PA: il Garante Privacy chiede più tutele per chi segnala gli illeciti

Parere favorevole alle linee guida Anac sul cosiddetto “whistleblowing”, ma con alcune integrazioni

Adottare ulteriori misure per proteggere l’identità di chi segnala riservatamente condotte illecite e quella dei presunti autori, delineare più precisamente i fatti che possono essere segnalati con il “whistleblowing” nella Pa, definire meglio il ruolo dei soggetti coinvolti.

Queste sono alcune delle condizioni e osservazioni indicate dal Garante per la privacy nel parere sulla bozza di “Linee guida in materia di tutela degli autori di segnalazioni di reati o irregolarità di cui siano venuti a conoscenza in ragione di un rapporto di lavoro, ai sensi dell’art. 54-bis del d.lgs. 165/2001, (c.d. whistleblowing)”, predisposta dall’Anac.

Le Linee guida – rivolte ai datori di lavoro in ambito pubblico, ma contenenti anche indicazioni per l’inoltro di segnalazioni da parte di dipendenti di imprese fornitrici di beni o servizi per la Pa – specificano le misure tecniche di base che le pubbliche amministrazioni, titolari del trattamento dei dati, dovranno adottare ed eventualmente ampliare, tenendo conto degli specifici rischi del trattamento e nel rispetto dei principi di privacy-by-design e privacy-by-default.

Il testo delle linee guida era stato inizialmente posto dall’Autorità anticorruzione in consultazione pubblica e poi integrato sulla base di una positiva collaborazione con il Garante per la privacy, così da rafforzare la tutela della speciale riservatezza dell’identità del segnalante e delle informazioni che facilitano l’individuazione di fenomeni corruttivi nella Pa.Tale collaborazione aveva portato anche a delineare meglio, ad esempio, il ruolo dei fornitori di applicativi e servizi informatici utilizzati per l’acquisizione e la gestione delle segnalazioni, nonché a proporre accorgimenti specifici per evitare la tracciabilità del segnalante.

Il parere favorevole del Garante privacy è però condizionato – anche alla luce degli esiti di attività ispettive avviate nel corso del 2019 proprio nei confronti dei principali soggetti (società informatiche, pubbliche amministrazioni) che trattano dati nell’ambito del whistleblowing – all’introduzione di specifiche modifiche che possano evitare di compromettere la corretta gestione delle segnalazioni.

Al fine di incrementare l’utilizzo e la fiducia in questo strumento, il Garante ha chiesto, ad esempio, che nelle Linee guida vengano circoscritte e definite meglio le condotte segnalabili con il “whistleblowing”, così da evitare che gli uffici che gestiscono le segnalazioni rischino di trattare illecitamente i dati delle persone citate, magari perché riferibili a casi non previsti dalla normativa anticorruzione. Dovranno poi essere specificati meglio – seppure con alcune limitazioni a tutela dell’identità del segnalante – i diritti garantiti dalla normativa privacy anche all’autore del presunto illecito.

Dovrà inoltre essere limitata al “responsabile della prevenzione della corruzione e della trasparenza” la possibilità di associare la segnalazione all’identità del segnalante. Nel parere è indicato, tra l’altro, che occorre specificare meglio il ruolo svolto nel trattamento dei dati dai soggetti (sia interni all’amministrazione, sia esterni come l’Autorità giudiziaria e la Corte dei Conti) che possono conoscere le informazioni contenute nelle segnalazioni riservate.

Il Garante ha infine chiesto all’Anac di rafforzare nelle Linee guida le misure tecniche e organizzative necessarie per tutelare l’identità del segnalante, utilizzando, ad esempio, protocolli sicuri per la trasmissione dei dati, abilitando accessi selettivi ai dati contenuti nelle segnalazioni, ed evitando che la piattaforma invii al segnalante notifiche sullo stato della pratica, in quanto tali messaggi potrebbero consentire di svelarne l’identità.

Fonte
Garante per la Protezione dei Dati Personali

20 Dicembre 2019

Lavoro: è illecito mantenere attivo l’account di posta dell’ex dipendente .

Lavoro: è illecito mantenere attivo l’account di posta dell’ex dipendente

Commette un illecito la società che mantiene attivo l’account di posta aziendale di un dipendente dopo l’interruzione del rapporto di lavoro e accede alle mail contenute nella sua casella di posta elettronica. La protezione della vita privata si estende anche all’ambito lavorativo.

Questi i principi ribaditi dal Garante per la privacy nel definire il reclamo di un dipendente che lamentava la violazione della disciplina sulla protezione dei dati da parte della società presso la quale aveva lavorato.

L’ex dipendente contestava, in particolare, alla società la mancata disattivazione della email aziendale e l’accesso ai messaggi ricevuti sul suo account. L’interessato era venuto a conoscenza di questi fatti per caso, nel corso di un giudizio davanti al giudice del lavoro promosso nei suoi confronti dalla sua ex azienda, avendo quest’ultima depositato agli atti una email giunta sulla sua casella di posta un anno dopo la cessazione dal servizio.

Dagli accertamenti svolti dall’Autorità è emerso che l’account di posta era rimasto attivo per oltre un anno e mezzo dopo la conclusone del rapporto di lavoro prima della sua eliminazione, avvenuta solo dopo la diffida presentata dal lavoratore. In questo periodo la società aveva avuto accesso alle comunicazioni che vi erano pervenute, alcune anche estranee all’attività lavorativa del dipendente.

Il Garante ha ritenuto illecite le modalità adottate dalla società perché non conformi ai principi sulla protezione dei dati, che impongono al datore di lavoro la tutela della riservatezza anche dell’ex lavoratore. Subito dopo la cessazione del rapporto di lavoro, un’azienda deve infatti rimuovere gli account di posta elettronica riconducibili a un dipendente, adottare sistemi automatici con indirizzi alternativi a chi contatta la casella di posta e introdurre accorgimenti tecnici per impedire la visualizzazione dei messaggi in arrivo.

L’adozione di tali misure tecnologiche – ha spiegato il Garante – consente di contemperare l’interesse del datore di lavoro di accedere alle informazioni necessarie alla gestione della propria attività con la legittima aspettativa di riservatezza sulla corrispondenza da parte di dipendenti/collaboratori oltre che di terzi. Lo scambio di email con altri dipendenti o con persone esterne all’azienda consente infatti di conoscere informazioni personali relative al lavoratore, anche solamente dalla visualizzazione dei dati esterni delle comunicazioni (data, ora oggetto, nominativi di mittenti e destinatari).

Oltre a dichiarare l’illecito trattamento, il Garante ha quindi ammonito la società a conformare i trattamenti effettuati sugli account di posta elettronica aziendale dopo la cessazione del rapporto di lavoro alle disposizioni e ai principi sulla protezione dei dati ed ha disposto l’iscrizione del provvedimento nel registro interno delle violazioni istituito presso l’Autorità. Tale iscrizione costituisce un precedente per la valutazione di eventuali future violazioni.

Fonte
Garante per la Protezione dei Dati Personali

Libra ESVA : come lavorano i livelli di analisi

Libraesva Email Security Gateway protegge la tua azienda identificando tutti i tipi di minacce diffusE via email.
Grazie a un motore dotato di apprendimento automatico, a 14 livelli di analisi avanzata e alle sandbox proprietarie, Libraesva Email Security Gateway fornisce una protezione a 360° contro tutte le minacce di nuova generazione quali Business Email Compromise (BEC), ransomware, phishing, trojan, virus, spam e malware.

GREYLISTING
La tecnica di greylisting genera una tripletta di dati per ogni messaggio email in arrivo:
▪ l’ indirizzo ip dell’host mittente
▪ l’ indirizzo e-mail del mittente
▪ l’indirizzo e-mail del destinatario
che viene poi controllata con le triplette registrate nel database.
Se questa tripletta non è ancora stata registrata, l’e-mail viene messa in “lista grigia” per un piccolo periodo di tempo, e viene rifiutata temporaneamente, perciò un server legittimo ritenterà l’invio dell’e-mail, mentre poiché la maggior parte dei server utilizzati dagli spammer non ritentano l’invio della mail, il messaggio spam non verrà mai recapitato al destinatario.

PUBLIC RBL CHECK
Tutti i sistemi antispam fanno uso delle Realtime Black List (RBL). A differenza di una blacklist, la real-time blacklist rifiuta tutti i messaggi provenienti da indirizzi TCP/IP noti per essere
fonti di spam o ospitare gli spammer. Grazie a queste liste, tutta la posta elettronica proveniente da tali indirizzi viene rifiutata.

LOCAL RBL CHECK
Libra Esva ha una esclusiva funzionalità che prevede l’utilizzo di una Local RBL dinamicamente aggiornata.
Il motore antispam mantiene una statistica oraria per le ultime 23 ore di ciascun indirizzo IP che manda mail attraverso Libra Esva. Le informazioni raccolte su ciascun indirizzo IP sono:
▪ il numero di mail spedite
▪ il numero di messaggi buoni
▪ il numero di messaggi di spam
Un particolare indirizzo IP verrà bloccato dal servizio Local RBL se avrà inviato più di n messaggi di spam nelle ultime 23 ore.

IP ANALYSIS
Libra Esva effettua una serie di analisi ulteriori sugli indirizzi IP dei mittenti, quali ad esempio il controllo dei DNS e la loro corretta configurazione.

SENDER AUTH
Dichiarare un indirizzo mittente falso è una pratica molto comune tra gli spammer! Tra i numerosi controlli per individuare falsi mittenti:
▪ Protocol Compliance (ad esempio RFC821)
▪ DNS Lookup
▪ Sender Policies
▪ SPF Checks (Sender Policy Framework)

RECIPIENT VERIFICATION
Molti spammer effettuano attacchi utilizzando indirizzi di destinatari invalidi. Libra Esva effettua la verifica dell’esistenza del destinatario sul mail server interno e rifiutando tutte le email non valide. Include un plugin LDAP per l’importazione da Microsoft Exchange ed un file import CSV per gli altri server.

NETWORK CHECKS
Libra Esva interroga in tempo reale alcuni database internet per lo spam, quali Razor, Pyzor e DCC. Se un indirizzo ip è in una o più di queste liste è buona probabilità che sia spam.

VIRUS SCANNING
Ogni messaggio in entrata ed in uscita viene accuratamente scansionato alla ricerca di Virus, Trojan, Malware.

CUSTOM LISTS
Libra Esva consente di mantenere Whitelists e Blacklists personalizzate per utente, dominio o generali.

IMAGE ANALYSIS
Il motore antispam include un plugin per l’analisi dello spam ad immagini; le immagini presenti all’interno di un messaggio email vengono analizzate alla ricerca di testi non permessi e immagini pornografiche.

ATTACHMENT ANALYSIS
Tutti gli allegati di posta elettronica vengono processati dal motore antispam e controllati con il fine di proteggere il destinatario da contenuti potenzialmente pericolosi o dannosi.

BAESYAN ANALYSIS
Basato sul calcolo delle probabilità e sull’inferenza statistica, il filtraggio bayesiano è uno dei metodi utilizzati da Libra Esva per stabilire se un’e-mail è spam.

SPAM SCORE
Come ultima istanza viene attribuito un punteggio ad ogni messaggio, indice dei risultati delle analisi effettuate.

16 Settembre 2019

I plugin dei browser possono filtrare segreti aziendali

A luglio scorso, il ricercatore Sam Jadali ha scoperto diverse estensioni per i browser Chrome e Firefox che registrano la cronologia di navigazione per por inviarla a terze parti. Inoltre, ha scoperto una piattaforma dedicata alla compravendita di questi dati.

Una notizia del genere potrebbe anche non destare allarme. Cosa succederebbe se si venisse a scoprire che uno dei vostri dipendenti ha visitato un sito di un fornitore o si è collegato su un social network con l’account aziendale? Se queste estensioni non accedono ad altre informazioni, qual è il problema? In realtà, tali estensioni si dedicano a filtrare periodicamente i dati aziendali: vediamo come.

 

Alcuni link rivelano tutto di voi

Probabilmente, i social network e i siti ufficiali di partner e fornitori non divulgano informazioni segrete. Dovresti preoccuparvi invece di quelle pagine “chiuse” alle quali si accede solamente mediante link unici, che potrebbero essere sfruttati per ottenere informazioni. In realtà, è proprio la loro segretezza a proteggere queste pagine, in quanto da fuori non si conoscono i loro indirizzi. Ecco alcuni esempi di queste pagine.

Conferenze online

Immaginate che la vostra azienda organizzi spesso incontri e conferenze via web, momento in cui i dipendenti di diverse divisioni aziendali parlano di questioni lavorative, organizzano sessioni di brainstorming o ricevono informazioni di gestione. Esistono numerose piattaforme dove svolgere questi meeting online; per alcune c’è bisogno di una password per partecipare ma le aziende più piccole spesso utilizzano soluzioni gratuite o low-cost che propongono solamente un link con un unico identificatore per il meeting online, che viene inviato a tutte le parti interessate. Ed è tutto ciò di cui ha bisogno il partecipante alla riunione.

Immaginate che uno dei dipendenti che ha ricevuto questo link abbia installato sul proprio browser una di queste estensioni che passa informazioni all’esterno. Non appena partecipa alla conferenza online, il plugin senza scrupoli invia l’URL al mercato di compravendita corrispondente. Un cybercriminale che sta raccogliendo informazioni sulla vostra azienda o semplicemente è alla ricerca di un’occasione, acquista la cronologia di navigazione del vostro dipendente e visualizza i meeting a cui sta partecipando in tempo reale.

Niente impedisce all’acquirente del link di prendere parte alla conferenza; naturalmente, gli altri partecipanti riceveranno una notifica che avvisa della presenza di una nuova persona all’evento. Tuttavia, se al meeting sono invitate decine di partecipanti, è probabile che non tutti si conoscano tra loro per cui è molto difficile che si dubiti della presenza di una persona in particolare. Di conseguenza, l’intruso verrà a conoscenza di tutto ciò che si dirà durante il meeting.

Fatture online dei fornitori

I fornitori della vostra azienda potrebbero utilizzare servizi online per la fatturazione. In alcuni di questi servizi, per accedere alle fatture di pagamento si utilizza un link unico e al contempo disponibile per tutti. Se un cybercriminale ottiene l’accesso a una fattura, verrà a conoscenza del nome e dell’indirizzo della vostra azienda e della compagnia che vi fa da fornitore, la somma pagata e altri dati.

È vero che, nella maggior parte dei casi, se queste informazioni andassero a finire nelle mani sbagliate, non accadrebbe nulla di male. Ma se queste informazioni le riceve un cybercriminale specializzato in ingegneria sociale, allora queste fatture contengono informazioni di grande valore.

Documenti di lavoro

Molte aziende utilizzano servizi online come Google Drive per collaborare con altre aziende. In teoria, è possibile restringere l’accesso ai file per evitare che possano essere aperti dall’esterno; tuttavia, non tutti configurano queste restrizioni sui file condivisi. Spesso, chiunque abbia accesso al link che reindirizza a un file online può visualizzare e anche modificare il documento, che può contenere qualsiasi tipo di informazioni, da prezzi, tariffe a dati personali dei dipendenti.

Come difendersi da fughe di dati su vasta scala

Per ridurre il rischio di fughe di dati, ricordate ai dipendenti di prestare molta attenzione e cautela ogniqualvolta decidano di installare un’estensione del browser. Se il servizio online in uso lo consente, prima della condivisione di un documento è necessario restringere l’accesso solo ai diretti interessati. L’ideale sarebbe creare un elenco approvato delle estensioni del browser autorizzate e vietarne qualsiasi altra potenzialmente pericolosa.

Inoltre, è importante effettuare un’analisi dei servizi online in uso in azienda e identificare le piattaforme a cui si può accedere mediante un link diretto e senza autenticazione. In caso positivo, bisognerebbe cercare un’alternativa più sicura dello stesso servizio.

Infine, è fondamentale installare di una soluzione di sicurezza affidabile su tutti i computer aziendali, per bloccare qualsiasi tentativo d’installazione di estensioni dannose o di qualsiasi altra minaccia informatica.

Fonte
Kaspersky blog

10 Settembre 2019

Un sito dannoso può infettare il mio iPhone: vero o falso?

L’idea che gli iPhone siano totalmente immuni a qualsiasi minaccia è stata sfatata più e più volte. Sebbene gli smartphone Apple siano un obiettivo di minor interesse rispetto ai dispositivi Android, esiste anche l’idea che un iPhone possa essere infettato da tutta una serie di malware semplicemente entrando in un sito pericoloso, e senza installare o scaricare nulla dal sito, almeno consapevolmente. In questo post cercheremo di fare chiarezza sull’argomento. 


Vero: siti dannosi da oltre due anni riescono a superare i meccanismi di sicurezza di iPhone

I ricercatori di Project Zero di Google hanno scoperto diversi siti hackerati che colpiscono gli iPhone da almeno due anni. Per fare ciò, i cybercriminali hanno sfruttato 14 vulnerabilità del software, 7 delle quali presenti in Safari, il browser utilizzato dalla stragrande maggioranza dei proprietari di iPhone.

Altre 2 vulnerabilità hanno permesso ai malware di sfuggire dalla sandbox che iOS utilizza per evitare che un’app possa accedere (o modificare) ai dati di altre app. E le ultime 5 vulnerabilità riguardano il kernel di iOS, il componente centrale del sistema operativo. Arrivare al kernel consente ai cybercriminali di ottenere i permessi di root, che nemmeno i proprietari del dispositivo hanno.

I siti dannosi in questione erano in grado di colpire quasi tutte le versioni attuali del sistema operativo di Apple per dispositivi mobili, da iOS 10 ad iOS 12. I cybercriminali hanno modificato le loro strategia in base agli aggiornamenti rilasciati, concentrandosi esclusivamente sulle nuove vulnerabilità.

Quali sono i malware installati sugli iPhone infetti?

I siti infetti riuscivano a installare degli spyware sui dispositivi delle vittime, riuscendo a ottenere autorizzazioni di accesso illimitato ai dispositivi; lavoravano in background per far sì che gli utenti non notassero nulla di strano. Estraevano i dati e li inviavano al server command-and-control con una frequenza di aggiornamento di minuto in minuto. Gli spyware erano interessati soprattutto a:

  • Password e token di autenticazione custoditi nel Portachiavi iCloud. I cybercriminali erano in grado di utilizzare questi dati per ottenere l’accesso costante agli account delle vittime e per impossessarsi di altri dati anche nel caso lo spyware fosse stato eliminato dal dispositivo;
  • Messaggi su iMessage, Hangouts, Telegram, Skype, Voxer, Viber e WhatsApp. Il malware rubava informazioni dai database delle app, dove i messaggi sono custoditi in formato non cifrato;
  • Messaggi sulle app di post Gmail, Yahoo, Outlook, QQmail e MailMaster. Lo spyware poteva anche ottenere questi messaggi dai corrispondenti database delle app;
  • Cronologia di chiamate ed SMS;
  • Informazioni in tempo reale sull’ubicazione del dispositivo, se attivo il GPS;
  • Contatti;
  • Foto;
  • Note;
  • Memo vocali.

Inoltre, se richiesto dal server command-and-control, il malware inviava ai cybercriminali un elenco di app presenti sul dispositivo e i dati da ognuna di esse. Ciò che è peggio, tutte queste informazioni erano inviate in plain text. Insomma, se l’iPhone infetto si fosse collegato a una rete Wi-Fi pubblica, chiunque (e non solo i creatori dello spyware) avrebbe potuto visualizzare password, messaggi e tutto ciò che riguardava la vittima e inviato dal malware.

Inoltre, agli sviluppatori dello spyware non interessava se il malware avesse lasciato tracce nel sistema, in quanto lo spyware sarebbe comunque sparito dallo smartphone al riavvio. Ma per l’importanza dei dati coinvolti (che il malware riusciva a rubare in un colpo solo), si tratta di una magra consolazione.

Il peggio è passato… oppure no?

Gli sviluppatori di Apple hanno risolto queste vulnerabilità (che i cybercriminali hanno potuto sfruttare durante tutto questo tempo) grazie alla campagna di aggiornamenti iOS 12.1.4 rilasciata agli inizi del febbraio scorso. Per cui le ultime versioni del sistema operativo sono protette da questi tipi di attacchi.

Tuttavia, secondo gli esperti, diverse migliaia di utenti alla settimana hanno visitato questi siti dannosi e molto probabilmente le vittime sono state tante. Inoltre, i siti ormai neutralizzati potrebbero essere stati rimpiazzati da nuovi siti che stanno sfruttando vulnerabilità ancora da scoprire.

Come evitare che il vostro iPhone venga infettato da un malware

In base a quanto descritto, effettivamente il vostro smartphone Apple potrebbe essere infettato da un sito dannoso e le conseguenze potrebbero essere davvero importanti. Per questo motivo, vi consigliamo di prestare molta cautela, anche se pensate che nulla possa mettere in pericolo il vostro dispositivo.

  • Assicuratevi che sul vostro iPhone sia sempre presente l’ultima versione di iOS e scaricate gli aggiornamenti non appena disponibili. Nelle nuove versioni, gli sviluppatori risolvono le vulnerabilità di cui potrebbero approfittare i cybercriminali (e, come avete potuto ben vedere, si tratta di minacce concrete);
  • Non cliccate su link presenti in annunci pubblicitari, e-mail, messaggi provenienti e così via da mittenti sconosciuti. Attenzione anche ai risultati di ricerca: se avete dubbi circa l’autenticità di una particolare risorsa, meglio non aprirla.

Una soluzione di sicurezza dotata della tecnologia per l’analisi comportamentale in grado di bloccare anche le minacce non conosciute in precedenza potrebbe essere una buona soluzione per proteggere il vostro iPhone. Tuttavia, purtroppo, non ci sono soluzioni antivirus vere e proprie per iOS.

Riassumendo. Un iPhone può essere infettato semplicemente se si visita un sito dannoso: vero o falso?

Vero. I siti dannosi possono sfruttare vulnerabilità presenti nel browser mobile e in iOS per installare qualsiasi tipo di malware. Le minacce scoperte dai ricercatori di Project Zero di Google non sono più un pericolo, ma potrebbero spuntarne di nuove in qualsiasi momento.

 

Fonte
Kaspersky blog

9 Settembre 2019