Source: http://docplayer.it/889106-Data-breach-le-misure-richieste-dalla-normativa-italiana-e-l-ottica-cloud-csa-italy-gloria-marcoccio.html
Timestamp: 2018-07-21 12:13:21+00:00
Document Index: 134064885

Matched Legal Cases: ['arty 29', 'art. 4', 'art. 32', 'art. 132', 'art. 162', 'art 31']

Data Breach: Le misure richieste dalla normativa italiana e l ottica cloud. CSA Italy Gloria Marcoccio - PDF
Download "Data Breach: Le misure richieste dalla normativa italiana e l ottica cloud. CSA Italy Gloria Marcoccio"
1 Data Breach: Le misure richieste dalla normativa italiana e l ottica cloud CSA Italy Gloria Marcoccio
2 CSA Italy Associazione no-profit di diritto italiano (costituzione nel 2011) 100 soci regolarmente iscritti (+470 membri nel LinkedIn group CSA Italy Chapter) Affiliazioni/Convenzioni: Sponsor: Collaborazioni: 3 Aree di Ricerca: Traduzioni, Portabilita -Interoperabilita -Sicurezza Applicativa, Privacy & Legal in the Cloud
3 CSA Italy Gruppo di Lavoro Traduzioni Traduzione in italiano della Cloud Security Guidance Ver Traduzione in italiano del documento ENISA Cloud Computing Benefits Risks and Recommandations for Information Security Gruppo di Lavoro Portabilità, Interoperabilità e Sicurezza Applicativa Documento di ricerca Portabilità Interoperabilità Sicurezza Applicativa (pdf, e-book) Gruppo di Lavoro Privacy & Legal in the Cloud Studio Standard Contrattuali per il Cloud Computing (ITA-ENG) Risposta alla consultazione pubblica di cui alle Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali Consultazione pubblica 26 luglio (G.U. n agosto 2012)
4 CSA Italy Gruppo di Lavoro Traduzioni Cloud Security Guidance v.3 Esame CCSK V3 in Italiano Traduzione in inglese del Rapporto CLUSIT sulla sicurezza ICT in Italia 2013 Gruppo di Lavoro Portabilità, Interoperabilità e Sicurezza Applicativa SSDLC e SDLC in ambito Cloud Gruppo di Lavoro Privacy & Legal in the Cloud Data Forensics su Cloud in ambito aziendale: cosa aspettarsi Data Breach in the Cloud BYOD in the Cloud
5 Premessa Sistemi informativi e reti di comunicazioni sono fattori essenziali per qualunque sviluppo economico e sociale sia in contesti tradizionali sia in ambito on line nella Information & networked society La governance finalizzata alla disponibilità & sicurezza richiede un approccio sistematico e commensurato agli impatti sul business, con processi e soluzioni tecnologiche per Rilevare, valutare e comunicare gli incidenti in relazione alla sicurezza delle informazioni Gestire gli incidenti includendo l attivazione di misure appropriate per la loro prevenzione (misure ex ante) nonchè riduzione e recupero (misure ex post) a fronte degli impatti sul business Comprendere i punti di debolezza della propria governance, valutarli ed affrontarli in modo concreto Imparare dagli incidenti accaduti: aggiornare il proprio contesto di misure per la gestione della sicurezza delle informazioni
6 Incident mngt normative e std: principali enti di riferimento Istituzioni EU con potere di emanare norme di natura obbligatoria European Parliament European Council European Commission: Justice Fundamental Rights and Citizenship Digital Agenda Supporta/ propone U.S. National Institute of Standards and Technology NIST Working Party 29 EDPS Centri EU di competenza/cooperazione ENISA European Cybercrime Center International Organization for Standardization ISO
7 Normativa incident mngt a livello EU In vigore, nel contesto delle: - comunicazioni elettroniche accessibili al pubblico Direttiva 2009/136/CE (in Italia:D.Lgs 69/12) - infrastrutture critiche nei settori dell Energia e Trasporti 2008/114/EC (in Italia: D.Lgs 61/11) Proposta di nuova directive EU - NIS directive - 8 Febbraio 2013: Proposal for a Directive concerning measures to ensure a high common level of network and information security across the Union Proposta di nuova regulation EU - Nuova legislazione EU in materia di privacy & protezione dei dati personali in luogo della attuale direttiva 95/46/CE (si tratta di regolamentazione e non di direttiva, quindi si applicherà direttamente senza processo di transposizione da parte degli Stati Membri EU)
8 Normativa incident mngt a livello EU Pubblicata sulla Gazzetta Ufficiale Europea il 26 giugno 2013 Entra in vigore in tutti i paesi membri UE a partire dal 25 agosto 2013 Regulation EU no 611/2013 of 24 June 2013 On the measures applicable to the notification of personal data breaches under Directive 2002/58/EC of the European Parliament and of the Council on privacy and electronic communications Press Release European Commission- June, : Agenda digitale - nuove regole specifiche per i consumatori in caso di perdita o furto nell UE di dati personali nelle telecomunicazioni La Commissione europea introduce nuove regole su come esattamente gli operatori delle telecomunicazioni e i fornitori di servizi Internet (ISP) debbano comportarsi in caso di perdita, furto o compromissione in altro modo dei dati personali dei loro clienti. Il fine di tali misure tecniche di attuazione è garantire che, in caso di violazione di dati, tutti i clienti ricevano un trattamento equivalente in tutta l Unione europea e le imprese possano adottare un approccio paneuropeo a tale problema nel caso in cui operino in più di un paese https://ec.europa.eu/digital-agenda/en/eprivacy-directive-data-breach-notifications
9 Principali Standard e linee guida ENISA Data breach notifications in the EU - Jan 13, Good Practice Guide for Incident Management, ENISA Threat Landscape, 8 Gennaio Critical Cloud Computing - A CIIP perspective on cloud computing services - Version 1,0, Dicembre NIST SP Rev 2 Computer Security Incident Handling Guide, August ISO ISO/IEC 27035:2011 Information technology - Security techniques - Information security incident management Cloud Security Alliance Security Guidance for Critical Areas of Focus in Cloud Computing V3.0 https://downloads.cloudsecurityalliance.org/initiatives/guidance/csaguide.v3.0.pdf
10 Data Breach in Italia norme in vigore nel settore dei servizi delle comunicazioni elettroniche accessibili al pubblico su reti pubbliche di comunicazione: Violazione di dati personali (Data Breach): violazione della sicurezza che comporta anche accidentalmente la distruzione, la perdita, la modifica, la rivelazione non autorizzata o l'accesso ai dati personali trasmessi, memorizzati o comunque elaborati nel contesto della fornitura di un servizio di comunicazione accessibile al pubblico Prescrizioni in materia di violazione dei dati personali (Data Breach), conseguenti al recepimento in Italia della direttiva europea 2009/136/CE. Il recepimento è avvenuto tramite il D.Lgs 69/12 che ha modificato in modo significativo il D.Lgs 196/03 (Codice Privacy) relativamente al trattamento dei dati personali e tutela della vita privata
11 Data Breach in Italia norme in vigore Le principali modifiche di interesse al D.Lgs 196/03 (Codice Privacy) : Violazione di dati personali (art. 4, comma 3, punto g-bis - aggiunto ex novo: introdotta la definizione ) Obblighi relativi ai fornitori di servizi di comunicazione elettronica accessibili al pubblico (art articolo relativo alla sicurezza nei servizi, modificato in più punti in modo sostanziale) Adempimenti conseguenti ad una violazione di dati personali (art. 32-bis - aggiunto ex novo) Procedure istituite dai fornitori (art. 132-bis - aggiunto ex novo: sebbene non direttamente connesso alla data breach questa prescrizione si considera comunque rilevante ai fini dei rapporti contrattuali tra i soggetti coinvolti nei servizi qui di interesse) Sanzioni nei confronti di fornitori di servizi di comunicazione elettronica accessibili al pubblico (art. 162-ter - aggiunto ex novo) Falsità nelle dichiarazioni e notificazioni al Garante (art modificato)
12 Data Breach in Italia norme in vigore L Autorità Garante per la protezione dei dati personali ha quindi adottato Provvedimento in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali (c.d. data breach) è un apposito provvedimento generale per specificare gli adempimenti previsti in materia di Data Breach Nel 2012 CSA ITALY ha risposto alla consultazione pubblica di cui alle Linee guida in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali Consultazione pubblica 26 luglio (G.U. n agosto 2012). Le considerazioni esposte da CSA ITALY sulle Misure di Sicurezza hanno contribuito alla attuale formulazione del Provv. Data Breach
13 Data Breach in Italia norme in vigore FOCUS ON: I DESTINATARI Essenzialmente indirizzata ai Fornitori= fornitori di servizi di comunicazione elettronica accessibili al pubblico il Garante con il suo Provvedimento Data Breach precisa che non sono destinatari delle prescrizioni: i soggetti che offrono servizi di comunicazione elettronica a gruppi delimitati di persone, titolari e gestori di esercizi pubblici che si limitano a mettere a disposizione del pubblico/clienti/soci telefoni o similari mezzi di comunicazione, i gestori di siti internet che diffondono esclusivamente contenuti, i gestori di motori di ricerca sono invece ulteriori soggetti per le prescrizioni: i gestori di siti internet se offrono servizi di posta elettronica e limitatamente a questi servizi i servizi di mobile payment con addebito e conseguente decurtazione del costo dal credito telefonico, per i clienti dotati di una carta di traffico telefonico ricaricabile, e con addebito sul conto telefonico per quelli che hanno l abbonamento telefonico
14 Data Breach in Italia norme in vigore FOCUS ON: I DESTINATARI Considerando ora gli Affidatari (*) dei servizi dei Fornitori Il Garante con il suo Provvedimento Data Breach fornisce in sostanza due esempi di Affidatari: i fornitori di comunicazione elettronica tradizionali che erogano servizi ai MVNO i soggetti terzi ai quali il Fornitore affida in tutto o in parte la materiale erogazione del servizio stesso, che hanno le infrastrutture a ciò necessarie, ad esempio per ragioni di ottimizzazione dei costi. in ogni caso la realtà è come sempre più complessa: tenendo presente la definizione di Violazione di dati personali occorrerà individuare il soggetto Affidatario come quella terza parte che il Fornitore coinvolge nel contesto della fornitura di un servizio di comunicazione elettronica accessibile al pubblico, il quale, in ragione del servizio erogato, sia nelle concrete condizioni di poter rilevare la violazione in luogo del Fornitore. (*) Affidatario qui si intende il soggetto a cui il Fornitore di un servizio di comunicazione elettronica accessibile al pubblico affida l'erogazione del predetto servizio, in tutto o in parte.
15 Data Breach in Italia: adempimenti e misure in sintesi Misure di sicurezza in background (pre esistenti alle novità normative del 2012/2013 ma sempre in vigore): Minime di sicurezza art ed All. B D.Lgs 196/03 Come da Provv. del Garante sulla figura dell Amministratore di sistema Come da Provv del Garante sulla sicurezza dei dati di traffico, ove applicabile Individuate con specifica analisi dei rischi (art 31 e 32 D.Lgs 196/03) Misure da nuova normativa 2012/2013 riguardo la Data Breach Riaffermazione della esigenza di implementare una Politica per la sicurezza Rafforzamento importanza analisi dei rischi per individuare anche adeguate misure ex ante ex post rispetto ad una violazione dei dati personali Misure per l inintelligibillità dei dati (essenziale per minimizzare anche il rischio di effettuare comunicazioni ai contraenti/altre persone) Misure suggerite dal Garante rendere i dati trattati indisponibili al termine delle attività svolte su di essi Individuare misure specifiche per mitigare il rischio connesso alla portabilità dei dispostivi portatili Obblighi di comunicazione da Fornitore a Garante In determinati casi: obblighi di comunicazione da Fornitore ai Contraenti/altre persone Obblighi di comunicazione da Affidatario a Fornitore Inventario delle Data Breach assume importanza strategica anche ai fini delle Sanzioni
17 Data Breach
18 Data Breach in Italia - Sanzioni Il D.Lgs 69/12 ha : Introdotto nuove sanzioni (AMMINISTRATIVE): Art. 162-ter. Sanzioni nei confronti di fornitori di servizi di comunicazione elettronica accessibili al pubblico relative agli obblighi di: Comunicazione di violazione dati personali al Garante Privacy Comunicazione di violazione dati personali ai contraenti o altre persone Inventario delle violazioni dei dati personali Esteso l esistente (PENALE) Art Falsità nelle dichiarazioni e notificazioni al Garante In caso di falso in dichiarazioni /attestazione di notizie o circostanze / nella produzione di documenti in relazione a Comunicazione di violazione dati personali da Fornitore al Garante Comunicazione di violazione dati personali da soggetto affidatario di servizio verso il Fornitore
19 Data Breach in Italia - Sanzioni VIOLAZIONE Omessa comunicazione di violazione dati personali al Garante Omessa comunicazione di violazione dati personali al contraente o altre persone Violazione della disposizione concernente la tenuta di un aggiornato inventario delle violazioni dei dati personali SANZIONE Amministrativa fino a fino a per ciascuna persona nei cui confronti venga omessa o ritardata la comunicazione prevista; il tutto fino alla misura massima del 5% del volume d'affari realizzato dal fornitore di servizi fino a Le medesimesanzioni si applicano nei confronti dei soggetti a cui il fornitore di servizi di comunicazione elettronica accessibili al pubblico abbia affidato l'erogazione dei predetti servizi, qualora tali soggetti non abbiano comunicato senza indebito ritardo, al fornitore le informazioni necessarie ai fini degli adempimenti di cui all'articolo 32-bis.(Adempimenti per Data Breach)
20 Data Breach e Cloud Services Data Breach come problematica di Incident Response CSA Security Guidance for Critical Areas of Cloud Computing Version 3.0./ Domain 9 Incident Response https://cloudsecurityalliance.org/research/security-guidance/
21 Data Breach e Cloud Services responsabilità nell implementare misure SaaS PaaS IaaS Cliente del servizio Cloud Fornitore dei servizio Cloud SaaS: security controls and their scope are negotiated into the contracts for service: service levels, privacy, and compliance are all issues to be dealt in contracts PaaS: securing the platform itself falls onto the Provider, but securing the applications developed against the platform and developing them securely, is a task for the Customer IaaS: responsibility for securing the underlying infrastructure and abstraction layers belongs to the Provider, the remainder of the stack is the Customer s responsibility
22 Data Breach e Cloud Services punti di forza e punti di attenzione Tra i punti di forza: Continuous monitoring Rende più efficiente ed efficaci le azioni per individuare gli incidenti e nel gestire le reazioni (tempi, applicazione misure,..) Virtualization and elasticity Maggior capacità di contenimento problemi conseguenti e recovery actions (natura distribuita e ridondante) Riduzione di impatti negativi (es. downtime) per i clienti Maggior capacità di portare un ambiente virtualizzato in lab a fini investigativi
23 Data Breach e Cloud Services punti di forza e punti di attenzione Tra i punti di attenzione: La natura SelfService del servizio rende complesso individuare prontamente il problema (ruolo del cliente può fare la differenza) Il pooling di risorse tra più Clienti può moltiplicare gli impatti negativi di un problema comportare difficoltà per acquisire legittamente i dati necessari per le analisi e le investigazioni Criticità derivanti da multiple giurisdizioni e leggi applicabili Contratti/SLA intra Cloud Computing Providers: NOT Data Breach oriented
24 Data Breach: ricetta must have Una base solida di misure tecniche-organizzative-procedurali? Data Breach Response team (risorse e mezzi adeguati) Encryption, Encryption, Encryption, Encryption, Encryption, Encryption, Misure di Autenticazione Misure di Autorizzazione Adeguati contratti/sla
Cloud Security Alliance Italy Chapter. Studio Data Breach: panoramica degli aspetti normativi ed ottica Cloud. Ottobre 2013.
Cloud Security Alliance Italy Chapter Studio Data Breach: panoramica degli aspetti normativi ed ottica Cloud Ottobre 2013 Sponsor 2013, Cloud Security Alliance Italy Chapter. Tutti i diritti riservati.
Novembre 2014. Copyright 2011-2014 CSA Italy. www.cloudsecurityalliance.it
Cloud Security Alliance Italy 2014 Novembre 2014 Alberto Manfredi MSc,CISA,CRISC,GCFA,CISSP, CCSK, Lead Auditor 27001 Presidente CSA Italy Cloud Security Alliance Global, not-for-profit organisation Over
DATA BREACH E OBBLIGHI DI LEGGE: LE NUOVE REGOLE PER OPERATORI TELEFONICI E INTERNET PROVIDERS di Luca Giacopuzzi 1 Il decreto legislativo 28 maggio 2012 n.69 ha apportato significative modifiche al Codice