La crittografia e l'arte di rendere i dati illeggibili a chi non possiede la chiave per decifrarli. Per la NIS2, e una delle misure tecniche fondamentali: protegge i dati sia dagli attacchi esterni sia dalle compromissioni interne. Se un attaccante riesce a esfiltare dati cifrati, ha in mano solo una massa di byte inutilizzabili.
Ma la crittografia non e un interruttore che si accende o si spegne. Ci sono diversi tipi, diversi ambiti di applicazione e diverse complessita. E se gestita male, puo diventare un problema piu che una soluzione — basta perdere la chiave e i dati sono persi per sempre.
I tre ambiti della crittografia aziendale
- At rest — dati memorizzati su disco, database, backup. Protegge dal furto fisico del dispositivo o dall'accesso non autorizzato al storage
- In transit — dati in transito sulla rete. Protegge dall'intercettazione delle comunicazioni (TLS/SSL, VPN, HTTPS)
- In use — dati in fase di elaborazione. La frontiera piu avanzata: confidential computing, enclavi sicure
Crittografia at rest
La crittografia at rest protegge i dati memorizzati. Se qualcuno ruba un disco o accede a un database senza autorizzazione, trova solo dati cifrati. Le implementazioni piu comuni: BitLocker per i PC Windows, FileVault per i Mac, LUKS per i server Linux, TDE (Transparent Data Encryption) per i database SQL Server e Oracle. Per il cloud, AWS, Azure e GCP offrono la cifratura at rest di default su tutti i servizi storage.
Crittografia in transit
Il traffico di rete non cifrato e come una cartolina postale: chiunque puo leggerla. Il protocollo TLS 1.3 e lo standard attuale per la cifratura in transit. HTTPS per il web, SMTPS per la posta, VPN (IPsec o WireGuard) per le connessioni site-to-site. Nella rete interna, la cifratura e spesso trascurata — ma un attaccante che si muove lateralmente puo intercettare il traffico interno se non e cifrato.
Gestione delle chiavi: il punto critico
La crittografia e forte quanto la gestione delle sue chiavi. Se le chiavi sono memorizzate accanto ai dati cifrati, e come chiudere la porta e lasciare la chiave sotto lo zerbino. Servono: un KMS (Key Management System) dedicato, la rotazione periodica delle chiavi, il backup sicuro delle chiavi master, la separazione dei ruoli (chi gestisce i dati non deve gestire le chiavi).
Crittografia e NIS2
La NIS2, all'art. 21, include la crittografia tra le misure di sicurezza raccomandate. Le linee guida ACN la considerano una misura fondamentale per la protezione dei dati sensibili. In caso di data breach, dimostrare che i dati erano cifrati puo ridurre significativamente l'impatto normativo — sia per la NIS2 che per il GDPR.
Implementazione pratica per le PMI
Per una PMI, l'implementazione della crittografia puo essere graduale. Priorita 1: cifratura dei laptop aziendali (BitLocker/FileVault — quasi zero costo). Priorita 2: HTTPS su tutti i servizi web. Priorita 3: cifratura dei backup. Priorita 4: cifratura dei database con dati sensibili. Priorita 5: VPN per le connessioni remote. Queste cinque misure coprono la maggior parte dei rischi a un costo contenuto.