Articoli

Data breach Unicredit, il Garante infligge una sanzione pecuniaria da 600 mila euro

 

Il Data Breach Unicredit: quali criticità?

Con il recente Provvedimento del 10 giugno 2020, il Garante ha ingiunto all’istituto bancario Unicredit S.p.A. di pagare la somma di 600 mila euro a titolo di sanzione amministrativa pecuniaria per le violazioni verificatesi nel corso del biennio 2016 – 2017.

La società bancaria, in data 25 luglio 2017, aveva comunicato al Garante di aver subito un’intrusione informatica, verificatasi in due momenti distinti in un arco temporale compreso tra aprile 2016 e luglio 2017: tali attacchi, in particolare, sono stati perpetrati attraverso le utenze di alcuni dipendenti di un partner commerciale esterno (la società Penta Finanziamenti Italia S.r.l.); adoperando l’applicativo “Speedy Arena”, hanno così determinato accessi non autorizzati a dati personali riferiti a circa 762.000 interessati.

Nel complesso, all’esito delle risultanze istruttorie compiute dall’Autorità, è risultato che i dati oggetto della violazione consistevano in:

  • Dati anagrafici e di contatto;
  • Professione;
  • Livello di studio;
  • Estremi identificativi di un documento di riconoscimento e informazioni relativi a datore di lavoro;
  • Salario;
  • Importo del prestito, stato del pagamento, “approssimazione della classificazione creditizia del cliente” e codice Iban.

Alla luce di tali evidenze, il Garante ha adottato, in data 28 marzo 2019, il provvedimento n. 87 n. 9104006, con il quale ha dichiarato illecito il trattamento dei dati personali posto in essere da Unicredit, in qualità di titolare del trattamento, perché effettuato in violazione:

  • Delle misure minime di sicurezza previste dagli artt. 33 e ss. del Codice e dal disciplinare tecnico di cui all’Allegato B) al Codice stesso. Con particolare riferimento alle misure minime di sicurezza, l’Autorità ha constatato l’utilizzo di un non idoneo sistema di autorizzazione dell’applicativo Speedy Arena e l’assenza del “limite di accesso” dei profili di autorizzazione ai soli dati necessari per effettuare le operazioni di trattamento
  • Delle misure prescritte con il provvedimento 192 del 12 maggio 2011, recante “Prescrizioni in materia di circolazione delle informazioni in ambito bancario e di tracciamento delle operazioni bancarie”. In tal caso, l’Autorità ha verificato l’inadeguatezza e la non corretta conservazione dei log di tracciamento delle operazioni svolte sull’applicativo Speedy Arena, alla mancata implementazione di alert per le operazioni svolte attraverso il citato applicativo e alla mancata esecuzione di attività di audit interni di controllo;

 

In sintesi, sfruttando alcune debolezze della sicurezza dell’applicativo, la Società ha subito l’intrusione di soggetti ignoti attraverso le credenziali assegnate al personale Penta: questi hanno avuto accesso ai dati personali presenti in pratiche di finanziamento che non rientravano nell’ambito del mandato di Penta, determinando in questo modo il data breach oggetto della comunicazione del 25 luglio 2017.

 

 

Come assicurare la collaborazione tra le varie figure professionali? Hedya propone un percorso formativo innovativo sulle “Nuove Professioni Digitali”

 

Le posizioni del Garante evidenziano la necessità, per aziende, società e Pubbliche Amministrazioni, di percorsi formativi:

  • integrati, che coinvolgano le varie figure professionali;
  • mirati ad assicurare la sicurezza del trattamento;
  • aggiornati su tutte le principali questioni connesse al GDPR.

 

Per tali ragioni, Hedya propone il percorso formativo innovativo “Le Nuove Professioni Digitali”. Se il Codice dell’Amministrazione Digitale (D.Lgs. 82/2005 o semplicemente CAD) e la normativa collegata (Linee Guida AgID) ci presentano il Responsabile Transizione al Digitale e Responsabile della Conservazione Documentale, il Regolamento Europeo 2016/679 (GDPR) schiera in campo il Responsabile per la protezione dei dati personali e l’Amministratore di sistema.  Si tratta di nuove figure professionali, la cui formazione deve necessariamente essere di natura trasversale, che convivono della nuova P.A. Digitale e che ne guidano il cambiamento.

 

Hedya propone inoltre un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

  1. Formazione e consulenza in materia di Digitalizzazione

Hedya supporta le Pubbliche Amministrazioni anche attraverso servizi di consulenza mirati, in materia di digitalizzazione, sui temi più critici connessi agli obblighi e agli adempimenti prescritti dalla legge.

Per tali ragioni, Hedya propone il percorso formativo “IL RESPONSABILE PER LA TRANSIZIONE AL DIGITALE” per il corretto svolgimento dei compiti del Responsabile per la Transizione al Digitale, considerato il driver della transizione al Digitale.

Il percorso è rivolto:

  • a tutti coloro che all’interno delle Pubbliche Amministrazioni sono coinvolti, a vario titolo, nei processi di trasformazione alla modalità digitale;
  • a tutti coloro che sono stati nominati e che svolgono attualmente il ruolo di Responsabile per la Transizione al Digitale.

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

/da

Il Garante privacy presenta la relazione 2019: ancora troppe vulnerabilità informatiche

GDPR e tutela degli interessati: quali regole per garantire la protezione dati?

Lo scorso 23 giugno, l’Autorità Garante per la protezione dei dati personali ha presentato la Relazione annuale sull’attività svolta nel corso del 2019.

Nel complesso, le attività consultive e di vigilanza dell’Autorità di controllo si sono incentrate innanzitutto sulle importanti novità introdotte dal GDPR. Al contempo, sono state esaminate le più rilevanti questioni connesse alla tutela dei diritti fondamentali nel mondo digitale, quali ad esempio:

  • Le implicazioni etiche della tecnologia;
  • L’economia fondata sui dati e la monetizzazione delle informazioni personali, i Big data e le grandi piattaforme;
  • L’intelligenza artificiale e le problematiche poste dagli algoritmi;
  • La sicurezza dei sistemi e la protezione dello spazio cibernetico;
  • La pervasività delle diverse forme di controllo e sorveglianza, nonché il ricorso sempre più diffuso ai dati biometrici;
  • Le fake news, l’Internet delle cose e il revenge porn.

 

Tra i molteplici temi trattati, l’Autorità ha rilevato forti ed elevate criticità sul fronte della cybersecurity: in particolare, la proliferazione di attacchi informatici nel corso del 2019 sarebbe causata dalla scarsa attenzione in ordine alla predisposizione delle più opportune misure di sicurezza. Tale carenza risulta presente non solo nel contesto delle pubbliche amministrazioni, ma anche delle imprese e delle piattaforme on line.

Le tipologie di violazione dei dati personali più frequenti hanno riguardato:

  • Attacchi informatici volti all’acquisizione di dati personali (quali credenziali di accesso, dati relativi a strumenti di pagamento, dati di contatto);
  • Accesso non autorizzato a caselle di posta elettronica (ordinaria e certificata);
  • Perdita o indisponibilità di dati personali causata da malware di tipo ransomware;
  • Smarrimento o furto di dispositivi digitali o documenti cartacei contenenti dati personali;
  • Comunicazione o diffusione accidentale di dati personali.

 

L’eccessiva vulnerabilità dei sistemi pubblici e privati sarebbe confermata dal cospicuo numero di data breach notificati nel 2019 al Garante da parte di soggetti pubblici e privati, che ammontano a ben 1443.

Per tali ragioni, il Garante ha fornito indicazioni su come difendersi dai software dannosi, in particolare dai ransomware, i programmi informatici che rendono il dispositivo elettronico (pc, tablet, smartphone, smart tv per poi chiedere un riscatto ostaggio dell’hacker, che richiede poi alla vittima una ricompensa in denaro considerevole per ripristinare i dati e i documenti.

Secondo il Garante, l’attenzione riposta sulla sicurezza dovrebbe essere massima, dal momento che costituisce una minaccia particolarmente pericolosa nell’epoca del Covid-19, che ha portato molte più persone e per molto più tempo ad essere connesse online.

 

La necessità di formazione in materia di GDPR e professioni digitali: Hedya propone i percorsi formativi innovativi

La recente posizione adottata dall’Autorità di controllo per la protezione dati dimostra che per poter operare correttamente sul web e nei luoghi di lavoro, occorre una buona conoscenza dei principi e delle novità introdotte dal GDPR.

Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

/da

Domicili Digitali, Agid lancia una consultazione sulle nuove Linee Guida

Domicili digitali: quali regole per garantire la PA Digitale?

La grave emergenza sanitaria ha accelerato processo di digitalizzazione della Pubblica Amministrazione e dei servizi digitali erogati, richiedendo il ricorso soluzioni e strumenti capaci di assicurare il processo di trasformazione digitale.

Nel corso degli ultimi mesi, pertanto, le Pubbliche Amministrazioni hanno cercato di dare attuazione alle prescrizioni ed indirizzi contenuti nel Codice dell’Amministrazione Digitale (CAD). Il Codice, all’articolo 6 – quater, prevede la predisposizione dell’indice dei domicili digitali delle persone fisiche e degli altri enti di diritto privato non tenuti all’iscrizione in albi professionali o nel registro delle imprese (INAD).

Per implementare correttamente tale Indice, l’Agid ha realizzato le Linee guida dell’indice dei domicili digitali delle persone fisiche e degli altri enti di diritto privato non tenuti all’iscrizione in albi professionali o nel registro delle imprese (INAD), proposte in consultazione dall’8 giugno al 10 luglio.

In armonia con quanto disposto dall’articolo 60 del CAD, e coerentemente con il Piano Triennale, l’AgID ha inserito l’INAD nelle Basi dati di interesse nazionale: per tali ragioni (come ribadito nel  punto 2.8 delle Linee guida in consultazione), ne garantisce il pieno utilizzo secondo standard e criteri di sicurezza e di gestione adeguati.

Il sistema INAD, anche attraverso il punto di accesso telematico attivato presso la Presidenza del Consiglio dei ministri di cui all’articolo 64-bis, comma 1, del CAD, rende disponibili:

  • Il domicilio digitale dei soggetti che lo hanno eletto;
  • Le funzioni necessarie per la gestione del proprio domicilio digitale;
  • Le istruzioni per accedere all’assistenza.

 

Le Linee guida individuano come destinatari principali di questa consultazione:

  • Le pubbliche amministrazioni;
  • I cittadini e gli altri enti di diritto privato non tenuti all’iscrizione in albi professionali o nel registro delle imprese;
  • I professionisti iscritti in albi professionali.

 

Tale documento definisce:

 

  • le informazioni relative all’elezione, modifica, cancellazione del domicilio digitale che i soggetti preposti potranno inserire all’interno dell’INAD, così come previsto dal CAD (art. 6-quater);

 

  • la storicizzazione dei suddetti contenuti e la loro gestione.

 

La necessità di formazione in materia di GDPR e professioni digitali: Hedya propone i percorsi formativi innovativi

Le recenti Linee guida Agid in consultazione dimostrano che per poter operare correttamente sul web e nei luoghi di lavoro, occorre una buona conoscenza dei principi e delle novità introdotte dal GDPR.

Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

/da

Diritti degli interessati, illegittimo cancellare i dati per impedire riscontri

GDPR e tutela degli interessati: quali regole per garantire l’esercizio dei diritti?

Con una recente pronuncia del 15 maggio, l’Autorità di controllo danese ha fornito ulteriori dettagli applicativi sulla gestione delle richieste avanzate dai soggetti interessati.

I diritti degli interessati costituiscono il nucleo della protezione dati. Il GDPR, infatti, rispetto alla previgente disciplina contenuta nella Direttiva europea 1995/46/Ce, investe l’interessato di più ampie facoltà, affinché lo stesso possa effettivamente esercitare forme più incisive di controllo sul trattamento dei propri dati personali.

Per tali ragioni, gli articoli 13 e 14 GDPR prevedono l’obbligo, gravante sul titolare del trattamento, di informare l’interessato della possibilità di esercitare i diritti di cui agli articoli 15 -22 (in particolare, diritto di accesso, di cancellazione, di limitazione del trattamento, diritto alla portabilità dei dati), nonché di proporre reclamo dinanzi all’autorità di controllo.

L’Autorità danese, in particolare, si è pronunciata sul delicato tema dell’esercizio dei diritti dell’interessato nei confronti del trattamento dati svolto da società di recruiting. In particolare, a seguito di un’istanza di esercizio dei diritti ai sensi dell’articolo 15 GDPR, un soggetto aveva avanzato richiesta di accesso ai propri dati personali.

La società di recruiting JobTeam, piuttosto che fornire le informazioni richieste dall’interessato, aveva invece provveduto a cancellare aprioristicamente le informazioni dai propri archivi, rendendo così impossibile l’esercizio di ogni diritto riconosciuto dal Regolamento.

A seguito di reclamo proposto all’Autorità di controllo, questa ha censurato la condotta della società di recruiting: l’Autorità danese, in particolare, ha ravvisato la violazione dei principi contenuti all’articolo 5 GDPR: come è noto, tale disposizione richiede che i dati personali debbano essere sempre trattati in modo lecito, corretto e trasparente. La decisione di cancellare i propri dati dai propri archivi, piuttosto che soddisfare la richiesta dell’interessato, integra un comportamento contrario ai requisiti previsti dall’art.5 del Gdpr; peraltro, l’Autorità di controllo danese ritiene che tale strategia comportamentale impedisse altresì ogni forma di controllo e verifica tanto da parte dell’autorità di controllo, quanto dell’autorità giudiziaria.

Pertanto, alla luce del quadro normativo danese in tema di data protection, la pratica è stata trasferita alle competenti autorità di polizia danesi, che dovranno valutare la sussistenza di condotte penalmente rilevanti, oltre alla possibilità di convalidare la sanzione pecuniaria sulla base della proposta dell’autorità.

 

La necessità di formazione in materia di GDPR e professioni digitali: Hedya propone i percorsi formativi innovativi

La recente posizione adottata dall’Autorità di controllo danese per la protezione dati dimostra che per poter operare correttamente sul web e nei luoghi di lavoro, occorre una buona conoscenza dei principi e delle novità introdotte dal GDPR.

Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

/da

Il settore aereo non è “Immune” al rischio cyber: Easyjet, a rischio più di 9 milioni di passeggeri

Settore aereo a rischio Data breach: quali criticità?

 

A seguito del recente attacco hacker subito dalla compagnia aerea Easyjet, il settore aereo si conferma non esente dagli attacchi cyber. Sin dal 2018, infatti, l’aviazione londinese è stata oggetto di attacchi informatici attraverso la diffusione del cryptolocker WannaCry, che aveva paralizzato l’aviazione e il corretto servizio della British Airways.

L’episodio risultò particolarmente eclatante, in quanto rappresentava un incidente di sicurezza causato da un’errata percezione umana della soglia del rischio cyber, che si è tradotta nella mancata predisposizione di misure tecniche ed organizzative idonee ad assicurare adeguati standard di sicurezza.

Il caso British Airways ha dimostrato che il sistema IT costituisce un tassello fondamentale nella strategia organizzativa aziendale, che non può pertanto essere marginalizzato. Adeguare i propri sistemi IT implica dotarsi di architetture applicative aggiornate ed efficaci, al fine di evitare compromissioni della sicurezza.

L’importanza della sicurezza IT è confermata dal recente attacco che ha interessato la compagnia aerea Easyjet: lo scorso gennaio, in particolare, sono stati sottratti i contatti mail e altre informazioni di viaggio di 9 milioni di passeggeri; oltre a questi dati, l’indagine ha anche rilevato che sono stati consultati i dati della carta di credito di 2.208 clienti.

Come specificato in un Comunicato pubblicato sul sito web della compagnia, la società ha informato il Centro Nazionale della Sicurezza Informatica del Regno Unito, nonché l’Ufficio del Commissario per l’informazione (ICO) del Regno Unito.

La compagnia ha infine assicurato pubblicamente di aver già preso i provvedimenti adeguate per contattare tutti questi clienti ed è stata offerta assistenza. Non vi sarebbero prove che le informazioni personali di qualsiasi natura, compresi i dati della carta di credito siano state utilizzate in modo improprio.

 

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

/da

Sperimentazione Immuni, per il Garante è essenziale garantire la trasparenza e la correttezza del trattamento

App Immuni al vaglio del Garante: quali requisiti?

 

Con il parere del 1 giugno 2020, il Garante per la protezione dei dati personali ha emanato un provvedimento di autorizzazione al trattamento dei dati personali effettuato attraverso il Sistema di allerta Covid-19 – App Immuni, sulla scorta della valutazione d’impatto trasmessa dal Ministero della salute con la nota del 28 maggio 2020.

Il Ministero della salute, infatti, aveva effettuato la valutazione d’impatto prevista dall’articolo 35 GDPR, trasmettendola al Garante, ai sensi dell’art. 36, paragrafo 5, del GDPR e dell’art. 2-quinquiesdecies del Codice privacy, per essere autorizzato ad avviare il trattamento di dati personali relativo al “Sistema di allerta Covid-19”, istituito dall’art. 6 del decreto legge 30 aprile 2020, n. 28. Nella valutazione d’impatto il Ministero della salute ha rappresentato l’esigenza, condivisa con le Regioni, di una preliminare fase di sperimentazione del processo di contact tracing digitale in un numero limitato di Regioni o Province autonome.

Il parere del Garante, come esaminato nei precedenti post, costituisce l’ultimo tassello del più ampio iter di implementazione del software di contact tracing, inaugurato con l’ordinanza n. 10/2020 del 16 aprile 2020: a seguito di stipula di un appalto di servizio gratuito con la società Bending Spoons S.p.a., infatti, si è gradualmente proceduto alla realizzazione dell’App “Immuni”, finalizzata alla tracciatura dei contatti per la prevenzione e contenimento della diffusione del contagio da Covid-19.

In seguito, la Presidenza del Consiglio dei Ministri ha richiesto un primo parere del Garante per la protezione dei dati personali sulla proposta normativa per il tracciamento dei contatti fra soggetti, attuata mediante apposita applicazione su dispositivi di telefonia mobile.

Sin dal primo parere, il Garante ha ribadito che l’impiego dell’App da parte di un’autorità pubblica non elide il rispetto degli standard previsti dal GDPR in tema di protezione dei dati personali e di sicurezza del trattamento.

Come chiarito anche dal Comitato dei Garanti (EDPB) con le recenti Guidelines 3/2020, anche il trattamento di dati relativi alla salute attraverso app deve essere conforme al GDPR. In particolare, devono essere garantiti:

  • La sussistenza di una base giuridica legittimante le operazioni di trattamento;
  • La trasparenza e la correttezza del trattamento, anche attraverso la predisposizione dell’informativa ai sensi degli artt. 13 – 14 GDPR;
  • La predisposizione di misure che garantiscano la sicurezza del trattamento;
  • L’esercizio dei diritti degli interessati di cui agli artt. 15-22 GDPR.

 

Da ultimo, con il parere del 1 giugno il Garante ha tenuto conto della complessità del sistema di allerta e del numero dei soggetti potenzialmente coinvolti. Tali circostanze richiedono, secondo l’Autorità, l’adozione di una serie di misure volte a rafforzare la sicurezza dei dati delle persone che scaricheranno la app, che potranno essere adottate sin dalle prime sperimentazioni regionali.

In particolare, l’Autorità ha chiesto che gli utenti:

  • Siano informati adeguatamente in ordine al funzionamento dell’algoritmo di calcolo utilizzato per la valutazione del rischio di esposizione al contagio;
  • Siano portati a conoscenza del fatto che il sistema potrebbe generare notifiche di esposizione che non sempre riflettono un’effettiva condizione di rischio.
  • Abbiano sempre la possibilità di disattivare temporaneamente l’app attraverso una funzione facilmente accessibile nella schermata principale.

 

I dati raccolti attraverso il sistema di allerta, infine, non potranno essere trattati per finalità non previste dalla norma che istituisce l’app.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da

Indennità Covid-19 nel mirino hacker: clonato il portale INPS

L’Inps nel mirino malware: quali condotte adottate dagli hacker?

Come abbiamo esaminato nei precedenti post, nel corso degli ultimi mesi si sono verificati numerosi attacchi malevoli, che hanno sfruttato il timore del contagio e lo stato di necessità economica della popolazione.

Da ultimo, infatti, il portale dell’Inps è stato oggetto di un importante data breach, classificato dal Garante per la protezione dei dati personali come un episodio a rischio “elevato” per i diritti e le libertà dei soggetti coinvolti.

La popolarità e la centralità che l’Inps ha assunto nel corso degli ultimi due mesi, in ragione delle massicce richieste di sussidi economici, hanno costituito gli indispensabili presupposti per il lancio di una nuova campagna malevola. Al fine di indurre i contribuenti in inganno, è stato predisposto un portale che richiamava graficamente ed intuitivamente il sito dell’Istituto di previdenza; l’unica più spiccata differenza con il sito ufficiale consiste nel dominio della pagina fake, creato in data 25 maggio 2020 e registrato come “inps-it[.]top”.

In particolare, sfruttando la richiesta di indennità Covid-19, gli hacker hanno esposto una pagina clone del sito INPS sul dominio fake, proponendo in download una sedicente “domanda per la nuova indennità COVID-19”: il file, in realtà, restituisce un file APK malevolo per utenti Android (con Build$VERSION.SDK_INT < 26). Il malware così veicolato è dunque destinato esclusivamente agli utenti Android.

Dalla prima analisi svolta da Cert-AgID, si è verificato che il download della domanda determina l’installazione sul dispositivo del file “acrobatreader.apk”, contenente un malware di tipo Trojan–Banker. Come esaminato nei precedenti post, una volta installati, i Banking Troyan possono osservare e tracciare le azioni compiute dall’utente: in tal caso, il malware propone le istruzioni per abilitare il servizio di accessibilità, al fine di sfruttare le legittime funzioni di tale servizio e quindi consentire al malware un accesso più ampio alle API di sistema per dialogare con altre app presenti sul dispositivo, al fine di carpire password ovvero informazioni bancarie e della carta di credito.

L’attività fraudolenta così realizzata si aggiunge alla nota campagna di phishing dello scorso aprile, causata ai danni degli utenti Inps.

Le minacce informatiche costituiscono una costante sfida nel trattamento dati. Esse richiedono, in capo al Titolare del trattamento, il rispetto dei principi e delle regole imposte dal GDPR, in particolare:

  • La sicurezza del trattamento, come previsto dall’art. 32 GDPR;
  • L’implementazione di misure che garantiscano la privacy by default e by design;
  • Il rispetto dei diritti dell’interessato;

 

Si ricorda, inoltre, che il primo fattore di vulnerabilità dei sistemi – ivi compreso quello relativo alla data protection – è costituito dall’errore umano, causato da un’errata valutazione o da una scarsa percezione del problema e delle criticità conseguibili.

Tra questi, rientra anche il download di installer che, fraudolentemente, si spacciano per applicazioni molto conosciute: questi, in realtà, contengono varie minacce, come quelle adware “advertising supported software” (software sovvenzionato da pubblicità).  Si tratta software che adoperano metodologie subdole, che possono determinare il trasferimento su un altro programma, al fine di provocarne con l’inganno l’installazione su PC, tablet o dispositivo mobile.

 

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya presenta gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

 

/da

Navigare in sicurezza: la Polizia Postale fornisce una breve guida

Garantire la sicurezza: indicazioni dalla Polizia Postale

Il tema della sicurezza costituisce un tassello fondamentale nello sviluppo dello smart working e per la corretta realizzazione dell’Amministrazione Digitale.

Nel corso degli ultimi due mesi, infatti, si sono susseguite molteplici misure per garantire la continuità della prestazione lavorativa (il D.P.C.M. del 26 aprile 2020 ha definito il lavoro agile come modalità ordinaria di svolgimento della prestazione lavorativa nelle pubbliche amministrazioni fino alla cessazione dello stato di emergenza epidemiologica) e infondere maggiore consapevolezza nell’uso dei dispositivi personali.

Come evidenziato nei precedenti post, per supportare la transizione al digitale nella PA, il Ministro per la pubblica amministrazione ha adottato la direttiva n. 3/2020, mentre l’AgID ha enucleato una serie di Raccomandazioni sulla base delle misure minime di sicurezza informatica per le pubbliche amministrazioni fissate dalla circolare  17 marzo 2017, n. 1/2017.

Di recente, inoltre, anche la Polizia Postale ha pubblicato una guida esemplificativa per l’utilizzo più consapevole della rete. La Polizia Postale ha rilevato che il principale veicolo di diffusione dei virus é la posta elettronica, a causa dei fuorvianti e pericolosi link o file allegati ai messaggi di posta elettronica.
Nella Guida si chiarisce, infatti, che un virus può trasmettersi unicamente tramite file eseguibili (programmi con estensione exe,com,drv e dll) o contenenti una parte di codice che viene eseguita.(Es. documenti in formato word che contengono macro).

In particolare, sono state fornite alcune utili indicazioni per prevenire attacchi indesiderati:

  • Utilizzare i firewall;
  • Utilizzare un software di tipo antivirus e aggiornarlo regolarmente;
  • Non aprire gli allegati ai messaggi di posta elettronica se non dopo averli esaminati con un antivirus;
  • Non eseguire programmi prima di averli analizzati con un antivirus;
  • Effettuare copie di backup;
  • Non fornire nelle chat i propri dati personali;
  • Sceglier una password sicura e non comuicarla a nessuno;
  • Ultilizzare, per le comunicazioni riservate, software di cifratura.

 

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya presenta gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

 

/da

Nuove Linee Guida AgID sul Procurement ICT: la sicurezza ICT passa per la formazione

Sicurezza nel Procurement ICT: quali regole?

Il tema della sicurezza costituisce un tassello imprescindibile per la corretta realizzazione dell’Amministrazione Digitale: la sicurezza informatica rappresenta un elemento necessario per garantire la disponibilità, l’integrità e la riservatezza delle informazioni del Sistema informativo della Pubblica amministrazione; più in generale, occorre realizzare un sistema amministrativo capace di ispirare fiducia nei cittadini, presupposto per la diffusione dei servizi digitali.

Per tali ragioni, l’AgID ha emanato lo scorso 20 maggio le Linee Guida sulla sicurezza nel Procurement ICT, che erano in consultazione dal 14 maggio al 13 giugno 2019, assieme alle “Linee guida per lo sviluppo e la definizione del modello nazionale di riferimento per i CERT regionali”.

Si tratta di un documento orientativo, destinato in misura prevalente a tutti coloro che all’interno delle pubbliche amministrazioni si occupano a vario titolo di acquisizione di strumenti informatici, come ad esempio dirigenti, funzionari, RUP delle gare pubbliche, responsabili della transizione al digitale, responsabili dell’organizzazione, pianificazione e sicurezza. Purtuttavia, le Linee Guida hanno un respiro molto ampio, offrendo altresì indicazioni utili per gli operatori di mercato che forniscono soluzioni Ict alle Pubbliche Amministrazioni.

Le Linee Guida propongono una serie di azioni per strutturare e formalizzare i futuri procedimenti di acquisizione: l’intento consiste nel minimizzare il rischio di trovarsi in situazioni inaspettate ed inattese, dovendo ricorrere a soluzioni estemporanee e, spesso, non adeguate ad eliminare il problema.

In particolare, il documento ha la finalità di:

  • illustrare in modo semplice la problematica della sicurezza nel procurement ICT;
  • formalizzare definizioni e concetti legati alla sicurezza nel procurement ICT, rendendoli coerenti con la norma e con il contesto della pubblica amministrazione;
  • presentare buone prassi, soluzioni già in uso, misure semplici da adottare (strumenti operativi, esempi pratici, riferimenti puntuali), per verificare il livello di sicurezza degli attuali processi di acquisizione ed eventualmente per migliorarne la qualità.

Dal punto di vista organizzativo, le Linee Guida richiamano la necessità di continua formazione e coordinamento tra le figure maggiormente coinvolte in tali processi, in particolare conseguendo competenze aggiornate di Procurement Management, Gestione Progetti, Asset Management, Change Management, Risk Management, Sicurezza e Protezione dei Dati.

Al contempo, l’AgID ritiene che la promozione della sicurezza costituisca un fattore essenziale: infatti, è essenziale che le amministrazioni mantengano al loro interno un adeguato livello di consapevolezza sulla tematica della sicurezza nel procurement ICT, anche attraverso l’inserimento di sessioni formative nella normale attività di formazione verso i dipendenti (ad esempio, nel calendario della formazione obbligatoria sulla sicurezza dei luoghi di lavoro e sulla privacy).

 

 

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya presenta gli innovativi percorsi di formazione:

I percorsi formativi sono rivolti al personale di enti pubblici e privati, a tutti i datori di lavoro e liberi professionisti interessati alla materia.

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

 

/da

Consenso e Cookie wall, le nuove Linee Guida del Comitato europeo ne chiariscono il rapporto

Le Linee Guida su cookie e consenso: cosa cambia?

Con le nuove Linee Guida n. 5/2020, adottate lo scorso 4 maggio, il Comitato europeo per la protezione dei dati personali ha fornito ulteriori precisazioni sull’impiego dei Cookie. Come già illustrato in precedenti approfondimenti, i cookie sono informazioni immesse sul browser ogniqualvolta si compia un’operazione in rete. Dal punto di vista informativo, ogni cookie può contenere diversi dati, imponendo in tal caso il rispetto dei principi sulla protezione dati.

L’entrata in vigore del GDPR ha imposto dei limiti all’utilizzo dei cookie, per garantire la validità del consenso: come risulta dall’art. 7 comma 1 del GDPR e del Considerando 32, il consenso dovrà essere espresso mediante un atto positivo con cui l’interessato esprime la propria intenzione libera, specifica, informata ed inequivocabile di accettare il trattamento dei dati personali che lo riguardano.

L’aspetto più problematico, pertanto, riguarda le modalità di prestazione del consenso per l’installazione dei cookies.

Primi chiarimenti sul corretto impiego dei cookie sono stati forniti dalla Corte di giustizia. Con la sentenza emanata il 1 Ottobre 2019, la Corte ha dichiarato che il consenso che l’utente di un sito Internet deve prestare ai fini dell’installazione e della consultazione di cookie sulla sua apparecchiatura terminale non è validamente espresso mediante una casella di spunta preselezionata che l’utente deve deselezionare al fine di negare il proprio consenso.

Le Linee guida del Comitato europeo si soffermano su due ulteriori profili problematici, connessi alle operazioni di cookie wall e di scroll:

  • Nel caso di cookie wall, l’accesso ai servizi e alle funzionalità del sito viene subordinato al consenso di un utente che, se non prestato, impedisce la fruizione delle informazioni o dei servizi previsti nella pagina web. Sul punto, le Linee guida affermano che per l’interessato non si prospetta una scelta autentica; pertanto, il consenso dell’utente non può intendersi fornito liberamente se l’accesso ai servizi e alle funzionalità del sito risulta essere subordinato al cookie wall.
  • Nel caso di consenso carpito attraverso operazioni di scroll, similmente, non consisterebbe in una azione positiva inequivocabile, requisito imprescindibile richiesto dal GDPR. Per tali ragioni, la semplice prosecuzione dell’uso di un sito web non costituisce, secondo le Linee guida, un comportamento dal quale sia possibile ricavare una manifestazione di volontà dell’interessato a prestare il consenso a un trattamento proposto, conforme al GDPR.

 

La necessità di formazione in materia di GDPR e professioni digitali: Hedya propone i percorsi formativi innovativi

La recente posizione adottata dal Comitato europeo per la protezione dati dimostra che per poter operare correttamente sul web, occorre una buona conoscenza dei principi e delle novità introdotte dal GDPR.

Per tali ragioni, Hedya propone gli innovativi percorsi di formazione:

 

Inoltre, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

/da