{"id":3109,"date":"2020-06-17T08:45:33","date_gmt":"2020-06-17T08:45:33","guid":{"rendered":"http:\/\/publiteconline.it\/deformazione\/?p=3063"},"modified":"2025-01-31T11:39:00","modified_gmt":"2025-01-31T11:39:00","slug":"cyber-security","status":"publish","type":"post","link":"https:\/\/www.publiteconline.it\/deformazione\/2020\/06\/cyber-security\/","title":{"rendered":"Smart working e cyber security"},"content":{"rendered":"\n

Come anticipato in conclusione della prima parte pubblicata sul fascicolo di maggio<\/a>, in questa seconda puntata saranno esaminate le norme giuridiche e tecniche che regolano la materia della cyber sicurezza<\/strong>, e che possono avere rilevanza particolare nella gestione del lavoro agile imposto dalla situazione attuale. In particolare, parleremo della norma ISO-IEC 27001.<\/h2>\n\n\n\n

In relazione ai comportamenti umani, e al concetto di igiene informatica, anche la normazione tecnica rappresenta uno strumento efficace a disposizione degli operatori, applicabile anche all\u2019attivit\u00e0 di \u201csmart working\u201d: in particolare, \u00e8 opportuno citare la norma ISO-IEC 27001 (Information Technology – Security Techniques – Information security management systems – Requirements), che ha l\u2019obiettivo di fornire un modello per definire e attuare, il monitoraggio, la revisione, il mantenimento e il miglioramento di un sistema di gestione della sicurezza delle informazioni (ISMS). Proprio con riferimento ai comportamenti da adottare per garantire la sicurezza informatica, la norma citata prevede le seguenti azioni: Competenza, Consapevolezza, Comunicazione.<\/p>\n\n\n\n

\"Smart<\/figure>\n\n\n\n

Competenza <\/h3>\n\n\n\n

L\u2019organizzazione deve:
a) Determinare le necessarie competenze per le persone che svolgono attivit\u00e0 sotto il suo controllo e che influenzano le sue prestazioni relative alla sicurezza delle informazioni;
b) Assicurare che queste persone siano competenti sulla base di istruzione, formazione, e addestramento o esperienza appropriate;
c) Ove applicabile, intraprendere azioni per acquisire la necessaria competenza e valutare l\u2019efficacia delle azioni intraprese;
d) Conservare appropriate informazioni documentate quale evidenza delle competenze.<\/p>\n\n\n\n

Consapevolezza<\/h3>\n\n\n\n

Le persone che svolgono attivit\u00e0 sotto il controllo dell\u2019organizzazione devono essere consapevoli:
a) Della politica per la sicurezza delle informazioni;
b) Del proprio contributo all\u2019efficacia del sistema di gestione per la sicurezza delle informazioni, inclusi i benefici derivanti dal miglioramento delle prestazioni relative alla sicurezza delle informazioni; e
c) Delle implicazioni del non essere conformi ai requisiti del sistema di gestione per la sicurezza delle informazioni<\/p>\n\n\n\n

Comunicazione<\/h3>\n\n\n\n

L\u2019organizzazione deve determinare la necessit\u00e0 per le comunicazioni interne ed esterne in relazione al sistema di gestione per la sicurezza delle informazioni, includendo:
a) Ci\u00f2 su cui comunicare;
b) Quando comunicare;
c) Con chi comunicare;
d) Chi deve comunicare;
e) I processi attraverso i quali devono essere effettuate le comunicazioni\u201d.
Come si pu\u00f2 notare, queste azioni riguardano essenzialmente comportamenti umani, che non possono naturalmente prescindere dall\u2019adozione e implementazione degli strumenti tecnologici necessari per agire sulle reti e sulle attrezzature informatiche, attuando i sistemi di protezione adeguati e le procedure necessarie a garantirne l\u2019efficacia nel tempo.<\/p>\n\n\n\n

Le norme facenti parte degli standard IEC 62443<\/h3>\n\n\n\n

Proprio a tale ultimo proposito, e sempre con riferimento alle norme tecniche emanate a livello internazionale nel settore specifico della cyber security, \u00e8 d\u2019obbligo un cenno alle norme facenti parte degli standard IEC 62443, per la sicurezza informatica dei sistemi IACS (Industrial Automation Control Systems) le quali in particolare con la 62443-3-2 forniscono con puntualit\u00e0 e precisione definizioni terminologiche nonch\u00e9 flussi di lavoro per la configurazione di un processo aziendale che sia in grado di individuare le misure volte a proteggere il sistema informatico preso in considerazione .
La norma esamina i comportamenti e gli eventi idonei e indispensabili per una compiuta disamina delle criticit\u00e0 informatiche di un sistema con la conseguente previsione di misure tecniche e comportamentali volte a ottenere il pi\u00f9 elevato target di sicurezza rispetto alle ipotizzabili minacce.
All\u2019art. 4 sono forniti termini e definizioni di tutti gli elementi considerati nella disposizione tra gli altri si individuano: contromisure alle minacce, cybersicurezza, movimentazioni di dati, Suc (System under Consideration), rete esterna collegata al SUC , processo di analisi dei rischi, rischio residuale, rischio, livello di sicurezza (target security), perimetro di sicurezza, minaccia, ambiente di minaccia, fonte della minaccia, rischio tollerabile , valutazione del rischio prima di aver considerato una contromisura (unmitigated cybersecurity risk) e molti altri aspetti che nell\u2019ambito della presente trattazione risulterebbero eccessivamente tecnici e fuorvianti.<\/p>\n\n\n\n

\"Smart<\/figure>\n\n\n\n

Una volta individuate le varie definizioni la norma stabilisce due ambiti di valutazione del processo informatico in riferimento al cosiddetto \u201cSuC\u201d.
Il primo ambito trattato \u00e8 il flusso di lavoro per stabilire zone, condotte e valutazione del rischio; in questo contesto potrebbero essere individuati alcuni spunti per analizzare le criticit\u00e0 che l\u2019attivit\u00e0 di \u201csmart working\u201d potrebbe rappresentare.
Di seguito si fa cenno ad alcuni punti delle norme rilevanti in tal senso: punto 5.2.2. Identificazione del perimetro e dei punti di acceso del sistema informatico considerato; punto 5.4.4 ZCR Separazione delle aree relative alla sicurezza; punto 5.4.5 Separazione dei dispositivi temporaneamente connessi; punto 5.4.6 Separazione dei dispositivi wireless; punto 5.4.7 Separazione dei dispositivi collegati tramite reti esterne.
Il secondo riguarda il flusso di lavoro indicato sempre dalla IEC (PRV) 62443-3-2, che si occupa della valutazione del \u201ccybersecurity risk\u201d nella sua accezione pi\u00f9 ampia : identificazione delle minacce , identificazione dei punti di vulnerabilit\u00e0 (lo smart working sicuramente rileva), determinazioni delle probabilit\u00e0 assolute di rischio, determinazione del livello di sicurezza, determinazione del rischio tollerabile e di quello residuale e loro comparazione , descrizione del sistema informatico e molti altri aspetti di carattere prettamente tecnico finalizzati a determinare i target del livello di sicurezza, le matrici di rischio nonch\u00e9 applicare i risultati della valutazione per stabilire il livello di sicurezza raggiunto.<\/p>\n\n\n\n

La rilevanza giuridica<\/h3>\n\n\n\n

Le norme tecniche ora richiamate possono essere considerate gli strumenti normativi di carattere prevalentemente tecnico (ancorch\u00e9 coinvolgenti condotte umane) attraverso i quali gli operatori possono gestire la sicurezza informatica dei processi lavorativi, produttivi o di prestazioni di servizi (anche di carattere professionale): occorre per\u00f2 chiedersi se la non ottemperanza a tali criteri possa assumere rilevanza sotto il profilo giuridico?
In altri termini, vi \u00e8 un obbligo giuridico di applicare le norme tecniche in materia di cyber security? E, ancora, il mancato rispetto delle norme tecniche finalizzate a contrastare potenziali violazioni della cyber security, pu\u00f2 generare responsabilit\u00e0?
Per rispondere a queste domande occorre fare alcune considerazioni: la prima riguarda il fatto che le norme tecniche adottate per loro stessa definizione, su base volontaria, possono assumere rilevanza giuridica solo nel caso in cui siano recepite da norme giuridiche nazionali oppure nel caso in cui siano state espressamente inserite nel regolamento contrattuale che disciplina un rapporto tra due soggetti oppure se esse esprimano lo \u201cstato dell\u2019arte\u201d in un dato momento storico in relazione a una determinata problematica tecnica.
Pertanto, fatto salvo il caso di recepimento in norme giuridiche, le norme tecniche acquistano efficacia vincolante nel caso in cui le parti di un contratto le abbiano inserite nel regolamento negoziale, per cui esse divengono elemento caratterizzante e sostanziale della prestazione o comunque nel caso esse vengano prese in considerazione al fine di valutare la illiceit\u00e0 di una condotta e il rispetto dei parametri da esse indicati possano assumere rilevanza in termini di valutazione della diligenza del soggetto tenuto a rispettarle.
Da qui la possibilit\u00e0 che il mancato rispetto delle norme tecniche in materia di cyber security siano fonte di responsabilit\u00e0 di carattere contrattuale o extracontrattuale, con riferimento cio\u00e8, in tale ultimo caso, alle norme generali in materia di illecito civile (Art. 2043 Cod. Civ.).
La seconda considerazione riguarda le norme giuridiche che possono essere fonti di obblighi e responsabilit\u00e0 con riferimento agli aspetti della sicurezza informatica e\/o alla mancata protezione dei dati. Oltre al Cyber Security Act pi\u00f9 sopra richiamato, un\u2019altra norma giuridica rilevante \u00e8 quella dettata dalla Direttiva (UE) 2016\/1148 (cosiddetta Direttiva NIS), intesa a definire le misure necessarie a conseguire un elevato livello di sicurezza delle reti e dei sistemi informativi, che \u00e8 stata recepita in Italia con D.Lgs. 18\/5\/2018 n. 65: il decreto \u00e8 rivolto agli Operatori di Servizi Essenziali (OSE, che sono soggetti, pubblici o privati, che forniscono servizi essenziali per la societ\u00e0 e l’economia nei settori sanitario, dell’energia, dei trasporti, in quello bancario, dei mercati finanziari, della fornitura acqua potabile e delle infrastrutture digitali,) e ai Fornitori di Servizi Digitali (FSD che sono le persone giuridiche che forniscono servizi di e-commerce, cloud computing o motori di ricerca, che abbiano stabilimento principale, sede sociale o rappresentante designato sul territorio nazionale).<\/p>\n\n\n\n

Come si nota, la Direttiva NIS riguarda settori particolari, ed \u00e8 finalizzata a sollecitare gli stati europei a una gestione organica della sicurezza informatica in specifici ambiti produttivi o di forniture di servizi essenziali, e impone un approccio globale in materia di sicurezza informatica, basato sul coordinamento e sullo scambio di informazioni fra gli operatori; essa prevede inoltre l\u2019adozione di norme che individuino i soggetti, i loro obblighi e le loro responsabilit\u00e0 in caso di violazione delle disposizioni.
La Direttiva NIS, seppure significativa nelle sue finalit\u00e0, pu\u00f2 non avere un\u2019immediata rilevanza per le problematiche oggetto della presente trattazione: quanto ha certamente rilevanza immediata anche in materia di \u201csmart working\u201d sono le conseguenze che possono derivare in caso di violazione della cyber security o in caso di mancato rispetto di norme specifiche sul trattamento dei dati.
Dal primo punto di vista, la debolezza del sistema informatico in caso di attacco informatico che abbia sfruttato il sistema e la connessione di \u201clavoro agile\u201d, pu\u00f2 arrecare pregiudizio alla rete aziendale, alla integrit\u00e0 dei suoi dati, al suo funzionamento anche in relazione alla gestione dei processi produttivi (causando, ad esempio, un fermo produttivo), per cui l\u2019impresa si troverebbe o a vedere, anche solo parzialmente, paralizzata la sua attivit\u00e0 o a subire la sottrazione di dati o segreti industriali di importanza anche molto rilevante.<\/p>\n\n\n\n

\"Smart<\/figure>\n\n\n\n

Le disposizioni normative sulla protezione dei dati personali<\/h3>\n\n\n\n

Da un altro punto di vista, l\u2019azienda potrebbe incorrere in una condotta non conforme alle disposizioni di legge in materia di privacy (GDPR), con il rischio di subire azioni di responsabilit\u00e0 da parte dei titolari dei dati perduti o indebitamente o non adeguatamente trattati, con gravi conseguenze dal punto di vista economico. Nello specifico, in tema di cybersicurezza nell\u2019ambito dello smart working, assumono particolare rilevanza le disposizioni normative sulla protezione dei dati personali concernenti la sicurezza del trattamento (ad es. Art. 32 del GDPR) nonch\u00e9 gli standard internazionali ISO e IEC; accanto alle predette norme, il datore di lavoro\/titolare del trattamento dovr\u00e0 organizzare l\u2019attivit\u00e0 dei lavoratori svolta in modalit\u00e0 \u201csmart\u201d osservando altres\u00ec la disciplina in materia di controllo a distanza dei lavoratori di cui all\u2019Art. 4 dello Statuto dei Lavoratori, richiamato dall\u2019art. 114 del D.Lgs.196\/2003 (Codice Privacy), i provvedimenti dell\u2019Autorit\u00e0 Garante per la protezione dei dati personali nonch\u00e9 le Linee guida adottate dai Garanti Europei. In ottemperanza alle \u201cbest practices\u201d in uso nel settore sarebbe inoltre auspicabile che venisse istituita una Policy aziendale sull\u2019utilizzo degli strumenti IT, che comprenda dettagliate istruzioni ai dipendenti e collaboratori delle societ\u00e0 anche sull\u2019attuazione dello smart working.
Come si \u00e8 detto all\u2019inizio, la diffusione del lavoro agile ha determinato un incremento di cyber attacchi, tra quelli pi\u00f9 recenti giova segnalare quello diretto alla piattaforma di videoconferenze \u201cZoom\u201d. Nello specifico, durante l\u2019attacco, denominato \u201czoom boombing\u201d durato non pi\u00f9 di dieci minuti, gli hackers hanno rilevato alcune vulnerabilit\u00e0 del sistema tali da consentire agli stessi di penetrare il software e di avere il libero accesso ai dati personali e password degli utenti, nonch\u00e9 di inserirsi nelle videoconferenze in corso. Il data breach rilevato ha avuto un ulteriore risvolto negativo, giacch\u00e9 i dati trafugati sono stati trasmessi a noti social networks. In seguito all\u2019accaduto \u00e8 emerso un duplice problema: da un lato, la mancanza di una protezione adeguata dei dati personali e della privacy, dall\u2019altro, l\u2019insufficienza delle misure di cyber sicurezza impiegate. Il CEO della piattaforma, Eric S. Yuan, si \u00e8 scusato pubblicamente promettendo di sistemare le deficienze del sistema e di incrementare la tutela della sicurezza.
Inoltre, non pu\u00f2 non considerarsi la rilevanza della cyber security con riferimento dell\u2019estensione della responsabilit\u00e0 prevista dal D.Lgs 231\/2001 ai reati informatici: tale estensione deriva da una norma fondamentale rappresentata dalla L. 18\/11\/2019 n. 133 (cosiddetta \u201cLegge Cybersecurity\u201d), che ha convertito in legge, con modifiche, il D. L. 21\/9\/2019 n. 105 (cosiddetto \u201cDecreto Cybersecurity\u201d), recante \u201cDisposizioni urgenti in materia di perimetro di sicurezza nazionale cibernetica e di disciplina dei poteri speciali nei settori di rilevanza strategica\u201d: con tale norma \u00e8 stato istituito il cosiddetto \u201cperimetro di sicurezza nazionale cibernetica\u201d (PSNC), con lo scopo di garantire un adeguato livello di sicurezza delle reti, dei sistemi informatici, e dei servizi informatici di interesse collettivo.<\/p>\n\n\n\n

La materia della cyber security ha avuto e sta avendo una diffusione sempre pi\u00f9 ampia, e la pandemia di Covid – 19 ha reso rapidamente evidente numerose criticit\u00e0 del sistema, anche per quanto riguarda le attivit\u00e0 lavorative svolte in \u201csmart working\u201d: l\u2019apparato normativo esistente, seppure sia in una fase di notevole ampliamento e dal punto di vista tecnico che giuridico necessita di maggiore efficacia preventiva, in modo da consentire , attraverso l\u2019implementazione degli strumenti normativi , tecnici e giuridici, l\u2019indicazione di linee di condotta pi\u00f9 precise e protettive sia per gli operatori, aziende e dipendenti, sia per coloro che generalmente utilizzano reti informatiche per lo svolgimento delle loro attivit\u00e0 lavorative e non ultime le persone che a qualunque titolo, confidano nella sicurezza informatica dei sistemi per la gestione dei propri dati e delle proprie informazioni.<\/p>\n\n\n\n

QUALIFICA AUTORI<\/strong><\/p>\n\n\n\n

Avv. Giogio Caramori, Studio Legale de Capoa e Associati<\/a>, Bologna, g.caramori@clex.it
Avv. Cristiano Cimadom, Studio Legale Associato Cimadom<\/a> – Pasquazzi, Parma, c.cimadom@studiolegalecmp.it
Avv. Olga Manservigi Kichitskaia, Studio Legale de Capoa e Associati, Bologna, avv.olgamanservigik@gmail.com<\/p>\n","protected":false},"excerpt":{"rendered":"

Esaminiamo le norme giuridiche e tecniche che regolano la materia della cyber security che possono avere rilevanza nella gestione dello smart working.<\/p>\n","protected":false},"author":1,"featured_media":3067,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"inline_featured_image":false,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[119],"tags":[1271,936,1272,1273,1274,1275,1276,1277,998,1278],"class_list":["post-3109","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-economia-mercato","tag-avvocato-cimadom","tag-covid-19","tag-cyber-security","tag-cybercriminali","tag-distanziamento-sociale","tag-hackeraggio-informatico","tag-on-line","tag-phishing","tag-smart-working","tag-spamming"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t