Sicurezza informatica: attenzione al disordine digitale
Archiviare file senza averne piena visibilità e senza informazioni complete circa i diritti di accesso può causare problemi alla sicurezza delle aziende. Sorting out digital clutter in business, un recente report globale di Kaspersky Lab, ha messo in luce l’esistenza di correlazione tra disordine digitale sul posto di lavoro e una serie di abitudini personali – ad esempio, quelle legate all’organizzazione del frigorifero! Lo studio ha rivelato infatti che, in generale, oltre nove persone su dieci (95%) che dichiarano di avere un frigorifero organizzato dicono la stessa cosa della loro vita digitale sul posto di lavoro. Il disordine digitale può riguardare file, documenti e dati creati al lavoro senza averne la piena visibilità, senza controllo del modo in cui sono stati archiviati, e senza informazioni su chi può accedervi. Si tratta di un fenomeno che può diventare un rischio per la sicurezza informatica, soprattutto se si considera il fatto che il 72% dei dipendenti ha l’abitudine di archiviare documenti che contengono dati personali o sensibili che, se esposti, potrebbero comportare un danno per l’azienda, i suoi dipendenti e, potenzialmente, i suoi clienti. Affrontare il disordine digitale è una sfida per la maggior parte delle aziende, e uno dei passi più importanti è capire chi dovrebbe essere il diretto responsabile. Circa tre quarti (71%) dei dipendenti sentiti nel corso dell’indagine ritengono che non loro, bensì i dirigenti, i responsabili IT o il team di sicurezza informatica dovrebbero avere la responsabilità dei corretti diritti di accesso a email, file e documenti. Il problema è che, mentre i team del settore IT e di sicurezza possono controllare l’accesso che viene fornito ai dipendenti per accedere a file e cartelle, c’è sempre la possibilità di un errore umano. I dipendenti potrebbero, ad esempio, in modo accidentale o intenzionale, fornire ai colleghi o a coloro che si trovano al di fuori dell’azienda le loro credenziali di accesso o bypassare gli amministratori IT grazie a nuovi tool di collaborazione. Dal momento che i dipendenti spesso creano o lavorano su più documenti contemporaneamente, in realtà tutti dovrebbero assumersi la responsabilità delle azioni che potrebbero determinare il disordine digitale. Ecco le risposte alla domanda “All’interno della tua azienda, chi è responsabile dei corretti diritti di accesso a email, file e documenti?”: I dirigenti: 17% Il dipartimento di sicurezza: 16% Il dipartimento IT: 38% Tutti i dipendenti: 20% Nessuno: 3% Nessuna delle figure menzionate sopra / Non lo sa: 6% Come mostra il report, nella vita quotidiana dei dipendenti ci sono delle abitudini che possono essere messe in correlazione alla creazione del disordine digitale. La maggior parte delle persone coinvolte dallo studio ha dichiarato di avere lo stesso tipo di attitudine per quanto riguarda l’organizzazione del frigorifero e quella della vita digitale; l’88% di coloro i quali riorganizzano il frigorifero prima delle vacanze, ad esempio, dichiara di procedere con una riorganizzazione pre-partenza anche dei propri file di lavoro. “Con l’aumento esponenziale del volume dei dati, i dirigenti dovrebbero prendere atto del possibile disordine digitale e dei potenziali rischi correlati per quanto riguarda la sicurezza”, ha dichiarato Morten Lehn, General Manager Italy di Kaspersky Lab. “È vero che il fatto di organizzare bene un frigorifero non dà alcuna garanzia circa la messa in sicurezza di file e email da eventuali violazioni, ma adottare lo stesso tipo di mentalità organizzata nei confronti del disordine digitale contribuirà a rendere le aziende più resistenti rispetto alle possibili minacce informatiche. I dipendenti devono essere formati in modo adeguato sulle modalità per gestire al meglio le risorse digitali e deve essere implementata una protezione, semplice ma efficace, che non aggiunga complessità ma contribuisca a ridurla.” Kaspersky Lab consiglia alle aziende alcune “best practice” perché non diventino vittima del disordine digitale: Occuparsi della formazione dei dipendenti: è molto importante che la formazione trasmetta una serie di competenze pratiche e applicabili quotidianamente al lavoro dei dipendenti, ad esempio quelle che vengono trasmesse grazie a Kaspersky Automated Security Awareness Platform. Ricordare regolarmente al proprio personale quanto sia importante seguire le regole della cybersecurity, per far sì che le competenze informatiche siano sempre chiare, ad esempio appendendo degli avvisi con dei consigli pratici all’interno degli uffici. Effettuare periodici backup dei dati essenziali, così da garantire la sicurezza delle informazioni aziendali, e aggiornare regolarmente i dispositivi IT e le applicazioni in uso per evitare di incorrere in vulnerabilità che non sono ancora state risolte. Trovare una soluzione adeguata per quanto riguarda la sicurezza informatica, possibilmente dedicata alle piccole e medie imprese, dotata di feature semplici per la gestione e di una comprovata capacità di protezione, come Kaspersky Endpoint Security Cloud. Fonte: BitMat.it
Il 96% delle istituzioni usa sistemi di autenticazione obsoleti
Nel 2019, oltre il 60% intende investire in tecnologie di multifactor authentication, comprese quelle che si basano su biometria, AI e apprendimento automatico. Secondo un recente sondaggio condotto da OneSpan sull’uso delle password emerge che il 96% delle istituzioni continua a fare affidamento su sistemi di autenticazione obsoleti basati sull’uso di username e password, mentre il 44% è messo alla prova dall’uso di credenziali legittime smascherate da violazioni di dati e schemi di social engineering attuati in esecuzione di tentativi di account takeover. Per superare i problemi di sicurezza affrontati, oltre il 60% degli intervistati prevede di investire, nel 2019, in nuove tecnologie di multifactor authentication, comprese quelle che si basano sulla biometria, sull’intelligenza artificiale e sull’apprendimento automatico. Quasi un terzo degli intervistati desidera ottimizzare la customer experience per migliorare l’autenticazione e conservare i clienti esistenti. Will LaSala, Director of Security Solutions, Security Evangelist di OneSpan, ha dichiarato: “Le password sono la forma più semplice per mantenere la riservatezza su qualcosa, ma anche una delle maggiori sfide che le organizzazioni, comprese le istituzioni finanziarie, devono affrontare quando si tratta di autenticare un utente. Le organizzazioni non devono sentirsi obbligate a usare username e password per l’autenticazione poiché questo equivale a lasciare la porta del caveau aperta per i frodatori. La buona notizia è che ci sono molte ottime tecnologie che possono offrire un’autenticazione migliore e rimuovere completamente le password dalle nostre vite. Ad esempio, oggi le istituzioni finanziarie possono esaminare specifiche situazioni e affermare “Questo è un orario insolito per questa persona per effettuare una transazione” o “È una transazione strana”. Il panorama per l’autenticazione è cambiato e il numero di dati è aumentato drasticamente. Questi progressi tecnologici consentono alle istituzioni di ridurre i falsi positivi e identificare in tempo reale frodi che potevano sfuggirgli. Ogni transazione richiede lo stesso livello di analisi risk-based. E la promessa portata dalle ultime innovazioni nell’adaptive authentication è che essa fornirà il preciso livello di sicurezza per ogni transazione e al momento giusto. In un’era in cui i controlli di sicurezza sono maturati, e dove l’intelligenza artificiale e l’apprendimento automatico stanno alimentando capacità di analisi più efficaci, non bisogna più scegliere tra praticità e sicurezza del cliente. Si possono ottenere entrambi.” Mark Crichton, Sr. Director of Security Product Management di OneSpan, ha aggiunto: “Il World Password Day non dovrebbe più riguardare solo le password. Tutti sappiamo dei problemi che circondano le password e il danno che credenziali deboli o riutilizzate possono causare. Invece, dovremmo usare questa ricorrenza per concentrarci sul quadro generale dell’autenticazione. È chiaro che le password da sole non bastano più. Questo è il motivo per cui c’è una crescente necessità di far evolvere l’intelligenza, la forza e la complessità dei sistemi che operano a fianco delle password. Banche e anche aziende di altri settori devono acquisire maggiore titolarità nell’autenticazione per aiutare a rilevare accessi fraudolenti ai conti. Di fatto, oggi la tecnologia che consente l’autenticazione senza password esiste: l’autenticazione biometrica è un esempio concreto, ma possiamo anche utilizzare tecnologie avanzate di riconoscimento dei dispositivi per sostituire le password. La sfida è data dal fatto che gli utenti sono abituati alle password ed eliminarle potrebbe causare preoccupazione. Una soluzione sensata è quella di fornire un riconoscimento positivo del dispositivo rispetto a un nome o a un identificativo dell’account. Le normative sono un altro driver per l’uso di queste tecnologie. Abbiamo assistito a un cambiamento positivo nella protezione contro la compromissione delle password nel settore finanziario. Esempi sono la PSD2 e la FFIEC (Federal Financial Institutions Examination Council), che impongono alle organizzazioni finanziarie una verifica più attenta delle transazioni e dei dispositivi utilizzati per eseguirle, nonché di utilizzare qualcosa di più sicuro di una password statica.” Frederik Mennes, Director of Product Security, Security Competence Center di OneSpan, ha concluso: “Sebbene il World Password Day rappresenti un buon momento per riflettere sull’importanza dell’autenticazione sicura per l’accesso ai nostri account online, è importante rendersi conto che stiamo passando da meccanismi di autenticazione basati su “qualcosa che conosci” (ad esempio una password) a “qualcosa che hai” ( es. uno smartphone) e “qualcosa che sei” (ad esempio, un’impronta digitale o il volto). I meccanismi di autenticazione basati sul possesso e sui fattori biometrici hanno molti vantaggi: possono fare affidamento su algoritmi e protocolli crittografici forti e rimuovere la necessità per gli utenti di ricordare o gestire le password. In quanto tali, aumentano la sicurezza del processo di autenticazione dell’utente, aumentando allo stesso tempo la praticità.” Fonte: BitMat.it
Backup dei dati: lo fa solo il 18% delle persone, la metà di noi archivia la propria vita nei device
Backup, questo sconosciuto: non sappiamo bene cosa sia, lo effettuiamo quando capita, spesso ci affidiamo all’intuito e questo nonostante continuiamo, giorno dopo giorno, a riempire i device dei nostri dati, tra carte di credito, password e codici chiave, documenti personali, contatti principali. Si parla ormai in maniera sempre più diffusa e dettagliata di cosa sia una minaccia informatica e di quanto è fondamentale proteggere i nostri apparecchi elettronici e i nostri dati, ma ancora poco di tecniche e di best practice. Ad esempio, è più importante istallare un buon antivirus o magari fare periodicamente un back up dei dati contenuti nei nostri device? Magari è bene fare entrambe le cose, ma appare evidente che mentre un antivirus lo compriamo prima o poi, molta meno attenzione rivolgiamo alla pratica del backup. Nonostante numerosi studi statistici hanno dimostrato, nel tempo, che ogni minuto 113 telefoni cellulari vengono persi o rubati, per un totale di oltre 162,000 unità al giorno, con l’84% degli intervistati che dichiara di aver perso i propri dati almeno una volta nella vita, ancora oggi, secondo un nuovo studio Kingston Technology Europe, il 55% dei rispondenti afferma di effettuare il backup dei propri dispositivi solo quando capita, mentre il 13% non sa nemmeno cosa sia. Per fortuna, si evidenzia nel documento, il 18% dichiara di eseguire il backup almeno una volta al mese. Dal sondaggio emerge che episodi in realtà frequenti come attacchi hacker, smarrimento e manomissione di dispositivi, vengono percepiti come poco probabili, mentre le cause di perdite dati più verosimili sono attribuite a fattori quali furto e malfunzionamento dell’hardware. Backup, questo sconosciuto, in pochi lo conoscono e sempre in pochi, nel caso sanno più o meno cosa sia, hanno in mente cosa si deve fare: il 41% si affida al proprio intuito; il 25% prova a portare a termine l’operazione, ma senza garanzie sul risultato; il 19% non saprebbe nemmeno da dove iniziare; solo il 15% eseguirebbe un backup ad occhi chiusi. Altro dato su cui riflettere leggendo il Report Kingston, soprattutto alle luce di questi ultimi risultati è che il 47% delle persone afferma che all’interno dei propri device è custodita praticamente tutta la propria vita (tra cui ricordi, agenda, contatti, password, dati sensibili, documenti di varia natura). Nello specifico, il 39% dichiara che perdere i dati contenuti nei dispositivi mobili sarebbe “la fine del mondo”, il 35% riconosce nel misfatto un problema, ma comunque risolvibile, dopo il disagio iniziale, mentre il 25% afferma che se si dovesse svegliare la mattina e scoprire che i propri device sono completamente vuoti, “andrebbe totalmente nel panico”. Tra i dati a cui più teniamo e che proprio non vorremmo perdere: fotografie e video si posizionano al primo posto (61%), seguiti da password e accessi ai vari siti e account (17%), documenti vari (14%) e contatti della rubrica (8%). Fonte: Key4Biz.it
GDPR e software, chi paga in caso di non conformità?
Il GDPR ha introdotto l’obbligo di conformità dei software rispetto al tema della privacy. Se il concetto di privacy by design è ormai noto, lo è un po’ meno la linea di confine delle responsabilità giuridiche di chi realizza il software da un lato e di chi lo acquisisce dall’altro. Uno dei più interessanti concetti introdotti nel nuovo Regolamento Europeo (General Data Protection Regulation o GDPR) riguarda l’obbligo di conformità dei software rispetto al tema della privacy; come si evince dai vari passaggi presenti nel testo, è fondamentale che gli strumenti utilizzati per la gestione dei dati siano conformi ai principi europei. Se il concetto di privacy by design è ormai noto, lo è un po’ meno la linea di confine delle responsabilità giuridiche di chi realizza il software da un lato e di chi lo acquisisce dall’altro. Cerchiamo di fare chiarezza sul tema, soprattutto in considerazione degli investimenti che le aziende possono mettere a rischio avventurandosi in progetti che comprendano strumenti non a norma. L’art. 32 del Regolamento europeo sulla Data Protection prevede che Titolare e Responsabile, interno o esterno che sia, adottino misure tecniche ed organizzative adeguate affinché sia garantita una gestione del rischio correlato al trattamento effettuato. Alcune di esse vengono espressamente citate a titolo esemplificativo ma non esaustivo: cifratura, capacità di ripristino ed accesso ai dati, garanzia della riservatezza. Trattandosi di una normativa basata sul principio di accountability, è ovvio che non elenchi tutte le altre misure possibili. Non potrebbe neppure farlo con efficacia dato che esse sono destinate a mutare sulla base dello strumento tecnologico di riferimento, dello status organizzativo con cui i dati vengono gestiti e, ovviamente, a seconda della tipologia di dati oggetto di trattamento. Gli obblighi del titolare e l’impatto sui fornitori Il Titolare del trattamento è gravato, sin dall’acquisto o dalla commissione di sviluppo di un software, dall’obbligo di valutare le misure che intenderà adottare; dovrà verificare, sin dall’origine, la correttezza della tipologia di dati trattati, le procedure che stanno a monte rispetto al flusso di gestione dei dati e la sicurezza che caratterizza l’ambiente dove i dati sono ospitati in tutte le sue peculiarità. Eppure, questo concetto di “controllo sin dall’origine” che grava sul Titolare, non sempre è realisticamente applicabile, dovendo spesso trasferire la responsabilità del controllo di conformità sul Fornitore. Trattandosi di misure variabili in base alle scelte operate in accountability dal Titolare, il fornitore dovrà garantire la possibilità di settare le differenti funzioni. Pensiamo alla cancellazione automatizzata: se sarà presente rispetto all’applicativo, magari residente in cloud presso un sub-fornitore di chi rilascia il software, sicuramente il termine di cancellazione non potrà essere deciso dal Fornitore ma dovrà essere imposto, e quindi impostato, dal Titolare. I livelli relativi ai profili di autorizzazione non potranno, allo stesso modo, essere decisi dal fornitore, dovranno invece essere il frutto di una valutazione propria del Titolare. La conformità dei prodotti software attraverso la cooperazione Simili esempi, piuttosto frequenti nella quotidianità del business, non fanno che evidenziare un principio: il fornitore, che mette a disposizione un software ad un Titolare del trattamento, deve garantire la possibilità di rendere il prodotto conforme alle prescrizioni normative (non potendolo fornire contra legem). Potrà raggiungere lo scopo in due modi: applicando sin dallo sviluppo e rilascio, il principio di privacy by design (si pensi alla garanzia della riservatezza mediante vari livelli di accesso e protezione) o garantendo al Titolare la possibilità di determinare, secondo i propri criteri, il livello più adeguato della misura da attuare. La cifratura è un esempio pratico di facile riscontro: può ritenersi scontata nelle ipotesi di “dati particolari” (quelli sanitari ad esempio) ma non nel caso di dati personali inerenti i clienti (status pagamento fattura); eppure un dato personale relativo alla credibilità finanziaria può essere sottoposto a cifratura laddove il Titolare la ritenga come unica misura efficacie. Possiamo quindi rilevare principio fondamentale nella dinamica di mercato: il Titolare è responsabile del software che acquista perché questo deve essere conforme alla normativa (quindi non avere impostazioni in violazione di legge, si pensi alla incancellabilità dei dati); il fornitore è a sua volta responsabile nell’offrire al Titolare un software le cui impostazioni possano soddisfare le misure che egli deciderà. Cosa accade se questo principio non viene applicato? Nell’ipotesi in cui il Fornitore rilasci invece un software ‘chiuso’, non personalizzabile, egli aumenta la propria responsabilità circa i criteri di sicurezza applicati e, necessariamente, occorre formalizzare sotto il profilo contrattuale l’impossibilità di intervento da parte del Cliente. È per questo che cresce la richiesta, avanzata nelle gare e nei bandi pubblicati dalle PA, del rilascio di documenti atti a comprovare la verificata conformità normativa del software oggetto di interesse. L’ambito privato stenta invece a far entrare a sistema, nei processi aziendali, la modalità di verifica preventiva dei requisiti in preselezione fornitori. Occorre tenere presente che un software non in linea con il GDPR, genera responsabilità anche per il Fornitore. Sia laddove gli aspetti relativi alle misure di sicurezza non siano gestiti, sia laddove non sussistano le misure organizzative idonee a gestire il rapporto con il Cliente. Pensiamo alle procedure di data breach rispetto alla migrazione dei dati (eventi esistenti e fonte di gravissimi rischi) piuttosto che a quelle di gestione della filiera di sub-fornitura nello sviluppo e implementazione di un software. È chiaro come tutti questi elementi, numerosi e variabili sulla base degli scopi gestionali degli applicativi, non possano che essere riversati e ben perimetrati in contratti e licenze che disciplinino i rapporti di acquisto, sviluppo e sfruttamento del software. E questo del resto è conseguenza diretta anche dell’Art. 28 dello stesso GDPR, dove per “trattamento effettuato per conto del Titolare” devono essere intese operazioni come quelle di migrazione sino ad arrivare all’accesso incidentale per interventi come super-administrator. Le conclusioni Riassumendo dunque, non si può determinare a priori chi sia responsabile (e quindi sanzionabile per non conformità), in caso di vendita o acquisto di un software, qualora le misure applicate siano insufficienti. Occorrerà specificare le variabili tecniche ed organizzative e commisurare la responsabilità all’autonomia del Titolare, da un lato, e al livello di possibilità di settaggio prevista dal Fornitore dall’altro. L’iter logico resta chiaro e si può riassumere in due punti chiave: verifica preliminareda
eFattura, il commento sulle nuove regole tecniche per la fatturazione elettronica europea
Ieri con il d.lgs. 148/2018 è stata recepita in Italia la direttiva UE 2014/55, con la quale è stato introdotto in UE uno standard comune di fatturazione elettronica. Con il d.lgs. 148/2018 è stata recepita in Italia la direttiva UE 2014/55, con la quale è stato introdotto in UE uno standard comune di fatturazione elettronica. L’intervento del legislatore europeo si è reso necessario al fine di ridurre la complessità e l’incertezza legale relativa all’interpretazione del contenuto della fattura, favorendo l’interoperabilità transfrontaliera. Le PPAA, nell’ambito dell’esecuzione di contratti pubblici di appalto, sono obbligate a ricevere fatture con lo standard EN16931-1:2017[1], che prevede un modello semantico comune – con delle specifiche proprie per ogni stato contenute nel “Core Invoice Usage Standard” (CIUS) – rappresentato mediante due sintassi alternative, la “Cross industry invoice” Xml dell’Unicefact (Cii) e la “Universal business language” – Ubl. L’obbligo di ricezione e ed elaborazione delle fatture elettroniche si applica a tutte le amministrazioni aggiudicatrici di cui al d.lgs 50/2016 e alle amministrazioni di cui art. 1, c. 2, L. 196/2009. L’obbligo decorre da ieri, 18 aprile 2019 per le sole autorità governative centrali[2] mentre per le cc.dd. amministrazioni aggiudicatrici sub-centrali[3] il suddetto obbligo decorrerà dal 18/04/2020. Il decreto non si applica, invece, alle fatture elettroniche emesse in relazione all’esecuzione di contratti pubblici relativi a lavori, servizi e forniture nei settori della difesa e sicurezza, quando l’aggiudicazione e l’esecuzione del contratto sono state dichiarate segrete devono essere accompagnate da speciali misure di sicurezza. Giusto in tempo per l’entrata in vigore dell’obbligo di fatturazione elettronica europea, con Provvedimento del Direttore dell’Agenzia delle Entrate di ieri, 18 aprile 2019 (prot. n. 99370), sono state approvate le regole tecniche e le modalità applicative nel contesto italiano della Fattura elettronica europea. Tale Provvedimento ha approvato il CIUS (Core Invoice Usage Specification) italiano e ha provveduto ad integrare le regole tecniche previste dal DM 55/2013 per la fatturazione elettronica alle PA. Accanto a quanto già previsto per la fattuaPA e il formato XMLPA, lo SdI ora accetta anche le due sintassi europee UBL e CII previste dalla direttiva 55/2014/UE. Il soggetto che dovrà quindi emettere fattura nell’ambito di un appalto pubblico europeo nei confronti di una delle amministrazioni centrali sopracitate dovrà predisporre la fattura nel rispetto delle regole semantiche e sintattiche previste dai citati standard avendo cura di rispettare il CIUS italiano (l’insieme di regole specifiche relative alla normativa italiana sulla fattura). Il file dovrà poi essere trasmesso allo SdI mediante i canali già oggi attivi (PEC, SdICoop,SdIFTP o attraverso il portale fatture e corrispettivi). Lo SdI procederà quindi alla verifica di conformità della fattura inviata sia rispetto al modello semantico e alla sintassi di formato (UBL o CII ) sia rispetto alla CIUS Italiana. Il file conforme sarà quindi accettato e tradotto dal formato originario (UBL o CII ) al formato XMLPA. A tale traduzione sarà anche apposta una firma formato CAdES con certificato rilasciato dall’Agenzia delle Entrate prima del suo inoltro alla PA destinataria. Quest’ultima, quindi, riceverà, oltre al file “tradotto” anche un report della conversione e il file originario. Sempre in attuazione della Direttiva europea 55/2014, il d.lgs. 148/2018 ha previsto anche l’istituzione, presso l’Agenzia per l’Italia Digitale, di un tavolo tecnico permanente per la fatturazione elettronica con le seguenti finalità: a) aggiornamento delle regole tecniche e delle modalità applicative di cui al comma 3 dell’articolo 3; b) monitoraggio della corretta applicazione delle stesse; c) valutazioni degli impatti per la pubblica amministrazione e di quelli riflessi per gli operatori economici; d) raccordo e coinvolgimento, fin dalla fase di definizione, di tutte le iniziative legislative ed applicative in materia di fatturazione e appalti elettronici. Purtroppo, il decreto che doveva istituire tale tavolo tecnico permanente, pur essendo stata prevista la sua emanazione entro lo scorso 16 febbraio 2019 (ovvero entro trenta giorni dalla pubblicazione in GU del d.lgs. 148/2018 avvenuta il 17 gennaio 2019), non è stato ancora adottato. Come si coordinerà tale provvedimento con le risultanze del tavolo tecnico non ancora costituito non è dato sapere, dal momento che quest’ultimo dovrebbe fungere da camera di regia come sopra ricordato. Il rischio, che speriamo venga in tutti modi evitato, è che vi potranno essere contrasti tali da rendere il quadro normativo e tecnico ancor più confusionario di quanto non lo sia già oggi finendo, tra l’altro, per svilire le stesse finalità di semplificazione ricercate all’interno dell’UE. [1] Decisione di esecuzione (UE) 2017/1870 della Commissione, del 16 ottobre 2017, relativa alla pubblicazione dei riferimenti della norma europea sulla fatturazione elettronica e dell’elenco delle sintassi a norma della direttiva 2014/55/UE del Parlamento europeo e del Consiglio. [2] Tutte quelle di cui all’all. III, d.lgs. 50/2016 ed in particolare: Presidenza del Consiglio dei Ministri; Ministero degli Affari Esteri; Ministero dell’Interno (incluse le Prefetture-Uffici Territoriali del Governo e le Direzioni regionali e interregionali dei Vigili del Fuoco); Ministero della Giustizia e Uffici giudiziari (esclusi i giudici di pace); Ministero della Difesa Ministero dell’Economia e delle Finanze; Ministero dello Sviluppo Economico; Ministero delle Politiche Agricole, Alimentari e Forestali; Ministero dell’Ambiente e della Tutela del Territorio e del Mare; Ministero delle Infrastrutture e dei Trasporti; Ministero del Lavoro e delle Politiche Sociali (incluse le sue articolazioni periferiche); Ministero della Salute Ministero dell’Istruzione, dell’Università e della Ricerca; Ministero dei Beni e delle Attività culturali e del Turismo (comprensivo delle sue articolazioni periferiche); Altri enti pubblici nazionali: CONSIP S.p.A. (solo quando agisce come centrale di committenza per le amministrazioni centrali). Agenzia nazionale dei beni sequestrati e confiscati alla criminalità organizzata [3] Tutte le amministrazioni aggiudicatrici che non sono autorità governative centrali (art. 3, c.1, lett. c, d.lgs. 50/2016). Fonte: Key4Biz.it
Le tre dinamiche alla base delle strategie di sicurezza aziendale
Le aziende mettono l’identità al centro, fanno un uso sempre più avanzato degli analytics, e impiegano forme di automazione intelligente. Negli ultimi 12 mesi, le strategie di sicurezza aziendale sono state caratterizzate prevalentemente da tre dinamiche, che dimostrano un cambio di prospettiva significativo rispetto al passato circa la valorizzazione delle tecnologie più innovative per rispondere alla crescente complessità degli scenari di rischio. L’identità è entrata prepotentemente al centro dell’attenzione. Il concetto di identità è sempre più associato a quello di sicurezza, perché le aziende hanno compreso che riuscire a governare e proteggere il complesso dei dati personali abilita una migliore sicurezza aziendale. Oggi parlare di identità significa andare ben al di là dei meri processi di autenticazione. Significa parlare di privacy, di diritto all’anonimato e di furto di credenziali per quanto riguarda gli utenti; di GDPR e PII (Personally Identifiable Information, quei dati che possono identificare in modo univoco gli utenti) per quanto concerne i team di sicurezza aziendali, sempre più alle prese con uno scenario in cui l’identità dell’utente è spesso l’anello debole nella catena degli attacchi. Una seconda dinamica riguarda l’uso, sempre più esteso e avanzato, degli analytics. Gli strumenti UEBA (user entity and behavioral analytics, che analizzano con tecniche di apprendimento automatico il comportamento degli utenti per aiutare a rilevare e bloccare le minacce) stanno permeando sempre più le soluzioni di sicurezza, dall’endpoint alle piattaforme di servizi gestiti, per rafforzare le difese aziendali contro i malware, ormai capaci di superare i filtri tradizionali. Gli analytics sono in grado di fornire informazioni su dati e attività che transitano e si svolgono su device sui quali non possono essere installati agenti, cosa fondamentale con la sempre più massiccia diffusione di oggetti IoT. Gli analytics vengono poi usati per raccogliere e analizzare gli allarmi di sicurezza così da ridurre i falsi positivi e affinare gli allarmi stessi. Per ultimo, gli analytics possono essere predittivi: usati in modo ottimale, possono anticipare un tipo di attacco già perpetrato contro una rete avviando una serie di azioni difensive su altri potenziali obiettivi. Infine, l’ormai endemica carenza di personale nella cybersecurity (ISACA prevede 2 milioni di posizioni libere nel 2019) alla quale si sommano l’industrializzazione massiva del malware e la sempre più ampia superficie potenziale d’attacco alle strutture aziendali (causata da data center sempre più proiettati all’adge, reti IoT e device mobili) ha aperto una vera e propria voragine nelle risorse disponibili per le attività di Security Intelligence, rendendo indispensabile l’impiego di forme di automazione intelligente basate su algoritmi di Intelligenza Artificiale e Machine Learning. Il bisogno di nuove tecnologie ha spinto IDC ad aggiornare le sue previsioni di spesa per le soluzioni e i servizi di sicurezza. In un nuovo rapporto rilasciato poche settimane fa, IDC prevede che la spesa mondiale in sicurezza supererà nel 2019 il tetto dei 100 miliardi di dollari, raggiungendo per l’esattezza i 103,1 miliardi di valore, in crescita del 9,4% sul 2018. Aggiornato anche l’outlook al 2022: la spesa arriverà a 133,8 miliardi (con un CAGR 2018-2022 del 9,2%), quasi il 50% in più della spesa 2018. L’Europa, terzo mercato dopo Stati Uniti e Cina, spenderà in sicurezza 27,3 miliardi di dollari nel 2019 (+8,3% sul 2018) e 33,6 miliardi nel 2022 (CAGR del 7,2%). Più del 90% di questa spesa si avrà in Europa Occidentale. Il 14 maggio, all’Hotel Melià di Milano, si terrà l’edizione 2019 dell’IDC Security Conference. Al centro dell’evento proprio il tema della mutazione del rischio IT nell’era della privacy e dell’intelligenza artificiale. Alla presenza degli analisti IDC, di CISO di aziende italiane ed esperti del settore della sicurezza informatica, i partecipanti potranno confrontarsi sulle migliori pratiche per orientare gli investimenti e le scelte organizzative in materia di sicurezza. E per trasformare la sicurezza IT in una leva per abilitare nuovi modelli di innovazione digitale. Per maggiori informazioni sull’evento: IDC Security Conference 2019. Fonte: BitMat.it
Il 77% delle imprese globali non ha un piano di risposta agli incidenti cyber
La maggior parte delle imprese non è resiliente, e non disponde di una strategia di sicurezza IT a livello aziendale. IBM Security ha recentemente effettuato uno studio globale – The 2019 Study on the Cyber Resilient Organization – sulla capacità delle aziende di resistere e ripristinare l’operatività in seguito a un attacco cyber. Condotto dal Ponemon Institute e sponsorizzato da IBM Resilient, lo studio ha evidenziato che un’ampia maggioranza delle organizzazioni intervistate è ancora impreparata a reagire efficacemente a un incidente di cyber security, con il 77% che afferma di non avere un piano di risposta agli incidenti di cybersecurity applicato in maniera consistente in tutta l’azienda. Mentre un recente studio mostrano che le compagnie in grado di rispondere in modo rapido ed efficace, contenendo un cyber attacco in 30 giorni, risparmiano in media oltre 1 milione di dollari sul costo totale di un data breach,1 la mancanza di piani di risposta a incidenti di cyber security è rimasta costante nell’arco dei quattro anni su cui si è protratto lo studio. Delle aziende che hanno invece un piano in essere, più della metà (54%) non li testa regolarmente, trovandosi meno preparate a gestire efficacemente i complessi processi e la coordinazione necessari qualora vi sia un attacco. La prolungata difficoltà che i team di cybersecurity stanno affrontando nell’implementazione di piani di risposta a incidenti di cyber security ha impattato la conformità delle imprese alla General Data Protection Regulation (GDPR). Quasi metà degli intervistati (46%) afferma che la propria azienda deve ancora arrivare a una totale ottemperanza del GDPR, persino a un anno dall’anniversario dell’entrata in vigore della legge. “Non pianificare è un piano per fallire rispetto alla necessità di rispondere a un incidente di cybersecurity. I piani di risposta agli incidenti devono essere testati regolarmente e necessitano il pieno supporto del board per investire nelle persone, nei processi e nelle tecnologie necessarie al mantenimento di tale programma,” afferma Ted Julian, VP del Product Management e Co-Founder di IBM Resilient. “Quando una pianificazione adeguata è affiancata da investimenti nell’automazione, vediamo aziende in grado di risparmiare milioni di dollari durante un attacco.” Altri punti emersi dallo studio sono: l’automazione nella risposta è ancora un’area emergente – meno di un quarto degli intervistati dice che la propria azienda usa in modo significativo tecnologie di automazione come identity management e autenticazione, piattaforme di risposta agli incidenti, strumenti gestione delle informazioni e degli eventi di security (SIEM) all’interno del proprio processo di response; le competenze sono ancora una criticità – solo il 30% degli intervistati riporta che il personale dedicato alla cyber security è sufficiente per ottenere un alto livello di resilienza informatica; privacy e cybersecurity sono molto legate – il 62% degli intervistati ha indicato che allineare i ruoli di privacy e cybersecurity è essenziale o molto importante per ottenere resilienza informatica all’interno delle proprie aziende. L’automazione è un’area emergente Per la prima volta, lo studio di quest’anno ha misurato l’impatto dell’automazione sulla resilienza informatica. Nel contesto della ricerca, con automazione si intendono quelle tecnologie di sicurezza che permettono di aumentare o sostituire l’intervento umano nell’identificazione e contenimento di cyber exploit o breach. Queste tecnologie si basano su intelligenza artificiale, machine learning, analytics e orchestrazione. Quando è stato chiesto se le proprie aziende facessero uso dell’automazione, solo il 23% ha risposto indicando un uso significativo, mentre il 77% ha detto che ne fa un uso moderato, insignificante o nessuno. Le aziende con uso estensivo dell’automazione stimano la propria abilità a prevenire (69% vs 53%), rilevare (76% vs 53%), rispondere (68% vs 53%) e contenere (74% vs 49%) più alta del campione totale di rispondenti. Lo scarso utilizzo di sistemi automatizzati è un’opportunità mancata per rinforzare la resilienza informatica: infatti, secondo lo Studio sul costo di un Data Breach del 2018, le aziende che implementano l’automazione nei meccanismi di sicurezza risparmiano $1.55 milioni sul costo totale di un data breach, contrariamente a quanto accade a quelle che non ne fanno uso e che totalizzano un costo molto maggiore per lo stesso tipo di evento. Lo skills gap impatta ancora la resilienza informatica Lo skill gap nella cyber security sta ulteriormente indebolendo la resilienza informatica, con aziende a corto di personale e impossibilitate a gestire appropriatamente risorse e necessità. I partecipanti al sondaggio hanno riferito che non dispongono del numero di persone necessarie al corretto mantenimento e test dei propri piani di risposta agli incidenti e che stanno fronteggiando tra le 10 e 20 posizioni scoperte nei propri team di sicurezza. Solo il 30% dei partecipanti ha riportato che il personale per la sicurezza informatica è sufficiente per ottenere un alto livello di resilienza informatica. Inoltre, il 75% degli intervistati ha valutato la propria difficoltà nelle assunzioni e nel mantenimento del personale competente per la sicurezza informatica tra moderatamente alta a alta. In aggiunta al gap di competenze, quasi la metà dei partecipanti (48%) ha ammesso che le proprie aziende ricorrono a troppi strumenti e soluzioni per la sicurezza, causando una maggiore complessità e riducendo la visione d’insieme sui sistemi di sicurezza. La privacy sta diventando sempre più prioritaria Le aziende stanno finalmente riconoscendo che la collaborazione tra privacy e sicurezza informatica migliora la resilienza digitale, con il 62% che ritengono essenziale l’allineamento dei rispettivi team. La maggior parte degli intervistati crede che il ruolo della privacy stia diventato sempre più importante, specialmente con l’emergere di nuove leggi come il GDPR o il California Consumer Privacy Act, e stanno dando priorità alla protezione dei dati nelle decisioni d’acquisto per l’IT. Quando richiesto quale fosse il maggior fattore nella giustificazione delle spese per la sicurezza informatica, il 56% delle risposte si concentrava su perdita o furto di informazioni. Questo risulta particolarmente vero, con i consumatori che richiedono alle aziende di essere maggiormente proattive nella protezione dei propri dati. Secondo una recente ricerca di IBM, il 78% degli intervistati dice che l’abilità di una organizzazione nel proteggere i dati è estremamente importante, con solo il 20% che ha piena fiducia nelle aziende con cui interagisce riguardo il mantenimento della privacy dei propri dati. In aggiunta, la maggior parte dei partecipanti
Proteggere i dati: cinque miti da sfatare sulla crittografia
Molti preconcetti impediscono ancora oggi alle aziende di crittografare i propri dati, incorrendo così nel rischio di ingenti perdite A tutt’oggi, sono molti i preconcetti che impediscono alle aziende di crittografare i propri dati – riluttanza che potrebbe rivelarsi costosa se si traducesse in una loro massiccia perdita. In particolare, esistono cinque miti da sfatare circa la crittografia. Mito 1 – “Crittografare i miei dati è uno spreco di denaro” La crittografia dei dati è un po’ come una polizza assicurativa – se ne nota l’utilità solo quando sorgono problemi. Ma le cifre parlano chiaro. Secondo lo studio ‘2018 – Costi della violazione dei dati: panoramica globale’, condotto da Ponemon Institute per IBM, nel 2018 il costo medio per violazione si attestava in Italia su USD 3.43 milioni, con un volume medio di dati violati di 22.633 unità. Come Stormshield ha evidenziato nel white paper “Trasformazione digitale delle aziende; dove si inserisce la sicurezza?” non possiamo più permetterci di ignorare le numerose nuove potenziali fonti di vulnerabilità, compresi il nomadismo digitale, i servizi di condivisione di documenti basati su cloud e il maggiore utilizzo di oggetti connessi. Mito 2: “Implementare la crittografia è troppo complicato” Middleware, PKI, schede crittografiche e una grande varietà di altre policy di certificazione … Fino a pochi anni fa, la complessità delle procedure di protezione dei dati scoraggiava anche il più determinato tra i potenziali interessati. Ma oggi i produttori offrono soluzioni che non richiedono più l’implementazione di un’infrastruttura ultra-complessa. Che si tratti di utenti finali o amministratori, queste nuove soluzioni rendono l’implementazione e la gestione dei sistemi di crittografia nettamente più trasparente. La modalità SaaS, ad esempio, ha consentito di ridurre notevolmente i costi per infrastrutture e manutenzione. Mito 3: “Esistono soluzioni tanto efficaci quanto la crittografia” Il concetto di crittografia è spesso associato all’implementazione di reti private virtuali (VPN) utili per proteggere i dati in transito su Internet. Tuttavia, questi sistemi di protezione non garantiscono l’integrità dei dati in situazioni come il furto del terminale. D’altra parte, oltre a VPN, firewall e diritti di accesso, la crittografia del disco rigido sui terminali sta diventando una soluzione sempre più praticabile. Qui, è il terminale stesso – e non i dati – ad essere protetto in particolare, contro la minaccia di furto fisico. Queste soluzioni aggiuntive possono e dovrebbero essere prese in considerazione in concomitanza di una soluzione per la crittografia dei dati, quasi una “santa trinità” delle policy di sicurezza delle informazioni. In questo modo, indipendentemente da chi ha accesso alla workstation, al server o al sistema di condivisione basato su rete o cloud, solo l’utente con i diritti di decodifica può utilizzare i dati in questione. Mito 4 – “La crittografia non ci serve – gli attacchi informatici a noi non capitano” Non sono a rischio. Non ho dati sensibili che necessitano di protezione. Questo tipo di osservazioni sono più comuni di quanto si pensi, e non solo presso associazioni o autorità locali. La responsabilità della protezione dei dati non riguarda solo chi gestisce informazioni sensibili. Il regolamento generale sulla protezione dei dati (GDPR) ricorda a coloro che potrebbero essere in dubbio che ognuno è responsabile della protezione di dati relativi agli individui, come ad esempio i propri dipendenti. In Francia, la decisione della CNIL di multare un centro ottico con una sanzione di € 250.000 nel giugno 2018 per non aver protetto i dati dei propri clienti è la prova che la negligenza stessa può essere assai costosa. E la minaccia è onnipresente. Recentemente, il colosso della consulenza tecnologica Altran è stato vittima di un attacco informatico. Mito 5: “Se cifro i miei dati, potrei non potervi accedere mai più” Molte persone temono ancora di perdere i loro dati qualora dimentichino la password per la decrittazione, o qualora un dipendente lasci l’azienda senza comunicarla. Ma esistono tecnologie in grado di aiutare a evitare questo tipo di inconvenienti, come il recupero dei dati, che fornisce accesso ai dati a una o più persone all’interno di un’azienda in caso di emergenza. La tecnica key escrow rappresenta un’altra possibilità, ove un database – ovviamente crittografato – è usato per memorizzare tutte le chiavi di cifratura impiegate in azienda. Conclusioni In breve, dato che subire un furto di dati è molto più costoso che proteggerli, che nel tempo la tecnologia è diventata molto più fruibile, che nessuno è al sicuro dagli attacchi informatici e, che, infine, la cifratura dei dati rimane uno dei sistemi di protezione più efficaci, non c’è davvero nessun motivo per cui le aziende non dovrebbero adottare solide soluzioni di crittografia. Fonte: BitMat.it
Come ricordare password complesse senza l’utilizzo dei tool
In occasione del “Change Your Password Day”, la giornata dedicata al cambio della password che ricorre oggi, due semplici trucchetti per ricordare password complesse. Sì alle combinazioni uniche e facili da ricordare, basate su una stringa e associazioni di idee, no a banalità e complessità: è questa la regola per scegliere bene le sempre più numerose password che popolano la vita digitale. Il suggerimento arriva dalla società di sicurezza informatica Kaspersky Lab, in occasione del “Change Your Password Day“, la giornata dedicata al cambio della password che ricorre oggi. I ricercatori consigliano agli utenti di adottare alcune procedure per creare la propria serie di password uniche. Raccomandano, inoltre, di usare un tool di gestione delle combinazioni, in grado di “ricordare” le password al posto dell’utente. L’uso delle password è il metodo più consolidato per l’autenticazione di un account online, ma creare combinazioni sicure e semplici da ricordare non è facile; creare nuove chiavi di accesso è sempre più difficile, anche perché le persone, oggi, hanno sempre più account da gestire. Se si creano password semplici e facili da ricordare, il rischio che un utente malintenzionato riesca a craccarle è maggiore. Se si opta per una sequenza di caratteri più complessa, invece, è probabile che l’utente stesso fatichi a ricordarla, quindi è molto probabile che ci si limiti a una o due combinazioni e che si scelga poi di utilizzarle per più siti web. Collection #1 e #2-5 Quindici giorni fa è stato pubblicato in Rete un enorme database da oltre 87 GigaByte con più di 12mila file, in cui sono raccolti 773 milioni di indirizzi email e quasi 22 milioni di password. A renderlo noto è stato Troy Hunt, esperto in sicurezza informatica, che ha ribattezzato il maxi-archivio ‘Collection #1’: secondo alcuni potrebbe essere stato il più grande archivio di email e password rubate nella storia: una sorta di elenco del telefono, una ‘master list’ degli hacker, con dati rubati a milioni di utenti. Purtroppo lo si credeva fino a ieri, quando è stato scoperto un nuovo database chiamato ‘Collection #2-5‘ con 2,2 miliardi di username e password hackerate contenuti all’interno di un file da ben 845GB. Secondo il tedesco Hasso Plattner Institute, il database risulta essere tre volte superiore a Collection#1. Per il “Change Your Password Day”, ecco come creare password complesse senza dimenticarle: 1. Creare una “static string” (quella parte di password che resta sempre uguale) Pensare ad una frase, al testo di una canzone, alle citazioni di un film, ad una filastrocca o a qualcosa di simile, che sia facile da ricordare; Prendere la prima lettera delle prime tre o prime cinque parole; Aggiungere, tra una lettera e l’altra, un carattere speciale (ad esempio: #, @, / e simili). Da questo momento in poi, è possibile basare tutte le proprie password uniche su questa singola stringa di caratteri. 2. Sfruttare la potenza dell’associazione di idee In caso di necessità di una password per uno degli account online in uso (ad esempio per Facebook, Twitter, eBay, per i siti di dating, per l’online banking, per lo shopping online o i siti di videogiochi…), si deve prendere nota della prima parola che si associa ad un determinato sito o ad una certa piattaforma. Ad esempio, se si sta creando una password per l’account di Facebook, si potrebbe associare al social media il colore blu, presente nel logo. Basterebbe, quindi, aggiungere la parola “blu”, magari in lettere maiuscole, alla fine della “static string” creata in precedenza. Fonte: Key4Biz.it
Il GDPR a (quasi) un anno dall’introduzione. Il bilancio e le criticità
Il resoconto del convegno ‘La protezione dei dati personali: il GDPR un anno dopo’ svoltosi questa mattina al CNR. Tra gli autorevoli relatori, Giovanni Buttarelli (Garante europeo protezione dei dati): ‘Il GDPR ha resistito molto bene all’onda d’urto, anche sopra le aspettative, ma resta il vuoto della non approvazione dell’ePrivacy’. Giuseppe Busia, segretario generale Garante Privacy: ‘Il GDPR ha reso la data protection tema non più solo per tecnici, ma superare limite dello Sportello Unico’. 25 maggio 2018. E’ passato quasi un anno dalla piena introduzione del Regolamento generale sulla protezione dei dati, meglio noto come GDPR: la normativa dell’Unione europea che regola il trattamento dei dati personali. Qual è lo stato di adeguamento alla normativa? Qual è lo stato di consapevolezza delle imprese nel tutelare un bene così prezioso che sta diventando un fattore competitivo? E a che punto sono le pubbliche amministrazioni? A queste domande si è cercato di dare delle risposte al convegno “La protezione dei dati personali: Il GDPR un anno dopo”, organizzato dalla Scuola Nazionale di Amministrazione Digitale e da Unitelma Sapienza, in collaborazione con Privacy Italia e Andig (Associazione Nazionale Docenti di Informatica Giuridica. Il primo intervento dei relatori, dopo l’introduzione del prof. Donato Limone, Direttore della Scuola Nazionale di Amministrazione Digitale (SNAD) – Università degli studi di Roma Unitelma Sapienza, è stato di Giuseppe Busia, Segretario Generale dell’Autorità Garante per la Protezione dei Dati Personali, che ha evidenziato il lavoro svolto dall’Autorità nel corso dell’anno: “E’ stato per tutti noi un anno di lavoro molto impegnativo per l’implementazione della nuova normativa, complessa ma piena di spunti. Il GDPR ha reso la protezione dei dati un tema non più solo per tecnici, ma di tanti grazie anche all’impatto che ha sul digitale. Il decreto di adeguamento al GDPR ha attribuito al Garante strumenti flessibili per garantire a tutti l’applicabilità del Regolamento, che è diventato un modello nel mondo. Dopo un anno viene apprezzato anche dagli Over The Top. Tim Cook, ceo di Apple, si augura una legge Usa sul modello del Regolamento Ue. Il GDPR ha una criticità – ha concluso Busia – il One Stop Shop (Lo sportello unico)”. Subito dopo è stata la volta di Giovanni Buttarelli, Garante europeo per la protezione dei dati, che in videoconferenza da Bruxelles, ha tracciato un bilancio positivo dei primi 11 mesi di applicazione del Regolamento: “Il GDPR ha resistito molto bene all’onda d’urto, anche sopra le aspettative. Mentre ci avviciniamo al primo anniversario possiamo ritenerci soddisfatti, ma il GDPR è uno strumento di partenza, non uno strumento di arrivo. Il nuovo Regolamento non va burocratizzato, anzi deve coinvolgere le startup che realizzano soluzioni di privacy by design e by default per aiutare cittadini e imprese. Il 1^ compleanno del GDPR è quindi molto positivo, ma ci sono dei vuoti come la non approvazione dell’ePrivacy”. Secondo Gianluigi Ciacci, presidente di ANDIG “Il bilancio di un anno del GDPR è quasi un successo, perché la cultura della protezione dei dati non è cresciuta in Italia e la paura delle sanzioni non è sufficiente: adesso bisogna formare i cittadini, introducendo anche delle sanzioni per la mancata formazione”. Andrea Lisi, Presidente di Anorc Professioni,ha invece evidenziato soprattutto le criticità del nuovo Regolamento: “In questo primo anno di GDPR si sono presentate tre criticità: non agiamo con spirito europeo, il DPO è isolato e deve diffidare dai ‘bollini’ e soprattutto la Blockchain non risolve i problemi di privacy”. Nel secondo panel, focalizzato sul Data Protection Offcier e moderato da Raffaele Barberio, Presidente Privacy Italia, i protagonisti sono stati i DPO di Enti pubblici. “Viviamo in un’epoca paradossale in cui non esitiamo a condividere sul web i dettagli più intimi della nostra vita e allo stesso tempo cerchiamo norme per proteggere la nostra privacy”, ha commentato Clara Rech, Dirigente scolastico del Liceo E.Q.Visconti di Roma. “Le Scuole hanno avuto indicazioni dal MIUR tardivamente; si sono organizzate in reti e hanno sopperito con personale interno agli obblighi GDPR ma per il DPO si è preferito rivolgersi ad un professionista esterno che garantisse competenza specifica e ruolo super partes. La Scuola infatti tratta molti dati, non solo legati a minori, e deve costantemente contemperare la loro tutela con la trasparenza. Occorre poi sottolineare la necessità di vigilare sull’uso dei mezzi informatici e della comunicazione in rete, non solo perché sono i media preferiti dai giovani, ma anche perché la didattica oggi si serve molto di essi”. “La tutela diviene fondamentale soprattutto nei confronti di giovani e meno esperti di privacy” ha dichiarato Giovanni Calabrò, Direttore Generale Tutela del Consumatore dell’Autorità Garante della Concorrenza e del Mercato (AGCM). “Abbiamo vietato a Facebook il trasferimento dei dati degli utenti a WhatsApp, con una sanzione. Le multe hanno anche un valore aggiuntivo: contengono il danno reputazionale”. “Nonostante sia passato quasi un anno dalla piena applicazione del GDPR, è ancora basso il livello di consapevolezza della protezione dei dati”, ha osservato Sandro Di Minco, DPO di enti pubblici, per il quale è un ossimoro “nominare un DPO in ‘formazione’: è un danno per il titolare del trattamento del dato”. “Oltre alla responsabilizzazione serve un approccio manutentivo del GDPR, la cassetta degli attrezzi e delle best practices non sono sufficienti”, ha spiegato Gabriele Lipari, DPO Asl Roma G. “Riconoscere i rischi e le opportunità nel trattare i dati personali è il vero antidoto alla deresponsabilizzazione del titolare al trattamento. Inoltre dobbiamo batterci tutti per ottenere la massima trasparenza sui dati sanitari degli italiani in server di multinazionali all’estero. Sapere solo in UE/non UE non basta affatto”. Gaetano Palombelli, Responsabile Area Istituzionale e Ufficio Studi, Unione Province Italiane (UPI) ha spiegato ai presenti che “Gli enti locali hanno proceduto alla prima applicazione del GDPR, individuando spesso un DPO esterno all’ente con un dispendio di risorse. In alcuni casi si è dato vita ad una gestione associata tra più enti della materia della protezione dei dati personali. Può essere questa la chiave per semplificare gli adempimenti soprattutto nei piccoli Comuni, attraverso la creazione di strutture di supporto e centri di competenza specializzati in ambito provinciale o metropolitano.” “Nel 2019 gli attacchi informatici ai danni della Pa sono aumentati. I dati Clusit hanno evidenziato come l’Italia sia a rischio di criminali informatici”, ha dichiarato Pietro Pacini, Direttore generale, CSI Piemonte. “Il nostro obiettivo è garantire