Sicurezza aziendale: proteggere i dipendenti, non il perimetro
Le aziende stanno investendo nella sicurezza IT come mai prima d’ora, ma con scarso successo: le informazioni personali continuano a finire nelle mani sbagliate e le violazioni dei dati sono all’ordine del giorno. È il momento di ripensare la sicurezza. I modelli tradizionali erano adatti a un’epoca precedente, nella quale si metteva al sicuro il perimetro e si gestivano le minacce dopo il loro ingresso. Se questo approccio sembrava funzionare allora, oggi è completamente da rivedere. Oggi vengono colpite le persone, non la tecnologia, e sono queste a rappresentare il rischio più grande. Questo cambiamento nel panorama delle minacce richiede un’evoluzione di mentalità e di strategia, che si focalizzino sulla protezione delle persone e non del perimetro. La protezione inizia dalle persone È chiaro che il modello di difesa del perimetro non è più efficace – e non lo era più da anni. La ragione per cui non funziona più è semplice: nell’economia attuale basata su cloud non c’è più un perimetro da difendere. Le attività si svolgono su dispositivi e infrastrutture non gestiti dalle aziende e su canali di proprietà terze. Come sottolineato da Gartner, il dipartimento IT “semplicemente non controlla più i confini delle informazioni e delle tecnologie aziendali.” Le persone realizzano i migliori exploit Le aziende migrano al cloud, così fanno anche i cyber criminali. Se le infrastrutture cloud possono essere protette in modo molto efficace, le persone che le utilizzano sono invece vulnerabili. Si spiega perché oggi gli attacchi approfittino del fattore umano e non delle vulnerabilità tecnologiche. Più del 99% delle attività fraudolente è attivato dalle persone. Questi attacchi si affidano a un essere umano affinché apra un documento “armato”, clicchi su un link pericoloso, inserisca le proprie credenziali o svolga direttamente i comandi degli aggressori (come trasferire denaro o inviare file sensibili). Le attività di phishing, che cercano di ingannare l’utente e convincerlo a inserire i propri dati in form di login fittizi, sono le più pericolose. Nell’era cloud, le credenziali sono la chiave di tutto: email, dati sensibili, appuntamenti privati e rapporti di fiducia. È necessario identificare gli utenti aziendali più colpiti Le persone sono uniche, come unico è il loro valore per i cyber criminali e il rischio per i datori di lavoro. Gli impiegati hanno abitudini digitali e punti deboli distinti. Sono colpiti dagli hacker in modi diversi e con intensità differente e hanno contatti professionali unici e accessi privilegiati ai dati in rete e nel cloud. Tutti questi elementi compongono il rischio generale per l’utente, definito indice VAP (vulnerabilità, attacchi e privilegi). Vulnerabilità: come lavorano le persone La vulnerabilità degli utenti inizia dal loro comportamento digitale – da come lavorano e dai link che aprono. Alcuni impiegati possono lavorare da remoto o accedere all’email aziendale da dispositivi personali. Potrebbero utilizzare file storage basati su cloud e installare add-on di terze parti alle loro applicazioni cloud. O semplicemente potrebbero “cadere” nella trappola degli hacker e delle loro tecniche di phishing. È necessario comprendere poi il livello di suscettibilità degli utenti al phishing e ad altre tipologie di attacchi. Le simulazioni di attacchi phishing sono il modo migliore per comprendere questo aspetto, in particolare quelli che imitano le tecniche real-world, possono aiutare a identificare chi è influenzabile e da quale metodo. Chi apre un’email di phishing e l’allegato incluso potrebbe essere tra i più vulnerabili, chi lo ignora corre rischi minori e chi invece segnala il messaggio al team di sicurezza o all’amministratore email sarà il meno vulnerabile. Gli attacchi informatici non sono tutti uguali Ogni attacco è potenzialmente dannoso, alcuni più pericolosi, altri targettizzati, sofisticati. Minacce “commodity” indiscriminate potrebbero essere più numerose rispetto alle altre, ma meno preoccupanti perché vengono decodificate e bloccate più facilmente. Altre invece potrebbero comparire solo in una determinata serie di attacchi, ma essere molto pericolose a causa del loro livello sofisticato o del target di persone che cercano di colpire. Bisogna tenere in considerazione questi fattori in base alle divisioni e gruppi ai quali appartengono gli utenti. Ad esempio, alcuni potrebbero non sembrare a rischio, valutando il volume o la tipologia di email pericolose ricevute, ma potrebbero rappresentare invece un rischio elevato perché lavorano in un dipartimento altamente colpito e quindi potrebbero diventare un bersaglio chiave. Privilegi I privilegi misurano tutti gli elementi potenzialmente di valore ai quali le persone hanno accesso, come dati, autorizzazioni a livello finanziario, relazioni e molto altro. Analizzare questi aspetti del rischio è importante per valutare guadagni/perdite di aggressori e aziende in caso di compromissione. Per gli attaccanti, un target di valore è rappresentato da chiunque possa essergli utile. Per questo gli executive e altri manager VIP potrebbero non essere i bersagli più ambiti. In base alla ricerca Proofpoint, singoli collaboratori e middle management rappresentano più dei due terzi degli attacchi. Mitigare i rischi degli utenti: un modello per la protezione people-centric Proteggere da tutti i fattori di rischio richiede l’applicazione di un approccio su più fronti e significa: Ridurre la vulnerabilità degli utenti rendendoli più consapevoli dei rischi con corsi di formazione sulla cybersicurezza, che spieghino le differenti tecniche utilizzate. Bloccare le minacce prima che raggiungano la posta degli utenti Monitorare e gestire i privilegi di rete per evitare accessi non autorizzati alle informazioni sensibili. È fondamentale adottare un approccio focalizzato sulle persone per ridurre la superficie di attacco. Le forme di protezione tradizionali, usate finora, non sono davvero più funzionali, né sufficienti. Fonte: BitMat.it
Aziende, la causa principale dei data breach sono le vulnerabilità non risolte
Tripwire: Quasi il 27% delle organizzazioni in tutto il mondo (34%) in Europa ha subito almeno un data breach a seguito di vulnerabilità non risolte. Quasi il 27% delle organizzazioni di tutto il mondo ha subito almeno una violazione (data breach) della sua cyber security a causa di vulnerabilità che non sono state risolte. Lo rivela un sondaggio di Tripwire, secondo cui in Europa il numerò è ancora più alto (34%). Nella rilevazione si evince anche che il 59% del campione ha dichiarato di poter rilevare nuovi hardware e software nella propria rete in poche ore. Il 22% addirittura in minuti. C’è però, anche una percentuale rilevante (21%) a cui sono richiesti giorni, settimane (7) o anche di più (3). Infine, l’11% delle aziende non sono in grado di rilevarlo. Ciò rappresenta un grande vantaggio per il cybercrime o altri tipi di attori malevoli. Soprattutto se aggiunto al fatto che il 39% degli intervistati afferma di eseguire scansioni per le falle ogni settimana e il 22% ogni trimestre o meno. Gli esperti di cyber security: Sono troppo lunghi i tempi delle aziende per risolvere le falle e installare le patch. Ciò favorisce il cybercrime, soprattutto se sfrutta exploit 0-day A complicare il quadro della cyber security delle organizzazioni c’è il fatto che solo il 37% di esse risolve le vulnerabilità rilevate in meno di 15 giorni. Altrettante lo fanno nell’arco di un mese e il 14% entro due. Al 5% del campione, invece, serve ancora più tempo e l’8% nemmeno usa tool per fare la scansione alla ricerca di possibili falle. Non solo. Le patch di sicurezza sono installate subito solo dal 9% degli intervistati, mentre il 49% lo fa entro una settimana e il 16 in due. Al 19% la procedura richiede un mese e al 6% fino a tre. La conferma viene dal fatto che, nonostante la costante evoluzione delle minacce cibernetiche e la frequente scoperta di vulnerabilità 0-day, il 40% delle aziende adotta meno di 10 patch ogni mese. Inoltre, solo il 6% smette di usare un prodotto a seguito della scoperta di falle. Fonte: Difesaesicurezza.com
6 pregiudizi nella sicurezza informatica e gli errori correlati
Il nuovo white paper Forcepoint X-Labs studia il modo in cui il pregiudizio umano può avere conseguenze negative sul processo decisionale e sui risultati di business. La divisione di ricerca Forcepoint X-Labs, che si focalizza sul modo in cui la sicurezza si combina con le scienze comportamentali, ha pubblicato un nuovo white paper: Thinking about Thinking – Exploring Bias in Cybersecurity with Insights from Cognitive Science (Pensare al pensiero – Esplorare i pregiudizi nella sicurezza informatica con intuizioni dalla scienza cognitiva). Scritto dalla psicologa Margaret Cunningham, il whitepaper esamina sei pregiudizi umani universali inconsci ed esplora come una più profonda comprensione della scienza cognitiva e l’applicazione dell’analisi avanzata possano migliorare il processo decisionale in materia di sicurezza informatica, sia per l’utente finale che per l’industria. Sei pregiudizi umani in grado di distorcere le strategie di sicurezza – Il white paper, parte di una collana di Forcepoint dedicata alle scienze cognitive in materia di sicurezza informatica, studia in modo approfondito sei pregiudizi analitici, esplorando distorsioni aggregate, bias di ancoraggio, bias di disponibilità, bias di conferma, l’effetto di framing e l’errore di attribuzione fondamentale. “Siamo tutti soggetti a pregiudizi cognitivi e errori di ragionamento, che potrebbero avere un impatto sulle decisioni e sui risultati di business nella sicurezza informatica, afferma Margaret Cunningham, Principal Research Scientist di Forcepoint. Tuttavia, un tratto umano eccezionale è la capacità di pensare al pensiero; siamo quindi in grado di riconoscere e affrontare questi pregiudizi. Adottando un approccio diverso possiamo migliorare il processo decisionale.” “Vediamo regolarmente leader aziendali influenzati da fattori esterni, aggiunge Nicolas Fischbach, CTO globale di Forcepoint. Ad esempio, se i titoli delle notizie sono pieni dell’ultima violazione della privacy eseguita da hacker stranieri, con terribili avvertimenti sugli attacchi esterni, le persone che guidano i programmi di sicurezza tenderanno a orientare la strategia e l’attività di cybersicurezza contro le minacce esterne.” Decidere sulla base di ciò che più ci occupa la mente – magari perché se ne parla molto – può portare a conclusioni errate. Anche il pregiudizio della conferma può essere una minaccia inconscia per i professionisti della sicurezza. Quando gli individui stanno esplorando una teoria per un particolare problema, sono molto sensibili alle informazioni che confermano le proprie convinzioni, alla ricerca di un sostegno per le loro intuizioni. Ad esempio, un esperto analista della sicurezza può “decidere” cosa è successo prima di indagare su una violazione dei dati, assumendo che si trattasse di un dipendente malintenzionato a causa di eventi precedenti. La competenza e l’esperienza, seppur preziose, possono essere un punto debole se le persone indagano regolarmente sugli incidenti in un modo che supporta solo le loro convinzioni. Non è colpa mia, è PEBKAC – Un pregiudizio sociale e psicologico che influisce su quasi ogni aspetto del comportamento umano è il cosiddetto errore di attribuzione fondamentale. È noto che i professionisti della sicurezza utilizzano l’acronimo PEBKAC, che sta per “Problem Exists Between Keyboard and Chair” (Problema che esiste tra tastiera e sedia). In altre parole, incolpano l’utente per l’incidente di sicurezza. Gli esperti della sicurezza non sono solo influenzati da questo pregiudizio; gli utenti finali ad esempio sono soliti indicare ambienti di sicurezza mal progettati come responsabili di qualsiasi incidente o rifiutano di riconoscere i propri comportamenti a rischio. Affrontare l’errore di attribuzione fondamentale non è facile e richiede comprensione personale ed empatia. Ma riconoscere imperfezioni / fallimenti può aiutare a creare una cultura più resiliente e dinamica. Per coloro che progettano architetture software complesse, si dovrebbe partire dalla consapevolezza che gli utilizzatori sono umani, soggetti ad errore. Superare pregiudizi e distorsioni con Applied Insight Il whitepaper di Forcepoint X-Labs ha lo scopo di aiutare i leader aziendali e i professionisti della cybersecurity migliorando la loro comprensione dei pregiudizi. L’obiettivo è mitigare gli effetti di ragionamenti imperfetti e trovare il perfetto mix tra caratteristiche umane e potenzialità tecnologiche. Le sfide della sicurezza informatica dipendono dalla comprensione e dal superamento dei pregiudizi. In Forcepoint, il team di X-Labs sta sviluppando una profonda comprensione del comportamento umano per progettare soluzioni di sicurezza adattive al rischio. La soluzione Forcepoint Dynamic Data Protection include la capacità di analizzare i comportamenti umani e aiuta i professionisti della sicurezza a gestire i pregiudizi cognitivi. Grazie a una costante elaborazione del rischio comportamentale – rispetto a un comportamento base “normale” di ciascun utente finale – i sistemi intelligenti di Forcepoint, applicano una serie di contromisure di sicurezza per affrontare il rischio anche in considerazione della propensione al rischio di un’organizzazione. Ad esempio, Forcepoint Dynamic Data Protection può consentire e monitorare l’accesso ai dati, consentire l’accesso ma crittografare i download o bloccare completamente l’accesso ai file sensibili a seconda del contesto delle singole interazioni con i dati aziendali e del conseguente punteggio di rischio. “Le persone tendono a commettere errori quando hanno troppe informazioni, informazioni complesse o informazioni legate alle probabilità. Associando l’analisi comportamentale alle contromisure di sicurezza, possiamo ridurre i pregiudizi, conclude Cunningham. Come affrontare pregiudizi: le domande per i professionisti della sicurezza informatica Forcepoint offre ai responsabili della sicurezza un elenco di domande per individuare al meglio i pregiudizi descritti nel WhitePaper Tu o i tuoi colleghi fate supposizioni sulle persone, ma usate le caratteristiche di gruppo per formulare le vostre ipotesi? Sei mai stato ossessionato da un particolare e hai faticato ad allontanarti da esso per identificare una nuova strategia di esplorazione? Le ultime notizie influenzano la percezione dell’azienda dei rischi attuali? Quando ti imbatti nello stesso problema, più e più volte, rallenti per pensare ad altre possibili soluzioni o risposte? Quando offri nuovi servizi e prodotti, valuti il rischio (e la tua tolleranza al rischio) in modo equilibrato? Da più prospettive? E infine, il tuo team prende provvedimenti per riconoscere la propria responsabilità per errori o per intraprendere comportamenti rischiosi e dare credito ad altri che potrebbero aver commesso un errore a causa di fattori ambientali? Fonte: BitMat.it
Italia terzo paese al mondo per attacchi malware subiti
Il mese di aprile ha visto, a livello globale, un forte aumento del numero delle vulnerabilità in ambito SCADA Secondo i dati di Trend Micro Research, relativi alle minacce cyber del mese di aprile, l’Italia è il terzo Paese al mondo più colpito da attacchi malware. In totale sono stati 2.456.210 gli attacchi rivolti all’Italia e bloccati da Trend Micro. Il Paese arriva così sul podio di questa “speciale” classifica, preceduto al secondo posto dagli Stati Uniti e al primo dal Giappone. L’Italia ottiene anche un ottimo piazzamento nella categoria che prende in considerazione gli attacchi Macro Malware, è arrivata infatti quarta, facendo registrare 2.646 tipi di macro malware rilevati. In questa categoria il podio vede sempre il Giappone al primo posto, seguito da Cina e Stati Uniti. Questi numeri sono stati rilevati dalla Smart Protection Network, la rete intelligente e globale di Trend Micro che individua e analizza le minacce e aggiorna costantemente il database online relativo agli incidenti cyber, che blocca gli attacchi in tempo reale grazie alla migliore intelligence disponibile sul mercato. La Smart Protection Network è costituita da oltre 250 milioni di sensori e blocca una media di 48 miliardi di minacce all’anno. Solo in aprile ha gestito 207 miliardi di query e fermato 4,3 miliardi di minacce, di cui il 90,5% arrivava via e-mail. Ad aprile, un altro dato interessante riguarda le vulnerabilità SCADA, che hanno fatta registrare un +2,250% a livello globale. Questo dato è importante perché nel moderno contesto di Industry 4.0 che vede sempre più linee di produzione e reti di automazione connesse con le infrastrutture IP, i cybercriminali cercano di sfruttare falle non presidiate per introdursi nei sistemi e causare alle aziende ingenti danni economici e di reputazione. È importante mantenere un livello di protezione alto e che soddisfi tutte le esigenze della propria infrastruttura, perché questo trend è sicuramente destinato a crescere. Fonte: BitMat.it
e-Fattura, la consultazione possibile dall’1 luglio fino al 31 ottobre 2019
Agenzia delle Entrate: ‘Gli operatori Iva e i consumatori finali potranno aderire al servizio per la consultazione delle proprie e-Fatture dall’1 luglio al 31 ottobre 2019’. Gli operatori Iva e i consumatori finali potranno aderire al servizio per la consultazione delle proprie e-Fatture dall’1 luglio al 31 ottobre 2019, fa sapere l’Agenzia delle Entrate. In caso di mancata adesione, l’Agenzia provvederà a cancellare i file xml. Il nuovo calendario viene fissato da un provvedimento del direttore dell’Agenzia delle Entrate pubblicato oggi, che modifica quello del 30 aprile 2018 ampliando la finestra temporale precedentemente prevista (31 maggio – 2 settembre), accogliendo le richieste degli ordini professionali e delle associazioni di categoria. Quattro mesi per scegliere il servizio dell’Agenzia Per consentire ai contribuenti di avere più tempo per aderire al servizio, il provvedimento di oggi amplia da tre a quattro mesi – dal prossimo 1 luglio fino al 31 ottobre – il periodo di tempo a disposizione degli operatori e dei consumatori finali per effettuare la scelta. Per gli operatori IVA l’adesione può essere effettuata anche tramite un intermediario appositamente delegato al servizio di consultazione. Cancellazione dei file, ecco le tempistiche Dopo il 31 ottobre, se non si aderisce al servizio, l’operatore non potrà più consultare le sue fatture elettroniche (emesse e ricevute) e l’Agenzia procederà alla cancellazione dei file xml memorizzati entro il 30 dicembre 2019, ovvero entro 60 giorni. In caso di adesione al servizio di consultazione, invece, i file xml saranno consultabili fino al 31 dicembre del secondo anno successivo a quella di ricezione della fattura elettronica da parte del Sistema di interscambio e saranno poi cancellati entro i 60 giorni successivi al termine del periodo di consultazione.
GDPR: alcuni consigli per tutelare i dati personali
In una rete sempre più distribuita, le nuove normative definiscono esattamente cosa si intende con l’espressione “dati personali”. Fortinet festeggia un anno dall’entrata in vigore del GDPR condividendo alcuni consigli utili su come tutelare i dati personali degli utenti in una rete sempre più distribuita. La privacy dei consumatori è sempre più protetta dalle nuove regolamentazioni, come ad esempio, oltre al GDPR, il nuovo California Consumer Privacy Act (CCPA), che offrono un livello di protezione necessario per evitare eventuali furti di dati e il loro utilizzo improprio. Queste normative definiscono cosa significhi PII (acronimo che riguarda le informazioni di identificazione personale), stabilendo standard di compliance che le aziende devono rispettare e imponendo severe sanzioni per chi non è compliant. Uno dei vantaggi più importanti che queste normative offrono è il fatto che definiscono esattamente cosa si intende per “dati personali”. Forniscono infatti regole precise su come questi dati possano o non possano essere utilizzati da un’azienda che ha rapporti commerciali all’interno di una specifica area geografica o con i cittadini che abitano, lavorano, oppure viaggiano sul territorio. Tali regolamentazioni definiscono esplicitamente cosa costituisca una violazione dei dati personali, oltre ai requisiti di notifica standardizzati e coerenti. Ultimo, ma non meno importante, offrono ai consumatori un completo controllo sull’uso e la conservazione dei loro dati personali. Il GDPR ha stabilito una definizione comune e più ampia dei dati personali rispetto a quello che era stato fatto in tutti i precedenti tentativi, includendo informazioni quali indirizzi IP, dati biometrici e dati identificativi dei dispositivi mobili. Sono stati incluse anche le altre tipologie di dati che potrebbero essere utilizzate per identificare un individuo, determinare la sua posizione o tracciare le sue attività. La CCPA estende ulteriormente questa definizione, aggiungendo elementi quali i dati di geolocalizzazione dei dati, browsing e ricerca. Inoltre, le organizzazioni che rientrano nel campo d’azione di queste regolamentazioni non solo hanno bisogno di ottenere un’approvazione esplicita da parte dei singoli per conservare e utilizzare i dati personali, devono anche poter esigere la rimozione dei dati personali. Privacy dei dati e cloud: oggi la rete è altamente distribuita, motivo per cui i dati potrebbero essere copiati più volte e diffusi praticamente ovunque. La recente e rapida transizione verso reti, piattaforme e applicazioni multi-cloud complica lo scenario. Per soddisfare i requisiti relativi alla privacy dei dati in questi ambienti, le aziende devono implementare soluzioni di sicurezza in grado di coprire l’intero network distribuito al fine di centralizzare la visibilità e il controllo. Ciò permette loro di essere compliant alle normative in materia di protezione dei dati, identificare e segnalare le criticità e rimuovere su richiesta tutte le istanze relative ai dati personali. Per raggiungere questo obiettivo, sono necessari tre passaggi fondamentali: La sicurezza deve estendersi agli ambienti multi-cloud: gli standard per la compliance devono essere applicati con coerenza attraverso l’intera infrastruttura distribuita. Mentre le leggi sulla privacy possono far riferimento a una precisa area geografica, con il cloud è molto semplice superare questi limiti. È necessario tenere traccia di ogni istanza dei dati, specialmente quando ci si sposta all’interno di più applicazioni e flussi di lavoro. I dati tendono a moltiplicarsi e serve un modo per gestire la mole di informazioni. È altrettanto importante garantire una segmentazione coerente attraverso l’intera infrastruttura distribuita. Questo diventa una sfida quando le politiche di sicurezza sono limitate a specifici ambienti fisici e cloud e le soluzioni di sicurezza offrono funzionalità e controlli incoerenti a causa dei requisiti unici dei diversi ambienti cloud. I tool di sicurezza devono integrarsi in modo nativo nelle piattaforme cloud al fine di segmentare in modo coerente l’ambiente multi-cloud. I data center in altre parti del mondo devono supportare questi nuovi requisiti di sicurezza o rischiano di diventare l’anello debole della catena di sicurezza. È essenziale prevenire la perdita di dati: il monitoraggio e la gestione dei dati personali richiede l’implementazione di tecnologie di Data Loss Protection (DLP) che possono essere applicate sia inline sia a livello di API cloud. Tali soluzioni devono essere in grado di identificare, tracciare senza soluzione di continuità e avere un inventario di tutte le PII. Il compliance reporting richiede una gestione centralizzata: il compliance reporting deve coprire l’intera infrastruttura distribuita. Come per altri requisiti, ciò richiede anche un’integrazione coerente in tutto il cloud e con l’infrastruttura di sicurezza on-premise. Per raggiungere questo obiettivo è necessaria l’implementazione di una soluzione centralizzata per il management, come una soluzione SIEM o una console “single pane of glass” che abbia visibilità sull’intera infrastruttura multi-cloud e di sicurezza. Non è consigliabile dover correlare manualmente i dati provenienti da più sistemi, perché in questo modo diventa più probabile perdere delle informazioni e se questo viene rilevato nel corso di un audit, le sanzioni possono essere anche molto severe. Strategie integrate e proattive devono sostituire le soluzioni reattive: l’approccio migliore alla sicurezza informatica consiste nel bloccare un attacco prima ancora che abbia luogo e limitarne la portata una volta che la violazione sia avvenuta. Questo richiede che le aziende mettano in atto tecnologie e policy, come per esempio: Strumenti avanzati di prevenzione e rilevamento, tra cui una Threat intelligence in tempo reale, un access control rinforzato, behavioral analytics e soluzioni ATP che consentono loro di fronte alle violazioni Segmentazione della rete intent-based, inclusi il network e la microsegmentazione, per limitare l’impatto che una violazione potrebbe avere su uno specifico set di dati o su un segmento di rete. Soluzioni di sicurezza strettamente integrate che comunicano tra loro, condividono la Threat intelligence e coordinano una risposta alle minacce. Questi tool devono inoltre essere integrati nativamente nell’infrastruttura API dei vari ambienti cloud utilizzati, consentendo così di rinforzare le policy e rispondere alle violazioni in modo uniforme attraverso l’intera rete. Soluzioni DLP che consentono di tracciare i dati e prevenirne un accesso, utilizzo o trasferimento non autorizzati, indipendentemente dal luogo in cui tali dati vengono utilizzati o sono archiviati. È importante che queste soluzioni condividano le informazioni tra le varie infrastrutture protette. Controlli centralizzati che forniscono un singolo punto di visibilità e controllo per
Spam a scopo estorsivo: nuova ondata nel nostro paese
I ricercatori hanno individuato circa 5000 email inviate a partire dal 2 giugno, con un riscatto richiesto tra i 200 e i 300 euro. I ricercatori di ESET hanno individuato un’ondata spam a scopo estorsivo. Nel messaggio, il criminale informatico dichiara di aver hackerato il sistema operativo, ottenendo l’accesso completo all’account dell’utente grazie a una vulnerabilità nel software del router che gli avrebbe permesso di installare un Trojan. Successivamente avrebbe addirittura scaricato tutti i dati del disco compresa la cronologia dei siti visitati, tutti i file, i numeri di telefono e gli indirizzi dei contatti dell’utente, a cui minaccia di inviare del fantomatico materiale compromettente trovato nel dispositivo se non si dovesse provvedere al pagamento di una somma variabile tra i 200 e i 300 euro in Bitcoin. Il messaggio continua spiegando che ogni tentativo di rimuovere il Trojan sarà inutile, compresa la formattazione del disco, sottolineando l’inefficacia dei controlli antivirus. Infine, il criminale conclude la sua email rassicurando l’utente che, completato il pagamento, non gli verrà chiesto altro e suggerisce maggiore attenzione per il futuro. Simili truffe via posta elettronica non sono nuove ma ciò che distingue questa nuova campagna estorsiva è l’efficacia dell’ingegneria sociale coinvolta, soprattutto grazie alla leva psicologica esercitata sugli utenti che guardano segretamente contenuti pornografici sui propri dispositivi. Gli esperti di ESET ribadiscono che si tratta di email truffa e ricordano alcune regole da seguire in questi casi: Agire con calma ed evitare passaggi affrettati: non rispondere alla email truffa, non scaricare allegati, non fare clic su righe contenenti link incorporate al messaggio e certamente non inviare denaro. Se un criminale informatico elenca la password effettiva dell’utente – che potrebbe figurare in un database di account compromessi come il tanto discusso Collection #1 – è consigliabile cambiarla e attivare l’autenticazione a due fattori su quel servizio. Eseguire la scansione del dispositivo con un software di sicurezza affidabile in grado di rilevare infezioni reali e altri problemi, come l’uso improprio della webcam integrata nel dispositivo. Fonte: BitMat.it
A un anno dal GDPR, cosa è successo e cosa succederà
Il nostro paese è quinto in Europa per sanzioni comminate ai sensi del GDPR; davanti a noi Danimarca, Polonia, Portogallo e Francia. Lo studio legale internazionale DLA Piper e AIGI (Associazione Italiana Giuristi d’Impresa) hanno organizzato, presso l’Aula Magna dell’università LUMSA di Roma, l’evento A un anno dal GDPR, cosa è successo e cosa succederà, con l’obiettivo di fare il punto della situazione a un anno dall’inizio dell’efficacia del GDPR e ipotizzare degli scenari per il futuro. Ai lavori – dopo i saluti iniziali di Francesco Bonini (Rettore LUMSA) e di Giacomo Gargano (Presidente Federmanager Roma), i rappresentanti del Garante per la protezione dei dati personali, Luigi Montuori (Responsabile Relazioni Internazionali e con l’UE) e Michela Massimi (Responsabile Ufficio Relazioni con il Pubblico) hanno affrontato le problematiche più rilevanti dei primi 12 mesi di vita del GDPR con Giulio Coraggio (DLA Piper) e Maurizio Rubini (Responsabile AIGI). Successivamente si è tenuta una tavola rotonda – moderata da Giulia Zappaterra ed Elisa Rosati (DLA Piper) – a cui hanno partecipato: Giorgio Aprile (Data Protection Officer, Ferrovie dello Stato Italiane SpA), Enrico Ferretti (Managing Director Protiviti Srl), Emanuele Greco (Partner Opentech Srl), Giuseppe Mastantonio (Senior Legal Counsel & DPO Open Fiber SpA e socio AIGI), Paolo Quaini (General Counsel Alitalia SAI Spa e socio AIGI) e Stefania Trogu (Director Litigation & Privacy Lottomatica SpA). L’incontro si è chiuso con la dimostrazione da parte di Tommaso Ricci delle potenzialità e delle funzionalità del chatbot “Prisca” realizzato da DLA Piper per supportare le aziende nelle problematiche quotidiane da affrontare per mettersi in conformità con il GDPR. Giulio Coraggio, Partner a capo del settore Technology e della practice dedicata alla Privacy e Cybersecurity, ha commentato: “La sanzione di 50 milioni di euro emessa dal CNIL nei confronti di Google e la ripresa delle ispezioni del Garante privacy rappresentano un grido di allarme per le imprese che, dopo il 25 maggio 2018, sembravano non aver più considerato la compliance privacy come una priorità. Il processo di messa in conformità al GDPR è continuo, soprattutto in un periodo di rapida trasformazione digitale come quello attuale. Le aziende devono avere un controllo sui dati personali che trattano ed essere preparate a dar conto delle proprie scelte nel trattamento dei dati al Garante e agli individui.” “Come manager – ha dichiarato il Presidente Federmanager Roma, Giacomo Gargano – rivestiamo spesso ruoli di responsabilità nell’ambito della Protezione dei Dati Personali all’interno delle aziende e sappiamo che la diffusione di una corretta conoscenza dei nuovi strumenti normativi è il primo passo per facilitare tutti gli stakeholder nel necessario processo di adeguamento da compiere. Federmanager Roma in tal senso ha già iniziato ad accompagnare le imprese, a indirizzarle in questa transizione, organizzando corsi altamente professionalizzanti, all’insegna della conoscenza del nuovo regolamento europeo e dell’information technology.” A livello europeo, secondo una survey pubblicata da DLA Piper, prendendo in considerazione il periodo fra la fine di maggio 2018 e la fine di gennaio 2019, guidavano la classifica sul numero di notifiche di data breach, l’Olanda con 15.000, la Germania con 12.600 e 10.600 del Regno Unito. Il numero di notifiche di data breach in Italia sfiora il migliaio secondo gli ultimi dati pubblicati dal Garante. Rispetto al valore delle sanzioni emesse ai sensi del GDPR, queste hanno raggiunto circa € 56 milioni. L’Italia è quinta in Europa nella classifica per sanzioni emesse ai sensi del GDPR guidata dalla Francia. Per quanto riguarda il numero complessivo delle decisioni emesse dai garanti europei ai sensi del GDPR, il Paese con maggiori decisioni è la Germania, con 21 procedimenti, seguita dall’Ungheria con 7 procedimenti. Tuttavia, per avere un’effettiva contezza di questi dati, si deve tener conto del numero elevato di procedimenti regolati dalla precedente normativa che si sono chiusi negli ultimi mesi. Le decisioni dei garanti europei ai sensi del GDPR dei prossimi 12 mesi è probabile che saranno di gran lunga maggiori viste le numerose ispezioni che sono al momento in corso. Fonte: BitMat.it
Windows, una falla permette agli hacker di rubarti i file
Ancora problemi per gli utenti Windows. Un hacker scopre quattro falle nel sistema operativo e le rende note pima che Microsoft possa rilasciare una patch. Una nuova minaccia per gli utenti di Microsoft Windowsarriva da quella zona grigia dove la ricerca sulla sicurezza informatica e il mondo degli hacker si toccano e si contaminano. L’oramai ben nota (soprattutto a Redmond) ricercatrice che si fa chiamare SandboxEscaper ha pubblicato nei giorni scorsi sul suo blog un nuovo “zero-day exploit” che potrebbe permettere a un hacker di rubarci i dati dal PC. Uno “zero-day exploit” è un programma scritto per sfruttare le cosiddette vulnerabilità zero-day, ossia le falle dei software e dei sistemi operativi non ancora note agli sviluppatori, scoperte dopo il rilascio del software. La prima vulnerabilità scoperta questa volta da SandboxEscaper ha a che fare con il Windows Task Scheduler, una delle componenti di Windows necessarie a programmare l’esecuzione delle applicazioni. Tramite un file .job messo a punto da SandboxEscaper un pirata informatico potrebbe ottenere i privilegi di amministratore di sistema del nostro PC e fare ciò che vuole dei nostri dati. Poco dopo la ricercatrice ha reso note altre 3 falle nella sicurezza di Internet Explorer 11, del servizio Windows Error Reporting e di Windows Update. Chi è SandboxEscaper e cosa vuole Non è la prima volta che la fantomatica SandboxEscaper fa parlare di sé: l’ultimo exploit da lei pubblicato prima di questi 4 risale ad agosto scorso. Ci sono molti dubbi sull’identità reale di questa presunta ricercatrice che ha il brutto vizio di pubblicare i risultati del suo lavoro senza prima comunicarli a Microsoft. E quindi senza dare all’azienda l’opportunità di chiudere le falleprima che il mondo venga a conoscenza della loro esistenza. Nel recente passato SandboxEscaper aveva lasciato intuire di soffrire di depressione, mentre in quest’ultima uscita ha scritto anche che se eventuali soggetti “non occidentali” volessero acquistare i suoi exploit lei sarebbe disposta a venderli per non meno di 60.000 (dollari o euro, non è chiaro). Poi la ricercatrice ha affermato di avere pronti gli altri 3 zero-day già descritti che, puntualmente, ha poi caritato su GitHub accompagnandoli con un messaggio sul suo blog: “Ho caricato gli altri bug. Mi piacciono i ponti che bruciano. Semplicemente odio questo mondo“. Microsoft, come molte altre software house, ha un proprio “Bug Bounty Program“, cioè un programma di incentivi economici riservati agli sviluppatori e ai ricercatori che forniscono informazioni utili sulle falle di sicurezza, proprio come gli zero-day. Ma, a quanto pare, tale programma a SandboxEscaper non interessa. Fonte: LiberoTecnologia
GDPR: necessaria la valutazione d’impatto sulla protezione dei dati
La valutazione d’impatto sulla protezione dei dati personali, detta anche Dpia, è uno strumento grazie al quale le aziende possono efficacemente prevedere i rischi derivanti dal trattamento di determinate informazioni e conseguentemente adottare tutte le opportune misure tecniche e organizzative. La Dpia rappresenta una delle pietre miliari del quadro normativo introdotto dal GDPR. La valutazione d’impatto è strumento tecnico attraverso il quale può estrinsecarsi il cosiddetto principio di accountability (principio di responsabilizzazione). Cos’è e a cosa serve il documento di valutazione d’impatto? Questo strumento serve alle aziende per stabilire il grado di rischio e l’impatto che avrebbe il trattamento di determinati dati personali (considerati dall’ordinamento particolarmente sensibili e per questo meritevoli di maggior tutela) sulle libertà e sui diritti degli interessati e contestualmente di adottare tutte le misure tecniche ed organizzative per ridurre tale impatto. Ai sensi dell’articolo 35 del nuovo Regolamento europeo sulla privacy, infatti, ogni titolare di trattamento è obbligato alla redazione della Dpia prima dell’inizio di qualsiasi attività. Per di più, nel caso in cui dal documento risulti che le misure tecnico-organizzative adottate non siano sufficienti a mitigare l’impatto dello stesso o i suoi possibili rischi, nasce in capo alle aziende un’ulteriore obbligo di consultazione dell’Autorità di controllo. Chi deve redigere il documento? I soggetti designati alla redazione della Dpia sono il titolare del trattamento, coadiuvato dal responsabile della protezione dei dati, se designato. Quando la redazione della Dpia è obbligatoria? Da un’attenta lettura dell’art. 35 del GDPR si rileva che la redazione del documento di valutazione d’impatto è necessaria ogni qualvolta un trattamento può presentare un rischio elevato per i diritti e le libertà degli interessati. Oltre a quanto già previsto espressamente dal GDPR, secondo le linee guida redatte dal Gruppo di lavoro Art. 29 al verificarsi di almeno due dei seguenti condizioni scatterebbe comunque per le aziende l’obbligo di redazione del Dpia. In particolare per: I trattamenti valutativi o di scoring, compresa la profilazione; Le decisioni automatizzate che producono significativi effetti giuridici (es: assunzioni, concessione di prestiti, stipula di assicurazioni); Il monitoraggio sistematico (es: videosorveglianza); Il trattamento di dati sensibili, giudiziari o di natura estremamente personale (es: informazioni sulle opinioni politiche); I trattamenti di dati personali su larga scala; La combinazione o raffronto di insiemi di dati derivanti da due o più trattamenti svolti per diverse finalità e/o da titolari distinti, secondo modalità che esulano dal consenso iniziale (come avviene, ad esempio, con i Big Data); I dati relativi a soggetti vulnerabili (minori, soggetti con patologie psichiatriche, richiedenti asilo, anziani, ecc.); Utilizzi innovativi o applicazione di nuove soluzioni tecnologiche o organizzative (es: riconoscimento facciale, device IoT, ecc.); Trattamenti che, di per sé, potrebbero impedire agli interessati di esercitare un diritto o di avvalersi di un servizio o di un contratto (es: screening dei clienti di una banca attraverso i dati registrati in una centrale rischi per stabilire la concessione di un finanziamento). Per approfondimenti si rimanda al sito ufficiale del Garante della Privacy https://www.garanteprivacy.it/regolamentoue/DPIA Fonte: PSBPrivacyesicurezza.it