Il ripristino è terminato una domenica sera. Il martedì i libri contabili si riaprono, i contratti sono tornati nelle loro cartelle e il responsabile finanziario è in chiamata con il revisore. Il revisore pone la domanda a cui il software di backup non sa rispondere: come sappiamo che questi file sono gli stessi che avevate prima dell'incidente?
Un backup mostra ciò che avete adesso. Non mostra che nulla sia cambiato tra l'ultima copia pulita e quella che avete ripristinato. Se qualcuno è stato nella rete per giorni prima dell'avvio della cifratura, un file ripristinato può già contenere una modifica che nessuno ha notato.
Cosa un file ripristinato non può provare da solo
Un PDF estratto da un backup porta una data di modifica scritta dal computer che lo ha salvato per ultimo. Quella data può essere impostata a qualsiasi valore. Il file non conserva traccia di come appariva il mese scorso, e nessun terzo ne garantiva allora il contenuto. La vostra parola che corrisponde è l'intero caso.
Il diritto contabile svizzero si aspetta di più. L'articolo 3 dell'Ordinanza sui libri di commercio (Olc) richiede che i libri e i documenti contabili siano conservati in modo da non poter essere modificati senza che ciò sia rilevabile. L'articolo 9 capoverso 1 lettera b ammette i supporti d'informazione modificabili a condizione che procedure tecniche garantiscano l'integrità delle informazioni memorizzate e che il momento della memorizzazione sia dimostrabile in modo non falsificabile; l'ordinanza cita essa stessa le procedure di firma digitale e le marche temporali come esempi. L'articolo 10 aggiunge controlli regolari dell'integrità e della leggibilità dei supporti e un verbale di ogni migrazione, conservato insieme ai dati.
Un ripristino sposta dati da un supporto a un altro, e il criterio dell'articolo 10 è quello che il vostro revisore applicherà: i dati sono stati ripresi in modo completo e corretto, e potete dimostrarlo?
Cosa aggiunge un sigillo
Quando un documento viene sigillato su Swiss Trust Layer, viene calcolata un'impronta crittografica del file. Quell'impronta, non il file, viene inviata a Swisscom Trust Services, il prestatore di servizi fiduciari qualificato, che la firma con una chiave che non lascia mai il suo hardware. La firma porta una marca temporale secondo RFC 3161 ed è incorporata nel PDF. Il file originale non viene alterato. Ogni versione sigillata di una cartella riceve inoltre un certificato di prova che elenca ogni file con la sua impronta e l'ora di sigillatura in UTC.
Secondo l'articolo 41, paragrafo 2, del regolamento eIDAS, una validazione temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora che indica e di integrità dei dati ai quali la data e l'ora sono associate. La marca temporale prova che esattamente questo file esisteva in quel momento e non è cambiato da allora. Non prova chi lo ha scritto, se il suo contenuto è vero o chi ne detiene i diritti. Per una questione di integrità dopo un ripristino, è proprio questa affermazione ristretta quella di cui avete bisogno.
La verifica dopo un ripristino
Prendete la copia ripristinata di un PDF sigillato e caricatela nel validatore pubblico su swisstrustlayer.com/validate. Nessun account, nessuna registrazione. Controlla la catena di firma, l'autorità di certificazione emittente, la scadenza del certificato e l'integrità della marca temporale, poi riferisce chi ha firmato, quando, con quale certificato e se il contenuto è stato modificato dopo la firma. Elabora i metadati della firma e non conserva il documento.
Se il file ripristinato è intatto, il validatore lo dice, e la marca temporale colloca quello stato prima dell'incidente. Se qualcosa è cambiato, l'impronta non corrisponde più e il validatore segnala una modifica dopo la firma. In entrambi i casi la risposta non poggia sulla vostra rassicurazione, e una banca, un assicuratore, una controparte o un revisore possono eseguire la stessa verifica sulla propria macchina.
Il limite, detto chiaramente
Questo aiuta per i file sigillati prima dell'incidente. Per nient'altro.
Sigillare un file dopo il ripristino prova come appariva quel file il giorno in cui lo avete sigillato, e mostrerà ogni modifica da quel giorno in poi. Non dice nulla delle settimane precedenti. Se un documento è stato alterato durante l'intrusione e poi sigillato sul sistema pulito, il sigillo fissa la versione alterata. Una marca temporale non può essere aggiunta a ritroso. Per tutto ciò che non è stato sigillato prima, tornate alla vostra parola e ai log di backup, e la mossa sensata è iniziare a sigillare adesso.
Quali documenti sigillare, e quando
Sigillare tutto non è il punto. I documenti che un revisore o una controparte chiederanno formano una lista breve, e la maggior parte si chiude secondo un calendario:
- I libri di chiusura e le esportazioni alla loro base, a ogni fine mese, fine trimestre e fine anno.
- I contratti firmati, non appena l'ultima firma è apposta.
- I verbali del consiglio di amministrazione, una volta firmati dal presidente e dal verbalizzante.
- Le politiche e le procedure, a ogni revisione approvata.
- I manifesti di backup, l'inventario di ciò che ogni esecuzione di backup contiene. Dopo un ripristino, un manifesto sigillato mostra quale set di backup avete usato e che il suo inventario non è stato modificato da allora.
Ogni cartella sigillata su Swiss Trust Layer conserva una cronologia delle versioni. Una nuova versione può essere aggiunta e sigillata separatamente, con il proprio certificato e una nota, così una cartella di fine mese può contenere dodici versioni sigillate entro fine anno.
Conservate l'originale sigillato altrove
Il sigillo copre un'impronta del vostro documento, quindi anche il file sigillato e il suo certificato devono sopravvivere all'incidente. Se il ransomware raggiunge la cartella in cui si trovano i PDF sigillati, l'impronta non può ricostruirli. Conservate entrambi in un secondo luogo, lontano dai sistemi più esposti.
Il portale offre ESCROW Storage come scelta di archiviazione opzionale, ospitata in Svizzera e legata all'identità verificata del titolare dell'account. Le cartelle sigillate depositate lì ricevono un ESCROW ID per il recupero. Swisscom Trust Services fornisce l'archiviazione, ProLitteris gestisce l'escrow, Swiss Trust Layer fornisce la tecnologia. Se nell'incidente vengono perse tutte le credenziali, l'identità può essere verificata di nuovo, online o di persona tramite un agente KYC, e l'accesso ripristinato.
Un passo questa settimana
L'articolo 10 chiede controlli di integrità regolari e un verbale di ogni migrazione. Dopo ogni ripristino, passate i file sigillati nel validatore, registrate i risultati e conservate quella registrazione insieme ai dati.
Poi scegliete il documento che meno vorreste difendere a memoria. L'ultimo libro di chiusura è un buon candidato. Sigillatelo, mettete il file sigillato e il suo certificato dove il prossimo incidente non può arrivare, e segnate la prossima fine mese in calendario. Il meccanismo completo è descritto in come funziona.
Sigillate il vostro primo documento su Swiss Trust Layer e date una risposta alla prossima domanda.
