Nicola Porro ha sfogato la sua frustrazione nel suo blog in merito alla complessità delle password imposte.
Non essendo un giornalista tecnico che scrive abitualmente in temi di sicurezza, possiamo, con presunzione di innocenza, classificare quell’articolo come uno sfogo a livello di chiacchiera da bar.
Purtroppo questo episodio è esemplificativo dell’ignoranza (etimologica) in materia di sicurezza informatica e di valore dei dati che accomuna molte professioni.
Il concetto più comune che viene urlato è “l’account è mio e la password la decido io”.
Questa affermazione vale solamente se l’account, il server e il nome a dominio utilizzato sono della stessa persona, in quel caso la persona è libera di utilizzare le password che desidera perché è lei stessa responsabile dell’utilizzo del server e del nome a dominio.
Se, però, l’infrastruttura appartiene al datore di lavoro o al fornitore di un servizio il discorso cambia perché il responsabile davanti alla giustizia e davanti ai media non è solamente l’utente, ma anche la persona titolare del dominio e il titolare del trattamento dei dati; ecco che, quindi, l’utente non può decidere in autonomia il livello di sicurezza sia perché non ne ha la capacità professionale sia perché non è il diretto responsabile.
Per chiarire con un esempio: se Pippo ha un account sul famoso servizio di condivisione immagini Condividi Foto e utilizza una password ovvia, quando (“quando”, non “se”) qualche cattivone gli hackera l’account e carica delle foto sconvenienti del politico Pluto, i giornali titoleranno “Foto sconvenienti di Pluto sul sito Condividi Foto“. Ecco quindi che Condividi Foto subisce un danno di immagine (e, quindi, economico) a causa del comportamento di Pippo che, nel nome di una presunta libertà, ha scelto una password facile da hackerare.
La libertà di scegliere una password facile finisce dove inizia la libertà di avere un sistema sicuro e affidabile.
Se si tratta della password di un account di lavoro, la password serve anche a proteggere gli accessi non autorizzati ai dati che vengono trattati sul lavoro, che possono andare dai dati sensibili (le iscrizioni ai sindacati, per citarne uno) a dati di valore economico per l’organizzazione, come rendiconti economici o bozze di brevetto.
Sempre nel caso di un contesto lavorativo è indubbio che il datore di lavoro debba adoperarsi per fare in modo che i suoi dipendenti vengano correttamente (in)formati in merito alla sicurezza. La formazione è spesso vista come un costo e non un investimento, ma più che mai in questo contesto un rapido (due o tre ore al massimo) corso sui pericoli informatici è più che mai un investimento.
Purtroppo è diffusa la mentalità secondo la quale se una persona utilizza un servizio o si appassiona ad un argomento, questa si considera ipso facto esperta di quel servizio o di quell’argomento. Nulla di più falso per quanto riguarda la tecnologia. Essere in grado di installare senza danni una scheda di rete su un PC non fa di una persona un esperto di networking.
Abbiamo già a che fare con sessanta milioni di Presidenti del Consiglio e sessanta milioni di CT della nazionale di calcio, per favore non aggiungiamo anche sessanta milioni di esperti di sicurezza informatica.
Lascia un commento