C'è ancora qualcuno che si propone di inviare "newsletter" a clienti e potenziali clienti senza il consenso esplicito, rifacendosi al concetto di "consenso soft" (previsto dal nostro Codice per i clienti già acquisiti da un'azienda) e ad un considerando del GDPR. Continuo a ricordare che questo non è previsto dal GDPR, come anche precisato dall'Opinione del WP Art. 29 di cui avevo già dato notizia a suo tempo (blog.cesaregallotti.it/2018/05/linee-guida-wp-art-29-su-consenso-e.html).
La sentenza n. 17278/2018 della Cassazione civile, anche se basata sul Codice privacy e ad un fatto avvenuto nel 2013 o 2014, propone un'ulteriore lettura. Infatti ritiene lecito "obbligare" alla ricezione di email pubblicitarie coloro che si iscrivono ad un servizio Internet "non essenziale" e "fungibile":
- http://www.dirittifondamentali.it/giurisprudenza/cassazione-civile-e-tribunali-di-merito/anno-2018/cass-civ-17278-2018/.
Nella conclusione, la sentenza condanna però l'azienda perché non aveva reso abbastanza esplicito il consenso (con "spunte" distinte e chiare e non con una frase generica come "acconsento al trattamento dei miei dati personali come da pagina web x") e, pedantemente, richiede che l'informativa indichi i settori merceologici o i servizi cui i messaggi pubblicitari saranno riferiti.
Per i più frettolosi è possibile leggere i soli punti 2.6 e 2.7.
sabato 14 luglio 2018
Furto di documenti via DropBox
Per chi ancora non teme l'uso di strumenti di file sharing all'interno delle organizzazioni, segnalo la recente condanna di un tecnico (fornitore) che ha rubato circa 5.000 documenti al suo cliente (la Marina USA), semplicemente trasferendoli a se stesso via Dropbox:
https://www.bleepingcomputer.com/news/legal/engineer-found-guilty-of-stealing-navy-secrets-via-dropbox-account/.
Commento di Lee Neely (del Comitato editoriale di SANS NewsBites da cui ho tratto la notizia): "Una volta che si autorizza il traffico tramite piattaforme di collaborazione cloud, è quasi impossibile distinguere quando questi servizi sono usati per scopi lavorativi o personali. Qualche mitigazione è possibile impedendo l'installazione dei client di questi servizi o identificando gli utenti che usano Internet per poi poterne tracciare le azioni".
Il commento non è molto originale e le misure proposte sono facilmente aggirabili se agli utenti sono forniti dispositivi portatili che possono connettersi a qualunque wi-fi e su cui è possibile installare qualsiasi software.
https://www.bleepingcomputer.com/news/legal/engineer-found-guilty-of-stealing-navy-secrets-via-dropbox-account/.
Commento di Lee Neely (del Comitato editoriale di SANS NewsBites da cui ho tratto la notizia): "Una volta che si autorizza il traffico tramite piattaforme di collaborazione cloud, è quasi impossibile distinguere quando questi servizi sono usati per scopi lavorativi o personali. Qualche mitigazione è possibile impedendo l'installazione dei client di questi servizi o identificando gli utenti che usano Internet per poi poterne tracciare le azioni".
Il commento non è molto originale e le misure proposte sono facilmente aggirabili se agli utenti sono forniti dispositivi portatili che possono connettersi a qualunque wi-fi e su cui è possibile installare qualsiasi software.
venerdì 13 luglio 2018
Nuova ISO 19011:2018, guida per l'audit
Ho ricevuto da molti (incluso il SC 27 WG 1 e Monica Perego) la notizia che è stata pubblicata la nuova versione della ISO 19011 dal titolo "Guidelines for auditing management systems":
- https://www.iso.org/standard/70017.html.
Leggendo l'introduzione, le modifiche rispetto all'edizione del 2011 (la corrispondente edizione italiana era del 2012) sono:
- aggiunta, tra i principi dell'audit, dell'approccio basato sul rischio;
- espansione della guida sulla gestione del programma di audit, includendo i rischi relativi al programma di audit;
- espansione della guida sulla conduzione degli audit, in particolare in materia di pianificazione;
- espansione delle competenze generali degli auditor;
- aggiustamento della terminologia per riflettere il processo e non l'oggetto;
- eliminazione dell'appendice relativa alle competenze per le discipline specifiche (in quanto non più mantenibile, dato il numero delle discipline);
- espansione dell'ulteriore guida in appendice per trattare i nuovi concetti quali il contesto, leadership and commitment, audit virtuali, conformità e filiera di fornitura.
Mi permetto di fare una sola critica: tra i rischi relativi al programma di audit, a mio parere mancano quelli relativi ad un inadeguato campionamento.
- https://www.iso.org/standard/70017.html.
Leggendo l'introduzione, le modifiche rispetto all'edizione del 2011 (la corrispondente edizione italiana era del 2012) sono:
- aggiunta, tra i principi dell'audit, dell'approccio basato sul rischio;
- espansione della guida sulla gestione del programma di audit, includendo i rischi relativi al programma di audit;
- espansione della guida sulla conduzione degli audit, in particolare in materia di pianificazione;
- espansione delle competenze generali degli auditor;
- aggiustamento della terminologia per riflettere il processo e non l'oggetto;
- eliminazione dell'appendice relativa alle competenze per le discipline specifiche (in quanto non più mantenibile, dato il numero delle discipline);
- espansione dell'ulteriore guida in appendice per trattare i nuovi concetti quali il contesto, leadership and commitment, audit virtuali, conformità e filiera di fornitura.
Mi permetto di fare una sola critica: tra i rischi relativi al programma di audit, a mio parere mancano quelli relativi ad un inadeguato campionamento.
martedì 10 luglio 2018
Articoli sul GDPR?
In questo mese ho segnalato pochi articoli sul GDPR, come peraltro avevo previsto.
Non era difficile fare la profezia: una volta passata la data del 25 maggio, era facile osservare che molti aspetti del GDPR erano già stati affrontati negli articoli che ho di volta in volta segnalato: le differenze rispetto al Codice, il ruolo dei responsabili, le basi legali e in particolare il legittimo interesse, i trasferimenti extra-UE, eccetera.
Questo mese mi sono stati segnalati alcuni articoli, tra cui uno di Pizzetti sul consenso (che riprende una cosa già segnalata a maggio: http://blog.cesaregallotti.it/2018/05/linee-guida-wp-art-29-su-consenso-e.html):
- https://www.agendadigitale.eu/sicurezza/gdpr-tutti-gli-equivoci-del-consenso-nei-contratti-ecco-una-guida/.
- https://www.puntosicuro.it/security-C-124/privacy-C-89/sapevate-che-l-incaricato-del-trattamento-morto-AR-18239/.
Per chi si sentisse ancora insicuro su cosa dice il GDPR, raccomando prima di tutto di leggerlo e poi di seguire le molte testate che nel tempo ho segnalato (in italiano ci sono ICT Security Magazine, Agenda Digitale, Punto Sicuro). Raccomando però prudenza quando il testo richiede di "nominare" i responsabili, fornire lettere alle persone autorizzate al trattamento (senza pensare al *vero* processo di autorizzazione, che non necessita di lettere), registrare il consenso per "maggiore tutela" o quando la base giuridica è altra, formulare una DPIA per ogni trattamento, nominare un DPO "a prescindere".
Raccomando inoltre di non impiegare troppo tempo nel leggere interpretazioni sempre più sofisticate o nel ricercare sempre "l'ultima notizia" (qui per esempio non segnalo il discorso annuale del Garante perché, alla fin fine, non dice niente di nuovo). Raccomando invece di studiare meglio i processi aziendali: quanto si è visto in questi mesi rileva la necessità di capire come funzionano i processi di acquisto e vendita e di contrattualizzazione (per soddisfare l'articolo 28), le "normali" comunicazioni aziendali (che non richiedono firme per ricevuta), la gestione delle autorizzazioni informatiche e non informatiche (che non dovrebbero prevedere letterine insulse da firmare).
Qui segnalerò solo gli interventi particolarmente interessanti e innovativi.
Non era difficile fare la profezia: una volta passata la data del 25 maggio, era facile osservare che molti aspetti del GDPR erano già stati affrontati negli articoli che ho di volta in volta segnalato: le differenze rispetto al Codice, il ruolo dei responsabili, le basi legali e in particolare il legittimo interesse, i trasferimenti extra-UE, eccetera.
Questo mese mi sono stati segnalati alcuni articoli, tra cui uno di Pizzetti sul consenso (che riprende una cosa già segnalata a maggio: http://blog.cesaregallotti.it/2018/05/linee-guida-wp-art-29-su-consenso-e.html):
- https://www.agendadigitale.eu/sicurezza/gdpr-tutti-gli-equivoci-del-consenso-nei-contratti-ecco-una-guida/.
Un ulteriore articolo di Biasotti sulla "morte"
dell'incaricato (roba nota e stranota e che tra l'altro non condivido, visto
che continua a suggerire l'obsoleta, anche per il Codice privacy per chi lo
avesse letto con un minimo di attenzione, "lettera di nomina"):
- https://www.puntosicuro.it/security-C-124/privacy-C-89/sapevate-che-l-incaricato-del-trattamento-morto-AR-18239/.
Per chi si sentisse ancora insicuro su cosa dice il GDPR, raccomando prima di tutto di leggerlo e poi di seguire le molte testate che nel tempo ho segnalato (in italiano ci sono ICT Security Magazine, Agenda Digitale, Punto Sicuro). Raccomando però prudenza quando il testo richiede di "nominare" i responsabili, fornire lettere alle persone autorizzate al trattamento (senza pensare al *vero* processo di autorizzazione, che non necessita di lettere), registrare il consenso per "maggiore tutela" o quando la base giuridica è altra, formulare una DPIA per ogni trattamento, nominare un DPO "a prescindere".
Raccomando inoltre di non impiegare troppo tempo nel leggere interpretazioni sempre più sofisticate o nel ricercare sempre "l'ultima notizia" (qui per esempio non segnalo il discorso annuale del Garante perché, alla fin fine, non dice niente di nuovo). Raccomando invece di studiare meglio i processi aziendali: quanto si è visto in questi mesi rileva la necessità di capire come funzionano i processi di acquisto e vendita e di contrattualizzazione (per soddisfare l'articolo 28), le "normali" comunicazioni aziendali (che non richiedono firme per ricevuta), la gestione delle autorizzazioni informatiche e non informatiche (che non dovrebbero prevedere letterine insulse da firmare).
Qui segnalerò solo gli interventi particolarmente interessanti e innovativi.
Società di audit PCI citata in giudizio
La notizia è che la società di audit PCI Trustwave è stata citata in giudizio dalle società di assicurazione che hanno dovuto pagare i danni a seguito dell'intrusione nei sistemi della società Heartland.
La mia prima fonte è la newsletter SANS Newsbites:
- https://www.sans.org/newsletters/newsbites/xx/54.
Segnalo un articolo su Dark Reading:
- https://www.darkreading.com/application-security/insurers-sue-trustwave-for-$30m-over-08-heartland-data-breach/d/d-id/1332248.
Vedo però che la società è già stata oggetto di citazioni, per esempio nel 2014, come racconto questo articolo sempre di Dark Reading:
- https://www.darkreading.com/risk/compliance/target-pci-auditor-trustwave-sued-by-banks/d/d-id/1127936.
Purtroppo i due articoli non mi sembrano collegati, ma dovrebbero esserlo (per esempio, come è finita con le banche che hanno chiesto danni sempre alla società di audit?). In questo caso, mi mancano informazioni e la capacità di trovarle. Se qualcuno ne dovesse avere, lo pregherei di diffonderle. Anche perché, in qualità di auditor, sono preoccupato.
La mia prima fonte è la newsletter SANS Newsbites:
- https://www.sans.org/newsletters/newsbites/xx/54.
Segnalo un articolo su Dark Reading:
- https://www.darkreading.com/application-security/insurers-sue-trustwave-for-$30m-over-08-heartland-data-breach/d/d-id/1332248.
Vedo però che la società è già stata oggetto di citazioni, per esempio nel 2014, come racconto questo articolo sempre di Dark Reading:
- https://www.darkreading.com/risk/compliance/target-pci-auditor-trustwave-sued-by-banks/d/d-id/1127936.
Purtroppo i due articoli non mi sembrano collegati, ma dovrebbero esserlo (per esempio, come è finita con le banche che hanno chiesto danni sempre alla società di audit?). In questo caso, mi mancano informazioni e la capacità di trovarle. Se qualcuno ne dovesse avere, lo pregherei di diffonderle. Anche perché, in qualità di auditor, sono preoccupato.
sabato 7 luglio 2018
Slide del DFA Open Day 2018
Le slides del DFA Open Day 2018 sono state pubblicate sul sito all'indirizzo:
- http://www.perfezionisti.it/open-day/dfa-open-day-2018/.
I temi trattati sono stati i seguenti:
- impatti economici del phishing, malware e social engineering;
- l'apporto della digital forensics al contrasto alla vendita online di sostanze stupefacenti;
- Visione artificiale per riconoscere volti e oggetti nei social media;
- Ediscovery e Artificial Intelligence.
- http://www.perfezionisti.it/open-day/dfa-open-day-2018/.
I temi trattati sono stati i seguenti:
- impatti economici del phishing, malware e social engineering;
- l'apporto della digital forensics al contrasto alla vendita online di sostanze stupefacenti;
- Visione artificiale per riconoscere volti e oggetti nei social media;
- Ediscovery e Artificial Intelligence.
lunedì 2 luglio 2018
Ruoli, responsabilità e adempimenti utili e inutili
Un mio articolo su ICT Security Magazine:
https://www.ictsecuritymagazine.com/articoli/ruoli-responsabilita-e-adempimenti-utili-e-inutili/.
Non credo di averlo scritto in modo molto chiaro, ma spero che alla fine si capisca il fatto che bisogna evitare di creare ruoli inutili e di prendere esempio dal passato.
https://www.ictsecuritymagazine.com/articoli/ruoli-responsabilita-e-adempimenti-utili-e-inutili/.
Non credo di averlo scritto in modo molto chiaro, ma spero che alla fine si capisca il fatto che bisogna evitare di creare ruoli inutili e di prendere esempio dal passato.
mercoledì 20 giugno 2018
NIS: altri articoli
In merito al recepimento della Direttiva NIS, segnalo questi altri due articoli di Luca Tosoni.
Il primo ha titolo "Direttiva NIS, così è l'attuazione italiana (dopo il recepimento): i punti principali del decreto":
- https://www.agendadigitale.eu/sicurezza/attuazione-della-direttiva-nis-lo-lo-schema-decreto-legislativo/.
Il secondo ha titolo "Decreto Nis, ecco i prossimi passi dopo l'approvazione":
- https://www.agendadigitale.eu/sicurezza/decreto-nis-ecco-i-prossimi-passi-dopo-lapprovazione/.
Il primo ha titolo "Direttiva NIS, così è l'attuazione italiana (dopo il recepimento): i punti principali del decreto":
- https://www.agendadigitale.eu/sicurezza/attuazione-della-direttiva-nis-lo-lo-schema-decreto-legislativo/.
Il secondo ha titolo "Decreto Nis, ecco i prossimi passi dopo l'approvazione":
- https://www.agendadigitale.eu/sicurezza/decreto-nis-ecco-i-prossimi-passi-dopo-lapprovazione/.
sabato 16 giugno 2018
Check list su privacy dell'autorità norvegese
Sabrina Prola mi ha segnalato "una guida semplice ma utile su privacy by design e default" pubblicata dalla DPA norvegese:
- https://www.datatilsynet.no/en/regulations-and-tools/guidelines/data-protection-by-design-and-by-default/.
È una guida molto interessante e molto ampia, anche se affronta i vari elementi in modo estremamente sintetico.
- https://www.datatilsynet.no/en/regulations-and-tools/guidelines/data-protection-by-design-and-by-default/.
È una guida molto interessante e molto ampia, anche se affronta i vari elementi in modo estremamente sintetico.
NIS: regolamento di esecuzione 2018/151
A maggio era stato pubblicato il Regolamento di esecuzione (UE) 2018/151 della Commissione recante modalità di applicazione della direttiva (UE) 2016/1148 (ossia della NIS):
- http://data.europa.eu/eli/reg_impl/2018/151/oj.
Vengono forniti chiarimenti in merito alle misure di sicurezza che devono attuare gli operatori NIS. Mi pare che, in sostanza, chieda di applicare la ISO/IEC 27001.
All'articolo 4 sono descritte le caratteristiche per classificare un incidente come "rilevante". Penso che questi elementi dovranno essere considerati da tutti quelli che definiscono un modello di classificazione degli incidenti.
- http://data.europa.eu/eli/reg_impl/2018/151/oj.
Vengono forniti chiarimenti in merito alle misure di sicurezza che devono attuare gli operatori NIS. Mi pare che, in sostanza, chieda di applicare la ISO/IEC 27001.
All'articolo 4 sono descritte le caratteristiche per classificare un incidente come "rilevante". Penso che questi elementi dovranno essere considerati da tutti quelli che definiscono un modello di classificazione degli incidenti.
Direttiva NIS in vigore (veramente)
Sabrina Prola mi ha segnalato la pubblicazione del D. Lgs. 65 del 18 maggio 2018, di recepimento della Direttiva NIS. Si trova sulla G.U. Serie Generale n. 132:
- www.gazzettaufficiale.it/eli/id/2018/06/09/18G00092/sg.
Questo fa seguito al mio post dal titolo "Direttiva NIS in vigore (ma non troppo)":
http://blog.cesaregallotti.it/2018/05/direttiva-nis-in-vigore-ma-non-troppo.html.
Qui elenco le mie prime riflessioni. Come già successo con il GDPR immagino che avrò l'opportunità di approfondire molti punti (e su alcuni di cambiare idea), grazie ad articoli, interventi e scambi di opinione con chi vuole contattarmi.
La NIS ha l'obiettivo di migliorare la sicurezza informatica nella UE.
Per quanto riguarda i privati, è indirizzata agli "operatori di servizi essenziali e dei fornitori di servizi digitali", con l'eccezione degli operatori di telecomunicazione (in quanto già normati dal Codice delle comunicazioni) e dei fornitori di servizi fiduciari (già normati da eIDAS e CAD). Gli operatori saranno identificati entro il 9 novembre 2018 dalle "autorità competenti NIS" (ossia i Ministeri dello sviluppo economico, delle infrastrutture e trasporti, dell'economica e finanze, della salute e dell'ambiente). L'elenco sarà mantenuto dal Ministero dello sviluppo economico, che quindi sarà da tenere monitorato.
Per quanto riguarda i fornitori di servizi digitali, sono 3 quelli ritenuti critici: Mercato online, Motore di ricerca online e Servizi di cloud computing (ad esclusione delle micro e piccole imprese; ossia imprese che occupano meno di 50 persone e realizzano un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR). Trovo interessante siano inclusi anche i primi due, in quanto li ho mai visti come "critici". Dovranno (articolo 14) assicurare la continuità dei servizi, oltre alla sicurezza.
Gli operatori dovranno comunicare alle autorità NIS le proprie misure di sicurezza. Spero non vedremo il proliferare di modelli inventati di sana pianta come sta facendo AgID con i servizi fiduciari (spero che le esperienze di questi anni abbiano insegnato).
Sono stato colpito dalla seguente: "la prova dell'effettiva attuazione delle politiche di sicurezza, come i risultati di un audit sulla sicurezza svolto dall'autorità competente NIS o da un revisore abilitato e, in quest'ultimo caso, metterne a disposizione dell'autorità competente NIS i risultati, inclusi gli elementi di prova". Infatti qui si parla di "revisori abilitati" di cui sapremo in futuro come saranno abilitati e si usa il termine "elemento di prova", invece dello scorretto (frutto di traduzione pigra) "evidenze".
Sui "revisori abilitati" (ma anche sui rappresentanti degli operatori), segnalo solo che al momento in Italia c'è carenza di persone competenti e con esperienza, come abbiamo visto anche nella "corsa al DPO". Speriamo non siano fatti troppi errori nelle prime fasi di attuazione, ossia che non vengano pubblicate check list troppo dettagliate per essere utili, gli auditor non si impuntino sui formalismi o su processi inutili e i rappresentanti degli operatori sappiano far valere le proprie ragioni (purché non cerchino di farsi validare pratiche scorrette).
Viene istituito il CSIRT italiano, unendo (se ho capito correttamente) il CERT nazionale (https://www.certnazionale.it/) e il CERT-PA. Sarà quindi importante seguirne le attività di informazione.
Le misure di sicurezza da adottare sono oggetto dell'articolo 12. "Nell'adozione delle misure, gli operatori di servizi essenziali tengono conto delle linee guida predisposte dal gruppo di cooperazione, nonché delle linee guida delle "autorità competenti NIS"". Dovremo quindi tenere monitorati i lavori di ENISA, che ultimamente hanno messo a disposizione documenti molto interessanti (altri meno).
All'articolo 17: "promuovono l'adozione di norme e specifiche europee o accettate a livello internazionale relative alla sicurezza della rete e dei sistemi informativi". Speriamo quindi vengano promosse le norme della serie ISO/IEC 27000 e aumenti al partecipazione qualificata alla loro redazione.
Mi permetto di essere preoccupato per il requisito "Le autorità competenti NIS possono predisporre linee guida per la notifica degli incidenti", visto che AgID ha recentemente richiesto agli operatori di servizi fiduciari di comunicarle ogni incidente, secondo uno schema oggettivamente inapplicabile.
Ho qualche perplessità sullo spazio dedicato alla reazione agli incidenti, visto che poco è detto in merito alla prevenzione, rimandando tutto ad altre norme. Questo è un approccio, ovviamente sbagliato, che sta sempre più diffondendosi: molta attenzione alla reazione, minore alla prevenzione.
Infine: le sanzioni arrivano ad un massimo di 150.000 Euro.
- www.gazzettaufficiale.it/eli/id/2018/06/09/18G00092/sg.
Questo fa seguito al mio post dal titolo "Direttiva NIS in vigore (ma non troppo)":
http://blog.cesaregallotti.it/2018/05/direttiva-nis-in-vigore-ma-non-troppo.html.
Qui elenco le mie prime riflessioni. Come già successo con il GDPR immagino che avrò l'opportunità di approfondire molti punti (e su alcuni di cambiare idea), grazie ad articoli, interventi e scambi di opinione con chi vuole contattarmi.
La NIS ha l'obiettivo di migliorare la sicurezza informatica nella UE.
Per quanto riguarda i privati, è indirizzata agli "operatori di servizi essenziali e dei fornitori di servizi digitali", con l'eccezione degli operatori di telecomunicazione (in quanto già normati dal Codice delle comunicazioni) e dei fornitori di servizi fiduciari (già normati da eIDAS e CAD). Gli operatori saranno identificati entro il 9 novembre 2018 dalle "autorità competenti NIS" (ossia i Ministeri dello sviluppo economico, delle infrastrutture e trasporti, dell'economica e finanze, della salute e dell'ambiente). L'elenco sarà mantenuto dal Ministero dello sviluppo economico, che quindi sarà da tenere monitorato.
Per quanto riguarda i fornitori di servizi digitali, sono 3 quelli ritenuti critici: Mercato online, Motore di ricerca online e Servizi di cloud computing (ad esclusione delle micro e piccole imprese; ossia imprese che occupano meno di 50 persone e realizzano un fatturato annuo o un totale di bilancio annuo non superiori a 10 milioni di EUR). Trovo interessante siano inclusi anche i primi due, in quanto li ho mai visti come "critici". Dovranno (articolo 14) assicurare la continuità dei servizi, oltre alla sicurezza.
Gli operatori dovranno comunicare alle autorità NIS le proprie misure di sicurezza. Spero non vedremo il proliferare di modelli inventati di sana pianta come sta facendo AgID con i servizi fiduciari (spero che le esperienze di questi anni abbiano insegnato).
Sono stato colpito dalla seguente: "la prova dell'effettiva attuazione delle politiche di sicurezza, come i risultati di un audit sulla sicurezza svolto dall'autorità competente NIS o da un revisore abilitato e, in quest'ultimo caso, metterne a disposizione dell'autorità competente NIS i risultati, inclusi gli elementi di prova". Infatti qui si parla di "revisori abilitati" di cui sapremo in futuro come saranno abilitati e si usa il termine "elemento di prova", invece dello scorretto (frutto di traduzione pigra) "evidenze".
Sui "revisori abilitati" (ma anche sui rappresentanti degli operatori), segnalo solo che al momento in Italia c'è carenza di persone competenti e con esperienza, come abbiamo visto anche nella "corsa al DPO". Speriamo non siano fatti troppi errori nelle prime fasi di attuazione, ossia che non vengano pubblicate check list troppo dettagliate per essere utili, gli auditor non si impuntino sui formalismi o su processi inutili e i rappresentanti degli operatori sappiano far valere le proprie ragioni (purché non cerchino di farsi validare pratiche scorrette).
Viene istituito il CSIRT italiano, unendo (se ho capito correttamente) il CERT nazionale (https://www.certnazionale.it/) e il CERT-PA. Sarà quindi importante seguirne le attività di informazione.
Le misure di sicurezza da adottare sono oggetto dell'articolo 12. "Nell'adozione delle misure, gli operatori di servizi essenziali tengono conto delle linee guida predisposte dal gruppo di cooperazione, nonché delle linee guida delle "autorità competenti NIS"". Dovremo quindi tenere monitorati i lavori di ENISA, che ultimamente hanno messo a disposizione documenti molto interessanti (altri meno).
All'articolo 17: "promuovono l'adozione di norme e specifiche europee o accettate a livello internazionale relative alla sicurezza della rete e dei sistemi informativi". Speriamo quindi vengano promosse le norme della serie ISO/IEC 27000 e aumenti al partecipazione qualificata alla loro redazione.
Mi permetto di essere preoccupato per il requisito "Le autorità competenti NIS possono predisporre linee guida per la notifica degli incidenti", visto che AgID ha recentemente richiesto agli operatori di servizi fiduciari di comunicarle ogni incidente, secondo uno schema oggettivamente inapplicabile.
Ho qualche perplessità sullo spazio dedicato alla reazione agli incidenti, visto che poco è detto in merito alla prevenzione, rimandando tutto ad altre norme. Questo è un approccio, ovviamente sbagliato, che sta sempre più diffondendosi: molta attenzione alla reazione, minore alla prevenzione.
Infine: le sanzioni arrivano ad un massimo di 150.000 Euro.
martedì 12 giugno 2018
Modifica al Codice della proprietà industriale
Da Altalex ho la notizia che con il D. Lgs. 63 del 2018 è stato aggiornato il Codice della proprietà industriale (D. Lgs. 30 del 2005) per recepire la Direttiva europea 2016/943:
- http://www.altalex.com/documents/leggi/2018/05/28/know-how-approvato-il-decreto-attuativo-della-direttiva-europea.
Come riportato dall'articolo di Altalex, il provvedimento sostituisce alla nozione di "informazioni aziendali riservate", quella di "segreti commerciali" (vedere quindi l'articolo 1 per la definizione di "proprietà industriale" e l'articolo 98 per quella di "segreti commerciali"). Anche l'articolo 99 è importante per chi si occupa di sicurezza delle informazioni.
Il resto delle modifiche riguarda le sanzioni e i procedimenti giudiziari (interessante il fatto che sia stata considerata la tutela della riservatezza dei segreti commerciali nel corso dei procedimenti giudiziari).
Su Normattiva non è ancora disponibile la versione aggiornata dell'atto.
PS: un ulteriore articolo, più approfondito, è il seguente, segnalatomi da Luca De Grazia:
http://www.quotidianogiuridico.it/documents/2018/06/08/segreti-commerciali-in-g-u-il-d-lgs-63-2018-sulla-protezione-del-know-how.
- http://www.altalex.com/documents/leggi/2018/05/28/know-how-approvato-il-decreto-attuativo-della-direttiva-europea.
Come riportato dall'articolo di Altalex, il provvedimento sostituisce alla nozione di "informazioni aziendali riservate", quella di "segreti commerciali" (vedere quindi l'articolo 1 per la definizione di "proprietà industriale" e l'articolo 98 per quella di "segreti commerciali"). Anche l'articolo 99 è importante per chi si occupa di sicurezza delle informazioni.
Il resto delle modifiche riguarda le sanzioni e i procedimenti giudiziari (interessante il fatto che sia stata considerata la tutela della riservatezza dei segreti commerciali nel corso dei procedimenti giudiziari).
Su Normattiva non è ancora disponibile la versione aggiornata dell'atto.
PS: un ulteriore articolo, più approfondito, è il seguente, segnalatomi da Luca De Grazia:
http://www.quotidianogiuridico.it/documents/2018/06/08/segreti-commerciali-in-g-u-il-d-lgs-63-2018-sulla-protezione-del-know-how.
domenica 10 giugno 2018
Mio articolo sulla sicurezza dei dispositivi mobili
Un mio articolo su ICT Security Magazine dal titolo "Sicurezza dei dispositivi mobili e BYOD":
- www.ictsecuritymagazine.com/articoli/sicurezza-dei-dispositivi-mobili-e-byod.
- www.ictsecuritymagazine.com/articoli/sicurezza-dei-dispositivi-mobili-e-byod.
sabato 9 giugno 2018
Informativa per i cookies dei social network
Chiara Ponti degli Idraulici della privacy ha segnalato una interessante sentenza della Corte di giustizia dell'Unione europea. Prima il link al Comunicato stampa:
- https://curia.europa.eu/jcms/upload/docs/application/pdf/2018-06/cp180081it.pdf.
In poche parole: l'autorità Garante di un Land tedesco (in Germania c'è un Garante per Land!) ha chiesto di bloccare la fanpage di Facebook di un'organizzazione perché né l'organizzazione né Facebook informavano compiutamente gli iscritti di Facebook sull'uso dei cookies. La sentenza specifica che, in questo caso, Facebook e l'organizzazione devono essere considerati contitolari del trattamento.
Questo credo ponga un problema: come deve fare l'organizzazione a pubblicare l'informativa su Facebook? Non ho controllato, ma credo e spero che Facebook si sia già adeguata. Da qualche parte anche le organizzazioni che usano i social devono specificare la contitolarità e questo non sempre saprei farlo (devo pensare anche al mio blog).
- https://curia.europa.eu/jcms/upload/docs/application/pdf/2018-06/cp180081it.pdf.
In poche parole: l'autorità Garante di un Land tedesco (in Germania c'è un Garante per Land!) ha chiesto di bloccare la fanpage di Facebook di un'organizzazione perché né l'organizzazione né Facebook informavano compiutamente gli iscritti di Facebook sull'uso dei cookies. La sentenza specifica che, in questo caso, Facebook e l'organizzazione devono essere considerati contitolari del trattamento.
Questo credo ponga un problema: come deve fare l'organizzazione a pubblicare l'informativa su Facebook? Non ho controllato, ma credo e spero che Facebook si sia già adeguata. Da qualche parte anche le organizzazioni che usano i social devono specificare la contitolarità e questo non sempre saprei farlo (devo pensare anche al mio blog).
domenica 3 giugno 2018
GDPR: l'EDPB sostituisce il WP art. 29 (parte 2)
Poco dopo aver scritto un breve post sull'EDPB, Franco Vincenzo Ferrari di DNV GL mi ha segnalato questo articolo dal titolo "Il nuovo Comitato europeo per la protezione dei dati (Edpb), dopo il Gdpr: compiti e poteri":
- https://www.agendadigitale.eu/sicurezza/il-nuovo-comitato-europeo-per-la-protezione-dei-dati-edpr-dopo-il-gdpr-compiti-e-poteri/.
L'articolo si concentra soprattutto sulla struttura e l'organizzazione dell'EDPB. Io sono più interessato ai lavori di redazione e pubblicazione delle linee guida che, ricordo, si trovano e si troveranno in una pagina del sito dell'EDPB (https://edpb.europa.eu/guidelines-relevant-controllers-and-processors_en). Io intanto mi sono iscritto all'RSS Feed.
- https://www.agendadigitale.eu/sicurezza/il-nuovo-comitato-europeo-per-la-protezione-dei-dati-edpr-dopo-il-gdpr-compiti-e-poteri/.
L'articolo si concentra soprattutto sulla struttura e l'organizzazione dell'EDPB. Io sono più interessato ai lavori di redazione e pubblicazione delle linee guida che, ricordo, si trovano e si troveranno in una pagina del sito dell'EDPB (https://edpb.europa.eu/guidelines-relevant-controllers-and-processors_en). Io intanto mi sono iscritto all'RSS Feed.
venerdì 1 giugno 2018
GDPR: l'EDPB sostituisce il WP art. 29
Il WP Art. 29 dal 25 marzo ha passato le proprie funzioni all'European Data Protection Board o EDPB. Il sito è questo:
- https://edpb.europa.eu/edpb_it.
Al momento non vedo migrate tutte le linee guida e le Opinion (per esempio non trovo quella sul consenso). Se ho capito correttamente, dovremmo trovare tutto in questa pagina:
- https://edpb.europa.eu/guidelines-relevant-controllers-and-processors_en.
Intanto però l'EDPB ha pubblicato una linea guida definitiva (sulle deroghe ai trasferimenti internazionali) e una bozza (sulle certificazioni; peraltro lo stato di bozza è segnalato solo dal sito, non dal documento stesso).
- https://edpb.europa.eu/edpb_it.
Al momento non vedo migrate tutte le linee guida e le Opinion (per esempio non trovo quella sul consenso). Se ho capito correttamente, dovremmo trovare tutto in questa pagina:
- https://edpb.europa.eu/guidelines-relevant-controllers-and-processors_en.
Intanto però l'EDPB ha pubblicato una linea guida definitiva (sulle deroghe ai trasferimenti internazionali) e una bozza (sulle certificazioni; peraltro lo stato di bozza è segnalato solo dal sito, non dal documento stesso).
giovedì 31 maggio 2018
5 luglio 2018: DFA open day su GDPR, digital forensics e altro
Il Programma del DFA Open Day del 5 luglio 2018 è online!
- http://www.perfezionisti.it/open-day/dfa-open-day-2018/.
Si parlerà di social engineering, digital forensics e deep web, social media e riconoscimenti, privacy e intelligenza artificiale e infine GDPR.
Poco GDPR? Beh... era ora si ricominciasse ad alzare lo sguardo anche ad altri argomenti.
DFA è l'associazione di cui sono (per puro caso) Presidente e mi farebbe tanto piacere che partecipiate numerosi. Organizziamo questo evento da anni ed è sempre stata un'occasione bellissima di incontri e discussioni tra esperti e "tecnici", senza alcuno spazio per i venditori di alcun genere (io sono presidente solo da pochi mesi e quindi il merito di tutta questa bellezza non è certo mio, ma dell'associazione nel suo complesso).
Per dire quanto il mio ruolo è immeritato, segnalo che quest'anno non ci sarò. I miei amici (professionisti che sono diventati miei amici negli anni) sanno sicuramente il perché :-)
- http://www.perfezionisti.it/open-day/dfa-open-day-2018/.
Si parlerà di social engineering, digital forensics e deep web, social media e riconoscimenti, privacy e intelligenza artificiale e infine GDPR.
Poco GDPR? Beh... era ora si ricominciasse ad alzare lo sguardo anche ad altri argomenti.
DFA è l'associazione di cui sono (per puro caso) Presidente e mi farebbe tanto piacere che partecipiate numerosi. Organizziamo questo evento da anni ed è sempre stata un'occasione bellissima di incontri e discussioni tra esperti e "tecnici", senza alcuno spazio per i venditori di alcun genere (io sono presidente solo da pochi mesi e quindi il merito di tutta questa bellezza non è certo mio, ma dell'associazione nel suo complesso).
Per dire quanto il mio ruolo è immeritato, segnalo che quest'anno non ci sarò. I miei amici (professionisti che sono diventati miei amici negli anni) sanno sicuramente il perché :-)
GDPR e i ritardi dei "guru"
Scusate lo sfogo che segue.
Tutto nasce da questo post di Pizzetti su LinkedIn (segnalatomi dagli Idraulici della privact e anche da Fabrizio Morandi), molto critico sulle certificazioni privacy:
https://www.linkedin.com/feed/update/urn:li:activity:6407501108947886080.
Non posso fare altro che essere d'accordo con Pizzetti.
Personalmente dico le stesse cose (anche se peggio e meno autorevolmente) da anni. E chiunque aveva le competenze adeguate avrebbe dovuto dire da subito certe cose (da quando nel 2012 hanno cominciato a dire che il GDPR sarebbe stato approvato "domani", nel 2014 hanno promosso le "certificazioni DPO", nel 2016 le "certificazioni GDPR per le aziende").
E da ieri bisognava dire che non va chiesto il DPO (a norma di GDPR) in tutte le organizzazioni, non va fatta la PIA per ogni trattamento e non vanno inviate "nomine" a responsabile come se fossero spam.
Scusate lo sfogo, ma sono sicuro di non essere il solo che dice queste cose da anni (non sono particolarmente intelligente, competente o attento), ma la sensazione di esserlo c'è... E allora dove stanno tutti questi guru che non fanno chiarezza come dovrebbero? Forse troppo interessati a vendere corsi, consulenze o chissà che altro?
PS: avrei voluto tirare qualcosa a Modafferi quando in un intervento ha detto che per il Garante il Responsabile è sempre stato "esterno"... ma non ce lo hanno detto fino a pochi mesi fa. E chi in questi anni faceva notare che i requisiti del Codice erano incongruenti se applicabili a responsabili interni e esterni?
Tutto nasce da questo post di Pizzetti su LinkedIn (segnalatomi dagli Idraulici della privact e anche da Fabrizio Morandi), molto critico sulle certificazioni privacy:
https://www.linkedin.com/feed/update/urn:li:activity:6407501108947886080.
Non posso fare altro che essere d'accordo con Pizzetti.
Personalmente dico le stesse cose (anche se peggio e meno autorevolmente) da anni. E chiunque aveva le competenze adeguate avrebbe dovuto dire da subito certe cose (da quando nel 2012 hanno cominciato a dire che il GDPR sarebbe stato approvato "domani", nel 2014 hanno promosso le "certificazioni DPO", nel 2016 le "certificazioni GDPR per le aziende").
E da ieri bisognava dire che non va chiesto il DPO (a norma di GDPR) in tutte le organizzazioni, non va fatta la PIA per ogni trattamento e non vanno inviate "nomine" a responsabile come se fossero spam.
Scusate lo sfogo, ma sono sicuro di non essere il solo che dice queste cose da anni (non sono particolarmente intelligente, competente o attento), ma la sensazione di esserlo c'è... E allora dove stanno tutti questi guru che non fanno chiarezza come dovrebbero? Forse troppo interessati a vendere corsi, consulenze o chissà che altro?
PS: avrei voluto tirare qualcosa a Modafferi quando in un intervento ha detto che per il Garante il Responsabile è sempre stato "esterno"... ma non ce lo hanno detto fino a pochi mesi fa. E chi in questi anni faceva notare che i requisiti del Codice erano incongruenti se applicabili a responsabili interni e esterni?
lunedì 28 maggio 2018
Rettifiche al GDPR
Sono state pubblicate le ultime rettifiche al GDPR. Per visualizzarle, si può ricercare nella pagina di Eur Lex:
https://eur-lex.europa.eu/homepage.html?locale=it.
Si tratta di correzioni, quindi nulla di sostanziale.
Il testo consolidato purtroppo non è ancora disponibile.
https://eur-lex.europa.eu/homepage.html?locale=it.
Si tratta di correzioni, quindi nulla di sostanziale.
Il testo consolidato purtroppo non è ancora disponibile.
domenica 27 maggio 2018
Dlgs 51/2018 da Direttiva privacy 2016/680
Per chi si fosse dimenticato, il GDPR (numero 679 del 2016), regolamento "generale", era accompagnato da una Direttiva "specifica" per i dati trattati dalle "autorità competenti a fini di prevenzione, indagine, accertamento e perseguimento di reati o esecuzione di sanzioni penali".
È stato quindi pubblicato nella Gazzetta Ufficiale n. 119 del 24 maggio 2018 il decreto legislativo 18 maggio 2018, n. 51 che attua la direttiva UE 27 aprile 2016 n. 2016/680. Il D.Lgs. 51/2018 entrerà in vigore l'8 giugno 2018:
- http://www.gazzettaufficiale.it/eli/id/2018/05/24/18G00080/SG.
Ringrazio lo pseudoanonimizzato Idraulico della privacy NN per aver segnalato questa novità.
È stato quindi pubblicato nella Gazzetta Ufficiale n. 119 del 24 maggio 2018 il decreto legislativo 18 maggio 2018, n. 51 che attua la direttiva UE 27 aprile 2016 n. 2016/680. Il D.Lgs. 51/2018 entrerà in vigore l'8 giugno 2018:
- http://www.gazzettaufficiale.it/eli/id/2018/05/24/18G00080/SG.
Ringrazio lo pseudoanonimizzato Idraulico della privacy NN per aver segnalato questa novità.
Privacy: bozza di "prassi" UNI per la certificazione GDPR
Fabio Guasconi mi segnala l'avvio della consultazione pubblica per una "Prassi di riferimento" (PdR) UNI relativa alla gestione della privacy:
- http://www.uni.com/index.php?option=com_content&view=article&id=7144:gestione-della-privacy-in-ambito-digitale-progetto-di-prassi-di-riferimento-ora-in-consultazione-pubblica&catid=171&Itemid=2612.
La PdR si compone di due parti. La prima è una "linea guida", ma è in sostanza un documento organizzato male, con molti errori anche tecnici (si parla di responsabili interni, tanto per intenderci). Nel caso migliore lo dichiarerei inutile.
La seconda parte (o "sezione") è invece importante perché si propone come riferimento per le certificazioni GDPR. Ho trovato qualche punto discutibile (mi fa ridere l'idea di "inventario ripetuto" e mi fa paura la descrizione dell'ambito con la descrizione dei dispositivi rimovibili), ma mi pare un buon prodotto.
Importante segnalare che questa PdR riguarderebbe il solo ambito ICT e quindi solo alcuni trattamenti o parti di essi.
Osservo che questa operazione è evidentemente la conseguenza della non felice storia italiana sulla "certificazione privacy", di cui scrissi a suo tempo:
- http://blog.cesaregallotti.it/2017/05/certificazioni-privacy-per-aziende-e-bs.html.
Ho il timore che venga fuori un'altra storia non felice. Infatti non mi risulta che il Garante abbia partecipato alla scrittura di questo documento e, se dovesse seguire il comportamento fin qui tenuto, non dovrebbe avallare uno schema nazionale, mentre Accredia vorrebbe avviare uno schema meno controverso di quello attuale. Vedremo, visto che le cose cambiano.
Per completezza segnalo che avevo chiesto di partecipare ai lavori (anche in quanto socio UNINFO), ma il promotore del gruppo di lavoro non ha voluto. Spero di non venire accusato di aver scritto dei giudizi spinto dalla delusione, ma di aver seguito lo stesso atteggiamento tenuto in altre occasioni.
Ultimissima nota: si tratta di bozze e come al solito ne sconsiglio la lettura a coloro che non hanno intenzione o che non hanno l'opportunità di partecipare attivamente alla consultazione.
- http://www.uni.com/index.php?option=com_content&view=article&id=7144:gestione-della-privacy-in-ambito-digitale-progetto-di-prassi-di-riferimento-ora-in-consultazione-pubblica&catid=171&Itemid=2612.
La PdR si compone di due parti. La prima è una "linea guida", ma è in sostanza un documento organizzato male, con molti errori anche tecnici (si parla di responsabili interni, tanto per intenderci). Nel caso migliore lo dichiarerei inutile.
La seconda parte (o "sezione") è invece importante perché si propone come riferimento per le certificazioni GDPR. Ho trovato qualche punto discutibile (mi fa ridere l'idea di "inventario ripetuto" e mi fa paura la descrizione dell'ambito con la descrizione dei dispositivi rimovibili), ma mi pare un buon prodotto.
Importante segnalare che questa PdR riguarderebbe il solo ambito ICT e quindi solo alcuni trattamenti o parti di essi.
Osservo che questa operazione è evidentemente la conseguenza della non felice storia italiana sulla "certificazione privacy", di cui scrissi a suo tempo:
- http://blog.cesaregallotti.it/2017/05/certificazioni-privacy-per-aziende-e-bs.html.
Ho il timore che venga fuori un'altra storia non felice. Infatti non mi risulta che il Garante abbia partecipato alla scrittura di questo documento e, se dovesse seguire il comportamento fin qui tenuto, non dovrebbe avallare uno schema nazionale, mentre Accredia vorrebbe avviare uno schema meno controverso di quello attuale. Vedremo, visto che le cose cambiano.
Per completezza segnalo che avevo chiesto di partecipare ai lavori (anche in quanto socio UNINFO), ma il promotore del gruppo di lavoro non ha voluto. Spero di non venire accusato di aver scritto dei giudizi spinto dalla delusione, ma di aver seguito lo stesso atteggiamento tenuto in altre occasioni.
Ultimissima nota: si tratta di bozze e come al solito ne sconsiglio la lettura a coloro che non hanno intenzione o che non hanno l'opportunità di partecipare attivamente alla consultazione.
sabato 26 maggio 2018
Security Development Lifecycle di Microsoft
Stefano Ramacciotti mi ha segnalato le pagine aggiornate di Microsoft sul Security Development Lifecycle di Microsoft.
La prima è il The Security Development Lifecycle Developer Starter Kit:
- https://www.microsoft.com/en-us/SDL/adopt/customsdltraining.aspx.
La seconda è il SDL process: Training:
- https://www.microsoft.com/en-us/SDL/process/training.aspx.
Credo di aver già, a suo tempo, segnalato il materiale MS sul SDL, sicuramente molto buono. Ora molto è cambiato in meglio e si trova molto materiale pratico, cosa sempre difficile da trovare (perché è facile dire "fate vulnerability test", meno capire con cosa).
Anche Stefano mi ha confermato di apprezzare l'approccio più pratico del sito rispetto al precedente.
Grazie a Stefano: finalmente qualcosa che non sia "GDPR"!!! Un po' di freschezza ci voleva...
La prima è il The Security Development Lifecycle Developer Starter Kit:
- https://www.microsoft.com/en-us/SDL/adopt/customsdltraining.aspx.
La seconda è il SDL process: Training:
- https://www.microsoft.com/en-us/SDL/process/training.aspx.
Credo di aver già, a suo tempo, segnalato il materiale MS sul SDL, sicuramente molto buono. Ora molto è cambiato in meglio e si trova molto materiale pratico, cosa sempre difficile da trovare (perché è facile dire "fate vulnerability test", meno capire con cosa).
Anche Stefano mi ha confermato di apprezzare l'approccio più pratico del sito rispetto al precedente.
Grazie a Stefano: finalmente qualcosa che non sia "GDPR"!!! Un po' di freschezza ci voleva...
venerdì 25 maggio 2018
25 maggio 2018: Privacy Spam Day
Non me lo aspettavo, ma il 25 maggio non è il "GDPR day", ma il "Privacy Spam Day":
E tutti i miei clienti hanno ricevuto Privacy Spam e me l'hanno inoltrato per chiedermi cosa fare di volta in volta.
Io ho anche avuto il tempo di scrivere un reclamo al Garante e qualcuno ha a sua volta inviato un reclamo al mio cliente (quello con cui stavo risolvendo gli ultimi dubbi).
E dimenticavo: tutti i miei contatti hanno scritto messaggi arguti sul GDPR (o inviato immagini) su Whatsapp, Facebook, LinkedIn e Twitter. Come sto facendo io adesso!
Quindi: buon Privacy Spam Day a tutti i miei amici, colleghi, contatti e follower!
- tutti i clienti mi hanno inviato la loro email "noi abbiamo a cuore la tua privacy" (spesso di 6 o 7 pagine, quando convertita in un pdf formato A4);
- tutti i mittenti di spam mi hanno chiesto di confermare la sottoscrizione al loro spam;
- tanti editori di newsletter tecniche mi hanno chiesto di confermare la sottoscrizione alla loro newsletter;
- tutti i clienti mi hanno inviato la loro "nomina a responsabile", inclusa la richiesta di nominare un DPO (spesso di 5 o 6 pagine e con un peso di almeno 2MB);
- tutti i fornitori mi hanno inviato la loro "auto-nomina a responsabile", inclusa la richiesta di non chiedere troppi dettagli sulle loro misure di sicurezza, ma di fidarmi di loro e firmare il contratto.
E tutti i miei clienti hanno ricevuto Privacy Spam e me l'hanno inoltrato per chiedermi cosa fare di volta in volta.
Io ho anche avuto il tempo di scrivere un reclamo al Garante e qualcuno ha a sua volta inviato un reclamo al mio cliente (quello con cui stavo risolvendo gli ultimi dubbi).
E dimenticavo: tutti i miei contatti hanno scritto messaggi arguti sul GDPR (o inviato immagini) su Whatsapp, Facebook, LinkedIn e Twitter. Come sto facendo io adesso!
Quindi: buon Privacy Spam Day a tutti i miei amici, colleghi, contatti e follower!
mercoledì 23 maggio 2018
GDPR: Perché avere un DPO certificato (risposte)
Nel mio post dal titolo "GDPR: Perché avere un DPO certificato" (http://blog.cesaregallotti.it/2018/04/perche-avere-un-dpo-certificato.html), avevo ripetuto la domanda di Monica Perego: qual è il documento legislativo che stabilisce come la fornitura di un bene o la prestazione di un servizio, eseguita in conformità a norme UNI, CEI od equivalenti norme europee od internazionali, costituisce fornitura o prestazione a "regola d'arte"?
Alcuni mi hanno risposto (con toni anche accesi) che non esiste, per lo meno applicabile al DPO.
La risposta più interessante me l'ha inviata Mauro Caio di Emaze e la copio qui di seguito.
<< Il primo riferimento normativo che io ricordi e che ha spianato la strada alla legislazione in merito a Stato dell'arte e Norme (in quel caso CEI – Comitato Elettrotecnico Italiano) risale al 1968 (L. Legge 1 marzo 1968, n. 186). Il ricordo risale a quando ho avuto modo di partecipare ai lavori del CEI 64 (impianti elettrici) e 62-5 (apparecchiature elettromedicali).
Un buon link è https://www.certifico.com/news/22-news/news-generali/1956-regola-dell-arte-i
-riferimenti-normativi>>.
Raccomando l'articolo perché è molto interessante, anche se applicabile ad altro contesto. Forse Biasiotti intendeva proprio quei "documenti legislativi", anche se non so (per ignoranza legale) quanto l'analogia possa reggere.
Alcuni mi hanno risposto (con toni anche accesi) che non esiste, per lo meno applicabile al DPO.
La risposta più interessante me l'ha inviata Mauro Caio di Emaze e la copio qui di seguito.
<< Il primo riferimento normativo che io ricordi e che ha spianato la strada alla legislazione in merito a Stato dell'arte e Norme (in quel caso CEI – Comitato Elettrotecnico Italiano) risale al 1968 (L. Legge 1 marzo 1968, n. 186). Il ricordo risale a quando ho avuto modo di partecipare ai lavori del CEI 64 (impianti elettrici) e 62-5 (apparecchiature elettromedicali).
Un buon link è https://www.certifico.com/news/22-news/news-generali/1956-regola-dell-arte-i
-riferimenti-normativi>>.
Raccomando l'articolo perché è molto interessante, anche se applicabile ad altro contesto. Forse Biasiotti intendeva proprio quei "documenti legislativi", anche se non so (per ignoranza legale) quanto l'analogia possa reggere.
GDPR: qualche orrore (continuazione 01)
Dopo il mio post dal titolo "GDPR: qualche orrore" (http://blog.cesaregallotti.it/2018/05/gdpr-qualche-orrore.html), altri mi hanno segnalato delle chicche.
La prima è stata Miriam Carmassi (grazie!) direttamente sul mio blog: "tra gli orrori...dare data certa al registro dei trattamenti e al resto della documentazione predisposta mediante autoinvio per posta ordinaria... gli orrori del passato ritornano questa volta in nome del principio dell'accountability".
Aggiungo che io tutta questa accountability che permea il GDPR non la vedo. Il termine è usato solo una volta, ma la frase "l'accountability permea il GDPR" è ormai diventata un classico. Le responsabilità erano comunque stabilite prima (anche se il termine "accountability" non appariva) e sono stabilite adesso e sono comunque materia importante.
Ultimo aggiornamento: un mio cliente (per un lavoro non correlato al GDPR, per il quale aveva già trovato un consulente) mi ha inviato via email, in quanto fornitore, un'informativa con richiesta di ritornare firmata. Come rendere dannoso un adempimento già non utile.
La prima è stata Miriam Carmassi (grazie!) direttamente sul mio blog: "tra gli orrori...dare data certa al registro dei trattamenti e al resto della documentazione predisposta mediante autoinvio per posta ordinaria... gli orrori del passato ritornano questa volta in nome del principio dell'accountability".
Aggiungo che io tutta questa accountability che permea il GDPR non la vedo. Il termine è usato solo una volta, ma la frase "l'accountability permea il GDPR" è ormai diventata un classico. Le responsabilità erano comunque stabilite prima (anche se il termine "accountability" non appariva) e sono stabilite adesso e sono comunque materia importante.
Ultimo aggiornamento: un mio cliente (per un lavoro non correlato al GDPR, per il quale aveva già trovato un consulente) mi ha inviato via email, in quanto fornitore, un'informativa con richiesta di ritornare firmata. Come rendere dannoso un adempimento già non utile.
sabato 19 maggio 2018
GDPR: qualche orrore
A pochi giorni dall'entrata in vigore del GDPR, ovviamente le organizzazioni si stanno attrezzando (tantissime hanno aspettato l'ultimo mese!).
Gli orrori quindi si cominciano a vedere e si diffondono, dimostrando così quanto l'eccesso di entusiasmo o di isteria degli ultimi mesi o anni non abbiano fatto sempre bene. Molti esempi vengono anche da grandissime multinazionali, che evidentemente si sono affidate a consulenti dell'ultimo minuto e che hanno venduto loro soluzioni standard, per quanto sciocche esse siano.
Qui elenco qualche caso.
E alla fine fate come volete... ma non ditemi che la privacy è solo burocrazia inutile. Perché la burocrazia inutile se la sono voluta loro, non l'ha imposta il GDPR!
Rapporti con i dipendenti
Sono venuto a conoscenza di una nuova formula di "nomina ad incaricato". Visto che il GDPR non prevede "nomine" o "designazioni", qualcuno non ha voluto rinunciare (anche se poteva farlo sin dal Dlgs 196) al foglio di carta firmato singolarmente dal dipendente e gli ha messo il titolo di "designazione a persona autorizzata al trattamento dei dati personali".
La firma è anche richiesta quando sono inviate al personale le regole da seguire per assicurare la protezione dei dati personali. Io sono un promotore di tale regolamento, ma perché richiedere la firma per accettazione, quando per tutte le altre regole e procedure aziendali non è richiesta alcuna firma? Perché introdurre un processo "diverso"?
Ovviamente, è sempre in voga la richiesta di firma sull'informativa, anche se non richiesta. Alcuni, ahinoi, continuano anche a richiedere il consenso.
Credo che i dipendenti, in tutta la loro vita lavorativa, con l'eccezione del contratto di assunzione, firmino solo i documenti di "autorizzazione al trattamento dei dati personali", "regolamento per la protezione dei dati personali" e "informativa relativa al trattamento dei dati personali". Firma autografa, visto che siamo nel 2018...
Gestione dei fornitori
Si stanno diffondendo i questionari ai fornitori. Ma il GDPR non li richiede. Il GDPR richiede di stipulare contratti che impongano ai fornitori (responsabili del trattamento) l'attuazione di misure di sicurezza che il titolare ritiene adeguate.
Qualcuno mi dice che questi questionari servono a valutare il rischio del fornitore. Purtroppo è un'interpretazione sbagliata: il titolare deve valutare il rischio dei trattamenti, stabilire le misure "adeguate" e poi richiederne l'attuazione ai fornitori. Processo più logico di quello di inviare il questionario, poi valutare il rischio, poi stabilire se il fornitore è adeguato, poi... poi cosa?
Se il fornitore non può accettare le clausole contrattuali, avvierà una negoziazione con il cliente, proponendo misure compensative, segnalando quelle non applicabili al trattamento affidato, eccetera. Forse questo è un processo troppo logico...
Gli orrori quindi si cominciano a vedere e si diffondono, dimostrando così quanto l'eccesso di entusiasmo o di isteria degli ultimi mesi o anni non abbiano fatto sempre bene. Molti esempi vengono anche da grandissime multinazionali, che evidentemente si sono affidate a consulenti dell'ultimo minuto e che hanno venduto loro soluzioni standard, per quanto sciocche esse siano.
Qui elenco qualche caso.
E alla fine fate come volete... ma non ditemi che la privacy è solo burocrazia inutile. Perché la burocrazia inutile se la sono voluta loro, non l'ha imposta il GDPR!
Rapporti con i dipendenti
Sono venuto a conoscenza di una nuova formula di "nomina ad incaricato". Visto che il GDPR non prevede "nomine" o "designazioni", qualcuno non ha voluto rinunciare (anche se poteva farlo sin dal Dlgs 196) al foglio di carta firmato singolarmente dal dipendente e gli ha messo il titolo di "designazione a persona autorizzata al trattamento dei dati personali".
La firma è anche richiesta quando sono inviate al personale le regole da seguire per assicurare la protezione dei dati personali. Io sono un promotore di tale regolamento, ma perché richiedere la firma per accettazione, quando per tutte le altre regole e procedure aziendali non è richiesta alcuna firma? Perché introdurre un processo "diverso"?
Ovviamente, è sempre in voga la richiesta di firma sull'informativa, anche se non richiesta. Alcuni, ahinoi, continuano anche a richiedere il consenso.
Credo che i dipendenti, in tutta la loro vita lavorativa, con l'eccezione del contratto di assunzione, firmino solo i documenti di "autorizzazione al trattamento dei dati personali", "regolamento per la protezione dei dati personali" e "informativa relativa al trattamento dei dati personali". Firma autografa, visto che siamo nel 2018...
Gestione dei fornitori
Si stanno diffondendo i questionari ai fornitori. Ma il GDPR non li richiede. Il GDPR richiede di stipulare contratti che impongano ai fornitori (responsabili del trattamento) l'attuazione di misure di sicurezza che il titolare ritiene adeguate.
Qualcuno mi dice che questi questionari servono a valutare il rischio del fornitore. Purtroppo è un'interpretazione sbagliata: il titolare deve valutare il rischio dei trattamenti, stabilire le misure "adeguate" e poi richiederne l'attuazione ai fornitori. Processo più logico di quello di inviare il questionario, poi valutare il rischio, poi stabilire se il fornitore è adeguato, poi... poi cosa?
Se il fornitore non può accettare le clausole contrattuali, avvierà una negoziazione con il cliente, proponendo misure compensative, segnalando quelle non applicabili al trattamento affidato, eccetera. Forse questo è un processo troppo logico...
24 maggio: incontro del Garante
Il 24 maggio a Bologna è stato organizzato l'evento "Regolamento Ue. Il Garante incontra i Responsabili della Protezione dei Dati (RPD)":
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7917099.
Io, grazie al solito Pierfrancesco Maistrello, mi ero iscritto per tempo.
Per chi fosse interessato, l'evento può essere seguito in streaming come riportato dalla pagina sopra indicata.
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7917099.
Io, grazie al solito Pierfrancesco Maistrello, mi ero iscritto per tempo.
Per chi fosse interessato, l'evento può essere seguito in streaming come riportato dalla pagina sopra indicata.
mercoledì 16 maggio 2018
Come è (im)possibile dimostrare che il proprio pc è stato compromesso
Da Crypto-Gram di maggio 2018: Micah Lee ha provato per 2 anni a trovare un metodo per verificare se il proprio pc portatile è stato compromesso. I risultati lasciano dei dubbi e dimostrano quanto sia difficile verificare la compromissione di un pc portatile:
https://theintercept.com/2018/04/28/computer-malware-tampering/.
Ancora una volta trovo conferma dell'impossibilità di avere certe misurazioni della sicurezza e valutazioni del rischio quantitative.
https://theintercept.com/2018/04/28/computer-malware-tampering/.
Ancora una volta trovo conferma dell'impossibilità di avere certe misurazioni della sicurezza e valutazioni del rischio quantitative.
lunedì 14 maggio 2018
Traduzione ENISA handbook
Franco Vincenzo Ferrari di DNV GL Business Assurance mi ha segnalato la disponibilità di una traduzione in italiano dell'handbook di ENISA:
- https://www.amazon.it/clouddrive/share/ikQmbrXD7J6X2WlRXfqdXa3Cs10Mo2EqQlom5oWeUre?_encoding=UTF8&%2AVersion%2A=1&%2Aentries%2A=0&mgh=1.
Credo sia noto il mio apprezzamento per questa pubblicazione (anche se rileggendola con attenzione ho trovato qualche controllo che risente di un'impostazione teorica da torre di cristallo, ma si tratta di pochissimi casi).
Devo dire che il mio ego ha subito un tracollo: alcuni traduttori (con cui mi complimento) li conosco bene, ma non è da loro che mi è arrivata la notizia.
- https://www.amazon.it/clouddrive/share/ikQmbrXD7J6X2WlRXfqdXa3Cs10Mo2EqQlom5oWeUre?_encoding=UTF8&%2AVersion%2A=1&%2Aentries%2A=0&mgh=1.
Credo sia noto il mio apprezzamento per questa pubblicazione (anche se rileggendola con attenzione ho trovato qualche controllo che risente di un'impostazione teorica da torre di cristallo, ma si tratta di pochissimi casi).
Devo dire che il mio ego ha subito un tracollo: alcuni traduttori (con cui mi complimento) li conosco bene, ma non è da loro che mi è arrivata la notizia.
Direttiva NIS in vigore (ma non troppo)
La newsletter SANS Newsbites mi ha ricordato che il 10 maggio sarebbe dovuta entrare in vigore la Direttiva NIS (Networks and Information Systems).
In altre parole, i Paesi membri avrebbero dovuto approvare entro il 10 maggio una normativa nazionale (in Italia, un Decreto Legislativo) di recepimento della Direttiva. Non mi risulta che l'Italia l'abbia ancora fatto, anche se il Governo ha avuto la delega ad ottobre 2017 (ma sappiamo bene cose è successo nel nostro Paese da ottobre ad oggi).
La Direttiva riguarda gli adempimenti che alcuni erogatori di servizi essenziali (per esempio fornitura di elettricità, acqua, servizi sanitari e di trasporto passeggeri e merci) dovrebbero attuare per assicurare la sicurezza dei propri sistemi informatici.
Finita la sbornia da GDPR, molto dopo il 25 maggio, immagino, ci accorgeremo anche di questo adempimento.
Intanto possiamo studiarci la materia grazie agli... inglesi! Il National Cyber Security Centre ha infatti pubblicato una guida alla NIS:
- https://www.ncsc.gov.uk/guidance/nis-guidance-collection.
(Confesso che non ho capito se l'UK ha approvato un proprio provvedimento legislativo nazionale per recepire la Direttiva NIS, ma forse questo non è così importante).
In altre parole, i Paesi membri avrebbero dovuto approvare entro il 10 maggio una normativa nazionale (in Italia, un Decreto Legislativo) di recepimento della Direttiva. Non mi risulta che l'Italia l'abbia ancora fatto, anche se il Governo ha avuto la delega ad ottobre 2017 (ma sappiamo bene cose è successo nel nostro Paese da ottobre ad oggi).
La Direttiva riguarda gli adempimenti che alcuni erogatori di servizi essenziali (per esempio fornitura di elettricità, acqua, servizi sanitari e di trasporto passeggeri e merci) dovrebbero attuare per assicurare la sicurezza dei propri sistemi informatici.
Finita la sbornia da GDPR, molto dopo il 25 maggio, immagino, ci accorgeremo anche di questo adempimento.
Intanto possiamo studiarci la materia grazie agli... inglesi! Il National Cyber Security Centre ha infatti pubblicato una guida alla NIS:
- https://www.ncsc.gov.uk/guidance/nis-guidance-collection.
(Confesso che non ho capito se l'UK ha approvato un proprio provvedimento legislativo nazionale per recepire la Direttiva NIS, ma forse questo non è così importante).
Ius law web radio: Come stabilire le misure di sicurezza con la ISO/IEC 29151
Elia Barbujani di Ius law web radio mi ha intervistato su misure di sicurezza per la privacy e ISO/IEC 29115. La puntata (35 minuti) è qui:
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-stabilire-le-misure-di-sicurezza-secondo-la-iso29151/.
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-stabilire-le-misure-di-sicurezza-secondo-la-iso29151/.
venerdì 11 maggio 2018
GDPR: Valutazione del rischio e PIA
Segnalo questo mio articolo su ICT Security Magazine dal titolo "Valutazione del rischio e PIA", sulle relazioni e le differenze tra valutazione del rischio relativo alla privacy e PIA:
- https://www.ictsecuritymagazine.com/articoli/valutazione-del-rischio-e-pia/.
- https://www.ictsecuritymagazine.com/articoli/valutazione-del-rischio-e-pia/.
GDPR: La mia lista
Fioccano in questi giorni le liste delle cose da fare per il GDPR.
Oggi vedo che finalmente in molti stanno "abbassando i toni", come in questo articolo (segnalatomi da Franco Vincenzo Ferrari):
- https://www.ilfattoquotidiano.it/2018/05/02/nuovo-regolamento-privacy-i-dieci-comandamenti-per-non-cadere-nei-tranelli/4328293/.
Io l'avevo detto nel maggio 2016:
- http://blog.cesaregallotti.it/2016/05/pubblicato-il-nuovo-regolamento-privacy.html.
Ma non avevo considerato la vera grande novità del GDPR: le sanzioni milionarie. Questa è la vera grande novità. Il resto sono solo isterie di "studiosi" o "consulenti" che vogliono vendere mega progetti ai clienti spaventati (o che non hanno capito niente... gli studiosi e i consulenti... non i clienti).
A dirla tutta: il GDPR semplifica di molto rispetto alla 196.
A chi interessa, ecco la mia check list delle cose da fare:
Oggi vedo che finalmente in molti stanno "abbassando i toni", come in questo articolo (segnalatomi da Franco Vincenzo Ferrari):
- https://www.ilfattoquotidiano.it/2018/05/02/nuovo-regolamento-privacy-i-dieci-comandamenti-per-non-cadere-nei-tranelli/4328293/.
Io l'avevo detto nel maggio 2016:
- http://blog.cesaregallotti.it/2016/05/pubblicato-il-nuovo-regolamento-privacy.html.
Ma non avevo considerato la vera grande novità del GDPR: le sanzioni milionarie. Questa è la vera grande novità. Il resto sono solo isterie di "studiosi" o "consulenti" che vogliono vendere mega progetti ai clienti spaventati (o che non hanno capito niente... gli studiosi e i consulenti... non i clienti).
A dirla tutta: il GDPR semplifica di molto rispetto alla 196.
A chi interessa, ecco la mia check list delle cose da fare:
- nei casi previsti dall'articolo 37, designare un DPO; in tutti gli altri casi, individuare un "referente privacy" (anche se non obbligatorio); tutte le altre cose vanno fatte con questa persona (ed eventualmente con altre);
- fare il registro dei trattamenti (il mio modello è il VERA privacy, reperibile da http://www.cesaregallotti.it/Pubblicazioni.html); nessuno chiede di scrivere tanti dettagli, ma di riportare solo i trattamenti e le finalità (e altri dettagli, come richiesto dall'articolo );
- fare una valutazione del rischio relativa alla privacy (si può sempre usare il VERA privacy per iniziare);
- nei casi previsti dall'articolo 35 e dei trattamenti più "rischiosi", fare una valutazione del rischio specifica per quei trattamenti (DPIA o PIA; sempre con il VERA privacy, per iniziare);
- riesaminare l'applicazione territoriale;
- aggiornare le informative, includendo i tempi di conservazione, le modalità di reclamo e, soprattutto, le nuove basi legali (articolo 6 paragrafo 1 del GDPR); togliere anche i riferimenti precisi alla normativa (non servono a niente);
- togliere i consensi non più necessari e documentare (firme non necessarie) quelli necessari (non necessario richiederlo nuovamente); rendere chiaro e "separato" il consenso privacy;
- verificare che gli interessati possano revocare il consenso "con la stessa facilità con cui è accordato";
- ricordare che il GDPR richiede di rispondere alle richieste degli interessati entro un mese (meglio documentare un processo);
- riesaminare tutti i contratti con i fornitori a cui si trasmettono dati personali e, se necessario, aggiornarli (questo è l'adempimento non tecnologico più pesante) con quanto previsto dall'articolo 28 (avevo già preparato una lista dei punti da prevedere a inizio 2017; oggi penso che dovrei modificarla solo lievemente: http://blog.cesaregallotti.it/2017/01/gdpr-e-nomina-dei-responsabili-privacy.html); da prestare attenzione ai fornitori che trasferiscono dati in Paesi extra-UE (in questi casi, applicare quanto previsto dagli articolo 44 e successivi, che consolidano cose già previste dalla precedente normativa);
- riesaminare e, se necessario, aggiornare gli accordi con i con-titolari (ricordando anche qui di prestare attenzione ai trasferimenti extra-UE);
- documentare, per esempio in un mansionario, quali trattamenti sono autorizzati a svolgere le aree aziendali (questo sarebbe un raffinamento di quanto riportato nel registro);
- stabilire un processo di riesame periodico delle autorizzazioni assegnate per accedere ai dati personali (processo già previsto dalle misure minime del D. Lgs. 196, ma ora ancora più importante perché "sostituisce" le nomine agli incaricati insieme al punto precedente);
- predisporre un regolamento privacy (che può anche essere esteso alla sicurezza delle informazioni) per tutto il personale e i collaboratori autorizzati a trattare i dati personali, con misure "generali" e, se il caso, con misure specifiche per alcuni trattamenti (p.e. manutenzione software, gestione contatti di un contact centre);
- stabilire un processo di gestione degli incidenti con impatto sui dati personali (data breach, articoli 33 e 34);
- controllare che i dati possano essere forniti agli interessati in "formato portabile"; nella maggior parte dei casi vuol dire prevedere l'esportazione in un formato strutturato, di uso comune e leggibile da dispositivo automatico (ossia un testo ASCII, una tabella csv o un pdf); in alcuni specifici mercati è invece necessario prevedere altre soluzioni;
- prevedere la cancellazione dei dati quando è terminato il periodo di conservazione, ricordando che il principio della conservazione perché "non si sa mai" non è incluso nel GDPR, anzi... è sanzionato; questo è sicuramente l'adempimento tecnico più pesante;
- stabilire un processo di audit interni per la privacy (testare, verificare e valutare).
martedì 1 maggio 2018
Linee guida WP art. 29 su consenso e trasparenza
Confesso che leggo raramente le linee guida del WP Art. 29. Infatti solitamente ripetono cose già dette più volte. Lascio ad altri più pazienti (e spesso più competenti) di me il compito di leggerle e identificare eventuali punti originali.
In questo caso Pierfrancesco Maistrello mi è venuto in aiuto con due linee guida.
La prima è sul consenso. La linea guida si trova qui:
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051.
Ecco quello che mi scrive Pierfrancesco: "il capitolo 8 riporta una cosa ovvia, anche se ho visto molti casi in cui ovvia non è. Si dice che il consenso raccolto in ambito Direttiva 95/46 (ossia prima del GDPR) può essere valido, previa verifica delle caratteristiche della sua acquisizione. Io direi che se un titolare italiano ha disposto testi informativi conformi con la vigente legge dell'epoca, dovrebbe aver indicato le finalità in informativa e, conseguentemente, agganciato un consenso liberamente selezionabile (e firmabile in caso di trattamento di dati sensibili). Chi invece ha fatto il furbo dovrà correre ai ripari. Molto spesso i contatti del marketing sono stati raccolti nei modi più vari e oggi non è più possibile sapere se erano anche corretti".
Io aggiungo che molti uffici marketing mi chiedono perché non giudicare validi i contatti che hanno ricevuto email promozionali gli scorsi anni e non hanno mai seguito la (semplice) procedure di cancellazione. Non saprei rispondere in modo più intelligente di "se non avete prova del consenso prestato con un'azione "positiva", quel contatto dovreste cancellarlo".
La seconda pubblicazione è sulla trasparenza. Si trova a questo link:
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227.
Pierfrancesco mi segnala: "anche qui niente di nuovissimo, mi pare, almeno per chi si è letto il GDPR. In realtà sarebbe importante leggere tutto il documentone, che parte descrivendo l'importanza del primo tassello (cosa che io dico sempre): l'informativa deve essere comprensibile a chi la legge in relazione ai dati che riguardano proprio lui….ma so che è inutile parlarne a te, che la pensi esattamente così da sempre, mi pare…".
Ha ragione a dire che la penso così da sempre. Dubito però di essere stato capace di scrivere un'informativa facilmente comprensibile al cosiddetto "uomo della strada". Ma potrò imparare.
In questo caso Pierfrancesco Maistrello mi è venuto in aiuto con due linee guida.
La prima è sul consenso. La linea guida si trova qui:
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=623051.
Ecco quello che mi scrive Pierfrancesco: "il capitolo 8 riporta una cosa ovvia, anche se ho visto molti casi in cui ovvia non è. Si dice che il consenso raccolto in ambito Direttiva 95/46 (ossia prima del GDPR) può essere valido, previa verifica delle caratteristiche della sua acquisizione. Io direi che se un titolare italiano ha disposto testi informativi conformi con la vigente legge dell'epoca, dovrebbe aver indicato le finalità in informativa e, conseguentemente, agganciato un consenso liberamente selezionabile (e firmabile in caso di trattamento di dati sensibili). Chi invece ha fatto il furbo dovrà correre ai ripari. Molto spesso i contatti del marketing sono stati raccolti nei modi più vari e oggi non è più possibile sapere se erano anche corretti".
Io aggiungo che molti uffici marketing mi chiedono perché non giudicare validi i contatti che hanno ricevuto email promozionali gli scorsi anni e non hanno mai seguito la (semplice) procedure di cancellazione. Non saprei rispondere in modo più intelligente di "se non avete prova del consenso prestato con un'azione "positiva", quel contatto dovreste cancellarlo".
La seconda pubblicazione è sulla trasparenza. Si trova a questo link:
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=622227.
Pierfrancesco mi segnala: "anche qui niente di nuovissimo, mi pare, almeno per chi si è letto il GDPR. In realtà sarebbe importante leggere tutto il documentone, che parte descrivendo l'importanza del primo tassello (cosa che io dico sempre): l'informativa deve essere comprensibile a chi la legge in relazione ai dati che riguardano proprio lui….ma so che è inutile parlarne a te, che la pensi esattamente così da sempre, mi pare…".
Ha ragione a dire che la penso così da sempre. Dubito però di essere stato capace di scrivere un'informativa facilmente comprensibile al cosiddetto "uomo della strada". Ma potrò imparare.
Stato delle norme ISO/IEC 270xx - Aprile 2018
Il 20 aprile a Wuhan (Cina) si è concluso l'incontro semestrale del ISO/IEC JTC 1 SC 27, ossia del comitato che si occupa della redazione delle norme della serie ISO/IEC 27000.
Ho trovato l'incontro povero di argomenti di mio interesse. Darò quindi conto delle (poche) cose emerse.
Per quanto riguarda i lavori sulle norme della privacy, i lavori sulla ISO/IEC 27552 (ossia lo standard che potrebbe essere quello su cui sarà basata la "certificazione GDPR") sono proseguiti e verrà prodotto un secondo CD. In parole molto povere: i lavori stanno proseguendo come previsto in precedenza, con pubblicazione della norma prevista a fine 2019.
Altra norma che è ritenuta molto interessante è la ISO/IEC 27018 (Code of practice for PII protection in public clouds acting as PII processors). E' programmata una sua nuova versione a breve per allinearla alle altre norme uscite in questi anni. Purtroppo mi risulta non siano state fatte riflessioni approfondite sulle sovrapposizioni tra questa norma e la ISO/IEC 27552.
Altri lavori sono proseguiti (ma non ho potuto seguirli perché arrivato tardi per problemi vari). In particolare sulla nuova edizione della ISO/IEC 29101 (Privacy Architecture Framework) e la ISO/IEC 27550 (Privacy engineering for system life cycle processes).
Lascio in coda le attività del WG 1, ossia quelle più strettamente collegate alla ISO/IEC 27001. Segnalo le cose per me più interessanti:
- c'è stato un incontro di discussione sulla "utilità del SOA", in cui sono emersi i diversi punti di vista;
- sono continuati i lavori preparatori per la prossima versione della ISO/IEC 27002;
- sono continuate le discussioni per la futura ISO/IEC 27005;
- sono state fatte alcune riflessioni sulla ISO/IEC 27006 perché alcuni punti sono risultati ambigui;
Stanno inoltre avanzando i lavori su alcune norme relative alla cybersecurity. In particolare, anche se non ci ho partecipato, trovo molto interessante la futura norma ISO/IEC 27102 sulle cyber-assicurazioni.
Per quanto riguarda i partecipanti, ho solo i numeri del WG 1 (i gruppi sono 5 e il WG 1 è il più numeroso): 98 esperti da 21 Paesi. La delegazione italiana (per i soli WG 1 e WG 5) era composta da ben (!) tre persone.
Ho trovato l'incontro povero di argomenti di mio interesse. Darò quindi conto delle (poche) cose emerse.
Per quanto riguarda i lavori sulle norme della privacy, i lavori sulla ISO/IEC 27552 (ossia lo standard che potrebbe essere quello su cui sarà basata la "certificazione GDPR") sono proseguiti e verrà prodotto un secondo CD. In parole molto povere: i lavori stanno proseguendo come previsto in precedenza, con pubblicazione della norma prevista a fine 2019.
Altra norma che è ritenuta molto interessante è la ISO/IEC 27018 (Code of practice for PII protection in public clouds acting as PII processors). E' programmata una sua nuova versione a breve per allinearla alle altre norme uscite in questi anni. Purtroppo mi risulta non siano state fatte riflessioni approfondite sulle sovrapposizioni tra questa norma e la ISO/IEC 27552.
Altri lavori sono proseguiti (ma non ho potuto seguirli perché arrivato tardi per problemi vari). In particolare sulla nuova edizione della ISO/IEC 29101 (Privacy Architecture Framework) e la ISO/IEC 27550 (Privacy engineering for system life cycle processes).
Lascio in coda le attività del WG 1, ossia quelle più strettamente collegate alla ISO/IEC 27001. Segnalo le cose per me più interessanti:
- c'è stato un incontro di discussione sulla "utilità del SOA", in cui sono emersi i diversi punti di vista;
- sono continuati i lavori preparatori per la prossima versione della ISO/IEC 27002;
- sono continuate le discussioni per la futura ISO/IEC 27005;
- sono state fatte alcune riflessioni sulla ISO/IEC 27006 perché alcuni punti sono risultati ambigui;
Stanno inoltre avanzando i lavori su alcune norme relative alla cybersecurity. In particolare, anche se non ci ho partecipato, trovo molto interessante la futura norma ISO/IEC 27102 sulle cyber-assicurazioni.
Per quanto riguarda i partecipanti, ho solo i numeri del WG 1 (i gruppi sono 5 e il WG 1 è il più numeroso): 98 esperti da 21 Paesi. La delegazione italiana (per i soli WG 1 e WG 5) era composta da ben (!) tre persone.
lunedì 30 aprile 2018
GDPR: Perché avere un DPO certificato
Confesso che mi sono sempre chiesto perché tanta fretta ad avere le tanto pubblicizzate certificazioni da DPO.
Franco Ferrari di DNV GL mi ha inoltrato il link a questo articolo che me lo spiega:
- https://www.puntosicuro.it/security-C-124/privacy-C-89/la-qualificazione-dei-responsabili-del-trattamento-della-protezione-dei-dati-AR-18008/.
In sostanza, una persona certificata secondo una norma UNI (in questo caso, DPO secondo quanto previsto dalla norma UNI 11697) garantisce di poter offrire una "prestazione a regola d'arte". Come dice l'articolo: "l'adeguarsi alla norma UNI 11697 è fatto volontario e garantisce che il soggetto conforme a questa norma possa offrire una prestazione a regola d'arte".
Ecco quindi che un titolare, "se sceglie soggetti certificati secondo la norma UNI, per definizione egli non può sbagliare e quindi non è soggetto ad una possibile " culpa in eligendo"".
Segnalo che ora sono ancora in fase di approvazione, da parte di Accredia, i primi accreditamenti alle società che vogliono certificare secondo la UNI 11697.
PS: Monica Perego mi ha chiesto quale sia il documento legislativo che stabilisce come la fornitura di un bene o la prestazione di un servizio, eseguita in conformità a norme UNI, CEI od equivalenti norme europee od internazionali, costituisce fornitura o prestazione a “regola d’arte”. Non le ho saputo rispondere. Se qualcuno ha la risposta, prego di fornirmela.
Franco Ferrari di DNV GL mi ha inoltrato il link a questo articolo che me lo spiega:
- https://www.puntosicuro.it/security-C-124/privacy-C-89/la-qualificazione-dei-responsabili-del-trattamento-della-protezione-dei-dati-AR-18008/.
In sostanza, una persona certificata secondo una norma UNI (in questo caso, DPO secondo quanto previsto dalla norma UNI 11697) garantisce di poter offrire una "prestazione a regola d'arte". Come dice l'articolo: "l'adeguarsi alla norma UNI 11697 è fatto volontario e garantisce che il soggetto conforme a questa norma possa offrire una prestazione a regola d'arte".
Ecco quindi che un titolare, "se sceglie soggetti certificati secondo la norma UNI, per definizione egli non può sbagliare e quindi non è soggetto ad una possibile " culpa in eligendo"".
Segnalo che ora sono ancora in fase di approvazione, da parte di Accredia, i primi accreditamenti alle società che vogliono certificare secondo la UNI 11697.
PS: Monica Perego mi ha chiesto quale sia il documento legislativo che stabilisce come la fornitura di un bene o la prestazione di un servizio, eseguita in conformità a norme UNI, CEI od equivalenti norme europee od internazionali, costituisce fornitura o prestazione a “regola d’arte”. Non le ho saputo rispondere. Se qualcuno ha la risposta, prego di fornirmela.
Nuova ISO/IEC 17025 sui laboratori
E' stata pubblicata la versione del 2017 della ISO/IEC 17025, applicabile ai laboratori:
- https://www.iso.org/standard/66912.html.
La notizia l'avevo sottovalutata, ma in realtà essa ha impatto sui "laboratori" che conducono vulnerability assessment e penetration test (da ricordare che AgID, per l'applicazione del Regolamento eIDAS, richiede che i tali laboratori siano accreditati ISO/IEC 17025 entro il 1 giugno 2019) e sui laboratori di acquisizione e analisi delle prove forensi.
Per questo segnalo questo articolo di Forensics Focus che fornisce dettagli sulle novità della ISO/IEC 17025:
- https://articles.forensicfocus.com/2018/04/20/changes-to-forensic-laboratory-accreditation-requirements-iso-iec-17025/.
- https://www.iso.org/standard/66912.html.
La notizia l'avevo sottovalutata, ma in realtà essa ha impatto sui "laboratori" che conducono vulnerability assessment e penetration test (da ricordare che AgID, per l'applicazione del Regolamento eIDAS, richiede che i tali laboratori siano accreditati ISO/IEC 17025 entro il 1 giugno 2019) e sui laboratori di acquisizione e analisi delle prove forensi.
Per questo segnalo questo articolo di Forensics Focus che fornisce dettagli sulle novità della ISO/IEC 17025:
- https://articles.forensicfocus.com/2018/04/20/changes-to-forensic-laboratory-accreditation-requirements-iso-iec-17025/.
sabato 28 aprile 2018
GDPR: Casi pratici sui fornitori
In questi giorni molti miei clienti stanno "scoprendo" quanto sia difficile adeguarsi al GDPR quando si tratta di gestire i fornitori, ossia i "responsabili" o "processor".
I casi sono numerosi e normalmente riguarda i grandi fornitori che impongono il proprio modello contrattuale.
Qualche esempio:
Cambiare fornitore, lo sappiamo, non è facile. Non solo per questioni economiche dirette (la transizione sicuramente ha un costo), ma anche perché il rapporto con il precedente fornitore si è consolidato negli anni in termini di condivisione delle procedure e di competenze.
Dovremo aspettare le multe perché finalmente i contratti siano adeguati al GDPR? Temo sarà così.
I casi sono numerosi e normalmente riguarda i grandi fornitori che impongono il proprio modello contrattuale.
Qualche esempio:
- un fornitore ha risposto al mio cliente che non concede il diritto di audit (ma a sua volta se lo prende per verificare se il cliente usa il proprio software senza aver pagato il numero corretto di licenze);
- un grosso fornitore di servizi cloud anche di gestione del personale non prevede la localizzazione dei dati né fornisce alcuna garanzia richiesta dal GDPR (Paese ritenuto adeguato, clausole contrattuali o BCR nel caso di grandi imprese);
- un fornitore non ha voluto specificare le misure di sicurezza adottate.
Cambiare fornitore, lo sappiamo, non è facile. Non solo per questioni economiche dirette (la transizione sicuramente ha un costo), ma anche perché il rapporto con il precedente fornitore si è consolidato negli anni in termini di condivisione delle procedure e di competenze.
Dovremo aspettare le multe perché finalmente i contratti siano adeguati al GDPR? Temo sarà così.
domenica 22 aprile 2018
Le non-deroghe alle sanzioni sul GDPR
Come è noto, il CNIL (il Garante francese) ha annunciato un periodo "di grazia" per le sanzioni previste dal GDPR per i primi 6 mesi dalla sua entrata in vigore (mi spiace, ma non trovo la notizia corretta, anche se la seguente è chiara):
https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire.
Il Garante italiano, a seguito dei rallentamenti sulla "normativa italiana che adegua il Codice privacy al GDPR" ha pubblicato un Provvedimento forse un po' troppo prolisso che, in sostanza, tratta anche dei controlli previsti per il GDPR, ma si conclude dicendo che entrerà in vigore dopo 6 mesi dall'entrata in vigore della "nuova normativa italiana" (grazie a Pierfrancesco Maistrello per la segnalazione):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8080493.
C'è chi ha voluto leggerci un periodo di 6 mesi di sospensione (da maggio a novembre, quindi) dei controlli relativi all'applicazione del GDPR in Italia (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-il-garante-privacy-differisce-di-sei-mesi-i-controlli-su-applicazione/.
Essendo la fonte autorevole (Gabriele Faggioli, non solo persona molto preparata, ma anche Presidente del Clusit), la notizia si è diffusa velocemente e il Garante ha dovuto chiarire la questione (grazie a Pierfrancesco Maistrello):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8469593.
In effetti, visto che non si sa quando sarà approvata la "normativa italiana", si rischiava di non vedere alcun controllo del Garante per lunghi anni.
Faggioli ha comunque voluto replicare (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-ecco-perche-riteniamo-ci-sia-stato-un-rinvio-dei-controlli-sulle-aziende/.
Io sarò semplicistico, ma eviterei di sperare in una deroga delle sanzioni di qualsiasi tipo. Il Garante ha più volte ripetuto che non la promuoverà. Inoltre credo che il Garante non sia l'unico che può indagare e sanzionare a norma del GDPR.
PS: alcuni post italiani non mi sembra siano più disponibili. Ad ogni modo la storia è interessante perché ci illustra quanto crescano aspettative e isteria con l'avvicinarsi del 25 maggio.
https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire.
Il Garante italiano, a seguito dei rallentamenti sulla "normativa italiana che adegua il Codice privacy al GDPR" ha pubblicato un Provvedimento forse un po' troppo prolisso che, in sostanza, tratta anche dei controlli previsti per il GDPR, ma si conclude dicendo che entrerà in vigore dopo 6 mesi dall'entrata in vigore della "nuova normativa italiana" (grazie a Pierfrancesco Maistrello per la segnalazione):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8080493.
C'è chi ha voluto leggerci un periodo di 6 mesi di sospensione (da maggio a novembre, quindi) dei controlli relativi all'applicazione del GDPR in Italia (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-il-garante-privacy-differisce-di-sei-mesi-i-controlli-su-applicazione/.
Essendo la fonte autorevole (Gabriele Faggioli, non solo persona molto preparata, ma anche Presidente del Clusit), la notizia si è diffusa velocemente e il Garante ha dovuto chiarire la questione (grazie a Pierfrancesco Maistrello):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8469593.
In effetti, visto che non si sa quando sarà approvata la "normativa italiana", si rischiava di non vedere alcun controllo del Garante per lunghi anni.
Faggioli ha comunque voluto replicare (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-ecco-perche-riteniamo-ci-sia-stato-un-rinvio-dei-controlli-sulle-aziende/.
Io sarò semplicistico, ma eviterei di sperare in una deroga delle sanzioni di qualsiasi tipo. Il Garante ha più volte ripetuto che non la promuoverà. Inoltre credo che il Garante non sia l'unico che può indagare e sanzionare a norma del GDPR.
PS: alcuni post italiani non mi sembra siano più disponibili. Ad ogni modo la storia è interessante perché ci illustra quanto crescano aspettative e isteria con l'avvicinarsi del 25 maggio.
GDPR: Deroga sul registro dei trattamenti
Pierfrancesco Maistrello mi ha segnalato questo Position paper del WP Art. 29, che riguarda le deroghe relative al registro dei trattamenti:
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045.
Come è noto, il registro dei trattamenti non va fatto dalle organizzazioni con meno di 250 persone che non trattano dati sensibili (ci sono anche altri casi). Ovviamente, risulta ovvio che tutte le aziende con dipendenti tratta dati sensibili, seppure in modo limitato, e quindi l'esclusione risulta un po' ridicola.
Il WP Art. 29 chiarisce questo fatto, per quanto ovvio, ma aggiunge che in questi casi il registro dovrebbe riportare solo i trattamenti non occasionali che presentano rischi per gli interessati, relativi ai dati sensibili o giudiziari.
Il documento conclude con la "solita" raccomandazione di fare comunque il registro completo. Posso aggiungere dicendo che a questo punto, in effetti, costerebbe veramente poco completarlo con gli altri trattamenti.
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045.
Come è noto, il registro dei trattamenti non va fatto dalle organizzazioni con meno di 250 persone che non trattano dati sensibili (ci sono anche altri casi). Ovviamente, risulta ovvio che tutte le aziende con dipendenti tratta dati sensibili, seppure in modo limitato, e quindi l'esclusione risulta un po' ridicola.
Il WP Art. 29 chiarisce questo fatto, per quanto ovvio, ma aggiunge che in questi casi il registro dovrebbe riportare solo i trattamenti non occasionali che presentano rischi per gli interessati, relativi ai dati sensibili o giudiziari.
Il documento conclude con la "solita" raccomandazione di fare comunque il registro completo. Posso aggiungere dicendo che a questo punto, in effetti, costerebbe veramente poco completarlo con gli altri trattamenti.
sabato 21 aprile 2018
Nuova versione del NIST Cyber Security Framework
Il NIST ha pubblicato la versione 1.1 del suo "Framework for Improving Critical Infrastructure Cybersecurity", più noto come "Cyber Security Framework" o CSF:
https://www.nist.gov/cyberframework.
Ho sempre espresso qualche perplessità su alcuni punti del CSF e sul suo uso in alcuni contesti, ma la sua validità è innegabile.
I controlli cambiati sono quelli relativi all'identificazione e autenticazione e alla gestione delle vulnerabilità. Il pdf ha comunque una tabella con i cambiamenti apportati, non solo ai controlli.
Dalla pagina web, sotto il menu "framework", è possibile scaricare anche l'Excel.
https://www.nist.gov/cyberframework.
Ho sempre espresso qualche perplessità su alcuni punti del CSF e sul suo uso in alcuni contesti, ma la sua validità è innegabile.
I controlli cambiati sono quelli relativi all'identificazione e autenticazione e alla gestione delle vulnerabilità. Il pdf ha comunque una tabella con i cambiamenti apportati, non solo ai controlli.
Dalla pagina web, sotto il menu "framework", è possibile scaricare anche l'Excel.
martedì 17 aprile 2018
DFA Open Day - 5 luglio 2018
DFA è l'associazione degli alunni e docenti del Corso di Perfezionamento in "Computer forensics e investigazioni digitali" e di tutti gli altri corsi di Perfezionamento organizzati dalle Cattedre di Informatica Giuridica e Informatica Giuridica Avanzata dell'Università degli Studi di Milano (io ne sono Presidente da quest'anno):
- http://www.perfezionisti.it/
Il pomeriggio del 5 luglio, presso la Statale di Milano, abbiamo organizzato l'Open Day, con vari interventi relativi a digital forensics, privacy e altre cose. Il programma è in costruzione e poi attiveremo le modalità di iscrizione (gratuita!). Intanto invito tutti a prendere nota della data.
- http://www.perfezionisti.it/
Il pomeriggio del 5 luglio, presso la Statale di Milano, abbiamo organizzato l'Open Day, con vari interventi relativi a digital forensics, privacy e altre cose. Il programma è in costruzione e poi attiveremo le modalità di iscrizione (gratuita!). Intanto invito tutti a prendere nota della data.
VERA per privacy - versione beta
Ho pubblicato la versione beta del mio file Excel per la privacy:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2018-VERA-4.4-ITA-privacy-BETA-20170416.xlsx.
Se non dovesse funzionare il link diretto, ecco la pagina web di riferimento:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Io lo uso per la valutazione del rischio privacy, per la PIA e per i controlli privacy di ENISA. Spero che le istruzioni chiariscano i diversi modi con cui può essere usato. In caso contrario... vi prego di darmi suggerimenti.
Per questa versione Beta, grazie a: Alessandro Gaspari (che mi ha mandato il suo Excel, con anche traduzione, delle misure del "Handbook on Security of Personal Data Processing" di ENISA del dicembre 2017), Stefano Posti, Pierlugi Stefli.
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2018-VERA-4.4-ITA-privacy-BETA-20170416.xlsx.
Se non dovesse funzionare il link diretto, ecco la pagina web di riferimento:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Io lo uso per la valutazione del rischio privacy, per la PIA e per i controlli privacy di ENISA. Spero che le istruzioni chiariscano i diversi modi con cui può essere usato. In caso contrario... vi prego di darmi suggerimenti.
Per questa versione Beta, grazie a: Alessandro Gaspari (che mi ha mandato il suo Excel, con anche traduzione, delle misure del "Handbook on Security of Personal Data Processing" di ENISA del dicembre 2017), Stefano Posti, Pierlugi Stefli.
lunedì 16 aprile 2018
ISO 9004:2018
Franco Ferrari di DNV GL mi ha informato dell'uscita della nuova edizione della ISO 9004 dal titolo "Quality management - Quality of an organization - Guidance to achieve sustained success":
- https://www.iso.org/standard/70397.html.
Si tratta, in poche parole, di una riscrittura della precedente ISO 9004 per allinearla alla ISO 9001:2015.
- https://www.iso.org/standard/70397.html.
Si tratta, in poche parole, di una riscrittura della precedente ISO 9004 per allinearla alla ISO 9001:2015.
domenica 15 aprile 2018
Valutazione del rischio per il CIS
Franco Ferrari mi ha segnalato la pubblicazione della "CIS RAM Version 1.0", ossia la pubblicazione del Center for Internet Security dal titolo "Risk Assessment Method". Essa è collegata ai controlli di cui avevo già dato notizia:
- https://www.cisecurity.org/controls/
L'ho sfogliato molto rapidamente, ma confesso che, quando ho cominciato a occuparmi di valuazione del rischio, avrei voluto avere una pubblicazione così. Ho notato una cosa importante: sono presentati più approcci, uno dei quali è quello solito ("asset based"), mentre gli altri sono meno tradizionali.
Sono anni che l'approccio asset-based non è più usato efficacemente, se non in rari casi. Spero che anche questa pubblicazione permetterà di riconsiderare la centralità di questo approccio.
- https://www.cisecurity.org/controls/
L'ho sfogliato molto rapidamente, ma confesso che, quando ho cominciato a occuparmi di valuazione del rischio, avrei voluto avere una pubblicazione così. Ho notato una cosa importante: sono presentati più approcci, uno dei quali è quello solito ("asset based"), mentre gli altri sono meno tradizionali.
Sono anni che l'approccio asset-based non è più usato efficacemente, se non in rari casi. Spero che anche questa pubblicazione permetterà di riconsiderare la centralità di questo approccio.
AgID e le regole per i fornitori cloud
AgID ha pubblicato le due circolari relative ai criteri per la qualificazione dei Cloud Service Provider per la PA e per la qualificazione di servizi SaaS per il Cloud della PA (grazie a Franco Ferrari di DNV GL per la notizia):
- http://www.agid.gov.it/notizie/2018/04/10/piano-triennale-circolari-software-service-cloud-cloud-service-provider-pa.
Consiglio vivamente di leggere le due circolari, in particolare gli Allegati, anche a chi non offre servizi per la PA. Infatti essi riportano le "misure minime di sicurezza" che penso saranno di riferimento per il futuro in Italia.
Io avevo mandato qualche commento nella fase di consultazione pubblica. Non ho controllato se e come sono stati recepiti. Ritengo comunque che sia un lavoro da considerare attentamente.
Servizi SaaS:
- https://cloud-pa.readthedocs.io/it/latest/circolari/SaaS/circolare_qualificazione_SaaS_v_4.12.27.html.
Cloud service provider (IaaS e PaaS):
- https://cloud-pa.readthedocs.io/it/latest/circolari/CSP/circolare_qualificazione_CSP_v1.2.html.
- http://www.agid.gov.it/notizie/2018/04/10/piano-triennale-circolari-software-service-cloud-cloud-service-provider-pa.
Consiglio vivamente di leggere le due circolari, in particolare gli Allegati, anche a chi non offre servizi per la PA. Infatti essi riportano le "misure minime di sicurezza" che penso saranno di riferimento per il futuro in Italia.
Io avevo mandato qualche commento nella fase di consultazione pubblica. Non ho controllato se e come sono stati recepiti. Ritengo comunque che sia un lavoro da considerare attentamente.
Servizi SaaS:
- https://cloud-pa.readthedocs.io/it/latest/circolari/SaaS/circolare_qualificazione_SaaS_v_4.12.27.html.
Cloud service provider (IaaS e PaaS):
- https://cloud-pa.readthedocs.io/it/latest/circolari/CSP/circolare_qualificazione_CSP_v1.2.html.
Articolo "GDPR: il 25 maggio non accadrà nulla"
In questi giorni ho visto molti richiami all'articolo di Andrea Lisi dal titolo "GDPR e Protezione dei dati, ma il 25 maggio non accadrà nulla":
- https://www.key4biz.it/gdpr-e-protezione-dei-dati-il-25-maggio-non-accadra-nulla/218389/.
Conferma alcune cose che dico da tempo, meglio di come le dico io. Quindi lo consiglio.
- https://www.key4biz.it/gdpr-e-protezione-dei-dati-il-25-maggio-non-accadra-nulla/218389/.
Conferma alcune cose che dico da tempo, meglio di come le dico io. Quindi lo consiglio.
Ius law web radio: Come effettuare una DPIA secondo la ISO/IEC 29134
Elia Barbujani di Ius law web radio mi ha intervistato su PIA e ISO/IEC 29134. La puntata (48 minuti!) è qui:
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-effettuare-una-dpia-secondo-la-iso29134/.
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-effettuare-una-dpia-secondo-la-iso29134/.
mercoledì 4 aprile 2018
Rapporto Clusit 2018
Il Clusit, a metà marzo 2018, ha pubblicato il consueto rapporto annuale sulla sicurezza informatica:
- https://clusit.it/rapporto-clusit/.
A mio parere è meno interessante di altre volte. Però consiglio comunque di guardarlo.
Il Clusit ha organizzato a marzo il Security summit di Milano. Le presentazioni sono ora disponibili:
- https://www.securitysummit.it/event/Milano-2018/atti.
- https://clusit.it/rapporto-clusit/.
A mio parere è meno interessante di altre volte. Però consiglio comunque di guardarlo.
Il Clusit ha organizzato a marzo il Security summit di Milano. Le presentazioni sono ora disponibili:
- https://www.securitysummit.it/event/Milano-2018/atti.
Iscriviti a:
Post (Atom)