La crittografia e l'arte di rendere i dati illeggibili a chi non possiede la chiave per decifrarli. Per la NIS2, e una delle misure tecniche fondamentali: protegge i dati sia dagli attacchi esterni sia dalle compromissioni interne. Se un attaccante riesce a esfiltare dati cifrati, ha in mano solo una massa di byte inutilizzabili.
Ma la crittografia non e un interruttore che si accende o si spegne. Ci sono diversi tipi, diversi ambiti di applicazione e diverse complessita. E se gestita male, puo diventare un problema piu che una soluzione — basta perdere la chiave e i dati sono persi per sempre.
I tre ambiti della crittografia aziendale
- At rest — dati memorizzati su disco, database, backup. Protegge dal furto fisico del dispositivo o dall'accesso non autorizzato al storage
- In transit — dati in transito sulla rete. Protegge dall'intercettazione delle comunicazioni (TLS/SSL, VPN, HTTPS)
- In use — dati in fase di elaborazione. La frontiera piu avanzata: confidential computing, enclavi sicure
Crittografia at rest
La crittografia at rest protegge i dati memorizzati. Se qualcuno ruba un disco o accede a un database senza autorizzazione, trova solo dati cifrati. Le implementazioni piu comuni: BitLocker per i PC Windows, FileVault per i Mac, LUKS per i server Linux, TDE (Transparent Data Encryption) per i database SQL Server e Oracle. Per il cloud, AWS, Azure e GCP offrono la cifratura at rest di default su tutti i servizi storage.
Crittografia in transit
Il traffico di rete non cifrato e come una cartolina postale: chiunque puo leggerla. Il protocollo TLS 1.3 e lo standard attuale per la cifratura in transit. HTTPS per il web, SMTPS per la posta, VPN (IPsec o WireGuard) per le connessioni site-to-site. Nella rete interna, la cifratura e spesso trascurata — ma un attaccante che si muove lateralmente puo intercettare il traffico interno se non e cifrato.
Gestione delle chiavi: il punto critico
La crittografia e forte quanto la gestione delle sue chiavi. Se le chiavi sono memorizzate accanto ai dati cifrati, e come chiudere la porta e lasciare la chiave sotto lo zerbino. Servono: un KMS (Key Management System) dedicato, la rotazione periodica delle chiavi, il backup sicuro delle chiavi master, la separazione dei ruoli (chi gestisce i dati non deve gestire le chiavi).
Crittografia e NIS2: cosa dice la norma
La NIS2, all'art. 21 del D.Lgs. 138/2024, include la crittografia tra le misure di sicurezza raccomandate per tutti i soggetti obbligati. Le linee guida ACN la considerano una misura fondamentale per la protezione dei dati sensibili. In caso di data breach, dimostrare che i dati erano cifrati puo ridurre significativamente l'impatto normativo — sia per la NIS2 che per il GDPR.
Implementazione pratica per le PMI: 5 priorita
Per una PMI, l'implementazione della crittografia puo essere graduale. Priorita 1: cifratura dei laptop aziendali (BitLocker/FileVault — quasi zero costo). Priorita 2: HTTPS su tutti i servizi web. Priorita 3: cifratura dei backup. Priorita 4: cifratura dei database con dati sensibili. Priorita 5: VPN per le connessioni remote. Queste cinque misure coprono la maggior parte dei rischi a un costo contenuto.