Accessibilità, Privacy, Sicurezza by design: la superficie di attacco

L’accessibilità (con l’usabilità), la Privacy e la Sicurezza Informatica sono interconnesse in molti modi nel contesto dello sviluppo web e delle applicazioni Internet: TUTTE mirano a creare un ambiente digitale più sicuro, inclusivo ed efficace per le persone che devono interagire con esso.

Superficie di attacco e obiettivi

Superficie di attacco nel combattimento

Nelle arti marziali, posizionarsi “di taglio” rispetto all’avversario serve a ridurre la superficie corporea esposta agli attacchi, minimizzando le opportunità che l’avversario ha di colpire efficacemente. Allo stesso modo, ridurre la superficie di attacco in sicurezza informatica o la superficie di esposizione nella gestione della privacy aiuta a proteggere risorse e dati da accessi o attacchi non autorizzati.

Questo approccio olistico e strategico di “riduzione della superficie esposta”, sia nel digitale che nel fisico, è fondamentale per mantenere una posizione di difesa forte e resiliente. Implementare misure che limitano proattivamente l’esposizione può significativamente migliorare la sicurezza e la privacy di un sistema o di un’organizzazione.

Superficie di attacco in sicurezza informatica & privacy

Il concetto di “superficie esposta” o “superficie di attacco” in sicurezza informatica e privacy può essere paragonato efficacemente alle strategie utilizzate nelle arti marziali, se osserviamo la posizione di combattimento. In entrambi i campi, l’obiettivo è ridurre l’area attraverso cui potenziali attacchi possono essere portati, aumentando così la propria difesa.

Superficie di attacco in accessibilità & usabilità

Nella combinazione accessibilità+usabilità, a sua volta, l’obiettivo è ridurre la superficie dell’applicazione, dell’esposizione – che qui è cognitiva – dell’utente: insomma il concetto KISS “Keep It Simple Stupid!” (che potrei tradurre – in maniera molto libera ma efficace – con “Palla Casa Albero”) o quello più chic di “less is more”, ricordando che lo stesso Donald Norman ne “Il computer invisibile” disse che l’interfaccia migliore è quella di cui non ti accorgi.

Un po’ come il breve, divertente racconto di Foster Wallace “Questa è l’acqua”, in cui due pesci si incontrano e uno chiede “come è l’acqua?” e l’altro non si era nemmeno accorto che ci era immerso.

E un po’ come per noi l’aria…

I metodi di lavoro sono comuni

• una progettazione (design) rigorosa: chi fa cosa, come, quando, dove e perché (ruoli, permessi, azioni);
• formazione continua e consapevolezza distribuita a ogni livello del team di lavoro;
• adozione di standard open e condivisi (controllo del dato, interoperabilità, strutture aperte, indipendenza dal fornitore);
• standard con ampia, solida community internazionale (vitalità nel tempo, affidabilità, valore dei partecipanti, solidità di progetto);
• design partecipativo, che coinvolge da subito destinatari e soggetti interessati;
• controllo, valutazione e rivalutazione continua in ambiti di design iterativo (A/B), test & manutenzione/evoluzione;

Un rapporto “trigonometrico”

Il rapporto tra accessibilità, sicurezza e privacy nei siti web e nelle applicazioni web è un argomento molto rilevante e complesso. Queste tre aree, pur essendo distinte, si intrecciano spesso nel processo di sviluppo e hanno implicazioni importanti l’una sull’altra.

Accessibilità e Sicurezza informatica

La sicurezza e l’accessibilità sono due componenti fondamentali che possono sembrare in conflitto ad uno sguardo superficiale, ma in realtà possono rafforzarsi reciprocamente se gestite correttamente.

Ad esempio, un sito web sicuro deve proteggere gli utenti da minacce esterne come attacchi informatici (HTTPS contro attacchi “man in the middle”, sicurezza dei form, crittografia dei dati, ecc.), mentre un sito accessibile deve garantire che tutti gli utenti, inclusi quelli con disabilità, possano navigare e utilizzare il sito senza ostacoli.

Un sito sicuro che utilizza CAPTCHA, per esempio, può presentare sfide per le persone con disabilità visive. Tuttavia, esistono alternative di verifica accessibili, come le “challenge” basate su audio o su logica, che mantengono la sicurezza senza escludere le persone con disabilità, fornendo alternative equivalenti.

Accessibilità e Privacy

La privacy riguarda la protezione dei dati personali degli utenti e la garanzia che queste informazioni non vengano esposte senza consenso.

L’accessibilità influisce sulla privacy nel senso che le tecnologie assistive usate da alcuni utenti possono interagire con i dati in modi che necessitano considerazioni di privacy speciali.

Ad esempio, un lettore di schermo può dover annunciare informazioni sensibili ad alta voce, il che potrebbe essere un problema in ambienti pubblici.

È importante quindi implementare soluzioni che proteggano la privacy degli utenti senza compromettere l’accessibilità, come auricolari o soluzioni che passino dai device personali degli utenti come il telefono.

Inoltre, banalmente, non esiste privacy per le persone che non riescono ad accedere da sole a uno strumento, percorso, operazione, quindi sono di fatto obbligate a servirsi di terzi: quante volte una persona non vedente si è dovuta far leggere (in ambienti aperti e quindi senza la dovuta privacy) ad alta voce un modulo di una banca o anche solo il proprio estratto conto, perché la banca in quesitone non aveva previsto documentazione elettronica accessibile?

Sicurezza informatica e Privacy

Quando si sviluppano applicazioni che sono sia sicure che rispettose della privacy, è fondamentale considerare come i dati sono raccolti, conservati e gestiti. L’integrazione di misure di sicurezza robuste come HTTPS, cifrature end-to-end, e politiche di gestione dati chiare, riduzione della superficie di attacco con reti sicure, valutazione del rischio condivisa con i fornitori (i cosiddetti “attacchi alla chain supply”), backup multipli, frequenti, geodistribuiti e politiche di disaster recovery congrue e puntali, può aiutare a proteggere la privacy degli utenti. Allo stesso tempo, è cruciale assicurarsi che queste misure non precludano l’accesso ai servizi da parte di utenti con disabilità.