Adempimenti tecnici sulla rilevazione dei dati sensibili e trattamento degli stessi.

Transcript

1 Nuove misure per la tutela dei dati personali Adempimenti tecnici sulla rilevazione dei dati sensibili e trattamento degli stessi. RELATORE: Dott. Antonio Lazzari Soc.Coop. Impronte

2 Contenuti di questo workshop: Capire cosa si intende per trattamento elettronico Perché si ha la necessità di proteggere i sistemi elettronici Perché si ha la necessità di proteggere i dati Quali le soluzioni migliori? Chi è Soc. Coop. Impronte? Obiettivi dell'incontro

3 Privacy = riservatezza Cioè di cosa parliamo? [...]dignità dell'interessato, con particolare riferimento alla riservatezza, all'identità personale e al diritto della protezione dei dati personali[...]. È un diritto Riconosciuta come diritto fondamentale della dignità umana, nella Carta dei diritti fondamentali dell'unione Europea Il codice garantisce che il trattamento si svolga nel rispetto dei diritti e delle dignità fondamentali dell'interessato. Come funziona? [...] il trattamento dei dati personali è effettuato assicurando un elevato livello di tutela dei diritti e delle libertà [...] nel rispetto dei principi di semplificazione... Di cosa si tratta?

4 Cosa si intende per trattamento elettronico? Qualunque operazione effettuata sui dati Tramite l'ausilio di strumenti elettronici quali: stampanti, scanner, registratori magnetici ed ottici in senso lato, protocolli di trasmissione e connessione, cellulari, video e foto-camere,... Quando e perché.

5 Il Sistema Informativo in risposta alle esigenze del trattamento Deve essere la soluzione dei problemi I dati devono essere trattati elettronicamente, quando è strettamente necessario Deve essere economicamente accettabile Inutile spendere in sistemi di protezione sovradimensionati Deve essere economicamente vantaggioso per entrambi le parti Investire in proporzione al diritto che si vuole tutelare Vantaggi per entrambe le parti?

6 Il Sistema Informativo in risposta alle esigenze di sicurezza Comunicazione non voluta di dati causata da errori umani, evento accidentale o doloso Diffusione non voluta di dati causata da errori umani, evento accidentale o doloso Cancellazione, eliminazione o perdita dei dati o della loro consistenza Sicurezza nelle operazioni usuali e straordinarie di trattamento Garanzia di integrità nel tempo Altri usi fraudolenti dei dati compresa la cancellazione e la consegna a terzi non autorizzati Possibilità di risposta alle richieste legittime dell'interessato...o solo prescrizione?

7 Perché adottare un sistema di protezione? La sicurezza non è un problema occasionale Oggi sono riconosciuti dagli antivirus più di virus. In media ne esce uno nuovo al giorno. Un buon antivirus non è sufficiente in quanto non protegge dai virus non riconosciuti e dagli attacchi umani Informazioni quali , codici di accesso, pin, password sono perennemente ricercate dai cracker che fanno di questa attività un lavoro molto remunerativo Sistemi operativi mal progettati o mal installati sono la principale via di accesso alle reti ed ai dati Software inutili nascondono spesso bug, back-door, trojan, sniffer, malware... Non è detto che ciò che costa di più sia anche la soluzione migliore Vantaggi per il titolare?

8 Proteggersi da cosa Quando il pericolo è umano ATTACCHI INTERNI Proteggere i dati da attacchi legati a persone che si introducono nei locali e copiano, leggono, duplicano dati, password, codici di accesso. ATTACCHI ESTERNI Proteggere i dati da pericoli provenienti essenzialmente dalle connessioni internet e quindi dai tentativi di bucare i sistemi di protezione messi in atto. Quanto siete appetibili?

9 Proteggersi da cosa Quando il pericolo è all'interno ERRORE UMANO La corretta formazione all'uso degli strumenti informatici evita la maggior parte dei problemi legati alla perdita ed alla cancellazione errata dei dati, oltre che ai malfunzionamenti dei programmi. SUPERFICIALITÀ A volte un poco di accortezza e di semplice informazione serve a evitare problemi anche gravi. Quanto siete consapevoli?

10 Proteggersi da cosa Apparentemente imponderabile HARDWARE DISASTER La strumentazione elettronica può andare incontro a rotture di hard-disk, sbalzi di tensione, incendi, rotture fisiche da usura, altre rotture non prevedibili. CRASH DEL SOFTWARE I programmi possono andare in tilt, bloccarsi causando perdita cancellazione o diffusione di dati, permettere il trattamento senza credenziali, dare o bloccare erroneamente l'accesso al sistema. Quanto investite?

11 I problemi legati all'hardware Alcuni dei problemi più diffusi Rottura di hard-disk che compromettono i dati contenuti Rottura o smagnetizzazione accidentale dei supporti per il backup Funzionamento non corretto di schede o periferiche che mandano il blocco il sistema Sbalzi di tensione improvvisi che causano blocchi di sistema o bruciano parti delle macchine. Uso di supporti magnetici o ottici di scarsa qualità che si usurano velocemente Locali non idonei alle attrezzature che ne causano veloce usura Avete buone fondamenta?

12 I problemi legati al Sistema Operativo Quando lavorare diventa difficile o pericoloso Un Sistema Operativo deve garantire una stabilità tale da permettere all'operatore di essere tranquillo Acquistereste un'auto che si blocca 2-3 volte al giorno? Garantire un minimo di sicurezza intrinseca La totalità dei pc con WinXP Home senza antivirus si infetta entro i primi 10 minuti di connessione ad internet. Essere facilmente configurabile e aggiornabile Senza connessione ADSL è spesso impossibile aggiornare WinXP (il Service Pack II pesa 92MB). Avete un buon cervello?

13 I problemi legati al Software Pagate per trattare o recuperare dati? Il software deve garantire un uso costante e coerente con le aspettative MS Outlook Express è il principale veicolo di infezione da worm al mondo Il trattamento dei dati deve essere limitato a quello che l'operatore desidera Un file MS Word contiene decine di informazioni riservate dell'autore e dei successivi lettori Il software deve essere aggiornabile con l'evoluzione della tecnologia e retrocompatibile per garantire il trattamento dei dati nel tempo Con la prossima uscita di Windows Vista, MS Office adotterà il formato Xdoc incompatibile con le attuali versioni *.doc, *.xls, *.mdb Avete buone braccia?

14 Misure minime di sicurezza Cosa si deve fare per essere tranquilli? Autenticazione informatica (chi) con sistema di autorizzazione (cosa) a credenziali (dove) PASSWORD di almeno 8 caratteri alfanumerici Protezione degli strumenti informatici dall'uso non autorizzato Firewall, antivirus, backup... Adozione di procedure di protezione dei dati nel tempo Procedure di backup, protezione dei locali,... Redazione Documento Programmatico per la Sicurezza Nei casi previsti Rispettate le legge?

15 Misure minime di sicurezza Basta per essere davvero tranquilli? Autenticazione informatica AAAAAAAAAA password di 10 caratteri Protezione degli strumenti informatici Firewall disattivato perchè evita l'uso di Kazaa,... Adozione di procedure di protezione Procedure di backup scritte e mai usate Redazione Documento Programmatico per la Sicurezza Scaricato e compilato per telefono Sicuri che bastano?

16 Documento Programmatico sulla Sicurezza ANALISI DEI RISCHI Censimento delle risorse Censimento dei dati Censimento dei trattamenti Censimento dei sistemi di protezione Identificazione delle vulnerabilità e appetibilità Identificazione del livello di rischio Lo strumento per la gestione PIANIFICAZIONE E GESTIONE Descrizione di dettaglio dei dati e dei trattamenti Definizione dei compiti, delle responsabilità e del livello di formazione Risultanze dell'analisi dei rischi Pianificazione delle misure di protezione Affidamento degli incarichi Affrontare e risolvere!

17 Documento Programmatico sulla Sicurezza Analisi dei rischi USARE LA METODOLOGIA BS7799 Rischio come prodotto scalare tra Gravità del danno e Probabilità che esso si manifesti R = G x P Per le minacce deliberate la Probabilità è funzione delle vulnerabilità presenti nel sistema e della motivazione dell'attaccante P = f (V,M) Per le minacce di tipo accidentale la Probabilità che un sinistro si verifichi è funzione della vulnerabilità del sistema e della probabilità intrinseca del sinistro P = f (V,p) Analizzare per conoscere meglio

18 Documento Programmatico sulla Sicurezza VERIFICARE ALMENO: Diffusione di virus informatici Attacco umano Analisi dei rischi Crash di un server o di un suo servizio Crash di un client o di un suo programma Analisi dei rischi fisici da 626 IL TUTTO DEVE ESSERE CONTESTUALIZZATO ALLA REALTÀ IN CUI SI OPERA, AGLI STRUMENTI ED AL PERSONALE PRESENTE Condizioni minime di analisi

19 Documento Programmatico sulla Sicurezza Analisi dei rischi PER APPETIBILITÀ ELEVATA: METTERSI NEI PANNI DI UN CRACKER E SIMULARE UN ATTACCO AL SISTEMA PREDISPORRE TRAPPOLE (HONEY-POT) REGISTRARE TUTTO SISTEMATICAMENTE (SISTEMI IDS) Quando è meglio abbondare

20 Documento Programmatico sulla Sicurezza Il coltellino svizzero Imparare dai cracker

21 Documento Programmatico sulla Sicurezza Analisi dei rischi HONEY-POT...IL VASO DI MIELE: INGREDIENTI: Un vecchio pc, meglio se un server PREPARAZIONE: Installare un Sistema Operativo da server (ad esempio Linux), chiamarlo Server Supersicuro, metterci un database e chiamarlo Dati Bancari e Sensibili, un sito internet e chiamarlo Intranet... Rubare ai ladri GETTARE LA RETE: Installare un IDS e mettere il pc fuori dal firewall (DMZ)

22 Documento Programmatico sulla Sicurezza La sicurezza assoluta NON ESISTE UN BUON COMPROMESSO: CLIENT CON ACCESSO PROTETTO SERVER CON SISTEMA DI CREDENZIALI FIREWALL AGGIORNABILE PROXY AGGIORNABILE DMZ PER SITO INTERNET IDS E HONEY-POT Internet Intranet Rubare ai ladri

23 I costi della Sicurezza I COSTI LI DECIDETE VOI!!! Io preferirei fare le cose bene e gratuitamente...o quasi POSSIBILE? Vediamo come Ma quanto mi costa?

24 I costi della Sicurezza Software proprietario vs Software Libero Ma quanto mi costa?

25 PREMESSA - Architettura commerciale o Open Source? Premessa per il software Open Source Per software Open Source si intende quel software libero (FREE) che ci permette di leggerne, utilizzarne e modificarne i sorgenti. Viene rilasciato sotto licenza GPL ( BSD ( o simili (CopyLeft). Premessa per il software commerciale Il software commerciale è regolato da politiche aziendali diverse, ma comunque ha delle licenze che tolgono o limitano le libertà dell'utilizzatore (CopyRight). Il diavolo o l'acqua santa?

26 CONFRONTI - Architettura commerciale o open source? Open Source In genere il software OS è gratuito. In genere è liberamente scaricabile da internet. In genere ha alle spalle una comunità di sviluppo pronta ad aiutare. Costi Commerciale È acquistabile dalla casa produttrice in vari modi o è distribuito gratuitamente. In genere è corredato da manuali ed assistenza acquistabili anche separatamente. Vant. per gli utilizzatori

27 CONFRONTI - Architettura commerciale o open source? Open Source Non è detto che funzioni meglio, ma tendenzialmente i bug sono corretti nel giro di poco tempo. Tutti gli utilizzatori possono segnalare o votare bug o wishes Affidabilità Commerciale Tutti i problemi sono risolti solo quando la casa produttrice ne ha convenienza economica. Non è possibile in genere segnalare o votare bug o wishes Vant. per gli utilizzatori

28 CONFRONTI - Architettura commerciale o open source? Open Source Il fatto che il codice sorgente è libero evita la presenza di funzionalità nascoste e non desiderate. Sicurezza Commerciale Spesso sono presenti funzionalità nascoste o non note che vengono utilizzate dai produttori o dai cracker per studiare ed analizzare il comportamento dell'utente. Vant. per gli utilizzatori

29 CONFRONTI - Architettura commerciale o open source? Open Source La libertà di lettura del codice porta coloro che ne hanno le capacità a modificarlo, migliorarlo o utilizzarlo per gli scopi più diversi. Ciò crea imprenditoria, relazioni e saperi legati al territorio. Economia a scala locale Commerciale Tutti i saperi, i diritti e i guadagni sono accentrati in un'unica sede. Vant. per la società

30 Alcune soluzioni pratiche Distribuzioni

31 Alcuni Software Open Source Progetto Mozilla Internet sicuro

32 Alcuni Software Open Source Progetto OpenOffice.org - Write Ufficio sicuro

33 Alcuni Software Open Source Progetto OpenOffice.org - Calc Ufficio sicuro

34 Alcuni Software Open Source Progetto OpenOffice.org - Impress Ufficio sicuro

35 Alcuni Software Open Source Progetto OpenOffice.org - Write Base Draw Ufficio sicuro Math

36 Chi è Cooperativa Impronte? La Società Cooperativa Impronte si occupa tra l'altro di progettazione, diffusione e promozione delle conoscenze e degli strumenti nell'ambito della sostenibilità ambientale, sociale ed economica, quali efficienza energetica, mobilità, energie rinnovabili, società dell'informazione, innovazione tecnologica, valutazioni ambientali, valutazioni di sostenibilità (Art4. comma a) dello statuto societario). Come opera Impronte? La Società Cooperativa Impronte si caratterizza perchè svolge il proprio lavoro in sobrietà, ovvero con efficienza, consistenza e sufficienza; promuovendo direttamente o indirettamente il rispetto dell ambiente, la dignità umana, la diffusione delle conoscenze, e una sempre maggiore consapevolezza delle implicazioni etiche delle scelte delle persone. Chi Siamo?

37 GRAZIE Per ulteriori Informazioni: Antonio Lazzari Soc. Coop. Impronte Domande?