Fondamenti di sicurezza operativa (OPSEC)

La sicurezza operativa (OPSEC) è il processo di protezione delle informazioni sensibili dagli avversari, che consiste nell'identificare le informazioni critiche, analizzare le minacce e attuare contromisure. Originariamente un concetto militare, oggi è essenziale per professionisti della sicurezza, giornalisti e attivisti.

Il processo formale di OPSEC:

1. Identificare le informazioni critiche — che cosa deve essere protetto?
2. Analizzare le minacce — chi vuole queste informazioni?
3. Analizzare le vulnerabilità — come potrebbero essere esposte?
4. Valutare il rischio — qual è la probabilità e quale l'impatto?
5. Applicare contromisure — ridurre il rischio a un livello accettabile

Singoli elementi di informazione apparentemente innocui possono essere combinati per rivelare dettagli sensibili. Pubblicare separatamente il bar che frequenta, i suoi orari di lavoro, il suo quartiere e il modello della sua auto consente di creare un profilo che la rende un bersaglio. Gli avversari aggregano dati provenienti da fonti aperte trasformandoli in intelligence utilizzabile.

Come ridurre la propria impronta digitale:

• Utilizzi pseudonimi e indirizzi email separati per scopi diversi
• Riduca al minimo l'esposizione pubblica sui social media
• Utilizzi motori di ricerca che tutelano la privacy (DuckDuckGo, Brave)
• Escluda i suoi dati dai siti di data broker
• Controlli regolarmente le autorizzazioni delle app

La compartimentazione separa identità, strumenti e attività per limitare la contaminazione incrociata. Un ricercatore di sicurezza potrebbe utilizzare dispositivi, browser e account email separati per diverse identità o incarichi per clienti diversi.

Scelta dei canali di comunicazione sicuri:

• Signal — messaggistica cifrata end-to-end con messaggi a scomparsa
• ProtonMail — email cifrata
• Eviti l'email per le discussioni sensibili quando possibile
• Consideri che i metadati (con chi parla, quando) sono spesso rivelatori quanto il contenuto

Misure di OPSEC fisica:

• Utilizzi filtri per la privacy dello schermo sui laptop in luoghi pubblici
• Disabiliti microfono e fotocamera quando non sono in uso
• Faccia attenzione allo shoulder surfing negli spazi pubblici
• Utilizzi la cifratura del disco (BitLocker, FileVault, LUKS)
• Distrugga i documenti sensibili

Notevoli fallimenti dell'OPSEC:

• Sabu (LulzSec): ha dimenticato di usare Tor una volta → IP rivelato → arrestato
• Ross Ulbricht (Silk Road): ha usato lo stesso nome utente su più siti, anni prima di creare Silk Road
• Gruppi APT: hanno riutilizzato codice malware o infrastrutture riconducibili a operazioni precedenti

Durante gli incarichi, i pentester applicano l'OPSEC per simulare avversari reali ed evitare di esporre accidentalmente i sistemi dei clienti a veri aggressori:

• Utilizzano VPN o infrastrutture per l'anonimizzazione
• Ruotano le firme degli strumenti
• Ripuliscono gli artefatti dopo i test
• Documentano tutte le azioni per la reportistica

Il livello di OPSEC dipende dal suo modello di minaccia:

• Persona comune: igiene di base delle password + MFA
• Professionista della sicurezza: compartimentazione + cifratura avanzata
• Giornalista/attivista: uso completo di Tor + dispositivi air-gapped per le attività sensibili

Un livello di OPSEC eccessivo senza un modello di minaccia adeguato genera attriti controproducenti.

Un'OPSEC efficace non consiste in una checklist, ma in una mentalità: chiedersi continuamente «quali informazioni sto rivelando, a chi e che cosa possono farne?». Con la pratica, questa autovalutazione in ottica avversariale diventa un'abitudine.

Un analista utilizza lo stesso nome utente su un forum personale di videogiochi, già utilizzato per preparare un'operazione clandestina. Quale principio di OPSEC ha violato?

L'OPSEC protegge le informazioni sensibili attraverso un processo in cinque fasi: identificare le informazioni critiche, analizzare minacce e vulnerabilità, valutare il rischio e applicare contromisure. Tra le pratiche fondamentali figurano la compartimentazione, la riduzione dell'impronta digitale, le comunicazioni sicure (Signal, ProtonMail) e la sicurezza fisica. Il livello di OPSEC dovrebbe corrispondere al modello di minaccia effettivo.