Spamming via fax ? Cosa fare per evitarlo

Le comunicazioni via fax di natura commerciale o promozionale rientrano nell'ambito delle comunicazioni elettroniche indesiderate (spam) quando avvengono senza il consenso del soggetto interessato.

Per inciso questo vale anche per la posta elettronica, gli sms e gli mms: è quanto si trova infatti enunciato nell'articolo 130, 1° e 2° comma, del codice della privacy, attraverso il quale è stata data attuazione alla direttiva 2002/58/CE.

Nonostante il tenore abbastanza chiaro della norma, il relativo principio è molto spesso disatteso nella pratica e una delle giustificazioni più ricorrenti è quella della reperibilità dei recapiti elettronici in elenchi, registri o banche dati online pubbliche.

Questa tesi è completamente erronea e ciò è stato confermato più volte dal garante della privacy con provvedimenti differenti, l'ultimo dei quali è proprio relativo allo spam via fax.

Cerchiamo allora di ribadire un unico ma importante concetto:

1. il consenso dell'interessato è necessario anche quando i suoi recapiti sono estratti da elenchi categorici (pagine gialle, registri e banche dati online pubbliche, ecc...)

In mancanza del consenso l'invio di materiale pubblicitario determina un trattamento illecito dei dati con tutte le responsabilità del caso.

Dunque cosa è necessario fare per poter agire nel rispetto delle prescrizioni ?
La risposta è molto semplice: acquisire il consenso del soggetto interessato.

Con quali modalità può essere acquisito il consenso e quali caratteristiche deve avere ? In qualsiasi modo valido e, preferibilmente, attraverso un contatto telefonico, sempre che esso sia:

1. acquisito prima della comunicazione (non è quindi valida una comunicazione via fax contenente una richiesta di consenso, quando essa abbia già un contenuto promozionale)
2. informato e specifico, cioè fornito proprio con riferimento alla fattispecie della comunicazione commerciale

Corso online (gratuito) su direct marketing e privacy

Convenzione di Budapest - Legge 18 Marzo 2008, n. 48

| View | Upload your own

Come rendere più sicure le password ?

Le password rappresentano, ancora oggi, uno dei metodi di autenticazione più utilizzati e, purtroppo, meno sicuri per accedere a sistemi informatici di varia natura.

Alcuni di questi sistemi (postazioni di lavoro, fisse e mobili, server aziendali, posta elettronica) ci permettono di gestire, direttamente o tramite soggetti incaricati, i dati personali altrui (clienti, fornitori, ecc...); altri, invece, rendono possibile un accesso ai nostri dati (social network), alle nostre risorse finanziarie (e-banking) oppure ai contenuti che creiamo e diffondiamo sulla rete (blog, sito web, ecc...).

Fatto sta che in tutti questi casi la riservatezza e l'integrità delle nostre e delle altrui informazioni viene a dipendere molto dal livello di sicurezza della componente di autenticazione della classica coppia userid/password.

Per rendere le password meno sensibili agli attacchi di guessing e brute-forcing e ridurre il rischio o mitigare gli effetti di una loro eventuale compromissione si possono adottare alcune contromisure:

1. lunghezza adeguata (dovrebbe essere variabile in relazione alla sensibilità delle informazioni da proteggere ma una buona base di partenza potrebbe essere di 8 caratteri)
2. differenziazione (una password diversa per ogni sistema, non la stessa per tutti i sistemi !)
   
3. estraneità con qualsiasi parola esistente in un normale vocabolario o riconducibile al soggetto (dimenticate i nomi di coniugi, figli, date di nascita, targhe di automobili, ecc..)
   
4. composizione alfanumerica (numeri e lettere con l'aggiunta di eventuali segni di interpunzione) con caratteri misti (maiuscole e minuscole)
   
5. custodia adeguata
   
6. modifica frequente

Molte persone che conosco o con le quali entro in contatto sono restie ad applicare questi accorgimenti.
In particolare i parametri di lunghezza, differenziazione e composizione rendono la generazione e la conservazione delle credenziali un vero e proprio incubo, con tutte le conseguenze negative del caso (password identiche, facili da indovinare, per di più scritte su fogli di carta, post-it, fogli excel, ecc...).

Non bisogna neanche dimenticare le responsabilità legali: chiunque tratta dati personali è infatti obbligato a rispettare le prescrizioni minime (e non solo !) dettate per la sicurezza dei dati dal d.lgs. 196/03, tra le quali rientrano appunto determinati requisiti di lunghezza, composizione e conservazione delle password di autenticazione.

Sulla rete sono disponibili diversi software utilizzabili per assicurare la conformità con questi requisiti/misure: uno di questi è Keepass gratuito e rilasciato con licenza open source.

Keepass è un gestore che memorizza le password all'interno di un database, costituito da un file crittografato con una chiave scelta dall'utente (master key).

Lo schema di cifratura adottato è l'AES (lo standard utilizzato dal governo U.S.A) oppure Twofish.

Il principale vantaggio è che l'utente deve ricordare una sola password, quella per accedere al database nel quale possono essere conservate tutte le altre credenziali, relative ai servizi/sistemi più disparati.

Alcune caratteristiche apprezzabili di Keepass sono:

1. la leggerezza del programma in termini di risorse utilizzate
2. la facilità d'uso (esiste anche una versione portabile per l'uso immediato con dispositivi removibili come le chiavette usb)
   
3. la presenza di plugin di estensione delle funzionalità
   
4. la presenza di un modulo per la generazione di password che rispettino i requisiti di complessità impostati dall'utente
   
5. la possibilità di memorizzare le password per categorie (internet, email, e-banking, ecc...) e di fissarne una scadenza
   
6. la notifica delle password scadute
7. il controllo di altri aspetti come, ad esempio, la pulizia automatica della clipboard trascorsi un certo numero di secondi
   

Ovviamente in un sistema del genere il principale punto debole è costituito dalla master key che deve essere particolarmente robusta ed adeguatamente custodita per evitare l'accesso non autorizzato all'intero database della credenziali.

Convenzione di Budapest: la legge di ratifica è in gazzetta ufficiale

Nella gazzetta ufficiale n. 80 del 4/4/2008 - Suppl ordinario n. 79 è stata pubblicata la legge 18 marzo 2008, nr. 48 di ratifica ed esecuzione della convenzione di Budapest del 2001 concernente la criminalità informatica.

La legge prevede alcune modifiche ai codici penale e di procedura penale, al decreto legislativo 231/2001 (responsabilità degli enti da reato) ed al decreto legislativo 196/2003 (codice della privacy).

Per quanto riguarda le varie ipotesi di reato, oltre alla "Diffusione di programmi diretti a danneggiare o interrompere un sistema informatico o telematico", vengono punite alcune condotte specifiche di danneggiamento dei sistemi informatici, la falsa dichiarazione o attestazione al certificatore di firma elettronica e la frode informatica del certificatore di firma elettronica.

Le modifiche al decreto legislativo 231/2001 riguardano nuove ipotesi di responsabilità degli enti e delle società nel caso di commissione, da parte dei soggetti apicali o sottoposti a vigilanza e controllo, dei seguenti reati:

1. tutte le nuove fattispecie previste
   
2. accesso abusivo ad un sistema informatico o telematico
   
3. detenzione o diffusione abusiva dei codici di accesso a sistemi informatici o telematici
   
4. intercettazione, impedimento o interruzione illecita di comunicazioni informatiche e telematiche
   
5. installazione di apparecchiature atte ad intercettare, impedire od interrompere comunicazioni informatiche o telematiche
   

Oltre alle sanzioni pecuniarie, nei casi di condanna potranno essere applicate le sanzioni interdittive.

Alla luce di queste ultime modifiche gli enti e le società avranno l'onere di modificare o adottare nuovi modelli organizzativi e di controllo che prendano in adeguata considerazione i rischi di commissione dei reati informatici ed adottino le opportune contromisure per prevenirli.

La legge è entrata in vigore a partire dal 5/4/2008.

Clustering e mappe mentali: un connubio vincente

Ho da poco terminato di leggere "Business Writing" di Alessandro Lucchini, un ottimo libro che consiglio a chiunque si occupi di scrittura professionale.

Tra le varie tecniche illustrate per migliorare l'efficienza del processo di scrittura, la prima che mi ha colpito e che ho cominciato ad applicare è stata quella del clustering.
Il clustering è una tecnica di pre-writing che consente di superare i limiti del modo di organizzare i pensieri attraverso la tradizionale "scaletta".

In effetti, mentre quest'ultima costringe ad esplorare i pensieri in modo sequenziale, limitando la fase di creatività in quanto i pensieri non rispettano un ordine predeterminabile, il clustering consente invece di sviluppare le idee, così come si presentano, secondo la naturalezza derivante dalle associazioni logiche.

Mettere i pratica questa tecnica richiede inizialmente un semplice foglio di carta ed una matita ed è abbastanza semplice:

1. collocare al centro l'idea da sviluppare e racchiuderla in un cerchio
2. registrare con una o due parole, sempre racchiuse in un cerchio, i vari pensieri associati all'idea
   
3. congiungere con una linea ogni cluster di parole con quello che l'ha generato
4. fare gli aggiustamenti: unire più cluster, dividerne uno in più piccoli, eliminare quelli che non si desidera utilizzare, ecc...
   
5. individuare il primo ed il secondo cluster per importanza e marcarli rispettivamente con una I (Inizio) ed F (Fine)
6. assegnare ai cluster rimanenti un ordine numerico sulla base dei criteri ritenuti più opportuni (ordine crescente o descrescente, cronologia, importanza, ecc...)

Il risultato finale consiste nella naturale trasposizione della creatività in un ordine sequenziale di argomenti da sviluppare con la scrittura vera e propria.

Una volta compresa e sperimentata l'efficienza di questo metodo di lavoro possiamo anche avvalerci dell'ausilio di strumenti software.

Credo che uno degli strumenti più utili a tale proposito possa essere Freemind, un software multipiattaforma rilasciato con licenza GPL, che permette di creare e gestire le cd. mappe mentali per la generazione e la rappresentazione delle idee e del pensiero mediante associazioni.

In questo modo possiamo sfruttare tutta la potenza della tecnica citata organizzando digitalmente i nostri pensieri !

Software: i dati dei clienti a rischio nel test delle applicazioni

Mi sono imbattuto in un sondaggio realizzato da Compuware e Ponemon ove vengono riportati i risultati di una recente ricerca sulla natura dei dati impiegati nello sviluppo e nel test delle applicazioni software.

Sulla base di questi risultati sembrerebbe che il 64% delle aziende europee intervistate utilizzi, nel corso di questi test, dati reali dei clienti al posto di dataset fittizi o, se preferite, anonimizzati.
Per la verità, anche in virtù di passate esperienze, sospetto che questa percentuale, almeno per quanto riguarda l'Italia, sia molto superiore.

Qualcuno a questo punto potrebbe obiettare che non c'è nulla di strano perchè nessuno è interessato a questi dati, perchè i test vengono condotti in ambienti separati rispetto a quelli di produzione (anche qui ho delle forti perplessità e, comunque, è peggio che andar di notte, vista la scarsità di misure di protezione che, generalmente, affligge i primi) eccetera, eccetera...

Ovviamente quando passiamo all'esame della reale tipologia dei dati ci troviamo di mezzo un pò di tutto, quindi non soltanto dati anagrafici, recapiti telefonici, elettronici e quant'altro, ma anche numeri di carte di credito, numeri di previdenza sociale, e chi più ne ha più ne metta.

Come se non bastasse il 42% del campione intervistato esternalizza i test ed il 60% condivide con l'organizzazione in outsourcing i dati reali.

Chissà quante di queste "condivisioni" sono citate nelle informative e sono oggetto di consenso specifico ?
Posso già immaginarmelo: "Gentile cliente...la informiamo che i suoi dati più riservati verranno utilizzati durante i test di applicazioni software...non meglio precisate e saranno condivisi con organizzazioni esterne...ma comunque sempre nel rispetto della normativa vigente..."

Infine, per concludere, più di un terzo del campione (35%) non riesce a rendersi conto del fatto che i dati sono stati eventualmente compromessi, il 45% dichiara esplicitamente che questi dati sono soggetti a smarrimento o furto ma, nonostante tutto, il 50% non adotta alcuna procedura per la protezione delle informazioni.

Con buona pace, non soltanto di ogni normativa in materia, ma anche di qualunque elementare forma di buon senso (per favore non chiamiamola sicurezza, significherebbe scomodare un concetto troppo elevato !) .

Social network e privacy: quali sono i rischi per i dati personali ?

Youtube, MySpace, Facebook, Linkedin sono soltanto i nomi di alcune delle più note piattaforme di social network, un fenomeno socio-tecnologico di grande interesse, contraddistinto da elevatissimi tassi di crescita degli utenti.

Ma perchè queste piattaforme riscuotono così tanto successo ?
E, soprattutto, quali rischi presentano per la sicurezza e la riservatezza dei nostri dati personali ?

Diversi sono i fattori che influenzano il successo dei social network:

• la possibilità di instaurare nuove relazioni ed interagire con individui anche molto distanti da noi
• la presenza di strumenti ed infrastrutture che facilitano la collaborazione online
• l'idoneità a supportare la nascita e lo sviluppo di nuove iniziative e relazioni di business
• il senso di intimità nelle relazioni tra gli utenti
• la garanzia per gli utenti di esercitare un certo controllo sui dati generati
  

D'altra parte, come sempre accade, questi vantaggi hanno anche un rovescio della medaglia: proprio a causa del falso senso di intimità, gli utenti di queste reti manifestano la propensione a rivelare informazioni personali con più facilità rispetto a ciò che accade in una relazione tradizionale, dimostrandosi nel contempo poco selettivi nella scelta delle persone con le quali allacciare nuovi contatti.
I social network stanno inoltre vivendo un periodo di intenso sviluppo commerciale, dominato dalla necessità di catturare l'attenzione e l'interesse di nuovi utenti: questo si traduce, spesso, in una scarsa attenzione verso le problematiche relative alla sicurezza ed alla privacy.
Infine molti degli aspetti che andremo ad analizzare non risultano adeguatamente regolamentati nell'ambito delle normative comunitarie e nazionali, emanate in periodi in cui il fenomeno era ancora poco noto.

Partendo da una ricerca dell'Enisa (agenzia europea per la sicurezza delle reti e delle informazioni), i principali rischi che, allo stato attuale, le piattaforme di social network pongono con riferimento ai dati personali degli utenti possono essere classificati in:

1. rischi relativi alla riservatezza dei dati
2. rischi concernenti le identità digitali
3. rischi di natura tecnologica
4. rischi di natura sociale
   

In questo post ci soffermiamo sui rischi del primo tipo che, generalmente, hanno come presupposti la mancanza, la scarsa trasparenza o l'ambiguità delle politiche di trattamento dei dati e delle condizioni di utilizzo dei servizi, ma anche la possibilità di associare immagini ai profili oppure di etichettare le immagini con particolari metadati.

In questo contesto esistono dunque delle pericolosità specifiche:

1. creazione di dossier digitali ed aggregazione di dati secondari
2. tecniche di riconoscimento facciale
3. content-based image retrieval
4. metadati associati o relativi alle immagini
5. problemi nella cancellazione dei dati degli utenti
   

Sul primo punto c'è poco da aggiungere salvo che chiunque abbia accesso ad un qualsiasi servizio (l'accesso è libero, basta registrarsi, ed i controlli previsti in fase di registrazione sono spesso carenti) può acquisire e raccogliere i dati degli utenti, all'insaputa di questi ultimi, ed utilizzarli per le finalità più disparate (spam, pubblicità, attacchi diretti alla persona, discriminazione, ecc....) che, raramente, corrispondono a quelle per le quali è stato prestato il consenso.
Questo inconveniente non può ritenersi superato nemmeno in virtù dei tanto sbandierati controlli di accesso, sia perchè a volte i dati personali, apparentemente non visibili, risultano accessibili mediante una semplice ricerca, sia per la debolezza intrinseca di molte impostazioni predefinite (pochi utenti si preoccupano di modificarle !), sia perchè, in realtà, è molto facile diventare "amici" di tutti ed avere così accesso ai dati.
Considerazioni analoghe le possiamo fare anche per i dati di natura, per così dire, secondaria (indirizzi ip, data e durata delle connessioni, profili visitati, messaggi scambiati, ecc...): questi sono di regola accessibili ai fornitori per asserite finalità miglioramento dei servizi ma, in realtà, non esistono di fatto adeguate garanzie di protezione e, soprattutto, di trattamento per le finalità consentite.

In relazione al secondo punto, l'enorme progresso tecnico raggiunto nel campo degli algoritmi rende tutt'altro che teorico il rischio di una correlazione tra i profili, di cui gli utenti sono spesso titolari su servizi o piattaforme differenti, proprio per effetto del riconoscimento delle relative immagini (a tale proposito sembra che Google abbia già integrato nella sua ricerca immagini delle tecniche di riconoscimento facciale; vedi questo esempio su Albert Einstein ).
Lo stesso livello di rischio deriva dalla possibilità di utilizzare tecniche di content-based image recognition (CBIR), originariamente sviluppate nel settore della digital forensic, per dedurre informazioni utili alla geolocalizzazione degli utenti attraverso il riconoscimento delle caratteristiche degli oggetti o dei luoghi raffigurati nelle immagini associate ai profili.

La questione dei metadati abbraccia due evenienze diverse: da un lato c'è l'eventualità, offerta da alcune piattaforme, di associare alle immagini delle etichette contenenti informazioni personali relative alla persona ritratta (nome, cognome, indirizzo di posta elettronica, ecc...), senza prima aver ricevuto il consenso da parte di quest'ultima.
L'inclusione, invece, di particolari metadati nelle immagini digitali che vengono caricate sulle piattaforme, in particolare il numero seriale della fotocamera, può costituire una minaccia per la privacy dell'utente a causa della associazione con i dati relativi al suo indirizzo riportati nella cartolina di registrazione della garanzia.

Infine una ulteriore questione da non sottovalutare è quella relativa alla eventuale cancellazione dal servizio: raramente, infatti, l'eliminazione dei dati principali si accompagna ad una completa rimozione di tutti i contenuti generati dall'utente (post, commenti, contenuti audio-video, ecc...).
Questa ambiguità è ulteriormente esasperata quando, a fronte di una richiesta di cancellazione, c'è soltanto una disattivazione del profilo, con conseguente mantenimento di una copia "nascosta" dei dati: entrambe le ipotesi costituiscono una violazione palese della direttiva 95/46/CE essendo gli individui privati di un mezzo efficace con il quale controllare la diffusione dei propri dati.