Giancarlo Caroti di Neumus mi ha segnalato la pubblicazione del decreto del
Presidente della Repubblica numero 54 del 5 febbraio 2021.
Giancarlo mi sintetizza: "sono definite le procedure, le modalità e i
termini da seguire ai fini delle valutazioni da parte del CVCN (Mise) ed i
CV (MinInt e Difesa)". E commenta: "Pare molto impattante sulle dinamiche di
acquisizione di prodotti e servizi ICT dei soggetti nel perimetro e dunque
merita attenzione e credo che sarà spesso invocato (non sempre per
lodarlo)!".
Dove reperirlo:
- www.gazzettaufficiale.it/eli/id/2021/04/23/21G00060/sg.
Qualche mio commento:
- gli enti all'interno del perimetro dovranno fare un'analisi del rischio e
della sicurezza di ciascun prodotto o servizio ICT che intendono acquistare;
credo che in molti copi-incolleranno, ma penso che sarà comunque una pratica
utile (purché l'approccio richiesto, che dovrà essere pubblicato tra un paio
di mesi, non sarà inutilmente oneroso);
- CV e CVCN potranno specificare quali test dovranno essere condotti prima
di approvare un acquisto; anche questi saranno pubblicati tra un paio di
mesi e, secondo me, permetteranno, nel tempo, di innalzare il livello
complessivo della sicurezza informatica, grazie alla condivisione delle
competenze, anche a chi è fuori dal perimetro.
venerdì 30 aprile 2021
Sicurezza dei servizi cloud MS
Segnalo questa interessante presentazione sulla sicurezza (e su come
configurare) dei servizi cloud di microsoft:
- https://drive.google.com/file/d/13Hmi2lSZEZfrvaAfc72EEsmK1iDcuNtM/.
C'è anche il video della presentazione fatta il 28 aprile 2021:
- https://www.youtube.com/watch?v=XOF8fw_aW5E.
- https://drive.google.com/file/d/13Hmi2lSZEZfrvaAfc72EEsmK1iDcuNtM/.
C'è anche il video della presentazione fatta il 28 aprile 2021:
- https://www.youtube.com/watch?v=XOF8fw_aW5E.
lunedì 26 aprile 2021
Privacy: Sulle sanzioni del Garante
Andrea Veneziani di Yioroi mi ha scritto in merito alle mie riflessioni
sulle sanzioni del Garante privacy:
- http://blog.cesaregallotti.it/2021/03/sulle-sanzioni-del-garante.html.
Secondo lui le sanzioni non sono abbastanza elevate perché "la nostra storia ci ha insegnato che, a fronte di sanzioni basse o lievi, poco o nulla si è ottenuto in tema di applicazione della protezione dei dati personali. Mi riferisco alle leggi anteriori al GDPR".
Aggiunge poi: "capisco che le aziende sono tartassate su molteplici fronti (costi per sicurezza sul lavoro, diritti dei lavoratori, agenzia entrate, ecc.), non capisco però le aziende che continuano a fare finta di niente in un mondo dove il singolo cittadino subisce attacchi e tentativi di frode, spamming di pubblicità da società di ogni genere, chiamate da call center al limite dello sfinimento, ecc.".
Io però vorrei ricordare che non chiedo sanzioni meno elevate. Solo mi sembra che, se le sanzioni sono elevate anche per chi si auto-denuncia (anzi, sembra che siano le più elevate in Europa), è inutile lamentarsi se le auto-denunce sono poche.
Comunque la si voglia leggere, rimane una conclusione di Andrea che condivido: "Le sanzioni fanno sì che ogni tanto ci sia una scossa e qualcuno prenda maggiori (o migliori) provvedimenti rispetto alla protezione dei dati personali e delle informazioni in genere".
- http://blog.cesaregallotti.it/2021/03/sulle-sanzioni-del-garante.html.
Secondo lui le sanzioni non sono abbastanza elevate perché "la nostra storia ci ha insegnato che, a fronte di sanzioni basse o lievi, poco o nulla si è ottenuto in tema di applicazione della protezione dei dati personali. Mi riferisco alle leggi anteriori al GDPR".
Aggiunge poi: "capisco che le aziende sono tartassate su molteplici fronti (costi per sicurezza sul lavoro, diritti dei lavoratori, agenzia entrate, ecc.), non capisco però le aziende che continuano a fare finta di niente in un mondo dove il singolo cittadino subisce attacchi e tentativi di frode, spamming di pubblicità da società di ogni genere, chiamate da call center al limite dello sfinimento, ecc.".
Io però vorrei ricordare che non chiedo sanzioni meno elevate. Solo mi sembra che, se le sanzioni sono elevate anche per chi si auto-denuncia (anzi, sembra che siano le più elevate in Europa), è inutile lamentarsi se le auto-denunce sono poche.
Comunque la si voglia leggere, rimane una conclusione di Andrea che condivido: "Le sanzioni fanno sì che ogni tanto ci sia una scossa e qualcuno prenda maggiori (o migliori) provvedimenti rispetto alla protezione dei dati personali e delle informazioni in genere".
martedì 20 aprile 2021
ISO 37301:2021 - Compliance management systems
Monica Perego mi ha segnalato la pubblicazione della norma ISO 37301:2021
dal titolo "Compliance management systems — Requirements with guidance for
use":
- https://www.iso.org/standard/75080.html.
E' facile immagirare i requisiti che riporta, visto che si basa sull'High level structure. E' però chiaro che, a chi intende certificarsi, è richiesto un livello di rigore superiore rispetto al "ogni tanto controllo qualche sito" per dimostrare la propria gestione della conformità. Per questo ci sono alcuni requisiti interessanti.
La norma ha un'Appendice A con anche una guida per l'interpretazione dei requisiti.
Non so che successo avrà questa norma, ma la trovo interessante.
- https://www.iso.org/standard/75080.html.
E' facile immagirare i requisiti che riporta, visto che si basa sull'High level structure. E' però chiaro che, a chi intende certificarsi, è richiesto un livello di rigore superiore rispetto al "ogni tanto controllo qualche sito" per dimostrare la propria gestione della conformità. Per questo ci sono alcuni requisiti interessanti.
La norma ha un'Appendice A con anche una guida per l'interpretazione dei requisiti.
Non so che successo avrà questa norma, ma la trovo interessante.
Minacce e attacchi: caso di SIM swap - Commento
Gabriele Marelli mi ha inviato un commento sul post "Minacce e attacchi:
caso di SIM swap":
http://blog.cesaregallotti.it/2021/03/caso-di-sim-swap.html.
Riporto nel seguito le sue parole e lo ringrazio.
Condivido la sua osservazione sul fatto che appaia strano che la banca abbia risarcito il cliente pur non avendo una reale colpa per l'attacco e, aggiungo, pur avendo negato le proprie responsabilità nella risposta fornita al cliente. E in effetti in casi simili è raro leggere notizie di rimborsi, anche in relazione a presunte o potenziali corresponsabilità del correntista.
In questo caso mi sembrano però dirimenti i punti 3, 4 e 15.7 della perizia del Dott. Rapetto (e forse anche l'autorevolezza del perito…), che si riferiscono ad una procedura di "Recall", forse colpevolmente non eseguita o eseguita fuori termine da parte della Banca, o forse eseguita correttamente e che quindi ha consentito di recuperare i fondi indebitamente sottratti.
E' infatti evidente che in questo caso specifico sussistessero le condizioni per l'applicazione della suddetta procedura (BEU eseguito in modo fraudolento + richiesta di "Recall" entro 10 giorni lavorativi).
Senza questo elemento a mio avviso l'esito non sarebbe stato così scontato. Temo che il diffuso e ormai annoso problema dello "SIM Swap" permanga…
http://blog.cesaregallotti.it/2021/03/caso-di-sim-swap.html.
Riporto nel seguito le sue parole e lo ringrazio.
Condivido la sua osservazione sul fatto che appaia strano che la banca abbia risarcito il cliente pur non avendo una reale colpa per l'attacco e, aggiungo, pur avendo negato le proprie responsabilità nella risposta fornita al cliente. E in effetti in casi simili è raro leggere notizie di rimborsi, anche in relazione a presunte o potenziali corresponsabilità del correntista.
In questo caso mi sembrano però dirimenti i punti 3, 4 e 15.7 della perizia del Dott. Rapetto (e forse anche l'autorevolezza del perito…), che si riferiscono ad una procedura di "Recall", forse colpevolmente non eseguita o eseguita fuori termine da parte della Banca, o forse eseguita correttamente e che quindi ha consentito di recuperare i fondi indebitamente sottratti.
E' infatti evidente che in questo caso specifico sussistessero le condizioni per l'applicazione della suddetta procedura (BEU eseguito in modo fraudolento + richiesta di "Recall" entro 10 giorni lavorativi).
Senza questo elemento a mio avviso l'esito non sarebbe stato così scontato. Temo che il diffuso e ormai annoso problema dello "SIM Swap" permanga…
giovedì 15 aprile 2021
Stato delle norme ISO/IEC 270xx - Aprile 2021
Si è concluso il 14 aprile 2021 il meeting semestrale dell'ISO/IEC JTC 1 SC
27. Si è svolto tutto in virtuale.
Come al solito indico le cose che a me hanno interessato di più.
Per i lavori collegati alla ISO/IEC 27001:
- la ISO/IEC 27002, sui controlli di sicurezza, sarà discussa a metà giugno e si spera passi in FDIS e quindi sia pubblicata entro fine 2021 (ma penso che più probabilmente sarà pubblicata a inizio 2022);
- proseguono i lavori sulla ISO/IEC 27005 sulla valutazione del rischio (pubblicazione prevista per fine 2022);
- ripartiranno i lavori per aggiornare la sola appendice A della ISO/IEC 27001 in modo che sia allineata alla nuova ISO/IEC 27002 (si cercherà di seguire una strada veloce, che prevede anche il fatto che la norma non cambierà edizione e rimarrà quindi ISO/IEC 27001:2013);
- partiranno i lavori per aggiornare la ISO/IEC 27006-1 in modo che sia progettata in modo da rendere meglio gestibili le altre parti (l'attuale ISO/IEC 27006-2 e le eventuali future parti dedicate ad altri schemi di estensione della ISO/IEC 27001);
- si è anche discusso dei lavori che dovranno riguardare alcune norme (p.e. la ISO/IEC 27017) strettamente collegate alla ISO/IEC 27002.
Per quanto riguarda le norme sulla privacy, segnalo:
- la discussione sulla ISO/IEC 27006-2 (regole di accreditamento, e quindi di certificazione, per la ISO/IEC 27701), perché si ha l'intenzione di riprenderla in mano in modo da correggere alcune cose, migliorare il calcolo delle giornate di audit e farla uscire come International standard e non più come TS entro fine 2023; non penso che per noi italiani questo aggiornamento sia particolarmente urgente, ma sembra che per altri Paesi lo sia e quindi dobbiamo rispettare le loro esigenze;
- i lavori della ISO/IEC 27557 (Organizational privacy risk management), che ho seguito per il dibattito su alcuni concetti interessanti e non per l'importanza della norma;
- la prossima pubblicazione in autunno 2021 della ISO/IEC 27555 sulla cancellazione dei dati personali.
Sicuramente avrò dimenticato qualcosa per colpa della fretta e me ne scuso
con tutti i lettori.
Come al solito indico le cose che a me hanno interessato di più.
Per i lavori collegati alla ISO/IEC 27001:
- la ISO/IEC 27002, sui controlli di sicurezza, sarà discussa a metà giugno e si spera passi in FDIS e quindi sia pubblicata entro fine 2021 (ma penso che più probabilmente sarà pubblicata a inizio 2022);
- proseguono i lavori sulla ISO/IEC 27005 sulla valutazione del rischio (pubblicazione prevista per fine 2022);
- ripartiranno i lavori per aggiornare la sola appendice A della ISO/IEC 27001 in modo che sia allineata alla nuova ISO/IEC 27002 (si cercherà di seguire una strada veloce, che prevede anche il fatto che la norma non cambierà edizione e rimarrà quindi ISO/IEC 27001:2013);
- partiranno i lavori per aggiornare la ISO/IEC 27006-1 in modo che sia progettata in modo da rendere meglio gestibili le altre parti (l'attuale ISO/IEC 27006-2 e le eventuali future parti dedicate ad altri schemi di estensione della ISO/IEC 27001);
- si è anche discusso dei lavori che dovranno riguardare alcune norme (p.e. la ISO/IEC 27017) strettamente collegate alla ISO/IEC 27002.
Per quanto riguarda le norme sulla privacy, segnalo:
- la discussione sulla ISO/IEC 27006-2 (regole di accreditamento, e quindi di certificazione, per la ISO/IEC 27701), perché si ha l'intenzione di riprenderla in mano in modo da correggere alcune cose, migliorare il calcolo delle giornate di audit e farla uscire come International standard e non più come TS entro fine 2023; non penso che per noi italiani questo aggiornamento sia particolarmente urgente, ma sembra che per altri Paesi lo sia e quindi dobbiamo rispettare le loro esigenze;
- i lavori della ISO/IEC 27557 (Organizational privacy risk management), che ho seguito per il dibattito su alcuni concetti interessanti e non per l'importanza della norma;
- la prossima pubblicazione in autunno 2021 della ISO/IEC 27555 sulla cancellazione dei dati personali.
Sicuramente avrò dimenticato qualcosa per colpa della fretta e me ne scuso
con tutti i lettori.
Not boring privacy
Un'iniziativa degli Idraulici della privacy è il canale Instagram
notboringprivacy:
- https://www.instagram.com/notboringprivacy/.
Io dico che mi sono iscritto a Instagram solo per seguirlo.
L'iscrizione però è inquietante e non la capisco: se inserisco la mia email
(cesare@dominio.it), mi dice "Another account is using cesare@dominio.it".
Allora gli dico che ho dimenticato la password e mi dice "No users found".
Boh...
Ma la cosa importante, dicevo, è che il canale raccoglie vignette amene
sulla privacy. Lo raccomando.
Anche perché si tratta di un'iniziativa degli Idraulici della privacy (e in particolare di Glauco Rampogna).
Android e iOS inviano dati anche se non vogliamo
E' stata pubblicata una ricerca in cui si dimostra che i dispositivi con
Android e iOS inviano molti dati a Google e Apple anche quando gli utenti li
configurano affinché non lo facciano:
- https://www.theregister.com/2021/04/01/android_ios_location/.
L'articolo segnalato riporta il link alla ricerca completa (in pdf) e le risposte, sempre inquietanti, di Google.
- https://www.theregister.com/2021/04/01/android_ios_location/.
L'articolo segnalato riporta il link alla ricerca completa (in pdf) e le risposte, sempre inquietanti, di Google.
App medicali e sicurezza
A metà 2017 avevo segnalato un articolo sul "futuro" regolamento UE sui
dispositivi medici. Poi il regolamento è stato pubblicato, ma non ho più
trattato l'argomento, anche se, in questi anni, ho collaborato in alcuni
progetti relativi ai dispositivi medici e all'attenzione che il nuovo
regolamento pone sulla sicurezza informatica.
Mi ha risvegliato Enos D'Andrea che ringrazio. Mi ha ricordato che il 26 maggio 2021 scade il termine per l'applicazione del regolamento europeo sui dispositivi medici approvato nel 2017. La scadenza era inizialmente prevista per l'anno scorso ed è stata posticipata di un anno causa COVID.
Il regolamento include anche requisiti di privacy e sicurezza per il software con finalità diagnostiche, incluse le applicazioni che monitorano i parametri di salute con finalità diagnostiche, che dovranno quindi obbligatoriamente certificarsi. Complesso è capire la differenza tra app di fitness e mediche.
Innanzi tutto ricordo l'articolo "iniziale" che avevo segnalato nel 2017:
- https://www.filodiritto.com/app-medicali-e-nuovo-regolamento-ue-sui-dispositivi-medici.
Poi segnalo dove trovare il Regolamento aggiornato ad oggi (ultimo aggiornamento del 23 aprile 2020):
- https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02017R0745-20200424.
Quindi segnalo la "MDCG 2019-16 - Guidance on Cybersecurity for medical devices":
- https://ec.europa.eu/docsroom/documents/41863.
Comunque io non sono esperto di questa materia, ma credo sia giusto tenerla monitorata.
Mi ha risvegliato Enos D'Andrea che ringrazio. Mi ha ricordato che il 26 maggio 2021 scade il termine per l'applicazione del regolamento europeo sui dispositivi medici approvato nel 2017. La scadenza era inizialmente prevista per l'anno scorso ed è stata posticipata di un anno causa COVID.
Il regolamento include anche requisiti di privacy e sicurezza per il software con finalità diagnostiche, incluse le applicazioni che monitorano i parametri di salute con finalità diagnostiche, che dovranno quindi obbligatoriamente certificarsi. Complesso è capire la differenza tra app di fitness e mediche.
Innanzi tutto ricordo l'articolo "iniziale" che avevo segnalato nel 2017:
- https://www.filodiritto.com/app-medicali-e-nuovo-regolamento-ue-sui-dispositivi-medici.
Poi segnalo dove trovare il Regolamento aggiornato ad oggi (ultimo aggiornamento del 23 aprile 2020):
- https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX:02017R0745-20200424.
Quindi segnalo la "MDCG 2019-16 - Guidance on Cybersecurity for medical devices":
- https://ec.europa.eu/docsroom/documents/41863.
Comunque io non sono esperto di questa materia, ma credo sia giusto tenerla monitorata.
domenica 11 aprile 2021
Materiale di formazione su OWASP Top 10 per il web
Glauco Rampogna (questo mese mi ha fornito molte indicazioni interessanti!)
mi ha segnalato questo sito dove sono disponibili applicazioni interattive
per formazione delle OWASP Top 10 per il web:
- https://application.security/free/owasp-top-10.
Come dice Glauco, può essere usato "al posto di mille webinar a pagamento". E in effetti ho trovato più indicazioni utili e approfondite qui che nelle presentazioni che ho sentito finora, tranne una di Paolo Perego (https://codiceinsicuro.it/) ormai troppi anni fa.
Io confesso di aver guardato solo la ricostruzione dell'attacco a Capital One con un attacco SSRF e la "Vertical Privilege Escalation". Non ho capito proprio tutto, ma penso proprio si tratti di un buon approccio per spiegare ai non tecnici come me alcune possibili vulnerabilità e ai tecnici come mitigarle.
- https://application.security/free/owasp-top-10.
Come dice Glauco, può essere usato "al posto di mille webinar a pagamento". E in effetti ho trovato più indicazioni utili e approfondite qui che nelle presentazioni che ho sentito finora, tranne una di Paolo Perego (https://codiceinsicuro.it/) ormai troppi anni fa.
Io confesso di aver guardato solo la ricostruzione dell'attacco a Capital One con un attacco SSRF e la "Vertical Privilege Escalation". Non ho capito proprio tutto, ma penso proprio si tratti di un buon approccio per spiegare ai non tecnici come me alcune possibili vulnerabilità e ai tecnici come mitigarle.
Il furto di dati personali da Facebook
Glauco Rampogna mi ha segnalato questo articolo sul furto di dati personali
da Facebook:
- https://www.businessinsider.com/stolen-data-of-533-million-facebook-users-leaked-online-2021-4?IR=T.
Ormai questa è una notizia super nota e richiamata da tutte le testate giornalistiche. Non mi sembra però di aver letto articoli tecnicamente significativi.
Tranne questo (sempre segnalato da Glauco qualche giorno dopo):
- https://www.reuters.com/article/us-facebook-data-leak/facebook-does-not-plan-to-notify-half-billion-users-affected-by-data-leak-idUSKBN2BU2ZY.
La cosa interessante è che Glauco ha cercato il mio nome e l'ha trovato con il numero di cellulare. Ora... non mi sembra di averlo mai dato a Facebook. Mi sa che l'ha reperito da WhatsApp e infatti sul profilo di Facebook il mio cellulare non risulta disponibile. Quindi vuol dire che ha aggregato dati credo senza una vera necessità. Ottimo...
Tra l'altro, in questi giorni ci sono stati altri attacchi (dati rubati a LinkedIn, blocco dei servizi a Brescia per ransomware e del servizio Axios per le scuole sempre per ransomware, analisi del Garante dell'incidente a Booking.com a inizio 2019), però nessuno degli articoli che ho visto ci insegna veramente qualcosa, tranne la necessità di stare attenti.
- https://www.businessinsider.com/stolen-data-of-533-million-facebook-users-leaked-online-2021-4?IR=T.
Ormai questa è una notizia super nota e richiamata da tutte le testate giornalistiche. Non mi sembra però di aver letto articoli tecnicamente significativi.
Tranne questo (sempre segnalato da Glauco qualche giorno dopo):
- https://www.reuters.com/article/us-facebook-data-leak/facebook-does-not-plan-to-notify-half-billion-users-affected-by-data-leak-idUSKBN2BU2ZY.
La cosa interessante è che Glauco ha cercato il mio nome e l'ha trovato con il numero di cellulare. Ora... non mi sembra di averlo mai dato a Facebook. Mi sa che l'ha reperito da WhatsApp e infatti sul profilo di Facebook il mio cellulare non risulta disponibile. Quindi vuol dire che ha aggregato dati credo senza una vera necessità. Ottimo...
Tra l'altro, in questi giorni ci sono stati altri attacchi (dati rubati a LinkedIn, blocco dei servizi a Brescia per ransomware e del servizio Axios per le scuole sempre per ransomware, analisi del Garante dell'incidente a Booking.com a inizio 2019), però nessuno degli articoli che ho visto ci insegna veramente qualcosa, tranne la necessità di stare attenti.
Risoluzione del Parlamento EU sull'applicazione del GDPR
Glauco Rampogna (un Idraulico della privacy) ha segnalato la pubblicazione
della "Valutazione della Commissione sull'applicazione del regolamento
generale sulla protezione dei dati due anni dopo la sua attuazione" e la
"Risoluzione del Parlamento europeo" in merito alla valutazione della
Commissione:
- https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_IT.html.
Il testo è di 14 pagine (il link proposto riporta all'edizione italiana). Io però preferisco riportare quello che mi ha segnalato Glauco.
Glauco segnala il punto 7:
esprime preoccupazione per il fatto che il "legittimo interesse" è molto spesso citato in modo improprio come base giuridica del trattamento; rileva che i titolari del trattamento continuano a basarsi sul legittimo interesse senza effettuare il necessario esame del bilanciamento degli interessi, che comprende una valutazione dei diritti fondamentali; esprime particolare preoccupazione per il fatto che alcuni Stati membri stanno adottando una legislazione nazionale per determinare le condizioni per il trattamento sulla base del legittimo interesse, prevedendo il bilanciamento dei rispettivi interessi del titolare del trattamento e delle persone interessate, mentre il GDPR obbliga ogni singolo titolare del trattamento a effettuare tale esame del bilanciamento a livello individuale e ad avvalersi di tale fondamento giuridico; teme che alcune interpretazioni nazionali del legittimo interesse non rispettino il considerando 47 e vietino di fatto il trattamento sulla base del legittimo interesse; si compiace che l'EDPB abbia già avviato i lavori per aggiornare il parere del gruppo di lavoro "Articolo 29" sull'applicazione del legittimo interesse quale base giuridica per il trattamento, al fine di affrontare le questioni evidenziate nella relazione della Commissione.
e il punto 23:
si rammarica del fatto che il ricorso, da parte degli Stati membri, alle clausole di specificazione facoltative (ad esempio, il trattamento nell'interesse pubblico o da parte delle autorità pubbliche sulla base del diritto dello Stato membro e dell'età del consenso dei minori) abbia pregiudicato il conseguimento di una piena armonizzazione della protezione dei dati e l'eliminazione di condizioni di mercato divergenti per le imprese in tutta l'UE, ed esprime preoccupazione in relazione al fatto che ciò può far aumentare il costo della conformità al GDPR.
Personalmente trovo particolarmente interessante il fatto che l'EDPB voglia aggiornare l'opinione del WP Art. 29 del 2014 in merito al legittimo interesse, in quanto basato sulla precedente Direttiva privacy.
- https://www.europarl.europa.eu/doceo/document/TA-9-2021-0111_IT.html.
Il testo è di 14 pagine (il link proposto riporta all'edizione italiana). Io però preferisco riportare quello che mi ha segnalato Glauco.
Glauco segnala il punto 7:
esprime preoccupazione per il fatto che il "legittimo interesse" è molto spesso citato in modo improprio come base giuridica del trattamento; rileva che i titolari del trattamento continuano a basarsi sul legittimo interesse senza effettuare il necessario esame del bilanciamento degli interessi, che comprende una valutazione dei diritti fondamentali; esprime particolare preoccupazione per il fatto che alcuni Stati membri stanno adottando una legislazione nazionale per determinare le condizioni per il trattamento sulla base del legittimo interesse, prevedendo il bilanciamento dei rispettivi interessi del titolare del trattamento e delle persone interessate, mentre il GDPR obbliga ogni singolo titolare del trattamento a effettuare tale esame del bilanciamento a livello individuale e ad avvalersi di tale fondamento giuridico; teme che alcune interpretazioni nazionali del legittimo interesse non rispettino il considerando 47 e vietino di fatto il trattamento sulla base del legittimo interesse; si compiace che l'EDPB abbia già avviato i lavori per aggiornare il parere del gruppo di lavoro "Articolo 29" sull'applicazione del legittimo interesse quale base giuridica per il trattamento, al fine di affrontare le questioni evidenziate nella relazione della Commissione.
e il punto 23:
si rammarica del fatto che il ricorso, da parte degli Stati membri, alle clausole di specificazione facoltative (ad esempio, il trattamento nell'interesse pubblico o da parte delle autorità pubbliche sulla base del diritto dello Stato membro e dell'età del consenso dei minori) abbia pregiudicato il conseguimento di una piena armonizzazione della protezione dei dati e l'eliminazione di condizioni di mercato divergenti per le imprese in tutta l'UE, ed esprime preoccupazione in relazione al fatto che ciò può far aumentare il costo della conformità al GDPR.
Personalmente trovo particolarmente interessante il fatto che l'EDPB voglia aggiornare l'opinione del WP Art. 29 del 2014 in merito al legittimo interesse, in quanto basato sulla precedente Direttiva privacy.
lunedì 5 aprile 2021
Rapporto Clusit 2021
Come ogni anno, anche nel 2021 il Clusit ha pubblicato il suo rapporto:
- https://clusit.it/rapporto-clusit/.
I numeri, di per sé stessi, non mi entusiasmano molto, anche perché sono sempre alti e, oltre una certa soglia, non dicono altro che "bisogna stare attenti". Da questo punto di vista, il rapporto Clusit ogni anno trova un messaggio nuovo e nel 2021 è "siamo sotto assedio".
Alcuni aspetti sono però degni di nota. Ovviamente le tipologie di attacco più diffuse, che confermano il malware e il social engineering e quindi la necessità di educare le persone a riconoscere ed evitare questi attacchi (sempre più difficile, anche per la qualità sempre più alta delle email di accompagnamento di questi attacchi).
Vedo che anche l'attacco BEC (Business email compromise) è molto diffuso e devo dire che in questi anni l'ho sempre sottovalutato, ma nel 2020 un paio di miei clienti ne sono rimasti vittima e quindi sbagliavo. Questo mi impone di proporre alle organizzazioni per cui lavoro qualche forma di formazione su questo tema (accetto suggerimenti). Ed ecco quindi che già questo rapporto Clusit si è dimostrato per me molto utile.
Ho trovato anche molto interessante lo speciale sulla supply chain security, altro argomento a mio avviso o sottovalutato o trattato molto male (vedo ancora troppi questionari inutili che girano, come se potessero risolvere la situazione).
Io ho segnalato gli argomenti che a me hanno interessato maggiormente, ma sono sicuro che ciascuno troverà pane per i suoi denti e quindi ne raccomando la lettura.
- https://clusit.it/rapporto-clusit/.
I numeri, di per sé stessi, non mi entusiasmano molto, anche perché sono sempre alti e, oltre una certa soglia, non dicono altro che "bisogna stare attenti". Da questo punto di vista, il rapporto Clusit ogni anno trova un messaggio nuovo e nel 2021 è "siamo sotto assedio".
Alcuni aspetti sono però degni di nota. Ovviamente le tipologie di attacco più diffuse, che confermano il malware e il social engineering e quindi la necessità di educare le persone a riconoscere ed evitare questi attacchi (sempre più difficile, anche per la qualità sempre più alta delle email di accompagnamento di questi attacchi).
Vedo che anche l'attacco BEC (Business email compromise) è molto diffuso e devo dire che in questi anni l'ho sempre sottovalutato, ma nel 2020 un paio di miei clienti ne sono rimasti vittima e quindi sbagliavo. Questo mi impone di proporre alle organizzazioni per cui lavoro qualche forma di formazione su questo tema (accetto suggerimenti). Ed ecco quindi che già questo rapporto Clusit si è dimostrato per me molto utile.
Ho trovato anche molto interessante lo speciale sulla supply chain security, altro argomento a mio avviso o sottovalutato o trattato molto male (vedo ancora troppi questionari inutili che girano, come se potessero risolvere la situazione).
Io ho segnalato gli argomenti che a me hanno interessato maggiormente, ma sono sicuro che ciascuno troverà pane per i suoi denti e quindi ne raccomando la lettura.
Iscriviti a:
Post (Atom)