Data Breach: Le misurerichieste dalla normativaitaliana e l’ottica cloud

CSA Italy – Gloria Marcoccio

CSA Italy

� Associazione no-profit di diritto italiano (costituzione nel 2011)

� 100 soci regolarmente iscritti (+470 membri nel LinkedIn group CSA Italy Chapter)

� Affiliazioni/Convenzioni:

� Sponsor:

� Collaborazioni:

� 3 Aree di Ricerca: Traduzioni, Portabilita’-Interoperabilita’-Sicurezza Applicativa,

Privacy & Legal in the Cloud

Gruppo di Lavoro “Traduzioni”

• 2012 - Traduzione in italiano della Cloud Security Guidance Ver. 2.1

• 2013 - Traduzione in italiano del documento ENISA “Cloud Computing Benefits Risks and

Recommandations for Information Security”

Gruppo di Lavoro “Portabilità, Interoperabilità e Sicurezza Applicativa”

• 2012 - Documento di ricerca “Portabilità Interoperabilità Sicurezza Applicativa “(pdf, e-book)

Gruppo di Lavoro “Privacy & Legal in the Cloud”

• 2012 - Studio “Standard Contrattuali per il Cloud Computing” (ITA-ENG)

• 2012 - Risposta alla consultazione pubblica di cui alle “Linee guida in materia di attuazione della

disciplina sulla comunicazione delle violazioni di dati personali – Consultazione pubblica – 26 luglio

(G.U. n. 183 7 agosto 2012)

CSA Italy

Gruppo di Lavoro “Traduzioni”

• Cloud Security Guidance v.3

• Esame CCSK V3 in Italiano

• Traduzione in inglese del Rapporto CLUSIT sulla sicurezza ICT in Italia 2013

Gruppo di Lavoro “Portabilità, Interoperabilità e Sicurezza Applicativa”

• SSDLC e SDLC in ambito Cloud

Gruppo di Lavoro “Privacy & Legal in the Cloud”

• Data Forensics su Cloud in ambito aziendale: cosa aspettarsi

• Data Breach in the Cloud

• BYOD in the Cloud

CSA Italy

PremessaSistemi informativi e reti di comunicazioni sono fattori essenziali per qualunque

sviluppo economico e sociale sia in contesti tradizionali sia in ambito on line

nella Information & networked society

La governance finalizzata alla disponibilità & sicurezza richiede un approccio

sistematico e commensurato agli impatti sul business, con processi e soluzioni

tecnologiche per

• Rilevare, valutare e comunicare gli incidenti in relazione alla sicurezza

delle informazioni

• Gestire gli incidenti includendo l’attivazione di misure appropriate per la

loro prevenzione (misure ex ante) nonchè riduzione e recupero (misureex post) a fronte degli impatti sul business

• Comprendere i punti di debolezza della propria governance, valutarli ed

affrontarli in modo concreto

• Imparare dagli incidenti accaduti: aggiornare il proprio contesto di

misure per la gestione della sicurezza delle informazioni

Incident mngt normative e std: principali enti diriferimento

EuropeanCouncil

EuropeanParliament

European Commission:

JusticeFundamentalRights and Citizenship

DigitalAgenda

WorkingParty 29

ENISA

EuropeanCybercrime

Center

Centri EU di competenza/cooperazione

Istituzioni EU con potere di emanare norme di natura obbligatoria

Supporta/ propone

U.S. National Institute of Standards and

Technology

NIST

International Organization forStandardization

ISO

EDPS

Normativa incident mngt a livello EU

In vigore, nel contesto delle:

- comunicazioni elettroniche accessibili al pubblico Direttiva 2009/136/CE

(in Italia:D.Lgs 69/12)

- infrastrutture critiche nei settori dell’Energia e Trasporti 2008/114/EC

(in Italia: D.Lgs 61/11)

Proposta di nuova directive EU

- NIS directive - 8 Febbraio 2013: “Proposal for a Directive concerning measures to ensure

a high common level of network and information security across the Union”http://ec.europa.eu/dgs/home-affairs/what-is-new/news/news/2013/docs/1_directive_20130207_en.pdf

Proposta di nuova regulation EU

- Nuova legislazione EU in materia di privacy & protezione dei dati personali in luogo

della attuale direttiva 95/46/CE (si tratta di regolamentazione e non di direttiva, quindi si

applicherà direttamente senza processo di transposizione da parte degli Stati Membri EU)http://ec.europa.eu/justice/newsroom/data-protection/news/120125_en.htm

Normativa incident mngt a livello EU

Pubblicata sulla Gazzetta Ufficiale Europea il 26 giugno 2013

Entra in vigore in tutti i paesi membri UE a partire dal 25 agosto 2013

Regulation EU no 611/2013 of 24 June 2013

On the measures applicable to the notification of personal data breaches under Directive 2002/58/EC of the European Parliament and of the Council on privacy and electronic communications

Press Release European Commission- June, 24 2013:Agenda digitale - nuove regole specifiche per i consumatori in caso di perdita o furto nell’UE di dati personali nelle telecomunicazioni

La Commissione europea introduce nuove regole su come esattamente gli operatoridelle telecomunicazioni e i fornitori di servizi Internet (ISP) debbano comportarsi in casodi perdita, furto o compromissione in altro modo dei dati personali dei loro clienti. Il finedi tali “misure tecniche di attuazione” è garantire che, in caso di violazione di dati, tutti iclienti ricevano un trattamento equivalente in tutta l’Unione europea e le impresepossano adottare un approccio paneuropeo a tale problema nel caso in cui operino inpiù di un paese

https://ec.europa.eu/digital-agenda/en/eprivacy-directive-data-breach-notifications

Principali Standard e linee guidaENISA

Data breach notifications in the EU - Jan 13, 2011 http://www.enisa.europa.eu/activities/identity-and-trust/library/deliverables/dbn

Good Practice Guide for Incident Management, 2010 http://www.enisa.europa.eu/activities/cert/support/incident-management

ENISA Threat Landscape, 8 Gennaio 2013 http://www.enisa.europa.eu/activities/risk-management/evolving-threat-environment/ENISA_Threat_Landscape

Critical Cloud Computing - A CIIP perspective on cloud computing services - Version1,0, Dicembre 2012http://www.enisa.europa.eu/activities/Resilience-and-CIIP/cloud-computing/critical-cloud-computing

NISTSP 800 61 Rev 2 Computer Security Incident Handling Guide, August 2012 http://csrc.nist.gov/publications/nistpubs/800-61rev2/SP800-61rev2.pdf

ISOISO/IEC 27035:2011 Information technology - Security techniques - Information security incident management WWW.ISO.ORG

Cloud Security AllianceSecurity Guidance for Critical Areas of Focus in Cloud Computing V3.0https://downloads.cloudsecurityalliance.org/initiatives/guidance/csaguide.v3.0.pdf

Data Breach in Italia – norme in vigore

nel settore dei servizi delle comunicazioni elettroniche accessibili al pubblico su reti pubbliche di comunicazione:

Violazione di dati personali (Data Breach):

violazione della sicurezza che comporta anche accidentalmente ladistruzione, la perdita, la modifica, la rivelazione non autorizzata ol'accesso ai dati personali trasmessi, memorizzati o comunque elaboratinel contesto della fornitura di un servizio di comunicazione accessibile alpubblico

Prescrizioni in materia di violazione dei dati personali (Data Breach),

conseguenti al recepimento in Italia della direttiva europea 2009/136/CE.

Il recepimento è avvenuto tramite il D.Lgs 69/12 che ha modificato in modo

significativo il D.Lgs 196/03 (Codice Privacy) relativamente al trattamento dei

dati personali e tutela della vita privata

Data Breach in Italia – norme in vigoreLe principali modifiche di interesse al D.Lgs 196/03 (Codice Privacy) :

• Violazione di dati personali

(art. 4, comma 3, punto g-bis - aggiunto ex novo: introdotta la definizione )

• Obblighi relativi ai fornitori di servizi di comunicazione elettronica accessibili al pubblico

(art. 32 - articolo relativo alla sicurezza nei servizi, modificato in più punti in modo sostanziale)

• Adempimenti conseguenti ad una violazione di dati personali

(art. 32-bis - aggiunto ex novo)

• Procedure istituite dai fornitori

(art. 132-bis - aggiunto ex novo: sebbene non direttamente connesso alla data breachquesta prescrizione si considera comunque rilevante ai fini dei rapporti contrattuali tra i soggetti coinvolti nei servizi qui di interesse)

• Sanzioni nei confronti di fornitori di servizi di comunicazione elettronica accessibili al pubblico

(art. 162-ter - aggiunto ex novo)

• Falsità nelle dichiarazioni e notificazioni al Garante

(art. 168 - modificato)

Data Breach in Italia – norme in vigore

L’Autorità Garante per la protezione dei dati personali ha quindi adottato

“Provvedimento in materia di attuazione della disciplina sulla comunicazione delle violazioni di dati personali (c.d. data breach)”

è un apposito provvedimento generale per specificare gli adempimenti

previsti in materia di Data Breach

Nel 2012 – CSA ITALY ha risposto alla consultazione pubblica di cui alle “Linee guida

in materia di attuazione della disciplina sulla comunicazione delle violazioni di datipersonali – Consultazione pubblica – 26 luglio (G.U. n. 183 7 agosto 2012).

Le considerazioni esposte da CSA ITALY sulle Misure di Sicurezza

hanno contribuito alla attuale formulazione del Provv. Data Breach

Data Breach in Italia – norme in vigoreFOCUS ON: I DESTINATARI

� Essenzialmente indirizzata ai Fornitori= fornitori di servizi di comunicazione elettronica accessibili al pubblico

il Garante con il suo Provvedimento Data Breach precisa che

� non sono destinatari delle prescrizioni: i soggetti che offrono servizi di

comunicazione elettronica a gruppi delimitati di persone, titolari e gestori di

esercizi pubblici che si limitano a mettere a disposizione del

pubblico/clienti/soci telefoni o similari mezzi di comunicazione, i gestori di siti

internet che diffondono esclusivamente contenuti, i gestori di motori di ricerca

�

� sono invece ulteriori soggetti per le prescrizioni:

• i gestori di siti internet se offrono servizi di posta elettronica e limitatamente a

questi servizi

• i servizi di mobile payment con addebito e conseguente decurtazione del costo dal

credito telefonico, per i clienti dotati di una carta di traffico telefonico ricaricabile, e

con addebito sul conto telefonico per quelli che hanno l’abbonamento telefonico

Data Breach in Italia – norme in vigoreFOCUS ON: I DESTINATARI

Considerando ora gli Affidatari (*) dei servizi dei Fornitori…

� Il Garante con il suo Provvedimento Data Breach fornisce in sostanza due esempi di Affidatari:

• i fornitori di comunicazione elettronica tradizionali che erogano servizi ai MVNO

• i soggetti terzi ai quali il Fornitore affida in tutto o in parte la materiale

erogazione del servizio stesso, che hanno le infrastrutture a ciò necessarie, ad

esempio per ragioni di ottimizzazione dei costi.

� in ogni caso la realtà è come sempre più complessa:

• tenendo presente la definizione di “Violazione di dati personali” occorrerà

individuare il soggetto Affidatario come

quella terza parte che il Fornitore coinvolge nel contesto della fornitura di un

servizio di comunicazione elettronica accessibile al pubblico, il quale, in

ragione del servizio erogato, sia nelle concrete condizioni di poter rilevare la

violazione in luogo del Fornitore.

(*) Affidatario qui si intende il soggetto a cui il Fornitore di un servizio di comunicazione elettronica accessibile al pubblico affida l'erogazione del predetto servizio, in tutto o in parte.

Data Breach in Italia: adempimenti e misure in sintesiMisure di sicurezza in background

(pre esistenti alle novità normative del 2012/2013 ma sempre in vigore):

• Minime di sicurezza art 33-35 ed All. B D.Lgs 196/03

• Come da Provv. del Garante sulla figura dell’Amministratore di sistema

• Come da Provv del Garante sulla sicurezza dei dati di traffico, ove applicabile

• Individuate con specifica analisi dei rischi (art 31 e 32 D.Lgs 196/03)

Misure da nuova normativa 2012/2013 riguardo la Data Breach

• Riaffermazione della esigenza di implementare una Politica per la sicurezza

• Rafforzamento importanza analisi dei rischi per individuare anche adeguate misure ex ante ex post rispetto ad una violazione dei dati personali

• Misure per l’inintelligibillità dei dati (essenziale per minimizzare anche il rischio di effettuare

comunicazioni ai contraenti/altre persone)

• Misure suggerite dal Garante

• rendere i dati trattati indisponibili al termine delle attività svolte su di essi

• Individuare misure specifiche per mitigare il rischio connesso alla portabilità dei dispostivi portatili

• Obblighi di comunicazione da Fornitore a Garante

• In determinati casi: obblighi di comunicazione da Fornitore ai Contraenti/altre persone

• Obblighi di comunicazione da Affidatario a Fornitore

• Inventario delle Data Breach

assume importanza strategica anche ai fini delle Sanzioni

Data Breach

Data Breach

Data Breach in Italia - SanzioniIl D.Lgs 69/12 ha :

Introdotto nuove sanzioni (AMMINISTRATIVE):

• Art. 162-ter. Sanzioni nei confronti di fornitori di servizi di comunicazione elettronica accessibili al pubblico

relative agli obblighi di:

Comunicazione di violazione dati personali al Garante Privacy

Comunicazione di violazione dati personali ai contraenti o altre persone

Inventario delle violazioni dei dati personali

Esteso l’esistente (PENALE)

• Art. 168. Falsità nelle dichiarazioni e notificazioni al Garante

In caso di falso in dichiarazioni /attestazione di notizie o circostanze / nella

produzione di documenti in relazione a

Comunicazione di violazione dati personali da Fornitore al Garante

Comunicazione di violazione dati personali da soggetto affidatario di servizio verso il Fornitore

Data Breach in Italia - Sanzioni

VIOLAZIONE SANZIONE Amministrativa

Omessa comunicazione di violazione dati

personali al Garante

fino a €. 150.000

Omessa comunicazione di violazione dati

personali al contraente o altre persone

fino a €. 1.000 per ciascuna persona nei cui

confronti venga omessa o ritardata la

comunicazione prevista; il tutto fino alla misura

massima del 5% del volume d'affari realizzato

dal fornitore di servizi

Violazione della disposizione concernente la

tenuta di un aggiornato inventario delle

violazioni dei dati personali

fino a €. 120.000

Le medesime sanzioni si applicano nei confronti dei soggetti a cui il fornitore

di servizi di comunicazione elettronica accessibili al pubblico abbia affidato

l'erogazione dei predetti servizi, qualora tali soggetti non abbiano comunicato

senza indebito ritardo, al fornitore le informazioni necessarie ai fini degli

adempimenti di cui all'articolo 32-bis. (Adempimenti per Data Breach)

Data Breach e Cloud Services

� Data Breach come problematica di Incident Response

� CSA Security Guidance for Critical Areas of Cloud Computing Version 3.0./ Domain 9 Incident Response

https://cloudsecurityalliance.org/research/security-guidance/

Data Breach e Cloud Servicesresponsabilità nell’implementare misure

SaaS PaaS IaaS

Fornitore dei servizio Cloud

Cliente del servizio Cloud

SaaS: security controls and their scope are negotiated into the contracts for service:service levels, privacy, and compliance are all issues to be dealt in contracts

PaaS: securing the platform itself falls onto the Provider, but securing the applicationsdeveloped against the platform and developing them securely, is a taskfor the Customer

IaaS: responsibility for securing the underlying infrastructure and abstraction layersbelongs to the Provider, the remainder of the stack is the Customer’s responsibility

Data Breach e Cloud Servicespunti di forza e punti di attenzione

Tra i punti di forza:

� Continuous monitoring

� Rende più efficiente ed efficaci le azioni per individuare gliincidenti e nel gestire le reazioni (tempi, applicazione misure,..)

� Virtualization and elasticity

� Maggior capacità di contenimento problemi conseguenti e recovery actions (natura distribuita e ridondante)

� Riduzione di impatti negativi (es. downtime) per i clienti

� Maggior capacità di portare un ambiente virtualizzato in lab a finiinvestigativi

Data Breach e Cloud Servicespunti di forza e punti di attenzione

Tra i punti di attenzione:

� La natura SelfService del servizio rende complesso individuareprontamente il problema (ruolo del cliente può fare la differenza)

� Il pooling di risorse tra più Clienti può

� moltiplicare gli impatti negativi di un problema

� comportare difficoltà per acquisire legittamente i dati necessariper le analisi e le investigazioni

� Criticità derivanti da multiple giurisdizioni e leggi applicabili

� Contratti/SLA intra Cloud Computing Providers: NOT Data Breach oriented

Data Breach: ricetta must have

Una base solida di misure tecniche-organizzative-procedurali?

• Data Breach Response team (risorse e mezzi adeguati)

• Encryption, Encryption, Encryption, Encryption, Encryption, Encryption,…

• Misure di Autenticazione

• Misure di Autorizzazione

• Adeguati contratti/SLA

Grazie per l’attenzione!

gloria.marcoccio@glory.itgloria.marcoccio@glory.it