CIA triad e principi di sicurezza fondamentali

Perché tutto ruota attorno alla CIA triad

Nella cybersecurity ogni decisione — quale feature attivare, quale contromisura configurare — si giustifica riportandola a uno dei tre pilastri della CIA triad: Confidentiality, Integrity e Availability. Un tecnico di supporto che sa a quale pilastro appartiene un controllo capisce cosa sta proteggendo e perché.

• Confidentiality (riservatezza): solo chi è autorizzato accede all’informazione. Contromisure tipiche: encryption (dati at-rest e in-transit come TLS/IPsec), autenticazione forte (MFA), ACL e segmentazione via VLAN.
• Integrity (integrità): il dato non viene alterato in modo non autorizzato o accidentale. Contromisure: hashing (SHA-256), firme digitali, checksum, controllo delle versioni, meccanismi anti-tampering.
• Availability (disponibilità): sistemi e dati sono accessibili quando servono. Contromisure: ridondanza, HSRP/failover, backup, protezione DDoS, gruppi di continuità.

Un errore comune è pensare che la sicurezza sia solo “tenere i segreti”. Un ransomware che cifra i file non viola la confidentiality ma distrugge integrity e availability: senza le chiavi i dati sono inutilizzabili.

Vulnerability, threat, exploit e risk

Questi quattro termini vengono spesso confusi, ma l’esame li tratta come concetti distinti e precisi.

• Vulnerability (vulnerabilità): una debolezza nel sistema. È una condizione statica. Esempio: uno switch con la password di default mai cambiata, o un IOS-XE non patchato con una CVE nota.
• Threat (minaccia): un potenziale evento o attore che può sfruttare la vulnerabilità. Esempio: un attaccante intenzionato a entrare nella rete. La minaccia esiste anche se il sistema è sano.
• Exploit: lo strumento o la tecnica concreta con cui la vulnerabilità viene effettivamente sfruttata. Esempio: uno script che invia il pacchetto malformato che manda in crash il servizio.
• Risk (rischio): la probabilità che una minaccia sfrutti una vulnerabilità, combinata con l’impatto che ne deriverebbe. Formula concettuale: Risk = Threat × Vulnerability × Impact.

Punto chiave: se elimini la vulnerabilità (patch, hardening), la minaccia continua a esistere ma il rischio crolla. Non puoi eliminare le minacce — puoi solo ridurre vulnerabilità e impatto.

Difesa a strati e principi fondamentali

Defense-in-depth (difesa a strati)

Nessun singolo controllo è infallibile. La defense-in-depth dispone controlli ridondanti e diversificati su più livelli: perimetro (firewall Firepower), segmentazione interna (VLAN, ACL), controllo degli accessi (Cisco ISE con 802.1X), protezione dell’endpoint e monitoraggio. Se un livello cede, gli altri contengono l’attaccante. È l’opposto della sicurezza “a guscio duro e interno molle”.

Least privilege

Il principio del least privilege impone di concedere a ogni utente, processo o dispositivo solo i permessi strettamente necessari al suo compito, e nulla di più. Un account di sola lettura per il monitoraggio non deve poter modificare la configurazione. Limita il danno in caso di compromissione e riduce la superficie di attacco.

Hardening

L’hardening è la riduzione sistematica della superficie di attacco: disabilitare servizi non usati (es. HTTP server, CDP dove non serve), chiudere porte inutili, cambiare le credenziali di default, applicare patch e configurare timeout di sessione. Un dispositivo “hardened” espone il minimo indispensabile.

Code of ethics

Un professionista della sicurezza opera secondo un code of ethics: agire legalmente, proteggere la società e le infrastrutture, mantenere la riservatezza delle informazioni a cui accede e non abusare dei privilegi. Il possesso di accessi privilegiati impone responsabilità, non licenza di curiosare.

Trappole tipiche d’esame

• Scenario: “Uno switch ha la password admin di default.” La domanda chiede se è una threat o una vulnerability → risposta giusta: vulnerability (una debolezza). L’attaccante che vuole entrare è la threat.
• Scenario: un ransomware cifra i file aziendali. Quale pilastro CIA è compromesso? → integrity e availability, non (solo) confidentiality. Non concentrarti solo sulla riservatezza.
• Scenario: “Come riduco il rischio?” Se puoi agire solo su un fattore → elimina la vulnerabilità (patch/hardening); le threat non si eliminano.
• Scenario: un utente di help desk ha diritti da domain admin. Quale principio è violato? → least privilege.
• Scenario: firewall + segmentazione VLAN + 802.1X + endpoint protection insieme. Quale concetto descrivono? → defense-in-depth, non un singolo controllo ridondato.