A report from HP Wolf Security shows that malicious actors are utilizing overdue invoice lures, open redirects and Living-off-the-Land (LotL) tactics in order to bypass cybersecurity defenses. The report analyzes real-world attacks seen in Q1, identifying notable campaigns such as cat-phishing, Windows Background Intelligent Transfer Service (BITS) leveraging and HTML smuggling. 

Cat-phishing was observed with attackers deploying open redirects. Malicious actors exploited vulnerabilities within websites to avoid detection, and targets were redirected from trustworthy sites to malicious sites (often through vulnerabilities in ad embeddings). 

Many campaigns utilized BITS, a legitimate uploading and downloading mechanism, to download malicious files undetected. Another tactic detailed in the report was smuggling malware within HTML files by disguising them as delivery invoices. 

Key findings from the report include: 

• The top threat vectors were removable storage and file shares (22%), browser downloads (25%) and email attachments (53%). 
• 65% of document threats depended on exploits to deploy code rather than macros.
• 12% of email threats bypassed at least one email gateway scanner. 

https://www.securitymagazine.com/articles/100699-malicious-actors-are-cat-phishing-targets-in-order-to-spread-malware

A software maker serving more than 10,000 courtrooms throughout the world hosted an application update containing a hidden backdoor that maintained persistent communication with a malicious website, researchers reported Thursday, in the latest episode of a supply-chain attack.

The software, known as the JAVS Viewer 8, is a component of the JAVS Suite 8, an application package courtrooms use to record, play back, and manage audio and video from proceedings. Its maker, Louisville, Kentucky-based Justice AV Solutions, says its products are used in more than 10,000 courtrooms throughout the US and 11 other countries. The company has been in business for 35 years.

JAVS Viewer users at high risk

Researchers from security firm Rapid7 reported that a version of the JAVS Viewer 8 available for download on javs.com contained a backdoor that gave an unknown threat actor persistent access to infected devices. The malicious download, planted inside an executable file that installs the JAVS Viewer version 8.3.7, was available no later than April 1, when a post on X (formerly Twitter) reported it. It’s unclear when the backdoored version was removed from the company’s download page. JAVS representatives didn’t immediately respond to questions sent by email.

“Users who have version 8.3.7 of the JAVS Viewer executable installed are at high risk and should take immediate action,” Rapid7 researchers Ipek Solak, Thomas Elkins, Evan McCann, Matthew Smith, Jake McMahon, Tyler McGraw, Ryan Emmons, Stephen Fewer, and John Fenninger wrote. “This version contains a backdoored installer that allows attackers to gain full control of affected systems.”

The installer file was titled JAVS Viewer Setup 8.3.7.250-1.exe. When executed, it copied the binary file fffmpeg.exe to the file path C:\Program Files (x86)\JAVS\Viewer 8\. To bypass security warnings, the installer was digitally signed, but with a signature issued to an entity called “Vanguard Tech Limited” rather than to “Justice AV Solutions Inc.,” the signing entity used to authenticate legitimate JAVS software.

fffmpeg.exe, in turn, used Windows Sockets and WinHTTP to establish communications with a command-and-control server. Once successfully connected, fffmpeg.exe sent the server passwords harvested from browsers and data about the compromised host, including hostname, operating system details, processor architecture, program working directory, and the user name.

The researchers said fffmpeg.exe also downloaded the file chrome_installer.exe from the IP address 45.120.177.178. chrome_installer.exe went on to execute a binary and several Python scripts that were responsible for stealing the passwords saved in browsers. fffmpeg.exe is associated with a known malware family called GateDoor/Rustdoor. The exe file was already flagged by 30 endpoint protection engines.

The number of detections had grown to 38 at the time this post went live.

The researchers warned that the process of disinfecting infected devices will require care. They wrote:

To remediate this issue, affected users should:

• Reimage any endpoints where JAVS Viewer 8.3.7 was installed. Simply uninstalling the software is insufficient, as attackers may have implanted additional backdoors or malware. Re-imaging provides a clean slate.
• Reset credentials for any accounts that were logged into affected endpoints. This includes local accounts on the endpoint itself as well as any remote accounts accessed during the period when JAVS Viewer 8.3.7 was installed. Attackers may have stolen credentials from compromised systems.
• Reset credentials used in web browsers on affected endpoints. Browser sessions may have been hijacked to steal cookies, stored passwords, or other sensitive information.
• Install the latest version of JAVS Viewer (8.3.8 or higher) after re-imaging affected systems. The new version does not contain the backdoor present in 8.3.7.

Completely re-imaging affected endpoints and resetting associated credentials is critical to ensure attackers have not persisted through backdoors or stolen credentials. All organizations running JAVS Viewer 8.3.7 should take these steps immediately to address the compromise.

The Rapid7 post included a statement from JAVS that confirmed that the installer for version 8.3.7 of the JAVS viewer was malicious.

“We pulled all versions of Viewer 8.3.7 from the JAVS website, reset all passwords, and conducted a full internal audit of all JAVS systems,” the statement read. “We confirmed all currently available files on the JAVS.com website are genuine and malware-free. We further verified that no JAVS Source code, certificates, systems, or other software releases were compromised in this incident.”

The statement didn’t explain how the installer became available for download on its site. It also didn’t say if the company retained an outside firm to investigate.

The incident is the latest example of a supply-chain attack, a technique that tampers with a legitimate service or piece of software with the aim of infecting all downstream users. These sorts of attacks are usually carried out by first hacking the provider of the service or software. There’s no sure way to prevent falling victim to supply-chain attacks, but one potentially useful measure is to vet a file using VirusTotal before executing it. That advice would have served JAVS users well.

https://arstechnica.com/?p=2026911

Recent high-profile events in the United Kingdom have brought vividly to life the critical importance of organizations thoroughly checking candidate credentials before making a hire. They range from the abduction, rape and murder of Sarah Everard by an off-duty Metropolitan Police officer to the disturbing vetting scandal which saw an investigative reporter managing to infiltrate the U.K. prison service. What’s really frightening is that these incidents are likely to be just the tip of a very big iceberg. But before recruiters rush blindly to sign up a screening agency in the desire to create a more secure vetting process, it’s essential they open their eyes to who they’re jumping into bed with. Because not choosing a screening partner carefully could land them in very deep water. 

Growing demand for background screening is resulting in a surge of new companies offering the services, many of which lack knowledge and experience of employment legislation and candidate rights. Coupled with insufficient data protection strategies resulting in candidate data breaches, this situation could plunge recruiters into a nightmare of reputational damage and litigation. In the more litigious environment of the United States, firms practicing in screening law are acting on behalf of candidates to sue screening agencies if correct process isn’t adhered to, resulting in reputational damage to all parties. 

Incoming accreditation

In Europe, candidate rights have been increasingly bolstered by regulations like GDPR and the forthcoming Data Protection and Digital Information bill. Recognizing the significance of this, the Professional Background Screening Association (PBSA) is set to introduce an accreditation scheme in June, focusing on elevating standards within the screening profession. This scheme aims to empower screening organizations to adhere to best practices concerning GDPR, data protection and candidate rights. The majority of the reputable screening supply companies will embrace this initiative, anticipating that it will distinguish between high-quality services and lesser alternatives. The timing of this initiative couldn’t be better, as it aligns with the evolving regulatory landscape. However, it’s imperative for organizations not to delay action until the scheme’s launch, but rather to proactively inquire and address pertinent issues now.

As vetting becomes more commoditized, with many recruiters opting for a system where you press a button and receive the data, there is a real need to check the source of screening data. For example, some vetting agencies are scraping data from government bodies without permission, while others are doing it in the right way by first obtaining accreditation and approval. Those recruiters that don’t question the data source and compliance procedure are blissfully unaware of the danger they are putting themselves in.

Taking screening companies at face value is a high-risk strategy in an environment where data is the new gold and protection through legislation is on the increase. If there were to be an investigation at any point into rogue screening organizations obtaining data without permission, their recruiter partners could be exposed, damaging their reputation and also potentially opening them to prosecution.

Open and honest

Successfully navigating this new screening minefield means only partnering with agencies that take an open and honest approach and are happy to share their data sources, which should be approved and reliable. As technology becomes more sophisticated and AI more widely used, there are more tools available to grab data automatically from various sources. Companies doing this without permission are also unlikely to have checked the data for veracity and accuracy. The only way to overcome this problem and partner with the most trustworthy screening companies that source the best possible data in the most legitimate way is to determine that there is a robust data sourcing trail. 

Rather than jumping on the first and cheapest data source they can find, the best screening companies carry out in-depth research into an industry. They painstakingly track down the most trusted premier suppliers of data, checking that robust practices are being applied to source with integrity, delivering accurate and compliant data. They are also happy to share details of these suppliers to their clients. These are the screening partners that recruiters should be searching for to ensure they are complying with data regulations, but even more importantly, that their candidate checks are of the highest possible caliber. PBSA accreditation will then add another layer of verification to the mix once it launches. And, if recruiters put in place a strategy now to thoroughly check the credentials of screening companies by drilling down into their data sources, then when the accreditation scheme launches this will provide a further tool to identify reliable, trustworthy screening partners.

https://www.securitymagazine.com/articles/100696-know-candidate-screening-data-sources

Mag 23, 2024 Marina Londei News, RSS, Vulnerabilità 0

---

Veeam ha individuato una vulnerabilità critica nel Backup Enterprise Manager, la console di gestione e reportistica che permette di gestire le installazioni Backup&Replication da una singola interfaccia.

Tracciato come CVE-2024-29849, il bug consente a un attaccante non autenticato di accedere all’interfaccia coi permessi di qualsiasi utente e compromettere i job in esecuzione e i report generati.

Nell’advisory di sicurezza il vendor ha anche segnalato altre tre vulnerabilità, anch’esse nel Backup Enterprise Manager. La CVE-2024-29850, considerata a rischio elevato, permette a un attaccante di prendere il controllo di un account tramite relay NTLM; un’altra, la CVE-2024-29851, anch’essa con indice di rischio elevato, permette a un utente con privilegi elevati di sottrarre l’hash NTLM del service account, a meno che non sia l’account di default del sistema locale.

Infine, Veeam ha segnalato la CVE-2024-29852, una vulnerabilità a rischio basso che consente a utenti con privilegi elevati di leggere i log di sessione.

Tutte e quattro le vulnerabilità sono state patchate nella versione 12.1.2.172 del software rilasciata pochi giorni fa. Nella stessa release la compagnia ha fixato una vulnerabilità a rischio elevato, la CVE-2024-29853, che colpisce Agent for Windows e consente di effettuare escalation dei privilegi. L’update comprende inoltre una serie di aggiornamenti di componenti di terze parti, come il VMware Virtual Disk Development Kit, Microsoft .NET, Microsoft WebView2, PostgreSQL, PuTTY e Curl.

Veeam consiglia di aggiornare il prima possibile Backup Enterprise Manager; in caso non fosse possibile, l’unico modo per mitigare il bug è sospendere l’esecuzione del software o disinstallare se non in uso.

---

---

---

https://www.securityinfo.it/2024/05/23/una-vulnerabilita-critica-in-veeam-backup-enterprise-manager-permette-di-bypassare-lautenticazione/?utm_source=rss&utm_medium=rss&utm_campaign=una-vulnerabilita-critica-in-veeam-backup-enterprise-manager-permette-di-bypassare-lautenticazione

The Environmental Protection Agency (EPA) has released an enforcement alert, outlining the steps that vulnerable community drinking water systems must take in order to comply with cybersecurity standards set forth by the Safe Drinking Water Act. This alert is part of an ongoing effort to secure the United States’ critical infrastructure. Notably, an investigation by the EPA found that more than 70% of inspected water systems failed to fully comply with the Safe Drinking Water Act requirements. Furthermore, some of these systems have easily compromised cybersecurity vulnerabilities, such as default passwords and single logins. 

Security leaders weigh in 

Tom Kellermann, SVP of Cyber Strategy at Contrast Security:

“The safety of the U.S. water supply is in jeopardy. Rogue nation states are frequently targeting these critical infrastructures, and soon we will experience a life-threatening event. The administration must provide grants to bolster the cybersecurity of these utilities. If funding is lacking, forfeiture of cybercrime proceeds should be used to buttress the cybersecurity of critical infrastructures.”

Roger Grimes, Data-Driven Defense Evangelist at KnowBe4:

“This is the umpteenth time the U.S. government has said the same thing. Will this time be any different? Probably not. I don’t see anything that makes this warning and recommendation any more likely to be fruitful than the previous hundred saying the same thing. Is there a person in the world working at any organization, much less a critical infrastructure plant, that doesn’t know their job is to keep the bad hackers out? No. The problem obviously isn’t knowledge and awareness. The problem is in the doing. The problem is in the enforcement. The problem is in management and accountability. We keep treating cybersecurity as this serious thing that everyone should be concerned about, but in practice, it’s treated as a side-job nice-to-have. In nearly every organization you have some soul that really understands the problem and wants to keep the organization secure against the rest of the organization that just wants to do a particular job, cheaply and quickly as possible. And the latter side usually wins.”

“So, cybersecurity is drastically under-resourced, mismanaged and concentrates on the wrong things. As an example, social engineering is involved in 70% to 90% of all successful data breaches and unpatched software and firmware is involved in 33% of all successful breaches. Those two root causes are 90% to 99% of the risk in most environments, including water treatment plants, and yet no organization… no water treatment plant, spends even 5% of their IT resources to mitigate those two huge problems. It’s been this way for decades and it’s not changing now. It is this fundamental misalignment between how organizations are successfully attacked the most and how nearly every organization defends itself that allows hackers and malware to be so damaging. This isn’t a secret. Everyone knows it. It’s a mass delusion that we all understand. And, yet, after every successful compromise, the organization and media readily want to appoint the successful hacker as some uber, super-brilliant hacker that could overcome any defense. Nope, it’s almost never that. It’s hackers and their malware creations doing the same successful things they have done for over 30 years and us responding with the same distracted mitigations wondering why our misaligned defenses aren’t working better.” 

Eric Knapp, CTO of OT at OPSWAT:

“Recent threats, such as those from the Volt Typhoon group, have targeted weaknesses in critical infrastructure and OT environments, and we’ve seen CISA and the Five Eyes alliance issuing recent advisories about the dangers posed by this threat group and others targeting critical sectors. CISA and other U.S. government agencies discovered that these hackers’ access extended to the power grids, communications systems and water supplies for military bases within the U.S. and abroad, showing an even more dire need for these water utilities to improve their cyber resilience.  

“Water systems remain vulnerable for a few reasons, including outdated legacy systems, the use of interconnected networks, limited resources and even a lack of enforced regulations. While a new bill was proposed last month to establish a Water Risk and Resilience Organization that would develop risk and resilience standards specifically tailored for the water sector, we strongly recommend water utilities take immediate action to reduce vulnerabilities and chances of falling victim to a cyber incident. These include: 

• Changing default passwords
• Adopting standards applicable to other critical infrastructure and OT environments, such as NERC CIP
• Controlling peripheral media and securely manage the use of USBs, vendor laptops, and other devices entering critical environments
• Implementing data diodes or unidirectional security gateways to ensure one-way communication and data sharing
• Developing and maintaining comprehensive incident response plans
• Providing regular cybersecurity training.”

https://www.securitymagazine.com/articles/100694-epa-reveals-most-water-systems-do-not-meet-compliance-requirements

Security incident response was analyzed in a recent report by Cado Security. According to the report, nearly 90% of organizations suffer damage before containing and investigating incidents. Organizations report that 23% of cloud alerts remain uninvestigated due to various challenges and complexities.

The report found that 82% of organizations report the need to use multiple platforms and tools to perform investigations in the cloud. Further, 34% of organizations report limited cybersecurity skills specific to cloud technologies. Forty-two percent of organizations report that the main compliance challenge beyond cloud adoption is the lack of visibility into data, and 34% of respondents have been fined for not meeting regulatory requirements.

The report uncovered that organizations have slightly improved their ability to handle cloud investigations, with respondents reporting that 23% of cloud alerts are never investigated, compared to over 33% in 2021. Eighty-three percent have allocated a budget for cloud forensics, emphasizing the growing importance of forensics capabilities in managing cloud security.

Read the report.

https://www.securitymagazine.com/articles/100695-nearly-90-of-organizations-suffer-damage-after-a-security-incident

Mag 23, 2024 Marina Londei In evidenza, News, Prodotto, RSS, Tecnologia 0

---

Microsoft dice addio a VBScript: in un post sul blog ufficiale ha annunciato che il linguaggio verrà progressivamente deprecato a partire dalla seconda metà dell’anno. In una prima fase VBScript sarà disponibile come feature on demand e abilitato di default, mentre nel 2027 sarà disabilitato di default; in seguito, non è ancora chiaro quando, verrà rimosso del tutto da Windows.

“La tecnologia è progredita nel corso degli anni, dando vita a linguaggi di scripting più potenti e versatili come JavaScript e PowerShell. Questi linguaggi offrono capacità maggiori e sono più adatti allo sviluppo web moderno e alle attività di automazione” ha affermato Naveen Shankar, program manager di Microsoft, chiarendo i motivi dietro la scelta.

Visual Basic Scripting Edition, conosciuto appunto come VBScript, è un linguaggio di scripting leggero introdotto per la prima volta nel 1996. È stato utilizzato principalmente per automatizzare i task, creare oggetti dell’OS Windows e controllare le applicazioni, e viene spesso integrato nelle pagine HTML per aggiungere elementi dinamici e interattivi. Se inizialmente il linguaggio era usato ampiamente, vista la sua versatilità, col passare degli anni sono emerse alternative più efficienti.

Nella prima fase di dismissione, VBScript rimarrà pre-installato nella versione 24H2 di Windows e abilitato di default per garantire che le vecchie dipendenze funzionino ancora. La migrazione deve cominciare già da ora e proseguirà fino al 2027, quando il linguaggio non sarà più abilitato di default; in questo caso, per utilizzarlo bisognerà abilitarlo scegliendolo tra le feature opzionali.

L’ultima fase vedrà la dismissione completa del linguaggio da tutte le release e versioni future di Windows; ciò significa che tutte le librerie .dll di VBScript verranno rimosse e, di conseguenza, tutti i progetti dipendenti dal linguaggio smetteranno di funzionare.

Microsoft consiglia di cominciare subito la migrazione scegliendo PoweShell o Javascript come alternative. 

---

---

---

https://www.securityinfo.it/2024/05/23/microsoft-dice-ufficialmente-addio-a-vbscript/?utm_source=rss&utm_medium=rss&utm_campaign=microsoft-dice-ufficialmente-addio-a-vbscript

Alla Cyber Crime Conference 2024, Davide Maiorca, Ricercatore e Docente presso l’Università degli Studi di Cagliari, ha presentato un’analisi dettagliata sull’uso della lingua italiana nei cyberattacchi.

Guarda il video completo dell’intervento:

L’uso Targetizzato della Lingua Italiana nei Cyberattacchi

L’esperto di Malware Analysis e Machine Learning, ha evidenziato come l’italiano sia utilizzato in maniera specifica e mirata in varie forme di attacchi informatici, affinché questi possano essere particolarmente ingannevoli per gli utenti italiani. Il fenomeno è stato descritto attraverso vari esempi di Phishing e Malware che sfruttano la familiarità della lingua per aumentare l’efficacia dell’attacco.

Cyberattacchi Inaspettati e Dannosi: Analisi degli Attacchi “In the Wild”

Maiorca ha poi discusso il concetto di “attacchi in the wild”, ovvero attacchi meno comuni ma potenzialmente più dannosi perché meno prevedibili e, quindi, più difficili da rilevare con i sistemi di sicurezza automatizzati che tendono a focalizzarsi sui pattern di attacco più frequenti.

Malware contenuti in documenti Office e PDF

Attraverso l’analisi di malware contenuti in documenti di Office e PDF, Maiorca ha mostrato che gli attacchi ben congegnati in italiano sono rari ma significativi. È stato inoltre evidenziato come, nonostante la bassa frequenza, questi attacchi rappresentino una minaccia reale, specialmente quando imitano documenti ufficiali o di uso comune come fatture o comunicazioni istituzionali.

Tecniche Avanzate di Malware: La Sofisticazione degli Attaccanti

Un altro tema trattato è stato l’uso di tecniche avanzate da parte dei cyber criminali nel realizzare malware, inclusa la capacità di evitare l’analisi in ambienti virtualizzati e funzionalità anti-debugging, mostrando così l’alta competenza tecnica degli attaccanti. Portando come esempio un malware con stringhe in italiano nel suo codice sorgente ha spiegato come questo particolare suggerisce un focus specifico sui target italiani, aumentando l’efficacia dell’attacco.

Il Multilinguismo nei Malware: Una Sfida per la Threat Intelligence

Infine, il relatore ha sottolineato l’importanza del multilinguismo nei malware, che può aumentare significativamente la loro capacità di evadere i sistemi di rilevamento basati sull’analisi linguistica. Questo aspetto solleva questioni significative per la Threat Intelligence e la necessità di considerare approcci multilinguistici nell’analisi dei cyberattacchi.

Ricerca e Sviluppo nell’Analisi dei Cyberattacchi

La presentazione si è conclusa con un riconoscimento del contributo del team di ricerca e degli studenti dell’Università di Cagliari, essenziali per il supporto e la realizzazione degli studi presentati. Maiorca ha evidenziato come il lavoro in corso miri ad approfondire ulteriormente l’analisi e l’utilizzo dell’intelligenza artificiale per rafforzare la capacità di rilevamento e analisi degli attacchi cyber in lingua italiana, sottolineando l’importanza di una continua evoluzione nel campo della cybersecurity per fronteggiare minacce sempre più sofisticate e mirate.

Il programma completo della Cyber Crime Conference 2024 è disponibile al seguente link: https://www.ictsecuritymagazine.com/eventi/cybercrimeconference2024#programmazione

Iscriviti alla nostra newsletter per rimanere aggiornate sulle nostre iniziative: https://www.ictsecuritymagazine.com/newsletter/

https://www.ictsecuritymagazine.com/cybersecurity-video/the-italian-job-cyber-attacchi-in-lingua-italiana-davide-maiorca/

Il contesto normativo

La gestione della digital transformation richiede un approccio differente rispetto al passato, le analisi e le valutazioni dei processi aziendali devono basarsi sulle conoscenze tecniche delle attività che si vogliono eseguire e soprattutto della normativa che disciplina tali attività.

La digitalizzazione dei processi aziendali può essere avviata solo se i soggetti coinvolti gestiscano le risorse informatiche in modo consapevole e responsabile.

In questi ultimi anni il legislatore, sia italiano e sia Europeo, ha seguito con molto interesse l’evoluzione tecnologica. Dal 2016 ad oggi sono entrate in vigore numerose norme che hanno e stanno condizionando l’andamento del mercato e le scelte delle aziende. In particolare, il Regolamento eIDAS, la Direttiva NIS, il GDPR ed il Regolamento IA hanno di fatto disciplinato gli aspetti cruciali del processo di digitalizzazione delle principali attività di business, come ad esempio: l’identità digitale; la conservazione dei documenti informatici; la sottoscrizione dei contratti con una delle firme elettroniche, l’utilizzo della Pec e dei sistemi di recapito.

In questo contesto, sempre più aziende esternalizzano i propri processi lavorativi, affidando a terzi la loro gestione come, ad esempio, nel caso dell’emissione e conservazione della fattura elettronica, dell’utilizzo di software CRM in cloud e della gestione on line dei processi di vendita.

L’esternalizzazione dei processi aziendali comporta inevitabilmente sia il trasferimento di dati personali all’esterno della propria organizzazione e sia l’incarico a soggetti terzi di gestirli per nostro conto.

Esternalizzare il trattamento dei dati, di cosa dobbiamo preoccuparci?

Il GDPR definisce il responsabile del trattamento come quel soggetto che tratta i dati personali per conto del titolare del trattamento. Ciò significa che se un fornitore, tramite i propri servizi, tratta i dati personali del proprio cliente nell’interesse di quest’ultimo e per le finalità e secondo le istruzioni fornite dallo stesso cliente, allora ricopre il ruolo di Responsabile del trattamento[1].

In questo ambito la norma impone al titolare del trattamento di verificare se il soggetto a cui vuole affidare il trattamento dei propri dati personali presenti “…garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti dell’interessato.”

L’articolo 28 del GDPR stabilisce un metodo rigoroso per scegliere i fornitori di servizi che, quindi, dovranno essere valutati sia dal punto di vista commerciale e sia per la loro capacità di garantire l’attuazione di misure tecniche e organizzative idonee a garantire che il trattamento sia conforme alla normativa.

La verifica della capacità e conoscenze del fornitore rappresenta il punto di partenza per rendere compliance i trattamenti dei dati affidati a soggetti terzi.

E’ importante, quindi, predisporre degli strumenti, come ad esempio questionari o check-list, che permettano di intervistare il fornitore e raccogliere tutte quelle informazioni necessarie a valutare: le conoscenze specialistiche (ad esempio, le competenze tecniche in materia di misure di sicurezza e procedure per gestire le violazione dei dati), l’affidabilità (il possesso di certificazioni ISO, quali ad esempio la ISO/IEC 27001),e le risorse utilizzate per trattare i dati personali (ad esempio, il coinvolgimento di sub-fornitori).

Nell’ambito di questo processo valutativo anche la reputazione del fornitore sul mercato può essere un fattore pertinente che il titolare del trattamento deve tenere conto.

Devo formalizzare l’accordo con il fornitore?

Sottoscrivere un “Data processing Agreement” è l’altra condizione per rendere l’esternalizzazione del trattamento dei dati personali conforme al GDPR.

Il Titolare del trattamento, concluso il processo preliminare di valutazione, deve stipulare con il fornitore, che svolge il ruolo di responsabile del trattamento, in forma scritta anche in formato elettronico, un contratto o qualsiasi altro atto giuridico.

Il contratto dovrà avere ad oggetto il trattamento dei dati esternalizzati e deve prevedere l’obbligo per il fornitore stesso di rispettare i modi, i tempi e le istruzioni impartite dal titolare del trattamento su come trattare e proteggere i dati personali.

L’importanza di un DPA trova il suo fondamento nella necessità di stabilire in modo chiaro e puntuale i termini e le condizioni di trattamento dei dati personali, nonché i ruoli ed i compiti delle parti coinvolte. Questo accordo serve non solo a definire gli aspetti pratici del trattamento dei dati, ma anche a delineare le responsabilità legali e le procedure in caso di incidenti che coinvolgano i dati personali.

Il contratto stipulato con il responsabile del trattamento rappresenta, nell’ambito del GDPR, uno dei pochi casi in cui la presenza di un valido documento coincida con l’adempimento di un obbligo normativo.

Infatti, laddove, sussista un rapporto tra il titolare ed il responsabile del trattamento, in assenza di un accordo, l’Autorità di Controllo competente (Garante della privacy) potrà infliggere una sanzione amministrativa pecuniaria sia al Titolare sia al Responsabile del trattamento per violazione dell’Articolo 28, paragrafo 3.

Il Garante della privacy, in diversi provvedimenti sanzionatori, ha evidenziato e ribadito come “sia il Titolare sia il Responsabile del trattamento hanno la responsabilità di garantire l’esistenza di un contratto o di un altro atto giuridico che disciplini il trattamento”.[2]

Quali sono gli elementi chiave del Data Processing Agreement?

Il contenuto del DPA è delineato in modo puntuale nel terzo comma dell’articolo 28 del GDPR, che stabilisce i principali aspetti che l’accordo deve disciplinare.

Predisporre un contratto limitandosi a riportare in modo pedissequo quanto specificato dalla norma, vuol dire sottovalutare, o ignorare aspetti concreti che caratterizzano il trattamento dei dati (istruzioni su come trattare i dati o le garanzie di sicurezza) ed esporsi alle sanzioni amministrative e danni alla reputazione.

I provvedimenti sanzionatori adottati dal Garante della Privacy, anche recentemente, dimostrano che ancora oggi, dopo diversi anni dall’entrata in vigore del GDPR, si tende a considerare il DPA come un mero adempimento formale sottovalutando e non rispettando le indicazioni elencate nell’articolo 28 del GDPR.

L’accordo è una componente strategica per la conformità al GDPR, pertanto, è necessario che sia predisposto valutando ed analizzando attentamente e in modo concreto e non formale i rischi specifici legati al trattamento dei dati e le misure di sicurezza tecnico ed organizzative da attuare.

Il Garante, in un recente provvedimento[3], ha sanzionato il Titolare ed il Responsabile del trattamento perché il DPA si limitava a “a riportare pedissequamente le previsioni richieste dall’art. 28, par. 3, del Regolamento”.

Il DPA, quindi, deve essere predisposta in modo da rappresentare in modo chiaro:

1 – Contesto del trattamento:

Il contesto in cui i dati personali verranno trattati è di fondamentale importanza. Ogni DPA deve contenere una chiara definizione: dello scopo del trattamento, della tipologia dei dati trattati e delle categorie di interessati cui si riferiscono i dati. In questo modo viene delineato il perimetro entro il quale il Responsabile effettuerà il trattamento, assicurando così, che tutte le relative attività siano pertinenti e limitate allo scopo concordato.

Pertanto, limitarsi ad un semplice e formale collegamento tra il DPA ed il contratto di servizi potrebbe non essere sufficiente per definire tutti gli aspetti attinenti il trattamento dei dati.

2 – Obblighi di assistere il titolare:

L’accordo deve dettagliare l’obbligo del Responsabile del trattamento di assistere il titolare nel garantire la conformità con i vari requisiti del GDPR. In particolare, il responsabile deve assistere il titolare del trattamento:

• nella gestione, ove possibile, delle risposte alle richieste degli interessati nell’ambito dell’esercizio dei diritti riconosciuti dal GDPR;
• nel garantire il rispetto degli obblighi sulla sicurezza dei dati personali e sulla eventuale notifica di una violazione dei dati personali all’Autorità di Controllo ed agli interessati.
• nella predisposizione della valutazione d’impatto e consultazione preventiva quando sia richiesta dalla norma.
• Fornire tutte le informazioni necessarie per dimostrare il rispetto degli obblighi normativi.

Titolare e Responsabile del trattamento devono, quindi, prevedere procedure per gestire in modo efficace tutti questi aspetti ed in particolare modo per gestire eventuali violazioni dei dati personali senza ingiustificato ritardo.

3 – Obbligo di garantire la sicurezza e la riservatezza:

Un altro aspetto cruciale dell’esternalizzazione del trattamento dei dati personali riguarda l’adozione delle misure di sicurezza tecnico organizzative.

Ricordo che il GDPR attribuisce al titolare del trattamento la responsabilità, per qualsiasi trattamento di dati personali effettuato direttamente, o tramite altri che abbiano eseguito attività per suo conto, di adottare misure tecniche e organizzative adeguate, affinché il trattamento sia conforme alla disciplina in materia di protezione dei dati personali.

In ragione di questo obbligo, l’accordo deve contenere istruzioni pratiche su come trattare i dati, anche sotto il profilo della sicurezza, nonché l’obbligo per il Responsabile di adottare tutte le misure tecniche e organizzative necessarie per garantire un livello di sicurezza adeguato al rischio (Articolo 32 del GDPR)[4].

Il Titolare, considerato che in ogni caso rimane responsabile dell’attuazione delle misure tecniche e organizzative, anche dopo la stipula del DPA, deve verificare le garanzie offerte dal Responsabile anche mediante attività di revisione degli accordi e ispezioni presso la sua organizzazione. Pertanto, nell’accordo deve essere previsto il diritto del Titolare di effettuare audit e ispezioni per verificare la conformità del responsabile del trattamento con quanto previsto nel DPA. Questo aspetto è cruciale per fornire trasparenza e garantire che le misure di sicurezza siano adeguate e costantemente aggiornate.

4 – Sub responsabili

Il GDPR introduce la facoltà per il Responsabile di trattare i dati personali del titolare tramite un altro responsabile che, anche se non previsto dalla norma, comunemente prende il nome di Sub-responsabile.

Il DPA deve chiarire le modalità e le condizioni con cui il Responsabile può avvalersi di altri sub-responsabili. In particolare, il Titolare deve decidere se attribuire al fornitore una autorizzazione generale ad avvalersi di sub-responsabili, o subordinare questa decisione a singole e specifiche autorizzazioni rilasciate volta per volta.

La possibilità di creare nell’ambito del trattamento una filiera di soggetti determina di fatto un rapporto gerarchico tra tutti i soggetti coinvolti con la conseguenza che il Titolare impartisce delle istruzioni al Responsabile, il quale impartisce a sua volta istruzioni, nella misura in cui esse non siano incompatibili con quelle ricevute dal Titolare, al sub responsabile.

5- Durata del trattamento

La determinazione della durata del trattamento dei dati o il criterio per determinarla nonché e la gestione delle azioni post-scadenza sono aspetti critici per assicurare una gestione dei dati personale in modo conforme (privacy by design).

Il trattamento dei dati, tranne qualche eccezione espressamente previste dalla norma, deve essere limitato al tempo necessario per realizzare gli scopi per cui sono stati nascosti.

Definire la conclusione del trattamento e la conseguente cancellazione dei dati è anche un modo per attuare una strategia proattiva per mitigare i rischi, rafforzare la fiducia con gli interessati (la durata deve essere inserita nell’informativa privacy), e ottimizzare l’uso delle risorse.

Nel DPA, quindi, è importante definire sia la durata dell’accordo e le azioni da attuare post scadenza (restituzione o cancellazione dei dati) e sia la durata del trattamento durante la validità dell’accordo. Infatti, può succedere che durante la validità dell’accordo, venga raggiunto lo scopo del trattamento (ad esempio scadenza del termine legale di conservazione delle fatture elettroniche) o cessi la base giuridica (ad esempio revoca del consenso) i dati debbano essere cancellati e non trattati. Il titolare del trattamento, nonostante non sia espressamente previsto nell’art. 28, per queste casistiche deve prevedere e fornire al responsabile delle istruzioni sui tempi e le modalità di cancellazione o restituzione dei dati personali.

Conclusione

Nell’ambito di un modello organizzativo privacy definire ruoli e responsabilità di tutti i soggetti coinvolti nel trattamento dei dati personali è essenziale sia per rispettare i diritti degli interessati e sia per evitare danni provocati da sanzioni amministrativi, o danni di immagine.

Esternalizzare i processi aziendali solleva questioni giuridiche e tecniche importanti per la tutela dei dati personali. Valutare le capacità professionali e operative di un fornitore di servizi dev’essere un’attività non solo formale, ma soprattutto concreta.

Il titolare deve accertare in concreto se il fornitore che ricopre il ruolo di Responsabile del trattamento offra quelle garanzie e competenze necessarie per supportarlo nel processo di tutela dei dati personali.

I Provvedimenti del Garante sopra richiamati confermano che l’accordo tra Titolare e Responsabile, in cui vengono specificate pratiche operative efficaci, obblighi e responsabilità, permette di formalizzare e attuare una gestione responsabile della sicurezza dei dati personali garantendo così la conformità alla normativa, ma anche e soprattutto rafforzando la trasparenza e la fiducia con gli interessati.

Note

[1] Linee guida 07/2020 sui concetti di titolare del trattamento e di responsabile del trattamento ai sensi del GDPR Versione 2.0 Adottate il 7 luglio 2021

[2] Provvedimento del 22 febbraio 2024 [9990659]

[3] Provvedimento del 22 febbraio 2024 [9990659]

[4] Provvedimento del 17 settembre 2020 [9461168] – Ordinanza di ingiunzione – 11 febbraio 2021 [9562852]

Articolo a cura di Andrea Battistella

https://www.ictsecuritymagazine.com/articoli/il-ruolo-del-responsabile-del-trattamento-nella-gestione-della-sicurezza-dei-dati-aspetti-contrattuali-e-pratici/

A report from Swimlane examines how security budgets and compliance strategies are impacted by the shifting regulatory landscape. This report surveyed 500 cybersecurity decision-makers throughout the United States and the United Kingdom. The survey focused on cybersecurity decision-makers at enterprises with at least 1,000 employees. 

The report found that a majority of organizations (93%) have reevaluated cybersecurity strategies in the past year due to new regulations. 58% report that their organization has reconsidered its cybersecurity strategy in its entirety. Furthermore, the report discovered that these strategy adjustments are affecting cybersecurity decision-makers, with 45% citing new role responsibilities.

Key findings from the report include: 

• 92% of respondents indicated an increase in their security budgets. Among them, 36% experienced budget increases between 20% and 49%, whereas 23% saw increases greater than 50%. 
• Only 40% are confident that their organization possesses the necessary resources, personnel and tools to comply fully with cybersecurity regulations. 19% say their organization has done very little to prepare. 
• One-third of respondents are fully confident that their organization can currently meet full requirements.

https://www.securitymagazine.com/articles/100693-new-rules-prompt-93-of-organizations-to-rethink-cybersecurity-plans