Nuova ISO/TS 22317:2021, "Guidelines for business impact analysis" per la
continuità operativa:
- https://www.iso.org/standard/79000.html.
Non l'ho ancora letta. La precedente versione mi sembrava un po' troppo
teorica. Però vale sicuramente la pena buttarci un occhio.
Grazie a Laura Zarrillo che l'ha segnalato su LinkedIn.
lunedì 29 novembre 2021
domenica 14 novembre 2021
Mia presentazione sullo stato delle certificazioni GDPR
Il 13 novembre ho tenuto una breve presentazione con gli Idraulici della
privacy dal titolo "Certificazioni e codici di condotta GDPR: come si sta
procedendo?":
- https://www.cesaregallotti.it/Pdf/Pubblicazioni/2021-Presentazione-certificazioni-GDPR-rev01.pdf.
Ho iniziato a preparare le slide e poi, grazie agli Idraulici presenti, ho potuto integrare e aggiornare le slide. E meno male! Perché c'erano alcune cose che non avevo considerato.
- https://www.cesaregallotti.it/Pdf/Pubblicazioni/2021-Presentazione-certificazioni-GDPR-rev01.pdf.
Ho iniziato a preparare le slide e poi, grazie agli Idraulici presenti, ho potuto integrare e aggiornare le slide. E meno male! Perché c'erano alcune cose che non avevo considerato.
martedì 9 novembre 2021
Articolo sulla valutazione dei rischi di sicurezza delle informazioni e di privacy
Monica Perego ha scritto un articolo dal titolo "La valutazione dei rischi a
fronte della Norma ISO/IEC 27001:2013, del Regolamento UE 2016/679 e della
Norma ISO/IEC 27701:2019":
- https://www.federprivacy.org/informazione/flash-news/la-valutazione-dei-rischi-a-fronte-della-iso-iec-27001-2013-del-regolamento-ue-2016-679-e-della-iso-iec-27701-2019.
Monica scrive sempre cose utili e da un punto di vista interessante.
E mi cita! Ne sono onorato.
- https://www.federprivacy.org/informazione/flash-news/la-valutazione-dei-rischi-a-fronte-della-iso-iec-27001-2013-del-regolamento-ue-2016-679-e-della-iso-iec-27701-2019.
Monica scrive sempre cose utili e da un punto di vista interessante.
E mi cita! Ne sono onorato.
lunedì 8 novembre 2021
Stato delle norme ISO/IEC 270xx
Il 26 ottobre si è concluso il meeting semestrale del WG 1 (sistemi di
gestione per la sicurezza delle informazioni) dell'ISO/IEC JTC 1 SC 27 e il
27 ottobre quello del WG 5 (privacy). Gli incontri del WG 1 sono durati
pochi giorni perché molti incontri di scrittura degli standard si sono
tenuti da remoto nei mesi precedenti.
Per il WG 1 ho seguito i lavori per:
- l'approvazione della prossima versione della ISO/IEC 27002, che dovrebbe quindi uscire a gennaio 2022;
- l'approvazione dell'Amd per la ISO/IEC 27001 che sarà consolidato, insieme alle correzioni del 2017, in una bozza finale per avere la pubblicazione della ISO/IEC 27001:2022 a maggio 2022;
- l'approvazione della partenza dei lavori per una nuova ISO/IEC 27001 in autunno 2022 (i lavori potranno essere abbastanza lunghi e dovranno considerare le molte questioni sollevate negli anni, tra cui quella della necessità della dichiarazione di applicabilità);
- lo stato delle norme collegate alle ISO/IEC 27002 che pertanto andranno aggiornate (si inizia con ISO/IEC 27008, 27107, 27019, 27103 e segnalo che, viste le certificazioni in giro, quella più significativa è la ISO/IEC 27017; la ISO/IEC 27018 è in carico al WG 5 e quindi non se ne è discusso);
- il lancio di un nuovo studio per censire gli standard che si basano sulla ISO/IEC 27002;
- l'interessante analisi di Fabio Guasconi sulla ISO 22100-4 dal titolo "Guidance to machinery manufacturers for consideration of related IT-security (cyber security) aspects";
- l'avanzamento della ISO/IEC 27005 (che non ho seguito) in stato di DIS (si prevede quindi la pubblicazione a settembre 2022);
- l'avvio dell'aggiornamento della ISO/IEC 27006-1, che dovrebbe uscire a inizio 2023.
Per il WG 5 ho seguito i lavori per:
- ISO/IEC 27006-2, circa i requisiti aggiuntivi alla ISO/IEC 17021 e ISO/IEC 27006-1 per gli organismi di certificazione che svolgono audit e rilasciano certificazioni secondo la ISO/IEC 27701 (Privacy information management system); si sono analizzate le proposte per aggiornare l'attuale edizione; nulla di eclatante, ma si sono chiariti alcuni punti; fa eccezione il sistema di calcolo delle giornate di audit per il quale si è costituito un gruppo ad hoc (io profetizzo che i lavori si concluderanno con, parafrasando una frase di Churchill: "il calcolo basato sul numero di persone addette è il peggiore esclusi tutti gli altri"); se ne prevede la pubblicazione per metà 2024;
- ISO/IEC 27557 "Organizational privacy risk management" che si prevede di pubblicare a fine 2022;
- ISO/IEC 27555 "Guidelines on personally identifiable information deletion", che è stata pubblicata a ottobre e ha visto il contributo di un'editor italiana.
Per il WG 1 ho seguito i lavori per:
- l'approvazione della prossima versione della ISO/IEC 27002, che dovrebbe quindi uscire a gennaio 2022;
- l'approvazione dell'Amd per la ISO/IEC 27001 che sarà consolidato, insieme alle correzioni del 2017, in una bozza finale per avere la pubblicazione della ISO/IEC 27001:2022 a maggio 2022;
- l'approvazione della partenza dei lavori per una nuova ISO/IEC 27001 in autunno 2022 (i lavori potranno essere abbastanza lunghi e dovranno considerare le molte questioni sollevate negli anni, tra cui quella della necessità della dichiarazione di applicabilità);
- lo stato delle norme collegate alle ISO/IEC 27002 che pertanto andranno aggiornate (si inizia con ISO/IEC 27008, 27107, 27019, 27103 e segnalo che, viste le certificazioni in giro, quella più significativa è la ISO/IEC 27017; la ISO/IEC 27018 è in carico al WG 5 e quindi non se ne è discusso);
- il lancio di un nuovo studio per censire gli standard che si basano sulla ISO/IEC 27002;
- l'interessante analisi di Fabio Guasconi sulla ISO 22100-4 dal titolo "Guidance to machinery manufacturers for consideration of related IT-security (cyber security) aspects";
- l'avanzamento della ISO/IEC 27005 (che non ho seguito) in stato di DIS (si prevede quindi la pubblicazione a settembre 2022);
- l'avvio dell'aggiornamento della ISO/IEC 27006-1, che dovrebbe uscire a inizio 2023.
Per il WG 5 ho seguito i lavori per:
- ISO/IEC 27006-2, circa i requisiti aggiuntivi alla ISO/IEC 17021 e ISO/IEC 27006-1 per gli organismi di certificazione che svolgono audit e rilasciano certificazioni secondo la ISO/IEC 27701 (Privacy information management system); si sono analizzate le proposte per aggiornare l'attuale edizione; nulla di eclatante, ma si sono chiariti alcuni punti; fa eccezione il sistema di calcolo delle giornate di audit per il quale si è costituito un gruppo ad hoc (io profetizzo che i lavori si concluderanno con, parafrasando una frase di Churchill: "il calcolo basato sul numero di persone addette è il peggiore esclusi tutti gli altri"); se ne prevede la pubblicazione per metà 2024;
- ISO/IEC 27557 "Organizational privacy risk management" che si prevede di pubblicare a fine 2022;
- ISO/IEC 27555 "Guidelines on personally identifiable information deletion", che è stata pubblicata a ottobre e ha visto il contributo di un'editor italiana.
mercoledì 3 novembre 2021
NCSC Rapporto semestrale 2021/1 (ex Melani)
Segnalo il rapporto semestrale di NCSC (ex Melani):
- https://www.ncsc.admin.ch/ncsc/it/home/dokumentation/berichte/lageberichte/halbjahresbericht-2021-1.html.
Come al solito è molto interessante e descrive gli incidenti più significativi registrati negli ultimi 6 mesi. Il rapporto non si ferma alla sola descrizione, ma include anche suggerimenti per le contromisure.
Spero un giorno di vedere un'iniziativa simile promossa anche dal nostro CSIRT o dalla Agenzia per la cybersicurezza nazionale (ACN). Va detto che lo CSIRT ha pubblicato materiale, ma a me sembra un po' troppo specifico e non scadenziato (non saprei come scriverlo bene, ma l'idea è che i report vengano prodotti "quando capita" e in parte questo è sensato, ma in parte penso ci sia bisogno di una raccolta periodica, come dimostra anche il successo del rapporto Clusit).
Per quanto riguarda l'ACN, mi sembra che non abbia neanche un sito web e questo è un peccato.
- https://www.ncsc.admin.ch/ncsc/it/home/dokumentation/berichte/lageberichte/halbjahresbericht-2021-1.html.
Come al solito è molto interessante e descrive gli incidenti più significativi registrati negli ultimi 6 mesi. Il rapporto non si ferma alla sola descrizione, ma include anche suggerimenti per le contromisure.
Spero un giorno di vedere un'iniziativa simile promossa anche dal nostro CSIRT o dalla Agenzia per la cybersicurezza nazionale (ACN). Va detto che lo CSIRT ha pubblicato materiale, ma a me sembra un po' troppo specifico e non scadenziato (non saprei come scriverlo bene, ma l'idea è che i report vengano prodotti "quando capita" e in parte questo è sensato, ma in parte penso ci sia bisogno di una raccolta periodica, come dimostra anche il successo del rapporto Clusit).
Per quanto riguarda l'ACN, mi sembra che non abbia neanche un sito web e questo è un peccato.
venerdì 29 ottobre 2021
ENISA Threat Landscape 2021
ENISA ha pubblicato il Threat Landscape 2021, ossia la loro analisi delle
minacce e delle tendenze della sicurezza:
- https://www.enisa.europa.eu/publications/enisa-threat-landscape-2021.
Fortunatamente hanno abbandonato il modello dell'anno scorso, ossia la suddivisione in numerose pubblicazione, e il tutto è in un malloppo di 116 pagine. Nell'executive summary sono citate le questioni principali, poi approfondite in 8 capitoli, ciascuno dedicato a macro-categorie di minacce informatiche (ransomware, malware, cryptojacking, email, minacce ai dati, minacce all'integrità e disponibilità, disinformazione, minacce non volontarie).
Alcune categorie sono forse troppo generiche, ma troppo dettaglio porterebbe forse troppa confusione.
Ringrazio Savino Menna della Clusit community for security.
- https://www.enisa.europa.eu/publications/enisa-threat-landscape-2021.
Fortunatamente hanno abbandonato il modello dell'anno scorso, ossia la suddivisione in numerose pubblicazione, e il tutto è in un malloppo di 116 pagine. Nell'executive summary sono citate le questioni principali, poi approfondite in 8 capitoli, ciascuno dedicato a macro-categorie di minacce informatiche (ransomware, malware, cryptojacking, email, minacce ai dati, minacce all'integrità e disponibilità, disinformazione, minacce non volontarie).
Alcune categorie sono forse troppo generiche, ma troppo dettaglio porterebbe forse troppa confusione.
Ringrazio Savino Menna della Clusit community for security.
Ghosting e orbiting e social network
Segnalo questo articolo dal titolo "Peggio del ghosting c'è solo l'orbiting"
e riguarda alcune pratiche sui social network:
- https://www.siamomine.com/peggio-del-ghosting-ce-solo-lorbiting/.
Mi rendo conto che questo argomento è un po' fuori tema rispetto a "qualità, sicurezza delle informazioni e gestione dei servizi IT", ma ci è vicino e vale la pena conoscerlo.
L'articolo è stato segnalato dalla newsletter di DFA (www.perfezionisti.it).
- https://www.siamomine.com/peggio-del-ghosting-ce-solo-lorbiting/.
Mi rendo conto che questo argomento è un po' fuori tema rispetto a "qualità, sicurezza delle informazioni e gestione dei servizi IT", ma ci è vicino e vale la pena conoscerlo.
L'articolo è stato segnalato dalla newsletter di DFA (www.perfezionisti.it).
Privacy: articolo sull'uso di Google e i trasferimenti extra SEE
Segnalo questo articolo dal titolo "Google Workspace: l'azienda che lo usa
sarà davvero in regola con il Gdpr?":
- https://www.federprivacy.org/informazione/punto-di-vista/google-workspace-l-azienda-che-lo-usa-sara-davvero-in-regola-con-il-gdpr.
La risposta è, in estrema sintesi: non proprio e bisogna anche stare molto attenti.
Su questa questione avevo già accennato in precedenza, commentando le raccomandazioni dell'EDPB sui trasferimenti all'estero:
- http://blog.cesaregallotti.it/2021/07/privacy-e-edpb-raccomandazioni-per-i_3.html.
In quell'occasione dicevo che EDPB fornisce un elenco delle cose da valutare prima di iniziare un trasferimento extra SEE, ma è molto difficile affrontare quel tipo di analisi e, in sostanza, le PMI (e anche molte grandi) dovrebbero evitare ogni trasferimento, a meno di decidere di "sbagliare in compagnia" e continuare a usare Google e compagnia (e verificare se poi verranno sanzionati i primi sfortunati).
Mi permetto di osservare che in Europa non mi sembra ci siano fornitori capaci di contrastare i giganti made in USA e questo è un peccato.
- https://www.federprivacy.org/informazione/punto-di-vista/google-workspace-l-azienda-che-lo-usa-sara-davvero-in-regola-con-il-gdpr.
La risposta è, in estrema sintesi: non proprio e bisogna anche stare molto attenti.
Su questa questione avevo già accennato in precedenza, commentando le raccomandazioni dell'EDPB sui trasferimenti all'estero:
- http://blog.cesaregallotti.it/2021/07/privacy-e-edpb-raccomandazioni-per-i_3.html.
In quell'occasione dicevo che EDPB fornisce un elenco delle cose da valutare prima di iniziare un trasferimento extra SEE, ma è molto difficile affrontare quel tipo di analisi e, in sostanza, le PMI (e anche molte grandi) dovrebbero evitare ogni trasferimento, a meno di decidere di "sbagliare in compagnia" e continuare a usare Google e compagnia (e verificare se poi verranno sanzionati i primi sfortunati).
Mi permetto di osservare che in Europa non mi sembra ci siano fornitori capaci di contrastare i giganti made in USA e questo è un peccato.
lunedì 11 ottobre 2021
DL 139 (Capienze) e la cosiddetta abolizione della privacy
Non sono un legale, ma in questi giorni ho letto articoli quanto meno
allarmistici in merito al DL 139 (decreto "Capienze"). Segnalo questo perché
ha il pregio di riassumere le modifiche al Codice privacy (grazie a Biagio
Lammoglia degli Idraulici della privacy):
- https://www.linkedin.com/feed/update/urn:li:activity:6852161770073673728/.
Leggendo questo riassunto non capivo cosa c'era da preoccuparsi. Pensavo fossi io quello che non capiva. Però anche Manlio Cammarata, che di privacy ci capisce, sembra avere avuto il mio stesso pensiero. Ma lui lo scrive meglio e con più cognizione di causa:
- https://www.interlex.it/privacyesicurezza/decreto139.html.
Se sbaglio, almeno non sono da solo.
- https://www.linkedin.com/feed/update/urn:li:activity:6852161770073673728/.
Leggendo questo riassunto non capivo cosa c'era da preoccuparsi. Pensavo fossi io quello che non capiva. Però anche Manlio Cammarata, che di privacy ci capisce, sembra avere avuto il mio stesso pensiero. Ma lui lo scrive meglio e con più cognizione di causa:
- https://www.interlex.it/privacyesicurezza/decreto139.html.
Se sbaglio, almeno non sono da solo.
lunedì 27 settembre 2021
OWASP Top 10:2021
Segnalo che è stata pubblicata la nuova versione delle 10 vulnerabilità
applicative più importanti secondo OWASP:
- https://owasp.org/Top10/.
La precedente era del 2017.
Purtroppo non trovo una versione in pdf da poter studiare in formato cartaceo. L'analsii è decisamente molto tecnica e, quindi, sarò grato a chi mi segnalerà articoli di appronfondimento di questa versione.
- https://owasp.org/Top10/.
La precedente era del 2017.
Purtroppo non trovo una versione in pdf da poter studiare in formato cartaceo. L'analsii è decisamente molto tecnica e, quindi, sarò grato a chi mi segnalerà articoli di appronfondimento di questa versione.
Novità sulla futura ISO/IEC 27001
Riassumo: a inizio 2022 sarà pubblicata la nuova ISO/IEC 27002 e il gruppo
addetto alla redazione della ISO/IEC 27001 ha ragionato sui suoi impatti,
visto che ci sarebbe stato un disallineamento tra i controlli della ISO/IEC
27002 e quelli dell'Annex A della ISO/IEC 27001.
La soluzione è stata trovata: sarà pubblicato un Amendment per cambiare solo l'Annex A:
- https://www.iso.org/standard/82873.html.
Le nuove norme saranno, si spera, disponibili nel primo trimestre del 2022. Però attenzione: mentre avremo una ISO/IEC 27002:2022, l'altra rimarrà ISO/IEC 27001:2013, visto che un amendment non comporta il cambio di versione. Non credo si creerà confusione, visto che la scelta dei controlli è comunque determinata dalla valutazione del rischio e non dal contenuto esatto dell'Annex A della norma.
I controlli veramente nuovi, poi, sono pochi e sono i seguenti:
A.06.1.6 Threat intelligence;
A.12.1.5 Information deletion
A.12.1.6 Data masking;
A.12.4.6 Monitoring activities
A.13.1.4 Web filtering.
Anzi: per ridurre il numero di controlli nella nuova versione, alcuni della precedente sono stati accorpati (per esempio quello sul trasporto dei supporti fisici e quello sulla messaggistica elettronica), mentre questi nuovi possono essere visti come casi particolari dei precedente (tranne forse quello sul data masking) e, quindi, alla fine il livello di dettaglio può essere considerato equivalente.
La soluzione è stata trovata: sarà pubblicato un Amendment per cambiare solo l'Annex A:
- https://www.iso.org/standard/82873.html.
Le nuove norme saranno, si spera, disponibili nel primo trimestre del 2022. Però attenzione: mentre avremo una ISO/IEC 27002:2022, l'altra rimarrà ISO/IEC 27001:2013, visto che un amendment non comporta il cambio di versione. Non credo si creerà confusione, visto che la scelta dei controlli è comunque determinata dalla valutazione del rischio e non dal contenuto esatto dell'Annex A della norma.
I controlli veramente nuovi, poi, sono pochi e sono i seguenti:
A.06.1.6 Threat intelligence;
A.12.1.5 Information deletion
A.12.1.6 Data masking;
A.12.4.6 Monitoring activities
A.13.1.4 Web filtering.
Anzi: per ridurre il numero di controlli nella nuova versione, alcuni della precedente sono stati accorpati (per esempio quello sul trasporto dei supporti fisici e quello sulla messaggistica elettronica), mentre questi nuovi possono essere visti come casi particolari dei precedente (tranne forse quello sul data masking) e, quindi, alla fine il livello di dettaglio può essere considerato equivalente.
sabato 25 settembre 2021
Commenti privacy sul D.L. greenpass 127/2021
Come è noto, evito di scrivere di COVID e penso di averne già scritto
troppo.
Però il DL 127 del 2021 (come anche il precedente "settoriale" DL 175 del 2021 che ha aggiornato il 52/2021) pone problemi di privacy non indifferenti. Alcuni di questi sono stati esposti da Pietro Calorio (degli Idraulici della privacy) in questo articolo:
- https://www.linkedin.com/posts/pietrocalorio_gazzetta-ufficiale-activity-6846346383952273409-Hy-7.
La situazione è comunque di difficile interpretazione. Per esempio il consulente della sicurezza di un mio cliente dice è comunque meglio registrare i controlli fatti e lo stesso cliente vorrebbe facilitare il personale tracciando la scadenza del green pass, ma questo sembra non previsto (stiamo pensando di renderlo un "servizio" offerto dall'azienda, ma sarà la soluzione giusta?).
Però il DL 127 del 2021 (come anche il precedente "settoriale" DL 175 del 2021 che ha aggiornato il 52/2021) pone problemi di privacy non indifferenti. Alcuni di questi sono stati esposti da Pietro Calorio (degli Idraulici della privacy) in questo articolo:
- https://www.linkedin.com/posts/pietrocalorio_gazzetta-ufficiale-activity-6846346383952273409-Hy-7.
La situazione è comunque di difficile interpretazione. Per esempio il consulente della sicurezza di un mio cliente dice è comunque meglio registrare i controlli fatti e lo stesso cliente vorrebbe facilitare il personale tracciando la scadenza del green pass, ma questo sembra non previsto (stiamo pensando di renderlo un "servizio" offerto dall'azienda, ma sarà la soluzione giusta?).
venerdì 17 settembre 2021
Evoluzione normativa a supporto dell'Operational Resilience
Segnalo questo articolo di Laura Zarrillo dal titolo "On the Frontlines:
Building Operational Resilience":
- https://iaonline.theiia.org/blogs/Your-Voices/2021/Pages/On-the-Frontlines-Building-Operational-Resilience.aspx.
La continuità operativa a questi livelli (e in particolare nel settore bancario e finanziario) non è propriamente il mio settore, ma penso sia comunque opportuno tenersi aggiornati su cosa sta succedendo.
In particolare qui ci sono riferimenti alla necessità di controllare meglio i fornitori, i fornitori cloud e i sub-fornitori, stabilire il livello di accettabilità più sugli impatti che sui rischi, porre attenzione al ruolo dell'intelligenza artificiale e del machine learning, omogeneizzare la classificazione degli incidenti.
Ci sono altri spunti di interesse in questo articolo e ne raccomando la lettura.
- https://iaonline.theiia.org/blogs/Your-Voices/2021/Pages/On-the-Frontlines-Building-Operational-Resilience.aspx.
La continuità operativa a questi livelli (e in particolare nel settore bancario e finanziario) non è propriamente il mio settore, ma penso sia comunque opportuno tenersi aggiornati su cosa sta succedendo.
In particolare qui ci sono riferimenti alla necessità di controllare meglio i fornitori, i fornitori cloud e i sub-fornitori, stabilire il livello di accettabilità più sugli impatti che sui rischi, porre attenzione al ruolo dell'intelligenza artificiale e del machine learning, omogeneizzare la classificazione degli incidenti.
Ci sono altri spunti di interesse in questo articolo e ne raccomando la lettura.
giovedì 16 settembre 2021
Attacco SolarWinds del dicembre 2020: una sintesi
Da Crypto-Gram del 15 settembre 2021, segnalo questo articolo dal titolo
"SolarWinds and the Holiday Bear Campaign: A Case Study for the Classroom":
- https://www.lawfareblog.com/solarwinds-and-holiday-bear-campaign-case-study-classroom.
Scritto bene e interessante.
Purtroppo sembra che non sia ancora noto come abbiano fatto a compromettere i server di sviluppo del prodotto Orion. Saperlo, credo, ci permetterebbe di imparare una lezione importante.
- https://www.lawfareblog.com/solarwinds-and-holiday-bear-campaign-case-study-classroom.
Scritto bene e interessante.
Purtroppo sembra che non sia ancora noto come abbiano fatto a compromettere i server di sviluppo del prodotto Orion. Saperlo, credo, ci permetterebbe di imparare una lezione importante.
lunedì 13 settembre 2021
Privacy: Nuove clausole contrattuali standard per i trasferimenti all'estero
Il 4 giugno 2021, la Commissione europea ha pubblicato le nuove clausole
contrattuali standard (standard contractual clauses, SCC) per i
trasferimenti all'estero:
- https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
Questo era dovuto anche perché i modelli precedenti del 2010 si basavano sulla Direttiva 95/46 e non sul GDPR.
Io insisto su un punto, ossia sul fatto che anche nel caso di trasferimenti tra titolari sono indicate le misure di sicurezza e quindi penso che debba essere previsto anche nel caso di trasferimenti tra titolari all'interno dello stesso Paese.
Segnalo che è interessante il fatto che, rispetto alle precedenti SCC che erano per trasferimenti da titolare a titolare o da titolare a responsabile, qui sono stati aggiunti i casi di trasferimenti da responsabile a responsabile e da responsabile a titolare.
- https://ec.europa.eu/info/law/law-topic/data-protection/international-dimension-data-protection/standard-contractual-clauses-scc_en.
Questo era dovuto anche perché i modelli precedenti del 2010 si basavano sulla Direttiva 95/46 e non sul GDPR.
Io insisto su un punto, ossia sul fatto che anche nel caso di trasferimenti tra titolari sono indicate le misure di sicurezza e quindi penso che debba essere previsto anche nel caso di trasferimenti tra titolari all'interno dello stesso Paese.
Segnalo che è interessante il fatto che, rispetto alle precedenti SCC che erano per trasferimenti da titolare a titolare o da titolare a responsabile, qui sono stati aggiunti i casi di trasferimenti da responsabile a responsabile e da responsabile a titolare.
sabato 28 agosto 2021
Non rispondere ai troll
Segnalo questo articolo dal titolo "Perché non dovresti mai rispondere ad un
commento idiota su LinkedIn (e gli altri social)":
https://www.linkedin.com/posts/andreagiuliodori_social-community-troll-activity-6831912768891842560-isrC.
Ritengo che sia utile a chiunque fa attività di formazione e sensibilizzazione, visto che i troll non esistono solo sui social, ma anche nel mondo fisico.
Grazie a un link del mio amico Andrea Merico di Methos.
https://www.linkedin.com/posts/andreagiuliodori_social-community-troll-activity-6831912768891842560-isrC.
Ritengo che sia utile a chiunque fa attività di formazione e sensibilizzazione, visto che i troll non esistono solo sui social, ma anche nel mondo fisico.
Grazie a un link del mio amico Andrea Merico di Methos.
ENISA Threat Landscape for Supply Chain Attacks
A fine luglio 2021, ENISA ha pubblicato un documento dal titolo "Threat
Landscape for Supply Chain Attacks":
- https://www.enisa.europa.eu/publications/threat-landscape-for-supply-chain-attacks.
Lo segnalo perché al capitolo 4 e in appendice A sono riportate le
descrizioni degli attacchi alle filiere di fornitura più noti. Ovviamente,
può anche essere utile a chi vuole approfondire questo tipo di attacchi.
Le misure di sicurezza proposte, però, non mi sembrano assolutamente
innovative. Si possono ricondurre tutte al "controlla bene i tuoi fornitori"
(e d'altra parte ad esse sono dedicate solo 3 pagine).
Altra nota di interesse è il capitolo 6 dal titolo "Not everything is a
supply chain attack": una paginetta che però serve a ricordarci di non
concentrare l'attenzione solo su un tipo di attacco.
mercoledì 25 agosto 2021
Intelligenza Artificiale, proposto il nuovo quadro normativo europeo
Segnalo questo articolo di Altalex dal titolo (leggermente fuorviante, visto
che il quadro normativo è al momento in fase di proposta) "Intelligenza
Artificiale, il nuovo quadro normativo europeo" e sottotitolo "La proposta
di Regolamento del Parlamento europeo e del Consiglio stabilisce norme
armonizzate in materia di AI e modifica alcuni atti legislativi
dell'Unione":
- https://www.altalex.com/documents/news/2021/05/20/intelligenza-artificiale-nuovo-quadro-normativo-europeo.
Non segnalo quasi mai interventi su proposte o bozze, ma penso che sia comunque opportuno cominciare a studiare il tema dell'intelligenza artificiale.
A questo proposito ricordo anche il libro (gratuito!) del Clusit dal titolo " Intelligenza artificiale e sicurezza: opportunità, rischi e raccomandazioni":
- https://iasecurity.clusit.it/.
- https://www.altalex.com/documents/news/2021/05/20/intelligenza-artificiale-nuovo-quadro-normativo-europeo.
Non segnalo quasi mai interventi su proposte o bozze, ma penso che sia comunque opportuno cominciare a studiare il tema dell'intelligenza artificiale.
A questo proposito ricordo anche il libro (gratuito!) del Clusit dal titolo " Intelligenza artificiale e sicurezza: opportunità, rischi e raccomandazioni":
- https://iasecurity.clusit.it/.
martedì 24 agosto 2021
Riservatezza e confidenzialità
A giugno, analizzando il DL 82 del 2021, avevo notato che era usato il
termine "confidenzialità" al posto di "riservatezza". Su questo mi ha
risposto Stefano Ramacciotti di (ISC)2 Italy Chapter e lo ringrazio.
Insieme abbiamo elaborato la seguente sintesi: una possibile spiegazione è che il termine "riservato" è usato nell'ambito delle classifiche di segretezza che indicano il livello di segretezza di una informazione contenuta in documenti, atti, cose, materiali, luoghi, ecc., e servono a limitarne la diffusione, circoscrivendo l'ambito di quanti possono venirne legittimamente a conoscenza al fine di tutelare la sicurezza dello Stato.
Per questo, quando si tratta di documenti che non hanno a che fare con la sicurezza dello Stato, talvolta, ma non sempre, si preferisce utilizzare un termine che non rientra nelle classifiche di segretezza. Infatti, per quanto riguarda le classifiche di segretezza, la corretta traduzione di confidential in italiano è riservatissimo e non confidenziale.
Per ulteriori informazioni si veda il Decreto del Presidente del Consiglio dei ministri 6 novembre 2015, n. 5 recante "Disposizioni per la tutela amministrativa del segreto di Stato e delle informazioni classificate e a diffusione esclusiva". Il testo è stato successivamente modificato con le disposizioni contenute nel DPCM 2 ottobre 2017, n. 3. Qui viene spiegato che le informazioni classificate vanno da Riservato (Restricted), a Riservatissimo (Confidential), a Segreto (Secret) e a Segretissimo (Top Secret).
Da notare che altri, per esempio nei Paesi anglosassoni, sono meno precisi, visto che usano sempre il termine "confidential", sia nell'ambito delle classifiche di segretezza, sia in altri contesti.
Insieme abbiamo elaborato la seguente sintesi: una possibile spiegazione è che il termine "riservato" è usato nell'ambito delle classifiche di segretezza che indicano il livello di segretezza di una informazione contenuta in documenti, atti, cose, materiali, luoghi, ecc., e servono a limitarne la diffusione, circoscrivendo l'ambito di quanti possono venirne legittimamente a conoscenza al fine di tutelare la sicurezza dello Stato.
Per questo, quando si tratta di documenti che non hanno a che fare con la sicurezza dello Stato, talvolta, ma non sempre, si preferisce utilizzare un termine che non rientra nelle classifiche di segretezza. Infatti, per quanto riguarda le classifiche di segretezza, la corretta traduzione di confidential in italiano è riservatissimo e non confidenziale.
Per ulteriori informazioni si veda il Decreto del Presidente del Consiglio dei ministri 6 novembre 2015, n. 5 recante "Disposizioni per la tutela amministrativa del segreto di Stato e delle informazioni classificate e a diffusione esclusiva". Il testo è stato successivamente modificato con le disposizioni contenute nel DPCM 2 ottobre 2017, n. 3. Qui viene spiegato che le informazioni classificate vanno da Riservato (Restricted), a Riservatissimo (Confidential), a Segreto (Secret) e a Segretissimo (Top Secret).
Da notare che altri, per esempio nei Paesi anglosassoni, sono meno precisi, visto che usano sempre il termine "confidential", sia nell'ambito delle classifiche di segretezza, sia in altri contesti.
lunedì 23 agosto 2021
Misure del CSIRT per difendersi dagli attacchi ransomware
Glauco Rampogna degli Idraulici della privacy mi ha segnalato il documento
del CSIRT dal titolo "Ransomware - Misure di protezione e organizzazione dei
dati per un ripristino efficace":
- https://csirt.gov.it/contenuti/ransomware-misure-di-protezione-e-organizzazione-dei-dati-per-un-ripristino-efficace.
Lo ringrazio e però penso siano eccessivamente generiche per essere di vero aiuto.
Giusto per un esempio, la PR.DS-5 recita "Sono implementate tecniche di protezione (es. controllo di accesso) contro la sottrazione dei dati (data leak)". E il commento è: "Il fenomeno della double extortion è estremamente comune nei ransomware attuali, di conseguenza le tecniche di data leak prevention giocano un ruolo fondamentale nel contrasto a questo tipo di minaccia".
Quindi penso che queste misure siano espresse in modo troppo generico e, alla fine, non dicono alcunché. Peccato.
- https://csirt.gov.it/contenuti/ransomware-misure-di-protezione-e-organizzazione-dei-dati-per-un-ripristino-efficace.
Lo ringrazio e però penso siano eccessivamente generiche per essere di vero aiuto.
Giusto per un esempio, la PR.DS-5 recita "Sono implementate tecniche di protezione (es. controllo di accesso) contro la sottrazione dei dati (data leak)". E il commento è: "Il fenomeno della double extortion è estremamente comune nei ransomware attuali, di conseguenza le tecniche di data leak prevention giocano un ruolo fondamentale nel contrasto a questo tipo di minaccia".
Quindi penso che queste misure siano espresse in modo troppo generico e, alla fine, non dicono alcunché. Peccato.
Iscriviti a:
Post (Atom)