Sicurezza e privacy: come si garantisce online?

La sicurezza informatica è uno dei temi più caldi degli ultimi anni. Man mano che gli utenti in tutto il mondo si affidano sempre più spesso a servizi digitali per transazioni economiche e per l’ acquisto di beni e servizi, maggiori sono i tentativi di intercettare tali transazioni ed impossessarsi dei dati.

Sono infatti sempre più spesso presenti sui quotidiani notizie di grandi società e anche istituzioni governative che sono vittime di attacchi informatici.

Ma quale è l’obiettivo di un attacco hacker? Passati i tempi in cui gli hacker tentavano di mettere la loro firma ad un attacco solo per far vedere di essere più bravi e competenti della rispettiva società, ai nostri giorni un attacco viene effettuato per quattro principali motivi:

• per creare un danno di immagine alla società attaccata, questi attacchi sono mirati principalmente ad istituzioni o società coinvolte politicamente e normalmente non sono realizzati per ottenere informazioni;
• per appropriarsi di soldi o influire in qualche modo in transazioni economiche, come possono essere attacchi diretti verso banche, piattaforme di criptovalute o piattaforme di gioco online;
• per appropriarsi di informazioni circa il database dei clienti che è ad esempio di vitale importanza per le società che fanno telemarketing;
• per entrare in possesso delle informazioni relative alle carte di credito; questi grandi database di numeri di carte possono essere utilizzati sia per tentare di effettuare transazioni fraudolente, sia in seguito essere rivenduti nel dark web ad ulteriori gruppi criminali

Come le maggiori piattaforme garantiscono la sicurezza online

Per contrastare questo fenomeno dilagante nel Web si è sviluppata una vera e propria disciplina che prevede azioni mirate a prevenire tali tipi di minacce.

La Cybersecurity, termine con cui si identifica la sicurezza informatica, è quindi diventato uno dei maggiori capitoli di spesa per le grandi e medie società che espongono servizi online.

Sia che la piattaforma sia ospitata presso l’azienda oppure presso un Cloud Service Provider, si sono aggiunti livelli di sicurezza a strati concentrici a buccia di cipolla per minimizzare la superficie di attacco verso l’estero.

Tutte le maggiori piattaforme, sia per motivi regolatori o di aderenza a standard come il PCI DSS, Payment Card Industry Data Security Standard, sono protette almeno dai seguenti livelli di sicurezza:

• firewall perimetrali che filtrano tutto il traffico che arriva verso la piattaforma, permettendo solo quello verso punti di accesso (porte) ben definiti;
• sistemi anti-DDOS per evitare attacchi di tipo Denial of Service che puntano a mettere off-line la piattaforma inondandola di traffico;
• Intrusion Detection /Prevention System che monitorano il traffico in ingresso per tentare di riconoscere pattern di possibili attacchi informatici;
• Security Operation Center con personale specializzato nell’analizzare tutti gli eventi sospetti ed eventualmente reagire immediatamente ad un attacco informatico.

Inoltre tutte le piattaforme espongono i dati del proprio sito verso il browser del PC tramite cifratura (cifratura in transito) in modo tale che, qualora il traffico diretto verso un personal computer dovesse essere intercettato non potrebbe comunque essere decifrato. Come utente è possibile riconoscere tale tipo di funzionalità direttamente dal browser di navigazione, infatti, normalmente è presente un lucchetto affianco all’indirizzo web del sito visitato. Tale lucchetto è una indicazione che il traffico è protetto da meccanismi di cifratura, utilizzando un certificato di cifratura della piattaforma. È necessario diffidare di qualsiasi sito non abbia questo meccanismo basilare di sicurezza informatica.

In che modo viene garantita la privacy

Se da un lato le misure di sicurezza viste in precedenza ci garantiscano che la piattaforma è sicura da un punto di vista esterno, ulteriori misure di sicurezza devono essere previste anche per garantire la privacy dei dati e degli utenti. Per fare un’analogia è la situazione simile al caveau di un istituto bancario, le misure viste in precedenza fanno in modo che non puoi entrare nella banca se non passi i controlli della sicurezza e delle telecamere, poi si devono comunque proteggere i valori con ulteriori livelli di sicurezza.

Le normative europee prevedono già delle misure obbligatorie che chi tratta i dati di tipo personale o personale particolare deve rispettare per garantire la privacy degli utenti (GDPR). Ulteriori misure sono applicate nel caso si trattino dati bancari o di carte di pagamento, come la già citata PCI DSS.

In particolare, il database degli utenti, contenente le anagrafiche, gli indirizzi e i telefoni, le informazioni sulle carte di credito, la storia degli ordini, è uno degli asset principale e più critici di una azienda. Queste informazioni sono spesso cifrate (cifratura a riposo) all’interno della base dati per fare in modo che, se anche un hacker riesca ad avere accesso al database, non possa decifrare le informazioni sensibili.

Inoltre sono investite molte risorse per effettuare periodici controlli di sicurezza sulle applicazioni attraverso revisioni del codice (security code review) per controllare che non siano presenti bug che eventuali attaccanti possano sfruttare. Inoltre tutti i sistemi operativi e i middleware utilizzati per far funzionare la piattaforma sono costantemente controllati per assicurare di aver applicato le patch di sicurezza previste dal produttore.

Infine sono intrapresi periodici controlli di sicurezza simulando attacchi da parte di ethical hacker (penetration test e vulnerability assessment) al fine di garantire la resilienza della piattaforma.

Dalle banche alle piattaforme di gioco: l’importanza della sicurezza

Come già accennato, le piattaforme più a rischio da un punto di vista informatico sono quelle che trattano pagamenti e che gestiscono conti e depositi dei clienti. All’interno di questa lista troviamo sicuramente in primis le banche e gli istituti di credito, i siti che permettono il trading on line e le piattaforme di pagamento elettroniche che si sono diffuse notevolmente grazie all’e-commerce. Ma anche tutte le piattaforme di gioco online e casinò online appartengono alla lista delle piattaforme critiche, avendo a tutti gli effetti caratteristiche molto simili alle banche trattando sia conti (di gioco) in cui sono depositate le somme degli utenti, sia trattando transazioni e pagamenti in ingresso e in uscita, utilizzando e memorizzando i numeri delle carte di credito o degli altri strumenti di pagamento.

È quindi necessario affidarsi a società di gioco e casino online che siano solidi, non solo che abbiano un sito accattivante, e che consentano la gestione in sicurezza delle proprie informazioni personali e dei propri soldi.

In Italia, per controllare che il sito di gioco sia sicuro ed autorizzato ad operare secondo le regole dello Stato e sottoposto ai controlli previsti dalla normativa, è necessario assicurarsi che la società che gestisce il sito sia autorizzata dall’AAMS (Amministrazione Autonoma dei Monopoli di Stato). Solo in questo modo si avrà la certezza come clienti che siano stati implementati standard di sicurezza a tutela dei propri dati e nel rispetto della privacy.