L’altro giorno ho provato a postare sul mio account Facebook una considerazione.

Ho parlato dello scandalo di Cambridge Analytica, cioè della scoperta che il piccolo tastino che consente di entrare in vari servizi online attraverso il proprio account social, per risparmiare tempo, girava verso terzi una quantità spaventosa di dati personali. In maniera certamente aggressiva, tanto che a Palo Alto si sono affrettati a rassicurare gli utenti e a “tirarsi fuori”.

Ho spiegato alle mie cerchie di amici, che in realtà era abbastanza ovvio che a fronte di un servizio gratuito si commerciassero i dati, e che esiste un altro giochino che sta facendo incetta di informazioni. Sono quei piccoli sondaggi: “Quali amici ti vorrebbero sposare?”; “Chi ti vuole baciare?” da ricondividere sulla propria bacheca. Un giorno faranno finta di accorgersene per caso, con un buon accompagnamento di indignazione, ma il mercimonio di informazioni personali è attivo più che mai.

Quello che mi ha stupito, sono state le risposte: “Che se li tengano i miei dati. Se vogliono anche le foto di quello che mangio, facciano pure”. O ancora: “Dei nostri dati sicuramente non se ne fanno niente, li possono usare solo come soprammobili a raccogliere polvere”.

Quindi, nessuno se ne importa.

In realtà avrebbero anche ragione: Facebook è un servizio enorme, gigantesco, ed è anche giusto che con i nostri dati, che se ci vengono prelevati nessuno muore, diventino miliardari.

Ma il punto è: il rischio è veramente zero?

Assolutamente no, il rischio c’è, eccome.

Ognuno inscatolato nel suo mondo

Il problema sta nella combinazione di due elementi.

Il primo è la quantità, qualità e coerenza dei dati personali. Non sanno solamente chi siamo, ma sanno cosa pensiamo, cosa ci piace e non ci piace, a quali eventi partecipiamo, su cosa siamo d’accordo e su cosa litighiamo. A che orientamento politico apparteniamo, chi sosteniamo e chi critichiamo. Sono come un amico, o un familiare che conosce molto bene i nostri gusti.

Il secondo elemento è: Facebook può farci vedere quello che vuole. Può indirizzare gli argomenti della nostra bacheca, filtrare quello che dicono gli amici, collegarci e suggerirci gruppi di discussione. Può farci vedere solamente una parte della realtà.

Voi direte: ma mica mi faccio influenzare. Io vado a controllare anche fuori da Facebook.
Sarà, ma dal momento che esiste il fenomeno delle fake news, e che oltre il 90% di queste potrebbero essere scoperte solamente facendo una ricerca all’esterno di Facebook, evidentemente la stragrande maggioranza della gente non esce dal social.

Nessuno ha voglia di controllare, di verificare. Le informazioni giungono rapidamente, corredate da commenti con cui siamo d’accordo o in disaccordo, vogliamo partecipare subito alla discussione.

Non possiamo e non vogliamo controllare. Vogliamo esserci, quello è l’importante.

Per cui, se uniamo la profilazione dei nostri gusti, al filtraggio delle informazioni, esce fuori la possibilità di creare un mondo personalizzato e condizionato per spingerci ad aderire a qualcosa, ad una idea, ad una causa. Su Facebook tutti adorano sostenere delle cause.

Un esempio su me stesso: sono appassionato di storia dell’antica Roma. Facebook, vogliamo credere in modo del tutto ignaro, mi ha suggerito molto spesso dei gruppi di revisione storica, di riconsiderazione del fascismo, de “la storia la scrivono i vincitori”. Ho conosciuto persone a me affini che erano neofasciste convinte.

Se non avessi anni di studio alle spalle, probabilmente ora riterrei che il fascismo è il movimento politico più simile all’Impero Romano.

Questo è il vero pericolo: più dei dati, delle pubblicità mirate, delle catene di Sant’Antonio.
Essere in grado di fare la cosa più potente al mondo.

Inculcare delle opinioni, facendo credere alla gente che siano idee loro.

Diciamoci la verità: le aziende hanno sempre dato al trattamento dei dati e alla “protezione” dei dati una priorità molto bassa, perché si accorgono molto bene dei costi ma non percepiscono subito i vantaggi. Ma a cambiare la situazione sono giunti i regolamenti europei (il GDPR) che hanno promesso delle multe salatissime contro il responsabile del trattamento dei dati.

Le imprese, stavolta attente, per non dire spaventate, come non mai, vogliono sapere come gestire, trattare e proteggere i dati personali per evitare pesantissime punizioni. La nostra guida sul trattamento dei dati e sulla loro protezione in ambito aziendale ha esattamente questo scopo: insegnarvi, rapidamente e anche se non siete esperti, a mettervi in regola per evitare multe.

Anche se sono insegnamenti teorici è importantissimo che partiate con il piede giusto capendo che cos’è un dato personale.

Si tratta di una informazione relativa ad una persona.

Un tempo, nel 1995, agli albori di questo tipo di regolamenti, il dato personale era considerato il nome e il cognome, l’indirizzo di residenza o l’indirizzo mail. Dal 2016 in poi si considerano dati personali anche elementi tecnici come l’indirizzo IP del proprio computer o il MAC address che identifica uno smartphone.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Come salvarti dalle multe del GDPR: impara come si classificano i dati personali

Il dato personale quindi è qualsiasi cosa, anche un numero digitale, che permette di identificare una persona.

Esistono quattro tipi di dati personali, che il GDPR considera nel trattamento dei dati. I dati Provided, Observed, Derived e Inferred.

I dati Provided – E’ la forma più semplice. Si tratta di dati forniti consapevolmente dall’utente. Un cliente nel vostro e-commerce compra un prodotto e scrive i suoi dati personali per completare l’ordine. E’ un esempio di dato “Provided“.

I dati “Observed” – Si tratta di una situazione in cui il titolare di una attività utilizza degli strumenti, come Google Analytics, Piwik o altri software simili, per raccogliere dati degli utenti sul suo sito. Per esempio l’indirizzo Ip, la loro provenienza geografica, le pagine che hanno visto, che browser hanno usato.

E’ una raccolta di dati personali fatta autonomamente dal titolare che l’utente in un certo senso “subisce”. Per questo è stato inventato il foglio del trattamento dati, che tutti i siti devono inserire all’interno delle loro pagine legali. Questi sono i dati “Observed”.

I dati “Derived” – In questo caso si prendono dei dati appartenenti a degli utenti, si analizzano, e da questa analisi si deducono o calcolano altri dati. Ad esempio, se in un sito di e-commerce vediamo le abitudini di acquisto dei nostri utenti, i prodotti che comprano e i prezzi che pagano, ne deriviamo delle ragionevoli fasce di reddito. Capiamo quindi che il 20% dei nostri utenti ha un reddito medio alto. Questo è un esempio di dato derivato.

I dati “Inferred”- Qui abbiamo dei dati aggregati che vengono analizzati e sui quali si fanno delle previsioni statistiche.

Ad esempio studiamo l’età, il numero di incidenti e di multe prese da un guidatore per stabilire il suo rischio stradale, sulla base del quale fargli una polizza assicurativa. Questo è un esempio di dato “Inferred”. Questi dati sono quelli più aleatori, perché si tratta di informazioni calcolate.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Una considerazione originale, è che di tutti questi dati, quelli che potrebbero sembrare più importanti sono quelli economici, come per esempio il PIN di una carta di credito, il numero di conto corrente, o un IBAN.

In realtà è vero che sono legati al denaro, ma sono dati modificabili. Invece i nostri gusti, le nostre abitudini di navigazione e addirittura i dati biometrici di uno Smartwatch o di un’applicazione per la ginnastica, sono molto più preziosi perché completamente o molto difficilmente modificabili.

I soggetti e i responsabili del trattamento dati

Le persone che devono trattare i dati vengono definite in maniera precisa dalla normativa GDPR.

Il primo è il titolare del trattamento. E’ la persona che deve decidere come si trattano i dati, che ha il compito di controllare che le norme vengano rispettate e vigilare che sulla protezione dei dati. Non è necessariamente un esperto che deve entrare nel merito tecnico della questione, ma è quello che decide la politica aziendale sul trattamento dei dati.

Il titolare, attraverso una nomina scritta, un contratto o un altro atto con valore giuridico, deve nominare un responsabile del trattamento dei dati. Questa seconda persona di norma è quella che ha le competenze tecniche per gestire le informazioni e sceglie anche i programmi o i servizi da usare.

Una novità introdotta dal GDPR europeo, la nuova normativa che aggiorna in maniera importante le regole UE, introduce per la prima volta la figura di uno o più sub-responsabili al trattamento, nominati dal responsabile, anche in questo caso tramite un documento ufficiale.

Come organizzare un trattamento dei dati che piaccia alla legge

Ora che abbiamo capito cosa sono i dati personali e chi li deve gestire, impariamo come definire una procedura di trattamento delle informazioni.

Il primo elemento da cui partire è un’analisi della natura dei dati e del contesto aziendale, assieme alle finalità di questo trattamento.

Ad esempio un’azienda che conserva i dati dei clienti da richiamare per vendere dei mobili, avrà dei dati di una natura e con una finalità diversa rispetto ad un portale di affiliazione che vuole rivendere i dati ad aziende terze o che fa pubblicità mirata.

Quindi dovete stabilire quali dati avete, e a cosa vi servono.

Stabilito questo, potrete definire nel concreto la procedura del trattamento dei dati.

Questo trattamento consta di una serie di fasi identificabili che sono:

• la raccolta
• la registrazione
• l’organizzazione
• la strutturazione
• la conservazione
• la modifica
• l’estrazione
• l’uso
• la comunicazione a terzi
• il raffronto
• la limitazione
• la cancellazione.

Dovrete quindi fare un lavoro interno all’azienda, per arrivare a stabilire esattamente ognuno di questi punti, come viene fatto, da chi e con quali servizi. Quando avrete chiaro come si svolge questo processo, con quali strumenti tecnici lo farete, con quali software e con quali tempi, avrete definito la vostra modalità di trattamento dei dati.

Non possiamo dirvi a priori qual è la procedura migliore, ma se volete essere il più certi possibile che la vostra modalità di trattamento dei dati sia gradita dal regolamento, potete seguire quattro principi sulla protezione dei dati che vi mettono al sicuro.

Minimizzazione – Per minimizzazione si intende la raccolta dei dati strettamente necessari allo scopo che avete. Evitate di raccogliere più dati di quelli che vi servono: già questo è un buon punto di partenza.

Pseudonimizzazione – Si tratta di un processo in cui i dati strettamente personali di un utente vengono separati da quelli utili a comprendere il suo comportamento.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Per esempio, se degli utenti del vostro e-commerce ignorate le vie dove abitano o il loro indirizzo IP, ma guardate semplicemente che cosa hanno acquistato nel tempo, state pseudonimizzando i dati.

La legge del GDPR non considera questi dati come “anonimi” perché mettendoci un po’ di buona volontà si possono “ricollegare” i dati all’identità. Però più tempo ci vuole per riunire e ricostruire i dati, e più i dati sono pseudonimizzati. E tanto più riuscite ad operare questa pseudonimizzazione, tanto più vi avvicinate alle norme.

Cifratura – La cifratura dei dati, operazione che rende i dati personali illeggibili al di fuori della vostra azienda, è una soluzione fantastica. Perché secondo la legge, in caso di violazione o furto dei dati, se questi sono cifrati, l’azienda non è tenuta ad informare gli interessati. E questo può risparmiarvi un grande lavoro e un danno di immagine notevole.

Anonimizzazione – Anonimizzare i dati significa prelevare degli elementi a voi utili ma scollegarli completamente e in maniera definitiva dalle informazioni personali.

In questo caso non è più possibile risalire, in nessun modo alla identità.  E il bello è che se i vostri dati sono anonimi, e le persone non sono più identificabili, le norme in materia di protezione dei dati non sono più applicabili.

Riassumendo, quanto più prelevate i dati strettamente necessari a quello che vi serve, quanto più questi sono separati dalle identità, cifrati o addirittura anonimi, tanto meno come responsabili del trattamento dei dati, correrete rischi di violare la normativa.

Un punto importante: la gestione del rischio

Fino a questo punto, abbiamo spiegato come elaborare un trattamento dei dati quanto più sicuro dalle multe.

Ma il legislatore del GDPR ha scritto la normativa con una finalità ben precisa.

Vuole che le aziende si rendano conto che trattare i dati comporta dei rischi e che i titolari siano attivi nella protezione dei dati. Per questo motivo, ad un trattamento adeguato dovete aggiungere la consapevolezza del rischio e dei metodi per prevenirli.

L’azienda normalmente considera rischioso tutto quello che blocca la sua attività e il suo guadagno, ma la legge, in un senso più ampio, considera il rischio qualcosa di più attinente alla violazione del diritto e della libertà del cittadino.

I rischi principali relativi ai dati sono:

• la distruzione
• la perdita
• la divulgazione non autorizzata
• l’accesso accidentale o illegale da parte di persone non previste

Se volete essere sicuri di considerare i rischi in maniera adeguata potete fare riferimento ad un elenco che viene fuori spulciando la legge.

Il registro dei trattamenti – Innanzitutto dovete tenere un registro dei trattamenti, cioè dovete tenere traccia di come i dati sono stati trattati e gestiti nell’azienda.

Il DPO – Dovete nominare un DPO, Data Protection Officer, una persona specifica che si occupa solo della protezione dei dati, anche questa va nominata con un atto scritto.

Formazione del personale – E’ inutile che in azienda ci sia un solo esperto di questo argomento, e una pletora di dipendenti completamente ignari delle regole di sicurezza. Quindi investite qualche ora per formare il personale e soprattutto rendetelo dimostrabile con un attestato, o una certificazione di qualche azienda esterna.

All’interno di una legge collegata con il GDPR c’è anche un interessante elenco di adempimenti per la gestione del rischio che dovreste seguire per essere ragionevolmente sicuri di non poter essere multati.

• Vietare alle persone non autorizzate l’accesso alle attrezzature utilizzate per il trattamento
• Impedire che i supporti di dati possono essere letti, copiati, modificati o asportati da persone non autorizzate
• Impedire che i dati personali siano inseriti senza autorizzazione
• Impedire che i dati personali conservati siano visionati, modificati o cancellati senza autorizzazione
• Impedire che persone non autorizzate utilizzino sistemi di trattamento automatizzato mediante attrezzature per la trasmissione di dati
• Garantire che le persone autorizzate a usare un sistema di trattamento automatizzato abbiano accesso solo ai dati personali cui si riferisce la loro autorizzazione
• Garantire la possibilità di verificare quali dati personali sono stati introdotti nei sistemi, il momento della loro introduzione e la persona che l’ha effettuata
• Impedire che i dati personali possono essere letti, copiati, modificati o cancellati in modo non autorizzato durante i trasferimenti di dati personali
• Garantire che in caso di interruzione, i sistemi utilizzati possano essere ripristinati
• Garantire che eventuali errori di funzionamento siano segnalati e che i dati personali conservati non possano essere falsati da un errore di funzionamento

Mettete alla prova il vostro trattamento dati

Come fate a sapere che il trattamento dei dati che avete organizzato e che le misure per la protezione dei dati siano adeguate? Dovete controllare che il risultato del vostro lavoro rispetti una serie di ideali che la legge considera importanti.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Riservatezza – I dati devono essere protetti. Avete delle soluzioni, dei programmi, dei software, anche online, che proteggano i dati?

Integrità – Durante il trattamento, i dati rimangono integri? si perde qualcosa? è possibile che nel trasferire un file Excel con i dati, magari cambiando nel formato, si perdano degli elementi?

Disponibilità –  La possibilità di accedere ai dati. Quanto è facile accedere ai dati? Se solamente il responsabile del trattamento dei dati è in grado di accedere alle informazioni, questi non sono molto disponibili. Se sono registrati su una pennetta USB e solo il titolare conosce la password, questi non sono ragionevolmente disponibili. Verificate che sia possibile raggiungere le informazioni in maniera abbastanza veloce.

Resilienza– La resilienza è la capacità di reagire ad eventi imprevisti. Immaginate un attacco hacker, un imprevisto in azienda o una richiesta massiccia di modifica dei dati. Sapete chi chiamare? siete organizzati? Quanto tempo ci mettete per rispondere ad un evento imprevisto?

Ripristino –  Immaginate che per qualche motivo i vostri dati vengano perduti. Avete una copia di backup? Esiste un modo di recuperarli? Se il computer su cui sono registrati esplode, avete perso tutto?

GDPR: il documento di previsione d’impatto, l’asso nella manica

Tutto questo importante lavoro aziendale non deve essere solo svolto ma deve essere anche registrato.

Dovete essere in grado di dimostrare tramite un documento che vi siete preoccupati del trattamento dei dati personali. Questo documento si chiama “Valutazione di impatto”

La legge prevede che si scriva questo report nel caso in cui si introducano delle nuove tecnologie in azienda, se si fa una profilazione particolarmente invasiva degli utenti, o se si raccolgono dati su vasta scala, ma noi vi suggeriamo di preparare comunque una valutazione di impatto.

Serve a dimostrare che avete pensato ad una strategia per fare bene le cose. E può esservi molto utile in caso di contestazione. All’interno di questo documento bisogna inserire

• Descrizione dei trattamenti previsti e delle finalità
• Valutazione dei rischi correlata alla realtà della vostra azienda
• Misure di sicurezza previste

Tenete il documento aggiornato, sarà un asso della manica che potrete esibire per dimostrare la vostra buona fede nella protezione dei dati.

Il trattamento dati con il GDPR. E se le cose vanno male?

Nonostante tutti i vostri sforzi può essere che si verifichi una violazione dei dati. Uno di questi casi è il data breach. Ovvero quando un hacker buca il vostro sito e riesce ad accedere ai dati dei vostri clienti o ad altre informazioni sensibili.

In questo caso non vi venga minimamente in mente di tenere la cosa riservata: è estremamente rischioso. La legge prevede che entro 72 ore, notifichiate al Garante della privacy l’esistenza di un data breach nei vostri confronti.

In realtà la legge non ha ancora spiegato nei dettagli come bisogna fare questa comunicazione. E’ altamente probabile che il Garante si pronuncerà. Ma nel frattempo, registrate in ogni modo la volontà di comunicare al Garante il fatto.

Registrate le mail che gli spedite, inviategli il documento con la valutazione di impatto, registrate le telefonate che fate. Cercate di testimoniare la vostra piena volontà di rispettare la legge e comunicare la violazione dei dati personali.

Ovviamente la violazione dei dati comporta delle responsabilità. Concludiamo la nostra guida con il concetto di “Accountability”. Un termine inglese, inserito all’interno del GDPR, che sta ad indicare la responsabilità, e anche la punibilità di coloro che non si adeguano.

Le responsabilità. Chi finisce nei guai e quando?

Semplificando di molto la legge: il titolare del trattamento dei dati finisce nei guai se non ha mai previsto delle misure di protezione, non ha mai nominato un responsabile e se non è in grado di dimostrare la sua volontà di seguire la norma con dei documenti. In questo caso, risponde in proporzione al danno causato, che viene quantificato dal Garante.

Il responsabile del trattamento dei dati va nei guai nel momento in cui o non ha seguito le regole che sono stabilite dal titolare o se le ha seguite in maniera diversa da quanto scritto.

In alcuni casi, il titolare, il responsabile e i subresponsabili possono andare nei guai contemporaneamente se il titolare ha dato istruzioni insufficienti, il responsabile le ha attuate male e le ha fatte attuare in maniera insufficiente anche ai suoi subresponsabili.

In questo caso, sono tutti punibili in maniera uguale e compartecipano al risarcimento del danno, sempre stabilito dal Garante.

VUOI ESSERE A NORMA CON LA GDPR?

CONTATTACI

Google e Facebook non hanno solamente miliardi di utenti a disposizione, ultra controllati e monitorati, ma ci seguono anche quando non li usiamo. Dal momento che la stragrande maggioranza dei siti internet include dei loro codici nelle pagine web, diventando un ponte per il controllo pressochè totale della popolazione mondiale.

E’ l’analisi lanciata da Gabriel Weinberg, CEO e fondatore di DuckDuckGo, un motore di ricerca che si distingue per il completo anonimato dei suoi utenti.

Privacy. Così Google e Facebook tengono in pugno il web

Secondo il progetto “Web Transparency & Accountability“ di Princeton, il 76% dei codici di tracciamento nascosti all’interno dei siti web appartiene a Google e il 24% a Facebook. Sono seguiti da Twitter al 12%. È certo quindi che Google o Facebook ci monitorino su molti siti che visitiamo, oltre a rintracciarci quando utilizziamo i loro prodotti.

Di conseguenza, queste due società hanno accumulato enormi profili di dati su ogni persona, che possono includere interessi, acquisti, ricerche, cronologie di navigazione, geo-localizzazione e molto altro ancora. Una enorme mole di informazioni che mettono a disposizione di gruppi di sponsor per pubblicità mirate e invasive che ci seguono su Internet.

Proprio per la loro posizione all’interno di una vasta gamma di servizi del web, Google e Facebook possono raccogliere informazioni personali che si combinano insieme in enormi profili digitali al fine di offrire un iper-targettizzazione migliore rispetto alla concorrenza.

Secondo eMarketer, gestiscono ora il 63% di tutta la pubblicità digitale del mondo, e hanno rappresentato nel 2017, il 74% della crescita in questo mercato. Insieme formano un denso duopolio della pubblicità digitale, che non presenta segni di cedimento e che blocca la strada a qualsiasi competitor.

Ma il controllo di questi due giganti del web non si limita ai dati e alla pubblicità, ma può distorcere la nostra percezione mentre navighiamo sul web.

Google e Facebook usano i dati raccolti come input per elaborare algoritmi di intelligenza artificiale sempre più sofisticati. Questi ci inseriscono all’interno di quella che viene definita “bolla di filtraggio”. Una serie di impostazioni, risultati di ricerca, preferenze di navigazione, che creano un “universo digitale” personalizzato per noi.

Certamente bello, ma allo stesso tempo pericoloso: questo sistema distorce la realtà, mostrandoci o nascondendoci informazioni a nostra completa insaputa.

La ricetta di Weinberg: cosa dovrebbero fare i Governi

Con questo obiettivo di trarre sempre più profitto da informazioni personali, Google e Facebook hanno mostrato scarso rispetto per tutte le conseguenze negative dei loro algoritmi.

Su pressione dei Governi e delle normative, le due multinazionali hanno spesso attuato delle politiche di autoregolamentazione, ma in realtà, secondo l’analisi di Weinberg, si tratta di illusioni.

Qualsiasi restrizione a lungo termine sulla privacy dei dati forniti a Google e Facebook si oppone fondamentalmente ai loro modelli business di pubblicità iper-mirata, basata su una sorveglianza personale sempre più intrusiva.

Sfortunatamente, ben poco è stato fatto da parte delle autorità mondiali. I parlamenti, secondo la soluzione prospettata da Weinberg, devono studiare soluzioni efficaci per frenare questo monopolio di dati. Innanzitutto, è necessario richiedere maggiore trasparenza degli algoritmi e sulla privacy, in modo che le persone possano veramente comprendere il modo in cui le loro informazioni personali vengono raccolte, elaborate e utilizzate da tali società. Solo allora sarà possibile il consenso informato.

C’è anche bisogno di proporre nuove leggi sul possesso inalienabile dei propri dati. Infine, si dovrebbe limitare il modo in cui i dati possono essere riutilizzati, inclusi strumenti più aggressivi per bloccare le acquisizioni dei dati, che consolidano la potenza dei gruppi sopra citati e che aprirà la strada a una maggiore concorrenza nella pubblicità digitale.

Finché non vedremo cambiamenti significativi da parte delle istituzioni, i consumatori dovrebbero esprimere il proprio dissenso. DuckDuckGo ha scoperto che circa un quarto degli americani stanno già intraprendendo azioni efficaci per riappropriarsi della propria privacy.

Aiuti giungono anche da componenti aggiuntivi del browser che riescono a bloccare i tracker nascosti di Google e Facebook, oltre a fornire alternative private ai loro servizi principali.

La completa perdita di privacy nell’era di Internet non è inevitabile. Attraverso una regolamentazione ponderata e una maggiore scelta del consumatore, possiamo scegliere un percorso più funzionale. Dovremmo guardare al 2018 come un punto di svolta nella privacy dei dati, nel quale ribellarsi alle implicazioni inaccettabili di due società che controllano così tanto il nostro futuro digitale.

L’HTML 5, il nuovo linguaggio erede di Flash Player è davvero così completamente al sicuro? O esistono delle vulnerabilità di sicurezza che lo rendono un prodotto non del tutto inattaccabile?

Adobe Flash Player, lo storico strumento per la visualizzazione di elementi multimediali su internet, che ha dominato gli anni ’90 e i primi anni 2000, cesserà di esistere nel 2020 ed la soluzione destinata a prendere il suo posto è senza dubbio l’HTML 5, ormai da tempo considerato da sviluppatori ed utenti il degno successore di questo programma.

Tecnicamente l’HTML5 possiede delle caratteristiche che rendono più facile per i programmatori creare dei siti web in grado di caricare e far funzionare video in differenti formati: il contenuto che è possibile ottenere non avrà problemi infatti ad essere riprodotto su computer desktop, tablet, smartphone, televisori e piattaforme di gaming.

E non si può fare a meno di ricordare che anche YouTube, il noto aggregatore di video, è già passato da tempo all’HTML5 abbandonando Adobe Flash Player e dando modo di adattare e far cambiare automaticamente la risoluzione video in base alla connessione di rete dell’utente finale per ottenere una migliore performance.

Un altro esempio? E’ grazie a questa tecnologia che i gamer della Xbox One possono eseguire delle live stream delle proprie partite.

Attenzione però: questo non significa che tale struttura possa rimpiazzare interamente il prodotto di Adobe: l’HTML5 non è infatti in grado, ad esempio, di interagire con una webcam e l’audio registrato da un microfono e da solo non può essere usato per creare animazioni o video interattivi. In questi casi vi è bisogno di integrare JavaScript o CSS3 per raggiungere il risultato sperato.

Ma sul fronte della sicurezza? L’HTML5 è più sicuro da usare in alternativa a Flash? Sicuramente sì. Ma vi sono delle falle alle quali fare attenzione per prevenire i problemi.

HTML 5. Prima vulnerabilità: il codice sorgente è troppo leggibile e attaccabile

Una delle prime vulnerabilità collegate all’HTML5 risiede nel codice sorgente facilmente leggibile da qualsiasi browser in tutte le pagine che non hanno una connessione criptata. Qualsiasi persona capace di visionare l’header, le sezioni, gli articoli ed i tag video potrebbe essere in grado di raggiungere i file video. Un semplice esempio di codice non criptato facilmente sfruttabile:

<video width=”320″ height=”240″ controls>

<source src=”movie.mp4″ type=”video/mp4″>

<source src=”movie.ogg” type=”video/ogg”>

<source src=”movie.webm” type=”video/webm”>

</video>

Come è possibile notare, i file video sono elencati in bella vista con tutto ciò che necessita ai browser per visualizzarli, sia sui dispositivi fissi che mobili. E sebbene alcuni formati non possano contare su supporti diretti da parte di alcuni browser, nella maggior parte dei casi basta una semplice connessione ad internet per dare modo ai malintenzionati di agire sui brani video del sito.

Tramite software di terze parti in grado di convertire i file AVI in MP4 o se le clip video sono caricate tutte in questo formato, facilmente leggibile da ogni browser, si possono eseguire danni concreti.

Un hacker o chiunque voglia sferrare un attacco, con un codice HTLM5 non criptato, non avrà problemi a trovare i video, farne una copia, modificarne i frame inserendo codice pericoloso e da lì tentare di entrare nell’amministrazione del sito web.

HTML 5. Secondo bug: non ci sono strumenti di sicurezza per i tutti i browser

Un’altra vulnerabilità di questo codice, da non sottovalutare, è che manca di strumenti e sistemi di sicurezza sufficientemente solidi. Il problema fondamentale è la mancanza di un sistema di autenticazione FIDO (Fast Identity Online) che rende la maggior parte dei browser esposti all’esecuzione di codice dannoso, nascosto tra le pieghe dei tag HTML 5.

Solo Firefox 54 e Xbox One al momento hanno parzialmente implementato questo sistema ma il WWWC (World Wide Web Consortium) non ha ancora elaborato delle regole di sicurezza comuni per tutti i browser, nel momento in cui visualizzano una pagina in HTML 5.

Grazie ad HTML5Test, un’applicazione web molto popolare che calcola quanto funzionino bene i diversi browser, si può verificare come i più sicuri per visualizzare l’HTML 5 siano Opera 45 ( punteggio 518 su 555) e Edge 16. Ma si tratta di strumenti ancora incompleti e che non danno sufficiente protezione.

HTML 5, la terza falla: è facilissimo inserire codice malevolo

L’ultima importante falla dell’HTML5 consiste nel fatto che è molto facile inserire del codice malevolo dall’esterno. L’HTML 5 in realtà è molto ricco di codici per far funzionare degli elementi: ci sono quelli per la comunicazione come le chat integrate sui siti web, quelli che si occupano delle integrazione con i social network, gli strumenti per la geolocalizzazione,  o per gestire le applicazioni offline.

Qualsiasi hacker o programmatore può attaccare un sito tramite vulnerabilità dell’HTML 5 e inserire del codice malevolo creando danni: ad esempio può attivare un loop infinito di un video o un elemento interattivo, bloccando un sito web.

Problema simile nel caso in cui si attacchi un “sandboxed frame”: in questo caso si può ottenere il totale blocco del video riprodotto nel sito. Non solo: anche i messaggi scambiati fra il sito web e i navigatori, come una chat per un supporto tecnico, possono essere alterati o spediti agli interlocutori sbagliati. E ancora: i web socket possono essere sottoposti ad attacchi DoS e di conseguenza i server che ospitano il sito potrebbero dover gestire una serie di richieste false in grado di rallentare il portale.

Cosa indica questo? Che per quanto il formato HTML5 sia avanzato ed in grado di gestire al meglio la creazione e gestione di file video “intelligenti”, alcune sue falle nella sicurezza potrebbero mettere a rischio il sito web, a volte in modo maggiore rispetto a ciò che accadrebbe utilizzando Flash.

HTML 5. Come mettere in sicurezza il codice e i video

Come già anticipato, le falle di sicurezza nell’HTML5 ci sono, ma questo non significa che non si possa fare niente per ovviare alla loro presenza. Ecco alcune delle azioni che si possono intraprendere:

• Criptare il codice sorgente HTML5 e rendere impossibile per le persone intenzionate ad attaccare il sito web l’utilizzo di strumenti come Encrypt HTML Pro
• Installare un’utility in grado di filtrare il codice per rimuoverne le parti modificate e pericolose: il migliore in tal senso è HTML Purifier
• mantenere sempre aggiornati i router wireless e i dispositivi Bluetooth
• ridurre i permessi relativi ai codici non sicuri
• prevenire la stampa o la copia del codice sorgente
• cambiare le password di amministratore date di default
• trovare gli input provenienti da fonti non attendibili e non consentirgli di girare
• utilizzare HTML5Test per testare il supporto sicurezza per i propri browser
• far girare HTML5 con HTTPS

Per aumentare la sicurezza dell’HTML5 utilizzato nel proprio sito è poi raccomandato utilizzare i seguenti HTTP headers:

• X-Frame-Options
• X-XSS Protection
• Strict Transport Security
• Content Security Policy
• Origin.

HTML5: l’importanza degli aggiornamenti

Le falle dell’HTML5 insegna una lezione inconfutabile: per godere di questo linguaggio, tutti gli strumenti collegati dovranno essere sempre aggiornati. Solo in questo modo si potrà lavorare in modo sicuro.

La futura dipartita di Adobe Flash Player rappresenterà un problema? No. Il passaggio ad HTML 5 è un passo in avanti gigantesco, specie per la sicurezza, e le enormi possibilità dell’HTML5 si vedono già con grande soddisfazione. Ma è importante ricordare che ogni persona o azienda che vorrà lavorare con questo nuovo linguaggio dovrà conoscerne gli inevitabili difetti, senza pensare di lavorare con uno strumento immune alle vulnerabilità.

Le applicazioni per il fitness spopolano nel mondo, permettendo di tenere sotto controllo peso, allenamenti e forma fisica. Ma quando i dati raccolti per anni vengono mostrati su una mappa e da qui si scoprono i movimenti dei soldati USA, le basi segrete e le linee di rifornimento, qualcosa non torna. E’ il caso Strava, che ha costretto i massimi vertici militari americani e internazionali a prendere provvedimenti.

Strava.com, definita “Social Network degli atleti”, è una società di rilevazione con sede a San Francisco che vanta circa 27 milioni di utenti in tutto il mondo.Questi accedono all’app tramite dispositivi per il fitness (es. Fitbit e Jawbone) oppure iscrivendosi direttamente al sito.

I dati vengono raccolti tramite GPS in forma anonima e distribuiti su mappe termo-luminose, rendendo evidenti i percorsi più seguiti. Il primo aggiornamento globale di Strava risale a novembre 2017.

Sulla base dei dati, circa un miliardo, dal 2015 al 2017, la società ha caricato per la prima volta una mappa che mostra l’attività fisica degli utenti in tutto il mondo. Ovviamente, le aree urbane sono quelle che rappresentano un agglomerato più denso.

Le app per il fitness hanno svelato i tragitti degli utenti. Anche dei militari USA

Sono però alquanto strani i luoghi desertici, che dovrebbero essere isolati, ma che presentano invece zone molto fitte. Il motivo di tale stranezza è stato scoperto dall’australiano Nathan Ruser.

Studente di sicurezza internazionale e Medio Oriente, ha deciso di analizzare la questione sul conflitto in Siria postando su Twitter una frase provocatoria che ha scosso l’opinione pubblica. La sua osservazione è stata subito approfondita da esperti in materia, come l’analista tedesco in materia di sicurezza internazionale, Tobias Schneider.

Tale rivelazione è incentrata sul fatto che alcune di quelle rotte sembrano tracciare posizioni militari statunitensi segrete all’estero. La mappa permette infatti di identificare per nome le basi dell’esercito militare e i suoi percorsi in zone del Medio Oriente.

Il Washington Post ha quindi postato online la “Global heat map” di Strava che rivela, tra gli altri, gli avamposti dell’esercito americano, tra le più pericolose e segrete location al mondo, oltre ai tracciati dei convogli militari e le ronde di perlustrazione. È facile così individuare non solo la posizione, bensì i nomi delle basi e delle città nelle quali sono ubicati, possibilità che il sito offre agli utenti ai fini della condivisione della propria posizione sui vari social network.

In questo modo è stato scoperto, ad esempio, il tracciato più utilizzato in Iraq, soprannominato dai suoi utenti “Base Perimeter”. Un altro, situato all’esterno della grande base americana in Kandahar, Afghanistan, viene chiamato “Sniper Alley.”

La scoperta delle basi e degli spostamenti militari 

La notizia ha portato esperti militari, soldati e gran parte di internet a perlustrare la mappa, alla ricerca di prove dell’attività, chiedendosi se il rilascio di tali informazioni sensibili sulla posizione possano in qualche modo fornire una supervisione della sicurezza militare, oltre che comprometterla.

L’esercito militare ha dovuto quindi rispondere all’inchiesta circa le problematiche riguardanti le nuove tecnologie. Il maggiore Audricia Harris ha dichiarato tuttavia che il personale del Dipartimento della Difesa sa già come limitare i profili personali su internet e sulle misure di sicurezza interna ed estera.

Nonostante ciò,  i dati recenti mettono in risalto la necessità di assumere maggior consapevolezza della situazione. Il Dipartimento della Difesa sta ora cercando di determinare se sia necessaria una formazione in materia per i propri soldati.

Come evidenzia l’ufficio stampa del Commando Centrale in Kuwait, portavoce della coalizione contro lo Stato Islamico, il rapido sviluppo di nuove tecnologie di informazione migliora le nostre vite ma pone dure sfide a chiunque operi a livello di sicurezza e protezione. Costringe a ridefinire le proprie politiche e procedure.

L’accesso pubblico a tali dati potrebbe rappresentare una vera e propria catastrofe come rivela Nathaniel Raymond, presidente del Programma di sicurezza umana e tecnologia di Harvard. Analizzando l’impatto dei dati tecnologici sull’uomo, considera da sempre la pericolosità dei dispositivi GPS e delle compagnie che li monitorano.

Per esempio, sempre Tobias Schneider, ha identificato il nome di ben 573 persone che ogni mattina fanno jogging intorno al quartier generale dell’intelligence britannica, il che molto probabilmente li identifica come agenti di questa istituzione.

Il problema non riguarda solo la possibilità di individuare facilmente le basi militari su una mappa. Molto spesso la loro posizione geografica è già nota, come anche gli spostamenti dei militari all’esterno della base.

I soldati statunitensi utilizzano applicazioni con GPS, fornite proprio dal Pentagono, con lo scopo di indurre il proprio personale a muoversi di più e a fare esercizio fisico. In questo modo è però possibile utilizzare i dati per programmare imboscate o ricostruire le dinamiche di movimento all’interno della base o in aree dove molto probabilmente ne verrà allestita una nuova.

Inoltre le zone a più alta concentrazione potrebbero essere quelle di ristoro o i dormitori, il che permette agli avversari di identificare un obiettivo più specifico. Diventa facile anche seguire le aree di pattugliamento, il che compromette il lavoro di segretezza sviluppato dagli Stati Uniti, i quali tendono a non rivelare aree specifiche del loro operato.

Nessuna legge per la gestione dei dati. Così è nato il caso Strava

Il problema principale è che non è stato istituito un codice regolatorio per compagnie come Strava che collezionano informazioni degli utenti. Il loro rispetto per i dati sensibili non è ancora stato definito, il che li esclude da determinate responsabilità.

Strava risponde alle accuse dimostrando che, tramite il proprio blog, riesce a indirizzare gli utenti al fine di gestire la loro privacy sulla piattaforma. Strava sostiene che la heat map globale rappresenta una visione aggregata e anonima di oltre un miliardo di attività caricate sulla piattaforma.

Esclude pertanto zone private o delimitate dai parametri impostati a priori dall’utente. Si impegna quindi ad aiutare le persone a comprendere meglio le proprie impostazioni per dare loro il controllo su ciò che condividono. Il loro intento non è quindi quello di divulgare tattiche, tecniche o procedure.

Poiché il governo militare vuole avviare procedure di sensibilizzazione circa l’utilizzo responsabile dei dispositivi di localizzazione e Strava prende la sicurezza dei propri utenti seriamente, c’è l’intenzione di collaborare al fine di salvaguardare le aree sensibili dell’attività in questione.

L’azienda ha la convinzione che la trasmissione dei dati sensibili sia naturalmente opzionale, e che debba spettare alle decisioni personali di ogni utente se condividere o meno i propri spostamenti. È vero però che l’utente è ben predisposto ad acconsentire alla condivisione poiché questa permette di accedere ad altri servizi e, funzionando in maniera simile ad altri social network, permette di confrontare i propri risultati con quelli di altre persone che utilizzano l’applicazione.

Prevedere i crimini prima che vengano compiuti è il sogno di ogni poliziotto. E in realtà esistono i Crime Predicting Software che si occupano di raccogliere e analizzare i dati sui crimini del passato, per predire quelli nuovi e giocare di anticipo. Una soluzione fantascientifica che ci fa sentire in un nuovo mondo.

Ma… quando alcune previsioni dei software vengono azzeccate anche da persone comuni, l’entusiasmo cala.

La sicurezza della popolazione, è sempre stata garantita dalla polizia, che ha fatto affidamento sul proprio istinto e sui dati a sua disposizione per perseguire i crimini, ma che ora deve fare i conti con risorse sempre più limitate poiché la lotta alla criminalità e l’aumento della violenza rendono l’operato della polizia ogni giorno più difficile.

Nati alla fine degli anni ’80 negli Stati Uniti, i Crime Predicting Software sono stati sviluppati con l’intento di fornire un supporto scientifico all’indagine criminologica, creando delle vere e proprie previsioni sui crimini del futuro. 

Affidarsi a software dedicati che si occupano della rilevazione, dell’analisi e dell’interpretazione di tali dati, appare davvero come una ottima soluzione per rimanere al passo con i tempi e, addirittura, anticiparli.

I software che prevedono i crimini. La raccolta dati e la mappatura

Analizzando il funzionamento nel dettaglio, i dati raccolti dal lavoro quotidiano del dipartimento di polizia vengono catalogati in sistemi di gestione delle banche dati che associano informazioni geografiche (es. latitudine e longitudine) con indirizzi e aree di segnalazione della polizia e memorizzano e gestiscono chiamate di servizio, arresti e altri dati potenzialmente mappabili, comuni alla maggior parte dei dipartimenti di medie e grandi dimensioni.

Garantire la qualità dei dati è fondamentale. Se non sono completi, accurati o tempestivi, viene meno questo sistema di localizzazione.

Una volta messi insieme e resi disponibili per l’analisi infatti, questi volumi di dati sono fondamentali per comprendere non solo ciò che è accaduto in passato ma, sulla base di tali modelli, ciò che si svilupperà, potenzialmente, in futuro.

La migliore organizzazione e i modelli di previsione consentono alle agenzie di anticipare incidenti, individuare profili criminali, ridurre i tassi di criminalità e ottimizzare l’utilizzo delle risorse.

Basandosi su episodi precedenti, profili, mappe e tipologie, oltre a fattori quali eventi meteorologici o giorni festivi e di paga, i funzionari di polizia possono individuare aree tipicamente frequentate da criminali violenti.

Vengono stilati identikit per identificare somiglianze con delinquenti noti e individuare le condizioni scatenanti i crimini violenti, per prevedere quando e dove questi crimini potrebbero verificarsi in futuro, nonché determinare la probabilità di recidiva.

Così la polizia gioca d’anticipo

Una volta che le informazioni sono state elaborate e diventano disponibili, questi software permettono agli agenti di polizia di accedere a informazioni accuratamente calcolate che consentono  di monitorare in anticipo le attività criminali, prevedere la probabilità di incidenti.

Ma non solo: anche distribuire efficacemente le risorse e risolvere i casi più velocemente, ovvero ampliare il proprio campo d’azione in maniera più intelligente, assicurandosi che nessuno sforzo venga sprecato attraverso un uso migliore delle informazioni che vengono generate e memorizzate.

Le informazioni più affidabili consentono alle forze dell’ordine di migliorare le indagini, la pianificazione delle proprie risorse, la gestione dei casi, le operazioni e l’applicazione. Con questa intuizione, la prevenzione del crimine diventa una scienza.

I dubbi degli studiosi

Sarebbe tutto bello, se non fosse che recenti studi eseguiti al Darmouth College, hanno dimostrato come software ampiamente utilizzati potrebbero essere accurati nel predire comportamenti criminali tanto quanto persone senza alcuna esperienza in materia.

L’analisi ha mostrato che i non addetti ai lavori che hanno risposto a un sondaggio online, si sono comportati esattamente come il Crime Predicting Software COMPAS (Correctional Offender Management Profiling for Alternative Sanctions) utilizzato dai tribunali per aiutare a determinare il rischio di recidiva, sollevando il problema sulla effettiva utilità di questi strumenti.

Il documento di ricerca della Darmouth mette a confronto il software commerciale COMPAS e alcuni volontari individuati tramite il Marketplace online Amazon Mechanical Turk, per analizzare quale approccio è più accurato ed equo nel giudicare la possibilità di recidiva, intesa come l’atto di commettere un reato, anche minore, entro due anni dall’ultimo arresto di un imputato.

Ai gruppi di lavoratori sono state sottoposte brevi descrizioni circa il  sesso, l’età e la precedente storia criminale di un imputato.

I risultati umani sono stati quindi confrontati con i risultati del sistema COMPAS, che utilizza 137 identikit variabili per ciascun individuo.

Risultati dello studio: anche persone senza esperienza ci azzeccano

Con meno informazioni rispetto a quelle del COMPAS, 7 anziché 137, i risultati emersi sono risultati pressoché simili: 67% dei casi presentati al gruppo di lavoratori contro il 65, 2% del COMPAS. I partecipanti allo studio e il COMPAS erano d’accordo sul 69,2% dei 1000 imputati nel predire chi avrebbe ripetuto i crimini.

Lo studio dimostra addirittura che, sebbene il COMPAS si serva di oltre un centinaio di informazioni, lo stesso livello di accuratezza può essere ottenuto con due sole variabili: l’età dell’imputato e il numero di condanne precedenti.

Secondo lo studio, la questione della previsione accurata della recidiva non è limitata al COMPAS ma è stato rilevato che otto dei nove programmi software sottoposti ad ulteriori esami non sono riusciti a fare previsioni accurate, e le abilità di essere umani senza esperienza erano perlomeno pari a quelle dei software.

Infine, nonostante non sia tecnicamente rilevante, quando è stata presa in considerazione la razza, la ricerca ha scoperto che i risultati di entrambi gli intervistati umani e del software hanno mostrato notevoli disparità nel modo in cui vengono giudicati gli imputati in base al colore della pelle.