Mar 21, 2025 Marina Londei Approfondimenti, In evidenza, RSS, Scenario 0

---

Il processo di penetration testing è ormai una pratica diffusa in molte organizzazioni per verificare periodicamente lo stato dei sistemi e l’efficacia delle difese.

Di solito queste attività vengono eseguite una volta l’anno, due in caso di grandi organizzazioni con infrastrutture complesse; una tempistica che ormai, visto il moderno panorama delle minacce, molti esperti considerano obsoleta. Se si considera inoltre che ogni settimana, se non ogni giorno, vengono rilasciate nuove feature, è impossibile pensare che basti una volta l’anno per individuare nuove vulnerabilità.

In un articolo sul tema per Bleeping Computer, il team di Outpost24 evidenzia la necessità di superare l’approccio puntuale per dedicarsi a un controllo continuo. Un’alternativa da valutare è la Penetration Testing as a service (PTaaS), una modalità in cui la verifica delle funzionalità è un ciclo continuo allineato a quello di sviluppo.

Questo approccio comprende il reporting in tempo reale delle vulnerabilità che consente di rimediare immediatamente ai problemi del software e garantisce una migliore comunicazione tra i team. Il pentesting puntuale e dilazionato nel tempo, al contrario, rende più complessa la collaborazione tra gli sviluppatori e allunga i tempi di intervento.

Il PTaaS consente inoltre di ritestare i fix senza attendere il ciclo di controlli successivo e dà accesso a un livello di expertise differenziato su controlli continui. Seguire una modalità di penetration testing continuo significa anche poter automatizzare molte delle attività da eseguire, oltre che tracciare il progresso in modo più preciso e puntuale, così da seguire l’effettivo miglioramento della sicurezza.

Optare per un approccio di pentesting continuo richiede in primis una maggior integrazione tra i team: per questo è necessario abbattere i silos aziendali e favorire la comunicazione tra i diversi comparti. È inoltre necessario individuare le aree più critiche del processo di testing già presente e assicurarsi che la nuova modalità di verifica si concentri sul risolvere le problematiche identificate.

Infine, è importante scegliere la migliore piattaforma per le proprie esigenze, con tutti gli strumenti di cui si ha bisogno, e affidarsi a un vendor robusto che possa seguire il processo e offrire alto livello di supporto.

---

---

---

https://www.securityinfo.it/2025/03/21/penetration-testing-una-volta-ogni-tanto-non-basta-piu-serve-un-approccio-continuativo/?utm_source=rss&utm_medium=rss&utm_campaign=penetration-testing-una-volta-ogni-tanto-non-basta-piu-serve-un-approccio-continuativo

Questo articolo fa parte di una serie di contenuti dedicati alla Generative AI ed esplora la complessa dimensione dell’affidabilità nei sistemi di intelligenza artificiale, analizzando le sfide psicologiche, tecniche ed etiche nella progettazione di tecnologie AI che conquistino la fiducia degli utenti finali. Attraverso una prospettiva multidisciplinare, vengono identificati criteri, metodologie e raccomandazioni per sviluppare sistemi intelligenti trasparenti, sicuri e orientati alle esigenze umane.

La produzione di sistemi affidabili basati sull’intelligenza artificiale ne aumenterà l’impatto in ambito lavorativo e nel supportare altre finalità. Pertanto, è fondamentale incorporare gli obiettivi indicati sin dalla fase di pianificazione iniziale fino al rilascio finale e alla manutenzione del prodotto.

Evoluzione dell’AI: Opportunità e Criticità Emergenti

Da qualche anno stiamo osservando una crescita esponenziale di nuove applicazioni che sfruttano le opportunità offerte dall’intelligenza artificiale (IA) per la risoluzione di alcune criticità che solitamente, ovvero tramite l’applicazione dei sistemi informativi di tipo classico, risultano molto più complesse e onerose da esitare.

Parallelamente, man mano che gli utenti iniziano a prendere dimestichezza con queste nuove funzionalità, hanno iniziato a insinuarsi i primi dubbi circa l’accettazione e la fiducia che gli stessi utenti ripongono nei confronti di queste tecnologie.

Per cui, sorge la domanda: gli utenti desiderano realmente utilizzare l’intelligenza artificiale per risolvere i propri problemi e, soprattutto, si fidano dei loro risultati? Di conseguenza, quali sfide dovrà affronta chi progetta prodotti, servizi e funzionalità abilitati all’AI, affinché siano accettati favorevolmente, piuttosto che vengano scartati perché non soddisfano i requisiti operativi o le aspettative, come la fiducia dell’utente finale?

Fiducia nell’AI: Percezione e Accettazione Tecnologica

In sintesi, il successo dell’AI, come lo è stato in passato per tutte le innovazioni, è legato alla percezione della sua affidabilità, prima ancora dell’utilità.

Per capire meglio il problema introdotto, prendiamo in considerazione i seguenti esempi che ci consentono di evidenziare alcuni scenari applicativi del mondo reale:

• Come fa un ingegnere informatico a valutare l’affidabilità di uno strumento per la generazione automatica del codice che produce un output funzionale e di qualità?
• Come fa un medico a misurare l’affidabilità delle applicazioni sanitarie predittive che possono agevolare la diagnosi sulle condizioni cliniche del paziente?
• In che modo un soldato può stimare l’attendibilità delle informazioni riguardanti le minacce fornite da un visore artificiale in grado di individuare gli avversari?

In sintesi, cosa succede quando gli utenti non si fidano dei nuovi sistemi? La capacità dell’AI di collaborare positivamente con l’ingegnere, il medico o il soldato, dipende dalla fiducia che questi ripongono sui sistemi basati sull’AI, perché quest’ultima possa collaborare con loro efficacemente e sia in grado di fornire i risultati attesi.

Di conseguenza, affinché si possano creare livelli di fiducia adeguati, è necessario gestire le aspettative su ciò che l’AI può offrire realisticamente.

Di seguito sono illustrate le principali ricerche e lezioni apprese su come sia possibile misurare l’affidabilità dell’AI e, di conseguenza, in che modo gli utenti finali possano ottenere i risultati attesi.

Fiducia nell’intelligenza artificiale

Prima di iniziare la disamina, analizziamo alcune definizioni chiave relative ad un sistema basato sull’intelligenza artificiale:

• trust (fiducia): è uno stato psicologico basato sulle aspettative del comportamento di un sistema, la fiducia che il sistema manterrà la sua promessa;
• calibrated trust (fiducia calibrata): è uno stato psicologico basato sulla fiducia regolata, ovvero allineata – in tempo reale – alle percezioni di affidabilità degli utenti finali;
• trustworthiness (affidabilità): è la proprietà di un sistema in grado di dimostrare che questi manterrà la sua promessa e, contestualmente, fornirà la prova che in quel determinato contesto il sistema sia affidabile e che durante l’utilizzo gli utenti finali siano consapevoli delle sue capacità.

La fiducia è una variabile complessa, transitoria e personale; tutti questi fattori rendono difficile la misurazione dell’esperienza umana in rapporto alla fiducia. Anche l’esperienza individuale di sicurezza psicologica (ad esempio: sentirsi al sicuro all’interno della propria relazione personale, del proprio team, della propria organizzazione e del proprio governo), così come la percezione del legame tra il sistema di intelligenza artificiale con sé stesso, possono influenzare la fiducia nel sistema.

Quando le persone interagiscono e/o lavorano con i sistemi di AI, sviluppano una comprensione (o un’incapacità di comprendere) delle capacità e dei limiti del sistema in un determinato contesto di utilizzo.

La consapevolezza può essere sviluppata anche attraverso la formazione, l’esperienza e le informazioni che i colleghi condividono sulle loro esperienze. Questa comprensione può trasformarsi in un livello di fiducia del sistema giustificato dalle esperienze di utilizzo.

Un altro modo di ragionare prevede che gli utenti finali sviluppino un livello di fiducia nel sistema calibrato su ciò che conoscono delle sue capacità nel contesto attuale.

Pertanto, la costruzione di un sistema affidabile genera la fiducia del sistema percepita dagli utenti.

Come progettare un’AI affidabile

Tendiamo a pensare all’intelligenza artificiale esclusivamente come a uno strumento per automatizzare una serie di processi, facilitando compiti, spesso con risultati migliori, in meno tempo e a costi più bassi. È tutto vero, ma ciò che spesso dimentichiamo è che l’intelligenza artificiale è anche una scienza e, come tutte le scienze, ci racconta qualcosa di noi – come singoli e come società – e del mondo in cui viviamo.

Partiamo dall’assunto che non possiamo costringere le persone a fidarsi dei sistemi di AI, ma potremmo progettarli concentrandoci sugli aspetti che ci consentano di misurarne l’affidabilità. Sebbene non sia matematicamente possibile quantificare l’affidabilità complessiva di un sistema nel suo contesto di applicazione, alcuni aspetti dell’affidabilità possono essere quantitativamente misurati, per esempio potremmo rilevare la fiducia dell’utente attraverso i suoi comportamenti, come l’utilizzo del sistema.

All’inizio del 2023, il National Institute of Standards and Technology (NIST) ha pubblicato l’Artificial Intelligence Risk Management Framework in cui indica i seguenti aspetti essenziali per misurare l’affidabilità dell’AI:

• validità e affidabilità,
• protezione,
• sicurezza e resilienza,
• responsabilità e trasparenza,
• comprensione e modellazione,
• riservatezza,
• imparzialità, attraverso la mitigazione dei pregiudizi dannosi.

Queste variabili possono essere valutate attraverso strumenti qualitativi e quantitativi, come i valori delle prestazioni funzionali utilizzati per misurare la validità e l’affidabilità, oppure l’analisi della user experience (UX) per determinare l’usabilità, la comprensione e la modellazione di un sistema.

Tuttavia, alcune di queste componenti potrebbero non essere misurabili a causa della loro stessa natura. Ad esempio, il progettista di un sistema potrebbe essere in grado di valutare se lo stesso funziona bene in ciascuno di queste componenti, ma gli utenti potrebbero essere cauti o diffidenti nei confronti dell’output a causa delle interazioni che hanno con il sistema.

La misurazione dell’affidabilità dell’AI dovrebbe avvenire durante l’intero ciclo di vita di un sistema di intelligenza artificiale.

All’inizio, durante le fasi di progettazione di un sistema di intelligenza artificiale, i responsabili del progetto, i ricercatori incentrati sul lato umano e gli specialisti dei rischi connessi all’uso dell’intelligenza artificiale, dovrebbero condurre una serie di test per comprendere le esigenze degli utenti finali e, preferibilmente, anticipare i requisiti per l’affidabilità dell’AI.

La progettazione iniziale di un sistema deve necessariamente tenere conto delle esigenze e dell’affidabilità volute dagli utenti.

Inoltre, mentre gli sviluppatori inizieranno ad implementare il sistema, gli altri componenti del team dovrebbero continuare a condurre sessioni di user experience con gli utenti finali per convalidare il progetto e raccogliere i feedback sulle componenti per poter misurare l’affidabilità durante l’intero ciclo di sviluppo del sistema.

Contemporaneamente, il team di sviluppo dovrebbe continuare a convalidare il sistema, in base ai criteri indicati dalle componenti di affidabilità e con gli utenti finali, anche durante la distribuzione iniziale. Queste attività hanno uno scopo diverso dalle consuete procedure di testing utilizzate per garantire la qualità di un prodotto.

Durante l’implementazione, ogni versione deve essere costantemente monitorata, sia per controllare le sue prestazioni rispetto alle aspettative, sia per valutare la percezione del sistema da parte degli utenti.

Gli amministratori di sistema dovrebbero stabilire anche i criteri per il rilascio all’interno di un sistema distribuito e un manuale d’uso, in modo tale che gli utenti possano crearsi aspettative adeguate nel momento in cui interagiranno con il sistema.

Infine, anche i system builder dovrebbero collaborare con gli utilizzatori finali affinché la tecnologia sia creata per soddisfare le loro esigenze. Tali collaborazioni aiutano le persone che utilizzano il sistema a ponderare regolarmente la propria fiducia nei suoi confronti.

In sintesi, la fiducia è un fenomeno interno e i system builder devono creare esperienze affidabili attraverso punti di contatto, come la documentazione del prodotto, le interfacce digitali e i test di convalida, per consentire agli utenti di esprimere giudizi sull’affidabilità del sistema in tempo reale.

Contestualizzare gli indicatori di affidabilità per gli utenti finali

La possibilità di valutare accuratamente l’affidabilità di un sistema consente agli utenti di ottenere una fiducia misurata del sistema stesso. La fiducia, che solitamente l’utente ripone nei confronti dei sistemi basati sull’intelligenza artificiale, implica che questi ultimi siano considerati affidabili entro una certa soglia.

Tra i principali indicatori, che ci consentono di caratterizzare un sistema di AI affidabile, possiamo includere la possibilità che gli utenti finali possano rispondere alle seguenti domande:

• Sa cosa sta facendo il sistema e il perché?
• È in grado di valutare perché il sistema sta formulando determinate risposte o generando un determinato output?
• Comprende quanto siano affidabili le risposte del sistema?
• Riesce a valutare quanto potrebbe essere sicuro un determinato output?

Se la risposta ad una di queste domande fosse negativa, allora sarebbe necessario migliorare ulteriormente il sistema per garantire che sia progettato per essere affidabile.

Inoltre, è fondamentale che le capacità del sistema siano rese trasparenti e verificabili, in modo tale che gli utenti possano essere informati e sicuri durante lo svolgimento del proprio lavoro e possano utilizzarlo per come previsto.

Criticità di un’AI affidabile

Come già evidenziato in questo testo, per valutare l’affidabilità di un sistema di intelligenza artificiale occorre considerare diversi elementi e punti di vista.

Le criticità, che solitamente vengono rivolte all’AI, includono la possibilità che possa generare confusione (per esempio non restituisce sempre risultati univoci), possa essere talvolta dirompente (per esempio può ribaltare un output consolidato da anni), sia apparentemente poco pratica o vista come non necessaria perché fornisce alternative complesse.

Una ricerca sulla letteratura riguardante l’AI rivela che alcuni autori usano spesso i termini “fiducia” e “affidabilità” in modo intercambiabile, mentre altra letteratura li considera come due caratteristiche distinte. Quindi, per un verso è incoraggiante sapere che l’AI affidabile è un ambito multidisciplinare, di converso, avere una moltitudine di definizioni, può generare confusione in coloro i quali sono nuovi alla progettazione di un sistema di AI affidabile.

Le diverse definizioni di affidabilità per i sistemi di AI consentono ai progettisti, inoltre, di scegliere o selezionare arbitrariamente gli elementi di affidabilità che consentono di soddisfare le loro esigenze.

Allo stesso modo, la definizione di AI affidabile varia a seconda del contesto di utilizzo del sistema. Ad esempio, i fattori che caratterizzano un sistema di intelligenza artificiale affidabile in un contesto sanitario potrebbero non essere gli stessi di un sistema di intelligenza artificiale affidabile in un contesto finanziario.

Queste differenze contestuali, e l’influenza delle caratteristiche del sistema, sono rilevanti per poter progettare un sistema di intelligenza artificiale affidabile in un determinato contesto e, contemporaneamente, in grado di soddisfare le esigenze degli utenti finali, al fine di incoraggiare l’accettazione e l’adozione dello stesso.

Per coloro che non abbiano familiarità con tali considerazioni, tuttavia, la progettazione di sistemi affidabili potrebbe risultare frustrante e, persino, deprimente.

Anche alcuni elementi caratteristici dell’affidabilità, comunemente accettati, possono apparire in contrasto tra di loro. Ad esempio, la trasparenza e la privacy sono spesso in conflitto. Per garantire la trasparenza, è opportuno rivelare agli utenti le informazioni che descrivano adeguatamente le modalità di sviluppo del sistema, viceversa, per garantire la privacy, gli utenti non dovrebbero avere accesso a tutti i dettagli del sistema.

In questi casi è necessario effettuare una negoziazione per determinare come bilanciare gli aspetti che sono in conflitto e quali compromessi dovrebbero essere accettati. In questi casi, il team di sviluppo deve dare priorità all’affidabilità del sistema, alle esigenze degli utenti finali e al contesto di utilizzo, il che può comportare compromessi per altri aspetti del sistema.

È interessante notare che, mentre i compromessi sono una considerazione necessaria quando si progettano e sviluppano sistemi di intelligenza artificiale affidabili, l’argomento è assolutamente assente da molti documenti tecnici che discutono della fiducia e dell’affidabilità dell’AI.

Spesso, l’individuazione del grado di compromesso è delegata agli esperti legali e di etica. Invece, questo lavoro dovrebbe essere condotto dallo stesso gruppo multidisciplinare che sta realizzando il sistema e gli dovrebbe essere data la stessa rilevanza attribuita alle attività per definire gli aspetti matematici o ingegneristiche di questi sistemi.

Esplorare l’affidabilità delle tecnologie AI emergenti

Man mano che le tecnologie di intelligenza artificiale innovative e dirompenti, come Microsoft 365 Copilot e ChatGPT, entreranno realmente nel mercato, ci saranno diversi aspetti che dovranno essere presi in considerazione. Un’organizzazione che decidesse di impiegare una nuova tecnologia AI dovrebbe chiedersi:

• Qual è l’uso previsto del prodotto di AI?
• Quanto è rappresentativo il dataset di addestramento rispetto al contesto operativo?
• Come è stato addestrato il modello?
• Il prodotto è adatto al caso d’uso?
• In che modo le caratteristiche del prodotto si allineano al grado di responsabilità del mio caso d’uso e del mio contesto?
• Quali sono i limiti della sua funzionalità?
• Qual è il processo per controllare e verificare le prestazioni del prodotto di AI?
• Quali sono le metriche delle prestazioni del prodotto?
• In che modo gli utenti possono interpretare l’output del prodotto?
• In che modo il prodotto è continuamente monitorato per guasti e altre condizioni di rischio?
• Quali pregiudizi impliciti sono incorporati nella tecnologia?
• Come vengono valutati gli aspetti dell’affidabilità? Con quale frequenza?
• C’è un modo per far re-addestrare questo strumento da un esperto per implementare politiche di equità?
• Sarò in grado di comprendere e controllare l’output dello strumento?
• Quali sono i controlli di sicurezza per evitare che questo sistema causi danni
• Come possono essere testati questi controlli?

Generalmente, gli utenti finali diventano i primi osservatori dei fallimenti della tecnologia AI e le loro esperienze negative sono indicatori del rischio di deterioramento dell’affidabilità. Pertanto, le organizzazioni che decidessero di implementare e/o utilizzare tali sistemi e, contestualmente, renderli affidabili, dovrebbero supportare gli utenti finali sui seguenti aspetti:

• Inserire degli indicatori all’interno del sistema per segnalare quando non funziona come previsto,
• Effettuare delle valutazioni sulle prestazioni del sistema nei contesti attuali e nuovi,
• Prevedere un alert del sistema quando non funziona dentro un range di affidabilità accettabile,
• Acquisire informazioni utili ad allineare le loro aspettative ed esigenze con il potenziale rischio introdotto dal sistema.

Le risposte alle domande introdotte all’inizio di questo paragrafo mirano, da un lato, a chiarire se la tecnologia sia adatta allo scopo previsto e, dall’altro, a verificare se l’utente possa convalidare l’affidabilità su base continuativa. Le organizzazioni possono anche implementare funzionalità tecniche e modelli di governance per incentivare il mantenimento continuo dell’affidabilità dell’AI e fornire piattaforme per testare, valutare e gestire i prodotti AI.

Raccomandazioni

I concetti illustrati rappresentano una base di partenza per la creazione di un AI affidabile. Occorrerà, ovviamente, condurre ulteriori attività di ricerca e sviluppo per indagare su nuovi metodi, best practices e linee guida per la creazione di un’AI affidabile. Ecco alcuni elementi su cui i ricercatori dell’AI stanno lavorando per la misurazione dell’affidabilità:

• Fairness (imparzialità): l’identificazione e la mitigazione dei pregiudizi nei modelli di machine learning (ML) che consenta la creazione di sistemi più equi.
• Robustness (robustezza): se i sistemi di intelligenza artificiale non fossero sufficientemente resistenti ai guasti o agli errori, fallirebbero in breve tempo.
• Explainability (dimostrabilità): rappresenta un attributo rilevante per un sistema che vuole essere affidabile per tutti gli stakeholders: ingegneri e sviluppatori, utenti finali.

La produzione di sistemi affidabili basati sull’intelligenza artificiale aumenterà l’impatto di questi sistemi in ambito lavorativo e nel supportare altre finalità. Pertanto, è fondamentale incorporare gli obiettivi indicati sin dalla fase di pianificazione iniziale fino al rilascio finale e alla manutenzione del prodotto. Solo in questo modo le aziende potranno raggiungere il massimo potenziale delle aspettative previste dall’AI.

Questo approfondimento rappresenta solo l’inizio di un viaggio verso l’AI affidabile. Per continuare ad esplorare le frontiere dell’innovazione e comprendere le ultime evoluzioni dei modelli generativi, ti invitiamo a scaricare il white paper dedicato alla Generative AI dal titolo “Generative Artificial Intelligence: Punti di forza, rischi e contromisure”.

https://www.ictsecuritymagazine.com/articoli/misurare-ai/

In un ecosistema digitale sempre più interconnesso e vulnerabile, la Cyber Capacity Building (CCB) rappresenta una dimensione fondamentale della sicurezza nazionale e della cooperazione internazionale. Per l’Italia, sviluppare un approccio strutturato e coordinato alla CCB significa rispondere a una triplice esigenza: rafforzare la propria sicurezza nazionale, contribuire alla stabilità nell’arena internazionale e affermare la propria leadership in un settore strategico per il futuro.

La recente conferenza nazionale organizzata dalla Farnesina e dall’Agenzia per la Cybersicurezza Nazionale (ACN) per la creazione di un ecosistema nazionale di cyber capacity building ha evidenziato come questo tema sia ormai centrale nell’agenda politica italiana. Come sottolineato dal vicepresidente del Consiglio e ministro degli Affari Esteri Antonio Tajani durante la conferenza, “il tema della sicurezza nello spazio cibernetico è diventato oggi prioritario” e richiede un approccio che superi gli “egoismi” tra diverse burocrazie per creare una vera “squadra” nazionale che unisca istituzioni, imprese e mondo della ricerca.

Il contesto globale: un’arena in evoluzione

La cyber capacity building è emersa negli ultimi vent’anni come campo di cooperazione internazionale dedicato a colmare il divario di capacità cibernetiche tra nazioni. Da un’analisi delle tendenze globali, emerge come il campo stia attraversando una fase di significativa crescita e professionalizzazione, ma anche di frammentazione ideologica e operativa.

Quattro tendenze principali caratterizzano l’attuale panorama della CCB a livello internazionale:

1. Crescita del settore: Il numero di progetti, attori e investimenti nella cyber capacity building è in costante aumento. Da una manciata di progetti nei primi anni 2000, si è passati a oltre 250 progetti attivi ogni anno;
2. Aspirazione al coordinamento: Esiste un divario crescente tra l’aspirazione a un maggiore coordinamento tra gli attori e la sua effettiva implementazione, con sfide significative nella sincronizzazione di progetti e iniziative;
3. Partecipazione di diverse comunità di pratica: Un numero crescente di comunità professionali (giustizia penale, difesa, diplomazia, sviluppo, società civile) si sta impegnando nella CCB, ciascuna con i propri obiettivi e approcci;
4. Professionalizzazione graduale: Il settore sta adottando pratiche più mature nella gestione dei progetti, valutazione dell’impatto e inclusione di considerazioni sui diritti umani e la parità di genere.

Queste tendenze si sviluppano in un contesto geopolitico caratterizzato da crescenti tensioni internazionali, competizione tecnologica e digitalizzazione accelerata delle infrastrutture critiche. La guerra in Ucraina, come evidenziato nel recente studio “Private-public initiatives for cybersecurity: the case of Ukraine” pubblicato sul Journal of Cyber Policy, ha dimostrato come la collaborazione pubblico-privata sia essenziale per rafforzare la resilienza cibernetica di un paese di fronte ad attacchi sofisticati.

La posizione italiana: punti di forza e opportunità

L’Italia ha compiuto passi significativi nel consolidamento della propria governance nazionale in ambito cybersicurezza, in particolare con la creazione dell’Agenzia per la Cybersicurezza Nazionale nel 2021. Questa istituzione rappresenta un punto di svolta nella capacità del paese di affrontare le sfide digitali in modo coordinato e strategico.

Il prefetto Bruno Frattasi, direttore generale dell’ACN, ha sottolineato durante la “Conferenza Nazionale per la creazione di un ecosistema di cyber capacity building” come le politiche di sicurezza cibernetica siano “divenute prioritarie nelle agende politiche” e come sia necessario un approccio collaborativo che coinvolga istituzioni, accademia, centri di formazione, think tank e operatori del settore.

Analizzando il contesto italiano, emergono punti di forza su cui costruire una strategia efficace di cyber capacity building:

1. Eccellenze tecnologiche nazionali: L’Italia dispone di un tessuto industriale avanzato nel settore tecnologico e della cybersicurezza, con aziende leader e centri di ricerca di livello internazionale;
2. Posizione geopolitica strategica: La posizione dell’Italia nel Mediterraneo offre opportunità uniche per sviluppare iniziative di CCB rivolte ai paesi dei Balcani e del Nord Africa, come evidenziato dal Ministro Tajani;
3. Esperienza nella cooperazione internazionale: L’Italia ha una consolidata tradizione di partecipazione a programmi di cooperazione internazionale in ambito sicurezza e sviluppo;
4. Adesione ai principali forum internazionali: L’Italia partecipa attivamente ai principali forum internazionali sulla cybersicurezza, incluso il Global Forum on Cyber Expertise (GFCE).

Sfide e opportunità per la governance italiana

Sfide

1. Frammentazione istituzionale: La molteplicità di attori istituzionali coinvolti nella governance cyber (Ministero degli Esteri, Ministero dell’Interno, Ministero della Difesa, ACN) richiede un efficace coordinamento per evitare duplicazioni e garantire coerenza nelle iniziative;
2. Carenza di personale specializzato: Come in molti altri paesi, l’Italia affronta una scarsità di professionisti qualificati nel settore della cybersicurezza, rappresentando una sfida per lo sviluppo delle capacità cyber nazionali e per i progetti di CCB;
3. Equilibrio tra sovranità digitale e cooperazione internazionale: L’Italia deve bilanciare la protezione dei propri interessi nazionali con la partecipazione a iniziative multilaterali di cyber capacity building;
4. Coordinamento pubblico-privato: La creazione di meccanismi efficaci di collaborazione tra settore pubblico e privato rimane complessa, come evidenziato dal prefetto Frattasi nella sua analisi del partenariato pubblico-privato.

Opportunità

1. Leadership nel Mediterraneo e nei Balcani: L’Italia può assumere un ruolo guida nelle iniziative di cyber capacity building nelle regioni geograficamente prossime, come indicato dal Ministro Tajani, consolidando influenza e relazioni strategiche;
2. Valorizzazione del “saper fare italiano“: Le competenze e le tecnologie italiane nel settore cyber possono essere promosse attraverso progetti di cooperazione internazionale, creando opportunità per le imprese nazionali;
3. Integrazione nella politica estera: La cyber capacity building può diventare uno strumento efficace della diplomazia italiana, rafforzando le relazioni bilaterali e multilaterali;
4. Allineamento con le iniziative europee: L’Italia può massimizzare l’impatto delle proprie iniziative allineandole con programmi europei come il Digital for Development Hub e la Strategia di Cybersicurezza dell’UE.

Verso un modello italiano di cyber capacity building

Per sviluppare un approccio efficace alla cyber capacity building, l’Italia dovrebbe considerare i seguenti elementi strategici:

1. Sviluppo di una visione strategica nazionale

Una strategia nazionale di cyber capacity building, integrata nella più ampia Strategia Nazionale di Cybersicurezza, permetterebbe di definire priorità geografiche e tematiche, fornendo un quadro coerente per le iniziative italiane. Tale strategia dovrebbe:

• Articolare chiaramente il contributo della CCB agli obiettivi di politica estera, sicurezza nazionale e sviluppo economico;
• Identificare settori prioritari in cui l’Italia può offrire un valore aggiunto significativo;
• Definire meccanismi di misurazione dell’efficacia e processi di revisione periodica.

2. Creazione di un meccanismo di coordinamento interministeriale

La creazione di un tavolo di coordinamento dedicato alla cyber capacity building migliorerebbe la coerenza delle iniziative italiane. Questo organo dovrebbe includere rappresentanti del Ministero degli Esteri, dell’ACN, del Ministero dell’Interno, della Difesa e dello Sviluppo Economico, oltre a esperti del settore privato e accademico.

Seguendo i modelli di successo evidenziati nello studio EU “International Cyber Capacity Building: Global Trends and Scenarios“, tale meccanismo dovrebbe:

• Mappare le competenze nazionali in ambito cybersicurezza;
• Coordinare la programmazione e l’implementazione delle iniziative di CCB;
• Facilitare lo scambio di informazioni e buone pratiche tra i vari attori;
• Monitorare l’andamento dei programmi e valutarne l’impatto.

3. Istituzione di un centro di eccellenza per la cyber capacity building

Seguendo esempi internazionali come l’ASEAN-Singapore Cybersecurity Centre of Excellence o il Cybersecurity Capacity Center for Development della Corea, l’Italia potrebbe istituire un centro dedicato alla formazione, ricerca e sviluppo in ambito cybersecurity, con particolare attenzione ai paesi del Mediterraneo e dei Balcani.

Un centro di questo tipo potrebbe:

• Offrire programmi di formazione specializzati per funzionari governativi e tecnici di paesi partner;
• Condurre ricerche congiunte su temi emergenti della cybersicurezza;
• Facilitare esercitazioni e simulazioni transnazionali;
• Servire come piattaforma per la condivisione di informazioni e best practice.

4. Diversificazione delle fonti di finanziamento

Oltre ai tradizionali fondi di cooperazione internazionale, l’Italia potrebbe esplorare modelli innovativi di finanziamento, come evidenziato dal rapporto EUISS, inclusi:

• Meccanismi di blended finance che combinano risorse pubbliche e private;
• Partnership con istituzioni finanziarie multilaterali come la Banca Mondiale o la BERS;
• Incentivi fiscali per stimolare investimenti privati in progetti di CCB;
• Utilizzo di fondi europei dedicati alla digitalizzazione e alla cybersicurezza.

5. Promozione di un approccio multistakeholder

Il coinvolgimento sistematico del settore privato, dell’accademia e della società civile nelle iniziative di cyber capacity building permetterebbe di mobilitare competenze diversificate e creare soluzioni più sostenibili. Come evidenziato durante la conferenza nazionale, il superamento degli “egoismi” tra diverse burocrazie è essenziale per il successo in questo campo.

Un approccio multistakeholder potrebbe includere:

• Creazione di una comunità di pratica nazionale sulla CCB;
• Istituzione di piattaforme di dialogo regolari tra settore pubblico e privato;
• Coinvolgimento delle università e dei centri di ricerca nei programmi di formazione;
• Integrazione della società civile nella progettazione e monitoraggio delle iniziative.

Proposte concrete per una governance italiana efficace nell’ambito della cyber capacity building

La trasformazione dell’Italia in un attore rilevante nel panorama internazionale della cyber capacity building richiede un approccio pragmatico e innovativo. A tal fine, appare necessario innanzitutto istituire un meccanismo finanziario dedicato, un Fondo Nazionale per la Cyber Capacity Building, che consentirebbe di superare la frammentazione attuale degli interventi e garantirebbe continuità alle iniziative strategiche. Questo strumento dovrebbe operare con una programmazione pluriennale, in stretta connessione con le priorità definite dalla politica estera e di sicurezza nazionale, ma con sufficiente flessibilità per rispondere tempestivamente a esigenze emergenti, specialmente nelle aree di interesse prioritario come il Mediterraneo e i Balcani.

Parallelamente, risulta fondamentale avviare una mappatura sistematica delle competenze nazionali in ambito cybersicurezza, creando un catalogo dinamico e costantemente aggiornato. Questo strumento permetterebbe di valorizzare l’eccellenza italiana nel settore – dalle competenze forensi a quelle di analisi delle minacce, dallo sviluppo di strategie alla formazione specialistica – rendendola immediatamente fruibile per iniziative di cooperazione internazionale. Un simile approccio trasformerebbe il “saper fare italiano” da concetto astratto a risorsa concretamente dispiegabile in contesti internazionali, facilitando anche l’internazionalizzazione delle imprese del settore e la creazione di partenariati strategici.

L’esperienza ucraina ha dimostrato quanto sia cruciale la capacità di risposta rapida a incidenti informatici significativi. In quest’ottica, l’Italia dovrebbe sviluppare un meccanismo di “Cyber Rapid Response” sul modello del Pacific RAPID australiano, che consenta di mobilitare rapidamente competenze ed esperti nazionali quando paesi partner affrontano crisi cibernetiche. Un tale dispositivo migliorerebbe la proiezione internazionale dell’Italia, rafforzerebbe i legami bilaterali e potrebbe costituire un importante strumento di soft power, particolarmente rilevante in un contesto geopolitico sempre più complesso.

La sostenibilità delle iniziative di cyber capacity building dipende in larga misura dalla loro appropriazione da parte dei beneficiari. È quindi essenziale investire nella localizzazione degli interventi, coinvolgendo sin dalla fase di progettazione partner locali nei paesi beneficiari. Questo approccio implica un cambio di paradigma: da un modello basato su interventi brevi e standardizzati a uno centrato su partenariati di lungo periodo, che tengano conto delle specificità culturali, istituzionali e normative di ciascun paese. L’Italia potrebbe distinguersi nel panorama internazionale proprio per la capacità di adattare le proprie iniziative ai contesti locali, un elemento spesso trascurato da altri attori impegnati nella cyber capacity building.

Un ambito dove l’innovazione risulta particolarmente necessaria è quello della trasparenza e dell’accountability. La governance italiana dovrebbe promuovere la pubblicazione regolare di rapporti dettagliati sulle iniziative di cyber capacity building, analizzando non solo i risultati raggiunti ma anche le criticità incontrate e le lezioni apprese. Un simile esercizio, oltre a rafforzare la legittimità degli interventi, permetterebbe di costruire nel tempo un corpus di conoscenze cruciale per migliorare l’efficacia delle future iniziative. L’adozione di indicatori di performance chiari e la valutazione indipendente dei programmi realizzati potrebbero ulteriormente accrescere la credibilità dell’Italia quale attore responsabile nell’ecosistema globale della cyber capacity building.

La dimensione di genere rappresenta un aspetto trasversale spesso sottovalutato nelle iniziative di cooperazione in ambito cyber. L’Italia potrebbe distinguersi integrando sistematicamente questa prospettiva nei propri programmi, non solo promuovendo la partecipazione femminile nel settore della cybersicurezza – dove il divario di genere rimane significativo – ma anche assicurando che le iniziative di capacity building tengano conto dei rischi e delle vulnerabilità differenziate che donne e uomini affrontano nel contesto digitale. Programmi specifici di mentorship, borse di studio e percorsi formativi dedicati potrebbero costituire strumenti efficaci per incrementare la diversità di genere in un settore tradizionalmente dominato dalla componente maschile.

Nel quadro di una strategia nazionale efficace, diventa cruciale che l’Italia intensifichi il suo impegno all’interno dei principali forum internazionali dedicati alla cybersicurezza. Un approccio più strutturato e continuativo nell’ambito del Global Forum on Cyber Expertise (GFCE) – la principale piattaforma multistakeholder per la coordinazione delle iniziative globali di capacity building – garantirebbe all’Italia maggiore visibilità e influenza nel definire l’agenda internazionale.

Parallelamente, il consolidamento delle relazioni con le agenzie tecniche delle Nazioni Unite attive nel settore, come l’Ufficio delle Nazioni Unite per il controllo della droga e la prevenzione del crimine (UNODC), permetterebbe di sviluppare sinergie in particolare sul fronte della lotta alla criminalità informatica e della formazione delle forze dell’ordine.

Questi rapporti istituzionali dovrebbero essere complementati da una partecipazione più attiva nei processi di governance tecnica di internet e negli organismi di standardizzazione, rafforzando la capacità italiana di influenzare lo sviluppo di norme tecniche e operative a livello globale, e al contempo facilitando l’accesso a network specializzati e risorse condivise che potrebbero potenziare l’efficacia delle iniziative nazionali.

L’implementazione coordinata di queste proposte consentirebbe all’Italia di sviluppare un modello distintivo di cyber capacity building, caratterizzato da un approccio integrato, sostenibile e incentrato sulle persone, contribuendo significativamente alla stabilità del cyberspazio globale e al rafforzamento della posizione italiana come attore affidabile e innovativo in questo settore strategico.

Conclusione

In un mondo sempre più digitalizzato e interconnesso, la cyber capacity building rappresenta una dimensione fondamentale della sicurezza nazionale e della cooperazione internazionale. Per l’Italia, sviluppare un approccio coerente, coordinato e innovativo in questo ambito non è solo una necessità strategica, ma anche un’opportunità per affermare la propria leadership in un settore cruciale per il futuro.

La creazione di un ecosistema nazionale per la cyber capacity building, come auspicato durante la recente conferenza della Farnesina e dell’ACN, richiede il superamento degli “egoismi” tra diverse burocrazie e la creazione di una vera “squadra” che unisca istituzioni, imprese e mondo della ricerca. Solo attraverso un approccio coordinato e multistakeholder l’Italia potrà trasformare le sfide cyber in opportunità, contribuendo alla sicurezza e alla prosperità sia nazionale che internazionale.

Nel contesto globale attuale, caratterizzato da frammentazione ideologica e operativa, l’Italia può scegliere di adottare strategie pragmatiche che bilancino ambizione e realismo, contribuendo positivamente alla stabilità del cyberspazio e rafforzando al contempo la propria posizione sulla scena internazionale.

La sfida è complessa ma ineludibile: costruire un futuro digitale sicuro richiede capacità, competenze e cooperazione. L’Italia ha l’opportunità di essere protagonista in questa costruzione, a beneficio della propria sicurezza nazionale e della comunità internazionale.

https://www.ictsecuritymagazine.com/articoli/cyber-capacity-building/

La sicurezza digitale rappresenta una delle sfide più critiche per la nostra società. In un ecosistema sempre più interconnesso, dove la tecnologia sta diventando parte integrante di ogni aspetto della nostra vita quotidiana, dalle comunicazioni personali alle infrastrutture nazionali. In questo contesto, garantire la sicurezza digitale significa affrontare sfide sempre più complesse, come la protezione dei dati, la gestione dei rischi informatici e la resilienza delle infrastrutture digitali.

Questo è il 9° articolo estratto dal white paper “Big e Fast Data: Tra Sfida per la Sicurezza e Privacy” e mira a esplorare le strategie di sicurezza necessarie per proteggere questo ambiente complesso, considerando anche l’importanza della cooperazione internazionale, delle normative aggiornate e della sensibilizzazione degli utenti. La collaborazione tra governi, settore privato e cittadini è essenziale per sviluppare una cultura della sicurezza che possa rispondere efficacemente alle minacce emergenti, assicurando che le tecnologie possano essere utilizzate in modo sicuro e affidabile per migliorare la qualità della vita e garantire la protezione dei diritti fondamentali.

La sfida della sicurezza digitale nell’era interconnessa

Nell’attuale era digitale, la sicurezza nell’ambiente digitale interconnesso è diventata una delle sfide più complesse e critiche. Con la crescente dipendenza dalle tecnologie digitali, diventa essenziale sviluppare strategie di sicurezza robuste e resilienti.

Strategie dell’Unione Europea per la sicurezza digitale

L’Unione Europea ha riconosciuto l’importanza di questo settore adottando misure come la bussola strategica per rafforzare la politica di sicurezza e difesa entro il 2030. L’obiettivo è sviluppare l’autonomia strategica dell’UE e la capacità di collaborare con i partner per proteggere i valori e gli interessi europei.

Intelligenza Artificiale e IoT: nuove frontiere della sicurezza

Inoltre, l’Intelligenza Artificiale (IA) e l’Internet of Things (IoT) stanno cambiando il panorama della sicurezza informatica, introducendo nuove sfide e opportunità. È essenziale mappare l’ecosistema e classificare le minacce per comprendere e mitigare i rischi associati all’IA.

La Strategia Nazionale di Cybersicurezza in Italia

La Strategia Nazionale di Cybersicurezza dell’Italia è un altro esempio di impegno nazionale per aumentare la sicurezza digitale e la resilienza del paese[1].
In un mondo sempre più connesso, la sicurezza informatica deve essere integrata nella strategia generale di ogni organizzazione per proteggere, monitorare e neutralizzare le minacce.
La trasformazione digitale sostenibile e inclusiva è al centro delle strategie dell’UE, che comprendono cloud, blockchain, IA e sicurezza informatica, per creare una società digitale che rispecchi i valori europei.

Minacce alla sicurezza digitale in continua evoluzione

Le minacce alla sicurezza digitale sono in continua evoluzione a causa dell’innovazione tecnologica e dei cambiamenti nel comportamento degli utenti. Il ransomware, il malware, gli attacchi phishing e l’iniezione SQL sono solo alcune delle minacce più pervasive e dannose. È cruciale adottare un approccio multilivello alla sicurezza, che includa la formazione degli utenti, l’uso di tecnologie avanzate di protezione e la collaborazione tra enti pubblici e privati. La consapevolezza e la preparazione sono fondamentali per difendersi efficacemente in un ambiente digitale in rapida trasformazione.

“Sicurezza nel Nuovo Mondo” si riferisce al panorama in evoluzione dei problemi e delle soluzioni per la sicurezza in una società sempre più interconnessa e guidata dalla tecnologia. Questo livello avanzato di connettività e interdipendenza tra i dispositivi ha creato più dati di prima e il concetto di sicurezza ha assunto nuove dimensioni e sfide. Ci siamo abituati al modo in cui i social media hanno ampliato la nostra portata di connettività oltre coloro che si trovano nelle vicinanze. La stessa tendenza si sta verificando dal punto di vista tecnologico.

Tecnologie digitali per migliorare l’esperienza utente e la sicurezza

Grazie al mobile computing e ai dispositivi intelligenti, possiamo effettuare pagamenti da remoto, prenotare una sala conferenze, accedere a un edificio, sbloccare il nostro computer e persino ordinare un caffè. L’interconnettività tecnologica facilita queste transazioni. Spesso non ci pensiamo, se non apprezzando la comodità aggiuntiva, ma le implicazioni derivano da questi progressi. I sistemi con cui interagiamo “sanno” di più sugli utenti. Ad esempio, i proprietari e i gestori degli edifici possono accedere alle informazioni sugli utenti del sistema (occupanti) mentre si spostano all’interno della struttura, utilizzando dispositivi mobili e riconoscimento facciale, aumentando l’esperienza e la comodità dell’utente.

L’aumento dell’interconnessione e i progressi tecnologici hanno avuto un profondo impatto sul miglioramento dell’esperienza dell’utente. Di seguito sono riportati alcuni modi in cui questi sviluppi sono stati utili:

• Esperienza Utente Migliorata: La tecnologia può adattare le esperienze degli utenti alle preferenze individuali utilizzando elementi come il sistema di controllo degli accessi per sapere chi è un utente e dove si trova in una struttura. Ad esempio, un edificio può regolare le condizioni di illuminazione e il controllo del clima in base alle preferenze dell’utente o la qualità dell’aria di una sala conferenze in base al numero di persone presenti all’interno.
• Integrazione senza soluzione di continuità: le tecnologie interconnesse possono lavorare insieme in modo più efficace. Ad esempio, le case intelligenti possono regolare automaticamente l’illuminazione, la temperatura e la sicurezza in base alle abitudini degli utenti.
• Comunicazione in tempo reale: tecnologie come le videoconferenze e le app di messaggistica consentono la comunicazione in tempo reale, facilitando il lavoro a distanza, l’istruzione e l’assistenza sanitaria, che ora possono essere programmati e accessibili come parte di una soluzione di prenotazione delle sale.
• Accessibilità: la tecnologia ha un design avanzato dell’interfaccia utente, come touchscreen, riconoscimento vocale e layout intuitivi delle app, rendendo più facile per gli utenti con diversi livelli di abilità interagire e comunicare.
• Automazione: la tecnologia può automatizzare le attività ripetitive, risparmiando tempo e fatica. Ad esempio, i chioschi di self-checkout nei negozi e l’online banking hanno semplificato le transazioni.
• Analisi dei dati: le informazioni basate sui dati consentono un migliore processo decisionale nelle aziende e nella pubblica amministrazione, portando a servizi e prodotti migliori.
• E-commerce: lo shopping online ha trasformato l’esperienza di vendita al dettaglio. I clienti possono acquistare una vasta gamma di prodotti e servizi con comode opzioni di consegna (o ritiro)[2].

Sicurezza digitale nei settori sanitario, edile ed educativo

Visto sotto l’ottica, invece settoriale l’integrazione comporterà:

• nel Settore Sanitario con:

Telemedicina: le tecnologie di telemedicina hanno reso più facile per i pazienti accedere alle cure mediche a distanza, migliorando l’accesso all’assistenza sanitaria.

Dispositivi indossabili: dispositivi come fitness tracker e smartwatch aiutano le persone a monitorare e gestire la propria salute in modo proattivo e possono anche contribuire a fornire sicurezza ai pazienti all’interno di una struttura[3].

• nel Settore Edile con:

Servizi: sono disponibili più dati sui movimenti degli utenti all’interno di una struttura, consentendo servizi più personalizzati. Gli spazi dell’edificio occupati e affollati possono ricevere servizi di pulizia e manutenzione più frequenti, offrendo la migliore esperienza per gli occupanti.

Manutenzione: la connettività e le funzionalità basate sulla posizione consentono agli utenti di identificare un problema in una struttura e di notificare rapidamente, dal proprio dispositivo, al personale di manutenzione di risolverlo, indirizzandoli alla loro posizione specifica. Questa funzionalità velocizza le richieste di manutenzione e rende le risposte più efficienti con:

• Benefici Ambientali;
• Efficienza energetica: i progressi tecnologici hanno portato a elettrodomestici, veicoli e edifici più efficienti dal punto di vista energetico, riducendo l’impatto ambientale negativo;
• Energia rinnovabile: le reti energetiche interconnesse hanno consentito l’integrazione di fonti di energia rinnovabile, contribuendo a un ambiente più pulito.
• nel settore Educativo con:

Apprendimento online: le piattaforme di e-learning hanno reso l’istruzione accessibile a un pubblico più ampio, consentendo esperienze di apprendimento autogestite e flessibili. Ora è ancora più facile accedervi utilizzando l’unificazione tra le piattaforme di identità nello spazio di sicurezza[4].

Strumenti collaborativi: la tecnologia consente la collaborazione tra studenti e docenti, promuovendo un ambiente di apprendimento più interattivo e coinvolgente.

• Nel settore delle Città Intelligenti (c.d. “smart cities”) con:

Pianificazione urbana: le tecnologie interconnesse possono migliorare la gestione del traffico, lo smaltimento dei rifiuti e la sicurezza pubblica, creando ambienti urbani più vivibili ed efficienti. Per molti di questi, i punti dati per facilitarli provengono da dispositivi come le telecamere di sicurezza[5].

Parallelamente dal punto di vista della sicurezza digitale, le informazioni aggiuntive sugli utenti e sull’uso di altre credenziali (ad esempio i dispositivi mobili) iniziano a spostare la conversazione dalla gestione di un formato a credenziale singola alla gestione dell’identità di un utente. Aziende che non sono state tradizionalmente nello spazio della sicurezza digitale, come Microsoft (Microsoft Places) e Apple (Apple Wallet), hanno esplorato questo mercato. Questo cambiamento attiverà ulteriori casi d’uso, funzionalità e interoperabilità che il settore della sicurezza non ha visto fino ad oggi. Avrà un impatto in particolare sugli attori tradizionali e tradizionali del mercato, ma fornirà offerte ampliate a molti clienti.

Le sfide della sicurezza informatica e la protezione dei dati

Sebbene questi vantaggi siano significativi, è importante riconoscere che l’aumento dell’interconnessione e i progressi tecnologici comportano anche delle sfide. Di seguito sono riportate alcune sfide da considerare:

• Rischi Per La Sicurezza Informatica: Con l’aumento della dipendenza dalla tecnologia digitale, il rischio di attacchi informatici è cresciuto. Gli individui, le organizzazioni e i governi sono più vulnerabili alle violazioni dei dati, all’hacking e ad altre minacce informatiche. Ciò ha reso necessario uno spostamento delle strategie di sicurezza verso misure di sicurezza informatica.

La società deve investire nella resilienza informatica. Ciò comporta il rafforzamento delle misure di sicurezza informatica e lo sviluppo della capacità di riprendersi rapidamente dagli incidenti informatici. Questo obiettivo può essere raggiunto attraverso una migliore formazione, consapevolezza e capacità di risposta agli incidenti in materia di sicurezza informatica.

• Problemi Relativi Alla Privacy Dei Dati:

L’interconnessione dei dispositivi e la quantità di dati che generano hanno sollevato preoccupazioni sulla privacy dei dati. Le persone sono più consapevoli di come le loro informazioni personali vengono raccolte, archiviate e utilizzate. Legislazioni come il Regolamento generale sulla protezione dei dati (GDPR) e il California Consumer Privacy Act (CCPA), solo per citarne alcune, sono state introdotte per proteggere i diritti alla privacy degli individui.

L’importanza della privacy dei dati continuerà a crescere. La società richiederà normative e misure più severe per proteggere i dati personali. Le persone dovranno diventare più proattive nella gestione della propria privacy e nella comprensione delle conseguenze della condivisione dei propri dati.

• Alfabetizzazione Digitale:

Man mano che la tecnologia diventa sempre più integrata nella vita quotidiana, l’alfabetizzazione digitale sarà essenziale. Le persone istruite su come utilizzare la tecnologia in modo sicuro e responsabile possono riconoscere le minacce online e prendere decisioni informate sulla loro presenza digitale.

La formazione continua e le campagne di sensibilizzazione saranno importanti per informare gli individui, le aziende e le organizzazioni sulle ultime minacce alla sicurezza digitale e sulle migliori pratiche di protezione.

È chiaro che ciò comporta maggiori investimenti sul campo dell’innovazione e dell’adattamento. In particolare, La società deve incoraggiare l’innovazione nelle tecnologie e nelle pratiche di sicurezza. Man mano che le minacce si evolvono devono evolversi anche le misure di sicurezza. Adattarsi alle nuove sfide e stare al passo con gli avversari è essenziale.

La collaborazione tra il settore pubblico e quello privato sarà essenziale per affrontare le sfide in materia di sicurezza. I governi, le aziende e gli individui dovrebbero collaborare per identificare e mitigare i rischi per la sicurezza.

• Vulnerabilità Delle Infrastrutture Critiche:

Infrastrutture come le reti elettriche, i sistemi di trasporto e le strutture sanitarie sono diventate più interconnesse e dipendenti dalla tecnologia. Ciò aumenta il potenziale impatto degli attacchi informatici sulle infrastrutture critiche. I governi e le organizzazioni devono investire nella sicurezza delle nostre infrastrutture critiche. Questi investimenti sono vitali per la sicurezza nazionale e la sicurezza pubblica[6].

• Sorveglianza, Privacy E Quadri Normativi:

I progressi tecnologici nella sorveglianza, come il riconoscimento facciale e il monitoraggio basato sull’intelligenza artificiale, hanno scatenato dibattiti sulla privacy personale. Se da un lato queste tecnologie possono migliorare la sicurezza, dall’altro possono essere utilizzate in modo improprio o violare le libertà civili[7].

I responsabili politici dovranno adattarsi e sviluppare quadri normativi agili che stiano al passo con i progressi tecnologici. Ciò include le leggi relative alla sicurezza informatica, alla privacy dei dati e alle tecnologie emergenti[8].

• Considerazioni Etiche:

Ci sarà una maggiore attenzione all’uso etico della tecnologia. La società dovrà confrontarsi con domande sull’uso appropriato della sorveglianza, dell’intelligenza artificiale (AI) e di altre tecnologie, confrontandosi con due tipologie di sicurezza: quella nazionale e quella individuale.

Le nazioni stanno investendo molto nella sicurezza informatica, riconoscendo che la loro sicurezza dipende dalla salvaguardia della loro infrastruttura digitale. La guerra cibernetica è diventata una delle principali preoccupazioni nelle relazioni internazionali.

Dato che molte minacce informatiche sono di natura transnazionale, la cooperazione internazionale sarà fondamentale. I paesi dovranno lavorare insieme per combattere la criminalità informatica e proteggere l’ecosistema digitale globale.

Parimenti, la sicurezza personale è stata colpita. L’uso della tecnologia ha portato a preoccupazioni per la sicurezza personale negli spazi online, con il cyberbullismo e le molestie online che sono diventati problemi prevalenti. L’aumento dell’interconnessione e i progressi tecnologici hanno ridefinito la nostra comprensione della sicurezza. Se da un lato offrono nuove opportunità per migliorare la sicurezza, dall’altro presentano anche nuove sfide e minacce che richiedono soluzioni innovative e una maggiore consapevolezza della sicurezza personale e collettiva.

Il mondo della sicurezza sta subendo una trasformazione, guidata dalle innovazioni tecnologiche e dall’evoluzione delle minacce. Man mano che ci si addentra nei diversi mercati diventa evidente che la sicurezza non è più un concetto unidimensionale. Comprende una serie di sfaccettature, che vanno dal fisico al digitale, dal personale al nazionale. La sicurezza dei passeggeri, delle merci e delle strutture aeroportuali è fondamentale. Ad esempio, in quest’ultimo caso, Il nuovo mondo della sicurezza aerea è caratterizzato da:

• Tecnologie di screening avanzate: La sicurezza aeroportuale si basa su tecnologie all’avanguardia, come body scanner, sistemi di rilevamento di esplosivi e autenticazione biometrica dei passeggeri.
• Problemi di sicurezza informatica: L’industria aeronautica è sempre più dipendente dai sistemi digitali, il che la rende vulnerabile agli attacchi informatici. Questi attacchi possono variare da semplici truffe di phishing ad attacchi più sofisticati che possono compromettere i sistemi critici.
• Quadri normativi: La sicurezza aerea è influenzata dalle normative e dagli accordi internazionali, il che richiede un approccio armonizzato alla sicurezza transfrontaliera.
• Sicurezza fisica: Gli aeroporti e gli aerei sono vulnerabili alle minacce alla sicurezza fisica, come il terrorismo e i dirottamenti. Queste minacce richiedono un approccio alla sicurezza a più livelli, tra cui lo screening di passeggeri e bagagli, la messa in sicurezza del perimetro degli aeroporti e la formazione del personale delle compagnie aeree per rispondere alle emergenze.
• Per affrontare queste sfide, l’industria aeronautica si è rivolta ad altri mercati, come gli edifici intelligenti e le aree a maggiore sicurezza, per sfruttare le tecnologie emergenti come la biometria e il rilevamento avanzato delle minacce, al fine di mantenere le proprie strutture sicure e protette. Queste tecnologie aiutano anche a controllare i passeggeri e i dipendenti che occupano queste strutture ogni giorno. Inoltre, le compagnie aeree e gli aeroporti stanno lavorando a stretto contatto con le agenzie governative per condividere informazioni e coordinare le risposte alle minacce alla sicurezza.

Il prossimo articolo affronterà il tema dell’integrazione di Big Data, Fast Data e OSINT, esplorando come queste tecnologie possono potenziare la sicurezza digitale. Scarica gratuitamente il white paper completo “Big e Fast Data: tra sfida per la sicurezza e privacy” per approfondire ulteriormente questi temi essenziali.

Note e Biografia:

[1] Rabai, B. (2017). I «big data» nell’ecosistema digitale: tra libertà economiche e tutela dei diritti fondamentali. Amministrare, 47(3), 405-422. Link in bibliografia.

^[2] L’impennata degli acquisti online e delle transazioni di pagamento richiede misure avanzate di sicurezza informatica per proteggere i dati sensibili dei clienti.

[3] I progressi nella tecnologia medica hanno migliorato l’assistenza ai pazienti, ma hanno anche introdotto nuovi problemi di sicurezza. Proteggere i dati sanitari sensibili e i dispositivi medici dalle minacce informatiche è una sfida crescente.

[4] Gli istituti scolastici devono proteggere le informazioni degli studenti e del personale e adattarsi alle nuove sfide di sicurezza nell’era dell’apprendimento a distanza.

[5] Gli edifici e le città intelligenti sono progettati per essere più efficienti e sostenibili, ma presentano anche sfide uniche per la sicurezza. Gli edifici e le città intelligenti introducono nuove considerazioni sulla sicurezza, come ad esempio:

• Dispositivi collegati: I dispositivi connessi, come le serrature intelligenti e le telecamere di sorveglianza, utilizzati negli edifici e nelle città intelligenti possono essere sfruttati se non adeguatamente protetti. Ogni dispositivo è un potenziale punto di ingresso per i criminali informatici.
• Protezione dei dati: Gli edifici e le città intelligenti raccolgono grandi quantità di dati sui loro occupanti, che possono essere utilizzati per scopi nefasti se cadono nelle mani sbagliate.
• Sicurezza fisica: Con l’integrazione di tecnologie intelligenti, la sicurezza fisica in questi ambienti non si limita alle tradizionali serrature e guardie. Implica anche la protezione dell’accesso ai sistemi digitali.

Per affrontare queste sfide, gli operatori di edifici intelligenti e città stanno investendo in nuove tecnologie, come reti di comunicazione sicure e sistemi avanzati di rilevamento delle minacce. Inoltre, devono collaborare con le agenzie governative per sviluppare regolamenti e standard per la sicurezza informatica e la privacy dei dati.

[6] De Luca, V., Voce, F., & Terzi di Sant’Agata, G. M. (2018). Il ruolo dell’Italia nella sicurezza cibernetica: minacce, sfide e opportunità. Il ruolo dell’Italia nella sicurezza cibernetica, 1-123.

[7] La videosorveglianza e i sistemi di controllo accessi si sono evoluti in modo significativo con l’integrazione di tecnologie avanzate come la biometria, le smart card e l’identità mobile. Questi sistemi consentono alle organizzazioni di gestire e proteggere l’accesso fisico ai propri locali e dati. Sono diventati essenziali per proteggere non solo gli uffici tradizionali, ma anche i data center, le strutture di ricerca sensibili e gli edifici commerciali e residenziali attraverso sistemi come la biometria, accesso mobile e sistemi di controllo basati su IoT

Le telecamere che spesso vengono affiancate a questi sistemi sono ad alta definizione con sistemi di rilevamento forniscono feed video di alta qualità con immagini più chiare, facilitando l’identificazione di persone e incidenti, l’Archiviazione cloud offre maggiore scalabilità, accessibilità e ridondanza dei dati, riducendo il rischio di perdita o manomissione dei dati. Hanno integrate, inoltre, l’analisi video basata sull’intelligenza artificiale che è in grado di rilevare automaticamente attività o oggetti insoliti, come accessi non autorizzati, intrusi o comportamenti sospetti. Ciò è reso possibile grazie:

• IDS basato sulla rete: Monitora il traffico di rete alla ricerca di attività sospette, aiutando a rilevare e prevenire gli attacchi informatici.
• IDS basato su host: Se installato su singoli dispositivi, monitorare l’accesso non autorizzato o le anomalie a livello di sistema.
• IDS fisico: Sensori, rilevatori di movimento e telecamere di sicurezza rilevano accessi non autorizzati o intrusi.

La convergenza di queste tecnologie è significativa. I sistemi di controllo accessi possono integrarsi con la videosorveglianza e l’IDS per fornire una soluzione di sicurezza olistica. Ad esempio, se una persona non autorizzata ottiene l’accesso a un’area protetta, il sistema di controllo degli accessi può attivare allarmi, bloccare l’area e avvisare il personale di sicurezza mentre il sistema di videosorveglianza registra l’incidente.

La maggiore connettività di questi sistemi consente il monitoraggio e il controllo centralizzati, facilitando la gestione della sicurezza in più sedi. Tuttavia, questi sistemi interconnessi generano un volume di dati senza precedenti su una struttura. Oltre ad analizzare questi dati, è imperativo sostenere l’integrità e la privacy dei dati, prendendo decisioni aziendali più informate.

La sicurezza nel nuovo mondo è strettamente legata all’evoluzione e all’integrazione di tecnologie, come il controllo degli accessi, la videosorveglianza e i sistemi di rilevamento delle intrusioni. Questi progressi sono essenziali per salvaguardare gli spazi fisici e gli asset digitali in una società sempre più interconnessa e guidata dalla tecnologia. Per affrontare le sfide del nuovo mondo, gli stakeholder devono adottare un approccio proattivo che integri la sicurezza informatica, la sicurezza fisica e la pianificazione della resilienza. Cfr. Venier, F. (2017). Trasformazione digitale e capacità organizzativa. Le aziende italiane e la sfida del cambiamento. EUT Edizioni Università di Trieste.

^[8] Come ad esempio nel settore sanitario si nota con una solida sicurezza dei dati e la conformità a normative come l’Health Insurance Portability and Accountability Act (HIPAA).

https://www.ictsecuritymagazine.com/articoli/sicurezza-digitale/

Cybersecurity has a branding problem, and it’s costing businesses more than they realize. Despite the growing number of high-profile breaches, consumers remain indifferent, often ignoring security warnings or failing to take basic precautions. This disconnect between rising threats and consumer inaction is a serious issue for companies that rely on trust to maintain customer loyalty. When a breach occurs, the fallout is swift; research shows that 75% of consumers in the United States would stop purchasing from a brand if it suffered a cyber incident. Yet, many brands struggle to communicate the urgency of cybersecurity without overwhelming or alienating their audiences. The challenge isn’t just about security, it’s about perception, messaging, and maintaining trust in an environment where digital risks are on the rise.  

The messaging problem: Fear doesn’t work  

For years, cybersecurity marketing has relied on fear to drive action. Warnings about identity theft, financial fraud, and data breaches dominate public messaging, but research suggests this approach has diminishing returns. Consumers have been bombarded with so many dire predictions that many have become desensitized. Instead of fostering vigilance, fear-based messaging often leads to apathy. A study from Iowa State University found that when cybersecurity products are marketed through fear, consumers are less likely to take meaningful action because the information feels overwhelming or beyond their control.  

Tech companies and financial institutions have started shifting away from alarmist messaging toward education and empowerment. Apple, for example, has positioned privacy and security as core brand values without resorting to scare tactics. Instead of emphasizing threats, Apple highlights features like end-to-end encryption and privacy-focused updates in iOS, presenting security as a benefit rather than a burden. This approach makes consumers feel in control rather than under siege, increasing engagement with security features.  

Trust is fragile, and hard to rebuild  

Once a brand suffers a cybersecurity breach, repairing trust is an uphill battle. Consumers are unforgiving, with 58% stating they view breached brands as untrustworthy. The damage isn’t just reputational, it’s financial. The 2018 Marriott International data breach exemplifies the severe repercussions brands face following cybersecurity incidents. In this breach, unauthorized access to Marriott’s Starwood guest reservation database compromised the personal information of up to 500 million customers, including names, addresses, phone numbers, email addresses, passport numbers, dates of birth, and payment card details. Financially, Marriott incurred nearly $30 million in recovery expenses, covering investigation costs, customer notifications, security monitoring services, call center operations, and enhanced cybersecurity measures.

Transparency is the only way forward when a breach occurs. Consumers expect immediate disclosure, clear explanations of what happened, and concrete steps to prevent future incidents. Delayed or vague responses only deepen distrust. Equifax’s handling of its 2017 breach, which affected 147 million people, is a case study in failure. The company waited six weeks to disclose the breach, provided confusing instructions on how affected consumers could protect themselves, and faced accusations of insider trading by executives who sold stock before the breach was announced. The result? A $700 million settlement and a lasting reputation hit.  

Proactive security is a competitive advantage  

Companies that treat cybersecurity as a core business function rather than an IT issue are better positioned to maintain consumer trust. Proactive security measures, such as regular audits, employee training, and strong encryption, reduce the likelihood of breaches and signal to consumers that their data is a priority.  

Financial institutions have led the way in making security a selling point. Banks like JPMorgan Chase and Citibank actively promote their fraud detection capabilities, biometric authentication, and zero-liability policies for unauthorized transactions. These efforts reassure customers that their money is safe, strengthening brand loyalty.  

Retailers and e-commerce platforms can take a similar approach by emphasizing security in their customer experience. Amazon, for example, continuously refines its fraud prevention systems and communicates these efforts to customers. By making security features visible, such as two-step verification and secure payment options, Amazon reinforces trust without overwhelming users with technical jargon.  

Educating consumers without overwhelming them  

One of the biggest challenges in cybersecurity communication is striking the right balance between informing consumers and avoiding information overload. Many people assume security is too complex to understand, leading them to ignore even basic precautions.  

The key is to integrate security education into everyday interactions without making it feel like a chore. Google has done this effectively with its “Security Checkup” feature, which provides users with a simple, guided review of their account security settings. Instead of bombarding users with technical details, Google presents actionable steps, such as enabling two-factor authentication or reviewing account activity, in a way that feels manageable.  

Social media platforms have also started incorporating security education into their user experiences. Instagram and Facebook regularly prompt users to update their passwords and enable login alerts, embedding security into the platforms without disrupting engagement. These small, consistent nudges are more effective than one-time warnings that consumers quickly forget.  

Generational differences in cybersecurity awareness  

Not all consumers perceive cybersecurity risks the same way. Generational differences play a significant role in how people respond to security messaging and brand trust.  

Older generations, particularly Baby Boomers, are more likely to change their purchasing behavior after a breach. They tend to be more cautious with online transactions and expect brands to take security seriously. Younger consumers, especially Gen Z, are generally less concerned about cybersecurity unless it directly affects their mobile devices or social media accounts. This group has grown up in a digital-first world and often prioritizes convenience over security.  

Brands need to tailor their messaging accordingly. For older consumers, emphasizing data protection and fraud prevention can reinforce trust. For younger audiences, highlighting mobile security features, privacy controls, and seamless authentication methods can make security feel relevant. Companies like PayPal and Venmo have successfully engaged younger users by making security part of the user experience rather than an afterthought.  

The path forward  

Cybersecurity isn’t just a technical issue, it’s a brand issue. Consumers may not always take security seriously, but they expect the brands they trust to do so. Companies that fail to communicate the importance of cybersecurity risk losing consumer confidence, while those that integrate security into their brand messaging stand to gain a competitive edge.  

The most effective approach is one that prioritizes transparency, education, and proactive security measures. Fear-based messaging no longer works, but clear communication, visible security features, and responsive crisis management can make all the difference. Brands that treat cybersecurity as a core part of their identity, not just an IT concern, will be the ones that maintain trust in an increasingly digital world. 

https://www.securitymagazine.com/articles/101481-why-consumers-dont-take-cybersecurity-threats-seriously

Mar 19, 2025 Marina Londei Attacchi, In evidenza, Intrusione, News, RSS 0

---

MirrorFace, gruppo APT cinese allineato al governo, ha colpito un ente diplomatico europeo coinvolto nell’Expo 2025. Il gruppo, noto per attività di cyberspionaggio contro istituzioni giapponesi, ha esteso il proprio raggio d’azione per colpire altre realtà coinvolte nella prossima edizione dell’esposizione attesa a Osaka.

In un’analisi sul proprio blog, il team di WeLiveSecurity di ESET ha sottolineato che si tratta del primo attacco del gruppo contro un’entità europea. L’attacco, parte della campagna Operation AkaiRyū attiva già nel 2024, ha fatto uso della backdoor ANEL e di AsyncRAT.

L’attacco di MirrorFace

Come negli attacchi precedenti, anche in questo caso le attività sono cominciate con delle email di spearphishing contenenti allegati malevoli per l’esecuzione di malware.

Il gruppo ha però aggiornato le proprie tattiche e il proprio arsenale di tool, come dimostra l’uso di ANEL, una backdoor usata in precedenza esclusivamente dalla gang APT10. Per questo motivo, i ricercatori di ESET ritengono che MirrorFace possa essere un sottogruppo di APT10.

La backdoor è in grado di comunicare col server C2 tramite HTTP e cifrare i dati inviati per nascondere il contenuto in caso di individuazione. ANEL supporta inoltre comandi base per modificare file, eseguire payload e catturare screenshot.

Durante gli attacchi il gruppo ha fatto uso anche di una variante altamente personalizzata di AsyncRAT, un trojan ad accesso remoto già utilizzato nelle campagne del 2024. Questa variante si appoggia a un complesso meccanismo di sandboxing che consente di eseguire il RAT in un ambiente protetto.

La versione di AsyncRAT di MirrorFace può essere compilata con specifiche caratteristiche per colpire una particolare vittima e può scaricare ed eseguire un client Tor per la comunicazione col server C2.

Il gruppo ha inoltre usato tool quali PuTTY, HiddenFace (un’altra backdoor), Hidden Start e Rubeus per eseguire una serie di azioni post-compromissione e cercare di mantenere la persistenza sulle macchine colpite. Il gruppo ha eseguito i tool in maniera selettiva in base al tipo e al ruolo dell’utente che utilizzava la macchina compromessa.

L’impatto

Secondo l’analisi di WeLiveSecurity, il gruppo ha aspettato cinque giorni prima di cominciare l’attività di esfiltrazione dei dati. Al sesto giorno, la gang è riuscita a esportare dati sensibili da Chrome quali informazioni di contatto, dati per l’autoriempimento dei form e le informazioni delle carte di credito memorizzate sul browser.

Nonostante abbia colpito un’entità europea, il gruppo continua ad agire contro il governo giapponese: “Durante questo attacco, il gruppo ha sfruttato l’imminente World Expo 2025 come esca. Ciò dimostra che, anche considerando questo nuovo obiettivo geografico più ampio, MirrorFace rimane focalizzato sul Giappone e sugli eventi ad esso correlati” hanno spiegato i ricercatori di WeLiveSecurity.

L’intervento dei ricercatori ha permesso all’entità colpita di eliminare la presenza del gruppo sulle proprie macchine, ma ci sono ancora diversi punti oscuri riguardo le attività del gruppo che preoccupano gli esperti e aumentano la probabilità che MirrorFace torni presto all’attacco.

---

---

---

https://www.securityinfo.it/2025/03/19/mirrorface-ha-colpito-un-ente-diplomatico-europeo/?utm_source=rss&utm_medium=rss&utm_campaign=mirrorface-ha-colpito-un-ente-diplomatico-europeo

A report from KnowBe4 assesses the cybersecurity posture of the education sector. According to the report, the education sector is not prepared for the escalating cyber threat landscape. Both primary and higher education institutions typically rely on third-party vendors for IT services, cloud storage and software-as-a-service, which could open these education institutions up to risk as breaches within third-party vendors can go undetected. 

Intruding in education systems is easier for malicious actors due to limited resources and rising demands for modernization, which leave education institutions with mixed modern and legacy IT systems. This could compromise sensitive data on outdated and exploitable systems. 

The most prominent attack in the education sector is ransomware, while phishing was the most common technique to gain initial foothold. The most common email attachments to distribute malware were PDFs, HTML files and executables.  

The report emphasizes the value of security awareness training in the education sector. After a year or more of training, employee susceptibility to phishing attempts decreased from 33.4% to 3.9% in small educational institutions.  

https://www.securitymagazine.com/articles/101480-education-sector-unprepared-for-evolving-cyberattacks-research-finds

Evasive Panda è uno dei gruppi APT cinesi più sofisticati nel panorama del cyber spionaggio, operando con tecniche avanzate per infiltrarsi in reti governative, accademiche e organizzazioni non governative. La sua attività si inserisce nel contesto più ampio delle minacce persistenti avanzate (APT), caratterizzate da attacchi mirati e di lunga durata, volti al furto di informazioni sensibili e alla raccolta di dati strategici. Questo articolo analizza il modus operandi di Evasive Panda, evidenziando le tecniche utilizzate, gli obiettivi perseguiti e le contromisure adottate per mitigare il rischio di compromissione.

Introduzione

Investigare un attacco APT di matrice asiatica è sempre un lavoro complesso, reso più arduo dalla costanza e dedizione che questo tipo di attaccanti pongono in atto quando riescono a perforare il perimetro informatico posto a protezione di un loro bersaglio designato.

A differenza di altri gruppi APT, gli asiatici e in particolare i cinesi, sono attaccanti estremamente persistenti e metodici e laddove si trovino ad operare in un contesto ordinario, composto da meccanismi di protezione e di sistemi operativi tradizionali, diventano veramente molto difficili da espellere.

Posso portare numerosi esempi, per esperienza diretta, di attacchi operati a danno di infrastrutture pubbliche e private che, basando le loro protezioni su soluzioni commerciali, prive di significative personalizzazioni, hanno visto questi attaccanti introdursi nel contesto, muoversi lateralmente e raggiungere reti segregate in maniera efficiente per poi, attivando dei canali di esfiltrazione dedicati, riuscire a trafugare documentazione sensibile, progetti, brevetti e altro.

Resta da notare che comparandoli a gruppi APT più creativi, essi risultino più noiosi da affrontare a dispetto di una minore sofisticazione tecnica, sia per quanto riguarda le tecniche di attacco che gli exploit che adottano e che la loro persistenza è di gran lunga il più grande dei problemi da affrontare quando li si deve espellere da un contesto.

In effetti, questi attaccanti puntano all’uso di exploit e tecniche rodate, invece di rischiare espedienti inediti che non padroneggiano e questo si riflette anche nel tipo di approccio che scelgono quando devono decidere quale tipo di malware usare e quali passi compiere una volta riuscita la prima fase dell’attacco.

I gruppi APT cinesi sono noti per la loro attenzione al furto di proprietà intellettuale, al cyber-spionaggio economico e alla raccolta di informazioni sensibili relative a tecnologie avanzate. La loro strategia si distingue per l’ampiezza degli obiettivi, che spaziano dalle grandi multinazionali ai settori accademici e governativi, con un focus particolare sulle industrie strategiche come l’energia, le telecomunicazioni e la difesa. La metodologia cinese è caratterizzata da una combinazione di tecniche avanzate e approcci “a rete”, in cui un numero elevato di attori collabora in modo spesso decentralizzato.

Tra i numerosi gruppi APT cinesi censiti dal MITRE, Evasive Panda (conosciuto anche come Bronze Highland o Zipmagic) rappresenta un caso particolarmente interessante.

Attivo da almeno il 2012, questo gruppo si distingue per un approccio tecnicamente più sofisticato per attuare le sue operazioni di spionaggio informatico. I principali bersagli di Evasive Panda sono entità governative, organizzazioni non governative (ONG) che supportano dissidenti e istituzioni accademiche, con una marcata attenzione alle aree geografiche sensibili per gli interessi geopolitici cinesi, come il Sud-est asiatico, il Tibet e lo Xinjiang.

Evasive Panda: Tattiche, Tecniche e Procedure

Il gruppo è noto per l’uso di strumenti personalizzati e di malware specificamente sviluppati per le sue operazioni, come il noto trojan MgBot. Un Trojan basato su un framework software, che consente di esfiltrare dati sensibili, monitorare le comunicazioni in tempo reale e semplificare i movimenti laterali dell’attaccante.

Una delle peculiarità di Evasive Panda è la sua spiccata propensione ad adottare tecniche di compromissione basate su exploit zero-day, un aspetto inusuale per i gruppi APT asiatici.

In aggiunta, l’attaccante ha mostrato di padroneggiare le tecniche di infezione basate sulle modifiche di software commerciali per diffondere i propri malware e l’adozione di componenti che rendono difficile l’analisi forense.

Obiettivi e Motivi

Gli obiettivi di Evasive Panda evidenziano una priorità data alla raccolta di informazioni legate a questioni politiche e di sicurezza interna. In particolare, le sue attività sembrano allineate con gli interessi del governo cinese in materia di monitoraggio e controllo di movimenti dissidenti o separatisti. Ad esempio, diverse campagne attribuite al gruppo si sono concentrate su ONG che operano in Tibet e ad aziende operanti a Taiwan aree critiche per l’agenda politica di Pechino.

Comparazione con altri Gruppi APT

Rispetto ad altri gruppi come APT41 (conosciuto per il mix di attività di spionaggio e crimine informatico), Evasive Panda si distingue per la sua vocazione allo spionaggio politico. Mentre gruppi come Ghostwriter (“UNC1151”) o APT28 (“Fancy Bear”) si concentrano maggiormente su campagne di disinformazione o su azioni di spionaggio eclatanti, Evasive Panda opera in modo discreto, concentrandosi sulla raccolta di dati evitando attentamente di guadagnare l’attenzione mediatica a causa delle sue azioni e da questo deve il suo nome.

In sintesi, Evasive Panda rappresenta un esempio emblematico di come i gruppi APT cinesi combinino tecnologia avanzata, strategie di lungo termine e obiettivi geopolitici per perseguire interessi nazionali.

Attacchi noti

Una delle campagne più rilevanti attribuite a Evasive Panda è stata scoperta da ESET nel marzo 2024. In questa operazione, il gruppo ha compromesso il sito web del Kagyu International Monlam Trust, un’organizzazione con sede in India che promuove il buddismo tibetano a livello internazionale.

Approfittando dell’attenzione rivolta al Monlam Festival, un raduno religioso annuale, gli aggressori hanno inserito codice malevolo nel sito per creare un attacco di tipo “watering hole”. Questo attacco mirava a distribuire malware, tra cui il trojan MgBot e una backdoor denominata Nightdoor, ai visitatori del sito, con l’obiettivo di spiare la comunità tibetana in diversi Paesi, tra cui India, Taiwan, Hong Kong, Australia e Stati Uniti.

In un’altra operazione, Evasive Panda ha compromesso il sito web di una società indiana sviluppatrice di software di traduzione in lingua tibetana. Gli aggressori hanno distribuito versioni trojanizzate degli installer per Windows e macOS, infettando gli utenti con downloader malevoli che installavano MgBot o Nightdoor. Questa campagna ha preso di mira nuovamente la comunità tibetana, sfruttando la fiducia riposta in software legittimi per facilitare l’infezione.

Queste operazioni confermano l’uso, da parte di Evasive Panda, di tecniche sofisticate per compromettere le reti e i dispositivi bersaglio.

Investigare Evasive Panda

Il nostro caso si è aperto nel mese di Settembre 2024 quando una ONG operante in Europa, impegnata nel supporto a dissidenti e persone emigrate per motivi politici, è stata vittima di un attacco informatico che ha preso di mira i dispositivi di due suoi impiegati frequentemente in viaggio.

Modalità di attacco

L’attacco si è realizzato attraverso un’azione di spear-phishing che è partita dall’invio di due email all’apparenza legittime da due account Proton mail originariamente usati da un dissidente cinese rifugiatosi in Turchia.

In realtà questi due messaggi contenevano link a un loader che, una volta attivato, installava MgBot e il toolkit Cloudscout sulle macchine vittima.

La meccanica con cui l’attaccante ha compromesso le prime due macchine è illustrata nella figura seguente:

Ottenuto il controllo da remoto dei due laptop l’attaccante, grazie alle funzionalità dei moduli di Cloudscout, ha potuto trafugare i session-cookie creati di volta in volta dall’utente per accedere ai sistemi remoti della NGO e grazie a questo ha potuto operare accessi abusivi successivamente, senza la necessità di autenticarsi e bypassando il meccanismo più importante posto a guardia dei dati e degli asset, ovvero la “Multi-Factor Authentication”
(MFA).

Grazie a questa prima azione, l’attaccante ha potuto accedere e poi utilizzare gli account delle due vittime per inviare messaggi ad altri soggetti interni all’organizzazione e da qui, riuscendo ad infettare altri utenti, ha potuto raggiungere i server della ONG, indicizzando informazioni riservate e prelevando dati archiviati in repository interni e in cloud della ONG.

Analisi tecnica

CloudScout è un framework malware .NET composto da più moduli che prendono di mira diversi servizi cloud.

Il nome CloudScout deriva dai percorsi PDB dei moduli ottenuti dall’analisi del malware:

Lasciando il compito dell’approfondimento del malware ad un ottimo articolo di ESET, rimane essenziale per comprenderne la capacità operativa, considerare che al suo interno sono configurati sette moduli della sezione CommonUtilities ognuno selettivamente attivabile durante un attacco, e corrispondente a un diverso servizio cloud.

La tabella di seguito definisce ogni modulo e il suo corrispettivo servizio cloud:

Come confermato da ESET, lo scopo di alcuni di questi moduli rimane indeterminato, ma nel nostro caso l’attaccante ha fatto uso di Nextcloud per accedere alle informazioni più importanti, nella sua attività di spionaggio.

Allarme iniziale

Sfortunatamente, solo due settimane dopo l’iniziale compromissione dei laptop dei due operatori la ONG si è resa conto di essere stata compromessa.

La presenza di un tunnel SSL a partire da una macchina interna ha avviato l’analisi a cui è seguita la richiesta di supporto da parte del mio team.

L’avvio dell’investigazione è stato piuttosto complesso, a causa delle regole di ingaggio atipiche applicate dalla ONG che ha preteso la mappatura puntuale e preventiva di ogni accesso ai sistemi server da parte degli operatori del mio team.

Questo ha dilatato oltremodo le operazioni e ha fatto perdere tempo prezioso, ma fortunatamente la vittima è stata accomodante sulle nostre richieste di evitare azioni irrazionali nella prima fase dell’analisi.

Ovviamente è apparso chiaro, sin dall’inizio, che l’attaccante aveva avuto tempo e possibilità di muoversi indisturbato e che ogni eventuale azione sulle macchine compromesse avrebbe immediatamente allertato l’attore rendendo l’investigazione molto più complessa e tortuosa.

Dal punto di vista operativo, il team di investigazione ha puntato ai seguenti obiettivi:

• Aumentare la visibilità di rete tramite una piattaforma NDR
• Avviare l’analisi forense in modalità non invasiva sulle macchine sospettate di compromissione
• Preparare un’azione rapida e precisa di eradicazione dell’attaccante.

Tutte operazioni partite e condotte a poche ore dall’avvio dell’investigazione.

Aumentare la visibilità di rete tramite una piattaforma NDR. La visibilità di rete garantita da un sistema di Network Detection and Response (NDR), ha giocato un ruolo cruciale nella fase iniziale dell’investigazione.

Grazie a questa dimensione dell’analisi è possibile ottenere rapidamente risultati su tutta una serie di potenziali aree di lavoro. La visibilità di rete permette infatti:

• di identificare e contenere rapidamente l’attacco.
• Fornisce i dati necessari per ricostruire la catena degli eventi.
• Supporta il monitoraggio in tempo reale delle attività malevole.
• Aiuta a mitigare gli effetti e prevenire attacchi futuri.
• Offre prove forensi per analisi legali o conformità normativa.

Senza visibilità di rete, l’analista è costretto a operare “al buio”, rendendo estremamente difficile rispondere efficacemente a un attacco in corso. Nel nostro caso invece, il team investigativo ha optato per un monitoraggio approfondito del traffico di rete. Questo approccio ha permesso di:

1. • Comprendere la portata dell’attacco, identificando con precisione le macchine controllate dall’attaccante.
   • Individuare gli account utilizzati per accedere ai sistemi e mappare i movimenti laterali dell’attaccante.
   • Segregare gli asset critici dalle macchine compromesse, impedendo ulteriori accessi non autorizzati a informazioni riservate.

La soluzione NDR ha permesso infatti:

• Il rilevamento del tunnel attraverso cui l’attore esfiltrava i dati: Monitorando il traffico in uscita è stato possibile identificare sessioni anomale che in orari non canonici effettuavano traffico verso indirizzi IP sospetti.
• La presenza di CloudScout: Monitorando il traffico verso i servizi cloud (Google Drive, Gmail, Outlook, ecc.) è stato possibile identificare il malware in azione.
• Comunicazioni C2: Grazie all’analisi è stato possibile identificare la C2 del Trojan MgBot usato per controllare da remoto alcune macchine.
• Movimenti laterali: Attraverso la revisione delle attività interne è stato possibile triangolare vari movimenti laterali svolti dall’attaccante nella rete, come l’uso di strumenti di amministrazione remota.

La figura sottostante illustra il tunnel SSL usato dall’attaccante per svolgere l’esfiltrazione di dati:

Analisi forense: Grazie ai dati raccolti dall’NDR, è stato possibile espandere l’analisi ad altri sistemi, identificando per via forense con l’ausilio della soluzione di Endpoint Detection & Response (EDR) attiva i processi maliziosi attivi sulle macchine vittima raccogliendo evidenze chiave sui vettori di attacco utilizzati.

In aggiunta è stato possibile

1. • Analizzare i log di rete per tracciare le interazioni tra le macchine compromesse e i server remoti.
   • Preparare un piano dettagliato per l’espulsione degli attaccanti, evitando il rischio di una rimozione parziale che avrebbe potuto lasciare porte aperte per ulteriori intrusioni.

Nell’ambito del contenimento, a valle della prima triage, il team ha proceduto ad attivare una selettiva Revoca dei session cookie terminando le sessioni attive sugli account compromessi dopo aver reimpostato le credenziali di accesso.

Si sono inoltre rafforzate le protezioni dei server contenenti dati e asset critici implementando un monitoraggio puntuale degli accessi e cambiando gradualmente la soluzione MFA in modo da costringere l’attaccante a cambiare modalità di lavoro.

Conclusioni

L’attacco condotto da Evasive Panda dimostra l’elevato livello di sofisticazione raggiunto e l’importanza di adottare misure di sicurezza avanzate per proteggere le organizzazioni operanti in settori sensibili.
L’uso di un NDR ha permesso al team investigativo di ottenere una visione chiara e completa dell’attacco, favorendo una gestione più efficace della risposta.
La protezione delle informazioni sui dissidenti è cruciale non solo per la sicurezza delle persone coinvolte, ma anche per il mantenimento della fiducia nel lavoro delle ONG.

https://www.ictsecuritymagazine.com/articoli/evasive-panda-apt/

Menlo Threat Intelligence has identified more than 752,000 browser-based phishing attacks in the past 12 months. These attacks have spanned across more than 800 enterprises and represent a 140% year-over-year increase. There was also a 130% increase in zero-hour phishing incidents. 

The research also found a rise in fraud driven by generative AI, with nearly 600 cases observed. Furthermore, malicious actors are using generative AI to leverage browser flaws, steal user credentials, and circumvent conventional security measures. 

Krishna Vishnubhotla, Vice President, Product Strategy at Zimperium, comments, “Phishing attacks have long exploited the mobile form factor, as attackers recognized it as the ideal environment for credential theft. Before the advent of GenAI, attackers were already adept at rapidly creating new domains to bypass traditional phishing detection tools. The focus was on speed and creating domains quickly to evade detection and launch attacks.

“However, with the rise of GenAI, phishing attacks have become more sophisticated and automated, making traditional security tools increasingly ineffective, particularly on mobile. Sophistication shows up in the form of highly realistic and personalized, well-written phishing content at scale across all mobile phishing (mishing) vectors, including audio, video, and voicemail. The automation aspect allows attackers to clone websites in seconds, making brand impersonation easier. 

“Combining these capabilities with the form factor or mobile browsers, with their limited URL visibility and reliance on auto-login features, provides the perfect storm for attackers to steal credentials without raising suspicion. When you combine this, a 140% surge in browser-based phishing attacks and the 130% increase in zero-hour phishing attacks makes sense. The situation will only worsen as GenAI models improve and attackers start sharing capabilities and establishing Phishing-as-a-Service models to make money. 

“Organizations must adopt real-time, AI-driven mobile security to detect and block phishing before users are compromised. Relying on outdated defenses is no longer enough—security must evolve as fast as the threats.”

Other key findings from the report include: 

• Malicious actors developed nearly 1 million phishing sites per month, showing a 700% increase since 2020
• Over half of browser-based phishing attacks incorporated brand impersonation 
• 75% of phishing links are hosted on trusted websites

https://www.securitymagazine.com/articles/101479-phishing-based-attacks-have-risen-140-year-over-year

Questo articolo è l’ultimo della serie sul tema della DLP (Data Loss Prevention) elaborata da Vito Sinforoso. L’autore esplora le implicazioni legali e pratiche dell’implementazione di soluzioni DLP, con particolare attenzione al bilanciamento tra la sicurezza aziendale e i diritti dei lavoratori.

Tutela della privacy del dipendente e implementazione della Data Loss Prevention (DLP)

Corre l’obbligo di interrogarsi se l’implementazione di una soluzione di Data Loss Prevention possa confliggere con normative a tutela della privacy del dipendente. Il potere di controllo del datore di lavoro, in altre parole, deve trovare un giusto contemperamento tra la sua esigenza di evitare condotte illecite da parte del dipendente ed il diritto di quest’ultimo alla propria riservatezza.

La norma chiamata in causa è la Legge 20 maggio 1970, n. 300 c.d. “Statuto dei lavoratori”, che all’art. 4 contempla le disposizioni relative ai cosiddetti “controlli a distanza” dei lavoratori.

Nell’attuale formulazione, detta norma prevede che «gli impianti audiovisivi e gli altri strumenti dai quali derivi anche la possibilità di controllo a distanza dell’attività dei lavoratori possono essere impiegati esclusivamente per:

• esigenze organizzative e produttive;
• la sicurezza del lavoro;
• la tutela del patrimonio aziendale,

e possono essere installati previo accordo collettivo stipulato dalla rappresentanza sindacale unitaria o dalle rappresentanze sindacali aziendali».

In mancanza di accordo, gli impianti e gli strumenti possono essere installati previa autorizzazione dell’Ispettorato del Lavoro.

Dalla lettura della norma emerge quindi che per attivare dei dispositivi di vigilanza o altri tipi di strumenti di controllo, in grado di poter anche controllare a distanza l’attività dei lavoratori, è indispensabile il verificarsi di due condizioni, ossia un’esigenza aziendale qualificata e l’esercizio con esito positivo della procedura in sede sindacale o amministrativa (autorizzazione dell’Ispettorato del Lavoro), quest’ultima in mancanza di rappresentanze sindacali.

Il secondo comma del citato art. 4 liberalizza il ricorso «agli strumenti utilizzati dal lavoratore per rendere la prestazione lavorativa e agli strumenti di registrazione degli accessi e delle presenze», sottraendoli all’applicazione del 1° comma.

Il terzo comma, infine, prevede la facoltà di impiegare le risultanze dei controlli compiuti, a condizione che sia stato esperito il preventivo adempimento, ad opera del datore, dell’onere di informativa sulle «modalità d’uso degli strumenti e di effettuazione dei controlli» e del rispetto della normativa sulla privacy.

Quanto alla ratio, la giurisprudenza della Corte di Cassazione[1] ha evidenziato che la disposizione in parola è diretta a contenere, analogamente ad altre norme, “le manifestazioni del potere organizzativo e direttivo del datore di lavoro che, per le modalità di attuazione incidenti nella sfera della persona, si ritengono lesive della dignità e della riservatezza del lavoratore, sul presupposto … che la vigilanza sul lavoro, ancorché necessaria nell’organizzazione produttiva, vada mantenuta in una dimensione umana, e cioè non esasperata … eliminando ogni zona di riservatezza e di autonomia nello svolgimento del lavoro”.

In tale contesto, la procedura autorizzativa sindacale (nonché amministrativa) da esperire antecedentemente all’installazione di “impianti ed apparecchiature ricollegabili ad esigenze produttive contempera l’esigenza di tutela del diritto dei lavoratori a non essere controllati a distanza e quello del datore di lavoro, o, se si vuole, della stessa collettività, relativamente alla organizzazione, produzione e sicurezza del lavoro”.

L’attuale formulazione dell’art. 4 dello Statuto dei Lavoratori è frutto delle modifiche apportate dal D.Lgs. 14 settembre 2015, n. 151 (c.d. Jobs Act), che ha aggiunto, in sintesi e per quanto di interesse per questo elaborato, le ragioni della “tutela del patrimonio aziendale” tra le finalità per cui è possibile installare impianti audiovisivi, previo accordo con le rappresentanze sindacali.

Controlli difensivi: evoluzione giurisprudenziale e applicazione pratica

Prima della modifica normativa, la tutela del patrimonio aziendale veniva collocata nell’ambito di applicazione dei cosiddetti “controlli difensivi”, i quali trovano la loro origine in un concetto elaborato dalla giurisprudenza, appunto in epoca antecedente alla menzionata modifica.

Secondo tale indirizzo, “esulano dall’ambito di applicazione dell’art. 4, comma 2, St. lav. e non richiedono l’osservanza delle garanzie ivi previste, i “controlli difensivi” da parte del datore se diretti ad accertare comportamenti illeciti e lesivi del patrimonio e dell’immagine aziendale, tanto più se disposti ex post, ossia dopo l’attuazione del comportamento in addebito, così da prescindere dalla mera sorveglianza sull’esecuzione della prestazione lavorativa”[2].

Secondo la giurisprudenza, quindi, i controlli a distanza, predisposti dal datore di lavoro e detti “difensivi”, non rientravano nel campo di applicazione del previgente art. 4 se fossero state sussistenti due condizioni necessarie ed una eventuale: la finalità del datore di lavoro di accertare comportamenti illeciti del lavoratore; che gli illeciti da accertare fossero lesivi del patrimonio aziendale; che i controlli fossero stati disposti ex post, ossia dopo l’attuazione del comportamento in addebito, così da prescindere dalla mera sorveglianza sull’esecuzione della prestazione lavorativa [3]. Tale ultimo presupposto era, tuttavia, considerato come eventuale dalla giurisprudenza vigente, poiché ritenuto un fattore avente funzione meramente confermativa della effettività del controllo difensivo[4].

Le novità introdotte nel 2015 non riuscirono a chiarire il quadro all’interno del quale inserire i controlli difensivi e le divisioni dottrinarie e giurisprudenziali continuarono a permanere[5]: “da un lato, c’è chi ritiene che i controlli difensivi siano stati ormai pienamente assorbiti nella nuova regolamentazione legale, con la conseguenza che gli stessi sono consentiti solo tramite impianti debitamente autorizzati, quando necessario, e comunque nel rispetto degli obblighi informativi. Dall’altro chi, invece, propone un aggiornamento del concetto di controllo a distanza al fine di sostenerne la sopravvivenza, in deroga all’art. 4 dello Statuto, in una prospettiva di ineliminabile bilanciamento dei contrapposti interessi”[6].

La sentenza della Corte di Cassazione n. 25732

Sul punto, ossia sulla sopravvivenza dei controlli difensivi, è intervenuta la sentenza della Corte di Cassazione n. 25732 del 22 settembre 2021, già citata in nota, che introduce un duplice concetto di controlli difensivi, in senso lato ed in senso stretto.

I primi sono quelli posti a tutela del patrimonio aziendale e “riguardano tutti i dipendenti (o gruppi di dipendenti) nello svolgimento della loro prestazione di lavoro che li pone a contatto di tale patrimonio”. I secondi invece sono quelli “diretti ad accertare specificamente condotte illecite ascrivibili – in base a concreti indizi – a singoli dipendenti, anche se questo si verifica durante la prestazione di lavoro”.

La suprema Corte ritiene che i controlli difensivi in senso stretto si collochino, indipendentemente dagli strumenti con cui vengono effettuati, in continuità con il passato “all’esterno del perimetro applicativo dell’art. 4” e ciò in quanto non hanno “ad oggetto la normale attività del lavoratore”[7].

La sentenza prosegue fornendo alcune avvertenze per l’applicazione dei controlli difensivi definiti in “senso stretto”; il controllo difensivo:

• non può degenerare in un annullamento dei margini di riservatezza del lavoratore;
• deve rispettare i principi di proporzionalità e di minimizzazione;
• deve essere un controllo a posteriori, dovendo fondarsi su un ragionevole sospetto della commissione di un illecito da parte del lavoratore.

La sentenza in esame chiarisce, inoltre, che il controllo:

“non dovrebbe riferirsi all’esame ed all’analisi di informazioni acquisite in violazione delle prescrizioni di cui all’art. 4 St.lav., poiché, in tal modo opinando, l’area del controllo difensivo si estenderebbe a dismisura, con conseguente annientamento della valenza delle predette prescrizioni.

Il datore di lavoro, infatti, potrebbe, in difetto di autorizzazione e/o di adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli, nonché senza il rispetto della normativa sulla privacy, acquisire per lungo tempo ed ininterrottamente ogni tipologia di dato, provvedendo alla relativa conservazione, e, poi, invocare la natura mirata (ex post) del controllo incentrato sull’esame ed analisi di quei dati.

In tal caso, il controllo non sembra potersi ritenere effettuato ex post, poiché esso ha inizio con la raccolta delle informazioni; quella che viene effettuata ex post è solo una attività successiva di lettura ed analisi che non ha, a tal fine, una sua autonoma rilevanza”.

In definitiva, la sentenza in commento si pone in linea di sostanziale continuità rispetto alla giurisprudenza che l’aveva preceduta, rendendo peraltro cogente un presupposto, quello della posteriorità del controllo rispetto all’illecito (rectius: al ragionevole sospetto della commissione di un illecito[8]).

Il quadro viene poi completato dalla sentenza n. 25731/2021, che condivide l’interpretazione del nuovo art. 4 dello Statuto e afferma il principio della inutilizzabilità dei dati/informazioni, acquisiti attraverso i sistemi e dispositivi indicati dal primo e secondo comma, «a tutti i fini connessi al rapporto di lavoro» (e quindi anche ai fini disciplinari) in assenza della previa informazione dei dipendenti circa le modalità di registrazione dei dati.

Conflitto tra obblighi di sicurezza DLP e garanzie sindacali

Alla luce di quanto fin qui argomentato e considerata la tipologia di controlli posti in essere con l’adozione di soluzioni di Data Loss Prevention nell’ambito di un’organizzazione (sia essa pubblica o privata), tra cui il costante monitoraggio del sistema informativo, non possa prescindere dall’attivazione delle garanzie sindacali previste per quei sistemi in grado di costituire una qualsiasi forma di controllo a distanza dell’attività dei lavoratori.

Così concepita, una soluzione DLP deve ritenersi inclusa nella cosiddetta categoria dei controlli difensivi in senso lato, rivolgendosi ad una pluralità di lavoratori e proprio per questo necessitanti di garanzie collettive che l’ordinamento individua nelle prerogative sindacali ovvero nell’autorizzazione amministrativa.

In ogni caso, secondo quanto previsto dal 3° comma dell’art. 4 dello Statuto dei lavoratori, affinché le informazioni, raccolte nel contesto autorizzativo e secondo i presupposti indicati nel comma 1 dello stesso articolo (riassumendo, esigenze organizzative e produttive, sicurezza del lavoro, tutela del patrimonio aziendale, regime autorizzativo sindacale o amministrativo), siano utilizzabili a tutti i fini connessi al rapporto di lavoro, comprese le finalità disciplinari, è necessario che sia stata “data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli e nel rispetto di quanto disposto dal decreto legislativo 30 giugno 2003, n. 196”[9].

Le stesse soluzioni di DLP potrebbero essere di supporto al datore di lavoro per provare un comportamento illecito da parte di un dipendente, purché il controllo sia effettivamente realizzato a posteriori, ossia a seguito del sorgere, in capo al datore, di un fondato sospetto circa la commissione di illeciti ad opera del lavoratore, e il datore stesso provveda, solo da quel momento, alla raccolta delle informazioni.

Tuttavia, appare poco realistico che una soluzione di DLP, per la sua complessità applicativa, possa essere approntata all’occorrenza e cioè al sorgere di un ragionevole sospetto di commissione di un illecito lesivo del patrimonio aziendale.

È più agevole ipotizzare che detta soluzione venga adottata come sistema di controllo a distanza del lavoratore e che, all’insorgere del fondato sospetto, le sue risultanze vengano utilizzate dal datore di lavoro a sostegno delle proprie ragioni, sempre che siano state assicurate le garanzie di cui all’art. 4.

Appare evidente, inoltre, un sostanziale contrasto di norme relative all’adozione delle soluzioni di DLP, atteso che da una parte vi sono disposizioni di carattere amministrativo (la Delibera del Presidente del Consiglio dei Ministri e la circolare AgID 2/2017) che impongono alle pubbliche amministrazioni di adeguarsi a standard minimi di sicurezza informatica, tra cui appunto anche l’implementazione di soluzioni DLP; dall’altra vigono disposizioni, quali il più volte citato art. 4 dello Statuto dei lavoratori, che condizionano l’installazione di sistemi da cui possa derivare il controllo a distanza dei lavoratori ad un accordo sindacale ovvero ad un’autorizzazione amministrativa.

Si rileva come non ci si trovi dinanzi ad una mancanza formale di coordinamento tra le norme; trattandosi di disposizioni avente un diverso rango nella gerarchia delle fonti, il contrasto si risolverebbe facilmente a favore della norma di rango superiore, ossia la Legge 300/1970.

Tuttavia, ci si potrebbe trovare nella situazione in cui il mancato accordo sindacale (o la mancata autorizzazione da parte dell’Ispettorato del Lavoro) sarebbe di ostacolo all’attivazione di soluzioni di tutela informatica, la cui importanza è di assoluto rilievo sia per l’organizzazione, che per gli stessi dipendenti.

Per assurdo, il confronto sindacale potrebbe giungere, nel momento in cui si ponga in posizione ostativa all’accordo con il datore di lavoro, ad impedire l’attivazione di sistemi idonei non solo a tutelare il patrimonio aziendale (o dell’amministrazione pubblica) ma anche i diritti e gli interessi degli stessi lavoratori, venendo meno alla sua funzione primaria di tutela di questi ultimi. È fuori di dubbio, infatti, che la perdita di dati potrebbe riguardare informazioni degli stessi dipendenti, ponendo a repentaglio il loro diritto alla riservatezza.

Ove, invece, l’implementazione di soluzioni di DLP venga interpretata come obbligo discendente dalle disposizioni dettate dal GDPR, il coordinamento tra le norme vedrebbe prevalere quest’ultimo, con buona pace delle garanzie previste dall’art. 4 dello Statuto dei lavoratori.

Sul punto, tuttavia, non sono ancora disponibili contributi giurisprudenziali né auspicabili chiarimenti da parte del Legislatore o dell’Autorità di Governo.

È ipotizzabile che, in tale situazione, un datore di lavoro, sia esso pubblico o privato, si attivi in ogni caso per conseguire un accordo con le rappresentanze sindacali, adducendo tra le motivazioni per l’installazione dei sistemi anche quelle legate al rispetto di norme di carattere europee e nazionale oltre che all’esigenza di tutela del patrimonio aziendale (o dell’amministrazione).

Nuove disposizioni e linee guida per la sicurezza informatica DLP nella PA

Un’ulteriore disposizione di interesse con riferimento ai controlli in tema di sicurezza sui sistemi informatici e telematici può essere rinvenuta in una norma di recente adozione. Il DPR nr. 81 del 13.06.2023, entrato in vigore il 14 luglio 2023, aggiorna il Regolamento recante il “Codice di comportamento dei dipendenti pubblici”, introdotto dal DPR 16 aprile 2013, n. 62, ricomprendendo al suo interno norme per l’utilizzo delle tecnologie informatiche, attraverso l’aggiunta dell’art. 11- bis[10].

Detta disposizione prevede, tra l’altro, che “L’amministrazione, attraverso i propri responsabili di struttura, ha facoltà di svolgere gli accertamenti necessari e adottare ogni misura atta a garantire la sicurezza e la protezione dei sistemi informatici, delle informazioni e dei dati. Le modalità di svolgimento di tali accertamenti sono stabilite mediante linee guida adottate dall’Agenzia per l’Italia Digitale, sentito il Garante per la protezione dei dati personali”.

La facoltà di cui parla l’art. 11-bis appare non del tutto in linea con le disposizioni del GDPR, norma di rango superiore, in cui le organizzazioni (tecnicamente, il titolare del trattamento e il responsabile del trattamento) sono tenute a mettere in atto (quindi non una facoltà) misure tecniche e organizzative adeguate, per garantire un livello di sicurezza adeguato al rischio.

L’art. 32 del Regolamento, nell’indicare alcune di queste misure, menziona tra le altre, anche la previsione di una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento (procedure che ben possono coincidere, almeno parzialmente, con soluzioni di DLP); l’obbligo in questione è peraltro sanzionato dall’art. 83 dello stesso Regolamento.

Il citato art. 11-bis, inoltre, rimanda a linee guida da adottare a cura dell’Agenzia per l’Italia Digitale, sentito il Garante per la protezione dei dati personali per individuare “le modalità di svolgimento di tali accertamenti”.

Al momento di redazione del presente elaborato, le suddette linee guida non sono state ancora adottate. In merito, si ritiene possa essere utile che le stesse ribadiscano anche la necessità di prevedere l’adozione, da parte dei datori di lavoro o delle amministrazioni, di un disciplinare riportante indicazioni chiare, aggiornate ed efficaci a favore dei lavoratori.

Già nel 2007, il Garante per la Protezione dei Dati Personali, aveva emanato “le linee guida del Garante per posta elettronica e internet”, in cui affrontava la tematica delle misure che ogni organizzazione deve attuare e far rispettare ai propri dipendenti, nella gestione della posta elettronica d’ufficio e nella navigazione nella rete Internet.

In tal senso, le linee guida prevedevano che: “Grava quindi sul datore di lavoro l’onere di indicare in ogni caso, chiaramente e in modo particolareggiato, quali siano le modalità di utilizzo degli strumenti messi a disposizione ritenute corrette e se, in che misura e con quali modalità vengano effettuati controlli. Ciò, tenendo conto della pertinente disciplina applicabile in tema di informazione, concertazione e consultazione delle organizzazioni sindacali”.

La disposizione del Garante[11] prevede che il disciplinare debba essere redatto in modo semplice e senza formule generiche e sottoposto a continuo aggiornamento; inoltre, è riportato un dettagliato elenco di avvertenze che il documento dovrebbe riportare come indicazione minima. La sua utilità starebbe tutta nella sua capacità di rappresentare al lavoratore le migliori pratiche da seguire e nel contempo i comportamenti vietati, nonché avvisarlo delle modalità e le tempistiche con cui vengono effettuati i controlli da parte del datore di lavoro o dell’amministrazione.

Gestione della posta elettronica aziendale: le nuove indicazioni del Garante

Infine, di recente il Garante è tornato sul tema della gestione della posta elettronica aziendale con un documento di indirizzo[12] del 21 dicembre 2023, avente ad oggetto “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”. Nel documento, è stato evidenziato come la conservazione dei metadati delle mail aziendali (giorno, ora, mittente, destinatario, oggetto e dimensione dell’e-mail) va limitata a un massimo di sette giorni che in caso di “comprovate esigenze” possono essere estesi di ulteriori 48 ore.

Secondo il Garante, i datori di lavoro che abbiano l’esigenza di trattarli per più tempo dovranno attivare le procedure di garanzia previste dall’art. 4 dello Statuto dei lavoratori, passando per un accordo sindacale o per l’autorizzazione dell’Ispettorato del lavoro.

Il Garante, partendo dall’analisi di alcuni software di gestione della posta aziendale, ha rilevato che gli stessi conservano i metadati delle mail, ossia informazioni parallele quali l’ora, il giorno, la dimensione, il destinatario ecc. dalla cui analisi, per un periodo di conservazione non giustificato, può derivarne un “indiretto controllo a distanza” dell’attività del lavoratore, con possibile acquisizione di informazioni sulle sue opinioni politiche, religiose o sindacali. Detti software non consentirebbero al momento la possibilità per il datore di impostare diversamente i tempi di conservazione dei dati.

Il Garante si rivolge, quindi, sia ai datori di lavoro che ai produttori di servizi di gestione della corrispondenza elettronica aziendale; ai primi impone di “adottare le misure necessarie a conformare i propri trattamenti alla disciplina di protezione dati e a quella di settore. In particolare, si rende necessario verificare con la dovuta diligenza che i programmi e servizi informatici di gestione della posta elettronica in uso ai dipendenti … consentano al cliente (datore di lavoro) di modificare le impostazioni di base, impedendo la raccolta dei predetti metadati o limitando il periodo di conservazione degli stessi ad un limite massimo di sette giorni, estensibile di ulteriori 48 ore”.

I produttori dei servizi e delle applicazioni, a loro volta, sono invitati in fase di sviluppo e progettazione degli stessi, a tenere conto del diritto alla protezione dei dati tenuto conto dello stato dell’arte.

Il documento del Garante indica poi chiaramente che:

“diversamente, i datori di lavoro pubblici o privati, in qualità di titolari del trattamento, dovranno alternativamente, nel caso in cui i trattamenti di dati personali in questione si dovessero comunque rendere necessari per il perseguimento di esigenze organizzative o produttive, espletare le procedure di garanzia previste dalla disciplina di settore (art. 4 della l. 300/1970) o cessare l’utilizzo di tali programmi e servizi informatici.

Resta inteso che, nelle more dell’eventuale espletamento delle procedure di garanzia, i predetti metadati non possono comunque essere utilizzati.

In ogni caso, deve essere assicurata la necessaria trasparenza nei confronti dei lavoratori, fornendo agli stessi una specifica informativa sul trattamento dei dati personali prima di dare inizio al trattamento”.

Conclusioni

In questo elaborato, sono state analizzate le disposizioni normative e gli standard che raccomandano/impongono alle organizzazioni di adottare soluzioni di Data Loss Prevention (DLP). Conseguentemente, sono state approfondite le implicazioni dovute all’adozione di tali soluzioni e il loro impatto sulle normative sulla privacy nonché sui controlli a distanza effettuati in ambito lavorativo, come da indicazioni dell’art. 4 dello Statuto dei Lavoratori.

Ne emerge come l’implementazione di soluzioni DLP, nella loro funzione di tutela dei dati trattati dalle organizzazioni, debba tuttavia trovare un equilibrio tra la necessità di prevenire comportamenti illeciti da parte dei dipendenti e il rispetto del diritto di questi ultimi a che la vigilanza sul lavoro, ancorché necessaria nell’organizzazione produttiva, venga mantenuta in una dimensione umana e non esasperata.

Il riferimento a responsabilità dei dipendenti in situazioni di attacchi alla sicurezza cyber deriva dalla constatazione che il fattore umano costituisce una delle vulnerabilità più importanti nei sistemi di prevenzione della perdita dei dati.

È stato, quindi, necessariamente trattato il tema dei “controlli difensivi”, introdotti dalla giurisprudenza, e la cui sopravvivenza post Jobs Act, è stata confermata dalla sentenza della Corte di Cassazione n. 25732 del 2021, che ha delineato un doppio concetto di controlli difensivi, differenziando quelli in senso lato, rivolti ad una pluralità di lavoratori nella loro quotidiana attività lavorativa, da quelli in senso stretto, mirati a comprovare specifiche condotte illecite e giustificati da fondati sospetti.

Si è giunti alla conclusione che le soluzioni DLP devono essere collocate nella cosiddetta categoria dei controlli difensivi in senso lato, potendo interessare una pluralità di lavoratori; affinché la loro adozione non violi le disposizioni dello Statuto dei lavoratori, si ritiene indispensabile attivare le garanzie collettive sindacali o amministrative. In ogni caso, affinché le informazioni raccolte possano essere utilizzabili a tutti i fini connessi al rapporto di lavoro, comprese le finalità disciplinari, è necessario che sia stata data al lavoratore adeguata informazione delle modalità d’uso degli strumenti e di effettuazione dei controlli.

Le stesse soluzioni DLP potrebbero in ogni caso essere di supporto al datore di lavoro per provare un comportamento illecito da parte di un dipendente, purché il controllo sia effettivamente realizzato a posteriori, a seguito cioè del sorgere del fondato sospetto del datore circa la commissione di illeciti ad opera del lavoratore, e sempre che si provveda, da quel momento, alla raccolta delle informazioni.

È stato fatto, inoltre, riferimento al DPR n. 81 del 13 giugno 2023, che aggiorna il Codice di comportamento dei dipendenti pubblici includendo norme sull’utilizzo delle tecnologie informatiche. Emerge la necessità di garantire la sicurezza e la protezione dei sistemi informatici, delle informazioni e dei dati, stabilendo modalità di accertamento tramite linee guida che dovranno essere adottate dall’Agenzia per l’Italia Digitale.

Infine, è stato sinteticamente analizzato un documento di indirizzo di recente adozione del Garante per la Protezione dei Dati Personale, in cui viene affrontato il tema della conservazione dei metadati delle mail aziendali; il Garante dispone che la conservazione va limitata a un massimo di sette giorni che in caso di “comprovate esigenze” possono salire a nove. I datori di lavoro che abbiano, invece, l’esigenza di trattarli per più tempo hanno l’onere di attivare le procedure di garanzia previste dall’art. 4 dello Statuto dei lavoratori, passando per un accordo sindacale o per l’autorizzazione dell’Ispettorato del lavoro.

In definitiva, la complessità delle tecnologie che animano quotidianamente la nostra vita necessità di un approccio a tutto tondo e scevro da condizionamenti mentali. Se da un lato si pone l’adozione obbligatoria e precauzionale di politiche e di tecniche che mirano ad innalzare il livello di sicurezza degli utenti e dei loro dati, allo stesso tempo, se non adeguatamente analizzate sotto altri aspetti, le stesse possono introdurre ulteriori elementi di aggressione ai diritti. È proprio quanto emerso da questo lavoro che ha avuto modo di evidenziare gli indiscutibili vantaggi di soluzioni DLP, ma anche le problematiche che ne potrebbero derivare da una applicazione non in linea con le norme poste a tutela degli utenti-lavoratori.

In questo elaborato, sono state analizzate le disposizioni normative e gli standard che raccomandano/impongono alle organizzazioni di adottare soluzioni di Data Loss Prevention (DLP). Conseguentemente, sono state approfondite le implicazioni dovute all’adozione di tali soluzioni DLP e il loro impatto sulle normative sulla privacy nonché sui controlli a distanza effettuati in ambito lavorativo, come da indicazioni dell’art. 4 dello Statuto dei Lavoratori.

Ne emerge come l’implementazione di soluzioni DLP, nella loro funzione di tutela dei dati trattati dalle organizzazioni, debba tuttavia trovare un equilibrio tra la necessità di prevenire comportamenti illeciti da parte dei dipendenti e il rispetto del diritto di questi ultimi a che la vigilanza sul lavoro, ancorché necessaria nell’organizzazione produttiva, venga mantenuta in una dimensione umana e non esasperata.

Per approfondire ulteriormente questo argomento e scoprire tutti i dettagli tecnici e strategici legati al tema DLP, ti invitiamo a scaricare il white paper completo redatto da Vito Sinforoso “Data Loss Prevention: Privacy e Diritti dei Lavoratori“.

Note bibliografiche

[1] In tal senso, la Sent. Cass. Civ. Sez. Lav. del 22-09-2021, n. 25732 che richiama anche le Sentenze Cass. Civ. Sez. Lav. 17 luglio 2007, n. 15892 e 17 giugno 2000, n. 8250.

[2] Sent. Cass. Civ. Sez. Lav. n. 25732/2021 cit. che riporta la Sent. Cass. Civ. Sez. Lav. 28 maggio 2018, n. 13266 (nella fattispecie, veniva ritenuta legittima la verifica successivamente disposta sui dati relativi alla navigazione in Internet di un dipendente sorpreso ad utilizzare il computer di ufficio per finalità extralavorative), la Sent. Cass. Civ. Sez. Lav. 23 febbraio 2012, n. 2722 (che ha ritenuto legittimo il controllo effettuato da un istituto bancario sulla posta elettronica aziendale del dipendente accusato di aver divulgato notizie riservate concernenti un cliente e di aver posto in essere, grazie a tali informazioni, operazioni finanziarie da cui aveva tratto vantaggi propri).

[3] In merito, vedasi Sent. Cass. Civ. Sez. Lav. 5 ottobre 2016, n. 19922, che ha ritenuto illegittimo il controllo effettuato mediante GPS installato sulle vetture in uso ai lavoratori, in quanto predisposto ex ante ed in via generale ben prima che si potessero avere sospetti su una eventuale violazione da parte del lavoratore licenziato.

[4] Esso poteva mancare, essendo sufficiente il mero sospetto circa l’esecuzione di illeciti, quale ulteriore requisito di legittimità del controllo difensivo, senza che la natura difensiva del controllo venisse meno. Fonte: https://www.diritto.it/la-sopravvivenza-del-controllo-difensivo-nel-rapporto-di-lavoro-e-lutilizzabilita-dei-dati-acquisiti-dal-datore-di-lavoro/ (consultato in data 24/02/2024).

[5] R. Romei, Il “ragionevole sospetto” in Cassazione, in Riv.n.dir.lav. n. 1/2023, 1 ss. Fonte: https://www.lavorodirittieuropa.it/dottrina/principi-e-fonti/1283-il-ragionevole-sospetto-in-cassazione (consultato in data 18/02/2024).

L’autore, a sua volta, cita C. Colapietro, A. Giubilei, Controlli difensivi e tutela dei dati del lavoratore: il nuovo punto della Cassazione, in Labour law issues, 2021, 187 ss.; P. Tullini (a cura di), Controlli a distanza e tutela dei dati personali dei lavoratori, Giappichelli, 2017; stessa autrice, I controlli aziendali per finalità difensive nella giurisprudenza, in Riv.it.dir.lav., 2022, I, 221; C. Colosimo, La moderna declinazione del potere di controllo, in P. Curzio, L. Di Paola, R. Romei (a cura di), Diritti e doveri nel rapporto di lavoro, Giuffrè, vol. II, 2018,75 ss.;

A. Sitzia, Personal computer e controlli ‘‘tecnologici’’ del datore di lavoro nella giurisprudenza, in Arg.dir.lav., 2017, 804; A. Maresca, Controlli tecnologici e tutele del lavoratore nel nuovo art. 4 dello Statuto dei lavoratori, in Riv.it.dir.lav., 2016, I, 513; R. Del Punta, La nuova disciplina del controllo a distanza sul lavoro (art. 23 D.Lgs. n. 151/2015), in Riv.it.dir.lav., 2016, I, 77 ss.; A. Ingrao, Il controllo a distanza sui lavoratori e la nuova disciplina privacy: una lettura integrata, Cacucci, 2018.; A. Bellavista, Controlli tecnologici e privacy del lavoratore, in A. Bellavista, R. Santucci (a cura di), Tecnologie digitali, poteri datoriali e diritti dei lavoratori, Giappichelli, 2022, p. 99, ss.

[6] R. Romei, Il “ragionevole sospetto” cit. in cui l’autore cita M. Marazza, I controlli a distanza del lavoratore di natura “difensiva”, in P. Tullini (a cura di), Controlli a distanza cit.

[7] Nella citata Sent. Cassazione, n. 25732 del 22 settembre 2021, la posizione assunta dalla Suprema Corte in relazione alla “sopravvivenza dei “controlli difensivi”, sotto il profilo della sua compatibilità con la tutela della riservatezza di cui all’art. 8 della Convenzione Europea dei diritti dell’uomo, trova conforto nella giurisprudenza della Corte Europea dei diritti dell’uomo che, in particolare nella sentenza di Grande Camera del 17 ottobre 2019, nel caso Lòpez Ribalda e altri c. Spagna.

Si trattava di una fattispecie nella quale il gestore di un supermercato, dopo aver riscontrato discrepanze tra le scorte di magazzino e gli incassi di fine giornata, e sospettando che ciò dipendesse da illecite condotte appropriative di beni e/o denaro aziendale poste in essere da uno o più dipendenti, aveva installato all’interno del negozio dei dispositivi di videoripresa all’insaputa dei lavoratori, in posizione utile alla sorveglianza generalizzata ed indistinta di tutto il personale di volta in volta addetto al bancone di cassa, in tal modo appurando che le condotte sospettate si verificavano effettivamente.

La Corte Europea ha ritenuto la legittimità dell’iniziativa datoriale, in quanto proporzionata rispetto al fine (in sé legittimo) di tutelare l’interesse organizzativo-patrimoniale del datore di lavoro, ritenendo quindi che le corti nazionali avessero correttamente valutato che le misure adottate a tutela della privacy dei ricorrenti erano appropriate”.

[8] Non si ritiene pertinente, con lo spirito del presente elaborato, l’approfondimento sulle perplessità che il concetto di “ragionevole sospetto” ha destato nella dottrina; vedasi sul punto R. Romei, Il “ragionevole sospetto” cit.

[9] Sent. Cass. Civ. Sez. Lav. n. 25732/2021 cit.

[10] Il provvedimento prevede anche l’inserimento dell’art. 11 ter con indicazioni sui comportamenti prescritti per i dipendenti pubblici nel rapportarsi con i social media.

[11] Le linee guida sono da ritenersi ancora in vigore nonostante i riferimenti ad un “Codice in materia di protezione dei dati personali” (il D.Lgs. 30 giugno 2003, n.196) che nel frattempo è stato fortemente modificato a cura del GDPR. La loro vigenza è peraltro confermata dal richiamo che ne fa lo stesso Garante in altri provvedimenti, l’ultimo dei quali del 21.12.2023, in tema di “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”.

[12] Consultabile all’indirizzo: https://www.garanteprivacy.it/web/guest/home/docweb/-/docweb- display/docweb/9978728 (consultato in data 24/02/2024).

https://www.ictsecuritymagazine.com/articoli/controlli-dlp/