Una svolta che mette fine alla prassi del “silenzio aziendale”, garantendo a cittadini, imprese e pubbliche amministrazioni un vero e proprio diritto alla trasparenza per difendersi dai cyberattacchi.

La fine del riserbo sulle vulnerabilità

Finora la gestione delle falle di sicurezza (vulnerabilities) è stata lasciata in gran parte alla discrezionalità dei singoli produttori. Spesso, di fronte a un bug critico già sotto attacco da parte degli hacker, le aziende preferivano risolvere la falla in sordina, rilasciando aggiornamenti senza informare chiaramente l’utente finale del pericolo reale.

Con le nuove disposizioni UE:

• Segnalazione tempestiva: I fabbricanti devono comunicare l’esistenza di falle attive sia alle autorità competenti (come l’ENISA e i CSIRT nazionali) sia direttamente agli utenti.

• Responsabilità estesa: La sicurezza informatica diventa un requisito obbligatorio lungo tutto il ciclo di vita del prodotto, dalla progettazione al supporto post-vendita.

L’impatto sulla vita quotidiana e sulla privacy

Informare gli utenti di una falla non è un semplice adempimento burocratico, ma una misura fondamentale per proteggere la privacy, la salute e la sicurezza fisica delle persone.

• Protezione dei minori e della casa: Dai giocattoli connessi ai baby monitor, fino alle telecamere IP di videosorveglianza, i dispositivi IoT domestici sono spesso bersaglio di intrusioni. Sapere che un apparecchio è vulnerabile permette ai genitori di disattivarlo o aggiornarlo subito, impedendo a terzi di intercettare audio, video o dati personali.

• Salute e incolumità fisica: L’elettronica gestisce ormai dispositivi elettromedicali, pacemaker, impianti domotici e auto connesse. In questi contesti, una falla informatica non minaccia solo i dati, ma la sicurezza delle persone. La trasparenza consente a strutture sanitarie e cittadini di adottare contromisure immediate.

• Continuità operativa per aziende e PA: Per imprese ed enti pubblici, essere a conoscenza di una vulnerabilità attiva fa la differenza tra installare una patch correttiva in tempo o subire blocchi delle attività e furti di dati tramite ransomware.

Un nuovo standard per il mercato

Con il Cyber Resilience Act, l’Unione Europea impone il principio della Security by Design: la sicurezza informatica non è più un elemento opzionale, ma un pilastro essenziale di ogni prodotto digitale immesso sul mercato. La trasparenza sulle vulnerabilità diventa così uno strumento indispensabile per ridurre il divario informativo tra produttori e consumatori, rendendo il mondo digitale più consapevole e sicuro.

L'articolo Falle sfruttate dagli hacker, scatta il diritto di saperlo: ecco perché è importante sembra essere il primo su MB TIME.

Un aspetto cruciale che emerge è la distinzione tra “sapere” e “fare”. Molte persone conoscono le buone pratiche di sicurezza, ma non sempre le applicano, compresi i nativi digitali. Questo dimostra che la semplice consapevolezza non è sufficiente. Ma allora, cosa possono fare le aziende per incentivare comportamenti più sicuri tra i dipendenti?

Secondo Denis Valter Cassinerio, Senior Director & General Manager South EMEA di Acronis, ci sono segnali positivi, ma la strada è ancora lunga. Anche se le violazioni legate a errori umani stanno diminuendo, la situazione non è ancora sotto controllo. Nel 2023, uno studio di Verizon ha riportato che il 74% delle violazioni era causato da errori umani, percentuale che è scesa al 68% quest’anno. Sebbene incoraggianti, questi dati mostrano che la lotta alla cybercriminalità è ancora aperta.

L’autenticazione a più fattori (MFA) è uno degli strumenti più efficaci per prevenire attacchi, ma il 54% degli MSP non la utilizza. Anche l’uso di password sicure è un’area che richiede attenzione: molte persone continuano a usare la stessa password su più account, mettendo a rischio la loro sicurezza.

La formazione sulla cybersecurity è essenziale, ma non basta. Gli studi dimostrano che i giovani, come la Gen Z, tendono a sottovalutare i rischi online, nonostante siano vittime di attacchi in percentuali più elevate rispetto alle generazioni precedenti. Per questo, le aziende devono creare una cultura della sicurezza informatica, che vada oltre la semplice formazione.

Le best practice per sviluppare questa cultura includono:
1. Informare i dipendenti sulle reali conseguenze di un attacco informatico, facendo capire che la sicurezza è una responsabilità condivisa.
2. Parlare di cybersecurity quotidianamente, integrandola nelle riunioni e incoraggiando domande e feedback.
3. Dare il buon esempio: manager e IT devono essere i primi a seguire le buone pratiche di sicurezza.
4. Usare la tecnologia per automatizzare e pianificare la formazione, ricordando ai collaboratori di adottare le misure di sicurezza consigliate.

In sintesi, la formazione deve essere parte di un più ampio impegno per costruire una cultura della cybersecurity, necessaria per garantire comportamenti sicuri all’interno delle organizzazioni.

L'articolo Ottobre: il mese della consapevolezza sulla cybersecurity sembra essere il primo su MB TIME.

Il Garante ha richiesto informazioni all’Azienda in merito alla violazione di dati personali subita, al fine di acquisire informazioni, sia sulle misure tecniche e organizzative adottate sia in merito alle procedure di autenticazione informatica per l’accesso in VPN e alle postazioni di lavoro, che erano in essere al momento della violazione, ma anche in merito alle misure che l’azienda aveva in programma di adottare al fine di prevenire situazioni simili.

Durante le visite ispettive, conseguenti alla segnalazione del data breach, il Garante ha rilevato diverse carenze nelle misure adottate dall’Asl. In particolare, il Garante ha rilevato che non era prevista una procedura di autenticazione a più fattori per l’accesso tramite VPN e che l’autenticazione veniva effettuata mediante le credenziali di dominio con password policy debole, senza il meccanismo di password history, per impedire il riutilizzo delle password. Inoltre, la carenza di segmentazione delle reti aveva causato la propagazione del virus all’intera infrastruttura informatica.

Nel comminare la sanzione di 30.000 €, il Garante ha tenuto conto del fatto che il data breach ha riguardato dati particolari, in quanto idonei a rilevare informazioni sulla salute di un cospicuo numero di interessati, ma anche dell’atteggiamento non intenzionale e collaborativo della Asl.

Dopo l’accaduto, l’Azienda, in ottemperanza a quanto previsto dalla normativa, ha adottato una serie di misure volte, non solo ad attenuare il danno subito dagli interessati, ma anche a ridurre la replicabilità dell’evento stesso, tra le quali l’attivazione di una procedura di accesso alla rete tramite VPN con doppio fattore di autenticazione.

Fonte: CNA Garante Privacy (GPDP doc. 9941232)

L'articolo ASL sanzionata per misure di sicurezza inadeguate sembra essere il primo su MB TIME.