Il regolamento europeo sulla privacy è in vigore: è tempo di prepararsi

Il nuovo regolamento europeo sulla protezione dei dati personali è ormai in vigore.
La data prevista per la sua applicazione è fissata per il 25 maggio 2018. Due anni all'incirca ! Potrebbero sembrare più che sufficienti per adeguarsi, ma vanno letti alla luce della portata innovativa del regolamento.
 L'87% di un campione rappresentativo dei CIO si è detto preoccupato del fatto che le attuali politiche e procedure di sicurezza li lascino esposti al rischio di non conformità al regolamento; secondo altre ricerche, gli investimenti relativi alla protezione dei dati non hanno ancora una priorità elevata per le aziende, con il 63% dei rispondenti che sottolinea un grado di maturità dei programmi sulla privacy, ancora nelle fasi iniziali o a metà dell'opera. Infine, una buona parte dei professionisti IT all'interno di organizzazione medio grandi non si è detto confidente sulla possibilità di garantire una conformità con il regolamento per la data del 25 maggio 2018.
Si tratta di statistiche che, al di la dei numeri, evidenziano uno stato di impreparazione e confusione all'interno delle organizzazioni in tutto il mondo. Tutto legittimo, considerate le novità rilevanti introdotte dal regolamento, quali:

• la notifica entro 72 ore delle violazioni alla sicurezza dei dati personali (data breach);
• l'introduzione del principio secondo cui i titolari devono dimostrare di essere stati responsabili nell'attuazione del regolamento;
• la necessità di integrare i principi di protezione dei dati nello sviluppo dei processi e dei sistemi di business, nonchè l'applicazione predefinita di impostazioni di protezione stringenti (es. minimizzazione dei dati);
• l'esecuzione di valutazione di impatto e la nomina di responsabili della protezione dei dati (data protection officer), nei casi previsti

Si tratta di novità tali da comportare la revisione di strutture e processi aziendali al fine di prevedere:

• la creazione di piani di notifica delle violazione che non coinvolgano soltanto il personale IT ma, ad esempio, anche HR, legale, ecc...
• la creazione di una cultura di monitoraggio, revisione e valutazione dei processi di trattamento dei dati personali;
• la riduzione al minimo dei trattamenti e delle politiche di conservazione dei dati;
• l'integrazione delle misure di sicurezza nelle attività di trattamento;
• la documentazione delle politiche, procedure e operazioni di trattamento per poterle esibire eventualmente, su richiesta, all'autorità di controllo

Senza dimenticare poi i nuovi diritti per gli interessati come quello di richiedere la cancellazione dei propri dati senza ingiustificato ritardo, il diritto alla portabilità dei dati, il diritto di non essere sottoposto a decisioni basate unicamente su processi automatizzati; nuove forme di tutela che si intrecciano con quelle tradizionali e pongono sulle aziende l'onere di raggiungere una capacità, non soltanto procedurale e organizzativa, ma anche tecnologica per poter rispondere ad eventuali richieste degli interessati.

Insomma, la portata innovativa del regolamento è tale da creare la necessità di definire un processo che parta da una valutazione dello status quo di adeguatezza ai nuovi requisiti e si muova progressivamente verso la creazione di un ambiente di protezione della privacy e la definizione di una strategia di adeguamento aderente ai rischi e ai vincoli di budget che ogni organizzazione ha.

Un iter questo che sconsiglia di prendere sotto gamba il termine di due anni; del resto, come diceva un vecchio adagio: chi ha tempo non aspetti tempo.

Privacy e sicurezza di smartphone e tablet. Utili, ma non immuni da rischi

Articolo parzialmente modificato, pubblicato anche su Gruppo TakeITEasy.

Smartphone e tablet sono, tra le periferiche hardware, quelle che maggiormente trainano un segmento di mercato che, analogamente a molti altri, risente della crisi in una certa misura. Questo si deve, in parte, al fenomeno della consumerizzazione dell’IT che si sta diffondendo, anche grazie alla presa che lo slogan “porta il lavoro sempre in tasca con te” esercita sulle aziende, spingendole a fare investimenti in questo settore, con grande gioia dei vendor.

Si tratta di un fenomeno abbastanza consolidato, almeno secondo le indagini effettuate che parlano di un 88% del campione di riferimento (600 aziende in 17 paesi), i cui dipendenti utilizzano sul posto di lavoro i dispositivi citati non solo per la gestione della posta elettronica e l’accesso ai social network, ma anche per  le applicazioni aziendali, CRM in primis.

La stessa ricerca, inoltre, evidenzia una propensione alla spesa nel settore che, per le aziende italiane, si attesta intorno al 28% del budget IT.
Quale è il punto allora ? Cominciamo col dire che non è tutto oro quel che luccica: non possiamo certo negare l’utilità della tecnologia, in generale, e di questa in particolare, a condizione che non diventi un mezzo di eterna schiavitù dal lavoro, ma dobbiamo adottare una prospettiva più ampia, integrale, che tenga conto anche dei rischi e dei profili di responsabilità per le aziende che decidono di investire in essa.

Questioni da considerare

• smartphone e tablet stanno diventando strumenti elettronici di trattamento dei dati personali, di cui l’azienda è titolare (es. dati dei clienti, dipendenti/collaboratori, ecc…), con conseguente applicabilità degli obblighi di protezione del T.U privacy (D.Lgs. 196/03);
• con questi dispositivi gli utenti aziendali accedono ad Internet, per cui gli eventuali illeciti commessi sulla rete (si pensi ad ipotesi di download illegale di risorse protette, di diffamazione, ecc…) possono comportare a carico dell’azienda profili di corresponsabilità civile, per omessa adozione di controlli e misure di sicurezza;
• l’uso dei dispositivi è spesso “promiscuo”, cioè riguarda sia gli aspetti lavorativi che quelli concernenti la vita privata dell’utilizzatore (es. dati finanziari, home banking, foto di famiglia, ecc…), per cui anche i dati di quest’ultimo sono a rischio (es. furti di identità);
• possibilità di tracciamento e/o profilazione dell’utente, a sua insaputa, attraverso dati univoci (codice IMEI e numero di telefono) e moduli GPS (tra l’altro la geolocalizzazione integrare una forma di controllo a distanza dell’attività lavorativa, con le ben note problematiche di cui all’art. 4 dello Statuto dei lavoratori);
• se non adeguatamente custoditi tali strumenti possono essere facilmente smarriti o rubati, con tutte le conseguenze che ne derivano (si tratta del primo di tre rischi più alti – vedi sotto (3));
• la trasportabilità dei dispositivi favorisce l’esternalizzazione di dati e servizi (es. cloud computing);
• una insufficiente conoscenza od “alfabetizzazione informatica” dell’utilizzatore può comportare una rivelazione non intenzionale di dati personali o confidenziali (si tratta del secondo di tre rischi più alti – vedi sotto (3));
• una dismissione impropria, nel caso di sostituzione, mette a rischio i dati, se questi ultimi non sono prontamente cancellati in modo sicuro (si tratta del terzo di tre rischi più alti – vedi sotto (3));
• trattandosi di una tecnologia relativamente nuova, il livello della sicurezza delle applicazioni e dei moduli software non è ancora sufficientemente affidabile, anche per via di una distribuzione poco tempestiva degli aggiornamenti;
• le clausole e/o condizioni di utilizzo delle applicazioni sono poco chiare, soprattutto per gli aspetti relativi al trattamento ed alla sicurezza delle informazioni, comprese quelle di natura personale;
• esiste una miriade di fonti, poco o per nulla attendibili, dalle quali possono essere scaricate applicazioni potenzialmente nocive (il fenomeno del mobile malware è in fortissima ascesa);

Naturalmente questo elenco non vuole avere carattere di esaustività, però parliamo in generale di aspetti ben documentati (vedi approfondimenti) che non possono essere ignorati ma devono essere gestiti in modo adeguato, per evitare che il ricorso alla tecnologia, allo scopo di migliorare ed ottimizzare il funzionamento di una struttura aziendale o professionale (si, perchè la questione può riguardare anche i professionisti, specie quelli deontologicamente vincolati ad obblighi di segretezza più ampi del semplice diritto alla riservatezza), si trasformi in un boomerang di eventi causativi di responsabilità che ne azzerano completamente l’utilità.

Consigli per l’uso

Alcuni consigli ed azioni da intraprendere per un uso ottimale della tecnologia mobile, da parte di aziende e professionisti, sono i seguenti:

• fare una analisi dei rischi (organizzativi, tecnologici, legali) ed adottare le opportune misure di sicurezza, soprattutto quelle minime ed idonee richieste dal T.U privacy;
• valutare attentamente le clausole dei contratti con i produttori dei dispositivi e del software di sistema e con gli operatori di telecomunicazione che li commercializzano con il proprio brand;
• valutare attentamente le condizioni legali d’uso delle applicazioni mobile installate sui dispositivi;
• predisporre regolamenti per un corretto utilizzo (trattandosi di strumenti aziendali che accedono ad Internet ed alla posta elettronica, essi potrebbero rientrare nell’ambito applicativo del provvedimento del garante del 1 marzo 2007);
• impedire l’installazione, l’accesso e l’uso di applicazioni di dubbia od illecita provenienza;
• formare adeguatamente gli utenti, soprattutto per quanto concerne rischi e responsabilità aziendali;
• predisporre regolamenti per gestire i casi di dismissione dei dispositivi e le procedurre per la sicura cancellazione dei dati;

Approfondimenti

1. Smartphone e tablet: scenari attuali e prospettive operative
2. Smartphone: information security risks, opportunities and recommendations for users
3. Top ten smartphone risks
4. Smartphone secure development guidelines
5. Data leakage resulting from device loss or theft

La digitalizzazione degli studi legali

View more presentations from Stefano Bendandi

Privacy e referti medici online: le linee guida

L'autorità garante della privacy ha reso note le proprie Linee guida in tema di referti online pubblicate sulla G.U. n. 288 dell'11 dicembre 2009.

Si tratta di un provvedimento il cui ambito applicativo è circoscritto alla refertazione online, cioè al servizio che offre ad un assistito la possibilità di accedere, con modalità informatiche e telematiche, alla relazione (cd. referto) che il medico rilascia a seguito di un esame di natura clinica o strumentale.

L'obiettivo di queste linee guida, articolate in più punti, è quello di prevedere delle specifiche garanzie a protezione dei dati personali dei cittadini, relativamente alle più comuni modalità con le quali le strutture sanitarie rendono disponibili online i referti medici.

Facoltatività del servizio

L'interessato deve essere libero di scegliere se avvalersi o meno del servizio di refertazione online, senza che questo pregiudichi la facoltà di usufruire delle prestazioni mediche o di continuare a ritirare i referti cartacei presso la struttura che ha erogato la prestazione.

Inoltre, l'interessato che abbia scelto di avvalersi del servizio rimane, comunque, titolare di alcune facoltà, come :

• il diritto di manifestare, in occasione di ogni esame, una volontà diretta ad escludere il singolo referto dal servizio online prescelto;
• la possibilità di confermare, in occasione di successivi accertamenti clinici, l'indirizzo di posta elettronica presso il quale ricevere la comunicazione del referto;
• la possibilità di acconsentire alla comunicazione dei risultati diagnostici al proprio medico curante, al medico di medicina generale oppure al pediatra;

Nel caso di avvisi tramite la rete cellulare (SMS), i messaggi devono limitarsi a dare la notizia della disponibilità del referto e non possono indicare nè la tipologia dell'accertamento effettuato, nè il suo esito, nè le credenziali di autenticazione eventualmente assegnate all'interessato per l'accesso online.

Informativa e consenso

Il titolare del trattamento deve rendere all'interessato una informativa sulle caratteristiche del servizio di refertazione online, compresa in particolare la sua natura facoltativa, per consentirgli di esprimere una scelta informata e consapevole.

L'informativa, come di consueto, deve contenere le indicazioni richieste dall'art. 13 del d.lgs. 196/03 e può essere fornita contestualmente, purchè separatamente, da quella relativa al trattamento dei dati per finalità di cura.

A seguito dell'informativa il titolare deve acquisire il consenso specifico dell'interessato al trattamento dei propri dati attraverso le particolari modalità del servizio.

Archiviazione online dei referti

Nel caso in cui venga offerta anche la possibilità di archiviare e consultare online tutti i referti degli esami eseguiti presso i laboratori della stessa struttura sanitaria, il titolare deve rendere all'interessato una ulteriore informativa specifica ed acquisire un autonomo consenso.

In questo caso specifico l'autorità ritiene che tali archivi possano ricadere nella definizione di dossier sanitario, di cui si occupano le Linee guida in tema di Fascicolo Sanitario Elettronico (FSE) e di dossier sanitario e, quindi, siano soggetti alle speciali misure di sicurezza identificate in tale provvedimento.

Comunicazioni dei dati

L'abilitazione di accesso ai sistemi di refertazione online deve essere assoggettata alla cautele previste dalla disciplina vigente, anche per quanto riguarda l'intermediazione richiesta dall'art. 84 del d.lgs. 196/93 per la comunicazione dei dati concernenti lo stato di salute (provvedimento 9 novembre 2005).

Inoltre i titolari dei dati che offrono il servizio online devono tenere conto delle disposizioni che prevedono una attività di consulenza specifica da parte del personale medico in relazione alla comunicazione dei referti ed all'illustrazione del loro significato diagnostico.

Misure di sicurezza

Particolarmente corposa è la parte del provevdimento concernente le prescrizioni di sicurezza; infatti, la natura particolare dei dati e delle modalità di trattamento richiede l'individuazione e l'applicazione di misure di sicurezza idonee, ai sensi dell'art. 31 del d.lgs. 196/03, oltre a quelle minime previste dagli art. 33 e ss.

Il provvedimento individua comunque alcune misure minime, differenziandole in base a due scenari ipotizzabili in relazione alle modalità più comuni di accesso e consultazione dei referti:

1. consultazione tramite sito web:
   • protocolli di comunicazione basati su standard crittografici, con certificazione digitale dell'identità dei sistemi che erogano il servizio (SSL o Secure Socket Layer);
   • utilizzo di tecniche per evitare l'acquisizione delle informazioni contenute nel file elettronico in caso di una sua memorizzazione in sistemi di caching, locali o centralizzati, a seguito della sua consultazione online;
   • sistemi di autenticazione dell'interessato, preferibilmente tramite strong authentication;
   • disponibilità del referto online limitata ad un periodo massimo di 45 giorni;
   • possibilità per l'utente di evitare la visibilità online o di cancellare, in modo completo o selettivo, i referti che lo riguardano;
2. invio tramite posta elettronica:
   • spedizione del referto come allegato e non come testo accluso al corpo del messaggio (quindi, no alla modalità inline);
   • protezione del file contenente il referto tramite password di apertura o chiave crittografica, rese note attraverso canali di comunicazione differenti da quelli utilizzati per la spedizione dei referti. Questa cautela particolare può essere evitata soltanto quando l'interessato ne faccia richiesta espressa e consapevole;
   • convalida degli indirizzi di posta elettronica attraverso verifiche da compiere online per evitare la spedizione dei documenti riservati a soggetti diversi dal richiedente;

In aggiunta a queste misure che riguardano più direttamente le modalità di erogazione del servizio di refertazione, agli utenti devono essere fornite garanzie su:

• disponibilità di sistemi di autenticazione ed autorizzazione degli incaricati, in funzione dei ruoli e delle esigenze di accesso e trattamento, con l'obbligo del ricorso all'autenticazione forte basata su biometria nel caso di dati idonei a rivelare l'identità genetica di un individuo;
• separazione fisica e logica dei dati idonei a rivelare lo stato di salute e la vita sessuale dagli altri dati trattati per finalità amministrativo-contabili;

Per non mettere a repentaglio la riservatezza dei dati vanno, infine, predisposte delle procedure per interrompere l'invio tramite posta elettronica o rendere indisponibili online i referti relativi ad un interessato che abbia comunicato il furto o lo smarrimento delle proprie credenziali di autenticazione o altre condizioni di rischio.

Brand protection, privacy e sicurezza: qual'è il loro ruolo ?

La tecnologia svolge ormai una funzione cruciale anche per lo sviluppo del brand poichè è uno dei fattori abilitanti che consente di arricchire e differenziare l'esperienza degli utenti nei confronti dei prodotti o dei servizi che esso rappresenta.

Per supportare pienamente esperienze di tipo personalizzato la tecnologia deve, però, offrire funzionalità sempre più in linea con le aspettative e le preferenze degli individui e questo richiede, spesso, l'acquisizione e l'elaborazione di una discreta quantità di informazioni, tra cui vanno ricomprese anche quelle di natura personale.

Parlando di dati personali è naturale rivolgere l'attenzione agli aspetti concernenti la loro riservatezza (privacy): le persone cominciano ad essere sempre più attente alle modalità con le quali i propri dati vengono raccolti, custoditi ed utilizzati, compresa la loro eventuale comunicazione a terzi.

Perciò, se è vero che la tecnologia esplica un ruolo rilevante nel modellare l'esperienza degli utenti, allora le conseguenze che ne derivano sul piano pratico hanno un impatto significativo sulla loro fiducia complessiva e, di conseguenza, sul brand, dato che quest'ultimo è intimamente legato a concetti quali la fiducia, la sicurezza, l'affidabilità, ecc...

A tale proposito possiamo individuare alcuni degli aspetti più critici riguardanti:

• l'acquisizione dei dati personali;
• la privacy e la sicurezza dei dati, sia interna che esterna;
• il fenomeno delle frodi online;

Acquisizione dei dati personali

Esistono svariati meccanismi di acquisizione delle informazioni online, alcuni visibili altri meno; ad esempio quello dei cookie è probabilmente uno dei più controversi per una serie di ragioni, tra cui la quantità di informazioni che permettono di raccogliere, la loro invisibilità, la possibilità di costruire dei profili utente molto dettagliati, ecc...

Tralasciando le considerazioni sul rispetto delle normative esistenti, ciò che acquista importanza agli occhi degli utenti è la trasparenza degli intenti e dei comportamenti.

Trasparenza significa innanzitutto rendere nota (es. mediante una privacy policy) l'esistenza di certi meccanismi e la natura delle informazioni raccolte, oltre a darne una valida motivazione che, nella maggior parte dei casi, potrà anche essere lecita ma va pur sempre dichiarata.

Il rischio di una mancanza di chiarezza, a prescindere dalla buona fede, è infatti quello di lasciar trapelare forme di utilizzo della tecnologia "furbesche" od inappropriate e di indebolire la fiducia degli utenti con inevitabili ripercussioni sull'immagine del brand.

Privacy e sicurezza delle informazioni

Via via che la tecnologia avanza ed il canale online si va affermando come elemento strategico su cui costruire visibilità e relazioni, nonchè come valida alternativa al commercio tradizionale, aumentano, purtroppo, i fenomeni legati alla criminalità informatica.

Si tratta di fenomeni spesso favoriti dalla mancanza o dalla scarsità di misure protettive che producono effetti di grande impatto sul business, come la perdita di confidenzialità o di disponibilità delle informazioni, contribuendo a distruggere la fiducia che gli utenti ripongono, non solo nella tecnologia, ma anche nel brand.

La salvagardia delle informazioni, comprese quelle di natura personale, durante il loro intero ciclo di vita, rappresenta una pietra miliare nell'assicurare la sopravvivenza e la prosperità del business.

Per garantirla le organizzazioni devono sviluppare una propria consapevolezza interna, adottare le misure di sicurezza più adeguate in base ai rischi, revisionarle periodicamente ed esportare, infine, lo stesso atteggiamento proattivo all'esterno, nei confronti dei propri produttori, fornitori, distributori, agenti, ecc...

Nel momento in cui questi ultimi si presentano ed agiscono come "partner ufficiali" essi diventano una specie di estensione del brand, sul quale finiscono per proiettare inevitabilmente le conseguenze negative delle loro vulnerabilità, sia tecnologiche che organizzative.

Per impedire che ciò si verifichi è essenziale, tra le altre cose, richiedere ai propri partner il rispetto di linee guida di conformità ed esercitare gli opportuni controlli.

Frodi online

Si tratta di fatti collegati, sempre di più, ad abusi del brand perpetrati online,  generalmente basati sulla indebita inclusione dei suoi elementi caratteristici (logo, nome, slogan, ecc...) nel corpo dei messaggi di posta elettronica o negli elementi strutturali (metatag, titoli, àncore, ecc...) delle pagine web (brand spoofing).

Lo scopo è ovviamente quello di vincere la naturale diffidenza degli utenti ed attrarli verso qualcosa che appare veritiero e rassicurante, inducendoli a rivelare informazioni finanziarie o personali riservate (phishing) che vengono successivamente utilizzate per commettere altri crimini (es. furti d'identità o di denaro).

Peraltro, anche se gli illeciti sono commessi da soggetti od entità non affiliate ad un brand, il fatto che quest'ultimo compaia nelle risorse utilizzate contribuisce a creare una specie di "associazione di colpevolezza", con conseguenze facilmente immaginabili.

Inoltre gli attuali rimedi tecnologici, seppure necessari, non hanno ancora raggiunto la maturità per essere da soli sufficienti a contrastare tali fenomeni.

Questo vuol dire che, oltre ad un azione di costante monitoraggio online, è necessario che le organizzazioni prendano attivamente parte ad un opera di educazione e sensibilizzazione degli utenti.

La sfida del futuro

Non è facile conciliare il crescente fabbisogno informativo di oggi con le legittime aspettative che gli utenti ripongono nella privacy e nella sicurezza dei propri dati; queste necessità sono spesso confliggenti e l'unico modo per soddisfarle entrambe è adottare un atteggiamento equilibrato nel rispetto comunque dei limiti dettati dalla legge.

Le organizzazioni che riusciranno a raggiungere tale equilibrio, pur dimostrando di essere realmente in grado di proteggere i dati dei propri clienti e partner, acquisiranno uno eccezionale vantaggio competitivo, mentre le altre saranno costrette a subire perdite di fiducia e di valore del brand, oltre a difendersi dalle iniziative legali eventualmente intraprese nei loro confronti.

Photo courtesy: dimitri_c

SaaS (Cloud Computing): aspetti legali e di compliance

Data retention: ulteriore proroga per l'applicazione delle misure di sicurezza

Il garante della privacy ha accordato un parziale slittamento dei termini per l'adozione degli accorgimenti e delle misure di sicurezza a garanzia dei dati del traffico telefonico e telematico, conservati sia per finalità di accertamento e repressione di reati, sia per finalità ordinarie.

La scadenza, già prorogata una volta rispetto a quella inizialmente prevista, era stata fissata al 30 aprile 2009 (30 giugno per le sole misure concernenti la strong authentication).

La proroga è stata concessa, su richiesta delle associazioni di categoria, tenuto conto della situazione di sostanziale, ma non ancora integrale, adempimento, delle maggiori difficoltà tecniche nell'adozione di alcune misure e della quantità degli interventi strutturali ed economici complessivamente richiesti per garantire una completa conformità alle prescrizioni.

Dunque, per effetto di questo intervento, è stato prorogato al 15 dicembre 2009 il termine per l'adeguamento alle misure del provvedimento del 24 luglio 2008, di cui alla:

lettera a):

n. 3: adottare, per la conservazione dei dati di traffico per esclusive finalità di accertamento e repressione di reati, sistemi informatici distinti fisicamente da quelli utilizzati per gestire dati di traffico anche per altre finalità, sia nelle componenti di elaborazione, sia di immagazzinamento dei dati (storage). I dati di traffico conservati per un periodo non superiore ai sei mesi dalla loro generazione possono, invece, essere trattati per le finalità di giustizia sia prevedendone il trattamento con i medesimi sistemi di elaborazione e di immagazzinamento utilizzati per la generalità dei trattamenti, sia provvedendo alla loro duplicazione, con conservazione separata rispetto ai dati di traffico trattati per le ordinarie finalità. Le attrezzature informatiche utilizzate per i trattamenti di dati di traffico per le esclusive finalità di giustizia di cui sopra devono essere collocate all'interno di aree ad accesso selezionato (ovvero riservato ai soli soggetti legittimati ad accedervi per l'espletamento di specifiche mansioni) e munite di dispositivi elettronici di controllo o di procedure di vigilanza che comportino la registrazione dei dati identificativi delle persone ammesse, con indicazione dei relativi riferimenti temporali. Nel caso di trattamenti di dati di traffico telefonico per esclusive finalità di giustizia, il controllo degli accessi deve comprendere una procedura di riconoscimento biometrico. Infine, il fornitore deve adottare misure idonee a garantire il ripristino dell'accesso ai dati in caso di danneggiamento degli stessi o degli strumenti elettronici in tempi compatibili con i diritti degli interessati e comunque non superiori a sette giorni;

n. 6: adottare soluzioni informatiche idonee ad assicurare il controllo delle attività svolte sui dati di traffico da ciascun incaricato del trattamento, quali che siano la sua qualifica, le sue competenze e gli ambiti di operatività e le finalità del trattamento. Il controllo deve essere efficace e dettagliato anche per i trattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono la registrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati di traffico e sugli altri dati personali a essi connessi, sia quando consistono o derivano dall'uso interattivo dei sistemi, sia quando sono svolte tramite l'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilità, l'autenticità delle registrazioni in essi contenute, con riferimento a tutte le operazioni di trattamento e a tutti gli eventi relativi alla sicurezza informatica sottoposti ad auditing. A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto di elaborazione o per datacenter, sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura, i dati o i raggruppamenti di dati devono essere sottoposti a procedure informatiche per attestare la loro integrità, basate sull'utilizzo di tecnologie crittografiche;

n. 9: proteggere i dati di traffico trattati per esclusive finalità di giustizia con tecniche crittografiche, in particolare contro rischi di acquisizione fortuita o di alterazione accidentale derivanti da operazioni di manutenzione sugli apparati informatici o da ordinarie operazioni di amministrazione di sistema. Il fornitore deve adottare soluzioni che rendano le informazioni residenti nelle basi di dati a servizio delle applicazioni informatiche utilizzate per i trattamenti, non intelligibili a chi non disponga di diritti di accesso e profili di autorizzazione idonei, ricorrendo a forme di cifratura od offuscamento di porzioni dei data base o degli indici o ad altri accorgimenti tecnici basati su tecnologie crittografiche. Tale misura deve essere efficace per ridurre al minimo il rischio che incaricati di mansioni tecniche accessorie ai trattamenti (amministratori di sistema, database administrator e manutentori hardware e software) possano accedere indebitamente alle informazioni registrate, anche fortuitamente, acquisendone conoscenza nel corso di operazioni di accesso ai sistemi o di manutenzione di altro genere, oppure che possano intenzionalmente o fortuitamente alterare le informazioni registrate. Eventuali flussi di trasmissione dei dati di traffico tra sistemi informatici del fornitore devono aver luogo tramite protocolli di comunicazione sicuri, basati su tecniche crittografiche, o comunque evitando il ricorso alla trasmissione in chiaro dei dati. Protocolli di comunicazione sicuri devono essere adottati anche per garantire più in generale la sicurezza dei sistemi evitando di esporli a vulnerabilità e a rischio di intrusione;

lettera c):

n. 1: adottare specifici sistemi di autenticazione informatica basati su tecniche di strong authentication, consistenti nell'uso contestuale di almeno due differenti tecnologie di autenticazione, che si applichino agli accessi ai sistemi di elaborazione da parte di tutti gli incaricati di trattamento nonché di tutti gli addetti tecnici (amministratori di sistema, di rete, di data base) che abbiano la possibilità concreta di accedere ai dati di traffico custoditi nelle banche dati del fornitore, qualunque sia la modalità, locale o remota, con cui si realizzi l'accesso al sistema di elaborazione utilizzato per il trattamento, evitando che questo possa aver luogo senza che l'incaricato abbia comunque superato una fase di autenticazione informatica nei termini anzidetti. Qualora circostanze eccezionali, legate a indifferibili interventi per malfunzionamenti, guasti, installazione hardware e software, aggiornamento e riconfigurazione dei sistemi, determinino la necessità di accesso a sistemi di elaborazione che trattano dati di traffico da parte di addetti tecnici in assenza di strong authentication, fermo restando l'obbligo di assicurare le misure minime in tema di credenziali di autenticazione previste dall'Allegato B) al Codice in materia di protezione dei dati personali, deve essere tenuta traccia in un apposito "registro degli accessi" dell'eventuale accesso fisico ai locali in cui sono installati i sistemi di elaborazione oggetto di intervento e dell'accesso logico ai sistemi, nonché delle motivazioni che li hanno determinati, con una descrizione sintetica delle operazioni svolte, anche mediante l'utilizzo di sistemi elettronici. Tale registro deve essere custodito dal fornitore presso le sedi di elaborazione e messo a disposizione del Garante nel caso di ispezioni o controlli, unitamente a un elenco nominativo dei soggetti abilitati all'accesso ai diversi sistemi di elaborazione con funzioni di amministratore di sistema, che deve essere formato e aggiornato costantemente dal fornitore;

n. 2: adottare procedure in grado di garantire la separazione rigida delle funzioni tecniche di assegnazione di credenziali di autenticazione e di individuazione dei profili di autorizzazione rispetto a quelle di gestione tecnica dei sistemi e delle basi di dati;

n. 3: rendere i dati di traffico immediatamente non disponibili per le elaborazioni dei sistemi informativi allo scadere dei termini previsti dalle disposizioni vigenti, provvedendo alla loro cancellazione o trasformazione in forma anonima, in tempi tecnicamente compatibili con l'esercizio delle relative procedure informatiche, nei data base e nei sistemi di elaborazione utilizzati per i trattamenti nonché nei sistemi e nei supporti per la realizzazione di copie di sicurezza (backup e disaster recovery) effettuate dal titolare anche in applicazione di misure previste dalla normativa vigente e, al più tardi, documentando tale operazione entro i trenta giorni successivi alla scadenza dei termini di conservazione (art. 123 del Codice);

n. 4: adottare soluzioni informatiche idonee ad assicurare il controllo delle attività svolte sui dati di traffico da ciascun incaricato del trattamento, quali che siano la sua qualifica, le sue competenze e gli ambiti di operatività e le finalità del trattamento. Il controllo deve essere efficace e dettagliato anche per i trattamenti condotti sui singoli elementi di informazione presenti sui diversi database utilizzati. Tali soluzioni comprendono la registrazione, in un apposito audit log, delle operazioni compiute, direttamente o indirettamente, sui dati di traffico e sugli altri dati personali a essi connessi, sia quando consistono o derivano dall'uso interattivo dei sistemi, sia quando sono svolte tramite l'azione automatica di programmi informatici. I sistemi di audit log devono garantire la completezza, l'immodificabilità, l'autenticità delle registrazioni in essi contenute, con riferimento a tutte le operazioni di trattamento e a tutti gli eventi relativi alla sicurezza informatica sottoposti ad auditing. A tali scopi il fornitore deve adottare, per la registrazione dei dati di auditing, anche in forma centralizzata per ogni impianto di elaborazione o per datacenter, sistemi di memorizzazione su dispositivi non alterabili. Prima della scrittura, i dati o i raggruppamenti di dati devono essere sottoposti a procedure informatiche per attestare la loro integrità, basate sull'utilizzo di tecnologie crittografiche;

n. 5: documentare i sistemi informativi utilizzati per il trattamento dei dati di traffico in modo idoneo secondo i princìpi dell'ingegneria del software, evitando soluzioni documentali non corrispondenti a metodi descrittivi standard o di ampia accettazione. La descrizione deve comprendere, per ciascun sistema applicativo, l'architettura logico-funzionale, l'architettura complessiva e la struttura dei sistemi utilizzati per il trattamento, i flussi di input/output dei dati di traffico da e verso altri sistemi, l'architettura della rete di comunicazione, l'indicazione dei soggetti o classi di soggetti aventi legittimo accesso al sistema. La documentazione va corredata con diagrammi di dislocazione delle applicazioni e dei sistemi, da cui deve risultare anche l'esatta ubicazione dei sistemi nei quali vengono trattati i dati per le finalità di accertamento e repressione di reati. La documentazione tecnica deve essere aggiornata e messa a disposizione dell'Autorità su sua eventuale richiesta, unitamente a informazioni di dettaglio sui soggetti aventi legittimo accesso ai sistemi per il trattamento dei dati di traffico;

Questionario di sensibilizzazione sulla sicurezza informatica

L'agenzia Europea per la sicurezza delle reti e delle informazioni ha recentemente pubblicato un questionario in varie lingue, tra cui l'italiano, con lo scopo di fornire materiale, sotto forma di modelli di quiz, per una maggiore sensibilizzazione nel settore della sicurezza delle informazioni.

Pur non trattandosi di modelli di autovalutazione completi, l'iniziativa è interessante sotto diversi punti di vista.

Innanzitutto, la scelta della preparazione di un questionario, invece del solito documento che nessuno legge, tranne (forse) gli addetti ai lavori, può rivelarsi maggiormente efficace per catturare l'attenzione del pubblico di riferimento.

Attraverso una serie di domande e risposte su questioni ed aspetti inerenti l'utilizzo e la gestione quotidiana degli strumenti e dei sistemi informatici, si riesce a stimolare un interesse critico da parte del lettore.

Inoltre il target preso in considerazione è pertinente: si tratta infatti di quella fetta di utenza che abbraccia, non soltanto le piccole e medie imprese, ma anche gli utenti non professionali e, soprattutto, i genitori.

Alcuni esempi di domande, nel caso di piccole e medie imprese:

Sapete quali informazioni di valore vengono gestite nei vostri sistemi IT e dove?

oppure nel caso di genitori:

Quali sono le attività online che svolgono i vostri figli ?

I genitori, in particolare, sono tra i più esposti ai rischi ed alle responsabilità derivanti dall'utilizzo degli strumenti informatici da parte dei loro figli spesso minorenni (la cd. "generazione digitale"), anche a causa dell'esistenza di un divario generazionale di conoscenza che sta diventando significativo.

Publish at Scribd or explore others: Internet & Technolog Research privacy quiz

Il software open source: opportunità, rischi e possibili approcci

Da anni assistiamo ormai ad un incessante dibattito sul mondo dell'open source, sui vantaggi concreti e le opportunità che esso presenta, non soltanto per le aziende, ma anche per i singoli utilizzatori finali.

La questione non interessa soltanto i soggetti privati, tanto che il Centro Nazionale per l'Informatica nella Pubblica Amministrazione (CNIPA) ha allestito un osservatorio che, nelle intenzioni dichiarate, è destinato a svolgere la funzione di catalizzatore della conoscenza e delle best practice in materia di open source nella P.A.

La stessa crisi economica mondiale rischia di riportare la problematica al centro della discussione: le caratteristiche di libertà, trasparenza e gratuità del codice a sorgente aperto sembrano infatti idonee a perseguire l'efficienza e la riduzione di costi che, generalmente, diventano un obiettivo proritario in tempi di ristrettezze economiche, senza che questo comporti una rinuncia all'utilizzo delle tecnologie dell'informazione e della comunicazione che, secondo l'opinione prevalente, rappresentano invece una delle principali soluzioni per risollevare l'economia dalla stagnazione.

Messa in questi termini sembra che la questione sull'opportunità di adottare il software libero non possa che risolversi positivamente ma in realtà, prima di giungere a questa conclusione, è opportuno fare una valutazione complessiva non soltanto dei possibili vantaggi, ma anche dei rischi potenziali e degli approcci adottabili.

Cerchiamo allora di fare chiarezza su questi aspetti.

Vantaggi nell'adozione di software open source

I benefici per una infrastruttura informatica aziendale sono riconducibili a:

• risparmio sui costi della licenza e degli aggiornamenti;
• interoperabilità con gli standard di settore;
• eliminazione di ogni forma di dipendenza da un determinato fornitore che, a volte, si traduce in posizioni di debolezza contrattuale;
• disponibilità del codice sorgente con conseguente possibilità di analizzarlo e modificarlo secondo le proprie esigenze (a patto di avere internamente delle risorse munite delle necessarie competenze);
• qualità e sicurezza, soprattutto nei progetti supportati da un ampia comunità di sviluppatori in grado di correggere difetti (bug) o di migliorare continuamente il prodotto;

In aggiunta le software house possono trarre degli ulteriori specifici vantaggi dall'inclusione di software aperto all'interno del loro modello di business:

• riduzione degli oneri economici di acquisto e gestione del software ed incremento degli utili connessi con la fornitura di consulenza e servizi connessi (installazione, manutenzione, formazione, personalizzazione, ecc...);
• ricadute positive in termini di visibilità e prestigio;
• libertà nel disporre del codice sorgente, di riadattarlo e modificarlo in modo da derivarne altri prodotti;
• possibilità di avvantaggiarsi della spinta verso una veloce diffusione ed adozione di nuovi prodotti e caratteristiche che le licenze open generano;

Rischi o svantaggi

• le licenze open non offrono le stesse garanzie di protezione degli utenti finali di quelle proprietarie: questa carenza intrinseca, se non bilanciata dalla previsione contrattuale di un apposito indennizzo, può esporre al rischio di violazione dei diritti di proprietà intellettuale o industriale di terze parti;
• la mancanza di un supporto tecnico completo può riflettersi negativamente sull'affidabilità, la robustezza e la sicurezza complessive del prodotto, specie nei progetti non supportati da un ampia comunità;
• alcuni tipi di licenza possono indurre il rischio cd. da contaminazione da OSS che si verifica quando, all'interno di un software che si vorrebbe mantenere proprietario (closed source), vengono incluse porzioni di codice libero soggette ad una licenza (es. la GPL) che costringe a rilasciare il prodotto derivato esattamente negli stessi termini di quello originario;
• il risparmio sui costi della licenza è solo una delle voci che concorrono a definire il cd. TCO (Total Cost of Ownership) nel quale vanno, invece, comprese tutte le spese e gli oneri legati all'utilizzo presente e futuro del software (installazione, manutenzione, adeguamento dei sistemi, formazione del personale, personalizzazioni, ecc...);

Possibili approcci e rimedi

La cattiva notizia è che non esiste un approccio unico valido per tutti: per alcuni i vantaggi derivanti dall'open source possono essere superiori ai rischi e viceversa.

La buona notizia è che si possono adottare delle policies che prendono in considerazione gli scenari tipici e sviluppare delle procedure per gestire i rischi connessi.

Le aziende potenzialmente interessate all'adozione di software libero dovrebbero condurre un assessment tecnico-legale per ridurre i rischi connessi ad una violazione dei diritti di proprietà intellettuale ed industriale.

L'opportunità legata allo sfruttamento del modello di business dell'open source si pone, invece, soprattutto per le software house che realizzano proventi dalla fornitura di consulenza e servizi connessi, piuttosto che dalla realizzazione e commercializzazione di software.

In tutti i casi, però, una attenzione particolare deve essere riservata all'individuazione del tipo di licenza ed alla valutazione delle sue condizioni, tenendo presente che, se per il primo aspetto può essere vantaggioso ricorrere a software automatizzati, per il secondo è spesso consigliabile richiedere un adeguato supporto legale.

Photo courtesy: flaivoloka

Semplificazione privacy e misure di sicurezza: quali sono le novità ?

Dopo aver avviato nei mesi scorsi un iter di  semplificazione di certi aspetti della normativa a tutela della privacy, relativi soprattutto all'informativa ed alla raccolta del consenso, il Garante è nuovamente intervenuto, questa volta con riferimento alla portata delle misure minime di sicurezza.

Campo di applicazione

Il nuovo intervento di semplificazione, applicabile automaticamente senza bisogno di particolari comunicazioni o richieste, riguarda i soggetti pubblici e privati che:

• utilizzano dati personali non sensibili o che trattano come unici dati sensibili riferiti ai propri dipendenti e collaboratori anche a progetto  quelli costituiti dallo stato di salute o malattia senza indicazione della relativa diagnosi, ovvero dall'adesione a organizzazioni sindacali o a carattere sindacale;
• trattano dati personali unicamente per correnti finalità amministrative e contabili, in particolare presso liberi professionisti, artigiani e piccole e medie imprese (cfr. art. 2083 cod. civ. e d.m. 18 aprile 2005, recante adeguamento alla disciplina comunitaria dei criteri di individuazione di piccole e medie imprese, pubblicato nella Gazzetta Ufficiale 12 ottobre 2005, n. 238);

Trattamenti effettuati con strumenti elettronici

Dal contenuto del provvedimento risulta che i soggetti interessati:

• possono impartire agli incaricati le istruzioni in materia di misure minime anche oralmente;
• possono utilizzare per l'accesso ai sistemi informatici qualsiasi sistema di autenticazione basato su username e password, provvedendo però a disattivare lo username nei casi in cui venga meno il diritto di accesso ai dati (es. fine del rapporto di lavoro per qualsiasi causa);
• possono assegnare agli incaricati, singolarmente o per categorie, profili di autorizzazione utilizzando meccanismi o funzioni insite negli applicativi software o nei sistemi operativi;
• possono adottare procedure o modalità che consentano l'operatività e la sicurezza del sistema (ad es. l'invio automatico delle mail ad un altro recapito accessibile) in caso di assenze prolungate o di impedimenti del dipendente;
• devono aggiornare i programmi diretti a prevenire le vulnerabilità dei sistemi (antivirus, personal firewall, ecc..) o a correggerne i difetti (patch, hotfix) almeno una volta l'anno, oppure con cadenza biennale nel caso in cui i sistemi stessi non siano connessi con reti di comunicazione elettronica accessibili al pubblico (Internet);
• devono effettuare il backup dei dati almeno una volta al mese; 

Trattamenti senza l'impiego di strumenti elettronici

In relazione ai trattamenti cd. cartacei si prevede che:

• i soggetti interessati possano impartire agli incaricati, anche oralmente, istruzioni per il controllo e la custodia degli atti e dei documenti contenenti dati personali durante l'intero ciclo delle operazioni di trattamento;
• gli incaricati, ai quali siano stati affidati atti e documenti contenenti dati personali sensibili o giudiziari, devono controllarli e custodirli, per evitare che ad essi accedano persone prive di autorizzazione, e restituirli al termine delle operazioni;

Con lo stesso provvedimento state inoltre fornite indicazioni per la redazione semplificata del documento programmatico sulla sicurezza mentre una ulteriore semplificazione è stata introdotta in relazione al modello utilizzato per le notificazioni.

Pur condividendo l'esigenza avvertita dal garante di rendere più snella l'applicazione della normativa da parte delle organizzazioni di dimensioni più piccole, mi pare però che la finalità di "mantenere un adeguato livello per le misure minime di sicurezza" non sia stata soddisfatta in pieno a causa di una eccessiva semplificazione di alcune misure.

Mi riferisco, in particolare, alla frequenza di aggiornamento dei programmi per la sicurezza e la correzione della vulnerabilità dei sistemi e di esecuzione del backup che rischia di rendere tali misure alquanto inefficaci in considerazione di fattori quali:

• il numero crescente delle vulnerabilità che vengono quotidianamente scoperte nel software applicativo e nei sistemi operativi
• l'incremento del grado di sofisticazione degli attacchi nei confronti dei sistemi informatici anche per mezzo di codice nocivo (malware)
• gli altri rischi legati all'obsolescenza dell'hardware, agli errori umani imputabili a disattenzione, scarsa formazione del personale, ecc...

E' quindi opportuno valutare sempre l'efficacia di tali misure semplificate alla luce dell'effettiva situazione di rischio che si riscontra in un determinato ambiente operativo.

Del resto non dimentichiamo che la semplificazione non appare idonea ad escludere la responsabilità per danni connessi al trattamento di dati personali, quando tali danni siano imputabili alla mancata adozione di misure preventive, diverse da quelle minime, che, in base al progresso tecnico, alla natura dei dati ed alle caratteristiche del trattamento, siano idonee a ridurre al minimo i rischi di distruzione o perdita, anche accidentale, dei dati stessi, di accesso non autorizzato o di trattamento non consentito o non conforme alle finalità della raccolta (art. 31 d.lgs. 196/03).

Il consiglio perciò è di semplificare ma con attenzione.

Fonte: Semplificazione delle misure di sicurezza contenute nel dispciplinare tecnico di cui all'Allegato B) al Codice in materia di protezione dei dati personali

Cloud computing: considerazioni ed altri aspetti (legali)

Da qualche tempo si fa un gran parlare di cloud computing, soprattutto oltreoceano, dove le tendenze in materia di information technology, generalmente, si delineano e diffondono per prime.

Il termine fa riferimento ad uno sviluppo ed utilizzo delle tecnologie dell'informazione basato su Internet e, da qui, la metafora dell'immagine della nuvola (cloud) impiegata nei diagrammi per indicare, appunto, la rete.

Non si tratta, per la verità, di un idea innovativa ma di una rivisitazione di concetti, forse un pò datati, tecnologicamente parlando, come, ad esempio, quelli del network computing, degli application service provider, del software-as-a-service, ecc...

I vantaggi del cloud computing

Al di là delle immancabili discussioni che precedono o accompagnano spesso l'adozione di una determinata tecnologia, questo modello presenta delle caratteristiche che lo rendono appetibile da più punti di vista:

• le capacità di archiviazione ed elaborazione delle informazioni vengono fornite sotto forma di servizio online accessibile, in quanto tale, anche a chi è privo delle conoscenze, dell'esperienza e delle capacità necessarie per il controllo e la gestione di una infrastruttura IT
• il risparmio sui costi di acquisto dell'hardware, delle licenze software e di supporto
• la mancanza di oneri di gestione della infrastruttura
• la grande flessibilità che permette di creare applicazioni di capacity-on-demand, soprattutto in combinazione con la tecnologia della virtualizzazione, in grado di supportare in modo efficiente data center o nuove linee di business

Considerati questi vantaggi, la tecnologia potrebbe suscitare l'interesse delle startup e delle piccole e medie imprese, normalmente alle prese con problemi di budget e con la mancanza, al loro interno, di figure in possesso delle competenze tecnologiche adeguate.

Gli aspetti legali

La perdita di controllo, a causa della centralizzazione delle architetture hardware e software di data storage e processing, pone però alcune questioni di natura legale, di non facile risoluzione.

Cominciamo con la privacy, ovviamente: l'obbligo, da parte di chi tratta dati personali, di esercitare su questi ultimi uno stretto controllo e di adottare idonee e preventive misure di protezione non si concilia affatto con la gestione da parte di terzi della infrastruttura nella quale gli stessi dati sono memorizzati.

Visto che la responsabilità del titolare permane, anche nel caso in cui i dati siano gestiti  e conservati presso un fornitore di servizi, nel contratto sarà necessario prevedere, a carico di quest'ultimo - probabilmente in qualità di responsabile esterno - l'obbligo di attenersi alle misure di sicurezza individuate.

Inoltre non è da sottovalutare il fatto che il mantenimento dei dati su server esterni possa comportare una violazione del divieto di trasferimento verso paesi, fuori dell'Unione Europea, il cui quadro normativo non assicura adeguati livelli di tutela.

Si tratta di un rischio tutt'altro che remoto, considerato che i fornitori di servizio possono adottare meccanismi di storage ridondanti, distribuiti in posti geograficamente distanti, per far fronte alle inevitabili esigenze di disaster recovery.

Ulteriori esigenze potrebbero poi avere origine nella necessità di garantire la sicurezza di tutti gli altri dati, diversi da quelli personali, e la conformità (compliance) a standard e normative, anche di settore o regolamentari.

Per tutti questi aspetti è ovvio che il contratto assume un ruolo essenziale: è quindi fondamentale è che i rapporti tra le parti risultino inquadrati sulla base di clausole molto dettagliate concernenti:

• tutte le condizioni che regolano la fruizione del servizio/i (modalità di accesso, strumenti, controlli, durata degli accordi, pagamenti, garanzie, eccezioni, obblighi specifici, ecc...)
• i livelli di servizio (Service Level Agreement) per la cui erogazione vi dovrebbe essere una garanzia di conformità a parametri di funzionamento, quantitativi e qualitativi, ben definiti e compatibili con le varie esigenze

Un ultimo aspetto, infine, è quello relativo alla difficoltà di identificare, a priori, l'autorità giudiziaria competente a decidere in materia di eventuali controversie od illeciti, anche penali, derivanti dal contratto od attinenti alla sua esecuzione.

Photo credit: Lucretious

Privacy e comunicazioni elettroniche: sulle modifiche della direttiva 2002/58/CE il parere del garante europeo

Prosegue l'iter di revisione della direttiva 2002/58/CE, relativa alla tutela dei dati personali e della vita privata nelle comunicazioni elettroniche.
Rispetto al mio precedente post, segnalo che il garante europeo della protezione dei dati personali è intervenuto, nel frattempo, con un suo parere (2008/C 181/01).

L'opinione espressa è abbastanza articolata ed il giudizio che emerge è globalmente positivo, anche se non mancano punti, peraltro condivisibili, sui quali il garante chiede un maggior sforzo da parte del legislatore europeo.

In sintesi le questioni toccate riguardano il campo di applicazione della normativa, la notifica delle violazioni di sicurezza dei dati, la possibilità per le persone fisiche e giuridiche di promuovere azioni giudiziarie contro gli spammer e l'archiviazione di informazioni nel terminale dell'utente.

Campo di applicazione

Viene giudicata favorevolmente l'estensione del campo di applicazione alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta ed identificazione dei dati (in pratica le applicazioni basate sull'identificazione a radiofrequenza o RFID).

Si richiede inoltre di includere in tale ambito anche i fornitori di servizi di comunicazione elettronica su reti miste (pubbliche/private) o private.

Questo allargamento, condiviso anche dal gruppo di lavoro dell'art. 29, sarebbe giustificabile in rapporto alla tendenza dei servizi di comunicazione a diventare sempre più un mix di risorse pubbliche e private e, quindi, alla crescente importanza che vanno assumendo queste reti e, con esse, al maggior numero di rischi per i dati personali degli utenti.

Notifica delle violazioni di sicurezza dei dati

Nel nuovo testo l'obbligo di notifica delle violazioni di sicurezza dei dati si applicherebbe ai soli fornitori di servizi di comunicazione elettronica accessibili al pubblico su reti pubbliche.

Tuttavia il garante europeo segnala l'opportunità di una attuazione su più vasta scala che ricomprenda anche i fornitori di servizi della società dell'informazione (banche, assicurazioni, servizi sanitari ed altre attività commerciali online).

Le ragioni sono da ricercare nell'ingente volume di dati trattati ormai anche da tali soggetti e nella loro natura spesso sensibile (dati inerenti la salute, carte di credito, ecc...).

A questo proposito condivido l'opinione sui riflessi indubbiamente positivi che questo comporterebbe, nel senso che:

• l'obbligo di notifica migliorerebbe l'affidabilità dei fornitori di servizi
  
• l'incremento di responsabilità costituirebbe una motivazione valida per aumentare gli investimenti in sicurezza e migliorare le misure applicate (spesso riconducibili alle sole misure tecnologiche)
  
• la notifica delle violazioni agirebbe come elemento di contrasto al fenomeno crescente dei furti di identità dal momento che i soggetti notificati potrebbero adottare le misure necessarie per impedire un utilizzo illecito dei propri dati (ad esempio una modifica, nel caso di credenziali di accesso, od un blocco, nel caso di carte di credito, e così via)

Tutela giudiziaria contro gli spammer

La modifica proposta prevede la possibilità per le persone fisiche e giuridiche, portatrici di un legittimo interesse, di intentare azioni giudiziarie nei confronti di coloro che violano le disposizioni relative all'invio di comunicazioni elettroniche indesiderate (in pratica i cd. spammer).

Ciò vale soprattutto per i fornitori dei servizi di comunicazione che hanno ovviamente tutto l'interesse commerciale di perseguire coloro che abusano delle loro reti ma anche per le associazioni di consumatori vittime del fenomeno.

Il garante, pur apprezzando la portata della nuova formulazione, la ritiene limitante in quanto non sarebbe, comunque, consentito proporre azioni con riferimento a violazioni di altre disposizioni della direttiva, cosa questa che, in effetti, mgliorerebbe sensibilmente l'efficacia e l'applicazione della stessa.

Archiviazione ed accesso alle informazioni sul terminale dell'utente

Viene espresso un particolare apprezzamento per la modifica dell'art. 5, paragrafo 3, della direttiva 2002/58/CE riguardante l'ipotesi di archiviazione ed accesso alle informazioni sul terminale dell'utente mediante tecnologie come cookies, spyware ed altri dispositivi simili.

L'eliminazione dal testo della norma del riferimento alle "reti di comunicazione elettronica", equivarrebbe a rendere operanti le particolari cautele, connesse all'esigenza di informare gli utenti ed al loro diritto di rifiutare il trattamento dei propri dati, anche nei casi di accesso ed archiviazione mediante supporti esterni (cd, dvd, chiavi usb, ecc..) e non soltanto tramite reti di comunicazione.

Differimento dei termini per le misure di conservazione dei dati del traffico telefonico e telematico

In data 24 luglio l'autorità garante della privacy, su sollecitazione dei fornitori dei servizi di comunicazione elettronica accessibili al pubblico, ha emanato un provvedimento contenente alcune modifiche al precedente provvedimento del 17 gennaio 2008 concernente l'adozione di specifici accorgimenti e misure a garanzia dei dati di traffico, conservati per finalità di accertamento e repressione dei reati.

La principale novità consiste nel differimento dei termini per adempiere alle prescrizioni relative all'attuazione delle misure di sicurezza previste.
Infatti il termine originariamente fissato al 31 ottobre 2008 è ora differito al 30 aprile 2009 mentre, per l'adozione delle misure di strong authentication concernenti gli incaricati che accedono ai dati di traffico nell'ambito delle attività di call center, il termine slitta al 30 giugno 2009.

Questa decisione prende le mosse dalla considerazione della complessità degli interventi tecnici richiesti ma anche delle recenti modifiche apportate sia dalla legge 18 marzo 2008, n. 48 che ha introdotto una particolare ipotesi di conservazione temporanea dei dati relativi al traffico telematico, ai fini dello svolgimento di investigazioni preventive o di accertamento e repressione dei reati, sia dal decreto legislativo 30 maggio 2008, n. 109 con il quale è stata data attuazione alla direttiva europea 2004/26/CE.

Fonte: Recepimento normativo in tema di dati di traffico telefonico e telematico

Convenzione di Budapest - Legge 18 Marzo 2008, n. 48

| View | Upload your own

Come rendere più sicure le password ?

Le password rappresentano, ancora oggi, uno dei metodi di autenticazione più utilizzati e, purtroppo, meno sicuri per accedere a sistemi informatici di varia natura.

Alcuni di questi sistemi (postazioni di lavoro, fisse e mobili, server aziendali, posta elettronica) ci permettono di gestire, direttamente o tramite soggetti incaricati, i dati personali altrui (clienti, fornitori, ecc...); altri, invece, rendono possibile un accesso ai nostri dati (social network), alle nostre risorse finanziarie (e-banking) oppure ai contenuti che creiamo e diffondiamo sulla rete (blog, sito web, ecc...).

Fatto sta che in tutti questi casi la riservatezza e l'integrità delle nostre e delle altrui informazioni viene a dipendere molto dal livello di sicurezza della componente di autenticazione della classica coppia userid/password.

Per rendere le password meno sensibili agli attacchi di guessing e brute-forcing e ridurre il rischio o mitigare gli effetti di una loro eventuale compromissione si possono adottare alcune contromisure:

1. lunghezza adeguata (dovrebbe essere variabile in relazione alla sensibilità delle informazioni da proteggere ma una buona base di partenza potrebbe essere di 8 caratteri)
2. differenziazione (una password diversa per ogni sistema, non la stessa per tutti i sistemi !)
   
3. estraneità con qualsiasi parola esistente in un normale vocabolario o riconducibile al soggetto (dimenticate i nomi di coniugi, figli, date di nascita, targhe di automobili, ecc..)
   
4. composizione alfanumerica (numeri e lettere con l'aggiunta di eventuali segni di interpunzione) con caratteri misti (maiuscole e minuscole)
   
5. custodia adeguata
   
6. modifica frequente

Molte persone che conosco o con le quali entro in contatto sono restie ad applicare questi accorgimenti.
In particolare i parametri di lunghezza, differenziazione e composizione rendono la generazione e la conservazione delle credenziali un vero e proprio incubo, con tutte le conseguenze negative del caso (password identiche, facili da indovinare, per di più scritte su fogli di carta, post-it, fogli excel, ecc...).

Non bisogna neanche dimenticare le responsabilità legali: chiunque tratta dati personali è infatti obbligato a rispettare le prescrizioni minime (e non solo !) dettate per la sicurezza dei dati dal d.lgs. 196/03, tra le quali rientrano appunto determinati requisiti di lunghezza, composizione e conservazione delle password di autenticazione.

Sulla rete sono disponibili diversi software utilizzabili per assicurare la conformità con questi requisiti/misure: uno di questi è Keepass gratuito e rilasciato con licenza open source.

Keepass è un gestore che memorizza le password all'interno di un database, costituito da un file crittografato con una chiave scelta dall'utente (master key).

Lo schema di cifratura adottato è l'AES (lo standard utilizzato dal governo U.S.A) oppure Twofish.

Il principale vantaggio è che l'utente deve ricordare una sola password, quella per accedere al database nel quale possono essere conservate tutte le altre credenziali, relative ai servizi/sistemi più disparati.

Alcune caratteristiche apprezzabili di Keepass sono:

1. la leggerezza del programma in termini di risorse utilizzate
2. la facilità d'uso (esiste anche una versione portabile per l'uso immediato con dispositivi removibili come le chiavette usb)
   
3. la presenza di plugin di estensione delle funzionalità
   
4. la presenza di un modulo per la generazione di password che rispettino i requisiti di complessità impostati dall'utente
   
5. la possibilità di memorizzare le password per categorie (internet, email, e-banking, ecc...) e di fissarne una scadenza
   
6. la notifica delle password scadute
7. il controllo di altri aspetti come, ad esempio, la pulizia automatica della clipboard trascorsi un certo numero di secondi
   

Ovviamente in un sistema del genere il principale punto debole è costituito dalla master key che deve essere particolarmente robusta ed adeguatamente custodita per evitare l'accesso non autorizzato all'intero database della credenziali.

Il senato approva la ratifica della convenzione di Budapest

Apprendo la notizia che il Senato ha approvato in data 27 febbraio 2008 il disegno di legge di ratifica della convenzione di Budapest del 2001 sulla criminalità informatica.



Quanto avevo già espresso nel mio precedente post rimane perciò valido: in particolare nel testo del Senato è prevista l'introduzione nel decreto legislativo 231/01 del nuovo articolo 24-bis che prevede, non soltanto l'applicazione di sanzioni pecuniarie, ma, in caso di condanna, anche delle sanzioni interdittive.



Ora bisognerà attendere la pubblicazione del testo definitivo sulla Gazzetta Ufficiale.

In futuro, forse, nessuna scusante per la (in)sicurezza informatica

In data 20 febbraio 2008 la camera dei deputati ha approvato il disegno di legge nr. 2807 sulla ratifica ed esecuzione della convenzione di Budapest del 2001 relativa alla criminalità informatica.

Ora bisognerà attendere l'approvazione anche da parte dell'altro ramo del Parlamento.

Al di là delle modifiche alle norme del codice penale e di procedura penale, vorrei fare una breve considerazione sul potenziale allargamento della responsabilità amministrativa delle persone giuridiche alle ipotesi di commissioni dei reati informatici che verrebbe ad essere prevista dal nuovo articolo 25-septies del decreto legislativo 8 giugno 2001 nr. 231.

Con le dovute eccezioni l'Italia, come si sa, è un paese nel quale la sicurezza informatica viene ancora percepita dalla maggior parte delle aziende come un fattore di puro costo che frena il business anzichè renderlo più competitivo.

Per combattere questa pericolosa tendenza c'è sicuramente bisogno di un opera di educazione lunga e continua che non può però prescindere dall'esistenza di un adeguato supporto normativo.

In passato una certa inversione di tendenza è già stata parzialmente attivata con il decreto legislativo 196/03 che, nella prospettiva di garantire una adeguata protezione dei dati personali, ha finito per codificare nel nostro ordinamento giuridico alcune tra le più note best practices in materia di sicurezza (la maggior parte delle quali è contenuta nell'allegato B).

Forse la probabile ratifica della convenzione potrebbe dare una ulteriore scossone in questa direzione tanto più che, per effetto della modifica citata, la sicurezza IT dovrebbe essere inglobata, molto più di quanto non lo sia attualmente, nelle strategie di corporate governance e di controllo interno delle persone giuridiche.

Sulla proposta di revisione della direttiva 2002/58/CE

Il 13 novembre del 2007 la commissione delle comunità europee ha presentato una proposta di modifica della direttiva 2002/58/CE relativa al trattamento dei dati personali ed alla tutela della vita privata nel settore delle comunicazioni elettroniche .

La proposta reca in sè alcune novità abbastanza rilevanti dirette a rafforzare la tutela della vita privata e della riservatezza dei dati attraverso un complesso di disposizioni più rigoroso in materia di sicurezza e meccanismi di controllo:

1. obbligo di notifica delle violazioni di sicurezza che comportano la perdita dei dati personali degli utenti o compromettono i dati stessi;
2. rafforzamento delle disposizioni di attuazione relative alla sicurezza delle reti e delle informazioni, da adottare previa consultazione dell'Autorità;
3. rafforzamento delle disposizioni di attuazione e controllo per far sì che, a livello dei singoli Stati membri, siano disponibili misure sufficienti di lotta nei confronti dei messaggi di posta elettronica indesiderata (spam);
4. precisazione che la direttiva si applica anche alle reti di comunicazione pubbliche che supportano i dispositivi di raccolta dati e di identificazione (compresi i dispositivi funzionanti senza contatto, quali gli RFID (Radio Frequency Identification Devices, dispositivi di identificazione a radiofrequenza);

In particolare l'obbligo di notifica, di cui al primo punto, verrebbe introdotto attraverso una modifica dell'articolo 4 della direttiva citata, intitolato "Sicurezza del trattamento", tramite l'aggiunta di un paragrafo (3) dal seguente tenore: "Se si produce una violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di servizi di comunicazione accessibili al pubblico nella Comunità, il fornitore dei servizi di comunicazione elettronica accessibili al pubblico comunica senza indugio l'avvenuta violazione all'abbonato e all'autorità nazionale di regolamentazione. La comunicazione all'abbonato contiene almeno una descrizione della natura della violazione ed elenca le misure raccomandate per attenuarne i possibili effetti negativi. La comunicazione all'autorità nazionale di regolamentazione descrive, inoltre, le conseguenze della violazione e le misure adottate dal fornitore per porvi rimedio".

Dunque con tale modifica diventerebbe operativo nell'ordinamento giuridico comunitario un meccanismo analogo a quello già in vigore negli Stati Uniti, previsto dalla "California Security Breach Notification Law (SB 1396)", anche se di ambito più ristretto, applicandosi soltanto ai fornitori di servizi di comunicazione accessibili al pubblico.

Altrettando importante, anche in una ottica di rafforzamento delle azioni di contrasto al fenomeno delle comunicazioni commerciali indesiderate, appare inoltre la previsione del nuovo paragrafo 6 dell'articolo 13 che prevede espressamente la possibilità per i fornitori di servizi di comunicazione elettronica di promuovere azioni giudiziarie per tutelare gli interessi propri o dei propri clienti.

Sicurezza dei dati del traffico telefonico e telematico: le regole

il garante della privacy ha dettato le regole di base per garantire la sicurezza dei dati del traffico telefonico e telematico, conservati per finalità di accertamento e repressione dei reati e per le altre finalità previste dalla vigente normativa.

Considerata la delicatezza dei dati in gioco ed i lunghi periodi di conservazione che, a seguito delle recenti modifiche del decreto Pisanu, possono raggiungere gli otto anni per il traffico telefonico ed i quattro per quello telematico, il provvedimento specifica le misure tecniche ed organizzative, comuni a tutto il settore delle comunicazioni elettroniche, idonee a garantire un elevato livello di protezione dei dati stessi.

Le misure che dovranno essere applicate da gestori telefonici e fornitori di servizi di comunicazione entro il 31 ottobre 2008 riguardano, in particolare, i seguenti aspetti:

• accesso ai dati: deve essere consentito al personale incaricato, compresi gli amministratori di sistema, attraverso sistemi avanzati di autenticazione che possono ricomprendere anche i sistemi biometrici;
• accesso ai locali: i locali nei quali sono ospitati i sistemi con cui si elaborano i dati del traffico oggetto di conservazione devono disporre di meccanismi biometrici di controllo degli accessi;
  
• sistemi di autorizzazione: oltre ad una opportuna differenziazione dei profili autorizzativi è prevista l'adozione di forme di separazione funzionale tra chi assegna le credenziali di autenticazione e chi accede ai dati;
  
• tracciamento delle attività: devono essere predisposti appositi sistemi di logging per tenere traccia degli accessi e delle altre operazioni effettuate sia dagli incaricati che dagli amministratori di sistema;
  
• conservazione separata: i dati conservati per finalità di repressione dei reati vanno separati da quelli relativi ad altre funzioni aziendali;
  
• cancellazione: decorso il periodo di conservazione i dati vanno immediatamente cancellati, anche dalle copie di backup, oppure resi anonimi;
  
• controlli interni: periodicamente devono essere compiuti degli audit relativamente alla legittimità degli accessi, al rispetto delle norme di legge e delle misure tecniche ed organizzative ed alla cancellazione dei dati;
  
• crittografia: i dati trattati per finalità di giustizia devono essere ulteriormente protetti, contro il rischio di accessi illegittimi, mediante il ricorso a tecniche crittografiche;
  

Sono invece esclusi dall'ambito di applicazione del provvedimento i gestori di esercizi pubblici e Internet café, i gestori di siti Internet che diffondono contenuti sulla rete ("content provider"), i gestori dei motori di ricerca, le aziende o le amministrazioni pubbliche che mettono a disposizione del personale reti telefoniche e informatiche (es. centralini aziendali) o che si avvalgono di server messi a disposizione da altri soggetti.

Fonte: Sicurezza dei dati del traffico telefonico e telematico.

Vulnerabilità nel formato PDF

Di recente è stata pubblicata la notizia relativa all'esistenza di un probabile bug nel formato Adobe PDF che permetterebbe di nascondere all'interno di questi documenti un codice javascript, provocandone l'esecuzione automatica.

La vulnerabilità è stata definita critica in quanto concernente uno dei formati documentali maggiormente diffusi al mondo, spesso veicolo di informazioni di grande importanza e riservatezza all'interno delle aziende e non soltanto.

L'attacco sembrerebbe interessare principalmente i client Acrobat 7.x e 8x delle piattaforme Windows XP/2003 e, forse, anche altri tipi di reader abbastanza popolari come FoxitReader.

Non sono stati divulgati finora codici di exploit e la Adobe è stata interessata direttamente del problema al quale si sta interessando.

Fonte: Punto Informatico