Per molte aziende, la sfida si presenta solo dopo che l’incidente si è già verificato. Sorge una controversia contrattuale. Viene avviata un’indagine normativa. Un cliente contesta una transazione. Ai team interni viene chiesto di dimostrare cosa sia successo, quando sia successo e se i dati presentati siano attendibili.
Poiché le aziende moderne generano enormi volumi di log, tracciati di audit, eventi di sistema, comunicazioni e registrazioni delle transazioni, la quantità di dati raramente costituirà il principale collo di bottiglia.
Il problema è che credibilità delle prove.
Le prove digitali sono sempre più distribuite tra applicazioni, piattaforme cloud, sistemi di terze parti e database operativi. Quando sorgono controversie, le aziende spesso si rendono conto che la loro catena probatoria non è mai stata concepita per resistere a contestazioni esterne. I documenti potrebbero esistere, ma dimostrare l'autenticità, la cronologia e l'integrità diventa notevolmente più difficile.
Per i CISO, gli architetti della sicurezza e i responsabili della conformità, ciò comporta un tipo diverso di rischio: non tanto quello di non riuscire a prevenire un incidente, quanto quello di non riuscire a dimostrarne la veridicità a posteriori.
Dalla disponibilità dei dati alla garanzia dell’attendibilità delle prove
Gli ambienti aziendali sono passati da sistemi centralizzati a ecosistemi digitali interconnessi. I processi aziendali coinvolgono ormai piattaforme SaaS, API, infrastrutture cloud, partner, fornitori e flussi di lavoro automatizzati.
Ciò garantisce efficienza operativa, ma allo stesso tempo modifica i requisiti relativi alle prove attendibili.
I sistemi di registrazione tradizionali sono stati progettati principalmente per il monitoraggio, la risoluzione dei problemi e le operazioni di sicurezza. Essi forniscono risposte a domande quali:
- Che cosa è successo?
- Quale utente ha effettuato l'accesso al sistema?
- Quando è avvenuta una transazione?
Tuttavia, contenzioso, revisione normativae controversie contrattuali richiedono ulteriori domande:
- L'azienda può dimostrare che il documento esisteva in un determinato momento?
- Il proprietario registrato può dimostrare che non è stato alterato?
- È possibile che una parte esterna verificare in modo indipendente l'autenticità?
Questa distinzione è importante perché le prove raccolte dopo un evento vengono spesso trattate in modo diverso rispetto a quelle prodotte fin dall’inizio con controlli di integrità.
Il requisito che sta emergendo è la garanzia dell'autenticità delle prove: documenti che non siano semplicemente archiviati, ma che risultino verificabilmente attendibili.
Le aziende possono raccogliere prove, ma non sempre riescono a sostenerle
Molte aziende ritengono che i registri di audit standard, i record dei database e i controlli amministrativi costituiscano una prova sufficiente.
Tale ipotesi comporta un rischio.
Il punto debole? Frammentazione delle prove.
Le informazioni rilevanti potrebbero essere presenti su più piattaforme:
- Sistemi di identificazione
- Registri delle applicazioni
- Archivio e-mail
- Piattaforme cloud
- Sistemi ERP
- Ambienti dei partner
La ricostruzione di una cronologia diventa un processo manuale, aumentando il rischio di tralasciare elementi contestuali o di incorrere in incongruenze tra i dati.
Cos’altro potrebbe diventare un problema? Dipendenza amministrativa dal trust.
I sistemi tradizionali si affidano spesso ad amministratori con privilegi. Sebbene i controlli di accesso e il monitoraggio riducano i rischi, una parte avversa potrebbe comunque mettere in dubbio che i dati siano stati modificati da personale autorizzato.
Qual è il problema principale di questi modelli? Conservazione inadeguata delle prove.
Un timestamp di per sé non garantisce necessariamente l'integrità. Un record che riporta data e ora non dimostra automaticamente che il contenuto sottostante sia rimasto immutato.
Il risultato è un divario tra la sicurezza operativa e la difendibilità giuridica.
Integrità delle prove, regolamentazione e trasformazione dell’infrastruttura europea di fiducia
La normativa europea sta rendendo sempre più urgente la necessità di interazioni digitali affidabili.
Il Portafoglio europeo di identità digitale (EUDIW), introdotto tramite l'aggiornamento Quadro europeo in materia di identità digitale, è progettato per consentire agli utenti di archiviare, gestire, convalidare e condividere in modo sicuro i dati relativi all'identità e le attestazioni elettroniche. Supporta inoltre le firme elettroniche qualificate e i sigilli elettronici (eIDAS).
La Commissione europea descrive l'ecosistema dei portafogli digitali come un sistema basato su standard e specifiche comuni, volti a garantire l'interoperabilità tra gli Stati membri. Progetti pilota su larga scala abbiamo testato diversi casi d'uso in ambito pubblico e privato prima di procedere a un'implementazione su più ampia scala.
Per i team di sicurezza aziendali, questo sviluppo è importante perché la fiducia digitale si sta avvicinando sempre più al livello delle transazioni. L’identità, le attestazioni, le firme e l’autenticità delle prove stanno diventando funzionalità interconnesse piuttosto che attività di conformità distinte.
Una trasformazione simile sta avvenendo con Passaporti digitali dei prodotti (DPP). Ai sensi del regolamento (UE) 2024/1781 sulla progettazione ecocompatibile dei prodotti sostenibili, la Commissione europea sta creando un’infrastruttura per lo scambio e la verifica dei dati relativi ai prodotti, compreso un registro dei passaporti digitali dei prodotti.
Man mano che le catene di approvvigionamento diventano sempre più digitali, i produttori e i fornitori dovranno fornire prove le informazioni sul prodotto, le certificazioni e il ciclo di vita i dati sono autentici e non sono stati modificati.
Passare dai registri alle prove verificabili
Un modello di prove difendibili non sostituisce i controlli di sicurezza esistenti, ma li rafforza.
L'obiettivo non è quello di archiviare in modo permanente ogni evento operativo su un sistema immutabile. Le aziende dovrebbero invece individuare le prove di alto valore che richiedono una maggiore garanzia.
Tra gli esempi figurano:
- Approvazioni dei contratti
- Documentazione relativa alla conformità
- Transazioni dei clienti
- Certificazioni relative alla catena di approvvigionamento
- Documenti normativi
- Prove relative alle indagini sugli incidenti
A integrità delle prove moderne Questo approccio combina solitamente diversi meccanismi.
Documenti sigillati nel tempo
Un timestamp attendibile fornisce la prova che un'informazione esisteva in un determinato momento.
Verifica dell'integrità
L'hash crittografico consente alle aziende di confrontare un'impronta digitale archiviata con versioni successive e di individuare eventuali modifiche.
Rilevamento delle manomissioni
Se le prove subiscono modifiche dopo la loro creazione, i meccanismi di verifica possono rilevare tali modifiche.
Gli approcci basati sulle prove Blockchain sono oggetto di un dibattito sempre più ampio, poiché l'immutabilità può ridurre i rischi associati alla falsificazione, alla manipolazione e alle contestazioni relative all'autenticità nel contesto delle prove digitali.
Il ruolo di una piattaforma come Truth Enforcer è quello di fornire un livello di garanzia delle prove: la creazione di registrazioni protette da timbro temporale e con integrità verificabile che le aziende possano utilizzare in combinazione con i sistemi esistenti di sicurezza, conformità e governance.
Anziché sostituire le piattaforme SIEM, i sistemi di gestione dei documenti o i provider di identità, questo tipo di funzionalità colma una lacuna specifica: dimostrare che le prove digitali sono attendibili a posteriori.
.
Vuoi vedere come funziona nella pratica una verifica indipendente dell'integrità?
Provalo gratuitamente, senza alcun impegno:
Verificatore di verità per i creatori di PI: https://truth-verifier.com/landing
Verificatore di verità per giornalisti: https://truthverifier.news/landing
Contattaci per discutere dell'implementazione aziendale di Truth Enforcer: https://www.connecting-software.com/truth-enforcer-sign-up/
Da Francisco Rodrigues, Responsabile di prodotto
"Scrivo di come le integrazioni software possano adattarsi agli ambienti aziendali e rispondere alle esigenze specifiche del settore. Voglio mostrare alle aziende la strada per snellire i processi, eliminare i colli di bottiglia e garantire la conformità, mettendo a disposizione dei team e dei dirigenti C-suite gli strumenti giusti".
Letture correlate
Perché la fatturazione elettronica nell’UE richiede un livello di integrità delle prove
Come conservare le prove digitali: dimostrare l’integrità, la provenienza e la catena di custodia
Quando le decisioni relative all’identità non possono essere dimostrate, le approvazioni si trasformano in responsabilità