Classificare le informazioni per garantire la sicurezza informatica
Ai fini della sicurezza informatica, le informazioni possono essere classificate in modo più o meno fine in funzione delle esigenze dell’utenza (garantire la sicurezza informatica). La classificazione serve a definire vincoli comuni alla circolazione ed alla fruizione di informazioni con caratteristiche analoghe in termini di valore e di riservatezza. La classe di ciascuna informazione determina insomma il tipo di protezione che il sistema garantisce per essa.
Alcuni parametri per la classificazione delle informazioni ai fini della sicurezza possono essere
- valore per l’organizzazione: può essere misurato a partire dallo sforzo sostenuto per ottenerle, dal numero e dalla importanza dei processi che ne dipendono;
- grado di riservatezza: può essere valutato in funzione del danno ipotizzabile in caso di utilizzo illecito;
- afferenza ad un certo contesto: alcune informazioni possono essere riservate o meno in funzione del contesto al quale afferiscono.; ad esempio, negli atti dei procedimenti giudiziari, la residenza di un pentito è da considerare più riservata di quella di un comune indagato.
Il lavoro di classificazione va svolto al giusto livello di astrazione, deve cioè tenere conto di come i dati elementari sono aggregati nel flusso di lavoro della organizzazione (ad esempio in pratiche, certificati, verbali).
È possibile che tutte le istanze di uno stesso concetto (ad esempio, sempre nel caso di procedimenti giudiziari, tutti gli interrogatori) siano collocabili in una unica classe ai fini della sicurezza. In generale, tuttavia, le classi di sicurezza non coincidono con quelle che emergono dalla analisi concettuale, e possono raggruppare istanze di concetti diversi o sottoinsiemi delle istanze di uno stesso concetto. Ad esempio, potremmo voler considerare come riservati solo gli interrogatori effettuati ad un certo indiziato.
In altre parole, informazioni dello stesso tipo sono generalmente protette in modo analogo, ma è anche possibile che ciascuna singola informazione venga etichettata con specifici attributi finalizzati ad istruire il sistema su come proteggerla.
