Come è noto, il CNIL (il Garante francese) ha annunciato un periodo "di grazia" per le sanzioni previste dal GDPR per i primi 6 mesi dalla sua entrata in vigore (mi spiace, ma non trovo la notizia corretta, anche se la seguente è chiara):
https://www.cnil.fr/fr/rgpd-comment-la-cnil-vous-accompagne-dans-cette-periode-transitoire.
Il Garante italiano, a seguito dei rallentamenti sulla "normativa italiana che adegua il Codice privacy al GDPR" ha pubblicato un Provvedimento forse un po' troppo prolisso che, in sostanza, tratta anche dei controlli previsti per il GDPR, ma si conclude dicendo che entrerà in vigore dopo 6 mesi dall'entrata in vigore della "nuova normativa italiana" (grazie a Pierfrancesco Maistrello per la segnalazione):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8080493.
C'è chi ha voluto leggerci un periodo di 6 mesi di sospensione (da maggio a novembre, quindi) dei controlli relativi all'applicazione del GDPR in Italia (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-il-garante-privacy-differisce-di-sei-mesi-i-controlli-su-applicazione/.
Essendo la fonte autorevole (Gabriele Faggioli, non solo persona molto preparata, ma anche Presidente del Clusit), la notizia si è diffusa velocemente e il Garante ha dovuto chiarire la questione (grazie a Pierfrancesco Maistrello):
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/8469593.
In effetti, visto che non si sa quando sarà approvata la "normativa italiana", si rischiava di non vedere alcun controllo del Garante per lunghi anni.
Faggioli ha comunque voluto replicare (grazie a Luca Gibilterra per la segnalazione):
https://www.agendadigitale.eu/sicurezza/privacy/gdpr-ecco-perche-riteniamo-ci-sia-stato-un-rinvio-dei-controlli-sulle-aziende/.
Io sarò semplicistico, ma eviterei di sperare in una deroga delle sanzioni di qualsiasi tipo. Il Garante ha più volte ripetuto che non la promuoverà. Inoltre credo che il Garante non sia l'unico che può indagare e sanzionare a norma del GDPR.
PS: alcuni post italiani non mi sembra siano più disponibili. Ad ogni modo la storia è interessante perché ci illustra quanto crescano aspettative e isteria con l'avvicinarsi del 25 maggio.
domenica 22 aprile 2018
GDPR: Deroga sul registro dei trattamenti
Pierfrancesco Maistrello mi ha segnalato questo Position paper del WP Art. 29, che riguarda le deroghe relative al registro dei trattamenti:
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045.
Come è noto, il registro dei trattamenti non va fatto dalle organizzazioni con meno di 250 persone che non trattano dati sensibili (ci sono anche altri casi). Ovviamente, risulta ovvio che tutte le aziende con dipendenti tratta dati sensibili, seppure in modo limitato, e quindi l'esclusione risulta un po' ridicola.
Il WP Art. 29 chiarisce questo fatto, per quanto ovvio, ma aggiunge che in questi casi il registro dovrebbe riportare solo i trattamenti non occasionali che presentano rischi per gli interessati, relativi ai dati sensibili o giudiziari.
Il documento conclude con la "solita" raccomandazione di fare comunque il registro completo. Posso aggiungere dicendo che a questo punto, in effetti, costerebbe veramente poco completarlo con gli altri trattamenti.
http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=624045.
Come è noto, il registro dei trattamenti non va fatto dalle organizzazioni con meno di 250 persone che non trattano dati sensibili (ci sono anche altri casi). Ovviamente, risulta ovvio che tutte le aziende con dipendenti tratta dati sensibili, seppure in modo limitato, e quindi l'esclusione risulta un po' ridicola.
Il WP Art. 29 chiarisce questo fatto, per quanto ovvio, ma aggiunge che in questi casi il registro dovrebbe riportare solo i trattamenti non occasionali che presentano rischi per gli interessati, relativi ai dati sensibili o giudiziari.
Il documento conclude con la "solita" raccomandazione di fare comunque il registro completo. Posso aggiungere dicendo che a questo punto, in effetti, costerebbe veramente poco completarlo con gli altri trattamenti.
sabato 21 aprile 2018
Nuova versione del NIST Cyber Security Framework
Il NIST ha pubblicato la versione 1.1 del suo "Framework for Improving Critical Infrastructure Cybersecurity", più noto come "Cyber Security Framework" o CSF:
https://www.nist.gov/cyberframework.
Ho sempre espresso qualche perplessità su alcuni punti del CSF e sul suo uso in alcuni contesti, ma la sua validità è innegabile.
I controlli cambiati sono quelli relativi all'identificazione e autenticazione e alla gestione delle vulnerabilità. Il pdf ha comunque una tabella con i cambiamenti apportati, non solo ai controlli.
Dalla pagina web, sotto il menu "framework", è possibile scaricare anche l'Excel.
https://www.nist.gov/cyberframework.
Ho sempre espresso qualche perplessità su alcuni punti del CSF e sul suo uso in alcuni contesti, ma la sua validità è innegabile.
I controlli cambiati sono quelli relativi all'identificazione e autenticazione e alla gestione delle vulnerabilità. Il pdf ha comunque una tabella con i cambiamenti apportati, non solo ai controlli.
Dalla pagina web, sotto il menu "framework", è possibile scaricare anche l'Excel.
martedì 17 aprile 2018
DFA Open Day - 5 luglio 2018
DFA è l'associazione degli alunni e docenti del Corso di Perfezionamento in "Computer forensics e investigazioni digitali" e di tutti gli altri corsi di Perfezionamento organizzati dalle Cattedre di Informatica Giuridica e Informatica Giuridica Avanzata dell'Università degli Studi di Milano (io ne sono Presidente da quest'anno):
- http://www.perfezionisti.it/
Il pomeriggio del 5 luglio, presso la Statale di Milano, abbiamo organizzato l'Open Day, con vari interventi relativi a digital forensics, privacy e altre cose. Il programma è in costruzione e poi attiveremo le modalità di iscrizione (gratuita!). Intanto invito tutti a prendere nota della data.
- http://www.perfezionisti.it/
Il pomeriggio del 5 luglio, presso la Statale di Milano, abbiamo organizzato l'Open Day, con vari interventi relativi a digital forensics, privacy e altre cose. Il programma è in costruzione e poi attiveremo le modalità di iscrizione (gratuita!). Intanto invito tutti a prendere nota della data.
VERA per privacy - versione beta
Ho pubblicato la versione beta del mio file Excel per la privacy:
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2018-VERA-4.4-ITA-privacy-BETA-20170416.xlsx.
Se non dovesse funzionare il link diretto, ecco la pagina web di riferimento:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Io lo uso per la valutazione del rischio privacy, per la PIA e per i controlli privacy di ENISA. Spero che le istruzioni chiariscano i diversi modi con cui può essere usato. In caso contrario... vi prego di darmi suggerimenti.
Per questa versione Beta, grazie a: Alessandro Gaspari (che mi ha mandato il suo Excel, con anche traduzione, delle misure del "Handbook on Security of Personal Data Processing" di ENISA del dicembre 2017), Stefano Posti, Pierlugi Stefli.
- http://www.cesaregallotti.it/Pdf/Pubblicazioni/2018-VERA-4.4-ITA-privacy-BETA-20170416.xlsx.
Se non dovesse funzionare il link diretto, ecco la pagina web di riferimento:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Io lo uso per la valutazione del rischio privacy, per la PIA e per i controlli privacy di ENISA. Spero che le istruzioni chiariscano i diversi modi con cui può essere usato. In caso contrario... vi prego di darmi suggerimenti.
Per questa versione Beta, grazie a: Alessandro Gaspari (che mi ha mandato il suo Excel, con anche traduzione, delle misure del "Handbook on Security of Personal Data Processing" di ENISA del dicembre 2017), Stefano Posti, Pierlugi Stefli.
lunedì 16 aprile 2018
ISO 9004:2018
Franco Ferrari di DNV GL mi ha informato dell'uscita della nuova edizione della ISO 9004 dal titolo "Quality management - Quality of an organization - Guidance to achieve sustained success":
- https://www.iso.org/standard/70397.html.
Si tratta, in poche parole, di una riscrittura della precedente ISO 9004 per allinearla alla ISO 9001:2015.
- https://www.iso.org/standard/70397.html.
Si tratta, in poche parole, di una riscrittura della precedente ISO 9004 per allinearla alla ISO 9001:2015.
domenica 15 aprile 2018
Valutazione del rischio per il CIS
Franco Ferrari mi ha segnalato la pubblicazione della "CIS RAM Version 1.0", ossia la pubblicazione del Center for Internet Security dal titolo "Risk Assessment Method". Essa è collegata ai controlli di cui avevo già dato notizia:
- https://www.cisecurity.org/controls/
L'ho sfogliato molto rapidamente, ma confesso che, quando ho cominciato a occuparmi di valuazione del rischio, avrei voluto avere una pubblicazione così. Ho notato una cosa importante: sono presentati più approcci, uno dei quali è quello solito ("asset based"), mentre gli altri sono meno tradizionali.
Sono anni che l'approccio asset-based non è più usato efficacemente, se non in rari casi. Spero che anche questa pubblicazione permetterà di riconsiderare la centralità di questo approccio.
- https://www.cisecurity.org/controls/
L'ho sfogliato molto rapidamente, ma confesso che, quando ho cominciato a occuparmi di valuazione del rischio, avrei voluto avere una pubblicazione così. Ho notato una cosa importante: sono presentati più approcci, uno dei quali è quello solito ("asset based"), mentre gli altri sono meno tradizionali.
Sono anni che l'approccio asset-based non è più usato efficacemente, se non in rari casi. Spero che anche questa pubblicazione permetterà di riconsiderare la centralità di questo approccio.
AgID e le regole per i fornitori cloud
AgID ha pubblicato le due circolari relative ai criteri per la qualificazione dei Cloud Service Provider per la PA e per la qualificazione di servizi SaaS per il Cloud della PA (grazie a Franco Ferrari di DNV GL per la notizia):
- http://www.agid.gov.it/notizie/2018/04/10/piano-triennale-circolari-software-service-cloud-cloud-service-provider-pa.
Consiglio vivamente di leggere le due circolari, in particolare gli Allegati, anche a chi non offre servizi per la PA. Infatti essi riportano le "misure minime di sicurezza" che penso saranno di riferimento per il futuro in Italia.
Io avevo mandato qualche commento nella fase di consultazione pubblica. Non ho controllato se e come sono stati recepiti. Ritengo comunque che sia un lavoro da considerare attentamente.
Servizi SaaS:
- https://cloud-pa.readthedocs.io/it/latest/circolari/SaaS/circolare_qualificazione_SaaS_v_4.12.27.html.
Cloud service provider (IaaS e PaaS):
- https://cloud-pa.readthedocs.io/it/latest/circolari/CSP/circolare_qualificazione_CSP_v1.2.html.
- http://www.agid.gov.it/notizie/2018/04/10/piano-triennale-circolari-software-service-cloud-cloud-service-provider-pa.
Consiglio vivamente di leggere le due circolari, in particolare gli Allegati, anche a chi non offre servizi per la PA. Infatti essi riportano le "misure minime di sicurezza" che penso saranno di riferimento per il futuro in Italia.
Io avevo mandato qualche commento nella fase di consultazione pubblica. Non ho controllato se e come sono stati recepiti. Ritengo comunque che sia un lavoro da considerare attentamente.
Servizi SaaS:
- https://cloud-pa.readthedocs.io/it/latest/circolari/SaaS/circolare_qualificazione_SaaS_v_4.12.27.html.
Cloud service provider (IaaS e PaaS):
- https://cloud-pa.readthedocs.io/it/latest/circolari/CSP/circolare_qualificazione_CSP_v1.2.html.
Articolo "GDPR: il 25 maggio non accadrà nulla"
In questi giorni ho visto molti richiami all'articolo di Andrea Lisi dal titolo "GDPR e Protezione dei dati, ma il 25 maggio non accadrà nulla":
- https://www.key4biz.it/gdpr-e-protezione-dei-dati-il-25-maggio-non-accadra-nulla/218389/.
Conferma alcune cose che dico da tempo, meglio di come le dico io. Quindi lo consiglio.
- https://www.key4biz.it/gdpr-e-protezione-dei-dati-il-25-maggio-non-accadra-nulla/218389/.
Conferma alcune cose che dico da tempo, meglio di come le dico io. Quindi lo consiglio.
Ius law web radio: Come effettuare una DPIA secondo la ISO/IEC 29134
Elia Barbujani di Ius law web radio mi ha intervistato su PIA e ISO/IEC 29134. La puntata (48 minuti!) è qui:
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-effettuare-una-dpia-secondo-la-iso29134/.
- https://webradioiuslaw.it/speciale-adeguamento-privacy-come-effettuare-una-dpia-secondo-la-iso29134/.
mercoledì 4 aprile 2018
Rapporto Clusit 2018
Il Clusit, a metà marzo 2018, ha pubblicato il consueto rapporto annuale sulla sicurezza informatica:
- https://clusit.it/rapporto-clusit/.
A mio parere è meno interessante di altre volte. Però consiglio comunque di guardarlo.
Il Clusit ha organizzato a marzo il Security summit di Milano. Le presentazioni sono ora disponibili:
- https://www.securitysummit.it/event/Milano-2018/atti.
- https://clusit.it/rapporto-clusit/.
A mio parere è meno interessante di altre volte. Però consiglio comunque di guardarlo.
Il Clusit ha organizzato a marzo il Security summit di Milano. Le presentazioni sono ora disponibili:
- https://www.securitysummit.it/event/Milano-2018/atti.
lunedì 26 marzo 2018
Schema di decreto privacy
Il 21 marzo, il Consiglio dei Ministri ha approvato una bozza di decreto legislativo che dovrebbe armonizzare la nostra legislazione con il GDPR e abrogare il Codice privacy:
- http://www.governo.it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-75/9132.
La notizia me l'hanno data Pierfrancesco Maistrello e gli Idraulici della privacy; l'ho anche trovata su LinkedIn e su Twitter. Vorrei non parlarne, visto che si tratta di una bozza che dovrà essere sottoposta anche al Garante.
Ho sentito qualche commento:
- sembra che abroghino la "notifica preventiva" richiesta dalla Legge di Bilancio (va anche detto che finora il Garante non ha pubblicato alcuna istruzione e quindi nessuno poteva attuarla);
- c'è un articolo che dice che titolare e responsabile (intesi come "aziende") possono distribuire deleghe al proprio interno; lo trovo comico, visto che le aziende dovrebbero già sapere che possono farlo;
- lo stesso articolo dice che le autorizzazioni (le vecchie "nomine ad incaricato") possono essere date nel modo più opportuno; trovo divertente che la Legge si assuma l'onere di educare i consulenti (ho collaborato con aziende che, senza mai aver visto un consulente privacy, avevano già al loro interno processi che bastava adattare un poco per recepire i requisiti del GDPR; quindi evidentemente sono alcuni "consulenti privacy" che vanno educati perché la smettano di appesantire inutilmente i processi delle organizzazioni con nomine e designazioni, per giunta su carta e firme e contro-firme);
- viene abrogato e non modificato il Codice privacy (D. Lgs. 196), contrariamente a quanto io immaginavo (io pensavo avrebbero fatto la stessa operazione fatta con il D. Lgs. 82 del 2005 o CAD, dopo la pubblicazione del Regolamento eIDAS; l'esperienza con il CAD è stata negativa perché non era "aggiustabile" facilmente per renderlo allineato a eIADS; giustamente, con la privacy hanno preferito ripartire da zero per non ripetere gli stessi errori).
Massimo Cottafavi del Gruppo Snam mi ha segnalato questo articolo di Agenda Digitale:
- https://www.agendadigitale.eu/sicurezza/privacy/gdpr-approvato-lo-schema-di-decreto-questi-i-punti-sul-tavolo/.
Intanto il CNIL (il Garante francese) ha annunciato che, per i primi mesi e a determinate condizioni, non sanzionerà le imprese per inadempienze rispetto al GDPR (grazie agli Idraulici della privacy per la segnalazione):
- http://www.etiprivacy.it/gdpr-francia-per-i-primi-mesi-no-a-sanzioni-alle-aziende-sui-nuovi-obblighi/.
- http://www.governo.it/articolo/comunicato-stampa-del-consiglio-dei-ministri-n-75/9132.
La notizia me l'hanno data Pierfrancesco Maistrello e gli Idraulici della privacy; l'ho anche trovata su LinkedIn e su Twitter. Vorrei non parlarne, visto che si tratta di una bozza che dovrà essere sottoposta anche al Garante.
Ho sentito qualche commento:
- sembra che abroghino la "notifica preventiva" richiesta dalla Legge di Bilancio (va anche detto che finora il Garante non ha pubblicato alcuna istruzione e quindi nessuno poteva attuarla);
- c'è un articolo che dice che titolare e responsabile (intesi come "aziende") possono distribuire deleghe al proprio interno; lo trovo comico, visto che le aziende dovrebbero già sapere che possono farlo;
- lo stesso articolo dice che le autorizzazioni (le vecchie "nomine ad incaricato") possono essere date nel modo più opportuno; trovo divertente che la Legge si assuma l'onere di educare i consulenti (ho collaborato con aziende che, senza mai aver visto un consulente privacy, avevano già al loro interno processi che bastava adattare un poco per recepire i requisiti del GDPR; quindi evidentemente sono alcuni "consulenti privacy" che vanno educati perché la smettano di appesantire inutilmente i processi delle organizzazioni con nomine e designazioni, per giunta su carta e firme e contro-firme);
- viene abrogato e non modificato il Codice privacy (D. Lgs. 196), contrariamente a quanto io immaginavo (io pensavo avrebbero fatto la stessa operazione fatta con il D. Lgs. 82 del 2005 o CAD, dopo la pubblicazione del Regolamento eIDAS; l'esperienza con il CAD è stata negativa perché non era "aggiustabile" facilmente per renderlo allineato a eIADS; giustamente, con la privacy hanno preferito ripartire da zero per non ripetere gli stessi errori).
Massimo Cottafavi del Gruppo Snam mi ha segnalato questo articolo di Agenda Digitale:
- https://www.agendadigitale.eu/sicurezza/privacy/gdpr-approvato-lo-schema-di-decreto-questi-i-punti-sul-tavolo/.
Intanto il CNIL (il Garante francese) ha annunciato che, per i primi mesi e a determinate condizioni, non sanzionerà le imprese per inadempienze rispetto al GDPR (grazie agli Idraulici della privacy per la segnalazione):
- http://www.etiprivacy.it/gdpr-francia-per-i-primi-mesi-no-a-sanzioni-alle-aziende-sui-nuovi-obblighi/.
venerdì 23 marzo 2018
Il caso Cambridge Analytica
Si è parlato tantissimo del caso Cambridge Analytica e quindi faccio una breve rassegna stampa (con commenti).
Il primo link racconta la storia:
- https://www.theregister.co.uk/2018/03/19/boom_cambridge_analytica_explodes_following_extraordinary_tv_expose/.
Il secondo racconta la storia e aggiunge un commento: non si tratta di violazione di dati personali, visto che il modello di Facebook esplitamente consentiva la raccolta ed elaborazione dei dati personali degli utenti:
- https://motherboard.vice.com/en_us/article/3kjzvk/facebook-cambridge-analytica-not-a-data-breach.
La penso esattamente come l'articolo di Motherboard. Quando mettiamo dati su Facebook sappiamo bene che Facebook li può vendere a chi e come vuole. Non dobbiamo lamentarci.
Questo articolo spiega come configurare convenientemente Facebook:
- https://www.eff.org/deeplinks/2018/03/how-change-your-facebook-settings-opt-out-platform-api-sharing.
Perché il caso Cambridge Analytica dovrebbe preoccupare anche te
- https://www.wired.it/attualita/politica/2018/03/19/cambridge-analytica-facebook-privacy/.
La penso parzialmente come l'articolo di Wired. Io penso che culturalmente molti dicono che non abbiamo niente da nascondere. Non si tratta di nascondere; si tratta di intimità e la sua perdita è un fatto culturale che mi inquieta. Fin qui è un'opinione come un'altra. Il fatto inquietante è che noi non abbiamo niente da nascondere (forse), ma altri non solo nascondono, ma usano le informazioni che noi volontariamente diamo loro. La sproporzione tra un utente di Facebook e un OTT come Facebook dovrebbe metterci in guardia. Invece... niente.
L'articolo di Wired spiega anche che il caso di Cambridge Analytica non è emerso a causa del coinvolgimento di Trump (forse inconsapevolmente, tra l'altro), ma perché ci spiega come funziona oggi la manipolazione delle persone. E inquieta esattamente come tanti anni fa inquietavano alcune tecniche di pubblicità occulta: ci rendiamo conto di essere manipolabili. In troppi, però, continuano a pensare di essere immuni e continueranno a diffondere tutto ciò che li riguarda, senza voler nascondere niente. Alcuni, come me, si inquietano. Altri non se ne preoccupano minimamente. Me ne farò una ragione.
Infine... pochi giorni prima del caso di Cambridge Analytica il Corriere della Sera aveva pubblicato un articolo dal titolo "Chi spia i nostri conti" di Ferruccio De Bortoli. Non mi è piaciuto come è scritto, ma credo ci dica qualcosa di importante. Questo link riporta fedelmente l'articolo, ma temo non lo faccia legalmente; potrebbe quindi essere cancellato:
- http://prontoagente.it/component/cobalt/item/674-chi-spia-i-nostri-conti.
PS: Pierfrancesco Maistrello mi ha segnalato questa "Opinion" dell'European data protection supervisor (EDPS), dal titolo "online manipulationand personal data", pubblicata proprio il giorno dopo il mio post qui sopra:
- https://edps.europa.eu/sites/edp/files/publication/18-03-19_online_manipulation_en.pdf.
Il primo link racconta la storia:
- https://www.theregister.co.uk/2018/03/19/boom_cambridge_analytica_explodes_following_extraordinary_tv_expose/.
Il secondo racconta la storia e aggiunge un commento: non si tratta di violazione di dati personali, visto che il modello di Facebook esplitamente consentiva la raccolta ed elaborazione dei dati personali degli utenti:
- https://motherboard.vice.com/en_us/article/3kjzvk/facebook-cambridge-analytica-not-a-data-breach.
La penso esattamente come l'articolo di Motherboard. Quando mettiamo dati su Facebook sappiamo bene che Facebook li può vendere a chi e come vuole. Non dobbiamo lamentarci.
Questo articolo spiega come configurare convenientemente Facebook:
- https://www.eff.org/deeplinks/2018/03/how-change-your-facebook-settings-opt-out-platform-api-sharing.
Perché il caso Cambridge Analytica dovrebbe preoccupare anche te
- https://www.wired.it/attualita/politica/2018/03/19/cambridge-analytica-facebook-privacy/.
La penso parzialmente come l'articolo di Wired. Io penso che culturalmente molti dicono che non abbiamo niente da nascondere. Non si tratta di nascondere; si tratta di intimità e la sua perdita è un fatto culturale che mi inquieta. Fin qui è un'opinione come un'altra. Il fatto inquietante è che noi non abbiamo niente da nascondere (forse), ma altri non solo nascondono, ma usano le informazioni che noi volontariamente diamo loro. La sproporzione tra un utente di Facebook e un OTT come Facebook dovrebbe metterci in guardia. Invece... niente.
L'articolo di Wired spiega anche che il caso di Cambridge Analytica non è emerso a causa del coinvolgimento di Trump (forse inconsapevolmente, tra l'altro), ma perché ci spiega come funziona oggi la manipolazione delle persone. E inquieta esattamente come tanti anni fa inquietavano alcune tecniche di pubblicità occulta: ci rendiamo conto di essere manipolabili. In troppi, però, continuano a pensare di essere immuni e continueranno a diffondere tutto ciò che li riguarda, senza voler nascondere niente. Alcuni, come me, si inquietano. Altri non se ne preoccupano minimamente. Me ne farò una ragione.
Infine... pochi giorni prima del caso di Cambridge Analytica il Corriere della Sera aveva pubblicato un articolo dal titolo "Chi spia i nostri conti" di Ferruccio De Bortoli. Non mi è piaciuto come è scritto, ma credo ci dica qualcosa di importante. Questo link riporta fedelmente l'articolo, ma temo non lo faccia legalmente; potrebbe quindi essere cancellato:
- http://prontoagente.it/component/cobalt/item/674-chi-spia-i-nostri-conti.
PS: Pierfrancesco Maistrello mi ha segnalato questa "Opinion" dell'European data protection supervisor (EDPS), dal titolo "online manipulationand personal data", pubblicata proprio il giorno dopo il mio post qui sopra:
- https://edps.europa.eu/sites/edp/files/publication/18-03-19_online_manipulation_en.pdf.
giovedì 22 marzo 2018
I controlli di sicurezza del CIS
Giancarlo Caroti mi ha segnalato la pubblicazione dei CIS Controls V7:
- https://learn.cisecurity.org/20-controls-download.
Si tratta di un elenco di 20 categorie di controlli, poi meglio espressi in circa 170 controlli di dettaglio per la sicurezza informatica. I controlli sono espressi in forma sintetica.
Si tratta ovviamente di una lettura faticosa, ma utile.
- https://learn.cisecurity.org/20-controls-download.
Si tratta di un elenco di 20 categorie di controlli, poi meglio espressi in circa 170 controlli di dettaglio per la sicurezza informatica. I controlli sono espressi in forma sintetica.
Si tratta ovviamente di una lettura faticosa, ma utile.
martedì 20 marzo 2018
Fog e mist computing
L'informatica nebbiosa sembrerebbe materia da milanesi. Invece si tratta di un modello di supporto all'IoT, alternativo al cloud computing.
Personalmente non ne so nulla, ma, se il NIST dedica una Special Publication a questo argomento, ritengo sia opportuno cominciare a sapere che esiste.
Quindi fornisco il link del NIST sulla NIST Special Publication 500-325 "Fog Computing Conceptual Model":
- https://csrc.nist.gov/News/2018/Fog-Computing-for-Internet-of-Things-Devices.
Personalmente non ne so nulla, ma, se il NIST dedica una Special Publication a questo argomento, ritengo sia opportuno cominciare a sapere che esiste.
Quindi fornisco il link del NIST sulla NIST Special Publication 500-325 "Fog Computing Conceptual Model":
- https://csrc.nist.gov/News/2018/Fog-Computing-for-Internet-of-Things-Devices.
lunedì 19 marzo 2018
Linea guida per la PIA degli Osservatori.net
Enrico Luigi Toso mi ha segnalato questa "Linea guida per la Data protection impact assessment" a firma Politecnico e Osservatori.net:
- https://www.osservatori.net/it_it/pubblicazioni/linea-guida-per-la-data-protection-impact-assessment.
Non è facilissimo scaricarla perché bisogna registrarsi e poi bisogna fare parecchi clic. La lettura è piuttosto interessante. Nulla di particolarmente originale, ma una bella rassegna su questo requisito del GDPR.
Viene presentato un metodo semplice per calcolare il rischio per la PIA e penso che questo sia molto positivo.
Visto che il CNIL ha proposto un metodo (recepito anche nella ISO/IEC 29134) troppo macchinoso e di difficile applicazione, mi fa piacere quando voci autorevoli promuovono approcci più pragmatici.
- https://www.osservatori.net/it_it/pubblicazioni/linea-guida-per-la-data-protection-impact-assessment.
Non è facilissimo scaricarla perché bisogna registrarsi e poi bisogna fare parecchi clic. La lettura è piuttosto interessante. Nulla di particolarmente originale, ma una bella rassegna su questo requisito del GDPR.
Viene presentato un metodo semplice per calcolare il rischio per la PIA e penso che questo sia molto positivo.
Visto che il CNIL ha proposto un metodo (recepito anche nella ISO/IEC 29134) troppo macchinoso e di difficile applicazione, mi fa piacere quando voci autorevoli promuovono approcci più pragmatici.
giovedì 15 marzo 2018
Linee guida sulla notifica di violazione dei dati personali
Franco Ferrari di DNV GL mi ha segnalato la pubblicazione delle "Guidelines on Personal data breach notification under Regulation 2016/679 (wp250rev.01)" del WP Art. 29:
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612052.
Sono molto importanti, perché stabiliscono un punto di riferimento autorevole per capire quali eventi vanno notificati al Garante e agli interessati.
Franco Ferrari mi ha anche segnalato un articolo di Adalberto Biasotti che riassume la linea guida:
- https://www.puntosicuro.it/security-C-124/privacy-C-89/pubblicata-la-linea-guida-sulla-notificazione-in-caso-di-violazione-dei-dati-AR-17875/.
- http://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=612052.
Sono molto importanti, perché stabiliscono un punto di riferimento autorevole per capire quali eventi vanno notificati al Garante e agli interessati.
Franco Ferrari mi ha anche segnalato un articolo di Adalberto Biasotti che riassume la linea guida:
- https://www.puntosicuro.it/security-C-124/privacy-C-89/pubblicata-la-linea-guida-sulla-notificazione-in-caso-di-violazione-dei-dati-AR-17875/.
martedì 13 marzo 2018
Due lezioni dai seggi
No. Non parlerò della campagna elettorale, né dei risultati. Ho solo due foto sui seggi che costituiscono due interessanti lezioni.
Lezione 1: Sviluppo e progettazione. La busta 7(R) in alto va infilata nella busta in basso:
- https://www.linkedin.com/feed/update/urn:li:activity:6379233027293265920.
Lezione 2: Capacity management. Le schede inutilizzate (in basso; sono quelle del mio seggio) vanno inserite nella busta 4(R) in alto:
- https://www.linkedin.com/feed/update/urn:li:activity:6379234134224617473.
Lezione 1: Sviluppo e progettazione. La busta 7(R) in alto va infilata nella busta in basso:
- https://www.linkedin.com/feed/update/urn:li:activity:6379233027293265920.
Lezione 2: Capacity management. Le schede inutilizzate (in basso; sono quelle del mio seggio) vanno inserite nella busta 4(R) in alto:
- https://www.linkedin.com/feed/update/urn:li:activity:6379234134224617473.
sabato 10 marzo 2018
GDPR e legittimo interesse
Pierfrancesco Maistrello (che ringrazio) mi ha segnalato la seguente pubblicazione dal sito di IAPP e dal titolo "Guidance on the use of Legitimate Interests under the EU General Data Protection Regulation":
- https://iapp.org/media/pdf/resource_center/DPN-Guidance-A4-Publication.pdf.
Mi pare molto interessante ed ecco i miei appunti:
- il considerando 47 prevede che il marketing diretto possa essere considerato (in certe circostanze) come trattamento di legittimo interesse per il titolare (sembrerebbero inclusi i casi in cui il "commerciale di fiducia" chiama ogni tanto il cliente; rimane sempre attivo il diritto di opposizione dell'interessato);
- trattamenti svolti nel legittimo interesse del titolare possono avere le seguenti finalità: prevenzioni di frodi, trasmissione di dati dei dipendenti all'interno di un Gruppo aziendale, sicurezza informatica, audit interni o ad altre organizzazioni, mantenere il nome delle persone che hanno chiesto la cancellazione dei propri dati personali (anche se qui si ha un riferimento circolare), registrazione delle attività (p.e. in un gestionale o per il check-in in un hotel, web analytics;
- altri esempi del documento non mi convincono per niente.
- https://iapp.org/media/pdf/resource_center/DPN-Guidance-A4-Publication.pdf.
Mi pare molto interessante ed ecco i miei appunti:
- il considerando 47 prevede che il marketing diretto possa essere considerato (in certe circostanze) come trattamento di legittimo interesse per il titolare (sembrerebbero inclusi i casi in cui il "commerciale di fiducia" chiama ogni tanto il cliente; rimane sempre attivo il diritto di opposizione dell'interessato);
- trattamenti svolti nel legittimo interesse del titolare possono avere le seguenti finalità: prevenzioni di frodi, trasmissione di dati dei dipendenti all'interno di un Gruppo aziendale, sicurezza informatica, audit interni o ad altre organizzazioni, mantenere il nome delle persone che hanno chiesto la cancellazione dei propri dati personali (anche se qui si ha un riferimento circolare), registrazione delle attività (p.e. in un gestionale o per il check-in in un hotel, web analytics;
- altri esempi del documento non mi convincono per niente.
giovedì 8 marzo 2018
Nuova edizione della ISO 22300 (definizioni per la continuità)
Franco Ferrari di DNV GL mi ha segnalato la pubblicazione della nuova versione della ISO 22300, dal titolo "ISO 22300: 2018 - Societal security - Terminology":
- https://www.iso.org/standard/68436.html.
Ne ho parlato con Gennaro Bacile. Anche lui ha trovato ridicola la definizione di activity (un insieme di processi) e di process (un insieme di attività), in ovvio riferimento circolare. C'erano anche nella ISO 22301:2012 e purtroppo la definizione di activity non è stata modificata (la definizione di process non dovrebbe esserlo, visto che stabile da numerosi anni, condivisa da tantissime norme ISO e tra le definizioni base del HLS).
- https://www.iso.org/standard/68436.html.
Ne ho parlato con Gennaro Bacile. Anche lui ha trovato ridicola la definizione di activity (un insieme di processi) e di process (un insieme di attività), in ovvio riferimento circolare. C'erano anche nella ISO 22301:2012 e purtroppo la definizione di activity non è stata modificata (la definizione di process non dovrebbe esserlo, visto che stabile da numerosi anni, condivisa da tantissime norme ISO e tra le definizioni base del HLS).
Nuova ISO 31000
Franco Ferrari (di DNV GL) e Gennaro Bacile (di Studio QSA) mi hanno segnalato la pubblicazione della nuova versione della ISO 31000, dal titolo "ISO 31000:2018 - Risk management — Guidelines":
- https://www.iso.org/standard/65694.html.
Gennaro, gentilmente, mi ha inviato un suo commento, che io riporto qui di seguito.
La ISO 31000:2018 non ha novità sconvolgenti rispetto alla precedente versione del 2009. L'intento della nuova versione era quello di trovare un adeguato compromesso tra esigenze di chiarezza, bisogno di approfondimento e necessità di sintesi.
In effetti, il nuovo testo si presenta non solo più conciso, ma comprende anche alcuni cambiamenti sostanziali come ad esempio l'importanza data ai fattori umani e culturali nel raggiungimento degli obiettivi di un'organizzazione e una maggiore enfasi su una più solida integrazione del "risk management" con il processo decisionale e, più in generale, all'interno di un sistema di gestione strategico e operativo.
Come Italia avevamo insistito per un approfondimento su due aspetti, relativi alla necessità di:
- considerare l'etica tra i criteri di riferimento per la valutazione dei rischi;
- chiarire meglio significato e correlazione tra i concetti di opportunità, minacce/pericoli e rischio, sui quali i punti di vista sono molto "variegati".
Dell'etica comunque non se ne parla se non sottintesa tra le righe e sui concetti di minacce e opportunità in relazione al rischio è stata fatta confusione (una nota alla definizione di rischio è stata modificata all'ultimo momento, rendendo quindi la relazione tra minacce e opportunità e rischi molto confusa e non condivisible).
Molto più interessante per numerose novità, oltre che per i due punti di cui sopra, è la revisione della IEC/ISO 31010, il cui DIS è stato approvato a metà febbraio. Nella nuova versione è previsto un diagramma di Ishikawa modificato (con indicate le classiche famiglie di cause-effetti: ambiente, materiali, fornitori, personale, processi, infrastrutture). È forse una banalità, ma comunque è un nuovo modo di pensare fuori dagli schemi (una sorta di pensiero laterale) che è frutto di un nostro contributo. La sua applicazione è risultata piuttosto interessante ed apprezzata da chi ci ha provato.
- https://www.iso.org/standard/65694.html.
Gennaro, gentilmente, mi ha inviato un suo commento, che io riporto qui di seguito.
La ISO 31000:2018 non ha novità sconvolgenti rispetto alla precedente versione del 2009. L'intento della nuova versione era quello di trovare un adeguato compromesso tra esigenze di chiarezza, bisogno di approfondimento e necessità di sintesi.
In effetti, il nuovo testo si presenta non solo più conciso, ma comprende anche alcuni cambiamenti sostanziali come ad esempio l'importanza data ai fattori umani e culturali nel raggiungimento degli obiettivi di un'organizzazione e una maggiore enfasi su una più solida integrazione del "risk management" con il processo decisionale e, più in generale, all'interno di un sistema di gestione strategico e operativo.
Come Italia avevamo insistito per un approfondimento su due aspetti, relativi alla necessità di:
- considerare l'etica tra i criteri di riferimento per la valutazione dei rischi;
- chiarire meglio significato e correlazione tra i concetti di opportunità, minacce/pericoli e rischio, sui quali i punti di vista sono molto "variegati".
Dell'etica comunque non se ne parla se non sottintesa tra le righe e sui concetti di minacce e opportunità in relazione al rischio è stata fatta confusione (una nota alla definizione di rischio è stata modificata all'ultimo momento, rendendo quindi la relazione tra minacce e opportunità e rischi molto confusa e non condivisible).
Molto più interessante per numerose novità, oltre che per i due punti di cui sopra, è la revisione della IEC/ISO 31010, il cui DIS è stato approvato a metà febbraio. Nella nuova versione è previsto un diagramma di Ishikawa modificato (con indicate le classiche famiglie di cause-effetti: ambiente, materiali, fornitori, personale, processi, infrastrutture). È forse una banalità, ma comunque è un nuovo modo di pensare fuori dagli schemi (una sorta di pensiero laterale) che è frutto di un nostro contributo. La sua applicazione è risultata piuttosto interessante ed apprezzata da chi ci ha provato.
mercoledì 28 febbraio 2018
Continuità operativa: le definizioni fondamentali
Articolo mio dal titolo "Continuità operativa: le definizioni fondamentali":
- https://www.ictsecuritymagazine.com/articoli/continuita-operativa-le-definizioni-fondamentali/.
- https://www.ictsecuritymagazine.com/articoli/continuita-operativa-le-definizioni-fondamentali/.
lunedì 26 febbraio 2018
Pubblicata la ISO/IEC 27103
E' stata pubblicata la norma ISO/IEC 27103, dal titolo "Cybersecurity and ISO and IEC Standards":
- https://www.iso.org/standard/72437.html.
Si tratta di un Technical report, non di uno standard. Esso elenca i punti chiave del NIST CSF e gli associa i controlli della ISO/IEC 27002 e di altre norme. Un po' anche per dire "guardate che questa cybersecurity è sempre stata parte del nostro lavoro".
È noto che non sono un fan delle "correlazioni": penso che ogni standard abbia un punto di vista diverso e che prima di tutto questo punto di vista vada capito. L'uso di liste di correlazione fa spesso dimenticare i diversi punti di vista e porta a lavori troppo meccanici.
- https://www.iso.org/standard/72437.html.
Si tratta di un Technical report, non di uno standard. Esso elenca i punti chiave del NIST CSF e gli associa i controlli della ISO/IEC 27002 e di altre norme. Un po' anche per dire "guardate che questa cybersecurity è sempre stata parte del nostro lavoro".
È noto che non sono un fan delle "correlazioni": penso che ogni standard abbia un punto di vista diverso e che prima di tutto questo punto di vista vada capito. L'uso di liste di correlazione fa spesso dimenticare i diversi punti di vista e porta a lavori troppo meccanici.
Privacy: Circolare INL sulla videosorveglianza e lavoratori
Paolo Clavi mi ha segnalato questo articolo relativo ad una recente circolare dell'Ispettorato Nazionale del Lavoro (INL) in materia di videosorveglianza:
- http://www.dottrinalavoro.it/notizie-c/inl-installazione-e-utilizzazione-di-impianti-audiovisivi.
A mio parere l'articolo è esaustivo e riassume il contenuto della circolare.
Paolo mi scrive: " introduce un principio assolutamente innovativo: la possibilità di non indicare l'esatta posizione ed il numero delle telecamere da installare, tenuto conto che il layout degli uffici potrebbe cambiare nel tempo e costringerebbe ad onerosi aggiornamenti della pratica. Resta fermo il fatto che le riprese effettuate devono essere coerenti e strettamente connesse con le ragioni legittimanti il controllo e dichiarate nell'istanza. In fondo è un po' un atteggiamento in sintonia con il GDPR e il principio di accountability: la cosa importante è rispettare i principi, sulle modalità si lascia all'azienda la scelta di quelle opportune.
Il testo contiene poi altre interessanti innovazioni, come la mancata necessità della richiesta di autorizzazione in caso di installazione di telecamere in zone esterne estranee alle pertinenze della ditta (es. il suolo pubblico, anche se antistante alle zone di ingresso all'azienda), nelle quali non è prestata attività lavorativa. In fondo, se l'accordo sindacale o l'autorizzazione DTL derivano dalla necessità di informare e tutelare i lavoratori, quando i lavoratori si trovano all'esterno dell'azienda si trovano nelle stesse condizioni di qualsiasi cittadino, per i quali sono sufficienti cartelli informativi ed eventuale esercizio dei diritti di accesso ai dati".
Ci sono anche altri aspetti. Quello che a me colpisce di più è la possibilità di inquadrare direttamente l'operatore, ma solo per tutela della "sicurezza del lavoro" o del "patrimonio aziendale", perché potrebbe sconfinare facilmente nell'uso delle inquadrature per controllare le prestazioni dei lavoratori (il call centre che decurtava un'ora di stipendio a chi andava in bagno è notizia di settimana scorsa:
http://www.corriere.it/cronache/cards/centralinisti-call-center-pagati-33-centesimi-l-ora/finta-busta-paga_principale.shtml).
- http://www.dottrinalavoro.it/notizie-c/inl-installazione-e-utilizzazione-di-impianti-audiovisivi.
A mio parere l'articolo è esaustivo e riassume il contenuto della circolare.
Paolo mi scrive: " introduce un principio assolutamente innovativo: la possibilità di non indicare l'esatta posizione ed il numero delle telecamere da installare, tenuto conto che il layout degli uffici potrebbe cambiare nel tempo e costringerebbe ad onerosi aggiornamenti della pratica. Resta fermo il fatto che le riprese effettuate devono essere coerenti e strettamente connesse con le ragioni legittimanti il controllo e dichiarate nell'istanza. In fondo è un po' un atteggiamento in sintonia con il GDPR e il principio di accountability: la cosa importante è rispettare i principi, sulle modalità si lascia all'azienda la scelta di quelle opportune.
Il testo contiene poi altre interessanti innovazioni, come la mancata necessità della richiesta di autorizzazione in caso di installazione di telecamere in zone esterne estranee alle pertinenze della ditta (es. il suolo pubblico, anche se antistante alle zone di ingresso all'azienda), nelle quali non è prestata attività lavorativa. In fondo, se l'accordo sindacale o l'autorizzazione DTL derivano dalla necessità di informare e tutelare i lavoratori, quando i lavoratori si trovano all'esterno dell'azienda si trovano nelle stesse condizioni di qualsiasi cittadino, per i quali sono sufficienti cartelli informativi ed eventuale esercizio dei diritti di accesso ai dati".
Ci sono anche altri aspetti. Quello che a me colpisce di più è la possibilità di inquadrare direttamente l'operatore, ma solo per tutela della "sicurezza del lavoro" o del "patrimonio aziendale", perché potrebbe sconfinare facilmente nell'uso delle inquadrature per controllare le prestazioni dei lavoratori (il call centre che decurtava un'ora di stipendio a chi andava in bagno è notizia di settimana scorsa:
http://www.corriere.it/cronache/cards/centralinisti-call-center-pagati-33-centesimi-l-ora/finta-busta-paga_principale.shtml).
domenica 25 febbraio 2018
Direttiva NIS - Bozza di decreto italiano
Franco Ferrari di DNV GL mi ha segnalato questo interessante articolo dal titolo "Attuazione della Direttiva NIS, lo stato dopo lo schema di decreto legislativo":
- https://www.agendadigitale.eu/sicurezza/attuazione-della-direttiva-nis-lo-lo-schema-decreto-legislativo/.
Dopo tutto il parlare di GDPR, è bene ricordare che le Direttive devono essere "tradotte" dagli Stati membri in una Legge nazionale. In Italia, la "traduzione" avviene attraverso Decreti legislativi.
La Direttiva 2016/1148 (cosiddetta "NIS") impone un elevato livello di sicurezza (basato su un'analisi del rischio) delle reti e dei sistemi informatici delle organizzazioni che operano in alcuni settori (energia, trasporti, banche, mercati finanziari, sanità, fornitura e distribuzione di acqua potabile e infrastrutture digitali; nonché motori di ricerca, servizi cloud e piattaforme di commercio elettronico).
Il Consiglio dei Ministri italiano ha recentemente pubblicato la prima bozza ("schema") di D. Lgs. di recepimento della Direttiva NIS. Quindi l'articolo commenta questa bozza. Ora penso quindi che sia utile cominciare ad affrontare il tema NIS, senza approfondirlo troppo, visto che le bozze potrebbero essere modificate abbondantemente.
Non commento ulteriormente, visto che l'articolo mi pare esaustivo.
- https://www.agendadigitale.eu/sicurezza/attuazione-della-direttiva-nis-lo-lo-schema-decreto-legislativo/.
Dopo tutto il parlare di GDPR, è bene ricordare che le Direttive devono essere "tradotte" dagli Stati membri in una Legge nazionale. In Italia, la "traduzione" avviene attraverso Decreti legislativi.
La Direttiva 2016/1148 (cosiddetta "NIS") impone un elevato livello di sicurezza (basato su un'analisi del rischio) delle reti e dei sistemi informatici delle organizzazioni che operano in alcuni settori (energia, trasporti, banche, mercati finanziari, sanità, fornitura e distribuzione di acqua potabile e infrastrutture digitali; nonché motori di ricerca, servizi cloud e piattaforme di commercio elettronico).
Il Consiglio dei Ministri italiano ha recentemente pubblicato la prima bozza ("schema") di D. Lgs. di recepimento della Direttiva NIS. Quindi l'articolo commenta questa bozza. Ora penso quindi che sia utile cominciare ad affrontare il tema NIS, senza approfondirlo troppo, visto che le bozze potrebbero essere modificate abbondantemente.
Non commento ulteriormente, visto che l'articolo mi pare esaustivo.
CISCO Annual cybersecurity report 2018
Dal SANS NewsBites, riprendo la notizia della pubblicazione del "2018 Annual Cybersecurity Report" della Cisco:
- https://www.cisco.com/c/en/us/products/security/security-reports.html.
Non mi pare ci siano cose particolarmente rilevanti o innovative (a meno che qualcuno più paziente di me non me le segnali), ma sicuramente è utile saperle (ed è utile anche vedere quali di queste cose "invitano" ad usare i prodotti e servizi della Cisco, in modo da dare loro il giusto peso).
I "major findings", infatti, sottolineano:
- la diffusione degli attacchi DDoS;
- la diffusione dello spamming;
- la pericolosità degli attacchi da parte del personale interno,
- lo sfrtuttamento dell'IoT e delle reti industriali,
- i rischi derivanti dalla numerosità di prodotti e fornitori,
- l'opportunità di migliorare la sicurezza attraverso l'outsourcing (via cloud).
- https://www.cisco.com/c/en/us/products/security/security-reports.html.
Non mi pare ci siano cose particolarmente rilevanti o innovative (a meno che qualcuno più paziente di me non me le segnali), ma sicuramente è utile saperle (ed è utile anche vedere quali di queste cose "invitano" ad usare i prodotti e servizi della Cisco, in modo da dare loro il giusto peso).
I "major findings", infatti, sottolineano:
- la diffusione degli attacchi DDoS;
- la diffusione dello spamming;
- la pericolosità degli attacchi da parte del personale interno,
- lo sfrtuttamento dell'IoT e delle reti industriali,
- i rischi derivanti dalla numerosità di prodotti e fornitori,
- l'opportunità di migliorare la sicurezza attraverso l'outsourcing (via cloud).
lunedì 19 febbraio 2018
Libro: La vita segreta
Segnalo questo libro dal titolo "La vita segreta: Tre storie vere dell'èra digitale" di Andrew O'Hagan:
- https://www.adelphi.it/libro/9788845932151.
Non parla di sicurezza delle informazioni (se non in modo funzionale), né di GDPR.
Però, attraverso tre storie estreme (una su Assange, un'altra su Satoshi e quella in mezzo su una persona creata solo per l'ambiente virtuale) parla di identità, bisogno di privacy, bisogno di visibilità e forse altre cose.
Lo consiglio perché mi sembra dica qualcosa a noi che ci occupiamo di informatica non solo da un punto di vista puramente tecnico, ma anche culturale, se possiamo dire così.
- https://www.adelphi.it/libro/9788845932151.
Non parla di sicurezza delle informazioni (se non in modo funzionale), né di GDPR.
Però, attraverso tre storie estreme (una su Assange, un'altra su Satoshi e quella in mezzo su una persona creata solo per l'ambiente virtuale) parla di identità, bisogno di privacy, bisogno di visibilità e forse altre cose.
Lo consiglio perché mi sembra dica qualcosa a noi che ci occupiamo di informatica non solo da un punto di vista puramente tecnico, ma anche culturale, se possiamo dire così.
venerdì 16 febbraio 2018
Articolo sulle certificazioni privacy
Segnalo questo articolo di ICT Security Magazine dal titolo "GDPR perché certificarsi - La vera ragione economica e il fenomeno della selezione avversa". Infatti ho trovato qualcuno di più critico di me.
- https://www.ictsecuritymagazine.com/articoli/gdpr-perche-certificarsi-la-vera-ragione-economica-fenomeno-della-selezione-avversa/.
- https://www.ictsecuritymagazine.com/articoli/gdpr-perche-certificarsi-la-vera-ragione-economica-fenomeno-della-selezione-avversa/.
Nuova privacy per telemarketing (precisazione 2)
Avevo segnalato il nuovo provvedimento normativo su privacy e telemarketing:
- http://blog.cesaregallotti.it/2018/02/nuova-privacy-per-telemarketing.html
Alessandro Borgese degli Idraulici della privacy mi ha segnalato che "manca ancora il decreto attuativo e pertanto le novità introdotte vedranno la luce tra un po'". Lo dimostra inviandomi questo articolo di Repubblica del 2 febbraio:
- http://www.repubblica.it/economia/2018/02/02/news/difese_contro_il_telemarketing_la_rivoluzione_puo_attendere-187679069/.
Riassumo dicendo che "ad ora sono in vigore solo alcune delle novità: l'obbligo del telemarketer a chiamarci con un numero in chiaro e la corresponsabilità dell'azienda committente della campagna telefonica illecita (finora invece era sanzionabile solo l'agenzia esecutrice di quest'ultima)". E che "il punto centrale è il nuovo registro delle opposizioni, una delle novità che devono aspettare il decreto attuativo per entrare in vigore. Il nuovo registro include anche i numeri riservati e quelli cellulare".
- http://blog.cesaregallotti.it/2018/02/nuova-privacy-per-telemarketing.html
Alessandro Borgese degli Idraulici della privacy mi ha segnalato che "manca ancora il decreto attuativo e pertanto le novità introdotte vedranno la luce tra un po'". Lo dimostra inviandomi questo articolo di Repubblica del 2 febbraio:
- http://www.repubblica.it/economia/2018/02/02/news/difese_contro_il_telemarketing_la_rivoluzione_puo_attendere-187679069/.
Riassumo dicendo che "ad ora sono in vigore solo alcune delle novità: l'obbligo del telemarketer a chiamarci con un numero in chiaro e la corresponsabilità dell'azienda committente della campagna telefonica illecita (finora invece era sanzionabile solo l'agenzia esecutrice di quest'ultima)". E che "il punto centrale è il nuovo registro delle opposizioni, una delle novità che devono aspettare il decreto attuativo per entrare in vigore. Il nuovo registro include anche i numeri riservati e quelli cellulare".
Libro bianco della cyber security in Italia (precisazione sul documento)
Recentemente avevo segnalato la nuova edizione del Libro Bianco: "Il Futuro della Cybersecurity in Italia: Ambiti Progettuali Strategici". Avevo detto che i link disponibili sul sito ufficiale (https://www.consorzio-cini.it/index.php/it/) non funzionavano e avevo fornito un link alternativo.
Giancarlo Caroti mi ha fatto notare che il link alternativo rimanda all'edizione precedente del 2015 (che fu presentato a febbraio 2016 in un evento in Sapienza a cui fece un intervento lo stesso Caroti). Giancarlo mi conferma che neanche lui riesce a rintracciare l'edizione del 2017.
Mi scuso per l'errore e, se avrò aggiornamenti, li fornirò.
Giancarlo Caroti mi ha fatto notare che il link alternativo rimanda all'edizione precedente del 2015 (che fu presentato a febbraio 2016 in un evento in Sapienza a cui fece un intervento lo stesso Caroti). Giancarlo mi conferma che neanche lui riesce a rintracciare l'edizione del 2017.
Mi scuso per l'errore e, se avrò aggiornamenti, li fornirò.
giovedì 15 febbraio 2018
Circolare Accredia per le certificazioni ISO/IEC 270XX
Come già detto più volte in questa sede, la ISO/IEC 27001 può essere "estesa" ad altre norme cosiddette sector-specific. Tra queste, le più note sono oggi la ISO/IEC 27108:2014 sulla privacy dei servizi cloud e la ISO/IEC 27017 sui servizi cloud in generale. Altre sono disponibili e altre lo saranno (inclusa la ISO/IEC 27552 sulla privacy in generale).
In poche parole: non è possibile certificarsi direttamente su queste norme sector-specific, ma è possibile farle figurare in un certificato ISO/IEC 27001, come sua estensione.
Accredia, l'ente di accreditamento italiano, aveva regolato qualche mese fa le certificazioni ISO/IEC 27018. Io mi ero lamentato perché era assurda questa limitazione ad una sola delle norme sector-specific:
- http://blog.cesaregallotti.it/2017/07/certificazioni-isoiec-27018.html.
Accredia ha quindi rimediato (probabilmente non a causa mia) con la Circolare Tecnica N° 02/2018:
- https://www.accredia.it/documento/circolare-tecnica-dc-n-02-2018-accreditamento-per-lo-schema-di-certificazione-iso-iec-270012013-con-integrazione-delle-linee-guida-iso-iec-270xx20yy/.
Rimangono alcune bizzarrie, come richiedere auditor competenti anche sulla ISO/IEC 20000 (chissà perché questa e non per esempio la ISO 22301 o altre) e di verificare fisicamente tutti i data centre utilizzati (senza alcuna deroga nel caso in cui questi siano già certificati). Speriamo che in una prossima versione della Circolare tecnica non ci siano queste bizzarie.
In poche parole: non è possibile certificarsi direttamente su queste norme sector-specific, ma è possibile farle figurare in un certificato ISO/IEC 27001, come sua estensione.
Accredia, l'ente di accreditamento italiano, aveva regolato qualche mese fa le certificazioni ISO/IEC 27018. Io mi ero lamentato perché era assurda questa limitazione ad una sola delle norme sector-specific:
- http://blog.cesaregallotti.it/2017/07/certificazioni-isoiec-27018.html.
Accredia ha quindi rimediato (probabilmente non a causa mia) con la Circolare Tecnica N° 02/2018:
- https://www.accredia.it/documento/circolare-tecnica-dc-n-02-2018-accreditamento-per-lo-schema-di-certificazione-iso-iec-270012013-con-integrazione-delle-linee-guida-iso-iec-270xx20yy/.
Rimangono alcune bizzarrie, come richiedere auditor competenti anche sulla ISO/IEC 20000 (chissà perché questa e non per esempio la ISO 22301 o altre) e di verificare fisicamente tutti i data centre utilizzati (senza alcuna deroga nel caso in cui questi siano già certificati). Speriamo che in una prossima versione della Circolare tecnica non ci siano queste bizzarie.
mercoledì 14 febbraio 2018
Sviluppo sicuro delle applicazioni: i test di sicurezza
Un altro mio articolo sullo sviluppo sicuro delle applicazioni. Questo ha titolo "Sviluppo sicuro delle applicazioni: i test di sicurezza":
- https://www.ictsecuritymagazine.com/articoli/sviluppo-sicuro-delle-applicazioni-test-sicurezza/.
- https://www.ictsecuritymagazine.com/articoli/sviluppo-sicuro-delle-applicazioni-test-sicurezza/.
ENISA Handbook per il GDPR
ENISA ha pubblicato a gennaio 2018 un "Handbook on Security of Personal Data Processing":
- https://www.enisa.europa.eu/publications/handbook-on-security-of-personal-data-processing/.
In esso trovo cose interessanti:
- la valutazione del rischio per i processi (con i parametri di valutazione degli impatti e della verosimiglianza delle minacce);
- un elenco di misure di sicurezza da considerare per i diversi livelli di rischio.
Mi pare un documento molto interessante perché molto pratico (a differenza di altre pubblicazioni troppo "teoriche").
Alla luce di questo documento dovrò aggiornare il mio VERA per privacy (ahimè).
Meno interessante è la pubblicazione "Privacy and data protection in mobile applications", perché troppo analitica e con poche indicazioni per la sicurezza delle applicazioni per dispositivi mobili:
- https://www.enisa.europa.eu/publications/privacy-and-data-protection-in-mobile-applications/.
Da osservare comunque che la pubblicazione è piena di link ad altri documenti. Andrebbe quindi esaminata con attenzione.
- https://www.enisa.europa.eu/publications/handbook-on-security-of-personal-data-processing/.
In esso trovo cose interessanti:
- la valutazione del rischio per i processi (con i parametri di valutazione degli impatti e della verosimiglianza delle minacce);
- un elenco di misure di sicurezza da considerare per i diversi livelli di rischio.
Mi pare un documento molto interessante perché molto pratico (a differenza di altre pubblicazioni troppo "teoriche").
Alla luce di questo documento dovrò aggiornare il mio VERA per privacy (ahimè).
Meno interessante è la pubblicazione "Privacy and data protection in mobile applications", perché troppo analitica e con poche indicazioni per la sicurezza delle applicazioni per dispositivi mobili:
- https://www.enisa.europa.eu/publications/privacy-and-data-protection-in-mobile-applications/.
Da osservare comunque che la pubblicazione è piena di link ad altri documenti. Andrebbe quindi esaminata con attenzione.
GDPR: una sfida per le Autorità di controllo e una difesa per la libertà dei moderni
Segnalo questo articolo (22 pagine) di Francesco Pizzetti dal titolo "La protezione dei dati personali dalla direttiva al nuovo regolamento: una sfida per le Autorità di controllo e una difesa per la libertà dei moderni":
- http://www.medialaws.eu/rivista/la-protezione-dei-dati-personali-dalla-direttiva-al-nuovo-regolamento-una-sfida-per-le-autorita-di-controllo-e-una-difesa-per-la-liberta-dei-moderni/.
Non è un articolo "pratico", a differenza di qualche intervento di Pizzetti a dei convegni e che mi sarebbe piaciuto vedere per iscritto. È più una riflessione, come dice il titolo, sul ruolo del Garante.
- http://www.medialaws.eu/rivista/la-protezione-dei-dati-personali-dalla-direttiva-al-nuovo-regolamento-una-sfida-per-le-autorita-di-controllo-e-una-difesa-per-la-liberta-dei-moderni/.
Non è un articolo "pratico", a differenza di qualche intervento di Pizzetti a dei convegni e che mi sarebbe piaciuto vedere per iscritto. È più una riflessione, come dice il titolo, sul ruolo del Garante.
Perfect SAP Penetration testing
Recentemente ho chiuso un progetto ISO/IEC 27001 in un'azienda molto "sappizzata". Questa serie di articoli, dal titolo "Perfect SAP Penetration testing" mi sarebbe tornata decisamente utile:
- https://erpscan.com/tag/sap-penetration-testing/.
- https://erpscan.com/tag/sap-penetration-testing/.
martedì 13 febbraio 2018
ISO/IEC 27000
E' stata pubblicata la nuova versione del 2018 della ISO/IEC 27000, con i termini e definizioni della sicurezza delle informazioni:
- https://www.iso.org/standard/73906.html.
La norma è gratuita, quindi dalla pagina dell'ISO non bisogna "comprare", ma seguire il link di "download". Il download si può anche fare direttamente da questa pagina:
- http://standards.iso.org/ittf/PubliclyAvailableStandards/index.html.
- https://www.iso.org/standard/73906.html.
La norma è gratuita, quindi dalla pagina dell'ISO non bisogna "comprare", ma seguire il link di "download". Il download si può anche fare direttamente da questa pagina:
- http://standards.iso.org/ittf/PubliclyAvailableStandards/index.html.
lunedì 12 febbraio 2018
Due sentenze sul controllo dei lavoratori (uso cellulari e videoriprese per furti)
Due sentenze che sembrano interessanti, ambedue su Filodiritto.
La prima è una "verifica preliminare" del Garante e relativa al controllo dei consumi del cellulari aziendali. La società (Johnson&Johnson Medical S.p.A.) assicura che i dati saranno usati solo per il controllo dei consumi e non per comminare sanzioni disciplinari. Il Garante ha dato l'approvazione:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7554790.
L'articolo su Filodiritto:
- https://www.filodiritto.com/news/2018/privacy-garante-privacy-il-garante-si-pronuncia-sulla-legittimit-del-controllo-sui-telefoni-aziendali-da-parte-del.html.
La seconda è della Cassazione, che ha ritenuto lecito l'uso di videoregistrazioni "per provare le condotte criminose poste in essere dai lavoratori". Da notare che si sta parlando di procedura penale. L'articolo di Filodiritto:
- https://www.filodiritto.com/news/2018/videosorveglianza-cassazione-penale-utilizzabili-le-videoriprese-per-provare-le-condotte-criminose-poste-in-essere-dai.html.
La prima è una "verifica preliminare" del Garante e relativa al controllo dei consumi del cellulari aziendali. La società (Johnson&Johnson Medical S.p.A.) assicura che i dati saranno usati solo per il controllo dei consumi e non per comminare sanzioni disciplinari. Il Garante ha dato l'approvazione:
- http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7554790.
L'articolo su Filodiritto:
- https://www.filodiritto.com/news/2018/privacy-garante-privacy-il-garante-si-pronuncia-sulla-legittimit-del-controllo-sui-telefoni-aziendali-da-parte-del.html.
La seconda è della Cassazione, che ha ritenuto lecito l'uso di videoregistrazioni "per provare le condotte criminose poste in essere dai lavoratori". Da notare che si sta parlando di procedura penale. L'articolo di Filodiritto:
- https://www.filodiritto.com/news/2018/videosorveglianza-cassazione-penale-utilizzabili-le-videoriprese-per-provare-le-condotte-criminose-poste-in-essere-dai.html.
Nuova privacy per telemarketing (precisazione)
A gennaio avevo dato la notizia di un nuovo provvedimento normativo su privacy e telemarketing:
- http://blog.cesaregallotti.it/2018/01/nuova-privacy-per-telemarketing.html.
Mancava il numero della Legge. Grazie ad Altalex ora posso dire che si tratta della Legge 5 del 2018:
- http://www.altalex.com/documents/leggi/2018/02/05/call-center-prefissi-registro-opposizioni.
Come al solito, si trova su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2018-01-11;5!vig=.
- http://blog.cesaregallotti.it/2018/01/nuova-privacy-per-telemarketing.html.
Mancava il numero della Legge. Grazie ad Altalex ora posso dire che si tratta della Legge 5 del 2018:
- http://www.altalex.com/documents/leggi/2018/02/05/call-center-prefissi-registro-opposizioni.
Come al solito, si trova su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2018-01-11;5!vig=.
Un riassunto sul GDPR (e il quaderno ANCI)
In tanti (tra cui Franco Ferrari di DNV GL, Pierfrancesco Maistrello e Daniela degli Idraulici della privacy) hanno segnalato questo quaderno dell'ANCI dal titolo "L'attuazione negli Enti Locali del nuovo Regolamento UE n. 679/2016 sulla protezione dei dati personali: Istruzioni tecniche, linee guida, note e modulistica":
http://www.anci.lombardia.it/documenti/7355-regolamento%20ue%20privacy%20ok_def.pdf.
Può essere utile criticarlo, in modo da fare un ripasso di alcuni punti salienti del GDPR. Così potrò essere criticato anche io per quello che scrivo.
Innanzi tutto prima dice che "è definita la nuova categoria di dati personali", che sono i cosiddetti "dati sensibili di cui al precedente Codice Privacy". Poi tutto il quaderno fa riferimento ai "dati sensibili". Il GDPR usa l'espressione "categorie particolari di dati personali ai sensi dell'articolo 9". Anche io uso l'espressione "dati sensibili" perché più pratica, avendo cura, a inizio di documento, di specificare cosa sono e come li designa il GDPR.
I Titolari e i Responsabili dei trattamenti sono visti come persone fisiche (dice che il titolare è il "Sindaco o suo delegato" e i responsabili sono "Dirigenti/Quadri/Responsabili di U.O."), mentre il GDPR lascia intendere che si tratta di strutture organizzative (le "aziende"), mentre le responsabilità personali, tranne il caso di singoli professionisti, sono da gestire con le normali deleghe interne di ciascuna organizzazione e non sono regolamentate dal GDPR. Per la verità non avrebbero dovuto essere regolate neanche dal Codice privacy e questo sarebbe stato più chiaro se non si fosse tradotto "processor" (che anche in altri contesti è sempre visto come organizzazione non singola persona) con "responsabile" e se poi non avessimo insistito per lasciare in vita la traduzione inesatta. Questa interpretazione è stata data anche da dirigenti e funzionari del GDP in diversi incontri pubblici, dicendo che negli anni hanno sempre visto il "responsabile interno" come figura non prevista dal Codice e il "responsabile esterno" come "responsabile e basta" (potevano scriverlo da qualche parte, visto che scrivono già tanto, così avremmo fatto meglio e io non avrei scritto alcune sciocchezze in passato; purtroppo non mi sembrano abbiano intenzione di scriverlo neanche in futuro).
Non sono competente di regolamenti comunali. Quello proposto, a mio parere, manca completamente di regole in merito alle misure di sicurezza da adottare (si limita a parlare di sistema di autorizzazione e di sistema antincendio).
Troppa enfasi è ancora data al consenso come base legale per il trattamento. Oggi sappiamo che le basi legali sono di 6 tipi.
Si sono dimenticati i trattamenti relativi al personale del Comune. Certamente i dati dei cittadini sono importantissimi e devono costituire il punto di maggiore attenzione per i Comuni quando si parla di protezione dei dati personali, però non trovo corretto dimenticarsi completamente dei dati del personale.
Interpreta in modo bizzarro il ruolo degli "incaricati" secondo il Codice privacy, dicendo che sono "sub-responsabili del trattamento". Non posso condividere questa lettura. Mi pare, anzi, che non venga colta la possibilità di designare gli incaricati (ossia autorizzare le persone a trattare i dati personali) in modo adeguato alle esigenze di controllo (reale) e efficienza ma, anzi, promuova il "vecchio" metodo basato su lettera formale firmate e controfirmata.
Ancora più bizzarramente prevede che il Titolare possa delegare un responsabile a nominare il DPO ("alla designazione del Responsabile per la Protezione dei Dati (RPD), se a ciò demandato dal Titolare"). Altra lettura che non posso condividere.
Mi ha fatto notare Pierfrancesco Maistrello che viene suggerita la tenuta di più registri dei trattamenti. Ancora una volta non posso condividere questo approccio.
L'ultima parte del documento (da pagina 43 a pagina 78) è costituita dalla "Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali" del Garante privacy. Lettura sempre utile.
http://www.anci.lombardia.it/documenti/7355-regolamento%20ue%20privacy%20ok_def.pdf.
Può essere utile criticarlo, in modo da fare un ripasso di alcuni punti salienti del GDPR. Così potrò essere criticato anche io per quello che scrivo.
Innanzi tutto prima dice che "è definita la nuova categoria di dati personali", che sono i cosiddetti "dati sensibili di cui al precedente Codice Privacy". Poi tutto il quaderno fa riferimento ai "dati sensibili". Il GDPR usa l'espressione "categorie particolari di dati personali ai sensi dell'articolo 9". Anche io uso l'espressione "dati sensibili" perché più pratica, avendo cura, a inizio di documento, di specificare cosa sono e come li designa il GDPR.
I Titolari e i Responsabili dei trattamenti sono visti come persone fisiche (dice che il titolare è il "Sindaco o suo delegato" e i responsabili sono "Dirigenti/Quadri/Responsabili di U.O."), mentre il GDPR lascia intendere che si tratta di strutture organizzative (le "aziende"), mentre le responsabilità personali, tranne il caso di singoli professionisti, sono da gestire con le normali deleghe interne di ciascuna organizzazione e non sono regolamentate dal GDPR. Per la verità non avrebbero dovuto essere regolate neanche dal Codice privacy e questo sarebbe stato più chiaro se non si fosse tradotto "processor" (che anche in altri contesti è sempre visto come organizzazione non singola persona) con "responsabile" e se poi non avessimo insistito per lasciare in vita la traduzione inesatta. Questa interpretazione è stata data anche da dirigenti e funzionari del GDP in diversi incontri pubblici, dicendo che negli anni hanno sempre visto il "responsabile interno" come figura non prevista dal Codice e il "responsabile esterno" come "responsabile e basta" (potevano scriverlo da qualche parte, visto che scrivono già tanto, così avremmo fatto meglio e io non avrei scritto alcune sciocchezze in passato; purtroppo non mi sembrano abbiano intenzione di scriverlo neanche in futuro).
Non sono competente di regolamenti comunali. Quello proposto, a mio parere, manca completamente di regole in merito alle misure di sicurezza da adottare (si limita a parlare di sistema di autorizzazione e di sistema antincendio).
Troppa enfasi è ancora data al consenso come base legale per il trattamento. Oggi sappiamo che le basi legali sono di 6 tipi.
Si sono dimenticati i trattamenti relativi al personale del Comune. Certamente i dati dei cittadini sono importantissimi e devono costituire il punto di maggiore attenzione per i Comuni quando si parla di protezione dei dati personali, però non trovo corretto dimenticarsi completamente dei dati del personale.
Interpreta in modo bizzarro il ruolo degli "incaricati" secondo il Codice privacy, dicendo che sono "sub-responsabili del trattamento". Non posso condividere questa lettura. Mi pare, anzi, che non venga colta la possibilità di designare gli incaricati (ossia autorizzare le persone a trattare i dati personali) in modo adeguato alle esigenze di controllo (reale) e efficienza ma, anzi, promuova il "vecchio" metodo basato su lettera formale firmate e controfirmata.
Ancora più bizzarramente prevede che il Titolare possa delegare un responsabile a nominare il DPO ("alla designazione del Responsabile per la Protezione dei Dati (RPD), se a ciò demandato dal Titolare"). Altra lettura che non posso condividere.
Mi ha fatto notare Pierfrancesco Maistrello che viene suggerita la tenuta di più registri dei trattamenti. Ancora una volta non posso condividere questo approccio.
L'ultima parte del documento (da pagina 43 a pagina 78) è costituita dalla "Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali" del Garante privacy. Lettura sempre utile.
PS: Francesco Pizzetti e Luca Leone, su LinkedIn hanno
commentato dicendo che non bisognerebbe mai usare l'espressione "dati
sensibili". Personalmente non vedo ragione oltre la purezza formale. Ho
chiesto. Se avrò risposta, la diffonderò.
Libro bianco della cyber security in Italia
NOTA: l'edizione che ho letto, commentato e di cui ho fornito il link è quella del
2015. Me l'ha fatto notare Giancarlo Caroti. Mi scuso per l'errore. Mantengo comunque nel seguito il post originale (inutile nascondere i propri errori).
Franco Ferrari di DNV GL mi ha segnalato questo articolo dal titolo "Cybersecurity, ecco il Libro bianco (ma anche il Libro verde) sulla strategia italiana":
- https://www.corrierecomunicazioni.it/cyber-security/cybersecurity-libro-bianco-anche-libro-verde-sulla-strategia-italiana/.
Certo... l'autore sembra decisamente troppo entusiasta (sembra quasi abbia un debito di riconoscenza con qualcuno degli autori). E si dimentica di dare un link dove reperirlo. Eccolo qui:
- https://www.consorzio-cini.it/index.php/it/labcs-home/libro-bianco.
A me il link non funziona. Quindi l'ho trovato sul sito del Sole 24 Ore:
http://www.ilsole24ore.com/pdf2010/Editrice/ILSOLE24ORE/ILSOLE24ORE/Online/_Oggetti_Correlati/Documenti/Notizie/2015/11/CyberSecurity-Report.pdf.
L'ho letto rapidamente. Sembra ci siano dentro le "solite" (ma non per questo sbagliate o inattuali) idee e più un tono giornalistico che scientifico. Forse chi è più paziente di me se lo leggerà con attenzione e potrà segnalarci i punti più rilevanti (se già non evidenziati dall'articolo segnalato).
Franco Ferrari di DNV GL mi ha segnalato questo articolo dal titolo "Cybersecurity, ecco il Libro bianco (ma anche il Libro verde) sulla strategia italiana":
- https://www.corrierecomunicazioni.it/cyber-security/cybersecurity-libro-bianco-anche-libro-verde-sulla-strategia-italiana/.
Certo... l'autore sembra decisamente troppo entusiasta (sembra quasi abbia un debito di riconoscenza con qualcuno degli autori). E si dimentica di dare un link dove reperirlo. Eccolo qui:
- https://www.consorzio-cini.it/index.php/it/labcs-home/libro-bianco.
A me il link non funziona. Quindi l'ho trovato sul sito del Sole 24 Ore:
http://www.ilsole24ore.com/pdf2010/Editrice/ILSOLE24ORE/ILSOLE24ORE/Online/_Oggetti_Correlati/Documenti/Notizie/2015/11/CyberSecurity-Report.pdf.
L'ho letto rapidamente. Sembra ci siano dentro le "solite" (ma non per questo sbagliate o inattuali) idee e più un tono giornalistico che scientifico. Forse chi è più paziente di me se lo leggerà con attenzione e potrà segnalarci i punti più rilevanti (se già non evidenziati dall'articolo segnalato).
Servizio Serc, la forse futura PEC
Franco Ferrari del DNV GL mi ha segnalato questo articolo che presenta il SERC (Servizio elettronico di recapito certificato):
- https://www.agendadigitale.eu/cittadinanza-digitale/servizio-elettronico-recapito-certificato-cose-perche-pensionare-la-pec/.
Forse un giorno questo servizio, previsto dal Regolamento eIDAS, sostituirà la PEC. Per intanto: gli standard tecnici saranno pronti (forse) per febbraio 2019. Ma credo sia giusto informarsi, almeno un po', di cosa si tratta.
- https://www.agendadigitale.eu/cittadinanza-digitale/servizio-elettronico-recapito-certificato-cose-perche-pensionare-la-pec/.
Forse un giorno questo servizio, previsto dal Regolamento eIDAS, sostituirà la PEC. Per intanto: gli standard tecnici saranno pronti (forse) per febbraio 2019. Ma credo sia giusto informarsi, almeno un po', di cosa si tratta.
mercoledì 31 gennaio 2018
ISO 45001 sulla sicurezza dei lavoratori
Segnalo che è stata approvata e sarà tra poco disponibile la ISO 45001 dal titolo "Occupational health and safety management systems -- Requirements with guidance for use":
- https://www.iso.org/standard/63787.html.
Io non mi occupo di questa materia, ma credo sia importante sapere dell'esistenza di questo standard, visto che questa materia si interseca con la sicurezza delle informazioni.
- https://www.iso.org/standard/63787.html.
Io non mi occupo di questa materia, ma credo sia importante sapere dell'esistenza di questo standard, visto che questa materia si interseca con la sicurezza delle informazioni.
lunedì 29 gennaio 2018
Dati sensibili e cifratura
La notizia me l'ha data per primo Luca De Grazia, ma confesso che non ci avevo capito molto.
L'ho ritrovata su Altalex e quindi ho cercato di capirla meglio:
- http://www.altalex.com/documents/news/2018/01/09/privacy-banca-dati-sensibili.
Una persona si lamenta perché l'accredito sul suo estratto di conto corrente riporta nella causale la motivazione (il numero di Legge, che però riguarda due specifici casi sanitari). A fronte di questo, la Cassazione ha deciso che:
a) la Regione Campania (che ha fatto l'accredito) deve cifrare i dati, in quanto è previsto che i soggetti pubblici debbano cifrare i dati pesonali sanitari dal D. Lgs. 196 del 2003;
b) in forza di questo, anche la banca deve cifrare i dati personali sanitari.
A mio parere era già inappropriato chiedere agli enti pubblici di cifrare i dati personali sanitari, senza rendersi conto degli impatti di tale misura, la sua sostanziale inutilità e prevedendo differenza tra il pubblico e il privato.
Però qui i giudici si sono ritrovati davanti ad un problema, visto che un'altra normativa (un Regio Decreto del 1924!) impone di specificare nei mandati di pagamento la precisa indicazione dell'oggetto di spesa. Ma allora, se è richiesto di cifrarla, come sarebbe riportata nell'estratto conto del destinatario?
Mi rifiuto di studiare l' art. 409 del R.D. n. 827 del 1924, ma credo proprio che un'altra soluzione si renderà necessaria. O forse no?
L'ho ritrovata su Altalex e quindi ho cercato di capirla meglio:
- http://www.altalex.com/documents/news/2018/01/09/privacy-banca-dati-sensibili.
Una persona si lamenta perché l'accredito sul suo estratto di conto corrente riporta nella causale la motivazione (il numero di Legge, che però riguarda due specifici casi sanitari). A fronte di questo, la Cassazione ha deciso che:
a) la Regione Campania (che ha fatto l'accredito) deve cifrare i dati, in quanto è previsto che i soggetti pubblici debbano cifrare i dati pesonali sanitari dal D. Lgs. 196 del 2003;
b) in forza di questo, anche la banca deve cifrare i dati personali sanitari.
A mio parere era già inappropriato chiedere agli enti pubblici di cifrare i dati personali sanitari, senza rendersi conto degli impatti di tale misura, la sua sostanziale inutilità e prevedendo differenza tra il pubblico e il privato.
Però qui i giudici si sono ritrovati davanti ad un problema, visto che un'altra normativa (un Regio Decreto del 1924!) impone di specificare nei mandati di pagamento la precisa indicazione dell'oggetto di spesa. Ma allora, se è richiesto di cifrarla, come sarebbe riportata nell'estratto conto del destinatario?
Mi rifiuto di studiare l' art. 409 del R.D. n. 827 del 1924, ma credo proprio che un'altra soluzione si renderà necessaria. O forse no?
domenica 28 gennaio 2018
Articolo su DR per piccole e medie imprese
Tom Keller, autore di questo articolo dal titolo "How to Disaster-Proof Your Business IT", mi ha contattato per presentarmelo:
- https://digital.com/blog/disaster-proof/.
Nulla di eccezionale, ma tutto corretto e, soprattutto, con il tono giusto: tecnico senza tragedie o esaltazioni.
Alla fine dell'articolo ci sono dei link. Quello più interessante è quello verso www.smallbusinesscomputing.com, che a sua volta presenta dei link a soluzioni di mercato.
Attenzione però ad una cosa: noi europei dobbiamo, preferibilmente e per evitare le complicazioni del GDPR, usare server in EU e non tutte le soluzioni proposte garantiscono questo aspetto.
- https://digital.com/blog/disaster-proof/.
Nulla di eccezionale, ma tutto corretto e, soprattutto, con il tono giusto: tecnico senza tragedie o esaltazioni.
Alla fine dell'articolo ci sono dei link. Quello più interessante è quello verso www.smallbusinesscomputing.com, che a sua volta presenta dei link a soluzioni di mercato.
Attenzione però ad una cosa: noi europei dobbiamo, preferibilmente e per evitare le complicazioni del GDPR, usare server in EU e non tutte le soluzioni proposte garantiscono questo aspetto.
lunedì 22 gennaio 2018
Sviluppo sicuro delle applicazioni: il processo
Segnalo il mio ultimo articolo su ICT Security dal titolo "Sviluppo sicuro delle applicazioni: il processo":
- https://www.ictsecuritymagazine.com/articoli/sviluppo-sicuro-delle-applicazioni-processo/.
Ne approfitto per segnalare che sono a corto di idee. Se qualcuno ha degli argomenti da suggerirmi, lo invito a farlo.
- https://www.ictsecuritymagazine.com/articoli/sviluppo-sicuro-delle-applicazioni-processo/.
Ne approfitto per segnalare che sono a corto di idee. Se qualcuno ha degli argomenti da suggerirmi, lo invito a farlo.
mercoledì 17 gennaio 2018
Nuovo Cad (e conservazione) - Riferimenti corretti
In un precedente post avevo segnalato gli aggiornamenti al CAD, senza però fornire i riferimenti normativi esatti:
- http://blog.cesaregallotti.it/2018/01/nuovo-cad-e-conservazione.html.
I riferimenti normativi mi sono stati forniti da Luca De Grazie e Franco Ruggieri, che ringrazio. Il CAD (D.Lgs. 82 del 2005) è stato modificato, con decorrenza 18 gennaio 2018, dal D. Lgs. 217 del 2017.
Il nuovo CAD è disponibile su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2005-03-07;82!vig=
NB: il link diretto non sembra funzionare; è necessario copiarlo e incollarlo.
- http://blog.cesaregallotti.it/2018/01/nuovo-cad-e-conservazione.html.
I riferimenti normativi mi sono stati forniti da Luca De Grazie e Franco Ruggieri, che ringrazio. Il CAD (D.Lgs. 82 del 2005) è stato modificato, con decorrenza 18 gennaio 2018, dal D. Lgs. 217 del 2017.
Il nuovo CAD è disponibile su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2005-03-07;82!vig=
NB: il link diretto non sembra funzionare; è necessario copiarlo e incollarlo.
Linee guida AgID sullo sviluppo sicuro
Franco Ferrari di DNV GL mi ha segnalato la pubblicazione, da parte di AgID, delle "Linee guida per lo sviluppo del software sicuro":
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/cert-pa/linee-guida-sviluppo-sicuro.
Le ho sfogliate rapidamente e mi sembrano un lavoro di "compilazione", ossia di raccolta di varie metodologie, pratiche e linee guida. Si rimane un po' storditi dalla mole di materiale.
A questo si aggiunga che molte indicazioni, sopratuttto quelle di processo, sono quelle classiche da teorici: belle, rigorose e... estremamente onerose.
Se però si ha la pazienza di scorrerle, si trovano molte cose interessanti (a me hanno colpito soprattutto i paragrafi con le tecniche di codifica per i singoli linguaggi). Si aggiunga che non mi pare siano disponibili lavori simili e quindi questo è utilissimo per quanto vogliono studiare lo sviluppo sicuro oltre le Top 10 di OWASP.
- http://www.agid.gov.it/agenda-digitale/infrastrutture-architetture/cert-pa/linee-guida-sviluppo-sicuro.
Le ho sfogliate rapidamente e mi sembrano un lavoro di "compilazione", ossia di raccolta di varie metodologie, pratiche e linee guida. Si rimane un po' storditi dalla mole di materiale.
A questo si aggiunga che molte indicazioni, sopratuttto quelle di processo, sono quelle classiche da teorici: belle, rigorose e... estremamente onerose.
Se però si ha la pazienza di scorrerle, si trovano molte cose interessanti (a me hanno colpito soprattutto i paragrafi con le tecniche di codifica per i singoli linguaggi). Si aggiunga che non mi pare siano disponibili lavori simili e quindi questo è utilissimo per quanto vogliono studiare lo sviluppo sicuro oltre le Top 10 di OWASP.
Le basi della digital forensics (per la GdF ma non solo)
Segnalo questo articolo di Paolo Dal Checco dal titolo "Le basi della digital forensics nella circolare 1/2018 della Guardia di Finanza":
- https://www.ictsecuritymagazine.com/articoli/le-basi-della-digital-forensics-nella-circolare-12018-della-guardia-finanza/.
Penso sia un ottimo articolo di introduzione (e anche di approfondimento) sulla digital forensics, che prende spunto da una circolare della GdF.
- https://www.ictsecuritymagazine.com/articoli/le-basi-della-digital-forensics-nella-circolare-12018-della-guardia-finanza/.
Penso sia un ottimo articolo di introduzione (e anche di approfondimento) sulla digital forensics, che prende spunto da una circolare della GdF.
lunedì 15 gennaio 2018
Ritorna la notifica al Garante (nella Legge di Bilancio)
La Legge di Bilancio riporta anche delle indicazioni per la privacy. Faccio riferimento all'articolo 1, commi dal 1020 al 1025 (il comma 1162 fornisce ulteriori fondi al Garante).
La Legge 205 del 2017 si trova su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2017-12-27;205.
Riassumento:
- si ripetono cose già note o comunque prevedibili sul ruolo del Garante (monitoraggio dell'applicazione del GDPR, verifiche, predisposizione di modelli di informativa);
- il Garante dovrà vigilare sulla "presenza di adeguate infrastrutture per l'interoperabilità dei formati con cui i dati sono messi a disposizione dei soggetti interessati, sia ai fini della portabilità dei dati" e quindi spero che capiremo meglio l'estensione del concetto di "portabilità";
- il Garante dovrà "definire linee-guida o buone prassi in materia di trattamento dei dati personali fondato sull'interesse legittimo del titolare"; sicuramente queste saranno utili anche per chi tratta i dati su altri fondamenti legali.
La cosa più inquietante si trova ai commi 2022 e seguenti: "Il titolare, ove effettui un trattamento fondato sull'interesse legittimo che prevede l'uso di nuove tecnologie o di strumenti automatizzati, deve darne tempestiva comunicazione al Garante per la protezione dei dati personali" usando un modello che il Garante metterà a disposizione presumibilmente entro fine febbraio 2018. In caso di silenzio, dopo 15 giorni, il titolare potrà procedere al trattamento, ma il Garante potrà comunque interromperlo (per un massimo di 30 giorni) per chiedere "ulteriori informazioni e integrazioni" o bloccarlo completamente "qualora ritenga che dal trattamento derivi comunque una lesione dei diritti e delle libertà del soggetto interessato"
Perché dico che è inquietante? Perché il GDPR, intenzionalmente, propone l'abrogazione delle "notifiche" al Garante, se non a seguito di PIA (privacy impact assessment) con risultati "negativi". Questo rimette nelle mani del titolare la valutazione della pericolosità dei propri trattamenti, contrariamente a quanto previsto dal Dlgs 196 che richiede, per tutti i trattamenti, la notifica al Garante. Sembrava un passo in avanti, ma il legislatore italiano si è dimostrato ancora una volta troppo paranoico e ha voluto aumentare le normative applicabili e ha voluto reintrodurre un simpatico strumento (la notifica) che speravamo superato.
Da notare un paio di cose:
- la notifica (anche se non si chiama più così) si applica solo ai trattamenti fondati "sull'interesse legittimo", ossia su una delle 6 opzioni su cui fondare un trattamento (legal ground);
- i trattamenti da notificare sono quelli che "prevedono l'uso di nuove tecnologie o di strumenti automatizzati"; ma oggi quasi tutti i trattamenti prevedono l'uso di strumenti automatizzati (notare la "o" disgiuntiva) e quindi la notifica andrà fatta per tutti i trattamenti fondati sull'interesse legittimo del titolare e quindi, per esempio, quelli per protezione aziendale (tutte le attività di videosorveglianza e di log degli strumenti informatici) e per il controllo qualità (quindi tutte le attività di archiviazione pratiche di qualsiasi ufficio, con riportato il nome di chi le ha redatte e approvate).
Sicuramente c'è qualche errore e sarà pubblicata una delle molte "interpretazioni". Però mi pare che l'errore sia grande. A meno che il Garante non voglia crearsi un registro delle imprese italiane.
Grazie a Paolo Calvi e Pietro Calorio degli Idraulici della privacy per la segnalazione.
Paolo Calvi rincara commentando: Così si scardina lo spirito del GDPR, basato sulla responsabilizzazione del titolare, che per trattamenti che rischiano di ledere diritti e libertà effettua una DPIA, e solo nel caso non riesca a mitigare i rischi si rivolge al Garante con la consultazione prevista dall'art.36. Qui invece sembra si voglia tornare al vecchio meccanismo della notificazione o richiesta di autorizzazione.
La Legge 205 del 2017 si trova su Normattiva:
- www.normattiva.it/uri-res/N2Ls?urn:nir:stato:legge:2017-12-27;205.
Riassumento:
- si ripetono cose già note o comunque prevedibili sul ruolo del Garante (monitoraggio dell'applicazione del GDPR, verifiche, predisposizione di modelli di informativa);
- il Garante dovrà vigilare sulla "presenza di adeguate infrastrutture per l'interoperabilità dei formati con cui i dati sono messi a disposizione dei soggetti interessati, sia ai fini della portabilità dei dati" e quindi spero che capiremo meglio l'estensione del concetto di "portabilità";
- il Garante dovrà "definire linee-guida o buone prassi in materia di trattamento dei dati personali fondato sull'interesse legittimo del titolare"; sicuramente queste saranno utili anche per chi tratta i dati su altri fondamenti legali.
La cosa più inquietante si trova ai commi 2022 e seguenti: "Il titolare, ove effettui un trattamento fondato sull'interesse legittimo che prevede l'uso di nuove tecnologie o di strumenti automatizzati, deve darne tempestiva comunicazione al Garante per la protezione dei dati personali" usando un modello che il Garante metterà a disposizione presumibilmente entro fine febbraio 2018. In caso di silenzio, dopo 15 giorni, il titolare potrà procedere al trattamento, ma il Garante potrà comunque interromperlo (per un massimo di 30 giorni) per chiedere "ulteriori informazioni e integrazioni" o bloccarlo completamente "qualora ritenga che dal trattamento derivi comunque una lesione dei diritti e delle libertà del soggetto interessato"
Perché dico che è inquietante? Perché il GDPR, intenzionalmente, propone l'abrogazione delle "notifiche" al Garante, se non a seguito di PIA (privacy impact assessment) con risultati "negativi". Questo rimette nelle mani del titolare la valutazione della pericolosità dei propri trattamenti, contrariamente a quanto previsto dal Dlgs 196 che richiede, per tutti i trattamenti, la notifica al Garante. Sembrava un passo in avanti, ma il legislatore italiano si è dimostrato ancora una volta troppo paranoico e ha voluto aumentare le normative applicabili e ha voluto reintrodurre un simpatico strumento (la notifica) che speravamo superato.
Da notare un paio di cose:
- la notifica (anche se non si chiama più così) si applica solo ai trattamenti fondati "sull'interesse legittimo", ossia su una delle 6 opzioni su cui fondare un trattamento (legal ground);
- i trattamenti da notificare sono quelli che "prevedono l'uso di nuove tecnologie o di strumenti automatizzati"; ma oggi quasi tutti i trattamenti prevedono l'uso di strumenti automatizzati (notare la "o" disgiuntiva) e quindi la notifica andrà fatta per tutti i trattamenti fondati sull'interesse legittimo del titolare e quindi, per esempio, quelli per protezione aziendale (tutte le attività di videosorveglianza e di log degli strumenti informatici) e per il controllo qualità (quindi tutte le attività di archiviazione pratiche di qualsiasi ufficio, con riportato il nome di chi le ha redatte e approvate).
Sicuramente c'è qualche errore e sarà pubblicata una delle molte "interpretazioni". Però mi pare che l'errore sia grande. A meno che il Garante non voglia crearsi un registro delle imprese italiane.
Grazie a Paolo Calvi e Pietro Calorio degli Idraulici della privacy per la segnalazione.
Paolo Calvi rincara commentando: Così si scardina lo spirito del GDPR, basato sulla responsabilizzazione del titolare, che per trattamenti che rischiano di ledere diritti e libertà effettua una DPIA, e solo nel caso non riesca a mitigare i rischi si rivolge al Garante con la consultazione prevista dall'art.36. Qui invece sembra si voglia tornare al vecchio meccanismo della notificazione o richiesta di autorizzazione.
Nuova privacy per telemarketing
È stata approvata la nuova normativa sulla privcacy in ambito telemarketing. Non ho ancora il numero della norma e pertanto, non avendola ancora letta, evito commenti.
Ivo Trotti di Kantar Italia mi ha segnalato questo articolo da Repubblica:
- http://www.repubblica.it/economia/diritti-e-consumi/diritti-consumatori/2017/12/22/news/telemarketing_e_legge_l_obbligo_di_far_sapere_che_la_telefonata_e_commerciale-184917480/.
Roberto Gallotti (che è anche mio papà) mi ha segnalato questo dal Il Sole 24 Ore:
- http://www.ilsole24ore.com/art/notizie/2018-01-12/privacy-piu-facile-fermare-telefonate-indesiderate-214237.shtml.
Ivo Trotti di Kantar Italia mi ha segnalato questo articolo da Repubblica:
- http://www.repubblica.it/economia/diritti-e-consumi/diritti-consumatori/2017/12/22/news/telemarketing_e_legge_l_obbligo_di_far_sapere_che_la_telefonata_e_commerciale-184917480/.
Roberto Gallotti (che è anche mio papà) mi ha segnalato questo dal Il Sole 24 Ore:
- http://www.ilsole24ore.com/art/notizie/2018-01-12/privacy-piu-facile-fermare-telefonate-indesiderate-214237.shtml.
Nuovo Cad (e conservazione)
A fine 2017 è stata pubblicato un aggiornamento al Codice per l'amministrazione digitale (CAD), che presenta interessanti novità.
Purtroppo non ho ancora disponibile il numero del Decreto (e non capisco neanche se si tratta di un DL o un DLgs) e su Normattiva non vedo il testo consolidato (l'ultima modifica è del novembre 2016).
Per chi vuole portarsi avanti con il lavoro, Franco Ferrari di DNV GL mi ha segnalato due articoli (un terzo lo segnalo qui, ma è citato da uno dei due).
Il primo ha titolo "Conservazione digitale, cosa cambia con il correttivo Cad":
- https://www.agendadigitale.eu/documenti/conservazione-digitale-cosa-cambia-con-il-correttivo-cad/.
Lo trovo molto interessante perché sintetizza efficacemente il processo di accreditamento dei conservatori e i problemi ad esso connessi.
Tra i problemi avrei aggiunto anche considerazioni sulla "perfettibilità" delle liste di riscontro predisposte da AgID e sull'eccessiva onerosità del processo di verifica. Lungi da me volere un processo che permette ai candidati inadeguati di passare la verifica, ma quello attuale è decisamente eccessivo, dimostrando un eccesso di normazione che diventa, in alcuni casi, inutile.
Gli altri due articoli (titoli "Correttivo CAD, le cinque novità principali" e "Il CAD numero 6 è in Gazzetta Ufficiale, che succede ora") contengono informazioni utili:
- https://www.agendadigitale.eu/cultura-digitale/correttivo-cad-le-cinque-novita-principali/;
- https://www.agendadigitale.eu/cittadinanza-digitale/il-cad-numero-6-e-in-gazzetta-ufficiale-che-succede-ora/.
Purtroppo non ho ancora disponibile il numero del Decreto (e non capisco neanche se si tratta di un DL o un DLgs) e su Normattiva non vedo il testo consolidato (l'ultima modifica è del novembre 2016).
Per chi vuole portarsi avanti con il lavoro, Franco Ferrari di DNV GL mi ha segnalato due articoli (un terzo lo segnalo qui, ma è citato da uno dei due).
Il primo ha titolo "Conservazione digitale, cosa cambia con il correttivo Cad":
- https://www.agendadigitale.eu/documenti/conservazione-digitale-cosa-cambia-con-il-correttivo-cad/.
Lo trovo molto interessante perché sintetizza efficacemente il processo di accreditamento dei conservatori e i problemi ad esso connessi.
Tra i problemi avrei aggiunto anche considerazioni sulla "perfettibilità" delle liste di riscontro predisposte da AgID e sull'eccessiva onerosità del processo di verifica. Lungi da me volere un processo che permette ai candidati inadeguati di passare la verifica, ma quello attuale è decisamente eccessivo, dimostrando un eccesso di normazione che diventa, in alcuni casi, inutile.
Gli altri due articoli (titoli "Correttivo CAD, le cinque novità principali" e "Il CAD numero 6 è in Gazzetta Ufficiale, che succede ora") contengono informazioni utili:
- https://www.agendadigitale.eu/cultura-digitale/correttivo-cad-le-cinque-novita-principali/;
- https://www.agendadigitale.eu/cittadinanza-digitale/il-cad-numero-6-e-in-gazzetta-ufficiale-che-succede-ora/.
VERA per privacy
Ho pubblicato sul mio sito il VERA per privacy, ossia un foglio di calcolo (Excel) per la valutazione del rischio relativo alla privacy:
- http://www.cesaregallotti.it/Pubblicazioni.html.
Potrebbe essere usata per dimostrare l'adeguatezza delle misure di sicurezza attuate e per realizzare una PIA. Si basa su VERA (Very easy risk assessment), versione 4.4.
Attenzione che questa versione, in italiano, è in versione alfa. Vi prego di inviarmi suggerimenti per il suo miglioramento.
Rispetto al "normale" VERA 4.4:
Nota: ho apportato qualche piccola correzione ai VERA 4.4 già pubblicati. Essendo pigro, non ho cambiato la versione dei file.
- http://www.cesaregallotti.it/Pubblicazioni.html.
Potrebbe essere usata per dimostrare l'adeguatezza delle misure di sicurezza attuate e per realizzare una PIA. Si basa su VERA (Very easy risk assessment), versione 4.4.
Attenzione che questa versione, in italiano, è in versione alfa. Vi prego di inviarmi suggerimenti per il suo miglioramento.
Rispetto al "normale" VERA 4.4:
- aggiornato un poco il foglio di censimento delle informazioni e dei trattamenti;
- aggiunte, nei criteri di valutazione delle informazioni (o dei trattamenti), considerazioni in merito agli impatti sugli interessati (in precedenza si consideravano solo gli impatti sull'organizzazione);
- tolte le minacce senza impatto sulla privacy;
- ridotto il numero di controlli di sicurezza (ossia privacy) a 62 (il VERA 27001 + privacy ne aveva circa 140);
- inserite note (molto sintetiche) per l'interpretazione dei controlli;
- corretto qualche refuso.
Nota: ho apportato qualche piccola correzione ai VERA 4.4 già pubblicati. Essendo pigro, non ho cambiato la versione dei file.
lunedì 8 gennaio 2018
Pubblicata la nuova versione della SP 800-160 (Systems Security Engineering)
Il NIST ha pubblicato la nuova versione della SP 800-160 dal titolo "Systems Security Engineering":
- https://csrc.nist.gov/publications/detail/sp/800-160/final.
Confesso di non averla letta (è un malloppo di 160 pagine), ma ne avevo letto le versioni precedenti e non riesco a individuare i cambiamenti in questa (tranne gli errata, riportati in tabella). Sicuramente è un documento importante per chiunque si occupa di sicurezza.
- https://csrc.nist.gov/publications/detail/sp/800-160/final.
Confesso di non averla letta (è un malloppo di 160 pagine), ma ne avevo letto le versioni precedenti e non riesco a individuare i cambiamenti in questa (tranne gli errata, riportati in tabella). Sicuramente è un documento importante per chiunque si occupa di sicurezza.
domenica 7 gennaio 2018
Spectre e Meltdown
La vulnerabilità di inizio 2018 in realtà è doppia e si chiama Spectre e Meltdown.
Per ora il migliore articolo tecnico l'ho trovato sul National Cyber Security Centre (del GCHQ):
- https://www.ncsc.gov.uk/guidance/meltdown-and-spectre-guidance.
Trovo utile ricordare che:
- sono vulnerabili tutti i dispositivi e quindi è necessario aggiornare quelli personali (pc e smartphone), i server, gli apparati di rete (router, firewall, eccetera);
- i server includono gli hypervisor e le guest machine; in altre parole, chi ha i servizi "in IaaS sul cloud" non può ignorare il problema (questo conferma ancora una volta che chi usa servizi cloud deve comunque mantenere forti competenze al proprio interno);
- anche i compilatori vanno aggiornati e, dopo, tutto quanto compilato va ricompilato (questa verifica di sicurezza è fatta raramente, credo, anche perché oggi sono pochi i software compilati; ciò non ostante questo punto andrebbe meglio valutato in futuro).
La questione è esplosa su tutti i media. Passa un po' inosservato il fatto che "non risultano siano stati condotti con successo attacchi che sfruttano queste vulnerabilità". Quindi alcuni suggeriscono di affrontare queste vulnerabilità, ma senza entrare in "panic mode".
Per ora il migliore articolo tecnico l'ho trovato sul National Cyber Security Centre (del GCHQ):
- https://www.ncsc.gov.uk/guidance/meltdown-and-spectre-guidance.
Trovo utile ricordare che:
- sono vulnerabili tutti i dispositivi e quindi è necessario aggiornare quelli personali (pc e smartphone), i server, gli apparati di rete (router, firewall, eccetera);
- i server includono gli hypervisor e le guest machine; in altre parole, chi ha i servizi "in IaaS sul cloud" non può ignorare il problema (questo conferma ancora una volta che chi usa servizi cloud deve comunque mantenere forti competenze al proprio interno);
- anche i compilatori vanno aggiornati e, dopo, tutto quanto compilato va ricompilato (questa verifica di sicurezza è fatta raramente, credo, anche perché oggi sono pochi i software compilati; ciò non ostante questo punto andrebbe meglio valutato in futuro).
La questione è esplosa su tutti i media. Passa un po' inosservato il fatto che "non risultano siano stati condotti con successo attacchi che sfruttano queste vulnerabilità". Quindi alcuni suggeriscono di affrontare queste vulnerabilità, ma senza entrare in "panic mode".
martedì 2 gennaio 2018
Tutelato il dipendente che segnala illeciti
Segnalo questa novità dal sito di Altalex: "Whistleblowing, in vigore le nuove norme: tutelato il dipendente che segnala illeciti":
- http://www.altalex.com/documents/leggi/2017/11/16/whistleblowing.
Copio e incollo: "il dipendente che segnala al responsabile della prevenzione della corruzione dell'ente o all'Autorità nazionale anticorruzione o ancora all'autorità giudiziaria ordinaria o contabile le condotte illecite o di abuso di cui sia venuto a conoscenza in ragione del suo rapporto di lavoro, non può essere - per motivi collegati alla segnalazione - soggetto a sanzioni, demansionato, licenziato, trasferito o sottoposto a altre misure organizzative che abbiano un effetto negativo sulle condizioni di lavoro".
Inoltre: "Le nuove disposizioni valgono anche per chi lavora in imprese che forniscono beni e servizi alla Pa".
- http://www.altalex.com/documents/leggi/2017/11/16/whistleblowing.
Copio e incollo: "il dipendente che segnala al responsabile della prevenzione della corruzione dell'ente o all'Autorità nazionale anticorruzione o ancora all'autorità giudiziaria ordinaria o contabile le condotte illecite o di abuso di cui sia venuto a conoscenza in ragione del suo rapporto di lavoro, non può essere - per motivi collegati alla segnalazione - soggetto a sanzioni, demansionato, licenziato, trasferito o sottoposto a altre misure organizzative che abbiano un effetto negativo sulle condizioni di lavoro".
Inoltre: "Le nuove disposizioni valgono anche per chi lavora in imprese che forniscono beni e servizi alla Pa".
Iscriviti a:
Post (Atom)