CLOUD COMPUTING: PRIVACY E SICUREZZA. ANALISI DELLE CRITICITA APPLICATIVE

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "CLOUD COMPUTING: PRIVACY E SICUREZZA. ANALISI DELLE CRITICITA APPLICATIVE"

Valeria Perrone
8 anni fa
Visualizzazioni

1 S.A.F. SCUOLA DI ALTA FORMAZIONE LUIGI MARTINO S.A.F. SCUOLA DI ALTA FORMAZIONE LUIGI MARTINO NUOVI SCENARI TECNOLOGICI CLOUD COMPUTING: PRIVACY E SICUREZZA. ANALISI DELLE CRITICITA APPLICATIVE Indice: Storia e nozione di Cloud I pro e i contro I modelli di servizio Problematiche specifiche connesse con la Privacy Public cloud storage provider verifica presso alcuni fornitori in merito al rispetto della privacy Responsabilità per la gestione on-line Internet banking Verifiche da effettuare nella scelta del provider DR. PAOLO LUPPI 5 Dicembre Ordine Dottori Commercialisti - C.so Europa, 11 - Milano Evoluzione del mercato IT Nuovo modello di gestione delle risorse informatiche Distinzione Capex # Opex Amazon 2002 Cloud Computing segue poi Google 2006 con introduzione di applicativi nella nuvola I Pro del Cloud I vantaggi del CLOUD per il cliente: Semplificazione della gestione informatica Vantaggio finanziario/economico (CapEx / OpEx) Accesso semplificato nell erogazione del servizio I vantaggi del CLOUD per il fornitore del servizio: Ottimizzazione delle risorse su più clienti Fatturazione del servizio preciso 3 4

presso alcuni fornitori in merito al rispetto della privacy Responsabilità per la gestione on-line Internet banking Verifiche da effettuare nella scelta del provider DR.

2 I contro Gli aspetti giuridici, connessi con il trattamento di dati sensibili e giudiziari Gli aspetti giuridici connessi con le responsabilità delle parti nel trattamento dei dati La localizzazione dei dati Rischio condivisione dati di soggetti diversi Modelli di servizio NIST SAAS (Software as a Service) Rende disponibili applicazioni informatiche (es: , la gestione delle risorse umane, i sistemi di Unified Communication, le soluzioni di CRM, e-learning, back up remoto) IAAS (Infrastructure as a Service) In genere mette a disposizione vere e proprie infrastrutture (es. server virtuali remoti Amazon S3 e EC2) PAAS (Platform as a service) Rende disponibili piattaforme informatiche (es. Google Apps Engine, Microsoft Windows Azure) 5 6 Modelli di Cloud Privacy e Cloud Normativa di riferimento Privacy: Private Cloud Computing (nuvola privata): vantaggio è il controllo puntuale da parte del titolare Public Cloud infrastruttura di proprietà del fornitore specializzato di servizi via web: problema è la perdita del controllo da parte del cliente Cloud ibrido Direttiva 95/46/CE e Codice Privacy (D.Lgs. 196/2003 T.U.L.P.) e proposta nuovo regolamento comunitario Titolare Responsabile Incaricato Esistenza di più titolari autonomi (difficile nel caso del Cloud) Il Buyer è il titolare Cloud provider è normalmente incaricato Cloud provider è raramente responsabile o cotitolare 7 8

sistemi di Unified Communication, le soluzioni di CRM, e-learning, back up remoto) IAAS (Infrastructure as a Service) In genere mette a disposizione vere e proprie infrastrutture (es.

3 Privacy e Cloud Condizioni di liceità del trattamento Informativa Consenso specifico Autorizzazione del Garante al trattamento (n. 4/2011) dei dati sensibili da parte dei liberi professionisti Il trattamento deve essere effettuato unicamente con logiche e mediante forme di organizzazione dei dati strettamente indispensabili in rapporto all incarico conferito dal cliente Comunicazione dei dati a terzi con limitazioni Privacy e Cloud Problemi per dati sanitari per professionisti Particolari condizioni per il trattamento: possibilità di comunicazione solo se necessario per finalità di prevenzione, accertamento o repressione dei reati Consenso e informative per il Cloud devono essere molto dettagliate (ove possibile) per non incorrere in responsabilità Problema legge applicabile Privacy: nazionale o estera? Legislatore europeo ha stabilito tre regole: 1)Stabilimento titolare (criterio principale): legge del luogo del titolare 2)Luogo dove si trovano gli strumenti utilizzati per il trattamento (se soggetto non EU) 3)Stabilimento responsabile (per le misure di sicurezza) Non rileva nazionalità delle parti e irrilevante dove si trovano i dati 9 10 Trasferimento dati all estero (art. da 42 a 45 T.U.L.P.) Art. 42. (Trasferimenti all interno dell Unione Europea o allo Spazio Economico Europeo) Art. 45. E vietato tutto ciò che non è espressamente previsto. Fuori dei casi di cui agli articoli 43 e 44, il trasferimento anche temporaneo fuori del territorio dello Stato, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, diretto verso un Paese non appartenente all'unione europea, è vietato Art. 43. (Trasferimenti consentiti in Paesi terzi) 1. Il trasferimento anche temporaneo fuori del territorio dello Stato, con qualsiasi forma o mezzo, di dati personali oggetto di trattamento, se diretto verso un Paese non appartenente all'unione europea o allo Spazio Economico Europeo è consentito quando: a) l'interessato ha manifestato il proprio consenso espresso o, se si tratta di dati sensibili, in forma scritta; b) è necessario per l'esecuzione di obblighi derivanti da un contratto del quale è parte l'interessato 11 12

rapporto all incarico conferito dal cliente Comunicazione dei dati a terzi con limitazioni Privacy e Cloud Problemi per dati sanitari per professionisti Particolari condizioni per il trattamento:

4 c) è necessario per la salvaguardia di un interesse pubblico rilevante individuato con legge d) è necessario per la salvaguardia della vita o dell'incolumità fisica di un terzo. e) è necessario ai fini dello svolgimento delle investigazioni difensive f) è effettuato in accoglimento di una richiesta di accesso ai documenti amministrativi g) è necessario, in conformità ai rispettivi codici di deontologia, per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici h) il trattamento concerne dati riguardanti persone giuridiche, enti o associazioni. Art. 44. (Altri trasferimenti consentiti) 1. Il trasferimento di dati personali diretti verso un Paese non appartenente all'unione europea, è altresì consentito quando è autorizzato dal Garante sulla base di adeguate garanzie per i diritti dell'interessato: a) individuate dal Garante; b) individuate dalla Commissione europea. Decisioni prese: Svizzera, Israele, Canada, Andorra, Argentina Documenti digitali con rilevanza tributaria condizioni per la conservazione all estero necessità della reciproca assistenza per conservazione delle fatture elettroniche (AE, Circ. 5/E del , punto 6.4) - Divieto di conservazione sostitutiva all estero per scritture contabili, fatture acquisto, libri sociali obbligatori, DDT conservazione solo nel territorio italiano (AE, Circ. 5/E del , punto 6.4) - Amministratore di sistema: difficoltà applicative Privacy e Cloud storage provider Dropbox Memopal Wuala No Safe Harbour, fino al 2/2012 Rispetta la normativa italiana vigente Non indica dove sono conservati dati Vantaggio èla criptazione in locale Cancellazione non certa, solo se richiesto dalla legge Dopo 7 (40) gg fine rapporto cancellazione dei dati Comunicazione dati a terzi Garantisce la non consultazione dati utenti, salva richiesta autorità Giudiziaria autorizzata 15 16

rispettivi codici di deontologia, per esclusivi scopi scientifici o statistici, ovvero per esclusivi scopi storici h) il trattamento concerne dati riguardanti persone giuridiche, enti o associazioni.

5 Privacy e Cloud storage provider Google / Google Apps / Google Apps for business Amazon Safe Harbour indicato come opzione in alcune Privacy Policy Dichiarata la comunicazione dei dati a terzi Responsabilità per la gestione on-line Internet banking Responsabilità in caso di frodi in mancanza di frodi accertate Giurisprudenza non univoca Arbitro bancario finanziario Sentenza 472/2012 Tribunale di Asti La banca deve provare il comportamento negligente del cliente, anche in caso in assenza di violazioni o effrazioni del sistema Consapevolezza dei rischi, politiche di sicurezza e collaborazione banche e utenti Privacy e Cloud Come superare i problemi connessi con la privacy Private Cloud Valutare i dati da rendere disponibili nel Cloud Scegliere la localizzazione del server e verificare la legge applicabile Proprietà dei dati Analizzare la restituzione dei dati in caso di cessazione del servizio Problema della distruzione dei dati in caso di cessazione del servizio Consapevolezza dei rischi Verifiche da effettuare nella scelta del provider: 1. Valutare bene il fornitore e la sua affidabilità 2. Valutare i dati da fornire e la loro localizzazione 3. Valutare la presenza di filiere di service provider 4. Valutare i rischi che ne possono scaturire 5. Quali misure di prevenzione sono adottate 6. Attenzione particolare ai servizi gratuiti 7. Attenzione alle clausole contrattuali 19 20

Tribunale di Asti La banca deve provare il comportamento negligente del cliente, anche in caso in assenza di violazioni o effrazioni del sistema Consapevolezza dei rischi, politiche di sicurezza e

6 Vi ringrazio per l attenzione Paolo Luppi pluppi@luppi.it 21

Documenti analoghi

PRIVACY E DELLA SICUREZZA (ASPETTI CHE IL CLOUD POTREBBE METTERE IN PERICOLO)

S.A.F. SCUOLA DI ALTA FORMAZIONE LUIGI MARTINO S.A.F. SCUOLA DI ALTA FORMAZIONE LUIGI MARTINO CLOUD COMPUTING E SUE RILEVANZE NELL ORGANIZZAZIONE DI STUDIO? PRIVACY E DELLA SICUREZZA (ASPETTI CHE IL CLOUD