L’INSIDER QUESTO SCONOSCIUTO

Cos’è uno SPID(*) , l’IDAS(**) e le guerre che un tempo si combattevano sul campo quelle studiate alle scuole di guerra o nei consessi di esercitazioni NATO, componenti Land e JOINT & COMBINED, oggigiorno hanno un riscontro informatico. Questa minaccia prima di essere addebitata ad un agente esterno è principalmente il risultato di un comportamento, il Nostro. Esso dipende  dall’approccio ed uso che facciamo del nostro PC, sia per lavoro che per diletto. Ciascuno  ha una sua  identità digitale  attraverso la quale viene più o meno conosciuto e scusate la lieve ripetizione, riconosciuto. Quando questo documento virtuale, comprensivo di nostri usi, costumi,ideologie politiche ed abitudini viene violato per qualsiasi motivo da uno spettro ampiamente allargato che va  dal dispetto ad personam  all’ attentato e spionaggio degli affari, la  minaccia, successivamente può identificarsi in un delitto contro la nostra ed altrui persona. Gli Enti pubblici da quelli Locali agli Statali, le aziende pubbliche e private , hanno il dovere di proteggere i dati che posseggono nelle loro banche. I dipendenti di queste ultime, sui quali i controlli indirettamente saranno rivolti, devono adottare le misure che nell’ambito del posto di lavoro vengono loro imposte per la tutela del patrimonio virtuale sul quale lavorano quotidianamente. Ciascuno di noi individualmente deve sapere che ogni sua espressione digitata sui social network può essere usata contro di lui o a vantaggio/svantaggio di business di questo o quel prodotto come merce di scambio tra i grandi motori di ricerca e le aziende produttrici. Un esempio in tal senso sono le notizie fake gettate lì nella rete così come un esca per far abboccare qualcuno dei pescatori, dai quai il fenomeno di fishing può essere il derivato in  inglese di una truffa all’italiana. Va  da sé che tutto questo è assurdamente pensabile che si possa fermare poiché bisognerebbe, altresì, arrestare il tempo e l’evoluzione che quotidianamente sviluppa  innovazioni per l’uso a scopi benefici delle comunicazioni informatiche. Esse ormai  fanno parte della quotidianità di ciascuno di noi e sostituito parzialmente, in alcuni casi, totalmente quelle montagne di carta e faldoni che per tanto tempo occupavano spazio negli archivi dove ci  fosse almeno una  ragione che giustificasse la conservazione dei dati nel tempo.  Il prossimo Maggio si dovrà applicare la regolamentazione europea facente capo al disposto 2016/ 679 per la tutela della privacy. Tutti i detentori di private identità formalizzate in archivi elettronici dovranno adeguarsi alla normativa la quale impone l’obbligo di tutela. Ma in cosa consiste la novità qualcuno si chiederà , in effetti  è dal 1990 che se ne parla  quando una legge la 241, all’art. 44 dettava le regole del CAD, requisiti della destino informatica, lasciando nel vago le responsabilità. Successivamente con alcune modifiche all’art 17 veniva annunciato il passaggio al digitale. E poi una circolare 65/2014, DPR CNIPA, Centro Nazionale Informatizzazione Pubblica Amministrazione ed una riforma in perfezionamento ci furono delle modifiche formalizzate nell’art71 del CAD  ed ancora negli art 20 e21. Su tutto questo per convenzione  si è imposto il regolamento Europeo che dal prossimo 25/Maggio/2018 diverrà legge a tutti gli effetti. Insomma un doppio filo che collegherà responsabile e utilizzatori  sperando che si dica la verità ed alla domanda se siano stati evitati degli attacchi si risponda invece di quanti invece avrebbero fatto centro sul bersaglio eludendo la sorveglianza, indicandone  infine quelli riusciti ad evitare. Le vecchie strategie oggi sono state soppiantate dall’abilità degli hacker i quali studiano e riescono a forare i sistemi reputati i Sancta Santorum di un tempo. Oggigiorno nelle piccole aziende si dovrebbe chiedere una consulenza, specialmente dove le possibilità economiche fossero insufficienti ad assumere a tempo determinato  una persona che si occupi della sicurezza dei dati. Negli Enti pubblici bisognerebbe individuare tra il  personale un dipendente il quale per capacità che per volontà sia in grado di  coadiuvare il responsabile della costodia dei dati quale Sindaco, Presidente, CEO, eccetera. Questi con qualifica di un personaggio addetto alla sicurezza dei datiDPO(******). avrà il compito di fissare con il responsabile dei dati un DLP(***)  ed un UBA(****). Importanza rivestirà  la progettazione ed il DPIA(*****) dovrà attuare , il modo di operare potrà fare la differenza nelle scelte e più o meno motivate, tanto da condizionare positivamente o negativamente il comportamento dei dipendenti. All’art 38 del regolamento si dice tra l’altro che la mancata nomina della persona facente funzioni del Data Process, dovrebbe essere motivata.  Và da sé che la politica da attuare è quella di porre i collaboratori nelle condizioni di eseguire facilmente i compiti assegnati loro,  allo scopo di evitare errori ed inconsapevolmente mancanze che scivolerebbero nel penale per rivelazioni di privacy. Spesso con opportuni accorgimenti in alcune aziende americane si dà la facoltà di concedere un intervallo regolamentato durante il quale nell’ambito della rete aziendale il dipendente vien invogliato ad  una serie di giochi,  magari sotto forma di quiz animati, sui vari settori di impiego. Così che quelli addetti alla logistica rispondano a domande sulla produzione e coloro che sono addetti alla ricerca, ad esempio,  sulle competenze degli  uni e degli  altri. Un modo per allargare le conoscenze ed informare ed abituare i dipendenti ad una visione più panoramica del loro posto di lavoro.  Ciascuno può sbizzarirsi come preferisce ad una condizione quella di tener conto dell’importanza e significato di un documento informatico senza sottovalutare il valore intrinseco.  Il regolamento Europeo prevede l’opportunità di un finanziamento da parte della medesima e quelli per l’attuazione del disposto sulla tutela della privacy ne danno facoltà. Il DPO dovrà preventivamente  presentare un progetto sulla base dei parametri che i responsabili delle  Società e l’Ente Pubblico gli detteranno.Un pò come l’assessment dei rischi da infortuni o di parti soggette a tali inconvenienti, nelle fabbriche, officine, scuole e posti di lavoro in generale(legge 626)nominando il terzo responsabile. Nei casi mancassero i fondi per ovviare o progettare una sicurezza informatica, della sua vulnerabilità dovranno essere informati tutti coloro che lavorano nell’interno di una comunità lavorativa. I rischi così come gli utili e le problematiche se condivise possono far solidarizzare, inoltre costituiscono  contemporaneamente una formazione ed informazione entrambe tese ad evitare sorprese, della serie io non lo sapevo, sopratutto in periodi di transizione. In fotografia viene indicato una statistica che l’anno scorso è stata redatta  nel Regno Unito sull’argomento , come si può osservare tra il dire ed il fare c’è di mezzo il mare e di più. Molto in questo campo resta da fare perchè spesso la leggerezza con il quale si affronta il problema  della privacy talvolta ostinatamente ci fà litigare per microerrorri e trascurare i macro con la superficialità che involontariamente o volutamente, talvolta, caratterizza lo svolgimento dei nostri compiti quotidianamente.  Significherebbe aprire la strada ad un invasione, altrettanto pericolosa  dell'emigrazioni di massa con le quali da tempo il nostro Paese  si trova a dover affrontare. Proprio da quei  Paesi da Noi considerati del terzo mondo fino a qualche decennio fà,  intere legioni di personale   provvedono al controllo e probabilmente a a studiare i metodi   per  forare le difese informatiche. Così come i foreign fighters del Daesh anche gli hacker scommettono  vincendo il più delle volte come riuscire a carpire  o deviare  informazioni che volontariamente ed involontariamente forniamo loro, spesso ignorando chi ordina tali azioni. Qualche perplessità personalmente la esprimo per come verrà affrontato negli Uffici dedali enti pubblici la problematica della protezione dei dati. Mancando le motivazioni d'urgenza  ed essendo decisioni da adottare in sede collegiale esse saranno adottate dopo lunghe stesure delle delibere tanto da dilatarne i tempi d'attuazione. 

—-

Note:

SPID(*) Sistema Pubblico d’Identità Digitale

IDAS(**) Identificazione Autentificazione elettotronia Service

DLP(***) Data Loss Project

UBA(****)UserBehaviour Proiect

DPIA(*****)Data Project Intel Assessment 

DPO(******)Data Protetcting Officer