Mese: Marzo 2018

Gil Shwed è il fondatore e amministratore delegato di Check Point Software Technologies Ltd, una delle più importanti aziende di cibersecurity al mondo. Shwed è l’inventore dei firewall, uno dei meccanismi di sicurezza più importanti per i sistemi di comunicazione aziendali. Quindi, uno dei massimi esperti di sicurezza informatica al mondo.

In una recente intervista ha dichiarato che si sono susseguite cinque generazioni di attacchi che, ancora oggi, provengono dai malintenzionati:

• i virus;
• gli attacchi esterni alle infrastrutture comunicative;
• gli attacchi alle vulnerabilità del software;
• gli attacchi polimorfici ovvero quelli che cambiano forma secondo le caratteristiche dell’obiettivo;
• i mega-attacchi cioè quelli tesi a sabotare interi settori o paesi introducendosi nei gangli produttivi.

Le organizzazioni, pubbliche e private, si sono attrezzate di antivirus che, in qualche maniera, riducono le possibilità di successo del primo tipo di attacchi ed anche, in misura meno significativa, di firewall che riducono gli attacchi del secondo tipo. Molto più ridotta è, invece, la percentuale di coloro che hanno installato Intrusion Detection System o Intrusion Prevention System per capire cosa succede nella rete e se c’è un tentativo malevolo di sfruttare le vulnerabilità del software. Rarissime organizzazioni, infine, hanno pianificato sistemi per ridurre le due più recenti generazioni di attacchi.

In realtà, Shwed preannuncia una sesta generazione di attacchi: quella che si basa sull’Intelligenza Artificiale e che è capace di osservare ed imparare automaticamente i comportamenti dei sistemi obiettivo per finalizzare meglio gli attacchi.

È ora di ripetere sei volte sicurezza prima di sentirsi sollevati.

Il 29 dicembre scorso è entrata in vigore una legge di soli tre articoli, la n. 179/2017, che, però, sta causando un dibattito molto acceso nelle società private più grandi.

La nuova norma disciplina la pratica del whistleblowing (soffio nel palloncino), cioè della possibilità di incentivare il personale dipendente a segnalare condotte illecite rilevate nella propria organizzazione, fornendogli una garanzia di anonimato.

La 179 dedica il primo articolo al settore pubblico disciplinando meglio una previsione normativa già esistente. La vera novità riguarda il settore privato che, precedentemente, non era interessato dal whistleblowing. Infatti, l’articolo 2 modifica la legge sulla responsabilità amministrativa delle persone giuridiche (Decreto legislativo 231/2001) introducendo, all’articolo 6, i commi 2‑bis, 2‑ter e 2‑quater. Semplificando, le società che sono soggette all’applicazione dei modelli previsti dal Dlgs. 231 devono dotarsi di un canale idoneo a garantire, con modalità informatiche, la riservatezza di chi segnala le condotte illecite.

Questa novità, apparentemente positiva, fa emergere un paio di questioni:

• questioni etiche rispetto ai riflessi che una segnalazione di illecito infondata potrebbe avere sulla società e sul ruolo sociale che riveste (per esempio, rispetto alla eventuale perdita di posti lavoro);
• questioni commerciali visto che potrebbero concretizzarsi vantaggi concorrenziali da parte di imprese private non organizzate in società e, quindi, non soggette alla norma.

La questione più seria è, tuttavia, legata alla riservatezza dei dati personali del segnalante. Occorre che l’Autorità Nazionale Anticorruzione (ANAC) ed il Garante per la Protezione dei Dati Personali offrano le indicazioni opportune per garantire che non ci siano dispersioni di notizie che potrebbero danneggiare, anche in modo irreversibile, le persone che, onestamente, denunciano.

Sembra facile dare una gonfiata al palloncino, ma non è così.