NOTA / 01.A.01
Il problema
Un archivio condiviso contiene informazioni strategiche. Utenti, amministratori, applicazioni e copie di sicurezza hanno poteri diversi: una compromissione non deve estendere automaticamente tutti questi poteri.
NOTA / 01.A.02
Le proprietà da definire
Il Threat Model — modello delle minacce — identifica gli accessi da considerare compromessi e le conseguenze da contenere. Il progetto stabilisce chi può decifrare, esportare o recuperare i documenti e quali separazioni devono rimanere efficaci.
NOTA / 01.A.03
Le decisioni architetturali
Storage, identità, uso delle chiavi e recovery vengono valutati come domini di fiducia distinti. La separazione è efficace solo se i relativi poteri amministrativi non permettono di ricomporre indirettamente l’accesso al dato. Copie, metadati ed esportazioni fanno parte dello stesso perimetro.
NOTA / 01.A.04
Dalla scelta all’intervento
Le misure possono riguardare privilegi, confini di decifratura, condivisioni e percorsi di recupero. La configurazione viene definita sul contesto, insieme alle responsabilità di chi amministra e di chi utilizza le informazioni.
NOTA / 01.A.05
Come si verifica
La verifica parte dalle capacità effettive delle identità considerate: quali documenti possono ottenere, quali autorizzazioni possono modificare e quali percorsi alternativi possono utilizzare. I test concordati comprendono accessi consentiti e negati e recupero di contenuti utilizzabili.
NOTA / 01.A.06
Dove si fermano le conclusioni
Separare l’amministrazione dello storage dalla decifratura non elimina l’esposizione di un dispositivo o di un’applicazione autorizzati a trattare il contenuto in chiaro. La revoca di un accesso non ritira copie già ottenute. Questi limiti entrano nelle decisioni e nella documentazione di progetto.