Crittografia Informatica e Sicurezza aziendale

Cos’è la crittografia

La crittografia informatica è l’insieme di tecniche matematiche utilizzate per proteggere informazioni e comunicazioni rendendole leggibili solo a soggetti autorizzati o verificabili attraverso chiavi, algoritmi e firme digitali. È alla base di HTTPS, VPN, cifratura dei dischi, servizi cloud, autenticazione a chiave pubblica, firme digitali e protezione dei backup.

In azienda la crittografia non è un singolo prodotto: è un controllo trasversale che deve proteggere i dati quando sono archiviati, quando transitano in rete e quando vengono condivisi. La robustezza dell’algoritmo è importante, ma lo sono altrettanto la gestione delle chiavi, il controllo degli accessi, la rotazione, il backup delle recovery key e la capacità di sostituire algoritmi e protocolli nel tempo.

A cosa serve la crittografia

La crittografia moderna supporta diversi obiettivi di sicurezza. Non tutti vengono ottenuti con la sola cifratura: spesso entrano in gioco hash, MAC, certificati e firme digitali.

• Riservatezza: impedire a soggetti non autorizzati di leggere il contenuto dei dati.
• Integrità: rilevare modifiche non autorizzate durante archiviazione o trasmissione.
• Autenticità: verificare l’identità di un sistema, un servizio o un firmatario.
• Non ripudio: fornire evidenze crittografiche sull’origine di un’operazione o di una firma, nel quadro tecnico e normativo applicabile.
• Protezione delle credenziali e dei segreti: ridurre l’esposizione di password, token, certificati e chiavi applicative.

Crittografia simmetrica: una chiave per cifrare e decifrare

Nella crittografia simmetrica la stessa chiave, o materiale di chiave strettamente correlato, viene utilizzata per cifrare e decifrare i dati. È molto efficiente ed è quindi adatta a grandi volumi: dischi, file, database, backup e flussi di rete dopo la fase di negoziazione della sessione.

AES (Advanced Encryption Standard) è il riferimento più diffuso. In ambienti moderni vengono usate modalità autenticanti o configurazioni che combinano riservatezza e integrità, ad esempio AES-GCM. La sicurezza non dipende solo dalla lunghezza della chiave: una chiave AES-256 archiviata in chiaro in uno script resta una chiave compromettibile.

Crittografia asimmetrica: chiave pubblica e chiave privata

La crittografia asimmetrica utilizza una coppia di chiavi: una pubblica, distribuibile, e una privata, che deve rimanere protetta. Questo modello è fondamentale per stabilire segreti su reti non fidate, autenticare sistemi e realizzare firme digitali.

RSA ed ECC sono famiglie storicamente molto diffuse. Nei protocolli moderni la crittografia asimmetrica viene spesso utilizzata per autenticazione e key exchange, mentre la cifratura effettiva dei dati di sessione viene affidata ad algoritmi simmetrici più efficienti.

Hash, cifratura e firma digitale: tre cose diverse

Crittografia dei dati a riposo

I dati at rest sono informazioni memorizzate su endpoint, server, storage, database, backup o servizi cloud. La cifratura a riposo limita l’esposizione quando un disco viene rubato, un supporto viene dismesso in modo improprio o un’infrastruttura di storage viene compromessa.

In Windows, BitLocker cifra interi volumi e può utilizzare il TPM per proteggere le chiavi e verificare l’integrità del processo di avvio. In Azure molti servizi applicano cifratura a riposo tramite chiavi gestite dalla piattaforma e, dove richiesto, consentono chiavi gestite dal cliente tramite Azure Key Vault o Managed HSM.

Crittografia dei dati in transito: TLS e HTTPS

Quando i dati attraversano reti aziendali, Internet o collegamenti tra servizi cloud, devono essere protetti in transito. HTTPS utilizza TLS per autenticare il server e creare un canale cifrato tra client e servizio. Nei sistemi aggiornati è opportuno privilegiare TLS 1.3 e TLS 1.2 con suite moderne, evitando protocolli e algoritmi legacy quando non più necessari.

Windows Server 2025 abilita per impostazione predefinita suite TLS 1.3 basate su AES-GCM e supporta la gestione dell’ordine delle cipher suite tramite criteri o cmdlet. La compatibilità va comunque verificata prima di disabilitare protocolli legacy in ambienti con applicazioni o appliance datate.

Key management: il punto in cui molti progetti falliscono

Una buona crittografia con una cattiva gestione delle chiavi può offrire una falsa sensazione di sicurezza. Le chiavi devono avere proprietari, policy, controlli di accesso, backup e rotazione coerenti con il rischio del dato protetto.

• Separare i privilegi amministrativi da quelli che consentono l’uso o l’esportazione delle chiavi.
• Evitare chiavi, secret e password hard-coded in script, repository o file di configurazione.
• Usare vault o HSM quando il livello di rischio lo richiede.
• Definire procedure di recovery: una chiave persa può rendere indisponibili dati perfettamente integri.
• Ruotare chiavi e certificati con processi controllati e testare l’impatto applicativo.
• Inventariare dove e come vengono usati algoritmi, certificati e protocolli per poterli sostituire in futuro.

Crittografia nel cloud e Microsoft 365

Nel cloud la crittografia è spesso integrata nel servizio, ma questo non elimina le responsabilità del cliente. Bisogna capire quali dati sono cifrati per default, quali chiavi vengono gestite dal provider, quando sono disponibili customer-managed keys e come vengono governati identità e permessi che consentono di accedere ai dati in chiaro.

La domanda corretta non è quindi solo “i dati sono cifrati?”, ma anche “chi può decifrarli, con quale identità, da quale dispositivo, con quali log e con quale processo di recovery?”. La crittografia è efficace quando è integrata con identity security, access control, DLP, backup e monitoraggio.