La privacy minacciata dalla fotocopiatrice
 
In particolare, le fotocopiatrici digitali prodotte negli ultimi 5 anni hanno dei dischi simili a quelli usati nei comuni computer in grado di “catturare e conservare” i dati scansionati.
Quando i dati sul disco della fotocopiatrice non sono crittografati o comunque  sovrascritti è possibile recuperarli e rubarli.
 
Pensate al momento della dichiarazione dei redditi quando vi ritrovate a fare fotocopie dei vostri documenti…
 
Negli USA una statistica commissionata dall’azienda Sharp ha dimostrato che oltre il 50% degli americani non conosce i rischi di sicurezza legati all’uso della fotocopiatrice. .
 
Molte grandi aziende particolarmente attente alle misure di sicurezza, hanno incluso le fotocopiatrici nella lista delle “non conformità”, delle falle su cui lavorare e rimediare.

Comments(0)

Come deve essere un sito di una Pubblica Amministrazione. Percorsi accidentati tra usabilità, accessibilità, privacy e riuso.

Il riferimento normativo per le Pubbliche Amministrazioni (PA) per la realizzazione e la gestione del loro sito web istituzionale è il Codice dell’Amministrazione Digitale (CAD -  Dlgs. 7 marzo 2005, n. 82, integrato dal Dlgs. 4 aprile 2006, n. 159).
I temi trattati dal Codice sono molti (tra cui l’obbligatorietà del sito web per ogni ente), indicazioni su  contenuti dei siti, accessibilità, usabilità, reperibilità, gestione dei dati, gestioni degli accessi, ed il Codice precisa che il sito di un PA deve avere come caratteristiche la “completezza di informazione, chiarezza di linguaggio, affidabilità, semplicità di consultazione, qualità, omogeneità ed interoperabilità”. Oltre al CAD sono da considerarsi ovviamente la normativa sul diritto d’autore e quella sulla privacy.

Andiamo con ordine

1) Contenuti del sito web
L’articolo 57 del Codice indica rigorosamente il contenuto che un sito di una PA dovrebbe avere. Tanto per avere un’idea si parla di trasparenza dell’organizzazione interna, intendendosi con questo che le responsabilità attribuite devono essere esplicitate sul sito web, con ogni informazione relativa ai procedimenti di ciascun ufficio. Tali procedimenti si auspica che siano gestibili dal cittadino on line e si prevede comunque che, anche ove non lo siano, sia possibile almeno ricavare on line tutti gli elementi necessari a completare il procedimento (istruzioni, materiale di riferimento, modulistica da stampare o compilare on lien ecc.).

2) Modulistica on line
Buone notizie in materia di modulistica per i cittadini e le imprese: se entro fine 2007 le PA non riusciranno a garantire modulistica esauriente e ben esplicitata sul sito, gli interessati avranno diritto di completare il procedimento senza presentare alcuna documentazione.

3) Scelta dei servizi da erogare on line a favore di imprese e cittadini
Nella scelta dei servizi da erogare via web il CAD stabilisce il ricorso a criteri di valutazione quali: efficacia, economicità ed utilità (oltre a doversi rispettare i princìpi di eguaglianza e non discriminazione, tenendo presenti le dimensioni dell’utenza, la frequenza dell’uso e l’eventuale destinazione all’utilizzazione da parte di categorie in situazioni di disagio).

4) Modalità di accesso ed identificazione
Il principio di non discriminazione impone che il sito della PA sia accessibile per tutte le categorie di utenti, con particolare attenzione alle categorie disagiate. Oltre agli opportuni accorgimenti tecnici per rendere fruibile il sito a tutti, si dovranno affiancare al web anche altri strumenti come il telefono.
Per quanto riguarda l’identificazione per accedere ad alcune sezioni del sito per ora sono sufficienti user id e password, gradita la firma digitale e auspicato l’uso della CIE Carta d’Identità Elettronica. 
Privacy

5) Privacy
Per quanto riguarda la privacy, il relativo Codice (D lgs. 196/2003) necessaria la presenza (visibile) dell’informativa, un avviso al navigante che descrive le modalità di trattamento dei dati da parte della PA (in particolare chi è il titolare, come avviene il trattamento, per quali fini è obbligatorio, a chi sono comunicati i dati, quali sono i diritti del cittadino ecc.). Se si impiegano cookies, il loro utilizzo deve essere dichiarato e spiegato.
In tema di responsabilità sarebbe opportuno pubblicare on line la lista aggiornata dei responsabili privacy, nonché un modulo standard per l’inoltro di istanze alla PA in materia di privacy.

6) Copyright
Valgono le norme generali sul diritto d’autore. Un argomento specifico è il “riuso” regolato dall’art. 50 del CAD secondo il quale i dati delle Pa devono essere resi disponibili e accessibili per la fruizione e riutilizzazione da parte delle altre pubbliche amministrazioni e dei privati.
Direttive ministeriali utili
Da citare la “Direttiva per la qualità dei servizi on line e la misurazione della soddisfazione degli utenti”, che fornisce indicazioni per migliorare la qualità e promuovere l’utilizzo dei servizi on line, attraverso la rilevazione delle esigenze degli utenti e promuove l’impiego di strumenti di misurazione della soddisfazione del “cliente cittadino”.

Comments(0)

Cosa è, a cosa serve e perché è importante il piano di Disaster Recovery - parte I

Il seguente articolo ha l’obiettivo di fornire alcune linee guida che un’organizzazione deve seguire per poter redigere un piano di Disater recovery e quindi poter gestire efficacemente, dalla attuazione del piano, una situazione di incidente/attacco/disastro. Non saranno trattati argomenti tecnici ma indicate procedure e metodologie per il piano di ripristino delle condizioni operative normali.
Il disastro per una azienda può avere facce e sfumature diverse, può colpire settori disparate (edifici, risorse umane, sistemi informatici, documentazione cartacea) e può causare una quantità di danni ingente, compromettendo a volte pesantemente l’ordinaria operatività dell’azienda.
Ritenersi in uno stato di sicurezza significa operare avendo ottenuto una ragionevole riduzione delle probabilità di accadimento (vulnerabilità) di una determinata minaccia la cui presenza espone i beni da proteggere a un certo rischio, appare quindi superfluo sottolineare come non esista un sistema informativo totalmente impenetrabile, ma misure di protezione che, in relazione al valore degli asset (beni) da proteggere, possono ritenersi sufficientemente affidabili.Per tutte le aziende pubbliche o private, attivare un piano di Disaster Ricovery e Business Continuity, è ritenuto quindi di vitale importanza. La continuità operativa ovvero “l’insieme di attività volte a ripristinare lo stato del sistema informatico o parte di esso, compresi gli aspetti fisici e organizzativi e le persone necessarie per il suo funzionamento, con l’obiettivo di riportarlo alle condizioni antecedenti a un evento disastroso” deve infatti essere percepita come parte integrante della strategia aziendale.
Perché serve un piano?

Comments(0)

Un orologio che spia il dipendente?

Cosa è: un sistema di sorveglianza portatile ed invasivo (non fisicamente) per datori di lavoro diffidenti e molto impiccioni.
Come funziona: è un bio sensore che rileva il livello di saturazione di ossigeno nel sangue ed il battito cardiaco, rilevando dunque rileva situazioni stressanti (es: stress durante il compimento di una attività illecita, nel tentativo di nascondere qualcosa…).
Una centrale di controllo rileva i segnali anormali inviati dagli orologi dei dipendenti. Questo potrebbe essere utile al commesso di una gioielleria, al dipendente di banca in corso di rapina, o al croupier del casinò messo sotto pressione…
Perché è stato progettato: è stato creato per l’applicazione soprattutto in campo medico, per il monitoraggio della salute dei pazienti anche a distanza, per il controllo delle attività sportive ed anche per la sicurezza, in campi specifici (dipendenti banche, gioiellerie, casinò).

In un’azienda sarebbe lecito/opportuno utilizzarlo?

Come abbiamo detto si tratta di un sistema portatile di sorveglianza applicato al polso del dipendente, con il suo consenso (ma è poi davvero libero il dipendente di negare il consenso?) e rappresenta un sistema di controllo troppo invasivo e sproporzionato. Per altro i segnali inviati sono suscettibili di interpretazioni e possono dare informazioni sulle relazioni interpersonali del dipendente, contrasti, preferenze, flirt….

In Italia il simpatico meccanismo incontrerebbe parecchi ostacoli, primi fra tutti lo Statuto dei lavoratori ed il codice privacy, che insieme concordano sul fatto che la sorveglianza del dipendente è ammissibile se necessaria, giustificata e previo accordo con le rappresentanze sindacali. Senza considerare poi l’opinione pubblica, di certo scettica sull’opportunità ed efficacia di gestire i rapporti dei dipendenti in questo modo. Meglio regole chiare e condivise piuttosto che controllare e minacciare il dipendente così…

Comments(0)

Password al vaglio durante l’aggiornamento annuale del DPS

Tra i tanti controlli da effettuare in occasione dell’annuale verifica privacy un cenno alle password.

Le password: devono essere usate in combinazioni con le user id e devono essere alfanumeriche, di almeno 8 caratteri e non riconducibili all’utente, ovviamente segrete e devono essere variate almeno ogni sei mesi/tre mesi se di accesso ai dati sensibili.

In teoria non le dovrebbe conoscere neppure l’amministratore di rete, che per entrare legittimamente nel pc di un dipendente dovrebbe resettare la password dell’utente, crearne una provvisoria di accesso, entrare, fare ciò che deve fare e poi disabilitare la pw appena creata, ridarne un’altra al dipendente (nel frattempo avvertito dell’intervento) che il dipendente cambierà al suo ritorno al primo accesso.
La realtà è decisamente differente: il programma di adeguamento del DPS di molte aziende è stato ignorato, lettera morta. I post it con su scritte le password di accesso, nascosti sotto la tastiera, o meglio appiccicati sul monitor si sprecano. Del resto spesso le password di accesso sono molte e tra pin, puk, bancomat, postmat, pw di accesso dei caselle email personali ecc. c’è da perderci la testa.

ça gestione automatica dei tempi di scadenza è il must, oltre a questo dovrebbero essere previsti sistemi per cui l’utente non può scegliere nuovamente la stessa password al momento della variazione e doverebbero darsi istruzioni su come e perché non divulgare le password a colleghi ecc.

Perché non avvicinarsi allora a strumenti più sicuri?
Consultate la nostra sezione sulla biometria, il futuro è vicino.
Certo è che le password come gestite oggi in azienda e nelle PA, non sono adeguate a garantire la segretezza dei dati e la sicurezza degli accessi.