Pubblicizzando il libro degli Idraulici della privacy "Un piccolo libro
sulla privacy, il GDPR e come attuarlo", avevo detto che i ricavati
sarebbero andati in beneficenza.
Mi sembra giusto dire come sono andate le cose.
Innanzi tutto abbiamo pubblicato la versione digitale su Streetlib e quella
cartacea prima su Lulu e poi su Youcanprint (distribuisce in più posti
rispetto a Lulu). Ovviamente non abbiamo potere contrattuale con queste
piattaforme che quindi si sono tenute il loro margine.
In tutto al 31 gennaio abbiamo ricavato 1133 Euro. Metà è andata alla
Fondazione Meyer (https://donazioni.fondazionemeyer.it/) e metà alla
Parrocchia di San Stanislao a Roma che si occupa del supporto alimentare
alle famiglie in difficoltà (soprattutto adesso con le difficoltà legate
all'emergenza COVID).
Grazie a quanti hanno sostenuto, anche promuovendola, l'iniziativa.
lunedì 25 gennaio 2021
CSA Cloud Controls Matrix v4
La Cloud security alliance ha pubblicato il 20 gennaio 2021 la versione 4 della sua Cloud Controls Matrix v4:
- https://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4/.
Ho lavorato sulla versione 3 e l'ho trovata in alcuni punti non chiara, in altri inutilmente ripetitiva e in altri ancora (la maggior parte) utilissima e molto significativa. Non ho ancora letto la versione 4 e quindi non mi pronuncio.
Penso che, al di là dei suoi difetti, sia un documento fondamentale per chi si occupa di sicurezza informatica. Infatti è di alta qualità, autorevole e ampiamente riconosciuto. Oltre a ciò, su di esso si basa il porgramma STAR, una sorta di certificazione dei servizi cloud.
Ringrazio Antonio Salis di Engineering per avermi segnalato la novità.
Antonio mi segnala che hanno anche pubblicato due ulteriori documenti:
- Enterprise Architecture CCM Mapping (sulla versione 3.0.1): https://cloudsecurityalliance.org/artifacts/enterprise-architecture-ccm-v301-mapping;
- Enterprise Architecture CCM Shared Responsibility Model:
https://cloudsecurityalliance.org/artifacts/enterprise-architecture-ccm-shared-responsibility-model/.
Cito la email di Antonio Salis: "Questi propongono una mappatura dei controlli CCM secondo un modello di responsabilità condivisa per IaaS, PaaS e SaaS. Vorrebbero dare una vista delle responsabilità lato cloud con il dominio di controllo specifico (per il cloud provider o per il cloud user). Forse per evitare di aggiungere altre colonne al CCM e renderlo ancor più difficile da consultare, hanno gemmato due documenti, ma il risultato non è un esempio di chiarezza". Condivido.
- https://cloudsecurityalliance.org/artifacts/cloud-controls-matrix-v4/.
Ho lavorato sulla versione 3 e l'ho trovata in alcuni punti non chiara, in altri inutilmente ripetitiva e in altri ancora (la maggior parte) utilissima e molto significativa. Non ho ancora letto la versione 4 e quindi non mi pronuncio.
Penso che, al di là dei suoi difetti, sia un documento fondamentale per chi si occupa di sicurezza informatica. Infatti è di alta qualità, autorevole e ampiamente riconosciuto. Oltre a ciò, su di esso si basa il porgramma STAR, una sorta di certificazione dei servizi cloud.
Ringrazio Antonio Salis di Engineering per avermi segnalato la novità.
Antonio mi segnala che hanno anche pubblicato due ulteriori documenti:
- Enterprise Architecture CCM Mapping (sulla versione 3.0.1): https://cloudsecurityalliance.org/artifacts/enterprise-architecture-ccm-v301-mapping;
- Enterprise Architecture CCM Shared Responsibility Model:
https://cloudsecurityalliance.org/artifacts/enterprise-architecture-ccm-shared-responsibility-model/.
Cito la email di Antonio Salis: "Questi propongono una mappatura dei controlli CCM secondo un modello di responsabilità condivisa per IaaS, PaaS e SaaS. Vorrebbero dare una vista delle responsabilità lato cloud con il dominio di controllo specifico (per il cloud provider o per il cloud user). Forse per evitare di aggiungere altre colonne al CCM e renderlo ancor più difficile da consultare, hanno gemmato due documenti, ma il risultato non è un esempio di chiarezza". Condivido.
Sugli schemi di certificazione per GDPR
Fabio Guasconi ha tenuto un interessante webinar il 12 gennaio per il Clusit
e Osservatori (ringrazio poi Franco Vincenzo Ferrari di DNV GL per avermelo
ricordato):
- https://www.osservatori.net/it/eventi/on-demand/webinar/isoiec-27701-certificazione-gdpr-approccio-oggi-domani-webinar.
L'evento è a pagamento. Io mi permetto solo di segnalare due cose che mi erano sfuggite sui lavori di standardizzazione per gli schemi di certificazioni previsti dal GDPR.
In poche parole, a livello CEN, ossia europeo, sono in discussione due standard per la certificazione prevista dal GDPR:
- uno basato sulla ISO/IEC 27701, che prevede un suo "raffinamento" per poterla usare con la ISO/IEC 17065 (come previsto dal GDPR) in ambito europeo;
- uno che prevede un nuovo standard basato sull'italiana PdR 43-2, non più limitata all'ambito ICT e più orientata alle PMI.
La previsione è di finire i lavori entro fine 2021. Poi, ovviamente, bisognerà vedere come saranno recepiti dall'EDPB, visto che questi sarebbero gli standard per le organizzazioni da certificare, ma vanno ancora creati gli schemi di certificazione con le caratteristiche degli organismi di certificazione e le modalità per verificare se gli organismi hanno le caratteristiche previste, le competenze richieste agli auditor, il calcolo dei tempi di audit, eccetera.
- https://www.osservatori.net/it/eventi/on-demand/webinar/isoiec-27701-certificazione-gdpr-approccio-oggi-domani-webinar.
L'evento è a pagamento. Io mi permetto solo di segnalare due cose che mi erano sfuggite sui lavori di standardizzazione per gli schemi di certificazioni previsti dal GDPR.
In poche parole, a livello CEN, ossia europeo, sono in discussione due standard per la certificazione prevista dal GDPR:
- uno basato sulla ISO/IEC 27701, che prevede un suo "raffinamento" per poterla usare con la ISO/IEC 17065 (come previsto dal GDPR) in ambito europeo;
- uno che prevede un nuovo standard basato sull'italiana PdR 43-2, non più limitata all'ambito ICT e più orientata alle PMI.
La previsione è di finire i lavori entro fine 2021. Poi, ovviamente, bisognerà vedere come saranno recepiti dall'EDPB, visto che questi sarebbero gli standard per le organizzazioni da certificare, ma vanno ancora creati gli schemi di certificazione con le caratteristiche degli organismi di certificazione e le modalità per verificare se gli organismi hanno le caratteristiche previste, le competenze richieste agli auditor, il calcolo dei tempi di audit, eccetera.
sabato 23 gennaio 2021
Microsoft Teams (e non solo) e la privacy
Glauco Rampogna degli Idraulici della privacy mi ha segnalato questo
articolo dal titolo, un po' lungo, "I looked at all the ways Microsoft Teams
tracks users and my head is spinning":
- https://www.zdnet.com/article/i-looked-at-all-the-ways-microsoft-teams-tracks-users-and-my-head-is-spinning/.
L'articolo è forse troppo emotivo, ma pone due problemi importanti. Il primo è quello della privacy e del controllo a distanza dei lavoratori. Dovrei capire meglio se e come le funzionalità di monitoraggio possano essere messe a disposizione dei manager, però dovrò approfondire la questione, visti gli impatti sulla privacy.
Il secondo tema è quello delle tecniche gestionali, che vorrebbero, erroneamente, essere quantitative. Come si chiede l'autore, il numero di messaggi inviati è veramente sintomo di una buona produttività (e, aggiungerei, non di inutile spreco di risorse)? Purtroppo il mito del management by objective continua a sopravvivere, nonostante fosse già stato criticato negli anni Quaranta da Deming (non un tizio qualsiasi).
Ovviamente le stesse considerazioni valgono per tutti questi strumenti che da una parte aiutano i lavoratori e le organizzazioni, ma dall'altra mettono a disposizione strumenti per controllare i lavoratori stessi.
- https://www.zdnet.com/article/i-looked-at-all-the-ways-microsoft-teams-tracks-users-and-my-head-is-spinning/.
L'articolo è forse troppo emotivo, ma pone due problemi importanti. Il primo è quello della privacy e del controllo a distanza dei lavoratori. Dovrei capire meglio se e come le funzionalità di monitoraggio possano essere messe a disposizione dei manager, però dovrò approfondire la questione, visti gli impatti sulla privacy.
Il secondo tema è quello delle tecniche gestionali, che vorrebbero, erroneamente, essere quantitative. Come si chiede l'autore, il numero di messaggi inviati è veramente sintomo di una buona produttività (e, aggiungerei, non di inutile spreco di risorse)? Purtroppo il mito del management by objective continua a sopravvivere, nonostante fosse già stato criticato negli anni Quaranta da Deming (non un tizio qualsiasi).
Ovviamente le stesse considerazioni valgono per tutti questi strumenti che da una parte aiutano i lavoratori e le organizzazioni, ma dall'altra mettono a disposizione strumenti per controllare i lavoratori stessi.
Libro su sicurezza delle informazioni e GDPR
Chiara Ponti e Renato Castroreale pubblicheranno (a febbraio) un libro dal
titolo "Il sistema integrato per la sicurezza delle informazioni ed il
GDPR":
- https://www.epc.it/Prodotto/Editoria/Libri/Il-sistema-integrato-per-la-SICUREZZA-delle-INFORMAZIONI-ed-il-GDPR/4909.
Mi hanno chiesto di scrivere la presentazione e io l'ho fatto molto volentieri. Il testo, infatti, tratta di un argomento fondamentale, ossia, come dice il titolo, dell'integrazione delle attività relative alla sicurezza delle informazioni e al GDPR. Oggi sempre più organizzazioni stanno seguendo questo approccio, ma ancora troppe separano quasi completamente le due materie, spesso affidando la prima ai tecnici e la seconda ai legali, senza capire le tantissime relazioni reciproche e la necessità di avere un approccio interdisciplinare in ambedue.
A questo proposito ho ricordato come queste materie permettono di avere grandi soddisfazioni, soprattutto perché: 1) si ha l'opportunità di conoscere persone validissime e molto professionali con esperienze e competenze diverse; 2) questa diversità ci richiede di approfondire il rapporto; 3) alcune volte questo approfondimento sfocia nell'amicizia.
Concludo quindi ringraziando Chiara e Renato per avermi dato l'opportunità di riflettere su queste cose.
- https://www.epc.it/Prodotto/Editoria/Libri/Il-sistema-integrato-per-la-SICUREZZA-delle-INFORMAZIONI-ed-il-GDPR/4909.
Mi hanno chiesto di scrivere la presentazione e io l'ho fatto molto volentieri. Il testo, infatti, tratta di un argomento fondamentale, ossia, come dice il titolo, dell'integrazione delle attività relative alla sicurezza delle informazioni e al GDPR. Oggi sempre più organizzazioni stanno seguendo questo approccio, ma ancora troppe separano quasi completamente le due materie, spesso affidando la prima ai tecnici e la seconda ai legali, senza capire le tantissime relazioni reciproche e la necessità di avere un approccio interdisciplinare in ambedue.
A questo proposito ho ricordato come queste materie permettono di avere grandi soddisfazioni, soprattutto perché: 1) si ha l'opportunità di conoscere persone validissime e molto professionali con esperienze e competenze diverse; 2) questa diversità ci richiede di approfondire il rapporto; 3) alcune volte questo approfondimento sfocia nell'amicizia.
Concludo quindi ringraziando Chiara e Renato per avermi dato l'opportunità di riflettere su queste cose.
giovedì 21 gennaio 2021
Password manager
Segnalo questo articolo dal titolo "Gestione delle credenziali: un'analisi
comparativa dei principali strumenti di Password Management":
- https://www.ictsecuritymagazine.com/articoli/gestione-delle-credenziali-una-comparazione-tra-i-principali-strumenti-di-password-management/.
Mi accorgo di non aver mai scritto alcunché sui password manager, ma sono strumenti oggi essenziali per gestire qualunque ambiente e pertanto vanno conosciuti.
- https://www.ictsecuritymagazine.com/articoli/gestione-delle-credenziali-una-comparazione-tra-i-principali-strumenti-di-password-management/.
Mi accorgo di non aver mai scritto alcunché sui password manager, ma sono strumenti oggi essenziali per gestire qualunque ambiente e pertanto vanno conosciuti.
Analisi dei vulnerability scanner
Segnalo questo articolo dal titolo "I migliori scanner di vulnerabilità per
valutare la sicurezza di un'applicazione Web?":
https://www.ictsecuritymagazine.com/articoli/i-migliori-scanner-di-vulnerabilita-per-valutare-la-sicurezza-di-unapplicazione-web/.
Il titolo è forse più pretenzioso di quanto è il contenuto reale dell'articolo. Però è molto interessante vedere come nessuno dei 7 strumenti di scansione delle vulnerabilità analizzati abbia identificato tutte le vulnerabilità.
Mi sembra che forse altri strumenti avrebbero potuto essere analizzati (i più noti sono Nessus e OpenVAS), ma mi sembra che l'analisi non avesse ambizioni di completezza, essendo stata condotta nell'ambito di una tesi universitaria.
https://www.ictsecuritymagazine.com/articoli/i-migliori-scanner-di-vulnerabilita-per-valutare-la-sicurezza-di-unapplicazione-web/.
Il titolo è forse più pretenzioso di quanto è il contenuto reale dell'articolo. Però è molto interessante vedere come nessuno dei 7 strumenti di scansione delle vulnerabilità analizzati abbia identificato tutte le vulnerabilità.
Mi sembra che forse altri strumenti avrebbero potuto essere analizzati (i più noti sono Nessus e OpenVAS), ma mi sembra che l'analisi non avesse ambizioni di completezza, essendo stata condotta nell'ambito di una tesi universitaria.
sabato 16 gennaio 2021
Attacco a Leonardo S.p.A.
A dicembre è stato identificato un attacco a Leonardo S.p.A., azienda
italiana parzialmente pubblica e presente su molti progetti, inclusi quelli
di difesa.
Glauco Ramponga degli Idraulici della privacy mi ha fatto inviato un buon link:
- https://reaqta.com/2021/01/fujinama-analysis-leonardo-spa/.
Ecco il super-riassunto di Glauco, che ringrazio.
ReaQta Threat Intelligence Team ha identificato il malware utilizzato in un'operazione di esfiltrazione contro Leonardo Spa. L'analisi del malware, che hanno soprannominato Fujinama, ne evidenzia le capacità di furto ed esfiltrazione dei dati mantenendo un profilo ragionevolmente basso, nonostante la mancanza di sofisticazione, principalmente a causa del fatto che il vettore dannoso è stato installato manualmente da un insider.
Quindi il punto chiave è che si sia avverato il caso peggiore: un interno, con responsabilità nella sicurezza informatica, ha installato software dannoso nella rete che avrebbe dovuto proteggere.
Sandro Sanna mi aveva inviato un ulteriore link che riporta la notizia dell'arresto di due possibili responsabili, che avevano l'obiettivo di reperire informazioni relative ad un preciso progetto:
- https://www.startmag.it/innovazione/neuron-ecco-il-vero-bersaglio-dellattacco-hacker-a-leonardo/.
Ricordo che uno dei rischi delle valutazioni del rischio è la cosiddetta sindrome di Fort Apache: si pensa che i "cattivi" siano tutti fuori, mentre dentro ci sono solo i "buoni". Questo caso, veramente significativo, ci ricorda di stare molto attenti.
Glauco Ramponga degli Idraulici della privacy mi ha fatto inviato un buon link:
- https://reaqta.com/2021/01/fujinama-analysis-leonardo-spa/.
Ecco il super-riassunto di Glauco, che ringrazio.
ReaQta Threat Intelligence Team ha identificato il malware utilizzato in un'operazione di esfiltrazione contro Leonardo Spa. L'analisi del malware, che hanno soprannominato Fujinama, ne evidenzia le capacità di furto ed esfiltrazione dei dati mantenendo un profilo ragionevolmente basso, nonostante la mancanza di sofisticazione, principalmente a causa del fatto che il vettore dannoso è stato installato manualmente da un insider.
Quindi il punto chiave è che si sia avverato il caso peggiore: un interno, con responsabilità nella sicurezza informatica, ha installato software dannoso nella rete che avrebbe dovuto proteggere.
Sandro Sanna mi aveva inviato un ulteriore link che riporta la notizia dell'arresto di due possibili responsabili, che avevano l'obiettivo di reperire informazioni relative ad un preciso progetto:
- https://www.startmag.it/innovazione/neuron-ecco-il-vero-bersaglio-dellattacco-hacker-a-leonardo/.
Ricordo che uno dei rischi delle valutazioni del rischio è la cosiddetta sindrome di Fort Apache: si pensa che i "cattivi" siano tutti fuori, mentre dentro ci sono solo i "buoni". Questo caso, veramente significativo, ci ricorda di stare molto attenti.
venerdì 15 gennaio 2021
Sintesi dell'attacco SolarWinds
Per capire bene il caso SolarWinds raccomando l'articolo di Bruce Schneier:
- https://www.schneier.com/blog/archives/2020/12/russias-solarwinds-attack.html.
La prima parte descrive in modo estremamente sintetico, da uno dei più noti esperti di sicurezza informatica (che scrive anche benissimo, cosa molto rara) il caso.
La seconda parte è forse più "strategica" e per me meno interessante.
- https://www.schneier.com/blog/archives/2020/12/russias-solarwinds-attack.html.
La prima parte descrive in modo estremamente sintetico, da uno dei più noti esperti di sicurezza informatica (che scrive anche benissimo, cosa molto rara) il caso.
La seconda parte è forse più "strategica" e per me meno interessante.
giovedì 14 gennaio 2021
EU National capabilities assessment framework
Claudio Sartor (lo ringrazio) mi ha segnalato il "National capabilities
assessment framework" di ENISA:
- https://www.enisa.europa.eu/publications/national-capabilities-assessment-framework.
Mi astengo dal commentarlo perché finora mi sono occupato di sicurezza per organizzazioni private o pubbliche, non a livello nazionale. Però credo che possa essere di interesse per molti.
In particolare, noto che il livello di maturità non è determinato dalla quantità di documentazione prodotta e questo mi sembra un approccio migliore rispetto ad altre pubblicazioni del genere.
- https://www.enisa.europa.eu/publications/national-capabilities-assessment-framework.
Mi astengo dal commentarlo perché finora mi sono occupato di sicurezza per organizzazioni private o pubbliche, non a livello nazionale. Però credo che possa essere di interesse per molti.
In particolare, noto che il livello di maturità non è determinato dalla quantità di documentazione prodotta e questo mi sembra un approccio migliore rispetto ad altre pubblicazioni del genere.
EU Cloud Certification Scheme
Enisa ha avviato la consultazione pubblica per lo schema di certificazione
di sicurezza informatica per i servizi cloud (ringrazio Giovanni
Francescutti di DNV GL Business Assurance e Giancarlo Caroti di Neumus per
avermelo segnalato):
- https://www.enisa.europa.eu/news/enisa-news/cloud-certification-scheme.
Ricordo brevemente che questo schema nasce per le certificazioni promosse dal Cybersecurity act europeo. Questo Regolamento prevede quindi che ENISA proponga degli schemi di certificazione per la sicurezza dei prodotti e servizi informatici. Alcuni schemi sono già attivi (il più celebre è quello noto come Common Criteria, ISO/IEC 15408), ma non sotto il cappello del Cybersecurity act. Ad ora l'unico schema candidato e ufficiale e proprio questo per i servizi cloud.
Va detto che lo schema non necessariamente si baserà sul modello già noto per le certificazioni dei sistemi di gestione (ISO/IEC 27001, per intenderci), ma richiede che ogni Stato membro indichi una NCCA (National cybersecurity certification authority). Non mi risulta che in Italia sia stata ancora indicata. Se però qualcuno ha notizie più aggiornate, gli chiedo di farmele avere.
Per quanto riguarda questa bozza, ho analizzato soprattutto l'Annex A, con i requisiti che devono rispettare i CSP (cloud service provider) che intendono certificarsi. In generale mi sembra scritto male, con molte imprecisioni, ripetizioni e anche cose decisamente discutibili. Vale comunque la pena leggerselo e studiarselo per avere una buona idea dei requisiti che dovrebbero rispettare i CSP.
Spero poi che la versione finale del documento sarà molto migliore di questa bozza.
A questo proposito rimango perplesso su una consultazione pubblica di un documento che ha molti punti dichiaratamente ancora in fase di elaborazione (vedi Annex E e G).
Per quanto riguarda le modalità di verifica, ho letto le appendici senza la dovuta attenzione e quindi è meglio che mi astengo dal commentarle.
- https://www.enisa.europa.eu/news/enisa-news/cloud-certification-scheme.
Ricordo brevemente che questo schema nasce per le certificazioni promosse dal Cybersecurity act europeo. Questo Regolamento prevede quindi che ENISA proponga degli schemi di certificazione per la sicurezza dei prodotti e servizi informatici. Alcuni schemi sono già attivi (il più celebre è quello noto come Common Criteria, ISO/IEC 15408), ma non sotto il cappello del Cybersecurity act. Ad ora l'unico schema candidato e ufficiale e proprio questo per i servizi cloud.
Va detto che lo schema non necessariamente si baserà sul modello già noto per le certificazioni dei sistemi di gestione (ISO/IEC 27001, per intenderci), ma richiede che ogni Stato membro indichi una NCCA (National cybersecurity certification authority). Non mi risulta che in Italia sia stata ancora indicata. Se però qualcuno ha notizie più aggiornate, gli chiedo di farmele avere.
Per quanto riguarda questa bozza, ho analizzato soprattutto l'Annex A, con i requisiti che devono rispettare i CSP (cloud service provider) che intendono certificarsi. In generale mi sembra scritto male, con molte imprecisioni, ripetizioni e anche cose decisamente discutibili. Vale comunque la pena leggerselo e studiarselo per avere una buona idea dei requisiti che dovrebbero rispettare i CSP.
Spero poi che la versione finale del documento sarà molto migliore di questa bozza.
A questo proposito rimango perplesso su una consultazione pubblica di un documento che ha molti punti dichiaratamente ancora in fase di elaborazione (vedi Annex E e G).
Per quanto riguarda le modalità di verifica, ho letto le appendici senza la dovuta attenzione e quindi è meglio che mi astengo dal commentarle.
lunedì 11 gennaio 2021
DFA Open Day 2021
Il 29 gennaio pomeriggio ci sarà il DFA Open Day:
- http://www.perfezionisti.it/open-day/dfa-open-day-2021/.
DFA è un'associazione che raccoglie consulenti, legali, esperti di privacy e tecnici di digital forensics. Ne sono presidente da 2 anni e sono molto contento di questa edizione. Spero parteciperete numerosi.
Io non tengo nessun intervento (tranne uno sconnesso balbettio che sono costretto a fare in virtù del mio ruolo): sarà molto più interessante ascoltare quelli degli altri.
- http://www.perfezionisti.it/open-day/dfa-open-day-2021/.
DFA è un'associazione che raccoglie consulenti, legali, esperti di privacy e tecnici di digital forensics. Ne sono presidente da 2 anni e sono molto contento di questa edizione. Spero parteciperete numerosi.
Io non tengo nessun intervento (tranne uno sconnesso balbettio che sono costretto a fare in virtù del mio ruolo): sarà molto più interessante ascoltare quelli degli altri.
Dig.eat 2021
Parteciperò al Dig.eat 2021 con una breve relazione sulla storia degli
standard e della normativa in materia di sicurezza delle informazioni.
Il Dig.eat sarà dal 18 gennaio al 12 febbraio e il mio intervento sarà proprio il 18 gennaio (ore 15). In apertura, quando la gente non avrà ancora ben capito che è partita l'iniziativa.
Mi sono divertito molto a fare il messaggio di invito (ne avevo fatti 3 ed era previsto che ne selezionassero uno... invece...):
- https://www.linkedin.com/posts/anorc_digeat2021-digitalizzazione-activity-6749980650977144832-sCdZ.
Per iscriversi:
- https://anorc.eu/dig-eat/.
Difetto: per vedere il programma della manifestazione è necessario iscriversi.
Il Dig.eat sarà dal 18 gennaio al 12 febbraio e il mio intervento sarà proprio il 18 gennaio (ore 15). In apertura, quando la gente non avrà ancora ben capito che è partita l'iniziativa.
Mi sono divertito molto a fare il messaggio di invito (ne avevo fatti 3 ed era previsto che ne selezionassero uno... invece...):
- https://www.linkedin.com/posts/anorc_digeat2021-digitalizzazione-activity-6749980650977144832-sCdZ.
Per iscriversi:
- https://anorc.eu/dig-eat/.
Difetto: per vedere il programma della manifestazione è necessario iscriversi.
mercoledì 30 dicembre 2020
Lezioni dall'attacco SolarWinds
A inizio dicembre è stato individuato un attacco verso il software
SolarWinds Orion, usato per la gestione delle reti. Questo software è usato
in molte realtà, in particolare presso i fornitori di servizi di sicurezza. La sua compromissione ha permesso agli attaccanti di creare backdoor presso
gli utilizzatori. Sembra poi che forse altri software e servizi, non solo
SolarWinds Orion, sono stati compromessi.
Il mio riassunto è molto sintetico. Questo, in inglese, è un po' più approfondito, anche se non troppo:
- https://www.darkreading.com/5-key-takeaways-from-the-solarwinds-breach/d/d-id/1339764.
L'articolo che ho segnalato permette anche di individuare utili lezioni per tutti. Infatti, quando sono venuto a conoscenza dell'attacco, ho inizialmente pensato che fosse importante, ma dimostrava solo che anche i prodotti di sicurezza possono essere anch'essi vettori di attacco, ma questo lo sapevamo già da parecchio tempo. Invece, ecco qui due delle lezioni proposte:
- gli strumenti di sicurezza e di gestione dei sistemi e della rete informatica non dovrebbero essere tutti integrati in un'unica piattaforma;
- gli ambienti di sviluppo, non solo quelli di produzione, vanno considerati critici per la sicurezza (ma anche questo lo sapevamo già).
Il mio riassunto è molto sintetico. Questo, in inglese, è un po' più approfondito, anche se non troppo:
- https://www.darkreading.com/5-key-takeaways-from-the-solarwinds-breach/d/d-id/1339764.
L'articolo che ho segnalato permette anche di individuare utili lezioni per tutti. Infatti, quando sono venuto a conoscenza dell'attacco, ho inizialmente pensato che fosse importante, ma dimostrava solo che anche i prodotti di sicurezza possono essere anch'essi vettori di attacco, ma questo lo sapevamo già da parecchio tempo. Invece, ecco qui due delle lezioni proposte:
- gli strumenti di sicurezza e di gestione dei sistemi e della rete informatica non dovrebbero essere tutti integrati in un'unica piattaforma;
- gli ambienti di sviluppo, non solo quelli di produzione, vanno considerati critici per la sicurezza (ma anche questo lo sapevamo già).
giovedì 24 dicembre 2020
Privacy: nuova pagina del Garante per notificare le violazioni
Il Garante lancia un nuovo servizio online per la notifica di violazioni di
dati personali:
- https://servizi.gpdp.it/databreach/s/.
Interessante non solo la semplificazione della procedura (grazie al personale del Garante, che dimostra sempre più, con il passare degli anni, di sapersi interfacciare con le parti interessate), ma anche la procedura di auto-valutazione.
- https://servizi.gpdp.it/databreach/s/.
Interessante non solo la semplificazione della procedura (grazie al personale del Garante, che dimostra sempre più, con il passare degli anni, di sapersi interfacciare con le parti interessate), ma anche la procedura di auto-valutazione.
ENISA Artificial Intelligence Cybersecurity Challenges
ENISA ha pubblicato il documento "AI cybersecurity challenges" (grazie a
Chiara Ponti degli Idraulici della privacy):
- https://www.enisa.europa.eu/publications/artificial-intelligence-cybersecurity-challenges.
Non avevo mai parlato di intelligenza artificiale perché è una materia che ignoravo completamente. Adesso ne so qualcosa in più perché sto partecipando (come correttore di bozze, vista la mia incompetenza) a un libro in materia che uscirà a marzo. Così adesso ne so un pochino, almeno per evitare di annaspare quando vedo l'acronimo IA (o AI) al di fuori dei film e dei libri di fantascienza.
Devo dire, con sollievo, che gli autori della nostra pubblicazione avevano già considerato i punti presentati da ENISA. Anzi, in alcuni casi forse ENISA va troppo nei dettagli e ogni tanto si rischia di perdere di vista l'obiettivo dell'analisi. Però ci sono cose molto interessanti e ne raccomando la lettura.
- https://www.enisa.europa.eu/publications/artificial-intelligence-cybersecurity-challenges.
Non avevo mai parlato di intelligenza artificiale perché è una materia che ignoravo completamente. Adesso ne so qualcosa in più perché sto partecipando (come correttore di bozze, vista la mia incompetenza) a un libro in materia che uscirà a marzo. Così adesso ne so un pochino, almeno per evitare di annaspare quando vedo l'acronimo IA (o AI) al di fuori dei film e dei libri di fantascienza.
Devo dire, con sollievo, che gli autori della nostra pubblicazione avevano già considerato i punti presentati da ENISA. Anzi, in alcuni casi forse ENISA va troppo nei dettagli e ogni tanto si rischia di perdere di vista l'obiettivo dell'analisi. Però ci sono cose molto interessanti e ne raccomando la lettura.
mercoledì 23 dicembre 2020
GDPR e linee guida per lo sviluppo del CNIL
Pietro Calorio degli Idraulici della privacy mi ha segnalato la
pubblicazione del "GDPR Guida per sviluppatori: La CNIL pubblica una GDPR
guida per sviluppatori". Essa è la traduzione italiana della guida che avevo
già commentato a giugno:
- http://blog.cesaregallotti.it/2020/06/gdpr-developers-guide-del-cnil.html.
Per chi volesse la versione originale in francese, in versione 1.0.1, è su GitHub:
- https://github.com/LINCnil/GDPR-Developer-Guide/releases/tag/V1.0.
Le recenti versioni in inglese e in italiano sono anch'esse su GitHub:
- https://github.com/LINCnil/GDPR-Developer-Guide/releases/tag/V1.0.
L'attuale versione è decisamente molto migliore di quella che avevo letto a giugno. Ancora una volta sono accennati molti elementi per la sicurezza dello sviluppo e delle applicazioni e quindi le persone interessate dovrebbero approfondirli con i link messi a disposizione. E', insomma, una lettura che raccomando.
La guida è molto concentrata sul processo di sviluppo e sulla sicurezza dell'ambiente di sviluppo, mentre i requisiti (funzionali e tecnici) da considerare per le applicazioni sono molto pochi. Speriamo nelle prossime versioni.
- http://blog.cesaregallotti.it/2020/06/gdpr-developers-guide-del-cnil.html.
Per chi volesse la versione originale in francese, in versione 1.0.1, è su GitHub:
- https://github.com/LINCnil/GDPR-Developer-Guide/releases/tag/V1.0.
Le recenti versioni in inglese e in italiano sono anch'esse su GitHub:
- https://github.com/LINCnil/GDPR-Developer-Guide/releases/tag/V1.0.
L'attuale versione è decisamente molto migliore di quella che avevo letto a giugno. Ancora una volta sono accennati molti elementi per la sicurezza dello sviluppo e delle applicazioni e quindi le persone interessate dovrebbero approfondirli con i link messi a disposizione. E', insomma, una lettura che raccomando.
La guida è molto concentrata sul processo di sviluppo e sulla sicurezza dell'ambiente di sviluppo, mentre i requisiti (funzionali e tecnici) da considerare per le applicazioni sono molto pochi. Speriamo nelle prossime versioni.
Webinar sulle nuove regole per i conservatori
Di conservazione e delle nuove regole pubblicate da AgID avevo parlato a suo
tempo:
- http://blog.cesaregallotti.it/2020/09/nuove-linee-guida-agid-sulla-gestione.html.
Segnalo quindi questo webinar organizzato da ANORC in cui sono approfonditi alcuni aspetti:
- https://www.youtube.com/watch?v=_E-gUQS1e_M.
Segnalo in particolare il secondo intervento di Patrizia Gentili di AgID, dal minuto 44 al minuto 125, perché permette di capire le scelte fatte per le nuove regole.
- http://blog.cesaregallotti.it/2020/09/nuove-linee-guida-agid-sulla-gestione.html.
Segnalo quindi questo webinar organizzato da ANORC in cui sono approfonditi alcuni aspetti:
- https://www.youtube.com/watch?v=_E-gUQS1e_M.
Segnalo in particolare il secondo intervento di Patrizia Gentili di AgID, dal minuto 44 al minuto 125, perché permette di capire le scelte fatte per le nuove regole.
mercoledì 9 dicembre 2020
Privacy e videosorveglianza: FAQ del Garante
Il Garante ha aggiornato le sue FAQ sulla videosorveglianza per adeguarle
alle linee guida dell'EDPB.
Per completezza, qui segnalo l'URL della pagina del Garante sulla videosorveglianza da dove si può accedere alle FAQ (e ad altre risorse):
- https://www.garanteprivacy.it/temi/videosorveglianza.
Delle linee guida dell'EDPB avevo scritto quando furono pubblicate (febbraio 2020):
- http://blog.cesaregallotti.it/2020/02/linee-guida-edpb-su-videosorveglianza.html.
Ringrazio Franco Vincenzo Ferrari del DNV GL per la segnalazione.
Per completezza, qui segnalo l'URL della pagina del Garante sulla videosorveglianza da dove si può accedere alle FAQ (e ad altre risorse):
- https://www.garanteprivacy.it/temi/videosorveglianza.
Delle linee guida dell'EDPB avevo scritto quando furono pubblicate (febbraio 2020):
- http://blog.cesaregallotti.it/2020/02/linee-guida-edpb-su-videosorveglianza.html.
Ringrazio Franco Vincenzo Ferrari del DNV GL per la segnalazione.
martedì 8 dicembre 2020
ISO/IEC 27035 sugli incidenti ICT
A settembre è stata pubblicata la norma ISO/IEC 27035-3 dal titolo
"Information technology — Information security incident management — Part 3:
Guidelines for ICT incident response operations":
- https://www.iso.org/standard/74033.html.
Questa norma, rispetto alle altre 2 parti della ISO/IEC 27035, si concentra sulla gestione degli incidenti di tipo informatico.
Ci sono cose interessanti, per esempio sulle attività di analisi e sulle diverse possibili reazioni. Però la norma è molto confusa e gli argomenti sono organizzati malissimo, con molte ripetizioni e incongruenze. Peccato.
- https://www.iso.org/standard/74033.html.
Questa norma, rispetto alle altre 2 parti della ISO/IEC 27035, si concentra sulla gestione degli incidenti di tipo informatico.
Ci sono cose interessanti, per esempio sulle attività di analisi e sulle diverse possibili reazioni. Però la norma è molto confusa e gli argomenti sono organizzati malissimo, con molte ripetizioni e incongruenze. Peccato.
Iscriviti a:
Post (Atom)