Dati sensibili in chiaro
Informazioni personali o credenziali memorizzate o trasmesse senza protezione.
home / risorse / vulnerabilità / A04
OWASP Top 10 2025 · posizione 4
Fallimenti crittografici (OWASP A04)
I dati sensibili non sono protetti come dovrebbero, in transito o a riposo. Nel 2025 la categoria scende dal secondo al quarto posto, ma resta frequente.
cos'è
Il difetto sta spesso nella scelta.
La cifratura c'è, ma usa un algoritmo superato, una chiave conservata nel posto sbagliato o un protocollo mal configurato. Il dato sembra protetto, ma non lo è.
Va distinta dal controllo degli accessi: un dato cifrato resta leggibile a chi possiede la chiave o è autorizzato a leggerlo.
forme comuni
Quattro situazioni tipiche.
Algoritmi superati
Funzioni di cifratura o di hash non più considerate sicure.
Chiavi nel posto sbagliato
Chiavi conservate nel codice, accanto ai dati o senza rotazione.
Protocolli deboli
Certificati non validi o versioni di protocollo che non dovrebbero essere accettate.
impatto tipico
Cosa può succedere all'azienda.
Dati personali intercettati
Informazioni di clienti o dipendenti leggibili da chi osserva il traffico.
Credenziali compromesse
Password o token conservati in modo recuperabile.
Obblighi di notifica
Con il GDPR, la perdita di dati personali può far scattare la notifica.
Perdita di fiducia
Un cliente che scopre un dato in chiaro difficilmente rinnova.
come lo verifichiamo
Si parte dalla mappa dei dati sensibili.
Mappa dei dati
Si individuano dove vivono i dati sensibili, in transito e a riposo.
Protocolli di trasporto
Si verificano versioni, certificati e configurazioni del canale.
Algoritmi e chiavi
Si controllano gli algoritmi usati e la gestione delle chiavi.
Revisione
Una persona valuta quali dati richiedono una correzione prioritaria.
come si corregge
Cifrare bene conta più che cifrare molto.
Da fare
- Cifrare i dati sensibili a riposo e in transito
- Usare algoritmi e librerie aggiornate
- Tenere le chiavi separate dai dati
- Pianificare la rotazione delle chiavi
Da evitare
- Creare un algoritmo proprio
- Dati sensibili nei log o nei messaggi di errore
- Accettare certificati senza verificarli
La cifratura non sostituisce il controllo degli accessi. Un utente autorizzato a leggere certi dati li legge comunque, anche se sono cifrati. Le due categorie vanno verificate insieme.
Vuoi sapere dove i dati sensibili sono davvero protetti?
La mappa dei dati è il primo passo di ogni revisione.