È disponibile la versione 3.0.1 della OWASP Application Security Verification Standard (ASVS):
- https://www.owasp.org/index.php/Category:OWASP_Application_Security_Verification_Standard_Project.
Mi sembra una interessante check list per 3 livelli diversi di criticità delle applicazioni. Ovviamente la check list può essere vista "al contrario" ed essere usata non solo per le verifiche, ma anche per gestire i progetti.
Questa mi è stata segnalata da Daniel Halber di HID Global e lo ringrazio.
venerdì 21 ottobre 2016
lunedì 17 ottobre 2016
ISO 37001 sui sistemi anti frode
Massimo Cottafavi di SNAM mi informa della pubblicazione della ISO 37001:2016 dal titolo "Anti-bribery management systems - Requirements with guidance for use":
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=65034.
Al momento non ne so altro se non quanto riportato da questo post su LinkedIn (sempre segnalato da Massimo):
- https://www.linkedin.com/pulse/pubblicata-la-norma-iso-370012016-diretta-streaming-di-ciro-strazzeri.
- http://www.iso.org/iso/home/store/catalogue_tc/catalogue_detail.htm?csnumber=65034.
Al momento non ne so altro se non quanto riportato da questo post su LinkedIn (sempre segnalato da Massimo):
- https://www.linkedin.com/pulse/pubblicata-la-norma-iso-370012016-diretta-streaming-di-ciro-strazzeri.
mercoledì 12 ottobre 2016
Privacy, timbrature e GPS
Ringrazio ancora Pierfrancesco Maistrello di Vecomp per avermi segnalato questo recente Provvedimento del Garante dal titolo "Verifica preliminare. Trattamento di dati personali dei dipendenti effettuato attraverso la localizzazione di dispositivi smartphone per finalità di rilevazione delle presenze":
- http://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/5497522.
In poche parole, il Garante ha autorizzato l'uso di un sistema alternativo al cartellino per la rilevazione presenze di dipendenti e collaboratori: la persona usa una app dello smartphone per selezionare "entrata" e "uscita"; la app, con il GPS, registra anche la posizione della persona, in modo da verificare che la segnalazione avvenga veramente sul posto di lavoro.
La sentenza è interessante perché stabilisce alcune misure da considerare: aggiornamento dell'informativa, rapporti con il fornitore, tempi di conservazione dei dati (5 anni per le timbrature, il minimo indispensabile per la posizione), la notifica al Garante stesso.
- http://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/5497522.
In poche parole, il Garante ha autorizzato l'uso di un sistema alternativo al cartellino per la rilevazione presenze di dipendenti e collaboratori: la persona usa una app dello smartphone per selezionare "entrata" e "uscita"; la app, con il GPS, registra anche la posizione della persona, in modo da verificare che la segnalazione avvenga veramente sul posto di lavoro.
La sentenza è interessante perché stabilisce alcune misure da considerare: aggiornamento dell'informativa, rapporti con il fornitore, tempi di conservazione dei dati (5 anni per le timbrature, il minimo indispensabile per la posizione), la notifica al Garante stesso.
martedì 11 ottobre 2016
Wi-fi pubblico e responsabilità
Segnalo questo articolo dal titolo auto-esplicativo "Chi offre al pubblico un servizio Wi-Fi gratuito non è responsabile per le attività degli utenti":
- http://www.filodiritto.com/articoli/2016/10/chi-offre-al-pubblico-un-servizio-wi-fi-gratuito-non-e-responsabile-per-le-attivita-degli-utenti.html.
Si tratta di una decisione recente della Corte di Giustizia dell'Unione Europea.
- http://www.filodiritto.com/articoli/2016/10/chi-offre-al-pubblico-un-servizio-wi-fi-gratuito-non-e-responsabile-per-le-attivita-degli-utenti.html.
Si tratta di una decisione recente della Corte di Giustizia dell'Unione Europea.
Codice deontologico privacy e informazione commerciale
Segnalo che il Garante privacy ha pubblicato il "Codice di deontologia e di buona condotta per il trattamento dei dati personali effettuato a fini di informazione commerciale":
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4298343.
Questo codice deontologico copre un'area non ancora trattata nell'ambito delle comunicazioni commerciali e di marketing, ossia il caso in cui i dati personali siano stati forniti direttamente dagli interessati, magari nell'ambito di altre operazioni.
http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/4298343.
Questo codice deontologico copre un'area non ancora trattata nell'ambito delle comunicazioni commerciali e di marketing, ossia il caso in cui i dati personali siano stati forniti direttamente dagli interessati, magari nell'ambito di altre operazioni.
Analisi del nuovo CAD
Segnalo, dopo averne segnalati altri, questo articolo sul nuovo CAD (grazie a Franco Ferrari di DNV GL):
- http://www.agendadigitale.eu/egov/c-era-una-volta-la-pec-la-norma-cad-la-svaluta_2526.htm.
Andrea Caccia riassume le ragioni delle modifiche al Codice dell'amministrazione digitale (CAD) e si concentra sul futuro della PEC.
- http://www.agendadigitale.eu/egov/c-era-una-volta-la-pec-la-norma-cad-la-svaluta_2526.htm.
Andrea Caccia riassume le ragioni delle modifiche al Codice dell'amministrazione digitale (CAD) e si concentra sul futuro della PEC.
Assicurazioni sulla sicurezza ICT
Segnalo questo articolo dal titolo "Le nuove polizze di copertura assicurativa sul Cyber Risk":
- www.altalex.com/documents/news/2016/09/23/le-nuove-polizze-di-copertura-assicurativa-sul-cyber-risk.
Sono sempre perplesso in merito a questo tipo di assicurazioni, e ne ho già scritto in passato
(http://blog.cesaregallotti.it/2016/03/studio-sulle-assicurazioni-informatiche.html,
http://blog.cesaregallotti.it/2015/12/lo-stato-delle-cyber-assicurazioni.html,
http://blog.cesaregallotti.it/2015/10/assicurazione-si-rifiuta-di-pagare-dopo.html,
http://blog.cesaregallotti.it/2014/07/le-assicurazioni-relative-agli.html e
http://blog.cesaregallotti.it/2012/08/assicurazioni-e-sicurezza-informatica.html).
Questo articolo ha il pregio di presentare degli esempi reali di polizze (anche se mi pare di vedere anche un po' di pubblicità).
- www.altalex.com/documents/news/2016/09/23/le-nuove-polizze-di-copertura-assicurativa-sul-cyber-risk.
Sono sempre perplesso in merito a questo tipo di assicurazioni, e ne ho già scritto in passato
(http://blog.cesaregallotti.it/2016/03/studio-sulle-assicurazioni-informatiche.html,
http://blog.cesaregallotti.it/2015/12/lo-stato-delle-cyber-assicurazioni.html,
http://blog.cesaregallotti.it/2015/10/assicurazione-si-rifiuta-di-pagare-dopo.html,
http://blog.cesaregallotti.it/2014/07/le-assicurazioni-relative-agli.html e
http://blog.cesaregallotti.it/2012/08/assicurazioni-e-sicurezza-informatica.html).
Questo articolo ha il pregio di presentare degli esempi reali di polizze (anche se mi pare di vedere anche un po' di pubblicità).
Misure minime di AgID per la PA
Più di uno (cito Pierfrancesco Maistrello di Vecomp, ma anche la mailing list di sikurezza.org e Franco Ferrari di DNV GL) mi hanno segnalato la pubblicazione delle "Misure minime per la sicurezza ICT delle pubbliche amministrazioni" dell'AgID:
- http://www.agid.gov.it/notizie/2016/09/26/misure-minime-sicurezza-informatica-pubbliche-amministrazioni.
Le ho lette e non mi sono piaciute. Innanzi tutto perché sono ricavate dal Cyber Security Framework (CSF) del NIST, su cui ho già espresso delle perplessità. Poi perché ritengo che queste "misure minime" siano un riassunto mal fatto dei controlli del CSF.
Infatti, come mi dice Pierfrancesco:
1- queste misure minime non sono veramente "minime" e contengono cose oggi irrealizzabili (e, aggiungo io, forse inutili) come il DLP;
2- propone una valutazione delle misure per un livello "minimo", "standard" e "alto" senza indicare esattamente come stabilirlo.
Infine io aggiungo una cosa già detta tempo fa: negli anni, con fatica, la Pubblica amministrazione si è avvicinata alla ISO/IEC 27001; non capisco che senso abbia aggiungere un altro schema.
- http://www.agid.gov.it/notizie/2016/09/26/misure-minime-sicurezza-informatica-pubbliche-amministrazioni.
Le ho lette e non mi sono piaciute. Innanzi tutto perché sono ricavate dal Cyber Security Framework (CSF) del NIST, su cui ho già espresso delle perplessità. Poi perché ritengo che queste "misure minime" siano un riassunto mal fatto dei controlli del CSF.
Infatti, come mi dice Pierfrancesco:
1- queste misure minime non sono veramente "minime" e contengono cose oggi irrealizzabili (e, aggiungo io, forse inutili) come il DLP;
2- propone una valutazione delle misure per un livello "minimo", "standard" e "alto" senza indicare esattamente come stabilirlo.
Infine io aggiungo una cosa già detta tempo fa: negli anni, con fatica, la Pubblica amministrazione si è avvicinata alla ISO/IEC 27001; non capisco che senso abbia aggiungere un altro schema.
Report semestrale Cisco sulla sicurezza
Segnalo il "Report semestrale sulla cybersecurity 2016" di Cisco del luglio 2016 (mi diverto a segnalare che la data è solo nell'ultima pagina):
- http://www.cisco.com/c/m/it_it/offers/sc04/2016-midyear-cybersecurity-report/index.html.
Nulla di nuovo, molto tecnico e con qualche pubblicità. Però ritengo sia fatto bene e vale la lettura. Ho trovato particolarmente interessante le pagine dal titolo "Gli attacchi di ransomware nella sanità servono da lezione per tutti i settori" e "Consigli per la sicurezza": due brevi riassunti delle vulnerabilità e delle azioni più importanti.
- http://www.cisco.com/c/m/it_it/offers/sc04/2016-midyear-cybersecurity-report/index.html.
Nulla di nuovo, molto tecnico e con qualche pubblicità. Però ritengo sia fatto bene e vale la lettura. Ho trovato particolarmente interessante le pagine dal titolo "Gli attacchi di ransomware nella sanità servono da lezione per tutti i settori" e "Consigli per la sicurezza": due brevi riassunti delle vulnerabilità e delle azioni più importanti.
lunedì 26 settembre 2016
Neuroscienza e leadership
Ho avuto modo di leggere sul numero Q3 2016 di "Continuity", rivista del BCI, due articoli interessanti:
- The neuroscience of crisis leadership;
- Making the call.
Li segnalo perché mettono in ordine gli errori più frequenti che facciamo, non necessariamente in occasione di crisi:
- atteggiamento di attacco e difesa per paura di sbagliare;
- incapacità di prendere decisioni perché la realtà è troppo diversa da quanto previsto;
- impulsività, che è certo utile, ma deve essere mitigata dal calcolo;
- cattiva comunicazione.
Il secondo articolo elenca un insieme alternativo di errori personali:
- pregiudizio causato dalle aspettative (expectancy bias);
- pregiudizio orientato alla conferma (confirmation bias);
- decisioni prese sulla base di quanto già nelle nostre menti (availability heuristic);
e di gruppo (ricerca del consenso, sottovalutazione dei meno esperti, carisma di un leader).
Per leggere questi articoli (e anche altri, che però mi sono sembrati meno interessanti), è necessario scaricare il pdf della rivista da questa pagina:
- http://www.thebci.org/index.php/continuity.
- The neuroscience of crisis leadership;
- Making the call.
Li segnalo perché mettono in ordine gli errori più frequenti che facciamo, non necessariamente in occasione di crisi:
- atteggiamento di attacco e difesa per paura di sbagliare;
- incapacità di prendere decisioni perché la realtà è troppo diversa da quanto previsto;
- impulsività, che è certo utile, ma deve essere mitigata dal calcolo;
- cattiva comunicazione.
Il secondo articolo elenca un insieme alternativo di errori personali:
- pregiudizio causato dalle aspettative (expectancy bias);
- pregiudizio orientato alla conferma (confirmation bias);
- decisioni prese sulla base di quanto già nelle nostre menti (availability heuristic);
e di gruppo (ricerca del consenso, sottovalutazione dei meno esperti, carisma di un leader).
Per leggere questi articoli (e anche altri, che però mi sono sembrati meno interessanti), è necessario scaricare il pdf della rivista da questa pagina:
- http://www.thebci.org/index.php/continuity.
venerdì 23 settembre 2016
Dossier sul nuovo CAD
Segnalo questa serie di articoli del Forum PA dal titolo "Dossier: Speciale Cad. Inizia la fase attuativa, l'analisi di FPA e dei nostri esperti":
- http://www.forumpa.it/speciale-cad-inizia-la-fase-attuativa-lanalisi-di-fpa-e-dei-nostri-esperti.
- http://www.forumpa.it/speciale-cad-inizia-la-fase-attuativa-lanalisi-di-fpa-e-dei-nostri-esperti.
Normativa: Garante privacy e "strumenti per rendere la prestazione lavorativa" (parte 3)
Appena scritto la "parte 2" di questo post, ecco che mi è arrivata notizia della disponibilità del materiale dell'incontro organizzato da Tech & Law Center dal titolo "Controllo del lavoratori, cyber espionage e tutela del segreto industriale":
- http://techandlaw.net/ita-13-settembre-2016-controllo-del-lavoratori-cyber-espionage-e-tutela-del-segreto-industriale/.
Io ho apprezzato soprattutto il materiale di Jacopo Giunta.
- http://techandlaw.net/ita-13-settembre-2016-controllo-del-lavoratori-cyber-espionage-e-tutela-del-segreto-industriale/.
Io ho apprezzato soprattutto il materiale di Jacopo Giunta.
Vendor Security Alliance
Da Dark Reading Weekly leggo che società come Uber, Dropbox e Twitter hanno costituito la Vendor Security Alliance (VSA):
- http://www.darkreading.com/vulnerabilities---threats/vulnerability-management/uber-dropbox-other-tech-leaders-team-up-to-boost-vendor-security-/d/d-id/1326926?.
L'idea sembrava buona, ma poi leggo che "ogni anno, VSA collaborerà con degli esperti per pubblicare un questionario in modo che le società possano determinare il proprio livello di rischio".
Un altro questionario? Ancora? Secondo me, non servirà a niente. Però potremo leggerlo dal 1 ottobre sul loro sito:
- https://www.vendorsecurityalliance.org/.
Dico questo perché non è il fornitore che deve valutare il proprio livello di rischio, ma sei tu che devi valutarlo e sulla base di questo stabilire le misure di sicurezza da chiedere ai fornitori. E quindi non bisogna inviare un questionario ai fornitori, ma istruzioni precise, e poi agire opportunamente (cambiando il fornitore, dando al fornitore il tempo di adeguarsi, accettare la situazione) nel caso il fornitore non attui quanto richiesto.
- http://www.darkreading.com/vulnerabilities---threats/vulnerability-management/uber-dropbox-other-tech-leaders-team-up-to-boost-vendor-security-/d/d-id/1326926?.
L'idea sembrava buona, ma poi leggo che "ogni anno, VSA collaborerà con degli esperti per pubblicare un questionario in modo che le società possano determinare il proprio livello di rischio".
Un altro questionario? Ancora? Secondo me, non servirà a niente. Però potremo leggerlo dal 1 ottobre sul loro sito:
- https://www.vendorsecurityalliance.org/.
Dico questo perché non è il fornitore che deve valutare il proprio livello di rischio, ma sei tu che devi valutarlo e sulla base di questo stabilire le misure di sicurezza da chiedere ai fornitori. E quindi non bisogna inviare un questionario ai fornitori, ma istruzioni precise, e poi agire opportunamente (cambiando il fornitore, dando al fornitore il tempo di adeguarsi, accettare la situazione) nel caso il fornitore non attui quanto richiesto.
Normativa: Garante privacy e "strumenti per rendere la prestazione lavorativa" (parte 2)
Avevo dato notizia del Provvedimento del Garante privacy che trattava, tra gli altri, degli "strumenti per rendere la prestazione lavorativa":
- http://blog.cesaregallotti.it/2016/09/garante-privacy-e-strumenti-per-rendere.html.
Dal mio commento, in cui sottolineavo il punto relativo agli "strumenti per rendere la prestazione lavorativa", ho avuto modo di scambiare delle opinioni con Giuseppe Bava di Data Management.
Giuseppe intanto mi ha segnalato che il Provvedimento ricorda anche che:
- l'indirizzo MAC è da ritenersi una dato personale;
- le strutture IT non devono memorizzare dati senza finalità precise e plausibili e non devono conservarli per un tempo troppo lungo.
Ma alla fine abbiamo convenuto che sarebbe auspicabile che il Garante aggiorni le Linee guida sull'uso dell'email e Internet sul posto di lavoro, in modo da fornire ulteriore chiarezza sul tema.
- http://blog.cesaregallotti.it/2016/09/garante-privacy-e-strumenti-per-rendere.html.
Dal mio commento, in cui sottolineavo il punto relativo agli "strumenti per rendere la prestazione lavorativa", ho avuto modo di scambiare delle opinioni con Giuseppe Bava di Data Management.
Giuseppe intanto mi ha segnalato che il Provvedimento ricorda anche che:
- l'indirizzo MAC è da ritenersi una dato personale;
- le strutture IT non devono memorizzare dati senza finalità precise e plausibili e non devono conservarli per un tempo troppo lungo.
Ma alla fine abbiamo convenuto che sarebbe auspicabile che il Garante aggiorni le Linee guida sull'uso dell'email e Internet sul posto di lavoro, in modo da fornire ulteriore chiarezza sul tema.
mercoledì 21 settembre 2016
IoT Security framework
Dal SANS NewsBites del 20 settembre trovo la notizia che il Industrial Internet Consortium (IIC) ha pubblicato un Industrial Internet Security Framework (IISF). Questo documento riporta indicazioni per sviluppatori e utenti.
Il documento lo trovate qui:
- http://www.iiconsortium.org/IISF.htm.
Ho cominciato a leggerlo, ma l'ho trovato molto verboso e con poche indicazioni veramente pratiche. Vedo anche molti controlli "organizzativi" (politiche, processi). Intendiamoci: il documento è pieno di spunti interessanti, ma una maggiore sintesi e schematicità avrebbe giovato.
Il documento lo trovate qui:
- http://www.iiconsortium.org/IISF.htm.
Ho cominciato a leggerlo, ma l'ho trovato molto verboso e con poche indicazioni veramente pratiche. Vedo anche molti controlli "organizzativi" (politiche, processi). Intendiamoci: il documento è pieno di spunti interessanti, ma una maggiore sintesi e schematicità avrebbe giovato.
NIST e l'autenticazione via SMS - Precisazioni
Giampiero Raschetti della Banca Popolare di Sondrio mi ha scritto in merito al post che segnalava che il NIST ora "depreca" l'uso degli SMS per l'autenticazione a due fattori nella bozza della nuova versione della SP 800-63. Il mio post:
- http://blog.cesaregallotti.it/2016/08/nist-e-lautenticazione-via-sms.html.
Giampiero mi ricorda che il testo del NIST "depreca" l'uso di SMS o voce attraverso rete PSTN, vista la sua vulnerabilità. Se non capisco male, quindi, l'uso di SMS via GSM non è da scoraggiare.
Giampiero mi ricorda i rischi relativi all'utilizzo di SMS via cellulare, che sono comuni a tutti gli strumenti di autenticazione a due fattori basati su dispositivi mobili, inclusi dunque anche OTP di qualsivoglia natura.
Lo ringrazio per la precisazione.
- http://blog.cesaregallotti.it/2016/08/nist-e-lautenticazione-via-sms.html.
Giampiero mi ricorda che il testo del NIST "depreca" l'uso di SMS o voce attraverso rete PSTN, vista la sua vulnerabilità. Se non capisco male, quindi, l'uso di SMS via GSM non è da scoraggiare.
Giampiero mi ricorda i rischi relativi all'utilizzo di SMS via cellulare, che sono comuni a tutti gli strumenti di autenticazione a due fattori basati su dispositivi mobili, inclusi dunque anche OTP di qualsivoglia natura.
Lo ringrazio per la precisazione.
domenica 18 settembre 2016
Attenzione a Internet!
Non avrei voluto scrivere del caso di Tiziana Cantone: una persona che ha inviato via Internet un suo film hard a degli amici, che a loro volta l'hanno diffuso fin tanto che tale film è diventato di pubblico dominio e la sua protagonista non ha retto la situazione (complici anche gli sberleffi di ogni tipo e un giudice che le ha chiesto 20mila euro di spese processuali quando lei ha chiesto ai social network di cancellare i video) e alla fine si è suicidata.
Ne scrivo perché si tratta di un caso che ci riguarda tutti perché troppo spesso usiamo Internet e i suoi servizi senza renderci veramente conto di quanto siano pubblici e pervasivi.
Ricordiamo in futuro questo caso, non per sbeffeggiare una persona che ha fatto sì una sciocchezza ma l'ha pagata troppo cara, ma per ricordarci e ricordare che ogni foto e ogni video e ogni commento e ogni post che lasciamo su Internet o inviamo via email è come se fosse appeso in una bacheca accessibile al pubblico e che a pagarla sono sempre i meno forti (vi ricordate uno dei casi della Sony, di cui parlai quasi due anni fa su http://blog.cesaregallotti.it/2015/01/una-riflessioen-sullattacco-alla-sony.html, che ha visto la diffusione delle email degli impiegati "normali"?).
E però sembra che qualcosa stia cambiando, forse finalmente una nuova sensibilità si sta diffondendo: una 18enne ha accusato i suoi genitori perché avevano pubblicato le sue foto da bambina su Facebook:
- http://fusion.net/story/347880/sue-your-parents-for-embarrassing-you-on-facebook/.
Ne scrivo perché si tratta di un caso che ci riguarda tutti perché troppo spesso usiamo Internet e i suoi servizi senza renderci veramente conto di quanto siano pubblici e pervasivi.
Ricordiamo in futuro questo caso, non per sbeffeggiare una persona che ha fatto sì una sciocchezza ma l'ha pagata troppo cara, ma per ricordarci e ricordare che ogni foto e ogni video e ogni commento e ogni post che lasciamo su Internet o inviamo via email è come se fosse appeso in una bacheca accessibile al pubblico e che a pagarla sono sempre i meno forti (vi ricordate uno dei casi della Sony, di cui parlai quasi due anni fa su http://blog.cesaregallotti.it/2015/01/una-riflessioen-sullattacco-alla-sony.html, che ha visto la diffusione delle email degli impiegati "normali"?).
E però sembra che qualcosa stia cambiando, forse finalmente una nuova sensibilità si sta diffondendo: una 18enne ha accusato i suoi genitori perché avevano pubblicato le sue foto da bambina su Facebook:
- http://fusion.net/story/347880/sue-your-parents-for-embarrassing-you-on-facebook/.
Garante privacy e "strumenti per rendere la prestazione lavorativa"
Massimo Cottafavi di SNAM e Pierfrancesco Maistrello di Vecomp mi hanno segnalato (quasi in contemporanea) questa sentenza del Garante privacy. La situazione è simile a tante altre: i dipendenti di un'azienda (un'università, in questo caso) si lamentano dei monitoraggi relativi alla navigazione Internet:
- http://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/5408460.
Però qui il Garante parla degli "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa", di cui si parla nel nuovo (del 2015) articolo 4 dello Statuto dei lavoratori (Legge 300 del 1970) e di cui ho parlato in precedenza. Il punto chiave del Provvedimento del Garante è il 4.3.
Se ho capito giusto, il Garante dice che gli strumenti di monitoraggio e tracciamento dell'uso dei servizi Internet non sono da considerare "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa" e pertanto non possono essere utilizzati senza accordi sindacali o autorizzazione della Direzione territoriale del lavoro.
- http://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/5408460.
Però qui il Garante parla degli "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa", di cui si parla nel nuovo (del 2015) articolo 4 dello Statuto dei lavoratori (Legge 300 del 1970) e di cui ho parlato in precedenza. Il punto chiave del Provvedimento del Garante è il 4.3.
Se ho capito giusto, il Garante dice che gli strumenti di monitoraggio e tracciamento dell'uso dei servizi Internet non sono da considerare "strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa" e pertanto non possono essere utilizzati senza accordi sindacali o autorizzazione della Direzione territoriale del lavoro.
ISO 22301 in italiano
Questa volta sembra proprio che la notizia sia vera: è finalmente uscita la versione ufficiale UNI in italiano della ISO 22301:2012, ossia la norma dedicata alla continuità operativa (o "business continuity", per chi è abituato all'ingelse):
- http://store.uni.com/magento-1.4.0.1/index.php/uni-en-iso-22301-2014.html.
Mi chiedo perché ci siano voluti 4 anni per pubblicare questo testo, ma ora è una domanda inutile. Buona lettura e grazie a Franco Ferrari di DNV GL per la notizia!
- http://store.uni.com/magento-1.4.0.1/index.php/uni-en-iso-22301-2014.html.
Mi chiedo perché ci siano voluti 4 anni per pubblicare questo testo, ma ora è una domanda inutile. Buona lettura e grazie a Franco Ferrari di DNV GL per la notizia!
Nuovo CAD
Con il D.Lgs. 179 del 2016 è stato modificato il D.Lgs. 82 del 2005, ossia il CAD, ossia il Codice dell'amministrazione digitale, importante perché regola la gestione dei documenti digitali, non solo nella Pubblica amministrazione. Le modifiche si sono rese necessarie per allineare il CAD al Regolamento eIDAS (EU 910/2014).
È possibile leggere il nuovo CAD ricercandolo su www.normattiva.it.
Grazie ai tweet di Daniele Tumietto, che segnala questo articolo di analisi:
- http://www.mysolutionpost.it/blogs/socialmediamente/ragone/2016/09/codice-amministrazione-digitale.aspx.
Andrea Caccia, invece, analizza gli impatti che il nuovo CAD ha sulla PEC, ossia la Posta elettronica certificata. Non sembrano impatti positivi:
- https://www.linkedin.com/pulse/pec-la-fine-dellincantesimo-andrea-caccia.
Altri articoli usciranno nei prossimi giorni e ne darò notizia.
È possibile leggere il nuovo CAD ricercandolo su www.normattiva.it.
Grazie ai tweet di Daniele Tumietto, che segnala questo articolo di analisi:
- http://www.mysolutionpost.it/blogs/socialmediamente/ragone/2016/09/codice-amministrazione-digitale.aspx.
Andrea Caccia, invece, analizza gli impatti che il nuovo CAD ha sulla PEC, ossia la Posta elettronica certificata. Non sembrano impatti positivi:
- https://www.linkedin.com/pulse/pec-la-fine-dellincantesimo-andrea-caccia.
Altri articoli usciranno nei prossimi giorni e ne darò notizia.
Iscriviti a:
Post (Atom)