Linee guida in materia di conservazione delle password

Tratto da www.garanteprivacy.it – Newsletter del 01/03/2024

Le password giocano un ruolo determinante nel proteggere la vita delle persone nel mondo digitale. Ed è proprio con l’obiettivo di innalzare il livello di sicurezza, sia dei fornitori di servizi digitali sia degli sviluppatori di software, che nel dicembre 2023 l’Agenzia per la cybersicurezza nazionale (ACN) e il Garante per la protezione dei dati personali hanno messo a punto specifiche linee guida in materia di conservazione delle password, fornendo importanti indicazioni sulle misure tecniche da adottare.

Molte violazioni dei dati personali sono infatti strettamente collegate alle modalità di protezione delle password. Troppo spesso furti di identità sono causati dall’utilizzo di credenziali di autenticazione informatica archiviate in database non adeguatamente protetti con funzioni crittografiche.

Tali attacchi informatici sfruttano la cattiva abitudine degli utenti di utilizzare la stessa password per l’accesso a diversi servizi online, con la conseguenza che la compromissione delle credenziali di autenticazione di un singolo servizio potrebbe causare l’accesso non autorizzato a una pluralità di sistemi. Studi di settore dimostrano che il furto di username e password consente ai cybercriminali di commettere numerose frodi a danno delle vittime. I dati rubati vengono utilizzati per entrare illecitamente nei siti di intrattenimento (35,6%), nei social media (21,9%) e nei portali di e-commerce (21,2%). In altri casi, permettono di accedere a forum e siti web di servizi a pagamento (18,8%) e finanziari (1,3%).

Le Linee Guida sono rivolte a tutte le imprese e le amministrazioni che, in qualità di titolari o responsabili del trattamento, conservano sui propri sistemi le password dei propri utenti, le quali si riferiscono a un numero elevato di interessati (es. gestori dell’identità digitale SPID o CieID, gestori PEC, gestori di servizi di posta elettronica, banche, assicurazioni, operatori telefonici, strutture sanitarie, etc.), a soggetti che accedono a banche dati di particolare rilevanza o dimensioni (es. dipendenti di pubbliche amministrazioni), oppure a tipologie di utenti che abitualmente trattano dati sensibili o giudiziari (es. professionisti sanitari, avvocati, magistrati).

L’obiettivo delle Linee Guida è quello di fornire raccomandazioni sulle funzioni crittografiche ritenute attualmente più sicure per la conservazione delle password, in modo da evitare che le credenziali di autenticazione (username e password) possano venire violate e finire nelle mani di cybercriminali, per essere poi messe online o utilizzate per furti di identità, richieste di riscatto o altri tipi di attacchi.

E-mail dei dipendenti, il Garante privacy avvia una consultazione pubblica

Tratto da www.garanteprivacy.it – Newsletter del 27/02/2024

Per rispondere alle numerose richieste di chiarimenti ricevute, il Garante ha dunque deciso di differire l’efficacia del documento di indirizzo e promuovere una consultazione pubblica di 30 giorni sulle forme e modalità di utilizzo che renderebbero necessaria una conservazione dei metadati superiore a quella ipotizzata nel documento di indirizzo.

Come già comunicato il 6 febbraio scorso nel nostro blog, il Garante, per richiamare l’attenzione su alcuni aspetti che potrebbero essere in contrasto con la disciplina di protezione dei dati e le norme a tutela del lavoratore, ha recentemente pubblicato il documento di indirizzo “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati”, con cui – in particolare – viene indicato in 7 giorni, estensibili di 48 ore per comprovate esigenze, il periodo di conservazione dei metadati degli account dei servizi di posta elettronica.

Datori di lavoro pubblici e privati, esperti della disciplina di protezione dei dati e tutti i soggetti interessati avranno a disposizione 30 giorni, a partire dalla pubblicazione in Gazzetta ufficiale, per inviare al Garante le proprie osservazioni, i commenti, le informazioni, le proposte e tutti gli elementi ritenuti utili, tramite posta ordinaria o alle caselle protocollo@gpdp.it oppure protocollo@pec.gpdp.it.

Nuova release EndianOS 6.7

Tratto da www.endian.com – 12/02/2024

Una delle novità più interessanti dell’ultima release di EndianOS, la 6.7, è l’aggiornamento del Docker engine all’ultima generazione, ciò apporta un gran numero di nuove funzioni e un notevole aumento delle prestazioni. Questo permette di offrire un edge computing moderno ed efficiente per tutti i prodotti EndianOS.

E’ stato anche aggiornato Python, un componente fondamentale della piattaforma, all’ultima versione. Tale aggiornamento migliora significativamente le prestazioni, in alcuni casi fino al 50% e, inoltre, consente di perfezionare ulteriormente la piattaforma, in modo che sia sempre possibile sfruttare le funzionalità più avanzate.

Prima di effettuare l’aggiornamento, si raccomanda di leggere le release notes

Che cos’è lo Shadow IT, quali sono i rischi e come proteggersi

Autore: Redazione Argonavis

Un recente studio di Kaspersky ha dimostrato che, negli ultimi due anni, l’11% delle aziende di tutto il mondo ha subito incidenti informatici causati dallo Shadow IT o “IT Ombra”.

La diffusione di questo fenomeno è incrementata con la consumerizzazione dell’IT e, più recentemente, con la crescita del lavoro in remoto.

Si presume che lo Shadow IT possa diventare una delle principali minacce alla sicurezza informatica aziendale entro il 2025.

Ma che cos’è lo Shadow IT?

Si parla di Shadow IT ogni volta che qualche dipendente utilizza servizi di information technology all’insaputa del responsabile IT.

Le attività incluse nello Shadow IT possono essere:

la sincronizzazione e la condivisione dei dati (ad esempio le email sincronizzate tra i dispositivi mobili personali del dipendente e il client desktop utilizzato in azienda);

l’utilizzo di piattaforme di backup alternative a quelle implementate dall’azienda (chiavette, dischi USB o servizi cloud);

l’utilizzo di dispositivi hardware dismessi dopo la modernizzazione o la riorganizzazione dell’infrastruttura IT che possono essere utilizzati “in the shadow” da altri dipendenti;

programmi su misura creati dagli specialisti e dai programmatori IT per ottimizzare il lavoro all’interno di un team/reparto o per risolvere problemi interni;

progetti di business che prevedono la condivisione di file, tramite allegati, con alcuni clienti.

I dipendenti e i team IT, di norma, impiegano l’IT Ombra perché consente loro di non attendere l’approvazione da parte del reparto IT o perché ritengono che offra migliori funzionalità per i loro scopi rispetto alle alternative offerte dall’IT.

Lo Shadow IT comporta significativi rischi di sicurezza per le aziende.

Poiché il team IT non è a conoscenza delle attività dell’IT Ombra, non le monitora, non ne controlla gli asset e non impiega contromisure alle loro vulnerabilità. Lo Shadow IT è quindi particolarmente suscettibile alle violazioni da parte degli hacker.

Anche la protezione dei dati aziendali diventa problematica per gli IT manager perché gli utenti sono abituati a utilizzare strumenti e applicazioni al di fuori del processo di protezione definito dall’azienda.

I dati infatti, che entrano ed escono dall’azienda, possono essere creati, modificati, salvati e condivisi senza che questi passino da un file server sotto la supervisione dell’IT manager; il backup di tali dati non viene eseguito perché non se ne conosce l’esistenza. Ne consegue che gli IT manager non sono in grado di recuperare tali dati in caso di cancellazione accidentale o di accedere ai dati se il dipendente lascia l’azienda.

Per risolvere il buco di dati creati dallo Shadow IT ci sono alcune contromisure efficaci.

La prima è dare agli utenti gli strumenti di cui hanno bisogno per la protezione degli endpoint e per la sincronizzazione e condivisione dei dati in modo che non cerchino soluzioni alternative al di fuori delle soluzioni utilizzate dall’azienda.

Un’altra strategia efficace è quella di eseguire il backup in-house dei dati delle applicazioni cloud-based per la protezione contro la perdita accidentale di tali dati o, peggio, la cancellazione intenzionale di questi dati. Sarebbe preferibile limitare il lavoro dei dipendenti che utilizzano servizi esterni di terze parti e, se possibile, bloccare l’accesso alle risorse di scambio di informazioni cloud più diffuse.

I rischi legati all’utilizzo dello Shadow IT in un’organizzazione si possono ridurre anche eseguendo regolarmente un inventario delle risorse IT e scansionando la rete interna per evitare la comparsa di hardware e servizi non controllati.

Fonti:

https://www.zerounoweb.it/cloud-computing/shadow-it-protezione-sicurezza/

https://www.lineaedp.it/featured/shadow-it-ancora-un-rischio-reale-per-le-aziende/

Lavoro: dal Garante Privacy nuove tutele per la email dei dipendenti. Varato un Documento di indirizzo sulla conservazione dei metadati

Tratto da www.garanteprivacy.it – Newsletter del 06/02/2024

I datori di lavoro pubblici e privati che per la gestione della posta elettronica utilizzano programmi forniti anche in modalità cloud da oggi hanno a disposizione nuove indicazioni utili a prevenire trattamenti di dati in contrasto con la disciplina sulla protezione dei dati e le norme che tutelano la libertà e la dignità dei lavoratori.

Il Garante per la protezione dei dati personali ha infatti adottato un documento di indirizzo denominato “Programmi e servizi informatici di gestione della posta elettronica nel contesto lavorativo e trattamento dei metadati” rivolto ai datori di lavoro pubblici e privati.

Il documento nasce a seguito di accertamenti effettuati dall’Autorità dai quali è emerso che alcuni programmi e servizi informatici per la gestione della posta elettronica, commercializzati da fornitori anche in modalità cloud, sono configurati in modo da raccogliere e conservare – per impostazione predefinita, in modo preventivo e generalizzato – i metadati relativi all’utilizzo degli account di posta elettronica dei dipendenti (ad esempio, giorno, ora, mittente, destinatario, oggetto e dimensione dell’email). In alcuni casi è emerso anche che i sistemi non consentono ai datori di lavoro di disabilitare la raccolta sistematica dei dati e ridurre il periodo di conservazione.

Con il documento odierno il Garante chiede quindi ai datori di lavoro di verificare che i programmi e i servizi informatici di gestione della posta elettronica in uso ai dipendenti (specialmente in caso di prodotti di mercato forniti in cloud o as-a-service) consentano di modificare le impostazioni di base, impedendo la raccolta dei metadati o limitando il loro periodo di conservazione ad un massimo di 7 giorni, estensibili, in presenza di comprovate esigenze, di ulteriori 48 ore. Periodo considerato congruo, sotto il profilo prettamente tecnico, per assicurare il regolare funzionamento della posta elettronica in uso al lavoratore.

I datori di lavoro che per esigenze organizzative e produttive o di tutela del patrimonio anche informativo del titolare (in particolare, ad esempio, per specifiche esigenze di sicurezza dei sistemi) avessero necessità di trattare i metadati per un periodo di tempo più esteso, dovranno espletare le procedure di garanzia previste dallo Statuto dei lavoratori (accordo sindacale o autorizzazione dell’ispettorato del lavoro). L’estensione del periodo di conservazione oltre l’arco temporale fissato dal Garante può infatti comportare un indiretto controllo a distanza dell’attività del lavoratore.

Categorie