lunedì 12 febbraio 2024

Gli uomini possono fare tutto (feb. 2024)

Il mese scorso non avevo scritto questa rubrica. Me ne scuso.

Questo mese pensavo inizialmente di scrivere in poche righe che avevo rinunciato a quasi tutto l'incontro annuale degli Idraulici della Privacy (meno male che era a Milano!) per accompagnare i bambini alle loro varie attività.

Invece mi è successo questo. Inizio le attività annuali presso un cliente e organizzo le interviste. Il referente del cliente mi segnala che la responsabile di un'area conosciuta l'anno scorso è in uscita perché "è tornata dalla maternità e tutte le donne quando tornano dalla maternità hanno pretese". Io non reagisco. Sicuramente avrei dovuto dire che non è opportuno generalizzare.

Su tutto il resto sentivo che c'era qualcosa che non andava, ma cosa? Avrei dovuto dire che non si tratta di pretese, ma di giusti diritti? Ma io non sapevo niente delle richieste della persona.

Allora ho pensato che una donna va in maternità e solitamente si assenta per un anno o un anno e mezzo. Poi torna e non sempre ha tantissima voglia di tornare in ufficio, con la strada da fare, i colleghi non sempre splendidi, i margini di libertà minori. Tanti di noi, in effetti, l'hanno sperimentato dopo la pandemia. Forse voleva fare smart working, non previsto dall'azienda. E quindi, in effetti, la richiesta non era così scontata.

Forse l'azienda, per l'anno o più di assenza, ha incaricato un'altra persona. Poi torna la titolare e cosa fare con la sostituta? In una piccola o media impresa c'è poco da fare: o la degradi o cerchi di suddividere le responsabilità. Come fai, sbagli.

Insomma, la situazione era sgradevole, ma io non sapevo perché. E forse l'unico motivo è che io sono un maschio che quindi non sono mai stato costretto ad affrontare una situazione così.

Manuale VERA

Ho scritto una prima bozza di manuale del VERA, il mio foglio Excel per valutare il rischio.

Chi volesse correggere le bozze (e indicare mancanze, imprecisioni, cose incomprensibili, eccetera), mi scriva privatamente.

Sono anni che mi chiedono un manuale e io non ho mai voluto scriverlo per pigrizia. Vito Losacco, amico e collega e concorrente, è stato l'ultimo a chiedermelo e questa volta non sono riuscito a dire di no. Spero solo di non aver peggiorato la situazione.

Garante privacy e conservazione email e metadati

Il Garante della privacy ha pubblicato il Provvedimento - Documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9978728.

Esso si affianca alle antiche, ma sempre applicabili, "Linee guida del Garante per posta elettronica e Internet" del 2007.

Ringrazio Glauco Rampogna (Idraulico della privacy e molto altro) per avermi inviato la segnalazione precisa.

Se ho capito bene, il riassunto finale è: email e metadati (quindi anche i log) vanno conservati al più per 7 giorni dal datore di lavoro.

Nel caso in cui il datore di lavoro usi servizi email in cloud (Microsoft 365, Google e simili) e questi non permettono di configurare i parametri come prescritto, è necessario accordarsi con i sindacati o l'Ispettorato nazionale del lavoro, secondo quanto prescritto dall'articolo 4 della Legge 300 del 1970 (Statuto dei lavoratori). In alternativa, bisogna dedurre che, fino a quando il fornitore non metta a disposizione configurazioni allineate o in mancanza di accordo con i sindacati, bisognerebbe sospendere l'uso dell'email (opzione ovviamente non percorribile in tempi brevi).

Questo, penso, sia necessario anche quando il servizio email non è propriamente in cloud, ma comunque gestito da un fornitore esterno. C'è poi il problema (come ricorda Christian Bernieri, altro Idraulico della privacy) delle email di Gruppo, gestite da una Casa madre estera.

Christian Bernieri ha scritto un lungo articolo in merito qui: https://bernieri.blogspot.com/2024/02/chi-vusa-puse-la-vaca-le-sua.html.

Rimangono sempre in vigore gli obblighi di informativa verso i lavoratori e, se necessario, di valutazione d'impatto (DPIA).

Sto ragionando sul fatto che spesso è necessario mantenere i log per controllare se viene data risposta alle email (questo anche nella Pubblica amministrazione). Io posso pensare che per le caselle "d'ufficio", non si debbano applicare i 7 giorni.

domenica 11 febbraio 2024

EN 17740:2023 sui profili professionali privacy

A ottobre 2023 è stata pubblicata la EN 17740:2023 "Requirements for professional profiles related to personal data processing and protection": https://store.uni.com/en-17740-2023.

Essa è la traduzione della  UNI 11697:2017 "Attività professionali non regolamentate - Profili professionali relativi al trattamento e alla protezione dei dati personali - Requisiti di conoscenza, abilità e competenza".

A me sembrano norme un po' troppo corpose (ossia, le caratteristiche di DPO, privacy manager, specialista privacy e auditor privacy mi sembrano troppo numerose e forse eccessive). Però forse mi sbaglio io.

sabato 10 febbraio 2024

Atlante dell'Infanzia (a rischio) - Tempi Digitali

Segnalo il XIV Atlante dell'Infanzia (a rischio) - Tempi Digitali di Save the children: https://www.savethechildren.it/cosa-facciamo/pubblicazioni/14-atlante-dell-infanzia-a-rischio-tempi-digitali.

Notoriamente, in questo periodo mi sto occupando, anche perché coinvolto personalmente, del rapporto tra digitale e minori. Questa pubblicazione è forse troppo ricca (ammetto di averla solo sfogliata), ma riporta tante cose interessanti.

Nota divertente: è stato suggerito a me e ad altri genitori da un signore che avevamo involontariamente circondato al bar dopo aver condotto i bambini a scuola. Ci aveva sentito parlare del rapporto con il digitale, ovviamente.

lunedì 5 febbraio 2024

Sul cambio delle password

Qualche tempo fa, nel 2019, avevo segnalato che NIST e Microsoft non ritenevano più necessario il cambio periodico delle password perché siano sicure: https://blog.cesaregallotti.it/2019/04/microsoft-e-il-cambio-delle-password.html.

Avevo espresso qualche perplessità sul fatto che la giustificazione non considerava che, in ambiente lavorativo, alcuni si scambiano le password e il cambio periodico permette di tornare a una situazione più sicura. In generale, però, la mia esperienza mi ha fatto cogliere favorevolmente questo approccio.

Ne ho discusso con Stefano Ramacciotti che invece sostiene l'opportunità di cambiare periodicamente le password. Almeno una volta all'anno.

Stefano dice che il NIST non cita le ricerche su cui ha fondato questo approccio. Anzi, mi segnala questo articolo che segnala questa carenza e approfondisce perché è opportuno cambiare le password almeno una volta all'anno (quelle per uso personale) o più spesso (in ambito lavorativo): https://www.linkedin.com/pulse/why-passwords-must-periodically-changed-roger-grimes/.

Stefano mi dice che "il considerando 49 della recente NIS 2, che dovrà essere recepita entro il 18.10.2024, riporta il cambio delle password come misura di cyber hygiene", o anche che la PCI DSS V 4.0 del 2022 prevede il cambio ogni 90 gg".

Conviene poi sul fatto che oggi, con le tecniche di salting, i tempi per compromettere le password sono abbastanza lunghi, ma non abbastanza da non richiedere un cambio periodico delle password ("un attaccante che avesse fatto il dump del SAM delle password di Windows o di /etc/shadow su Linux avrebbe prima o poi acquisito la password").

Sui tempi di compromissione delle password, poi, mi segnala un altro articolo, che contesta le tabelle che spesso si vedono in giro (quelle che dicono che password di meno di 8 caratteri si possono compromettere in pochi minuti, quelle di 8-10 caratteri in ore, eccetera): https://billatnapier.medium.com/those-tables-password-cracking-times-that-scare-you-are-mostly-wrong-7d03bf4aec6.

In questo secondo articolo, l'autore sembra contraddire la posizione di Stefano e non promuove il cambio della password. Però lo stesso Stefano precisa che "l'articolo prende solo in esame attacchi a forza bruta e nulla dice in merito ad altri tipi di attacchi; inoltre questi metodi sono in uso sui sistemi operativi di nuova generazione ma sono ancora utilizzati vecchi sistemi operativi e non tutti i servizi web usano librerie di gestione password aggiornate (sono tantissimi i siti che non memorizzano in modo appropriato le password e, per gli attaccanti, è facile prendere elenchi di password anche in chiaro o con una protezione ROT-13 equivalente)".

Stefano contesta anche la giustificazione fornita dal NIST (ossia che gli utenti, se richiesti di cambiare frequentemente le password, le scelgono deboli) perché questo non dovrebbe impedire di promuovere buone pratiche come il cambio periodico.

La cosa mi ha fatto riflettere e ci rifletterò.

Chiudo dando l'ultima parola a Stefano, che ringrazio per il confronto sempre costruttivo: "Dato che il prossimo 2 maggio cade il Password Day (sempre il primo giovedì di maggio di ogni anno dal 2013), perché non usarlo per cambiare tutte le nostre password almeno una volta all'anno (anche se a naso direi meglio due volte)?".

sabato 3 febbraio 2024

Primo Cybersecurity Certification Scheme europeo (basato sui Common Criteria)

L'Unione Europea, secondo quanto previsto dal Cybersecurity Act nel 2019, ha adottato il primo schema di certificazione sulla cybersecurity: https://www.enisa.europa.eu/news/an-eu-prime-eu-adopts-first-cybersecurity-certification-scheme. Ringrazio Riccardo Lora per averlo segnalato agli Idraulici della privacy.

Questo schema è basato sui Common Criteria, quindi è più orientato ai prodotti.

Non ho ancora capito come funzionerà lo schema, visto che è previsto che ogni Paese indichi un NCCA (organismo di accreditamento) che a sua volta controllerà i CAB (organismi di certificazione). Visto che le certificazioni secondo i Common Criteria erano gestite in modo diverso dalle certificazioni sui sistemi di gestione, non ho elementi per sapere come funzionerà questo schema in Italia (rimando al sito dell'unico organismo di certificazione italiano, https://www.ocsi.gov.it/index.html). Aggiungo che i Common Criteria non sono molti usati in Italia, vista la loro complessità e i costi per ottenere la certificazione (e infatti sul sito dell'OCSI i prodotti italiani certificati sono pochi sui circa 60; ce ne sono diversi non italiani).

Segnalo poi che l'UE sta lavorando ad altri schemi, uno per i servizi cloud (molto più interessante, credo, per l'Italia) e sulla sicurezza del 5G (non mi è chiaro però a cosa si riferisce, posso dedurre ai prodotti che hanno connettività 5G, ma non ne sono sicuro). Credo che questi siano molto importanti per l'Italia, visto che riguarderanno un mercato significativo.

Sono anche stati presi i primi passi per schemi sull'intelligenza artificiale, sui servizi eIDAS e sui servizi di sicurezza gestita. Visti i tempi tenuti finora, rimango in paziente attesa.

Chiara Ponti mi ha gentilmente segnalato questo articolo: https://formiche.net/2024/02/ue-certificazione-cyber-mele/. Non conoscendo bene lo schema approvato, visto lo scarso successo dei Common Criteria per costi e complessità, visto il tempo passato dal 2019 al 2024 per uno schema che tutto sommato era già pronto, non sono convinto che "molto presto senza un ‘bollino di cybersicurezza’ i produttori rischieranno di essere di fatto tagliati fuori”. Ho sbagliato altre volte, potrei sbagliare anche questa.

Confesso la mia ignoranza su questi schemi, ma penso che sia una materia da tenere sotto controllo e ringrazio finora chiunque vorrà contribuire, anche con segnalazioni su corsi di formazione, articoli eccetera.

venerdì 2 febbraio 2024

Virus VERA.XLS

Stefano Ramacciotti mi ha segnalato questa pagina che parla del virus VERA.XLS: http://www.office-archive.com/2-excel/2996ddbb4f8b3ca7.htm.

La discussione è del 2001. Il mio VERA sarebbe nato 7 anni dopo, inconsapevole dell'omonimia. Molto divertente.

martedì 30 gennaio 2024

Strumento di analisi privacy dei siti web di EDPB

Franco Vincenzo Ferrari mi ha segnalato la pubblicazione del tool "Website auditing" dell'EDPB: https://edpb.europa.eu/news/news/2024/edpb-launches-website-auditing-tool_en.

Facilissimo da installare, permette di verificare i cookie attivi, se ha attivo l'https e altre semplici caratteristiche di un sito web. Onestamente: ne avevo proprio bisogno.

Esperienze sul whistleblowing

Avevo scritto tempo fa del D. Lgs. 24 del 2023 sul whistleblowing e delle Linee guida di Confindustria.

Ho avuto qualche esperienza in merito e ho voluto parlarne con gli Idraulici della privacy. Ho provato a mettere insieme le cose in una presentazione, aggiornata dopo il dibattito, che trovate qui: https://www.cesaregallotti.it/Pubblicazioni.html.

Nulla di nuovo, ma un'occasione per discuterne dopo le esperienze fatte.

Ci sono un paio di riflessioni sul canale di comunicazione da usare (non è detto che sia necessaria una "piattaforma" perché anche l'email può essere sufficiente) e sulla DPIA (che ho fatto senza calcoli).

Norme EN sulla privacy (e la certificazione GDPR)

Da ottobre 2023 sono disponibili due norme EN sulla privacy che potranno essere usate per le "certificazioni GDPR (art. 42 e 43)". Non avevo dato la notizia perché avevo fatto confusione con la numerazione.

La prima è la EN 17799:2023 "Personal data protection requirements for processing operations": https://standards.cencenelec.eu/dyn/www/f?p=205:110:0::::FSP_PROJECT:72146&cs=1542894B837546009C6EA75EEF37A17FB.

Essa è, in poche e imprecise parole, l'erede della UNI/PdR 43. La EN 17799 ha un ambito più ampio della PdR 43, non riducendosi al solo ambito ICT. È più destinata alle PMI.

La seconda è l'EN 17926:2023 "Privacy Information Management System per ISO/IEC 27701 - Refinements in European context": https://standards.cencenelec.eu/dyn/www/f?p=205:110:0::::FSP_PROJECT:73645&cs=1E27CF456A53D1D12798EDA52ADB48A97.

Questa, in pochissime e imprecisissime parole, dice: "Prendi la ISO/IEC 27701 e cambia un paio di cosine, così potrai usare questa EN 17926 per certificarti secondo articoli 42 e 43 del GDPR usando la ISO/IEC 27701". È più destinata alle organizzazioni di dimensione medio-grande.

In tutti e due i casi non sono pronte le norme con le regole di accreditamento (a mio parere non lo saranno prima del 2025) e quindi non sono ancora utilizzabili. Qualche organismo di accreditamento potrebbe lanciare in autonomia uno schema di certificazione, ma dubito che avverrà, visto che l'obiettivo è quello di usarle per uno schema di sigillo europeo e quindi essere approvate dall'EDPB.

Ringrazio gli Idraulici della privacy per avermi forzato a ripensare su queste norme.

Guida per gli adempimenti privacy in Svizzera

Franco Vincenzo Ferrari mi ha segnalato la pubblicazione della "Guida ai provvedimenti tecnici e organizzativi concernenti la protezione dei dati (TOM)" dell'Incaricato federale della protezione dei dati e della trasparenza (IFPDT) della Confederazione Svizzera: https://www.edoeb.admin.ch/edoeb/it/home/kurzmeldungen/km2024/23012024_leitfaden_tom.html.

La versione in inglese ("Guide to Technical and Organisational Data Protection Measures (TOM)"): https://www.edoeb.admin.ch/edoeb/en/home/kurzmeldungen/km2024/23012024_leitfaden_tom.html.

Nulla di nuovo, ma una buona guida, pragmatica e sintetica al punto giusto, per la protezione dei dati personali e la sicurezza delle informazioni.

mercoledì 24 gennaio 2024

Tassonomia dei rischi privacy dovuti all'IA

Dalla newsletter di Project:IN Avvocati, segnalo un documento dal titolo "Deepfakes, Phrenology, Surveillance, and More! A Taxonomy of AI Privacy Risks".

Si può scaricare dal link presente in un articolo di IAPP: https://iapp.org/news/a/shaping-the-future-a-dynamic-taxonomy-for-ai-privacy-risks/.

Dico che, a fronte di tanta (e forse troppa) documentazione sull'intelligenza artificiale, questo mi è sembrato particolarmente interessante perché riassume bene gli aspetti critici dell'IA.

Licenziamento per aver parlato male del datore di lavoro sui social

Segnalo questo articolo dal titolo "Parla male del datore di lavoro sui social? Sì al licenziamento per giusta causa": https://www.altalex.com/documents/news/2024/01/18/parla-male-datore-di-lavoro-su-social-si-a-licenziamento-per-giusta-causa.

Questo genere di notizie mi interessa sempre perché dimostrano (anche se con pochi casi) il rapporto curioso che molti hanno con i social media, dove si sentono in diritto di poter dire qualsiasi cosa, incuranti (o forse spinti) da chi possa venirne a conoscenza. La questione non è solo sociale, è anche di sicurezza delle informazioni: se manca un autocontrollo su quello che si scrive, potrebbero anche essere scritte cose riservate.

Misurazioni della sicurezza. Bozza della NIST SP 800-55

Il NIST ha pubblicato la bozza della nuova versione della SP 800-55 "Measurement Guide for Information Security": https://csrc.nist.gov/News/2024/nist-sp-800-55-draft-available-for-comment.

Come impressione generale mi sembra molto teorica e poco pratica. Manca di esempi significativi (i pochissimi che ci sono mi sembrano più per grandi che per piccole o medie imprese).

Ho trovato interessanti alcuni richiami teorici, anche se ormai faccio fatica a capirli fino in fondo.

lunedì 1 gennaio 2024

Garante privacy, ASL, Tribunale di Udine e DPIA (link alle sentenze)

Avevo scritto un post dal titolo "Garante privacy, ASL, Tribunale di Udine e DPIA": http://blog.cesaregallotti.it/2023/12/garante-asl-tribunale-di-udine-e-dpia.html.

Elia Barbujani (Idraulico della privacy) mi ha mandato un paio di link per approfondire.

Il primo riguarda la motivazione della sentenza del Tribunale di Udine: https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9957324.

Il secondo riguarda la sentenza del Tribunale di Pordenone, citata dall'articolo di Silvia Stefanelli che avevo segnalato nel mio post: https://www.agendadigitale.eu/sicurezza/privacy/medicina-di-iniziativa-perche-anche-il-tribunale-di-udine-ha-detto-no-al-garante-privacy/.  

giovedì 28 dicembre 2023

Data Act: il link

Glauco Rampogna (Idraulico della privacy e non solo) mi ha segnalato il link per il Data Act: https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:32023R2854.

Del Data Act, poco tempo fa, avevo già riassunto gli obiettivi (norme finalizzate a consentire agli utilizzatori di prodotti e servizi di accedere e utilizzare i dati personali generati dai loro dispositivi connessi) e riportato il link alla pagina del comunicato stampa del Consiglio UE: https://www.consilium.europa.eu/en/press/press-releases/2023/11/27/data-act-council-adopts-new-law-on-fair-access-to-and-use-of-data/.

Saranno scritti fiumi di parole in merito e quindi evito di farlo io.

ISO/IEC 42001 sull'intelligenza artificiale

Monica Perego (Idraulica della privacy) mi ha segnalato la pubblicazione della ISO/IEC 42001:2023 "Information technology - Artificial intelligence - Management system": https://www.iso.org/standard/81230.html.

Riporta i requisiti per un sistema di gestione per l'intelligenza artificiale.

La norma richiede di valutare il rischio non solo relativo all'efficacia del sistema di gestione (come tutte le altre norme relative ai sistemi di gestione come la ISO 9001 e la ISO/IEC 27001), ma anche di condurre valutazioni del rischio relative all'intelligenza artificiale, quindi più tecniche (anche se le due valutazioni potrebbero, almeno in teoria, essere integrate). Richiede anche una valutazione d'impatto dell'IA (ossia una valutazione relativa agli impatti sugli individui e sulla società).

La norma fa riferimento anche alle ISO/IEC 38507 (Governance implications of the use of artificial intelligence by organizations) e ISO/IEC 23894 (Guidance on risk management), che non ho letto e quindi non posso commentare.

I requisiti di valutazione del rischio sono organizzati come nella ISO/IEC 27001, ossia in gran parte nel capitolo 6 (relativo alla pianificazione) e poi richiamati nel capitolo 8 (relativo alle attività operative).

Importanti, infine, gli Annex. Infatti la ISO/IEC 42001 funzione come la ISO/IEC 27001 e ha un Annex A con i controlli da considerare per il trattamento del rischio. Anche da questo punto di vista, introduce elementi tecnici interessanti.

Oltre a ciò, c'è un Annex B con la guida per l'implementazione dei controlli (come la ISO/IEC 27002) e un Annex C con alcuni obiettivi organizzativi relativi all'IA e alcune sorgenti di rischio (qui chiaramente e, finalmente e correttamente, assimilabili alle minacce e non agli agenti di minaccia).

C'è infine un Annex D sull'uso dei sistemi di gestione per l'intelligenza artificiale in diversi domini e settori e sulla loro integrazione con altri sistemi di gestione, a mio parere inutile (ma occupa fortunatamente solo due pagine).

martedì 19 dicembre 2023

Certificazioni OpenSM

Francesco Cagno di Deloitte (e mio collega nel lontano 2008) mi ha segnalato l'iniziativa dell'OpenSM Foundation: https://www.opensm.org/ (il sito va certamente migliorato e l'ho già comunicato a Francesco).

Si tratta, in pochissime parole, di un modello alternativo a ITIL. Nelle intenzioni, dovrebbe anche essere meno pesante di ITIL, proponendo solo 3 certificazioni e un modello meno complicato.

Gli faccio i miei migliori auguri di riuscire a diffondersi e far tornare la "gestione dei servizi" a essere pragmatica.

Condannato per aver danneggiato la rete aziendale dopo licenziamento (negli USA)

Notizia dal SANS Newsbytes: Uno specialista cloud della First Republic Bank (California, USA) è stato condannato a due anni di prigione e a risarcire circa 500mila dollari; dopo essere stato licenziato nel marzo 2020, con le sue credenziali (non disabilitate immediatamente) e il computer aziendale (a casa sua al momento del licenziamento), potè installare malware, cancellare archivi di codice sorgente, bloccare utenti dai servizi cloud e fare altre attività dannose.

Un articolo: https://www.theregister.com/2023/12/12/cloud_engineer_bank_prison/

domenica 17 dicembre 2023

ACN e Garante privacy: Linee guida per la conservazione delle password

Il Garante Privacy e l'Agenzia per la cybersicurezza nazionale (ACN) hanno pubblicato delle "Linee Guida per la conservazione delle #password": https://www.gpdp.it/home/docweb/-/docweb-display/docweb/9962240.

Devo dire che avevo ignorato l'annuncio fino a quando non ho visto un tweet di Filippo Bianchini, che ringrazio.

Però devo richiamare l'attenzione sul fatto che il titolo vero del documento è "Linee guida funzioni crittografiche: Conservazione delle Password" e si capisce immediatamente che non si tratta di un documento con raccomandazioni per tutti i cittadini, ma di qualcosa di più tecnico.

Sono presentati algoritmi crittografici robusti che potrebbero essere usati dai diversi prodotti per la sicurezza delle password. Considerando che oggi gli sviluppatori non sviluppano quasi più meccanismi di conservazione delle password, ma utilizzano librerie fatte da altri, è quindi compito degli sviluppatori e degli amministratori di sistema verificare quali algoritmi sono usati dai prodotti che gestiscono e configurarli opportunamente.

Materia non facile e devo dire che mi sarebbe piaciuta un'analisi dei prodotti più diffusi.

lunedì 11 dicembre 2023

Garante, ASL, Tribunale di Udine e DPIA

Segnalo questo articolo di Silvia Stefanelli dal titolo "Medicina di iniziativa, perché anche il tribunale di Udine ha detto no al Garante privacy": https://www.agendadigitale.eu/sicurezza/privacy/medicina-di-iniziativa-perche-anche-il-tribunale-di-udine-ha-detto-no-al-garante-privacy/.

La lettura è decisamente interessante, ma orientata soprattutto a questioni legate alle ASL.

Però lo segnalo perché c'è un passaggio in cui il Tribunale di Udine non concorda con il Garante circa la necessità di avere una DPIA per una selezione di pazienti fragili in relazione alle complicanze in caso di infezione da Covid-19.

Segnalo infatti, dalle conclusioni di Stefanelli, questo passaggio: "sulla carenza di DPIA ci si chiede quale mai possa essere l’impatto sulla sfera giuridica degli interessati se vengono create liste di pazienti fragili con l’obiettivo di alzare il livello di prevenzione. Tale approccio concreto va appoggiato".

Per approfondimenti rimando all'articolo originale.

AI Act della UE - Accordo del trilogo

Come è noto, è stato raggiunto un accordo tra le istituzioni europee sul cosiddetto AI Act, ossia sulla normativa europea che governerà l'intelligenza artificiale.

Il Parlamento Europeo indica così gli obiettivi della normativa: https://www.europarl.europa.eu/news/it/headlines/society/20230601STO93804/normativa-sull-ia-la-prima-regolamentazione-sull-intelligenza-artificiale.

Come scrive Guerre di Rete: "L’accordo uscito dal trilogo (negoziazioni tra Parlamento, Consiglio e Commissione) in questo momento manca ancora di un testo definitivo a disposizione del pubblico, e molto si giocherà sui dettagli. Per questo motivo anche chi sosteneva la regolamentazione, specie la bozza più attenta alla difesa dei diritti uscita dal Parlamento a giugno, in questo momento sta sospendendo il giudizio in attesa di capire quanto i dettagli daranno margine di manovra agli Stati, alle eccezioni previste, e quanto alla difesa di quei diritti. Senza contare che molti aspetti tecnici saranno messi a terra nelle prossime settimane".

Segnalo questo articolo di Matteo Sironi, che spiega bene lo stato dell'arte e il fatto che non c'è nulla di definitivo: https://formiche.net/2023/12/ai-act-europeo-sironi/.

lunedì 4 dicembre 2023

In Francia vietatata WhatsApp ai ministri in favore di Olvid

Segnalo un articolo dal titolo molto chiaro: "App e cybersecurity, la Francia vieta WhatsApp ai ministri. Dall’8 dicembre si utilizzerà Olvid": https://www.cybersecitalia.it/app-e-cybersecurity-la-francia-vieta-whatsapp-ai-ministri-dall8-dicembre-si-utilizzera-olvid/27716/.

La notizia l'ho avuta dalla newsletter di Project:IN Avvocati.

Il caso è interessante, considerando gli impatti sulla sicurezza, l'avanzare delle proposte tecnologiche europee e le modalità con cui queste sono promosse. In particolare: questo dimostra che l'Italia è indietro? questa pratica porterà a una vera concorrenza verso gli OTT made in USA? questo dimostra la validità delle scelte normative EU, non solo per i diritti dei cittadini ma anche per lo sviluppo economico?

Data Act per l'uso dei dati personali da parte degli interessati

Segnalo la pagina del Consiglio UE dal titolo "Data Act: Council adopts new law on fair access to and use of data": https://www.consilium.europa.eu/en/press/press-releases/2023/11/27/data-act-council-adopts-new-law-on-fair-access-to-and-use-of-data/.

La notizia l'ho presa dalla newsletter Project:IN Avvocati e quindi copio-incollo parte del suo commento: "La nuova legge europea fissa norme finalizzate a consentire agli utilizzatori di prodotti e servizi di accedere e utilizzare i dati personali generati dai loro dispositivi connessi. Il Data Act dovrà ora essere pubblicato nella Gazzetta Ufficiale dell’Unione e entrerà ufficialmente in vigore il ventesimo giorno successivo a tale pubblicazione. La gran parte delle disposizioni della nuova normativa europea cominceranno ad applicarsi 20 mesi dopo l’entrata in vigore".

ISO Survey 2022

L'ISO pubblica annualmente i dati relativi alle certificazioni ISO 9001, ISO IEC 27001, ISO 20000-1, ISO 22301, ISO 28000 e altre, per un totale di 16 sistemi di gestione.

La notizia l'ho avuto dalla newsletter di Accredia, che fa riferimento alla sua analisi: https://www.accredia.it/2023/11/27/iso-survey-2022-italia-1-in-europa-e-2-al-mondo-per-numero-di-certificati.

I dati possono essere scaricati direttamente, anche in formato Excel, dal sito ISO: https://www.iso.org/the-iso-survey.html.

venerdì 1 dicembre 2023

Accredia: equivalenza delle certificazioni UKAS

Ivana Calì di SGS mi ha segnalato questo post di Accredia: https://it.linkedin.com/posts/accredia_valutazioni-organismi-ue-activity-7132749470907138048-ZEu7.

Si fa riferimento a una notizia che avevo dato a maggio con titolo "Accreditamento UKAS non più valido per gli appalti pubblici": http://blog.cesaregallotti.it/2023/05/accreditamento-ukas-non-piu-valido-per.html.

L'aggiornamento attuale è che "Il Consiglio di Stato ha concluso quindi che le certificazioni di qualità rilasciate da organismi stranieri accreditati dall'Ente unico nazionale di accreditamento di altro Stato europeo, firmatario dell'accordo EA MLA, qual è l'ente britannico UKAS, sono equivalenti alle certificazioni di qualità rilasciate da organismi accreditati dagli enti nazionali degli stati membri".

mercoledì 29 novembre 2023

Guidelines for secure AI system development (CISA)

Il US Cybersecurity and Infrastructure Security Agency (CISA) e altre organizzazioni hanno pubblicato un breve documento dal titolo "Guidelines for secure AI system development": https://www.cisa.gov/news-events/news/dhs-cisa-and-uk-ncsc-release-joint-guidelines-secure-ai-system-development.

Nulla di inaspettato, ma, come dice una nota di Lee Neely, alla notizia riportata dal SANS Newsbites, "questa guida, anche se orientata agli sviluppatori di sistemi di IA, è una buona lettura per chi vuole capire meglio i problemi e i rischi relativi all'introduzione di sistemi IA nei processi dell'organizzazione".

martedì 28 novembre 2023

Schema di certificazione europeo EUCC

Segnalo questo articolo dal titolo "Lo schema di certificazione europeo EUCC: novità, punti di forza e problemi aperti": https://www.agendadigitale.eu/sicurezza/lo-schema-di-certificazione-europeo-eucc-novita-punti-di-forza-e-problemi-aperti/.

Fa il punto su uno schema europeo, in sviluppo da parte di ENISA, basato sui Common criteria (ISO/IEC 15408, disponibili gratuitamente anche su https://www.commoncriteriaportal.org/). Esso quindi è destinato alla certificazione di prodotti e componenti hardware o software.

Al momento la Commissione Europea sta discutendo un Implementing Act per avviare lo schema di certificazione.

Ulteriori informazioni si trovano su https://certification.enisa.europa.eu/.

lunedì 20 novembre 2023

Attacco a Federprivacy

Ormai la notizia è stata diffusa e commentata da quasi tutti. Quindi do un link per chi non fosse ancora a conoscenza di quanto successo: https://www.wired.it/article/federprivacy-hackerato-sito-protezione-dei-dati/.

Alcuni hanno commentato la notizia acidamente. Io ebbi modo di criticare Federprivacy, ormai molti anni fa, per lo scatenamento della "frenesia da DPO" negli anni 2012-2016, prima ancora che uscisse la versione definitiva del GDPR. Questo però non mi fa gioire per le disgrazie altrui. Anche perché non mi sembra che Federprivacy abbia mai vantato livelli di sicurezza elevati dei propri sistemi.

Certamente si tratta di un'associazione che promuove la sicurezza informatica e ha subito un attacco che ha violato le sue informazioni. Sono cose che succedono, così come è successo a Yuri Gagarin di morire per uno schianto aereo (è il primo esempio che mi è venuto in mente; ce ne saranno altri sicuramente migliori). Succederà anche a me sicuramente, se non è già successo, e succederà ancora a loro e a me e ad altri. Non credo sia corretto criticare quanto successo.

Però... abuso anche io dei complimenti seguiti da un però. Ed è questo: il messaggio del Presidente Nicola Bernardi non mi sembra adeguato. Penso avrebbe dovuto descrivere meglio l'attacco subito, assumersi pienamente la responsabilità senza minimizzare l'accaduto, evitare un atteggiamento vittimistico, descrivere quanto fatto per correggere le vulnerabilità e le lezioni apprese o rimandare a un futuro comunicato per gli approfondimenti. Insomma, fare quanto consigliato da molti (ricordo alcuni esempi che avevo segnalato a marzo 2023: https://www.csoonline.com/article/3689169/data-breaches-some-of-the-best-and-worst-among-recent-responses.html).

Capisco che la storia abbia colpito emotivamente e non credo che sarei riuscito a fare di meglio nella stessa situazione. Quindi mi auguro che tutto possa essere recuperato, questa brutta storia superata e dimenticata, soprattutto per gli impatti umani e personali, tranne le piccole lezioni per il futuro. Sì, perché da un parte dobbiamo cercare di non fare gli avvoltoi approfittando delle disgrazie altrui, ma dall'altra non dobbiamo lasciarci sfuggire un'occasione per riflettere su cosa poteva essere fatto meglio e cosa peggio, serenamente e professionalmente, senza dimenticarci che delle persone, come noi con pregi e difetti, sono state coinvolte.

venerdì 10 novembre 2023

Parental control nazionale dal 21 novembre

Segnalo questo articolo dal titolo "Minori, come funziona il parental control automatico nelle sim": https://www.agendadigitale.eu/sicurezza/minori-online-piu-tutele-con-il-parental-control-di-stato-dal-21-novembre/.

Dal 21 novembre, gli operatori telefonici devono attivare sistemi di controllo parentale gratuiti.

Iniziativa lodevole, ma temo che i ragazzi non seguiti sapranno come aggirarli, i genitori che invece seguono i ragazzi sanno benissimo che il blocco non è sufficiente: bisogna osservare cosa fanno e come usano il dispositivo (oltre a limitare anche il tempo e gli orari).

mercoledì 8 novembre 2023

Aggiornamento della NIST SP 800-53 con i Security and Privacy Controls

Il NIST ha pubblicato un aggiornamento (minore) della SP 800-53 "Security and Privacy Controls for Information Systems and Organizations" e adesso è alla versione 5.1.1.

La pagina di riferimento è questa: https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final.

Segnalo in particolare il "Control Catalog Spreadsheet", foglio Excel che riporta tutti i controlli (sono 1.190; la prossima volta che qualcuno mi dice che la ISO/IEC 27001 ha troppi controlli saprò come rispondergli). Anche se sono tanti e non sempre la descrizione è di facile comprensione, è sempre utile guardarli.

Altro documento interessante è quello di correlazione tra i controlli della ISO/IEC 27001:2022 e la SP 800-53. E' chiaro che molti dei 1.190 controlli della SP 800-53 non hanno un diretto riscontro con uno dei 93 della ISO/IEC 27001. In molti casi, però, i punti non sono presenti nel controllo, ma segnalati nella ISO/IEC 27002 nelle linee guida per la sua implementazione.

lunedì 30 ottobre 2023

Ricerca IVASS sulla polizze cyber risk

La newsletter di Project:IN Avvocati segnala la pubblicazione "Indagine sulle polizze a copertura del cyber risk" di IVASS: https://www.ivass.it/pubblicazioni-e-statistiche/pubblicazioni/altre-pubblicazioni/2023/indagine-cyber-risk/index.html.

Copio il commento di Project:IN Avvocati: "Interessante ricerca sulle polizze assicurative offerte dalle compagnie a clientela retail e PMI, con analisi di 50 proposte disponibili al 30 luglio 2023. Importante notare come - si legge nel testo - diversi contratti prevedano pre-requisiti o condizioni per rendere il rischio assicurabile, che necessitano di essere ben compresi per valutare l’adeguatezza della copertura offerta".

Io ho sempre avuto dubbi sul funzionamento di queste polizze. Sarebbe però interessante avere notizie da chi le ha sottoscritte e ne ha avuto bisogno.

Guida Confindustria sulla gestione del whistleblowing

Confindustria ha pubblicato il documento "Nuova disciplina “whistleblowing”. Guida operativa per gli enti privati": https://www.confindustria.it/home/policy/position-paper/dettaglio/guida-operativa-whistleblowing.

Anche questa materia, seppur marginalmente, riguarda la sicurezza delle informazioni. E pertanto è utile avere un buon punto di riferimento.

Ringrazio Project:IN Avvocati per la segnalazione.

domenica 29 ottobre 2023

AI: Avvelenare i dati delle opere artistiche per salvaguardare il diritto d'autore

Da Guerre di Rete segnalo un articolo dal titolo "This new data poisoning tool lets artists fight back against generative AI": www.technologyreview.com/2023/10/23/1082189/data-poisoning-artists-fight-generative-ai/amp/.

Riprendo le parole di Guerre di Rete: "Un nuovo tipo di attacco promette di contrastare le aziende di AI generativa che usano il lavoro degli artisti, senza il loro consenso, per addestrare i propri modelli. Consentirà agli artisti di aggiungere delle modifiche (invisibili a occhio umano) alle loro opere prima di caricarle online. Col risultato che, se queste sono inserite in un set di addestramento per l'AI, il modello rischia di dare risultati caotici e imprevedibili".

Raccomando di leggere anche tutto l'articolo su Guerre di Rete: https://guerredirete.substack.com/p/guerre-di-rete-blackout-su-gaza.

Sullo stesso numero si trova un'altro articolo dal titolo "Modelli usati nella sanità sotto la lente", che a sua volta fa riferimento a un articolo dal titolo "AI was asked to create images of Black African docs treating white kids. How'd it go?": https://www.npr.org/sections/goatsandsoda/2023/10/06/1201840678/.

In esso sono evidenziati i rischi di bias, in questo caso razziale, dell'AI, causati dai dati usati per l'addestramento.

sabato 21 ottobre 2023

Stato delle norme ISO/IEC 270xx - Privacy

Il 20 ottobre si è concluso il meeting semestrale dei WG 1 (dedicato ai sistemi di gestione per la sicurezza delle informazioni o ISMS) e WG 5 (dedicato alla privacy) del ISO/IEC JTC 1 SC 27.

In questo articolo riporto le attività del WG 5 che ritengo più significative.

Ho seguito i lavori sulla ISO/IEC 27701, per i sistemi di gestione per la privacy (Privacy information management system, PIMS). Era prevista per metà 2024 la pubblicazione di un aggiornamento limitato al riallineamento dei controlli con quelli della ISO/IEC 27002:2022. L'ISO Central Secretariat ha invece chiesto di ristrutturare lo standard come gli altri sui sistemi di gestione. Tutti gli esperti hanno concordato sulla necessità di ristrutturarlo completamente e, quindi, ritardare la pubblicazione per evitare incoerenze ed errori (qualcuno auspica la pubblicazione per inizio 2025, io penso che ci vorrà più tempo).

Sarà pubblicata entro metà 2024 una nuova versione della ISO/IEC 27006-2 (per gli organismi di certificazione), ma sarà necessario rifare tutto per rendere questo standard compatibile con la futura ISO/IEC 27701. Il rischio è di essere rapidi nella pubblicazione dei criteri di certificazione (la futura ISO/IEC 27701), ma più lenti per i criteri di accreditamento (la futura ISO/IEC 27006-2, sempre se manterrà questa numerazione); in altre parole, potremmo avere una nuova versione della ISO/IEC 27701, ma nessun organismo di certificazione che può condurre audit e rilasciare certificati per mancanza di regole appropriate.

Stanno continuando, anche se molto lentamente, i lavori per la ISO/IEC 27018 (estensione dei controlli della ISO/IEC 27002 per la privacy dei servizi cloud, importante per le molte certificazioni ISO/IEC 27001 che la usano come estensione) per allineare la versione attuale con i controlli della ISO/IEC 27002:2022. Si prevede di pubblicarne l’aggiornamento a metà 2024 (ma mi sembra una data troppo ottimistica e io prevedo fine 2024).

 Segnalo che si discute anche della ISO/IEC 29151 (i lavori di aggiornamento sono appena partiti). Questa norma è destinata ai soli titolari del trattamento e riprende i controlli della ISO/IEC 27002, ne estende le linee guida per l'implementazione e ne aggiunge altri specifici per la privacy. Mi sembra che in Italia sia completamente ignorata, mentre in altri Paesi è usata come riferimento dalle PMI che non intendono usare la ISO/IEC 27701 (anche se poi, una veloce ricerca online mi dice che Huawei Cloud, non certo una PMI, è “certificata” rispetto a questa norma che, tra l’altro, non prevede uno schema certificazione). Si prevede di pubblicarne l’aggiornamento a fine 2025.