GPDR | IT solution Srl

Il fenomeno del data breach

ITSolution — Tue, 08 Nov 2022 09:34:46 +0000

Una violazione di sicurezza che comporta (accidentalmente o in modo illecito) la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati. Questo è il data breach, ossia la violazione dei dati personali: una piaga tutta contemporanea che, ai tempi della clamorosa accelerazione digitale, sta mettendo in difficoltà migliaia di imprese.

Cos’è una violazione dei dati personali

Le violazioni dei dati o data breach possono verificarsi in organizzazioni di qualsiasi dimensione, dalle piccole imprese alle grandi società. Possono riguardare informazioni sulla salute personale, informazioni di identificazione private, segreti commerciali o altre informazioni riservate.
Le esposizioni comuni alla violazione dei dati includono informazioni personali come numeri di carte di credito, di previdenza sociale, di patente e precedenti sanitari; nonché informazioni aziendali come elenchi di clienti e codice sorgente.
Se qualcuno che non è autorizzato a farlo visualizza dati personali o li ruba completamente, si dice che l’organizzazione incaricata di proteggere tali informazioni abbia subito un data breach. Se una violazione dei dati si traduce in un furto di identità o in una violazione degli obblighi di conformità del governo o del settore, l’organizzazione incriminata può essere soggetta a sanzioni, contenziosi, perdita di reputazione e persino la perdita del diritto di gestire l’attività.

I costi

Recenti casi di attualità parlano di data breach ai danni non solo di piccole e medie imprese ma anche di realtà come IBM e SAP che, proprio di recente, hanno visto esporre su server underground dati e credenziali personali di oltre 30mila tra dipendenti e collaboratori. Una piaga che si è inevitabilmente intensificata in seguito all’accelerazione verso il cloud e i servizi digitali scatenata dall’emergenza sanitaria e da una complessa ripartenza.
Secondo l’ultima edizione del report annuale “Cost of a data breach” realizzato da Ponemon Institute in collaborazione con IBM, emerge infatti che il costo medio globale delle violazioni dei dati ha raggiunto la cifra record di 4,35 milioni di dollari, con un aumento del 13% rispetto all’ultimo biennio. Una progressione che, secondo molti esperti, darà vita, soprattutto nel nostro Paese (l’Italia nel 2021 è stato il secondo Paese in Europa per valore delle sanzioni legate al mancato rispetto del GDPR proprio in materia di privacy e violazione dei dati) ad un aumento sostanzioso di prezzi di beni e servizi.

Cosa fare in caso di violazione dei dati personali

A livello legale, il GDPR (regolamento generale sulla protezione dei dati) dell’Unione Europea, entrato in vigore nel giugno 2018, richiede alle organizzazioni di notificare alle autorità una violazione entro 72 ore. Il GDPR non si applica solo alle organizzazioni con sede all’interno dell’UE, ma si applica anche alle organizzazioni con sede al di fuori dell’UE se offrono beni o servizi o monitorano il comportamento degli interessati dell’UE.
Il titolare del trattamento (soggetto pubblico, impresa, associazione, partito, professionista, ecc.) senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza, deve notificare la violazione al Garante per la protezione dei dati personali a meno che sia improbabile che la violazione dei dati personali comporti un rischio per i diritti e le libertà delle persone fisiche.
Il responsabile del trattamento che viene a conoscenza di un’eventuale violazione è tenuto a informare tempestivamente il titolare in modo che possa attivarsi. Le notifiche al Garante effettuate oltre il termine delle 72 ore devono essere accompagnate dai motivi del ritardo.
Inoltre, se la violazione comporta un rischio elevato per i diritti delle persone, il titolare deve comunicarla a tutti gli interessati, utilizzando i canali più idonei, a meno che abbia già preso misure tali da ridurne l’impatto.

Il caso BeeCyber

Di fronte ad una situazione così delicata, Infor (realtà di eccellenza tutta italiana nel mercato dell’innovazione digitale) ha messo in campo una divisione ad hoc come BeeCyber: un team di esperti con una storia di eccellenza tecnologica lunga oltre 30 anni. Un mix straordinario di passato, presente e futuro che sta permettendo al team di BeeCyber di fare la differenza in maniera determinante sul territorio proprio in questa delicata fase di ripartenza.

«Lo spazio digitale diventa sempre più importante, decisivo per le imprese ma anche più complesso – ci racconta Massimo Germi, Cyber Security Manager at BeeCyber (Infor) -. Una complessità in termini tecnologici, strategici, manageriali. Noi ci stiamo proponendo come partner in grado di farsi carico di questa complessità perché conosciamo come pochi le imprese, il territorio e le richieste che queste realtà fanno proprio al digitale. Essere sicuri, avere sotto controllo i dati, non subire un data breach oggi vuol dire essere più competitivi e vincenti in un mercato semrpe più aggressivo. Per questo – continua il manager– abbiamo investito da tempo su competenze dedicate e sulla capacità di costruire soluzioni personalizzate, una sicurezza su misura».

«Proprio la piaga dei data breach con le conseguenze in termini normativi e anche di investimenti per il recupero e il ripristino dei dati – racconta Massimiliano Belletti, Senior Cybersecurity Sales Engineer at BeeCyber (Infor) – è un tema che sta aiutando le imprese a capire che la security non è una questione meramente tecnologica, ma chiama in causa il business e il futuro stesso di una azienda. Ecco perchè, proprio in tema di gestione e protezione dei dati serve un approccio che parta dall’analisi della “postura” generale di una azienda, bisogna capire, studiare abitudini, processi, modalità di lavoro e condivisione delle informazioni. Solo così nasce la migliore soluzione e soprattutto il miglior servizio di sicurezza per una azienda. Che non è necessariamente il migliore in senso assoluto a livello tecnologico ma è sicuramente il migliore per quella specifica realtà di business. Questo è il nostro modo di sfidare l’allarme data breach e di aiutare le imprese ad evitare guai come quelli che stanno certificando tanti casi di cronaca recente».

Come avvengono i data breach

Le tipologie di violazione dei dati sono piuttosto varie ma possono quasi sempre essere attribuite ad una vulnerabilità o ad una lacuna nella “postura” di sicurezza che i criminali informatici utilizzano per accedere ai sistemi o ai protocolli dell’organizzazione. Quando ciò accade, il rischio finanziario della perdita di dati può essere devastante. Secondo l’ “Internet Crime Report” del Federal Bureau of Investigation del 2021, le organizzazioni hanno perso 6,9 miliardi di dollari nel 2021 a causa della criminalità informatica in tutto il mondo. Gran parte di questa perdita è dovuta a violazioni dei dati.
Osservando l’attuale panorama informatico, le potenziali cause di una violazione dei dati possono includere quanto segue:

Fuga o esposizione accidentale di dati: errori di configurazione o errori di valutazione nella gestione dei dati possono creare opportunità per i criminali informatici.
Dati in movimento: i dati non crittografati possono essere intercettati mentre ci si sposta all’interno di una rete locale aziendale, in una rete geografica o in transito su uno o più cloud.
Malware, ransomware o Structured Query Language (SQL): l’accesso a sistemi o applicazioni apre la porta a malware e attività correlate al malware, come SQL injection.
Phishing: sebbene il phishing utilizzi spesso malware per rubare dati, può anche utilizzare altri metodi per raccogliere informazioni che possono essere utilizzate per accedere ai dati.
Denial of Service (DDoS) distribuito: gli attori delle minacce possono utilizzare un attacco DDoS come un modo per distrarre gli amministratori della sicurezza per accedere ai dati utilizzando metodi alternativi. Inoltre, le modifiche da parte dell’azienda per mitigare un attacco possono portare a configurazioni errate che creano nuove opportunità di furto di dati.
Registrazione delle sequenze di tasti: questa forma di software dannoso registra ogni sequenza di tasti immessa in un dispositivo informatico e la utilizza per rubare nomi utente e password da cui è possibile accedere ai dati.
Password indovinate: quando sono consentiti tentativi illimitati di password o accettate password semplici, è possibile utilizzare strumenti di cracking delle password per accedere a sistemi e dati. Per aiutare gli utenti a gestire password complesse, gli strumenti di gestione delle password sono un modo per mantenere le password organizzate e protette centralmente.
Violazione della sicurezza fisica: l’accesso a una posizione fisica o a una rete in cui sono archiviati dati sensibili può causare gravi perdite o danni all’azienda.
Card skimmer e intrusione nei punti vendita: una minaccia incentrata sull’utente legge le informazioni sulla carta di credito o di debito che possono essere utilizzate in seguito per infiltrarsi o aggirare le misure di sicurezza.
Hardware perso o rubato: un hardware lasciato incustodito o non sicuro offre un modo semplice e poco tecnologico per rubare i dati.
Ingegneria sociale: i criminali informatici manipolano gli esseri umani per ottenere l’accesso non autorizzato ai sistemi o ai processi di cui sono in possesso. Queste minacce tendono a concentrarsi sugli strumenti di comunicazione e collaborazione e, più recentemente, sul furto di identità sui social media
Mancanza di controlli di accesso: i controlli di accesso mancanti o obsoleti sono un ovvio punto di ingresso che può portare a una violazione di un sistema con l’ulteriore minaccia di movimento laterale. Un esempio di mancanza di controlli di accesso è la mancata implementazione dell’autenticazione a più fattori (MFA) su tutti i sistemi e le applicazioni.
Backdoor: qualsiasi metodo non documentato per ottenere l’accesso, intenzionale o non intenzionale, è un ovvio rischio per la sicurezza che spesso porta alla perdita di dati.
Minaccia interna: numerosi incidenti di sicurezza informatica provengono da utenti interni che hanno già accesso o conoscenza di reti e sistemi. Questo è il motivo per cui il monitoraggio delle azioni degli utenti è così fondamentale.

Come prevenire la violazione dei dati e i data breach

I manager di BeeCyber spiegano che non esiste uno strumento di sicurezza o di controllo in grado di prevenire completamente le violazioni dei dati. I mezzi più ragionevoli per prevenire le violazioni dei dati coinvolgono pratiche di sicurezza di buon senso e nozioni di base sulla sicurezza, come le seguenti:

Istruire i dipendenti sulle best practice di sicurezza dell’organizzazione.
Condurre valutazioni di vulnerabilità continue.
Implementare un piano di backup e ripristino dei dati.
Aggiornare la propria BYOD (bring your own device), e le politiche di sicurezza dei dati.
Condurre penetration test.
Implementare una protezione antimalware.
Usare password complesse e passphrase.
Implementare l’autenticazione a più fattori e garantire modifiche periodiche della password.
Applicare costantemente le patch software e gli aggiornamenti necessari su tutti i sistemi.

Sebbene questi passaggi aiutino a prevenire le intrusioni in un ambiente, gli esperti di sicurezza delle informazioni incoraggiano anche la crittografia dei dati sensibili, sia in locale che nel cloud. In caso di intrusione nell’ambiente, la crittografia impedisce agli attori delle minacce di accedere ai dati effettivi.

Fonte: Sergente Lorusso

The post Il fenomeno del data breach first appeared on IT solution Srl.

Le peggiori password del 2018

Francesco Ongaro — Tue, 15 Jan 2019 11:25:42 +0000

Anche quest’anno diamo un’occhiata alla curiosa classifica riguardante le peggiori password del 2018: pare che la “sinfonia” –rispetto ai dati 2017– non sia molto cambiata.

La fonte è sempre SplashData: la sua analisi si è basata su oltre cinque milioni di password trapelate su Internet quest’anno, su scala mondiale.
Stabili al primo e secondo posto le inossidabili “123456” e “password”, rimangono le password più popolari online nonché le peggiori da usare. A seguire ci sono poi le cosiddette estensioni, ossia altrettanto semplici sequenze di numeri quali “123456789”. Tra le new entry si trovano “111111”, “sunshine”, “princess”, “666666”, “654321” e “donald”. In linea di massima, ci si trova spesso a che fare con nomi riferiti a persone, alla cultura pop o cose casuali come “cookie” e “banana” o ancora anni o date di nascita e termini molto semplici come “test”.

Chi sono gli utenti che ricorrono a queste password?

Secondo SplashData, almeno il 10% delle persone ha utilizzato una delle 25 peggiori password della lista stilata in riferimento al 2018 e quasi il 3% ha utilizzato la password peggiore in assoluto almeno una volta. Ulteriore nota dolente: la maggior parte delle cinque milioni di password che sono state prese in considerazione da SplashData provenivano da utenti in Nord America ed Europa Occidentale.

E il GDPR?

L’entrata in vigore del GDPR, che ha portato con sé la necessità di un adeguamento dei criteri di sicurezza applicati nella protezione dei dati, compreso il ricorso a password “forti”, avrebbe, se non altro, dovuto far uscire gli utenti europei dai risultati dell’analisi di SplashData. Un campanello di allarme quindi che ci fa capire che in ambito di sicurezza c’è ancora molto da fare, partendo da un’azione semplice come la scelta di una password adeguata.

The post Le peggiori password del 2018 first appeared on IT solution Srl.

I numeri del Garante della Privacy: conosciamo questa figura tramite il report sull’attività 2017

Francesco Ongaro — Fri, 28 Sep 2018 09:37:34 +0000

La figura del Garante per la Protezione dei Dati Personali ha senz’altro acquisito un certo rilievo negli ultimi mesi. Lo si può identificare come il giudice supremo, colui che vigila sulla corretta applicazione della normativa sulla privacy -il ben noto GDPR- e che ne prende i provvedimenti in caso di non rispetto. In precedenti occasioni in cui il Garante è stato interpellato, è trapelata una posizione un po’ incerta e/o ambigua circa il suo ruolo di “bacchettone” alla luce di quanto previsto dal GDPR. Cerchiamo tuttavia di capire con chi abbiamo a che fare analizzando l’attività svolta dal Garante nell’anno passato. I dati che seguono sono stati forniti dal Garante stesso tramite il suo report annuale.

Un’attività ampia e articolata

Va premesso che il ruolo del Garante prevede un’attività molto ampia che non riguarda esclusivamente le novità introdotte dal GDPR, ma anche altre tematiche come i rischi della Rete e il cyberbullismo, la sicurezza cibernetica, il telemarketing, la lotta al riciclaggio, ecc. ecc. A giocare un ruolo di primo piano è da diverso tempo il telemarketing selvaggio e diversi sono stati i provvedimenti emessi nei confronti di operatori impegnati nelle proposte di servizi finanziari, contratti energetici e telefonici.

I numeri del 2017

Nel 2017 sono stati adottati 573 provvedimenti collegiali, oltre ad aver dato riscontro a ben 6000 reclami e segnalazioni. I settori interessati sono stati: marketing telefonico, credito al consumo, videosorveglianza, concessionari di pubblico servizio, recupero crediti, settore bancario e finanziario, assicurazioni lavoro, giornalismo, enti locali, sanità e servizi di assistenza sociale. 41 sono state le comunicazioni di notizie di reato all’autorità giudiziaria, nella maggior parte dei casi per mancata adozione di misure minime di sicurezza e protezione dei dati e trattamento illecito. 507 le violazioni amministrative, in buona parte riguardanti il trattamento di dati senza consenso, la diffusione di dati su Internet da parte della P.A., il telemarketing, oltre all’omessa o inadeguata informativa agli utenti sul trattamento dei loro dati, la mancata adozione di misure di sicurezza e l’omessa esibizione di documenti al Garante.

Ispezioni e sanzioni

Ma veniamo ai numeri più interessanti, ossia quelli che più dovrebbero far riflettere le aziende circa la loro posizione nei confronti del GDPR. Nel 2017 sono state effettuate 275 ispezioni in numerosi e delicati settori, sia nell’ambito pubblico che privato (in quest’ultimo emergono società operanti nella “sharing economy”, imprese di vendita a domicilio, società che offrono servizi di informazioni commerciali o svolgono attività di telemarketing locate in Albania). Ne sono scaturite sanzioni amministrative per circa 3 milioni 800 mila euro, valore che segna un +15% rispetto al 2016.

Cosa ci attendiamo per il 2018?

Sicuramente una situazione drasticamente diversa la si attende per il report che riporterà i dati del 2018. È atteso un aumento sia del numero delle ispezioni sia delle sanzioni amministrative fondamentalmente per due motivi: ovviamente da un lato il Garante deve dimostrarsi ricettivo e attivo rispetto alle nuove disposizione dettate dal GDPR e di conseguenza intensificare i controlli; dall’altro lato con buona probabilità aumenteranno le segnalazioni da parte di privati che nel corso degli ultimi mesi hanno acquisito sempre maggiore consapevolezza circa i loro diritti.

Sara Avanzi

The post I numeri del Garante della Privacy: conosciamo questa figura tramite il report sull’attività 2017 first appeared on IT solution Srl.

90 giorni di GDPR: elementi positivi, lacune e la minaccia delle sanzioni

Francesco Ongaro — Thu, 30 Aug 2018 09:50:05 +0000

A tre mesi dall’entrata in vigore del GDPR è tempo di tracciare un primo bilancio. Diversi sono i punti da prendere in considerazione considerando la portata di questa novità legislativa e in virtù del fatto che devono essere ancora sperimentati gli scenari che sicuramente allarmano di più le aziende, ossia i controlli e le relative sanzioni che scatteranno nei confronti dei soggetti inadempienti.

Un regolamento tecnologicamente obsoleto

Senza ombra di dubbio (sfidiamo chiunque ad affermare il contrario) è aumentata l’attenzione su temi come la tutela della privacy e quindi la protezione dei dati: probabilmente tale attenzione non viene sviluppata tanto dai consumatori quanto più dalle aziende -specialmente se di grosse dimensioni- che si trovano a gestire le tipologie di dati oggetto del nuovo regolamento. Un’altra riflessione emerge dai primi tentativi di adeguamento del GDPR: si è difatti riscontrato che il regolamento, essendo stato elaborato ormai cinque anni fa, per certi versi risulta obsoleto. In particolare, il GDPR si trova a fare i conti con il boom che ha investito alcune tecnologie della comunicazione di utilizzo quotidiano e che portano inevitabilmente a gestire e diffondere dati personali. Si pensi, per esempio, a WhatsApp: con che diritto l’amministratore di un gruppo può inserire il nostro contatto in un gruppo appunto dove sono presenti persone a noi sconosciute e che possono quindi entrare in possesso del nostro numero di cellulare???? Questo aspetto non è di competenza del GDPR, ma non temete…rientrerà nell’apposito regolamento dell’ePrivacy in fase di elaborazione da parte dell’Unione .

Abbasso i cookie e l’attività di profilazione

Rimanendo sul comparto digitale, un dato interessante che emerge da questi primi mesi di GDPR è la diminuzione della quantità di cookie, soprattutto quelli per la raccolta di dati ai fini di marketing. Alcuni gestori di siti hanno poi scelto di rinunciare ai pulsanti di condivisione dei propri articoli sui social, rinunciando dunque alla pratica della profilazione, ossia una forma di elaborazione dei dati dell’utente atta a classificare i dati in questione in gruppi in base ai gusti, agli interessi e ai comportamenti. Verranno dunque meno le cosiddette campagne mirate.

Controlli e sanzioni by Garante della privacy

Ma veniamo al tema più scottante, anche se fin da principio abbiamo affermato che di controlli e sanzioni non si è ancora avuto alcun riscontro. Per ammissione dell’Autorità Garante Protezione Dati Personali, è in corso un processo di riorganizzazione che riguarda l’Autorità stessa e che l’ha portata a non intraprendere ancora alcun procedimento verso i cosiddetti inadempienti. Tuttavia, l’Autorità è ben conscia del fatto che “le regole sono regole” e come tali vanno applicate. Dichiarazioni nel complesso un po’ ambigue che non fanno ben intendere la posizione presa dall’Autorità, per alcuni versi apparentemente accomodante e per altri decisamente no…nel dubbio state in campana!!!

Sara Avanzi

The post 90 giorni di GDPR: elementi positivi, lacune e la minaccia delle sanzioni first appeared on IT solution Srl.

Dalla Gran Bretagna la prima multa per Facebook nello scandalo Cambridge Analytica

Francesco Ongaro — Mon, 16 Jul 2018 10:17:11 +0000

Dalle parole ai fatti: a distanza di qualche mese dai rumors creati dalla questione di rilevanza internazionale, meglio conosciuta come “scandalo Cambridge Analytica”, è arrivata per Facebook la prima multa. A decretare la sanzione sono stati gli inglesi annunciando una multa preliminare di 500mila sterline (565mile euro), ossia l’ammontare massimo consentito; la colpa imputata a Facebook non poteva che essere l’assenza di sufficienti protezioni della privacy e minime attenzioni che avrebbero potuto impedire a Cambridge Analytica di manipolare l’opinione pubblica…e in mezzo c’è finito anche il voto in favore della Brexit nel 2016. In realtà non si tratta di una multa “definitiva” in quanto l’Ufficio del Commissario sulle Informazioni, ossia l’agenzia di controllo dei dati britannica, sta discutendo ulteriormente sulla questione Facebook. Molto probabilmente, tale mancanza di misure definitive è dovuta al fatto che secondo la Commissione (ICO), le ricadute dello scandalo Cambridge Analytica sono solo agli inizi e la stessa Facebook sta collaborando nello svolgimento delle indagini con l’ICO, così come con le autorità degli altri paesi.

Nello specifico, in un rapporto di circa 40 pagine, i regolatori britannici hanno posto l’accento sul fatto che Facebook abbia fondamentalmente permesso a Kogan, ricercatore dell’Università di Cambridge, di creare un’app che raccogliesse dati sugli utenti del social e sui loro amici per conto di Cambridge Analytica. Allo stesso modo, gli investigatori britannici hanno poi criticato il fatto che Facebook non sia riuscito ad adottare delle adeguate misure di sicurezza onde evitare che sviluppatori di app di terze parti abusassero dei dati social. Secondo l’agenzia britannica, l’attività di Kogan potrebbe essere stata interrotta già nel 2014. Specifiche sanzioni sono ancora al vaglio dell’agenzia britannica nei confronti di Kogan e Nix, l’ex amministratore delegato di Cambridge Analytica, oltre a un procedimento penale contro la casa madre, SCL Elections.

L’epilogo di questa faccenda sembra dunque essere piuttosto lontano: uno scandalo di questa portata ha condotto i britannici a fare il cosiddetto “pelo e contropelo” al social più famoso al mondo. A quanto pare l’indagine condotta oltremanica avrebbe portato a prove che copie di dati o parti di essi siano state condivise con altre parti e su altri sistemi, smentendo l’affermazione di Cambridge Analytica secondo cui i dati erano stati cancellati nel 2015.

Sara Avanzi

The post Dalla Gran Bretagna la prima multa per Facebook nello scandalo Cambridge Analytica first appeared on IT solution Srl.

GDPR e phishing: non lasciatevi ingannare

Giorgia Staff ITSolution — Fri, 15 Jun 2018 13:02:03 +0000

A seguito dell’entrata in vigore del GDPR, avrete notato che la casella mail è costantemente bombardata da messaggi di carattere informativo e con richiesta di autorizzazione per l’utilizzo dei dati personali: “Abbiamo aggiornato la nostra privacy” recitano la maggior parte di questi messaggi dove il silenzio del destinatario vale l’assenso alla gestione dei propri dati; pochissimi sono invece le comunicazioni che richiedono lo svolgimento di un’azione mirata da parte del destinatario ai fini del conferimento dell’autorizzazione a gestire i citati dati personali. Il risultato di questa raffica di messaggi ha indotto molti utenti, una volta inquadrata la situazione, ad accettare senza pensarci troppo, tuttavia senza preoccuparsi di incappare in qualche truffa che, ovviamente, non manca all’appello in questo clima di disordine.

I ricercatori di Kaspersky Lab ci forniscono un esempio di e-mail, identificata tramite il loro sistema di antispam, a prima vista proveniente da Apple. Il testo dell’e-mail in questione invita gli utenti a compilare un form onde evitare che il proprio account venga congelato e dopo tre giorni cancellato. Ovviamente il modulo che viene richiesto di compilare non ha nulla a che fare con Apple ma è un semplicissimo escamotage per indurre l’utente a consegnare senza esitazioni i propri dati ai malintenzionati.

Ma come riconoscere queste false e-mail? Anche solo dall’indirizzo del mittente si può intuire che qualcosa non va: nel caso presentato da Kaspersky lab l’indirizzo presentava diversi numeri sospetti, non giustificabili per un’ e-mail del genere oltre a recare all’interno del campo oggetto la dicitura “RE”, identificativa di un messaggio di risposta, che in questo caso non dovrebbe essere presente in qualità di primo messaggio ricevuto. I truffatori utilizzano questo stratagemma per evitare che la loro e-mail finisca nello spam. Anche se tutto questo dovesse sfuggire al vostro occhio, il testo dell’e-mail reca solitamente degli ulteriori indizi sulla natura malevola del messaggio stesso: nell’intestazione, chi scrive si riferisce all’utente non chiamandolo con il suo nome e cognome ma riportando l’indirizzo e-mail (per esempio “Caro [email protected]”); nessun’azienda poi invia messaggi intimidatori, con minacce di blocco dell’account o analoghe richieste sospette. Un altro campanello d’allarme dovrebbe suonare controllando il link al modulo: passando con il mouse al di sopra dello stesso, si potrà constatare che non conduce al sito ufficiale di Apple, ma a un dominio che con esso non ha nulla a che fare.

Riportiamo ai fini di una maggiore chiarezza l’e-mail “incriminata”

Marco Serico

The post GDPR e phishing: non lasciatevi ingannare first appeared on IT solution Srl.

GDPR: Facebook e Google denunciate per miliardi di euro

Giorgia Staff ITSolution — Tue, 29 May 2018 16:07:05 +0000

Dopo il data breach di qualche mese fa e i continui processi a riguardo, Facebook continua a essere nell’occhio del ciclone nuovamente per le politiche in materia di protezione dei dati adottate: già dopo poche ore dall’entrata in vigore dal punto di vista esecutivo del regolamento europeo in materia privacy – GDPR, Facebook e Google rischiano multe per miliardi di euro. La denuncia arriva dall’organizzazione non governativa in difesa della privacy Noyb.eu, in particolare da Max Schrems, suo attivista. Schrems sostiene infatti che i due grandi del web abbiano agito in maniera non del tutto etica nei confronti dei loro utenti, costringendoli ad accettare le nuove policy. L’accusa verte proprio sul concetto di costrizione: il nuovo modulo del trattamento dei dati personali infatti, metterebbe gli utenti di fronte ad un bivio, tra l’usufruire dei servizi offerti adattandosi e accettare la raccolta completa dei dati o non poterne usufruire affatto (nel caso di Facebook, il rifiuto di adesione al contratto comporterebbe la cancellazione del profilo dovendo dire addio a foto e amici, nel caso di Google ne deriverebbe la perdita delle funzionalità associate). Abbandonare Facebook e Google non è quindi così semplice anche perché molte persone e aziende adoperano i servizi prestati dai due colossi per lavoro e smettere di avvalersi degli stessi all’improvviso creerebbe non pochi problemi. Inoltre, bisogna considerare anche “l’altra faccia della medaglia” ossia le piccole realtà che rischiano di essere “sacrificate”: gli utenti potrebbero optare di non accettare i nuovi regolamenti smettendo semplicemente di utilizzare siti più piccoli. Da questo ne deriva un’evidente penalizzazione, cosa che invece non avverrebbe, sempre secondo Schrems, con grandi aziende e compagnie.

Noyb.eu ha quindi chiesto alle autorità di Francia, Belgio, Germania e Austria di multare le due aziende secondo le regole previste dal GDPR, ossia il 4% del fatturato annuale che, in questo caso risulterebbe una cifra folle (qualche miliardo di euro per ambedue le compagnie). Entrambi hanno ovviamente contestato le accuse risponendo in maniera pressoché analoga: “Abbiamo implementato sicurezza e privacy nei nostri prodotti dai primi stadi embrionali e ci impegniamo ad essere compatibili con il GDPR EU” è la dichiarazione rilasciata da un portavoce di Google. Molto similmente Erin Egan, chief privacy officer di Facebook ha commentato: “Negli ultimi 18 mesi, abbiamo adottato misure per aggiornare i nostri prodotti, le nostre politiche e i nostri processi per fornire agli utenti una trasparenza e un controllo significativo dei dati su tutti i servizi che forniamo nell’UE”.

Marco Serico

The post GDPR: Facebook e Google denunciate per miliardi di euro first appeared on IT solution Srl.

Zuckerberg risponde al Parlamento europeo per il caso Cambridge Analytica

Giorgia Staff ITSolution — Mon, 28 May 2018 16:11:19 +0000

Torniamo dopo qualche tempo a parlare del caso Facebook e di alcune novità a riguardo. È ormai appurato che lo scandalo che ha colpito l’azienda californiana riguardi tutto il mondo, non solo l’America, è per questo facile capire le motivazioni che hanno spinto l’Unione Europea a chiedere udienza al CEO della società Mark Zuckerberg. Quest’ultimo ha dovuto rispondere ad alcune domande e questioni che gli europarlamentari premevano rivolgergli: il 22 maggio quindi, dalle 18.15 alle 19.30 si è tenuta l’udienza in questione in diretta streaming, dove Zuckerberg ha incontrato i rappresentanti degli otto gruppi politici del Parlamento.

Antonio Trajani, presidente del Parlamento Europeo, ha posto la sua preoccupazione riguardo alle vicine elezioni europee che si terranno tra un anno, evidenziando le necessità di un quadro di regole per il mercato digitale atte alla protezione dei dati personali e dei diritti d’autore. Zuckerberg ha quindi risposto assicurando di aver raddoppiato il numero delle persone che lavorano nel settore sicurezza della sua azienda. “Inoltre -ha proseguito Zuckerberg- con il nuovo Regolamento europeo le persone avranno più controllo sulle loro informazioni personali. Non abbiamo avuto una visione abbastanza ampia delle nostre responsabilità, ma adesso stiamo migliorando la sicurezza della nostra piattaforma”.

Nonostante le rassicurazioni del n.1 di Facebook, gli eurodeputati hanno chiesto un’ulteriore conferma di adeguamento da parte della società, al fine di assicurarsi che un caso simile al Cambridge Analytica (vedi articoli precedenti) non si ripeti in futuro. Il CEO di Facebook ha elegantemente risposto: “Non saremo mai perfetti nel garantire la sicurezza, ma stiamo facendo grandi progressi in questo senso. Ci saranno molte elezioni importanti in Europa quest’anno e l’anno prossimo, dalla Slovenia alla Svezia alla Polonia e ovviamente le elezioni europee: è una nostra priorità evitare che qualcuno possa interferire come è accaduto per la Russia nelle elezioni americane. La compagnia si sta impegnando nel rimuovere spam che servono per scopi economici, fake account e nel gestire le persone che postano informazioni false involontariamente e in questo senso stiamo lavorando con dei fact-checker [persone che si occupano della veridicità di fatti e informazioni, ndr] esterni. Facebook si sta attrezzando per rispettare il regolamento europeo sulla privacy fin dalla data della sua entrata in vigore, ovvero il 25 maggio”.

Come afferma lo stesso Zuckerberg, non ci sarà probabilmente mai la certezza assoluta che i nostri dati digitali siano al sicuro, specialmente quando caricati in piattaforme online come i social network. Adeguamenti quali il GDPR sono senz’altro passi importanti e necessari affinché i dati siano trattati in maniera opportuna onde evitare situazioni, probabilmente limite, come il caso Cambridge Analytica, a oggi il più grande data breach mai visto.

Marco Serico

The post Zuckerberg risponde al Parlamento europeo per il caso Cambridge Analytica first appeared on IT solution Srl.

Adeguamento al GDPR: l’importanza della cyber security

Francesco Ongaro — Fri, 27 Apr 2018 07:06:59 +0000

Dal punto di vista del GDPR i titolari del trattamento sono tenuti a stabilire se le proprie attività di trattamento, e i potenziali rischi per gli interessati che ne conseguono, sono coperti dalle misure di sicurezza attualmente implementate. A questo riguardo il regolamento non specifica le misure di sicurezza (o gli standard tecnici minimi di tali misure di sicurezza) che le aziende devono applicare per essere considerate conformi alla normativa in vigore. Il regolamento si limita a stabilire l’obbligo per le aziende di valutare e decidere quali tipi di misure devono essere implementate per rispettare le prescrizioni del GDPR e di assicurarsi che vengano adottate tutte le precauzioni necessarie per minimizzare il rischio di violazioni e fughe di dati.

La maggior parte delle organizzazioni ha implementato misure tecniche complete in tema di cyber security e protezione dei dati, ma non mancano giorno dopo giorno nuove violazioni ai danni di milioni di utenti. Attacchi sempre più “sofisticati” vengono operati da hacker che hanno imparato a eludere anche i più arditi sistemi di difesa. Non è esagerato pensare che ogni organizzazione debba operare basandosi sul presupposto che l’infrastruttura IT sia costantemente sotto attacco e che potenzialmente sia già stata compromessa in diversi modi. Senza contare che i tempi previsti per la notifica della violazione, secondo il GDPR, sono di appena 72 ore secondo una prassi ben precisa. È pertanto necessario che le organizzazioni si dotino di soluzioni tecnologiche in grado di fornire visibilità sull’intera rete, in modo da rilevare e identificare la portata di una compromissione e consentire una risposta rapida ed efficace. È essenziale che le aziende continuino a investire nella previsione e prevenzione delle minacce, concentrandosi anche sull’acquisizione di capacità avanzate di rilevamento degli incidenti e risposta 24/7.

Dotandosi delle persone, dei processi e dei controlli tecnologici appropriati, è possibile proteggere l’azienda al meglio da violazioni dei dati accidentali o dolose. L’implementazione di una roadmap di correzione e la protezione di tutti i dati personali consentono di ridurre le probabilità e i potenziali effetti negativi di una violazione dei dati. Le sanzioni per il mancato adeguamento al GDPR sono risapute, ma non è ancora molto chiaro che una violazione dei dati ha conseguenze di ampia portata sotto forma di contrazione del fatturato, danno di immagine, riduzione della produttività e così via.

In tutto questo quadro, un aspetto di cui bisogna essere ben consapevoli è che la cyber security si muove a velocità altissima per rimanere al passo con gli hacker che sviluppano costantemente nuove tattiche per violare le difese. Cyber security significa essenzialmente prevedere e prevenire le violazioni, rilevare quelle che si verificano e reagire in modo intelligente per minimizzarne l’impatto. In concreto si tratta di combinare le competenze umane con software dedicati, elementi che vanno a migliorarsi reciprocamente: dietro ogni attacco c’è una persona e per questo motivo anche alla base della difesa ci vogliono delle persone in grado di pensare come farebbe un hacker, reagire alle situazioni come la tecnologia non sa fare e istruire la tecnologia automatizzata per farla diventare sempre più intelligente.

Sara Avanzi

The post Adeguamento al GDPR: l’importanza della cyber security first appeared on IT solution Srl.

Piccole imprese e GDPR

Francesco Ongaro — Fri, 20 Apr 2018 10:11:47 +0000

Abbiamo cercato di capire per quale motivo molte aziende non hanno ancora provveduto ad attuare le misure necessarie per adeguarsi a quanto disposto dal nuovo regolamento europeo in materia di protezione dei dati, esecutivo dal prossimo 25 maggio. L’idea che ci siamo fatti, sulla base delle risposte ricevute da alcuni nostri interlocutori, è che a quanto pare le piccole aziende -presenti in un numero elevato sul nostro territorio- si sentono “esenti” dalla compliance in virtù della loro ridotta attività. Tuttavia, questa concezione è sbagliata: anche le piccole e piccolissime aziende, che effettuano trattamento di dati personali sono coinvolte. Inoltre, cosa ancora più sconcertante per questi “piccoli titolari”, il GDPR non prevede meri adempimenti burocratici da rispettare, ma sostanza da implementare. In altre occasioni abbiamo difatti spiegato come adeguarsi al GDPR possa comportare una sorta di cambiamento nella mentalità aziendale in un’ottica di lungo periodo.

Cerchiamo di essere ancora più chiari: questa cosa dell’essere adempienti non deve spaventare i piccoli imprenditori che dovranno attuare una serie di misure proporzionalmente inferiore rispetto a quelle di una grande azienda (meno male!). È dunque opportuno che i piccoli imprenditori rispettino la regola Sapere-Intervenire-Mantenere-Provare.

Sapere: significa che devono avere ben chiari i principi del GDPR e la situazione della propria azienda (e dei propri trattamenti) rispetto ai requisiti del GDPR.
Intervenire: significa implementare le azioni necessarie, in relazione alla propria situazione. Una prima e basilare attività da compiere sarà quella di adeguare l’informativa sulla privacy in base ai principi del nuovo regolamento e, non da meno, fare un minimo di formazione ai propri collaboratori sulle regole del GDPR e sulle procedure aziendali per essere conformi.
Mantenere: come accennato in precedenza, il GDPR non richiede solo il semplice adempimento di oneri burocratici (redigere nuovi documenti ecc.) ma impone di proteggere i dati che vengono trattati. Per cui oltre a “predicare bene”, bisognerà “razzolare altrettanto bene”: i titolari dovranno fare in modo che le procedure vengano rispettate e che ogni novità aziendale sia studiata fin dall’inizio in conformità con il GDPR. Un semplice esempio: la nostra piccola attività assume un nuovo dipendente; qualunque sia la sua mansione egli dovrà essere messo subito a conoscenza delle regole da seguire e degli strumenti per farlo.
Provare: significa che il titolare (compreso quello piccolo) in qualunque momento sia necessario dovrà essere in grado di documentare di aver seguito le regole sopracitate e di stare trattando i dati personali altrui in conformità al nuovo regolamento.

Sara Avanzi

The post Piccole imprese e GDPR first appeared on IT solution Srl.