Source: http://blog.cesaregallotti.it/2018/07/
Timestamp: 2020-07-06 12:44:05+00:00
Document Index: 170916093

Matched Legal Cases: ['sentenza ', 'art-29', 'sentenza ', 'sentenza ', 'art-29', 'in fine']

IT Service Management News: luglio 2018
Linea Guida Applicativa sulla norma UNI ISO 37001:2016 per la prevenzione della corruzione
Segnalo questa pubblicazione dell'associazione Conforma dal titolo "Linea guida applicativa sulla nuova UNI ISO 37001:2016 per la prevenzione della corruzione":
http://www.associazioneconforma.eu/news/14-generali/158-convegno-conforma-la-nuova-norma-uni-iso-37001-2016-per-la-prevenzione-della-corruzione-5.html.
Non ho letto con attenzione questa linea guida, però mi sembra ben fatta.
Va detto che non conosco bene la ISO 37001 perché non ho mai avuto l'opportunità di applicarla, quindi evito di commentarla. Però penso sia materia da "tenere sotto controllo" da chi si occupa di sicurezza delle informazioni e privacy.
Privacy: sentenza Cassazione sulla necessità del consenso per newsletter
C'è ancora qualcuno che si propone di inviare "newsletter" a clienti e potenziali clienti senza il consenso esplicito, rifacendosi al concetto di "consenso soft" (previsto dal nostro Codice per i clienti già acquisiti da un'azienda) e ad un considerando del GDPR. Continuo a ricordare che questo non è previsto dal GDPR, come anche precisato dall'Opinione del WP Art. 29 di cui avevo già dato notizia a suo tempo (blog.cesaregallotti.it/2018/05/linee-guida-wp-art-29-su-consenso-e.html).
La sentenza n. 17278/2018 della Cassazione civile, anche se basata sul Codice privacy e ad un fatto avvenuto nel 2013 o 2014, propone un'ulteriore lettura. Infatti ritiene lecito "obbligare" alla ricezione di email pubblicitarie coloro che si iscrivono ad un servizio Internet "non essenziale" e "fungibile":
- http://www.dirittifondamentali.it/giurisprudenza/cassazione-civile-e-tribunali-di-merito/anno-2018/cass-civ-17278-2018/.
Nella conclusione, la sentenza condanna però l'azienda perché non aveva reso abbastanza esplicito il consenso (con "spunte" distinte e chiare e non con una frase generica come "acconsento al trattamento dei miei dati personali come da pagina web x") e, pedantemente, richiede che l'informativa indichi i settori merceologici o i servizi cui i messaggi pubblicitari saranno riferiti.
Per i più frettolosi è possibile leggere i soli punti 2.6 e 2.7.
Nuova ISO 19011:2018, guida per l'audit
Ho ricevuto da molti (incluso il SC 27 WG 1 e Monica Perego) la notizia che è stata pubblicata la nuova versione della ISO 19011 dal titolo "Guidelines for auditing management systems":
- https://www.iso.org/standard/70017.html.
Leggendo l'introduzione, le modifiche rispetto all'edizione del 2011 (la corrispondente edizione italiana era del 2012) sono:
- aggiunta, tra i principi dell'audit, dell'approccio basato sul rischio;
- espansione della guida sulla gestione del programma di audit, includendo i rischi relativi al programma di audit;
- espansione della guida sulla conduzione degli audit, in particolare in materia di pianificazione;
- espansione delle competenze generali degli auditor;
- aggiustamento della terminologia per riflettere il processo e non l'oggetto;
- eliminazione dell'appendice relativa alle competenze per le discipline specifiche (in quanto non più mantenibile, dato il numero delle discipline);
- espansione dell'ulteriore guida in appendice per trattare i nuovi concetti quali il contesto, leadership and commitment, audit virtuali, conformità e filiera di fornitura.
Mi permetto di fare una sola critica: tra i rischi relativi al programma di audit, a mio parere mancano quelli relativi ad un inadeguato campionamento.
Pubblicato da Cesare Gallotti alle 15:27:00 Nessun commento:
Articoli sul GDPR?
In questo mese ho segnalato pochi articoli sul GDPR, come peraltro avevo previsto.
Non era difficile fare la profezia: una volta passata la data del 25 maggio, era facile osservare che molti aspetti del GDPR erano già stati affrontati negli articoli che ho di volta in volta segnalato: le differenze rispetto al Codice, il ruolo dei responsabili, le basi legali e in particolare il legittimo interesse, i trasferimenti extra-UE, eccetera.
Questo mese mi sono stati segnalati alcuni articoli, tra cui uno di Pizzetti sul consenso (che riprende una cosa già segnalata a maggio: http://blog.cesaregallotti.it/2018/05/linee-guida-wp-art-29-su-consenso-e.html):
- https://www.agendadigitale.eu/sicurezza/gdpr-tutti-gli-equivoci-del-consenso-nei-contratti-ecco-una-guida/.
Un ulteriore articolo di Biasotti sulla "morte" dell'incaricato (roba nota e stranota e che tra l'altro non condivido, visto che continua a suggerire l'obsoleta, anche per il Codice privacy per chi lo avesse letto con un minimo di attenzione, "lettera di nomina"):
- https://www.puntosicuro.it/security-C-124/privacy-C-89/sapevate-che-l-incaricato-del-trattamento-morto-AR-18239/.
Per chi si sentisse ancora insicuro su cosa dice il GDPR, raccomando prima di tutto di leggerlo e poi di seguire le molte testate che nel tempo ho segnalato (in italiano ci sono ICT Security Magazine, Agenda Digitale, Punto Sicuro). Raccomando però prudenza quando il testo richiede di "nominare" i responsabili, fornire lettere alle persone autorizzate al trattamento (senza pensare al *vero* processo di autorizzazione, che non necessita di lettere), registrare il consenso per "maggiore tutela" o quando la base giuridica è altra, formulare una DPIA per ogni trattamento, nominare un DPO "a prescindere".
Raccomando inoltre di non impiegare troppo tempo nel leggere interpretazioni sempre più sofisticate o nel ricercare sempre "l'ultima notizia" (qui per esempio non segnalo il discorso annuale del Garante perché, alla fin fine, non dice niente di nuovo). Raccomando invece di studiare meglio i processi aziendali: quanto si è visto in questi mesi rileva la necessità di capire come funzionano i processi di acquisto e vendita e di contrattualizzazione (per soddisfare l'articolo 28), le "normali" comunicazioni aziendali (che non richiedono firme per ricevuta), la gestione delle autorizzazioni informatiche e non informatiche (che non dovrebbero prevedere letterine insulse da firmare).
Qui segnalerò solo gli interventi particolarmente interessanti e innovativi.
Pubblicato da Cesare Gallotti alle 21:32:00 Nessun commento:
Società di audit PCI citata in giudizio
La notizia è che la società di audit PCI Trustwave è stata citata in giudizio dalle società di assicurazione che hanno dovuto pagare i danni a seguito dell'intrusione nei sistemi della società Heartland.
La mia prima fonte è la newsletter SANS Newsbites:
- https://www.sans.org/newsletters/newsbites/xx/54.
Segnalo un articolo su Dark Reading:
- https://www.darkreading.com/application-security/insurers-sue-trustwave-for-$30m-over-08-heartland-data-breach/d/d-id/1332248.
Vedo però che la società è già stata oggetto di citazioni, per esempio nel 2014, come racconto questo articolo sempre di Dark Reading:
- https://www.darkreading.com/risk/compliance/target-pci-auditor-trustwave-sued-by-banks/d/d-id/1127936.
Purtroppo i due articoli non mi sembrano collegati, ma dovrebbero esserlo (per esempio, come è finita con le banche che hanno chiesto danni sempre alla società di audit?). In questo caso, mi mancano informazioni e la capacità di trovarle. Se qualcuno ne dovesse avere, lo pregherei di diffonderle. Anche perché, in qualità di auditor, sono preoccupato.
Slide del DFA Open Day 2018
Le slides del DFA Open Day 2018 sono state pubblicate sul sito all'indirizzo:
- impatti economici del phishing, malware e social engineering;
- l'apporto della digital forensics al contrasto alla vendita online di sostanze stupefacenti;
- Visione artificiale per riconoscere volti e oggetti nei social media;
- Ediscovery e Artificial Intelligence.
Pubblicato da Cesare Gallotti alle 02:36:00 Nessun commento:
Etichette: Forensics, Sicurezza
Ruoli, responsabilità e adempimenti utili e inutili
Un mio articolo su ICT Security Magazine:
https://www.ictsecuritymagazine.com/articoli/ruoli-responsabilita-e-adempimenti-utili-e-inutili/.
Non credo di averlo scritto in modo molto chiaro, ma spero che alla fine si capisca il fatto che bisogna evitare di creare ruoli inutili e di prendere esempio dal passato.
Pubblicato da Cesare Gallotti alle 00:52:00 Nessun commento: