Nasce l’ACN – Agenzia per la Cybersicurezza Nazionale. Il 10 giugno scorso, il Consiglio dei Ministri ha dato il via libera al decreto legge istitutivo della nuova agenzia per la sicurezza nazionale nello spazio cibernetico.

Si tratta di un’Agenzia con personalità giuridica di diritto pubblico con una propria autonomia regolamentare, patrimoniale, organizzativa, amministrativa, contabile e finanziaria secondo i limiti previsti dal decreto legge. E’ stata creata al di fuori dell’Intelligence e sotto il diretto controllo del Copasir.

L’ACN Agenzia per la Cybersicurezza Nazionale avrà un pool di 300 dipendenti che, entro il 2027, potrebbero salire a 800. Questa super squadra opererà in prima linea con militari e uomini dei servizi segreti: 50 consulenti e 7 sedi, fino a 34 dirigenti di cui 10 di livello da direzione generale.

Per la tutela della cybersicurezza nazionale ed in base alle attività svolte in tandem con il Sistema di informazione per la sicurezza della Repubblica, i regolamenti del decreto possono attuare disposizioni in deroga alle norme vigenti.

Al premier Draghi sono affidate in via esclusiva l’alta direzione e la responsabilità generale delle politiche di cybersicurezza. Sono attribuite al presidente del Cdm l’adozione della strategia nazionale di cybersecurity in accordo con il Comitato interministeriale per la cybersicurezza, nonché la nomina e revoca del direttore e vice direttore generale dell’Agenzia ACN.

Il premier assegna le direttive emanando qualsiasi necessaria disposizione per l’organizzazione e funzionamento dell’Agenzia, informando il presidente del Copasir preventivamente sulle nomine. Viene informato costantemente dall’Autorità delegata riguardo alle modalità di esercizio delle funzioni delegate. In qualsiasi momento, può assumere l’esercizio di tutte o alcune di queste funzioni.

L’istituzione dell’Agenzia ACN è necessaria considerando la vulnerabilità agli attacchi hacker delle reti, servizi informatici, sistemi informativi e comunicazioni elettroniche di soggetti pubblici e privati. La necessità è anche un’altra: raccordare la normativa con analoghe iniziative europee.

Come è strutturata l’Agenzia per la Cybersicurezza Nazionale?

Quali sono le funzioni e gli obiettivi dell’ACN?

L’art. 4 del decreto legge ha istituito presso la Presidenza del Consiglio dei ministri il CICSCIC (Comitato interministeriale per la cybersicurezza). Questo Comitato ha funzioni di consulenza, proposta e deliberazione vigilanza in tema di politiche di cybersecurity anche per la tutela della sicurezza nazionale nello spazio cyber.

Ecco, in dettaglio, quali sono le funzioni del CICSCIC:

– proposta al Presidente del Consiglio dei ministri degli indirizzi generali da perseguire in tema di politiche di cybersicurezza nazionale;

– supporto all’adozione delle necessarie iniziative per sostenere una collaborazione efficace tra le istituzioni e gli operatori privati interessati alla cybersecurity a livello sia nazionale sia internazionale;

– supporto alla condivisione di informazioni e all’adozione delle migliori pratiche e misure a favore della cybersecurity e dello sviluppo tecnologico, scientifico e industriale in tema di cybersicurezza;

– parere sul bilancio preventivo e consuntivo dell’ACN;

– alta sorveglianza sull’attuazione della strategia nazionale di cybersecurity.

L’alta direzione e responsabilità generale delle politiche di cybersecurity sono attribuite al presidente del Consiglio, che annualmente dovrà trasmettere al Parlamento una relazione sull’attività dell’Agenzia.

COMITATO INTERMINISTERIALE PER LA CYBERSICUREZZA: DA CHI È COMPOSTO

Presieduto dal premier Draghi, il Comitato interministeriale per la cybersicurezza è costituito dall’Autorità delegata che può essere istituita dai seguenti ministeri:

– Interno;

– Affari esteri e della cooperazione internazionale;

– Giustizia;

– Difesa;

– Economia e Finanze;

– Sviluppo economico;

– Transizione ecologica;

– Università e Ricerca;

– Delegato per l’innovazione tecnologica e transizione digitale.

Le funzioni di segretario del Comitato spettano al direttore generale dell’Agenzia ACN, che ha la rappresentanza legale dell’Agenzia. E’ il diretto referente del Presidente del Consiglio dei ministri e dell’Autorità delegata, ove istituita.

Il direttore e vice direttore generale restano in carica per la durata massima di 4 anni: l’incarico è rinnovabile a seguito di successivi provvedimenti e può avere una durata massima di ulteriori 4 anni.

Per il ruolo di direttore generale dell’Agenzia, il favorito è Roberto Baldoni, professore di ingegneria informatica alla Sapienza di Roma e vicedirettore generale del DIS (Dipartimento delle Informazioni per la Sicurezza). Circola un altro nome: quello della direttrice della Polizia Postale, Nunzia Ciardi.

TUTTE LE FUNZIONI DELL’ACN – AGENZIA PER LA CYBERSICUREZZA NAZIONALE

Vediamo, in concreto, cosa fa, quali sono tutte le funzioni dell’ACN Agenzia per la Cybersicurezza Nazionale.

In primis, c’è la prevenzione, monitoraggio, rilevamento, analisi e risposta per far fronte agli attacchi informatici ed agli incidenti di sicurezza informatica anche mediante il CSIRT (Computer Security Incident Response Team) italiano e l’avvio operativo del Centro di valutazione e certificazione nazionale.

L’Agenzia funzionerà da interlocutore unico nazionale per i soggetti pubblici e privati in tema di misure di sicurezza ed attività ispettive nel contesto del perimetro di sicurezza nazionale cibernetica (reti, sistemi informativi, reti di comunicazione elettronica).

Rappresenta l’Autorità nazionale competente ed il punto di riferimento per la sicurezza delle reti e dei sistemi informativi: accerta le violazioni e sanziona i trasgressori.

Riportiamo, in sintesi, le funzioni essenziali dell’ACN:

– predispone la strategia nazionale di cybersicurezza;

– supporta il Nucleo per la sicurezza cibernetica;

– garantisce il coordinamento tra i soggetti pubblici coinvolti;

– promuove l’implementazione di azioni comuni per garantire resilienza cibernetica nello sviluppo della digitalizzazione, sistema produttivo e PA. Punta all’autonomia nazionale ed europea riguardo ai prodotti e processi informatici strategici allo scopo di tutelare gli interessi nazionali nel settore;

– è l’Autorità nazionale di certificazione della cybersecurity. Promuove la formazione, crescita professionale e qualificazione delle risorse umane nell’ambito della sicurezza cibernetica;

– esprime pareri non vincolanti su iniziative regolamentari e legislative in materia di cybersicurezza;

– collabora con il Garante della Privacy anche in riferimento alla violazione dei dati personali;

– cura i rapporti comunitari e internazionali con organismi, enti ed istituzioni competenti;

– sostiene e coordina la partecipazione dell’Italia ad iniziative e progetti europei ed internazionali;

– rappresenta il Centro nazionale di coordinamento che si interfaccia con il Centro europeo di competenza per la cybersicurezza in ambito tecnologico, industriale e di ricerca.

IL NUCLEO NSC

Un apposito regolamento definisce l’organizzazione ed il funzionamento dell’Agenzia per la Cybersicurezza Nazionale. In particolare, ne prevede l’articolazione sino a 7 uffici al massimo di tipo dirigenziale generale e fino a massimo di 30 articolazioni di tipo dirigenziale non generale in base alle risorse disponibili.

Presso l’ACN viene costituito, in modo permanente, il Nucleo per la sicurezza cibernetica (NSC) che supporta il presidente del Cdm per la prevenzione e preparazione ad eventuali situazioni di crisi e per attivare procedure di allerta.

L’NSC parteciperà ai sistemi europei di gestione della crisi in collegamento con organismi simili di altri Stati, dell’UE o della Nato e di altre organizzazioni internazionali.

Il Nucleo per la sicurezza cibernetica sarà composto da:

– consigliere militare del premier;

– rappresentanti del Dis, Aise, Aisi e di ognuno dei ministeri rappresentati nel comitato CISR;

– rappresentanti del ministero per l’Innovazione tecnologica e transizione digitale, dell’Università e Protezione Civile.

POSSIBILE COINVOLGIMENTO DI ALTRE AUTORITÀ CIVILI E MILITARI

La Legge di Bilancio ha definito lo stanziamento annuale da conferire all’Agenzia ACN. La dotazione è di 530 milioni di euro complessivi fino al 2027 per proteggere l’Italia dal rischio cyber. E’ in continua crescita, passerà dai 41 milioni del 2022 ai 122 milioni nel 2027. Allo scopo di non dipendere da tecnologie estere (come il 5G), sarà possibile creare strumenti made in Italy e commercializzarli finanziando la stessa ACN.

In base alle necessità che si presenteranno di volta in volta, il premier può rendere partecipi alle sedute del Comitato (anche per loro richiesta e senza diritto di voto) il direttore generale del Dis, altri componenti del Consiglio dei ministri, il direttore dell’Aise e dell’Aisi, altre autorità militari e civili.

Con apposite convenzioni, l’Agenzia potrebbe richiedere la collaborazione di altri organi di Stato, amministrazioni, enti pubblici, forze di polizia per svolgere appieno le sue funzioni istituzionali.

Il Comitato parlamentare per la sicurezza della Repubblica (Copasir) può richiedere l’audizione del direttore generale dell’ACN su questioni che competono al Comitato stesso.

CENTRO NAZIONALE PER LA SICUREZZA CYBER ALL’INTERNO DELL’ACN

L’Agenzia ACN opererà sotto la responsabilità del premier Draghi e dell’Autorità delegata per la sicurezza della Repubblica (sottosegretario con delega all’Intelligence, Franco Gabrielli).

“Abbiamo il 93-95% dei server della PA non in condizioni di sicurezza” ha evidenziato Vittorio Colao, ministro per l’Innovazione tecnologica e la Transizione digitale.

Franco Gabrielli riconosce che l’Italia ha una fragilità per deficit di cultura, mancanza di consapevolezza dei rischi cyber. Siamo parecchio in ritardo: bisogna accelerare i tempi per adeguarsi ed implementare una concreta difesa cyber.

La necessità urgente che ha spinto a creare l’Agenzia per la Cybersicurezza Nazionale è ormai evidente e riguarda tutte le realtà, pubbliche e private: PA, sanità, infrastrutture, energia, imprese, cittadini, ecc. La nuova agenzia pubblica potrà interloquire con gli altri soggetti interessati. Permetterà alle agenzie di intelligence di potenziare le proprie capacità di attacco e difesa cyber.

Il regolamento dell’UE riferito alla rete di centri nazionali per il coordinamento della sicurezza cibernetica europea è stato pubblicato l’8 giugno sulla G.U. dell’Unione Europea. Gli Stati membri hanno 6 mesi di tempo per realizzare il proprio centro nazionale e poter fruire dei 5 miliardi di euro previsti nei programmi Orizzonte Europa e Europa Digitale.

L’ACN avrà al suo interno il centro nazionale richiesto dall’UE: coordinerà imprese e mondo accademico.

CONCLUDIAMO CON LE PAROLE DI FRANCO GABRIELLI

Franco Gabrielli, per far comprendere l’importanza dell’Agenzia per la Cybersicurezza nazionale, ha usato l’esempio dei furti in appartamento, problema serio e diffuso.

“Tutti sanno che è fondamentale dotare gli appartamenti di buoni sistemi di allarme, porte e finestre correttamente attivati” ha spiegato Gabrielli.

Trasferiamo tutto questo nel mondo cyber.

L’Agenzia ACN è “la sala regia che monitora e verifica il perfetto funzionamento di allarmi, sensori, finestre, porte, tutto ciò che può rendere l’abitazione più resiliente“.

Questa sala regia non interferisce con l’attività preventiva o repressiva dei vari operatori della sicurezza, dell’Intelligence e delle forze di pubblica sicurezza.

Francesco Ciano

L'articolo ACN AGENZIA PER LA CYBERSICUREZZA NAZIONALE proviene da Più Sicurezza.

Dal nuovo Rapporto CERTfin 2020 sulla Cybersicurezza banche emerge un incremento negli investimenti del mondo bancario per le attività di difesa contro le frodi informatiche.

Nel 2019, le banche italiane hanno investito oltre 500 milioni di euro per contrastare i crimini cyber. Gli investimenti hanno puntato su iniziative di formazione del personale, campagne di sensibilizzazione dei clienti, una costante azione di monitoraggio.

Bilanciando protezione, riservatezza e sicurezza, le banche hanno dimostrato una particolare attenzione sull’esigenza dei clienti nell’eseguire operazioni digitali in modo rapido, semplice e protetto.

Da anni, il settore bancario è nel mirino delle minacce ed attacchi cyber d’ogni sorta: frodi informatiche, sottrazione di dati sensibili, compromissione della sicurezza dei dispositivi di connessione.

Nel mondo, due terzi delle banche hanno subito un qualche tipo di attacco informatico.

E’ necessario “innalzare costantemente la capacità di gestire il rischio informatico e la cyber resilience del sistema finanziario italiano“.

STUDIO ABI LAB SULLA CYBERSICUREZZA BANCHE: IL BUDGET DI SICUREZZA IT

Lo studio di ABI Lab (Centro di ricerca e innovazione per la Banca promosso dall’ABI) ha rilevato un aumento degli investimenti nel 2020 per proteggere i canali remoti utilizzati dalla clientela.

I volumi di spesa per la sicurezza IT nelle banche rapportati al budget IT passano dal 7% del 2019 al 12% del 2020.

Sono principalmente tre i campi di intervento previsti per il budget di sicurezza IT:

– incremento dei livelli di sicurezza nei servizi (31%);

– evoluzione dei servizi forniti alla clientela, anche in termini di business (30%);

– adeguamento alle normative di sicurezza (39%).

Secondo il nuovo “Rapporto CERTFin 2020 – Sicurezza e frodi informatiche in banca”, nel 2021 le banche italiane investiranno oltre mezzo milione di euro in tecnologie e servizi di cybersecurity.

L’obiettivo è innalzare la capacità di gestione del rischio informatico tramite attività (operative e strategiche) di prevenzione, preparazione e risposta agli attacchi informatici ed agli incidenti di sicurezza.

L’incremento negli investimenti per la cybersecurity è indice di una maggiore sensibilità sul tema ma anche dell’esigenza di adeguarsi ad uno scenario sempre più complesso da proteggere considerando i tanti canali di home banking nella fase di lockdown in cui si sono moltiplicate le intrusioni sui conti correnti.

ABI E CERTFIN INSIEME PER POTENZIARE LE INIZIATIVE DI CYBERSICUREZZA

Per potenziare le iniziative di cybersicurezza, le banche italiane hanno stretto legami di collaborazione inter-settoriale come nel caso di CERTFin – CERT Finanziario Italiano (Computer Emergency Response Team), iniziativa cooperativa pubblico-privata diretta dall’ABI e dalla Banca d’Italia. Tale collaborazione punta a migliorare la capacità di gestione dei rischi cyber di operatori bancari e finanziari.

L’ABI supportata dal CERTFin, negli ultimi 2 mesi di emergenza Covid-19 ha monitorato l’evoluzione degli attacchi informatici verso il settore bancario ed i clienti di home banking.

Ha attivato iniziative finalizzate a supportare gli operatori ed a rilevare eventuali nuove minacce. Ha, oltretutto, organizzato riunioni e seminari da remoto per fornire dati ed approfondimenti tecnici relativi ai nuovi fenomeni, con particolare interesse verso la continuità operativa ed il fenomeno phishing. Non ultima l’esigenza di attivare campagne di sensibilizzazione per sollecitare i dipendenti sulle misure da adottare in smart working.

Al CERTfin va aggiunto il CERTBI, vale a dire il CERT della Banca d’Italia che conduce approfondimenti mirati sulle caratteristiche delle minacce informatiche (cyber threat intelligence), anche grazie alla costante condivisione di dati con controparti fidate e partner tecnologici (infosharing).

CLIENTI DELLE BANCHE: LE REGOLE DA SEGUIRE

La sicurezza informatica è essenziale tanto per gli operatori finanziari quanto per la clientela. La cybersicurezza banche non può prescindere dalla collaborazione dei clienti.

Gestire le operazioni online in modo semplice e sicuro significa seguire queste regole:

– modificare periodicamente la password associata ad e-mail, social network, internet banking e siti per acquisti online utilizzando password differenti per ogni sito;

– collegarsi a Internet esclusivamente dal proprio PC;

– installare ed aggiornare antivirus;

– aprire le e-mail soltanto da indirizzi noti;

– limitare la diffusione di informazioni personali sul web.

Le suddette regole di sicurezza raccomandate ai clienti sono state suggerite dall’ABI in un Comunicato Stampa del 22 agosto scorso.

DUE TERZI DELLE ORGANIZZAZIONI FINANZIARIE OGGETTO DI CYBER ATTACCHI

Lo studio del Fondo monetario internazionale intitolato “Cybersecurity: A Global Threat Needs a Global Response” rivela che, nel mondo, due terzi delle organizzazioni finanziarie sono state oggetto di cyber attacchi. In pochi anni, questo tipo di minacce informatiche sono cresciute del +480% soltanto nel Regno Unito.

Da un’indagine di Boston Consulting Group del 2019 emerge che il 57% dei complessivi attacchi informatici contro banche e istituti di credito sfruttano tecniche di phishing.

Secondo un articolo pubblicato su Forbes i costi di ogni singolo attacco alle organizzazioni finanziarie sono pari a 18 milioni di dollari.

Francesco CIANO

L'articolo CYBERSICUREZZA BANCHE: STUDIO ABI LAB proviene da Più Sicurezza.

Presentata il 23 giugno scorso alla Camera dal presidente Antonello Soro, la Relazione Annuale 2019 del Garante Privacy fotografa un anno decisamente impegnativo.

Gli interventi si sono concentrati soprattutto sul graduale adeguamento al Regolamento UE (GDPR) da parte di soggetti pubblici e privati e sulle grandi questioni legate alla tutela dei diritti fondamentali delle persone nel mondo digitale.

Il 2019 è stato un anno di sperimentazione e di assestamento.

L’attività è stata svolta su diversi fronti mettendo in atto interventi per fronteggiare svariate problematiche che riguardano la protezione dei dati personali, tra cui:

– economia fondata sui dati;

– implicazioni etiche della tecnologia;

– intelligenza artificiale e algoritmi;

– big data;

– grandi piattaforme;

– sicurezza dei sistemi e protezione dello spazio cyber;

– forme di controllo e sorveglianza;

– diffusione dell’utilizzo di dati biometrici;

– fake news;

– monetizzazione dei dati personali:

– Internet of Things (IoT, Internet delle Cose):

– revenge porn.

Approfondiamo.

RELAZIONE ANNUALE 2019 DEL GARANTE PRIVACY: VIGILANZA E INTERVENTI

In termini di cybersecurity, l’attività di vigilanza e intervento del Garante Privacy si è concentrata sulla scarsa attenzione alle misure di sicurezza da parte di Pubbliche Amministrazioni, imprese e piattaforme online. Sono stati 1443 i data breach notificati lo scorso anno. Soro ha invitato il Parlamento a pensare di investire su un’infrastruttura cloud pubblica. Inoltre, ha stabilito regole per esercitare il diritto di accesso civico chiedendo maggiori tutele per coloro che denunciano illeciti tramite lo strumento del “whistleblowing“.

Per il nuovo censimento permanente, l’Autorità chiede di irrobustire la tutela dell’ingente mole di dati raccolti ed il miglioramento delle tecniche di pseudonimizzazione dei dati stessi.

Significativo anche il lavoro dell’Autorità sui possibili rischi legati all’utilizzo di assistenti digitali, installati su smartphone e presenti nelle nostre case. E’ stato firmato un protocollo d’intesa con alcuni Co.Re.Com. per combattere il cyberbullismo e sono state fornite indicazioni su come difendersi dai software dannosi, soprattutto dai ransomware, programmi che prendono in ostaggio un dispositivo allo scopo di chiedere un riscatto per liberarlo.

E’ stata potenziata la cooperazione con l’intelligence attraverso il nuovo protocollo d’intenti sulla sicurezza cibernetica firmato con il Dis.

Sul fronte del settore Giustizia, il Garante propone “misure per assicurare maggiori garanzie nell’uso dei trojan (captatori informatici) a fini investigativi” evidenziando al Ministro della Giustizia la necessità di una riforma per l’uso di questi strumenti d’indagine invasivi, considerando oltretutto i gravi rischi di un loro utilizzo distorsivo (come quelli emersi nel caso “Exodus“).

Il Garante Privacy è intervenuto con forza anche nei settori della Sanità, PA, sistema fiscale, in particolare per l’accesso all’archivio dei rapporti finanziari per l’ISEE precompilato e al sistema di fatturazione elettronica, welfare, gestione del reddito di cittadinanza.

E’ stata ulteriormente rafforzata l’attività a tutela del diritto all’oblio ed un importante capitolo ha riguardato il rapporto tra privacy e diritto di cronaca. Il Garante è intervenuto spesso per criticare gli eccessi di morbosità che caratterizzano un certo modo di fare informazione e per garantire le opportune tutele soprattutto nei confronti delle vittime di abusi sessuali (specie se minori).

VIOLAZIONI DEI DATI: SANZIONI A FACEBOOK, TIK TOK SOTTO STRETTA OSSERVAZIONE

Fra le varie sanzioni applicate nel 2019, il Garante Privacy ha ricordato quella di un milione di euro applicata a Facebook, a conclusione dell’istruttoria sulla vicenda “Cambridge Analytica”, che ha coinvolto anche cittadini italiani per violazioni online e rischi di profilazioni occulte.

Per fronteggiare pericoli similari, il social network cinese Tik Tok (usato da milioni di utenti, soprattutto giovanissimi) resta sotto osservazione: il Garante ha costituito una task force nell’ambito del Comitato europeo che riunisce tutte le Autorità privacy dell’UE (Edpb).

Restano sotto osservazione anche le misure di sicurezza implementate da piattaforme, imprese e pubbliche amministrazioni.

Il 2019 ha visto il Garante costantemente impegnato nel supportare imprese e pubbliche amministrazioni con un’intensa attività di formazione, anche tramite progetti di cooperazione internazionale (T4Data e Smedata), per la corretta applicazione del Regolamento Ue, in particolare riguardo alla nuova figura del Responsabile della protezione dei dati.

Se, nel 2019, gli attacchi informatici sono cresciuti del 91,5% nell’ambito dei servizi online e del cloud, gli atti di sabotaggio/spionaggio sono addirittura triplicati rispetto al 2018.

La pandemia Covid-19 ha ulteriormente intensificato questo fenomeno che si è rivolto ai danni di strutture sanitarie di eccellenza italiane (atti definibili ‘terroristici’).

In Italia, sono troppi i sistemi informatici vulnerabili (soprattutto quelli pubblici): il data breach dell’Inps è emblematico, in questo senso. La protezione dei dati, dei sistemi e delle infrastrutture devono costituire un obiettivo prioritario delle politiche pubbliche.

TUTELA DEI CONSUMATORI, PRIVACY E COVID-19

A tutela dei consumatori, l’Autorità ha messo in atto un significativo intervento per contrastare il telemarketing aggressivo (per cui ha applicato una sanzione di 27,8 milioni di euro e un’altra di 11,5 milioni di euro ad operatori che hanno utilizzato i dati degli abbonati senza il loro consenso).

Non ultima la questione Privacy e Covid-19. L’emergenza sanitaria ha imposto una riflessione sull’equilibrio tra diritto alla salute e tutela dei dati personali con l’uso delle tecnologie. Il presidente Antonello Soro ha rassicurato che alcune deroghe alla privacy (necessarie in tempi di emergenza) sono assolutamente temporanee. Per tutelare i consumatori, sono state varate nuove regole allo scopo di imporre trasparenza sul sistema degli algoritmi.

Soro si è dichiarato favorevole alla moratoria (proposta ma non più attuata dalla Commissione UE) sul tema del riconoscimento facciale. Spesso, si ignorano le implicazioni della biometria cosiddetta ‘facilitativa’ (dalla geolocalizzazione alla sempre più penetrante profilazione). Saranno importanti le scelte per regolare e legittimare l’uso del riconoscimento facciale a fini di Polizia.

Il Garante Privacy parla di ‘umanesimo digitale‘ sottolineando che “la protezione dati assume una sempre più insostituibile funzione di salvaguardia dello Stato di diritto, di fronte alle continue tensioni imposte dalla sinergia di tecnica, potere e persino emergenza, essendo strumento di governo non solo dell’identità individuale, ma anche dell’umanità rispetto alla potenza di calcolo”.

RELAZIONE ANNUALE 2019 DEL GARANTE PRIVACY IN CIFRE

Riportiamo i dati significativi riferiti all’attività svolta dal Garante Privacy lo scorso anno:

– 232 provvedimenti collegiali;

– 46 pareri resi in merito ad atti regolamentari ed amministrativi tra cui attività di Polizia e sicurezza nazionale, casellario giudiziale, raccolta delle impronte digitali dei dipendenti pubblici, istruzione, reddito di cittadinanza;

– 33 pareri resi ai sensi della normativa sulla trasparenza;

– 9 comunicazioni di notizie di reato (dichiarazioni e notificazioni false al Garante, inosservanze dei provvedimenti del Garante, accessi abusivi a sistemi informativi) con 36 ordinanze di ingiunzione;

– più di 8.000 riscontri forniti a segnalazioni e reclami tra cui sicurezza informatica, marketing telefonico, sanità, settore bancario e finanziario;

– 147 ispezioni effettuate anche con il contributo del Nucleo speciale tutela privacy e frodi tecnologiche della Guardia di Finanza che hanno interessato diversi settori in ambito pubblico e privato;

– 15.800 riscontri a quesiti relativi all’attività di relazione con il pubblico (tra cui questioni legate a telefonate, mail, fax e sms promozionali indesiderati, videosorveglianza, Internet, dati bancari).

ATTIVITÀ SVOLTA DAL GARANTE A LIVELLO INTERNAZIONALE

Non meno importante ed intensa è stata l’attività del Garante a livello internazionale attraverso 137 riunioni nel 2019 e diverse azioni:

– supporto all’applicazione del Regolamento UE in materia di protezione dei dati (EDPB) e dei meccanismi di cooperazione (“sportello unico”) e coerenza previsti dallo stesso Regolamento;

– attività di controllo sull’applicazione nazionale dei regolamenti Ue concernenti il sistema Schengen, Europol (Ufficio europeo di polizia) e VIS (Sistema dei visti);

– contributo nell’adozione di numerose linee guida e pareri su temi di primo piano: codici di condotta, contratti online, principi di privacy by design e by default, videosorveglianza, trasferimenti di dati verso Paesi extra-UE basati su norme vincolanti d’impresa (Bcr);

– interazione tra Regolamento europeo e Direttiva relativa al trattamento dei dati personali e alla tutela della vita privata nel settore delle comunicazioni elettroniche (direttiva e-Privacy);

– contributo all‘OCSE, incentrato soprattutto sulla sicurezza e tutela della privacy nell’economia digitale e sulla protezione dei minori online;

– attività intensificata riguardo alla collaborazione con gruppi internazionali (tra cui, Global Privacy Enforcement Network, GPEN);

– attività per il Consiglio d’Europa con il proseguimento del lavoro di follow up del Protocollo emendativo della Convenzione 108 che ha avviato la cosiddetta “Convenzione 108+”. Il Comitato consultivo della Convenzione 108 ha adottato Linee guida in tema di intelligenza artificiale e il parere sulla bozza di secondo protocollo addizionale alla Convenzione di Budapest sul cybercrime.

Francesco CIANO

L'articolo RELAZIONE ANNUALE 2019 DEL GARANTE PRIVACY proviene da Più Sicurezza.

In Italia, le misure restrittive in termini di circolazione per l’emergenza Coronavirus hanno notevolmente influito sull’andamento della criminalità. Il nostro focus presenta e analizza il Report sulla delittuosità in Italia in tempi di Covid-19 diffuso di recente.

Stiamo parlando del “Report sulla delittuosità in Italia / 1-22 marzo 2020” elaborato dal Servizio Analisi Criminale del Dipartimento della Pubblica Sicurezza Direzione Centrale della Polizia Criminale.

Le misure di contenimento e prevenzione dai rischi di contagio Covid-19 hanno creato una situazione eccezionale non solo per i cittadini italiani ma anche per i criminali.

Dal 1° al 22 marzo 2020, su tutto il territorio nazionale si è registrato un crollo dei reati (-64,2%): 52.596 delitti contro i 146.762 del 2019 (ovvero quasi centomila in meno rispetto allo stesso periodo dello scorso anno).

In compenso, purtroppo, salgono tre tipologie di crimini: usura, sequestri di persona e cybercrime.

Diamo un po’ di numeri ed analizziamo il Report.

REPORT SULLA DELITTUOSITÀ IN ITALIA IN TEMPI DI COVID-19: I DATI

Nel periodo compreso tra il 1° marzo e il 22 marzo 2020, la criminalità in Italia è generalmente crollata rispetto allo stesso periodo del 2019.

Ecco i dati più rilevanti del Rapporto:

– sfruttamento della prostituzione (-77%);

– violenze sessuali (-69,9%);

– furti in genere (-67,4%) specie in Lombardia, Lazio, Sicilia e Campania;

– omicidi volontari (-65,2%)

– furti in abitazione (-72,5%);

– furti con destrezza (-75,8%);

– rapine in uffici postali (-73,7%);

– rapine in genere (-54,4%) soprattutto in Lombardia, Lazio, Campania e Sicilia;

– spaccio di stupefacenti (-46%), in particolar modo Lazio, Campania, Lombardia e Piemonte;

– maltrattamenti in famiglia (-43,6%);

– furti e rapine alle farmacie (rispettivamente -13,8% e -24,6%);

– truffe e frodi informatiche (-63,7%) soprattutto il Lombardia, Lazio, Veneto, Sicilia e Campania.

QUANTI NON HANNO DENUNCIATO?

Il Ministero dell’Interno ha diffuso dati statistici che si basano, come sempre, su denunce effettuate.

Violenza domestica e maltrattamenti in famiglia sono da prendere con le pinze visto che le donne, in periodo di lockdown, hanno avuto difficoltà a chiedere aiuto ai centri antiviolenza o a denunciare.

Riguardo alle province con maggior numero di casi registrati (regolarmente denunciati) troviamo Napoli (-23,5%), Milano (-42,5%), Roma (-47,3%), Palermo (-3,8%) e Torino (-45,2%).

Quante vittime non hanno denunciato tra le donne che hanno subito violenza domestica?

Questa categoria di reati desta particolare allarme sociale. Su 5 omicidi commessi, 4 riguardano vittime di sesso femminile.

Stesso dicasi per le farmacie, tra le poche attività rimaste aperte, prese di mira da ladri e rapinatori ‘mascherati’.

FURTI E RAPINE AI DANNI DI FARMACIE

Il trend dei furti ai danni di farmacie (-13,8%) non trova conferma in tutte le Regioni italiane.

In alcune Regioni risultano in lieve aumento rispetto allo stesso periodo del 2019:

– Lazio (da 6 a 7) soprattutto a Roma;

– Campania (da 2 a 8) sopratutto a Napoli;

– Abruzzo (da 1 a 3);

– Liguria (da 1 a 2);

– Sardegna (da 0 a 3);

– Umbria (da 0 a 2).

Anche il trend delle rapine nelle farmacie (-24,6%), non trova conferma in tutte le Regioni.

Aumentano in:

– Lombardia (da 11 a 14) soprattutto a Milano;

– Emilia Romagna (da 1 a 6);

– Piemonte (da 1 a 3);

– Sardegna (da 0 a 2);

– Toscana (da 1 a 2);

– Liguria (da 0 a 1).

REPORT SULLA DELITTUOSITÀ IN ITALIA IN TEMPI DI COVID-19 A LIVELLO REGIONALE

Tra le Regioni che hanno registrato un maggior calo di reati, ritroviamo le prime ad aver adottato le limitazioni alla libertà di circolazione (Lombardia e Veneto).

In Lombardia, i complessivi reati calano del 70% rispetto allo stesso periodo dello scorso anno. In particolare, si registra una notevole flessione di furti, danneggiamenti, lesioni dolose, truffe e frodi informatiche. Ricordiamo, però, che la Lombardia (la Regione più popolosa d’Italia) conta il più alto numero di reati commessi in Italia (8.541) pur considerando che lo stesso periodo (1-22 marzo) dello scorso anno ne sono stati compiuti 28.476.

In generale, nell’Italia settentrionale si avverte maggiormente il decremento dei reati rispetto al meridione.

In sintesi, le Regioni che registrano un maggior decremento dei delitti sono:

– Trentino Alto Adige (-74,1%);

– Lombardia (-70%):

– Marche (-69,9%);

– Toscana (-68,2%);

– Veneto (-68%);

– Emilia Romagna (-67,3%).

Le Regioni che hanno riportato un maggior numero di reati commessi sono:

– Lombardia (8.541);

– Campania (6.208);

– Lazio (6.164);

– Sicilia (4.665);

– Piemonte (4.354).

REATI IN AUMENTO: USURA, SEQUESTRI DI PERSONA E CRIMINI ONLINE

A dispetto del generale crollo dei delitti, alcuni reati sono in aumento:

– usura (+22,2%);

– sequestri di persona a scopo estorsivo (+83,3%);

– sequestri di persona per motivi sessuali (+66,7%).

Attenzione: il decremento di truffe e frodi informatiche (-63,7%) si riferisce al periodo preso in considerazione (1-22 marzo 2020). Probabilmente, è il dato che meno si avvicina alla realtà attuale visto che, a seguito dell’emergenza Coronavirus, si è verificato un preoccupante boom di reati informatici.

La Polizia Postale segnala crimini online di vario tipo, dall’adescamento dei minori alle truffe e al cybercrime.

Negli ultimi tempi, le truffe informatiche in forma di phishing sono aumentate del 600% nel mondo, come ha riferito Nunzia Ciardi, direttore della Polizia postale e delle Comunicazioni del Ministero dell’Interno.

“Il cybercrime è particolarmente attivo nella violazione dei servizi pubblici, a cominciare dagli ospedali e dalle istituzioni sanitarie più direttamente collegate all’esigenza di fronteggiare l’emergenza” ha dichiarato Nunzia Ciardi.

Altrettanto attivo è il fenomeno di phishing con sottrazione di dati personali sensibili e sono in forte aumento anche gli attacchi alle infrastrutture informatiche.

In un anno, sono state aperte 155 indagini e sono stati denunciati 108 hacker alla magistratura.

Dopo questo Report sulla delittuosità in Italia in tempi di Covid-19,

attendiamo un rapporto accurato su un fenomeno gravissimo:

la criminalità organizzata, le proiezioni delle mafie all’estero,

le infiltrazioni criminali nel ciclo dei rifiuti,

il rischio crescente dell’infiltrazione mafiosa nell’economia legale in tempi di crisi economica.

Francesco Ciano

L'articolo REPORT SULLA DELITTUOSITÀ IN ITALIA IN TEMPI DI COVID-19 proviene da Più Sicurezza.

SMART WORKING E CYBERSICUREZZA

Nei settori che lo consentono, lo smart working è un’ottima soluzione per arginare il rischio di contagio da Coronavirus. Non salva, però, i dipendenti da altri virus, quelli cyber.

Il 73% dei dipendenti italiani che lavorano a distanza lo fanno senza nessuna indicazione, senza aver ricevuto una guida o formazione specifica sulla sicurezza informatica da parte dei datori di lavoro. Nessuna protezione dai rischi di attacchi informatici.

Pubblichiamo questo articolo dedicato allo smart working e cybersicurezza per analizzare i dati dell’ultimo report di Kaspersky che lancia l’allarme sicurezza in questo senso. Il report dal titolo “How Covid-19 changed the way people work” si basa su un sondaggio che ha coinvolto 6.000 lavoratori nel mondo (550 in Italia).

In conclusione, riportiamo consigli preziosi suggeriti dal colosso della sicurezza informatica.

SMART WORKING E CYBERSICUREZZA: LA SITUAZIONE IN ITALIA

Ecco i dati risultanti dall’ultimo report di Kaspersky:

– tre dipendenti su quattro (73%) che lavorano in smart working non hanno ancora ricevuto una formazione specifica o una guida di cybersecurity per proteggersi dai rischi cyber;

– circa un quarto (24%) dei dipendenti italiani ha ricevuto e-mail di phishing a tema Covid-19. Il download accidentale di questi contenuti malevoli può infettare i dispositivi e compromettere i dati aziendali;

– molti lavoratori in smart working hanno incrementato l’utilizzo di servizi online non approvati dai reparti IT delle loro aziende come, ad esempio, app per  videoconferenze (35%), per messaggistica istantanea (39%) o per l’archiviazione dei file (35%);

– il 68% dei dipendenti ha ammesso di usare il proprio PC per lavorare a distanza;

– il 33% ha riferito di visitare siti web per adulti accedendovi dal dispositivo usato per lavorare. Non dimentichiamo che i siti porno sono un ‘gancio’ micidiale usato dagli hacker per attirare vittime: possono rubare dati della carta di credito o ingannare gli utenti installando malware.

Una lacuna enorme, da colmare assolutamente con le opportune misure di cybersecurity, non soltanto per l’emergenza Covid-19. Lo smart working è una soluzione sempre più attraente nel mercato del lavoro, il futuro per le nuove generazioni.

LO SMART WORKING FA GOLA AI CYBER CRIMINALI

Quando un dispositivo aziendale viene portato al di fuori dell’infrastruttura di rete aziendale e connesso al Wi-Fi o a nuove reti, i rischi aumentano notevolmente.

Una rete Wi-fi non sicura, la connessione 4G e 5G fanno aumentare il rischio di infezione (da malware, ransomware, spionaggio aziendale). Possono essere infettati anche diversi programmi, open-source e gratuiti che consentono la comunicazione da remoto.

A peggiorare la situazione, in caso di smart working, è l’utilizzo di dispositivi personali a scopi lavorativi concesso da molte aziende. Il phishing rischia di infettare ancor più i device personali (con software obsoleto, vulnerabilità non aggiornate).

La difficoltà di mettere in sicurezza e tracciare i dispositivi nonché il controllo decentralizzato dell’IT generano ulteriori rischi rendendo il sistema di sicurezza ancora più vulnerabile.

In passato, ancor prima del lockdown, i cyber criminali hanno usato diversi metodi per colpire i dipendenti in smart working.

Giampaolo Dedola, security researcher at GReAT di Kaspersky, ha dichiarato che gli hacker approfitteranno della situazione di trasferimento di massa improvviso e urgente per attaccare qualsiasi vulnerabilità.

L’utilizzo di dispositivi mobili personali, la connessione ad un’ampia gamma di servizi cloud e l’installazione di software sono la nuova sfida per gli amministratori di IT nel contesto dello smart working.

SOFTWARE PER CONNESSIONE AL DESKTOP DA REMOTO E TECNOLOGIA VPN

A seguito dell’emergenza Covid-19 molte aziende hanno dovuto installare urgentemente software per connessione al desktop da remoto. Gli esperti di sicurezza non amano questo genere di software, gli hacker sì.

A livello mondiale, dall’inizio di marzo, si registra un aumento importante degli attacchi informatici alle porte aperte tramite l’RDP, il protocollo di connessione da remoto maggiormente in uso.

Il problema è anche un altro e riguarda i lavoratori. Spesso, quando si collegano da una connessione remota alla rete aziendale, i dipendenti non valutano altre eventuali apparecchiature connesse al router di casa. Un’aspirapolvere smart, per esempio: il router potrebbe non essere abbastanza protetto o infetto a causa delle vulnerabilità del firmware.

I dispositivi utilizzati per lo smart working possono comunicare con la rete aziendale su un canale sicuro grazie alla tecnologia VPN (Virtual Private Networks), che ‘vieta’ per principio le connessioni dirette alla rete aziendale stessa.

Purtroppo, secondo il report di Kaspersky, soltanto il 53% dei dipendenti utilizza una VPN per connettersi alla rete aziendale.

SMART WORKING E CYBERSICUREZZA: CONSIGLI AI DIPENDENTI DA KASPERSKY

Kaspersky dà alcuni suggerimenti ai dipendenti per proteggere sia se stessi sia l’azienda per cui lavorano.

Ecco quali sono:

– aggiornare regolarmente i software ed il sistema operativo;

– configurare la cifratura della connessione Wi-fi per impedire ai cyber criminali di connettersi alla vostra rete Wi-fi o di insinuarsi nel vostro router. Esistono vari standard di cifratura per le reti Wi-fi: il migliore è lo standard WPA2. Inserite una password robusta;.

– cambiare username e password del router se non lo avete mai fatto perché le password di default sono deboli e facilmente reperibili su Internet;

– utilizzare una VPN in spazi di coworking e in locali pubblici perché le reti Wi-fi pubbliche spesso non sono cifrate;

– bloccare lo schermo del vostro dispositivo prima di allontanarvi per una pausa;

– utilizzare i servizi aziendali per messaggi, e-mail, altro. L’azienda deve definire una serie di servizi IT che i dipendenti possono usare (come Microsoft Office 365, sistemi di messaggistica aziendale come Slack o HipChat e una casella di posta aziendale). Tutti questi strumenti vengono configurati dalla divisione IT dell’azienda, quindi usate questi, inclusi drive su cloud configurati per il business;

– verificare sempre e con cura le e-mail in arrivo ed essere in grado di riconoscere l’e-mail di phishing. Verificate bene l’identità del mittente prima di rispondere, se avete dubbi chiedete conferma al vostro capo prima di procedere. Diffidate soprattutto di e-mail che contengono link;

– utilizzare possibilmente sempre portatili e telefoni aziendali protetti da adeguate soluzioni di sicurezza che consentano la cancellazione da remoto dei dati aziendali, la separazione tra dati aziendali e personali, restrizioni su dove installare applicazioni. Se siete costretti ad usare dispositivi personali, bisogna indicare una politica BYOD per la gestione dei dati aziendali presenti nei dispositivi.

SMART WORKING E CYBERSICUREZZA: I CONSIGLI DI KASPERSKY ALLE AZIENDE

Kaspersky, nel suo report, per colmare eventuali lacune di sicurezza IT, fornisce alcuni consigli per aiutare le aziende:

– Fare in modo che i dipendenti possano lavorare in sicurezza da remoto e sappiano a chi rivolgersi in caso di problemi di sicurezza informatica;

– Pianificare una formazione di base sulla sicurezza per i dipendenti attraverso training online che includano pratiche per la gestione della password e degli account, sicurezza del PC, posta elettronica, navigazione su Internet;

– Assicurarsi che tutti i dispositivi, applicazioni, software e servizi siano costantemente aggiornati;

– Adottare misure di protezione dei dati (protezione password, completamento del backup dei dati, crittografia dei dispositivi);

– Eseguire un doppio controllo della protezione dei dispositivi mobili. E’ necessario abilitare le funzionalità antifurto (posizione remota del dispositivo, blocco e cancellazione dei dati, blocco dello schermo e password, Face ID o Touch ID) ma bisogna abilitare anche il controllo delle applicazioni per essere sicuri di installare solo quelle della white list.

– Installare un software di protezione sicuro su ogni endpoint (inclusi i dispositivi mobili) ed attivare il firewall. Un buon sistema di sicurezza include la protezione dalle minacce web e dal phishing tramite e-mail.

Ci sarebbe molto altro da consigliare alle aziende…

Più Sicurezza ha inaugurato la sua nuova attività nel campo della

CYBERSECURITY CLASS.

Per informazioni, consigli e consulenza non esitare a contattarci.

L'articolo SMART WORKING E CYBERSICUREZZA proviene da Più Sicurezza.

VI PRESENTO CAVEAU 3D

Dopo mesi passati a pensarla, progettarla e poi realizzarla, finalmente è pronta la nostra sala sensoriale chiamata Caveau 3D, un luogo ove è possibile testare e toccare con mano gli ultimi ritrovati nel capo della sicurezza hi-tech.

Ne ho parlato oggi durante la mia rubrica ” L’Accademia del Ladro” su Radio Dream on Fly.

Ascolta il podcast e fammi sapere cosa ne pensi!

Ciao

 

L'articolo VI PRESENTO CAVEAU 3D proviene da Più Sicurezza.

L'articolo SICUREZZA E SMART WORKING proviene da Più Sicurezza.

La crisi economica e sociale scaturita dall’emergenza sanitaria Covid-19 mette a dura prova le democrazie liberali in tutto il mondo. Sicurezza e Privacy in periodo di pandemia Coronavirus intensificano il dibattito già noto della ‘sicurezza contro i diritti individuali’.

Un agente patogeno nemico della salute pubblica porta ad un effetto immediato: difendersi, evitare il contagio, proteggere i cittadini più deboli. Noi cittadini italiani abbiamo accettato le restrizioni per contribuire ad arginare il contagio e, nel frattempo, l’economia va a rotoli.

Crollo dei mercati, lavoro perso, cassa integrazione, attività a rischio chiusura. E’ necessario preservare i principi essenziali del nostro ordinamento, trovare soluzioni per non snaturare il significato stesso di democrazia pensando o accettando norme liberticide. Tutto questo senza trasgredire alle necessarie regole restrittive per garantire la sicurezza sanitaria in Italia.

Più Sicurezza fonda la sua attività sulla tecnologia buona, su dispositivi di ultima generazione il cui utilizzo è finalizzato alla protezione dei cittadini dalla criminalità. Dati personali inclusi, nel pieno rispetto della privacy.

Un governo democratico va immaginato come un’azienda o una famiglia: deve saper fornire SOLUZIONI per mantenere l’equilibrio sicurezza/privacy. Anche la corretta informazione fa parte della sicurezza di un Paese.

L’Italia, il mondo intero sta cambiando con la pandemia Covid-19. L’utilizzo della tecnologia è aumentato a livello esponenziale. E’ sempre più presente nelle nostre vite a causa del distanziamento sociale e ben venga. Quello che fa storcere il naso è il controllo di massa, la sorveglianza totalitaria come il modello cinese. Un controllo che poco c’entra con la protezione dei cittadini e a cui diciamo NO.

Sicurezza e Privacy in periodo di pandemia: esiste un Sistema/Paese in Italia?

Il modello che vogliamo noi italiani, per armonizzare Sicurezza e Privacy in periodo di pandemia, deve rappresentare un patto sociale tra Stato e cittadini.

Cosa succederà alla fine del lockdown?

Un primo assaggio lo abbiamo avuto in questi giorni. Dopo due mesi e mezzo di quarantena (ovvero ‘settantena’), abbiamo visto italiani storditi, preoccupati e anche sfiduciati tornare lentamente al lavoro. Dopo la segregazione in casa, non siamo tornati alla solita quotidianità e non sappiamo per quanto tempo ancora dovremmo vivere in questo clima di diffidenza, distanziamento sociale, pressioni necessarie, tracciamenti, controlli. Vittime di un virus eppure, alla minima disattenzione sono multe, sanzioni come se fossimo noi gli autori di tutto questo.

La paura del contagio, l’impreparazione ad affrontare una pandemia dimostrata da tutti (ospedali e governo inclusi) si arrende di fronte a qualsiasi imposizione.

Non ci auguriamo né troppa arrendevolezza né rivolte sociali. Il governo è lì per noi, nel bene e nel male. Tutti dobbiamo contribuire ad arginare il contagio, resistere, essere meno ‘sociali’, ma è impossibile fermare l’economia.

Una cosa l’abbiamo appresa, nel frattempo: non esiste un Sistema-Paese in Italia capace di fronteggiare il problema con capacità operativa, esperienza, rapidità di adattamento, decisioni politiche libere (senza ricorso a task force con scarse esperienze pratiche).

Per ‘sperare’ ancora in un paese democratico, la fiducia nelle istituzioni è tutto. E’ possibile superare la crisi pandemica soltanto facendo squadra. A partire dall’app Immuni da scaricare su base volontaria per tracciare i contagi. Per funzionare davvero, l’app Immuni dovrebbe essere scaricata da tutti. Resta il fatto che tutti dovrebbero farlo mossi da una fiducia profonda nello Stato, nelle istituzioni e nella sanità pubblica.

Come verranno trattati i dati sanitari? I nostri dati rischiano di finire nelle mani di cybercriminali?

Sicurezza e Privacy in periodo di pandemia: i dati sanitari

In tempi di pandemia da Covid-19, l’attenzione su Sicurezza e Privacy si intensifica riguardo al fenomeno del cybercrime che interessa il settore sanitario.

I nostri dati sanitari, insieme a quelli dei medici e degli operatori sanitari in genere, si rivelano sempre più appetibili ai criminali della rete.

Sulla base dell’ultimo rapporto CLUSIT, il settore sanitario è al terzo posto nella classifica della cyber criminalità e attacchi hacker.

Le infrastrutture sanitarie sono particolarmente esposte ad attacchi cibernetici per diversi motivi.

I dati sanitari fanno gola ai criminali per svariati scopi illeciti ai danni sia di pazienti sia di medici:

– attacchi di phishing e malware;

– frodi;

– furti d’identità;

– attacchi ransomware contro strutture ospedaliere che paralizzano le loro attività: gli hacker ricattano a scopo estorsivo chiedendo denaro in cambio dello sblocco;

– spionaggio, sabotaggio e auto-finanziamento tramite crimini informatici da parte di mercenari al servizio dei governi. Questi hacker vanno a caccia di progetti, brevetti, risultati di sperimentazioni di farmaci o vaccini. Possono anche sabotare creando disinformazione per destabilizzare il contesto politico di un paese avversario. Cybercriminali di questo tipo operano per governi anche allo scopo di rubare informazioni e rivenderle per autofinanziare governi sottoposti a sanzioni.

Lo scenario è allarmante.

Se, nel dark web, una cartella clinica può valere 70-150 dollari, certi documenti dei medici (diplomi, assicurazioni, licenze, autorizzazioni sanitarie) possono essere venduti a 500 dollari. Consentono al criminale di rubare l’identità di un medico per realizzare frodi (richieste di risarcimento assicurativo o prescrizioni di farmaci come oppioidi).

In tempi di Coronavirus, aziende sanitarie, aziende di cybersecurity, agenzie governative e Forze dell’Ordine devono lavorare insieme per assicurare maggiore protezione.

Fase 2: l’incertezza, nemica di tutti

L’emergenza Coronavirus in Italia è scattata attraverso contromisure inadeguate, tardive e contraddittorie. Inizialmente, nonostante la dichiarazione dello stato di emergenza pubblicata in Gazzetta Ufficiale l’1 febbraio scorso (n.26), l’informazione pubblica è risultata rassicurante, asettica e contraddittoria. Tutto questo ci ha disorientato e non ha permesso un intervento tempestivo per fronteggiare il problema.

Poi, di colpo, il panico ed il ricorso a comitati e task force le cui esperienze pratiche sono state smentite dagli stessi operatori sanitari impegnati in prima linea per combattere il coronavirus.

Si è assistito al palese disaccordo tra Stato e Regioni riguardo ai provvedimenti normativi e sanitari da adottare nella Fase 1 e nella Fase 2, che ha dimostrato scarsa compattezza istituzionale creando incomprensioni e sconcerto tra i cittadini.

Sono stati attuati provvedimenti restrittivi delle libertà costituzionali: a lungo andare, a colpi di sanzioni, hanno scatenato perfino la protesta sui social di appartenenti alle Forze dell’Ordine con l’hashtag  “#IoNonSanziono”.

La mancanza di linee guida convergenti, mirate a conseguire obiettivi comuni e coerenti, l’assenza di un pensiero permanente ha contribuito a creare incertezza.

Viviamo la Fase 2 nell’incertezza.

L‘incertezza è la nemica di tutti come i virus. Nell’incertezza e nell’illusione che tutto sia tornato come prima, si rischia di ricadere in una seconda ondata di contagi.

Con la Fase 1 abbiamo capito che:

– è fondamentale proteggere preventivamente i soggetti più deboli ed esposti al rischio contagio attraverso misure sanitarie specifiche;

– bisogna attuare una strategia mirata valutando chiusure ed aperture delle attività in base ai territori, alle condizioni effettive di sviluppo dei contagi. Mettere in atto una politica indifferenziata non serve a nulla, a parte far crollare ulteriormente l’economia nazionale;

– è essenziale conoscere la reale portata del contagio, magari eseguendo nel minor tempo possibile il prelievo sierologico a gran parte della popolazione italiana.

Non bastano le multe per fermare il contagio. Così come è inutile e dannoso scarcerare 500 boss mafiosi per ‘risolvere’, anzi nascondere, la condizioni disumane in cui versano le carceri italiane. Scarcerare boss mafiosi – in un momento in cui le attività di tanti imprenditori in crisi rischiano di cadere nelle mani delle mafie – è di cattivo gusto.

Allarme usura in Italia: le attività rischiano di finire in mano alle mafie

In Italia, è allarme usura: l’ha annunciato Luigi Ciatti, presidente dell’Ambulatorio Antiusura di Confcommercio Roma.

Il fenomeno usura registra un aumento del 30% tra marzo e aprile. A maggio potrebbe toccare il +50%.

Le attività rischiano di finire in mano alla criminalità organizzata.

Tante imprese, messe in ginocchio dal lockdown, versano in situazioni disperate. Al crollo delle liquidità e delle entrate corrispondono uscite che continuano a correre (affitti, dipendenti, utenze, fornitori). Imprese, negozi, attività commerciali hanno bisogno di liquidità immediata che non arriva dallo Stato.

Piccole e medie imprese, illuse di poter contare sul sostegno economico-finanziario statale nell’immediato, stanno ancora aspettando a causa delle lungaggini burocratiche e del tornaconto del sistema bancario. La banche travolte dalle richieste non sono state svincolate da tutte le procedure e le norme dei tempi ordinari.

L’intervento dello Stato ha offerto, finora, uno strumento inadeguato. Due mesi e mezzo di lockdown e i soldi non arrivano.

Il rischio è che, quando arriveranno gli aiuti del Decreto Rilancio, andranno in mano alle mafie.

Chi ha un’attività si trova di fronte a tre possibilità: o chiude o si rivolge ad un usuraio oppure cede l’attività ai criminali. La terza non è una chance ma l’inevitabile conseguenza del fatto che chi fa ricorso a prestiti illegali non sarà in grado di restituirli. Il debito usuraio cresce nel silenzio.

A questo allarme usura si associa Luigi Cuomo, presidente di Sos Impresa, che lancia un appello rivolto a tutti: “Non gestite la situazione da soli. Chiedete aiuto alle associazioni antiusura perché questo prestito che sembra salvifico non fa che aggravare la situazione“.

Senza contare l’allarme suicidi tra gli imprenditori.

Tutto questo dimostra che in Italia non esiste un vero Sistema/Paese.

A che punto siamo con la sicurezza cibernetica?

Che dire della sicurezza cibernetica a tutela dei nostri interessi individuali e nazionali? Scarsa, poco efficace, inadeguata sia nel campo della didattica sia in quello della sicurezza e violazione della privacy.

Una grave lacuna in un periodo di crisi che richiede un rafforzamento della cultura digitale, visto che dobbiamo affidarci alla tecnologia (dallo smartworking alle strategie sanitarie).

A proposito di smartworking: un sondaggio condotto da Kaspersky ha svelato, di recente, che il 73% dei dipendenti che lavorano in smartworking ignora la cybersicurezza. I dipendenti si salvano dal rischio contagio da Coronavirus ma non si salvano da altri virus, quelli cyber. Non hanno ricevuto indicazioni, guide o formazione da parte delle aziende. Nessuna protezione dai rischi online.

L’indagine riferisce che circa un quarto (24%) dei dipendenti italiani ha già ricevuto e-mail di phishing a tema Covid-19. Il download accidentale di contenuti malevoli da questo tipo di email – secondo gli esperti – può infettare i dispositivi e compromettere i dati aziendali.

In più, i dipendenti hanno dichiarato di aver incrementato l’utilizzo di servizi online non approvati dai reparti IT delle loro aziende come, ad esempio, app per videoconferenze (35%), per messaggistica istantanea (39%) o per l’archiviazione dei file (35%).

Una lacuna da colmare assolutamente con le opportune misure di cybersecurity.

Sicurezza e Privacy in periodo di pandemia: ai margini della dittatura digitale

Un articolo illuminante ci ha particolarmente colpito. Gli autori sono Claudio Masci, Ufficiale dei Carabinieri proveniente dall’Accademia Militare di Modena, Pino Bianchi, architetto, esperto in risk management, e Antioco, esperto in consulenza direzionale e sviluppo dei mercati. L’articolo in questione è stato pubblicato il 18 maggio scorso sul sito difesaesicurezza.com a cura di Francesco Bussoletti.

Affronta un tema importante, che non ha nulla a che vedere con il complottismo, anzi combatte apertamente la disinformazione.

Senza il giusto intervento nella delicata Fase 2, l’Italia (come qualsiasi altro Paese) potrebbe rischiare di finire ai margini del futuro “nuovo ordine mondiale tecnologico” in cui il frenetico sviluppo della IA (Intelligenza Artificiale) ha già messo sotto “dittatura digitale” il popolo cinese, pronta ad espandersi in direzione di Asia Centrale, Medio Oriente, Africa ed Europa.

Sistemi autonomi che si muovono al centro della cosiddetta InfoWar, la guerra delle informazioni. Si stanno sviluppando IA tramite computer quantistici che finiranno nelle mani di un centinaio di “big farm”. Utilizzano freddi software mossi da algoritmi formulati in base ad esigenze strategiche e profitto, non per risolvere problemi esistenziali dell’umanità.

Senza più il senso dello Stato e di Unità Nazionale, di fronte a questa prospettiva, cosa sarà in grado di fare l’Italia?

‘Etica algoritmica’ a tutela delle persone

Oggi, è impossibile pensare ad un mondo senza tecnologia, ma non bisogna mai dimenticare che i computer rappresentano lo strumento e la mente umana il soggetto, l’elemento centrale.

Ciò che bisogna sviluppare, oltre ad algoritmi economici, sono algoritmi con valori etici.

Conoscenza e coscienza devono restare indivisibili anche nell’era della tecnologia. L’Intelligenza Artificiale deve essere dotata di un’etica algoritmica grazie alla collaborazione di filosofi, giuristi, letterati, alla fusione di nozioni scientifiche ed umanistiche.

Lo scienziato Albert Einstein ha espresso questo concetto scrivendo: “I computer sono incredibilmente veloci, accurati e stupidi. Gli uomini sono incredibilmente lenti, inaccurati e intelligenti. L’insieme dei due costituisce una forza incalcolabile”.

Maggiore è la conoscenza, più alto dovrà essere il grado di autocoscienza e di etica algoritmica per impedire l’utilizzo distorto (a fin di male) dell’IA.

L’Intelligenza Artificiale deve operare a tutela delle persone, non con il loro assoggettamento al Nuovo Medio Evo.

Nel frattempo, l’Italia deve costruire un Sistema/Paese solido, pronto ad affrontare le criticità e l’eventualità di una dittatura digitale.

La pandemia è l’occasione giusta per ricostruire l’Italia a tutela della società e delle persone. La sicurezza del nostro Paese non deve essere delegata ma partecipata. Ognuno di noi è responsabile di se stesso e degli altri.

Un consiglio:

cerchiamo di dimostrare all’Intelligenza Artificiale

che la nostra intelligenza naturale dispone già di un’etica algoritmica.

Francesco Ciano

L'articolo SICUREZZA E PRIVACY IN PERIODO DI PANDEMIA proviene da Più Sicurezza.

Da qualche tempo, abbiamo iniziato a sentir parlare di Cyber Security, anche se questa attività esiste da tempi remoti.

Oggi, con la grande diffusione di apparati tecnologici (Smartphone) e di piattaforme digitali (Social Media), i truffatori della rete spopolano sempre più.

Le attività di hackeraggio sono rivolte non solo a grandi aziende e siti istituzionali, le attività di hacking coinvolgono tutti noi e su più fronti.

Nonostante tutte le precauzioni che possiamo attuare per proteggere i nostri dati contenuti nei nostri account, i male intenzionati sembrano essere sempre un passo avanti, ed è per questo motivo che è necessario proteggersi bene, iniziando dal compiere attività semplici ma efficaci, sino ad arrivare a progettare e realizzare dei veri propri e sistemi di protezione.

Nei giorni scorsi, tutto lo staff tecnico, commerciale ed amministrativo di Più Sicurezza ha completato il corso di formazione in Cyber Security, per poter mettere in campo una nuova risorsa volta a difendere e proteggere le nostre vite.

Per saperne di più, visita la sezione del nostro sito che è stata creata appositamente oppure contattaci subito:

Telefonando al 800.96.70.78

Scrivendo a info@piusicurezza.com

Oppure compilando il form sottostante

[activecampaign form=3]

Francesco Ciano

L'articolo VI PRESENTIAMO CYBER SECURITY CLASS proviene da Più Sicurezza.

La guida europea agli standard per i dispositivi medici è una questione di estrema urgenza. In questo focus analizziamo i dettagli delle linee guida europee nel connubio Cyber security e Sanità digitale.

Quello ospedaliero è uno dei settori maggiormente presi di mira dagli attacchi cyber in grado di compromettere non soltanto l’efficienza dei processi ma la salute dei cittadini.

Dispositivi medici digitali vulnerabili mettono a rischio pazienti ed operatori.

Ecco perché il Medical Device Coordination Group della Commissione UE il 9 gennaio 2020 ha pubblicato una guida agli standard di sicurezza per chi produce dispositivi medici.

E’ giunto il momento anche per l’Italia di adottare un Common Framework personalizzato, in grado di garantire erogazione delle cure e protezione della filiera.

Quali sono le conseguenze di un attacco cyber alla Sanità digitale?

Quali sono gli standard di sicurezza proposti dalla guida europea?

CYBER SECURITY E SANITÀ DIGITALE: CONSEGUENZE E DANNI ECONOMICI DEGLI ATTACCHI INFORMATICI

Il settore ospedaliero è uno dei più bersagliati eppure tarda ad implementare misure di cybersicurezza adeguate. La minaccia cyber è in costante aumento ed è responsabile non solo di rallentamenti del sistema ma anche di danni economici. Tutto questo interferisce nell’erogazione di cure mediche.

Il ritardo nell’adottare appropriate misure di sicurezza informatica nei software meditech è dovuto alla mancanza di linee guida specifiche nel settore sanitario.

Ora, la Commissione UE è pronta a fornire le linee guida che mancavano con standard di cyber security specifici per dispositivi medici in Europa.

Negli ultimi anni, un numero sempre crescente di attacchi cyber hanno causato nel settore sanitario ed ospedaliero malfunzionamenti, rallentamenti nell’erogazione dell’assistenza sanitaria, pesanti perdite economiche e reputazionali.

Nel settore ospedaliero, un cyber attacco può mettere a rischio la confidenzialità del dato sanitario violando la riservatezza, togliendo ai legittimi titolari dei dati la possibilità di accedere al dato stesso con tutte le conseguenze che può avere sulla salute del paziente.

I dati medici rappresentano un target appetibile per i cyber criminali. Si possono ricavare ingenti profitti dalla vendita di dati sanitari al mercato nero.

Nel 2018, l’HIPAA (Health Insurance Portability and Accountability Act) ha riportato questi dati: sottrazione ed esposizione di 13.020.821 cartelle sanitarie. Ogni singola cartella può essere facilmente venduta nel deep web al prezzo di circa 50 dollari.

Negli USA, è stato stimato che un singolo data breach può costare alla vittima fino a 7 milioni di dollari. Il costo delle attività cyber contro la filiera sanitaria ha superato la soglia dei 400 miliardi di dollari all’anno.

E in Italia? Nel nostro Paese, secondo l’ultimo rapporto del Clusit, tra il 2017 e il 2018 gli attacchi cyber contro il settore sanitario e ospedaliero sono cresciuti del 99%: in media, il costo per ogni incidente sale del 7% ogni anno.

CYBERSECURITY ACT: IL REGOLAMENTO UE

Prima di descrivere la nuova guida europea agli standard di sicurezza per chi produce dispositivi medici, spieghiamo bene quale documento UE regola, attualmente, la cyber sicurezza in genere.

Il 27 giugno 2019 è stato reso esecutivo il Regolamento UE 2019/881, meglio noto come Cybersecurity Act che sottolinea l’importanza di reti, sistemi informativi e servizi di comunicazione elettronica. Oggi rappresentano “i pilastri della crescita economica”, “sono alla base dei sistemi complessi su cui poggiano le attività quotidiane della società, fanno funzionare le nostre economie in settori essenziali quali sanità, energia, finanza e trasporti”.

Il CyberSecurity Act contribuisce a rafforzare il ruolo dell’ENISA e la certificazione della sicurezza nei prodotti, servizi e processi relativi alle tecnologie dell’informazione e delle comunicazioni (TIC).

PER LA SANITÀ DIGITALE SERVE UN PIANO MIRATO

Esiste il Cybersecurity Act ma per la Sanità digitale serve un piano mirato che preveda strategie gestionali per trattare aspetti unici della filiera.

La questione è che, a differenza di altri settori, l’ambito sanitario utilizza una vasta gamma di tecnologie: non solo sistemi IT ma dispositivi medici che adottano l’IoMT (Internet of Medical Things) connessi ad Internet e, perciò, maggiormente esposti a cyber attacchi esterni. Le strategie mirate di cyber sicurezza per la sanità digitale devono prevedere una protezione multidimensionale considerando tecnologie molto diverse tra loro.

Esiste una grande interconnessione tra le varie figure che costituiscono il tessuto sanitario ed uno scambio negli ospedali di enormi quantità di informazioni spesso conservate in banche dati comuni (ad esempio, la cartella clinica informatizzata a cui possono accedere vari soggetti sanitari).

Questo sistema, utilissimo per l’attività degli operatori sanitari, rappresenta un fattore di rischio in termini di cybersicurezza. Va da sé che un framework di cyber security efficace deve essere flessibile nonché applicabile a realtà diverse.

Il problema della cyber sicurezza nel settore sanitario e ospedaliero è una questione complessa che va trattata ad hoc.

Attualmente, in Italia, Confindustria Digitale ha attivato un tavolo di lavoro mirato alla definizione di un Common Security Framework (CSF). L’obiettivo è creare un sistema  organizzativo e metodologico che, attraverso un linguaggio comune, indichi come strutturare a livello di gestione gli aspetti di cyber sicurezza dei vari soggetti che fanno parte del tessuto ospedaliero (tecnici, direttori sanitari, manager, ecc.).

Tale strumento è complementare alla disciplina riguardante la PA, il GDPR e la Direttiva NIS 2016/1148 (Network and Information Security) recepita col DL 18 maggio 2018 n.65 (entrato in vigore il 24 giugno 2018).

NUOVI STANDARD PER I DISPOSITIVI MEDICI: LA GUIDA EUROPEA

Cyber security e Sanità digitale sono una questione urgente.

Il Medical Device Coordination Group della Commissione UE ha pubblicato un documento intitolato “Guidance on Cyber security for medical devices“.

Questa guida racchiude in sé i nuovi requisiti di sicurezza per tutti i dispositivi che integrano sistemi e software programmabili. Requisiti che impongono ai produttori di device di seguire principi di gestione dei rischi avanzati. Stabiliscono soglie minime per le misure di cyber security, inclusa la protezione contro l’accesso non autorizzato.

Con questa guida i produttori di dispositivi medici vengono preparati a soddisfare i requisiti di cyber sicurezza pre-mercato e post-mercato dell’European Medical Devices Regulation – MDR (entrato in vigore il 25 maggio 2017) e del regolamento UE 2017/746 (entrato in vigore il 26 maggio 2017).

Si tratta di un documento di 47 pagine che revisiona radicalmente le normative dell’UE sui dispositivi medici riclassificando numerosi dispositivi ad un livello di rischio più elevato. Entrerà in vigore il 26 maggio 2020.

La parola d’ordine è: dispositivi medici sicuri ed efficaci.

L’obiettivo di questa guida europea è anche un altro: coprire la catena di approvvigionamento dal produttore all’utente finale (inclusi importatore e distributore).

A livello dell’Unione Europea, andrebbe menzionato anche il regolamento UE sulla cyber sicurezza 2019/881. Regolamento che introduce un quadro di certificazione in riferimento a prodotti, servizi e processi TIC (tecnologie dell’informazione e della comunicazione)

CYBER SECURITY E SANITÀ DIGITALE EUROPEA: TUTTI I PUNTI

I temi specifici del Medical Device Coordination Group per la sicurezza informatica sono:

– privacy e protezione dei dati;

– indagini cliniche condotte allo scopo di mostrare la conformità dei dispositivi;

– valutazione della conformità;

– sistemi di sorveglianza post-mercato;

– piani e rapporti, rapporti periodici di aggiornamento sulla sicurezza;

– rapporti e analisi di incidenti gravi e correttivi di sicurezza;

– reportistica di tendenza, documentazione tecnica, valutazione clinica e follow-up post-mercato.

Francesco Ciano

L'articolo CYBER SECURITY E SANITÀ DIGITALE: STANDARD PER I DISPOSITIVI MEDICI proviene da Più Sicurezza.