Nella storia della sicurezza informatica prima, delle informazioni poi e oggi della cybersecurity, l’integrità è sempre stata considerata la sorella “povera”. Il risultato è che, la nostra Cenerentola a differenza delle sue sorelle Genoveffa (riservatezza) e Anastasia (disponibilità), non è mai stata al centro delle preoccupazioni in materia di protezione dei dati.
Le ragioni sono probabilmente due: da un lato è spesso stata incompresa nel senso più stretto del termine, dall’altro è sempre stato difficile capire da che verso prenderla. In effetti cosa si intende per integrità è stato oggetto di innumerevoli fraintendimenti soprattutto perché questa peculiare proprietà non riguarda necessariamente la «verità» e ancora meno il fatto che sia «giusta». Piuttosto si parla di una caratteristica per cui si può essere certi che l’informazione rispecchia il suo scopo originale o ancora meglio il rispetto del contenuto originale di chi prima la produce ed eventualmente di colui che poi ne detiene il controllo. Un esempio che chiarisce questo concetto lo possiamo trovare in ambito giuridico. Nel momento in cui un giudice emette una sentenza, potrebbe essere sbagliata e non rispecchiare minimamente la verità dei fatti tuttavia il suo contenuto deve essere preservato così come è. Le ragioni mi sembrano ovvie.
Altro tema è quello di individuare quali siano i controlli applicabili. In ambito di disponibilità e riservatezza le possibili contromisure sono intuitive: da un lato sistemi ridondanti, backup, piani di continuità operativa, dall’altro crittografia, controlli perimetrali, pseudonimizzazione, giusto a titolo di esempio. In tema di integrità spesso si pensa alla gestione dei privilegi e poco altro ma, soprattutto, alcuni controlli sono percepiti come complessi basti pensare alla firma digitale nelle sue diverse declinazioni. Tuttavia, la compromissione dell’integrità dei dati potrebbe rivelarsi molto più perniciosa di quanto si possa immaginare. In primo luogo, un’organizzazione potrebbe rendersi conto del problema in tempi per nulla brevi. Comprendere come e perché si prendono decisioni sbagliate non è mai facile. In secondo luogo, nel momento in cui risulta chiaro che i dati non sono corretti significa la loro inevitabile indisponibilità.
Se allo stato attuale siamo al cospetto di un rischio a cui l’essere umano può porre in qualche modo rimedio facendo appello al “buonsenso”, in futuro le cose potrebbero cambiare radicalmente perché i sistemi con cui ci confronteremo non saranno più “informatici”, almeno nel senso in cui li abbiamo intesi fino ad oggi, cioè non riguarderanno più la gestione dell’informazione, bensì della conoscenza.
A determinare la scalata delle macchine nel modello data-information-knowledge-wisdom dal secondo al terzo gradino è il progressivo affermarsi delle intelligenze artificiali deboli e la nostra ambizione di voler comprendere i Big Data. Allontanandoci dalla fonte faremo sempre più fatica a comprendere se una decisione “suggerita” da un algoritmo intelligente rispecchia l’umana capacità di formulare un giudizio basato sul senso comune. Essendo tutti consapevoli che le weak AI sono addestrate attraverso grandi basi di dati è palese quanto l’integrità di esse sia essenziale, così come di qualsiasi input gli venga sottoposto. È ormai acclarato che è possibile alterare completamente il funzionamento di un’intelligenza artificiale compromettendo un dataset di addestramento attraverso l’immissione di input ingannevoli, entrato in letteratura come adversarial attack ha già visto un gran numero di sperimentazioni. La più nota risale al 2014 quando un gruppo di ricercatori di Google e della New York University, inserendo disturbi impercettibili all’occhio umano nella fotografia di un panda, indussero un algoritmo per il riconoscimento delle immagini a vedere un gibbone con una probabilità del 99,3%. Evidente come una validazione degli input che vengono forniti non possa essere semplicemente un “nice to have”.
Un secondo ambito in cui la mancata correttezza delle informazioni potrebbe avere effetti catastrofici è quello dell’Internet of Things. Mi limiterò a un esempio che ormai è già un classico. L’attacco noto come “false data injection” ha l’obiettivo di indurre in errore le piattaforme industriali falsificando le misurazioni dei sensori. Una modifica indebita dei dati provenienti da migliaia di “contatori intelligenti”, potrebbe determinare un black-out istantaneo su scala metropolitana. Allo stesso modo potrebbe paralizzare la produzione di interi stabilimenti. Ancora una volta la questione è tutta nella possibilità di validazione dei dati.
Probabilmente sarebbe opportuno esplorare le potenzialità della blockchain e del suo primario protocollo di validazione. Certo per farlo sarebbe utile che le persone smettessero di immaginarla come un sinonimo di Bitcoin che è soltanto una delle sue possibili applicazioni e auspicabilmente non la sola.
Home
Market&Data
Scrivi per noi
Wallet
