(English version)

IsacaRoma: Salve professor Anderson e grazie per la collaborazione. Alcuni giorni fa lei ha ottenuto l’autorizzazione dall’editore per rendere disponibile sul web la versione elettronica del suo libro "Security Engineering" che quindi può adesso essere scaricato liberamente. Quali i motivi della sua decisione?

Ross Anderson: Ho due obiettivi. In primo luogo desidero raggiungere una audience il più possibile vasta in special modo per quanto riguarda gli studenti meno abbienti. In secondo luogo apprezzo, in modo libertario e pragmatico, i temi della cultura e del software libero; credo che molti editori (ed in special modo chi produce musica e software) abbiamo un atteggiamento troppo difensivo sul tema del copyright. Non mi aspetto di perdere denaro rendendo questo libro gratuito sul web: molta gente lo ha già letto e coloro che leggendolo on line lo troveranno interessante potrebbero anche decidere di comprarne una copia cartacea.

IR: Cos’è il "Security Engineering"?

RA: Il "Security Engineering" riguarda la progettazione e costruzione  di sistemi capaci di rimanere affidabili anche in condizione di attacchi, errori o incidenti. Il "Security Engineering" richiede una expertise multidisciplinaria che spazia dalla crittografia alla computer security e comprende le problematiche di “hardware tamper-resistance”, i metodi formali nonché una conoscenza della psicologia applicata alle organizzazioni, dei metodi di audit e degli aspetti legali. Gli skill relativi al "System engineering", dall’analisi dei processi attraverso il software engineering fino ai metodi di valutazione e testing, sono anch’essi importanti ma da soli non bastano in quanto si occupano degli eventi legati agli errori e agli incidenti ma non agli attacchi.

IR: Il libro è stato scritto nel 2001 e la conclusione era che la protezione delle informazioni nei sistemi informatizzati non è più una disciplina scientifica ma piuttosto una disciplina ingegneristica. Cosa intendeva? Qual è la differenza?

RA: Come ogni altro problema di ingegneria la protezione delle informazioni ha bisogno di solide basi intellettuali, basi che provengono da discipline quali la crittologia, il controllo accessi, l’information flow e la “Signal Detection Theory”. Il "security engineer" deve anche avere basi di management e comprendere i principi di contabilità, di economia ed i processi di business della sua clientela. In fondo l’ingegneria consiste nell’applicare la scienza ai vincoli del business.
Il "System engineering" ha anche a che fare con l’imparare dall’esperienza e nel mio libro ho raccolto una serie di casi in cui i sistemi di sicurezza hanno fallito. Dobbiamo imparare da tali fallimenti, così come gli ingegneri civili imparano più da quei pochi ponti che cadono piuttosto che da quelli (la maggioranza) che stanno su.

IR: Grazie professore.

Security Engineering – I capitoli del libro

1. What is Security Engineering?
2. Protocols
3. Passwords
4. Access Control
5. Cryptography
6. Distributed Systems
7. Multilevel Security
8. Multilateral Security
9. Banking and Bookkeeping
10. Monitoring Systems
11. Nuclear Command and Control
12. Security Printing and Seals
13. Biometrics
14. Physical Tamper Resistance
15. Emission Security
16. Electronic and Information Warfare
17. Telecom System Security
18. Network Attack and Defense
19. Protecting E-Commerce Systems
20. Copyright and Privacy Protection
21. E-Policy
22. Management Issues
23. System Evaluation and Assurance
24. Conclusions
25. Bibliography

IsacaRoma newsletter link

• Intervista a Ross Anderson 
• Interview with Ross Anderson (in lingua inglese) 
• Ross Anderson: Perché la sicurezza delle informazioni è ardua - Una prospettiva economica 
• Ross Anderson presenta WEIS 2006 
• Ross Anderson on WEIS 2006, the fifth Workshop on the Economics of Information Security (WEIS 2006) (in lingua inglese) 
• Privacy in the Digital Age 
• Bruce Schneier: Questions & Answers (in lingua inglese) 
• Bruce Schneier: domande e risposte 
• Bruce Schneier: le vulnerabilità dei software e le responsabilità