Riprendo le pubblicazioni su questo Blog affrontando un tema di stretta attualità, anche per quanto riguarda i risvolti relativi alla Sicurezza IT (e ancora più alla Sicurezza in Rete).
Già da quest'anno scolastico sarebbe dovuto entrare in vigore il cosiddetto Registro Elettronico: uno strumento IT che sostituirà l'ormai vetusto Registro cartaceo, usato finora nella Scuola italiana di ogni ordine e grado. Tale strumento andrà a completarsi anche con le funzioni di comunicazione Scuola-Famiglia sia per quanto riguarda le assenze degli studenti che per le altre comunicazioni istituzionali.
Risulta abbastanza evidente, quindi, che attraverso il Registro Elettronico transiteranno informazioni private (anagrafica, indirizzi, telefoni di studenti, professori e famiglie) e anche "sensibili" (rendimento scolastico, stato di salute degli studenti, per citarne solo alcune).
Date queste premesse, il Registro Elettronico dovrebbe soddisfare i requisiti minimi di sicurezza di un'applicazione on-line (perché di on-line si tratta): confidenzialità, integrità, disponibilità dei dati. Nelle implementazioni di cui abbiamo notizia, si può solo immaginare che tali requisiti siano stati inseriti nei contratti di attivazione del Servizio, stipulati da ciascuna Scuola (nella sua autonomia amministrativa) coi diversi Fornitori. Nell'ipotesi (reale) in cui il servizio sia fornito tramite portale web, la minima misura di sicurezza sarebbe l'accesso via HTTPS, tramite opportuno Certificato Digitale installato sul webserver. Questo assicurerebbe, in tutta buona fede seppure (ribadiamo) in misura appena necessaria il raggiungimento dei primi due requisiti di Sicurezza: confidenzialità e integrità dei dati in transito sulla rete Internet fra il webserver e il browser dell'utente, sia esso professore, genitore o studente, per le funzioni rispettivamente rese disponibili.
Abbiamo purtroppo dovuto usare il condizionale perché siamo a conoscenza di installazioni che non utilizzano un Certificato Digitale rilasciato da una Certification Authority, e quindi verificabile e molto difficilmente falsificabile, bensì un Certificato "auto-prodotto", che non offre alcuna garanzia circa l'identità del sito internet (cioè il portale del Registro Elettronico). In questa configurazione, non sarebbe affatto difficile, per qualche malintenzionato, inserirsi nella comunicazione fra server e browser, modificando i dati in transito o anche solo prelevandone una copia per i propri scopi, più o meno leciti.
Lasciando da parte questi "casi patologici", che allo stato attuale non sembrano particolarmente gravi poiché l'uso del Registro Elettronico non è ancora "ufficiale" in tutte le scuole, passiamo ad analizzare gli altri aspetti di sicurezza di questa classe di applicazioni. Abbiamo già notato che le informazioni che saranno custodite nel (teorico) Database comprenderanno un'ampia categoria di dati "anagrafici" e di recapito, alcuni dei quali "sensibili". Non è dato sapere quali requisiti di conservazione e memorizzazione siano stati imposti nei contratti: memorizzazione in chiaro o crittografata? Chi è il "responsabile" del trattamento dati e che tipo di controllo può esercitare sugli altri soggetti che necessariamente avranno accesso ai dati medesimi? Per quanto tempo, una volta che non saranno più necessari (fine del ciclo scolastico, dis-iscrizione, ecc.), quei dati resteranno nel Database? Se saranno distrutti, quali accorgimenti saranno adottati affinché non cadano in mano a terzi non autorizzati? Quest'ultimo aspetto riguarda anche eventuali "copie di salvataggio" dei dati medesimi mentre sono ancora in uso.
Ultimo ma non ultimo arriva il problema della disponibilità del servizio: che requisiti sono stati posti a contratto? Quali sono le procedure (e gli SLA) di ripristino in caso di guasto o malfunzionamento? Quanta e quale parte è affidata al personale della Scuola in queste procedure?
Infine, mi piacerebbe citare anche l'aspetto della trasparenza di tutta l'operazione: non basterà dotare ogni aula di opportuno collegamento telematico e terminale/pc (con quali fondi?), nonché ogni insegnante di analoghi strumenti per tutte quelle attività che (considerate le ristrettezze dell'orario) dovranno essere svolte a casa: e gli studenti? e le famiglie? dovranno provvedere "in proprio" a dotarsi del minimo di strumenti necessari (computer e connessione)?
Spero con queste note di aver sollevato qualche legittimo dubbio e di aver destato anche nei futuri utenti del Registro Elettronico qualche interesse verso una visione orientata alla Sicurezza IT di tutta la procedura, perché (come dicevano gli antichi) sarebbe terribilmente amaro trovarsi un giorno a dover "chiudere la stalla dopo che i buoi sono scappati".
Buon lavoro a tutto il mondo della Scuola.
