Sicurezza sul web, una questione legale

di Gianni Rusconi

http://ilsole24ore.com

Le minacce per la sicurezza dei dati aziendali sono una priorità assoluta per i responsabili dei sistemi informativi. A maggior ragione perché le stesse non arrivano solo dal Web, ma anche da comportamenti incauti, abusivi e talvolta anche volutamente scorretti dei dipendenti. Esiste quindi un modello perfetto per tutelarsi da appropriazioni indebite di bit salvaguardando nel contempo i diritti dei lavoratori? Ribadito il concetto, e lo affermano tutti report delle principali società del settore, che gli attacchi informatici perpetuati attraverso la Rete sono oggi finalizzati a catturare informazioni a scopo di lucro o di estorsione, non va dimenticato che la problematica della security si allarga anche alla sfera normativa, alle implicazioni legali che l’adozione o meno di particolari policy aziendali possono generare.

Vi sono, per essere concreti, limiti o divieti circa il controllo dell’utilizzo di Internet e della posta elettronica da parte dei lavoratori?

L’ordinamento italiano regolarizza l’adozione di soluzioni o apparati dediti alla protezione dei sistemi informativi aziendali da attacchi informatici o da altre violazioni?

Domande a cui può rispondere solo un esperto di diritto informatico e per questo il Sole24ore.com ha chiesto lumi in materia a Gabriele Fagioli, avvocato di Milano, nonché docente al Mip – Politecnico di Milano e presidente dell’Angap (Associazione Nazionale Garanzia della Privacy), che con lo specialista Websense ha prodotto un dettagliato “white paper” inerente le implicazioni legali della Web security.

In Italia abbiamo una legislazione ad hoc dedicata alla sicurezza informatica?
Dal 1993, quando furono introdotte le prime normative in materia di crimini informatici (L. 547/93, ndr), a oggi è avvenuta una vera e propria rivoluzione nel settore del diritto delle nuove tecnologie. Nel corso degli anni l’evoluzione tecnologica ha determinato l’introduzione di nuovi concetti giuridici e relativi nuovi articoli del codice penale dedicati a frode informatica, virus, posta elettronica, nuove forme di licenza del software.

L’ordinamento giuridico italiano è, secondo lei, adeguato rispetto alla complessità del problema?
Premesso che tecnologie e mercati si evolvono molto più velocemente del diritto e che i possibili danni derivanti da problematiche legate all’It sono difficilmente quantificabili con criteri certi, ritengo che la legge del 1993, con tutti gli interventi di modifica apportati, sia attuale. Qualcosa da rivisitare c’è ma di fatto si è raggiunta la quadratura del cerchio e siamo anche in linea con il quadro normativo internazionale, a sua volta evolutosi con le direttive in materia di Information Technology emanate dal 2000 in poi.

Per un’azienda è un fattore prioritario conoscere i risvolti legali legati all’adozione di soluzioni di sicurezza?
Innanzitutto è vitale che comprendano i comportamenti informatici dei propri addetti e che individuino le eventuali falle del sistema. Al momento di implementare una policy di sicurezza è bene che conoscano anche le sfumature di legge.

Quali sono le maggiori difficoltà che incontrano le aziende italiane circa gli aspetti legali della security?
Sono varie e variegate. Dalla scarsa conoscenza delle norme applicabili all’esistenza di errate prassi consolidate, dalla limitata attenzione verso alcune previsioni contrattuali alla mera paura delle sanzioni penali, dalla scarsa percezione del rischio di infezioni alla carenza di gestione strutturata da parte dei fornitori di soluzioni It e di servizi di telecomunicazione.

Cosa dice la legge in fatto di misure minime di sicurezza da adottare?
La normativa in materia di dati personali impone ai titolari del trattamento degli stessi l’adozione di misure idonee a ridurre al minimo i rischi di distruzione o perdita anche parziale dei dati. È prescritto l’utilizzo di sistemi di autenticazione, di autorizzazione, di soluzioni antivirus e di protezione da intrusioni maligne e anche di soluzioni di sicurezza volte a evitare o prevenire la commissione di reati da parte dei dipendenti, come il download di file a contenuto pedopornografico o lo scambio di file audio e video protetti da diritto d’autore. In linea generale si può affermare che un’azienda può controllare il pc di un dipendente per prevenirne gli abusi ma non può fare di questa attività un utilizzo distorto e finalizzato al monitoraggio della prestazione lavorativa.

I comportamenti dei dipendenti chiamano in causa il fattore privacy: la normativa abbraccia tutti i possibili aspetti della questione?
Il decreto legislativo 196/2003, denominato anche Codice della privacy, disciplina in dettaglio le misure minime e idonee di sicurezza a protezione dei dati personali trattati con sistemi informatici, la responsabilità civile in capo all’azienda quale persona giuridica, le sanzioni penali e amministrative, le procedure di controllo dei lavoratori. Va detto in aggiunta che la casistica penale è ancora limitata e che la generalizzata scarsa competenza nell’utilizzo del computer è spesso fonte di violazioni involontarie. Entrano in gioco quindi valutazioni e interpretazioni differenti circa le lesività o meno di alcuni comportamenti, il fatto che siano dolosi, la soglia etica dell’accesso a Internet, le dinamiche di utilizzo di gruppo degli strumenti informatici.

Potrebbe sintetizzare l’atteggiamento ideale che le aziende dovrebbero avere verso il problema nel suo complesso?
Il legislatore e il garante fissano diritti e doveri per lavoratori e aziende. Ciò che è auspicabile e opportuno è una linea di condotta equilibrata fra corretta interpretazione delle norme e utilizzo delle risorse e funzionalità tecnologiche.

Come potrebbe cambiare il quadro normativo esistente fra tre/cinque anni?
In futuro è lecito pensare che vi saranno ancora più restrizioni a livello di misure di sicurezza da adottare ma difficilmente le nuove norme fisseranno nuove previsioni penali. Occorrerà garantire sempre e comunque massima corrispondenza fra i parametri regolatori e i dettami che regolano i diritti del lavoratore.

Comments(0)

Antivirus versus Virus: come assicurare la nostra privacy online

di Gabriele Tasselli     
http://pratoblog.it  
Un detto popolare recita “Chi produce gli antivirus fabbrica anche i virus”. Allora potremmo aggiungere “Chi graffia le auto fa il carrozziere” oppure “Chi fa il sicario ha come parente un becchino” e così via. La realtà invece è ben diversa; purtroppo le software-house che producono i sistemi di difesa contro gli attacchi informatici sono alle prese ogni giorno con sfide sempre più impegnative nei confronti degli “hacker”, ovvero i mostri ingegnosi che producono i virus e che tentano di introdursi nei PC posti all’altro capo del doppino telefonico.

Ad oggi esistono diverse tipologie costituenti la famiglia dei virus: tra i più conosciuti troviamo i Worm e i Trojan, che in definitiva sono quelli più dannosi e fanno bloccare il sistema, cancellano i dati e a fanno andare in tilt i programmi di protezione. A ruota troviamo gli Spyware e gli Adware, veri e propri script che si autoeseguono alla partenza di Windows e che talvolta sono costituiti da connessioni remote che lanciano collegamenti attraverso numeri telefonici privati o internazionali, facendo lievitare poi i costi della bolletta (ciò non avviene se si dispone della banda ADSL). Si aggiungono poi i Phishing (tecnica per ottenere dati personali tipo i numeri delle carte di credito), i Rootkit (possibilità di accedere sul proprio PC e navigare nelle risorse senza che l’utente se ne accorga) e i tanto odiati Spam, ovvero i messaggi di posta elettronica indesiderata contenenti pubblicità e spot pornografici.

Come lottare allora contro queste malvagità informatiche? E soprattutto, come si fa a scegliere un antivirus efficace? La risposta non è delle più semplici, anche perché ogni sistema protettivo offre delle peculiarità più o meno esclusive. Cosa molto importante è una consulenza di un tecnico qualificato, il quale dopo aver analizzato l’esigenza legata all’attività, sia domestica che aziendale, pone un verdetto su quale possa essere il pacchetto ideale da installare sul proprio PC. Tenete conto che al tecnico non ne viene in tasca niente perché non è lui a produrre il software antivirus, ma sicuramente vi chiederà la parcella relativa al suo lavoro d’installazione e, cosa più importante, della configurazione legata al sistema di difesa. Non esiste infatti antivirus al mondo in grado di proteggere al massimo il sistema se non è ben configurato e mantenuto poi aggiornato scaricando le ultime definizioni dal sito del produttore.

Comments(0)

Sicurezza internet: un filo comune lega malware e spam
 
di Andrea Gelpi 

http://interlex.it
 
 
I disservizi che da parecchi giorni affliggono l’internet in Italia riguardano la posta elettronica, i server DNS e forse la larghezza di banda disponibile sul cosiddetto backbone, cioè la spina dorsale dell’internet italiana. Molti cercano di spiegare questi malfunzionamenti dando la colpa al numero di malware (programmi maligni che affliggono la rete), aumentati in questo periodo.
Proviamo ad analizzare i problemi in modo distinto.
E’ un dato di fatto che i server addetti allo scambio di posta elettronica di alcuni grossi provider italiani sono in crisi. Dai codici di errore che ritornano quando si cerca di inviare un messaggio, viene da pensare che questi server siano saturi. Infatti da un po’ di tempo i server di alcuni di questi provider rispondono con un messaggio di errore, chiedendo di re-inviare il messaggio in un secondo tempo, perché sono troppo occupati. Sembra chiaro che su questi server la quantità di messaggi in arrivo e/o in partenza è molto più alta che in passato. Ma questo è abbastanza normale nel periodo pre-natalizio. Ci deve essere anche qualche cosa d’altro. Sicuramente ci sono molti più messaggi del cosiddetto spam (posta-spazzatura) e generati da malware e worm che purtroppo ancora attecchiscono sulle postazioni di troppi utenti.

Tuttavia la mia impressione è che dal mese di settembre si siano intensificati i tentativi di trovare indirizzi di posta elettronica inviando messaggi e provando, con una ricerca che si potrebbe definire di forza bruta, tutte le possibili combinazioni di lettere che compongono il nome di una mailbox.
Una tecnica usata da alcuni spammer è inviare il messaggio ad un server di posta qualsiasi con un destinatario inesistente, ma un mittente valido, per costringere il server a inviare una e-mail di errore al finto mittente. Lo scopo di questa tecnica è quello di oltrepassare i filtri antispam basati sugli IP dei mittenti.

I maggiori provider soffrono di un ulteriore potenziale problema. Proprio a causa delle loro dimensioni hanno più server dedicati alla posta, in modo di distribuire il carico. In altre parole, quando si invia un messaggio, questo viene immesso sulla rete da un server scelto secondo certi criteri; il messaggio successivo utilizzerà quasi sicuramente un altro dei server disponibili.
Una tecnica di difesa dallo spam, chiamata greylisting, prevede di rifiutare temporaneamente i messaggi se l’indirizzo IP e il mittente non sono inseriti in un apposito elenco creato automaticamente dal filtro. In pratica, la prima volta che il server di posta di un certo mittente manda un messaggio, questo viene rifiutato dal server del destinatario e si chiede al server del mittente di rispedirlo dopo un po’ di tempo.

Quando il server di partenza trova server di ricezione che si difendono, molto efficacemente a dir la verità, con questa tecnica, è costretto a tentare di inviare lo stesso messaggio molte volte, in quanto ad ogni tentativo di invio viene usato un server e quindi un indirizzo IP differente; solo quando il messaggio verrà inviato una seconda volta dallo stesso server sarà accettato dal destinatario. In questi casi il messaggio impiega anche molte ore (durante le quali rimane parcheggiato sul server del mittente) per essere spedito, e più numerosi sono i server che inviano, più aumenta la probabilità che il messaggio sia ritardato sempre più. Questa potrebbe essere una delle cause dei tempi lunghi per l’invio di posta elettronica che gli utenti di alcuni grandi provider riscontrano.

Il problema del gran numero di malware che girano per la rete in questo periodo è indice ancora una volta di scarsa attenzione ai problemi della sicurezza, soprattutto da parte di utenti collegati all’internet mediante ADSL con IP dinamico. Infatti la quantità di virus e worm proveniente da tali IP è ancora troppo alta nonostante di queste cose si parli ormai da molti anni. Tuttavia dare la colpa solo agli utenti non sarebbe giusto.

A mio avviso una grossa responsabilità la hanno anche tutte quelle case di software, le grandi ma anche molte di quelle piccole, che costringono gli utenti ad fare gli amministratori delle proprie postazioni per poter eseguire qualche applicativo, fornendo così un terreno molto fertile a malware che non hanno difficoltà ad installarsi e così tentare poi di propagarsi. Se gli utenti potessero utilizzare le loro postazioni con permessi limitati, molti malware non potrebbero installarsi e i danni alle postazioni degli utenti e i disagi di tutta la rete sarebbero sicuramente minori.
Agli amministratori delle reti invece, va imputata una ancora non sufficiente attenzione al traffico in uscita dalle reti da loro gestite. Impedire che malware vadano in giro per internet cercando di fare danni dovrebbe essere una preoccupazione di tutti gli addetti ai lavori.

I provider segnalano un’esplosione nelle chiamate fatte verso i servizi DNS, al punto da mettere in ginocchio la “risoluzione” dei nomi a dominio e quindi il funzionamento dell’internet stessa. Come ricorda molto bene Claudio Allocchio (Il DNS è l’internet stessa: non si tocca!) il DNS è l’anima dell’internet, nel senso che senza DNS l’internet si ferma, come purtroppo stanno sperimentando molti utenti.
Questo però potrebbe essere solo un effetto secondario, come ipotizza Stefano Chiccarelli (uno dei maggiori esperti di sicurezza dell’internet italiana). Secondo Chiccarelli potrebbe semplicemente trattarsi di un malware scritto male che, invece di scandagliare la rete usando i numeri IP come i suoi predecessori, sta usando i nomi, e quindi per arrivare a destinazione deve necessariamente inviare le proprie richieste ai servizi DNS, saturandoli.

Sulla mailing list di sikurezza.org Marco d’Itri scrive che il problema è generato dal messaggio della finta diffida da parte di un avvocato, che è circolato nei giorni scorsi. Il link incluso contiene un “cavallo di Troia” che una volta installato (se l’utente fa clic sul link incluso nel messaggio), scarica dalla rete un sistema per inviare spam, utilizzando i server di posta degli ISP. Il tutto è gestito, sempre secondo D’Itri, dalla criminalità organizzata russa con la probabile complicità di personaggi che in passato hanno sfruttato spam e dialer.

Può anche darsi che il problema sia legato al backbone italiano, che non è più in grado di sostenere tutto il traffico che su esso converge, ma il fatto che i piccoli provider, che si appoggiano sullo stesso backbone, riescano ad offrire servizi più che accettabili sembra dimostrare il contrario. Il problema dovrebbe essere legato più all’ultimo miglio, dove si sta spingendo per l’ampliamento della banda con ADSL2; manovra più commerciale che altro, visto che la qualità di questi collegamenti è almeno in certe ore della giornata piuttosto scadente, come lamentano molti utenti. Ma il backbone italiano è realmente in grado di supportare il notevole incremento di traffico che la banda larga sull’ultimo miglio permette? Per avere la banda larga, su cui poi veicolare servizi, è necessario innalzare la banda minima garantita, oltre alla banda massima, il che significa allargare di molto la capacità trasmissiva del backbone nazionale.

I problemi potrebbero quindi essere non direttamente collegati l’uno all’altro, anche se il filo comune porta ai malware e allo spam. Le statistiche ci dicono che questi fenomeni sono in aumento e questo potrebbe essere l’inizio di un periodo difficile per la rete in Italia.
Per dovere di cronaca va ricordato che i periodi critici non sono una novità. Basta ricordare le difficoltà di usare la rete agli inizi del 1996, quando decollò l’internet in Italia, o alcuni anni dopo, quando iniziarono a diffondersi le linee ad alta velocità. Ora tuttavia i problemi sembrano diversi, non sono più i fili ad essere incriminati, ma i servizi che sui fili corrono. 

Comments(0)

Crimine informatico: in arrivo la Cyberwar nel 2007 

http://www.italiatv.it

Gli hacker lanceranno nel 2007 una nuova campagna della loro “guerra informatica” multimiliardaria che colpirà telefonini, messaggi istantanei e le comunità dei siti Internet di condivisione come MySpace. Lo prevedono esperti di sicurezza informatica. Con la gente diventata sempre più prudente con le truffe via email, le organizzazioni criminali della Rete cercheranno altri metodi per commettere frodi online, vendere beni contraffatti o rubare segreti aziendali. “Gli attacchi stanno diventano sempre più sofisticati”, ha detto a Reuters Dave Rand della società di sicurezza Internet Trend Micro. “E’ tutta una questione di soldi. E (i pirati informatici) ne fanno molti”. Nel 2007, gli hacker attaccheranno i siti di social network come MySpace per raccogliere informazioni personali, in modo da lanciare offensive più mirate ai computer degli utenti. “E’ sicuramente un’area terreno fertile per i malware (software maligni)”, ha detto Ed English, amministratore delegato di Trend Micro per l’anti-spyware. I computer potrebbero venire colpiti da virus che registrano tutte le operazioni principali e inviano milioni di messaggi spam via email. I pirati informatici si infiltreranno nei siti che permettono agli utenti di pubblicare foto e dettagli personali, trovando obiettivi facili per attacchi di “phishing” — email ingannevoli che spingono le persone a fornire i dati delle loro carte di credito. “E’ il modo più facile per i pirati dello spyware per ricostruire il ritratto di un utente”, ha detto English. Gli hacker prenderanno di mira anche le persone che utilizzano servizi di messaggi istantanei o programmi per effettuare telefonate online nel 2007, dice Trend Micro. Anche i telefoni di ultima generazione, insieme ai computer portatili, diventeranno un obiettivo dei pirati informatici che cercano di superare le strette misure di sicurezza per rubare email, documenti o contatti, secondo quanto riferito dalla società di sicurezza informatica McAfee. Secondo Trend Micro anche le nuove versioni dei software di Microsoft, il browser Internet Explorer e il sistema operativo Vista, saranno presi di mira dagli hacker.

Comments(0)

Master Universitari in materia di Privacy e sicurezza informatica
http://interlex.it
 
 
“La Sapienza” - Due Master Universitari in “Sicurezza dei sistemi e delle
reti informatiche” e “Gestione della sicurezza informatica”

Si terranno a Roma, presso il Dipartimento di Informatica dell’Università
di Roma “La Sapienza”, nel periodo novembre 2006-luglio 2007, sotto la
direzione del Prof Luigi Vincenzo Mancini ( www.di.uniroma1.it/mancini ),
due Master di primo e secondo livello per formare esperti nella
realizzazione e gestione della sicurezza informatica.

“Sicurezza dei sistemi e delle reti informatiche per l’impresa e la
pubblica amministrazione”, questo il nome del Master di primo livello,
quest’anno alla sua quarta edizione, a cui si può accedere con la laurea
triennale. Insegna le tecniche e le tecnologie informatiche per rendere
sicuri reti e sistemi. Obiettivo del master di secondo livello “Gestione
della sicurezza informatica per l’impresa e la pubblica amministrazione”,
a cui si accede invece con la laurea specialistica, è formare manager in
grado di padroneggiare le problematiche e gestire i processi della
sicurezza dell’informazione all’interno di organizzazioni complesse.

Entrambi i Master rappresentano tappe di un percorso formativo che, come
spiega il direttore dei Master, il professor Luigi Vincenzo Mancini,
“seguono l’evoluzione dell’information security formando esperti altamente
qualificati in risposta alla necessità, sempre più pressante, di sicurezza
informatica in ambito pubblico e privato”.

I Master sono rivolti a laureati provenienti principalmente dalle aree
scientifiche dell’informatica, dell’ingegneria, della fisica, della
matematica, della statistica e dell’economia che abbiano una buona
conoscenza della lingua inglese. Per venire incontro alle esigenze di chi
già lavora e coglie l’opportunità formativa del master per crescere nella
vita professionale, le attività formative sono concentrate in due giorni a
settimana e raggruppate in tre periodi con lo svolgimento di un project
work finale. Il materiale delle lezioni viene reso disponibile on-line
agli allievi attraverso una piattaforma di e-learning ed è possibile
partecipare ai Master anche in qualità di uditori.

Entrambi i Master prevedono lo svolgimento di un project work finale
d’interesse aziendale frutto di collaborazioni con aziende partner come ad
esempio, Alenia Spazio, Anas, Caspur, Clavister Italia, Lottomatica,
Nazioni Unite (Information tecnology service division), Selex-Comms, e
Telespazio S.p.A., oltre che con differenti istituzioni pubbliche. Il
project work è finalizzato ad attestare le conoscenze acquisite durante il
periodo formativo, e viene discusso a conclusione del corso, alla presenza
di un’apposita commissione d’esame.

I corsi sono al via per l’anno accademico 2006/2007; chi fosse interessato
a frequentare i Master anche in qualità di uditore può trovare maggiori
informazioni all’indirizzo http://mastersicurezza.uniroma1.it oppure
contattando la segreteria del master all’indirizzo mastersicurezza@di.uniroma1.it 

Comments(0)

Symantec privacy e truffe on line, in aumento con il phishing

dal sito www.assodigitale.it 

Preoccupante aumento del fenomeno del Phishing nel mondo: secondo il rapporto Internet Security Threat, realizzato da Symantec, in sei mesi i tentativi di phishing sono aumentati di circa il doppio, causando problemi non di poco conto in tutto il mondo dal momento che ogni messaggio può raggiungere centinaia di migliaia di destinatari. Secondo Symantec, infatti, sono stati inviati più di 157.000 messaggi unici di phishing in tutto il mondo nella prima metà del 2006 e si registra un aumento dell’81% rispetto agli ultimi sei mesi del 2005. “Il crimine organizzato su Internet esiste ed è interessato alle attività di phishing. Cerca di colpire gli utenti a casa, che sono diventati l’anello più debole della catena”, ha detto il ricercatore Ollie Whitehouse. “Per fare questo, setacciano siti di socializzazione e siti personali. Al momento, quasi tutti hanno lasciato un’impronta digitale che può essere sfruttata”, ha aggiunto Whitehouse. A ciò si aggiunge il fatto che i phishers sono diventati sempre più abili e le loro tecniche sempre più sofisticate al punto da superare i filtri antispam e i meccanismi di difesa presenti sui computer degli utenti e delle aziende. “Le nuove minacce online sono molto più maligne, oltre a essere in grado di sfruttare ogni opportunità”, ha dichiarato Enrique Salem, presidente dell´area consumer di Symantec. “Durante i mondiali di calcio circolava una gran quantità di phishing email in cui si chiedeva un´iscrizione in cambio di un biglietto. Ma era solo una truffa, ideata per carpire dati sensibili, nome, password e numero di carta di credito per poi rivenderli, magari dall´altra parte del mondo. Per questo, la metà gli utenti del web non si sente sicura quando invia i propri dati in rete”. “Con il veloce sviluppo di nuove tecnologie, come la banda larga”, ha continuato Salem, “le aziende che si occupano di sicurezza hanno cambiato strategie. Anni fa, agli esordi dell’industria per la sicurezza informatica, la preoccupazione maggiore era quella di proteggere materialmente i computer. Norton Utilities era stato costruito intorno all´idea: Come posso ritrovare i file danneggiati?. Poi sono arrivati i virus. Qualche anno fa, grandi epidemie di virus informatici hanno avuto molta visibilità: erano attacchi di massa, senza un target preciso. Con la banda larga, che ci permette di avere una connessione ininterrotta, il pericolo è molto più indirizzato al furto dei dati personali a scopo di profitto”. Il fatto è , ha concluso Salem, “non abbiamo bisogno solo di proteggere i nostri computer, ma anche le nostre azioni, ciò che facciamo elettronicamente, come ad esempio eseguire online transazioni commerciali. Rappresentano comunque un pericolo anche l´istant messaging o le chat, considerati da molti come un gioco, senza contare le preoccupazioni per quello che possono fare i figli online. Chi c´è dall´altra parte della rete? Potrebbe nascondersi un potenziale predatore, un pedofilo”.

Comments(0)