Sviluppo delle politiche di sicurezza

Ogni sistema, dal calcolatore utilizzato per uso privato al server aziendale usato da migliaia di utenti, dovrebbe seguire una politica di sicurezza. Per politica di sicurezza si intende una serie di indicazioni utilizzate per giudicare se un'attività o un'applicazione deve essere effettuata o utilizzata su un sistema, in base agli obiettivi particolari di quel sistema.

Le politiche di sicurezza possono variare molto a seconda dei sistemi usati, ma la cosa più importante è ricordarsi che ne esiste una per il proprio sistema, che sia scritta oppure no nel manuale delle politiche aziendali.

Tutte le politiche di sicurezza dovrebbero essere create utilizzando le regole di base seguenti:

• Semplicità — più la politica di sicurezza è semplice e diretta, maggiore è la probabilità che le indicazioni vengano seguite e che la sicurezza del sistema venga garantita.

• Facilità di applicazione — i metodi e i tool di sicurezza, come ogni cosa, sono soggetti a modifiche, dettate soprattutto da nuove sfide e necessità. La vostra politica di sicurezza dovrebbe essere ideata in modo da ridurre al minimo l'impatto delle modifiche sul sistema e sugli utenti.

• Promuovere la libertà tramite la fiducia nell'integrità del sistema — evitate metodi e tool di sicurezza che diminuiscono inutilmente l'uso del vostro sistema per renderlo più sicuro. Esistono infatti metodi e tool di qualità che rendono il sistema più sicuro, ma offrono al contempo, quando possibile, una campo di azione più ampio per gli utenti.

• Riconoscere la possibilità di errori — il modo migliore per incorrere in un problema di sicurezza è quello di aver troppa fiducia nelle proprie capacità. Dunque non dormite sugli allori, ma siate sempre vigili.

• Concentrarsi sui problemi concreti e tralasciare quelli teorici — impiegate tempo e sforzi gestendo i problemi più importanti. Ponetevi delle priorità e tappate prima le "falle" maggiori. Per stabilire cosa controllare prima, consultate la pagina Web http://www.sans.org/topten.htm o siti simili dove sono elencati problemi di sicurezza specifici che costituiscono davvero una minaccia e dove vedere che cosa fare per evitarli o risolverli.

• Prontezza — stabilite quali sono i problemi e determinate se costituiscono un rischio. Non perdete tempo pensando di poter rimandare. Quello che conta è il presente, soprattutto quando il vostro sistema è in pericolo.

Se pensate che la vostra politica di sicurezza sia talmente restrittiva da impedire che il sistema possa essere utilizzato per lo scopo prefisso, non esitate a modificare la politica per allentare l'accesso al sistema. Allo stesso modo, se pensate che la sicurezza del sistema venga continuamente compromessa, dovreste modificare alcuni aspetti della vostra politica per restringere l'accesso. Soprattutto però, ricordate che una politica di sicurezza non è un'idea o un documento statico e quindi va modificata con il cambiare degli obiettivi e degli utenti. Riconsiderate sempre la vostra politica alla luce di nuovi requisiti.