I costi della Cybersecurity

Da parecchio tempo stavo considerando di abbonarmi ad un servizio VPN. La ragione è semplice: privacy. Voglio proteggerla per quanto possibile. Certo, lo so anche io che finchè usufruisco di servizi online che prosperano sui miei dati, come Google o simili, la privacy è praticamente inesistente - per quanto si cerchi di limitare l'attività di questi servizi. Però ho deciso di fare il possibile per minimizzare le mie tracce online. Poi, un buon servizio VPN offre altre caratteristiche utili: blacklist di siti dannosi, nessun tracciamento delle tue attività, protezione da attacchi Man in the Middle ed altro.

Non voglio parlare di VPN in questo articolo; dico solo che ne sto testando due, a pagamento, che hanno le caratteristiche che mi interessano e un costo abbordabile. Ho scelto due provider che offrono possibilità di installazione a livello router grazie al client VPN integrato nello stesso, requisito per me fondamentale, installabili su diversi client - p.e. un client Android per quando non sono connesso alla rete casalinga -, buon livello di supporto tecnico, numero di server disponibili ed ovviamente impatto minimo sulla connessione. Trascorsi i 30 giorni canonici, sceglierò una delle due e mi avvarrò della possibilità di chiedere rimborso all'altra.

La ragione per cui scrivo questo articolo è che mi è venuto spontaneo pensare non tanto ai costi del prodotto in sè - tra i 30 ed i 40 dollari all'anno -, quanto al tempo che ho dedicato all'analisi ed alla valutazione dello stesso. Non lo definisco tempo perso: ho imparato cose che vanno ad accrescere il mio bagaglio di esperienza, il che è un bene; potrei definirlo tempo che potevo dedicare ad altro, questo sì. Il tempo è denaro, lo sappiamo; soprattutto, "Un dollaro perso si può sempre recuperare, un minuto di tempo perso no" (Citazione di Paperon de' Paperoni, un grande saggio in queste faccende).

Il passo successivo è stato estendere queste considerazioni ad includere tutto il tempo e denaro che ho dedicato per proteggermi. Antivirus? Potrai anche essere un guru dell'informatica, non aprire mai un link sospetto, non visitare nessun sito dannoso, svolgere tutte le attività rischiose in una macchina virtuale, lavorare solo su Linux o quello che ti pare e così via: purtroppo basta una distrazione o un clic del mouse errato per perdere i tuoi file, se vengono crittografati. Se poi anche siti "assolutamente" sicuri diffondono malware... Sapete vero che tempo fa anche il prestigioso New York Times si è trovato a diffondere malware sul proprio sito? Certo l'antivirus non è garanzia assoluta di evitare questi rischi, però è una misura di protezione in più.

Poi, come fare a meno di un software di backup affidabile? Qui non si tratta di Cybersecurity, vero, ma di proteggersi da guasti hardware, cancellazioni accidentali ed anche furti, perchè no. Anche se ultimamente le applicazioni di backup sono molto pubblicizzate proprio come ultima spiaggia contro il Cryptomalware, il che ha anche senso. Il massimo sarebbe un bel backup in cloud per permettere un disaster recovery, ma qui sorgono problemi di connessione - banda in upload limitata - e di costi per uno spazio adeguato.

Ho adottato una soluzione "ibrida", diciamo così: quei dati che sono davvero essenziali, e senza i quali sarei perso, sono regolarmente replicati su servizi cloud gratuiti. La quantità di dati è limitata, qualche GB, ma sono protetto da disastri di ogni tipo. Che non sono poi così impossibili: nel 2012 non ho avuto accesso ai miei sistemi per almeno 2 mesi, causa terremoto.... Considerando che tra questi dati ci sono i file necessari per recuperare le mie password, mi sarei trovato a mal partito per accedere a servizi fondamentali, dall'home banking ai servizi multi-utility. Questo mi fa tornare ai software di backup: per salvare con sicurezza dati così sensibili in cloud, la crittografia è assolutamente indispensabile, oltre ad un software che mi permetta almeno autenticazione a due fattori per accedere ai dati. Poi, per mettere a tacere la mia paranoia, ho suddiviso i dati tra più servizi cloud in modo che per essere recuperati devo accedere a tutti.

Sempre in tema di backup: obbligatorio un NAS con almeno RAID-5 - che non è un backup!! - e una copia dello stesso - questa sì, è un backup! Senza dimenticare che un backup senza test di ripristino è un grosso rischio.

A cosa serve proteggermi dai rischi se non proteggo anche fisicamente i sistemi con un gruppo di continuità? Uno per il NAS, uno per PC e router, uno per lo switch, vorrai mica che vada giù la connessione mentre il NAS sta aggiornando il backup in cloud?!?!

Aggiungiamo a questo che sto testando almeno 3 diversi Personal Firewall in macchina virtuale - pfSense, Smoothwall, Sophos XG Firewall Home Edition. Anche se l'idea di dedicare un ulteriore PC ad uno di questi mi fa venire l'orticaria.

Vogliamo poi parlare dei Password Manager che ho provato? Certo, ne uso uno gratuito, ma ci ho dedicato del tempo... Insomma, una quantità di tempo, se non di denaro, che mi ha dato da pensare. Senza poi considerare che non ho affrontato in alcun modo il tema smartphone o IoT. In conclusione, la Cybersecurity è un bel business: per chi ne fa uso con intenzioni malevole, per chi produce strumenti di sicurezza.

È una fregatura solo per noi utenti. E dobbiamo pure convivere con la consapevolezza che non esiste la sicurezza al 100%.