Privacy by design significa anche per voi sicurezza senza fare niente»?

Transcript

1 Privacy by desig sigifica ache per voi sicurezza seza fare iete»? Luca Bechelli Iforma(o & Cyber Security Advisor Dire9vo e Comitato Tecico - Scie(fico CLUSIT

2 I umeri della bestia 94 attacchi gravi al mese +7% degli attacchi, rispetto all ao precedete +14% attacchi di cybercrime 2

3 Colpa «loro»?!? +94% attacchi malware «comue» 7% 6% 4% 31% Others Rasomware Adroid malware Bakig troja 12% Crypto* RAT 13% Apple malware 27% 3

4 50% of the worst breaches of the year were caused by iadvertet huma error. PWC Iformatio Security Breaches Survey 2015 Copyright(C) Luca Bechelli - tutti i diritti riservati 4

5 Sosteibilità? Copyright(C) Luca Bechelli - tutti i diritti riservati 5

6 Segali Deboli: +6% APT 6

7 58% Delle imprese i EU a frote della domada di cosa è stato implemetato i termii di politiche-procedure di sicurezza IT, rispode co cotrollo delle vulerabilità

8 Quado maca il risk maagemet Aalisi del Rischio Iformatico Luca Bechelli Tutti i diritti riservati

9 Come (dovrebbe) evolve(re) l approccio della security aziedale cybercrime Iformatio Security applicatio security cybersafety cybersecurity GDPR etwork security iteret security Critical Iformatio Ifrastructure Protectio Probabilità Cyber Security approach Iformatio Security approach Impatto ISO 27032:2012

10 Approcci tradizioali: pricipali limiti Probabilità Complesso i termii di progettazioe e attuazioe Esposto a errori di valutazioe soggettiva Idirizza prevaletemete iterveti verticali Rappresetabile al maagemet, soprattutto i chiave quatitativa Bassa frequeza di attuazioe Risk Maagemet Audit VA&PT Valore limitato el tempo Audit: richiedoo u modello di riferimeto Idirizzao remediatio teciche/operative Alta frequeza di attuazioe, limitata solo dai tempi di remediatio CyberSecurity Frameworks impatto Approccio checklist : misuro quato mi difedo, o quato è efficace la difesa Modelli di riferimeto scarsamete persoalizzati Modelli o proporzioali Cotrolli di atura tecica Alta frequeza di attuazioe (limitata solo dai tempi di remediatio)

11 cocretamete (di solito) Probabilità impatto Risk Maagemet Audit VA&PT CyberSecurity Frameworks Scarso coivolgimeto del busiess e altrettato scarsa codivisioe e compresioe dei risultati Elevata attezioe agli aspetti metodologici, limitata liearità tra iput e risultati dell aalisi Limitata attezioe ai fattori di rischio a favore di u eccessiva ricerca di criteri oggettivi per valutare rischi oti Scarsa reattività Risolvoo problemi oti a partire da obiettivi altrettato oti Costituiscoo uo strumeto di sesibilizzazioe del maagemet I asseza di altri strumeti o modelli di govero della sicurezza e dei rischi, supportao l azieda ell idividuazioe di iterveti ad alta priorità a frote dell escalatio delle miacce estere verificatasi egli ultimi ai Elevata reattività Per il busiess: l ha detto il NIST

12 Cosa maca? Probabilità impatto Risk Maagemet Audit VA&PT CyberSecurity Frameworks Partecipazioe del maagemet ella fase di aalisi / assessmet Recepimeto e codivisioe delle effettive esigeze / obiettivi Rappresetazioe dei risultati i forma compresibile (soprattutto dei razioali che idividuao le maggiori criticità, #checcifregaselodiceilnist, #laciacispia, #piùpetolextutti.) Correlazioe delle criticità co gli impatti Ambito di ricerca delle azioi di mitigazioe che compreda sia il busiess che l IT, sia il sistema IformatICO che IformatIVO

13 Privacy by desig Descritta da sette pricipi, defiiti egli ai 90 (i particolare el 1995): Proactive ot Reactive: The PbD approach attempts to aticipate ad prevet privacy-ivasive evets before they happe. Privacy as the Default Settig: Esure that persoal data is automatically protected i ay give IT system or busiess practice, so that if a idividual does othig, their privacy still remais itact. Privacy Embedded ito Desig: Privacy should be embedded ito the desig ad architecture of IT systems ad busiess practices. Full Fuctioality Positive-Sum, ot Zero-Sum: PbD seeks to accommodate all legitimate iterests ad objectives i a wi-wi maer, balacig seemly opposig iterests, such as security ad privacy. Ed-to-Ed Security Full Lifecycle Protectio: PbD exteds throughout the etire lifecycle of the data ivolved, from start to fiish. Visibility ad Trasparecy: It seeks to assure all stakeholders that compoet parts ad operatios remai visible ad trasparet, to users ad providers alike. Respect for User Privacy Keep it User-Cetric: Above all, it puts the iterests of the idividual by offerig such measures as strog privacy defaults, appropriate otice, ad empowerig user-friedly optios.

14 e la privacy?!? 14

15 Privacy by Desig Art.25 Protezioe dei dati fi dalla progettazioe e protezioe per impostazioe predefiita: u teedo coto dello stato dell arte e dei costi di attuazioe, oche della atura, dell ambito di applicazioe, del cotesto e delle fialita del trattameto, come ache dei rischi aveti probabilita e gravità diverse per i diritti e le libertà delle persoe fisiche costituiti dal trattameto, sia al mometo di determiare i mezzi del trattameto sia all atto del trattameto stesso il titolare del trattameto mette i atto misure teciche e orgaizzative adeguate, quali la pseudoimizzazioe, volte ad attuare i modo efficace i pricipi di protezioe dei dati, quali la miimizzazioe, e a itegrare el trattameto le ecessarie garazie al fie di soddisfare i requisiti del presete regolameto e tutelare i diritti degli iteressati.

16 Obiettivi da perseguire correttezza e traspareza: i dati sarao trattati i modo corretto e trasparete ei cofroti dell iteressato, i particolare prevededo iformative adeguate prima di itrapredere qualsiasi trattameto e successive comuicazioi riguardo ad evetuali modifiche rispetto a quato iizialmete idicato; limitazioe della fialità: i dati sarao raccolti esclusivamete per fialità determiate, esplicite e legittime e successivamete trattati i modi che o siao icompatibili co tali fialità; liceità: i dati sarao raccolti e trattati, ad eccezioe dei casi tassativi esplicitamete previsti dal Regolameto, solo i preseza di ua o più delle codizioi di liceità da quest ultimo idetificate; esattezza: i dati devoo essere mateuti esatti e, se ecessario, aggiorati. Pertato, dovrao sussistere tutte le misure ecessarie a cacellare o rettificare tempestivamete i dati iesatti rispetto alle fialità per le quali soo trattati; miimizzazioe dei dati: i dati devoo essere adeguati, pertieti e limitati a quato strettamete ecessario alla realizzazioe delle fialità per cui sarao raccolti; limitazioe della coservazioe: i dati sarao coservati i ua forma che cosetirà l idetificazioe degli iteressati per u arco di tempo o superiore a quello ecessario al coseguimeto delle fialità per le quali soo stati raccolti e trattati; resposabilizzazioe: l azieda dovrà essere i grado di comprovare l adozioe di misure e processi idoei a garatire il rispetto dei pricipi descritti ai puti che precedoo, delle orme del GDPR (accoutability) e delle misure idividuate sulla base dell aalisi dei rischi.

17 Ciclo di vita del trattameto e aalisi del rischio Rischio Poteziale Rischio Poteziale Rischio Effettivo Prima del (uovo) trattameto Nuovo Trattameto Ao 1... Ao Trattameti ad alto Rischio Art.35 (DPIA): U isieme di azioi, tra cui l Aalisi del rischio: Valutazioe im patti e probabilità Idetificazioe misure evetuale cosultazioe prevetiva Art.35 (DPIA), comma 11: Se ecessario, il titolare del trattameto procede a u riesame per valutare se il trattameto dei dati persoali sia effettuato coformemete alla valutazioe d impatto sulla protezioe dei dati almeo quado isorgoo variazioi del rischio rappresetato dalle attivita relative al trattameto Il WP29 suggerisce ua frequeza al più trieale I tutti i casi Art.25 (privacy by desig / default): Aalisi del rischio: Valutazioe impatti e probabilità Idetificazioe misure Implemetazioe Art.32 (sicurezza del trattameto): Aggiorameto periodico dell Aalisi del rischio per determiare la ecessità di adeguare le misure al variare delle miacce e degli impatti per l iteressato

18 GRAZIE Domade? Osservatorio Iformatio Security & Privacy Liea Guida per la Data Protectio Impact Assessmet blicazioi/liea-guida-per-la-dataprotectio-impact-assessmet Luca Bechelli Direttivo e Comitato Tecico Scietifico Clusit luca@bechelli.et