CYBERTRUFFE, QUESTE SCONOSCIUTE

Professione? Cyber-criminale specializzato.
Sono sempre più “innovative” – passateci il termine – le tecniche utilizzate per danneggiare via rete le aziende. Dalle case farmaceutiche alle banche, alle imprese artigianali. Nessuno escluso.

Sono i dati riservati ed i brevetti, patrimonio intangibile e preziosissimo, ad essere i più attaccati, in una sorta di spionaggio online.

Come operano i cyber-criminali?
Infettano pc o smartphone, rubando le informazioni digitate dall’utente o, addirittura, l’identità di un fornitore abituale, arrivando ad ottenere ingenti somme di denaro attraverso i bonifici effettuati dall’ignaro interessato.

Elenchiamo una serie di tecniche di spionaggio:
spear phishing: e-mail che sembrano provenire da una persona o un’azienda conosciuta. In realtà provengono da hacker criminali che chiedono i dati della carta di credito e del conto corrente bancario, le password e le informazioni finanziarie presenti sul computer della vittima;
intercettazioni telefoniche;
backdoor: errori di programmazione lasciati intenzionalmente (spesso senza intenti malevoli) o non intenzionalmente (spesso per distrazione) dallo sviluppatore di siti web, e-commerce o programmi software aziendali, al fine di accedere ad aree riservate oltrepassando la normale autenticazione;
ransomware: tipo di malware che limita l’accesso al dispositivo che infetta, cripta le informazioni riservate, e chiede poi un riscatto da pagare per rimuovere la limitazione;
clonazione del sito web aziendale: il sito viene copiato completamente, al fine confondere l’utente ed indurlo ad usare le credenziali di accesso del sito originale, di fatto regalandole al criminale che ne può fare un uso immediato.

Gli attacchi sono ovunque e, per proteggersi, è necessario monitorare la situazione e difendersi.
In poche parole: giocare d’anticipo.
La maggior parte delle tecniche di spionaggio indicate sopra possono essere ridotte, o eliminate, applicando in azienda la “social engineering” con finalità “buone”, per aumentare la consapevolezza degli stessi utilizzatori della rete, mettendoli alla prova.
Il “social engineer” infatti, per definirsi tale, deve saper fingere, sapere ingannare gli altri, in poche parole saper mentire. Egli è molto bravo a nascondere la propria identità, fingendosi un’altra persona: in tal modo riesce a ricavare informazioni che non potrebbe mai ottenere con la sua identità reale.
Utilizzando opportune tecniche psicologiche di ingegneria sociale applicate (es. senso di colpa, situazioni che scatenano il panico, ignoranza, desiderio e avidità, ecc.) il “social engineer”, quindi, può aiutare la vittima ad evitare di essere attaccata.
È proprio il caso di dire: chi di spada ferisce, di spada perisce.

Per approfondimenti leggi l’intervista a Pierluigi Paganini, membro dell’Enisa (European Union Agency for Network and Information Security).
Fonte: Sole24ore, Alessandro Longo – 3 Aprile 2017
Fonte immagine: Freepik

0

10 cose da sapere per essere pronti al nuovo regolamento generale sulla protezione dei dati

Il GDPR (General Data Protection Regulation), ossia il regolamento con il quale la Commissione europea rafforza e unifica la protezione dei dati personali entro i confini dell’Unione Europea, sostituirà l’attuale direttiva comunitaria e sarà direttamente applicabile in tutti gli Stati membri dopo il 25 maggio 2018.

La nuova normativa contiene alcuni adempimenti complessi per i quali è necessario prepararsi adeguatamente. Vediamo insieme i passi da compiere per non farci cogliere impreparati dal nuovo regolamento sulla protezione dati:

1. Registro dei trattamenti

in questo documento dovranno essere indicati, nero su bianco, i dati scaturiti dai processi oggetto di trattamento,
– perché e come trattarli,
– chi sono i soggetti interessati,
– il periodo di conservazione,
– le modalità di custodia.

2. Data breach, che significa violazione della sicurezza aziendale. Anche su questo punto è necessario non farsi trovare impreparati, mettendo in pratica politiche preventive chiare e procedure efficaci per comunicare e reagire in tempo di fronte ad una violazione dei dati.

3. Accountability: ovvero rendicontazione e monitoraggio delle procedure di trattamento dei dati per ridurre al minimo il trattamento e la conservazione dei dati, ed una definizione delle misure di salvaguardia degli stessi.

4. Privacy by design:
Assicurarsi, sin da subito, che il rispetto della privacy sia insito in qualsiasi nuovo processo implementato o prodotto/servizio distribuito sul mercato, trasformando  la semplice conformità normativa in vantaggio competitivo per l’azienda.

5. Rispetto dei principi fondamentali:
Non dimenticarsi di studiare le basi giuridiche per cui si utilizzano i dati personali e capire se l’ottenimento del consenso del loro trattamento sia necessario o meno.

6. Comunicazioni formali: comunicare le informazioni e le politiche sulla privacy in modo chiaro, accessibile, semplice.

7. Diritti degli interessati (data subjects):
ricordare quali sono i diritti delle persone interessate, per essere pronti di fronte a specifiche richieste sull’esercizio dei loro diritti (es. diritto alla cancellazione).

8. Ruolo del DPO:
È necessario nominare la figura del Data Protection Officer se si verifica almeno una delle tre situazioni qui elencate:
– il trattamento è effettuato da un ente pubblico;
– le operazioni di trattamento richiedono il monitoraggio regolare e sistematico di interessati su larga scala;
– il core business del Titolare o del Responsabile consiste nel trattamento su larga scala di particolari categorie di dati personali o giudiziari.

9. Responsabili del trattamento:
entità (persona fisica o giuridica, autorità pubblica, servizio o altro organismo che tratta dati personali per conto del titolare del trattamento) che danno garanzie di implementare appropriate misure per assicurare la compliance GDPR.

10. Data transfer:
Per i trasferimenti di dati transfrontalieri, internazionali, infragruppo è importante assicurarsi di avere una base legittima per il trasferimento di dati personali a giurisdizioni che non abbiano un’adeguata regolamentazione sulla protezione dei dati.
Fonte utile: data Protection management – dott. Emanuele Testolin – gennaio 2017 – ©riproduzione riservata
Fonte immagine: <a href=”http://www.freepik.com/free-photos-vectors/tecnologia”>Tecnologia vecttori created by Makyzz – Freepik.com</a>

0