Mese Europeo della Sicurezza Informatica: tre consigli per le imprese
Sono ancora troppe le aziende che, nonostante il vertiginoso aumento degli attacchi informatici, non sono sufficientemente informati sulle best practice Ottobre è il Mese Europeo della Sicurezza Informatica, iniziativa che si pone l’obiettivo di aumentare la consapevolezza nell’ambito della cyber security. Sono troppe le aziende a non essere ancora sufficientemente preparate, come rivelato da una recente ricerca Hiscox. Se si considera l’aumento degli attacchi verso le imprese, questa mancanza di preparazione è preoccupante: nel 2018 oltre la metà delle imprese è stata vittima di un attacco informatico. In particolare, a metà di quest’anno è stato stimato un incremento del 15% degli attacchi ransomware e del 500% di quelli DDoS, mentre il phishing è raddoppiato. “Difendersi da cyber criminali sempre più sofisticati è una sfida su più fronti. I responsabili IT devono garantire che i device dei dipendenti, equipaggiati con funzionalità di sicurezza avanzate, siano il cuore della strategia di sicurezza informatica dell’azienda, insieme alla formazione dei lavoratori”, ha dichiarato Massimo Arioli, Business Unit Director Italy, Dynabook Europe GmbH. Nonostante ci siano ancora molti passi da fare, le aziende oggi stanno capendo quanto la sicurezza sia una priorità e secondo Dynabook Europe sono tre gli elementi fondamentali che i responsabili IT devono considerare per una strategia di protezione aziendale di successo: Proteggere i device fuori dall’ufficio: il mobile working e l’accesso da remoto offrono numerosi vantaggi, ma aprono nuovi possibili scenari di attacco e nuove sfide relative alla gestione dei dispositivi. Tuttavia, i dipendenti sono la prima linea di difesa dell’azienda contro gli attacchi informatici, per cui è fondamentale che i dispositivi utilizzati quotidianamente siano all’altezza del compito e forniscano una solida protezione contro potenziali rischi. I notebook con funzionalità biometriche avanzate e di archiviazione delle credenziali basate su hardware offrono un meccanismo di difesa più forte contro la violazione di password o accessi. Altre misure, come le soluzioni zero client, vanno oltre e aiutano ad annullare le minacce relative ai dati, non archiviandoli sul dispositivo ma su un sistema centrale basato sul cloud, proteggendo dall’accesso non richiesto alle informazioni in caso di perdita o furto di un dispositivo. La formazione è essenziale: secondo una ricerca, quasi il 90% delle violazioni dei dati è causata dall’errore umano. Per questo, è fondamentale che le aziende formino i propri dipendenti sui concetti di sicurezza informatica e su come gestire correttamente le informazioni sensibili. Parte di questa formazione dovrebbe includere informazioni sulla configurazione di sicurezza dell’azienda, sul perché e come vengono implementate determinate soluzioni e sulla loro responsabilità nell’eseguire buone pratiche di sicurezza informatica. Implementare un approccio multi-layer: nonostante la formazione, i criminali informatici hanno metodi sempre più sofisticati per colpire i dipendenti, come attacchi ransomware sono sempre più mirati, e-mail di phishing più convincenti e malware più avanzati che mai. Dal momento che molti dei più comuni attacchi informatici di oggi sono stati progettati per sfruttare l’errore umano anche il più diligente dei dipendenti potrebbe esserne vittima. A questo panorama si aggiunge lo stato dell’attuale infrastruttura di rete, che non è stata costruita pensando alla sicurezza di oggi, obbligando le aziende a fare un ulteriore passo avanti e a implementare soluzioni di protezione a livello di rete con un approccio multi-layer, che integra sia hardware sia software. In particolare i PC Secured-core, come i nuovi Portégé X30-F, Tecra X40-F e Tecra X50-F di dynabook, consentono di proteggere i dispositivi dalle vulnerabilità del firmware così come il sistema operativo da attacchi informatici e impediscono l’accesso non autorizzato a dispositivi e dati grazie agli avanzati controlli dei sistemi di accesso e di autenticazione. Altre soluzioni, come il BIOS integrato, aumentano il livello di protezione, eliminando il rischio di potenziali interferenze di terze parti, e la crittografia intelligente dei dati protegge ogni area del disco rigido di un dispositivo, inclusi i file di sistema. “La minaccia di un cyber-attacco non è una novità per le aziende. È essenziale che la sicurezza sia un fattore chiave nella loro strategia, fornendo ai dipendenti gli strumenti giusti per affrontare le minacce sia a livello hardware che software Sebbene le soluzioni tecnologiche siano fondamentali, la formazione dei dipendenti è imprescindibile. Le organizzazioni che non mettono in primo piano i dispositivi dei dipendenti o che non investono nella formazione, potrebbero trovarsi a far parte della lista sempre più ampia delle vittime dei criminali informatici di oggi”, ha concluso Massimo Arioli. Fonte: BitMat.it
Attacchi tramite email: gli attaccanti sfruttano il cloud
Mentre le aziende migrano verso il cloud, aumentano i cyber criminali che sfruttano i servizi cloud per perpetrare i propri attacchi Sul palcoscenico di FireEye Cyber Defense Summit, evento annuale sullo stato della sicurezza informatica mondiale, FireEye ha presentato l’ultimo aggiornamento sugli attacchi tramite email, derivante dall’analisi di oltre 2 miliardi di email. Gli aggressori adattano costantemente le proprie tattiche per superare le difese di sicurezza a protezione dei servizi di posta elettronica e seguono le tracce lasciate dai movimenti di denaro, grazie a una serie di strumenti a loro disposizione. Ecco perché, mentre le aziende migrano verso il cloud, FireEye rileva un numero sempre maggiore di hacker che sfruttano i servizi cloud per perpetrare i propri attacchi. Ricapitolando, FireEye ha identificato 3 temi principali: Gli aggressori progrediscono nel cloud: mentre le aziende continuano a migrare verso il cloud, gli attori malevoli stanno sfruttando i servizi cloud per implementare attacchi di phishing. Alcune delle tattiche più comuni includono l’hosting di pagine di phishing su Microsoft Azure usando layout Microsoft contraffatti, l’inserimento di URL di phish all’interno di documenti ospitati su popolari servizi di file sharing, nonché la creazione di reindirizzamenti degli URL di phishing su popolari piattaforme di distribuzione di email. Microsoft continua a essere il brand più utilizzato come esca di phishing email: una tipica email di phishing impersona un contatto ben conosciuto o un’azienda di fiducia per indurre il destinatario a cliccare su un link incorporato, con l’obiettivo finale di raccolta delle credenziali o della carta di credito. Durante il periodo di valutazione, FireEye ha visto gli attacchi di phishing con layout Microsoft e Office 365 aumentare del 12% trimestre dopo trimestre, dato che fa di Microsoft il brand più popolare utilizzato per gli attacchi di phishing con il 68% di tutti i rilevamenti. I mercati del settore assicurativo e sanitario sono sempre più colpiti: gli attaccanti seguono le tracce di denaro, mettendo in allarme le industrie verticali più colpite. I servizi finanziari hanno superato il settore Entertainment/Media/Hospitality, con rispettivamente il 26% e il 23% di tutte le campagne dannose rilevate. L’aumento degli attacchi verso il settore assicurativo e sanitario ha fatto entrare queste due industrie nella top 10, insieme al settore manifatturiero, Service provider, telecomunicazioni, enti locali e statali, Servizi/consulenza e aziende energetiche/utilities. Maggiori informazioni sul cambiamento del panorama delle minacce effettuate tramite email, comprese le modalità con cui gli attaccanti riescono ad evitare il rilevamento, sono disponibili qui. Fonte: BitMat.it
Google scopre vulnerabilità sugli iPhone, rubati dati personali degli utenti
La vulnerabilità è stata scoperta dai ricercatori Google Project Zero lo scorso febbraio e subito corretta da Apple. Secondo i ricercatori bastava visitare siti malevoli attraverso un iPhone per diventare bersaglio di cybercriminali. Bastava visitare siti malevoli attraverso un iPhone per diventare bersaglio di cybercriminali che potevano prendere il controllo del telefono e attingere a dati personali degli utenti, posizione, foto. In pratica monitorarli. Lo riporta oggi il Guardian dove a scoprire, a febbraio scorso, le falle di sicurezza di Apple è stato un gruppo di ricercatori di Google Project Zero, il team che si occupa di attacchi informatici ‘zero days’ cioè quelli di cui non sono a conoscenza neanche gli sviluppatori o le aziende informatiche che hanno creato i software. Cupertino, dopo la segnalazione dei ricercatori ha corretto le vulnerabilità. “La semplice visita al sito compromesso era sufficiente affinché il server attaccasse il dispositivo e, in caso di successo, installasse un impianto di monitoraggio“, ha spiegato Ian Beer in un post pubblicato sul blog di Project Zero. In pratica, gli hacker potevano avere accesso all’iPhone, installando applicazioni dannose e anche monitorando l’attività dell’utente a sua insaputa. Per i ricercatori di Google, le vulnerabilità del sistema operativo sarebbero state sfruttate sia per rubare foto e messaggi, che per rintracciare la posizione in tempo reale di dispositivi e utenti. Gli esperti di Google hanno segnalato la scoperta a Cupertino lo scorso 1 febbraio. I vertici americani hanno subito rilasciato le correzioni per evitare problemi legati alla sicurezza, lanciando il 7 febbraio l’aggiornamento iOS 12.1.4, proprio per correggere i problemi riscontrati nelle versioni precedenti. Le vulnerabilità erano presenti in quasi tutte le versioni di iOS 10 e fino all’ultima versione di iOS 12, il sistema operativo per dispositivi mobili di Cupertino. “Questo – aggiunge Ian Beer – indica che un gruppo stava compiendo uno sforzo prolungato per hackerare gli utenti di iPhone su un periodo di almeno due anni”. Secondo i ricercatori, inoltre, alla base delle vulnerabilità ci sono “codici che sembra non abbiano mai funzionato” oppure “abbiano avuto pochi test o revisioni prima di essere resi disponibili agli utenti“. Fonte: Key4Biz.it
Truffe online: le più popolari e alcuni consigli per non caderci
Dalla truffa del principe nigeriano, che colpisce da metà anni ’90, a quelle più in voga ai giorni nostri Risale alla metà degli anni 90 una delle più vecchie truffe online: la truffa del principe nigeriano. La vittima riceve una mail da un presunto principe caduto in disgrazia che chiede aiuto per trasferire fuori dal paese una grossa somma di denaro, offrendo in cambio una percentuale sull’operazione. Questa, così come molte altre, sono truffe in circolazione da decenni ma che ancora riescono a mietere vittime. Ma quali sono le minacce online più diffuse e come evitare di cadere nelle loro mani? PHISHINGLa truffa più diffusa ad oggi. Una campagna di phishing è progettata per far sì che la vittima – dopo aver ricevuto una mail dal tono professionale e apparentemente inviata da un’azienda seria e affidabile – ceda username, password e informazioni personali che verranno utilizzate per scopi malevoli. Ad esempio, potreste ricevere un’e-mail da un’azienda che dichiara di occuparsi degli abbonamenti TV, sostenendo che il vostro pagamento non è arrivato e minacciandovi di incorrere in pesanti sanzioni se non regolarizzate immediatamente la vostra posizione. Ci sono alcuni segnali che indicano che si tratta di una truffa – e queste semplici regole che seguono dovrebbero essere applicate a qualsiasi e-mail che si riceve da un’azienda o da una persona che non si conosce. Controllate l’indirizzo e-mail. Sebbene il nome del mittente sia “Ufficio Abbonamenti TV”, l’indirizzo e-mail non avrà nulla a che fare con esso. Un truffatore non si rivolge quasi mai a voi chiamandovi per nome – useranno il vostro nome utente indicato nella vostra email, si rivolgeranno a voi con un “Caro cliente”. Se ci fate caso, le aziende attendibili si si rivolgono direttamente a voi soprattutto quando si tratta di questioni importanti o economiche o che riguardano i vostri account. Passate con il mouse sul link su cui vi si chiede di cliccare (senza cliccare ovviamente) – se vi sembra insolito, molto probabilmente è falso e andare su quel sito web e inserire i dati della vostra carta di credito purtroppo servirà solo a finanziare i criminali informatici, non a rinnovare il vostro abbonamento TV. Ci sono numerosi errori ortografici e grammaticali o loghi sfocati? Se l’e-mail vi sembra creata con noncuranza, allora potrebbe non essere legittima. Senso di urgenza. Se un’e-mail ti chiede di agire immediatamente o suscita la tua curiosità, sii cauto e sospettoso. Richiesta di informazioni personali o sensibili. Non rispondete mai a un’e-mail non sollecitata che vi chiede informazioni personali, finanziarie o sensibili. Tipo di file inusuale. Nell’ambito professionale, vengono inviati via e-mail solo alcuni tipi di file. Se il file vi sembra strano, non apritelo. PACKAGING E INVOICE SPAM“Non ricordo di aver sottoscritto un abbonamento per questa app”. Ma questo è ciò che sostiene l’email che avete ricevuto. E nella fattura si dice che l’abbonamento è stato acquistato in Sri Lanka. “Ci deve essere un errore” vi dite, e aprite il pdf allegato per controllare. Purtroppo, quel PDF conteneva un exploit, che alla fine ha trasferito il trojan Emotet sul vostro dispositivo. La truffa varia, ma di solito si focalizza su un pacco che non hai ordinato, una fattura per qualcosa che non hai acquistato, o un pagamento mensile per un abbonamento o servizio a cui non ti sei iscritto. Ciò può comportare una serie di conseguenze dannose, come il furto delle credenziali bancarie. È importante dunque prestare particolare attenzione agli avvisi che compaiono sulle estensioni che devono essere abilitate. Raramente tali estensioni sono davvero necessarie quindi non procedete in nessun modo! TRUFFA SUI BIGLIETTI ONLINELe truffe nella vendita di biglietti online sono in aumento. I consumatori vengono indotti a comprare biglietti falsi per eventi sportivi o concerti (di solito di alto profilo, per aumentare la percentuale di successo). I biglietti falsi tendono ad essere duplicati, o hanno un codice a barre contraffatto che non consente l’ingresso e nella peggiore delle ipotesi, non è stato emesso alcun biglietto. Di seguito alcuni suggerimenti per proteggersi dalle frodi sui biglietti online: Acquista solo da società conosciute e di cui ti fidi. In ogni caso, se ciò non è possibile, fai sempre una ricerca online, possibilmente mettendo la parola ‘Truffa” davanti al nome dell’azienda. Potrai così leggere nei forum online eventuali reclami/recensioni. Cerca il simbolo del lucchetto per verificare che il sito web sia sicuro. Attenzione alla diffusione dei malvertising (annunci falsi che rimandano a siti web dannosi). Come nel caso precedente, cerca il fornitore su Internet e verifica la sua autenticità prima di effettuare qualsiasi acquisto. DIGITAL EXTORTIONLe campagne digitali di estorsione minacceranno la vostra immagine, le vostre relazioni e a volte anche la vostra vita. A differenza della truffa del principe nigeriano che offre ricchezza e romanticismo, qui viene messa in atto la trappola del “bastone e della carota”. Potreste, ad esempio, aver ricevuto una e-mail il cui oggetto contiene sia la vostra user name che la password. Per quanto sorprendente, è il corpo dell’email che attira davvero la vostra attenzione. Qualcuno sostiene di aver violato un sito web pornografico e vi accusa di averlo visitato. Il truffatore dice di aver preso il controllo del vostro monitor e della vostra webcam, e di aver registrato sia voi che il materiale pornografico e di aver creato un video. Come se questo non fosse abbastanza scioccante, il truffatore sostiene di aver raccolto tutti i vostri contatti e minaccia di inviare il video a tutti. A questo punto il truffatore recita la parte del “buono” e vi promette di non diffondere il video e di far sparire tutto per la misera somma di mille dollari in Bitcoins. Tutto falso. Si tratta di un’altra serie di campagne di phishing inviate in massa, nella speranza di ingannare un numero di destinatari sufficiente a rendere redditizi gli sforzi del truffatore. L’e-mail è stata distribuita attraverso il botnet Necurs, un sistema di diffusione di molti malware. Questo non vuol dire che sia impossibile accedere al vostro desktop o alla vostra webcam, ma è altamente improbabile che venga fatto nella modalità
Tutti sono concentrati sul GDPR, per evitare le multe. Ma chi investe in una maggiore resilienza?
Un collega mi ha detto: «Se rifletti, ora tutti sono concentrati sul GDPR: perché? Perché ci sono penalità molto elevate. Ma quante organizzazioni hanno investito e stanno investendo in una maggiore resilienza? Il mio precedente articolo ha stimolato alcuni a fornirmi un loro feedback: sono stati tutti di approvazione di quanto da me affermato. Fra questi, segnalo e riporto qui di seguito, in forma schematica, quanto segnalatami da una persona di lunga esperienza ed elevata competenza: Diffuse carenze nella consapevolezza sulla gestione dei rischi, specialmente informatici; Scarse e poco autorevoli figure nell’ICT; Cattive prassi consolidate; Tendenza ad occultare la presenza di rischi e criticità; Diffuse scarse competenze culturali ed informatiche; Poca meritocrazia; Insufficiente budget dedicato alla protezione cyber; Insufficiente formazione necessaria a creare la corretta consapevolezza nell’utilizzo della dotazione informatica. Ho letto e riletto diverse volte quanto scritto da questa persona, che ricopre tra l’altro un ruolo apicale in una grande azienda, ed ho concluso che a mio avviso si sia rappresentata una situazione reale. Ho voluto comunque sentire il parere di altri manager che si occupano di information security, operational risk management, ed auditing. Tutti hanno condiviso quanto scritto. La situazione è davvero grave, e, quindi, che fare? Un collega mi ha detto: «Se rifletti, ora tutti sono concentrati sul GDPR: perché? Perché ci sono penalità molto elevate. Ma quante organizzazioni hanno investito e stanno investendo in una maggiore resilienza? Quante si sono accontentate di qualche procedura ad hoc, nuove disposizioni interne e la responsabilizzazione dell’outsourcer? Nemmeno il rischio di attacchi cyber da concorrenti, nazioni nemiche o da gruppi terroristici, che possano mettere in crisi l’azienda, mettono paura. Bisogna allora puntare sui giovani: creare in loro la giusta consapevolezza dei rischi.». Riassumendo, il consiglio è: penali elevate e “awareness” nei più giovani? Concludo con una frase tratta dal lungo testo pervenutomi, e che ha trovato il maggior consenso fra i colleghi: «Purtroppo l’insufficiente etica professionale, unitamente a scarse competenze culturali ed informatiche, anche ai livelli più alti, riducono l’efficienza interna e quindi la competitività della singola azienda e del Sistema Paese. La poca meritocrazia, permette a persone inadeguate di ricoprire ruoli direttivi, compromettendo un sano processo decisionale, la motivazione delle risorse ed il perseguimento di una corretta Governance aziendale. ». Il security manager sarà sempre più solo? O sarà l’unico a pagare le conseguenze di un riuscito attacco cyber? Fonte: Key4Biz.it
Incidenti informatici: verso le sanzioni contro i dipendenti?
L’imposizione di sanzioni al personale è a totale discrezione di ogni azienda, ma è probabile che la regolamentazione della responsabilità dei singoli cambierà. Le agenzie di rating hanno iniziato ad adottare il rischio informatico come criterio di valutazione e, in caso di furto o perdita di dati, si invocano sempre più spesso le sanzioni contro i dipendenti o i dirigenti aziendali. Tutto ciò porta a ritenere che, in un futuro più o meno lontano, le sanzioni contro singoli per negligenza, irresponsabilità o igiene digitale inadeguata potrebbero diventare più frequenti. Pur inviando solo un segnale debole al grande pubblico a causa della loro rarità, alcuni casi verificatisi negli ultimi due anni rappresentano precedenti significativi: nel 2017, a fronte di un attacco alla società statunitense Equifax, specializzata in servizi finanziari, sono stati resi di dominio pubblico i dati personali di 143 milioni di cittadini statunitensi. La società è stata pubblicamente citata in giudizio per il mancato rispetto delle misure di sicurezza e il suo amministratore delegato è stato rimosso dall’incarico dagli azionisti a causa dell’immenso danno reputazionale cagionato. Nel marzo 2018, il CFO della filiale olandese di Pathé è stato licenziato dopo essere stato vittima della “frode del capo”, costata alla società 21 milioni di euro. Allo stesso tempo, la Corte di cassazione francese si è pronunciata nel caso della richiesta di risarcimento danni da parte di un utente privato, vittima di una e-mail di phishing. Il tribunale ha accusato il richiedente di “grave negligenza nella protezione e nella custodia dei suoi dati”. La sentenza ha confermato la responsabilità del privato. La richiesta è stata respinta. Stiamo procedendo gradualmente verso l’imposizione sistematica di sanzioni contro dipendenti e singoli individui per l’inadeguata igiene digitale? Sanzioni previste dal GDPR Dal maggio 2018, il GDPR prevede l’imposizione di numerose sanzioni alle imprese e alle autorità. L’articolo 58 del regolamento europeo conferisce agli Stati membri dell’UE il potere di intervenire contro la violazione delle normative e di attuare misure deterrenti. L’articolo 83 stabilisce le condizioni secondo cui può essere inflitta un’ammenda di fino al 4% del fatturato globale dell’impresa. E gli importi (elevati) cominciano lentamente a sommarsi. Nel gennaio 2019, a Google è stata comminata una multa di 50 milioni di euro in Francia. L’autorità britannica per la protezione dei dati ha inoltre annunciato la scorsa estate l’intenzione di infliggere a British Airways un’ammenda di oltre 200 milioni di euro. E questo è solo l’inizio. Meno noto è che l’articolo 84 del GDPR prevede anche sanzioni penali. Finora, tuttavia, non è emerso alcun caso specifico. Meccanismi di prevenzione e regolamentazione Le aziende dispongono già di numerosi strumenti per ridurre al minimo questo rischio. “Come azienda del Gruppo Airbus Defence and Space, le nostre linee guida interne in materia di sicurezza sono molto rigorose. La società impiega strumenti per proteggere l’accesso alla rete, i servizi di messaggistica, il traffico Internet, le workstation e i dispositivi mobili”, conferma Alberto Brera, Country Manager di Stormshield per l‘Italia. Ma ciò non sempre é sufficiente. “A causa dell’evoluzione dei metodi di lavoro, dell’aumento della quota del personale che lavora da casa e della crescente mobilità, non solo le misure di sicurezza sono di fondamentale importanza, ma anche la sensibilizzazione e la formazione dei dipendenti. Questo, a sua volta, richiede strumenti giuridici iniziali, come linee guida allegate al contratto di lavoro che raccolgono tutte le best practice a cui gli utenti dovrebbero attenersi quando utilizzano le risorse IT aziendali e regolano la comunicazione digitale, compresi i diritti degli utenti stessi. Spesso però queste linee guida non vengono messe in pratica. Il ricorso a sanzioni per negligenza, irresponsabilità o scarsa igiene digitale potrebbe quindi diventare più comune nei prossimi anni – e interessare ogni impiegato, indipendentemente dal ruolo che ricopre in azienda. A mali estremi, estremi rimedi? Ci sono molti esempi di aziende chiamate a rispondere delle violazioni delle prescrizioni normative e di conseguenza di rivalersi sul dipendente o sull’amministratore delegato responsabile del danno. “A seconda dei casi, la sanzione comminata dal datore di lavoro può andare dalla sospensione o risoluzione del contratto all’azione legale“, sottolinea Brera. Il quadro giuridico é chiaro, così come il fatto che l’imposizione di sanzioni al personale sia a totale discrezione di ogni azienda. Tuttavia, è abbastanza probabile che nei prossimi anni la regolamentazione della responsabilità dei singoli individui da parte del legislatore cambierà: sebbene si ricordi costantemente che non ci sono mai stati rischi maggiori e che il compito di favorire l’instaurarsi di una cultura della sicurezza informatica nelle imprese non sia mai stato così importante, gli attacchi ransomware e phishing continuano ad avere molto successo. La criminalità informatica sta cagionando danni sempre più ingenti ai privati e alle imprese. Alla luce di ciò, c’è da chiedersi se, in caso di negligenza, ci siano davvero alternative all’invocazione della responsabilità del singolo individuo. Fonte: BitMat.it
Sanzioni GDPR: che cosa è successo in Europa dopo l’entrata in vigore del regolamento?
Nonostante il periodo di “tolleranza” concesso per consentire agli Stati Membri di adeguarsi al GDPR, molte società si sono rivelate non conformi rispetto alle prescrizioni. Finora le Autorità più attive nell’erogazione di sanzioni sono quella tedesca e bulgara. In Italia il caso più noto è stato quello dell’Associazione Rousseau. Tra gli aspetti più rilevanti del GDPR c’è quello relativo alle sanzioni, che ha lo scopo di sensibilizzare le società al rispetto non solo della normativa, ma anche della privacy by design e privacy by default. In questo scenario un ruolo di preminente centralità e di guida è quello relativo alla “responsabilizzazione” del titolare e del responsabile del trattamento. Le sanzioni in base al tipo di violazione L’art. 83 del GDPR distingue le sanzioni applicabili secondo due modalità, in base alla gravità delle violazioni, che si distinguono quindi in “meno gravi” e “più gravi”, in riferimento al “peso” dei principi violati. Per le violazioni meno gravi (art. 83, comma 4), la sanzione può essere di una somma fino a 10 milioni di euro oppure, se superiore a questa cifra, di una somma pari al 2% del fatturato mondiale totale annuo dell’esercizio precedente di un’azienda (intesa come gruppo, se la stessa ne fa parte, nel senso di gruppo di società che fanno capo ad una holding). Le sanzioni sono previste dal GDPR nel caso di violazioni degli obblighi imposti al titolare ed al responsabile del trattamento, all’organismo di certificazione e all’organismo di controllo dei codici di condotta. Per le violazioni più gravi, invece, la sanzione è prevista dall’art. 83 paragrafo 5 ed è quantificata in 20 milioni di euro, oppure, nel 4% del fatturato mondiale totale annuo dell’esercizio precedente, se superiore, e in riferimento al fatturato totale del gruppo. Quest’ultima si applicherà nel caso in cui saranno violati i principi di base: del trattamento, comprese le condizioni relative al consenso, a norma degli articoli 5, 6, 7 e 9; dei diritti degli interessati, a norma degli articoli da 12 a 22; dei trasferimenti di dati personali a un destinatario in un paese terzo o un’organizzazione internazionale a norma degli articoli da 44 a 49; di qualsiasi obbligo ai sensi delle legislazioni degli Stati membri adottate a norma del capo IX; Sarà valida anche in caso di inosservanza di un ordine, di una limitazione provvisoria o definitiva di trattamento o di un ordine di sospensione dei flussi di dati dell’autorità di controllo (ovvero il Garante Privacy) ai sensi dell’articolo 58, paragrafo 2, o il negato accesso in violazione dell’articolo 58, paragrafo 1 del GDPR. La determinazione delle sanzioni amministrative pecuniarie potrà avvenire tenendo conto di alcuni criteri, tra cui rientrano, a titolo esemplificativo, “la natura, gravità e durata della violazione”, “il carattere doloso o colposo della violazione”, “il grado di cooperazione con l’autorità di controllo al fine di porre rimedio alla violazione e attuarne i possibili effetti negativi”. Il Regolamento concede all’Autorità anche poteri correttivi, ovvero la facoltà di sancire, in alternativa o in aggiunta alle sanzioni amministrative, altri tipi di provvedimenti previsti dall’art. 58, par. 2 come, per citarne solo alcuni, gli avvertimenti, e gli ammonimenti o ingiunzioni ad accogliere le richieste degli interessati, ad adeguarsi alle modalità di trattamento previste dalla normativa, ad interrompere o limitare il trattamento. All’interno del quadro sanzionatorio appena descritto, assumono molta importanza il livello e l’entità della cooperazione con le autorità di controllo. Tale comportamento collaborativo può costituire un fattore determinante nella scelta di applicare o meno una sanzione amministrativa e, eventualmente, di fissarne l’ammontare, qualora siano state, da parte di titolari o responsabili del trattamento, limitate o azzerate le ripercussioni negative sui diritti degli interessati. Alcuni esempi di sanzioni (a livello europeo) dopo l’entrata in vigore del GDPR Il panorama in oggetto merita di essere approfondito tramite un’analisi dei provvedimenti dei Garanti privacy europei rispetto ai casi specifici. Nonostante il periodo di “tolleranza” concesso per consentire agli Stati Membri di adeguarsi al GDPR, nel caso dell’Italia pari ad otto mesi a partire dal 19 settembre 2018, le società che svolgono trattamenti di dati personali si sono rivelate, a seguito dei primi controlli svolti nelle diverse Nazioni, non conformi alle prescrizioni del GDPR. Prendendo spunto dal sito GDPR Enforcement Tracker, che raggruppa l’insieme delle sanzioni fino ad ora comminate dalle diverse Autorità nazionali, facendo un’analisi d’insieme di quanto disposto dalle singole Autorità, si nota una forte prevalenza di sanzioni legate al mancato rispetto dei principi base che regolano il trattamento (artt. 5 e 6 GDPR) e all’inadeguatezza delle misure tecnico-organizzative poste in essere dai soggetti per garantire un livello di sicurezza consono rispetto al trattamento da effettuarsi (art. 32 GDPR). In misura meno incisiva, ma piuttosto consistente, si rilevano sanzioni legate alla non conformità o non fornitura delle informative da rilasciare all’interessato (artt. 13 e 14 GDPR), per la maggior parte, oltre che all’impossibilità per lo stesso di esercitare altri dei propri diritti che rientrano all’interno del capo III del Regolamento (artt. 12, 15, 17, 21 GDPR). In ultimo luogo, nella misura in assoluto più bassa, si rilevano anche provvedimenti collegati al mancato rispetto delle procedure di notifica e comunicazione di data breach (artt. 33 e 34 GDPR) e riguardanti la designazione del responsabile della protezione dei dati (art. 37 GDPR) e del responsabile del trattamento (art. 28 GDPR). Dall’analisi della medesima fonte risulta, altresì, che le Autorità più attive nell’erogazione di sanzioni siano in Germania e in Ungheria, seguite da quelle della Repubblica Ceca, Bulgaria, Austria e Spagna. Le restanti, invece, annoverano un minor numero di provvedimenti. Il caso dell’Associazione Rousseau in Italia Per citare alcuni casi concreti, in Italia il provvedimento di maggiore rilevanza risulta il n. 83 del 4 aprile 2019, che si compone della sanzione pecuniaria comminata dal Garante italiano all’Associazione Rousseau, pari a 50mila euro (prevista ai sensi dell’art. 83 par. 4 lett. a. del GDPR), alla quale è stata affiancata l’intimazione di adottare le misure di adeguamento necessarie (conformemente alle prescrizioni di cui all’art. 58 par. 2 del GDPR). L’associazione, infatti, era stata soggetta ad un primo controllo nel 2017, a causa della segnalazione di avvenuto data breach. Successivamente, il Garante, con provvedimento del 21 dicembre 2017, aveva chiesto il riesame delle condizioni
Minacce informatiche in Italia: uno scenario in continua evoluzione
Il 93% delle imprese italiane ha subito subito violazioni negli ultimi 12 mesi, soprattutto ad opera del ransomware Il fornitore di soluzioni cloud-native per la protezione degli endpoint nativi del cloud Carbon Black presenta i risultati del suo secondo Rapporto sulle minacce informatiche in Italia, basato su un’indagine condotta su 250 Chief Information Officer (CIO), Chief Technology Officer (CTO) e Chief Information Security Officer (CISO) di tutta Italia. Ne emerge che lo scenario delle minacce informatiche è soggetto ad una rapida continua evoluzione a fronte di attacchi sempre più sofisticati e complessi. Principali risultati dell’indagine italiana emersi dalle risposte delle imprese interpellate: il 93% delle imprese italiane ha affermato di aver subito una violazione dei dati negli ultimi 12 mesi l’89% delle imprese italiane ha riferito un aumento degli attacchi informatici negli ultimi 12 mesi il 90% delle aziende italiane ha dichiarato che gli attacchi informatici sono diventati più sofisticati l’89% delle imprese italiane nutre preoccupazioni per i progetti di trasformazione digitale e il 5G l’84% delle aziende italiane nutre una maggiore fiducia nella propria capacità di respingere gli attacchi informatici rispetto a 12 mesi fa il 93% delle imprese italiane ha affermato che il threat hunting ha consentito di migliorare le difese il 96% delle imprese italiane ha dichiarato di avere in programma un aumento del budget per la sicurezza Rick McElroy, Head of Security Strategy, Carbon Black, ha dichiarato: “Secondo i risultati del nostro secondo Rapporto sulle minacce informatiche in Italia, le aziende si stanno adattando alla ‘nuova normalità’ di attacchi informatici continui e sofisticati. Una maggiore consapevolezza delle minacce esterne e dei rischi inerenti alla conformità ha inoltre spinto le imprese a diventare più proattive nella gestione dei rischi informatici, via via che assistono agli impatti finanziari e reputazionali provocati dalle violazioni.” Il nuovo rapporto di Carbon Black ha rilevato che il 93% delle imprese italiane interpellate ha subito delle violazioni negli ultimi 12 mesi; fra queste, il 43% ha registrato da 3 a 10 violazioni. Fra le aziende italiane partecipanti all’indagine, il ransomware è risultato la principale causa di violazioni riuscite, seguito dagli attacchi di phishing, a indicare che gli autori delle minacce stanno prendendo di mira l’anello più debole della catena di sicurezza: gli utenti finali. Il 56% delle imprese italiane interpellate ha riscontrato un certo grado di danno finanziario associato alle violazioni, mentre il 6,5% ha dichiarato che il danno è stato di grave entità. Per contro, il 68% ha dichiarato di aver subito un danno alla propria reputazione aziendale. Il danno alla reputazione è stato maggiormente avvertito nel settore dei servizi finanziari, con l’82% degli intervistati che ha riferito un impatto negativo. La fiducia nelle capacità di difesa è in aumento Le imprese italiane partecipanti all’indagine hanno riferito di avere maggiore fiducia nella propria capacità di respingere gli attacchi informatici rispetto a 12 mesi fa. Il 54% ha dichiarato di essere un po’ più fiducioso, mentre il 29,5% ha affermato di sentirsi molto più fiducioso. McElroy ha dichiarato: “Via via che il settore della difesa dalla pirateria informatica continua a maturare, le aziende stanno diventando più consapevoli degli strumenti a loro disposizione e delle tattiche che possono usare per combattere gli attacchi informatici. Riteniamo che questa crescente fiducia sia indicativa di un cambiamento di potere a favore dei cyberdefender, che stanno adottando un approccio più proattivo al threat hunting e alla neutralizzazione delle minacce rispetto al passato.” Ciò è sottolineato dal 93% delle imprese italiane interpellate, che hanno riferito di aver rafforzato la propria difesa attraverso il threat hunting. L’87% ha trovato prove di attività di attacchi informatici dannosi durante l’esecuzione dei processi di threat hunting. Il riconoscimento dei vantaggi derivanti dagli investimenti nella sicurezza informatica è ulteriormente supportato dal fatto che il 96% delle imprese italiane ha dichiarato di voler aumentare i budget per la sicurezza informatica nei prossimi 12 mesi. Timori in merito alla trasformazione digitale, al lancio del 5G e alla carenza di competenze nell’ambito delle minacce informatiche Alla domanda sugli aspetti di sicurezza relativa all’implementazione e alla gestione dei programmi di trasformazione digitale e all’implementazione del 5G, l’89% delle aziende italiane intervistate ha dichiarato di nutrire timori. Il 32% degli intervistati ritiene possano crearsi più opportunità per l’attività di attacchi informatici, mentre il 29% intravede il rischio di nuovi metodi più efficaci e distruttivi di criminalità informatica. Fonte: BitMat.it
Assistenti vocali: consumatori preoccupati per la privacy
In Italia la preoccupazione è inferiore alla media mondiale, e cresce al diminuire dell’età dei consumatori L’Osservatorio Globale sulle abitudini dei consumatori di Selligent Marketing Cloud – che indaga i comportamenti e le aspettative nelle interazioni con i brand di 5.000 consumatori in tutto il mondo – mostra che il 69% dei consumatori trova “inquietante” ricevere annunci basati su dati raccolti attraverso conversazioni captate, senza esplicito coinvolgimento, da assistenti vocali come Siri di Apple, Alexa di Amazon e Google Home. Il dato scende al 50% se ci spostiamo in Italia: nel Bel Paese su questo tema sembra esserci meno preoccupazione, o forse meno consapevolezza, rispetto alle altre nazioni. In Italia come all’estero, una persona coinvolta su due dice però di temere che gli assistenti vocali ascoltino le sue conversazioni senza consenso. Più giovane è il consumatore, più è incline a credere di essere ascoltato a sua insaputa: il dato spazia dal 58% per la Gen Z (18-24 anni), al 36% per i Baby Boomer (55-75 anni). In parallelo alla crescita delle preoccupazioni per la privacy, l’Osservatorio di Selligent evidenzia che i consumatori stanno modificando il loro comportamento sotto diversi aspetti: Quasi la metà degli intervistati a livello mondiale (il 45% per la precisione) utilizza gli assistenti vocali nonostante il fattore “inquietante” Il 41% degli intervistati dichiara di aver ridotto l’utilizzo dei social media per questioni di privacy, ma la maggioranza (59%) non l’ha fatto Un terzo dei consumatori (32%) ha abbandonato almeno una piattaforma social negli ultimi 12 mesi per problemi di privacy – Facebook è in cima alla “lista nera”, con il 40% Nonostante queste preoccupazioni, la survey rivela inoltre che il 51% dei consumatori è ancora disposto a condividere i propri dati personali per avere in cambio un’esperienza più personalizzata: la percentuale sale ulteriormente, al 59%, considerando solo l’Italia. Per i brand, ne consegue l’esigenza di una maggiore attenzione alla fornitura di esperienze realmente rilevanti e omnicanale, in grado di creare valore per i consumatori al momento giusto. Altri risultati degni di nota: clienti sempre connessi e aspettative elevate: dal servizio clienti, ci si aspetta tempi di risposta sempre più brevi. Il 96% delle persone si aspetta che i brand rispondano entro 24 ore dalla segnalazione di un problema, mentre il 90% (o meglio il 96% considerando gli italiani) pretende addirittura che, nello stesso lasso di tempo, il problema venga risolto. Inoltre, il 71% degli interpellati si aspetta che i brand con cui ha già interagito abbiano conservato le informazioni sul suo conto: questo evidenzia la necessità, per le aziende, di disporre di una visione completa a 360° del cliente potere all’esperienza omnichannel: il 64% dei rispondenti approfitta della commistione tra online e in-store quando deve fare acquisti di un certo peso (elettronica di consumo, elettrodomestici, vacanze), preferendo fare ricerche online ma andando poi ad acquistare in-store. Gli italiani restano più legati al negozio fisico: il 62% dei consumatori del Bel Paese si aspetta che i brand forniscano assistenza e raccomandazioni in negozio, contro il 49% del resto del mondo parola d’ordine rilevanza: il 64% degli intervistati a livello globale (e il 77% in Italia) è consapevole del fatto che la sua attività online viene monitorata dai brand, ma riceve con piacere raccomandazioni di prodotto proattive basate sui suoi acquisti precedenti. Il 65% degli italiani dichiara poi di trovare piacevole/utile ricevere annunci in base a ciò che ha chiesto ai propri assistenti vocali (contro il 47% del dato globale). “Creare una relazione di fiducia con i consumatori e costruire la loro fedeltà a lungo termine è l’obiettivo primario di chi si occupa di marketing, ha detto Niki Hall, CMO di Selligent. Oggi i consumatori sono più che mai connessi e, anche per questo, si aspettano un elevato livello di personalizzazione e immediatezza nelle loro interazioni con i brand. Ma poiché sono anche preoccupati dal fatto che i loro dati possano essere utilizzati in modi che non condividono, i brand devono saper sviluppare una strategia in grado di garantire il giusto equilibrio – creando valore e personalizzazione per il consumatore, senza essere però troppo invadenti. Per farlo con efficacia, le aziende hanno bisogno di una piattaforma smart in grado di fornire una panoramica completa sul cliente. Avere piena visibilità su tutti i touch point con i consumatori consente ai brand di offrire customer experience di qualità e valore duraturo.” “Oggi i consumatori sono più esigenti che mai e le loro aspettative non sono mai state così elevate ha aggiunto Gian Musolino, Country Manager di Selligent Marketing Cloud Italia. Per rispondere alle richieste dei loro clienti, i brand non possono prescindere dal dotarsi di una piattaforma in grado di garantire una panoramica completa sul consumatore: è l’unico modo per offrire esperienze di qualità superiore, in grado di generare valore a lungo termine.” Fonte: BitMat.it
Sicurezza cyber: aumentano gli attacchi gravi nel primo semestre 2019
Il cybercrime rappresenta l’85% degli attacchi a livello globale, e la tendenza è in crescita La nuova edizione del Rapporto Clusit, presentato oggi a Verona in occasione di Security Summit, evidenzia una situazione di stallo a livello globale nei primi sei mesi dell’anno sul fronte della sicurezza cyber. Sono infatti 757 gli attacchi gravi registrati nel primo semestre 2019, per una media mensile pari a 126, in lieve crescita (+1,3%) rispetto al primo semestre 2018. Ad emergere è tuttavia il dato relativo al cybercrime – ovvero la tipologia di attacco compiuta allo scopo di estorcere denaro alle vittime o di sottrarre informazioni per ricavarne denaro – che rimane nel primo semestre 2019 la principale causa di attacchi gravi: rappresenta infatti l’85% degli attacchi a livello globale, e la tendenza è in crescita. Gli esperti del Clusit individuano un incremento dell’8,3% rispetto al numero di attacchi registrati nel primo semestre 2018. Appaiono invece sostanzialmente stabili gli attacchi cyber riferibili ad attività di “Cyber Espionage” (spionaggio cyber) e “Information Warfare” (la guerra delle informazioni), per quanto per queste due categorie gli esperti di Clusit evidenzino tuttavia una minore disponibilità di informazioni pubbliche. L’analisi dei “livelli di impatto”, condotta per ogni singolo attacco, mostra inoltre che – pur rappresentando gran parte del totale, gli attacchi di matrice cyber-criminale hanno in media un tasso di gravità inferiore rispetto a quelli realizzati da altre categorie di attaccanti. Ciò è imputabile, secondo gli esperti di Clusit, alla necessità degli attaccanti di mantenere un profilo relativamente basso per poter continuare ad agire senza attirare troppa attenzione. “Pur avendo una Severity media più bassa, dati i numeri in gioco gli attacchi con finalità cyber-criminale generano comunque la maggior parte dei danni a livello globale, afferma Andrea Zapparoli Manzoni, membro del Comitato Direttivo Clusit, tra gli autori del Rapporto Clusit. Dal 2016 assistiamo anche alla diffusione di attività cyber-criminali spicciole, quali le quotidiane campagne mirate a compiere truffe ed estorsioni realizzate tramite phishing e ransomware, che hanno colpito anche moltissime organizzazioni e cittadini italiani; confermiamo che questo trend si è rafforzato nel triennio 2017-2019 ed è tuttora in crescita.” Cyber attacchi nel 2019: chi viene colpito e perché Nel primo semestre di quest’anno, sempre rispetto allo stesso periodo dell’anno scorso, in termini assoluti il numero maggiore di attacchi gravi si osserva verso la categoria “Multiple Targets”, che numericamente costituisce oggi la categoria di vittime più colpita, pari al 21% del totale, in aumento del 16,3% rispetto allo stesso semestre del 2018. Si tratta di attacchi compiuti in parallelo dallo stesso gruppo di attaccanti contro molteplici organizzazioni appartenenti a categorie differenti. Questo, secondo gli esperti Clusit, conferma non solo che tutti sono ormai diventati bersagli, ma anche che gli attaccanti sono diventati sempre più aggressivi ed organizzati e possono condurre operazioni su scala sempre maggiore, con una logica “industriale”, a prescindere da vincoli territoriali e dalla tipologia dei bersagli, puntando solo a massimizzare il risultato economico. Particolarmente colpita nei primi sei mesi del 2019 anche la categoria “Online Services / Cloud”, verso la quale sono stati perpetrati il 14% degli attacchi, con una crescita del 49,3% rispetto allo stesso periodo dello scorso anno. Il settore della Sanità ha subito da gennaio a giugno 2019 un aumento degli attacchi del 31% rispetto al primo semestre 2018: mai dal 2011 (anno della pubblicazione del primo Rapporto Clusit) – notano gli esperti del Clusit – questo settore è stato così bersagliato: sono stati ben 97 gli attacchi registrati nel semestre a livello globale contro strutture sanitarie. Segue il settore della Grande Distribuzione Organizzata (GDO) e retail, con un incremento degli attacchi del 40,0%, mentre diminuiscono invece in modo apprezzabile gli attacchi gravi verso le categorie “Government” (-17,5%) e “Banking / Finance” (-35,4%). Sono sostanzialmente stabili le altre categorie, che mostrano fluttuazioni percentuali contenute. Le tecniche d’attacco I dati analizzati dai ricercatori Clusit evidenziano che – ancora nel primo semestre 2019 – per conseguire la gran parte dei loro obiettivi gli attaccanti possono fare affidamento sull’efficacia di malware “semplice”, prodotto industrialmente a costi decrescenti, e su tecniche di Phishing e Social Engineering: questi due vettori d’attacco mostrano infatti una crescita del 104,8% rispetto al primo semestre dello scorso anno. Le tecniche sconosciute (categoria “Unknown”) si confermano al secondo posto nella “classifica” dei ricercatori di Clusit, pur con una diminuzione del 23,8% rispetto allo stesso periodo del 2018, superate dalla categoria “Malware”, in crescita del 5,1%, e saldamente al primo posto in termini assoluti, rappresentando il 41% del totale nel periodo (contro il 38% nel primo semestre 2018). Tuttavia, per comprendere pienamente il trend osservato di crescita del malware, i ricercatori Clusit suggeriscono di sommare al dato di crescita del Malware “semplice” anche quello relativo agli attacchi della categoria “Multiple Techniques /APT”, più articolati e sofisticati, per quanto quasi sempre basati anche sull’utilizzo di malware, concludendo che il malware rappresenti ormai complessivamente il 45,5% delle tecniche di attacco utilizzate. Ritornano inoltre a crescere nel primo semestre 2019 in modo significativo gli attacchi basati su tecniche di “Account Hacking /Cracking” (+88,9% rispetto al primo semestre 2018). L’utilizzo di malware specifico per piattaforme mobile negli ultimi sei mesi ha rappresentato l’11% del totale (6% Android, 5% iOS) dei malware osservati. “Considerato che stiamo analizzando gli attacchi più gravi del primo semestre 2019, compiuti contro primarie organizzazioni pubbliche e private, spesso di livello mondiale, il fatto che la somma delle tecniche di attacco più banali, quali SQLi, DDoS, Vulnerabilità note, Account cracking, Phishing e Malware “semplice”, rappresenti ancora il 63% del totale implica che gli attaccanti possono realizzare attacchi gravi di successo contro le loro vittime con relativa semplicità e a costi molto bassi, oltre tutto decrescenti, afferma Andrea Zapparoli Manzoni. La crescita impressionante dell’uso di tecniche di phishing e social engineering per compiere con successo attacchi gravi ci conferma ancora una volta quanto sia fondamentale ed urgente investire anche sul fattore umano.” Fonte: BitMat.it