I nostri dati sono oggetto di trattamento da parte di centinaia di soggetti, che neanche conosciamo. I servizi di cui godiamo – inclusi quelli essenziali come acqua, corrente elettrica, gas, fornitura di cibo – sono gestiti e spesso erogati attraverso procedure e controlli informatici. Il nostro lavoro, le scuole e le università, i trasporti locali e quelli internazionali, i servizi degli ospedali possono fermarsi da un momento all’altro a causa di un malware, di un bug informatico o di un attacco hacker. Qualche anno fa, qualcuno mi avrebbe potuto dare dell’allarmista. Oggi, dopo il blackout di Kiev, gli ospedali britannici bloccati da WannaCryptor, l’aereo militare caduto in Spagna a causa di un bug nel software (4 morti) e gli innumerevoli esempi di aeroporti bloccati per problemi di networking – forse – si inizia a comprendere che i problemi informatici sono problemi “veri”.

Il vero problema però non si risolve solo con la protezione dei propri sistemi. Quello è scontato e lo andiamo predicando da decenni. Tutte le persone che ne fanno uso dovrebbero adottare difese adeguate a proteggere ogni dispositivo informatico, pc e smartphone in primis, ma anche router e reti Wi-Fi, prestando poi particolare attenzione alle proprie attività quando si sfruttano reti Wi-Fi aperte. Analogamente, in ufficio: chiunque ha una posizione manageriale dovrebbe assicurarsi che la protezione dei device, degli apparati, di qualsiasi hardware dotato di un indirizzo IP locale, sia gestita come si deve. Patch delle vulnerabilità, aggiornamenti software e firmware, dismissione di apparati obsoleti, protezione degli endpoint e dei server devono essere – senza scuse – argomenti quotidiani.

Luca Sambucci @esetitalia I #cyberproblemi degli altri diventano i nostri
Click To Tweet

Ma la sicurezza oggi deve andare oltre, deve essere un argomento necessario anche nei rapporti fra aziende partner e fra individui e aziende/organizzazioni. Data l’interconnessione, data la pervasività, dato il danno potenziale nel caso di un’azienda o una PA che ha gestito male i nostri dati o le infrastrutture informatiche sulle quali si basa il nostro lavoro e la nostra attività quotidiana – dovrebbe essere lecito chiedere e pretendere da questi attori maggiore “sicurezza informatica”. Quando un’organizzazione richiede i nostri dati non deve essere strano chiedere in cambio assicurazioni sulla gestione sicura degli stessi. Se un’azienda di telefonia, di fornitura elettrica o di altri servizi essenziali cerca insistentemente di ottenere la nostra firma su un contratto, dovrebbe pubblicare sulla homepage del suo sito web perlomeno un accenno a come siano avanzate e all’avanguardia le sue procedure informatiche e le tecnologie usate per la sicurezza della rete alla quale affideremo le nostre telefonate, o dalla quale acquisteremo acqua, gas o elettricità. È sbagliato pensare che i nostri dati siano intrinsecamente saccheggiabili. Da tempo ormai, vi sono mezzi e procedure per garantire che un’azienda di qualsiasi dimensione li possa proteggere adeguatamente. Ma finché noi considereremo i nostri dati un “bene minore” o la cybersecurity di un nostro fornitore come un problema che non ci appartiene, la catena della sicurezza continuerà a essere molto debole. E le volte che questa si spezza, danneggia anche chi si era preparato con mezzi e procedure adeguate, ma non aveva chiesto agli altri “nodi” della sua rete di business o di relazioni di fare altrettanto.

Luca Sambucci operations manager di ESET Italia

L'articolo Offline e vulnerabili proviene da Data Manager Online.

La tutela dei dati sensibili immaginata dal legislatore europeo non è un imperativo astratto. Al contrario, il comportamento più virtuoso è quello che cerca di fare il proprio meglio nel definire i tracciati seguiti dal dato nell’ambito della propria organizzazione, nell’individuare gli anelli deboli della catena, nell’adottare ogni contromisura, nell’assumersi precise responsabilità del trattamento.

Lo scudo di protezione adottato non deve essere infallibile, ma commisurato al rischio e alla sensibilità dei dati stessi. A suo modo, il regolamento è indulgente: non pretende affatto che le violazioni non possano verificarsi. Ma impone di dimostrare di aver adottato ogni possibile accorgimento e di rispettare l’esplicita esortazione alla massima trasparenza, come nel caso delle fatidiche 72 ore di tempo, concesse per rendere pubblici gli episodi di compromissione, pena il versamento di una sanzione rilevante.

#GDPR più cultura del dato più valore alle persone
Click To Tweet

L’eccessiva vaghezza e la mancanza di istruzioni precise vengono da molti percepite come un demerito. Tuttavia, la genericità è legata più all’ampiezza dello spettro di applicazione di una norma che riguarda una vasta pluralità di casi e situazioni che hanno a che fare con informazioni di carattere personale conservate e trattate digitalmente. Questa apparente debolezza è più che compensata dalle virtù del regolamento: avere per la prima volta affrontato il tema del valore del dato nel contesto sempre più digitale del business e della gestione del rischio connesso a un valore che, evidentemente, è estremamente variabile a seconda dei diversi contesti. Ora non resta che proseguire, là dove necessario, con gli ultimi ritocchi alla propria strategia di compliance e affrontare la navigazione. Con un’ultima esortazione rivolta al regolatore in Italia: cerchiamo – in presenza di una normativa che di fatto affianca una analoga legge da tempo in vigore e per il bene di tutti – di fare la massima chiarezza giurisdizionale, di evitare le possibili sovrapposizioni e le ambiguità interpretative. Da parte dei tanti soggetti che dovranno adeguarsi, ci deve essere la consapevolezza del GDPR come efficace strumento di affermazione di una nuova cultura del dato, il petrolio dell’economia digitale.

Un doveroso richiamo conclusivo riguarda il GDPR come norma non isolata ma inserita in un più ampio sistema normativo di tutela digitale. Il 16 maggio scorso il Consiglio dei Ministri ha approvato il decreto legislativo che attua in Italia la direttiva 2016/1148 sulla protezione dei “Network and Information Systems”. Parallelamente, la legge di delegazione europea 2016/2017 approvata in parlamento il 25 ottobre 2017, ha varato anche, all’articolo 15, la direttiva 2016/943, relativa alla protezione dei segreti commerciali e al contrasto agli illeciti in materia, con termine di recepimento fissato al 9 giugno 2018. Le implicazioni di questa triade sul mercato della cybersecurity sono tutte da studiare, ma tutti i protagonisti di questo mercato sono chiamati a svolgere responsabilmente il proprio ruolo, agevolando il più possibile la conformità.

L'articolo GDPR, più cultura del dato più valore alle persone proviene da Data Manager Online.

Privacy by default, accountability, impact analysis, obbligo di denuncia, data minimization e retention. E così via. Il regolamento europeo sulla protezione dei dati personali (GDPR) conferma e rafforza diversi trend normativi già affermatisi nel corso del tempo in Europa, con una forte chiamata in corresponsabilità delle aziende e un sistema di sanzioni – vere e proprie multe espresse in percentuale dei fatturati aziendali – che sulla carta può diventare molto oneroso e difficilmente aggirabile. Il legislatore europeo ha sicuramente agito in linea di continuità con il passato, ma allo stesso tempo si rivolge alle imprese e ai responsabili delle loro infrastrutture informatiche, chiedendo un impegno ancora maggiore. Non solo in termini di tracciabilità delle informazioni – con una riduzione dei margini di rischio di esposizione delle stesse, per esempio attraverso nuovi metodi di anonimizzazione dei dati (disaccoppiamento tra informazioni generiche e informazioni anagrafiche), riduzione del volume complessivo delle informazioni conservate e della loro ridondanza, rimozione delle informazioni non più utili alla conduzione del business – ma anche in termini di capacità di individuare rapidamente le violazioni avvenute, che secondo il nuovo regolamento devono essere tempestivamente e volontariamente segnalate alle autorità centrali.

COMPLIANCE IN CHIAROSCURO

Il problema è che la linea di partenza per la definitiva entrata in vigore del GDPR (dopo un periodo transitorio che non prevedeva sanzioni), fissata per il prossimo maggio, è alle porte mentre gli obiettivi della compliance sembrano ancora molto lontani. «Dalle indagini che IDC ha condotto negli ultimi diciotto mesi su questo tema – afferma Giancarlo Vercellino, research and consulting manager di IDC Italia – si evidenzia un procedere flemmatico verso la scadenza del periodo transitorio». Quasi il 60% delle imprese sopra i dieci addetti, spiega Vercellino, dichiara di trovarsi in uno stadio avanzato di adeguamento ai nuovi termini della normativa in vista dell’imminente scadenza di maggio 2018, ma ben il 40% afferma di trovarsi ancora in una fase piuttosto preliminare, non avendo ancora pianificato una specifica roadmap oppure essendo appena partiti con le prime valutazioni. Quel che più conta – e forse dovrebbe preoccupare – è che «meno del 5% delle imprese sostiene di avere già provveduto a tutti gli adempimenti».

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Gli obblighi ai quali le organizzazioni aziendali (e non solo) devono ottemperare sono tanti e sicuramente la tecnologia e il software possono aiutare, insieme ai servizi di valutazione e affiancamento e formazione che i vendor di soluzioni di sicurezza, data protection e relativo consulting stanno offrendo – lo testimoniano le dimensioni ragguardevoli della partecipazione a questo dossier – un mercato di piccoli, medi e grandi utenti di informatica oggi alle prese con la messa in regola delle attività basate sui dati digitali. Secondo le analisi di IDC Italia, la quota dell’intero mercato della cybersecurity attribuibile agli sforzi di adeguamento non sarà indifferente. «Quest’anno – avverte infatti Vercellino – la compliance avrà verosimilmente un impatto particolarmente significativo su alcuni investimenti IT, in modo particolare sulla sicurezza. Il 22% delle imprese italiane sopra i dieci addetti indica la compliance come una priorità essenziale per il 2018, dato che sale al 39% tra le imprese che avvertono la necessità di investire sulla sicurezza IT. Circa il 10% delle imprese in fase avanzata di adeguamento al GDPR investirà in sicurezza oltre il 3% del budget IT complessivo». Oltre ai processi, conclude l’esperto, le aree di maggiore rilevanza degli investimenti saranno le tecnologie di web security, la mobilità e le infrastrutture di rete.

BINOMIO INSCINDIBILE

Una grossa area di incertezza percepita dalle organizzazioni che sono tenute a rispettare il regolamento, riguarda proprio le contromisure vere e proprie da adottare. Al momento, dal legislatore non sono ancora arrivate linee guida precise o best practice da implementare e come vedremo in seguito – dall’intervista con l’avvocato Valentina Frediani, founder e CEO dello studio Colin & Partners che abbiamo coinvolto in questo dossier – l’assenza di un preciso codice di comportamento è stata per così dire ingegnerizzata da un legislatore che ha voluto fissare una serie di obiettivi e presupposti, lasciando a chi deve ottemperare al regolamento, uno spazio di manovra che agisce anche da stimolo alla lettura e alla comprensione di un testo, che secondo Valentina Frediani è molto più esplicito del temuto. Come affermava Alessandro Cecchetti, general manager dello stesso studio specializzato in consulenza legale informatica, nel corso della tavola rotonda organizzata da Data Manager proprio per fare chiarezza sull’adozione del GDPR, la mancanza di precise norme di comportamento invita a rispettare l’unica regola possibile: leggere con cura il testo, individuare i punti di aderenza alla propria realtà procedurale e infrastrutturale e implementare di conseguenza le necessarie misure tecniche e organizzative. Si andrà a creare così – sottolineava Cecchetti – il binomio inscindibile voluto dal legislatore, quello tra il dato digitale inserito nel contesto delle infrastrutture e delle applicazioni informatiche e l’informazione considerata dal punto di vista del business e dei suoi processi.

Alla base del principio di responsabilizzazione che ispira il testo della normativa, c’è l’obbligo da parte dell’azienda di essere in grado di dimostrare l’adeguatezza con la quale è stato affrontato il tema della protezione del dato digitale. In altre parole, l’organizzazione è tenuta a stendere un accurato piano di valutazione da cui potrà derivare l’implementazione di contro misure sia tecniche (come per esempio l’uso della cifratura delle informazioni, o di tool che consentano un uso anonimo del dato personale) sia organizzative (per esempio la gestione improntata a una minore ridondanza dei dati e all’eliminazione di tutto ciò che non ha più utilità per il business). Un’altra forte motivazione dell’estensore della nuova direttiva europea è quella di evitare la definizione di norme preconfezionate e “one size”, proprio per venire incontro all’esigenza di una protezione più adatta allo specifico settore di attività. Uno dei tratti distintivi della compliance consiste proprio nello studio dei trattamenti e delle peculiarità che caratterizzano un’azienda di produzione industriale o un istituto di credito. Questo inevitabilmente comporta la capacità di analisi delle singole situazioni e la creazione di un percorso su misura. In una ottica che volutamente il legislatore ha inteso di vero e proprio risk management.

Dossier #GDPR È iniziato il conto alla rovescia. Come adeguarsi in tempo? Ecco i fattori critici che bisogna tenere d’occhio secondo @Clusit @ColinPartners @IDCItaly
Click To Tweet

EVOLUZIONE DELLA PRIVACY

Qual è la risposta dei system integrator e più in generale del mondo delle soluzioni di IT security anche in termini di offerta consulenziale, di assessment e progettazione, e di veri e propri tool a supporto della compliance? Oltre a cercare di spiegare quali sono i principali obblighi e le misure sanzionatorie introdotti dal GDPR, questo dossier si prefigge di evidenziare quali mosse sono concretamente previste da chi deve affrontare un percorso di compliance e quali sforzi sono richiesti alle imprese in termini finanziari e temporali, e quali sono appunto i possibili contributi che vengono dal tradizionale mercato delle soluzioni di data protection, data leak prevention, e di risk e incident management, nonché dal mondo dei servizi di assessment, implementazione e gestione delle soluzioni adottate, in vista dell’obiettivo fondamentale del regolamento: determinare il passaggio da una cultura della tutela della riservatezza a un contesto generale in cui la salvaguardia del dato non viene mai separata dal concreto rischio di esposizione di informazioni personali che sono – anche da un punto di vista valoriale, economico – al centro di attività commerciali o di pubblico servizio.

Per evidenziare i punti essenziali della normativa, facciamo ancora una volta ricorso ai contenuti che Alessandro Cecchetti di Colin & Partners e Claudio Telmon, membro del direttivo e del comitato scientifico di CLUSIT hanno delineato, nelle due chiavi di lettura giuridica e informatica, nel corso della tavola rotonda di Data Manager. Il nuovo regolamento, aveva precisato Cecchetti, va appunto in direzione della data protection, tanto che tra le misure di sicurezza da adottare si fa riferimento alla 27001, la norma ISO sulla gestione della sicurezza informatica. Il punto chiave di una norma concepita come trasversale all’interno dei settori di industria e delle singole aziende è che diversamente dal passato, il nuovo regolamento non deve essere demandato esclusivamente a figure come il data protection officer (DPO). È il modo di concepire la privacy, che cambia completamente. La struttura del GDPR non prevede come si è detto una lista di cose da fare ma definisce una serie di macro-obiettivi, rimettendo all’azienda il compito di raggiungerli. Spetta a ogni singola organizzazione, in funzione del core business, del modo di trattare i dati, di tanti altri fattori, andare a calare il testo della norma nella propria realtà. Quest’ultima è una considerazione da tenere presente anche nell’affrontare le misure di sicurezza che il regolamento prevede, introducendo tra l’altro un principio di responsabilità, di “accountability”, in base al quale le aziende devono dimostrare la consapevolezza sulle misure adottate, ovvero nell’intera gestione del regolamento e della sua applicazione. Di analoghi margini di interpretazione godono le strutture preposte ai controlli, come la Guardia di Finanza, incaricata di svolgere verifiche che possono avere una durata più estesa, considerando che il compito del controllore è anche quello di capire le logiche con cui il regolamento è stato studiato e applicato alle diverse situazioni.

L’ONERE DELLA PROVA

Il principio di “accountability” – in altre parole, l’onere della prova in relazione all’efficacia delle misure messe in atto – è stato introdotto proprio perché il GDPR prevede l’introduzione di misure tecniche e organizzative “adeguate”. Il binomio inscindibile di cui parla Cecchetti di Colin & Partners prevede un costante allineamento tra misure tecniche e procedure operative: inutile per esempio adottare sofisticati processi di autenticazione che regolano l’accesso alle risorse di rete se mi dimentico di disattivare gli account dei dipendenti che lasciano l’azienda. Il GDPR equivale in pratica all’obbligo di adottare un sistema gestionale, non prima di aver analizzato le procedure in atto e le peculiarità delle singole aziende, o aver controllato che sul piano tecnico non esistano discrasie con quanto prescritto dal regolamento. Altra importante novità riguarda i concetti di privacy by design e privacy by default. Un concetto che incide sulla cronologia degli adempimenti perché il by design viene per esempio demandato anche ai fornitori che mettono sul mercato prodotti che hanno un impatto tecnologico. Viene qui introdotta una precisa co-responsabilità: in base al regolamento, i fornitori devono assicurarsi che le loro soluzioni rispettino la privacy by design e anche loro dovranno effettuare opportune analisi di conformità.

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

La privacy by default può essere considerata come una responsabilità dell’azienda che acquista determinate soluzioni e le deve impostare. Anche se non sempre le reciproche responsabilità sono chiare nei progetti di sviluppo congiunto dove l’azienda “compliant” collabora con soggetti esterni. Il problema dei due tipi di privacy va affrontato cronologicamente per primo e deve riguardare retroattivamente anche le soluzioni software già presenti. Occorre effettuare una mappatura, tracciare i criteri che rientrano o non rientrano nelle definizioni di privacy by design o by default, tenendo conto della diversa misura in cui le informazioni personali possono impattare un applicativo. Sul piano legale, un altro tema da affrontare riguarda, a seconda della tipologia di trattamento, i privacy level agreement o data processing agreement. Si tratta di integrazioni contrattuali pensate dal punto di vista della privacy e non riguardano le implementazioni e le clausole di conformità previste dalla legge 196. I privacy level agreement (PLAs) disciplinano aspetti che hanno effetti legali evidenti ma impattano soprattutto sul piano tecnico: i backup, gli accessi degli amministratori di sistema e la loro “loggatura”, la mappatura dei subfornitori, la destinazione finale dei dati alla chiusura di un contratto o con l’eventuale passaggio dal fornitore A al fornitore B. Soprattutto, la parte delle subforniture che nel testo è molto lunga. Molte logiche del passato vengono ribaltate dal nuovo regolamento, che invita chi stipula un contratto di outsourcing a “smarcare” fin dall’inizio il tema della privacy per perimetrare in modo preciso i ruoli svolti dai responsabili dell’azienda e dai suoi fornitori.

LOGICA DI GESTIONE DEL RISCHIO

Anche l’esperto in sicurezza di CLUSIT fa partire le proprie considerazioni tecniche dal tema della responsabilità. «ll regolamento ci chiede di adottare una logica di gestione del rischio, la stessa richiesta dagli standard di cybersecurity» – precisa Claudio Telmon. In particolare, nell’articolo 32 la norma si allinea a quelle che dovrebbero essere le buone pratiche della sicurezza dei sistemi informativi, e in termini organizzativi si dovrebbe collocare nell’ambito della gestione dei sistemi di sicurezza aziendale. Un passo avanti rispetto a normative che imponevano le loro contromisure a prescindere dalla tipologia di dati e del loro contesto di trattamento. Un passaggio interessante del citato articolo è quello che impone di tutelare i dati dell’interessato da rischi di varia natura, per esempio di integrità, disponibilità e sicurezza del dato: in altre parole, i rischi non devono necessariamente riguardare attacchi e violazioni, il GDPR parla anche di quelli derivanti da errori nell’implementazione e nelle procedure.

Al centro del processo gestionale voluto dal regolamento, c’è – secondo Telmon – il requisito del registro di trattamento. In base alle definizioni e alle prescrizioni sul contenuto di questo documento, questo registro può fare da collegamento tra il business, i processi operativi dell’azienda e il sistema informativo. Attenzione però, per il registro di trattamento è prevista una forma scritta: può trattarsi di un file elettronico ma non di un semplice database. Come “precursore” del registro, lato sistemi informativi è consigliabile disporre di un buon inventario degli applicativi e dei flussi tra questi, uno strumento sempre auspicabile dal punto di vista gestionale, ma non facile da realizzare. Insieme al registro – spiega Telmon – la normativa prevede la stesura di un data privacy impact assessment (DPIA), che ha tuttavia una logica diversa. La gestione del rischio riguarda tipicamente le implicazioni che possono derivare per l’azienda dai vari tipi di minacce e incidenti. L’impact assessment valuta invece le potenziali conseguenze del trattamento dei dati sull’interessato.

A proposito di questo trattamento e del tema della privacy by default, Telmon mette in forte evidenza l’indicazione verso la cosiddetta data minimization. La normativa prevede che la quantità dei dati raccolti e trattati sia sempre ridotta al minimo indispensabile, già a livello di procedure. Nella stessa direzione della minimizzazione va anche uno dei temi più significativi del GDPR, la pseudonimizzazione, che consiste nel rendere non immediatamente identificabili (in quando diverso dall’anonimizzazione) i dati di profilazione, mantenendo però la possibilità di associare l’identità originaria (trattandosi di un processo reversibile). Tale prassi viene applicata ovunque sia possibile e può comportare serie difficoltà di implementazione su sistemi e processi preesistenti. Tra pseudonimia e minimizzazione è possibile ridurre lo spazio di esposizione al rischio, aspetto fondamentale per una norma che – è sempre utile ricordarlo – formalizza la prassi del rilevamento e della tempestiva denuncia delle violazioni (data breach) riscontrate. Infine, ci sono alcuni aspetti che pur non rappresentando una novità rispetto alla legge 196, vengono posti in maggiore evidenza.

Dossier #GDPR Il percorso verso la compliance è lungo, in molti casi oneroso (non solo in termini di costi) e molte aziende sono in ritardo ed esposte al rischio-sanzioni
Click To Tweet

TRATTAMENTO E CONSERVAZIONE

Un punto più specifico di altri è quello dell’estrazione dei dati personali per la riconsegna all’interessato e della portabilità dei dati in un formato standard che renda possibile il trasferimento delle informazioni da un provider all’altro. Con il regime sanzionatorio attivato dal GDPR diventa opportuno mettere in atto un processo che sia in grado, almeno in via preliminare, di rispondere alle richieste degli utenti in tempi chiari. Più nuova e tecnicamente sfidante, è la questione della data retention, principio in base al quale il registro dei trattamenti deve contenere precise indicazioni sulla durata del periodo di conservazione dei dati e il loro termine di cancellazione. Un ultimo punto che ha implicazioni tecniche e giuridiche, riguarda il data protection officer, una figura né nuova né obbligatoria, ma che in tanti contesti può avere un ruolo importante nel suggerire e indirizzare le scelte procedurali. Il DPO non deve essere in conflitto di interesse con le attività su cui è chiamato a esercitare un ruolo di controllo (per esempio, non può essere il responsabile IT). Secondo Alessandro Cecchetti di Colin & Partners, quella del DPO sarà una funzione evoluta e interdisciplinare, non facile da individuare: dovrà avere competenze specifiche sul regolamento e sulle specificità delle aziende, e dovrà essere dotato di “soft skill” utili al suo ruolo più di intermediatore che di guardiano.

Per la preparazione di questo dossier, Data Manager ha conversato anche con Valentina Frediani founder e CEO dello studio di consulenza legale informatica. Abbiamo chiesto innanzitutto quali sono gli aspetti del GDPR che rappresentano, anche dal punto di vista della compliance, i momenti di unicità, diversità, distacco rispetto alla precedente normativa. «Il tratto distintivo del regolamento europeo rispetto all’attuale normativa privacy di cui al decreto legislativo 196 del 2003, è dato sostanzialmente dal cosiddetto principio di accountability su cui si fonda lo stesso regolamento. In sostanza, mentre nella 196 sono individuati in modo specifico i vari punti e oneri sulla base dei quali si deve uniformare il titolare del trattamento, il GDPR richiede al medesimo di adottare “misure tecniche e organizzative” tenendo conto dei rischi derivanti dal trattamento dei dati e di tutti quegli elementi che possono riguardare le sue finalità e l’ambito di applicazione, al fine di essere in grado di dimostrare che il trattamento è conforme al regolamento». In sostanza – spiega Valentina Frediani – il Legislatore europeo sembra aver preso atto delle enormi differenze che caratterizzano i destinatari del testo normativo: dimensioni, status economico e differenti legislazioni nazionali che ne caratterizzano lo sviluppo. La norma sposta sul titolare del trattamento l’onere della realizzazione di un’analisi che lo porti a confrontare il proprio modus operandi sulla gestione dei dati rispetto a tutti i principi contenuti nel dettato legislativo stesso. «Questo è un punto di rottura molto importante rispetto all’attuale normativa nazionale».

CAMBIAMENTO E CONTINUITÀ

In questo senso, che cosa si può “conservare”, pensando al lavoro di adeguamento già svolto in passato, e quali nuove misure o procedure devono essere adottate, e in quale ordine cronologico, in chiave di adeguamento alla normativa oggi vigente? «Sicuramente – continua Valentina Frediani – ci sono elementi di continuità rispetto alla 196. Per esempio, le informative costituiscono la base portante quale strumento di trasparenza e riconoscibilità per i diretti interessati in merito alla gestione dei propri dati e all’esercizio dei diritti. Nello specifico, anche se viene meno l’adempimento relativo alla nomina, nel testo si fa riferimento al tema delle autorizzazioni per quanto concerne gli operatori che trattano dati. Quindi, anche da questo punto di vista, i documenti di nomina potranno essere letti alla luce del regolamento europeo». Tuttavia, più che “conservare”, bisogna prendere in considerazione l’evoluzione degli adempimenti adottati nel corso degli anni in ottemperanza alla legge 196. «Molte aziende, nel tempo, hanno creato procedure al fine di mettere al centro i diritti dell’interessato e la gestione dei profili di autorizzazione: tematiche, queste ultime, che possono offrire la dimostrazione di un’attenzione organizzativa al tema privacy all’interno dell’azienda stessa. Si tratta di verificare l’allineamento rispetto a quegli obblighi della 196 che vengono riportati nel regolamento, e da lì effettuare l’evoluzione necessaria, introducendo tutti i nuovi grandi temi del GDPR».

Uno dei punti emersi durante la tavola rotonda organizzata da Data Manager sul GDPR riguarda la sostanziale assenza di precise linee guida, di best practice mirate alla compliance in materia di GDPR. La spada di Damocle di decisioni sanzionatorie come conseguenza delle violazioni rappresenta un ulteriore elemento di incertezza. «È ancora così ed è giusto che sia ancora così» – avverte Valentina Frediani. Trattandosi di un testo normativo che si basa appunto sul principio di accountability è impensabile che si possano porre delle regole precise rispetto a entità giuridiche che operano su tutto il territorio europeo, basandosi su aspetti giuridici, economici, culturali, tecnologici completamente diversi. I principi citati nel regolamento sono molto chiari, quindi andare a rileggere all’interno della propria realtà i processi che caratterizzano la gestione dei dati, la documentazione che viene rilasciata, le misure tecniche, adottate in un’ottica di analisi, è un “esercizio yoga” che purtroppo le aziende italiane sono abituate a rimandare». L’esperta invita a ricollegarsi alla legge 231 in materia di sicurezza sui luoghi di lavoro e a tutte quelle normative che essenzialmente imponevano alla struttura di prendere atto e misurare il proprio status rispetto al dettato normativo. Il caso di questo nuovo regolamento europeo non è così isolato rispetto ad altre disposizioni. «Il problema, semmai, sta nel fatto che metodologicamente gran parte delle aziende non ha la capacità di analizzare e mettere in discussione le modalità operative e le misure di sicurezza adottate fino a oggi».

[amazon_link asins=’B079V3BFSX,B079WYBGJ2,8890341912′ template=’ProductCarousel’ store=’dmo0e-21′ marketplace=’IT’ link_id=’fa8bddd7-22c2-11e8-a67e-5163bed9a305′]

IMPATTO SUL BUSINESS

Forse, la preoccupazione più condivisa è l’impatto che una piena aderenza alla normativa comporta in termini – per così dire – di libertà di business model. È davvero ipotizzabile che il rispetto della privacy digitale può costituire una sorta di interferenza con il business, limitandone le possibilità e soprattutto le opportunità? Sembra quasi di cogliere una sorta di contraddizione in un Legislatore che da un lato delinea le condizioni favorevoli a una ampia apertura alla libera concorrenza (per esempio, normative di ampio respiro come PSD2) e dall’altro immagina un sistema di norme che sembrano impattare proprio su opportunità per le quali le tecnologie sono fattore abilitante. Ma il discorso di Valentina Frediani si fa quasi accalorato. «La normativa privacy non impatta assolutamente sulla libertà di adottare il proprio business model. Questa è una paura che si crea in quelle realtà in cui selvaggiamente i dati sono stati gestiti senza razionalizzazione, senza mettere in discussione il proprio modo di operare, probabilmente come 100 anni fa accadeva rispetto ai diritti dei lavoratori». Il mondo cambia – avverte Valentina Frediani – e le aziende devono, oggi più che mai, capire che tutti i principi raccolti nel nuovo regolamento europeo in materia di protezione dei dati potrebbero essere letti totalmente nell’interesse della tutela delle informazioni aziendali, oltre che nel rispetto dei diritti degli interessati. «Finché non cambia l’ottica, e quindi l’approccio delle aziende a questo adeguamento normativo, rimarrà il sapore di un Legislatore europeo che impone, dispone e non agevola le aziende nel gestire il proprio patrimonio dati. Ma questo è un grande errore che deve essere immediatamente corretto. Alle aziende deve arrivare il messaggio giusto: utilizzare il GDPR per ottimizzare la gestione delle informazioni aziendali che costituiscono il pane quotidiano di ciascuno di noi». Oggi, in un’epoca in cui la circolazione delle informazioni a livello informatico può comportare rischi altissimi, non solo per la perdita, ma anche per la rivelazione a soggetti non autorizzati, il regolamento si pone insomma come strumento di ampia tutela non solo per gli interessati, ma anche per i titolari del trattamento: si vedano, per esempio, i temi della contrattualistica e del data breach introdotti dal nuovo quadro normativo.

IL FATTORE PIÙ CRITICO

Il dominio del GDPR riguarda quindi una sfera, l’informazione digitale, le cui applicazioni oggi contribuiscono a generare, gestire e soprattutto estrarre valore dal dato. A questo punto però, c’è da chiedersi in che misura la stessa tecnologia, il software, può agevolare la conformità a queste stesse regole. Domanda che giriamo volentieri a Valentina Frediani, CEO dello studio Colin & Partners, chiedendole se, al contrario, la compliance normativa non sia pertinenza esclusiva delle procedure e di una policy comportamentale. «Nel GDPR – scorrendo il testo – osserva la Frediani, gli aspetti tecnologici hanno un impatto probabilmente del 30-40% rispetto a tutto l’adeguamento normativo. Ma la sicurezza e il rispetto della gestione dei dati, giustamente, non passano solo dalla tecnologia. A conferma della valorizzazione del fattore umano, il regolamento introduce l’obbligo di adottare misure organizzative adeguate». Per esempio è possibile razionalizzare profili di autorizzazione per accedere ai dati, adottare soluzioni anti-intrusione particolarmente valide, perimetrare in modo adeguato la sicurezza dei dati, «ma il fattore umano resta quello più critico qualora non vi sia sufficiente educazione sulla gestione del dato. Senza formazione, la violazione verrebbe comunque effettuata a prescindere dalle misure tecnologiche adottate». La tecnologia della sicurezza informatica è un elemento imprescindibile, ma come sempre conta moltissimo chi utilizza certi tool, e come viene formato in tal senso. Come valutare l’offerta di strumenti e servizi che vendor, system integrator e consulenti specializzati mettono a disposizione delle aziende? «In questo momento, il mercato offre di tutto e di più, forse anche troppo» – risponde Valentina Frediani.  «Personalmente, ritengo che sia fondamentale essere molto lucidi nel momento in cui si affronta un progetto di adeguamento particolarmente complesso, individuando una metodologia in grado di coinvolgere sin dall’origine del progetto i vari ruoli aziendali, valutando solo dopo una gap analysis, strumenti e servizi ad hoc. Pensare di adeguarsi al GDPR senza avere una visione d’insieme attraverso una analisi che confronti la propria realtà aziendale con quanto prescritto dal regolamento, lo ritengo assolutamente rischioso. A meno che l’azienda sia a un “punto zero” sul tema privacy: in questo caso da rischioso può diventare conveniente».

Dossier #GDPR Compliance in chiaroscuro e business model a rischio? Il valore dei dati e logica di risk management nel binomio inscindibile tra misure tecniche e misure organizzative
Click To Tweet

CHE COSA C’È IN GIOCO?

Il nocciolo della questione è il diritto di ciascun individuo nella sua relazione con la salvaguardia dei dati digitali. Diritto che si articola in cinque ambiti fondamentali:

1. Consenso informato – Il diritto a essere informato sul perché sia necessario disporre di determinate informazioni e su come esse verranno utilizzate. Il consenso deve essere dato in modo esplicito e può essere ritirato in qualsiasi momento.
2. Accesso – Il diritto di accedere gratuitamente a tutti i dati conservati e ricevere informazioni sul loro trattamento.
3. Correzione – Il diritto a correggere dati imprecisi.
4. Diritto all’oblio – Il diritto dell’individuo a richiedere la cancellazione dei dati che lo riguardano.
5. Portabilità – Il diritto a recuperare e riutilizzare i dati personali per finalità proprie nell’intero spettro dei servizi selezionati.

Il primo obiettivo verso la compliance sarà dunque quello di valutare, ed eventualmente modificare, il modo in cui la propria organizzazione raccoglie, archivia e rielabora i dati personali in funzione dei diritti evidenziati. Una parte essenziale di questo compito sarà quella di localizzare ciascuna istanza di queste informazioni attraverso l’intera organizzazione.

GOVERNANCE E RESPONSABILITÀ

L’azienda deve essere in grado di dimostrare di aver rispettato il testo della normativa attraverso adeguate misure di governance, incluse una documentazione dettagliata, la registrazione e una costante valutazione dei rischi. Un’ulteriore aspettativa da parte del legislatore riguarda in questa sede la cosiddetta protezione by design e by default: la sicurezza e la protezione dei dati devono essere – nella più ampia misura possibile – parte integrante del sistema gestionale, non una aggiunta successiva o posticcia. A fronte della velocità di trasformazione ed evoluzione delle tecnologie, il regolamento GDPR è volutamente “evasivo” sulle contromisure tecnologiche necessarie, limitandosi a utilizzare termini come “adeguato” o “stato dell’arte” per definire i livelli di protezione al di là dell’esplicito riferimento a tecniche di cifratura e pseudonimizzazione. In altre parole: ciò che è adeguato oggi può non esserlo domani!

DENUNCIA DELLE VIOLAZIONI

Il testo GDPR introduce un nuovo tipo di obbligo: l’azienda o l’organizzazione deve notificare presso le autorità responsabili qualsiasi tipo di violazione riguardante dati digitali di natura personale in grado di tradursi in un rischio per “i diritti e le libertà dell’individuo”. In caso di rischio particolarmente elevato, la notifica dovrà essere estesa anche all’individuo interessato. La denuncia deve essere presentata senza indugio, entro 72 ore dall’avvenuta conoscenza del fatto, in particolare fornendo entro le prime 24 ore dalla scoperta dell’evento, le informazioni minime per consentire una prima valutazione dell’entità della violazione. Anche in assenza di esplicite avvertenze riguardanti specifiche contromisure, il primo passo verso la compliance deve essere quindi un apparato di tutela che assicuri la massima protezione del sistema informativo sottostante e totale capacità di reportistica.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

L'articolo GDPR, conto alla rovescia. Adeguarsi è possibile? proviene da Data Manager Online.

L’anno scorso ha festeggiato il suo 35esimo anniversario, ma negli ultimi due ha vissuto una impegnativa fase di trasformazione e rifocalizzazione sulla realtà che le è più congeniale: la protezione dei dati. Symantec fa parte della prima generazione di aziende partite negli anni 80 per affrontare l’inedita minaccia dei “virus per personal computer”: un fenomeno che raramente riusciva ad andare oltre l’exploit di un gesto tecnico, certamente pernicioso, ma a suo modo elegante, quasi romantico. Una fionda che oscuri programmatori – spesso nascosti nella geografia del sottosviluppo economico – facevano roteare in faccia ai big anglosassoni di una informatica che riguardava una cerchia relativamente stretta di persone. Il merito di Symantec – e di quei pionieri – fu quello di intuire il potenziale di quello che allora poteva sembrare un rischio molto marginale, costruendo una cultura tecnologica e comportamentale che semplicemente non esisteva. E che, paradossalmente, fatica ancora ad affermarsi. In uno scenario ormai profondamente mutato, Symantec con i suoi 4,019 miliardi di dollari di fatturato (anno fiscale al 31 marzo 2017, con una crescita del 11,64% rispetto all’anno precedente), gli oltre diecimila dipendenti nel mondo, un mercato prossimo ai 400mila clienti serviti, per un totale di 175 milioni di endpoint protetti, è il principale attore di un mercato preposto alla difesa di un’economia globale basata sui computer e sull’informazione digitale. Il connubio tra dati e affari è talmente complesso da avere serie ripercussioni non solo sulla produttività e i costi sostenuti dalle organizzazioni aziendali, o sulla disponibilità di energia e servizi infrastrutturali, ma anche sulle tasche dei singoli consumatori. In una recente nota del suo head quarter di Mountain View, in California, il cuore della Silicon Valley, Symantec calcola che nel 2017 un miliardo di consumatori digitali di una ventina di nazioni nel mondo ha perso collettivamente oltre 170 miliardi di dollari a causa – scrive Symantec – dell’eccessiva fiducia in una “sicurezza” che non possiamo mai dare per scontata. Nei soli Stati Uniti, la metà della popolazione residenziale online – 143 milioni di persone – per quel falso senso di immunità, si è fatta sottrarre quasi 20 miliardi di dollari dal cybercrimine.

PROTEZIONE INTORNO AI DATI

Proiettati nelle realtà aziendali e nelle amministrazioni pubbliche, sempre più immerse in una informatica completamente basata su cloud, gli attacchi mirati dei criminali informatici rappresentano un pericolo serio, quasi letale. Su Internet si compiono truffe, rapine, falsificazioni, furti di proprietà intellettuale, ricatti. Le più solide reputazioni possono andare in frantumi. Si effettuano vere e proprie operazioni di guerriglia contro infrastrutture sensibili e impianti di produzione. E si preparano – perché gli hacker non smettono mai di studiare – le strategie d’attacco alle future applicazioni dell’IoT, dall’auto a guida automatica alla fabbrica “intelligente”. Nel cloud – avverte Stefano Volpi – che dall’autunno scorso è il nuovo country manager di Symantec in Italia, saltano gli schemi della cybersicurezza convenzionale. «Mi piace pensare al dato aziendale come un figlio amatissimo dai genitori» – afferma Volpi. «Quando è ancora bambino, il figlio dipende da loro in tutto, e loro possono creargli intorno ogni sorta di protezione». Poi il figlio cresce, chiede di poter uscire per andare dagli amici, va all’estero per studiare. Ecco, come faccio a proteggere i miei dati quando le “pareti” di casa vengono meno, le porte si aprono e i “figli” sono là fuori? «È vero, una parte delle informazioni può continuare a risiedere sui server aziendali, ma il grosso di questi dati è altrove. L’equazione del passato, quando un dispositivo identificava un utente, non vale più». In questo generale venir meno del concetto di perimetro, di perdita di controllo diretto sulla fisicità delle risorse su cui vengono memorizzate le informazioni, di completa virtualizzazione di risorse di calcolo, storage, rete, Symantec, come del resto tutto il mondo della cybersecurity, ha dovuto trasformare una cultura concentrata sulla tutela del cosiddetto endpoint. «Oggi, il concetto di cyberdefense deve essere completamente integrato e noi – afferma Volpi – proteggiamo l’insieme costituito dall’informazione che risiede nell’endpoint come nel web, che esce dal controllo diretto del firewall, nel momento in cui anche l’utilizzatore di queste informazioni esce da un perimetro ben definito. Una protezione simile a quella di un genitore che cerca di proteggere il figlio anche a distanza da minacce pervasive, che si spostano velocemente».

.@symantec Saltano gli schemi della #cybersicurezza convenzionale. Stefano Volpi country manager: «L’informazione poverizzata nel #cloud è il nuovo perimetro da proteggere»
Click To Tweet

UN LEADER RICONOSCIUTO

Davanti a una trasformazione così epocale dei paradigmi di accesso, produzione e sfruttamento delle informazioni, la missione di un vendor come Symantec – afferma Volpi – continua a essere non solo tecnologica, ma di indirizzo, di guida nei confronti di un cliente che deve affrontare in modo diverso i suoi investimenti in sicurezza. «Il nuovo focus di Symantec, dopo le acquisizioni di questi ultimi anni, dopo il demerging da Veritas, consiste proprio in questo doppio ruolo di sviluppo e rilascio di soluzioni fortemente innovative e soprattutto di advisory nella costruzione di una piattaforma integrata ed efficace nella difesa da minacce nel cloud. Un ruolo di “formatore” di una nuova cultura della sicurezza – basata certamente sulle strategie di difesa ma anche sulla capacità di comprendere la criticità delle informazioni da proteggere – che l’azienda di Mountain View intende esercitare, forte di due elementi strategici: il canale dei suoi partner e il costante rafforzamento dei servizi professionali della sicurezza gestita, in grado di controllare lo stato di salute e di evoluzione dell’infrastruttura del cliente sia a livello applicativo sia dal punto di vista di processo. «Da diversi anni, Symantec è un leader riconosciuto per la sicurezza gestita dal “Magic Quadrant” di Gartner. Con l’acquisizione di Blue Coat e l’azione della Global Intelligence Network siamo diventati ancora più autorevoli perché ci “nutriamo” di un volume di dati di configurazione provenienti da oltre 150 milioni di sensori disseminati nei nodi monitorati minuto per minuto per conto dei nostri clienti» – spiega il country manager italiano. «Una visibilità che permette di anticipare e sopprimere, anche nei singoli settori di industria in cui questi clienti sono attivi, il fronte d’onda degli attacchi».

Per chi, come Symantec, opera su scala così estesa nel campo della sicurezza per l’impresa, è fondamentale adattarsi non solo alla natura delle minacce, ma in particolar modo alla natura del business, approfondendo la conoscenza dei processi, che con le sue tecnologie dovrà mettere in sicurezza. Come osserva Volpi, uno degli obiettivi dell’azione commerciale di Symantec è di sviluppare una crescente specializzazione per settore. Specializzazione che come si vedrà si riflette in questa cover story di Data Manager, realizzata anche grazie al confronto con tre collaboratori di Stefano Volpi per l’ascolto diretto e il presidio della relazione con altrettante aree di mercato: Sabina Sanzolini (telco ed energy), Massimo Alì (finance), Andrea Toselli (industria). Allo stesso tempo, in uno scenario in cui la sicurezza informatica deve essere pervasiva, anche quando le situazioni aziendali e i progetti realizzati sono interdisciplinari e complessi, diventa fondamentale poter fare riferimento a partner che offrano una visuale ampia sulle tematiche da affrontare e una piattaforma che renda più semplice e integrata la protezione di cui il business ha bisogno. «Pensiamo ad aziende molto complesse, oppure alla trasfomazione digitale che si fonda su concetti di velocità e semplificazione» – osserva Volpi. «È difficile riuscire a gestire, anche dal punto di vista degli investimenti, una sicurezza basata sull’offerta di dieci provider diversi, in quanto sarebbe la negazione stessa del termine smart». Gli obiettivi di integrazione e semplificazione di cui le aziende hanno bisogno si possono raggiungere solo con una piattaforma in grado di fare della sicurezza un fattore abilitante, non una gabbia di contenimento. Symantec può assicurare proprio questo: una piattaforma composta da moduli che dialogano automaticamente l’uno con l’altro e ciascuno capace di garantire una protezione ai massimi livelli della scala dei “Quadranti magici” di Gartner in cinque aree distinte: data leak prevention, proxy, endpoint protection, managed security services e la più recente categoria CASB, cloud access security broker.

ARIA NUOVA AL VERTICE

Dall’acquisizione di Blue Coat, è arrivato anche un nuovo impulso manageriale, con l’ingresso di Greg Clark come nuovo CEO e Michael Fey come presidente e chief operating officer: entrambi avevano rivestito analoghi ruoli nell’azienda specializzata in sicurezza del cloud. Anche il CTO Hugh Thompson, matematico molto apprezzato negli ambienti teorici della cybersecurity, ha avuto in mano per quattro anni le redini tecnologiche di Blue Coat. Volpi cita anche altre operazioni recenti, di entità finanziaria più modesta ma tecnologicamente e culturalmente importanti. «In particolare, ricordo Skycure, specialista israeliano in sicurezza per dispositivi mobili; Watchful Software, proprietaria di un tool per la classificazione automatica dei dati; o la startup Fireglass, che ha portato l’integrazione nella nostra piattaforma, di una nuova visionaria tecnologia, che si chiama Web Isolation, per navigare in sicurezza anche in siti non conosciuti». Al momento della separazione da Veritas e dalle attività nel mercato dello storage avvenuta all’inizio del 2016, ricorda Miguel Suarez, country presales manager, le grandi aziende di cybersecurity cominciavano a far fronte a nuove sfide e opportunità. «Era sempre più chiaro che imporsi in entrambi i mercati, quello della sicurezza e della gestione dell’informazione, richiedesse strategie diverse, investimenti mirati e un approccio diverso, più innovativo al go-to-market. Dividere Symantec in due ci ha dato la flessibilità e la focalizzazione necessarie per alimentare la crescita e potenziare le nostre tecnologie di security». Secondo Suarez, la “nuova” Symantec ha così centrato il triplice obiettivo di una maggiore crescita nel proprio ambito d’origine in termini di opportunità di business, R&D e marketing. «Siamo riusciti a sfruttare al massimo i nostri potenziali, sviluppando una piattaforma di sicurezza più completa e basata su tecnologie innovative e di frontiera». Ma quali sono le principali sfide tecnologiche che un business sempre più digitale deve affrontare? «Il ransomware – risponde Suarez – è una delle problematiche dominanti, un autentico flagello per Internet come la conosciamo oggi».

.@symantec Con 175 milioni di endpoint protetti, quasi 400mila clienti e 4 miliardi di dollari di fatturato, #Symantec è l’interprete principale di una nuova cultura della #sicurezza
Click To Tweet

Un flagello che consente al crimine informatico di incamerare lauti profitti, semplicemente prendendo in ostaggio i file e i sistemi operativi degli utenti. «Osserviamo una consistente crescita dei cosiddetti “fileless” e “file-light” malware, una forma di attacco che non ha bisogno di software maligno da inoculare nel computer che costituisce il bersaglio. Crescono anche le massicce forme di attacco di tipo Denial of service (DoS), capaci di sfruttare i dispositivi IoT. E si moltiplicano i fenomeni di violazione, “breach”, di dati conservati in memoria». Nel corso del 2017, il cybercrimine ha causato importanti disservizi in tutto il mondo, facendo leva su un bagaglio di competenze tecniche sempre più agguerrite per superare le difese erette dalle loro vittime. Il trend diventa ogni giorno più evidente man mano che gli attaccanti si servono di tecniche di machine learning e intelligenza artificiale per lanciare campagne ancora più devastanti. «Tutto questo – osserva ancora Suarez – avviene in un ecosistema IT ancora più complesso, dove cloud, IoT, blockchain trasformano radicalmente il modo di gestire il business, offrendo incredibili vantaggi in termini di agilità, scalabilità, innovazione e, appunto, sicurezza». Ma al tempo stesso la trasformazione digitale comporta nuovi non trascurabili rischi, facendo sì che anche un errore in apparenza marginale possa tradursi in una compromissione imponente delle informazioni e dei sistemi.

INTEGRATED CYBER DEFENSE

«L’unica risposta a forme di attacco così coordinate consiste in una piattaforma difensiva integrata, capace di unificare gli aspetti della sicurezza in cloud e on-premises e proteggere utenti, dati e messaggistica via web, sfruttando una conoscenza senza pari della natura più intima delle minacce informatiche. Dentro alla Integrated Cyber Defense Platform di Symantec operano le più potenti soluzioni di cloud security oggi disponibili, tutte finalizzate a governare l’accesso e la protezione dell’informazione, difendersi dalle minacce più avanzate, e tutelare i “workload” applicativi anche quando migrano verso il cloud». Senza contare la visibilità che l’integrazione garantisce su ogni singolo evento, nel cloud come nel proprio data center: un fattore chiave in un sistema di regole che responsabilizza molto le aziende sul piano della sorveglianza continua delle proprie risorse informatiche. «Infatti, per ottemperare a tutti i requisiti imposti dalla GDPR nell’era delle cyberminacce evolute occorre essere proattivi. Questo significa essere in grado di bloccare rapidamente un attacco in corso, capire bene quello che è successo e trovare una soluzione al problema. La normativa impone ad aziende e organizzazioni l’obbligo di notificare l’eventuale violazione subita, entro 72 ore. La sfida per noi professionisti della sicurezza informatica è che abbiamo a che fare con contesti di rischio sempre più complessi e dinamici. Nelle statistiche del 2016, le aziende impiegavano in media 221 giorni solo per accorgersi di aver subito un tentativo di attacco». Riassumendo – conclude Suarez – oggi più che mai, una soluzione di sicurezza deve essere in grado di proteggere dagli attacchi, individuare le violazioni subite, rispondere prontamente e prendere efficaci contromisure per riparare i danni e prevenire i rischi futuri. «Ma soprattutto – avverte Suarez – deve identificare, classificare e proteggere l’informazione. L’informazione è il nuovo perimetro e dobbiamo proteggerla ovunque essa si trovi».

La profonda attenzione che Symantec riserva alle specificità del mercato di riferimento dei clienti si riflette nel racconto dei responsabili commerciali, preposti al contatto con i principali interlocutori diretti. «Oggi, tutti i settori industriali sono più attenti a certe tematiche rispetto al passato» – riconosce Massimo Alì, senior account manager per il mercato enterprise, con focus particolare sul settore finance, al quale Symantec è tradizionalmente vicina. «La sensibilità al tema della sicurezza non è sufficiente per fronteggiare l’evoluzione delle vulnerabilità. L’adozione del modello cloud ha comportato il passaggio a un ecosistema completamente aperto che richiede una nuova attenzione non solo alle tecnologie ma anche alle figure di riferimento. Un problema di sicurezza che in passato era di competenza del CIO o del CISO, oggi riguarda direttamente il CEO e i suoi consiglieri diretti». L’entrata in vigore di regolamenti come GDPR e PSD2, sottolinea ancora Alì, impone l’identificazione e gestione in modo sistematico delle minacce effettivamente applicabili ai dati personali, ponendo la sicurezza su un piano più orientato al rischio di business, un rischio che non può essere ridotto a zero, ma che deve essere gestito. «Ecco che in quest’ottica – prosegue Alì – i Cyber Security Services di Symantec diventano un pilastro fondamentale di una soluzione integrata, con servizi come DeepSight, che sfruttano informazioni dalla Global Intelligence Network, il monitoraggio real-time, le analisi approfondite degli attacchi, e che aiutano a giocare d’anticipo sugli avversari, partendo dalle loro motivazioni. L’intelligence si unisce alle tecnologie di incident management e risk management della piattaforma Symantec, confluendo anche nella proposta della Managed Services Security come ideale formula di protezione, in grado di assicurare il controllo costante che si integra con le tradizionali infrastrutture di sicurezza per dare risposte ancora più precise.

#Security Strategie, investimenti, approccio più innovativo al go-to-market, opportunità di business, R&D e marketing. La nuova @symantec centra l’obiettivo di una maggiore crescita
Click To Tweet

LA SICUREZZA CHE GUARDA LONTANO

La natura stessa delle attività bancarie è appetibile per il cybercriminale, il cui obiettivo è anche minare la fiducia su cui si fonda questo business. «Molti dati sensibili da proteggere sono potenzialmente esposti e l’approccio di Symantec, integrando tecnologie di data loss prevention, CASB e cifratura dei dati, risponde in modo efficace alle tre richieste formulate dai clienti: piena visibilità sulle informazioni, protezione e controllo». Proprio soluzioni come Symantec CASB sono pensate appositamente per mettere in sicurezza un ambiente lavorativo dove il dipendente può servirsi di applicazioni basate su cloud ma non direttamente censite dagli amministratori di sicurezza. Contenere i rischi di compromissione significa monitorare non soltanto i dati, ma l’uso che ne viene fatto e il comportamento delle persone. «In altre parole, significa essere vicini a quelli che sono gli interessi di chi si occupa del business, facendo diventare la sicurezza parte del business medesimo» – afferma Massimo Alì.

Sabina Sanzolini è il senior account manager per il mercato enterprise, dove gli effetti della trasformazione digitale si avvertono in modo particolare. «Le grandi organizzazioni globali, in particolare quelle che operano nel settore dell’energia e delle telecomunicazioni, sono sempre più focalizzate sul business, sullo scambio di dati e informazioni con le loro filiali e i loro clienti» – racconta Sabina Sanzolini. «Per loro, la dematerializzazione e quindi la migrazione verso il cloud di applicazioni business-critical e delle informazioni è un obiettivo primario. Le telco, come service provider, capiscono e adottano naturalmente i modelli del cloud». La prima necessità, anche alla luce delle normative, è la protezione dei collegamenti, delle informazioni e della privacy degli utenti. Lavorare con un operatore di livello enterprise per Symantec significa anche poter giocare di sponda per arrivare, indirettamente, ai mercati ad alta granularità della piccola impresa italiana. «Tra i tanti paletti del passato che oggi vengono scardinati – continua Sabina Sanzolini – ci sono anche i modelli di vendita. Si tende a fare molta più attenzione ai mercati cui ci rivolgiamo, anche attraverso partnership con altre aziende, come nel caso degli accordi che ci legano con il Digital Store di TIM per le nostre soluzioni di endpoint protection». Da un altro punto di vista, Symantec viene percepito dai clienti enterprise, come il partner giusto cui affidare, attraverso l’offerta di sicurezza gestita, la tranquillità nella trasformazione verso una completa digitalizzazione e verso nuovi paradigmi di servizio, come i servizi cloud. «A nostro vantaggio – spiega infine Sabina Sanzolini – oltre alla focalizzazione, ci sono le acquisizioni che sono state molto mirate e hanno accelerato il time-to-market. Non sviluppiamo app “verticali” in senso proprio, ma forniamo servizi e tecnologie per mettere in sicurezza asset fissi e mobili, informazioni e identità digitali, rispettando i livelli di specializzazione di ogni mercato».

A CIASCUN DATO IL SUO VALORE

Se la clientela tipo enterprise può essere annoverata tra gli “early adopter” dei nuovi modelli infrastrutturali, la spinta verso la virtualizzazione e l’intelligenza distribuita caratterizza anche il mondo con cui si relaziona Andrea Toselli, senior account manager per il settore industry. «Anche i miei clienti stanno gradualmente abbandonando forme di security più tradizionali, spesso accorgendosi di certi grattacapi solo dopo aver effettuato un passaggio al cloud che implica approcci non più basati su un mix di soluzioni verticali, ma su piattaforme unificate, capaci di coniugare la protezione di dati e identità a policy automatiche». Devi condividere un file confidenziale? Il sistema stesso ti impedirà di farlo su soluzione del tipo Dropbox, Onedrive, Box, Gdrive  e lo stesso file inviato via email viene prima cifrato automaticamente. «Symantec propone una piattaforma integrata di cyber defence e questo piace molto» – osserva Toselli. Le realtà manifatturiere e del settore retail sono sempre più interessate a soluzioni di data loss prevention che rispettino gli obiettivi interni di tutela della proprietà intellettuale, ma vengano automaticamente incontro ai livelli di consapevolezza delle proprie vulnerabilità e delle contromisure adottate, impliciti nelle nuove normative europee. «I clienti che si servono delle soluzioni Symantec sanno di poter avere immediata evidenza su attacchi e incidenti proprio per la perfetta tracciabilità che la nostra tecnologia riesce a dare. Una protezione – aggiunge Toselli – che parte da un fondamentale presupposto: la classificazione del dato, a cui viene associato un livello di confidenzialità che abilita lo strumento di data loss prevention, stabilendo di volta in volta chi può accedere a una determinata informazione, e se questa può essere trasmessa via email e con quale misura protettiva». Tutte regole che vengono automaticamente estese al contesto della mobilità o del cloud, quando i dati stessi non risiedono su sistemi interni all’azienda. Non meno fondamentale – per ogni attività produttiva che assiste a un altro, inesorabile fenomeno di convergenza, questa volta favorita dal boom dell’IoT – l’aspetto della protezione dell’informazione all’interfaccia tra sistemi IT e operation technology, l’intelligenza che controlla i sistemi di controllo industriale. «Nella produzione e distribuzione dell’energia – interviene nuovamente Sabina Sanzolini – la protezione di impianti che utilizzano architetture di controllo SCADA diventa vitale per i rischi che possono estendersi all’intero Sistema Paese. Anche qui, Symantec può dare un contributo importante».

NUOVA STRATEGIA DI CANALE

Questo nuovo ruolo di indirizzamento, di guida nell’esplorazione dei territori di una informatica sempre più svincolata dal proprio substrato fisico, richiederà una diversa strategia di canale. Il cambiamento arriva con Michele Papa, channel lead, fresco di nomina. Un informatico che vanta, dopo una lunga esperienza nel mondo della distribuzione a valore di soluzioni di sicurezza, una più recente esperienza in Microsoft, dove si è occupato di favorire tra i partner lo sviluppo di una nuova cultura applicativa, orientata al cloud. «Symantec – spiega Michele Papa – vuole imprimere una forte accelerazione verso il mondo dei rivenditori e dei system integrator, con l’obiettivo di promuovere un selezionato ma qualificato gruppo di partner dalla vocazione di consultant: operatori in grado di aiutare i clienti – spesso meno dotati di risorse e conoscenze interne – ad affrontare il loro personale percorso nel cloud, percorso che deve avvenire anche sul piano organizzativo». Che cosa può portare Symantec ai suoi partner? «La possibilità non solo di disegnare e implementare soluzioni di sicurezza mirate alle concrete esigenze del business digitale, ma soprattutto di stabilire con i propri clienti un rapporto più rilevante, quasi di “auditor” rispetto a queste nuove esigenze, in modo da costruire un legame ancora più maturo e a valore aggiunto».

Piena visibilità sulle informazioni, protezione e controllo. La visione olistica di @symantec trasforma la #sicurezza informatica in un fattore abilitante, non in una gabbia di contenimento
Click To Tweet

È ancora presto per anticipare le decisioni del nuovo responsabile di canale, ma sono già perfettamente chiare le intenzioni di Symantec Italia – una struttura piccola ma molto preparata e ben inserita nel contesto nazionale, con due uffici a Milano e Roma – di farsi portatore del nuovo messaggio della casa madre. Quello di una sicurezza informatica che – pur continuando a poggiare sulle solide basi di una tradizione iniziata con un brand, “Norton”, acquisito quasi 30 anni fa ma ancora molto rappresentativo – oggi, sta imboccando un percorso diverso, più in linea con la criticità che i bit dell’informazione e delle transazioni digitali stanno assumendo in ogni singolo comparto di business. Come dice Volpi – «la complessità di reti e sistemi che si nasconde dietro la naturalezza e l’umanizzazione delle nostre interfacce software ha bisogno di una grande semplificazione, e la sicurezza deve sapersi calare sempre di più nella realtà di processi aziendali, e regolamenti, che hanno una loro specificità, anche culturale». È intorno a questa specificità che Symantec sta costruendo il nuovo perimetro di un’informazione polverizzata nella nuvola.

Foto di Gabriele Sandrini

L'articolo Symantec, il nuovo perimetro dell’informazione digitale proviene da Data Manager Online.

Cyber security: un tema di attualità che impegna analisti, imprenditori, esperti e specialisti già da diversi anni. Tuttavia solo da gennaio 2013, in Italia, si è giunti a una sua determinazione. Il DPR 24 gennaio 2013 ne offre una definizione per così dire ufficiale quale “condizione per la quale lo spazio cibernetico risulti protetto grazie all’adozione di idonee misure di sicurezza fisica, logica e procedurale rispetto a eventi, di natura volontaria o accidentale, consistenti nell’acquisizione e nel trasferimento indebiti di dati, nella loro modifica o distruzione illegittima, ovvero nel danneggiamento, distruzione o blocco del regolare funzionamento delle reti e dei sistemi informativi o dei loro elementi costitutivi”.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

MA COSA SI INTENDE PER SPAZIO CIBERNETICO?

Nello stesso decreto art. 2 lettera h) si legge che esso comprende “l’insieme delle infrastrutture informatiche interconnesse, comprensivo di hardware, software, dati e utenti, nonché delle relazioni logiche, comunque stabilite, tra di essi”. Trasformazione digitale insieme all’evoluzione normativa, non ultima quella del GDPR, hanno posto al centro dell’attenzione il concetto di rischio informatico connesso alla sicurezza delle informazioni e, di conseguenza, alle dinamiche aziendali nel loro complesso. I fattori che intervengono nella definizione di un perimetro di sicurezza per informazioni e know-how aziendali sono sempre più numerosi e richiedono una strategia che includa risorse tecniche ma anche procedure e comportamenti adeguati. Il cloud facilita l’accesso ai dati “anywhere and everywhere”. I dispositivi mobili consentono di operare in modalità agile anche in ambito B2B. Tutto questo stimola una maggiore consapevolezza da parte delle aziende rispetto al cyber risk. Fondamentale, la prevenzione di eventuali data breach, anche all’interno di organizzazioni meno strutturate che, per cattiva gestione del rischio informatico, subirebbero una perdita di business quantificabile non solo in termini economici immediati, ma anche in termini di danno di immagine. A livello normativo, si occupano di sicurezza informatica a livello europeo la direttiva NIS e il regolamento sulla data protection (GDPR). In Italia, ricordiamo il quadro strategico per la sicurezza dello spazio cibernetico e il piano nazionale per la protezione cibernetica e la sicurezza informatica. Tutte queste misure concordano sulla necessità di agire in modo strategico e in ottica di prevenzione a lungo termine.

#cybersecurity Lorenzo Colzi @ColinPartners Come gestire il rischio informatico?
Click To Tweet

GESTIONE DEL RISCHIO INFORMATICO

Il rischio informatico non può mai dirsi completamente azzerato. Per questo, applicate corrette metodologie di risk management, è utile pensare alla gestione del cosiddetto rischio “residuo”. La cyber insurance, attraverso polizze adeguate, consente di proteggere il patrimonio aziendale dalle conseguenze di un attacco informatico, ma anche da possibili danni causati da fattori umani. Le tre categorie di rischio che un simile prodotto deve considerare possono essere così riassunte: 1) danni materiali diretti. Per esempio, la distruzione o il furto di materiale hardware, compresi PC, smartphone, server o fibra ottica; 2) danni materiali indiretti. Per esempio, un corto circuito elettrico che a sua volta provoca un danno alle componenti hardware di un macchinario impedendone il corretto funzionamento. 3) danni immateriali diretti e indiretti, che colpiscono l’insieme logico delle informazioni. L’attacco da parte di un malware o la cancellazione involontaria (o meno) da parte di un dipendente di un database, compromettono l’integrità del patrimonio informativo al pari di un componente hardware danneggiato. Quanto più divengono numerosi e de-localizzabili i punti di accesso alle informazioni aziendali, tanto più sofisticata deve essere la strategia in tema di data protection. Strategia che dovrà necessariamente avere come obiettivo anche quello della compliance normativa come richiesto dal regolamento GDPR che, lo ricordiamo, sarà applicabile da maggio.

Lorenzo Colzi consultant Colin & Partners – www.consulentelegaleinformatico.it

L'articolo Cyber security e cyber insurance proviene da Data Manager Online.

Uno dei macro-trend attuali è lo spostamento verso il cloud di tecnologie storicamente gestite internamente.  Purtroppo, gli evidenti benefici del cloud diventano troppo spesso una molla che porta a sottoscrivere contratti, senza considerare i cambiamenti di una simile decisione sull’abitudine di lavoro degli utenti e sulla sicurezza dei dati aziendali. Per discuterne partiamo da una evidenza: quando i dati sono nel cloud, l’azienda rischia di perderne il controllo. Decenni di IT gestito internamente, ci hanno abituati a considerare sicure le nostre informazioni solo per il fatto di avere alle spalle un firewall che impediva gli accessi dalla rete pubblica alla rete privata. Il cloud cambia il paradigma: quando i dati sono nel cloud diventano completamente accessibili da parte di chi effettua una autenticazione, a prescindere dal fatto che il dispositivo da cui viene effettuato l’accesso sia aziendale o personale o che chi accede abbia semplicemente sottratto le credenziali al legittimo utilizzatore. Quali sono gli elementi da considerare prima di effettuare il grande passo e quali gli strumenti che possono aiutarci a migrare in modo più sereno?

IL RAPPORTO TRA UTENTE E DATI

La prima cosa da considerare è il rapporto tra utente e dati. In una realtà di grande cambiamento, l’utente e il dato rimangono gli unici due elementi invarianti rispetto alla tecnologia. Quando l’utente entra in contatto con il dato, ovunque questi due elementi siano, si concretizza il rischio di perdita per un utilizzo non consono. Gli utenti vivono in un mondo digitale di cui non conoscono i limiti o i livelli di sicurezza. Diventa difficile distinguere tra realtà lavorativa e privata, con il risultato di riportare lo stesso schema di utilizzo, quando non gli stessi strumenti, all’interno dell’ambito aziendale. Quando il dato è online perché è l’azienda a fornire gli strumenti lavorativi, l’utente torna a interfacciarsi con esso, utilizzando le modalità a cui è abituato. La connessione da dispositivi personali con un livello di sicurezza incerto, o la condivisione di contenuti con utenti esterni, se non esplicitamente vietata, diventa un’abitudine non gestibile. Il primo passo è di cambiare il nostro approccio alla security, riparametrando le decine di strumenti già presenti in azienda verso la protezione di utenti e dati invece che di macchine e apparati di rete.

Come riprendere il #controllo di #dati e #utenti anche nel #cloud @omatforum
Click To Tweet

APPROCCIO EDUCATIVO E STRUMENTI DI CONTROLLO

A questo deve seguire un’educazione dell’utente verso l’utilizzo corretto degli strumenti e i rischi connessi alla mala gestione di questi ultimi. Questo approccio educativo deve sempre essere supportato da policy chiare e attivarsi nel momento in cui l’utente sta effettuando l’azione, invece di concretizzarsi in noiosi corsi online. Da ultimo, dotarsi di strumenti che possano aiutarci a riprendere il controllo dell’ambiente cloud aziendale come il CASB. Gli strumenti di CASB evoluti consentono di analizzare le attività svolte sull’ambiente cloud, dando evidenza della tipologia di file archiviati e del loro contenuto, di eventuali malware presenti sull’infrastruttura e dell’attività degli amministratori. La componente più interessante di alcuni di essi è di dare evidenza del comportamento anomalo degli utenti. Volumi anomali di download e upload, connessioni simultanee da luoghi distanti fra loro, così come richieste di condivisione verso utenti terzi di dati riservati, vengono evidenziati in maniera molto semplice. Se a queste funzionalità aggiungiamo la possibilità di consentire l’accesso unicamente ai dispositivi aziendali controllati, abbiamo ottenuto l’obiettivo di riprendere il controllo dei nostri dati e dei nostri utenti, anche nel cloud.

Luca Mairani, Clusit evangelist

Per saperne di più, l’appuntamento è a Omat Forum, il workshop dedicato alle nuove frontiere della gestione delle informazioni digitali. Info sulle prossime tappe su www.omatforum.it.

L'articolo Il nuovo approccio alla security nell’era del cloud proviene da Data Manager Online.

Il legislatore (Legge n. 81 del 22 maggio 2017 in vigore dal 14 giugno 2017) descrive con estrema precisione lo smart working che, rivolto anche a professionalità specializzate di tipo impiegatizio o manageriale, consente di svolgere la prestazione lavorativa, determinandone liberamente tempi e luoghi, con il solo vincolo della durata massima dell’orario di lavoro finalizzato al raggiungimento dell’obiettivo prefissato. Una “filosofia manageriale” – come la definisce l’Osservatorio del Politecnico di Milano sul tema – che scommette sul valore aggiunto del rapporto fiduciario tra datore e lavoratore, e valorizza i concetti di flessibilità e autonomia a favore di una maggiore responsabilizzazione rispetto ai risultati da raggiungere.

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Lo sviluppo delle nuove tecnologie ICT favorisce la fattibilità di un lavoro “smart” e consente alle imprese di adeguarsi alle necessità di un’organizzazione sempre più dinamica e a workspace diversificati. Allo stesso tempo, richiede una trasformazione dell’infrastruttura IT, con l’implementazione di servizi che consentano di organizzare e ottimizzare le attività. Comunicazione integrata, sistemi di videoconferenza in alta definizione o cloud call center per gestire i clienti tramite voce, email, SMS, video e anche social network, sono alcuni esempi di tecnologie al servizio di una migliore organizzazione. Prioritario è l’accesso alle informazioni dove e quando sono necessarie, applicando un’ottica inclusiva a prescindere dalla presenza fisica o meno del lavoratore in sede. Risultano evidenti le implicazioni in termini di sicurezza e controllo del patrimonio aziendale. Basti pensare ai pericoli insiti nell’utilizzo di reti non protette (aeroporti, treni, stazioni, etc.) o a quelli che possono coinvolgere smartphone, tablet o personal computer rispetto ad app o servizi in cloud, qualora essi vengano utilizzati in modo imprudente o in violazione di policy e regolamenti informatici interni.

#smartworking Valentina Frediani @ColinPartners Come educare alla #sicurezza
Click To Tweet

COME EVITARE POSSIBILI DATA BREACH?

Il data breach (art. 4 della General Data Protection Regulation, pienamente applicabile dal prossimo 25 maggio 2018) è “la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati”. Non è un evento inconsueto. Uno scorretto utilizzo (anche senza alcuna intenzione di dolo) delle strumentazioni aziendali o in regime di BYOD (Bring your own device) sono spesso causa di violazioni di dati personali e incidenti informatici.

Per minimizzare il cyber risk è fondamentale affidarsi ad apposite policy finalizzate alla gestione degli accessi ai servizi aziendali mediante i vari dispositivi in uso. In caso di utilizzo in mobilità, può essere utile affidarsi a software di mobile device management (MDM) e comunque assicurarsi che il lavoratore utilizzi il proprio device in modo corretto. Queste buone pratiche non tutelano del tutto da possibili incidenti informatici. Per questo, è fondamentale dare precise istruzioni agli “smart workers” in merito alla gestione di un eventuale data breach e alla relativa notifica al titolare del trattamento che dovrà comunicarlo, a sua volta, all’Autorità di controllo (come regolato all’art. 33 GDPR). Una soluzione efficiente potrebbe essere quella di nominare un incaricato del trattamento per i “lavoratori agili”, investendo, contemporaneamente, in attività formative e di sensibilizzazione rispetto all’importanza di una corretta e puntuale gestione della violazione dei dati personali che – è bene non scordalo – rappresentano di fatto una parte consistente del patrimonio d’impresa.

Valentina Frediani è avvocato, CEO e founder Colin & Partners – www.consulentelegaleinformatico.it

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

Data Manager mette a disposizione un White Paper a download gratuito sul GDPR.

Un documento completo per affrontare in maniera esaustiva tutto ciò che c’è da sapere per essere in regola

Clicca qui per scaricarlo gratuitamente

[spacer color=”8BC234″ icon=”fa-info” style=”1″]

L'articolo Smart working e security. Come prevenire un data breach proviene da Data Manager Online.

Dati personali e informazioni vanno protetti con tutte le misure tecnico/organizzative commisurate al danno derivante da una loro impropria divulgazione. Assistiamo quotidianamente ad “assalti” alla nostra privacy di natura commerciale, provenienti da fonti sconosciute che ci raggiungono sui canali di comunicazione di cui fruiamo quotidianamente (mail, cellulare, internet). Questo atteggiamento che infastidisce il nostro stato di soggetti liberi nel dominio dell’era digitale connessa è in parte conseguenza dei molti consensi da noi forniti a terzi per l’uso dei nostri dati al momento dell’adesione a servizi o stipula di contratti, ma è anche dovuto alla sottrazione degli stessi in modo doloso dai sistemi aziendali di coloro che ne operano il trattamento e rivenduti per scopi commerciali o per danneggiare l’immagine e la reputazione degli interessati.

I potenziali “hacker”, che nell’immaginario collettivo erano figure isolate dedite a violare i sistemi degli enti governativi solo per dimostrare le proprie capacità, oggi, con la disponibilità in rete di know-how specifico e risorse nel “Deep Web” (parte del Web non indicizzata dai comuni motori di ricerca e non convenzionalmente visibile), stanno crescendo in maniera preoccupante e con essi il rischio di attacchi ai dati per scopi non etici. La risposta convenzionale al fenomeno è la “cyber security”, ovvero la strategia evoluta per la tutela delle informazioni e dei dati aziendali esclusivamente dipendenti dalla tecnologia. L’esperienza insegna che sicurezza informatica e sicurezza delle informazioni non sono la stessa cosa: infatti la prima “cyber security” utilizza prettamente la tecnologia quale strumento per la protezione degli asset informativi, la seconda tiene invece conto anche degli aspetti organizzativi che impattano su quelli tecnologici (per esempio: installiamo un modem con Wi-Fi abilitato e lasciamo inalterate le password amministrative di default del dispositivo ricavabili tramite app disponibili sugli store). Questo esempio ricorrente indica come la sicurezza debba essere ricercata attraverso un approccio metodologico di risk assessment che valuti, in modo strutturato, tutte le minacce che incombono sui nostri dati/informazioni e che consenta di identificare le adeguate contromisure per la riduzione del rischio.

#DataBreach e minacce alla #Privacy ? Il #RiskAssessment è il primo passo @omatforum
Click To Tweet

Quando le contromisure non sono adeguate alla mitigazione del rischio si può incorrere nel temuto “data breach”, ovvero un incidente di sicurezza in cui i dati rilevanti per aspetti strategici o di privacy vengono utilizzati da un soggetto non autorizzato sia per dolo che in modo involontario. Ciò può avvenire in seguito alla perdita accidentale di un dispositivo mobile, al furto di un notebook, all’infedeltà aziendale di personale scontento o corrotto, all’accesso non autorizzato a sistemi informatici. I dati a maggior rischio sono quelli finanziari (carte di credito, posizioni economiche, investimenti), sanitari (informazioni sulla salute per restrizioni assicurative o altre azioni discriminatorie), proprietà industriale o dell’intelletto (soluzioni tecnologiche o innovative), personali (furto d’identità per compimento di illeciti e reati vari). Con l’IoT (Internet of Things) che preme, e una tecnologia in rapida evoluzione senza i tempi necessari per maturare una resilienza alle vulnerabilità intrinseche di sistemi e processi, alcune vulnerabilità, ancora inesplorate, attendono di essere sfruttate ai danni delle organizzazioni e dei titolari dei dati e delle informazioni. La chiave per porre riparo a tutto ciò è la consapevolezza, da parte dei titolari dei trattamenti, dei rischi incombenti sui dati nel dominio che interessa l’organizzazione. In conclusione: buon risk assessment a tutti.

Giuseppe Tacconi è consultant, trainer e professional auditor

Per ulteriori approfondimenti: “Gli audit privacy secondo il nuovo regolamento europeo GDPR 2016/679 – Guida pratica per la verifica della protezione dei dati” a cura di Stefano Gorla, Michele Iaselli, Giuseppe Tacconi. Prefazione di Gianluca De Vincentiis. www.iter.it/libri

Per saperne di più, l’appuntamento è a Omat Forum, il workshop dedicato alle nuove frontiere della gestione delle informazioni digitali. Info sulle prossime tappe su www.omatforum.it.

L'articolo Come evitare data breach e attacchi alla privacy? proviene da Data Manager Online.

Dalle nostre parti, non se ne è nemmeno parlato. Quei pochi che lo hanno fatto non hanno trovato il seguito che la notizia avrebbe meritato. Come Leonardo DiCaprio e Kate Winslet nella scena simbolo del film Titanic, chi si dovrebbe occupare di sicurezza ha continuato a godersi la navigazione, accarezzato dal vento a prua. Gli altri, con le differenti rispettive responsabilità, non hanno smesso di ballare. è la drammatica storia di Equifax, colossale agenzia statunitense di controllo dei crediti la cui privacy è affondata a seguito di un micidiale data breach. La violazione dei sistemi e la sottrazione dei dati ad altissima criticità non hanno danneggiato soltanto lo scafo dell’immaginario bastimento di Equifax, ma hanno fatto affogare la riservatezza di tutte quelle persone le cui informazioni personali erano custodite nei non blindatissimi archivi elettronici presi di mira. Poca roba. Cosa sarà mai la privacy di 143 milioni di persone che hanno saputo che i loro dati sensibili sono nella libera disponibilità di chissà quale malintenzionato? Che importanza può avere se il misfatto risale a maggio scorso, se gli addetti alla security e all’audit di Equifax se ne sono accorti solo il 29 luglio, se i poveri disgraziati – vere vittime dell’increscioso episodio – elencati nei database violati hanno avuto notizia unicamente il 7 settembre?

L’insensibilità a certi problemi è, quindi, distribuita capillarmente anche oltre oceano, ma una simile circostanza non può certo essere fattore di consolazione. Dovrebbe invece essere lo stimolo a riflettere su quel che è successo, sta accadendo e soprattutto potrebbe verificarsi in futuro. Immaginando una scena del crimine, e magari costruendo anche un plastico come tanto piace a Bruno Vespa e a tutti quelli che hanno nostalgia delle costruzioni con i mattoncini del Lego, possiamo prendere atto di quello che è capitato e scoprire che il disastro non è imputabile alla forza inaudita di chissà quale pirata tecnologico dalle inesauribili energie. In termini pratici, uno dei più imponenti saccheggi telematici è stato reso possibile dalla insipienza di chi avrebbe dovuto tutelare adeguatamente un patrimonio informativo così delicato. Da una parte è stato possibile appurare – per stessa ammissione di Equifax – che la falla nella robusta carena digitale non è stata dell’imponenza di un catastrofico iceberg, ma semplicemente dovuta a una banale vulnerabilità nel contesto Apache Struts. Come sempre è mancato un aggiornamento delle applicazioni, vuoi per pigrizia, vuoi per disattenzione o incompetenza, vuoi per risparmiare sugli eventuali costi di update e upgrade. D’altronde, lo si sa, gli unici a leggere i bollettini – con cui le aziende che producono software informano i clienti di possibili problemi e di corrispondenti soluzioni – sono i banditi particolarmente interessati a sapere (senza fatica) quali siano i buchi entro i quali andarsi a intrufolare.

#Equifax Violata la #privacy di 143 M di persone. Quale lezione da imparare? @Umberto_Rapetto
Click To Tweet

Ricordo quando, poco più di vent’anni fa, all’Autorità per l’Informatica pianificammo una newsletter e una pagina web per allertare le Pubbliche Amministrazioni su nuovi rischi e pericoli incombenti, analogamente a quel che faceva il National Infrastructure Protection Center americano. L’esperimento fu deludente perché gli unici visitatori degli avvisi online provenivano dal sottosuolo della Rete e quindi si decise di soprassedere. Non si è preparati ad affrontare nemmeno le insidie e le minacce di più basso profilo. E proprio il caso in esame è addirittura emblematico. Una indagine forense non ufficiale avrebbe portato ad appurare una situazione che ha dell’incredibile: più di un centinaio di utenti argentini abilitati all’accesso ai sistemi informatici di Equifax avrebbe utilizzato la straordinaria e tradizionale combinazione “admin/admin” come identificativo e password. Qualcuno se la sente di aggiungere altro?

L'articolo La lezione di Equifax proviene da Data Manager Online.

Digital trasformation e sicurezza

Per i manager IT non è ancora arrivato il momento di riconoscere alla sicurezza IT l’importanza che si merita. Si parla tanto di Digital Transformation, di come big data, cloud computing, real time, mobilità, stanno modificando radicalmente gli scenari di business per tantissime organizzazioni. Ma si tralascia di dire che tutto questo si fonda sui dati. Quelli che consentono alle aziende di servire i clienti in modo più efficace, velocizzare l’erogazione di prodotti e servizi, ridurre i costi, ecc. In una parola a migliorare il loro approccio al mercato.

La survey Fortinet

Se i dati sono il propano che alimenta le strategie aziendali, dovrebbe essere scontato proteggerli con qualsiasi mezzo. Le cose però vanno diversamente. Almeno secondo una ricerca commissionata da Fortinet dal titolo Global Enterprise Security Survey su un campione di 1800 decisori aziendali di realtà medio grandi di sedici paesi, Italia compresa.

Dati salienti

Dalla survey, giunta alla terza edizione, emerge per esempio che la percezione dei responsabili aziendali che si occupano di questi temi si evolve ancora troppo lentamente: la sicurezza IT interessa poco il board. Eppure una quota importante (l’81 percento) delle imprese italiane (circa un centinaio i rispondenti), ammettono gli intervistati, dichiara di aver patito un attacco negli ultimi due anni (84 percento il dato globale). A colpire sono soprattutto malware, ransomware e social engineering. Più contenuta invece la percentuale di data breach e furto di dati (24 e 29 percento rispettivamente). «Una quota tutto sommato contenuta anche se probabilmente incidono sia il fatto che non è ancora obbligatorio notificare una perdita o la sottrazione, sia che le aziende non sempre sono in grado di individuare tempestivamente una falla, specialmente offuscata da un attacco DDoS o virale» rileva Filippo Monticelli, Regional Manager Italy di Fortinet. Al cuore della ricerca la sconfortante constatazione che per i manager IT di mezzo mondo non è ancora arrivato il momento di riconoscere alla sicurezza IT l’importanza che merita. Il 44 percento dei rispondenti italiani dichiara di non vedere un adeguato livello di attenzione da parte della dirigenza verso i temi della sicurezza, ancora ingessata da una postura prevalentemente reattiva, con l’attacco cyber come principale detonatore di attenzione nei confronti del board. Che in oltre il 30 percento dei casi reagisce con una caccia alle responsabilità individuali, spesso attribuite all’IT. «Un atteggiamento controproducente. Perché sappiamo che le breach spesso scaturiscono da errori commessi da persone di altre funzioni aziendali» commenta Monticelli.

Spesa in crescita ma mancanza di prospettiva

Secondo l’Osservatorio PoliMi, la spesa in cybersecurity supera il miliardo di euro, con una crescita annuale degli investimenti che si attesta a circa il 5%. Dati sostanzialmente in linea con quelli forniti dalla survey Fortinet dalla quale emerge che il 53 percento dei rispondenti dichiara di aver investito oltre il 10 percento del budget, con il 72 percento dei CISO/CIO a confermare che il budget destinato alla security è aumentato rispetto all’anno precedente. Le voci di spesa che assorbono le maggiori risorse sono l’aggiornamento tecnologico di hardware e software. Secondo la ricerca, le voci di spesa preponderanti rimangono l’aggiornamento dei sistemi di sicurezza esistenti e l’implementazione di processi e policy connessi alla sicurezza. «Una tendenza in linea con l’andamento globale degli investimenti in Italia. A fronte della persistenza di un ritardo di circa di 6-12 mesi nell’adozione di soluzioni innovative rispetto alle nazioni più evolute» osserva Monticelli. Ancora magri invece gli investimenti per attività di formazione e training, anche se a parole la maggior parte dei rispondenti riconosce a queste aree criticità importanti. Persiste dunque un approccio ancora fortemente orientato alla difesa reattiva rispetto ai rischi e non l’introduzione di un piano di investimento con orizzonte pluriennale che abbracci cultura della prevenzione, formazione e awareness. «E’ un fatto che il continuo crescere degli attacchi abbia fatto lievitare gli investimenti in sicurezza. Il 64 percento delle aziende italiane dichiara di aver incrementato il proprio budget di sicurezza. Ma se andiamo a vedere i numeri, la quota destinata alla sicurezza rispetto al budget complessivo rimane desolatamente bassa, con oltre la metà delle imprese rispondenti che stanzia meno del 15 percento per la security» afferma Monticelli.

Alcuni fattori tuttavia lavorano a favore di una maggiore attenzione del board verso la sicurezza: l’esperienza diretta di un attacco, l’avvicendarsi di nuove generazioni di manager e soprattutto l’arrivo di nuove e più stringenti normative (GDPR, NIS). La survey conferma altresì che una percentuale molto alta di rispondenti (83 percento) valuta d’impatto le nuove sfide portate dal cloud, anche se meno della metà (48 percento) dei partecipanti dichiara di avere programmato investimenti per la sicurezza in cloud nei prossimi 12 mesi.

L'articolo Fortinet, per i manager IT italiani la cybersecurity non è ancora una priorità assoluta proviene da Data Manager Online.