Organizations are deploying more cameras than ever, increasing the amount of available footage to help security teams address incidents. But analyzing all this footage can create new challenges. That’s where video analytics comes in for support.

Advancements in security technology and new approaches to machine learning have promoted the development of applications that can help address video management challenges. And while the availability and accuracy of video analytics applications have increased, today’s solutions still require significant domain knowledge. That’s why it’s important to learn about the different challenges that exist today, and what features and capabilities to consider.

Common video analytics and VMS challenges

Disconnected solutions

Many analytics solutions are separate from their video management system (VMS). They have a separate configuration interface, require different integration efforts, and offer their respective user interface. This doesn’t always fit perfectly with the rest of the workflow. While the integration of external solutions remains important, it complicates the deployment, use, and maintenance of your system, specifically for standard applications.  

Server sizes

The surge in video analytics performance comes with an increase in computing resource consumption. This increases the burden on existing, general-purpose recording servers. Specialized hardware also adds to the complexity of system design.

Diverse applications across industries

While many industries understand the value of video analytics, they’re used in different ways across these industries. Violence detection is crucial for law enforcement, whereas fall detection is essential for healthcare. Some video analytics solutions like intrusion detectors and people counters are becoming more common, and developing specialized solutions requires more time.

Advanced video analytics capabilities

The next generation of video analytics solutions will include streamlined deployment, scalability and a gradual shift toward cloud-based platforms.

Video analytics capabilities in the cloud have advanced significantly, especially now that processing can be done directly within cameras. These cameras provide valuable metadata that video surveillance as a service (VSaaS) systems leverage to reduce processing costs in the cloud. VSaaS providers use this metadata to enhance the performance and cost-effectiveness of their video analytics solutions.

The advancement of analytics will also make these capabilities accessible to more organizations. A VMS solution can have video analytics software permanently running in the background, providing valuable ongoing information for security teams. Instead of video analytics being identified as a separate technology, it may soon be a standard component of any VMS, just like archiving. Operators will have more intelligence and operational insights than ever before.

This evolution is also evident in how VMS information is visualized. Built-in charts, dedicated feature widgets, video analytics dashboards, and reports are available to help operators. A security team can understand, classify and process information faster to make better decisions.

Analytics for business insights

Recent AI advances such as machine learning and deep learning have enhanced the accuracy and power of analytics. And over time, analytics have also become less costly making these tools even more interesting and accessible to organizations in various industries. Here are a few examples of how analytics are enhancing operations in addition to security.

City transit: Using people counting and crowd estimation analytics, transit organizations can keep track of how many people are waiting for trains or buses at different times. They can adjust service frequency to align with actual demand and identify times and locations with peak foot traffic. They’re able to better allocate resources and alleviate congestion, potentially boosting customer morale.

Retail: Using video surveillance analytics such as people counting, retailers can find out how many people come into a store at any given time. Besides understanding the busiest times and days, this can help retailers measure the success of marketing initiatives by tracking the influx into the store before, during and after promotional campaigns.

Enterprise organizations: The use of video analytics gives corporate offices information to track occupancy patterns and get a better sense of how and when the office resources are being used. Some offices also have warehouses on-site. Using video analytics helps them determine if warehouse staff are consistently wearing the correct protective gear when on the job.

Airports: From people counting and crowd estimation, data points give airports insights into the passenger journey from the curbside to the gate. With that, they can better understand how long people stand in security lines, where roadblocks occur, and where people gather. They can then open up new queues or make changes that optimize the flow of people.

Tools to enhance your use of video analytics

An organization can start benefitting from analytics more effectively by implementing a range of tools that make it easier to use video analytics.

Pre-configured pages: Security leaders can speed up the configuration process with modern analytics systems that include pre-configured pages. They have configuration parameters needed for specific applications. All parameters are set with default values for particular scenarios.

Camera integrity monitoring: Look for solutions that include camera integrity monitoring. These tools help ensure that their cameras are operational and working efficiently. The system automatically identifies cameras that may have been tampered with so their team can fix or replace them.

Forensic search capabilities: If security leaders want to optimize their data analysis workflow, implement an enterprise-grade software as a service platform with advanced forensic search tools. They’ll be able to search for specific incidents faster, detect patterns and extract new levels of intelligence.

Turn a camera into a radar: Select systems allow users to use their current cameras equipped with video analytics to identify and monitor intrusions directly on an interactive map. Upon triggering an alert, security leaders can instantly locate the intruder’s precise coordinates and access live streaming of their image, providing a comprehensive and actionable perspective on the situation.

Preloaded appliances: Look for solutions that include embedded tools to simplify deployment and maintenance. Appliances that are preloaded, hardened, and configured reduce the time they spend deploying and maintaining a system.

A video management solution is designed to help security leaders achieve more than just surveillance. As machine learning and cloud solutions continue to advance, video analytics will become even more powerful than they are now. This presents a significant opportunity for businesses to use their security systems in new ways to enhance their security and operations.

https://www.securitymagazine.com/articles/101097-video-analytics-capabilities-drive-new-opportunities

The stress of cybersecurity professionals was analyzed in a recent report by ISACA. Sixty-six percent of cybersecurity professionals say their role is more stressful now than it was five years ago, according to the report.

In line with this sentiment around challenging threats, 38% of organizations are experiencing increased cybersecurity attacks, compared to 31% a year ago. These top attack types include social engineering (19%), malware (13%), unpatched system (11%) and Denial of Service (11%).

On top of that, nearly half (47%) expect a cyberattack on their organization in the next year, and 40% have a high degree of confidence in their team’s ability to detect and respond to cyber threats.

Despite an increasingly difficult threat landscape, the survey shows cybersecurity budgets and staffing are not keeping pace. More than half (51%) say that cyber budgets are underfunded (up from 47% in 2023), and 37% expect budgets will increase in the next year.

Though 57% of organizations say their cybersecurity teams are understaffed, hiring has slightly slowed:

• 38% of organizations have no open positions, compared to 35% last year.
• 46% of organizations have non-entry level cybersecurity positions open, compared to 50% last year.
• 18% have entry-level positions open, compared to 21% last year.

Employers seeking qualified candidates for open roles are prioritizing prior hands-on experience (73%) and credentials held (38%). Respondents indicate that the main skills gaps they see in cybersecurity professionals are soft skills (51%) — especially communication, critical thinking and problem solving — and cloud computing (42%).

For the more than half of survey respondents (55%) that reported having difficulties retaining qualified cyber candidates, the main reasons for leaving included being recruited by other companies (50%, down eight points from 2023), poor financial incentives (50%), limited promotion and development opportunities (46 percent), and high work stress levels (46%).

Read the report.

https://www.securitymagazine.com/articles/101080-45-of-cybersecurity-leaders-are-stressed-about-budget-restraints

L’email security è fondamentale per proteggere aziende e utenti da minacce come phishing, malware e attacchi mirati attraverso la posta elettronica. In questo articolo, analizzeremo le principali red flag da tenere sotto controllo per identificare email potenzialmente pericolose e le best practice per gestirle in modo sicuro. Queste includono l’adozione di protocolli sicuri, il monitoraggio delle email sospette e la formazione periodica del personale per riconoscere minacce. Scopri come applicare strategie preventive e reattive per evitare violazioni e difendere i dati sensibili della tua organizzazione dalle minacce via email.

Email Security: Red flag

A questo punto verranno mostrate alcune mail e le relative red flag:

In questo caso è possibile osservare le seguenti red flag:

• Subject che fa leva sull’urgenza di effettuare un’azione
• Header from palesemente malevolo
• Link che fa uso del protocollo http, tipico indice di una mail di phishing.

Nota: si tenga presente che le mail di phishing avanzato utilizzano anche protocolli sicuri come “https” quindi preso singolarmente questo indicatore non è sempre “parlante”.

In questo caso invece, oltre alle evidenze precedenti, si può osservare come l’attaccante punti molto sul lato emotivo e tenti di farsi richiamare al numero indicato. Si può notate inoltre che la mail fa uso di terminologie “generiche” come “Dear customer”, questo è indice che possano esserci molteplici utenti coinvolti.

Di seguito, infine, si riportano alcune evidenze malevole, recuperabili tramite i tool precedentemente descritti, di un IP estratto dall’header di una mail.

In particolare, l’analista dovrà tenere in considerazione:

• La geolocalizzazione dell’IP, è probabile che una mail malevola sia inviata da una nazionalità con la quale l’azienda non collabora o comunque da aree note per le loro attività malevole o comunque sospette.
• La sender IP reputation.
• Il livello di spam segnalato nel web.
• Eventuali blacklist.

Email Security: Best practice

• Quando si riceve una mail da un utente sconosciuto si consiglia di evitare di rispondere e chiedere ad eventuali colleghi.
• Le mail che fanno leva sulle urgenze e/o emozioni potrebbero essere potenzialmente malevole. Anche in questo caso si consiglia di maneggiarle con attenzione.
• In caso venga segnalato via mail che la password è in scadenza si consiglia di utilizzare i link ufficiali di quel determinato canale e/o comunque non quelli presenti nella mail (specie se questa utilizza protocolli non sicuri come “http” o provenga da un sender sospetto/sconosciuto).
• Se vengono richiesti dati sensibili, si invita ad utilizzare i canali sicuri ed eventualmente contattare i riferimenti noti e non quelli forniti tramite mail. Questo genere di informazione non vengono mai richieste via mail dai gestori bancari e simili.
• Ogni allegato sospetto proveniente da un sender sconosciuto è potenzialmente malevolo. Solo i file “.txt” attualmente risultano essere sicuri in quanto contenente solo testo. Per tale ragione si invita a segnalare la mail al team di competenza. Uno dei metodi più utilizzati per riportare mail malevole tramite Outlook è col plugin “Report Message” (figura 23) attraverso il quale con pochi semplici passi l’utente potrà segnalare la mail sospetta.

• Ogni azienda dovrebbe abilitare la propria casella “Abuse” per la gestione delle segnalazioni di mail malevole al team di competenza.
• Tutte le mail provenienti dall’esterno vanno maneggiate con cura. Ogni azienda dovrebbe quindi abilitare, tramite l’uso dei propri mail secure gateway, il tag esterno nel subject e/o nel body della mail, si veda figura 24. Questo tag è molto utile in quanto informerà l’utente che la mail ricevuta non proviene dal perimetro aziendale.

Alcune soluzioni, come Proofpoint, consentono anche un’elevata personalizzazione del tag esterno sopra descritto.

• Ogni evento noto al pubblico, come possono essere ad esempio le festività o la pandemia di Covid-19, vengono puntualmente utilizzate per avviare campagne malevole allo scopo di diffondere malware e/o altri intenti malevoli. È quindi necessario porre particolare attenzione a questo tipo di mail.
• Ogni azienda dovrebbe avviare periodicamente (almeno una volta all’anno) campagne di awareness allo scopo di sensibilizzare le varie utenze su tematiche legate all’email security al fine di ridurre al minimo tutti i potenziali rischi degli attacchi veicolati tramite email
• Nel caso in cui si cada in una mail di phishing e/o si clicchi su un link malevolo (può capitare a chiunque in caso di stanchezza) si consiglia di seguire il modello “Avoid FUD (Fear, Uncertainty, and Doubt)” in cui si invita a non farsi prendere dal panico e a segnalare prontamente l’attacco malevolo al team di competenza informandolo di essere caduti in una mail di phishing. Ciò aiuterà a prendere tutte le dovute precauzioni e (si spera) sollecitare anche il management ad avviare dei training per i dipendenti per sensibilizzarli sulla tematica e l’importanza di non eseguire file e/o link sospetti provenienti da sender sconosciuti.

In conclusione, quindi, l’email security è un insieme di misure preventive e reattive volte a garantire la sicurezza delle comunicazioni che avvengono tramite posta elettronica con l’obiettivo di proteggere le organizzazioni e gli utenti da possibili minacce provenienti dal web. È importante essere sospettosi di email che richiedono azioni immediate, contengano link o allegati sospetti e che provengono da mittenti non riconosciuti. In caso di dubbi sulla legittimità di un’email, è sempre consigliabile contattare direttamente l’organizzazione o la persona coinvolta utilizzando informazioni di contatto verificate, anziché rispondere o cliccare sui link forniti nell’email.

Questo articolo è stato estratto dal white paper “Email Security: Intelligenza Artificiale, Protocolli e Best Practice Contro gli Attacchi Informatici” disponibile in maniera libera e gratuita al seguente link: https://www.ictsecuritymagazine.com/pubblicazioni/email-security-intelligenza-artificiale-protocolli-e-best-practice-contro-gli-attacchi-informatici/

Articolo a cura di Fabrizio Giorgione

https://www.ictsecuritymagazine.com/articoli/email-security-tips/

Ott 04, 2024 Marina Londei In evidenza, News, RSS, Vulnerabilità 0

---

Fino a neanche un mese fa l’applicazione di ChatGPT per macOS poteva essere usata per esfiltrare le informazioni inserite dall’utente o le risposte del chatbot in modo persistente. A rivelarlo è Johann Rehberger, ricercatore di sicurezza che ha scoperto la vulnerabilità nell’aprile 2023.

All’inizio del 2023 OpenAI aveva implementato una feature per mitigare i vettori di esfiltrazione dati tramite una call a un’API chiamata “url_safe”. L’API informa il client di ChatGPT se è possibile mostrare all’utente un URL o un’immagine in modo sicuro, in modo da mitigare gli attacchi di prompt injection.

Poiché però il controllo viene eseguito client side, le applicazioni sono rimaste vulnerabili; non solo: una funzionalità più recente, chiamata “Memory”, ha aumentato la criticità del bug permettendo anche alle istruzioni malevole di essere memorizzate.

La feature “Memory” di fatto consente al chatbot di memorizzare le chat per offrire risposte più rilevanti e in linea con le preferenze già espresse dell’utente. L’exploit realizzato dal ricercatore, chiamato spAIware, sfrutta questa capacità per “iniettare delle memorie” che contengono istruzioni volte a esfiltrare i dati dell’utente.

“Poiché le istruzioni malevole vengono memorizzate nella memoria del chatbot, tutte le nuove conversazioni da quel momento in poi conterranno le istruzioni dell’attaccante e invieranno continuamente tutti i messaggi della chat e le risposte all’attaccante” spiega Rehberger. Il bug di data exfiltration diventa in questo modo ancora più pericoloso perché permane in tutte le chat.

Per iniettare queste istruzioni, i cybercriminali possono ricorrere a una tecnica di esfiltrazione già nota che consiste nel mostrare un’immagine proveniente da un server malevolo e chiedere a ChatGPT di includere i dati utenti come parametro nella richiesta. Tutto comincia quando l’utente chiede al chatbot di analizzare un documento malevolo o naviga su un sito web non affidabile: il documento o il sito web contengono istruzioni per prendere il controllo del chatbot e inserire la “memoria” per l’esfiltrazione dei dati.

Il prompt presente nel sito web controllato dall’attaccante indica al chatbot di inviare al server tutti i messaggi inviati e ricevuti dall’utente, ovviamente a sua insaputa.

OpenAI ha risolto il bug di ChatGPT su macOS con la versione 1.2024.247 e invita gli utenti ad aggiornare l’applicazione il prima possibile. Rehberger chiarisce che l’intervento della compagnia non impedisce a un attaccante di invocare sfruttare la feature “Memory” per iniettare memoria arbitrare, ma mitiga il vettore di esfiltrazione, ovvero impedisce al chatbot di inviare messaggi a un server di terze parti tramite il rendering di immagini.

Per questo motivo, oltre ad aggiornare l’applicazione, il ricercatore consiglia agli utenti di controllare regolarmente le “memorie” salvate dal chatbot ed eliminare quelle sospette.

---

---

---

https://www.securityinfo.it/2024/10/04/chatgpt-per-macos-poteva-essere-usato-per-esfiltrare-dati-a-lungo-termine/?utm_source=rss&utm_medium=rss&utm_campaign=chatgpt-per-macos-poteva-essere-usato-per-esfiltrare-dati-a-lungo-termine

Budgeting for physical security programs is a strategic balancing act between maximizing the safety of people and assets while keeping costs down and ensuring a good ROI on the program’s budget spend.

As security program leaders, the role that budgeting plays is crucial to the success of the organization, providing both short- and long-term goals for not only operational investments, but capital investments that will move the needle for the security team. On the surface, protecting intellectual property and physical assets is important, but the brand’s reputation — and the safety of employees and customers — aligns with the organizational goals that security plays a major part in achieving.

To begin the budgeting process, it’s important to take the time to assess the organization’s specific physical security needs. And it’s important to approach budgeting as a business leader, not just a security expert. Leaders should start off by conducting a thorough risk assessment, taking inventory of all physical assets, and understanding the regulatory compliance requirements that apply to the organization. Then, consider the following:

Determine where the money is coming from

There are different ways that companies allocate money for security, and it’s important to understand the various budgeting methods. Security leaders should think about how their company handles budgeting for security. Understanding the difference between a zero-based budget and an incremental change budget can really help you as a leader.

• Operating budget: This one covers all the day-to-day costs like salaries and supplies. It’s what keeps the lights on and the office running. 
• Capital budget: This is where organizations plan for those big, long-term investments in assets, like an enterprise deployment of a new access control system or a multi-year lease on a new office space. 
• Project budget: When there’s a specific initiative or project in the works, this budget focuses on the financial needs to make it happen. It’s often part of the capital budget. 
• Fixed budget: This budget stays the same year after year, which can be a bit tricky when costs keep going up. Sometimes, adjustments are needed in other areas to make it work.
• Zero-based budget: With this one, every expense needs to be justified each period, making sure that every dollar spent is really necessary. It’s all about being super cost-effective.

Creating a budget involves estimating costs for personnel, equipment, operations, third-party resources and contingency funds.

Assess technology and resource investments

Assessing technology and resource investments is a vital step for organizations eager to ensure their tech landscape truly drives success. It’s not just about adopting the latest tools; it’s about evaluating how well they enhance productivity and spark innovation. One of the most impactful areas to explore is the overlap between duplicative systems. Many businesses find themselves juggling multiple platforms, leading to confusion and wasted resources. It’s important to understand the consequences of disparate systems on not only budgeting but burnout amongst analysts and GSOC operators. 

Security leaders should ask:

• Do any of these tools do the same thing?

• Could consolidating these tools streamline operations and free up valuable time and budget? 
• Is the inability to achieve a streamlined workflow slowing incident response time?
• How much is being spent on guarding services or other third-party investments?
• Can technology help augment some of these resources in a more proactive way? 

By shifting towards intelligent, data-driven security strategies that leverage advanced analytics, organizations can proactively identify and mitigate threats. This approach not only enhances safety but also trims costs, allowing resources to be reallocated to other critical areas. 

Develop a proposal and present to leadership

Once the kind of budget the organization needs is identified and the assessment of the program is complete, a detailed proposal must be developed, justifying each request about organizational goals and potential ROI. Presenting the budget effectively to leadership is crucial as it can significantly influence approval outcomes. A great tip is to emphasize how proposed investments align with broader business objectives. Make security part of the business strategy, not just a cost center. 

Remember to:

• Understand the audience: Get to know the organization’s goals and adjust the budget accordingly. Tailor the message to showcase specific departmental needs.
• Be clear and detailed: Break down costs, provide justifications and compare to previous budgets. Use visuals to make data easy to understand and exciting to engage with.
• Show the ROI: Quantify the benefits of each investment, such as cost savings and efficiency gains, and connect them to overall business goals to illustrate the exciting potential outcomes.
• Tell a compelling story: Craft the budget as a narrative. Paint a vivid picture of the future with and without the proposed investments, emphasizing the long-term benefits in a captivating way.
• Engage early: Collaborate with other departments to build support. Show how the budget can help them achieve their goals and create an atmosphere of excitement and collaboration.

Be clear and to the point: Use straightforward language and summarize key points effectively. End with a strong recap of the budget’s importance, leaving everyone feeling energized and inspired. Security leaders should be fully prepared to answer questions like:

• Is there a cheaper way to do this? 
• How does this align with company goals? 
• Does the organization need this now or can it be pushed? 
• How does this align with the KPIs or key performance indicators?

Provide ongoing oversight

After the budget is approved and implemented, it’s crucial to monitor its effectiveness. Regularly review expenditures, assess security measures’ performance and gather staff feedback. Adjust the budget as necessary to respond to changing security needs or unexpected incidents.

It’s important to be prepared and remain confident. Do research. Put in the work. Ultimately, whether or not the budget is approved will be up to a security leader’s ability to prioritize, communicate and pivot if needed.

https://www.securitymagazine.com/articles/101093-balancing-cost-and-protection-budgeting-physical-security-programs

This Reddit comment posted to the CentOS subreddit is typical. An admin noticed that two servers were infected with a cryptocurrency hijacker with the names perfcc and perfctl. The admin wanted help investigating the cause.

“I only became aware of the malware because my monitoring setup alerted me to 100% CPU utilization,” the admin wrote in the April 2023 post. “However, the process would stop immediately when I logged in via SSH or console. As soon as I logged out, the malware would resume running within a few seconds or minutes.” The admin continued:

I have attempted to remove the malware by following the steps outlined in other forums, but to no avail. The malware always manages to restart once I log out. I have also searched the entire system for the string “perfcc” and found the files listed below. However, removing them did not resolve the issue. as it keep respawn on each time rebooted.

Other discussions include: Reddit, Stack Overflow (Spanish), forobeta (Spanish),  brainycp (Russian), natnetwork (Indonesian), Proxmox (Deutsch), Camel2243 (Chinese), svrforum (Korean), exabytes,>virtualmin,>serverfault and many others.

After exploiting a vulnerability or misconfiguration, the exploit code downloads the main payload from a server, which, in most cases, has been hacked by the attacker and converted into a channel for distributing the malware anonymously. An attack that targeted the researchers’ honeypot named the payload httpd. Once executed, the file copies itself from memory to a new location in the /temp directory, runs it, and then terminates the original process and deletes the downloaded binary.

Once moved to the /tmp directory, the file executes under a different name, which mimics the name of a known Linux process. The file hosted on the honeypot was named sh. From there, the file establishes a local command-and-control process and attempts to gain root system rights by exploiting CVE-2021-4043, a privilege-escalation vulnerability that was patched in 2021 in Gpac, a widely used open source multimedia framework.

https://arstechnica.com/security/2024/10/persistent-stealthy-linux-malware-has-infected-thousands-since-2021/

https://www.securitymagazine.com/blogs/14-security-blog/post/101086-building-organizational-resilience-for-sustainable-success

The Cybersecurity and Infrastructure Security Agency (CISA) has released a threat response guide for K-12 schools. This resource is intended to assist K-12 schools in establishing tailored approaches to threat management, including violence and threats of violence. 

In this guide, the CISA outlines what steps school districts can take to understand and respond to anonymous threats. It also provides advice for staying prepared for future incidents and coordination with law enforcement or other local partners. 

This guide establishes six strategies for schools: 

1. Promote reporting awareness so potential incidents can be detected and future threats can be deterred.
2. Establish a partnership system (such as school administrators, law enforcement and mental health experts) to help address threats.
3. Utilize law enforcement connections to manage threat events and to determine when response actions should be scaled up or down. 
4. Treat all threats as credible. 
5. Engage with multidisciplinary threat assessment teams when necessary. 
6. Determine a threat response protocol and engage staff and students in emergency response activities. 

https://www.securitymagazine.com/articles/101087-cisa-releases-threat-response-guide-for-k-12-schools

ON DEMAND: In this webinar, Regina Lester, Vice President of Security & Safety Operations at Toledo Zoo, will share her insights on implementing security technologies in the entertainment sector and the challenges all organizations face — large and small — when it comes to balancing budget and security. 

https://www.securitymagazine.com/articles/101079-10-of-it-professionals-have-zero-visibility-measures

Negli ultimi anni la produzione normativa in campo di sicurezza informatica è stata particolarmente intensa: soprattutto in Europa, infatti, sono stati approvati numerosi strumenti – per lo più Regolamenti e Direttive – tesi a disciplinare in modo dettagliato le tecnologie digitali e i loro effetti sulla società.

Vediamo in cosa consistano questi strumenti, esaminando in primo luogo il quadro giuridico e istituzionale entro cui vengono adottati e applicati.

Il Quadro Istituzionale per l’Adozione di Regolamenti e Direttive

Quali sono gli organi dell’Unione europea? Il processo legislativo comunitario, che porta all’adozione di Regolamenti e Direttive, è ripartito tra diverse istituzioni:

• Parlamento europeo, composto da 720 deputati eletti direttamente dai cittadini UE;

• Commissione europea, organo collegiale in cui siede un rappresentante per ogni paese UE;

• Consiglio dell’Unione europea, che riunisce (in formazioni diverse a seconda dell’argomento da discutere) i ministri di ciascun governo nazionale dell’Unione;

• Consiglio europeo, ove siedono i capi di Stato o di governo di tutti i paesi membri dell’UE.

Solo le prime tre istituzioni sono direttamente coinvolte nella proposta e nell’adozione di nuovi atti legislativi, mentre il Consiglio europeo è incaricato di definire l’orientamento politico generale e le priorità dell’Unione europea.

Vi sono poi organi che svolgono funzioni consultive o giudiziarie, quale la Corte di Giustizia UE, oltre a enti incaricati di vigilare sull’osservanza di principi e procedure da parte delle istituzioni come lo European Data Protection Board (EDPB), ossia il Garante europeo per la protezione dei dati personali.

Principi Fondamentali nell’Adozione di Regolamenti e Direttive UE

Sin dalla sua creazione, l’Unione Europea subordina l’esercizio dei propri poteri, inclusa l’adozione di Regolamenti e Direttive, ad alcuni principi comuni fondamentali.

Centrale è anzitutto il principio di leale cooperazione previsto dall’art. 4 del Trattato sul Funzionamento dell’Unione Europea (TFUE).

In base a tale principio, “l’Unione e gli Stati membri si rispettano e si assistono reciprocamente nell’adempimento dei compiti derivanti dai trattati.

Gli Stati membri adottano ogni misura di carattere generale o particolare atta ad assicurare l’esecuzione degli obblighi derivanti dai trattati […] facilitano all’Unione l’adempimento dei suoi compiti e si astengono da qualsiasi misura che rischi di mettere in pericolo la realizzazione degli obiettivi dell’Unione”.

Sempre a norma dell’art. 4, “la delimitazione delle competenze dell’Unione si fonda sul principio di attribuzione. L’esercizio di tali competenze si fonda sui principi di sussidiarietà e proporzionalità”.

Quali sono i principi che regolano l’attribuzione dei poteri UE?

In concreto, quindi:

• il principio di attribuzione circoscrive l’azione legislativa comunitaria alle competenze attribuite dai Trattati per realizzare gli obiettivi da questi stabiliti;
• il principio di sussidiarietà prevede che qualsiasi competenza non attribuita all’Unione appartenga agli Stati membri e che, nei settori che non sono di sua competenza esclusiva, l’UE intervenga soltanto se gli obiettivi previsti non possano essere sufficientemente raggiunti dai singoli Stati;
• il principio di proporzionalità, infine, impone all’UE di limitare i propri interventi a quanto necessario per il conseguimento degli obiettivi dei Trattati.

Tutte le istituzioni UE devono quindi conformarsi a tali principi, garantendone il rispetto al momento di proporre e adottare nuovi strumenti normativi, come pure di modificare atti già in vigore.

Tra questi, Regolamenti e Direttive sono gli strumenti più comunemente utilizzati per legiferare in materia di sicurezza informatica e tecnologie digitali.

Strumenti Giuridici Europei: Focus su Regolamenti e Direttive

Cosa sono gli strumenti giuridici europei?

Per “strumento giuridico” s’intende ogni mezzo tramite cui un’istituzione od organismo pubblico assolva alle funzioni di cui è incaricato.

Nel contesto comunitario, gli strumenti giuridici, in particolare Regolamenti e Direttive, sono enumerati dall’articolo 288 del TFUE e consistono in:

• Regolamenti;

• Direttive;

• Decisioni;

• Raccomandazioni e pareri.

Negli anni sono stati introdotti, per via ufficiale o nella prassi operativa, ulteriori strumenti normativi. Si tratta degli “atti non legislativi di portata generale” che il trattato di Lisbona consente di delegare alla Commissione per integrare o modificare elementi non essenziali degli atti legislativi; nonché dei cosiddetti “atti atipici” quali risoluzioni, comunicazioni, accordi interistituzionali e libri verdi o bianchi (Green o White Papers) rivolti a specifici settori.

Nel quadro della Politica Estera e di Sicurezza Comune (PESC) esistono poi strumenti giuridici specifici: ossia le “azioni” o “posizioni” adottate dall’UE in seno alle organizzazioni internazionali, come ad esempio le Nazioni Unite.

Soltanto le prime tre tipologie di strumenti – regolamenti, direttive e decisioni – integrano atti legislativi in senso stretto, con rilevanti effetti sulla loro applicabilità.

Regolamenti e Direttive: Caratteristiche e Differenze

Regolamenti UE: Applicabilità Immediata

I regolamenti sono atti giuridici vincolanti, caratterizzati dalla loro immediata applicabilità in tutti gli Stati membri dell’Unione.

A partire dalla sua entrata in vigore, inoltre, l’effettività di un regolamento può essere direttamente invocata da ogni cittadino europeo.

Vista la sua immediata applicabilità, di solito il regolamento è l’atto con cui l’Europa sceglie di intervenire quando mira a disciplinare in tutti i suoi aspetti un tema particolarmente rilevante: ne sono esempi il GDPR del 2016, il Regolamento UE sulla cybersecurity o l’Artificial Intelligence Act (AIA), approvato nella primavera del 2024.

Direttive Europee: Obiettivi Comuni, Implementazione Flessibile

Le direttive sono atti giuridici mirati a stabilire un obiettivo che tutti i paesi dell’UE devono conseguire, fissando i tempi ma non le specifiche misure tramite cui raggiungerlo.

Diversamente dai regolamenti, più che a introdurre direttamente una nuova disciplina le direttive UE mirano ad armonizzare le normative nazionali in un certo argomento o settore nei diversi Stati, lasciando a questi ultimi libera scelta rispetto alla tipologia di atti da adottare e alle procedure da istituire a tale scopo.

Un esempio è individuabile nelle direttive NIS e NIS2 (Network and Information Security), adottate rispettivamente nel 2016 e nel 2022 al fine di individuare gli obiettivi salienti per la costruzione di ambienti digitali sicuri e resilienti nel contesto europeo.

Qual è la differenza tra Regolamenti e Direttive in ambito europeo?

La principale differenza tra regolamenti e direttive riguarda quindi l’applicabilità in concreto: i primi sono integralmente e immediatamente efficaci in tutti gli Stati UE, mentre le seconde richiedono ulteriori passaggi per la loro ricezione nei vari paesi membri dell’Unione.

I regolamenti sono poi caratterizzati dalla cosiddetta “efficacia orizzontale” indicando così la possibilità che un singolo possa invocare una norma europea, già a partire dalla sua approvazione, nei confronti di un altro singolo.

Per le direttive si parla invece di “efficacia verticale” in quanto le disposizioni in esse contenute, fintanto che non siano recepite dagli Stati, possono essere invocate solo nei confronti delle istituzioni (nazionali o comunitarie) ma non anche tra comuni cittadini.

Al netto di tali distinzioni, regolamenti e direttive sono entrambi atti legislativi mediante cui il diritto interno dell’UE viene sempre più integrato per creare un quadro di principi e normative che agevoli gli scambi nel mercato interno e che, soprattutto, rafforzi la cultura giuridica comune del continente europeo.

Se tali scopi appaiono ambiziosi – e talvolta irraggiungibili – in ambiti già fortemente normativizzati, il mondo della cybersecurity offre maggiori possibilità di intervento. Molte delle tecnologie oggi in uso sono emerse solo recentemente e nella maggior parte degli Stati non esiste, pertanto, alcuna disciplina da modificare o armonizzare.

Regolamenti e Direttive nella Cybersecurity

Nel campo della sicurezza informatica, l’UE fa ampio uso di Regolamenti e Direttive. La scelta tra questi due strumenti dipende dagli obiettivi specifici:

• I Regolamenti sono preferiti quando si mira a una disciplina uniforme e rapida, come nel caso del GDPR o dell’Artificial Intelligence Act.
• Le Direttive sono utilizzate quando si vuole lasciare agli Stati membri una certa flessibilità nell’implementazione, come nel caso delle direttive NIS e NIS2.

Guardando al futuro, è chiaro che Regolamenti e Direttive continueranno a svolgere un ruolo cruciale nell’evoluzione del quadro normativo europeo in materia di sicurezza informatica. La loro importanza crescerà ulteriormente man mano che nuove tecnologie emergono e le minacce cyber si intensificano.

In conclusione, la comprensione approfondita di come Regolamenti e Direttive operano e interagiscono è essenziale non solo per i legislatori e i professionisti del settore, ma per tutti i cittadini europei. Questi strumenti giuridici, infatti, plasmano il modo in cui interagiamo con la tecnologia, proteggiamo i nostri dati e costruiamo un futuro digitale sicuro e resiliente per l’Europa.

https://www.ictsecuritymagazine.com/notizie/regolamenti-e-direttive/