Articoli

La didattica online ai tempi del Covid-19: dal Garante le istruzioni per l’uso

Didattica online e privacy: quali tutele?

Il contesto emergenziale in cui versa il Paese ha imposto alle istituzioni scolastiche e universitarie l’esigenza di proseguire l’attività didattica con modalità innovative, ricorrendo a piattaforme e-learning per supportare forme di didattica a distanza, così da garantirne la continuità.

Tuttavia, i primi utilizzi hanno sollevato molteplici criticità, già menzionate nel precedente articolo.

Per rispondere alle principali questioni sollevate in materia di privacy, il Garante ha pubblicato un atto di indirizzo per scuole ed atenei.

In sintesi, le prime Linee di indirizzo fornite dal Garante precisano che:

  • Le scuole e le università che utilizzano sistemi di didattica a distanza non devono richiedere il consenso al trattamento dei dati di docenti, alunni, studenti, genitori, poiché il trattamento in questo caso è riconducibile alle funzioni istituzionalmente assegnate a scuole e atenei.
  • Nella scelta e nella regolamentazione degli strumenti più utili per la realizzazione della didattica a distanza, occorrerà preferire quegli strumenti che abbiano fin dalla progettazione e per impostazioni predefinite misure a protezione dei dati.
  • Non è necessaria la valutazione di impatto, prevista dal Regolamento europeo per i casi di rischi elevati, se il trattamento dei dati effettuato dalle istituzioni scolastiche e universitarie, per quanto relativo a minorenni e a lavoratori, non presenta ulteriori caratteristiche suscettibili di aggravarne i rischi.
  • Il trattamento di dati svolto dalle piattaforme per conto della scuola o dell’università dovrà limitarsi a quanto strettamente necessario alla fornitura dei servizi richiesti ai fini della didattica on line e non per ulteriori finalità proprie del fornitore.
  • Inoltre, i gestori delle piattaforme non potranno condizionare la fruizione di questi servizi alla sottoscrizione di un contratto o alla prestazione del consenso (da parte dello studente o dei genitori) al trattamento dei dati per la fornitura di ulteriori servizi on line, non collegati all’attività didattica.

 

Le indicazioni del Garante si rivelano uno strumento utile per orientare le modalità didattiche di scuole e università. Tuttavia, non eliminano tutte le criticità connesse, ad esempio, alla registrazione delle lezioni, al controllo a distanza dei docenti e alla diffusione di contenuti non autorizzati in rete. Le istituzioni scolastiche ed universitarie, pertanto, non sono esonerate dal valutare tutti i possibili rischi dovendo, di converso, predisporre tutte le misure tecniche ed organizzative più idonee.

Per tali ragioni, risulta necessario applicare tutti i principi previsti dal GDPR, partendo anzitutto da quelli indicati all’articolo 5, come il principio di finalità, accountability e minimizzazione.

 

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya fornisce percorsi formativi e di aggiornamento, nonché servizi di consulenza.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

/da

Lo smart working non riduce il contagio cyber: nuove minacce per la privacy e la sicurezza

Smart working: quali adempimenti?

In questo periodo di particolare emergenza sanitaria, il Governo ha invitato le organizzazioni pubbliche e private a far lavorare i propri dipendenti da casa, secondo le modalità previste dalla legge n. 81/2017 sullo smart working. Si tratta di una forma di lavoro più flessibile, giacché consente di svolgere le proprie attività lavorative al di fuori del luogo di lavoro, conciliando tali impegni con la vita privata. La diffusione generalizzata della rete, in particolare, consente di poter connettersi ovunque ed in qualsiasi momento.

Tuttavia, questo non basta. Spesso, purtroppo, si dà per scontato che lavorare da casa possa essere sicuro come lavorare in ufficio: al contrario, lo smart working deve garantire il rispetto della privacy e della sicurezza informatica.

L’utilizzo di dispositivi personali e non forniti dall’azienda, tende a far trascurare l’adozione di opportune misure di sicurezza, e si sottovalutano i piccoli rischi normalmente connessi alla navigazione in rete e accettati con ingenuità:

  • L’assenza di un’adeguata formazione dei dipendenti costituisce un ulteriore fattore di rischio per l’integrità e la sicurezza dei dati detenuti dall’azienda o dalla Pubblica Amministrazione: occorre riporre attenzione, ad esempio, all’accesso a siti pericolosi, al download di file sospetti etc.;
  • La mancata adozione, o l’inadeguatezza di sistemi antivirus o antimalaware rende i dispositivi personali (Pc, tablet utilizzati indistintamente in famiglia), utilizzati per accedere ai sistemi aziendali ed amministrativi, possibili bersagli di attacchi cyber per il furto di dati;
  • Inoltre, la predisposizione di parametri standard per la gestione degli accessi alle connessioni di rete domestiche possono costituire un ulteriore fattore di vulnerabilità.

 

Accanto a tali criticità, occorre poi ricordare che lo smart working non possa tradursi in uno strumento per operare un illegittimo controllo a distanza sui lavoratori. Lo sfruttamento delle connessioni da remoto, attraverso l’attivazione delle webcam, non può ritenersi un comportamento lecito del datore di lavoro.

 

La necessità di percorsi formativi adeguati e di servizi di consulenza mirati: le proposte di Hedya

Le recenti misure adottate a livello nazionale confermano che per poter operare correttamente, una ottima conoscenza dei principi e delle novità introdotte dal GDPR, nonché delle più importanti applicazioni pratiche, costituisce un requisito essenziale, benché non unico: occorrono, altresì, costanti aggiornamenti ed approfondimenti mirati sulle prassi applicative.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

Hedya propone un articolato percorso formativo, in relazione agli specifici bisogni e livelli formativi.

In particolare, si prevede:

 

  1. Corsi di formazione per Data Protection Officer
  • Corso “DPO: DATA PROTECTION OFFICER”, necessario per accedere a un percorso di elevata specializzazione. Il corso ha una durata di 40 ore di lezioni teoriche e 6 ore di simulazione dell’attività quotidiana del DPO;
  • Corso “DPO: DATA PROTECTION OFFICER – Avanzato”, per chi ha già acquisito le conoscenze di base di natura giuridica e organizzativa e intende acquisire le nozioni pratico- applicative di base per svolgere le attività di DPO;

 

  1. Corsi di formazione per tutti i soggetti coinvolti nelle operazioni di trattamento dati

 

Ulteriori dettagli sui percorsi formativi sono disponibili qui.

 

 

 

/da

Il Coronavirus fa l’uomo “ladro”: Intesa San Paolo e Monte Paschi nel mirino banking trojan

Nuova epidemia di Coronavirus: quali tutele per la sicurezza informatica?

 

Come preannuciato in un post del mese scorso, accanto alla pandemia “umana” si è diffusa una nuova forma di epidemia virale, che sfrutta il timore di massa generato dal Coronavirus. I primi paesi colpiti dagli attacchi sono stati Giappone, Cina, Regno Unito e Stati Uniti.

A seguito della pandemia che sta colpendo l’Italia, la Polizia postale ha segnalato l’emersione di nuovi casi di phishing. In particolare, l’attacco consiste in una mail inviata a nome della dottoressa Marchetti, presunta esperta dell’OMS.

La nuova strategia hacker consiste nell’invio di una mail, da una sedicente istituzione pubblica sulla salute, per fornire utili informazioni sul Coronavirus: le email rinviano ad istruzioni testuali o video, contenute in allegato file pdf, mp4 e docx, dove si annida il malware Emotet, uno dei più pericolosi diffusi via posta. Infine, come confermato dal rapporto Ibm, le e-mail terminano anche con un indirizzo postale legittimo, un numero di telefono e fax, per indurre l’utente a confidare nell’affidabilità del contenuto.

Si tratta di un banking trojan, che si esegue e va alla ricerca dei dati di accesso a banking online presenti nel pc.

La Polizia di stato ha inoltre individuato, nel corso degli ultimi giorni, una campagna di phishing ai danni degli utenti di Banca Intesa San Paolo e di Banca Monte Paschi di Siena, condotta grazie all’invio massivo di e-mail contenenti una falsa nota informativa rivolta alla tutela dei clienti dell’istituto di credito. Le e-mail invitano l’utente a prendere visione di una comunicazione urgente, relativa alla nota emergenza sanitaria per il Coronavirus COVID-19, contenuta in un link individuato in calce alla mail.

In tali casi, cliccando sul link, gli utenti vengono reindirizzati ad un sito di phishing ed invitati a digitare le proprie credenziali per l’home banking, che verranno poi utilizzati per depauperare il conto dei malcapitati.

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

 

 

 

/da

Il Corona Virus infetta anche online: nuovi malware per rubare dati personali

Malware “Coronavirus”: come agisce?

 

Nel corso degli ultimi giorni si sta diffondendo una nuova epidemia virale a livello globale, che sfrutta il timore di massa generato dal Coronavirus. I primi rapporti (Ibm, Kaspersky, Mimecast, KnowBe) segnalano una massiccia presenza del fenomeno in Giappone, che però si sta progressivamente manifestando anche nel Regno Unito e negli Stati Uniti.

La nuova strategia hacker si presenta come una campagna di email, inviate da una sedicente istituzione pubblica sulla salute, per fornire utili informazioni sul Coronavirus: le email rinviano ad istruzioni testuali o video, contenute in allegato file pdf, mp4 e docx, dove si annida il malware Emotet, uno dei più pericolosi diffusi via posta. Infine, come confermato dal rapporto Ibm, le e-mail terminano anche con un indirizzo postale legittimo, un numero di telefono e fax, per indurre l’utente a confidare nell’affidabilità del contenuto.

Sfruttando l’apprensione e la necessità di informazione, gli utenti meno accorti credono di scaricare un file all’apparenza innocuo.

Emotet è un banking trojan: se gli allegati sono aperti con un programma dotato di macro attive, il virus viene eseguito e va alla ricerca dei dati di accesso a banking online presenti nel pc.

Il malware, inoltre, trasforma il computer della vittima in uno strumento per diffondersi altrove: questi, infatti invia in automatico altre email simili, all’insaputa dell’utente, anche ai destinatari ricavati dai contatti della vittima.

 

 

 

L’importanza della formazione e della consulenza specialistica come fattore di prevenzione

 

Le nuove minacce congeniate dai cyber- criminali espongono gli operatori economici e le Pubbliche amministrazioni a nuove criticità e preoccupazioni. In questi casi, l’assenza di formazione ed informazione su tali aspetti costituiscono i primi fattori di vulnerabilità del sistema organizzativo aziendale e pubblico.

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

/da

Natale “in bianco” per NoiPA: attacchi phishing per rubare stipendi e tredicesime ai dipendenti pubblici

L’attacco Phishing: la Sicurezza non va mai in vacanza

 

NoiPa è il portale per la Pubblica Amministrazione, gestito dal ministero dell’Economia e delle Finanze, che gestisce il trattamento economico e giuridico del personale centrale e periferico della PA, anche per i connessi adempimenti previdenziali e fiscali. Attraverso tale portale, dunque, i pubblici dipendenti possono prendere visione dei propri cedolini e verificare lo stato dei pagamenti accreditati in base alle coordinate bancarie fornite all’amministrazione. Il dipendente pubblico può inoltre modificare il proprio IBAN per l’accredito dello stipendio, attraverso un sistema automatizzato: per effettuare la modifica, il sistema richiede di effettuare una chiamata di sicurezza dal numero di telefono impostato nel sistema, così da verificare l’identità del dipendente, gestita da sistemi informatici (la chiamata viene chiusa dopo uno squillo, senza alcuna risposta).

L’attacco criminale, consumatosi a ridosso delle ferie natalizie, ha comportato la compromissione di alcuni account utente sul portale NoiPa, mediante un possibile attacco phishing; la condotta criminosa risultava finalizzata alla manipolazione del codice IBAN del conto corrente e del numero di telefono associato, al fine di distrarre l’accredito degli emolumenti.

Con un comunicato stampa , il Dipartimento dell’Amministrazione Generale, del Personale e dei Servizi del Ministero delle Economie e delle Finanze ha comunicato che sono stati 15 gli account compromessi su un totale di oltre due milioni di amministrati, che sono stati tutti prontamente gestiti anche grazie all’intervento della Polizia Postale. La questione è attualmente oggetto di indagini da parte della Procura di Roma, nel tentativo di individuare gli autori della condotta criminosa.

 

Attacchi cyber, come difendersi: le proposte Hedya

L’attacco cyber alla piattaforma NoiPa rappresenta l’occasione per ribadire nuovamente l’importanza della formazione del personale in materia di sicurezza informatica, per diffondere una cultura improntata alla effettiva protezione dei dati personali. Quest’ultima lesione ai danni di dipendenti pubblici, infatti, si aggiunge all’ondata di cyber attacchi quotidiani già esaminati in altri post. In tali casi, ricade sul soggetto che detiene i dati (in tal caso, la PA) l’onere della prova di aver posto in essere tutte le misure adeguate per proteggerli diligentemente.

Tra tali misure, è possibile ricomprendere anche l’attivazione di un programma periodico che educhi tutti i soggetti a riconoscere mail e comportamenti sospetti e a diffidare dall’aprire messaggi inattesi, provenienti da mittenti non conosciuti.

 

Per tali ragioni, Hedya propone:

  • percorsi di formazione e aggiornamento;
  • percorsi di approfondimento e perfezionamento;
  • servizi di consulenza per verificare la conformità alla normativa rilevante in materia.

 

Si segnalano, per i percorsi formativi e di aggiornamento:

 

 

/da

Estate 2019, in “ferie” anche la sicurezza informatica: violazione di dati per almeno 2 milioni di utenti e sanzioni oltre 600 milioni

Quali sono le attuali minacce informatiche?

L’ultimo rapporto Rapporto SonicWall, relativo alle minacce informatiche rilevate in 200 Paesi di tutto il mondo nel primo semestre 2019, ha evidenziato un elevato aumento di diversi strumenti cyber crime. Tra i molti, i più rilevanti sono:

  • il nuovo ransomware as a service;
  • il malware open source;
  • il tradizionale cryptojacking.

 

Anche il numero di attacchi informatici è in aumento: nei primi sei mesi del 2019, gli attacchi malware rilevati sono stati 4,8 miliardi; ammontano a più di 8,3 milioni gli attacchi phishing, e decine di migliaia di nuovi virus, finora mai conosciuti, sono stati riscontrati.

 

Aumentano gli attacchi, ma aumentano anche le sanzioni …

L’invasione degli attuali attacchi informatici ha svelato, nella maggior parte dei casi, tutta l’inadeguatezza nella scelta, ovvero nella predisposizione, delle misure tecniche ed organizzative più opportune in base al tipo di attività svolta e al contesto di riferimento.

Le conseguenze sanzionatorie sono apparse immediate e severe: sulla scorta dei poteri previsti dall’articolo 83 del GDPR, le autorità di controllo dei singoli Stati membri, hanno comminato ingenti sanzioni amministrative pecuniarie:

  • Il Garante per la privacy polacco (UODO) ha inflitto una multa per un importo corrispondente a circa 660mila euro alla società Morele.net, a causa della mancata adozione delle misure organizzative e tecniche adeguate al rischio connesso al trattamento dei dati personali di oltre due milioni di utenti;
  • Il Garante italiano, con provvedimento n. 83 del 4 aprile 2019, ha comminato all’Associazione Rousseau il pagamento di euro 50.000 a titolo di sanzione per la violazione di cui al combinato disposto degli  32e 83, paragrafo 4, lettera a) del Regolamento UE 2016/679 oltre ad ingiungere alla stessa associazione i necessari adeguamenti indicati nel Provvedimento.

 

Quali prevenzioni adottare? L’amministratore di sistema…

Per essere efficienti, le imprese devono prima di tutto essere formate ed aggiornate sulle misure più efficaci, in modo da poter prevenire le strategie di attacco che mutano costantemente nel tempo. Per tali ragioni, risulta utile formare l’amministratore di sistema attraverso il corso “Amministratore di sistema”, appositamente dedicato a tale figura.

L’amministratore di sistema ricopre infatti un ruolo importante: egli è il responsabile dei dati aziendali e riveste un ruolo importante sul piano operativo dentro l’azienda. Fra i suoi compiti:

  • si occupa di ogni tipo di rete informatica
  • implementa i sistemi di sicurezza del networking
  • definisce le procedure di autenticazione alla rete e di autorizzazione all’accesso ai dati da parte gli utenti
  • cura interventi di conservazione dei dati attraverso l’impiego sistematico di “backup” e progettando le attività di supporto al “disaster recovery”.

 

 

 

/da