INDO - Guzzo Antonio 27-2-18

LE MISURE ADEGUATE DI
SICUREZZA GDPR
“Le misure di sicurezza nell’era del

Regolamento Europeo sul Data Protection”
Dott. Antonio Guzzo

DPO CERTIFIED
Sommario
o Il concetto di sicurezza informatica

o Le misure di sicurezza GDPR 679/2016
o Il data Breach
o Le minacce informatiche
o Il log manager
o Il cloud
La sicurezza informatica
• Per sicurezza informatica intendiamo secondo
wikipedia ”quella branca dell'informatica che si occupa
della salvaguardia dei sistemi informatici da potenziali
rischi e/o violazioni dei dati. I principali aspetti di
protezione del dato sono la confidenzialità, l'integrità e
la disponibilità”. Ma tale definizione dataci da wikipedia
non si applica al contesto ambientale in cui andiamo ad
operare. Per cui la definizione di sicurezza informatica è
la seguente:
• la sicurezza informatica è quando un sistema si

comporta come noi ci aspettiamo.
La normativa
Le misure minime di sicurezza e il GDPR
Il 4 aprile 2017 è stata pubblicata, sulla Gazzetta

Ufficiale n. 79, la circolare AgID n.1/2017
contenente le misure minime di sicurezza ICT.
I livelli di applicazione
È quello al quale ogni azienda/pubblica
amministrazione, indipendentemente dalla
Minimo sua natura e dimensione, deve
necessariamente essere o rendersi conforme.
Può essere assunto come base di riferimento

Standard nella maggior parte dei casi.
Deve essere adottato dalle organizzazioni

maggiormente esposte a rischi (ad esempio
Avanzato per la criticità delle informazioni trattate o
dei servizi erogati), ma anche visto come
obiettivo di miglioramento da parte di tutte
le altre organizzazioni.
I°/II°
Le classi di misure
In questo quadro diviene fondamentale la

rilevazione delle anomalie operative e ciò rende
conto dell’importanza data agli inventari, che
costituiscono le prime due classi di misure,
nonché la protezione della configurazione, che è
quella immediatamente successiva.
Le classi di misure
La quarta classe deve la sua priorità alla duplice
rilevanza dell’analisi delle vulnerabilità.
In primo luogo le vulnerabilità sono l’elemento

essenziale per la scalata ai privilegi che è
condizione determinante per il successo
dell’attacco; pertanto la loro eliminazione è la
misura di prevenzione più efficace.
Le classi di misure
La quinta classe è rivolta alla gestione degli
utenti, in particolare gli amministratori.
La sesta classe deve la sua considerazione al

fatto che anche gli attacchi complessi prevedono
in qualche fase l’installazione di codice malevolo
e la sua individuazione può impedirne il successo
o rilevarne la presenza.
Le classi di misure
Le copie di sicurezza, settima classe, sono alla
fine dei conti l’unico strumento che garantisce
il ripristino dopo un incidente.
L’ultima classe, la Protezione dei Dati, deve la

sua presenza alla considerazione che l’obiettivo
principale degli attacchi più gravi è la sottrazione
di informazioni.
Il dettaglio delle diverse classi di misura
INVENTARIO DEI DISPOSITIVI AUTORIZZATI E NON AUTORIZZATI
Gestire attivamente tutti i dispositivi hardware sulla rete (tracciandoli, inventariandoli e
mantenendo aggiornato l’inventario) in modo che l’accesso sia dato solo ai dispositivi autorizzati,
mentre i dispositivi non autorizzati e non gestiti siano individuati e sia loro impedito l’accesso
INVENTARIO DEI SOFTWARE AUTORIZZATI E NON AUTORIZZATI

Gestire attivamente (inventariare, tracciare e correggere) tutti i software sulla rete in modo che sia
installato ed eseguito solo software autorizzato, mentre il software non autorizzato e non gestito
sia individuato e ne venga impedita l’installazione o l’esecuzione
PROTEGGERE LE CONFIGURAZIONI DI HARDWARE E SOFTWARE SUI DISPOSITIVI MOBILI,

LAPTOP, WORKSTATION E SERVER
Istituire, implementare e gestire attivamente (tracciare, segnalare, correggere) la configurazione di
sicurezza di laptop, server e workstation utilizzando una gestione della configurazione e una
procedura di controllo delle variazioni rigorose, allo scopo di evitare che gli attacchi informatici
possano sfruttare le vulnerabilità di servizi e configurazioni.
VALUTAZIONE E CORREZIONE CONTINUA DELLA VULNERABILITÀ
Acquisire, valutare e intraprendere continuamente azioni in relazione a nuove
informazioni allo scopo di individuare vulnerabilità, correggere e minimizzare la
finestra di opportunità per gli attacchi informatici.
USO APPROPRIATO DEI PRIVILEGI DI AMMINISTRATORE

Regole, processi e strumenti atti ad assicurare il corretto utilizzo delle utenze
privilegiate e dei diritti amministrativi.
DIFESE CONTRO I MALWARE

Controllare l’installazione, la diffusione e l’esecuzione di codice maligno in diversi
punti dell’azienda, ottimizzando al tempo stesso l’utilizzo dell’automazione per
consentire il rapido aggiornamento delle difese, la raccolta dei dati e le azioni
correttive.
COPIE DI SICUREZZA
Procedure e strumenti necessari per produrre e mantenere copie di
sicurezza delle informazioni critiche, così da consentirne il ripristino in caso
di necessità.
PROTEZIONE DEI DATI

Processi interni, strumenti e sistemi necessari per evitare l’esfiltrazione dei
dati, mitigarne gli effetti e garantire la riservatezza e l’integrità delle
informazioni Rilevanti
ABSC
Gli Agid Basic Security Control
da implementare per ottenere il
livello minimo di sicurezza sotto
il quale obbligatoriamente
nessuna Azienda/PA puo’
scendere
Le famiglie di controlli
• ABSC 1 (CSC1): Inventario dei dispositivi autorizzati e non autorizzati
• ABSC 2 (CSC2): Inventario dei software autorizzati e non autorizzati
• ABSC 3 (CSC3): Proteggere le configurazioni di hardware e software sui
dispositivi mobili, laptop, workstation e server

• ABSC 4 (CSC4): Valutazione e correzione continua della vulnerabilità
• ABSC 5 (CSC5): Uso appropriato dei privilegi di amministratore
• ABSC 8 (CSC8): Difese contro i malware
• ABSC 10 (CSC10): Copie di sicurezza
• ABSC 13 (CSC13): Protezione dei dati

ABSC1 (CSC 1):
Inventario dei dispositivi
autorizzati e non autorizzati
Il livello minimo prevede l’implementazione,

l’aggiornamento e la gestione dell’inventario di
tutti i sistemi di rete (compresi i dispositivi di
rete stessi) registrando almeno l’indirizzo IP.
ABSC1 (CSC 1):
Inventario dei dispositivi
1.1.1 Implementare un inventario delle risorse attive correlato a quello ABSC 1.4
1.3.1 Aggiornare l’inventario quando nuovi dispositivi approvati vengono

collegati in rete.
1.4.1 Gestire l’inventario delle risorse di tutti i sistemi collegati alla rete e dei
dispositivi di rete stessi, registrando almeno l’indirizzo IP.
ABSC 2 (CSC 2):
Inventario dei software
Il livello minimo prevede la realizzazione
dell’elenco dei software autorizzati (e relative
versioni), con regolari scansioni sui sistemi al
fine di rilevare la presenza di software non
autorizzati. L’installazione di software non
presenti nell’elenco è vietata.
ABSC 2 (CSC 2):
Inventario dei software
2.1.1 Stilare un elenco di software autorizzati e relative versioni necessari per
ciascun tipo di sistema, compresi server, workstation e laptop di vari tipi e per
diversi usi. Non consentire l’istallazione di software non compreso nell’elenco.
2.3.1 Eseguire regolari scansioni sui sistemi al fine di rilevare la presenza di

software non autorizzato.
ABSC3 (CSC3):
Proteggere le configurazioni
di hardware e software sui dispositivi
Il livello minimo di questa classe di controlli prevede
la definizione di configurazioni standard per tutti i
sistemi (server, workstation, ecc.), con il tassativo
rispetto di tali standard nelle fasi di installazione o
ripristino dei sistemi. Le immagini di installazione dei
sistemi devono essere memorizzate offline e tutte le
operazioni di amministrazione remota devono
essere eseguite tramite connessioni protette.
ABSC3 (CSC3):
PROTEGGERE LE CONFIGURAZIONI DI HARDWARE E SOFTWARE SUI
DISPOSITIVI MOBILI, LAPTOP, WORKSTATION E SERVER
3.1.1 Utilizzare configurazioni sicure standard per la protezione dei sistemi
operativi.
3.2.1 Definire ed impiegare una configurazione standard per workstation, server
e altri tipi di sistemi usati dall’organizzazione.
3.2.2 Eventuali sistemi in esercizio che vengano compromessi devono essere
ripristinati utilizzando la configurazione standard.
3.3.1 Le immagini d’installazione devono essere memorizzate offline.
3.4.1 Eseguire tutte le operazioni di amministrazione remota di server,
workstation, dispositivi di rete e analoghe apparecchiature per mezzo di
connessioni protette (protocolli intrinsecamente sicuri, ovvero su canali sicuri).
ABSC4 (CSC 4):
Valutazione e correzione
continua della vulnerabilità
Il livello minimo prevede la ricerca delle vulnerabilità tramite strumenti
automatici ad ogni modifica della configurazione; detti strumenti devono
fornire agli amministratori di sistema report con indicazione delle
vulnerabilità più critiche. Non solo i sistemi devono essere aggiornati, ma
anche gli stessi strumenti di scansione. Questa classe di controlli impone
l’installazione sistematica di patch e contromisure idonee a contrastare le
vulnerabilità riscontrate. Va inoltre implementato un adeguato piano di
gestione dei rischi che tenga conto dei livelli di gravità delle vulnerabilità, del
potenziale impatto e della tipologia degli apparati; tale piano deve anche
prevedere le azioni da svolgere per la risoluzione delle vulnerabilità
individuate.
ABSC4 (CSC4):
4.1.1 Ad ogni modifica significativa della configurazione eseguire la ricerca delle
vulnerabilità su tutti i sistemi in rete con strumenti automatici che forniscano
a ciascun amministratore di sistema report con indicazioni delle vulnerabilità
più critiche.
4.4.1 Assicurare che gli strumenti di scansione delle vulnerabilità utilizzati siano
regolarmente aggiornati con tutte le più rilevanti vulnerabilità di sicurezza.
4.5.1 Installare automaticamente le patch e gli aggiornamenti del software sia

per il sistema operativo sia per le applicazioni.
ABSC4 (CSC4):
4.5.2 Assicurare l’aggiornamento dei sistemi separati dalla rete, in particolare di
quelli air-gapped, adottando misure adeguate al loro livello di criticità.
4.7.1 Verificare che le vulnerabilità emerse dalle scansioni siano state risolte sia
per mezzo di patch, o implementando opportune contromisure oppure
documentando e accettando un ragionevole rischio.
4.8.1 Definire un piano di gestione dei rischi che tenga conto dei livelli di gravità
delle vulnerabilità , del potenziale impatto e della tipologia degli apparati
(e.g. server esposti, server interni, PdL, portatili, etc.).
4.8.2 Attribuire alle azioni per la risoluzione delle vulnerabilità un livello di priorità
in base al rischio associato. In particolare applicare le patch per le vulnerabilità a
partire da quelle più critiche.
ABSC5 (CSC5):
Uso appropriato dei privilegi
di amministratore
Il livello minimo della classe di controlli relativa agli amministratori di sistema
definisce una specifica policy di gestione degli utenti con diritti
amministrativi, che disciplini i limiti nei privilegi attribuiti e l’inventario dei
profili abilitati. Tale policy prevede tutte le accortezze che si rendono
necessarie per l’adeguata gestione degli amministratori di sistema, dai
controlli sulle scadenze delle password alla creazione di profili nominativi e
individuali (non generici). E’ curioso rilevare come in questa classe di
controlli, le azioni relative al tracciamento dei log degli amministratori siano
definite come livello “standard”, mentre rappresentano un obbligo di legge
sancito da un provvedimento del Garante Privacy sugli amministratori di
sistema del 2008.
ABSC5 (CSC5):
5.1.1 Limitare i privilegi di amministrazione ai soli utenti che abbiano le
competenze adeguate e la necessità operativa di modificare la configurazione dei
sistemi.
5.1.2 Utilizzare le utenze amministrative solo per effettuare operazioni che ne

richiedano i privilegi, registrando ogni accesso effettuato.
5.2.1 Mantenere l’inventario di tutte le utenze amministrative, garantendo che

ciascuna di esse sia debitamente e formalmente autorizzata.
5.3.1 Prima di collegare alla rete un nuovo dispositivo sostituire le credenziali

dell’amministratore predefinito con valori coerenti con quelli delle utenze
amministrative in uso.
ABSC5 (CSC5):
5.7.1 Quando l’autenticazione a più fattori non è supportata, utilizzare per le
utenze amministrative credenziali di elevata robustezza (e.g. almeno 14 caratteri).
5.7.3 Assicurare che le credenziali delle utenze amministrative vengano sostituite

con sufficiente frequenza (password aging).
5.7.4 Impedire che credenziali già utilizzate possano essere riutilizzate a breve
distanza di tempo (password history).
5.10.1 Assicurare la completa distinzione tra utenze privilegiate e non privilegiate

degli amministratori, alle quali debbono corrispondere credenziali diverse.
ABSC5 (CSC5):
5.10.2 Tutte le utenze, in particolare quelle amministrative, debbono essere
nominative e riconducibili ad una sola persona.
5.10.3 Le utenze amministrative anonime, quali “root” di UNIX o “Administrator”

di Windows, debbono essere utilizzate solo per le situazioni di emergenza e le
relative credenziali debbono essere gestite in modo da assicurare l’imputabilità di
chi ne fa uso.
5.11.1 Conservare le credenziali amministrative in modo da garantirne

disponibilità e riservatezza.
5.11.2 Se per l’autenticazione si utilizzano certificati digitali, garantire che le chiavi

private siano adeguatamente protette.
ABSC8 (CSC8):
Difese contro i malware
Il livello minimo impone l’installazione e l’aggiornamento

automatico di sistemi antimalware, firewall e Intrusion
Prevention Systems (IPS). Si deve disabilitare inoltre l’esecuzione
automatica di tutti quei sistemi che potrebbero
inavvertitamente attivare una minaccia (es. apertura degli
allegati delle email, esecuzione di macro, eseguibili lanciati da
chiavette USB, ecc). Sempre in chiave preventiva, si deve
prevedere l’adozione di strumenti filtraggio dei contenuti, sia
sulla navigazione internet che sulla posta elettronica.
ABSC8 (CSC8):
8.1.1 Installare su tutti i sistemi connessi alla rete locale strumenti atti a rilevare la
presenza e bloccare l’esecuzione di malware (antivirus locali). Tali strumenti sono
mantenuti aggiornati in modo automatico.
8.1.2 Installare su tutti i dispositivi firewall ed IPS personali.
8.3.1 Limitare l’uso di dispositivi esterni a quelli necessari per le attività aziendali.
8.7.1 Disattivare l’esecuzione automatica dei contenuti al momento della

connessione dei dispositivi removibili.
ABSC8 (CSC8):
8.7.2 Disattivare l’esecuzione automatica dei contenuti dinamici (e.g. macro)
presenti nei file.
8.7.3 Disattivare l’apertura automatica dei messaggi di posta elettronica.
8.7.4 Disattivare l’anteprima automatica dei contenuti dei file.
8.8.1 Eseguire automaticamente una scansione anti-malware dei supporti

rimuovibili al momento della loro connessione.
ABSC8 (CSC8):
8.9.1 Filtrare il contenuto dei messaggi di posta prima che questi raggiungano la
casella del destinatario, prevedendo anche l’impiego di strumenti antispam.
8.9.2 Filtrare il contenuto del traffico web.
8.9.3 Bloccare nella posta elettronica e nel traffico web i file la cui tipologia non è
strettamente necessaria per l’organizzazione ed è potenzialmente pericolosa
(e.g. .cab).
ABSC 10 (CSC 10):
Copie di sicurezza
Il livello minimo di sicurezza contempla una copia almeno settimanale delle
informazioni strettamente necessarie per il completo ripristino del sistema
(in linea con le misure minime di sicurezza previste dal Codice della Privacy,
anche se perdere una settimana di lavoro potrebbe essere troppo
penalizzante per una PA). Si pone una certa attenzione anche alla
riservatezza delle informazioni contenute nelle copie di sicurezza, tramite
adeguata protezione fisica o mediante cifratura delle informazioni
sottoposte a salvataggio. _ _ _ _ ____________________
Infine, è necessario garantire che almeno una delle copie non sia
permanentemente accessibile dal sistema stesso, onde evitare che eventuali
attacchi al sistema possano coinvolgere anche le sue copie di sicurezza.
ABSC 13 (CSC 13):
Protezione dei dati
Il livello minimo da garantire stabilisce di

effettuare un’analisi dei dati per individuare
quelli con particolari requisiti di riservatezza, ai
quali applicare una protezione crittografica.
Inoltre, si deve prevedere il blocco del traffico da
e verso url presenti in una blacklist.
Art. 32 GDPR sicurezza dei dati personali
Da misure minime di sicurezza si passa
a misure adeguate di sicurezza
Sicurezza del trattamento
1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché

della natura, dell’oggetto, del contesto e delle finalità del trattamento,
come anche del rischio di varia probabilità e gravità per i diritti e le
libertà delle persone fisiche, il titolare del trattamento e il responsabile
del trattamento mettono in atto misure tecniche e organizzative
adeguate per garantire un livello di sicurezza adeguato al rischio, che
comprendono, tra le altre, se del caso:
a) la pseudonimizzazione e la cifratura dei dati personali;
• PSEUDONIMIZZAZIONE
Dati pseudonimi,
sono quei dati personali nei quali gli elementi identificativi sono stati
sostituiti da elementi diversi, quali stringhe di caratteri o numeri (hash),
oppure sostituendo al nome un nickname, purché sia tale da rendere
estremamente difficoltosa l'identificazione dell'interessato. Ovviamente il
soggetto che detiene la chiave per decifrare i dati (cioè collegare
l'elemento pseudonimo al dato personale) deve garantire adeguate misure
contro possibili abusi.
I dati pseudonimi, a differenza di quelli anonimizzati, sono comunque

dati personali.
Due metodi tipici sono appunto il mascheramento e l’utilizzo dei tag.
• DATI PSEUDONIMI
One time Pad
Noto anche come algoritmo di password usa e getta. Usato nelle tecniche di
banking on line, in cui si dispone di un codice che può essere utilizzato una sola
volta.
WEP
Protocollo dello standard 802.11 dello IEEE, che significa Wire Equivalent Privacy
cioè che si prefigge di garantire un livello di privacy che è equivalente a quello di
una rete cablata. Una rete wireless utilizza come mezzo trasmissivo l’aria che, a
differenza di una rete su cavo, non si può chiudere e circoscrivere (su una rete
cablata un intruso deve comunque connettersi ad essa attraverso le prese per
poter attuare i suoi attacchi).
• TECNICHE DI CRITTOGRAFIA
Algoritmi simmetrici (o a chiave simmetrica o privata)
e asimmetrici (a chiave pubblica)
DES
Algoritmo a chiave simmetrica che oramai non viene più utilizzato ma
che è stato utilizzato per vario tempo e quindi è stato uno degli algoritmi
più conosciuti dal punto di vista di attacchi e di vulnerabilità.
Gli algoritmi a chiave simmetrica (o privata) si chiamano così perché si
basano sulla condivisione della stessa chiave. Esiste un principio
fondamentale, noto come principio di kerchoff, secondo cui la
robustezza del metodo si basa sulla segretezza delle chiavi.
Crittografia a chiave asimmetrica o pubblica
il primo sistema di crittografia a chiave pubblica passò alla storia come

sistema di crittografia Diffie Hellman ma in realtà l’idea originaria fu di
Merkle. L’ idea è molto semplice: si usano chiavi separate per cifrare e
decifrare cioè se qualcuno vuole scambiare delle informazioni le cifra
con la chiave usata per cifrare e il destinatario delle informazioni le
decifra con un’ altra chiave, usata per decifrare
Firma Digitale
LA RESILIENZA
BUSINESS CONTINUITY E DISASTER RECOVERY
b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la

disponibilità e la resilienza dei sistemi e dei servizi di trattamento;
c) la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei
dati personali in caso di incidente fisico o tecnico;
d) una procedura per testare, verificare e valutare regolarmente l’efficacia delle
misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
- Per resilienza o come comunemente chiamato in informatica indice di
resilienza si intende la capacità di un sistema informatico di adattarsi alle
condizioni d’uso e di resistere all’usura in modo da garantire la disponibilità
dei servizi erogati. Tali obiettivi si possono raggiungere mediante tecniche di
ridondanza
ADEGUATI LIVELLI DI SICUREZZA
2. Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei
rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla
perdita, dalla modifica, dalla divulgazione non autorizzata o dall’accesso, in modo
accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.
3. L’adesione a un codice di condotta approvato di cui all’articolo 40 o a un

meccanismo di certificazione approvato di cui all’articolo 42 può essere utilizzata
come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del
presente articolo.
4. Il titolare del trattamento e il responsabile del trattamento fanno sì che

chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti
tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo
richieda il diritto dell’Unione o degli Stati membri.
Le violazioni dei dati personali
IL DATA BREACH violazioni della sicurezza

(art. 33 e 34 e consideranda 85-88 GDPR)
Le sanzioni amministrative e pecuniarie in

caso di violazioni (Art.83 GDPR)
IL DATA BREACH
• Per DATA BREACH, nella versione italiana violazione dei dati personali (art.
.12 GDPR) si intende la violazione di sicurezza che comporta
accidentalmente o in modo illecito la distruzione, la perdita, la modifica,
la divulgazione non autorizzata o l’accesso ai dati personali trasmessi,
conservati o comunque trattati.
• - La notifica di eventuali violazioni di dati dovrà avvenire possibilmente

senza ingiustificato ritardo e, ove possibile, entro 72 ore, dal momento in
cui si è venuto a conoscenza della violazione, a meno che sia improbabile
che la violazione dei dati personali presenti un rischio per i diritti e le
libertà delle persone fisiche. L’eventuale ritardo dovrà essere motivato
IL DATA BREACH- NOTIFICA
• - L’articolo 33 GDPR ha introdotto l’obbligo generalizzato, in capo al

titolare del trattamento di notifica di DATA BREACH all’autorità di
controllo (DPO) competente a norma dell’art. 55 GDPR e ss., ovvero
l’Autorità di controllo dello stabilimento principale o dello stabilimento
unico del Titolare interessato dalla violazione o quello ove vi siano gli
interessati alla violazione
• - Le informazioni minime da inserire nella notifica sono incluse nel’art. 33,
la DPA competente fornirà una modulistica on-line richiedendo
informazioni obbligatorie. Tale documentazione consente all’Autorità di
controllo di verificare il rispetto delle prescrizioni.
• - in Italia prima dell’approvazione del Regolamento erano già presenti
obblighi di notifica in 4 fattispecie di trattamento:
– Settore comunicazioni elettroniche (Prov. Garante 161/2013)
– Biometria (Provv. Garante 513/2014)
– Dati sanitari inseriti in Dossier (Provv. Garante 331/2015)
– Dati comunicati fra PA (Provv. Garante 393/2015)
IL DATA BREACH- NOTIFICA
• La notifica deve:
➢ descrivere la natura della violazione dei dati personali compresi, ove

possibile, le categorie e il numero approssimativo di interessati in
questione nonché le categorie e il numero approssimativo di
registrazioni dei dati personali in questione;
➢ comunicare il nome e i dati di contatto del responsabile della
protezione dei dati o di altro punto di contatto presso cui ottenere
più informazioni
➢ descrivere le probabili conseguenze delle violazioni dei dati personali
➢ descrivere le misure adottate o di cui si propone l’adozione da parte
del titolare del trattamento per porre rimedio alla violazione dei dati
personali e anche, per attenuarne i possibili effetti negativi.
IL DATA BREACH- COMUNICAZIONE
La comunicazione di DATA BREACH art. 34
• Comunicazione di una violazione dei dati personali

all’interessato
• Quando la violazione dei dati personali presenta un rischio
elevato per i diritti e le libertà delle persone fisiche, il
titolare del trattamento comunica la violazione
all’interessato senza ingiustificato ritardo. La
comunicazione all’interessato descrive con un linguaggio
semplice e chiaro la natura della violazione
IL DATA BREACH- COMUNICAZIONE
Non è richiesta la comunicazione all’interessato se:
✓ il titolare del trattamento ha messo in atto le misure tecniche ed

organizzative adeguate di protezione e tali misure erano state
applicate ai dati personali oggetto della violazione, in particolare
quelle destinate a rendere i dati personali incomprensibili a
chiunque non sia autorizzato ad accedervi, quali la cifratura.
✓ Il titolare del trattamento ha successivamente adottato misure atte

a scongiurare il sopraggiungere di un rischio elevato per i diritti e le
libertà degli interessati.
✓ Detta comunicazione richiederebbe sforzi sproporzionati. In tale

caso, si procede invece a una comunicazione pubblica o a una
misura simile
IL DATA BREACH
NOTIFICA E COMUNICAZIONE DSE
• NOTIFICA DI DATA BREACH NEL DOSSIER SANITARIO SECONDO LE

LINEE GUIDA IN MATERIA DI DSE 4 GIUGNO 2015
▪ Comunicazione al Garante Privacy di una violazione dei dati
personali o di incidenti informatici che, pur non avendo impatto
diretto sui dati stessi, possono esporli a rischi di violazione
Quando la violazione dei dati personali da parte degli incaricati o

qualsiasi altro soggetto rischierà di pregiudicare i dati personali o di
attentare alla vita privata dell’interessata, il Responsabile del
trattamento provvederà alla notificazione all’Autorità Garante e
successivamente dovrà provvedere senza ingiustificato ritardo alla
comunicazione di quanto avvenuto all’interessato
IL DATA BREACH
• NOTIFICA DI DATA BREACH NEL DOSSIER SANITARIO
Comunicazione all’interessato
❖ Il titolare deve comunicare senza ritardo all’interessato le

operazioni di trattamento illecito effettuate agli incaricati o da
chiunque sui dati personali mediante il relativo Dossier
❖ I termini per la comunicazione sono:
1. Riscontro da parte del Titolare o incaricato entro 15 giorni dal
ricevimento della richiesta dell’interessato
2. Se ricorre un giustificato motivo il Titolare o l’incaricato devono
comunicarlo all’interessato e il termine per l’integrale riscontro è di
30 giorni
IL DATA BREACH
• NOTIFICA DI DATA BREACH NEL DOSSIER SANITARIO

Comunicazione al Garante Privacy
- Entro 48 ore dalla conoscenza del fatto, i Titolari

devono comunicare all’Autorità tutte le violazioni dei
dati o gli incidenti informatici che possano avere
avuto un impatto significativo sui dati personali
trattati attraverso il Dossier Sanitario
IL DATA BREACH- LA GESTIONE
Per prevenire, gestire e risolvere episodi di perdita e/o

distruzione dei dati personali è necessario:
 Adottare un protocollo di risposta.

 Effettuare test periodici per controllare la validità del protocollo
 Ottenere una copertura assicurativa per eventuali casi di Data Breach
 Tenere un registro dei casi di Data Breach
 Compiere attività di indagine per individuare la natura e la portata della
violazione
IL DATA BREACH
IL PROTOCOLLO DI RISPOSTA
• Il Titolare del trattamento deve adottare un protocollo di risposta,

ossia procedure da seguire per gestire e risolvere eventuali episodi
di distruzione e/o perdita di dati. L’adozione del protocollo
coinvolgente numerose dipartimenti aziendali e strutture pubbliche
quali ministeri, asp, etc
• Questo protocollo dovrà indicare un modo coerente, sistematico e

proattivo per gestire questi incidenti che coinvolgono i dati
personali. Per la soluzione di questi incidenti l’azienda/ente
pubblico potrà farsi coadiuvare da terzi fornitori di servizi quali:
• Call center
• Servizi di assistenza agli utenti e pubbliche relazioni
• Sistemi di monitoraggio
• Sistemi di risoluzione dei casi di furto di identità
La sicurezza informatica vs Data Breach
Al fine di prevenire un violazione di data Breach è

necessario utilizzare un modello di sicurezza
informatica cosi strutturato
Altri strumenti di prevenzione
• SVILUPPO E MANUTENZIONE DI SISTEMI (System Development and

Maintenance)
Accertare che la sicurezza sia stata costruita all'interno delle operazioni di
sistema;
• Per impedire la perdita,la modifica o il cattivo utilizzo dei dati dell'utente
all'interno dei sistemi di applicazione;
• Per proteggere la riservatezza l'autenticità e l'integrità delle in formazioni;
• Per accertarsi che le attività di progetto e supporto alle attività siano
condotte in modo sicuro e per mantenere la sicurezza del software e dei
dati del sistema
LA BUSINESS CONTINUITY
• GESTIONE CONTINUITA'OPERATIVA (Business Continuity

Management)
• Neutralizzare le interruzioni alle attività economiche ed ai
processi critici degli affari e dagli effetti dei guasti
• ADEGUATEZZA (Compliance)
• Evitare il mancato rispetto delle leggi civili,penali e di qualsiasi
requisito di sicurezza;
• Per elevare l'efficacia e minimizzare l'interferenza per il
processo di verifica del sistema
ALTRI STRUMENTI
• PRINCIPALI TECNICHE DI DIFESA

• CRITTOGRAFIA
• SISTEMA DI AUTENTICAZIONE
• FIRMA DIGITALE
• FIREWALL
• IDS (intrusion detection system)
• NIDS(network detention system)
• HONEYPOT
• STEGANOGRAFIA
• ANTI-SPYWARE
Definizione di Business Continuity
• Il ripristino dei sistemi ICT è necessario per garantire

la continuità operativa dei processi e delle attività
operative, ivi inclusa la disponibilità dei sistemi e dei
servizi ICT che li supportano.
• Per BC (Business Continuity) intendiamo “un

processo continuo che protegge il patrimonio
aziendale sia in termini di infrastrutture tecniche a
supporto del business, sia in termini degli asset
tangibili e non, al fine di garantire la continuità delle
attività operative critiche e per assicurare i flussi degli
introiti di business”.
I principali elementi della
Business Continuity
Business
Continuity
Elementi di
Elementi Tecnici
business
•Processi •Siti Data Center (CED)

•Personale •Dispositivi
•Facilities •Applicazioni
•Comunicazioni •Collegamenti
•Documenti •Documenti tecnici
Le tipiche fasi di un processo
di Business Continuity
3
1 Initiate
Implement
2
4 Manage
Strategise
Initiate e Strategise
• Nella fase 1 rientrano gli obiettivi di progetto,

l’acquisizione della documentazione,
pianificare il progetto, organizzazione e
project management.
• Nella fase 2 rientrano il Risk Assessment, il
Business Impact Analysis (BIA), la definizione
della strategia
Implement e Manage
• Nella fase 3 rientrano l’organizzazione e

pianificazione dell’implementazione, la
predisposizione delle misure d’appoggio, definire i
piani di recupero, ripristino ed emergenza,
implementare misure di riduzione dei rischi, definire
le procedure, collaudo iniziale
• Nella fase 4 rientrano la diffusione della cultura ed
istruzione, la revisione ed audit, il testing, il change
management, la formazione, la comunicazione
interna ed esterna
Il Disaster Recovery
• Il Disaster Recovery è la capacità di un sistema di

riprendere le sue funzionalità garantendo la corretta
operatività dopo un disastro.
• Il Disaster Recovery nel mondo ICT è uno degli
strumenti fondamentali per garantire la business
continuity: non si deve però fare l’errore di
considerare questi due termini come sinonimi.
Il Disastro
Il disastro è un evento che rende

inagibile l’utilizzo di infrastrutture,
sistemi e risorse (in genere non
solo ICT) per un tempo tale da
compromettere in modo
irreversibile attività, affari,
produttività ed immagine di chi lo
ha subito
I tre diversi tipi di disastro
• Disastro di livello 1: può causare la parziale ma non completa

distruzione delle operazioni svolte giornalmente;
• Disastro di livello 2: coinvolge diverse locazioni o piani. Le

operazioni di routine possono essere compromessi ed i
processi critici possono dover essere eseguiti off-site;
• Disastro di livello 3: può coprire una vastissima zona, ad

esempio una regione; tipici esempi di questi disastri sono
inondazioni, terremoti o uragani.
Tipologie tecniche (TIERS)
La realizzazione della CO e delle soluzioni di DR
Dagli indicatori per ogni

direttrice si giunge ad un
indicatore complessivo di
criticità. I livelli di criticità
vengono raggruppati in 4
classi di rischio.
Alle CLASSI DI RISCHIO si

associano delle soluzioni
tecnologiche (o Tiers) minime
Le diverse componenti
• La Continuità Operativa investe diverse componenti e risorse

strategiche di ciascuna azienda/Amministrazione: il
management ad alto livello, le diverse strutture organizzative
coinvolte nei processi di servizio (Direzioni/Uffici), le
piattaforme tecnologiche impiegate.
• Ciò comporta che l’ente è chiamato a definire e coordinare un

programma articolato in diverse fasi, che richiede il mandato
dei vertici dell’Ente.
• Il titolare del trattamento o il responsabile privacy o DPO di

strutture sanitarie- PA- fornitori di servizi di comunicazione
elettronica – biometria deve elaborare un protocollo di
risposta che assicuri la tempestiva notifica all’Autorità Garante
in caso di episodi di Data Breach
• Esistono vari modelli di notifica di data breach disponibili sul

portale istituzionale dell’autorità Garante
EFFETTUARE TEST PERIODICI
• E’ importante condurre regolarmente dei test di verifica del

protocollo adottato per garantire che le procedure seguite
dall’Azienda per prevenire e risolvere casi di data breach siano
efficienti e condotte da personale formato adeguatamente per
implementare il protocollo.
• E’ importante stipulare un’adeguata polizza assicurativa per

assicurare l’Azienda contro il rischio di Data Breach ed ottenere
indennizzo dalla Compagnia Assicuratrice in occorrenza di violazioni
di dati. L’assicurazione risarcisce i costi che l’Azienda deve sostenere
per riparare le conseguenze della violazione e può anche coprire le
eventuali spese legali che l’Azienda dovrà affrontare.
TENERE UN REGISTRO DI DATA BREACH
• Il DPO deve promuovere la tenuta di un Registro

dei casi di Data Breach, sia dei casi di violazione
effettivamente occorsi sia le minacce potenziali,
per identificare il tipo e la natura delle violazioni
più ricorrenti
TRACCIARE I CASI DI DATA BREACH
• Il tracciamento dei casi di violazione dei dati personali

viene effettuato allo scopo di:
– individuare e tenere sotto controllo i fattori di rischio, ossia
i fattori che determinano con più frequenza una violazione
dei dati personali
– Misurare l’efficacia delle policy e delle procedure adottate
– Elaborare un piano di conformità che fissi gli obiettivi da
raggiungere per essere “compliant” rispetto a leggi, best
practices, e che aiuti a dimostrare la conformità in sede di
audit di verifica/ispezioni/test
INDAGINI FORENSI E DATA BREACH
• Per gestire e risolvere i casi di data breach

l’azienda può stabilire al suo interno una funzione
investigativa e demandare a personale interno
indagini forensi “in house”
• Siglare contratti con investigatori esterni ai quali
demandare queste attività di indagine
– Compiere attività di indagine per individuare la natura
e la portata della violazione
IL DATA BREACH- INDAGINI FORENSI
INDAGINI FORENSI E DATA BREACH
• Le indagini investigative servono per:

• - Determinare la natura e la portata della
violazione
• - Aiutare a prevenire ulteriori perdite di dati
• Conservare le prove della violazione in modo
che possano essere usate anche in
un’eventuale azione giudiziaria
LE SANZIONI AMMINISTRATIVE
E PECUNIARIE ART. 83 GDPR
Le sanzioni amministrative e pecuniarie inflitte ai sensi del GDPR devono

essere EFFETTIVE, DISSUASIVE E PROPORZIONATE
Le DPA per irrogare sanzioni devono tener conto:
a) natura, gravità e durata della violazione
b) Carattere doloso o colposo della violazione
c) Misure adottate per attenuare il danno
d) Grado di responsabilità e misure tecniche e organizzative adottate
e) Eventuali precedenti violazioni
f) Grado di cooperazione con l’Autorità di Controllo
g) Categorie di dati personali
h) Rispetto di eventuali provvedimenti precedenti e Notifica all’Autorità
i) Adesioni a codici di condotta o meccanismi di certificazione
j) Fattori aggravanti e attenuanti
SANZIONI AMMINISTRATIVE
E PECUNIARIE
Nel caso di violazioni del GDPR da parte di imprese ed enti

pubblici si dovrà tener conto:
- Della tipologia di azienda (es. PMI);

- Nel caso di violazione da parte di persone fisiche o
professionisti si dovrà tener in debito conto il loro livello
generale di reddito e la situazione economica
- Nel caso di Pubbliche Amministrazioni spetta agli Stati
determinare se e in che misura debbano essere sanzionate
SANZIONI AMMINISTRATIVE
E PECUNIARIE
Se in relazione allo stesso trattamento o a trattamenti collegati

un titolare/responsabile del trattamento viola con dolo o colpa
varie disposizioni del Regolamento, l’importo totale della
sanzione amministrativa pecuniaria non supera l’importo
specificato per la violazione più grave
MISURA DELLE SANZIONI
AMMINISTRATIVE E PECUNIARIE
Esistono due classi di violazioni:
a) Amministrative – (10 milioni di euro oppure, se superiore e

solo in caso di imprese, sino al 2% del fatturato totale a
livello mondiale)
b) Pecuniarie – (20 milioni di euro, oppure, se superiore e solo
in caso di imprese, 4% del fatturato totale a livello mondiale.
Le sanzioni per il settore pubblico verranno definite dai
rispettivi Stati Membri
ALTRE SANZIONI
Le DPA, oltre alle sanzioni amministrative, possono:
- Rivolgere ammonimenti al Titolare del trattamento o al Responsabile del
trattamento sul fatto che i trattamenti previsti possono verosimilmente violare le
disposizioni del presente Regolamento
- Rivolgere ammonimenti al Titolare del Trattamento o al Responsabile del
trattamento ove i trattamenti abbiano violato le disposizioni del Regolamento
- Ingiungere al Titolare del trattamento o al Responsabile del trattamento di
soddisfare le richieste dell’interessato di esercitare i diritti loro derivanti dal
Regolamento
- Ingiungere al Titolare del trattamento o al Responsabile del trattamento di
conformare i trattamenti alle disposizioni del regolamento, se del caso, in una
determinata maniera ed entro un determinato termine
- Ingiungere al Titolare del trattamento di comunicare all’interessato una violazione
dei dati personali
- Imporre una limitazione provvisoria o definitiva al trattamento, incluso il divieto di
trattamento
ALTRE SANZIONI
- Ordinare la rettifica, cancellazione di dati personali o la
limitazione del trattamento a norma degli articoli 16, 17 e
18 e la notificazione di tali misure ai destinatari cui sono
stati comunicati i dati personali ai sensi dell’articolo 17,
paragrafo 2 e dell’articolo 19
- Revocare la certificazione o ingiungere all’organismo di
certificazione di ritirare la certificazione rilasciata a norma
degli articoli 42 e 43 oppure ingiungere all’organismo di
certificazione di non rilasciare la certificazione se i requisiti
per la certificazione non sono on non sono più soddisfatti
- Ordinare la sospensione dei flussi di dati verso un
destinatario in un paese terzo o un’organizzazione
internazionale
REGISTRO DELLE SANZIONI
Ogni autorità di controllo promuove, insieme al Comitato europeo per la

protezione dei dati un registro di sanzioni e violazioni
Tale registro deve contenere:
1) Tutti gli avvertimenti
2) Le sanzioni
3) La risoluzione delle violazioni
Inoltre ogni DPA offre ai titolari del Trattamento e ai Responsabili del
trattamento di micro, piccole e medie imprese, su richiesta, informazioni
generali sulle loro responsabilità e i loro obblighi conformemente al GDPR
Verizon Report Data Breach 2017
• II Verizon Data Breach Investigations Report ha identificato

nove tipologie di incidenti che coprono la maggior parte delle
violazioni che le organizzazioni in diversi settori merceologici .
Nel settore manifatturiero attacchi denial-of-service, uso
improprio di privilegi da parte di insider e cyberspionaggio
coprono l'82% degli incidenti
• La condivisione di queste informazioni può aiutare le
organizzazioni a implementare soluzioni di sicurezza su misura,
in base al loro settore e agli schemi di attacco specifici
utilizzati, invece di cercare di combattere su tutti i fronti .
questo approccio può rendere più efficienti ed efficaci le
strategie di sicurezza nella lotta contro il crimine informatico
Report Data Breach- CLUSIT 2017
Il 67,5 % ritiene inoltre che ci potrebbero essere delle resistenze da parte

dei soggetti designati quali responsabili del trattamento a causa delle
corresponsabilità con il Titolare del trattamento dei dati prevista dal GDPR .
• Infatti, secondo l'art . 82 del GDPR, in alcuni casi un responsabile del

trattamento può rispondere direttamente e in solido per l'intero
ammontare per il danno causato dal trattamento al fine di garantire il
risarcimento effettivo dell'interessato .
In particolare ciò avviene solo se il responsabile "non ha adempiuto gli
obblighi del presente regolamento specificatamente diretti ai responsabili
del trattamento o ha agito in modo difforme o contrario rispetto alle
legittime istruzioni del titolare del Il principio di privacy by design ovvero
di protezione dei dati fin dalla fase di ideazione e progettazione di un
trattamento o di un sistema oggi risulta applicato solo nel 58,1% dei casi
Minacce informatiche
• Virus che è caratterizzato dal metodo di riproduzione
parassitico (si allega ad altri file), infezione al boot sector ed
infezione multipartito cioè sia il boot sector che il master boot
record;
• Botnet (minacce che colpisce le reti di computer che
presentino vulnerabilità);
• Minacce dall’interno (attacchi dall’interno da parte dei
dipendenti, società di vigilanza, di pulizia, ecc);
• Conflicker (malware o codice maligno) che da novembre 2008
ha colpito 9 milioni di pc.
• Skimming (clonazione della carta di credito durante l’uso gi
un’apparecchiatura di un negozio – es. pos);
• Bin raiding (trovare informazioni attraverso estratti conto, bollette,
lettere, informazioni fiscali che sono stati gettati nella spazzatura);
• Sniffing (ad es. con un sms o e-mail ci viene comunicata una vincita e su
un telefonino è possibile seguire un link che porta ad un’azione di
phishing);
• Phishing il cui termine deriva da password harvesting e da fishing (furto
per via elettronica tramite e-mail in cui il ladro si spaccia per banca o
addetto alle carte di credito e induce a fornire dati personali, vi è
normalmente un link che porta al sito solo in apparenza ufficiale) - ossia
cercare password ed altre informazioni riservate “pescandole” con
tecniche di social engineering ad utenti ingenui.
• Social engineering: tutte le modalità di carpire con l’inganno
informatico, quali le credenziali di autenticazione per accedere
illegalmente ad una risorsa informatica;
• Mascheramento utente (IP MASQUERADING) : può avvenire o
mascherandosi da uno specifico utente, se si sono carpite le sue
credenziali oppure via rete, con l’attaccante che invia pacchetti
modificando l’indirizzo IP sorgente facendo credere, quindi, all’host di
destinazione e alla diverse unità di rete che il pacchetto attraversa di
provenire da un’altra sorgente;
• Intercettazione
• Saturazione delle risorse (DOS Denial of service): è un attacco in
internet che ha l’obiettivo di saturare la risorsa obiettivo, che non è
quindi più in grado di erogare un servizio.
minacce informatiche
• Buffer e stack overflow che consiste nel sovrascrivere in un buffer o in
uno stack del programma dati istruzioni grazie alle quali il programma
stesso può comportarsi in maniera diversa dal previsto, fornendo dati
errati, bloccando il sistema operativo;
• Format string exploit, cioè attacchi basati sul formato della stringa di
stampa, chiamati format string attack, derivano da una cattiva
programmazione del codice;
• Race condition e deadlock, con il quale si indicano le situazioni derivanti
da una condivisione di una risorsa comune, ad es. un file o un dato, e nelle
quali il risultato viene a dipendere dall’ordine in cui si effettuano le
operazioni;
• Spamming (posta elettronica indesiderata agli utenti);
• Flash threats: sono dei virus in grado di diffondersi molto velocemente
sulla rete.
• Adware (advertising display software) indica un software applicativo che
mostra all’utente contenuti pubblicitari (tipicamente dei box o dei banner
all’interno di una pagina web) in maniera o in un contesto inaspettato e
non voluto dall’utente - Tipo di malware che visualizza pubblicità
solitamente senza il consenso dell'utente ;
• Spyware cioè un programma spia del comportamento di un utente
collegato in rete, tramite un tracciamento delle sue operazioni senza che
l’utente ne sia al corrente, senza che abbia dato il suo consenso e senza
avere un controllo del tracciamento stesso;
• Pharming è simile al phishing, ovvero carpire informazioni personali e
riservate, ma differisce per le modalità e le tecniche di attacco in quanto in
questo caso sono usate tecniche sofisticate di manipolazione dei server
DNS o direttamente del pc dell’utente attaccato.
• Scam che indica un tentativo di truffa tradizionale effettuata via posta elettronica:
si segnala la vincita di somma considerevoli da ignote lotterie straniere, o la
possibilità di enormi guadagni in cambio di attività sempre correlate ad un iniziale
anticipo di denaro a vario titolo;
• Blended threats, cioè minacce mescolate, indica una famiglia di attacchi basati
sull’uso contemporaneo e concatenato di più strumenti, quali virus, worm, trojan
horse, exploit e denial of service, sfruttando al meglio le vulnerabilità dei server
attaccati, probabilmente scoperte con uno scan in una fase pre-attacco;
• Dialer cioè un generico programma sul pc che compone numeri telefonici via
modem. Di per sé non è un programma maligno ma può essere usato come tale,
all’insaputa dell’utente, per effettuare in automatico delle chiamate a numeri a
pagamento;
• Keylogger cioè un sistema in grado di intercettare quello che un utente digita su
una tastiera di un terminale o pc.
Le minacce del 2009
• Operazione criminale più audace: Zeus.
• Un Trojan che diffonde malware attraverso phishing mirato e download drive-by,
Zeus va oltre login e password per impadronirsi dei dati bancari. Alcuni toolkit
permettono la creazione di varianti di Zeus che sono di difficile individuazione per i
programmi antivirus. Nel 2009 la botnet
• Zeus ha infettato circa 4 milioni di computer nel mondo;
• · Cybercrime "Sign of Hope": Il gruppo di lavoro Conficker.
• Questo gruppo, che è composto da membri che si occupano di sicurezza, ha il
merito di aver mutato in modo significativo l’impatto del worm Conficker,
accreditato come causa di distruzione a partire dal 1 aprile 2009;
• · Innovazione criminale più famosa: Koobface.
• Questo worm si è autorigenerato, apparendo prima su Facebook nel 2008 e in
seguito su Twitter nel 2009. Koobface invita gli utenti a cliccare su un link a un
video YouTube, che lancia il worm. Oltre 3 milioni di computer sono stati infettati
da varianti di questo malware.
I malware
• Per malware che corrisponde alla contrazione in inglese di
malicious software (programma malvagio) intendiamo dei
programmi che hanno come scopo precipuo quello di
danneggiare un pc ovvero di interromperne, alterarne o
rallentarne il funzionamento, ovvero di cancellarne una parte
della memoria o ancora di cagionare la perdita di dati,
informazioni e programmi conservati all’interno di un
qualsivoglia sistema informatico.
Rilevazione mensile dei malware (DATI

Fastweb relativi all'anno 2016)
I ramsoware
• Un ransomware è un tipo di malware che limita l'accesso del

dispositivo che infetta, richiedendo un riscatto (ransom in
Inglese) da pagare per rimuovere la limitazione. Ad esempio
alcune forme di ransomware bloccano il sistema e intimano
l'utente a pagare per sbloccare il sistema, altri invece cifrano i
file dell'utente chiedendo di pagare per riportare i file cifrati in
chiaro.
I ramsoware
• La sua prima apparizione documentata risale al lontano 1989

in una modalità piuttosto artigianale, pur vantando molte
delle caratteristiche del ransomware moderno. Creato e
diffuso da un medico, probabilmente come ripicca per non
esser stato scelto per una carica presso l'Organizzazione
Mondiale per la Sanità, viaggiava come un virus su dischetto
che veniva lasciato presso studi medici e cliniche .
Il malware codificava i file del disco fisso e pubblicava poi la
richiesta di riscatto che doveva esser pagato spedendo i
contanti a una casella postale ospitata a Panama . Una volta
ricevuti i soldi, il medico cybercriminale inviava alla vittima il
programma necessario alla decodifica
Dieci attacchi rappresentativi del 2016
Vittima Attaccante Tecniche
usate
1 Hollywood Cyber Crime Ramsoware
Presbyterian
Medical
Center
2 FriendFinder Cyber Crime Vulnerabilità (LFI)
Networks
3 Bangladesh Cyber Crime Multiple
Bank
4 ADUPS Cyber Multiple
Technology Espionage
(Cina?)
5 Muni (San Cyber Crime Ransomware
Francisco
Transport
System)
Dieci attacchi rappresentativi del 2016
Vittima Attaccante Tecniche

usate
6 Democratic Cyber Crime Multiple
National
Committee
(DNC)
7 Yahoo Cyber Multiple
Espionage
(Russia?)
8 DynDNS Cyber Crime DDoS / IoT
attack
9 Teseo Bank Cyber Multiple
Espionage
(Cina?)
10 Ministero State Multiple
degli Esteri sponsored
italiano (Russia?)
Contromisure 1
• La miglior difesa dagli attacchi

informatici è la prevenzione:
• Conoscenza dei possibili attacchi:
•Aggiornamento continuo;
•Valutazione impatto rispetto al proprio
sistema.
• Gestione dei rischi:
• Utilizzo di soluzioni tecnologiche;
• Definizione di regole di utilizzo delle
risorse.
• Diffusione della conoscenza:
• Formazione e sensibilizzazione del
personale interno;
• Comunicazione ai soggetti con cui
interagisce il sistema.
Contromisure 2
• Tutelare il bene più prezioso che

circola in rete: i nostri dati
personali (numeri di carte di
credito, indirizzi, conti bancari);
• La migliore contromisura per
rispondere alle varianti del
malware (malicious software) è
quello di utilizzare un approccio
integrato che comprenda
barriere hardware e software
ma anche corrette abitudini e
regole ferree;
• La somma delle contromisure è
in gergo definita data loss
prevention (perdita di
informazioni);
Contromisure 3
• Introduzione della figura del security

manager che ha il compito di interagire,
conciliandolo sia a livello informatico che
organizzativo;
• Strumenti software di duplice protezione
del software di base che hanno il
compito di recuperare tutte le diverse
tipologie di informazioni utili per
organizzare la sicurezza e dei dati che
vengono elaborati e analizzati, tramite
un processo di intelligence, in modo da
essere strutturati secondo valori
tematici;
• Definizione dei fattori di rischio e delle
componenti da monitorare a livello di
sicurezza, agendo nel tempo con dei
piani di correzione.
Contromisure 4
• L’utilizzo di architetture di rete

virtuali (vlan) che consentono di
disaccoppiare le informazioni dai
programmi e soprattutto
dall’hardware utilizzato per
trattarli, minimizzando i rischi di
intrusione, sottrazione e
danneggiamento;
• Tecnicamente la virtualizzazione
(ad es. con Symantec) viene
fatta su 3 piani parallelli e cioè
quello dello storage, quello dei
server e quello degli endpoint (
cioè i client);
vlan (Virtual Lan)
Contromisure 5
• Strumenti di identificazione ed
autenticazione;
• Strumenti per la gestione del controllo
degli accessi e dei certificati digitali:
crittografia, pki, controller di dominio;
• Strumenti per la protezione della rete e
dei sistemi;
• Strumenti per la trasmissione sicura delle
informazioni;
• Strumenti per la gestione delle
vulnerabilità e degli attacchi (IDS,
antivirus, gestione patch, aggiornamenti
software, etc);
• Strumenti per la verificabilità (auditing –
strumenti di gestione dei log e delle
segnalazioni di malfunzionamento);
• Strumenti per il monitoraggio ed il
controllo delle funzionalità e delle
prestazioni dei sistemi.
Contromisure: sicurezza fisica
• La sicurezza fisica ha il compito di proteggere le aree

nelle quali si trovano i dispositivi informatici e di
telecomunicazione, e le relative strutture ed impianti
(tale aspetto è definito sicurezza perimetrale), i
componenti hardware all’interno delle aree di cui
sopra, le persone che operano nei siti ove si trovano
le apparecchiature informatiche, dagli operatori agli
utenti finali.
Un esempio
le misure di sicurezza fisica
• Il controllo perimetrale dell’edificio e di particolari zone
all’interno o all’esterno dello stesso (parcheggi, cortili, ecc,);
• Controllo degli accessi fisici delle persone all’interno
dell’edificio o di determinati locali da proteggere quali il ced;
• Il controllo e la prevenzione di mancanza di energia elettrica;
• Il controllo e la prevenzione di emissioni elettromagnetiche;
• Il controllo e la prevenzione antincendio, antifumo ed antigas;
sicurezza perimetrale
• La sicurezza perimetrale ha come misure di

prevenzione i sistemi di sicurezza passiva quali
sistemi di recinzione antiscavalcamento, ed
attiva, quali sistemi di allarme perimetrali a
micro-onde, monitoraggio TV a circuito chiuso
o con altre tecnologie.
sicurezza logica
• La sicurezza logica prevede le seguenti contromisure:

identificazione dell’interlocutore, autenticazione
dell’interlocutore, autorizzazione ad accedere ed
operare sulla risorsa richiesta in funzione dei diritti
(in inglese chiamati acces rights) che sono stai
rilasciati al richiedente e preventivamente inseriti nei
sistemi da un gestore delle risorse e/o della
sicurezza.
Modalità di accesso alle banche
dati anagrafiche: l’identificazione
• L’identificazione di un interlocutore:
• La forma più comune per identificarsi è l’inserimento di credenziali di
autenticazione. Tale meccanismo di identificazione (user e pwd) è debole e
dipende dalla frequenza di cambio della pwd, dalla sua casualità e dalla sua
lunghezza;
• Altre forme di prevenzione sono la cd, pwd monouso (one-time pwd) che sono
create ed usate per ogni singola interazione tra la persona e l’applicazione, e non
possono più essere utilizzate altre volte;
• Altra forma è il token che si basa sull’identificazione a due o più fattori:
tipicamente l’utente deve possedere un oggetto chiamato token, riconoscibile
dal pc oltre al proprio user-id e pwd;
• Es. di token (carta con banda magnetica, smart card con processore con
relativo lettore, chiavetta usb contenente i certificati digitali, generatore di
pwd monouso, Tag RFID .
Esempi di token
RFID ( Radio Frequency
Identification)
• RFID ( Radio Frequency IDentification o Identificazione a radio frequenza) è una tecnologia per la identificazione automatica
di oggetti, animali o persone (AIDC Automatic Identifing and Data Capture) basata sulla capacità di memorizzare e accedere a
distanza a tali dati usando dispositivi elettronici (chiamati TAG o transponder) che sono in grado di rispondere comunicando le
informazioni in essi contenute quando "interrogati".
• Tale tecnologia si basa su un transponder, chiamato anche tag, un ricetrasmettitore che invia un segnale radio in risposta
ad un comando ricevuto da una stazione remota)
Autenticazione
• I moderni sistemi tendono ad utilizzare logiche
di autenticazione a due o più fattori richiedono
cioè di presentare due o più forme di
identificazione per ottenere l’accesso,
tipicamente user-id e pwd associate ad un
token.
La biometria
• Per biometria, dal greco bios (vita) e metros (misura), si intende

l'identificazione automatica o la verifica dell'identità di un soggetto sulla
base di caratteristiche fisiche e/o comportamentali. Quando parliamo di
chiavi biometriche ci riferiamo all’uso delle impronte digitali, l’impronta
dell’iride, l’impronta del dna, l’impronta della pelle etc. Da un lato si ha
la necessità che mi devo identificare dall’altro che mi devo autenticare.
• Ad esempio l’utilizzo delle impronte digitali per entrare nell’area sicura
di un qualunque CED ministeriale, in questo caso viene confrontata
l’impronta con un set di impronte precedentemente dichiarate. Quindi
in sostanza si passa ad effettuare un’associazione di un’identità a dei
dati ed a verificare un’identità precedentemente dichiarata.
• Un altro tema è quello dell’uso delle firme scritte come strumento di
autenticazione.
Tecniche biometriche
l’identificazione biometrica
modalità di accesso
• Accesso profilato mediante credenziali di
autenticazione (username e password);
• Si può anche utilizzare la procedura di login
disponibile sul sistema operativo della postazione di
lavoro connessa in rete;
• Disattivazione dell’account in caso di prolungata
assenza o fuoriuscita dall’organizzazione;
• Utilizzo di modalità sostitutive in caso di assenza del
dipendente (ad es. invio automatico di messaggi di
posta elettronica ad un altro recapito.
un esempio concreto
Phishing
• Phishing
• Una truffa informatica che permette agli ideatori di carpire, attraverso un'email, i dati di
accesso personali alla propria banca on line. Arriva nella casella di posta elettronica
comunicando un imprecisato problema al sistema di "home banking".
• Invita ad aprire la home page della banca con cui avete il conto corrente gestito via web
e a cliccare sul link indicato nella mail.
• Subito dopo aver aperto il sito della banca vi si apre una finestra (pop-up) su cui digitare
la "user-id" e la "password" di accesso all'home banking. Dopo pochi secondi appare un
altro pop-up che vi informa che per assenza di collegamento non è possibile la
connessione. A questo punto qualcuno è entrato in possesso dei vostri dati e può fare
operazioni dal vostro conto.
Esempi
Prevenzione
• Prevenzione
• Inserire tra i preferiti (con refresh su Proprietà) lo script:
• javascript:alert("Direction real:"+location.protocol + "//" +
location.hostname + "/")
• Ogni volta che avrete un dubbio, utilizzatelo....
Pharming
• Pharming
• Il Pharming redirige gli utenti su server proxy, tipicamente attraverso DNS
hijacking o poisoning.
• Practice:
• The Chase bank phishing
Phishing
• Dear Chase account holder,
• We recently reviewed your account, and suspect that your Chase Internet Banking account may have been accessed by an unauthorized
third party. Protecting the security of your account and of the Chase Bank network is our primary concern. Therefore, as a preventative
measure, we have temporarily limited access to sensitive account features. To restore your account access, please take the following
steps to ensure that your account has not been compromised:
– Login to your Chase Internet Banking account. In case you are not enrolled for Internet Banking, you will have to use your Social
Security Number as both your Personal ID and Password.
– Review your recent account history for any unauthorized withdrawals or deposits, and check your account profile to make sure
not changes have been made. If any unauthorized activity has taken place on your account,
• report this to Chase staff immediately. www.chase.com/signon9SIGNON XCP=1010 We apologize for any inconvenience this may cause,
and appreciate your assistance in helping us maintain the integrity of the entire Chase system. Thank you for your prompt attention to
this matter. Sincerely,
• The Chase Bank Team
• Please do not reply to this e-mail. Mail sent to this address cannot be answered. For assistance, log in to your Chase Bank account and
choose the "Help" link in the header of any page.
• ® 2006 JPMorgan Chase & Co.security manager. All rights reserved. Becky Draftel
• Scott Mace
• Security Administrator
• Travelcenters of Ame
Phishing
• Phishing
• Investighiamo sul reale indirizzo della mail di phishing
•
Phishing
•PHISHING
I worms
I worms sono dei programmi maligni che traggono giovamento dalla

integrazione delle reti. Tipico è il caso dei c.d. worm (letteralmente verme),
malware che modifica il sistema aggredito in modo da essere eseguito
automaticamente. Esso si replica sfruttando per lo più su internet tant’è che
viene in genere trasportato attraverso messaggi di posta elettronica, venendo
allocato nei c.d. “attachment” o allegati. Tra i più famosi nonché pericolosi
worms si annoverano Nimda che è entrato in azione una settimana dopo i
tragici eventi dell’11 settembre 2001, infettò 8.300.000 pc e provocò danni
stimati in circa 650 milioni di dollari.
Spyware
•Oltre a virus e worm, tra i programmi maligni è opportuno menzionare gli spyware, i
trojan horse, le logic bomb e i web dialer.
•Lo spyware è un tipo di programma che raccoglie informazioni riguardanti l’attività on

line di un utente (ad esempio siti visitati, acquisti eseguiti in rete, etc,). La maliziosità di
tale software sta nel fatto che tali informazioni vengono carpite senza che l’utente stesso
ne sia informato preventivamente e dunque senza il consenso di lui. Lo spyware poi, una
volta acquisiti i dati e le notizie utili, provvederà a inoltrarli ad un database gestito quasi
sempre da organizzazioni commerciali, che sfrutteranno quei dati e quelle notizie per
trarne profitto. Dunque uno spyware viene realizzato non con il fine di danneggiare un
sistema (anzi l’attività di reperimento di informazioni ne presuppone l’integrità) bensì per
violare la privacy del cibernauta.
Il concetto
1. SCIENZA DELLA SICUREZZA

2. SAFETY
3. SECURITY
4. EMERGENCY
Sicurezza informatica
• Controllo della Sicurezza di un

• programma
• Semantic-Based Security model
• Security-Typed Language
• Errori di programma secondo IEEE
• ERROR
• FAILURE
• FAULT
• CODE OF GOOD PRACTICE Politiche di sicurezza (Security Police)

• Forniscono le direttive di gestione ed il supporto per le informazioni di
sicurezza
• SICUREZZA ORGANIZZATIVA
• (Security Organization)
• Controllo della sicurezza delle informazioni in seno all'azienda;
• Mantenere la sicurezza e la facilità dei processi organizzativi delle
informazioni anche quando accedono le parti terze;
• Monitorare la sicurezza delle informazioni quando la responsabilità
dell'elaborazione dell'informazione è stata conferita in outsource
• CONTROLLO E CLASSIFICAZIONI DEI BENI
• (asset Classification and Control)
• Mantenere la protezione dell'assetto organizzativo e garantire che l'assetto delle
informazioni riceva un appropriato
• livello di protezione
• SICUREZZA DEL PERSONALE
• (Personnel Security)
• Ridurre i rischi di errore,di frode o di abuso da parte degli operatori;
• Accertarsi che gli utenti siano informati delle possibili minacce e preoccupazioni
sulla sicurezza delle informazioni e siano dotati a sostenere la politica della società
sulla sicurezza nel corso del lavoro normale;
• Per minimizzare i danni dagli avvenimenti e dalle disfunzioni di sicurezza ed
imparare da tali avvenimenti;
• SICUREZZA FISICA E AMBIENTALE (Phisical and enviromental
Security)
• Impedire l'accesso, il danneggiamento e l'interferenza dei non
autorizzati all'interno del flusso delle informazioni del
business;
• Impedire la perdita danni all'assetto del sistema e la
interruzione delle attività economiche;
• Impedire la manomissione o il furto delle informazioni
• CONTROLLO DI ACCESSO (Access Control)
• Per controllare l'accesso alle informazioni;
• Per impedire l'accesso non autorizzato ai sistemi di informazione;
• Per accertare la protezione dei servizi in rete;
• Per impedire l'accesso non autorizzato nel calcolatore;
• per rilevare le attività non autorizzate;
• Per accertarsi della sicurezza delle informazioni quando sono utilizzate le
prestazioni mobili rete e tele rete;
• GESTIONE DI COMUNICAZIONI E OPERAZIONI
• (Communications and Operations Management)
• Accertarsi del corretto funzionamento e della facilità di elaborazione dell'informazione;
• Minimizzare il rischio di guasti dei sistemi;
• Proteggere l'integrità dei software e delle informazioni;
• mantenere l'integrità e la validità dei processi di elaborazione dell'informazione e della
comunicazione;
• garantire la salvaguardia delle informazioni in rete e la protezione delle infrastrutture a
supporto;
• Prevenire danni a beni e le interruzioni alle attività economiche;
• Impedire la perdita, la modifica o l'abuso delle informazioni scambiate fra le
organizzazioni
• Controllo di accesso (Access control)
• Per controllare l'accesso alle informazioni;
• Per impedire l'accesso non autorizzato ai sistemi di informazione;
• Per accertarsi della sicurezza delle informazioni quando sono utilizzate le
postazioni mobili rete e telerete.
• Per accertare la protezione dei servizi in rete; Per impedire l'accesso non
autorizzato nel calcolatore; Per rilevare le attività non autorizzate
• SVILUPPO E MANUTENZIONE DI SISTEMI (System Development and
Maintenance)
Accertare che la sicurezza sia stata costruita all'interno delle operazioni di
sistema;
• Per impedire la perdita,la modifica o il cattivo utilizzo dei dati dell'utente
all'interno dei sistemi di applicazione;
• Per proteggere la riservatezza l'autenticità e l'integrità delle in formazioni;
• Per accertarsi che le attività di progetto e supporto alle attività siano
condotte in modo sicuro e per mantenere la sicurezza del software e dei
dati del sistema
•
GESTIONE CONTINUITA'OPERATIVA (Business Continuity
Management)
Neutralizzare le interruzioni alle attività economiche ed ai processi
critici degli affari e dagli effetti dei guasti
• ADEGUATEZZA (Compliance)
• Evitare il mancato rispetto delle leggi civili,penali e di qualsiasi requisito di
sicurezza;
• ■ Per elevare l'efficacia e minimizzare l'interferenza per il processo di
verifica del sistema
• PRINCIPALI TECNICHE DI ATTACCO (HACKING)
• EXPLOIT
• BUFFER OVERFLOW
• SHELLCODE
• CRACKING
• BACKDOOR
• PORT SCANNING
• KEY LOGGING
• SNIFFING
• SPOOFING
• TROJAN
• DOS
• INGEGNERIA SOCIALE
• PRINCIPALI TECNICHE DI DIFESA
• CRITTOGRAFIA
• SISTEMA DI AUTENTICAZIONE
• FIRMA DIGITALE
• FIREWALL
• IDS(intrusion detection system)
• NIDS(network detention system)
• HONEYPOT
• STEGANOGRAFIA
• ANTI-SPYWARE
In Italia ...
■ 6° posto Computer Zombie;
■ Poste Italiane: 7° posto al mondo per Phishing e Pharming.
• Connessioni..
• ■ Italia 43% una volta al mese;
• ■ Spagna 45% una volta al mese;
RAM
Risultati..
Il 60 % degli autori dei reati informatici
vengono individuati
• Strategie a difesa degli Utenti Privati
• Monitoraggio della rete
• Raccolta delle denunce
• Tutela collettiva delle vittime
• Campagna di sensibilizzazione
•
• Monitoraggio della rete internet e dei suoi
principali servizi
• MODALITÀ' DEGLI ACCERTAMENTI
• E-MAIL
• -Analisi dell'header del messaggio email
• -individuazione dell' X-Originating-IP del messaggio
• -analisi del percorso tra i server di posta dal mittente al destinatario
• -studio della "data, ora, secondo, e riferimento standard temporale"
• Alla ricerca di una illogicità temporale
• FAKEMAIL ed Mail Anonime
ESEMPIO Comandi da dare su linea di comando:
• telnet mail.serverdiposta.it 25
• Risposta server SMTP
• Hello dominiodafingere.net
• Mail from: nome@dominiodafingere.net
• Rcpt to:<destinatario@dominiodestinatario.net>
• Data
• Testo messaggio .(punto) [INVIO]
• Magari usando un proxy per anonimizzarsi si evita di lasciare l'unica traccia (ip
• Covert Channels
• Un covert Channel è un canale di comunicazione parassita che sfrutta la
capacità trasmissiva di un canale di comunicazione legittimo.
• Mascheramento di scambio di informazione su traffico ordinario;
• Elusione di IDS e Firewalls;
• 2 tipologie:
• STORAGE CHANNELS: il canale informativo si instaura modificando
contenitori di dati come immagini o flussi di rete; (steganografia)
• TIMING CHANNELS: il canale informativo si instaura alterando le
tempistiche quali quelle tra una "request ed una "response" in un
protocollo; (lenti e poca larghezza di banda)
• Cosa succede se si usa la STEGANOGRAFIA su WWW???
• Paradigma della steganografia
•
• Si può nascondere l'informazione senza che il dato originale venga
'apparentemente' modificato, non facendo sorgere dubbi in chi lo dovesse
analizzare
• Si riesce a distribuire l'informazione in ogni parte della terra
Alcuni articoli importanti
Articolo 82 Diritto al risarcimento e responsabilità
1.Chiunque subisca un danno materiale o immateriale causato da una violazione
del presente regolamento ha il diritto di ottenere il risarcimento del danno dal
titolare del trattamento o dal responsabile del trattamento.
4.Qualora più titolari del trattamento o responsabili del trattamento oppure
entrambi il titolare del trattamento e il responsabile del trattamento siano
coinvolti nello stesso trattamento e siano, ai sensi dei paragrafi 2 e 3,
responsabili dell'eventuale danno causato dal trattamento, ogni titolare del
trattamento o responsabile del trattamento è responsabile in solido per l'intero
ammontare del danno, al fine di garantire il risarcimento effettivo
dell'interessato.
Alcuni articoli importanti
Articolo 30 Registri delle attività di trattamento
1.Ogni titolare del trattamento e, ove applicabile, il suo rappresentante tengono
un registro
delle attività di trattamento svolte sotto la propria responsabilità. Tale registro
contiene tutte le seguenti informazioni:
2.Ogni responsabile del trattamento e, ove applicabile, il suo rappresentante
tengono un registro di tutte le categorie di attività relative al trattamento svolte
per conto di un titolare del trattamento, contenente:
Il log manger
“La figura dell’amministratore di sistema”
Dott. Antonio Guzzo

DPO CERTIFIED
Sommario
• La figura dell’Amministratore di sistema;
• La criticità del ruolo;
• Il profilo;
• Le tracce;
• Le sanzioni;
• Le prescrizioni del garante;
• Le indicazioni del Garante per la rottamazione dei pc;
Il Log Manager
Gli ''amministratori di sistema'' (log manager) sono figure essenziali per la sicurezza
delle banche dati e la corretta gestione delle reti telematiche.
Sono esperti chiamati a svolgere delicate funzioni che comportano la concreta
capacità di accedere a tutti i dati che transitano sulle reti aziendali ed istituzionali. Ad
essi viene affidato spesso anche il compito di vigilare sul corretto utilizzo dei sistemi
informatici di un'azienda o di una pubblica amministrazione.
Il Garante della Privacy con il provvedimento del 27 novembre 2008 pubblicato sulla «Gazzetta
Ufficiale» 300 del 24 dicembre 2008 ha prescritto l'adozione di specifiche misure tecniche
ed organizzative a tutti «coloro che svolgono mansioni analoghe in rapporto a sistemi
di elaborazione e banche di dati», come gli amministratori di basi di dati (data base
administrator), gli amministratori di reti e di apparati di sicurezza (network
administrator) e gli amministratori di sistemi software complessi, che agevolino la
verifica sulla sua attività da parte di chi ha la titolarità delle banche dati e dei sistemi
informatici.
Il Log Manager
Il Garante ha così previsto la registrazione degli accessi che viene
effettuata mediante
L’adozione di sistemi di controllo che consentano la registrazione degli
accessi effettuate dagli amministratori di sistema ai sistemi di
elaborazione e agli archivi elettronici. Le registrazioni devono
comprendere i riferimenti temporali e la descrizione dell'evento che le ha
generate e devono essere conservate per un congruo periodo, non
inferiore a sei mesi;
La verifica della attività:
•Verifica almeno annuale da parte dei titolari del trattamento sulla
rispondenza dell'operato degli amministratori di sistema alle misure
organizzative, tecniche e di sicurezza previste dalla legge per i trattamenti
di dati personali
Il Log Manager
• L'elenco degli amministratori di sistema e loro caratteristiche:
• Ciascuna azienda o soggetto pubblico dovrà inserire nel documento programmatico
della sicurezza o in un documento interno (disponibile in caso di accertamenti da
parte del Garante) gli estremi identificativi degli amministratori di sistema e l'elenco
delle funzioni loro attribuite.
• Dovranno infine essere valutate con attenzione esperienza, capacità, e affidabilità
della persona chiamata a ricoprire il ruolo di amministratore di sistema, che deve
essere in grado di garantire il pieno rispetto della normativa in materia di
protezione dei dati personali, compreso il profilo della sicurezza
Il Log Manager
L'amministratore di sistema, per lo svolgimento delle proprie mansioni,
infatti, potrebbe avere accesso agli elaboratori in uso ai singoli lavoratori,
ponendo un problema di rispetto del divieto del controllo a distanza.
L'informativa preventiva del datore di lavoro consentirà un bilanciamento
degli opposti interessi. Nel caso di servizi di amministrazione di sistema
affidati in outsourcing il titolare deve conservare direttamente e
specificamente, per ogni eventuale evenienza, gli estremi identificativi delle
persone fisiche preposte quali amministratori di sistema.
Il lavoro dell'amministratore di sistema deve essere tracciabile e il
provvedimento prescrive la registrazione degli accessi ai sistemi di
elaborazione e agli archivi elettronici da parte degli amministratori di
sistema.
La criticità del ruolo
• La criticità del ruolo dell’Amministratore
• Il legislatore con l’introduzione di questo provvedimento normativo ha voluto dare risalto a
questa figura in quanto alla luce delle nuove tecnologie introdotte con il controllo dei sistemi
su rete, riveste un ruolo predominante in quanto diventa il depositario dei “segreti” presenti
all’interno dell’organizzazione che esso stesso amministra. Infatti tale criticità si evince
anche dalle lettura del provvedimento che continua “la rilevanza, la specificità e la particolare
criticità del ruolo dell'amministratore di sistema sono state considerate anche dal legislatore
il quale ha individuato, con diversa denominazione, particolari funzioni tecniche che, se
svolte da chi commette un determinato reato, integrano ad esempio una circostanza
aggravante.
• Ci si riferisce, in particolare, all'abuso della qualità di operatore di sistema prevista dal
codice penale per le fattispecie di accesso abusivo a sistema informatico o telematico (art.
615-ter) e di frode informatica (art. 640-ter), nonché per le fattispecie di danneggiamento
di informazioni, dati e programmi informatici (articoli 635-bis e ter) e di danneggiamento di
sistemi informatici e telematici (articoli 635-quater e quinquies) di recente modifica”.
Il profilo
I punti principali dell'intervento del Garante con dirette implicazioni operative in azienda sono i seguenti:
•l'amministratore di sistema deve possedere specifici requisiti soggettivi; il soggetto che ricopre tale ruolo va
designato in via individuale; l'elenco degli amministratori di sistema deve essere reso pubblico; i log vanno
tracciati e il titolare è tenuto a vigilare sul suo operato.
Il profilo
•I presupposti fondanti della mansione di amministratore di sistema sono la competenza tecnica e la moralità.
•La scelta da parte del titolare del trattamento deve, pertanto, avvenire «previa valutazione dell'esperienza,
della capacità e dell'affidabilità del soggetto designato» anche per quanto attiene il rispetto della norma e delle
misure di sicurezza. In sostanza, si tratta dei medesimi presupposti di valutazione per la nomina a Responsabile
del trattamento.
• Diversamente da quanto consentito in linea generale per gli incaricati del trattamento (che possono essere
designati anche con riferimento a classi di appartenenza), la designazione dell'amministratore di sistema deve
essere sempre individuale (nel senso che occorre un atto scritto di nomina per il singolo soggetto
individuato) con specifica analitica dell'ambito di operatività consentita secondo il profilo di autorizzazione
assegnato.
•Da queste disposizioni emerge come la figura di amministratore di sistema si aggiunga a pieno titolo ai ruoli
privacy codificati di titolare, responsabile e incaricato del trattamento.
L’access log
L’access log
Per access log si intende la registrazione degli eventi generati dal sistema d’autenticazione informatica
all'atto dell'accesso o tentativo di accesso da parte di un amministratore di sistema o all'atto della sua
disconnessione nell'ambito di collegamenti interattivi a sistemi di elaborazione o a sistemi software
Inalterabilità dei log
I titolari potranno ritenere di adottare sistemi più sofisticati, quali i log server centralizzati e "certificati". La
generazione del log degli "accessi" (login) e la loro archiviazione per almeno sei mesi in condizioni di
ragionevole sicurezza e con strumenti adatti
Sistemi da monitorare
Gli accessi logici da sottoporre a monitoraggio riguardano:
· accesso al sistemi operativo
· accesso agli archivi elettronici (sono comprese le autenticazioni nei confronti dei data base management
systems (DBMS).
Finalità degli audit
• Verificare anomalie nella frequenza degli accessi e nelle loro modalità (ora, durata, sistemi a cui si è fatto
accesso). L'analisi dei Log può essere compresa tra i criteri di valutazione dell'operato degli amministratori
di sistema.
Le tracce
•Le tracce
•Gli accessi logici ai sistemi di elaborazione e agli
archivi elettronici da parte degli amministratori di
sistema devono essere registrati da adeguati sistemi
informatici. Il sistema adottato deve garantire che
ciascuna registrazione (il log di accesso) sia completa
(cioè, comprensiva del riferimento temporale e della
descrizione dell'evento che l'ha generato), non
alterabile e verificabile a posteriori, in modo da
soddisfare lo scopo di controllo per cui se ne richiede
l'adozione.
I log vanno conservati per non meno di sei mesi.
Nell'ambito degli obblighi di verifica del titolare del
trattamento sulla tenuta del sistema data protection,
il recente provvedimento del Garante include anche
il controllo, almeno annuale, della rispondenza
dell'operato degli amministratori alle misure previste
Le sanzioni
•Tutti gli interessati sono chiamati a una verifica dei propri sistemi con oltre due mesi di
tempo in più. Peraltro non pare che tutti i sistemi operativi in uso siano dotati di tale
possibilità e pertanto è necessario accertarsi su come regolarizzarsi.
Anche per non incorrere nelle sanzioni amministrative e penali, di recente aumentate
dal decreto mille proroghe, per omessa adozione di misure di sicurezza minime (art.
169 del Dlgs. 196/2003 di recente novellato).
Le sanzioni:
Articolo 169
Art. 169. Misure di sicurezza (1)

•1. Chiunque, essendovi tenuto, omette di adottare le misure minime previste dall'articolo 33 è punito con
l'arresto sino a due anni.
•2. All'autore del reato, all'atto dell'accertamento o, nei casi complessi, anche con successivo atto del Garante,
è impartita una prescrizione fissando un termine per la regolarizzazione non eccedente il periodo di tempo
tecnicamente necessario, prorogabile in caso di particolare complessità o per l'oggettiva difficoltà
dell'adempimento e comunque non superiore a sei mesi. Nei sessanta giorni successivi allo scadere del
termine, se risulta l'adempimento alla prescrizione, l'autore del reato è ammesso dal Garante a pagare una
somma pari al quarto del massimo della sanzione stabilita per la violazione amministrativa. L'adempimento e il
pagamento estinguono il reato. L'organo che impartisce la prescrizione e il pubblico ministero provvedono nei
modi di cui agli articoli 21, 22, 23 e 24 del decreto legislativo 19 dicembre 1994, n. 758, e successive
modificazioni, in quanto applicabili.
(1) Così modificato legge 27 febbraio 2009, n. 41 di conversione, con modificazioni, del decreto-legge n. 207 del
30 dicembre 2008
Le prescrizioni
del garante
Le prescrizioni
del garante
Le regole del Garante
GENNAIO 2009
Le regole del Garante per gli amministratori di sistemi elettronici
È la conseguenza del provvedimento del Garante della privacy 27 novembre 2008 pubblicato
sulla «Gazzetta Ufficiale» 300 del 24 dicembre scorso. Un intervento che ha importanti
ripercussioni sul sistema privacy aziendale Come rilevato nel recente provvedimento
dell'Authority, infatti, «gran parte dei compiti previsti nel medesimo allegato B spettano
tipicamente all'amministratore di sistema». L'intervento del Garante - Con il recente
provvedimento l'Autorità della privacy ha destinato apposite disposizioni agli amministratori di
sistema e, in generale, a tutti «coloro che svolgono mansioni analoghe in rapporto a sistemi di
elaborazione e banche di dati», come gli amministratori di basi di dati (data base
administrator), gli amministratori di reti e di apparati di sicurezza (network administrator) e gli
amministratori di sistemi software complessi.
Alle nuove misure devono attenersi tutti i titolari di trattamento, sia pubblici (compresi quelli
effettuati in ambito giudiziario e di forze di polizia) che privati, ad eccezione dei trattamenti
svolti per finalità amministrativo-contabili, ambito che ha già beneficiato delle misure di
semplificazione in materia di documento programmatico sulla sicurezza.
L’elenco
•L'elenco
•Per soddisfare le esigenze di conoscibilità e quelle delle attività ispettive, l'elenco degli
amministratori di sistema, con l'indicazione degli estremi identificativi delle persone fisiche
designate e comprensivo della descrizione delle funzioni a esse assegnate, va inserito nel
documento programmatico sulla sicurezza (Dps). Se il titolare non è tenuto a redigere il Dps,
l'elenco va annotato in un «documento interno da mantenere aggiornato e disponibile in caso di
accertamenti da parte del Garante». Sempre al fine di soddisfare adeguate forme di pubblicità, il
Garante ha inoltre disposto che le informazioni dell'elenco siano rese pubbliche ai lavoratori
quando le funzioni degli amministratori di sistema riguardino servizi che utilizzano dati personali
dei dipendenti.
•Tale comunicazione può avvenire nelle forme più idonee ad assicurarne la divulgazione all'interno
dell'organizzazione. Per esempio, nel testo dell'informativa (articolo 13 del Codice), all'interno del
documento di linee guida per l'uso delle apparecchiature aziendali, nell'eventuale intranet, in
circolari o bollettini.
Sicurezza pc 1
Le indicazioni del Garante per rottamare il computer senza rischi per i dati contenuti
•I personal computer contengono spesso informazioni importanti, dati sensibili e documenti riservati. È
accaduto più di una volta che all'interno di apparecchiature elettroniche, acquistate usate da un rivenditore,
siano stati trovati dei dati sensibili.
•Clamoroso il caso di un manager inglese che ha acquistato per 44 euro un disco rigido usato attraverso eBay
e vi ha trovato i dati di un milione di clienti di American Express, della Banca Reale di Scozia e della Narwest:
numeri di conto corrente, firme e numeri di cellulari erano lì a sua disposizione.
•Responsabilità e rimedi - Il problema riguarda tutti gli apparecchi elettronici, anche i cellulari. Il Garante ha
ribadito che la responsabilità dei controlli spetta a chi si occupa del reimpiego o del riciclaggio di questi
apparecchi, ma ha anche sottolineato l'importanza di un'adeguata informazione soprattutto tra chi lavora nelle
aziende e nelle pubbliche amministrazioni.
•Ma il problema dell'e-waste, cioè dei rifiuti elettronici, riguarda chiunque sia in possesso di dati relativi a sé
o terze persone.
•La semplice cancellazione dei file o la formattazione dell'hard disk non sono un rimedio completo: i dati
restano infatti presenti e tecnicamente sono recuperabili, sono sufficienti un po' di abilità e un programma di
riscrittura. Tra le misure più efficaci ci sono invece alcuni accorgimenti, come stare attenti all'uso del
computer, ricorrere a file cifrati o seguire tecniche di memorizzazione sicura, sistemi che comunque
richiedono la memorizzazione di parole-chiave note solo al possessore del pc. Più semplice è invece l'utilizzo
di appositi software per la cancellazione quando si decide di liberarsi del proprio computer.
Sicurezza pc 2
•Programmi che però sono utilizzabili solo se l'apparecchio è ancora funzionante.
•Misure estreme - Se invece il nostro pc è completamente fuori uso si dovrà ricorrere a un
processo di demagnetizzazione - detto degaussing - che azzera tutte le aree di memoria
elettronica rendendole inutilizzabili.
•I degausser permettono di cancellare le aree magnetiche delle superfici dei dischi o di altre
memorie solide, agendo anche sui circuiti elettronici che fanno parte del dispositivo e rendendoli
inutilizzabili. Inoltre, una soluzione drastica ma efficace è la distruzione fisica del dispositivo di
memorizzazione. Questo metodo è l'unico efficace nel caso di supporti ottici di sola lettura,
come cd-rom o dvd, che possono essere polverizzati tramite apposite macchine.
•Se ogni ufficio è già da tempo attrezzato con il "tritacarta" per distruggere i documenti cartacei,
d'ora in poi è bene che siano forniti anche di apparecchi specifici, ad esempio di un dispositivo
che, collegato alla porta Usb del computer, graffia la superficie di cd e dvd rendendoli illeggibili
(una manovra che comunque, con un po' più di tempo, può essere fatta anche manualmente).
•Gli hard-disk, invece, possono essere distrutti aprendo l'involucro protettivo e danneggiando
le superfici magnetiche con appositi punzonatori.
La nomina di responsabili
esterni
• Contratti ad hoc o nomina di responsabili esterni per avere in outsourcing il servizio di
amministrazione di sistema, controllo sui singoli tecnici affidato ai gestori esterni.
• Le novità introdotte dal provvedimento del garante del 25 giugno 2009 pubblicato sulla
Gazzetta Ufficiale Serie Generale n° 149 del 30-6-2009, ha modificato il provvedimento del 27
novembre 2008 recante prescrizioni ai titolari dei trattamenti effettuati con strumenti
elettronici relativamente alle attribuzioni di amministratore di sistema e che ha prorogato i
termini per il loro adempimento al 15 dicembre 2009 riguardano contratti ad hoc o nomina
di responsabili esterni per avere in outsourcing il servizio di amministrazione di sistema,
controllo sui singoli tecnici affidato ai gestori esterni.
• Modifiche che toccano soprattutto il caso in cui il servizio di amministratore di sistema è
affidato in outsourcing a un operatore esterno, magari di grandi dimensioni, che si avvale di
numerosi addetti con funzione di amministratore di sistema. Il provvedimento del garante
indicava una sola forma di nomina dell'amministratore di sistema e cioè la nomina individuale
di una persona fisica. La nomina, persona per persona, se è semplice in una piccola
organizzazione, diventa oggettivamente complicata quando ci si rivolge a una società esterna
che ha un numero alto di dipendenti.
La nomina di responsabili
esterni
• Nel testo modificato del provvedimento è stato inserito, nel dispositivo, il
n. 3-bis, con il quale il garante dispone che l'eventuale attribuzione al
responsabile del compito di dare attuazione alle prescrizioni di
conservazione dei nominativi delle persone fisiche amministratori di
sistema e di monitoraggio sulle stesse avvenga nell'ambito della
designazione del responsabile da parte del titolare del trattamento, ai
sensi dell'articolo 29 del Codice della privacy, o anche tramite opportune
clausole contrattuali. In sostanza il titolare del trattamento (impresa,
ente pubblico, professionista) nominano amministratore di sistema un
soggetto esterno (ad esempio la società di grosse dimensioni) e vi sono
due possibilità: o il soggetto esterno è nominato responsabile del
trattamento oppure si stipulano con lo stesso «opportune clausole
contrattuali».
Cloud Computing: Definizione
• Per cloud computing si intende un modello flessibile
ed economico di fornitura di servizi ICT reso
possibile dall’accesso online a massicce risorse
informatiche condivise.
• In tali sistemi potenza elaborativa, db, applicazioni e
servizi tendono a divenire delle commodity, cioè
beni standard acquistabili in forme essenzialmente
equivalenti fra loro dai Cloud Service Provider (CSP)
presenti sul mercato.
Cloud e la sua evoluzione
Cloud e virtualizzazione
Un modello di Cloud
Cloud Computing - Definizione
181
Cloud Computing - Necessità
• Il cloud computing sta diventando sempre più un

esigenza per le aziende in quanto consente il
contenimento dei costi ict, snellisce i processi e
riorganizza la dotazione tecnologica senza dover
aggiornare necessariamente il parco macchine
esistente
Cloud Computing e UE
• La UE sta finanziando progetti specifici sul cloud computing.

Ciò consente la crescita dei livelli di sicurezza, secondo le
specifiche e gli standard dei singoli governi e la possibilità
di realizzare forme di “community cloud” che coinvolgano
determinate amministrazioni che condividano, all’interno del
Paese, interessi, obiettivi, requisiti di privacy e legali.
• A livello UE si moltiplicano i riferimenti al cloud computing
nei documenti strategici (Digital Agenda for Europe, EU
Cloud Initiative, eGovernment Action Plan 2011 - 2015) e nei
principali programmi (programma ISA, 7° programma quadro
di ricerca, programma CIP – ICT PSP).
Cloud Computing ed ENISA
Esempi di Cloud -
Esempi di Cloud - CISCO
Cloud Computing – il Comune di Catania
187
Cloud Computing – I Benefici
• I benefici del cloud computing
• Nel back-office produce rilevanti economie di scala
accentrando le risorse e favorendo la flessibilità e
l’integrazione dei differenti sistemi ICT;
• Nel front-office contribuisce a concentrare
l’attenzione sull’utente finale e ad abbattere i costi
di intermediazione;
• Consente l’ammodernamento dei sistemi
informativi attraverso la virtualizzazione delle
risorse hardware.
• Il cloud consentirebbe alla aziende economie di scala

ed abolirebbe le forme di ridondanza caratteristiche
degli attuali sistemi informativi centralizzati ma senza
rinunciare alla possibilità di avere ambienti
virtualizzati separati;
• sarà possibile avere una maggiore elasticità nella
fornitura di soluzioni tecnologiche;
191
192
• Razionalizzazione delle risorse umane

dedicate all’assistenza tecnica;
• Contenimento degli oneri connessi alla
manutenzione dell’hardware e di gestione
della piattaforma
• I vantaggi strategici che è possibile perseguire
attraverso il cloud computing comprendono
• la riduzione dei costi dell’ICT (hardware, software di
base e applicativo, energia elettrica, personale)
• la promozione di una ICT condivisa, capace di
erogare servizi online a tutti.
Cloud computing: alcuni esempi
• Il cloud nelle sue diverse sfaccettature

(IaaS/Paas/SaaS, privato/pubblico/di
comunità/ibrido ecc.) interessa non solo per il
risparmio e la razionalizzazione che può portare nei
data center ma anche per la prospettiva di
realizzare infrastrutture condivise che potranno
facilitare la progettazione, la realizzazione e la
gestione dei sistemi informativi, migliorando in
prospettiva tra le aziende e i clienti.
IaaS/Paas/SaaS
IaaS/Paas/SaaS
Private Cloud - IaaS
Dal Legacy al cloud computing
199
Dal Legacy al Cloud Computing
200
Dal Legacy al Cloud Computing
201
Cloud - Conclusioni
•Il cloud può rappresentare una grande opportunità per il

consolidamento dei data center della grandi aziende e cioè
con la conseguente riduzione dei data center e la
formazione dei data center comuni (community cloud)
•Consolidare e virtualizzare i server, lo storage e le reti degli
attuali data center mediante la sperimentazione di cloud
privati
202

INDO - Guzzo Antonio 27-2-18

Загружено:

Сведения о документе

Авторское право

Доступные форматы

Поделиться этим документом

Поделиться или встроить документ

Параметры публикации

Этот документ был вам полезен?

Это неприемлемый материал?

Авторское право:

Доступные форматы

INDO - Guzzo Antonio 27-2-18

Загружено:

Авторское право:

Доступные форматы

LE MISURE ADEGUATE DI

“Le misure di sicurezza nell’era del

Dott. Antonio Guzzo

o Il concetto di sicurezza informatica

• la sicurezza informatica è quando un sistema si

Il 4 aprile 2017 è stata pubblicata, sulla Gazzetta

Può essere assunto come base di riferimento

Deve essere adottato dalle organizzazioni

In questo quadro diviene fondamentale la

In primo luogo le vulnerabilità sono l’elemento

La sesta classe deve la sua considerazione al

L’ultima classe, la Protezione dei Dati, deve la

INVENTARIO DEI SOFTWARE AUTORIZZATI E NON AUTORIZZATI

PROTEGGERE LE CONFIGURAZIONI DI HARDWARE E SOFTWARE SUI DISPOSITIVI MOBILI,

USO APPROPRIATO DEI PRIVILEGI DI AMMINISTRATORE

DIFESE CONTRO I MALWARE

PROTEZIONE DEI DATI

• ABSC 2 (CSC2): Inventario dei software autorizzati e non autorizzati

• ABSC 3 (CSC3): Proteggere le configurazioni di hardware e software sui

dispositivi mobili, laptop, workstation e server

• ABSC 5 (CSC5): Uso appropriato dei privilegi di amministratore

• ABSC 8 (CSC8): Difese contro i malware

• ABSC 10 (CSC10): Copie di sicurezza

• ABSC 13 (CSC13): Protezione dei dati

Il livello minimo prevede l’implementazione,

1.3.1 Aggiornare l’inventario quando nuovi dispositivi approvati vengono

2.3.1 Eseguire regolari scansioni sui sistemi al fine di rilevare la presenza di

4.5.1 Installare automaticamente le patch e gli aggiornamenti del software sia

5.1.2 Utilizzare le utenze amministrative solo per effettuare operazioni che ne

5.2.1 Mantenere l’inventario di tutte le utenze amministrative, garantendo che

5.3.1 Prima di collegare alla rete un nuovo dispositivo sostituire le credenziali

5.7.3 Assicurare che le credenziali delle utenze amministrative vengano sostituite

5.10.1 Assicurare la completa distinzione tra utenze privilegiate e non privilegiate

5.10.3 Le utenze amministrative anonime, quali “root” di UNIX o “Administrator”

5.11.1 Conservare le credenziali amministrative in modo da garantirne

5.11.2 Se per l’autenticazione si utilizzano certificati digitali, garantire che le chiavi

Il livello minimo impone l’installazione e l’aggiornamento

8.1.2 Installare su tutti i dispositivi firewall ed IPS personali.

8.7.1 Disattivare l’esecuzione automatica dei contenuti al momento della

8.7.3 Disattivare l’apertura automatica dei messaggi di posta elettronica.

8.7.4 Disattivare l’anteprima automatica dei contenuti dei file.

8.8.1 Eseguire automaticamente una scansione anti-malware dei supporti

8.9.2 Filtrare il contenuto del traffico web.

Il livello minimo da garantire stabilisce di

Sicurezza del trattamento

1. Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché

a) la pseudonimizzazione e la cifratura dei dati personali;

I dati pseudonimi, a differenza di quelli anonimizzati, sono comunque

Due metodi tipici sono appunto il mascheramento e l’utilizzo dei tag.

il primo sistema di crittografia a chiave pubblica passò alla storia come

b) la capacità di assicurare su base permanente la riservatezza, l’integrità, la

3. L’adesione a un codice di condotta approvato di cui all’articolo 40 o a un

4. Il titolare del trattamento e il responsabile del trattamento fanno sì che

IL DATA BREACH violazioni della sicurezza

Le sanzioni amministrative e pecuniarie in

• - La notifica di eventuali violazioni di dati dovrà avvenire possibilmente

• - L’articolo 33 GDPR ha introdotto l’obbligo generalizzato, in capo al

➢ descrivere la natura della violazione dei dati personali compresi, ove

La comunicazione di DATA BREACH art. 34

• Comunicazione di una violazione dei dati personali

Non è richiesta la comunicazione all’interessato se:

✓ il titolare del trattamento ha messo in atto le misure tecniche ed

✓ Il titolare del trattamento ha successivamente adottato misure atte

✓ Detta comunicazione richiederebbe sforzi sproporzionati. In tale