Source: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/7400401
Timestamp: 2018-06-24 12:46:30+00:00
Document Index: 91735681

Matched Legal Cases: ['art. 25', 'art. 154', 'art. 13', 'art. 29', 'art. 13', 'art. 29', 'art. 157']

Provvedimento su data breach - 21 dicembre 2017 [7400401] - Garante Privacy
VEDI ANCHE Provvedimento del 16 maggio 2018
[doc. web n. 7400401]
VISTI gli articoli di stampa che nei primi giorni del mese di agosto 2017 riportavano la notizia di una intrusione informatica ai danni della "Piattaforma Rousseau" e del blog www.beppegrillo.it, con conseguente violazione dei dati personali di numerosi cittadini;
VISTE le segnalazioni pervenute con le quali alcune persone hanno rappresentato le proprie preoccupazioni in ordine al "data breach" subìto dalla piattaforma Rousseau e, più in generale, in ordine alla sicurezza dei principali siti web riferibili al "Movimento 5 stelle";
VISTI gli approfondimenti effettuati dall'Autorità sulla vicenda, attraverso richieste di informazioni e un accertamento ispettivo in loco presso il soggetto risultato responsabile del trattamento;
1. La violazione dei sistemi informatici.
1. https://www.movimento5stelle.it
2. https://rousseau.movimento5stelle.it
3. www.beppegrillo.it
a) la possibilità di rendere disponibili documenti relativi all'attività amministrativa svolta negli enti locali dai consiglieri eletti nel movimento;
b) la possibilità di inserire proposte da parte degli eletti nel parlamento nazionale, in quello europeo e nei consigli regionali, allo scopo di promuovere il confronto su bozze di proposte legislative da sottoporre poi alle rispettive assemblee, previo confronto con gli iscritti alla piattaforma;
c) la possibilità di svolgere operazioni di c.d. "voto elettronico" per la scelta dei candidati da inserire nelle liste elettorali o per dirimere posizioni all'interno del Movimento (sul punto si rinvia al par. 8).
a) il portale web del Movimento 5 Stelle e parte della piattaforma Rousseau sono stati realizzati avvalendosi di un prodotto software, il CMS Movable Type che, nella versione Enterprise 4.31-en, è risultata affetta da indiscutibile obsolescenza tecnica (il produttore individuava nel 31 dicembre 2013 la data di "fine vita" delle versioni 4.3x). Il blog www.beppegrillo.it utilizza invece una versione del CMS Movable Type ancora più risalente (versione 3.35), con la quale la registrazione delle password avveniva in chiaro. Le obsolescenze dei CMS (sistemi di gestione dei contenuti), oltre a esporre i dati personali trattati a rischi di accesso abusivo (rischi derivanti dalle vulnerabilità informatiche già note e segnalate dallo stesso produttore), ha condizionato l'efficacia di alcuni accorgimenti tecnici adottati successivamente dall'Associazione a seguito delle intrusioni informatiche; ad esempio il portale non realizzava policy efficaci sulla qualità delle password, ammettendo l'uso di password banali, facilmente esposte alla decifrazione e ad attacchi di tipo brute force anche in modalità interattiva online;
b) i vulnerability assessment commissionati dall'Associazione Rousseau hanno evidenziato una serie di criticità cui sarebbe stato possibile porre rimedio avvalendosi di una metodologia di sviluppo del software maggiormente strutturata, che avesse contemperato la tempestività realizzativa delle nuove funzionalità con una attenta valutazione e prevenzione dei rischi informatici. In proposito si osserva che il nuovo Regolamento generale riconosce come la protezione dei dati personali debba essere perseguita individuando misure a protezione dei dati sin dalla fase di progettazione dei sistemi informativi con cui si realizzano i trattamenti (c.d. approccio basato sulla "Data protection by design" - cfr. art. 25 Regolamento UE 2016/679 "Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita");
c) con riferimento al database Rousseau, il documento trasmesso all'Autorità recante "Estratto delle tabelle principali di Rousseau", ha permesso di valutare alcuni aspetti relativi alla riservatezza delle operazioni di voto elettronico svolte tramite la piattaforma; in particolare, l'esame delle predette tabelle ha mostrato come l'espressione del voto da parte degli iscritti, in occasione della scelta di candidati da includere nelle liste elettorali del Movimento o per orientare altre scelte di rilevanza politica, venga registrata in forma elettronica mantenendo uno stretto legame, per ciascun voto espresso, con i dati identificativi riferiti ai votanti; nello schema del database risulta infatti che ciascun voto espresso sia effettivamente associato a un numero telefonico corrispondente (come del resto confermato dal dottor Casaleggio in sede ispettiva, cfr. verbale 5 ottobre 2017) al rispettivo iscritto-votante. Tale riferimento sarebbe mantenuto nel database per asserite esigenze di sicurezza, comportando, tuttavia, la concreta possibilità di associare, in ogni momento successivo alla votazione, oltre che durante le operazioni di voto, i voti espressi ai rispettivi votanti. La possibilità di tracciare a ritroso il voto espresso dagli interessati non risulta neppure bilanciata, per esempio, da un robusto sistema di log degli accessi e delle operazioni svolte da persone dotate dei privilegi di amministratore della piattaforma che consenta, almeno, di condurre a posteriori azioni di auditing sulla liceità dei trattamenti attuati dal detentore dell'archivio elettronico.
B. Con riferimento al sistema di autenticazione informatica degli utenti, lo stesso dovrà essere modificato in modo che le password relative alle utenze degli iscritti ai siti on-line del Movimento siano di lunghezza non inferiore a otto caratteri e siano sottoposte a un controllo automatico di qualità che impedisca l'uso di password "deboli" costituite, ad esempio, da parole reperibili in dizionari o comunque facilmente individuabili. Contestualmente devono essere introdotte strette limitazioni al numero di tentativi di accesso online con password erronea, per impedire attacchi brute force interattivi.
D. Con riferimento al database delle utenze del sito del Movimento della piattaforma Rousseau, tenuto conto delle segnalazioni ricevute - che hanno trovato conferma anche nell'analisi del CMS Movable Type v4.31 il cui codice sorgente è risultato liberamente disponibile -, si ritiene necessario prescrivere che le modalità di conservazione delle password degli utenti siano rafforzate adoperando algoritmi crittografici robusti in luogo delle semplici routine di cifratura accessibili tramite le funzioni native del CMS medesimo.
E. Con riferimento alle misure di auditing per la verifica della liceità dei trattamenti compiuti dagli incaricati dotati di profili di autorizzazione ampi e speciali, allo scopo di fornire maggiori garanzie a tutela degli iscritti votanti, in accordo al principio di trasparenza che dovrebbe caratterizzare un sistema di e-voting, si ritiene necessario prescrivere l'adozione di misure che consentano l'auditing informatico mediante la tenuta delle registrazioni degli accessi e delle operazioni compiute (log) sul database del sistema Rousseau, attuando gli accorgimenti di cui al provvedimento generale del Garante del 27 novembre 2008 in tema di amministratori di sistema (doc. web 1577499).
F. Con specifico riferimento al sito www.beppegrillo.it - che risulta essere stato realizzato impiegando il CMS Movable Type nella versione 3, ormai assolutamente obsoleta e affetta da un'ampia serie di vulnerabilità cui sono state esposte nel tempo le applicazioni web con essa sviluppate - allo scopo di incrementare con urgenza il livello di protezione dei dati contenuti nel database di tale sito, si prescrive:
1. l'adozione del protocollo sicuro https;
2. l'adozione di tecniche crittografiche efficaci per la conservazione delle password;
3. l'avvio di un'opera di correzione delle vulnerabilità segnalate nei report dei vulnerability assessment;
4. l'avvio di un'operazione di validazione delle utenze volta a eliminare quelle non più utilizzate da lungo tempo e, pertanto, ragionevolmente, abbandonate.
• ai sensi dell'art. 154, comma 1, lett. a), b) e c) del Codice:
a) quale misura necessaria, l'indicazione, nell'informativa resa ai sensi dell'art. 13 del Codice, dei soggetti (o categorie di soggetti) ai quali i dati sono comunicati, nei termini di cui al par. 5.1, salvo che il titolare del trattamento provveda alla loro designazione quali responsabili del trattamento ai sensi dell'art. 29 del Codice;
c) quale misura opportuna, l'adozione degli accorgimenti di cui al paragrafo 8.2.
b) quale misura necessaria, l'indicazione, nell'informativa resa ai sensi dell'art. 13 del Codice, dei soggetti (o categorie di soggetti) ai quali i dati sono comunicati, nei termini di cui al par. 5.1, salvo che il titolare del trattamento provveda alla loro designazione quali responsabili del trattamento ai sensi dell'art. 29 del Codice;
• ai sensi dell'art. 157 del Codice, invita, altresì, i titolari del trattamento a comunicare quali iniziative siano state intraprese al fine di dare attuazione a quanto prescritto al punto 1) del presente dispositivo entro 60 giorni dalla data di ricezione del presente provvedimento e che le misure necessarie di cui ai punti 2), 3) e 4) siano adottate dai rispettivi titolari del trattamento entro 30 giorni dal ricevimento del presente provvedimento.