Sicurezza di livello militare e di livello corporate: quali sono le differenze?

Leader mondiale nella produzione di drive USB e SSD esterni con crittografia hardware, Kingston offre con la sua linea di prodotti IronKey due livelli di sicurezza: corporate e militare.

Ma in cosa differiscono queste definizioni e come fanno gli acquirenti a sapere quale dei due livelli di sicurezza rappresenta la scelta più prudente per i loro dati sensibili?

Si potrebbe pensare che il primo dei due livelli sia più adatto ad aziende e soluzioni aziendali e che l'altro sia destinato all'uso da parte delle agenzie governative; ma in realtà, la differenza non è così netta.

Il settore e la natura dei dati trattati potrebbero dettare esigenze diverse tali da dover richiedere livelli di sicurezza diversi. La corretta definizione di queste differenze può aiutare organizzazioni e consumatori a capire come questi livelli si adattino alle loro esigenza.

Sicurezza di livello corporate

Progettati per professionisti e aziende che necessitano di proteggere i dati in transito, questi drive partono dalla certificazione FIPS 197. Questa certificazione viene rilasciata dall'agenzia governativa statunitense NIST (National Institute of Standards and Technology) a seguito del superamento di test di laboratorio appositamente previsti per certificare la corretta implementazione della crittografia AES a 256 bit in modalità XTS.

L'obiettivo è quindi quello di dimostrare che il drive, avendo implementato correttamente gli algoritmi di crittografia AES, può garantire il livello di sicurezza connesso all'utilizzo della crittografia AES a 256 bit in modalità XTS. I drive SSD esterni Vault Privacy 50 e Vault Privacy 80 di Kingston hanno conseguito la certificazione FIPS 197. La linea Vault Privacy di Kingston è utilizzata e apprezzata da un numero di professionisti e aziende maggiore in tutto il mondo rispetto a qualsiasi altro drive USB equivalente dotato di crittografia hardware.

• Certificazione FIPS 197: viene rilasciata dall'agenzia governativa statunitense NIST. Prevede il superamento di test di laboratorio appositamente previsti per certificare la corretta implementazione della crittografia AES a 256 bit in modalità XTS, uno standard fondamentale per che consente di ottenere una crittografia dei dati affidabile.
• Crittografia hardware: i drive SSD esterni Vault Privacy serie 50 e 80 di Kingston utilizzano la crittografia basata su hardware per proteggere i dati memorizzati nel dispositivo. Questi drive sono tra i più utilizzati dai professionisti e dalle aziende di tutto il mondo, in quanto non possono essere violate come accade per i drive USB con crittografia software.

Domande frequenti sul livello di sicurezza

Come faccio a sapere se la mia azienda necessita di sicurezza di livello corporate o militare?

La sicurezza di livello corporate è adatta ai dati aziendali standard, come le informazioni sui dipendenti, i record dei clienti, le transazioni finanziarie e le comunicazioni aziendali. Per i dati di maggior valore o altamente sensibili, come la proprietà intellettuale, è consigliabile un livello di sicurezza militare.

Cosa significa certificazione FIPS 197 e come garantisce la sicurezza dei dati? La certificazione FIPS 197 attesta la corretta implementazione dell'algoritmo di crittografia AES a 256 bit in modalità XTS, garantendo la protezione dei dati presenti nel drive da accessi non autorizzati. Attesta che ci si può fidare del fornitore del drive.

In che modo i drive ottengono le certificazioni?

Prendiamo ad esempio il drive IronKey Keypad 200: questa unità è approdata al mercato nel 2022, dopo un anno di sviluppo, in cui è stato più volte modificato il firmware del controller insieme a modifiche di altro tipo, e un ulteriore anno trascorso nei laboratori autorizzati dal NIST per i test di certificazione previsti per lo standard FIPS 140-3 Livello 3. Anche il drive IronKey D500S, lanciata a settembre 2023, ha impiegato un totale di due anni per approdare al mercato. Queste rigorose procedure di certificazione includono anche l'esame del codice, per assicurarsi che l'autenticazione dei drive e la gestione delle chiavi siano implementate correttamente, in linea con quanto previsto da questo standard di livello militare. Inoltre, il rivestimento epossidico e l'involucro esterno del drive vengono controllati separatamente per verificare la resistenza alla manomissione.

Cos'è il test di penetrazione e perché è importante?

Un altro aspetto che certifica la sicurezza di livello corporate dei drive VP50 di Kingston lo si ritrova nei test condotti da SySS, un'azienda leader indipendente nell'esecuzione di test di penetrazione. Le best practice di sicurezza informatica prevedono l'esecuzione di test di penetrazione, o pen-test, in cui un'azienda ingaggia una terza parte, incaricandola di cercare di attaccare un'unità e comprometterne la sicurezza al fine di accedere ai dati in essa memorizzati. I drive della serie VP50 hanno ottenuto la certificazione Approved Security rilasciata dagli esperti di testi di penetrazione della SySS. Si tratta di una certificazione che garantisce ai clienti l'effettivo conseguimento delle credenziali di sicurezza di livello corporate dei drive della serie VP50, assicurando loro che i drive sono stati sottoposti a test indipendenti che ne hanno accertato la capacità di offrire una robusta protezione contro potenziali vulnerabilità e accessi non autorizzati.

In cosa differisce la certificazione FIPS 140-2 o 140-3 di livello 3 dalle certificazioni precedenti, come la FIPS 197?

Le certificazioni FIPS 140-2/3 di livello 3 stabiliscono uno standard di sicurezza significativamente più elevato rispetto a FIPS 197 - dal momento che le certificazioni FIPS 140 rappresentano un sottoinsieme del FIPS 197, per cui sono previsti test di laboratorio e processi di certificazione molto più dettagliati, che possono necessitare anche di un anno o più per essere completati con successo. Infatti, per le certificazioni FIPS 140-2 e 140-3 di livello 3 sono previsti molti più parametri di sicurezza, che vengono controllati e testati, oltre a requisiti operativi più stringenti sul processore sicuro e sulla resistenza alle manomissioni.

Qual è lo standard di sicurezza più elevato disponibile per un drive USB?

La certificazione FIPS 140-3 di livello 3 garantisce uno standard di sicurezza molto elevato per i drive USB con crittografia hardware e sono disponibili a un costo ragionevole, ma esistono soluzioni di sicurezza ancora più elevate, come i drive USB con crittografia hardware IronKey S1000. Questo drive, progettato da Kingston IronKey per usi governativi e aziendali, integra un cryptochip separato (una smart card) per la memorizzazione dei parametri di sicurezza critici (CSP).

Il design di questa smart card migliora notevolmente la sicurezza contro la manomissione dei componenti, con protezioni a livello di chip, in grado di autodistruggere il crypto-chip se viene rilevato un certo numero di attacchi. L'S1000 dispone infatti di una funzione di autodistruzione, configurabile in modo tale che, al rilevamento di un attacco Brute Force, il drive si "blocchi" e diventi permanentemente inutilizzabile. Sebbene i drive S1000 siano stati certificati in conformità di uno standard precedente, rimarranno disponibili nel portafoglio IronKey di Kingston, trattandosi di un drive standard utilizzato da molti enti governativi e militari, oltre che da numerose aziende.

I drive IronKey di livello corporate offrono uno standard di sicurezza avanzato, ben superiore a quello dei drive di base con crittografia software e, per chi necessita di funzioni di mitigazione dei rischi ancora più elevate, è possibile scegliere drive di livello militare, che rispettano uno standard ancora più elevato. I drive IronKey possono garantire i più alti livelli di protezione dei dati disponibili oggi sul mercato, garantendo valore e misure di sicurezza scalabili per qualsiasi organizzazione, qualunque sia il livello di sicurezza scelto.