Source: http://blog.cesaregallotti.it/2018/
Timestamp: 2020-07-15 11:40:00+00:00

Document:
IT Service Management News: 2018
Libro "European Data Protection" di IAPP
Per prepararmi all'esame CIPP/E dell'IAPP ho letto il libro ufficiale dell'IAPP.
Ne consiglio la lettura perché mi pare scritto bene e in modo pragmatico, anche se si tratta sempre di un libro teorico.
Riporto il commento di Pierfrancesco Maistrello: "Mi ha insegnato cose che non sapevo, e ogni tanto fa sintesi concettuali che in italia o te le fai da solo, se hai tempo e sei capace, o te le scordi".
Penso che in Italia si paghino gli interventi troppo concettuali di questi anni.
Comunque... il libro si trova in versione digitale e cartacea sul sito dell'IAPP:
- (digitale) https://iapp.org/store/books/a191a000002FJK5AAO/;
- (cartacea) https://iapp.org/store/books/a191a000002F94uAAC/.
Pubblicato da Cesare Gallotti alle 17:25:00 Nessun commento:
PEC o SERCQ? Scenari dal 1 gennaio 2019
Franco Vincenzo Ferrari di DNV GL mi ha segnalato questo articolo dal titolo "Dalla PEC al domicilio digitale, il passaggio nel 2019: ecco che può succedere":
- https://www.agendadigitale.eu/documenti/fatturazione-elettronica/dalla-pec-al-domicilio-digitale-il-passaggio-nel-2019-ecco-che-puo-succedere/.
In sostanza, la PEC non sarà più regolamentata ai sensi dell'articolo 48 del CAD. Quindi ci sarà una migrazione verso il Servizio di recapito certificato (SERC), regolamentato invece dal Regolamento eIDAS.
Nell'articolo sono presentati dei possibili scenari futuri. A mio parere, per chi non deve qualificarsi esperto della materia, è importante sapere che ci sarà una migrazione ed evitare, quando ci sarà, di fare la faccia stupita.
Pubblicato da Cesare Gallotti alle 14:11:00 Nessun commento:
Etichette: Documenti digitali e PEC
Violazione delle PEC
Riporto da Wired una notizia dal titolo "Un attacco hacker ha violato 500mila caselle pec in Italia":
- https://www.wired.it/internet/web/2018/11/20/italia-attacco-hacker-account-mail-pec/.
Su ICT Business è detto che l'attacco è iniziato il 12 novembre:
http://www.ictbusiness.it/cont/news/attacco-alla-pec-italiana-colpite-500mila-caselle/42536/1.html.
Altro articolo del 15 novembre (letto su Twitter, da @Il_Vitruviano):
- http://www.dagospia.com/rubrica-29/cronache/hacker-all-rsquo-assalto-tribunali-interrotti-servizi-informatici-187938.htm.
Il nostro "vice direttore per la cybersecurity del Dipartimento delle informazioni per la sicurezza (Dis)" Roberto Baldoni suggerisce di cambiare la password della nostra PEC, ma questo è un consiglio che tecnicamente non mi pare significativo: se il mio provider di PEC non è stato compromesso (sembra sia stato compromesso quello di TIM), perché dovrei cambiare la password?
E poi ancora: se è vero che l'attacco non era molto raffinato, quali vulnerabilità sono state sfruttate?
Studio ENISA su Industria 4.0
ENISA ha pubblicato uno studio dal titolo "Good Practices for Security of Internet of Things in the context of Smart Manufacturing":
- https://www.enisa.europa.eu/publications/good-practices-for-security-of-iot.
La lettura è decisamente interessante anche se, a mio parere, il documento poteva essere più sintetico. Rimane una lettura molto consigliata, non solo per chi si occupa di IoT o di Industria.
Pubblicato da Cesare Gallotti alle 11:05:00 Nessun commento:
Etichette: Industria, IoT, Sicurezza, Tecnologia
Elenco del Garante dei trattamenti che necessitano di PIA
L'11 ottobre il Garante italiano ha pubblicato l'elenco dei trattamenti che necessitano di PIA:
- https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9058979.
L'elenco recepisce i commenti dell'EDPB del 26 settembre.
Non mi pare introduca trattamenti imprevisti. Alcuni però li trovo scritti in modo lievemente ambiguo e secondo me in alcuni casi si scateneranno dei dibattiti.
L'elenco fa spesso riferimento alla linea guida WP 248. Si può trovare in questa pagina (per l'italiano è necessario aprire lo zip cliccando su "Available language versions"):
- https://ec.europa.eu/newsroom/article29/item-detail.cfm?item_id=611236.
Pubblicato da Cesare Gallotti alle 09:51:00 Nessun commento:
Accredia e i laboratori di vulnerability assessment
Accredia ha lanciato un servizio di accreditamento dei laboratori di vulnerability assessment rispetto alla ISO/IEC 17025 (grazie a Franco Vincenzo Ferrari di DNV GL per la segnalazione):
- https://www.accredia.it/servizio-accreditato/vulnerability-assessment/.
I laboratori possono essere certificati ISO 9001 o ISO/IEC 27001, ma possono anche essere direttamente accreditati dall'Organismo di accreditamento, che in Italia è Accredia.
L'esigenza viene principalmente dall'attuazione italiana del Regolamento eIDAS e di altri servizi fiduciari quali per esempio quelli relativi alla conservazione dei documenti. Come troppo spesso succede, AgID e Accredia hanno voluto essere più bravi di quelli bravi e imporre l'uso di laboratori accreditati per l'esecuzione di vulnerability assessment presso i fornitori di servizi fiduciari.
Potevano ovviamente richiedere, ai fornitori di servizi di vulnerability assessment, le "sole" certificazioni ISO 9001 o ISO/IEC 27001. Invece hanno voluto richiedere l'accreditamento come laboratori.
Vedremo come sarà recepito questo nuovo schema, gestito direttamente da Accredia.
Etichette: CAD eIDAS SPID, Documenti digitali e PEC, Sicurezza
Come spiare la CIA? Usando Google
Questo articolo di cui dà notizia il Sans NewsBites (l'avevo già visto su Twitter, ma in un momento di pigrizia) ha titolo "How did Iran find CIA spies? They Googled it":
- https://arstechnica.com/tech-policy/2018/11/how-did-iran-find-cia-spies-they-googled-it/.
In sostanza e se ho capito correttamente, dopo aver scoperto inizialmente come gli agenti della CIA comunicavano tra loro usando certi siti web, gli iraniani riuscivano a seguire le comunicazioni semplicamente usando Google.
Ancora una volta questo dimostra quanto siamo inconsapevoli della potenza delle tecnologie che usiamo e sarebbe quindi opportuno smettere di essere così ingenui.
Pubblicato da Cesare Gallotti alle 20:47:00 Nessun commento:
Configurare i browser per la privacy
Dal Sans NewsBites del 7 novembre, ecco un articolo dal titolo "How to Lock Down What Websites Can Access on Your Computer":
- https://www.wired.com/story/how-to-lock-down-websites-permissions-access-webcam/.
La cosa interessante, come fa notare un commento del SANS, è che oggi o browser sono così complessi che hanno delle funzionalità per configurare delle funzionalità e che molto spesso poi queste cambiano, rendendo difficile la rincorsa.
Pubblicato da Cesare Gallotti alle 20:42:00 Nessun commento:
Le password peggiori del 2017
Come ogni anno, Splashdata pubblica le password peggiori:
https://www.teamsid.com/worst-passwords-2017-full-list/.
Lettura divertente, non troppo originale, ma da conoscere.
Pubblicato da Cesare Gallotti alle 12:03:00 1 commento:
Come diffondiamo le nostre informazioni
Segnalo questo tweet:
- https://twitter.com/stefanoepifani/status/1058700175634513921.
Ho notato in questi mesi quanto le persone siano paranoiche nella vita "reale" (io a scuola andavo da solo da quando ho 7 anni e Milano non era più sicura negli anni Settanta - Ottanta) e invece poco attente nella vita "social-virtuale" (confesso che aspetto con sempre maggiore impazienza la notizia di qualche furto in casa di quelli che si sentono in dovere di segnalare sempre dove sono).
A parte le mie considerazioni personali, è necessario ricordare come la cultura quotidiana ha poi impatti nella sicurezza delle informazioni.
Pubblicato da Cesare Gallotti alle 11:42:00 Nessun commento:
Mio articolo sulla nuova ISO/IEC 27005 "Information security risk management"
Segnalo questo mio articolo dal titolo "Nuova edizione della ISO/IEC 27005 "Information security risk management":
- https://www.ictsecuritymagazine.com/articoli/nuova-edizione-della-iso-iec-27005-information-security-risk-management/.
Pubblicato da Cesare Gallotti alle 20:20:00 Nessun commento:
Pubblicato da Cesare Gallotti alle 10:46:00 Nessun commento:
Stato delle norme ISO/IEC 270xx - Ottobre 2018
La prima settimana di ottobre a Gjøvik (Norvegia) si è concluso l'incontro semestrale del ISO/IEC JTC 1 SC 27, ossia del comitato che si occupa della redazione delle norme della serie ISO/IEC 27000.
Non ho partecipato direttamente e quindi fornisco indicazioni tratte dai resoconti finali.
Per quanto riguarda i lavori sulle norme della privacy:
la ISO/IEC 27552 (ossia lo standard che potrebbe essere quello su cui sarà basata la "certificazione GDPR") dovrebbe passare allo stato di DIS e quindi essere pubblicata a fine 2019;
la ISO/IEC 27018 (Code of practice for PII protection in public clouds acting as PII processors) è stata aggiornata per allinearla alle altre norme uscite in questi anni e la pubblicazione della nuova versione è prevista per fine anno;
per la l'ISO/IEC 29101 (Privacy Architecture Framework), la situazione è la medesima della ISO/IEC 27018;
per la ISO/IEC 27550 (Privacy engineering for system life cycle processes) sono proseguiti i lavori.
Per quanto riguarda le attività del WG 1, ossia quelle più strettamente collegate alla ISO/IEC 27001, segnalo le cose per me più interessanti:
avvio formale, con la prima bozza, dei lavori per la prossima versione della ISO/IEC 27002 sui controlli di sicurezza (a questo punto prevista non prima del 2021);
ulteriore proseguimento dei lavori per la futura ISO/IEC 27005 sulla valutazione del rischio (i lavori sono ripartiti dalle discussioni preliminari);
continuazione dei lavori per apportare correzioni alla ISO/IEC 27006, la norma per gli organismi che certificano ISO/IEC 27001;
continuazione dei lavori per aggiornare la ISO/IEC 27013, ossia la norma che tratta delle relazioni tra ISO/IEC 27001 e 20000-1, visto il recente aggiornamento di quest'ultima;
avvio dei lavori per un aggiornamento minore della ISO/IEC 27007, linea guida per la conduzione degli audit sulla ISO/IEC 27001, per allineamento alla ISO 19011:2018; pertanto partirà dallo stato di DIS per essere pubblicata ad autunno 2019 (ricordo che la ISO/IEC 27007 è stata aggiornata nel 2017 e tutte queste rilavorazioni di norme mi lasciano perplesso);
passaggio a DIS (con possibile pubblicazione ad autunno 2019) della ISO/IEC 27102 sulle cyber-assicurazioni;
sono proseguite le discussioni sull'utilità del SOA; dal rapporto dell'incontro capisco che il 75% dei partecipanti vuole mantenere nella ISO/IEC 27001 l'Annex A e il requisito sul SOA.
Il WG 4, dedicato ad aspetti più tecnici della sicurezza, ha lavorato alla seconda bozza di lavoro della norma ISO/IEC 27030 dal titolo "Guidelines for security and privacy in Internet of Things (IoT)". La prima bozza era un documento sostanzialmente vuoto.
Altri documenti su cui ha lavorato il WG 4, che io ritengo interessanti, ma ancora in fase di bozza, sono:
aggiornamento della ISO/IEC 27031 sulla continuità operativa;
aggiornamento della ISO/IEC 27032 sulla sicurezza Internet (era un documento dedicato alla Cybersecurity, tema ora demandato alle norme della serie 271xx);
ISO/IEC 27045 sui big data.
Per quanto riguarda i partecipanti, so solo che al WG 1 (i gruppi sono 5 e il WG 1 è il più numeroso) hanno partecipato esperti e delegati da 29 Paesi. La delegazione italiana (per i soli WG 1 e WG 5) era composta da ben (!) tre persone.
Prossimo meeting: aprile 2019.
Mio articolo sulla nuova ISO/IEC 29100 "Privacy framework"
Avevo già scritto che è stato recentemente pubblicato un aggiornamento della ISO/IEC 29100 dal titolo "Privacy framework". Ho approfondito un po' la questione in questo articolo:
- https://www.ictsecuritymagazine.com/notizie/aggiornamento-della-iso-iec-29100-privacy-framework/.
Pubblicato da Cesare Gallotti alle 10:37:00 Nessun commento:
Articolo sulla nuova versione della ISO 19011 sugli audit
Un mio articolo dal titolo "Nuova versione della ISO 19011 sugli audit":
- https://www.ictsecuritymagazine.com/articoli/nuova-versione-della-iso-19011-sugli-audit/.
Pubblicato da Cesare Gallotti alle 09:45:00 Nessun commento:
Articolo "Nuova versione della ISO/IEC 20000-1"
Un mio articolo su ICT Security Magazine sulle novità della ISO/IEC 20000-1:2018, che sostituisce la ISO/IEC 20000-1:2011:
- https://www.ictsecuritymagazine.com/notizie/nuova-versione-della-iso-iec-20000-1/.
Pubblicato da Cesare Gallotti alle 11:17:00 Nessun commento:
E' stata pubblicata la ISO/IEC 20000-1:2018 che sostituisce la versione del 2011:
- https://www.iso.org/standard/70636.html.
Per chi non lo sapesse, la ISO/IEC 20000-1 ha titolo "Service management system requirements" e rappresenta (mi scusino i puristi) la norma che permette di certificare l'adozione di ITIL da parte delle aziende.
Non l'ho ancora letta. So solo che è stata modificata per recepire l'HLS, ossia per essere impostata come le altre norme sui sistemi di gestione (per esempio, ISO 9001 e ISO/IEC 27001), con l'analisi del contesto, delle parti interessati, dei rischi e delle opportunità, eccetera.
Pubblicato da Cesare Gallotti alle 07:15:00 Nessun commento:
Sentenza del TAR e competenze dei DPO (Post scriptum)
Ulteriori considerazioni dopo il post sulla sentenza del TARI del Friuli Venezia Giulia sulle competenze del DPO:
- http://blog.cesaregallotti.it/2018/09/sentenza-del-tar-e-competenze-dei-dpo.html.
Monica Perego ha scritto a me e ad altri quanto segue. Lo sottoscrivo pienamente.
"Trattare i temi privacy significa possedere un mix di competenze organizzative, legali e tecniche. Per le ultime due puoi ricorrere ad esperti sulla base delle specifiche esigenze. La prima è più on-off. Questo si comprende molto bene quando si fa analisi dei rischi. Io in aula lavoro sulla acquisizione delle competenze organizzative. Per quello che mi riguarda il DPO deve capirne di processi e di logiche di funzionamento delle organizzazioni. Il resto se lo prende all'esterno se non lo possiede."
Con Monica Perego avevamo pensato a come dare maggior valore legale alla richiesta della certificazione Lead auditor ISO/IEC 27001. La soluzione ce la fornisce Accredia, con la sua linea guida "I riferimenti all'accreditamento e alla certificazione nelle richieste di offerta e nei bandi di gara" (al capitolo 6 ci sono esempi pratici e ricordo che Accredia usa il termine "ISMS Responsabile gruppo di audit"):
- http://www.accredia.it/news_detail.jsp?ID_NEWS=1711&areaNews=94&GTemplate=default.jsp.
Io il bando di gara oggetto della sentenza non l'ho letto. Ma mi sembra strano che la sentenza non chiarisca se il certificato LA 27001 era richiesto come sostituto di laurea.
Pubblicato da Cesare Gallotti alle 21:04:00 Nessun commento:
Ampliata la Legge accessibilità alle app
E' stato pubblicato il D. Lgs. 106 del 2018 dal titolo "Riforma dell'attuazione della direttiva (UE) 2016/2102 relativa all'accessibilità dei siti web e delle applicazioni mobili degli enti pubblici":
- www.gazzettaufficiale.it/eli/id/2018/09/11/18G00133/sg.
Modifica la Legge 4 del 2004 sull'accessibilità agli strumenti informatici da parte delle persone con disabilità. La estende ai siti web e alle applicazioni mobili degli enti pubblici.
Mi pare una bella cosa (anche se non avevo capito che la precedente Legge non includeva i siti web).
Etichette: Cultura digitale, Novità legali, Qualità del software
Pubblicato da Cesare Gallotti alle 08:28:00 Nessun commento:
I rischi dell'autenticazione a due fattori
Avevo scritto due post sull'autenticazione a due fattori (o 2FA):
- http://blog.cesaregallotti.it/2018/08/violazione-reddit-e-debolezze-della-2fa.html;
- http://blog.cesaregallotti.it/2018/08/violazione-reddit-e-debolezze-della-2fa_15.html.
Bruce Schneier ha segnalato un articolo dal titolo "Before You Turn On Two-Factor Authentication…" che riporta i rischi della 2FA:
- https://medium.com/@stuartschechter/before-you-turn-on-two-factor-authentication-27148cc5b9a1.
Ci ricorda quindi che ogni misura di sicurezza porta con se dei rischi e che la sua introduzione va sempre attentamente ponderata.
Per completezza, il post di Bruce Schneier è qui:
- https://www.schneier.com/blog/archives/2018/08/good_primer_on_.html.
Pubblicata la UNI/PdR 43 per la certificazione GDPR
Fabio Guasconi di Bl4ck Swan e Glauco Rampogna mi hanno segnalato la pubblicazione delle UNI/PdR 43. Come scrive Fabio: "la prima ha una valenza di linea guida; la seconda esprime requisiti che POTREBBERO costituire la base per una certificazione ex articolo 42 del GDPR".
- http://store.uni.com/catalogo/index.php/uni-pdr-43-1-2018.html
- http://store.uni.com/catalogo/index.php/uni-pdr-43-2-2018.html.
Le avevo già commentate quando furono pubblicate le bozze:
- http://blog.cesaregallotti.it/2018/05/privacy-bozza-di-prassi-uni-per-la.html.
Aggiungo solo che la prima parte risulta corretta rispetto alla versione che avevo criticato. Continuo però a pensare che sia inutile alla luce di altri contributi, a mio parere più autorevoli, oggi disponibili.
Niccolò Castoldi (che ringrazio) mi ha segnalato questo documento dal titolo "CTIA Cybersecurity Certification Test Plan for IoT Devices". Il pdf si trova in questa pagina, sotto la rubrica "IoT Cybersecurity Certification Program":
- https://www.ctia.org/about-ctia/programs/certification-resources.
Il commento di Niccolò: "si tratta di una serie di controlli che la CTIA ha elaborato sulla base di molti altri standard e best practice; mi è sembrato ben fatto".
Sono d'accordo con Niccolò. Aggiungo che il documento riguarda solo i dispositivi, non anche gli altri elementi dell'architettura IoT (server o "cloud" e applicazioni per dispositivi mobili).
Pubblicato da Cesare Gallotti alle 18:20:00 Nessun commento:
Aggiornato il Codice privacy (parte 2)
Nel mio post precedente sul Dlgs 101 (http://blog.cesaregallotti.it/2018/09/aggiornato-il-codice-privacy.html) avevo scritto "ci sono molti aggiornamenti sui trattamenti specifici o relativi a specifici settori (ognuno deve quindi verificare quelli applicabili al proprio caso)".
Cerco quindi di elencare queste specificità:
Esecuzione di un compito di interesse pubblico o connesso all'esercizio di pubblici poteri (articoli 2-bis, 2-sexies, 2-quinquiesdecies; dove è specificato cos'è l'interesse pubblico rilevante per cui si possono trattare dati di categorie particolari e dove è richiesto un Provvedimento specifico del Garante);
Minorenni (articolo 2-quinquies);
Trattamenti di dati genetici, biometrici e relativi alla salute (articolo 2-septies, che però richiede sia preparato un Provvedimento del Garante);
Dati relativi a condanne penali e reati (articolo 2-octies, che secondo me complica inutilmente quanto già stabilito dall'articolo 6 del GDPR);
Ragioni di giustizia (articolo 2-duodecies);
Persone decedute (articolo 2-terdecies);
Forze di Polizia (abrogati, sostanzialmente, gli articoli dal 53 al 57);
Difesa e sicurezza dello Stato (articolo 58);
Uso dei dati pubblici (articolo 61 che richiede regole deontologiche);
Ambito sanitario (dall'articolo 75);
Dati relativi a studenti (articolo 96);
Ricerca scientifica o storica o a fini statistici (articolo 97 e seguenti; articolo 104 e seguenti; è promosso un altro codice deontologico);
Rapporto di lavoro (articoli dal 111 al 115, dove sono ribadite cose note e dove sono richieste altre regole deontologiche);
Assicurazioni (rimane solo l'articolo 120);
Servizi di comunicazione elettronica (articoli dal 121);
Giornalismo, libertà di informazione e di espressione (articolo 136 e seguenti e dove sono richieste altre regole deontologiche).
Alla fine, nella maggior parte dei casi, il Codice privacy modificato non fornisce indicazioni utili e, per capire come agire da un punto di vista operativo, dovremo aspettare i provvedimenti o le regole deontologiche o i codici deontologici da parte del Garante.
Per questa veloce analisi mi sono basato sulla versione consolidata (e non ufficiale) del Codice privacy preparata da Francesco Paolo Micozzi di Array:
- https://www2.array.eu/it/nuovo-testo-codice-privacy/.
Un breve articolo sulla assicurazioni di sicurezza IT
Breve articolo dal titolo "The rise of cybersecurity insurance":
- https://www.axios.com/cybersecurity-insurance-on-rise-companies-c2d2167e-9425-418e-bef9-6dfbc141deba.html.
Ribadisce cose già dette. L'elenco dei miei post l'avevo già fatto qui:
- http://blog.cesaregallotti.it/2016/10/assicurazioni-sulla-sicurezza-ict.html.
Qui sono presentati alcuni aggiornamenti che non fanno mai male.
Pubblicato da Cesare Gallotti alle 10:27:00 Nessun commento:
Correzione alla ISO/IEC 27011
E' stata pubblicata una correzione alla ISO/IEC 27011 dal titolo "Code ofvpractice for Information security controls based on ISO/IEC 27002 for telecommunications organizations":
- https://www.iso.org/standard/76487.html.
La correzione prevede solo la modifica del titolo del paragrafo 8.2.1 da "Classification guidelines" a "Classification of information". Non molto...
La correzione è visibile direttamente dalla pagina web di iso.org attraverso la "Preview".
La ISO/IEC 27011 presenta un elenco di controlli di sicurezza per gli operatori di servizi di telecomunicazione. Questi controlli sono in realtà un'estensione di quelli della ISO/IEC 27002.
Aggiornato il Codice privacy
Con il D. Lgs. 101 del 2018, è stato aggiornato il D. Lgs. 196 del 2003 (Codice della privacy). Il D. Lgs. 101 si trova sul sito della Gazzetta ufficiale:
- www.gazzettaufficiale.it/eli/id/2018/09/04/18G00129/sg.
Ringrazio una mia anonima amica per la segnalazione. Devo però dire che in questi giorni ho visto troppa fibrillazione per l'attesa di questo D. Lgs., come non vedevo neanche quelli che facevano la schedina e aspettavano i risultati delle partite. E, una volta uscita la notizia, tutti a dire quanto sono stati veloci a fornirla (come fossero dei personaggi dei film sui giornalisti). Secondo me, troppi stanno perdendo il senso del nostro mestiere.
Detto questo: il D. Lgs. 196 modificato non è ancora disponibile su Normattiva, ma, per chi non lo sapesse, è quello il posto giusto dove guardare:
- http://www.normattiva.it/.
Il commento di Francesco Pizzetti su Agenda Digitale mi sembra utile (ma sicuramente in futuro usciranno altri articoli; prego tutti di prestare attenzione alla reale competenza di chi li scrive):
- https://www.agendadigitale.eu/sicurezza/privacy/delega-per-il-gdpr-i-punti-forti-e-deboli-un-primo-giudizio/.
Altro articolo (molto sintetico) è di Giusella Finocchiaro:
- http://www.studiolegalefinocchiaro.it/2018/08/10/il-sole-24-ore-privacy-protetta-da-sanzioni-penali/.
Io, dopo una prima lettura, mi sono segnato alcuni punti, ma evito di trattarli nel dettaglio: altri lo faranno in modo molto più approfondito. Darò in futuro qualche link se mi sembrerà interessante. Rimane però la regola: leggere prima direttamente la normativa (il testo consolidato quando sarà disponibile) e solo successivamente gli articoli di giornale o i post sui social network.
- ci sono molti aggiornamenti sui trattamenti specifici o relativi a specifici settori (ognuno deve quindi verificare quelli applicabili al proprio caso), con anche richiami sulle norme deontologiche, i minorenni;
- sono fornite le definizioni di "comunicazione" e "diffusione" (dovrò rileggere il Codice privacy e il GDPR per verificare meglio se questo ha impatto per esempio nelle informative);
- in molti casi mi pare siano promossi provvedimenti del Garante con misure prescrittive, tornando indietro rispetto all'impostazione basata sulla valutazione di adeguatezza; infatti sono stabilite regole sul mantenimento in vigore dei codici di condotta, delle prescrizioni attualmente richieste dalle autorizzazioni generali (che quindi saranno eliminate come autorizzazioni, ma rimarranno come prescrizioni), dei provvedimenti generali; è quindi necessario controllare gli aggiornamenti sul sito del Garante; questo mi induce anche a non dare per morto, tra gli altri, il Provvedimento AdS (anche se avrei voluto farlo);
- segnalo l'autorizzazione all'uso di dati biometrici per i dispositivi di controllo degli accessi, i limiti ai diritti degli interessati (per esempio, se sono in contrasto con le normative anti-riciclaggio o alla protezione delle vittime di estorsione), i diritti riguardanti le persone decedute;
- continua a sorprendermi che sia necessaria una norma per ricordare che il titolare o il responsabile (intesi come organizzazioni) possono distribuire le responsabilità all'interno dell'organizzazione stessa;
- non mi pare sia stato modificato il comma 4 dell'articolo 130, che introduce il "consenso soft"; visto che ci sono difficoltà di interpretazione su "marketing diretto per legittimo interesse e non sulla base del consenso", speravo in qualcosa di diverso;
- introdotto un articolo un po' assurdo sull'obbligo, per i fornitori di trasmissione IT (e non dei servizi più evoluti), di fornire informazioni sui rischi di violazione della sicurezza della rete; dovremo vedere come sarà attuato;
- sono introdotte, come previsto, le sanzioni penali;
- la deroga alle sanzioni è formulata in modo curioso, vago e forse inutile (visto che il GDPR fornisce dei massimi e che il Garante non è l'unico a comminare sanzioni): "Per i primi otto mesi dalla data di entrata in vigore del presente decreto, il Garante tiene conto della fase di prima applicazione delle disposizioni sanzionatorie";
- come previsto, l'allegato B con le misure minime è stato eliminato.
Invito a segnalarmi errori, che sicuramente ci sono, o ulteriori considerazioni di tipo "pratico".
PS: Grazie, per avermi segnalato correzioni, a Stefano Posti.
EN 301 549 sull'accessibilità
Non sono per niente un esperto in materia, ma credo sia importante seguirla.
E' stato pubblicato lo standard EN 301 549 con le specifiche per l'accessibilità (da parte di invalidi) ai siti web e alle applicazioni per dispositivi mobili, con i requisiti di percezione, operatività, comprensibilità e robustezza definiti dalla Web and Mobile Accessibility Directive:
- https://portal.etsi.org/webapp/workprogram/Report_WorkItem.asp?WKI_ID=50127.
Rapporto ENISA sugli incidenti di sicurezza in ambito telecom
Segnalo questo rapporto di ENISA relativo agli incidenti di sicurezza nel settore degli operatori delle telecomunicazioni:
- https://www.enisa.europa.eu/news/enisa-news/169-telecom-incidents-reported-extreme-weather-major-factor/.
Per i più pigri: la maggior parte degli incidenti ha come causa errori hardware o bug software, maltempo, blackout. Il 2% hanno come causa attacchi da parte di malintenzionati.
Parere personale: questo insegna anche alle imprese di altri settori che è bene non sottovalutare gli attacchi degli esterni, ma che è opportuno non dimenticare le minacce meno "di moda" ma comunque significative. Questo discorso, comunque, è vecchio e porta alla conclusione (nota da anni) che chi si occupa di sicurezza informatica deve anche occuparsi di sicurezza fisica e di manutenzione.
Pubblicato da Cesare Gallotti alle 12:39:00 Nessun commento:
Eventi, foto pubblicate e privacy
Un mio cliente vuole filmare (e poi diffondere i video) un evento con pubblico a pagamento. Come è noto ogni tanto si fanno dei primi piani dei partecipanti.
Ho chiesto ai miei contatti se potevano aiutarmi (ovviamente sapevo che la soluzione ideale è avere la liberatoria di OGNI partecipante).
Riccardo Lora degli Idraulici della privacy mi ha segnalato questo link molto utile sui casi pratici per la pubblicazione di foto degli eventi:
- http://www.fotografi.org/pubblicabilita_foto_ritratto_esempi_concreti.htm.
Pietro Calorio (sempre degli Idraulici della privacy) ha segnalato questa proposta (forse non seria) per considerare chi non vuole fornire il consenso ad essere ripreso:
- https://petapixel.com/2018/08/17/festival-dont-want-to-be-in-photos-put-a-red-dot-on-your-forehead/.
Li ringrazio molto e ringrazio anche chi vorrà fornire ulteriori approfondimenti.
Pubblicato da Cesare Gallotti alle 15:02:00 Nessun commento:
Opinioni EDPB in italiano
Sabrina Prola mi ha segnalato la pubblicazione in italiano di alcune linee guida sull'applicazione del GDPR già pubblicate in passato dal WP Art. 29 (oggi nel EDPB) in inglese.
- 250 rev. 01 sulle violazioni dei dati personali;
- 251 rev. 01 sui processi decisionali automatizzati e sulla profilazione;
- 259 rev. 01 sul consenso;
- 260 rev. 01 sulla trasparenza.
Queste linee guida si trovano sul sito del Garante:
- https://www.garanteprivacy.it/web/guest/regolamentoue.
Si trovano anche sul sito dell'EDPB, con la traduzione in tutte le altre lingue:
- https://edpb.europa.eu/our-work-tools/our-documents/publication-type/guidelines_it.
Pubblicato da Cesare Gallotti alle 12:10:00 Nessun commento:
Minimum standard for improving ICT resilience
Giulio Boero mi ha segnalato il documento "Minimum standard for improving ICT resilience" dell'ufficio federale FONES della Confederazione Svizzera:
https://www.bwl.admin.ch/bwl/en/home/themen/ikt/ikt_minimalstandard.html.
A me sembra un documento ben fatto, anche se sono sempre critico nel vedere il numero sempre più elevato di standard, linee guida, check list e simili.
Riporto quanto scritto da Giulio Boero stesso (e lo ringrazio): << il documento (corredato da relativo assessment tool in .xlsx) è prodotto dalla Confederazione Svizzera. E' abbastanza interessante (seppur non così "rivoluzionario", ma ormai c'è poco di nuovo da inventare ) e presenta un approccio "elvetico" alla sicurezza informatica che può dare spunti interessanti. Il tutto mappato sui principali standard di sicurezza. >>
Pubblicato da Cesare Gallotti alle 11:59:00 Nessun commento:
Guida AgID su metriche software applicativo
Franco Vincenzo Ferrari di DNV GL mi ha segnalato la "Guida tecnica all'uso di metriche per il software applicativo sviluppato per conto delle pubbliche amministrazioni" di AgID (si trova al link seguente sotto "Documentazione"):
- https://www.agid.gov.it/it/design-servizi/linee-guida-design-servizi-digitali-pa.
Mi sembra interessante ma forse (!) troppo teorico e inattuabile nella realtà.
Pubblicato da Cesare Gallotti alle 11:54:00 Nessun commento:
Avevo detto che avrei cercato di capire meglio la blockchain.
Da un punto di vista funzionale, il concetto è abbastanza semplice: è un sistema che permette di tracciare le transazioni.
Tecnologicamente è molto complesso perché i database su cui sono tracciate le transazioni (ledger) non si trovano su un server, ma sui pc dei partecipanti. Pertanto questi database devono avere degli elevati livelli di sicurezza, tali da non permettere ai partecipanti di violarli.
Questa soluzione ha diversi problemi tecnologici (le soluzioni basate su blockchain non sono così semplici da usare, anche perché le modifiche sono molto difficili da apportare) e filosofici. Mi è piaciuto questo articolo, peraltro molto critico:
- https://medium.com/@kaistinchcombe/decentralized-and-trustless-crypto-paradise-is-actually-a-medieval-hellhole-c1ca122efdec.
Commento personale: sono molto perplesso perché quasi tutti gli articoli sulla blockchain ne promuovono la tecnologia ("la blockchain risolverà tutti i vostri problemi"), senza però indicarne i campi di applicazione, se non in modo generico.
Non sarò mai un esperto di blockchain e non credo me ne occuperò ulteriormente (ma forse questo non interessa nessuno).
Pubblicato da Cesare Gallotti alle 08:42:00 Nessun commento:
Edge e fog computing
Tempo fa avevo scritto di fog e mist computing, dichiaranto la mia incompetenza:
- http://blog.cesaregallotti.it/2018/03/fog-e-mist-computing.html.
Franco Vincenzo Ferrari di DNV GL mi ha inoltrato questo articolo dal titolo "What Is Edge Computing?":
- https://www.cbinsights.com/research/what-is-edge-computing/.
In sostanza: con il termine "IoT" si intendono solo i sensori con limitatissime capacità computazionali (e collegati ad un server detto "cloud"); con il termine "Edge" si intendono i sensori con una capacità computazionale maggiore (o sensori collegati ad un processore "nelle vicinanze"). Questo permette di attivare elaborazioni senza transitare dal cloud.
Fin qui mi sembra tutto semplice. Solo una questione terminologica per dire cose abbastanza ovvie (a parte la tecnologia che ci sta dietro).
Poi l'articolo tira fuori il "fog computing" e io continuo a non capire di cosa si tratta.
Pubblicato da Cesare Gallotti alle 08:23:00 Nessun commento:
DFIR for Genoa
Raccolta fondi per Genova della comunità DFIR:
- https://www.gofundme.com/dfir-for-genoa.
Mattia non è solo un amico di Genova, è un grande professionista e consiglio quanti vorrebbero "fare qualcosa" di aderire.
Pubblicato da Cesare Gallotti alle 12:38:00 Nessun commento:
Corso di perfezionamento su Criminalità Informatica e investigazioni digitali
L'Università statale di Milano organizza il corso "Criminalità Informatica e investigazioni digitali":
- http://www.beccaria.unimi.it/ecm/home/didattica/corsi-di-perfezionamento/criminalita-informatica-e-investigazioni-digitali.
Lo promuovo e consiglio a tutti di partecipare (sono anche Presidente dell'associazione degli ex alunni; www.perfezionisti.it).
CSA Top Threats to Cloud Computing
Franco Vincenzo Ferrari di DNV GL mi ha segnalato la pubblicazione del documento "Top Threats to Cloud Computing: Deep Dive" del Cloud Security Alliance (richiede registrazione):
- https://cloudsecurityalliance.org/media/press-releases/csa-releases-top-threats-to-cloud-computing-deep-dive/.
Si tratta di un elenco di 12 attacchi (non minacce!) particolarmente significativi e avvenuti negli ultimi anni.
Segnalo quelli per me più significativi (e, a ben vedere, non si tratta di "minacce cloud").
Il caso del 2016 di due dipendenti della società Zynga che hanno portato dati da un concorrente:
- https://arstechnica.com/tech-policy/2016/11/zynga-sues-2-former-employees-over-alleged-massive-data-heist/.
L'attacco a Yahoo! del 2013, che ha dimostrato diverse leggerezze procedurali:
- http://fortune.com/2016/12/19/yahoo-hack-cyber-security/.
Pubblicato da Cesare Gallotti alle 12:07:00 Nessun commento:
Violazione Reddit e debolezze della 2FA - Post scriptum
Avevo già scritto brevemente e recentemente dell'autenticazione a due fattori:
- http://blog.cesaregallotti.it/2018/08/violazione-reddit-e-debolezze-della-2fa.html.
Nel numero di Crypto-Gram di agosto 2018, Bruce Schneier segnala che Google ora produce il suo token:
- https://www.schneier.com/blog/archives/2018/07/google_employee.html.
La mia competenza in materia è ahimè scarsa, ma cerco di migliorarla. In precedenza avevo segnalato alcuni meccanismi di 2FA, ma non avevo colto il fatto che possono essere in ordine di livello di sicurezza (i link si trovano sul post di Bruce Schneier):
- codici temporanei, o one-time, inviati via SMS (ritenuti molto insicuri);
- codici temporanei inviati via app per dispositivi mobili (esempi sono Google Auth e MS Authenticator);
- chiavi USB o Bluetooth (o NFC o altro) da collegare al pc o al dispositivo mobile (esempi sono YubiKey di Yubico, U2F Security Key di Feitian e il recente Titan Key di Google, basati sul protocollo FIDO).
Prego di inviarmi ulteriori approfondimenti su questa materia.
Pubblicato da Cesare Gallotti alle 10:00:00 Nessun commento:
Proroga autorizzazioni del Garante
Il Garante, visto che non è stata ancora approvata la "nuova normativa italiana in materia di privacy", ha preferito prorogare le autorizzazioni per i trattamenti di dati sensibili e giudiziari previste dal Dlgs 196 del 2003:
- https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/9026901.
E' una notizia forse non importante (nel senso che chi si occupa di privacy avrebbe già dovuto conoscerle). Comunque ringrazio Pietro Calorio e Chiara Ponti degli Idraulici della privacy per aver segnalato la notizia.
Pubblicato da Cesare Gallotti alle 16:45:00 Nessun commento:
Pubblicato da Cesare Gallotti alle 15:45:00 Nessun commento:
Provvedimento Garante: Localizzazione di veicoli aziendali
Segnalo questo Provvedimento del Garante sulla localizzazione di veicoli aziendali:
- https://www.gpdp.it/web/guest/home/docweb/-/docweb-display/docweb/9023246.
In sostanza ricapitola i Provvedimenti precedenti e alcune nuove misure in relazione ai GPS sui mezzi aziendali, pertanto è utile per le aziende (e i loro fornitori!) che usano tali misure.
Il Provvedimento è stato anche pubblicizzato come "storico" perché usa per la prima volta il principio di privacy by design e privacy by default. Ritengo sia esagerato. Ma il provvedimento è comunque importante.
Pubblicato da Cesare Gallotti alle 15:03:00 Nessun commento:
Circolare dei consulenti del lavoro
Alla fine di questo caldo luglio italiano, il Consiglio Nazionale dell'Ordine dei Consulenti del lavoro hanno pubblicato una circolare sul "Ruolo del Consulente del Lavoro" nei termini del GDPR:
- http://www.consulentidellavoro.gov.it/index.php/component/k2/item/911-circolare-cncl-del-23-luglio-2018-n-1150.
In sostanza la circolare dice che il consulente del lavoro dovrebbe essere inteso come "contitolare" (che loro scrivono come "co-titolare").
In tanti ne hanno scritto. Io penso che il commento più in sintonia con il mio sentire l'ha scritto Davide Foresti su LinkedIn:
- https://www.linkedin.com/pulse/lordine-dei-consulenti-del-lavoro-e-il-falso-problema-davide-foresti.
Io ho avuto a che fare con consulenti del lavoro che vogliono essere titolari (e però il contratto lo hanno con l'azienda che gli trasferisce i dati personali e che pertanto deve specificare le condizioni nel contratto), altri che accettano il ruolo di responsabile (con relativo contratto). A mio avviso, purché il contratto riporti le clausole, il resto mi ricorda il dibattito sulla natura della luce (ossia incomprensibile, se non che la soluzione è impossibile nei termini posti).
Pubblicato da Cesare Gallotti alle 21:49:00 Nessun commento:
Allarme sulle catene di fornitura del software
L'US National Counterintelligence and Security Center (NCSC) ha pubblicato un report dal titolo "Foreign Economic Espionage in Cyberspace". Si trova sul sito dell'NCSC:
- https://www.dni.gov/index.php/ncsc-home.
Il SANS NewsBites ne ha dato risalto fornendo un collegamento ad un articolo di infosecurity-magazine.com:
- https://www.infosecurity-magazine.com/news/us-warns-of-supply-chain-attacks/.
Non vorrei elogiarmi troppo, ma sono anni che dico che, in materia di filiere di fornitura, non bisogna prestare attenzione ai soli fornitori cloud. Ora è considerata "in crescita", ma secondo me è sempre stata troppo sottovalutata (aggiungo che dopo l'entrata in vigore del GDPR vedo maggiore attenzione nei contratti stipulati con i fornitori, mentre prima la situazione era ai confini del disastrosa).
Pubblicato da Cesare Gallotti alle 21:39:00 Nessun commento:
Alessandro Iocco mi ha segnalato questo articolo dal titolo "Eredità digitale: che fine fanno i dati dopo la morte":
https://inno3.it/2018/07/26/eredita-digitale-che-fine-fanno-i-dati-dopo-la-morte/.
In questi ultimi mesi ne avevo parlato con qualcuno e mi sembra un argomento da considerare. Infatti avevo assistito, a inizio 2017, ad una presentazione di Giovanni Ziccardi del suo libro "Il libro digitale dei morti", che però non ho mai letto (accipicchia!):
- http://www.utetlibri.it/libri/il-libro-digitale-dei-morti/.
- https://www.corrierecomunicazioni.it/privacy/il-profilo-facebook-passa-agli-eredi-in-caso-di-morte-la-sentenza-storica-della-corte-tedesca/.
Pubblicato da Cesare Gallotti alle 18:48:00 Nessun commento:
Quando hai bisogno della blockchain? Un modello decisionale
Appena ho pensato che la blockchain stava diventando materia per il "next big thing" con cui cercheranno di fare soldi consulenti, informatici, venditori di fuffaware, passanti e chissà chi altro, ecco questo bell'articolo dal titolo "When do you need blockchain? Decision models":
- https://medium.com/@sbmeunier/when-do-you-need-blockchain-decision-models-a5c40e7c9ba1.
Ovviamente il primo modello è il più semplice!
Io sono uno scettico, come è noto, e quindi il modello di Lewis mi convince molto (hai un vero bisogno non ancora risolto? lo avevi risolto prima di aver sentito parlare della blockchain? allora non usare la blockchain!). Quasi tutti, comunque, dicono di non buttarsi su questa tecnologia se non quando strettamente necessario e, francamente, i casi che ho sentito finora (tracciabilità dei certificati ISO, tracciabilità del cibo, tracciabilità delle cartelle mediche, elezioni) non mi convincono.
Però ripeto che non sono un esperto di questa materia, né mai lo sarò (ofelè fa el tò mesté). Però ritengo sia necessario sapere cos'è.
Pubblicato da Cesare Gallotti alle 18:29:00 Nessun commento:
Come ogni anno, ENISA ha pubblicato la sua analisi delle minacce:
- https://www.enisa.europa.eu/publications/enisa-threat-landscape-report-2017.
Il periodo di riferimento è il 2017.
Le minacce considerate sono raccolte in 15 famiglie (dal malware allo spionaggio). Per ognuna sono riportate le "Specific mitigation actions", cosa decisamente interessante. Per alcune avrei sottolineato di più il ruolo dei processi e per altre avrei raccomandato misure più semplici (per esempio, per la minaccia "interni malintenzionati" avrei previsto il controllo accessi, non uno IAM).
Criticare è sempre più facile di fare. Ne sono consapevole, ma sono anche consapevole dell'elevata qualità di questa pubblicazione, che ogni anno migliora. Ne raccomando quindi la lettura.
Pubblicato da Cesare Gallotti alle 18:09:00 Nessun commento:
Testo consolidato del GDPR
Da un tweet dell'EDPB, il link al testo consolidato del GDPR:
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:02016R0679-20160504
Il testo non include i considerando. Con mia gioia, visto che non apprezzo i testi non normativi che sono però considerati "quasi normativi".
Segnalo poi che il tweet iniziava così: "Cercate una lettura per l'estate?". Mi ha divertito.
Commento sulle società di audit PCI
Avevo dato la notizia "Società di audit PCI citata in giudizio":
- http://blog.cesaregallotti.it/2018/07/societa-di-audit-pci-citata-in-giudizio.html.
Fabio Guasconi di Bl4ckSwan, che ringrazio, mi ha risposto come segue.
<< È tutto legato al mondo specifico che regola l'operato di una QSA company, incorniciata dalle assicurazioni specifiche ad essa richieste, dalle regole dei circuiti internazionali ivi incluse le sanzioni
comminabili.
Tipicamente in caso di violazione vengono svolte delle analisi forensi dai circuiti volte ad accertare cosa è successo e se ci sono responsabilità anche dovute a negligenza / errori.
Se a valle di queste attività si scopre che il soggetto violato non aveva colpa allora non vengono erogate sanzioni e i costi di riemissione / danni legati alle carte sono gestiti dai circuiti, altrimenti tutto ricade direttamente o indirettamente sul soggetto violato.
In questo caso il soggetto violato sta dicendo che la colpa non è solo sua ma anche della QSA Company che l'ha certificato pur in presenza di una situazione non conforme, cosa che un buon QSA non dovrebbe fare né accidentalmente né tantomeno intenzionalmente. >>
Pubblicato da Cesare Gallotti alle 13:32:00 Nessun commento:
Etichette: Auditing, Novità legali, Sicurezza
Assicurazioni sui rischi informatici
Su LinkedIn (ringrazio soprattutto Dany Elie Aronovitch per avermi fornito il link e il commento giusto), ho visto che il Comune di Reggio Emilia si è dotato di una polizza assicurativa "Rischi informatici".
Il commento di Dany Elie Aronovitch: "Durante la prima gara, di ottobre 2017, la parte di cyber andò deserto (nessuna offerta presentata), poi i miracoli del gdpr hanno fatto il resto. Qui il link":
- https://www.comune.re.it/Sottositi/AvvisiPubblici-Profilocommittente.nsf/SottoSitoDocumentiFull/4543E29448D82B30C12581C20036C5FD?opendocument&FT=V&TAG=Esiti%20di%20gara.
Per il post completo su LinkedIn:
- https://www.linkedin.com/feed/update/urn:li:activity:6426006584371007488.
Questa non mi pare essere una polizza "per tutti", ma studiata per uno specifico bando.
Periodicamente ritorna il discorso "polizze assicurative". Finora ho visto solo cose che riducevano il tutto ai "normali" danni informatici. Ora ho avuto notizia di questa polizza (offerta dalla Compagnia Chubb European Group Limited) e un'altra offerta da Mansutti (in tutti e due i casi non ho però accesso al modello di contratto vero e proprio). Mi sembrano più rispondenti alle necessità di chi si occupa di sicurezza delle informazioni, però chiedo se altri hanno maggiori e migliori informazioni.
Pubblicato da Cesare Gallotti alle 20:01:00 Nessun commento:
Etichette: IT e PA, Sicurezza
Attacco ai fornitori di energia USA
Un attacco (informatico) ai fornitori di energia USA che ricorda quanto sia importante prestare attenzione ai fornitori. Infatti l'attacco è stato condotto inviando email con link a siti compromessi al personale dei piccoli subfornitori:
- https://www.bbc.co.uk/news/technology-44937787.
Dati automotive compromessi per un errore del fornitore
In questi giorni sto ricordando la necessità di non concentrarsi sui fornitori cloud, ma su tutti i fornitori (anche non informatici).
Come per magia, su SANS NewsBites questa notizia su un server mal configurato di un fornitore non cloud:
- https://www.infosecurity-magazine.com/news/robotics-supplier-error-leaks/.
Altra cosa interessante: si tratta di una violazione di dati... non personali.
Pubblicato da Cesare Gallotti alle 15:40:00 Nessun commento:
Correzione alla ISO/IEC 29100 (privacy framework)
La ISO/IEC 29100 è il "Privacy framework" della ISO e la versione in vigore è quella del 2011:
- https://www.iso.org/standard/45123.html.
Lo standard è gratuito e può essere reperito nel sito ufficiale:
A giugno 2018 è stato pubblicato un documento di correzione (Amd 1):
- https://www.iso.org/standard/73722.html.
Ho chiesto chiarimenti a chi ha seguito i lavori per questa correzione (ringrazio!) e mi ha segnalato i principali punti:
- eliminazione, modifica, inserimento di alcune definizioni anche a causa di presenza di riferimenti circolari;
- miglioramento di alcune espressioni utilizzate nel testo che possono comportare ambiguità anche in relazioni a traduzioni della norma tecnica in altre lingue.
Conclusione: nulla di critico e nulla per cui precipitarsi a comprare la correzione (eh già: il documento del 2011 è gratuito, ma la correzione costa 16 CHF!).
Nuova ISO/IEC 27005
Come preannunciato a novembre, è stata pubblicata la nuova ISO/IEC 27005:2018 dal titolo "Information security risk management":
- https://www.iso.org/standard/75281.html.
Rispetto alla precedente versione riporta solo alcune correzioni necessarie per l'allineamento ad altre norme. Nella sostanza non è cambiato nulla e pertanto ne sconsiglio l'acquisto a chi ha già la versione del 2011 (che a sua volta non riportava grandi modifiche rispetto alla versione del 2008).
Pubblicato da Cesare Gallotti alle 23:33:00 Nessun commento:
Etichette: Risk Assessment, Sicurezza, Standard
Algeria spegne Internet per evitare truffe agli esami
Da Crypto-Gram di luglio, segnalo questa notizia dal titolo "Algeria blocks internet to prevent students cheating during exams":
- https://www.theguardian.com/world/2018/jun/21/algeria-shuts-internet-prevent-cheating-school-exams.
E' certamente una notizia "di colore", ma ci ricorda che le soluzioni estreme vanno sempre considerate e non per forza evitate. Per esempio: bloccare tutte le porte USB dei PC e bloccare ogni forma di installazione di software, evitare ogni forma di BYOD (e quindi non mettere a disposizione neanche la webmail).
Ovviamente è da evitare anche l'eccesso di zelo. Ma non si può prendere una decisione bilanciata senza conoscere le possibili alternative e valutarle seriamente.
Pubblicato da Cesare Gallotti alle 16:33:00 Nessun commento:
Da Crypto-Gram di luglio: sono state pubblicate le specifiche del WPA3, il protocollo sicuro per le connessioni wi-fi che sostituirà l'attuale WPA2:
- https://www.wired.com/story/wpa3-wi-fi-security-passwords-easy-connect/.
I dispositivi saranno però disponibili tra qualche tempo.
Rapporto sulla manipolazione dei social
Da Crypto-Gram di luglio, ribatto la pubblicazione del rapporto "Deceived by design" della Norwegian Consumer Council:
- https://www.forbrukerradet.no/side/facebook-and-google-manipulate-users-into-sharing-personal-data/.
In pochissime parole: Facebook e Google cercano di rendere difficilmente accessibili le funzionalità per aumentare la propria privacy, sconsigliano costantemente gli utenti di disattivare alcune funzionalità e cercano costantemente di far loro attivarne altre.
Il discorso potrebbe estendersi ai dispositivi mobili e alle loro applicazioni (un incubo!).
Pubblicato da Cesare Gallotti alle 16:26:00 Nessun commento:
Etichette: Cultura digitale, Privacy

References: Sentenza 
 sentenza 
 sentenza 
 sentenza 
 articolo 42
 articolo 104
 Art. 29