Immagina di entrare in una gelateria del centro e scoprire che la telecamera sopra la cassa non protegge, ma espone. È quello che è successo davvero: sistemi di videosorveglianza collegati a Internet, configurati in modo superficiale, permettono a chiunque, anche senza competenze da “super hacker”, di sbirciare dentro negozi, uffici e abitazioni private.

“Non esistono hacker cattivi: esistono sistemi progettati male.”

— Pietro Suffritti, CEO di Alchimie Digitali e sensei di Zanshin Tech presso Zemian Dojo

Il problema reale: la cybersicurezza assente nelle telecamere di sorveglianza

Oggi esistono siti pubblici che raccolgono in un unico punto telecamere non protette in tutto il mondo. Basta selezionare una città, ad esempio Modena e si può entrare nelle telecamere di attività commerciali o abitazioni private.
Nel nostro caso, durante una lezione di Zanshin Tech  con lo Zemian Dojo, è bastato un click per entrare nel sistema di videosorveglianza di una gelateria del centro di Modena per arrivare a leggere addirittura l’importo stampato su uno scontrino alla cassa.

Il problema non è la “cattiveria degli hacker”, ma l’assenza di configurazioni minime di sicurezza: username e password predefinite lasciate in chiaro, porte esposte su Internet, sistemi installati senza competenza.

Videosorveglianza e GDPR: due facce della stessa medaglia

Molti dimenticano che una telecamera non riprende solo “immagini”, ma dati personali.
Per questo motivo il GDPR regola in modo preciso il trattamento dei dati della videosorveglianza:

• È obbligatorio informare gli interessati con cartelli visibili.

• Occorre definire una base giuridica (spesso l’interesse legittimo).

• I tempi di conservazione devono essere proporzionati e limitati.

• Le registrazioni devono essere protette con misure di cybersecurity adeguate.

Una telecamera non sicura non è solo un rischio informatico: è anche una violazione normativa.

Cybersecurity come requisito di legge

Proteggere un sistema di videosorveglianza non significa solo difendersi da intrusi digitali. Significa rispettare i principi di accountability del GDPR e dimostrare di aver adottato tutte le misure necessarie a tutelare la privacy delle persone riprese.
Alchimie Digitali integra questi due mondi: cybersecurity e compliance, per dare alle aziende strumenti concreti per essere sicure e conformi.

Come difendersi davvero

• Affidarsi a installatori e consulenti competenti.

• Non lasciare mai credenziali predefinite.

• Proteggere l’accesso remoto con firewall, VPN e sistemi aggiornati.

• Integrare controlli periodici con un Cyber Audit.

• Definire policy GDPR corrette per la videosorveglianza.

Cybersecurity e GDPR: la difesa che non puoi rimandare

La normativa europea, dal GDPR alle linee guida del Garante, è stata scritta per proteggere cittadini e imprese. Ma la protezione non è automatica: diventa reale solo se chi utilizza un impianto di videosorveglianza adotta misure adeguate di sicurezza e conformità.

In altre parole, la legge è al tuo fianco, ma solo se dimostri di aver fatto la tua parte. Installare telecamere senza competenza, lasciare credenziali di default o non aggiornare i sistemi significa rinunciare a quella tutela e restare esposti sia agli hacker sia a sanzioni pesanti.

FAQ

NIS2 E PMI: fai il bis di sicurezza!

Whistle One

È una soluzione «chiavi in mano» che garantisce l’anonimato dei segnalatori, trasferendo le segnalazioni alle figure aziendali che le valuteranno e decideranno cosa fare.

● dimensionata per le PMI italiane

● largamente personalizzabile

● ampiamente collaudata sul campo

● attivabile nel giro di UNA GIORNATA lavorativa

Compila il modulo e iscriviti subito!

Attacco “hacker” globale o pessime scelte imprenditoriali? Facciamo un po’ di chiarezza.

Sta facendo molto scalpore, in queste ore, la notizia di un presunto “gigantesco attacco hacker globale” a carico di server basati su “VMware ESXi” (un diffusissimo software di virtualizzazione) sparsi in tutto il mondo.

Cosa c’è di vero?

L’attacco è vero, ma le dimensioni reali – al di fuori dell’enfasi mediatica – sono tutto sommato modeste, interessando “solo” qualche migliaio di server su base mondiale.

Quanto è grave?

Per chi lo subisce è decisamente grave, probabilmente catastrofico… come tutti gli attacchi ransomware, peraltro. Tieni presente che, in generale, circa l’80% delle PMI che subiscono un attacco cyber perdono dati essenziali e hanno un’elevata probabilità di chiudere.

Come ti puoi difendere?

Come avrai già letto, l’attacco sfrutta la vulnerabilità CVE-2021-21974 dei server VMware ESXi, una “debolezza” identificata e risolta con una patch di sicurezza.

Una patch, è bene sottolinearlo, rilasciata da VMware ben 24 mesi fa: installarla era semplice e gratuito, una banale e quotidiana procedura di buona manutenzione. Chi l’ha installata, può stare tranquillo; chi non l’ha fatto, invece, invece, è ad alto rischio.

Quanto ti devi preoccupare?

Dipende!

1. Se nella tua Azienda l’infrastruttura e i servizi IT sono visti come un investimento strategico essenziale e non solo come un “costo”;
2. Se i tuoi server sono gestiti da personale esperto, con la corretta autonomia decisionale e un budget appropriato;
3. Se hai licenze, apparati di sicurezza, applicativi e sistemi aggiornati e correttamente manutenuti

Allora è del tutto verosimile che la patch sia stata correttamente identificata e installata: puoi stare tranquillo.

Se, al contrario:

1. nella tua Azienda l’infrastruttura e i servizi IT sono visto solo come un “costo” e non come un investimento strategico
2. i tuoi server sono gestiti da collaboratori afflitti da insufficiente  autonomia decisionale e/o budget inadeguati;
3. hai licenze, apparati di sicurezza, applicativi e sistemi non aggiornati

Beh! In questo caso non serve per forza un “attacco globale”, prima o poi la tua infrastruttura sarà “bucata”, si fermerà e probabilmente perderai i tuoi dati. E’ solo questione di tempo.

Qual è la soluzione?

Una sola: una diversa cultura imprenditoriale/manageriale.

E’ urgente e necessario che il management aziendale prenda finalmente consapevolezza che:

• gli attacchi cyber sono oggi una quotidiana realtà per OGNI Azienda, a prescindere da dimensioni e criticità di informazioni trattate
• le PMI che subiscono un attacco cyber spesso finiscono per chiudere
• infrastruttura IT, cybersecurity e corretta protezione dei dati sono oggi asset strategici essenziali per la prosperità e la sopravvivenza aziendale

La nostra proposta: il servizio IT-Full Care

IT Full Care è un piano di assistenza e gestione IT modulare e flessibile, che si modella e adatta alle esigenze di ogni singola Azienda.

Quando in Azienda sono presenti un IT Manager o altri collaboratori che si occupano dei sistemi IT, il piano IT-Full Care si adatta e si integra con le risorse esistenti, sviluppandosi a seconda dei casi, in affiancamento e appoggio, in autonomia e collaborazione oppure in autonomia con compiti di coordinamento, in base alle specifiche esigenze e alle caratteristiche di ogni singola realtà aziendale.

Chiamateci, troviamo insieme la soluzione: quella giusta per voi.

Noi di Alchimie Digitali, ci occupiamo dell’implementazione dei servizi di gestione dei cookies su qualunque tipologia di piattaforma web un servizio completo “chiavi in mano”.

Essendo sempre attenti ad offrire ai nostri clienti un servizio completo, sicuro e stabile, per la gestione dei cookies abbiamo scelto Elmo.
Elmo è lo strumento di Privacy Lab che consente la verifica e la catalogazione dei cookies sia per la conformità al GDPR (normativa europea), sia per il sistema di USA e Australia.

Il suo Cookie inspector consente la gestione delle autorizzazioni e genera un registro consensi certificato.
Mettiti subito in regola con Alchimie Digitali.

Un commento pratico alla sanzione del Garante nei confronti di Roma Capitale e del suo fornitore del servizio informatico “TuPassi”. Qualche spunto di riflessione per fare chiarezza sulla necessità di nomina a responsabile esterno per i fornitori di servizi informatici.

In breve:

Garante per la protezione dei dati personali dispone una sanzione sia nei confronti di Roma Capitale, rispetto al servizio “TuPassi”, sia nei confronti della società informatica fornitrice del servizio, che operava senza:

• Nomina a responsabile esterno al trattamento
• Nomina ad amministratore di sistema
• Utilizzando in maniera assolutamente inappropriata la formula del “Titolare Autonomo”

Tutte le aziende che offrono questi servizi ( assistenza informatica, installazione/manutenzione gestionali) dovrebbero verificare di essere in regola rispetto agli adempimenti GDPR in ottica di accountability ed in particolare rispetto alla gestione delle nomine ricevute come responsabili esterni.

La vicenda.

Nella newsletter del 25 gennaio il Garante per la protezione dei dati personali riporta la sanzione di 500 mila euro disposta nei confronti di Roma Capitale per trattamento illecito di dati personali dei dipendenti e degli utenti, effettuato attraverso il sistema di prenotazione degli appuntamenti “TuPassi”.

Tale sistema consentiva di acquisire e memorizzare sui server di Roma Capitale numerosi dati degli utenti relativi alle prenotazioni (tipo di prestazione, canale utilizzato, data e ora della prenotazione) e del personale impiegato nella gestione degli appuntamenti. Tutte le operazioni possibili grazie a questo applicativo erano effettuate senza che né gli utenti né i dipendenti avessero ricevuto un’informativa completa sui trattamenti effettuati secondo quanto previsto dall’art. 13 GDPR.

Perché è importante per chi opera in campo informatico.

L’aspetto più interessante di questa sanzione, per noi e per tutti i professionisti e le società che forniscono servizi informatici, riguarda il fornitore del servizio “TuPassi” al quale Roma Capitale si affidava.

L’Autorità ha comminato, con un provvedimento separato, una sanzione di 40 mila euro alla società fornitrice del sistema per i trattamenti effettuati in qualità di autonomo titolare con riguardo, in particolare, alla prenotazione di servizi sanitari da parte degli utenti e alla manutenzione del sistema per conto dei clienti.

Il rapporto tra Roma Capitale e la società fornitrice del sistema di prenotazione non era stato disciplinato da nessun accordo.  Che cosa significa? Non c’era un contratto e, supponiamo, nemmeno una nomina? In effetti continuando la lettura sembra proprio essere questo il caso.

Durante l’attività istruttoria a carico di tale Società fornitrice è emerso, infatti, che

“nessuno dei clienti ha nominato la Società quale responsabile del trattamento per l’attività di assistenza e manutenzione” né quale “amministratore di sistema dei server dei clienti stessi, ai quali accede direttamente, da linea di comando, per l’attività di assistenza/manutenzione”.

Quando il fornitore deve essere nominato responsabile esterno?

Il fatto che un operatore informatico sia effettivamente titolare autonomo di un set di informazioni che raccoglie direttamente dall’utente, non esclude il fatto che per un set di dati ulteriore e/o per un diverso trattamento esso possa essere ANCHE responsabile esterno.

E questa seconda attività deve essere sempre gestita e, in nessun modo, può essere considerata di rango inferiore alle altre e dunque ignorata.

Nel caso di specie, se è vero che rispetto ai dati personali dei singoli utenti registrati sulla piattaforma “Tupassi” la Società trattava tali dati in qualità di titolare, nell’ambito dell’offerta del servizio di prenotazione effettuato allo sportello dagli utenti dei singoli enti bisogna evidenziare che, al contrario, i trattamenti di dati effettuati tramite “TuPassi” rientrano nella titolarità dei singoli enti, rendendo quindi obbligatoria la nomina a responsabile esterno ex art. 28 GDPR.

In aggiunta a questo occorre sottolineare che anche l’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti, deve essere regolamentata andando a nominare la stessa quale responsabile del trattamento.

Come evidenzia il Garante nella sua ordinanza:

“Con riguardo all’attività di assistenza e manutenzione, svolta dalla Società sul gestionale di prenotazione installato sui sistemi dei clienti – attività che, quando non riguarda esclusivamente la componente hardware dei sistemi, ma include la possibilità che il personale autorizzato della Società fornitrice del servizio acceda al gestionale dei clienti, comporta inevitabilmente anche il trattamento di dati personali degli utenti –, la mancata adozione di atti idonei ad individuare la stessa quale responsabile del trattamento (art. 28 del Regolamento) risulta non conforme alla disciplina di protezione dati. Diversamente, tale regolamentazione non è dovuta nei casi nei quali la società svolga l’assistenza tecnica esclusivamente mediante un mero supporto (telefonico o via e-mail), senza accedere direttamente ai sistemi e ai dati personali in essi contenuti”.

È bene, quindi, ricordare che è permesso non nominare responsabile esterno il proprio fornitore di servizio qualora:

• l’attività di assistenza informatica e manutenzione sia effettuata solamente sulla componente hardware dei sistemi;
• l’assistenza informatica sia fornita esclusivamente tramite supporto telefonico o via e-mail, senza accesso a dati personali contenuti nei sistemi.

In tutte le altre occasioni, anche quando ad esempio un software è installato sui server del cliente e c’è la concreta possibilità che il fornitore possa accedere ai dati personali contenuti nel sistema, esso deve essere nominato responsabile esterno! Non farlo significa correre il rischio di imbattersi in sanzioni, anche rilevanti.

In conclusione.

Questo provvedimento ci fornisce una indicazione chiara e inequivocabile rispetto a tutte le aziende che si occupano di installare gestionali: anche se solo occasionalmente il loro personale autorizzato ha accesso al gestionale del cliente per fini di manutenzione, qualora tale accesso includa la possibilità di accedere ai dati presenti nel gestionale stesso, le aziende fornitrici devono essere assolutamente nominate responsabile esterno.

Se avete dubbi sulla necessità di nominare un vostro fornitore responsabile esterno non esitate a contattarci. 

Alchimie Digitali per tutti i servizi che prevedono la gestione dei dati per conto dei propri clienti si nomina sempre responsabile esterno!

Un nuovo tool per la gestione della Sicurezza Sanitaria.

Nome

Hoc Sicurezza Sanitaria

Obiettivo.

Aiutare le aziende, le associazioni e le scuole a prendere visione, tenere traccia e rendicontare il rispetto dei protocolli di sicurezza sanitaria.

Perché ce n’era bisogno?

Oggi è indispensabile avere chiarezza su quali adempimenti è necessario rispettare, ma – forse ancora di più! – è necessario poter dimostrare di operare costantemente nel pieno rispetto di tali adempimenti, tanto a garanzia del personale coinvolto quanto a propria tutela in caso di verifiche o ispezioni. È molto importante ripartire e riaprire, ma è altresì fondamentale dimostrare di applicare i protocolli e quindi tutelarsi per non fermarsi nuovamente.

Cosa fa?

È possibile prendere visione e ricevere notifiche su determinate scadenze, come ad esempio cicli di sanificazione e pulizie degli ambienti. Non sostituisce il ruolo del datore di lavoro e dei responsabili della sicurezza, ma è uno strumento a loro vantaggio che li valorizza e dà la possibilità di certificare gli sforzi compiuti, a tutela di imprenditori, imprese e di quanti usufruiscono dei loro prodotti e servizi.

Come lo fa?

È un tool in cloud che va oltre a questa situazione di emergenza.

• Un cruscotto semplice ed intuitivo permette di notare velocemente eventuali adempimenti da registrare.
• È possibile inoltre gestire notifiche ed alert che monitorano le scadenze, anticipano le esigenze e prevengono le criticità.
• La scheda delle rilevazioni permette di gestire per singolo dipendente e singola giornata la rilevazione della temperatura e l’eventuale attività in Smart Working.

La gestione della sicurezza negli ambienti di lavoro continuerà ad essere un elemento fondamentale per tutte le aziende. È per questo motivo che diventa strategico avere una piattaforma semplice ed efficace che costantemente ci aggiorna in merito le varie disposizioni, che non sempre sono facilmente comprensibili e che sono comunque in continuo cambiamento.

HOC Sicurezza Sanitaria è un servizio in costante aggiornamento che aiuta le imprese a certificare il rispetto dei protocolli richiesti.

Chiedi una Demo per la tua AZIENDA!