Sicurezza degli asset e dei dati: il livello che spesso manca

Nei progetti di tracciatura la sicurezza arriva quasi sempre per ultima, e quasi sempre come vincolo imposto da qualcun altro: l'ufficio legale, un audit, un cliente che chiede il questionario fornitori. Il risultato è che viene trattata come un adempimento, quando invece è il livello che determina se dei dati raccolti ci si può fidare.

Due sicurezze, spesso confuse

La parola copre due cose distinte.

La sicurezza fisica riguarda gli oggetti e le persone: che il DPI sia conforme, che il macchinario sia stato verificato, che il lavoratore sappia in tempo reale se il dispositivo che indossa è scaduto. Qui la tecnologia serve a rendere l'informazione accessibile nel momento del bisogno.

La sicurezza dell'informazione riguarda i dati: che l'identificativo non sia clonabile, che il record non sia alterabile a posteriori, che chi legge sia autorizzato a leggere. Qui la tecnologia serve a rendere l'informazione affidabile.

La prima senza la seconda è un teatro. Un sistema che dichiara conforme un DPI sulla base di un tag che chiunque può duplicare con un'app da dieci euro sta producendo una falsa sicurezza — peggio dell'assenza di sistema, perché induce le persone ad abbassare la guardia.

Il livello del tag

Non tutti i chip sono equivalenti. Un NTAG213 ha un UID univoco e non riscrivibile: garantisce che quel chip sia quel chip. Non garantisce che qualcuno non possa presentare un chip diverso con un UID copiato in un campo dati leggibile. Se l'applicazione si limita a leggere l'UID, il livello di protezione è quello di un numero di serie stampato.

I chip con autenticazione crittografica risolvono il problema in modo diverso: il tag dimostra di conoscere una chiave senza rivelarla. La clonazione richiederebbe di estrarre la chiave dal silicio, il che sposta l'attacco da "un'app" a "un laboratorio".

La domanda pratica non è qual è il chip più sicuro, ma quanto vale per un attaccante falsificare questo oggetto. Un lampione comunale e una borsa di lusso non richiedono lo stesso livello, e pagare per il livello sbagliato è uno spreco in entrambe le direzioni.

Il livello della piattaforma

Sopra il tag c'è il software, e qui i requisiti sono quelli di qualunque sistema che tratta dati aziendali e, spesso, dati personali dei lavoratori: profilazione degli accessi, log immutabili delle modifiche, cifratura in transito e a riposo, gestione del ciclo di vita degli account.

Quando i dati riguardano ispezioni, scadenze e assegnazione di DPI a persone identificabili, si entra nel perimetro del GDPR. La conseguenza operativa è concreta: serve sapere chi è titolare, chi è responsabile del trattamento, e quali sub-responsabili sono coinvolti nella catena. È un lavoro contrattuale, non tecnico, e va fatto prima di caricare il primo dato.

La domanda che chiude il cerchio

Alla fine di un progetto di controllo, la verifica è sempre la stessa: se domani un'autorità, un cliente o un giudice mi chiedesse di dimostrare che questo oggetto è stato ispezionato in quella data da quella persona, che cosa gli mostro, e perché dovrebbe credermi?

Se la risposta regge, i quattro livelli — identificazione, serializzazione, tracciatura, sicurezza — sono a posto. Se non regge, il punto debole è quasi sempre l'ultimo.