La Gestione del Rischio (Risk Management) in informatica

Con la rapida evoluzione delle tecnologie dell’informazione e della comunicazione, i sistemi informatici hanno assunto un’importanza centrale nell’assetto organizzativo e funzionale delle imprese e delle istituzioni. La diffusione delle tecnologie fondate sul paradigma Internet, poi, ha favorito il ridisegno dei confini organizzativi dell’impresa, sempre più aperta e connessa con altri sistemi informatici, c’è bisogno dunque di fare gestione del rischio da un punto di vista della sicurezza informatica.

In questo contesto, l’adozione di efficaci politiche di sicurezza informatica ha una rilevanza cruciale, in quanto da essa possono dipendere le sorti dell’impresa. Si tratta di un compito non facile, in ragione soprattutto dei continui cambiamenti delle tecnologie e dell’elevato impegno operativo, organizzativo e finanziario richiesto su tutti i livelli della struttura aziendale. Secondo una definizione ormai consolidata, per sistema aziendale di sicurezza informatica si intende l’insieme delle misure tecniche e organizzative volte ad assicurare la protezione dell’integrità, della disponibilità, della confidenzialità dell’informazione automatizzata e delle risorse usate per acquisire, memorizzare, elaborare e comunicare tale informazione.

Gli obiettivi fondamentali della sicurezza informatica sono, quindi:

1. Riservatezza: garanzia che un determinato dato sia preservato da accessi impropri e sia utilizzato esclusivamente dai soggetti autorizzati. Le informazioni riservate devono essere protette sia nella fase di trasmissione sia in quella di memorizzazione/conservazione, in modo tale che l’informazione sia accessibile esclusivamente a coloro i quali sono autorizzati a conoscerla.
2. Integrità: garanzia che ogni dato aziendale sia realmente quello originariamente immesso nel sistema informatico e sia stato modificato esclusivamente in modo legittimo. Si deve garantire che le informazioni vengano trattate in modo tale che non possano essere manomesse o modificate da soggetti non autorizzati.
3. Disponibilità: garanzia di reperibilità di dati aziendali in funzione delle esigenze di continuità dei processi e nel rispetto delle norme che ne impongono la conservazione storica.

La gestione e il miglioramento della sicurezza informatica fanno parte di un processo continuo che deve tenere conto di molteplici fattori di resistenza, interni ed esterni all’azienda, e che deve ricercare costantemente il miglior compromesso tra sicurezza e fruibilità del sistema.
Lo scopo della sicurezza informatica è quello di proteggere i dati aziendali attraverso la selezione e l’applicazione di appropriate misure precauzionali, che non devono essere percepite come vincoli e costrizioni alla missione dell’organizzazione, ma come elementi che contribuiscono al raggiungimento degli obiettivi fissati dal manager.