Banche centrali, uno studio BRI valuta gli ambienti di esecuzione protetta

Il paper esamina come proteggere i dati mentre vengono elaborati e quali limiti hanno le garanzie hardware.

La Banca dei regolamenti internazionali ha pubblicato il paper numero 173 sugli ambienti di esecuzione attendibili, o TEE, applicati alle attività delle banche centrali. Si tratta di tecnologie che isolano una porzione dell’elaborazione informatica e puntano a proteggere i dati mentre sono effettivamente utilizzati. La protezione dei dati memorizzati o trasmessi è una questione diversa: quando un programma deve elaborare informazioni sensibili, queste diventano accessibili almeno all’ambiente nel quale opera.

Gli autori descrivono tre proprietà ricercate: autenticità del codice eseguito, integrità dell’ambiente durante il funzionamento e riservatezza dei dati trattati. Il fondamento è un insieme delimitato di componenti hardware e software cui si attribuisce fiducia. Ridurre e controllare tale insieme può essere utile quando più istituzioni devono lavorare su informazioni delicate senza concedere agli operatori un accesso più ampio del necessario.

Il paper non presenta i TEE come una soluzione universale. Il risultato dipende dall’architettura, dalla qualità dell’implementazione e dalla capacità di controllare che il codice eseguito sia proprio quello approvato. Vanno inoltre considerati i rischi tecnici, la gestione delle chiavi, gli aggiornamenti e le responsabilità di chi produce e amministra i componenti. Una protezione dichiarata dal dispositivo non sostituisce le regole di accesso, la supervisione e la valutazione indipendente della sicurezza.

Per una banca centrale il possibile impiego riguarda attività nelle quali la riservatezza dei dati in uso deve convivere con verificabilità e collaborazione. La conclusione pratica della ricerca è condizionale: la tecnologia può essere utile in casi ben definiti, se l’adozione non amplia in modo opaco il numero dei soggetti da cui dipende la fiducia. Le opinioni espresse nel lavoro sono degli autori e non rappresentano necessariamente la posizione della BRI o delle banche centrali aderenti.