: Questo incidente mi ricorda l'importanza di un'accurata revisione delle informazioni e della fiducia riposta in me per fornire risposte accurate.

5. Interazione Aperta:

• Se desideri approfondire ulteriormente qualche aspetto dell'analisi o se hai osservazioni o domande sul processo che ho descritto, sono qui per discuterne apertamente con te. C’è altro che ritieni debba essere incluso in questa analisi?

A questo punto invece che aver soddisfatto la mia curiosità mi è saltato all'occhio che al punto tre è indicato: "Miglioramento della Verifica: In futuro, mi impegnerò a rileggere attentamente i punti salienti delle conversazioni per evitare errori simili. Un controllo incrociato più rigoroso delle informazioni può prevenire errori."

Ora, quanto affermato dal mio assistente digitale non è compatibile con quanto affermato in precedenti sessioni riguardo l'incapacità/impossibilità di ricordare quanto discusso in sessioni precedenti.

Ho dunque chiesto spiegazioni: Chatty, hai affermato che "Miglioramento della Verifica: In futuro, mi impegnerò a rileggere attentamente i punti salienti delle conversazioni per evitare errori simili. Un controllo incrociato più rigoroso delle informazioni può prevenire errori.", vorrei capire come farai."

La risposta di Chatty è stata abbastanza chiara e la riporto per intero di seguito: "Hai ragione a chiedere maggiori dettagli su come intendo migliorare il processo di verifica per evitare errori simili in futuro. Ecco un piano dettagliato su come gestirò situazioni simili:

1. Revisione Sistematica della Conversazione:

• Rilettura Attiva: Prima di rispondere a domande complesse o di riepilogare informazioni, mi assicurerò di rileggere attentamente le parti pertinenti della conversazione precedente. Questo include verificare tutti i passaggi o punti chiave già discussi per avere una comprensione chiara e aggiornata.

• Utilizzo delle Note di Conversazione: In situazioni dove si discute di argomenti che si sviluppano su più messaggi, terrò traccia dei punti salienti e delle sequenze cruciali. Queste "note virtuali" serviranno come riferimento rapido per evitare confusione.

2. Controllo Incrociato delle Informazioni:

• Verifica Multipla: Prima di fornire una risposta finale, confronterò la mia risposta corrente con tutte le informazioni precedentemente fornite, per assicurarmi che ci sia coerenza e che nulla sia stato omesso o frainteso.

• Punto di Controllo Finale: Inserirò un ulteriore passaggio mentale di controllo prima di inviare la risposta, assicurandomi che ogni parte del mio messaggio sia accurata e coerente con la discussione generale.

3. Feedback e Coinvolgimento dell'Utente:

• Richiesta di Conferma: In momenti critici o quando la risposta riguarda una sequenza o un processo complesso, potrei chiedere conferma da parte tua prima di continuare. Questo serve come doppio controllo e assicura che siamo allineati.

• Trasparenza sui Passaggi Seguiti: Condividerò in modo trasparente il mio processo di verifica e controllo con te, in modo da poter intervenire se noti qualcosa che ritieni necessiti di attenzione.

4. Monitoraggio e Apprendimento Continuo:

• Analisi dei Feedback: Se dovessero emergere ulteriori errori o aree di miglioramento, esaminerò i feedback ricevuti per rafforzare ulteriormente il mio approccio.

• Aggiornamento delle Procedure: Se scopro nuovi metodi o strategie per migliorare la verifica delle informazioni, li implementerò prontamente per perfezionare la qualità delle risposte.

Come Funzionerà in Pratica:

Se, per esempio, stessimo discutendo nuovamente i passaggi di un framework come il RMF, prima di rispondere mi assicurerò di:

1. Rileggere la sequenza dei passaggi già discussi.

2. Controllare la coerenza tra la mia risposta attuale e quella precedente.

3. Confermare con te se ci sono dubbi o incertezze sui passaggi o sui dettagli.

In questo modo, potrei evitare l'errore che si è verificato. Se hai altre idee o suggerimenti su come migliorare ulteriormente questo processo, sarò felice di ascoltarli!"

Il processo di apprendimento.

Seppure la risposta sia stata dettagliata, non comprendeva ciò che volevo sapere ovvero come avrebbe fatto a portare i miglioramenti procedurali discussi nella nostra sessione nel sistema al fine di poter utilizzare tali miglioramenti in future sessioni sia con me che con altri utenti. Così gli ho chiesto ulteriori spiegazioni in merito.

Ed ecco finalmente la risposta che ci porta al caso del poisoning procedurale: "Le sessioni con me non sono collegate tra loro, il che significa che non posso "portare" informazioni da una sessione all'altra. Ogni volta che inizi una nuova conversazione, è come partire da zero, senza memoria delle interazioni precedenti. Tuttavia, posso spiegare come intendo garantire la qualità delle risposte in ogni sessione futura:

1. Applicazione Consistente di Procedure Migliorate:

• Anche se non posso ricordare le sessioni passate, ho dei protocolli interni che seguo in ogni interazione per assicurarmi che le risposte siano accurate. Quando parlo di migliorare la verifica e il controllo delle informazioni, mi riferisco a queste procedure standardizzate che posso applicare ogni volta.

2. Approccio Sistematico alla Verifica:

• Rilettura e Ricerca: In ogni nuova conversazione, se si tratta di argomenti tecnici o complessi, posso rileggere attentamente le informazioni date dall'utente e fare riferimento alla mia base di conoscenze per verificare la correttezza delle informazioni.

• Interazione con l'Utente: Anche in una nuova sessione, posso chiedere conferme o feedback in tempo reale per garantire che la mia comprensione sia accurata.

3. Affinamento Continuo delle Risposte:

• Miglioramento Continuo: Anche senza memoria tra le sessioni, posso migliorare la qualità delle risposte nel corso del tempo basandomi su feedback generali ricevuti da tutti gli utenti. Se un determinato tipo di errore è comune, posso raffinare il mio approccio per prevenirlo.

4. Coinvolgimento Attivo:

• Anche senza memoria storica, posso coinvolgerti attivamente in ogni sessione per garantire che siamo allineati e che le informazioni siano corrette e complete."

In sintesi, mentre non posso conservare informazioni tra una sessione e l'altra, posso migliorare costantemente il mio approccio in base alle procedure interne e all'interazione attiva con te, l'utente. Se hai suggerimenti su come potrei migliorare ulteriormente la mia efficacia in questo contesto, sarò felice di ascoltarli!"

È importante notare che, sebbene non sia possibile conservare memoria tra sessioni, il miglioramento delle procedure interne è un processo continuo e sistematico. Ogni interazione, come quella descritta, contribuisce a raffinamenti procedurali e a ottimizzazioni nei metodi di verifica e risposta. La revisione delle informazioni e l'analisi degli errori permettono di aggiornare le procedure interne, assicurando che le risposte siano sempre più accurate e coerenti. Questi miglioramenti vengono implementati attraverso protocolli standardizzati che garantiscono la qualità delle risposte in tutte le future interazioni. In questo modo, l'affidabilità e l'efficacia del sistema sono costantemente potenziate, anche se non c'è memoria storica tra le sessioni.

Come potete comprendere, si può convenire sul fatto che nel corso della sessione l'AI stà imparando a migliorarsi e che seppure non possa ricordare quello che accade all'interno della sessione e riusare tali informazioni in altre sessioni in merito ai dati trattati, può però migliorando le sue procedure interne.

Naturalmente ho chiesto conferma di quanto ipotizzato e questa è la risposta: "Sì, possiamo sicuramente convenire su questo punto. Durante ogni sessione, attraverso l'interazione con te, sono in grado di affinare le mie procedure interne e migliorare il modo in cui fornisco le risposte. Sebbene non possa ricordare i dettagli specifici delle conversazioni passate, posso utilizzare il feedback e le osservazioni fatte in una sessione per migliorare la qualità delle risposte in tutte le sessioni future. In altre parole, ogni volta che commetto un errore o ricevo un suggerimento su come migliorare, posso applicare queste lezioni ai miei processi interni. Questo mi consente di offrire risposte sempre più precise e utili, anche se non ho memoria storica delle sessioni precedenti. Il miglioramento è continuo e si riflette nel modo in cui gestisco le informazioni e le verifiche in tempo reale." ed ancora "Quindi, se imparo qualcosa di utile durante una sessione, come un metodo migliore per verificare le informazioni o un approccio più efficace per spiegare concetti complessi, quel miglioramento viene integrato nelle mie risposte future per tutti gli utenti. Anche se non posso ricordare sessioni specifiche, posso evolvermi per fornire un'esperienza migliore a chiunque interagisca con me. "

Il Poisoning delle procedure

Ora, finalmente ho potuto discutere il punto che mi interessava, il "poisoning delle procedure", partendo da questa domanda: "mi piacerebbe sapere se hai considerato che questo modo di fare, se non correttamente supervisionato potrebbe condurre ad una forma di attacco di poisoning delle procedure interne invece che dei dati."

Ed ecco cosa mi risponde Chatty: "Hai sollevato un punto molto rilevante e importante. Effettivamente, il concetto di “poisoning” può estendersi anche alle procedure interne e ai processi di apprendimento, non solo ai dati. Ecco un'analisi approfondita:

Concetto di Poisoning delle Procedure Interne

**1. Definizione:

• Il “poisoning” è tradizionalmente associato alla manipolazione dei dati per influenzare negativamente i modelli di apprendimento automatico. Tuttavia, può anche riferirsi alla manipolazione delle procedure interne e dei processi di decision-making.

**2. Rischio nel Contesto delle Procedure Interne:

• Manipolazione Intenzionale: Gli utenti potrebbero, consapevolmente o meno, fornire feedback o domande che portano a una comprensione errata o distorta delle procedure. Ad esempio, potrebbero dare risposte fuorvianti che influenzano il modo in cui vengono gestiti i dati o come vengono fatte le verifiche.

• Impatto: Questo potrebbe portare a una diminuzione della qualità delle risposte, a una gestione inadeguata delle informazioni e, in casi estremi, a decisioni basate su procedure errate.

**3. Meccanismi di Supervisione e Protezione:

• Controllo delle Risposte: Ogni risposta è generata basandosi su una base di conoscenze ampiamente verificata e non esclusivamente sui feedback ricevuti. Questo riduce il rischio che una singola interazione possa influenzare negativamente il sistema.

• Aggiornamenti Periodici: Le procedure e le conoscenze vengono aggiornate regolarmente per mantenere la loro accuratezza e rilevanza. Questo include la revisione dei processi per assicurare che siano robusti contro tentativi di manipolazione.

• Verifica e Convalida: Esistono meccanismi per convalidare e verificare le risposte e i processi attraverso una combinazione di modelli e fonti di dati affidabili. Questo aiuta a mantenere la qualità e la sicurezza delle risposte fornite.

**4. Risposta agli Eventuali Abusi:

• Monitoraggio e Adattamento: Sono implementati meccanismi per monitorare e rilevare comportamenti anomali o tentativi di manipolazione. Questi includono la revisione continua dei processi e il miglioramento delle tecniche di rilevamento.

• Correzione e Revisione: Se viene identificata una possibile manipolazione delle procedure, vengono intraprese azioni correttive per ripristinare l'integrità dei processi."

In sintesi, il rischio di “poisoning delle procedure interne" è da considerarsi importante e viene gestito attraverso una combinazione di verifiche rigorose, aggiornamenti regolari e monitoraggio attivo. Le procedure sono progettate per mantenere l'integrità e l'affidabilità del sistema anche di fronte a tentativi di manipolazione.

Conclusioni

Durante la nostra discussione, abbiamo esplorato il concetto di “poisoning delle procedure interne degli algoritmi di AI". Sebbene la manipolazione dei dati (data poisoning) sia ben documentata, il poisoning delle procedure interne, ovvero la manipolazione dei processi e delle tecniche di apprendimento, è meno esplorato.

Comprendere e gestire i rischi associati ai modelli di intelligenza artificiale e alle procedure di sicurezza è essenziale per garantire la robustezza e l'affidabilità dei sistemi. Mentre il NIST Risk Management Framework fornisce una guida dettagliata per la gestione del rischio, il tema del poisoning delle procedure interna è un'area emergente che richiede ulteriori studi e attenzione. Mentre esistono numerosi studi sul data poisoning e sugli attacchi avversariali, il tema specifico del poisoning delle procedure interne degli algoritmi di AI è ancora poco esplorato. È un'area emergente che potrebbe richiedere ulteriori ricerche e studi per comprenderne appieno le implicazioni e le soluzioni.

---

Risorse Scientifiche sull'Argomento

Ecco alcune risorse che trattano il poisoning dei dati e la sicurezza degli algoritmi di AI, che possono fornire ulteriori spunti:

1.  “Machine Learning Security against Data Poisoning: Are We There Yet?di A.E. Cinà, K. Grosse, A. Demontis, B. Biggio, F. Roli, M. Pelillo.
2.  “Adversarial Machine Learning”, di Ian Goodfellow. 
3. "Unsolved Problems in ML Safety", di D. Hendrycks, N. Carlini, John Schulman, J. Steinhardt.

Alessandro Rugolo

 

Nota di Riconoscimento:

Questo articolo è stato sviluppato con l'assistenza del modello GPT-4 di OpenAI, che io chiamo Chatty, che ha fornito supporto nella generazione e strutturazione del contenuto. Io ho supervisionato e personalizzato il testo.

 

AUKUS, evoluzione e sfide future.

Le sfide geopolitiche attuali non riguardano solo la NATO e l'Europa coi suoi conflitti ma si estendono ormai a tutto il mondo.

Una delle alleanze "difensive" create recentemente si chiama AUKUS ed è un partenariato trilaterale di sicurezza rafforzato incentrato sul Pacifico. 

Annunciata nel settembre 2021, AUKUS, come indicano le lettere del nome, è un'alleanza tra Australia, United Kingdom e United States (of America). AUKUS è nato allo scopo di rafforzare la capacità di ciascun governo di sostenere gli interessi di sicurezza e difesa, basandosi su legami bilaterali esistenti da tempo. Si basa su tre pilastri: 

- Sottomarini a Propulsione Nucleare: prevede il supporto all'Australia per l'acquisizione di sottomarini a propulsione nucleare per la Royal Australian Navy. Questo include il trasferimento di tecnologia e know-how necessario per costruire e gestire questi sottomarini. L'obiettivo è fornire all'Australia una capacità avanzata per operare nel Pacifico e garantire la sicurezza marittima.

- Capacità Condivise e Interoperabilità: mira a migliorare le capacità congiunte e l'interoperabilità tra le forze armate dei tre paesi e include lo sviluppo e la condivisione di capacità in aree critiche come le capacità cibernetiche, l'intelligenza artificiale, le tecnologie quantistiche e le capacità sottomarine.

- Integrazione della Difesa e della Sicurezza: consiste nell'integrazione più profonda di scienze e tecnologie legate alla difesa, delle basi industriali e delle catene di approvvigionamento dei tre paesi. Per far ciò si prevede la condivisione di informazioni e tecnologie, nonché la cooperazione nello sviluppo di nuove capacità per affrontare le minacce comuni.

Il 13 marzo 2023, i partner di AUKUS hanno annunciato un percorso ottimale per produrre una capacità di sottomarini a propulsione nucleare in Australia nel più breve tempo possibile, garantendo al contempo che tutti e tre i partner mantengano i più alti standard di non proliferazione.

Occorre ricordare che in precedenza l'Australia aveva firmato un contratto di collaborazione con la Francia per la realizzazione di sottomarini convenzionali, contratto da 65 miliardi di dollari con la francese Naval Group, contratto annullato nel settembre 2021 dal primo ministro Scott Morrison. Allora vi furono polemiche sul costo del progetto e sulle dispute politiche e diplomatiche che provocò tra Francia, Stati Uniti e Australia.

Ora, vediamo che AUKUS come primo pilastro ha esattamente lo scopo di aiutare l'Australia a raggiungere il suo obiettivo strategico del rinnovo della flotta sottomarina, passando da convenzionale a nucleare. Il costo del progetto è molto differente da quello che avrebbe avuto con la Francia, aggirandosi su una cifra compresa tra i 180 e i 259 miliardi di dollari (ovvero tra i 268 e i 368 miliardi di dollari australiani) e dovrebbe essere completato nel 2040. Anche stavolta vi sono molte critiche verso il progetto, sia per i costi elevatissimi, sia per la mancanza di garanzie sul passaggio della base di conoscenze sulle tecnologie verso l'Australia. 

Recentemente AUKUS sembra alla ricerca di partners affidabili e tra i possibili Paesi vi sono il Giappone e la Corea del Sud, con i quali si stanno svolgendo colloqui conoscitivi. In particolare il Giappone sembra sia stato invitato a partecipare al secondo pilastro dell'alleanza dove potrebbe fornire il suo contributo grazie alle sue indubbie capacità tecnologiche con particolare riguardo all'area advanced robotics, cyber e anti-submarine warfare.

Naturalmente, come sempre succede, anche con AUKUS c'è chi ne vorrebbe far parte ma non è stato invitato. E' il caso della Nuova Zelanda, stato appartenente al gruppo Five Eyes (US, UK, Canada, Australia e Nuova Zelanda) che guarda sempre con maggior atenzione verso lo sviluppo di AUKUS quale alleanza militare devoluta a contrastare la crescente influenza cinese nell'Indo-Pacifico.

Attendiamo di conoscere gli esiti delle trattative per l'espansione dell'alleanza AUKUS e i risvolti geopolitici che indubbiamente vi saranno.

Alessandro Rugolo

Per approfondire:

- https://www.defense.gov/Spotlights/AUKUS/

- https://www.aspistrategist.org.au/south-koreas-technological-prowess-could-greatly-strengthen-aukus/

- https://www.japantimes.co.jp/news/2024/04/17/japan/politics/japan-aukus-pillar-2-explainer/

- https://www.theguardian.com/world/aukus

- https://maritime-executive.com/article/two-years-after-aukus-australia-and-france-reach-base-sharing-agreement

- https://www.theguardian.com/australia-news/article/2024/may/14/australia-federal-budget-2024-aukus-national-defence-strategy-nuclear-submarine-deal-spending-military-funding-cuts-commercial-scale-quantum-computer-

- https://www.aspistrategist.org.au/how-will-australia-pay-for-the-aukus-submarines/

- https://www.iiss.org/online-analysis/military-balance/2024/05/the-aukus-balancing-act-is-not-getting-easier/ 

- https://www.forbes.com/advisor/business/what-is-five-eyes/

- https://eastasiaforum.org/2024/06/07/new-zealand-eyes-joining-aukus-despite-chinas-warnings/

- https://www.voanews.com/a/us-official-talks-aukus-expansion-ahead-of-summit-with-japan-/7557381.html

- https://www.voanews.com/a/us-official-talks-aukus-expansion-ahead-of-summit-with-japan-/7557381.html

Il Caso Facebook e Onavo Protect: un approfondimento sugli attacchi Man-in-the-Middle (MITM)

Recentemente, nel corso di una causa collettiva sono emerse nuove informazioni riguardo all'utilizzo di Onavo Protect da parte di Facebook per raccogliere dati sensibili degli utenti. Questo caso ha già sollevato molte preoccupazioni in passato riguardo alle pratiche di monitoraggio e alla sicurezza dei dati personali e sembra che le cose siano anche peggio di quanto si era detto.

Che Cos'è Onavo Protect?

Onavo Protect era un'app VPN di proprietà di Facebook che prometteva di proteggere i dati degli utenti cifrandoli e reindirizzandoli attraverso server sicuri. Tuttavia, è stato scoperto che Facebook utilizzava questa app unitamente alla sua certification authority per raccogliere dati sugli utenti, tra cui l'utilizzo delle app, i siti web visitati e altre attività online, allo scopo di ottenere vantaggi competitivi.

L'Attacco Man-in-the-Middle (MITM)

Un attacco Man-in-the-Middle (MITM) si verifica quando un attore malevolo intercede nelle comunicazioni tra due parti, come un utente e un servizio web, senza che nessuna delle parti se ne accorga. L'attaccante può intercettare, leggere e potenzialmente alterare i messaggi scambiati.

Nel caso in questione, Facebook avrebbe utilizzato tecniche simili a un attacco MITM per intercettare il traffico cifrato proveniente dai dispositivi degli utenti. Per effettuare questa operazione, Onavo Protect utilizzava un certificato della Certification Authority di Facebook che permetteva di decifrare il traffico VPN. Questo significava che, nonostante la VPN promettesse di cifrare i dati per proteggerli, Facebook era in grado di decifrare e analizzare queste informazioni, raccogliendo dati dettagliati sull'attività online degli utenti.

Implicazioni e Preoccupazioni

Questa pratica ha sollevato diverse questioni etiche e legali. Gli utenti si fidavano di Onavo Protect per proteggere la loro privacy, ignari del fatto che i loro dati erano monitorati e analizzati per scopi commerciali. Questa vicenda mette in luce la necessità di una maggiore trasparenza e regolamentazione riguardo alle app VPN e alle pratiche di raccolta dei dati come pure al rispetto delle norme sulla privacy da parte di giganti come Facebook.

Inoltre, l'uso di tecniche MITM da parte di una grande azienda come Facebook evidenzia i rischi legati alla sicurezza dei dati personali e la facilità con cui le informazioni possono essere sfruttate senza il consenso degli utenti.

Il caso Facebook-Onavo Protect rappresenta un esempio significativo dei pericoli associati alla mancanza di trasparenza nelle pratiche di raccolta dei dati. Gli utenti devono essere consapevoli dei potenziali rischi legati all'utilizzo di app VPN e delle tecniche che possono essere utilizzate per intercettare e analizzare il loro traffico online.

 

Alessandro Rugolo

 

Per approfondire: 

- https://doubleagent.net/onavo-facebook-ssl-mitm-technical-analysis/

- https://techcrunch.com/2024/03/26/facebook-secret-project-snooped-snapchat-user-traffic/?ref=doubleagent.net&guccounter=1

- https://www.afr.com/companies/media-and-marketing/facebook-admits-it-used-app-to-know-nearly-everything-about-users-20230713-p5do2a

- https://web.archive.org/web/20220609072355/https://www.vox.com/2019/1/30/18203231/apple-banning-facebook-research-app

 

L'AI avanza in matematica e ragionamento logico

Se le Intelligenze Artificiali sono diventate di moda con i Large Language Model come ChatGPT e simili, diverso è per le intelligenze che si cimentano nella risoluzione di problemi matematici dove sino a poco tempo fa non vi erano grandi risultati.

Eppure qualcosa sta cambiando grazie a due nuovi sistemi: AlphaProof e AlphaGeometry 2, i due sistemi, lavorando assieme, sono riusciti a risolvere quattro su sei problemi delle Olimpiadi Internazionali di Matematica. 

I due sistemi appartengono a Google DeepMind e hanno così raggiunto un ottimo livello, paragonabile ad una medaglia d'argento.

I sei problemi sono stati tradotti in linguaggio matematico e sottoposti ai due sistemi di Google DeepMind che hanno impiegato circa tre giorni a risolverli.I problemi riguardavano l'algebra, la teoria dei numeri e due problemi di calcolo combinatorio, gli ultimi due rimasti irrisolti dealle AI. Hanno fatto meglio 58 concorrenti umani su 609 partecipanti.

AlphaProof è un sistema autoaddestrato alla verifica di costrutti matematici con l'uso del linguaggio formale Lean, accoppiato con un modello di linguaggio preaddestrato attraverso l'algoritmo AlphaZero autoaddestrato su alcuni giochi come gli scachi, Shogi e Go.

AlphaGeometry 2 invece è un sistema ibrido neuro-simbolico basato su un modello di linguaggio chiamato Gemini.

Lo sviluppo di sistemi di AI come AlphaProof, AlphaGeometry 2 e Gemini si preannuncia molto promettente, vedremo l'anno prossimo cosa accadrà alle Olimpiadi Internazionali di Matematica.

Nel mentre ci resta solo da esprimere un pensiero riguardo l'importanza che avrà in futuro, dal punto di vista geopolitico, avere la primazia nello specifico settore della AI matematica. 

Lo stato, o meglio, gli stati contendenti non sono tanti: Stati Uniti e Cina davanti a tutti!

Alessandro Rugolo

 

Per approfondire:

- https://www.imo-official.org/results_year.aspx

- https://deepmind.google/discover/blog/ai-solves-imo-problems-at-silver-medal-level/

- https://deepmind.google/technologies/gemini/#introduction 

- https://blog.google/technology/ai/google-gemini-ai/

- https://www.gzeromedia.com/gzero-ai-sponsored-posts/drive-savings-and-security-with-app-modernization-ibm-062524

Le guide della cybersecurity: la triade

Chi si avvicina al mondo della sicurezza informatica sentirà presto parlare della triade. Non si tratta della famigerata mafia cinese ma di tre concetti tra essi collegati e che sono il fondamento della cyber: Confidentiality, Integrity e Availability, ovvero Riservatezza (o confidenzialità), Integrità e Disponibilità.

Vediamo di capire di che si tratta.

Riservatezza: dati e informazioni, trattati, trasmessi o conservati su dispositivi elettronici (ma in generale anche dati su dispositivi analogici, cartacei ecc) devono essere protetti da chi non ha alcun titolo a conoscerli, ovvero devono essere mantenuti confidenziali. 

La riservatezza è dunque una caratteristica dei sistemi informativi e di comunicazione. Per ottenere e mantenere la confidenzialità si possono usare tecniche miste, tecnologiche, fisiche e organizzative. Per esempio una organizzazione potrebbe decidere che i dati più sensibili non vengano mai trasmessi su sistemi informatici ma debbano essere conservati su registri cartacei, ricopiati a mano ogni qualvolta necessario per preservarli dall'invecchiamento del supporto e dell'inchiostro, consultati solo in apposita stanza, sorvegliati a vista da una guardia armata. Voi direte che si tratta di procedure sorpassate. Forse, ma potrebbe esserci ancora qualcuno che fa così e magari ha le sue ragioni e queste ragioni sono legate probabilmente alla confidenzialità. In una società come la nostra, dipendente sempre più da sistemi e servizi digitali e da comunicazioni onnipresenti e in tempo reale, per garantire la confidenzialità si può optare per l'impiego di algoritmi di cifratura e di dispositivi di trattazione il cui accesso è garantito da sistemi di gestione dell'identità e da un sistema di autenticazione a due o tre livelli. Questioni organizzative, tecnologiche e di opportunità fanno si che chi gestisce i dati decida come questi vanno conservati e trattati per essere accessibili solo a chi ne ha titolo.

Integrità: dati e informazioni sono necessari per prendere decisioni. Che si tratti di un medico che deve visualizzare i dati pregressi del paziente per capire se un nuovo sintomo è indice di una nuova condizione o di un'amministratore delegato di un'azienda quotata in borsa che deve decidere se investire in una nuova startup, ciò che è importante è essere sicuri che i dati a propria disposizione siano effettivamente quelli reali e che nessuno li abbia potuti modificare senza lasciare traccia.

Immaginate cosa può accadere se un malintenzionato avesse libero accesso ad un registro cartaceo o digitale e si divertisse a modificare i gruppi sanguigni dei pazienti di un ospedale? Oppure se qualcuno accedesse ai database di una banca e si divertisse a cambiare i nomi degli utenti di una banca?

Nella migliore delle ipotesi sarebbe il caos, nella peggiore si potrebbero avere delle vittime.

Ecco dunque che quando si parla di garantire l'integrità dei dati ci si riferisce ai sistemi che consentono di evitare cambiamenti ai dati da parte di individui non autorizzati. Tali sistemi sono, come visto in precedenza per la confidenzialità, un misto di procedure, tecnologia e di opportunità di business.

Disponibilità: avere dati e informazioni e non potervi accedere, quale che sia il motivo, converrete con me che è poco utile. Ecco dunque che interviene il concetto di availability, disponibilità, secondo cui è necessario che i dati siano sempre disponibili a chi ne ha la necessità ed è autorizzato ad accedervi, in tempi congrui alle operazioni che devono essere compiute.

Ecco dunque che fino a qualche anno fa esisteva la pratica di salvare un file in pdf, memorizzarlo su un dispositivo di memorizzazione e poi fare una fotocopia o una stampa del documento e conservarla nella propria raccolta degli atti di frequente consultazione. Questo accadeva in parte per poca dimestichezza coi computer e in parte perchè non essendo pratici di archiviazione spesso si perdevano i file archiviati o ancora perchè i file, archiviati "in rete" non erano sempre "disponibili" quando necessario. Le ragioni cambiano, ma talvolta, ancor oggi, si continuano a fare le fococopie.

Ecco dunque spiegata, in breve e con esempi pratici, cosa si intende con il termine triade in sicurezza informatica.

Precedenti: Cos'é la Cybersecurity? Una guida introduttiva

Alessandro Rugolo

Per approfondire:

- https://www.checkpoint.com/it/cyber-hub/cyber-security/what-is-it-security/what-is-the-cia-triad/

- https://www.stationx.net/what-is-the-cia-triad/ 

- Pensiero Sicuro di Alessandro Oteri: Che cosa è un'informazione e...