Il consenso digitale del minore alla luce dell’art. 8 del GDPR

Introduzione

Tra i tratti più innovativi introdotti dal nuovo Regolamento europeo n. 2016/679 in materia di protezione dei dati personali (nel prosieguo “GDPR”) in tema di manifestazione del consenso al trattamento dei dati vi rientra la previsione, di cui all’art. 8, paragrafo 1, del GDPR, relativa alla capacità del minore sedicenne e ultra-sedicenne di prestare il consenso al trattamento allorquando vi sia un’offerta diretta dei servizi della società dell’informazione. Preme preliminarmente evidenziare che il comma I dell’art. 2- quinquies del novellato Codice Privacy ex D.Lgs. 101/2018, che rappresenta la disciplina attuativa dell’art. 8 del GDPR, riconosce espressamente al minore che ha compiuto i quattordici anni il potere di esprimere il consenso digitale. Pertanto per il minore di età inferiore si prevedono due differenti modalità di acquisizione del consenso: la rappresentanza e la dichiarazione di consenso palesata ex ante dall’esercente la responsabilità genitoriale o la sua autorizzazione rilasciata ex post rispetto alla manifestazione di volontà del minore.

Tanto premesso, nel corso della presente trattazione si andranno ad analizzare alcuni degli elementi caratterizzanti della norma sopraccitata con particolar focus sui requisiti necessari ai fini dell’operatività della stessa. In tale ottica verranno illustrati e messi in evidenza gli adempimenti prescritti in capo ai provider dei servizi della società dell’informazione necessari per garantire la legittimità del trattamento espletato. Infine verrà affrontato anche il delicato tema inerente all’inquadramento e al ruolo del consenso contrattuale rispetto al consenso digitale rilasciato dai minori.

I requisiti per l’operatività dell’art. 8 del GDPR

Seguendo l’ordine di esposizione di cui sopra, affinché l’art. 8 del GDPR possa trovare piena attuazione è necessario che vi sia la sussistenza dei seguenti elementi:

i dati personali trattati debbono qualificarsi quali dati comuni (con conseguente esclusione dei dati particolari e giudiziari);
la base giuridica del trattamento deve perentoriamente essere il consenso. Qualora il trattamento trovi il proprio fondamento giuridico in un’altra condizione di liceità di cui all’art. 6 del GDPR, la norma in esame non può essere applicata;
il trattamento è correlato all’offerta diretta di servizi della società dell’informazione.

Limitatamente al punto 3), è bene segnalare in questa sede cosa si intenda esattamente con il termine “servizio della società dell’informazione”. Al riguardo, l’art. 4 del GDPR, rubricato “Definizioni”, al paragrafo 25, nell’offrire una definizione in tal senso richiama la Direttiva (UE) 2015/1535. Secondo quanto statuito dall’art. 1, paragrafo 1, lettera b) della suddetta direttiva si intende per “servizio”: qualsiasi servizio della società dell’informazione, vale a dire qualsiasi servizio prestato normalmente dietro retribuzione, a distanza, per via elettronica e a richiesta individuale di un destinatario di servizi. In riferimento a tali fattispecie (quali in primis il servizio di messaggistica e i servizi di fornitura di applicativi direttamente in rete stando alle esemplificazioni di cui alla Relazione illustrativa del D.Lgs n. 101/2018) il legislatore, all’art. 8, paragrafo 2, del GDPR, conformemente al più generale principio di accountability, chiede al titolare del trattamento di adoperarsi in ogni modo ragionevole per verificare che il consenso sia prestato o autorizzato dal titolare della responsabilità genitoriale sul minore, in considerazione delle tecnologie disponibili. Si osserva al tal proposito che la normale diligenza richiesta al titolare pare richiedere che non ci si accontenti della mera dichiarazione dell’interessato in merito alla propria età e alla sussistenza dell’autorizzazione rilasciata dai genitori, ma che si pongano in essere, già in sede di privacy by design e by default, delle misure ulteriori per accertare tali condizioni. Sul punto il Comitato europeo per la protezione dei dati, nelle “Linee Guida 05/2020 sul consenso ai sensi del regolamento (UE) 2016/679”, raccomanda di adottare delle misure di verifica che siano proporzionate alla natura e ai rischi del trattamento, evitando, da un lato, una raccolta eccessiva di dati personali del genitore, dall’altro, controlli approssimativi e inaccurati che eludano di fatto la significatività della norma.

Gli adempimenti prescritti in capo ai titolari del trattamento

Tenuto conto dell’impianto normativo europeo e nazionale il titolare, che voglia assicurarsi che i soggetti che non abbiano raggiunto l’età necessaria usufruiscano dei suddetti servizi esclusivamente con il consenso dei genitori, sarà tenuto ad effettuare i seguenti accertamenti:

chiedere all’utente se ha compiuto il quattordicesimo anno di età;
nel caso di affermazione positiva, circa l’età minima necessaria, da parte dell’utente, adottare misure e controlli appropriati per constatare ed accertare la veridicità della dichiarazione effettuata dal soggetto interessato;
nel caso di affermazione negativa, senza procedere ad ulteriori verifiche in merito a tale dichiarazione, il titolare dovrà informare l’utente che per poter accedere al servizio occorre ottenere il consenso del genitore; a tal fine potrebbe richiedere l’indirizzo di posta elettronica del genitore per procedere con la richiesta del rilascio del consenso [1].

Le zone d’ombra dell’art. 8 del GDPR

Sulla base del contesto brevemente illustrato, allo stato attuale, non risulta completamente chiaro quali siano effettivamente i trattamenti cui il minore può acconsentire. Se si interpreta in modo restrittivo la norma di cui all’art. 8 del GDPR, si potrebbe ipotizzare che il minore possa prestare il proprio consenso limitatamente a qui trattamenti che risultano essere funzionali all’esecuzione della prestazione oggetto del servizio, ovverosia senza i quali, il servizio non potrebbe essere altrimenti erogato. Diversamente, adottando un’interpretazione di più ampio respiro, il minore avrebbe la facoltà di rilasciare il proprio consenso anche in merito a quei trattamenti che, seppur previsti nell’ambito dell’offerta del servizio, non sono necessari alla sua erogazione (il minore potrebbe pertanto acconsentire anche al trattamento dei dati per finalità ulteriori ed aggiuntive, quale quella del marketing) [2]. Proprio relativamente alla possibilità, da parte del titolare, di effettuare attività di profilazione (con finalità di marketing) nei confronti dei minori giova mettere in rilievo che l’articolo 22 del GDPR, di per sé, non opera alcuna distinzione in merito al fatto che il trattamento riguardi adulti o soggetti minori. Tuttavia, il Considerando 71 del GDPR afferma che le decisioni basate unicamente sul trattamento automatizzato, compresa la profilazione, che producono effetti giuridici o in modo analogo significativi non dovrebbero riguardare minori.

Su tale aspetto lo stesso Comitato europeo, nelle “Linee Guida sul processo decisionale automatizzato relativo alle persone fisiche e sulla profilazione ai fini del GDPR” del 6 febbraio 2018, ha sostenuto che poiché la formulazione di cui al suddetto Considerando non trova espressa menzione nel contenuto dell’art. 22, non si debba ritenere che ciò rappresenti un divieto assoluto di questo tipo di trattamento in relazione ai minori. Cionondimeno, alla luce di tale Considerando, si raccomanda al titolare del trattamento di non fare affidamento, di norma, sulle eccezioni di cui all’art. 22, paragrafo 2, per giustificare tale trattamento. Dato che i minori rappresentano una categoria di soggetti interessati maggiormente vulnerabili, sarebbe buona prassi per i titolari di astenersi dal profilarli per finalità di marketing in quanto tale attività si configurerebbe al di fuori della portata della comprensione di un minore e pertanto del trattamento lecito. Ad ogni buon conto, anche nell’eventualità in cui si intenda aderire all’interpretazione estensiva dell’art. 8 del GDPR, non sembra plausibile ricavare dalla citata norma un generalizzato riconoscimento ai minori ultra-quattordicenni del potere di prestare il consenso al trattamento dei dati. Occorre difatti sottolineare che l’ambito di applicazione dell’art. 8 del GDPR non coincide con quello dell’intero GDPR, essendo limitato e circoscritto ai soli casi di offerta diretta di servizi della società dell’informazione. All’infuori del sopramenzionato ambito permane in ogni caso il limite di diciotto anni per la prestazione di un valido consenso al trattamento dei dati personali.

Da ultimo, con l’intento di offrire una puntuale panoramica di tale disciplina, corre riportare il paragrafo 4 dell’art. 8 del GDPR: “Il paragrafo 1 dell’articolo 8 del GDPR non pregiudica le disposizioni generali del diritto dei contratti degli Stati membri, quali le norme sulla validità, la formazione o l’efficacia di un contratto rispetto a un minore”. Tale paragrafo rappresenta una vera e propria clausola di salvaguardia in quanto fa salve le norme e le regole di diritto interno disciplinanti l’incapacità dei minori di concludere contratti. Ciò comporta che in nessun caso il titolare del trattamento potrà eludere la portata di altri basi giuridiche, di cui all’art. 6 del GDPR, pretendendo la fungibilità dell’acquisizione del consenso del minore per quei casi in cui, ad esempio, la base stessa, per il trattamento di interesse, risulta trovare la propria ratio nell’esecuzione contrattuale.

Conclusioni

Alla luce di tale norma, che pone o meglio presuppone un’attività interpretativa particolarmente complessa, almeno rispetto al nostro ordinamento interno, la prassi giudiziaria rivestirà certamente un ruolo preminente nell’individuazione dei corretti ambiti di applicazione del consenso del minore. Si registrerà al riguardo un’elevata probabilità di una interferenza della disciplina sul trattamento dei dati con la disciplina dei contratti (considerato che il consenso, in merito all’uso dei dati da parte dei provider dei servizi della società dell’informazione, sembra già di per sé un contratto) e del relativo campo di operatività dell’annullamento dei contratti in presenza dell’incapacità di agire del minore [3].

Bibliografia:

[1] S. COPPOLA, GDPR e minori, gestire consenso e privacy sui social: che c’è da sapere, in www.cybersecurity360.it, 2019

[2] S. THOBANI, I requisiti del consenso al trattamento dei dati personali, Maggioli Editore, 2016

[3] A. CICCIA MESSINA, Guida al Codice privacy. Come cambia dopo il GDPR e il D.Lgs n. 101/2018, Wolters Kluwer, 2018.

Articolo a cura di Ginevra Scalcione

https://www.ictsecuritymagazine.com/articoli/il-consenso-digitale-del-minore-alla-luce-dellart-8-del-gdpr/

Fully Homomorphic Encryption (FHE). Una crittografia capace di preservare il dato fin dall’origine

E’ oramai consuetudine ordinaria porre la massima attenzione, massima considerazione e massima priorità nella protezione del dato. E’ una ricerca affannosa che a volte crea preoccupazione per non incorrere in penali, in perdita di fatturato, compromissione della propria immagine e credibilità. Insomma una serie di problematiche che mai nessuno vorrebbe affrontare, perché se così fosse, rialzarsi dopo una caduta simile, diventerebbe davvero difficile e complicato.

E così, la sicurezza tanto ignorata negli anni antecedenti al 2010 dove veniva considerata come un’appendice finale allo sviluppo delle applicazioni, quando non doveva ostacolare la produttività nei processi aziendali, quando non doveva presentare ostacoli ed impedimenti all’operatività ed efficienza, ora “impazza” all’inverosimile, diventando persino pervasiva in ogni ambito.

Certo, questo grazie al continuo evolversi delle tecnologie digitali che hanno definitivamente sostituito persino i “pizzini” cartacei scatenando un’incredibile esplosione delle analisi dei dati di varia natura e soprattutto in tempo reale con una condivisione spasmodica e pressoché contestuale del dato, trasformandolo nella materia più preziosa per moltissime aziende ma anche per ogni individuo che oramai si identifica con una serie di dati su cui viene riconosciuto, valutato e considerato.

Ebbene, in questo contesto si moltiplicano soluzioni e proposte per garantire la segretezza e l’inviolabilità di questo dato. Tecniche di data-protection e di data-encryption spopolano su ogni tavolo di lavoro ma queste tecniche si rifanno a principi sorti ben prima del 2010 che hanno ben retto l’evoluzione informatica e tutt’ora sorreggono molte delle infrastrutture IT a cui siamo abituati.

Ma c’è una questione che è bene porsi: queste architetture e protocolli sono ancora in grado di reggere il colpo di fronte all’affermazione del Cloud? Sono capaci di sorreggere le nuove tecnologie emergenti basate sul Machine Learning ed Intelligenza Artificiale? Possono competere con la potenza elaborativa introdotta con i Computer Quantistici?

Non siamo così vicini a questo radicale cambiamento, sicuramente ci vorrà ancora qualche anno, ma la macchina si è messa in movimento, la direzione sembra essere tracciata, e molte aziende guardano con interesse al prossimo futuro sovvenzionando ricerca e sviluppo, anche nella sicurezza del dato.

Allora proviamo a pensare come sarebbe il nuovo mondo digitale basato su un nuovo tipo di crittografia, che apre possibilità ancora oggi non ben calcolabili. Una crittografia facile da usare, trasparente per l’utente e soprattutto sicura per le applicazioni: parliamo di Crittografia Omomorfica.

L’ultima frontiera della crittografia omomorfica si chiama Fully Homomorphic Encryption (FHE). Una crittografia capace di preservare il dato fin dall’origine, concedendolo a terzi per qualsiasi tipo di elaborazione ma senza mai svelarne il suo reale contenuto. E questo potrebbe davvero costituire una rivoluzione quasi inaspettata per ogni campo digitale e che proietta il dato verso un utilizzo sempre più spinto senza alcuna preoccupazione relativa alla sua sicurezza. Non a caso i maggiori colossi tecnologici in campo IT, come IBM, Microsoft, Google ed altri si stanno concentrando sempre più nel cercare di coinvolgere sviluppatori di software a pensare in modalità omomorfica già nel concepimento del loro codice, incorporando la crittografia come una parte “core” del loro programma. Ma per far questo occorre grande capacità computazionale e nuova scrittura applicativa, ingredienti che sono sotto esame degli esperti, affinchè possano definitivamente agevolare l’applicazione della FHE in ogni ambito.

Riguardo alla capacità computazionale ci sono già iniziative avanzate per lo sviluppo e collaborazione tra le aziende, come l’intesa tra Intel, DARPA e Microsoft per il programma DPRIVE (Data Protection in Virtual Environments) volto allo sviluppo di un acceleratore abilitante all’utilizzo ordinario della FHE. Altre iniziative sono volte alla popolazione degli sviluppatori, come il rilascio di FHE Toolkit di IBM per facilitare la scrittura di nuove applicazioni che includano la cifratura omomorfica.

Non è giunto ancora il momento, ma è bene essere vigili e non farsi cogliere impreparati perchè la nuova “realtà cifrata” è oramai dietro l’angolo.

Articolo a cura di Luigi Perrone

https://www.ictsecuritymagazine.com/articoli/fully-homomorphic-encryption-fhe-una-crittografia-capace-di-preservare-il-dato-fin-dallorigine/

Misurare i livelli di protezione e sicurezza di dati ed informazioni

L’identificazione e la condivisione di metodi e metriche quanto più possibili oggettivi potrebbero rappresentare gli elementi adeguati a creare fiducia tra i soggetti della filiera.

Il contesto normativo e culturale

L’information security sta guadagnando sempre più una posizione di rilievo nell’ambito delle attività di gestione delle organizzazioni. Ma l’operatività in campo dimostra come troppo spesso non sia una scelta propriamente spontanea e consapevole. Appare piuttosto come un qualcosa di inevitabile e anche rognoso da gestire, vuoi per l’incremento esponenziale delle attività illecite ed il clamore mediatico che ne consegue, vuoi per l’aumento delle norme che ne delineano in modo sempre più preciso i criteri di attuazione. Siamo ormai allenati alle implicazioni in materia di Protezione dei Dati Personali, specie sotto la costante sollecitazione dei provvedimenti stabiliti dall’Autorità Garante. Stiamo cominciando a digerire le obbligazioni previste per gli Operatori di Servizi Essenziali – ovvero le infrastrutture critiche in ambito socio-economico ed i fornitori di servizi digitali – con un focus specifico sulle attività di risposta agli incidenti e continuità dei servizi. Ed infine dovremo imparare a familiarizzare con la costellazione normativa che definisce il Perimetro di Sicurezza Nazionale Cibernetica ed i relativi requisiti di sicurezza. Ma l’approccio che accomuna il set normativo sull’information e cyber security si fonda sull’esecuzione dinamica e reiterativa di un processo di valutazione e gestione dei rischi. Concetto per nulla gradito alla cultura nazionale, certamente più istintivamente propensa alla “creatività” – a danno fatto, trovare il modo più veloce ed economico per metterci una pezza – e all’approccio normativo di tipo prescrittivo: fare il minimo indispensabile, solo se richiesto esplicitamente, per non prendere una bella sanzione. Il business-as-usual italiano ha impiegato molto tempo ad assimilare concetti quali l’efficienza e l’efficacia, ed ora stenta in modo palese ad acquisire i principi dell’information e cyber security. Anche se non è da escludere che buona parte dell’incompatibilità attualmente manifestata dipenda da un cortocircuito per così dire “linguistico”. Mentre nella stragrande maggioranza dei casi le valutazioni dei rischi sulla security parlano secondo metriche quali-quantitative comprensibili solamente dagli addetti ai lavori, gli operation e business manager sono soliti parlare in euro. E quando questi ultimi ascoltano, ciò che comprendono sono solamente spese su spese, costi; sfugge loro il senso dell’opportunità, dei ricavi che è possibile ottenere dalla sicurezza.

Misurare il valore della sicurezza con il metodo ROSI

Se ad alcuni le attività e gli asset di supporto alla sicurezza delle informazioni potrebbero apparire come un costo, una fee da pagare per garantirsi la presenza sul mercato, in realtà rappresentano strumenti idonei a generare valore misurabile. Uno dei modelli maggiormente consolidati consiste nel calcolo del Return On Security Investment, a sua volta ricavato dalla definizione o dal calcolo di alcuni parametri elencati di seguito.

1) SLE (Single Loss Expectancy): riguarda la definizione delle perdite economiche ipotizzate, o valutate sulla base di uno storico, per singolo incidente. 2) ARO (Annual Rate of Occurrence): si riferisce alla definizione del fattore di possibilità o probabilità di accadimento di incidenti della sicurezza. 3) ALE (Annual Loss Expectancy): è ricavato dal prodotto di SLE ed ARO. 4) mALE (Modified Annual Loss Expectancy): ovvero un fattore percentuale di mitigazione identificabile sulla base delle misure di sicurezza messe in campo per prevenire o ridurre le perdite prodotte da un incidente della sicurezza.

Il ROSI, espresso in formato percentuale, è quindi calcolato secondo la formula:

ROSI = ((ALE * mALE) – costi) / costi

Sarà così facile scoprire che l’applicazione di adeguate misure di sicurezza generi più frequentemente di quanto si possa immaginare ricavi piuttosto che costi.

Opportunità e limiti del modello

Il metodo ROSI può essere impiegato non solamente per calcolare il valore ed i conseguenti ricavi all’interno dell’organizzazione, ma può essere trasformato anche in un potente vettore commerciale per comunicare il plusvalore generato nell’erogazione dei servizi offerti alla committenza, in base ai livelli di sicurezza garantiti attraverso l’applicazione di specifiche misure di sicurezza. Nonostante le opportunità proposte, questo modello non resta però esente da alcune limitazioni che rischiano di inficiarne la credibilità. Occorre infatti sottolineare, con buona onestà intellettuale, che il parametro mALE, ad esempio, presta il fianco ad eventuali critiche circa il carattere oggettivo dell’analisi. La mitigation ratio è un elemento per il quale non sono state stabilite metodologie di calcolo strutturate né correlazioni condivise su ampia scala tra le misure di sicurezza messe in campo e la loro efficacia in termini preventivi e reattivi. Resta pertanto fondato su un’interpretazione soggettiva e difficilmente verificabile di individui o piccoli gruppi di lavoro. Un’ulteriore limitazione del modello consiste nell’incapacità di esprimere il valore prodotto dalle organizzazioni in termini di responsabilità sociale attraverso la sicurezza. Gli incidenti della sicurezza, infatti, hanno impatto non solamente sulle organizzazioni che erogano i servizi e sui loro committenti ma, quando questi servizi sono fruiti da un numero esteso di utenti, anche su di essi, provocando quindi danni di differente entità agli individui, in alcuni casi anche molto gravi. La vigente normativa in materia di protezione dei dati personali è chiara nell’indirizzare questa visione, rivolgendo particolare attenzione alla salvaguardia delle persone. Ma né il GDPR né il modello ROSI sono in grado di misurare o rappresentare in modo oggettivo i benefici ed il plusvalore sociale prodotto attraverso le attività della sicurezza. Infine occorre tener presenti due ulteriori limitazioni del modello proposto. Elementi che purtroppo lo rendono ancora acerbo rispetto alle effettive esigenze. Da un lato l’assenza di un metodo oggettivo e credibile di calcolo per stimare la portata economica dei danni relativi alla reputazione delle organizzazioni che subiscono un incidente della sicurezza. Dall’altro l’assenza di parametri adeguati a considerare le dinamiche di crescita dei danni nel tempo. I monitoraggi in caso di incidenti di sicurezza insegnano che il perdurare nel tempo di una situazione non conforme – la maggior parte delle volte riguarda l’indisponibilità di informazioni o dei servizi IT di supporto – produce danni sempre crescenti secondo un andamento incrementale non costante. Esiste infatti un momento nel tempo superato il quale le perdite economiche impennano in modo esponenziale.

Conclusioni

In conclusione è possibile affermare che, nonostante il modello ROSI presenti tutta una serie di opportunità scarsamente esplorate, sia orfano di fondamenta metodologiche in grado di renderlo applicabile in modo efficace. Sono tanti gli standard di sicurezza ampiamente riconosciuti dalla comunità internazionale e le best practices proposte. Risultano però scarsamente delineati framework di valutazione del rischio in grado di fornire elementi strutturati di input al calcolo del ritorno sugli investimenti per la sicurezza. Ne consegue che risulta assente un “connettore linguistico” in grado di trasmettere fiducia tra i soggetti coinvolti in una catena di fornitura che oramai si estende a dismisura – specie in ambito di sviluppo applicativo – e sulla quale è doveroso l’impegno per mantenere un adeguato presidio. C’è ancora molto lavoro da fare, tanto in termini di progettazione e condivisione di framework sostanziali – pratici, usabili – come anche in termini di verifica e certificabilità dei metodi applicati e delle misurazioni realizzate. Tutto ciò nel tentativo di configurare uno scenario utile allo sviluppo del business. Che non sia l’ennesimo set di “regole” sulle quali si spende più tempo a capire come aggirarle piuttosto che a comprendere come applicarle.

Articolo a cura di Alberto Buzzoli

Promuove sinergia, creatività ed innovazione progettando metodologie e strumenti per connettere strategie di business, modelli d’organizzazione, sistemi di gestione e tecnologie dell’informazione. Si occupa di governance aziendale, risk management, compliance e incident handling – formazione specialistica e comunicazione incluse – in ambito di sicurezza integrata, con particolare approfondimento in materia di sicurezza delle informazioni e protezione dei dati personali.

E’ specializzato nella progettazione e nell’auditing di servizi CRM per il mercato bancario, assicurativo e finanziario.

Nel 2012 ha fondato la community di professionisti INTOUT – In Mind Innovation, con l’obiettivo di integrare know how eterogenei in un unico centro di competenza, favorendo lo sviluppo e la divulgazione di soluzioni sempre nuove ed utili, volte ad incrementare la cultura delle organizzazioni e la maturità dei modelli impiegati nei processi di analisi e gestione dei rischi.

https://www.ictsecuritymagazine.com/articoli/misurare-i-livelli-di-protezione-e-sicurezza-di-dati-ed-informazioni/

Cybersecurity per la Blockchain e la Blockchain per la cybersecurity (1/3)

Introduzione

Di solito quando una nuova architettura e tecnologia vengono inserite nel mercato, le persone pensano ai vantaggi e all’innovazione trascurando un aspetto molto importante: la sicurezza informatica della nuova soluzione. Questo non è però un aspetto peculiare dell’informatica, ahimè è valido in generale in molti contesti. Un esempio è la F1, infatti le norme sulla sicurezza vengono molto spesso aggiornate solo a seguito di un grave incidente.

Se consideriamo il campo della CyberSecurity, purtroppo questo è ancora più grave. Oggi ci affidiamo all’Information Technology e, una volta che adottiamo una tecnologia, trasferiamo irreversibilmente al suo interno i nostri processi senza curarci di verificarne prima la sicurezza. Trascurare la sicurezza informatica in ambito aeroportuale, ad esempio, in un’applicazione di check-in che non funziona correttamente potrà portare l’aereo a non decollare e costringerà l’utente a rimanere in aeroporto.

L’ Intelligenza Artificiale gioca un ruolo rilevante nello sviluppo della Blockchain; infatti, permette di gestire processi in maniera più efficiente ed aggiungendone valore. Ma cosa succederebbe se l’Intelligenza Artificiale venisse hackerata? Il meccanismo di attacco è identico al Cloud e all’ Internet of Things (IoT). Oggi dobbiamo chiederci: la Blockchain può quindi essere hackerata come già è successo per soluzioni Cloud e IoT?

Un altro elemento che vogliamo considerare è il seguente:

Gli hacker sono tecnici, persone molto esperte di tecnologia e che studiano ogni giorno come sfruttare una vulnerabilità, come avere successo con un attacco.

La tecnologia può contare sulla sua efficienza, ma molto probabilmente anche gli hacker saranno riusciti a trarre vantaggio dalla specifica tecnologia per migliorare i propri attacchi. Pertanto, la domanda è: gli hacker stanno usando la Blockchain?

La Blockchain può essere hackerata?

Per rispondere a questa domanda, si deve pensare come un hacker e nel dettaglio un hacker pensa solitamente a questi tre elementi:

Qual è il punto di vulnerabilità?
Quali sono le vulnerabilità che possono essere sfruttate?
Qualcun altro ha già avuto successo nell’hacking?

Punto di vulnerabilità

Nodo: server dei partecipanti coinvolti nella blockchain
Transazione: insieme di dati scambiati tra due endpoint e che richiedono la verifica, approvazione e archiviazione
Blocco: insieme di transazioni verificate, approvate e archiviate
Registro (ledger): registro pubblico in cui vengono archiviate le transazioni. Nel ledger ci sono blocchi “concatenati” uno con l’altro con algoritmi di crittografia e hash
Hash: è una funzione che trasforma una stringa in un’altra di lunghezza costante. L’hash identifica il blocco e non può essere utilizzato per invertire le informazioni e che le transazioni sono molto probabilmente avviate da esseri umani e l’architettura generale è basata sull’idea di fiducia (trust).

È importante analizzare i tre elementi elencati prima:

Qual è il punto di vulnerabilità?
Quali sono le vulnerabilità che possono essere sfruttate?
Qualcun altro ha già avuto successo nell’hacking?

Vulnerabilità

Endpoint

Una delle vulnerabilità più probabili della blockchain è al di fuori della blockchain stessa. Definiamo “vulnerabilità degli endpoint”.

Gli endpoint, proprio come ci si potrebbe aspettare, sono gli spazi in cui uomini e Blockchain si incontrano. Per la maggior parte, gli endpoint sono i computer che gli individui e le aziende utilizzano per accedere ai servizi Blockchain.

Indipendentemente dal fatto che i fornitori di tali servizi siano istituzioni finanziarie, industrie o criptovalute, l’uso di una Blockchain inizia con le informazioni inserite in un computer e termina con le informazioni restituite da un computer. È durante il processo di accesso alla Blockchain che i dati sulla catena sono più vulnerabili.

In particolare, le credenziali necessarie per accedere alla Blockchain possono rappresentare l’elemento di esposizione agli aggressori sugli endpoint. Si tratta, in effetti, di un limite dell’utente e questo ci ricorda che nella sicurezza informatica il comportamento umano è la più grande vulnerabilità utilizzata dagli aggressori.

Sicurezza della chiave pubblica e privata

L’accesso a una Blockchain richiede sia una chiave pubblica che una privata. Poiché è impossibile accedere ai dati all’interno di una Blockchain senza la giusta combinazione di chiavi pubbliche e private, questo rappresenta il punto di forza e di debolezza della tecnologia Blockchain. Senza le chiavi idonee, nessun hacker potrà mai accedere ai dati. Nel mondo della Blockchain, il possesso di chiavi e proprietà dei contenuti sono assolutamente sinonimi.

Poiché gli hacker di solito non disperdono tempo a indovinare, la migliore possibilità di ottenere le chiavi è quella di attaccare il punto più debole dell’intero sistema: il personal computer o il dispositivo mobile.

Ogni volta che le chiavi Blockchain vengono inserite, visualizzate o archiviate non crittografate su tali dispositivi, gli hacker possono acquisirle. Sfortunatamente, la maggior parte delle persone non protegge adeguatamente i propri dispositivi.

Pertanto, non si può pensare che la Blockchain sia sicura di per sé, ma lo diventa solamente se si attuano le giuste forme di protezione, ad esempio proteggendo il proprio laptop o dispositivo.

Rischi del fornitore

La Blockchain di per sé non ha alcun valore, lo acquista se si possano trasferire le informazioni dentro e fuori da essa. Pertanto, la Blockchain non ha valore se non ci sono applicazioni in esecuzione su di essa. Man mano che l’adozione della Blockchain diventa maggiore e le applicazioni che a loro volta la utilizzano crescono, è possibile aspettarsi di assistere allo sviluppo di terze parti all’interno dell’ecosistema Blockchain ed in particolare in queste sei aree principali:

Piattaforme di integrazione Blockchain
Processori di pagamento
Wallet
Fintech
Piattaforme di pagamento Blockchain
Smart contract

Le organizzazioni che desiderano distribuire applicazioni e piattaforme Blockchain di terze parti devono essere consapevoli che la loro sicurezza dipende dalla sicurezza del loro fornitore.

Scalabilità

Una delle principali preoccupazioni sulla sicurezza della Blockchain è quella a cui molti nel settore preferirebbero non pensare: cosa succede su larga scala?

Le architetture Blockchain sono ovviamente scalabili. Ad oggi, non ci sono stati problemi di sicurezza significativi derivanti dall’espansione organica delle Blockchain; tuttavia: “siamo così sicuri che rimarrà lo stesso per sempre”?

Nessuno standard e regolamenti

I puristi della Blockchain sono preoccupati per regolamenti o standard.

I governi e le istituzioni finanziarie spingono affinché la Blockchain venga sottoposta a regolamenti, ma molti degli utenti attuali presumibilmente lasceranno le piattaforme qualora queste dovessero essere sottoposte a nuovi regolamenti più stringenti.

Siamo quindi alle prese con un dilemma. Molti degli utenti attuali lasceranno le piattaforme quando saranno presenti più regole, ma le stesse, sono necessarie nella maggior parte dei settori in cui la più grande innovazione è la Blockchain.

Se ci riferissimo alla seconda vulnerabilità discussa in questo articolo, rischi del fornitore, diventa difficile vedere come una qualsiasi delle sei applicazioni menzionate non possa beneficiare di un certo livello di standardizzazione, se non di regolamentazione.

La mancanza di protocolli standard significa che gli sviluppatori di Blockchain non possono beneficiare facilmente degli errori degli altri. Con ogni azienda, ogni consorzio e ogni prodotto che opera secondo un diverso insieme di regole, sono presenti i rischi che derivano da una tecnologia non standard di qualsiasi tipo.

Inoltre, a un certo punto, potrebbe essere necessario integrare le catene. La mancanza di standardizzazione può significare nuovi rischi per la sicurezza a causa della fusione di diverse tecnologie.

La soluzione alla questione delle norme e dei regolamenti è più complessa di quella della maggior parte delle questioni tecniche. Tuttavia, queste domande alla fine si risolveranno da sole.

Come molte altre tecnologie, l’evoluzione porterà alla fine alle seguenti regole:

Regolamentazione forzata e standard laddove ha senso;
Regolamentazione e standardizzazione autoimposte tra consorzi nelle aree in cui è necessaria l’innovazione;
Nessuna regolamentazione o standardizzazione per le Blockchain built in-house e utilizzate solo all’interno dell’organizzazione.

La Blockchain e tutte le applicazioni sono testate contro la CyberSecurity?

Blockchain e applicazioni si basano su Internet, su software, su sistemi operativi. Questo è qualcosa che vale anche per le infrastrutture critiche. Le vulnerabilità possono dipendere da migliaia di fattori e possono essere testate solo in produzione.

Per le infrastrutture critiche non è possibile applicare tutti i controlli di sicurezza in quanto la loro applicazione non è possibile. Ad esempio, non è possibile effettuare penetration test in produzione in quanto il rischio è di bloccare uno SCADA. Anche per la Blockchain non è possibile testare in anticipo, poiché costruire un ambiente replicato sarebbe difficile e molto costoso.

È necessario garantire supporto nella risposta e nella gestione degli incidenti di cybersecurity (PSIRT), in quanto la segnalazione, la rapida eliminazione e l’informazione sulle vulnerabilità di sicurezza contribuiscono al fatto vengano soddisfatti sempre i vigenti requisiti di sicurezza.

Conclusione

Come ridurre il rischio? Proteggendo l’endpoint, assicurandosi che il fornitore sia sicuro e ciò significa cercare fornitori che forniscano applicazioni e registri (ledger), controllare che abbiano un PSIRT (Product Security Incident Response Team) e se condividono le informazioni. Infine, incentivare la possibilità di avere regolamenti o autoregolamentazioni.

Articolo a cura di Rosita Galiandro

Rosita Galiandro ha conseguito la laurea Magistrale in Sicurezza Informatica presso l’Università di Bari.

Attualmente ricopre il ruolo di Responsabile Osservatorio CyberSecurity presso Exprivia.

Contribuisce alle attività di prevendita, ha partecipato a progetti di risk assessment e GDPR compliance e collabora in piani di insegnamento con diverse università nell’ambito CyberSecurity e nel progetto CyberChallenge.IT. Fa parte della community Women For Security.

https://www.ictsecuritymagazine.com/articoli/cybersecurity-per-la-blockchain-e-la-blockchain-per-la-cybersecurity-1-3/

Protezione del dato? La nuova sfida si chiama “Fully Homomorphic Encryption”

Nel mondo d’oggi il dato digitale è oramai un patrimonio prezioso da preservare e difendere più che mai, visti i forti mutamenti in atto in cui vengono abbattuti confini e barriere protettive per consentire una maggior fruibilità delle informazioni ovunque ci si trovi e mediante qualsiasi strumento. Questo ha portato a riconsiderare il forte connubio tra dato ed identità che necessita di una tecnologia capace di protezione indipendentemente dal contesto in cui si opera.

Non passa giorno in cui non leggiamo o addirittura non siamo artefici di una continua crescita di dati generati da processi ed elaborazioni di diversa natura per poi essere trasmessi in rete sia per scopi professionali, governativi o politici, ma anche solo per piacere ed interesse personale.

Se poi pensiamo all’interesse spasmodico ed alla crescita significativa dell’utilizzo del Cloud, così come le nuove tecnologie tipo 5G, l’impiego di sistemi IoT (Internet of Things) fino ad arrivare ai processi di Intelligenza Artificiale (AI), allora possiamo comprendere come tutti questi dati generati e trasmessi tra sistemi eterogenei richieda oramai un approccio alla protezione delle informazioni non più legato al perimetro d’azione in cui si opera, ma ad un nuovo legame intrinseco tra il dato e l’identità che ne deve usufruire.

La crescita del lavoro a distanza, fortemente condizionato dalla pandemia, e l’incremento esponenziale delle transazioni digitali hanno evidenziato come ci sia una forte criticità di esposizione dei dati determinato soprattutto dell’aumento delle dimensioni della superficie d’attacco che non dobbiamo sottovalutare.

Anzi, in questo contesto notiamo come i team di sicurezza IT si trovino sempre a lavorare rincorrendo le problematiche annesse agli eventi. Questo perché mentre cercano di individuare e fermare gli attacchi devono al contempo trovare un giusto compromesso tra la sicurezza e l’ordinarietà produttiva che costituisce il motore di business per le aziende. Molto spesso si tratta di un equilibrio difficile da raggiungere soprattutto in contesti dinamici ed interconnessi, ed è per questo che assistiamo ad una spinta universale nella ricerca e nello sviluppo di soluzioni e tecnologie mirate ad ottenere una sicurezza sempre più solida e sofisticata.

Seguendo questo approccio, ecco che la crittografia rialza la testa per conquistare un ruolo primario nello scenario mondiale dell’IT proprio come strumento tecnologico avanzato in grado di garantire riservatezza, integrità e disponibilità del dato indipendentemente dall’ambito in cui ci si trovi o dal dispositivo utilizzato per interagire con esso. I sistemi di crittografia avanzati come la “Quantum Key Distribution” e “Homomorphic Encryption” agiscono proprio come tecnologie abilitanti per qualsiasi ecosistema di sicurezza informatica aziendale, fornendo un grandissimo aiuto nel mitigare tutti i problemi e rischi di sicurezza che continuano a sorgere ogni giorno.

Ma andiamo per ordine, partendo dal significato di crittografia.

La crittografia (encryption) viene spesso identificata come quel processo di codifica delle informazioni capace di effettuare una loro trasformazione da un formato in chiaro in un formato cifrato. In realtà conosciamo la crittografia fin dalle sue origini, quando veniva applicata nell’intelligence e nelle operazioni militari. Poi, nel corso degli anni ha subito un’evoluzione davvero significativa tanto da ricevere una crescente attenzione proprio per la sua capacità di proteggere i dati, sia quando essi si trovano in uno stato “fermo” e cioè memorizzati su dispositivi di storage, sia quando questi sono in “volo” perché trasmessi sulla rete (intranet/internet).

Non solo: la crittografia consente anche di proteggere e rendere più sicuri i dispositivi terminali di front-end con cui quotidianamente interagiamo per manipolare i nostri dati molte volte utilizzando metodi di autenticazione anch’essi cifrati.

Nello specifico possiamo trovare la crittografia applicata in un vasto insieme di situazioni correlate tra loro:

message encryption
data loss prevention
multi-factor authentication
database encryption
network encryption
endpoint devices encryption

In tutti questi casi, la cifratura dei dati si basa sull’utilizzo di “chiavi crittografiche”, siano esse simmetriche o a doppia chiave (pubblica/privata). Le chiavi permettono di crittografare dati leggibili trasformandoli secondo un apposito algoritmo in dati illeggibili. Per poterli decifrare rendendoli nuovamente leggibili, risulta necessario possedere la chiave che ne consenta la loro decifratura.

Con l’evoluzione dei sistemi e delle nuove tecnologie come il Quantum Computing si cominciano ad intravedere situazioni in cui gli attuali protocolli di crittografia e autenticazione potrebbero non essere più sufficientemente sicuri. Ecco perchè si continua a guardare al futuro, molto prossimo, prevedendo un ulteriore step evolutivo riguardo ai metodi avanzati di crittografia, già ora in fase di sviluppo, e che mirano ad affrontare le sfide precedentemente citate. Uno dei metodi di crittografia più innovativo e promettente, soprattutto per gli ambienti cloud ma applicabile in qualsiasi altro contesto, è costituito dalla Homomorphic Encryption.

Esistono tre tipologie di Homomorphic Encryption: parziale, media e completa.

PHE (Partially Homomorphic Encryption): protegge i dati ma limitatamente ai due calcoli che possono essere eseguiti su di loro, come l’addizione o la moltiplicazione.
SHE (Somewhat Homomorphic Encryption): con questa tipologia possiamo eseguire operazioni limitate che possono essere eseguite solo un determinato numero di volte.
FHE (Fully Homomorphic Encryption): consente ogni tipologia di calcolo ed analisi dei dati mentre sono crittografati, preservando quindi la loro integrità e privacy.

Secondo i massimi esperti quest’ultima risulterebbe una vera e propria novità nello scenario della crittografia mondiale in quanto è in grado di resistere anche ad attacchi di tipo quantistico (Quantum-Safe). Per raggiungere questo grado di sicurezza, FHE richiede una grande potenza di calcolo per l’analisi e presenta ancora qualche limitazione nel supporto multi-utente che lavora con la stessa applicazione sullo stesso gruppo di dati.

Quindi possiamo dire che non è propriamente indicata per l’uso con hardware tradizionale e magari anche datato, ma occorre sicuramente un rinnovo tecnologico che permetta di intraprendere un percorso di protezione del dato con FHE già in fase di ingegnerizzazione delle applicazioni.

Tuttavia, ricerca e sviluppo sono particolarmente attivi nel cercare di perfezionare questa tecnica crittografica, visti i cospicui investimenti degli ultimi anni (si parla di oltre 100 milioni di dollari annui di investimenti globali da parte dei big del settore come Google, Microsoft e IBM)

Oggi il mercato della crittografia mostra l’esistenza di tecnologie diversificate a seconda del livello a cui si vuole implementare la crittografia, e cioè se allo stato fermo, detto “at-rest” (disco, file system, database), oppure allo stato in movimento, detto “in fly” quando il dato viaggia sulle reti, fino ad arrivare al dato in cloud. Ed è proprio quest’ultima a prendersi la scena in quanto è diventata l’area più rilevante per la maggior parte di aziende ed istituzioni che si apprestano ad utilizzare i servizi in cloud, quindi impegnate a soddisfare determinati requisiti relativi alla protezione ed accesso del dato, cercando di spazzar via tutta quella diffidenza in termini di sicurezza che ancora avvolge gli ambienti cloud.

Certo, per qualsiasi modello cloud (PaaS,IaaS,SaaS) che si sceglie, occorre sempre verificare la compatibilità e la disponibilità di soluzioni di crittografia da parte del fornitore di servizi cloud stabilendo aspettative, capacità e responsabilità dell’intero servizio offerto. Questo è un tema fondamentale per chi si affida ad una infrastruttura in cloud, proprio per evitare debolezze e vulnerabilità non ben considerate e che sono l’origine di tutti gli attacchi a cui assistiamo negli ultimi tempi. Attacchi spesso più pericolosi delle tradizionali campagne di phishing o di virus scaricati navigando in rete, in quanto l’attacco si basa sull’anello debole della catena, individuato spesso nell’uomo, per poi veicolare del codice malevole all’interno dei sistemi. Pertanto gli hacker attendono il momento giusto per completare la loro azione d’attacco e cioè quando la situazione rende il dato più esposto e più vulnerabile.

Ed è questo il punto che mina seriamente la credibilità degli attuali metodi di crittografia per la protezione del dato, creando preoccupazioni relative alla capacità di resistere alle future tipologie di attacco possibili con nuovi mezzi e con tecnologie più potenti capaci di aggredire il dato nel momento della sua scopertura, cioè quando viene decifrato, ed ecco perché si parla tanto di crittografia omomorfica.

La crittografia FHE mette al sicuro da questo pericolo in quanto il dato potrà essere manipolato ed elaborato da enti terzi senza necessariamente dover essere decifrato. Solo chi detiene la chiave, cioè il proprietario del dato, avrà la capacità di rilevare il suo vero contenuto.

Attenzione però a non soffermarsi esclusivamente sull’algoritmo di crittografia da utilizzare poiché occorre considerare anche la tematica relativa alla gestione delle chiavi di crittografia, che risulta davvero critica.

Oggi, la maggior parte della crittografia utilizza algoritmi a chiave asimmetrica (anche FHE ricade in questa categoria) dove le chiavi utilizzate per la cifrare/decifrare sono diverse. Ciò significa che richiedono sia una chiave pubblica che una privata per accedere ai dati. Di conseguenza, la perdita delle chiavi provoca inevitabilmente la perdita di dati. Ed è proprio questo il tasto delicato che richiede la giusta attenzione, con valutazione di metodologie, processi e soluzioni efficienti e capaci a gestire in totale sicurezza l’intero ciclo di vita delle chiavi

Dando quindi uno sguardo al futuro prossimo, sarà fondamentale per le organizzazioni e per tutti noi comprendere e valutare la pericolosità delle vulnerabilità presenti nel mondo digitale in modo da attivarci per intraprendere una scelta tecnologica in grado di tutelarci e mettere i nostri dati al riparo da ogni pericolo di attacco. Ecco perchè la crittografia avanzata diventerà ben presto un tema centrale per qualsiasi infrastruttura digitale presente e futura

Articolo a cura di Luigi Perrone

https://www.ictsecuritymagazine.com/articoli/protezione-del-dato-la-nuova-sfida-si-chiama-fully-homomorphic-encryption/

Networking e Security: manca collaborazione

Tra il 2020 e il 2023, secondo IDC i progetti di trasformazione digitale riceveranno finanziamenti per un totale di 6,8 trilioni di dollari a livello globale. La trasformazione digitale è un termine che può essere applicato a una vasta gamma di progetti, ma per tutti questi progetti di trasformazione sarà necessario ripensare le architetture di rete e di sicurezza per supportare nuovi flussi di lavoro e gestire nuovi rischi. Ma una ricerca condotta da Censuswide per conto di Netskope ha rivelato una divisione potenzialmente dannosa tra i professionisti del networking e della sicurezza che potrebbe impedire alle organizzazioni di realizzare i vantaggi che sperano di ottenere dalla trasformazione digitale.

Il 54% dei CIO europei ritiene che la mancanza di collaborazione tra i team di specialisti impedisca alla propria organizzazione di realizzare i vantaggi della trasformazione digitale. In sostanza, ci stanno dicendo che se i team interni non sono in grado di collaborare in modo efficace, la spesa per la trasformazione digitale di $ 6,8 trilioni potrebbe essere sprecata e non riusciremo a ottenere architetture a prova di futuro come Secure Access Service Edge (SASE) basate sulla convergenza di networking e sicurezza.

Oltre ai CIO, la ricerca ha anche intervistato separatamente professionisti della rete e professionisti della sicurezza nel tentativo di comprendere le relazioni che ciascuno ha con l’altro. Se i CIO sono preoccupati per una collaborazione che ritengono inefficace tra i team, quanto in realtà stanno lavorando insieme questi due gruppi cruciali per la trasformazione digitale?

Le notizie non sono buone. Mentre il 45% dei team di sicurezza e networking europei siedono nello stesso gruppo più ampio e riferiscono allo stesso capo, il 43% dei partecipanti alla ricerca condotta in Europa ha dichiarato che “i team di sicurezza e networking non lavorano molto insieme”. Ancora più schiacciante, il 44% dei professionisti della rete e della sicurezza della region ha descritto la relazione tra i due team in termini fortemente negativi come “combattiva”, “disfunzionale”, “fredda” o “irrilevante”.

Qual è la radice di questi problemi? Ebbene, la ricerca mostra che non è che i due team stiano lavorando su obiettivi diversi. Entrambi i gruppi hanno selezionato le stesse tre priorità principali per il 2021; supportare una maggiore produttività per l’intera organizzazione, espandere l’infrastruttura per supportare la crescita aziendale e aumentare la visibilità e il controllo.

Né la questione risiede in una mancanza di opportunità per lavorare insieme. I progetti di trasformazione digitale sono perseguiti da professionisti del networking e della sicurezza (l’85% dei partecipanti alla ricerca sta attualmente lavorando a un progetto di digital transformation o ne ha appena completato uno) e più della metà di questi progetti coinvolge sia la trasformazione della rete che della sicurezza. Lo stesso numero (56%) ha uno sponsor sia all’interno dei team di networking che di sicurezza.

E non c’è problema con l’idea di collaborazione. L’82% di entrambi i gruppi intervistati ha affermato che la sicurezza fa parte della responsabilità del team di networking, rispondendo in particolare che “la sicurezza è integrata nell’architettura di rete”.

Quindi, qual è il problema?

Vent’anni fa la sicurezza rientrava nell’ambito del networking a livello organizzativo, ma da allora abbiamo assistito alla graduale creazione di un team specializzato in security, che ha raggiunto il suo apice con la creazione del ruolo di CISO. Mentre inizialmente i CISO riferivano al CIO, non è passato molto tempo prima che la portata del rischio che stavano gestendo abbia consentito ai CISO di occupare un posto al tavolo del board, o almeno un’opportunità di relazionarsi con figure C-Level non tecniche. La nuova visibilità ottenuta dal CISO ha creato disaccordi con il CIO e i team di networking e abbiamo visto i team iniziare ad adottare approcci molto diversi per raggiungere gli obiettivi aziendali. Ma i CISO e i CIO non sono l’unico motivo di una divisione tra networking e sicurezza, né sono la ragione principale.

Il ruolo della sicurezza è trovare i problemi e orchestrare la loro risoluzione. E i problemi che si trovano sono molto spesso nelle architetture di rete. Questa è la natura del suo ruolo, ma crea un evidente attrito quando la sicurezza può essere vista come “chi” avanza critiche. Sebbene la sicurezza abbia una sua strategia, si basa sulla rete, sull’infrastruttura e sui team delle applicazioni per eseguire e raggiungere gli obiettivi di business. I team di sicurezza possono selezionare uno strumento, ma i team di neworking e dell’infrastruttura saranno quelli che lo implementeranno e lo eseguiranno.

Come risolvere la questione?

All’interno della più ampia comunità IT, i professionisti della rete e della sicurezza non sono gli unici ad avere frizioni. Vediamo molti degli stessi problemi tra i team di sviluppo, i team operativi IT, tra chi si occupa di applicazioni e di infrastruttura, quindi possiamo cercare di capire come questi altri ruoli IT stiano risolvendo le loro divisioni.

DevOps è stato creato per riunire un team interfunzionale con tutte le competenze e le persone necessarie per creare, distribuire ed eseguire un prodotto o un software, ed è abbastanza consolidato che riunire i team in questo modo abbia portato vantaggi significativi. Ora stiamo iniziando a vedere che queste lezioni sono state apprese anche dal team di sicurezza. Stiamo iniziando a vedere SecOps (sicurezza + operazioni IT) e DevSecOps (dove la sicurezza delle applicazioni e dell’infrastruttura è progettata sin dall’inizio) come team interfunzionali impegnati a unificare le priorità e intrecciare la sicurezza nei flussi di lavoro di sviluppo e operativi.

Negli ultimi anni abbiamo anche assistito alla formazione di “tiger team” specializzati e agili all’interno delle organizzazioni, incaricati di affrontare specifiche sfide aziendali. Questo approccio di team interfunzionale è stato adottato da molti team di vendita e marketing, il che ha spesso portato l’IT verso lo stesso modello con cui lavoriamo per supportare l’attività aziendale. Nell’ultimo anno il COVID-19 ha dato a molti l’opportunità di ripensare le linee organizzative, utilizzando i Tiger Team per affrontare le sfide legate all’abilitazione e alla sicurezza dei lavoratori remoti. In questi team, ai partecipanti è stata assegnata la missione di abilitare il lavoro a distanza il più rapidamente e umanamente possibile e non rimanere bloccati da infinite approvazioni per questioni come il budget. I team sono stati autorizzati dalla leadership senior per realizzare ciò che propongono e in questo abbiamo visto i silos tradizionali rompersi momentaneamente.

Questi team interfunzionali sono senza dubbio il modo migliore per correggere il divario che vediamo tra networking e security. Una delle manifestazioni quotidiane più irritanti del conflitto di rete e sicurezza è dato da NOC e SOC (centri operativi di networking e di security) che si scagliano ticket l’uno contro l’altro. Questi ticket rimbalzano avanti e indietro senza alcuna volontà di collaborare per affrontare la causa principale del problema. La convergenza di NOC e SOC in un unico centro operativo di sicurezza e rete (SNOC) è un grande passo avanti nella giusta direzione.

Team dedicati, interfunzionali e basati sulle competenze riducono la necessità di compromessi che abbassano gli standard e la responsabilizzazione da parte della leadership è la chiave del successo. I team dovrebbero concentrarsi sui risultati piuttosto che sull’attività, creando ownership su obiettivi condivisi e risultati chiave. Un esempio di OKR (objectives and key results) potrebbe essere “Migliorare la consapevolezza della sicurezza del mio personale ottenendo una riduzione del 20% del numero di dipendenti che cadono preda di tentativi di phishing simulati”. Sebbene sia ancora importante far sì che il lavoro sia visibile all’interno e all’esterno del team, queste strutture ristabiliscono naturalmente la relazione tra networking e sicurezza.

È stato permesso che la relazione disfunzionale tra networking e security sfuggisse al controllo, ma la posta in gioco è troppo alta per continuare a farlo. La collaborazione è fondamentale se un’organizzazione vuole ottimizzare la sicurezza e la gestione del rischio, nonché l’esperienza utente e la produttività. In definitiva, senza un rapporto di lavoro costruttivo ed efficace, le ingenti somme investite nella trasformazione digitale rischiano di andare sprecate. C’è un precedente per sistemare le cose ed è ora che i due team si riuniscano per perseguire obiettivi comuni. Unire i team di networking e sicurezza con una collaborazione efficace e strutture rimodellate consentirà alle imprese di intraprendere le trasformazioni di rete e sicurezza che sono essenziali per il successo della trasformazione digitale.

Per consultare la ricerca:

https://www.netskope.com/lp-digital-transformation-needs-a-more-perfect-union/

A cura di Mike Anderson, Chief Digital and Information Officer, Netskope

https://www.ictsecuritymagazine.com/articoli/networking-e-security-manca-collaborazione/

La sicurezza delle informazioni attraverso la sicurezza informatica – 2a parte

Abbiamo in precedenza proposto alcune basi per un chiarimento di massima ed iniziale sull’argomento. Vediamo ora quali sono le mille domande e i mille accertamenti che ci si potrebbe porre sui due aspetti enunciati: Sicurezza della Infrastruttura Fisica e Digitale.

Sicurezza della Infrastruttura Fisica

Come è organizzata la sicurezza perimetrale e dell’edificio: ci sono responsabili della sicurezza al cancello? È una zona recintata? la vigilanza è continua 24h al giorno? Ci sono telecamere? Sistema di videoregistrazione? Modalità di accesso alle registrazioni? Le persone sono su una lista di accesso o chiunque può entrare/accedere all’edificio? Il parcheggio esiste? Controllato? È sotterraneo o all’aperto? Esiste un posto accoglienza (reception)? Si entra con badge? il sistema è registrato? Esiste un controllo in entrata e/o uscita con scanner come negli aeroporti? Se si entra con badge, questo è valido solo per il piano interessato o i piani sono ad accesso controllato? L’accesso all’edificio è solo per dipendenti o anche visitatori? Ci sono consegne previste all’edificio/piani come ad esempio pranzo, pacchi, forniture? Se no, esiste un accesso secondario per i fornitori?
Ci sono uffici chiusi (con vetrate o meno) o parliamo di spazi comuni e solo sale riunioni? Esiste una direttiva “NO carte” sulle scrivanie? Le scrivanie sono condivise o personali? Parliamo di laptop o computer da scrivania? Sono protetti con cavi di sicurezza? I cassetti sono con chiave o senza? Le password sono scritte e lasciate in evidenza oppure esiste una direttiva anche per la pwd?
La continuità elettrica è assicurata? Ci sono generatori o linea indipendente di riserva che arriva direttamente dal gestore? Se ci sono generatori esiste sicuramente una riserva di carburante: come è gestito l’accesso e la sicurezza del sito? Esiste un sistema antincendio? Che tipo di sistema: schiuma, chimico, ad acqua? Esiste una riserva d’acqua?
Che politica esiste contro gli eventi naturali? Il sito è vicino a diga o ferrovia? Esiste la possibilità di allagamenti, frane, smottamenti, terremoti? Il sito è vicino a realtà soggette ad esplosioni e/o interesse terroristico come banche, raffinerie, industrie chimiche, depositi di esplosivi/armi? Il sito è vicino al mare e soggetto a maremoti? Il sito è un posto isolato o vicino a strade ad alto scorrimento?

Sicurezza della Infrastruttura Digitale

I dispositivi hanno la possibilità di collegarsi a internet o solo alcuni dipartimenti ne sono collegati: commerciale, direzione etc.? Esiste una linea internet di supporto in caso di guasto (back up)? Esiste una politica riguardo la possibilità di portare e collegare il proprio laptop/smartphone/tablet al lavoro?
La protezione perimetrale è assicurata da Firewall, Honeypot, DMZ? Ci sono sistemi di protezione con IPS e/o IDS? Gli apparati di rete (router, switch) sono configurati contro attacchi o utilizzo improprio? Esistono in atto misure di sicurezza secondo gli standard minimi di amministrazione ad esempio come port violation, ACL, port shutdown, MAC filtering, porte switch/router non collegate fisicamente e/o in shutdown amministrativo? I comportamenti anomali degli IP sono segnalati e/o gestiti e/o bannati per indagine interna? Esistono bilanciatori per gestire il traffico in entrata e in uscita?
I vari server sono configurati per ricevere gli aggiornamenti con le patch di sicurezza? Gli allegati alla posta aziendale sono scansionati prima della consegna agli utenti e prima della spedizione fuori dalla rete aziendale? Che livello raggiunge l’ispezione degli allegati compressi, o le macro in entrata e in uscita?
I server antivirus gestiscono anche i dispositivi mobili, personali o meno? Esiste una politica di livello minimo di aggiornamento e/o sicurezza presenti sui dispositivi mobili, personali o meno, prima di farli accedere alla rete aziendale tipo controlli NAC? Accedono alla stessa rete aziendale di tutti i dispositivi o esiste una rete separata? La rete per gli ospiti è la stessa del personale aziendale? Quali risorse hanno a disposizione? Esiste una politica sull’uso di app consentite o meno: facebook, instagramm, google, photo e così via? Esiste un filtro per la navigazione internet con accessi e navigazione controllata e monitorata?
Esiste un sistema di autenticazione AAA (autenticazione, autorizzazione, accounting)? Ci sono inoltre sistemi di autenticazione a più fattori e/o ad esempio retina, impronte digitali, chiavetta con sistema PIN usa e getta? Esiste un sistema per il cambio regolare e controllato delle password? Che tipo di robustezza esiste per i criteri per le password? Le politiche sono forzate o solo suggerite? Esiste una cronologia o altri criteri di osservanza quali evitare i nomi utenti, le date di nascita, e così via? Esiste una politica per le pwd anche degli apparati di rete: router, firewall, switch, servers, programmi in uso? chi e quante sono le persone autorizzate alla conoscenza delle password degli apparati di rete?
È consentito l’uso dei floppy/cdrom/chiavette USB sui sistemi aziendali? Che tipo di protezione esiste se uno di questi dispositivi è consentito: all’avvio, all’uso, blocco in caso di ispezione sospetta?
I desktop aziendali sono fisici o virtuali? Esiste un sistema di blocco schermata o visione impedita che non sia quella dell’utente seduto di fronte? Esiste un sistema di backup dei dispositivi consapevole o inconsapevole? Che politica è stata implementata per i backup: giornalieri, full, incrementali, differenziali, settimanali? I laptop/desktop sono collegati via rete ethernet o solo via wifi?
Gli apparati di rete (WIFI access points) sono ad accesso controllato e/o non accessibili facilmente? La sala server è ad accesso controllato e monitorato: chiave, impronta digitale, retina, badge, registro accessi? Gli armadi di rete sono a vista o chiusi in sala server?
I server sono virtuali o fisici? Esiste una politica di backup locale con copie reperibili in siti diversi e lontani geograficamente dal luogo di origine? Il backup è su nastro o digitale? il backup è trasferito fisicamente con mezzi propri o compagnie esterne o inoltrato su linea dedicata ad orari controllati o al momento su linee ultraveloci? Per quanto tempo è conservato il back up?
Come avviene il disaster recevory? Che tempistica di ripristino esiste? Naturalmente se si fa parte di un CSIRT (Computer Security Incident Response Team), il tempo di risposta, Incident Response Time, deve essere estremamente basso e rapido e commisurato al danno che se ne potrebbe avere via via che il tempo passa senza servizio erogato o di risposta ad un incidente.
Esiste una politica sul ciclo di vita delle informazioni e delle apparecchiature presenti in azienda: programmi, dati, apparati di rete, utenze, pwd, dati del personale?
Esiste una sicurezza delle linee? Esiste una politica di crittografia dei dati o delle comunicazioni?

Sembra che io non abbia enunciato nulla che in un buon Documento Programmatico di Sicurezza debba essere presente.

Naturalmente perché tutto funzioni bisogna che qualcuno controlli che tutto venga fatto secondo regola, quindi come norma ci dovrebbe essere anche un sistema di controllo (AUDIT), per tutto di cui sopra, con verifica dei requisiti e tempistiche di procedure. I sistemi cambiano e le persone cambiano, quindi nel processo di audit è naturalmente compreso anche una valutazione del ciclo di vita degli apparati, del software, processo ciclico di validazione dei permessi degli utenti e dei dati utente stesso

Come ultima cosa da ricordare direi che possiamo prima cercare di investigare sull’analisi del rischio:

Quali dati si protegge? Quale servizio si eroga?
Cosa succede se si perdono i dati o il servizio non viene erogato?
Cosa succede se perdo un backup?

Una volta stabilità l’entità del danno possibile/probabile, si deve decidere se correre il rischio o meno e/o mettere in atto misure contingenziali. Si deve quindi decidere se investire o meno, quanto investire e quanto preparati si deve essere per fronteggiare l’accadimento di un rischio. Come si vede, una volta stabilito ciò, tutto diviene una decisione “politica/manageriale”, e questo perché la sicurezza è/veniva normalmente trascurata fino al momento in cui non si subiva un danno.

Aspetto importantissimo: la formazione del personale, consapevolezza dei meccanismi d’ingegneria sociale e consapevolezza digitale, metodo di classificazione e archiviazione sono tutti aspetti che un datore dovrebbe prevedere, programmare e implementare. Il FATTORE UMANO è spesso l’anello (debole) della catena che determina la sua forza.

L’internet delle cose, o IoT come viene indicato spesso con l’acronimo, complica le cose dal punto di vista della mole di lavoro, ma niente (o quasi) cambia dal punto di vista del principio della sicurezza: anche loro hanno un software e un IP e un ciclo di vita.

Con la massiccia introduzione di dispositivi collegati ad internet, internet non è più internet ma IoT, internet delle cose. Con una tale mole di dispositivi e informazioni che circolano su internet, i precedenti dispositivi non erano pronti e aggiornati per far fronte all’implementazione della sicurezza informatica e l’intelligenza artificiale, AI, ha fatto la sua prepotente e invadente comparsa pubblica per dare una mano.

Con l’introduzione di IoT e l’AI, la sicurezza informatica non è più tale ma Cybersecurity. Concetti vecchi, nomi nuovi per restare al passo dei tempi: IoT, Cyber (Threat, security, diplomacy, spazio, crime), NGFW e così via…

Decine e decine di riferimenti che possono fornire ulteriori spunti di conversazione e riflessione su come e cosa e quanto approfonditamente implementare le politiche di sicurezza.

Articolo a cura di Michelangelo Stillante

Ha una passione per il Giappone, le lingue straniere, i viaggi e la sicurezza declinata in molteplici vesti: attitudine mentale, reparti speciali, servizi segreti e informatica. Dopo 15 anni di attività tecnologica cambia vita e si unisce a Medici senza Frontiere dove ricopre vari ruoli in varie zone “calde”. Dopo 5 anni, ritorna ad una vita quasi stanziale ma sempre con MSF come ICT Infrastructure Specialist a Praga.

Tra i suoi Hobbies: lettura, scienze, viaggi, scacchi, geopolitica, arti marziali, corsa, fotografia, yoga, subacquea.

https://www.ictsecuritymagazine.com/articoli/la-sicurezza-delle-informazioni-attraverso-la-sicurezza-informatica-2a-parte/

La sicurezza delle informazioni attraverso la sicurezza informatica – 1a parte

È stato detto, ormai in forma ampiamente triturata, che le informazioni sono il nuovo filone d’oro: chi ha le informazioni ha il potere, chi ha le informazioni è un passo avanti agli altri nel creare giri d’affari, chi ha le informazioni può dettare le regole del gioco.

Anche gli ospedali ad esempio, hanno bisogno di internet perché attraverso la rete contattano esperti all’altro capo del mondo, ricercano online milioni di dati e ricerche in tempo reale o snelliscono procedure di funzionamento (vedi ad esempio le banche dati dei trapianti). Ogni ente al mondo usa e produce informazioni, dati, metadati. Ogni ente al mondo che ha un accesso internet o che è in qualche modo dipendente da internet usa, scambia, produce, vende informazioni. E questo lo fa come scopo primario o secondario: ospedali, organizzazioni no profit o open source, internet providers, assicurazioni, attivisti o hackers, banche, aziende di sicurezza informatica o enti governativi.

Tutti, prima o poi, arrivano al punto di decidere se le informazioni che vengono usate devono essere protette o meno. Per pura sopravvivenza commerciale, operativa (protezione dei siti nucleari, centrali idroelettriche) o perché soggetto a direttive governative (GDPR o NIS ad esempio), tutti devono proteggere le informazioni o il loro utilizzo.

In un mondo dove le informazioni sono il potere e la manipolazione delle informazioni costituisce una fonte di potere, la sicurezza delle informazioni costituisce un esercizio da praticare per 365 giorni l’anno, 24 ore al giorno.

Le informazioni sono potere quindi ma se e solo se sono Affidabili e Sicure, declinate secondo Confidenzialità, Integrità, Coerenza e Disponibilità. La sicurezza e la protezione dei dati passano inevitabilmente attraverso la robustezza e la protezione delle applicazioni, delle infrastrutture digitali e fisiche, del posto di lavoro e del fattore umano.

Dunque, abbiamo le informazioni e queste informazioni quindi devono essere protette. Sicurezza delle informazioni e sicurezza informatica vengono speso usate come sinonimi ma sinonimi NON sono. Facendo un paragone abbastanza banale potremmo dire che le informazioni sono oro e le guardie armate usate per proteggerlo sono la sicurezza informatica.

Se, quando parliamo di informazioni, siamo tutti abbastanza concordi nell’identificarle, quando si parla di sicurezza digitale/informatica/cibernetica (e tutte le varianti del tema), le opinioni e le possibilità tecniche che ci si offrono sono di una tale varietà e quantità da lasciarci spesso dubbiosi e confusi, come minimo, su cosa si sta parlando e come utilizzare le varie soluzioni.

Qui iniziano oneri e onori sulla sua applicazione.

Per dipanare e chiarire qualche dubbio su quali soluzioni approcciare si deve prima chiarire cosa si sta facendo, cosa si vuole fare e cosa si è disposti a fare per proseguire su questa strada, ma che si parli di settore privato o meno, di sicurezza nazionale o meno, di sicurezza vigilato o automatizzata una cosa si deve chiarire subito: NON ESISTE la sicurezza al 100%.

Andando in ordine sparso nella sua analisi di attuazione si potrebbe iniziare a chiarire dei concetti di base. Naturalmente i vari punti che enuncerò non saranno esaustivi né dettagliati: giusto una sventagliata di sale e pepe per condire e solleticare la fantasia del lettore.

Per cominciare si deve chiarire se siamo un Operatore di Servizi Essenziali (OSE) come centrali elettriche o ospedali, oppure un Digital Service Provider (DSP). Nel campo governativo ci si può chiedere se siamo parte del Dipartimento per le Informazioni e la Sicurezza (DIS), se facciamo parte o meno della Strategia nazionale per la Sicurezza Cibernetica presso il Comitato Interministeriale per la Sicurezza della Repubblica (CISR) o se ricopriamo un ruolo strategico (ad esempio le telecomunicazioni). Queste entità infatti per la natura dei loro servizi DEVONO investire nella sicurezza informatica una grossa fetta del proprio budget, pensando non solo ad un piano B, ma forse un piano C, D, E, F, G. La mancata osservanza e inadempienza in tutto o in parte alla sicurezza si può tradurre in miliardi di euro di perdita finanziaria, perdita della sovranità nazionale, perdita di vite umane.

Inoltre, una domanda fondamentale di partenza che si deve porre è: la sicurezza è implementata da personale esterno all’entità di cui si parla o personale proprio? Le variabili aumentano così come i rischi e le soluzioni di implementazione della sicurezza.

A questo punto possiamo vedere che la strada si divide in Sicurezza Fisica e Sicurezza Logica. Sotto sicurezza fisica si potrebbero annotare i seguenti punti:

Accesso all’edificio
Scrivanie e ufficio di lavoro
Continuità elettrica
Sistema antincendio
Protezione contro eventi naturali
Varie ed eventuali

mentre sotto sicurezza logica potremmo rilevare i seguenti facenti parte della Infrastruttura Digitale:

Protezione perimetrale
Protezione endpoint e servers
Business Continuity Plan, Backup & Disaster recovery
Linee di Connessione internet primarie e di backup
Varie ed eventuali

Le risposte che dovrebbero far parte di una qualunque analisi del rischio saranno affrontate nella prossima ed ultima parte di questo articolo.

Articolo a cura di Michelangelo Stillante

Tra i suoi Hobbies: lettura, scienze, viaggi, scacchi, geopolitica, arti marziali, corsa, fotografia, yoga, subacquea.

https://www.ictsecuritymagazine.com/articoli/la-sicurezza-delle-informazioni-attraverso-la-sicurezza-informatica-1a-parte/

La cybersecurity e l’autonomia europea

L’autonomia dell’Europa nel mondo digitale

“Solo un’Europa unita può affrontare le sfide della digitalizzazione. È per il nostro mercato unico – il più grande nel mondo – che noi dobbiamo definire standard per i big data, l’intelligenza artificiale, e l’automazione. E che, con questo, possiamo sostenere i valori, i diritti e l’identità degli Europei. Ma possiamo farlo solo se rimaniamo uniti.”

Questa è una delle frasi chiave pronunciate da Jean‑Claude Junker nel discorso sullo stato dell’Unione (Europea) per il 2018 denominato “L’ora della sovranità europea”[i].

Sembrano passati secoli. Il mondo è cambiato, anche a causa della pandemia. Forse, nel contingente, stiamo affrontando altre sfide: la necessità di sviluppare un’autonomia nella ricerca sanitaria, l’esigenza di aumentare la capacità produttiva di presidi medici e farmaceutici. Rimane, tuttavia, sullo sfondo il senso dell’intervento di Junker: sostenere i diritti, i valori e l’identità che hanno fondato e che guidano l’Unione Europea. Sostenerli nello spazio digitale che, com’è noto, soffre di due elementi critici:

è un mondo dominato, dal punto di vista economico e nonostante le frasi fatte sulla “libertà del web”, dagli Over The Top (Amazon, Google, Microsoft, Facebook, ecc.);
è intrinsecamente vulnerabile e, quindi, potenzialmente “campo di battaglia” per qualsiasi contrapposizione o conflitto (geopolitico, commerciale, religioso, ecc.) senza la necessità di un contatto fisico o di un confronto “muscolare”.

Quindi, se, da un lato, l’Unione Europea non tarda ad intervenire normativamente nella difesa dei propri valori, anche nel mondo digitale (GDPR[ii], Law Enforcement Directive – LED[iii], Proposta di Regolamento sull’intelligenza artificiale[iv], ecc.), dall’altro emerge un’obiettiva difficoltà a dare concretezza a questi princìpi in un mondo interconnesso e nel quale piccoli e grandi turbamenti, spesso esogeni rispetto ai confini europei, possono interferire con i diritti e le libertà degli individui.

Per questo, la Commissione Europea ritiene strategico recuperare autonomia o, se si vuole, sovranità negli ambiti applicativi del digitale. La UE sembra dire “Le norme servono ma, ancora di più, serve riuscire ad applicarle; e se non riusciamo a indurre i nostri partner stranieri, cerchiamo, se possibile, di farne a meno, diventando partner di noi stessi”.

Una strada tutta in salita che ha avuto, come tassello fondamentale, l’approvazione del Regolamento UE 2019/881 (d’ora in poi “Regolamento ENISA”)[v].

L’evoluzione dell’ENISA

Il Regolamento ENISA ha, appunto, come scopo principale quello di:

definire nuovi compiti, attività ed obiettivi per l’Agenzia dell’Unione Europea per la Cibersicurezza (appunto ENISA); infatti, l’ENISA era un’istutuzione già esistente (denominata Agenzia dell’Unione Europea per la Sicurezza delle Reti e dell’Informazione) istituita con Regolamento UE 2013/526[vi]; tuttavia, il legislatore europeo ha inteso sviluppare il suo ruolo, proprio nell’ottica del rafforzamento dell’autonomia continentale in ambiti che erano diventati strategici e che, appunto, richiedevano un solido centro di competenze che unificasse l’impegno degli stati membri nella cybersecurity;
introdurre certificazioni di sicurezza per prodotti, servizi e processi TIC (cioè basati sulla Tecnologia dell’Informazione e della Comunicazione).

L’ENISA, proprio nell’obiettivo di rilanciare l’autonomia digitale dell’Unione Europea, ha pubblicato lo scorso 23 aprile, un documento intitolato “Cybersecurity Research Directions for the EU’s Digital Strategic Autonomy”[vii] che fornisce molti elementi sull’impegno da profondere per raggiungere lo scopo.

Il documento individua sette aree che l’ENISA ritiene fondamentali per la ricerca e per lo sviluppo delle relative applicazioni:

sicurezza dei dati;
piattaforme software affidabili;
gestione e risposta alle minacce cyber;
piattaforme hardware affidabili;
crittografia;
strumenti e procedure di sicurezza centrate sull’utente;
sicurezza delle comunicazioni digitali.

Per ciascuna di queste aree, cercheremo di spiegare quali siano le raccomandazioni e le prospettive che l’ENISA propone.

Sicurezza dei dati

Il fronte della sicurezza dei dati si biforca nella necessità di proteggere i dati personali (la cui normativa europea, GDPR e LED, è particolarmente protettiva dei diritti e le libertà delle persone fisiche) ma anche di tutelare gli “altri dati”, per esempio quelli riferiti ai segreti industriali.

La “minaccia” che l’ENISA vede incombere, soprattutto sui dati personali, è l’intelligenza artificiale; la mole di dati riferiti ai nostri spostamenti, ai nostri acquisti, ecc. e che sono “trattenuti” dai player più grandi costituiscono, senz’altro, il terreno su cui operano algoritmi di intelligenza artificiale che “imparano” a conoscerci sempre meglio. Rispetto all’intelligenza artificiale l’ENISA, quindi, raccomanda di studiare soluzioni che:

possano sistematicamente individuare le vulnerabilità degli algoritmi affinché si riduca il rischio che una minaccia possa sfruttarle e, quindi, interferire indebitamente nel loro funzionamento e, di conseguenza, nei diritti e nelle libertà degli individui;
possano “dare contezza” delle modalità con le quali operano gli algoritmi per rispettare il principio di trasparenza nei confronti delle persone così come prescrive l’art. 13 della Proposta di Regolamento sull’intelligenza artificiale.

Piattaforme software affidabili

Questa è l’area più critica, per complessità, affrontata dall’ENISA perché il software agisce a vari livelli e, quindi, l’autonomia richiede che siano assicurati:

sistemi operativi e middleware affidabili attraverso il rafforzamento di un sistema di competenze che possa garantirne la conoscenza profonda a partire dalle fasi di sviluppo;
componenti software delle piattaforme affidabili nelle loro componenti che cooperano con i sensori che, ormai, sono diffusi sia in ambiente industriale che domestico;
un mercato del cloud aperto affinché sia limitato il rischio che gli utenti rimangano prigionieri di un determinato fornitore (lock‑in).

Gestione e risposta alle minacce cyber

L’enorme quantità di dati acquisiti dai Security Operations Center (SOC) rende proficuamente applicabili a quest’area le tecniche di analytics e di intelligenza artificiale. L’ENISA, quindi, indica la necessità di un impegno specifico della ricerca europea nello sviluppo di applicazioni che gestiscano questa enorme mole di dati e che forniscano elementi significativi ai responsabili della cybersecurity, limitando al massimo i falsi positivi ed i falsi negativi.

In quest’area, tuttavia, esiste anche la necessità di avere un quadro standard della catena di rilevazione‑mitigazione‑risposta, tendendo a sviluppare, in particolare, modalità e strumenti più efficaci di protezione degli end‑point (p.e. smartphone). Quest’ultima necessità riveste particolare importanza, soprattutto a seguito della pandemia, considerata la diffusione prevedibile (ed in parte già attuale) della telemedicina e del lavoro agile.

Piattaforme hardware affidabili

Le modalità di progettazione dell’hardware suggerite dall’ENISA devono seguire standard che:

assicurino la catena dell’integrità, durante le fasi di avvio dei dispositivi (bootstrap), nel passaggio tra hardware, firmware e software;
disvelino le caratteristiche tecniche di ogni componente evitando di riferirsi ai modelli black‑box o, più banalmente, al paradigma (spesso utilizzato anche molti grandi player) basta‑che‑funzioni.

Questa tendenza deve essere sostenuta perché, ormai, le competenze degli attaccanti sono tali che permettono loro di sfruttare ogni elemento di debolezza, compresi quelli connessi all’hardware.

Crittografia

Per questa area, tendenzialmente molto vicina alla matematica applicata, l’ENISA invita gli stati membri ad investire nelle nuove frontiere di ricerca (crittografia post‑quantum) ma, soprattutto, a:

introdurre le nuove tecniche di cifratura nell’ambito dei protocolli di comunicazione;
realizzare un’infrastruttura europea per la verifica delle chiavi pubbliche nelle tecniche di cifratura basate su chiavi asimmetriche.

Strumenti e procedure di sicurezza centrate sull’utente

L’ENISA, nel prendere atto che sono disponibili una molteplicità di strumenti di “protezione dell’utente”, non può che rilevare la circostanza che esiste un gap, finora non colmato, tra le funzionalità disponibili e le conoscenze e competenze dell’utente medio. Per colmare tale gap, suggerisce di:

sviluppare metodi e strumenti che vadano concretamente incontro alle necessità dell’utente e che supportino la sua attività anziché agire come barriera (spesso rimossa volontariamente) alla sua produttività;
sviluppare metodi e strumenti che permettano all’utente di poter verificare autonomamente la fiducia che può accordare agli elementi ICT con i quali interagisce (siano essi sistemi di messaggistica piuttosto che piattaforme cloud).

Sicurezza delle comunicazioni digitali

La sicurezza della “catena comunicativa” è considerata dall’ENISA il principale building‑block della sicurezza dei sistemi informativi. In particolare, l’ENISA invita a curare tutti gli anelli della catena e a proporre modelli di gestione di tutti gli apparati, con particolare attenzione ai dispositivi intermedi, fisici o virtuali, per i quali gli aggiornamenti di sicurezza sono, spesso, trascurati.

Conclusioni

Sarebbe stato auspicabile, a fronte delle prospettive indicate dall’ENISA, che nel Piano Nazionale di Ripresa e Resilienza[viii] italiano fossero presenti incisivi interventi volti a:

migliorare la percezione dei cittadini dei rischi presenti in rete;
investire in attività di ricerca e sviluppo specificatamente volte a fronteggiare le sfide del cyberspazio.

Purtroppo, invece, spiace constatare che sono previsti solo marginali interventi (Investimento 1.5: Cybersecurity e Investimento 1.7: Competenze digitali di base) nell’ambito della missione M1C1.1 Digitalizzazione della PA. Troppo poco per far crescere i nostri cittadini.

Note

[i] https://ec.europa.eu/info/sites/default/files/soteu2018-speech_en_0.pdf

[ii] https://eur-lex.europa.eu/eli/reg/2016/679/oj

[iii] https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex%3A32016L0680

[iv] https://eur-lex.europa.eu/legal-content/HR/TXT/?uri=CELEX:52021PC0206

[v] https://eur-lex.europa.eu/legal-content/IT/TXT/?uri=CELEX%3A32019R0881

[vi] https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32013R0526&from=IT

[vii] https://www.enisa.europa.eu/publications/cybersecurity-research-directions-for-the-eu2019s-digital-strategic-autonomy/at_download/fullReport

[viii] https://www.pmi.it/app/uploads/2021/04/pnrr.pdf

Articolo a cura di Francesco Maldera

Francesco Maldera è Data Protection Officer e Data Scientist.

Il suo percorso professionale lo ha chiamato a responsabilità direzionali nell’ambito dei sistemi informativi, della safety&security, della privacy e dell’auditing svolgendo diversi incarichi dirigenziali nella Pubblica Amministrazione e in aziende private.

Attualmente, accompagna l’attività consulenziale a quella di sensibilizzazione delle persone tramite il sito www.prontoprivacy.it

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-e-lautonomia-europea/

La cybersecurity è la vera sfida della rivoluzione digitale

Il Piano Nazionale di Ripresa e Resilienza (PNRR), predisposto per aderire alle sei grandi aree di intervento (pilastri) su cui si fonda il dispositivo europeo per la Ripresa e Resilienza (RRF), intende promuovere un robusto rilancio dell’economia dalla crisi post-pandemica fondato sullo sviluppo di tre assi strategici: digitalizzazione e innovazione, transizione ecologica, inclusione sociale.

La digitalizzazione e l’innovazione implicano cambiamenti strutturali sul modo in cui le organizzazioni operano e su come devono essere organizzate. L’impiego del Cloud, dell’IoT, dei Big Data e della mobilità causa una rapida evoluzione dei modelli di business, dell’infrastrutture e delle modalità lavorative. Il successo della trasformazione digitale si fonda sul dato, infatti si parla sempre più spessa di Data Economy, quindi la vera sfida è capire se questa rivoluzione digitale renderà i nostri dati più sicuri di prima.

—————————————–

Gli studi pubblicati sul tema della transizione digitale asseriscono che sarà in grado di spianare la strada alla ripresa dell’economia, ma, al contempo, richiederà un approccio rapido e l’adozione di nuove tecnologie digitali. Tuttavia, come in ogni cambiamento, anche questa trasformazione condurrà a nuovi rischi come gli attacchi informatici alle infrastrutture e le violazioni della sicurezza delle informazioni. Con queste premesse si verrebbe a creare un paradosso in cui le stesse tecnologie che permettono la crescita, aumentano l’incidenza del rischio.

Le organizzazioni devono essere consapevoli di questa criticità e affrontarla, in particolare devono assicurarsi che fin dall’inizio siano attuate le opportune misure di sicurezza informatica per eliminare o mitigare l’insorgenza delle nuove minacce. Per cui, è fondamentale che le imprese o gli enti avviino il processo di innovazione in maniera sicura e consentano ai loro team di identificare e priorizzare i nuovi rischi, soppesando questi ultimi con il valore atteso e le opportunità di business.

In realtà siamo già nell’era digitale da qualche tempo, molto probabilmente inconsapevolmente, per sopravvivere alle mode tecnologiche o aderire alle prescrizioni normative e sociali ed abbiamo subito questo cambiamento, non avendolo governato attivamente, senza riuscire a cogliere la moltitudine di opportunità legate alla rivoluzione digitale. Il principale fattore frenante del processo di trasformazione digitale è rappresentato dalla sfiducia che gli utenti hanno nei confronti dell’ICT, in parte avvalorato dal susseguirsi di notizie riguardanti nuovi, e sempre più rilevanti, incidenti informatici. La maggior parte degli utilizzatori dell’ICT tenta di risolvere questa criticità producendo, spesso in maniera compulsiva, duplicati cartacei e/o informatici delle proprie transizioni digitali e, di fatto, sminuisce o vanifica gli obiettivi auspicati.

Per accelerare la Transizione Digitale occorre, pertanto, che ci si fidi delle tecnologie dell’ICT, tutti devono essere certi che le loro transazioni digitali non vadano perse o modificate, e l’unico modo è quello di affrontarla con un altro mindset: il digitale deve essere più sicuro dell’analogico.

Nella transizione digitale non si deve sottovalutare la cybersecurity

A questo punto è lecito porsi una domanda: se è dimostrato che i fattori di cyber risk aumentano con l’avanzamento della trasformazione digitale, allora perché le best practices per l’improvement della cybersecurity non vengono implementate con la stessa velocità con cui le crescono le minacce?

La causa di questa singolarità è riconducibile all’impiego da parte delle organizzazioni di una serie di prassi errate. Cerchiamo di scoprire quali potrebbero essere le possibili motivazioni che rallentano le organizzazioni nell’implementazione delle best practices per la sicurezza dei dati aziendali.

Monitorano le minacce utilizzando solo risorse interne. Si tratta di un errore grave. È difficile, e in alcuni casi impossibile, identificare le minacce utilizzando solo l’audit interno perché, per un verso, l’universo delle minacce è diventato molto complesso e, dall’altro, si modifica continuamente. L’unica soluzione percorribile consiste nell’anticipare gli attacchi, piuttosto che difendere semplicemente l’organizzazione una volta che si verificano, perché -sempre più spesso – le conseguenze sono irrimediabili. Per realizzare questa finalità occorre attivare sistemi di monitoraggio e strumenti di scambio delle informazioni che consentano di acquisire gli indicatori di compromissione (IoC) e gli indicatori di attacco (IoA) da fonti accreditate esterne all’organizzazione.
Sottostimano le conseguenze collaterali di un attacco cyber. Quando si effettua la stima dell’impatto che potrebbe arrecare una minaccia nell’ambito della cybersecurity sono considerati solo gli effetti principali che può causare e non vengono presi in considerazione quelli secondari. Nel momento in cui si valuta un attacco informatico, troppo spesso, ci si concentra sui costi diretti in relazione alla perdita o al furto delle informazioni di un’azienda (ad esempio il database dei clienti). Tuttavia, è l’infrastruttura nel suo complesso che viene invalidata dalla perdita o dal furto di tale componente e, pertanto, subire altri danni, come la perdita di credibilità e di fiducia da parte dei clienti, calo di immagine, diminuzione dei ricavi, ecc., con effetti devastanti che posso portare alla chiusura definitiva dell’attività.
Pensano di non essere vulnerabili. Alcune organizzazioni ritengono di essere di dimensioni così piccole da non rientrare nel novero dei target di un attacco informatico. È una asserzione sbagliata e pericolosa. Infatti, la vulnerabilità dei dati rende le piccole e medie imprese gli obiettivi ideali degli hacker, soprattutto quando si tratta di attacchi di tipo ransomware. L’economia dei cyber criminali non mira all’azienda, ma al guadagno che può ottenere dai suoi dati. Per cui tutte le organizzazioni devono effettuare un attento risk assessment dei propri asset e individuare le misure di sicurezza commisurate al proprio core business.
Resistono al cambiamento. Il verbo “trasformare” evoca un passaggio, una transizione, un cambiamento del modus operandi e, come si verifica ad ogni tentativo di rinnovamento, divide gli addetti ai lavori in due schiere opposte: quelli a favore, bendisposti alle innovazioni, e quelli contrari, che vorrebbero resistere al cambiamento. Occorre avere il coraggio di abbandonare i vecchi schemi e approcciarsi al nuovo in maniera olistica: sposare le nuove tecnologie, le nuove metodologie e le nuove regole.

C’è un’attenzione significativa alla cyber security

Negli ultimi anni il settore della cybersecurity ha registrato la più forte crescita di quote di mercato dell’ambito IT a livello globale, in particolare nel contesto delle grandi aziende o amministrazioni. Tuttavia, questa tendenza di crescita è significativamente rilevabile solo nelle organizzazioni che hanno già adottato una politica di paperless. La cybersecurity, guidata dalla crescita dell’industria digitale, rappresenta un mercato importante.

Ma, al di là dello sviluppo di questo settore, sono le persone, i dirigenti, i consigli di amministrazione che devono cambiare le loro abitudini. Loro rappresentano gli obiettivi più vulnerabili di un’organizzazione, perché detengono le informazioni riservate, il know-how e l’intelligence aziendale, fondamentali per il raggiungimento degli obiettivi.

Un’organizzazione che intende avviare un efficace e affidabile percorso di Digital Transformation non deve più osservare la Cyber Security come un requisito dell’IT, ma deve includere le strategie di sicurezza tra gli obiettivi di business per realizzare con successo la propria missione.

La sicurezza è una questione strategica

L’uso di ambienti virtuali e sicuri come il cloud, tanto auspicato anche nel Piano Nazionale di Ripresa e Resilienza (PNRR), può prevenire le conseguenze degli attacchi informatici per l’intera catena di valore dell’azienda. Ma non è sufficiente.

La sicurezza informatica deve rappresentare un obiettivo dal punto di vista professionale e aziendale. Pertanto, la strategia da mettere in atto può essere paragonata ad una tabella di marcia condivisa sia dal singolo che dall’intera struttura aziendale. L’adozione di un approccio “secure by design” aiuta ad anticipare i rischi degli attacchi informatici. Ma occorre investire anche in sistemi di gestione: per esempio l’uso di una soluzione di Data Management può indicare in anticipo i rischi per la sicurezza informatica.

L’efficacia di un progetto di digitalizzazione può essere rafforzata con l’adozione di un sistema di Identity Management che assicuri una gestione semplificata e controllata degli accessi ai propri dati, oppure spostando i propri asset in ambienti ISO27001 compliance per proteggerli da possibili violazioni o manomissioni.

Ovviamente, per completare il processo è necessario disporre della tecnologia adeguata che consenta di raccogliere, elaborare ed analizzare velocemente grandi quantità di dati, provenienti da fonti interne ed esterne, e cercare di prevedere l’insorgere di situazioni critiche per la business continuity. A tal riguardo si ricorre, sempre più spesso, all’applicazione di tecniche di Machine learning e di A.I. poiché la pianificazione della resilienza informatica richiede, oltre che analisti di minacce qualificati, anche strumenti algoritmici avanzati come quelli messi a disposizione dall’apprendimento automatico e dall’intelligenza artificiale. Queste soluzioni sono in grado di individuare e selezionare sempre più rapidamente anomalie e minacce emergenti rispetto agli operatori umani e a costi nettamente inferiori.

Per garantire una governance efficace e una rapida attuazione delle scelte strategiche, è fondamentale disporre di soluzioni adeguate, flessibili e facili da mettere in atto. Perché non c’è economia digitale senza sicurezza digitale.

Questo cambio di prospettiva è auspicato anche nel Piano Nazionale di Ripresa e Resilienza, ma non è sufficiente acquisire solo soluzioni e tecnologie sicure o implementare misure di risposta alle minacce, occorre investire anche in cultura del cambiamento e del rischio.

La sfida si affronta aggiungendo sicurezza alla velocità della trasformazione digitale e garantendo che si estenda su ogni nuovo processo digitale interno, prodotto esterno realizzato o opportunità di business creata. La sicurezza informatica è una responsabilità che va condivisa con tutte le anime dell’organizzazione, poiché tutti avranno un ruolo nella gestione della trasformazione digitale.

Articolo a cura di Vincenzo Calabrò

È laureato in Ingegneria Informatica ed in Sicurezza Informatica presso le Università di Roma La Sapienza e di Milano. Ha, altresì, indirizzato la sua formazione nei settori della Cyber Security e Digital Forensics conseguendo i Masters in Data Protection e Data Governance, IT Risk Management e Sicurezza Informatica ed Investigazioni Digitali, oltre al CERT Certification in Digital Forensics rilasciato da Carnegie Mellon University, all’European Certificate on Cybercrime and E-Evidence (ECCE) rilasciato dall’European Commission’s Directorate General Justice, Freedom and Security.

Dal 1992 ricopre, nei ruoli del Ministero dell’Interno, gli incarichi di Referente Informatico e di Funzionario alla Sicurezza CIS. In tale veste si occupa della gestione di diversi sistemi informativi, assicura la funzionalità delle connessioni telematiche esterne e contribuisce alla definizione e implementazione delle misure di sicurezza informatica. Ha, inoltre, partecipato alla progettazione e realizzazione di diverse banche dati relazionali, di applicativi gestionali, di sistemi collaborativi, di portali web e di alcune reti Lan e Wan.

Dal 2004 opera nel campo della Sicurezza Informatica dal punto di vista tecnico e giuridico. In particolare, realizza l’analisi dei sistemi e la progettazione degli interventi, la valutazione dei rischi per la riduzione delle minacce, il penetration test, la redazione dei piani di sicurezza e di protezione dei dati, lo sviluppo delle policy di sicurezza, la definizione di procedure per la gestione e la manutenzione dei sistemi, l’intervento in caso di emergenza per il contenimento dei danni.

Dal 2005 esercita, su incarico di Privati o della Procura, l’attività di Consulente Tecnico in procedimenti civile e penali, a fini legali e per utilizzo in Tribunale o in sede stragiudiziale, sui temi dell’Informatica Forense e delle Investigazioni Digitali che includono l’uso dell’ICT con particolare riferimento ai reati informatici e telematici, o comunque attuabili attraverso l’uso delle tecnologie dell’informazione, computer, smartphone e rete internet, ed alle violazioni del diritto alla riservatezza ed alla protezione dei dati personali ed al diritto d’autore. Ha prestato la propria consulenza in casi che riguardavano i seguenti ambiti: l’alibi informatico, le truffe digitali, lo stalking, la sostituzione di persona, la pedopornografica, l’accesso abusivo ai sistemi informatici, la diffamazione online, la tracciabilità tramite tabulati e rilevazioni gps, l’acquisizione e valutazione di prove digitali quali: memorie di massa, dispositivi mobili, pagine web e e-mail e chat.

Dal 2017 è Professore a contratto del corso di Tecnologie per la Sicurezza Informatica, afferente al Corso di Laurea Magistrale in Ingegneria Informatica e dei sistemi per le Telecomunicazioni dell’Università degli Studi Mediterranea di Reggio Calabria, ove sviluppa le tematiche del penetration testing, dell’analisi dei rischi, dell’information security assessment, dell’incident response e della digital forensics. È Relatore per Tesi di Laurea di Studenti su argomenti legati alla Sicurezza Informatica, Cybercrime e Digital Forensics.

È stato, inoltre, relatore in diversi corsi di formazione e seminari di aggiornamento professionale presso Enti della P.A., Associazioni Professionali ed Università.

Infine, è autore di alcuni articoli e saggi in tema di Sicurezza Informatica e Investigazioni Digitali.

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-e-la-vera-sfida-della-rivoluzione-digitale/