{"id":194,"date":"2026-03-16T15:49:13","date_gmt":"2026-03-16T14:49:13","guid":{"rendered":"https:\/\/www.summonte.com\/home\/?p=194"},"modified":"2026-03-17T15:31:10","modified_gmt":"2026-03-17T14:31:10","slug":"principi-fondativi-della-it-security","status":"publish","type":"post","link":"https:\/\/www.summonte.com\/home\/2026_03_16-principi-fondativi-della-it-security\/","title":{"rendered":"Principi Fondativi della IT Security"},"content":{"rendered":"\n<p>La sicurezza informatica ha una base concettuale sorprendentemente stabile. Cambiano le tecnologie, ma i <strong>principi fondativi<\/strong> sono rimasti quasi identici da decenni. Il punto di partenza classico \u00e8 la <strong>triade CIA<\/strong>: Confidentiality, Integrity, Availability. \u00c8 il modello pi\u00f9 semplice per definire cosa significhi davvero \u201cproteggere\u201d un sistema.<\/p>\n\n\n\n<p>Confidentiality significa che l\u2019informazione \u00e8 accessibile solo a chi \u00e8 autorizzato. Il meccanismo tecnico principale \u00e8 il controllo dell\u2019accesso: identit\u00e0, autenticazione, autorizzazione e cifratura. Quando cifri un database o limiti l\u2019accesso tramite IAM stai difendendo la confidenzialit\u00e0.<\/p>\n\n\n\n<p>Integrity significa che i dati non vengono alterati in modo non autorizzato. Qui entrano in gioco firme digitali, hash crittografici, controllo delle modifiche, versioning e logging. Se qualcuno modifica un record senza autorizzazione, il sistema deve accorgersene o impedirlo.<\/p>\n\n\n\n<p>Availability significa che sistemi e dati devono essere disponibili quando servono. Questo riguarda resilienza, ridondanza, disaster recovery, protezione da DDoS, capacity planning. Un sistema perfettamente sicuro ma sempre offline \u00e8 inutile.<\/p>\n\n\n\n<p>Su questa base si innesta il modello operativo <strong>AAA<\/strong>: Authentication, Authorization, Accounting.<\/p>\n\n\n\n<p>Authentication risponde alla domanda \u201cchi sei?\u201d. Tecnologicamente significa password, MFA, certificati, biometria, federazione di identit\u00e0.<\/p>\n\n\n\n<p>Authorization risponde alla domanda \u201ccosa puoi fare?\u201d. Qui entrano RBAC (role-based access control), ABAC (attribute-based), policy engine e gestione dei privilegi.<\/p>\n\n\n\n<p>Accounting significa \u201ccosa hai fatto?\u201d. \u00c8 la registrazione delle attivit\u00e0: audit log, tracciamento delle sessioni, telemetria di sicurezza. Senza accounting non esiste responsabilit\u00e0 n\u00e9 investigazione.<\/p>\n\n\n\n<p>Se si combinano CIA e AAA emerge una struttura interessante:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Confidentiality dipende soprattutto da Authentication e Authorization<\/li>\n\n\n\n<li>Integrity dipende da Authorization e Accounting<\/li>\n\n\n\n<li>Availability dipende da resilienza infrastrutturale e monitoraggio operativo<\/li>\n<\/ul>\n\n\n\n<p>Questo schema \u00e8 ancora la spina dorsale di quasi tutte le architetture moderne.<\/p>\n\n\n\n<p>Nel panorama attuale del settore, per\u00f2, la sicurezza si \u00e8 evoluta in alcune direzioni chiave.<\/p>\n\n\n\n<p>La prima \u00e8 <strong>Identity-centric security<\/strong>. Il perimetro di rete \u00e8 scomparso con cloud, SaaS e lavoro remoto. L\u2019identit\u00e0 diventa il nuovo perimetro. Per questo IAM, PAM e identity governance sono oggi componenti centrali delle architetture di sicurezza.<\/p>\n\n\n\n<p>La seconda \u00e8 <strong>Zero Trust<\/strong>. Il principio \u00e8 semplice ma radicale: nessun utente o sistema \u00e8 considerato affidabile a priori. Ogni accesso viene continuamente verificato in base a identit\u00e0, dispositivo, contesto e comportamento.<\/p>\n\n\n\n<p>La terza \u00e8 <strong>telemetria e rilevazione delle minacce<\/strong>. Non basta prevenire gli attacchi. Si assume che una compromissione prima o poi avverr\u00e0. Per questo SIEM, XDR, UEBA e SOC monitorano costantemente i segnali di sicurezza.<\/p>\n\n\n\n<p>La quarta \u00e8 <strong>automazione e resilienza operativa<\/strong>. Gli ambienti IT sono troppo complessi per essere gestiti manualmente. SOAR, policy automation e security orchestration diventano necessari per reagire rapidamente agli incidenti.<\/p>\n\n\n\n<p>Se si guarda l\u2019architettura complessiva oggi, la sicurezza si pu\u00f2 riassumere in cinque grandi pilastri operativi:<\/p>\n\n\n\n<p>identit\u00e0, dispositivi, rete, applicazioni, dati.<\/p>\n\n\n\n<p>Curiosamente torniamo sempre allo stesso nucleo concettuale. Tutte le architetture moderne \u2014 dal NIST Zero Trust alle piattaforme cloud security \u2014 non fanno altro che espandere e raffinare le idee originali della CIA triad e del modello AAA.<br><br>Ad ogni modo,  negli ultimi anni il modello \u00e8 stato esteso. Una delle evoluzioni pi\u00f9 usate negli ambienti architetturali moderni \u00e8 <strong>CIA(<em>NA-SP)<\/em><\/strong>. La logica \u00e8 semplice: mantenere la triade originaria ma aggiungere propriet\u00e0 che riflettano meglio la realt\u00e0 dei sistemi digitali contemporanei.<\/p>\n\n\n\n<p><\/p>\n\n\n\n<p>Il primo elemento aggiuntivo \u00e8 <strong>Non-repudiation<\/strong>.<br>Significa che un soggetto non pu\u00f2 negare di aver compiuto un\u2019azione. \u00c8 una propriet\u00e0 fondamentale nei sistemi distribuiti e nei processi legali digitali. Le tecnologie chiave sono:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>firme digitali<\/li>\n\n\n\n<li>timestamping<\/li>\n\n\n\n<li>log firmati<\/li>\n\n\n\n<li>certificati PKI<\/li>\n<\/ul>\n\n\n\n<p>Il secondo \u00e8 <strong>Authenticity<\/strong>.<br>Autenticit\u00e0 significa che l\u2019origine di dati, identit\u00e0 o software pu\u00f2 essere verificata. Non \u00e8 esattamente la stessa cosa dell\u2019autenticazione dell\u2019utente. Riguarda la <strong>provenienza dell\u2019oggetto digitale<\/strong>: software firmato, firmware autenticato, supply chain software verificata.<\/p>\n\n\n\n<p>Il terzo \u00e8 <strong>Safety<\/strong>.<br>Safety \u00e8 un concetto preso dall\u2019ingegneria dei sistemi critici. Non riguarda solo attacchi informatici, ma il fatto che il sistema non produca danni anche se qualcosa va storto. In ambienti industriali, automotive o medicali questa propriet\u00e0 \u00e8 fondamentale. Significa progettare sistemi che falliscono in modo controllato.<\/p>\n\n\n\n<p>Infine arrivano due propriet\u00e0 molto moderne: <strong>Privacy<\/strong> e <strong>Security observability \/ provenance<\/strong> (SP).<\/p>\n\n\n\n<p>Privacy \u00e8 diventata una dimensione autonoma con normative come GDPR. Non basta proteggere i dati: bisogna gestirli secondo principi di minimizzazione, finalit\u00e0 e controllo dell\u2019utente.<\/p>\n\n\n\n<p>Provenance \/ observability riguarda la capacit\u00e0 di tracciare l\u2019origine e il percorso dei dati e delle azioni. In un mondo di microservizi, supply chain software e AI pipeline, sapere <strong>da dove proviene qualcosa<\/strong> \u00e8 diventato essenziale.<\/p>\n\n\n\n<p>Se si guarda la struttura CIANA-SP nel suo insieme, emerge qualcosa di interessante: il modello si sposta dalla semplice protezione del dato verso la <strong>fiducia nei sistemi digitali<\/strong>.<\/p>\n\n\n\n<p>In pratica:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>CIA protegge il dato<\/li>\n\n\n\n<li>CIANA-SP protegge <strong>l\u2019ecosistema che genera e usa il dato<\/strong><\/li>\n<\/ul>\n\n\n\n<p>Questo cambiamento riflette tre trasformazioni profonde del settore.<\/p>\n\n\n\n<p>La prima \u00e8 la <strong>scomparsa del perimetro di rete<\/strong>. Con cloud e SaaS non esiste pi\u00f9 un confine fisico. La sicurezza si sposta su identit\u00e0, contesto e telemetria.<\/p>\n\n\n\n<p>La seconda \u00e8 la <strong>supply chain digitale<\/strong>. Oggi gran parte del software proviene da dipendenze esterne. L\u2019autenticit\u00e0 e la provenienza del codice diventano cruciali.<\/p>\n\n\n\n<p>La terza \u00e8 la <strong>resilienza sistemica<\/strong>. Non si assume pi\u00f9 che gli attacchi possano essere completamente prevenuti. Si progettano sistemi che continuano a funzionare anche sotto attacco.<\/p>\n\n\n\n<p>Ora entra in gioco un\u2019altra dimensione: il <strong>post-quantum computing<\/strong>.<\/p>\n\n\n\n<p>Molti sistemi di sicurezza moderni si basano su crittografia asimmetrica: RSA, ECC, Diffie-Hellman. Questi algoritmi si basano su problemi matematici difficili per i computer classici, ma vulnerabili a un computer quantistico sufficientemente potente tramite l\u2019algoritmo di Shor.<\/p>\n\n\n\n<p>Questo impatta direttamente diversi elementi della CIANA-SP.<\/p>\n\n\n\n<p>Confidentiality verrebbe compromessa se i sistemi di cifratura attuali diventassero decrittabili.<\/p>\n\n\n\n<p>Integrity e Non-repudiation dipendono da firme digitali che potrebbero essere falsificate.<\/p>\n\n\n\n<p>Authenticity dipende da PKI e certificati che usano le stesse primitive crittografiche.<\/p>\n\n\n\n<p>Per questo il settore sta gi\u00e0 lavorando sulla <strong>Post-Quantum Cryptography (PQC)<\/strong>. Gli algoritmi candidati selezionati dal NIST \u2014 come Kyber e Dilithium \u2014 si basano su problemi matematici diversi, ad esempio i reticoli (lattice problems), che sono considerati resistenti agli attacchi quantistici.<\/p>\n\n\n\n<p><em><strong>Ma l\u2019impatto non \u00e8 solo crittografico. L\u2019arrivo del quantum cambia anche il modo di pensare alla sicurezza architetturale.<\/strong><\/em><\/p>\n\n\n\n<p>Emergono nuovi modelli da considerare:<\/p>\n\n\n\n<p>Il primo \u00e8 <strong>crypto-agility<\/strong>.<br>I sistemi devono poter cambiare algoritmo crittografico rapidamente. Non si progetta pi\u00f9 una PKI statica per vent\u2019anni; si progettano architetture in grado di evolvere.<\/p>\n\n\n\n<p>Il secondo \u00e8 <strong>data longevity security<\/strong>.<br>Un attaccante pu\u00f2 oggi registrare traffico cifrato e decifrarlo in futuro quando i computer quantistici saranno disponibili. Questo \u00e8 il famoso problema <em>harvest now, decrypt later<\/em>. Per i dati sensibili a lungo termine bisogna gi\u00e0 usare protezioni resistenti al quantum.<\/p>\n\n\n\n<p>Il terzo \u00e8 <strong>verifiable computing e trusted execution<\/strong>.<br>Con sistemi sempre pi\u00f9 distribuiti cresce l\u2019importanza di ambienti di esecuzione verificabili: TEE, confidential computing, attestazione hardware. Inoltre, in futuro quando i computer quantistici saranno disponibili sorger\u00e0 il problema <em>Trust Now, Forge Later (TNFL)<\/em> dove un attaccante potr\u00e0 fasificare l&#8217;autenticit\u00e0 del dato.<\/p>\n\n\n\n<p>Il quarto \u00e8 <strong>identity resilience<\/strong>.<br>Se la crittografia delle identit\u00e0 viene compromessa, tutto il modello Zero Trust crolla. Per questo le architetture IAM devono diventare quantum-ready. <\/p>\n\n\n\n<p>Guardando il quadro generale si vede un filo logico molto affascinante.<\/p>\n\n\n\n<p>Negli anni \u201970 la sicurezza informatica nasce per proteggere <strong>computer isolati<\/strong>.<br>Negli anni \u201990 protegge <strong>reti e sistemi distribuiti<\/strong>.<br>Oggi protegge <strong>ecosistemi digitali globali<\/strong>.<br>Domani dovr\u00e0 proteggere ecosistemi dove <strong>la capacit\u00e0 di calcolo stessa cambia paradigma<\/strong>.<\/p>\n\n\n\n<p>La CIA triad non \u00e8 quindi superata. \u00c8 come la meccanica newtoniana: semplice, ma ancora utile. I modelli come CIANA-SP sono l\u2019equivalente della relativit\u00e0 e della meccanica quantistica della sicurezza: servono quando il sistema diventa molto pi\u00f9 grande, molto pi\u00f9 interconnesso e molto pi\u00f9 potente.<\/p>\n\n\n\n<p><\/p>\n","protected":false},"excerpt":{"rendered":"<p>La sicurezza informatica ha una base concettuale sorprendentemente stabile. Cambiano le tecnologie, ma i principi fondativi sono rimasti quasi identici da decenni. Il punto di partenza classico \u00e8 la triade CIA: Confidentiality, Integrity, Availability. \u00c8 il modello pi\u00f9 semplice per definire cosa significhi davvero \u201cproteggere\u201d un sistema. Confidentiality significa che l\u2019informazione \u00e8 accessibile solo a &hellip; <a href=\"https:\/\/www.summonte.com\/home\/2026_03_16-principi-fondativi-della-it-security\/\" class=\"more-link\">Continua la lettura di <span class=\"screen-reader-text\">Principi Fondativi della IT Security<\/span> <span class=\"meta-nav\">&rarr;<\/span><\/a><\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-194","post","type-post","status-publish","format-standard","hentry","category-senza-categoria"],"_links":{"self":[{"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/posts\/194","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/comments?post=194"}],"version-history":[{"count":3,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/posts\/194\/revisions"}],"predecessor-version":[{"id":198,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/posts\/194\/revisions\/198"}],"wp:attachment":[{"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/media?parent=194"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/categories?post=194"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.summonte.com\/home\/wp-json\/wp\/v2\/tags?post=194"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}