Valutazione del rischio per un sistema informatico

Valutazione del rischio per un sistema informatico

Una volta definiti e catalogati gli eventi che consideriamo indesiderati (eventi indesiderati), è importante associare un rischio a ciascuno di essi, in modo da indirizzare la successiva attività di individuazione delle contromisure ai rischi verso le aree del sistema potenzialmente più critiche.

Il concetto di rischio esprime in modo combinato la probabilità che un evento accada ed il danno che arreca al sistema se accade.

Valutazione del rischio legato ad attacchi intenzionali

Nel caso di attacchi intenzionali:

  • la probabilità di occorrenza (cioè la probabilità che l’attacco venga tentato) dipende principalmente dalla facilità di attuazione e dai vantaggi che potrebbe trarne l’intrusore; nella quantificazione della probabilità è utile consultare i dati statistici disponibili in letteratura, rilevati dalla osservazione di sistemi informatici attivi da molti anni. Datapro Research, ad esempio, attribuisce il 10% delle perdite di dati ad omissioni volontarie degli addetti, il 10% a disonestà degli addetti e il 5% ad azioni di estranei;
  • il danno arrecabile va misurato come grado di perdita di ciascuno dei tre requisiti fondamentali di riservatezza, integrità e disponibilità; nel valutare il danno, occorre tenere conto delle dipendenze fra risorse, e prevedere l’eventuale propagazione del malfunzionamento iniziale.

Relativamente agli attacchi intenzionali, occorre inoltre partire dal presupposto che l’attaccante applicherà sempre (in sequenza o in parallelo, sfruttando eventuali effetti sinergici), tutte le tecniche di cui dispone su tutte le risorse attaccabili. Conviene dunque, laddove possibile, calcolare anche il rischio legato agli attacchi composti realisticamente attuabili.

Valutazione del rischio legato ad eventi accidentali

Nel caso di eventi accidentali:

  • la probabilità di occorrenza può essere valutata a partire da dati tecnici sulla risorsa oggetto dell’evento (ad esempio il MTBF di un disco) e/o da dati statistici sulla tipologia di evento (come ad esempio una casistica sugli incendi nei CED); Datapro Research, ad esempio, attribuisce il 55% delle perdite di dati ad errori degli addetti, ed il 20% ad eventi naturali e carenze strutturali (alimentazione, condizionamento, etc.);
  • il danno arrecabile va misurato esattamente come vis to per gli attacchi, cioè come grado di perdita di ciascuno dei tre requisiti fondamentali di riservatezza, integrità e disponibilità.

Anche nel caso di eventi accidentali, come visto per gli attacchi, conviene talvolta (nel caso in cui la probabilità combinata sia significativa) valutare anche il rischio legato ad eventi composti, costituiti cioè da un insieme di eventi elementari che accadono in sequenza (furto di nastri di backup e successivo guasto di un disco) o in parallelo (inizio di una transazione e contemporanea interruzione della alimentazione elettrica).

Precedente Controllo degli accessi per un sistema informatico Successivo Contromisure ai rischi per un sistema informatico

Lascia un commento

*