Definizione di un linguaggio per la specifica e la gestione di politiche di sicurezza avanzate

Nell'ambito della gestione delle politiche di sicurezza negli ultimi anni è andata sempre più affermandosi la necessità di esprimere i vincoli di protezione dei dati, non più solo come condizioni che comportano decisioni, ma anche come azioni da svolgere proprio per la salvaguardia dei dati. Nel mondo degli applicativi per il web, ad esempio, questo problema ha assunto una dimensione critica in quanto sempre più dati personali sono esposti e quindi alla mercè di un numero potenzialmente esponenziale di malintenzionati.
Per questo motivo sono state introdotte le provision e le obligation, che
sono definite come condizioni ed azioni che devono essere soddisfatte, rispettivamente, prima e dopo una decisione riguardante i dati.
Lo scopo di questo lavoro di tesi è trovare un metodo semplice di classificazione, rappresentazione, esecuzione e controllo delle obligation. L'approccio con i problemi derivanti dalla definizione e relativa esecuzione delle obligation ha reso necessaria una categorizzazione delle obligation. Partendo da questa suddivisione siamo riusciti a focalizzare i problemi riguardanti ogni singolo gruppo di obligation. L'individuazione delle problematiche di applicazione ha portato alla definizione di funzione obligation, ovvero alla rappresentazione delle obligation non più solo come verifica di condizioni, ma come un insieme di condizioni e di azioni che devono essere eseguite per soddisfare l'obligation stessa. Il passo successivo è stato quello di consentire all'utente di creare nuove funzioni obligation tramite la specifica di parametri che può essere realizzata in modo semplice, ad esempio, tramite un'opportuna interfaccia grafica.
È altresì importante osservare che l'uso e l'applicazione di questi nuovi oggetti necessita di un'architettura dedicata che risponda a tutte le esigenze di un sistema che le usi e ne mantenga il controllo. A tale scopo, durante il lavoro di tesi sono state analizzate e studiate le architetture proposte in letteratura e si è cercato di individuare i componenti in esse comuni. Il risultato di questa analisi ha portato alla proposta di un'architettura che soddisfa le richieste circa la gestione delle obligation individuate durante la prima fase di lavoro. Per chiarire tutte le assunzioni fatte e il funzionamento del sistema abbiamo applicato l'approccio proposto ad un caso di studio. L'esempio preso in esame è il Sistema Informativo Socio-Sanitario (SISS), già da tempo in fase d'implementazione da parte della Regione Lombardia. Abbiamo quindi rimodellato l'archittettura del SISS sulla base della nostra, basata sul concetto di obligation.