Sviluppo delle politiche di sicurezza

Ogni sistema, dal calcolatore utilizzato per uso privato al server aziendale usato da migliaia di utenti, dovrebbe seguire una politica di sicurezza. Per politica di sicurezza si intende una serie di indicazioni utilizzate per giudicare se un'attivit� o un'applicazione deve essere effettuata o utilizzata su un sistema, in base agli obiettivi particolari di quel sistema.

Le politiche di sicurezza possono variare molto a seconda dei sistemi usati, ma la cosa pi� importante � ricordarsi che ne esiste una per il proprio sistema, che sia scritta oppure no nel manuale delle politiche aziendali.

Tutte le politiche di sicurezza dovrebbero essere create utilizzando le regole di base seguenti:

• Semplicit� — pi� la politica di sicurezza � semplice e diretta, maggiore � la probabilit� che le indicazioni vengano seguite e che la sicurezza del sistema venga garantita.

• Facilit� di applicazione — i metodi e i tool di sicurezza, come ogni cosa, sono soggetti a modifiche, dettate soprattutto da nuove sfide e necessit�. La vostra politica di sicurezza dovrebbe essere ideata in modo da ridurre al minimo l'impatto delle modifiche sul sistema e sugli utenti.

• Promuovere la libert� tramite la fiducia nell'integrit� del sistema — evitate metodi e tool di sicurezza che diminuiscono inutilmente l'uso del vostro sistema per renderlo pi� sicuro. Esistono infatti metodi e tool di qualit� che rendono il sistema pi� sicuro, ma offrono al contempo, quando possibile, una campo di azione pi� ampio per gli utenti.

• Riconoscere la possibilit� di errori — il modo migliore per incorrere in un problema di sicurezza � quello di aver troppa fiducia nelle proprie capacit�. Dunque non dormite sugli allori, ma siate sempre vigili.

• Concentrarsi sui problemi concreti e tralasciare quelli teorici — impiegate tempo e sforzi gestendo i problemi pi� importanti. Ponetevi delle priorit� e tappate prima le "falle" maggiori. Per stabilire cosa controllare prima, consultate la pagina Web http://www.sans.org/topten.htm o siti simili dove sono elencati problemi di sicurezza specifici che costituiscono davvero una minaccia e dove vedere che cosa fare per evitarli o risolverli.

• Prontezza — stabilite quali sono i problemi e determinate se costituiscono un rischio. Non perdete tempo pensando di poter rimandare. Quello che conta � il presente, soprattutto quando il vostro sistema � in pericolo.

Se pensate che la vostra politica di sicurezza sia talmente restrittiva da impedire che il sistema possa essere utilizzato per lo scopo prefisso, non esitate a modificare la politica per allentare l'accesso al sistema. Allo stesso modo, se pensate che la sicurezza del sistema venga continuamente compromessa, dovreste modificare alcuni aspetti della vostra politica per restringere l'accesso. Soprattutto per�, ricordate che una politica di sicurezza non � un'idea o un documento statico e quindi va modificata con il cambiare degli obiettivi e degli utenti. Riconsiderate sempre la vostra politica alla luce di nuovi requisiti.