Cassazione: non esiste un dovere di omertà aziendale

La sentenza n. 6501 del 14 marzo 2013 della sezione Lavoro della Cassazione
è interessante per due motivi: il primo riguarda il non dovere di omertà del
lavoratore, il secondo la legittimità di accuse anonime.

Se poi ho capito correttamente il caso, un lavoratore ha denunciato la
propria azienda all'Autorità e poi questo fatto è stato segnalato
all'azienda stessa da una lettera anonima. Il lavoratore è stato quindi
licenziato, ma poi ha fatto ricorso alla Cassazione basandosi su due punti:
il non dovere di omertà (per cui la Cassazione si è pronunciata a favore del
lavoratore) e sull'inutilizzabilità di denunce anonime (su cui la Cassazione
si è pronunciata a sfavore del lavoratore... al quale però bastava vincere
su uno solo dei punti).

Sul primo punto, la Cassazione si è pronunciata come segue: "Non costituisce
giusta causa o giustificato motivo di licenziamento di un dipendente l'aver
reso noto all'Autorità Giudiziaria fatti di potenziale rilevanza penale
accaduti presso l'azienda in cui lavora né l'averlo fatto senza averne
previamente informato i superiori gerarchici, sempre che non risulti il
carattere calunnioso della denuncia o dell'esposto". "Non costituisce giusta
causa o giustificato motivo di licenziamento l'aver il dipendente allegato
alla denuncia o all'esposto documenti aziendali". In altre parole: non
esiste un dovere di omertà del lavoratore.

Sul secondo punto la Cassazione ha scritto "nessuna norma di legge vieta che
l'esercizio del potere disciplinare possa essere sollecitato (non anche
provato, ovviamente) a seguito di scritti anonimi".

La notizia da Filodiritto:
-
http://www.filodiritto.com/cassazione-lavoro-no-al-licenziamento-del-dipende
nte-perche-rivela-allautorita-fatti-dellazienda-di-rilevanza-penale-non-esis
te-un-dovere-di-omerta/#.UX5gx8pWX3U.

La sentenza sul sito della Cassazione:
-
http://www.cortedicassazione.it/Notizie/GiurisprudenzaCivile/SezioniSemplici
/SchedaNews.asp?ID=3219.

La formazione sulla sicurezza è utile?

Bruce Schneier ha scritto un articolo dicendo che la formazione degli utenti
sulla sicurezza informatica non è generalmente utile:
-
http://www.darkreading.com/hacked-off/on-security-awareness-training/2401511
08
- https://www.schneier.com/blog/archives/2013/03/security_awaren_1.html

I motivi: gli utenti non trovano benefici a breve termine per seguire le
regole di sicurezza, è abbastanza raro avere problemi se non si seguono le
regole di sicurezza, per adottare comportamenti corretti è necessario essere
tecnologicamente abbastanza preparati.

L'unica possibilità per diffondere la sicurezza è sviluppare software sicuri
o dare agli utenti dei servizi sicuri: è meglio spendere soldi per le
attività di sviluppo che per la formazione (anche se un'oretta all'anno è
sicuramente utile).

Confesso che do pienamente ragione a Bruce Schneier (e poca ragione al
portafoglio di noi consulenti che eroghiamo anche corsi di
sensibilizzazione), anche perché questo principio me lo disse in modo
chiarissimo nel 2005 Gigi Ferraris parlando dei processi di sicurezza: "se
non li obblighi con la tecnologia, gli utenti non seguiranno mai i
processi".

Traduzioni norme ETSI su sicurezza nella conservazione dei dati

Franco Ruggieri ha segnalato che è stato pubblicato a febbraio il terzo
documento della traduzione delle specifiche ETSI in oggetto.

Il set completo delle pentole in offerta UNINFO è quindi costituito da:
- UNI/TS 11465-1:2012 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Parte 1: Requisiti per la Realizzazione e la Gestione" - traduzione
della ETSI TS 101 533-01
- UNI/TR 11465-2:2012 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Parte 2: Linee Guida per l'Ispettore" - traduzione dello ETSI TR 101
533-02;
- UNI/TS 11465-3:2013 "Firme elettroniche ed infrastrutture (Electronic
Signatures and Infrastructures - ESI) - Sicurezza nella Conservazione dei
dati - Complemento italiano a ETSI TS 101 533-1 e ETSI TR 101" -
localizzazione in Italia delle specifiche di cui sopra.

Io ci ho modestamente collaborato e le ho trovate molto interessanti, anche
perché si tratta di specializzazioni delle ISO/IEC 27001 e 27002.

Le potete trovare in inglse sul sito della ETSI (www.etsi.org) o in italiano su quello dell'UNI (www.uni.com)

Se non lo misuri non lo conosci?

Finalmente ho scoperto da dove viene il detto "se non lo misuri, non puoi
gestirlo". Qualcuno penserà che sono arrivato tardi, ma almeno ci sono
arrivato.

Si tratta di Lord Kelvin, che nel lontano 1893 disse "Se puoi misurare ciò
di cui parli e puoi esprimerlo con un numero, allora conosci qualcosa del
tuo soggetto; ma se non puoi misurarlo, allora la tua conoscenza è scarsa e
insoddisfacente".

Lord Kelvin è noto per essere stato un grande fisico (fisico matematico e
ingegnere). A mio modesto parere, le scienze sociali (e la conduzione di
un'azienda è in gran parte collegata alle scienze sociali) non dovrebbero
confondersi con la matematica e la fisica. Misurare qualcosa è più che
importante, ma pensare di ridurre la conoscenza di un'impresa alla
misurazione è follia.

Non devo essere l'unico a pensarlo, visto che la stessa ISO 9001 chiede di
"monitorare e, dove possibile, misurare".

Segregazione delle responsabilità

Segnalo un bell'articolo sull'ISACA Journal del dicembre 2012 dal titolo
"What Every IT Auditor Should Know About Proper Segregation of Incompatible
IT Activities".

Per ovvi motivi di diritto d'autore, non mi addentro nel contenuto, ma
riferisco i titoli, già di per se stessi utili:
- IT vs. utenti (business)
- database administrator vs. resto dell'IT
- sviluppo applicazioni vs. DBA e vs. conduzione dei sistemi (questa però è
nota!)
- sviluppo nuove applicazioni vs. manutenzione delle applicazioni
- sicurezza delle informazioni vs. resto dell'IT (anche questa è nota)

Un commento ha segnalato la necessità di separare la sicurezza delle
informazioni dall'IT, ma questo è un tema molto caldo e non facilmente
risolvibile.

Modifiche ai requisiti di accessabilità nella PA

La Legge 221 del 2012 ha converito, con modificazioni, il DL 179 del 2012,
dal titolo "Ulteriori misure urgenti per la crescita del Paese", che riporta
alcune modifiche alla Legge 4 del 2004 (Legge Stanca sull'accessibilità) e
al Dlgs 82 del 2005 (Codice dell'amministrazione digitale o CAD). Rilevante
è l'estensione di applicabilità della Legge sull'accessibilità anche a
"tutti i soggetti che usufruiscono di contributi pubblici o agevolazioni per
l'erogazione dei propri servizi tramite sistemi informativi o internet".

Altro elemento rilevante è l'inserimento del tema dell'accessibilità nella
formazione che deve essere erogata al personale della Pubblica
Amministrazione.

Maggiori dettagli nella Circolare 61/2013 del 29 marzo 2013 dell'AgID:
- http://www.digitpa.gov.it/fruibilita-del-dato/accessibilita

Sempre notizia di questi giorni è la prevista modifica all'Allegato A del
Decreto Ministeriale 8 luglio 2005 (Ministro per l'Innovazione e le
tecnologie) sui "requisiti tecnici di accessibilità delle applicazioni
basate su tecnologie internet" (l'Allegato si trova alla medesima pagina web
sopra indicata, non a quella indicata sotto che riporta solo la notizia):
-
http://www.digitpa.gov.it/notizie/accessibilita-cambiano-i-requisiti-i-siti-
web-della-pa

E infine, l'ETSI ha appena pubblicato una bozza dello standard europeo EN
301 549 dal titolo "Accessibility requirements for public procurement of ICT
products and services in Europe". Sarebbe bello se venisse adottato oltre la
pubblica amministrazione.

Atti del Security Summit 2013 a Milano

Segnalo la pubblicazione degli atti del Security Summit 2013 di Milano:
- http://milano2013.securitysummit.it/page/atti

Come al solito, in mezzo a qualche presentazione un po' troppo commerciale, negli atti si trovano parecchi spunti di riflessione.

Data Centres Energy Efficiency - EU Code of Conduct on Data Centres

Non sono un esperto di green IT o di altri argomenti correlati, però questa
iniziativa del JRC segnalatami da un mio lettore mi pare interessante:
- http://iet.jrc.ec.europa.eu/energyefficiency/ict-codes-conduct/data-centres-
energy-efficiency

La trovo interessante perché differenzia bene le attività di ciascuna parte
interessata ad un data center, dal proprietario all'utilizzatore. Inoltre,
mi è sembrato un documento facilmente leggibile, a parte la scelta di usare
dei codici-colore, non immediati (soprattutto per i daltonici).

Spamhaus e la carica degli spammer

La notizia è stata molto diffusa  e riguarda la Spamhaus, una società dedicata a servizi di antispamming, oggetto  di un attacco DDoS dopo aver inserito in blacklist un grande provider olandese.

Non c’è commento da fare, tranne la preoccupazione di vedere Internet potenzialmente oggetto di attacchi di enormi dimensioni:

- http://www.corriere.it/tecnologia/13_marzo_27/sicurezza-informatica-in-atto-il-piu-grande-attacco-hacker-della-storia_8d0c0142-96f8-11e2-b7d6-c608a71e3eb8.shtml

- http://www.theregister.co.uk/2013/03/27/spamhaus_ddos_megaflood/

ISO/IEC TR 27015

Franco Ferrari del DNV Italia mi informa della pubblicazione della ISO/IEC TR 27015 dal titolo “Information security management guidelines for financial services”.

Si tratta, in poche parole, di un’estensione dei controlli di sicurezza già descritti nella ISO/IEC 27002, applicabile ai servizi informatici di tipo “finance”, in particolare quelli delle banche, che possono coinvolgere ATM, POS e terminali self service.

Lo standard è relativamente breve (28 pagine) e i punti che più mi hanno interessato sono:

- estensione del controllo 6.2.2 (sicurezza con i clienti), ricordando la necessità di formare i clienti dei servizi su alcune misure di sicurezza informatica;

- estensione del controllo 6.2.3 (sicurezza con i fornitori), ricordando alcune misure di sicurezza da prevedere in occasione della stipula di accordi con i fornitori

-  aggiunta del controllo 10.9.4 con titolo “Internet banking services”, in cui sono illustrate alcune misure di sicurezza da prevedere nella progettazione di tali servizi.

Siti web e dati societari

La notizia è vecchia e nota ed ero convinto di averla già pubblicata. Non trovandola tra i miei articoli, la scrivo.

Sui siti web (spazi elettronici destinati alla comunicazione collegati ad una rete telematica ad accesso pubblico) delle società soggette all'obbligo dell'iscrizione nel registro delle imprese (s.p.a., s.r.l. e s.a.p.a.), devono essere riportati:

- sede legale;

- ufficio del registro delle imprese presso il quale la società è iscritta;

- il numero d'iscrizione (ossia il codice fiscale, che potrebbe coincidere con la Partita IVA; sono diversi, per esempio, nel caso in cui una società abbia trasferito il proprio domicilio da una provincia ad un'altra);

- capitale della società (somma effettivamente versata);

- se il socio è unico.

Questo in virtù dell'articolo 2250 del Codice Civile, così come modificato dall'articolo 42 della Legge 88 del 2009.

NB: questo post è stato ripubblicato per errata corrige; ringrazio Roberto Bonalumi per la segnalazione e la mia commercialista Sara Gardella per la consulenza sul numero di iscrizione al registro delle imprese.

DPCM 24 gennaio 2013 sulla protezione cibernetica

E' stato pubblicato il DPCM 24 gennaio 2013 dal titolo "Direttiva recante indirizzi per la protezione cibernetica e la sicurezza informatica nazionale". E' facilmente reperibile su www.normattiva.it.

L'ho letto con l'attenzione che merita, e confesso di non aver trovato quello che speravo di trovare, ossia un CERT italiano.

Apparentemente, se ho capito correttamente, questo compito sarà affidato al "Nucleo per la sicurezza cibernetica", ma non mi è chiaro se si occuperà quasi esclusivamente della PA o anche di altri settori.

Il testo specifica che tale nucleo "promuove procedure di condivisione delle informazioni, anche con gli operatori privati interessati, ai fini della diffusione di allarmi relativi ad eventi cibernetici e per la gestione delle crisi". In altre parole, mi chiedo se sarà disponibile un sito web utilizzabile da ciascun privato per formazione e informazione.

Gli operatori di telecomunicazioni dovranno anche comunicare al Nucleo le violazioni della sicurezza, oltre che adottare misure di sicurezza cibernetica che dovrebbero essere state pubblicate a cura del Ministero dello sviluppo economico. A me non risultano disponibili, ma se mi dovessi sbagliare, sarò grato a chi mi correggerà.

In definitiva, non credo ci rimanga altro che aspettare pazientemente per vedere come questo DPCM sarà attuato e coglierne tutti gli aspetti positivi.

Ringrazio per la segnalazione Pasquale Stirparo e Daniela Quetti di DFA e Enzo Ascione di Intesa Sanpaolo.

Rapporto Clusit 2013

Il Clusit ha pubblicato il Rapporto 2013 sulla sicurezza ICT in Italia. Esso può essere richiesto dal sito del Clusit:

- https://www.securitysummit.it/page/rapporto_clusit

Come sempre, riporta notizie interessanti. Segnalo in particolare la prima sezione dal titolo "Panoramica degli eventi di cyber-crime e incidenti informatici più significativi del 2012 e tendenze per il 2013".

I risk assessement della ISO 22301 e della ISO/IEC 27001

Stefano Ramaciotti mi ha segnalato il seguente post dal titolo "Can ISO 27001 risk assessment be used for ISO 22301":

- http://blog.iso27001standard.com/2013/03/11/can-iso-27001-risk-assessment-be-used-for-iso-22301/

L'articolo è un poco confuso. Segnalo le cose decisamente condivisibili:

- è vero che il risk assessment descritto dalla ISO/IEC 27001:2005, dalla ISO/IEC 27005:2005 e dalla 22301 sono allineati con i requisiti della ISO 31000 "Gestione del rischio - Principi e linee guida";

- è vero che il BCM si occupa delle attività e dei processi, mentre un ISMS (SGSI) si occupa della sicurezza delle informazioni e, quindi, i rispettivi risk assessment sono necessariamente diversi;

- il collegamento tra BCM e ISMS è il parametro di disponibilità delle informazioni. 

Tra le cose negative, l'articolo fa riferimento agli asset intesi in modo estensivo (interpretazione non più condivisa, tanto che la futura 27001 parlerà solo di "information asset"), apprezza la descrizione dettagliata del risk assessment della 27001 (che sarà superata dalla futura versione) confondendo la genericità dei requisiti della 22301 con una necessità di avere un risk assessment non approfondito (interpretazione sbagliatissima), apprezza l'allegato A della 27001 dimenticandosi della 22301 che a sua volta fornisce una linea guida per le misure da considerare quando si realizza un BCM.

Detto questo, anche se ad oggi, i certificati attivi BS 25999 o ISO 22301 sono in larga maggioranza relativi ad aziende operanti nel mercato IT, è comunque bene ricordare che le differenze tra i due approcci sono dovute alle loro diverse finalità: nel ISMS, il risk assessment ha la finalità di dare le priorità al trattamento delle vulnerabilità relative alle informazioni; nel BCM, il risk assessment ha la finalità di strumento sul quale basare le strategie di ripristino dei processi e delle attività.

Sebbene i metodi di risk assessment utilizzati per un ISMS o per un BCM sono diversi a causa delle diverse finalità, è comunque bene studiarli entrambi insieme ad altri metodi (per esempio quelli utilizzati per la sicurezza delle persone o nei settori dell'automotive, dei dispositivi medicali o del chimico), per poter poi individuare quello più adeguato alle proprie esigenze. Ho visto aziende che hanno utilizzato un buon mix tra il classico metodo di risk assessment relativo alla sicurezza delle informazioni e la FMECA utilizzato in ambito automotive.

Ultima riflessione: è bene studiare i metodi utilizzati nel campo di pertinenza, ma è anche bene farlo in modo critico. Ho visto molti danni dovuti all'uso del CRAMM o di suoi derivati, prendendoli per ottimi riferimenti per il risk assessment relativo alla sicurezza delle informazioni, senza considerarne la mantenibilità o la pertinenza dei risultati ottenuti.

Raccolta prove digitali: un altro ricorso vinto

Dalla newsletter di DFA, rilancio un link ad un recente (ottobre 2012) provvedimento del Garante Privacy:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2149222

Ancora una volta, un'impresa si è dedicata ad effettuare analisi forensi di un pc di un dipendente, senza aver in precedenza pubblicato un disciplinare che riportasse i suoi poteri di controllo sui pc del personale.

Novità sul CAD e la firma elettronica

La newsletter di DFA segnala questo articolo sulle novità introdotte nel CAD dal Decreto Sviluppo bis (DL 179 del 2012, convertito in Legge con modificazioni dalla L 221 del 2012):
- http://www.blogstudiolegalefinocchiaro.it/documento-informatico-e-firma-digitale/firma-elettronica-avanzata-rilevanti-novita-nel-d-l-sviluppo-bis/

Le novità segnalate sono due:
- adeguamento delle modalità con cui è possibile disconoscere la firma elettronica avanzata, in modo da considerare anche tecnologie quali la firma grafometrica su tavoletta
- l'estensione della validità della firma elettronica al posto di quella scritta per atti e contratti (con esclusionne dei contratti aventi oggetto beni immobili).

L'articolo si conclude ricordando che l'aggiornamento delle regole tecniche, previsto per metà 2012, non è ancora stato pubblicato.

Ispezioni privacy agli operatori TLC

Agostino Oliveri mi ha segnalato la notizia del Garante dal titolo "Privacy: operazione Data Retention":
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/2300180

La notizia presenta un breve resoconto sulle ispezioni della Guardia di Finanza in tutta Italia sul rispetto delle norme per la conservazione dei dati di traffico telefonico e telematico presso gli operatori TLC.

La sintesi è questa: in 9 casi (su 11) sono state accertate e contestate violazioni relativamente alla conservazione dei dati di traffico oltre i termini previsti, alla mancata adozione delle misure minime di sicurezza, e alla mancata adozione di alcune delle ulteriori misure di protezione prescritte dal provvedimento del Garante, quali l'uso di tecnologie di riconoscimento biometrico per selezionare l'accesso ai dati e la cifratura dei dati.

Mi sarebbe piaciuto avere maggiori dettagli sulle misure minime non adottate.

UE: rivendita online di licenze software

Dalla newsletter Ictlex-news, segnalo la seguente sentenza della Corte di Giustizia UE: una volta "venduto" un software via Internet ad un cliente, questi può a sua volta cedere la licenza a qualcun altro (ovviamente senza trattenere una copia del software per se) senza violare la legge sul diritto d'autore né i diritti del produttore.

Per chi vuole approfondire:
- http://www.ictlex.net/?p=1430

Decalogo contro il phishing

L'associazione CINDI ha pubblicato un decalogo per proteggersi dal phishing:
- https://associazionecindi.wordpress.com/2013/01/23/phishing-postepay-regole-condott/

Lo trovo molto utile.

Alcuni elementi possono anche sembrare banali per chi si occupa di queste cose, ma sappiamo bene che non è così per tutti.

Visto che è facile dire cosa manca in un decalogo, lo faccio: avrei aggiunto "non cliccate mai su un link di una mail della vostra banca o carta di credito: scrivetelo ogni volta nella barra degli indirizzi".

Diffamazione su Facebook: condanna

Questo articolo della associazione CINDI mi pare interessante:
- https://associazionecindi.wordpress.com/2013/02/28/diffamazione-facebook-giplivorno/

In realtà, si tratta di un argomento già noto: la diffamazione su un social network aperto al pubblico è vietata. Questa volta l'ha ribadito il GIP di Livorno.

Capisco che in quest'epoca in cui le modalità di comunicazione stanno cambiando, non tutti acquisiscono la corretta sensibilità su come usare certi mezzi. Ma anche prima di Internet, parlar male di qualcuno chiaccherando con qualche amico non aveva le stesse conseguenze dello scrivere male di qualcuno su uno o più manifesti affissi per strada.