Privacy e sicurezza di smartphone e tablet. Utili, ma non immuni da rischi

Articolo parzialmente modificato, pubblicato anche su Gruppo TakeITEasy.

Smartphone e tablet sono, tra le periferiche hardware, quelle che maggiormente trainano un segmento di mercato che, analogamente a molti altri, risente della crisi in una certa misura. Questo si deve, in parte, al fenomeno della consumerizzazione dell’IT che si sta diffondendo, anche grazie alla presa che lo slogan “porta il lavoro sempre in tasca con te” esercita sulle aziende, spingendole a fare investimenti in questo settore, con grande gioia dei vendor.

Si tratta di un fenomeno abbastanza consolidato, almeno secondo le indagini effettuate che parlano di un 88% del campione di riferimento (600 aziende in 17 paesi), i cui dipendenti utilizzano sul posto di lavoro i dispositivi citati non solo per la gestione della posta elettronica e l’accesso ai social network, ma anche per  le applicazioni aziendali, CRM in primis.

La stessa ricerca, inoltre, evidenzia una propensione alla spesa nel settore che, per le aziende italiane, si attesta intorno al 28% del budget IT.
Quale è il punto allora ? Cominciamo col dire che non è tutto oro quel che luccica: non possiamo certo negare l’utilità della tecnologia, in generale, e di questa in particolare, a condizione che non diventi un mezzo di eterna schiavitù dal lavoro, ma dobbiamo adottare una prospettiva più ampia, integrale, che tenga conto anche dei rischi e dei profili di responsabilità per le aziende che decidono di investire in essa.

Questioni da considerare

• smartphone e tablet stanno diventando strumenti elettronici di trattamento dei dati personali, di cui l’azienda è titolare (es. dati dei clienti, dipendenti/collaboratori, ecc…), con conseguente applicabilità degli obblighi di protezione del T.U privacy (D.Lgs. 196/03);
• con questi dispositivi gli utenti aziendali accedono ad Internet, per cui gli eventuali illeciti commessi sulla rete (si pensi ad ipotesi di download illegale di risorse protette, di diffamazione, ecc…) possono comportare a carico dell’azienda profili di corresponsabilità civile, per omessa adozione di controlli e misure di sicurezza;
• l’uso dei dispositivi è spesso “promiscuo”, cioè riguarda sia gli aspetti lavorativi che quelli concernenti la vita privata dell’utilizzatore (es. dati finanziari, home banking, foto di famiglia, ecc…), per cui anche i dati di quest’ultimo sono a rischio (es. furti di identità);
• possibilità di tracciamento e/o profilazione dell’utente, a sua insaputa, attraverso dati univoci (codice IMEI e numero di telefono) e moduli GPS (tra l’altro la geolocalizzazione integrare una forma di controllo a distanza dell’attività lavorativa, con le ben note problematiche di cui all’art. 4 dello Statuto dei lavoratori);
• se non adeguatamente custoditi tali strumenti possono essere facilmente smarriti o rubati, con tutte le conseguenze che ne derivano (si tratta del primo di tre rischi più alti – vedi sotto (3));
• la trasportabilità dei dispositivi favorisce l’esternalizzazione di dati e servizi (es. cloud computing);
• una insufficiente conoscenza od “alfabetizzazione informatica” dell’utilizzatore può comportare una rivelazione non intenzionale di dati personali o confidenziali (si tratta del secondo di tre rischi più alti – vedi sotto (3));
• una dismissione impropria, nel caso di sostituzione, mette a rischio i dati, se questi ultimi non sono prontamente cancellati in modo sicuro (si tratta del terzo di tre rischi più alti – vedi sotto (3));
• trattandosi di una tecnologia relativamente nuova, il livello della sicurezza delle applicazioni e dei moduli software non è ancora sufficientemente affidabile, anche per via di una distribuzione poco tempestiva degli aggiornamenti;
• le clausole e/o condizioni di utilizzo delle applicazioni sono poco chiare, soprattutto per gli aspetti relativi al trattamento ed alla sicurezza delle informazioni, comprese quelle di natura personale;
• esiste una miriade di fonti, poco o per nulla attendibili, dalle quali possono essere scaricate applicazioni potenzialmente nocive (il fenomeno del mobile malware è in fortissima ascesa);

Naturalmente questo elenco non vuole avere carattere di esaustività, però parliamo in generale di aspetti ben documentati (vedi approfondimenti) che non possono essere ignorati ma devono essere gestiti in modo adeguato, per evitare che il ricorso alla tecnologia, allo scopo di migliorare ed ottimizzare il funzionamento di una struttura aziendale o professionale (si, perchè la questione può riguardare anche i professionisti, specie quelli deontologicamente vincolati ad obblighi di segretezza più ampi del semplice diritto alla riservatezza), si trasformi in un boomerang di eventi causativi di responsabilità che ne azzerano completamente l’utilità.

Consigli per l’uso

Alcuni consigli ed azioni da intraprendere per un uso ottimale della tecnologia mobile, da parte di aziende e professionisti, sono i seguenti:

• fare una analisi dei rischi (organizzativi, tecnologici, legali) ed adottare le opportune misure di sicurezza, soprattutto quelle minime ed idonee richieste dal T.U privacy;
• valutare attentamente le clausole dei contratti con i produttori dei dispositivi e del software di sistema e con gli operatori di telecomunicazione che li commercializzano con il proprio brand;
• valutare attentamente le condizioni legali d’uso delle applicazioni mobile installate sui dispositivi;
• predisporre regolamenti per un corretto utilizzo (trattandosi di strumenti aziendali che accedono ad Internet ed alla posta elettronica, essi potrebbero rientrare nell’ambito applicativo del provvedimento del garante del 1 marzo 2007);
• impedire l’installazione, l’accesso e l’uso di applicazioni di dubbia od illecita provenienza;
• formare adeguatamente gli utenti, soprattutto per quanto concerne rischi e responsabilità aziendali;
• predisporre regolamenti per gestire i casi di dismissione dei dispositivi e le procedurre per la sicura cancellazione dei dati;

Approfondimenti

1. Smartphone e tablet: scenari attuali e prospettive operative
2. Smartphone: information security risks, opportunities and recommendations for users
3. Top ten smartphone risks
4. Smartphone secure development guidelines
5. Data leakage resulting from device loss or theft

Cloud computing in Europa: i risultati della consultazione pubblica

Di recente sono stati pubblicati i risultati di una consultazione pubblica sul fenomeno del cloud computing in Europa; da tale documento si possono trarre importanti osservazioni su quale sia la percezione che aziende e singoli individui hanno di tale fenomeno, soprattutto dal punto di vista delle questioni legali e della protezione dei dati personali (privacy).

Da un campione di 538 intervistati, 230 dei quali rappresentati da aziende, ed il resto da individui, accademici, istituzioni ed altri soggetti, emerge una situazione di generale incertezza nell’attuale quadro normativo europeo di riferimento, alla quale si sommano le inevitabili diversità con le quali i singoli stati membri hanno adottato, nei rispettivi ordinamenti, la legislazione europea.

A questo si aggiunge una mancanza di chiarezza sui diritti delle parti e le responsabilità dei fornitori di servizio che può generare ambiguità nella gestione di quelle tipiche situazioni “transfrontaliere” o “oltre confine”, del tutto normali per una infrastruttura di tipo globale e distribuito, come appunto quella che supporta i servizi in cloud.

Le ragioni alla base di tale percezione di incertezza sono riconducibili fondamentalmente ad una serie di fattori:

• la mancanza di consapevolezza negli intervistati: molti ammettono di non sapere neanche da dove iniziare per acquisire informazioni utili;
• la complessità delle problematiche, soprattutto per quanto riguarda le responsabilità, che dipendono non soltanto dalle clausole contrattuali ma anche da regole normative obbligatorie (es. quelle in materia di protezione dei dati personali), la cui applicazione non può essere disattesa per contratto;
• le variabili legali (es. obblighi contrattuali, legislazione penale, protezione dei dati personali, ecc…) che determinano la giurisdizione applicabile;

Questi risultati lasciano spazio per due considerazioni: la prima è che, soprattutto le imprese, hanno bisogno del supporto di una consulenza specifica in materia, ma faticano a trovarla (o forse ritengono erroneamente di poterne fare a meno ?); la seconda è la necessità di armonizzare le differenti legislazioni, sia a livello europeo che internazionale.

Il report conclude evidenziando una forte condivisione sulla necessità di predisporre a livello europeo linee guida, checklist, nonchè modelli di livelli di servizio (Service Level Agreement) ragionevoli e condizioni contrattuali (End User Agreement) semplici e chiare; oltre naturalmente ad una revisione dell’attuale quadro normativo che possa facilitare l’espansione del modello cloud preservando al tempo stesso la protezione e la riservatezza dei dati personali.

Approfondimenti

SaaS (Clooud Computing): aspetti legali e di compliance

La protezione dei dati personali: chiarimenti sulla normativa europea applicabile

Il gruppo di lavoro dell'art. 29 della direttiva 95/46/CE ha emesso il parere 8/2010 per fornire ulteriori chiarimenti sull'applicazione della normativa UE in materia di protezione dei dati personali, all'interno e al di fuori dello spazio economico europeo.

Lo scopo è quello di garantire una migliore certezza giuridica, offrendo un quadro più chiaro per i diretti interessati, anche mediante esempi pratici utilizzati a supporto dei charimenti, ad esempio nel contesto delle basi dati HR (Human Resources) centralizzate, dei servizi di geolocalizzazione, del cloud computing, delle reti sociali, ecc...

SaaS (Cloud Computing): aspetti legali e di compliance

Cloud computing: considerazioni ed altri aspetti (legali)

Da qualche tempo si fa un gran parlare di cloud computing, soprattutto oltreoceano, dove le tendenze in materia di information technology, generalmente, si delineano e diffondono per prime.

Il termine fa riferimento ad uno sviluppo ed utilizzo delle tecnologie dell'informazione basato su Internet e, da qui, la metafora dell'immagine della nuvola (cloud) impiegata nei diagrammi per indicare, appunto, la rete.

Non si tratta, per la verità, di un idea innovativa ma di una rivisitazione di concetti, forse un pò datati, tecnologicamente parlando, come, ad esempio, quelli del network computing, degli application service provider, del software-as-a-service, ecc...

I vantaggi del cloud computing

Al di là delle immancabili discussioni che precedono o accompagnano spesso l'adozione di una determinata tecnologia, questo modello presenta delle caratteristiche che lo rendono appetibile da più punti di vista:

• le capacità di archiviazione ed elaborazione delle informazioni vengono fornite sotto forma di servizio online accessibile, in quanto tale, anche a chi è privo delle conoscenze, dell'esperienza e delle capacità necessarie per il controllo e la gestione di una infrastruttura IT
• il risparmio sui costi di acquisto dell'hardware, delle licenze software e di supporto
• la mancanza di oneri di gestione della infrastruttura
• la grande flessibilità che permette di creare applicazioni di capacity-on-demand, soprattutto in combinazione con la tecnologia della virtualizzazione, in grado di supportare in modo efficiente data center o nuove linee di business

Considerati questi vantaggi, la tecnologia potrebbe suscitare l'interesse delle startup e delle piccole e medie imprese, normalmente alle prese con problemi di budget e con la mancanza, al loro interno, di figure in possesso delle competenze tecnologiche adeguate.

Gli aspetti legali

La perdita di controllo, a causa della centralizzazione delle architetture hardware e software di data storage e processing, pone però alcune questioni di natura legale, di non facile risoluzione.

Cominciamo con la privacy, ovviamente: l'obbligo, da parte di chi tratta dati personali, di esercitare su questi ultimi uno stretto controllo e di adottare idonee e preventive misure di protezione non si concilia affatto con la gestione da parte di terzi della infrastruttura nella quale gli stessi dati sono memorizzati.

Visto che la responsabilità del titolare permane, anche nel caso in cui i dati siano gestiti  e conservati presso un fornitore di servizi, nel contratto sarà necessario prevedere, a carico di quest'ultimo - probabilmente in qualità di responsabile esterno - l'obbligo di attenersi alle misure di sicurezza individuate.

Inoltre non è da sottovalutare il fatto che il mantenimento dei dati su server esterni possa comportare una violazione del divieto di trasferimento verso paesi, fuori dell'Unione Europea, il cui quadro normativo non assicura adeguati livelli di tutela.

Si tratta di un rischio tutt'altro che remoto, considerato che i fornitori di servizio possono adottare meccanismi di storage ridondanti, distribuiti in posti geograficamente distanti, per far fronte alle inevitabili esigenze di disaster recovery.

Ulteriori esigenze potrebbero poi avere origine nella necessità di garantire la sicurezza di tutti gli altri dati, diversi da quelli personali, e la conformità (compliance) a standard e normative, anche di settore o regolamentari.

Per tutti questi aspetti è ovvio che il contratto assume un ruolo essenziale: è quindi fondamentale è che i rapporti tra le parti risultino inquadrati sulla base di clausole molto dettagliate concernenti:

• tutte le condizioni che regolano la fruizione del servizio/i (modalità di accesso, strumenti, controlli, durata degli accordi, pagamenti, garanzie, eccezioni, obblighi specifici, ecc...)
• i livelli di servizio (Service Level Agreement) per la cui erogazione vi dovrebbe essere una garanzia di conformità a parametri di funzionamento, quantitativi e qualitativi, ben definiti e compatibili con le varie esigenze

Un ultimo aspetto, infine, è quello relativo alla difficoltà di identificare, a priori, l'autorità giudiziaria competente a decidere in materia di eventuali controversie od illeciti, anche penali, derivanti dal contratto od attinenti alla sua esecuzione.

Photo credit: Lucretious