Sicurezza Informatica. Come nasce il problema di sicurezza informatica? Fino a pochi anni fa,...

Sicurezza Sicurezza InformaticaInformatica

Come nasce il Come nasce il problema di problema di

sicurezza sicurezza informatica?informatica?

Fino a pochi anni fa , l’uso del PC non Fino a pochi anni fa , l’uso del PC non comportava preoccupazioni nella protezione comportava preoccupazioni nella protezione dei dati contenuti in esso. Infatti per evitare dei dati contenuti in esso. Infatti per evitare la perdita di dati si effettuava il Backup , la perdita di dati si effettuava il Backup , oppure l’utilizzo di password, ci garantiva una oppure l’utilizzo di password, ci garantiva una garanzia contro l’accesso di terze persone.garanzia contro l’accesso di terze persone.

Però con il diffondersi delle reti informatiche, Però con il diffondersi delle reti informatiche, ovvero, ovvero, InternetInternet,cominciarono a nascere dei ,cominciarono a nascere dei problemi di rischio dovuti a :problemi di rischio dovuti a :

minacce di intrusione minacce di intrusione possibilità di divulgazione non autorizzata possibilità di divulgazione non autorizzata

di informazionidi informazioni interruzione e distruzioni di servizi offerti interruzione e distruzioni di servizi offerti

dall’utenzadall’utenza

Con il nascere di questi altri problemi, i Con il nascere di questi altri problemi, i legislatori sentirono la necessità di istituire legislatori sentirono la necessità di istituire un settore specifico denominato un settore specifico denominato Sicurmatica che si occupasse delle norme: Sicurmatica che si occupasse delle norme: il trattamento e la salvaguardia degli il trattamento e la salvaguardia degli strumenti informatici e delle informazioni in strumenti informatici e delle informazioni in esse contenute.esse contenute.

Elenco ArgomentiElenco Argomenti Sicurezza InformaticaSicurezza Informatica Gestione del rischioGestione del rischio Organizzazione delle sicurezza Organizzazione delle sicurezza Standard ed Enti di standardizzazione Standard ed Enti di standardizzazione CrittografiaCrittografia AutenticazioneAutenticazione Protezione dei datiProtezione dei dati Le MinacceLe Minacce I firewallI firewall Norme sulla sicurezza informaticaNorme sulla sicurezza informatica

Sicurezza Sicurezza informaticainformatica

Qualunque programma si occupi della sicurezza delle Qualunque programma si occupi della sicurezza delle informazioni, deve perseguire 3 obiettivi informazioni, deve perseguire 3 obiettivi fondamentali:fondamentali:

la disponibilitàla disponibilità l’integritàl’integrità la riservatezzala riservatezzaAlla sicurezza possiamo aggiungere altri due obiettivi Alla sicurezza possiamo aggiungere altri due obiettivi

che vengono considerati un’estensione dell’integrità:che vengono considerati un’estensione dell’integrità: l’autenticità : essa garantisce che il messaggio arrivi l’autenticità : essa garantisce che il messaggio arrivi

con certezza al destinatariocon certezza al destinatario il non ripudio: essa garantisce il massaggio conosca il non ripudio: essa garantisce il massaggio conosca

il suo autoreil suo autore

La DisponibilitàLa Disponibilità

La disponibilità è il La disponibilità è il grado grado in cui le in cui le informazioni e le risorse informatiche sono informazioni e le risorse informatiche sono accessibili agli utenti che ne hanno diritto, accessibili agli utenti che ne hanno diritto, nel momento in cui servono:nel momento in cui servono:

delle delle condizioni ambientalicondizioni ambientali (energia, (energia, umidità..)umidità..)

delle delle risorse hardware e softwarerisorse hardware e software ( guasti …)( guasti …)

di di attacchi esterniattacchi esterni ( attacchi provenienti ( attacchi provenienti da Internet)da Internet)

Sicurezza Informatica

L’IntegritàL’IntegritàL’integrità per ciò che riguarda le L’integrità per ciò che riguarda le risorse risorse

informaticheinformatiche, è il grado in cui le risorse devono , è il grado in cui le risorse devono avere: completezza, coerenza e buone condizioni avere: completezza, coerenza e buone condizioni di funzionamento;di funzionamento;

L’integrità per ciò che riguarda L’integrità per ciò che riguarda l’hardware e i l’hardware e i sistemi di comunicazionesistemi di comunicazione , consiste: , consiste:

nella corretta elaborazione e in un corretto nella corretta elaborazione e in un corretto instradamento dei dati instradamento dei dati

e in un livello adeguato di prestazionie in un livello adeguato di prestazioniInvece per quanto riguarda il Invece per quanto riguarda il softwaresoftware:: la completezza e la coerenza dei moduli del la completezza e la coerenza dei moduli del

sistema operativosistema operativo la correttezza dei file di sistemala correttezza dei file di sistema


La RiservatezzaLa Riservatezza

La riservatezza consiste nel La riservatezza consiste nel limitare limitare l’accesso alle informazioni e alle l’accesso alle informazioni e alle risorse informaticherisorse informatiche, alle sole , alle sole persone persone autorizzateautorizzate..


Gestione del rischioGestione del rischioAdesso esaminiamo i rischi connessi ai vari Adesso esaminiamo i rischi connessi ai vari

aspetti di sicurezza delle informazioni aspetti di sicurezza delle informazioni analizzando:analizzando:

1)1) i beni da difenderei beni da difendere2)2) gli obbiettivi di sicurezzagli obbiettivi di sicurezza3)3) le minacce alla sicurezzale minacce alla sicurezza4)4) la vulnerabilità dei sistemi informaticila vulnerabilità dei sistemi informatici5)5) l’ impatto causato dall’attuazione delle ml’ impatto causato dall’attuazione delle m

inacceinacce6)6) il rischioil rischio

I beni da difendereI beni da difendere

In una visione chiara possiamo parlare dei beni, In una visione chiara possiamo parlare dei beni, materiali o immateriali che siano, di una cosa materiali o immateriali che siano, di una cosa che ha un valore e deve essere protetto.che ha un valore e deve essere protetto.

Gestione del rischio

Nel campo della Nel campo della sicurezza delle sicurezza delle informazioniinformazioni i, i, beni di un aziendabeni di un azienda sono: sono:

le risorse informatichele risorse informatiche il personaleil personale le informazionile informazioni la documentazionela documentazione l’immagine dell’aziendal’immagine dell’azienda

Invece nel campo della Invece nel campo della sicurezza dellesicurezza delle informazioniinformazioni, i , i beni di un individuobeni di un individuo sono: sono:

informazioni personaliinformazioni personali la privacyla privacy


Gli obiettivi di sicurezzaGli obiettivi di sicurezzaGli obiettivi di sicurezza, sono il grado di protezione Gli obiettivi di sicurezza, sono il grado di protezione

che si intende attuare in termini di :che si intende attuare in termini di : disponibilitàdisponibilità integritàintegrità riservatezzariservatezza

Per sapere quale obbiettivo devo adottare, i beni si Per sapere quale obbiettivo devo adottare, i beni si classificano in categorie ed ad ognuno si assegna classificano in categorie ed ad ognuno si assegna il tipo di sicurezza:il tipo di sicurezza:

Per le Per le password e i numeri di password e i numeri di identificazioneidentificazione, il requisito più importante, è , il requisito più importante, è la la riservatezzariservatezza

Per le Per le informazioni pubblicate sul sito web: informazioni pubblicate sul sito web: disponibilità e riservatezzadisponibilità e riservatezza


Le minacce alla sicurezzaLe minacce alla sicurezza

Una minaccia è una azione: Una minaccia è una azione: potenziale,potenziale, accidentale, deliberataaccidentale, deliberata, essa può portare alla , essa può portare alla violazione di uno o più obiettivi di sicurezza.violazione di uno o più obiettivi di sicurezza.

Le minacce possono essere classificate: in Le minacce possono essere classificate: in ambientali, naturali e umane.ambientali, naturali e umane.


Esempi di minacce:Esempi di minacce:

MinacciaMinaccia DeliberataDeliberata AccidentaleAccidentale AmbientaleAmbientale

TerremotoTerremoto xx

Infiltrazione Infiltrazione di retedi rete

xx

Errori Errori softwaresoftware

xx xx

InondazioneInondazione xx xx

Guasto Guasto hardwarehardware

xx

FurtoFurto xx


Per esempio: un Per esempio: un allagamentoallagamento dovuto a forti dovuto a forti piogge è una minaccia piogge è una minaccia accidentaleaccidentale di di origine origine naturalenaturale che influisce che influisce notevolmente alla sicurezza in quanto notevolmente alla sicurezza in quanto interrompe l’utilizzo dei servizi informatici.interrompe l’utilizzo dei servizi informatici.

Un altro esempio:è Un altro esempio:è un cavallo di troiaun cavallo di troia installato all’apertura di un allegato di installato all’apertura di un allegato di posta elettronica infetto, questa è una posta elettronica infetto, questa è una minaccia minaccia deliberata deliberata di origine di origine umanaumana e e coinvolge tutti gli obiettivi di sicurezza.coinvolge tutti gli obiettivi di sicurezza.


Vulnerabilità dei sistemi Vulnerabilità dei sistemi informaticiinformatici

La vulnerabilità è un La vulnerabilità è un punto debolepunto debole del del sistema informatico.sistema informatico.

Una vulnerabilità, non causa una perdita di Una vulnerabilità, non causa una perdita di sicurezza ma è la sicurezza ma è la combinazionecombinazione tra tra vulnerabilitàvulnerabilità e e minaccia minaccia che che determinano la possibilità che vengano determinano la possibilità che vengano violati gli obiettivi di sicurezza.violati gli obiettivi di sicurezza.


L’impatto causato L’impatto causato dall’attuazione delle dall’attuazione delle

minacceminacce

L’L’impattoimpatto si ha quando la minaccia colpisce si ha quando la minaccia colpisce il sistema e dipende dal bene e dalla il sistema e dipende dal bene e dalla violazione degli obiettivi di sicurezza.violazione degli obiettivi di sicurezza.


Il rischioIl rischio

Il Il rischiorischio è tanto maggiore, quanto maggiore è tanto maggiore, quanto maggiore è l’è l’impattoimpatto causato, e l’alta probabilità che causato, e l’alta probabilità che esso si verifichi.esso si verifichi.

Possiamo definire il rischio come l’insieme Possiamo definire il rischio come l’insieme della della gravità dell’impattogravità dell’impatto e e la probabilitàla probabilità che si verifichi l’evento dannoso.che si verifichi l’evento dannoso.


Possiamo, inoltre, classificare il rischio in due Possiamo, inoltre, classificare il rischio in due fasi :fasi :

Analisi del rischioAnalisi del rischio Controllo del rischioControllo del rischio

Analisi del rischioAnalisi del rischioIn questa fase si classificano le informazioni In questa fase si classificano le informazioni

e le risorse soggette a minaccia e e le risorse soggette a minaccia e vulnerabilitàvulnerabilità

Controllo del rischioControllo del rischioIn questa fase vengono individuate le In questa fase vengono individuate le

modalità che l’azienda intende adottare modalità che l’azienda intende adottare per ridurre i rischiper ridurre i rischi


Organizzazione della Organizzazione della sicurezzasicurezza

L’organizzazione della sicurezza parte dall’alto L’organizzazione della sicurezza parte dall’alto dove gli obiettivi e le politiche di sicurezza dove gli obiettivi e le politiche di sicurezza sonno definiti dal top management.sonno definiti dal top management.

In cima a questo modello ci sono gli obiettivi In cima a questo modello ci sono gli obiettivi strategici di cui deve fare carico strategici di cui deve fare carico l’organizzazione di sicurezza.l’organizzazione di sicurezza.

Uno dei primi compiti del gruppo incaricato Uno dei primi compiti del gruppo incaricato nella sicurezza è quello di inquadrare il nella sicurezza è quello di inquadrare il modello di attività , all’esposizione dei rischi modello di attività , all’esposizione dei rischi e alla dipendenza dell’infrastruttura e alla dipendenza dell’infrastruttura informatica.informatica.

Standard ed enti di Standard ed enti di standardizzazionestandardizzazione

Gli enti di standardizzazione sono organizzazioni di Gli enti di standardizzazione sono organizzazioni di natura molto differente che coprono aspetti natura molto differente che coprono aspetti normativi diversi a secondo dei casi.normativi diversi a secondo dei casi.

Operano in ambito nazionale ed internazionale ed Operano in ambito nazionale ed internazionale ed emettono norme e linnee guida per la emettono norme e linnee guida per la realizzazione di prodotti, processi e servizi.realizzazione di prodotti, processi e servizi.

Tra i più famosi enti ricordiamo:Tra i più famosi enti ricordiamo: ITU è un’organizzazione ONU dove governi e ITU è un’organizzazione ONU dove governi e

settore privato coordinano le reti e i servizi di settore privato coordinano le reti e i servizi di telecomunicazionitelecomunicazioni

ISO è la maggiore organizzazione internazionaleISO è la maggiore organizzazione internazionale IETF (Internet EnginneringIETF (Internet Enginnering Task Force)Task Force)

La crittografiaLa crittografia

La crittografia consiste nel cifrare, cioè rendere La crittografia consiste nel cifrare, cioè rendere incomprensibile, un testo in chiaro attraverso incomprensibile, un testo in chiaro attraverso un algoritmo di cifratura che fa uso in input di un algoritmo di cifratura che fa uso in input di una chiave. Il risultato della cifratura, cioè una chiave. Il risultato della cifratura, cioè l’output dell’algoritmo, sarà un testo l’output dell’algoritmo, sarà un testo inintelligibile che potrà essere cifrato solo inintelligibile che potrà essere cifrato solo disponendo dalla chiave di decifratura .disponendo dalla chiave di decifratura .

Vi sono due tipi di crittografia:Vi sono due tipi di crittografia:

Crittografia simmetricaCrittografia simmetrica

La crittografia simmetrica conferisce riservatezza al La crittografia simmetrica conferisce riservatezza al messaggio, ma non assicura l’autenticazione o il messaggio, ma non assicura l’autenticazione o il non ripudio. Questo tipo di crittografia viene non ripudio. Questo tipo di crittografia viene utilizzata per cifrare grandi quantità di dati.utilizzata per cifrare grandi quantità di dati.

Crittografia asimmetrica Crittografia asimmetrica

La crittografia asimmetrica, ossia la chiave La crittografia asimmetrica, ossia la chiave pubblica, fa uso di due chiavi diverse per cifrare e pubblica, fa uso di due chiavi diverse per cifrare e decifrare i messaggi. Un algoritmo asimmetrico decifrare i messaggi. Un algoritmo asimmetrico prevede che ogni utente abbia una coppia di prevede che ogni utente abbia una coppia di chiavi: la chiave pubblica e quella privata. La chiavi: la chiave pubblica e quella privata. La chiave privata deve essere custodita al sicuro, chiave privata deve essere custodita al sicuro, quella pubblica può essere distribuita.quella pubblica può essere distribuita.

AutenticazioneAutenticazione All’atto dell’autenticazione, l’entità che chiede di All’atto dell’autenticazione, l’entità che chiede di

essere autenticata, deve essere in possesso di essere autenticata, deve essere in possesso di una password o di un certificato digitale come una password o di un certificato digitale come prova della propria identità.prova della propria identità.

Una volta che l’utente è stato autenticato può Una volta che l’utente è stato autenticato può accedere solo alle risorse per cui è autorizzato.accedere solo alle risorse per cui è autorizzato.

Vi sono diversi tipi di autenticazione:Vi sono diversi tipi di autenticazione: autenticazione localeautenticazione locale: usata da un computer a : usata da un computer a

un portatile un portatile autenticazione indirettaautenticazione indiretta: usata per consentire : usata per consentire

a diversi utenti di accedere in retea diversi utenti di accedere in rete autenticazione off-lineautenticazione off-line: usata dai sistemi che : usata dai sistemi che

utilizzano la chiave pubblica.utilizzano la chiave pubblica.

II sistemi di autenticazione hanno alcuni sistemi di autenticazione hanno alcuni elementi in comune:elementi in comune:

una persona da autenticare una persona da autenticare una caratteristica su cui basare una caratteristica su cui basare

l’autenticazionel’autenticazione

I fattori di autenticazione sono divisi in 3 I fattori di autenticazione sono divisi in 3 categorie:categorie:

qualcosa che sai (password, pin …)qualcosa che sai (password, pin …) qualcosa che hai ( token …)qualcosa che hai ( token …) quello che sei (impronte digitali,retina …)quello che sei (impronte digitali,retina …)

AutenticazioneAutenticazione

PasswordPasswordL’uso delle password è uno dei sistemi più L’uso delle password è uno dei sistemi più

antichi di autenticazione.antichi di autenticazione.A partire dal 1967 cominciò a essere A partire dal 1967 cominciò a essere

introdotto l’ hashing delle password, che introdotto l’ hashing delle password, che viene tuttora utilizzato.viene tuttora utilizzato.

Un Un Hash Hash è un numero binario di è un numero binario di lunghezza lunghezza fissafissa, di , di lunghezza variabilelunghezza variabile che funge da che funge da improntaimpronta del dato di partenza. del dato di partenza.

All’atto dell’autenticazione, l’hash viene All’atto dell’autenticazione, l’hash viene confrontato con quello registrato nel file, confrontato con quello registrato nel file, se coincidono l’utente è autenticato.se coincidono l’utente è autenticato.


TokenToken Un token è un fattore di autenticazione della Un token è un fattore di autenticazione della

categoria “ quello che hai”. L’utente deve essere categoria “ quello che hai”. L’utente deve essere in possesso del token al fine di essere autenticato in possesso del token al fine di essere autenticato dal computer. Se viene smarrito o rubato l’utente dal computer. Se viene smarrito o rubato l’utente non ha modo di farsi autenticare.non ha modo di farsi autenticare.

I token vengono suddivisi in token passivi e token I token vengono suddivisi in token passivi e token attivi.attivi.

I I token passivitoken passivi per esempio carte di credito, per esempio carte di credito, vengono chiamati cosi perché i dati sono vengono chiamati cosi perché i dati sono registrati su una striscia magnetica.registrati su una striscia magnetica.

I I token attivitoken attivi non trasmettono il proprio dato non trasmettono il proprio dato segreto per autenticare l’utente.segreto per autenticare l’utente.


Firma digitaleFirma digitale

Per verificare che un dato documento sia Per verificare che un dato documento sia stato realmente prodotto, da chi afferma stato realmente prodotto, da chi afferma di averlo fatto, viene utilizzata la di averlo fatto, viene utilizzata la firma firma digitaledigitale che che garantisce l’autenticitàgarantisce l’autenticità di di colui che ha firmato quel dato documento. colui che ha firmato quel dato documento.

La firma digitale deve essere:La firma digitale deve essere: verificabileverificabile non falsificabile non falsificabile non ripudiabilenon ripudiabile


Protezione dei datiProtezione dei dati Parlando di disponibilità dei dati viene spontaneo Parlando di disponibilità dei dati viene spontaneo

pensare alla possibilità che si guastino i dischi pensare alla possibilità che si guastino i dischi fissi o la rete cessi di funzionare o che si verifichi fissi o la rete cessi di funzionare o che si verifichi un blackout, ma è anche importante considerare un blackout, ma è anche importante considerare che gli eventuali meccanismi di protezione degli che gli eventuali meccanismi di protezione degli accessi funzionino regolarmente.accessi funzionino regolarmente.

Per garantire l’accessibilità dei dati è necessario Per garantire l’accessibilità dei dati è necessario che le connessioni di rete funzionino e siano che le connessioni di rete funzionino e siano affidabili.affidabili.

L’insieme delle garanzie di disponibilità dei dati L’insieme delle garanzie di disponibilità dei dati sono i pilastri della cosiddetta “sono i pilastri della cosiddetta “Business Business ContinuityContinuity”. Questa è la misura in cui un ”. Questa è la misura in cui un organizzazione riesce a garantire la organizzazione riesce a garantire la stabilità dei stabilità dei sistemisistemi e delle e delle procedure operativeprocedure operative anche a anche a fronte di fronte di eventi eccezionalieventi eccezionali..

Le dotazioni hardware sono importanti per il buon Le dotazioni hardware sono importanti per il buon funzionamento.funzionamento.

BackupBackup Il backup consente di proteggere i dati in un Il backup consente di proteggere i dati in un

supporto fisico diverso da quello in uso, supporto fisico diverso da quello in uso, effettuando una copia di riserva dei dati di effettuando una copia di riserva dei dati di interesse dell’Organizzazione, per poterne interesse dell’Organizzazione, per poterne fare uso al momento di necessità.fare uso al momento di necessità.

Il backup può essere fatto in diversi modi :Il backup può essere fatto in diversi modi : Backup normaleBackup normale: richiede più tempo : richiede più tempo

perché copia tutti i file selezionati.perché copia tutti i file selezionati. Backup incrementaleBackup incrementale: richiede meno : richiede meno

tempo poiché copia solo i file creati o tempo poiché copia solo i file creati o modificati.modificati.

Le minacceLe minacce

Un virus informatico, è un programma scritto Un virus informatico, è un programma scritto per per alterarealterare il modo in cui un computer il modo in cui un computer opera, senza il permesso o la opera, senza il permesso o la consapevolezza dell’utente.consapevolezza dell’utente.

Un virus è un frammento di codice che Un virus è un frammento di codice che inserisce se stesso in un programma inserisce se stesso in un programma ospite, al fine di diffondersi. Esso non va in ospite, al fine di diffondersi. Esso non va in esecuzione indipendentemente ma per esecuzione indipendentemente ma per potersi attivare richiede che il suo potersi attivare richiede che il suo programma ospite sia eseguito.programma ospite sia eseguito.

I virus possono infettare sia il server di rete I virus possono infettare sia il server di rete che normali computer.che normali computer.

I I virus malignivirus maligni sono programmati per sono programmati per danneggiare il computer attraverso danneggiare il computer attraverso l’alterazione di programmi o la l’alterazione di programmi o la formattazione dell’hardisk.formattazione dell’hardisk.

I I virus benignivirus benigni non sono progettati per fare non sono progettati per fare danno ma per replicare se stessi e far danno ma per replicare se stessi e far sentire la propria presenza.sentire la propria presenza.

Le minacce

Esistono diverse tipologie di virus:Esistono diverse tipologie di virus:

Virus che infettano i fileVirus che infettano i file

Virus del settore bootVirus del settore boot

Virus MBRVirus MBR

Virus multipartitoVirus multipartito

Macro virusMacro virus

Virus HoaxVirus Hoax

Prevenzione degli attacchiPrevenzione degli attacchiLe minacce

Virus che infettano i fileVirus che infettano i file

Questi virus infettano i programmi, Questi virus infettano i programmi, normalmente con estensioni “.com” e normalmente con estensioni “.com” e “.exe. “.exe.

Possono infettare altri file quando un Possono infettare altri file quando un programma infetto viene eseguito da programma infetto viene eseguito da floppy, disco fisso , cd-rom o rete .floppy, disco fisso , cd-rom o rete .

Molti di questi virus rimangono residenti in Molti di questi virus rimangono residenti in memoria e una volta infettata la Ram, memoria e una volta infettata la Ram, qualunque programma che viene qualunque programma che viene mandato in esecuzione sarà infetto. mandato in esecuzione sarà infetto.

Virus del settore bootVirus del settore boot

Questi virus infettano il boot record del disco Questi virus infettano il boot record del disco fisso o di un floppy, ovvero quell’ aria che fisso o di un floppy, ovvero quell’ aria che serve ad avviare il computer e pertanto serve ad avviare il computer e pertanto andranno in esecuzione ogni volta che si andranno in esecuzione ogni volta che si accenderà il computer .accenderà il computer .

Questi virus sono sempre residenti in Questi virus sono sempre residenti in memoria.memoria.

Virus MBRVirus MBR

Master Boot record, come dice la stessa Master Boot record, come dice la stessa parola infettano il boot record, solo che il parola infettano il boot record, solo che il codice virale si localizzerà in parti diverse codice virale si localizzerà in parti diverse a secondo del tipo di partizione del disco.a secondo del tipo di partizione del disco.

Virus multipartitoVirus multipartito

Questi virus noti anche come polipartito, Questi virus noti anche come polipartito, infettano sia il boot che i file programma. infettano sia il boot che i file programma.

Sono particolarmente difficili da rimuovere Sono particolarmente difficili da rimuovere perché ripulendo il record di boot senza perché ripulendo il record di boot senza rimuovere i virus dai file infetti, rimuovere i virus dai file infetti, comporterà una nuova infezione del boot comporterà una nuova infezione del boot record e viceversa.record e viceversa.

Macro VirusMacro Virus

Questi virus infettano i dati. Questi virus infettano i dati.

Richiedono più tempo per la loro rimozione e Richiedono più tempo per la loro rimozione e sono i più comuni.sono i più comuni.

I macro virus possono infettare i file prodotti I macro virus possono infettare i file prodotti dalle applicazioni quali:dalle applicazioni quali:

WordWord ExcelExcel PowerPointPowerPoint Access Access

Virus HoaxVirus Hoax

Più che virus sono messaggi di avviso Più che virus sono messaggi di avviso contenenti falsi allarmi, vengono definiti contenenti falsi allarmi, vengono definiti Bufale Bufale e sono quasi sempre spedite via e-e sono quasi sempre spedite via e-mail .mail .

Prevenzione degli attacchiPrevenzione degli attacchi

Dotarsi di un Dotarsi di un antivirusantivirus efficace e tenerlo efficace e tenerlo sempre aggiornato.sempre aggiornato.

Installare uno strumento Installare uno strumento antimalwareantimalware con con protezione in tempo reale.protezione in tempo reale.

Scegliere le Scegliere le password password in modo opportuno e in modo opportuno e cambiarle periodicamentecambiarle periodicamente..

Installare un Installare un firewallfirewall e configurarlo con e configurarlo con delle restrizioni e controlli sul traffico in delle restrizioni e controlli sul traffico in rete.rete.

Elenco dei tipi di attacchiElenco dei tipi di attacchi Malware Malware TrojanTrojan Worm Worm SpamSpam SpywareSpyware Dialer Dialer PhishingPhishing Cookie Cookie AdwareAdware HijackingHijacking

IlIl MalwareMalware

Si definisce malware un qualsiasi software creato Si definisce malware un qualsiasi software creato con il solo scopo di creare danni più o meno con il solo scopo di creare danni più o meno estesi al computer su cui viene eseguito. estesi al computer su cui viene eseguito.

Il termine deriva dalla contrazione delle parole Il termine deriva dalla contrazione delle parole inglesi malicious e software e ha dunque il inglesi malicious e software e ha dunque il significato letterale di "programma malvagio".significato letterale di "programma malvagio".

WormWorm, , TrojanTrojan, , SpywareSpyware, Adware, Adware

CookieCookie, , SpamSpam, , HijackingHijacking, , PhishingPhishing, , DialerDialer

Il TrojanIl Trojan

Un trojan, (Cavallo di Troia), è un Un trojan, (Cavallo di Troia), è un programma per computer che programma per computer che contiene funzionalità maliziose contiene funzionalità maliziose note a chi lo ha programmato, note a chi lo ha programmato, ma non all'utente. ma non all'utente.

Un trojan horse è chiamato in Un trojan horse è chiamato in questo modo poiché esegue questo modo poiché esegue delle azioni nascoste all'utente, delle azioni nascoste all'utente, facendo credere a quest'ultimo facendo credere a quest'ultimo di essere in possesso di qualcosa di essere in possesso di qualcosa di realmente utile. di realmente utile.

In genere col termine Trojan ci si riferisce ai In genere col termine Trojan ci si riferisce ai trojan ad accesso remoto, composti trojan ad accesso remoto, composti generalmente da 2 file: il file server, che viene generalmente da 2 file: il file server, che viene installato nella macchina vittima, ed un file installato nella macchina vittima, ed un file client, usato dal pirata per inviare istruzioni che il client, usato dal pirata per inviare istruzioni che il server esegue. In questo modo, la vittima è server esegue. In questo modo, la vittima è indotta a far entrare il programma nel computer, indotta a far entrare il programma nel computer, ed eseguire il programma.ed eseguire il programma.

I trojan non si diffondono autonomamente come i I trojan non si diffondono autonomamente come i virus o i worm, quindi richiedono un intervento virus o i worm, quindi richiedono un intervento diretto dell'attaccante per far giungere diretto dell'attaccante per far giungere l'eseguibile malizioso alla vittima l'eseguibile malizioso alla vittima

Un trojan può contenere qualsiasi tipo di Un trojan può contenere qualsiasi tipo di istruzione maliziosa e pornografica. Spesso i istruzione maliziosa e pornografica. Spesso i trojan sono usati come veicolo alternativo ai trojan sono usati come veicolo alternativo ai worm e ai virus per installare delle backdoor o worm e ai virus per installare delle backdoor o dei Keylogger sui sistemi bersagliodei Keylogger sui sistemi bersaglio

WormWorm

Un worm è una particolare categoria di Un worm è una particolare categoria di malwaremalware in in grado di autoreplicarsi. È simile ad un virus, ma a grado di autoreplicarsi. È simile ad un virus, ma a differenza di questo non necessita di legarsi ad differenza di questo non necessita di legarsi ad altri eseguibili per diffondersi.altri eseguibili per diffondersi.

Tipicamente un worm modifica il computer che Tipicamente un worm modifica il computer che infetta, in modo da venire eseguito ogni volta che infetta, in modo da venire eseguito ogni volta che si avvia la macchina e rimanere attivo finché non si si avvia la macchina e rimanere attivo finché non si spegne il computer o non si arresta il processo spegne il computer o non si arresta il processo corrispondente. Il worm tenta di replicarsi corrispondente. Il worm tenta di replicarsi sfruttando Internet in diverse maniere, spesso i sfruttando Internet in diverse maniere, spesso i mezzi di diffusione sono più di uno per uno stesso mezzi di diffusione sono più di uno per uno stesso worm.worm.

Lo SpamLo Spam

Lo spam ( o e-mail Lo spam ( o e-mail spazzatura) è l’invio di tanta spazzatura) è l’invio di tanta pubblicità e l’invio delle e-pubblicità e l’invio delle e-mail indesiderate che mail indesiderate che invadono le caselle di posta invadono le caselle di posta elettronica. Il rimedio è elettronica. Il rimedio è quello di far controllare le e-quello di far controllare le e-mail da un programma che mail da un programma che fa da filtro antispam.fa da filtro antispam.Gli spam arrivano al vostro indirizzo grazie a Gli spam arrivano al vostro indirizzo grazie a programmi specifici che sfruttano tutto ciò che programmi specifici che sfruttano tutto ciò che contiene una “@” nei forum e nelle chat. Questi contiene una “@” nei forum e nelle chat. Questi programmi, chiamati crawler funzionano grosso programmi, chiamati crawler funzionano grosso modo come i motori di ricerca in internet.modo come i motori di ricerca in internet.

SpywareSpyware

Mentre state navigando in Mentre state navigando in Internet, Internet,

qualcuno, di nascosto, sta qualcuno, di nascosto, sta raccogliendo raccogliendo

dei dati sul vostro Pc. dei dati sul vostro Pc.

Si tratta di un programma “Spyware”. Vengono Si tratta di un programma “Spyware”. Vengono usati da da “spamer” e “ craker” ovvero diversi usati da da “spamer” e “ craker” ovvero diversi tipi di pirati informatici, e anche da società che si tipi di pirati informatici, e anche da società che si occupano di pubblicità on-line, per conoscere le occupano di pubblicità on-line, per conoscere le vostre abitudini quando navigate in Internet, quali vostre abitudini quando navigate in Internet, quali programmi usate e quali avete installato. Alcuni programmi usate e quali avete installato. Alcuni raccolgono dati anche su tutto quello che digitate.raccolgono dati anche su tutto quello che digitate.

DialerDialer

Un dialer è un programma per computer Un dialer è un programma per computer che crea una connessione ad Internet, che crea una connessione ad Internet, ad un'altra rete di calcolatori o ad un'altra rete di calcolatori o semplicemente ad un altro computer semplicemente ad un altro computer tramite la comune linea telefonica o un tramite la comune linea telefonica o un collegamentocollegamento ISDN.ISDN.

Alcuni di questi programmi sono creati per Alcuni di questi programmi sono creati per connettersi a numeri a tariffazione speciale. connettersi a numeri a tariffazione speciale.

La maggior parte dei dialer impostati per La maggior parte dei dialer impostati per connettersi a numeri a tariffazione speciale connettersi a numeri a tariffazione speciale utilizza metodi illegali, rientrando così nella utilizza metodi illegali, rientrando così nella fattispecie del reato di truffa. Per le denunce fattispecie del reato di truffa. Per le denunce compete la Polizia Postale compete la Polizia Postale

Gli utenti con una connessione DSL o Gli utenti con una connessione DSL o simile (per esempio una connessione ad simile (per esempio una connessione ad internet attraverso la rete locale) internet attraverso la rete locale) generalmente non sono soggetti alla generalmente non sono soggetti alla minaccia dei dialer. minaccia dei dialer.

PhishingPhishing

In ambito informatico si definisce phishing una In ambito informatico si definisce phishing una tecnica utilizzata per ottenere l'accesso ad tecnica utilizzata per ottenere l'accesso ad informazioni personali e riservate con la finalità informazioni personali e riservate con la finalità del furto di identità mediante l'utilizzo di del furto di identità mediante l'utilizzo di

messaggi messaggi di posta elettronica fasulli, opportunamente di posta elettronica fasulli, opportunamente

creati per apparire autentici. creati per apparire autentici.

Grazie a questi messaggi, l'utente è ingannato e Grazie a questi messaggi, l'utente è ingannato e portato a rivelare dati sensibili, come numero di portato a rivelare dati sensibili, come numero di conto corrente, nome utente e password, numero di conto corrente, nome utente e password, numero di carta di credito ecc. carta di credito ecc. Per difendersi dal phishing inviato via e-mail, basta Per difendersi dal phishing inviato via e-mail, basta cancellare l'e-mail.cancellare l'e-mail.

CookieCookieI cookies (letteralmente "biscottini") sono piccoli file di I cookies (letteralmente "biscottini") sono piccoli file di testo che i siti web utilizzano per immagazzinare alcune testo che i siti web utilizzano per immagazzinare alcune informazioni nel computer dell'utente. I cookie sono inviati informazioni nel computer dell'utente. I cookie sono inviati dal sito web e memorizzati sul computer. Sono quindi re-dal sito web e memorizzati sul computer. Sono quindi re-inviati al sito web al momento delle visite successive. Le inviati al sito web al momento delle visite successive. Le informazioni all'interno dei cookie sono spesso codificate e informazioni all'interno dei cookie sono spesso codificate e non comprensibili. non comprensibili.

Le applicazioni più comuni vanno dalla Le applicazioni più comuni vanno dalla memorizzazione di informazioni sulle abilitazioni memorizzazione di informazioni sulle abilitazioni dell'utente, alla tracciatura dei movimenti dell'utente, alla tracciatura dei movimenti dell'utente stesso all'interno dei siti web che visita. dell'utente stesso all'interno dei siti web che visita.

AdwareAdware

E’ un tipo di software distribuito E’ un tipo di software distribuito gratuitamente in cambio della gratuitamente in cambio della visualizzazione di pubblicità tramite appositi visualizzazione di pubblicità tramite appositi banner inseriti nel programma stesso. È’ banner inseriti nel programma stesso. È’ una forma di distribuzione che si è diffusa una forma di distribuzione che si è diffusa notevolmente grazie a Internet e un modo notevolmente grazie a Internet e un modo per ripagare dei costi di sviluppo i per ripagare dei costi di sviluppo i produttori di programmi. Spesso viene data produttori di programmi. Spesso viene data la possibilità di far scomparire il banner la possibilità di far scomparire il banner dalla finestra di lavoro del programma, dalla finestra di lavoro del programma, pagando una piccola cifra in denaro al pagando una piccola cifra in denaro al produttore, di entità simile a quelle produttore, di entità simile a quelle richieste per la fornitura di software in richieste per la fornitura di software in modalità shareware.modalità shareware.

HijackingHijackingHijacking: portare l'utente a visitare determinate pagine Hijacking: portare l'utente a visitare determinate pagine indipendentemente dalla sua volontà e dalle sue abitudini in indipendentemente dalla sua volontà e dalle sue abitudini in

rete. rete. Questo può essere fatto solo assumendo direttamente il Questo può essere fatto solo assumendo direttamente il

controllo della controllo della macchina usata dall'utente.macchina usata dall'utente.Questa tecnica, permette ai dirottatori di eseguire sul Questa tecnica, permette ai dirottatori di eseguire sul

nostro computer una serie di modifiche tali da garantirsi la nostro computer una serie di modifiche tali da garantirsi la

nostra visita alle loro pagine al solo scopo di incrementare nostra visita alle loro pagine al solo scopo di incrementare

in modo artificioso il numero di accessi e di click diretti al in modo artificioso il numero di accessi e di click diretti al

sito e conseguentemente incrementare i guadagni dovuti sito e conseguentemente incrementare i guadagni dovuti

alle inserzioni pubblicitarie alle inserzioni pubblicitarie

Queste azioni possono limitarsi alla semplice modifica della Queste azioni possono limitarsi alla semplice modifica della pagina iniziale del browser, all'aggiunta automatica di siti tra pagina iniziale del browser, all'aggiunta automatica di siti tra i preferiti fino a radicali modifiche al nostroi preferiti fino a radicali modifiche al nostro.

FirewallFirewall

Il firewall è un componente passivo di Il firewall è un componente passivo di difesa perimetrale che può anche svolgere difesa perimetrale che può anche svolgere funzioni di collegamento di due o più funzioni di collegamento di due o più tronconi di rete. Usualmente la rete viene tronconi di rete. Usualmente la rete viene divisa in due sottoreti: una, detta esterna, divisa in due sottoreti: una, detta esterna, comprende l'intera internet mentre l'altra comprende l'intera internet mentre l'altra interna, detta LAN (Local Area Network)che interna, detta LAN (Local Area Network)che comprende una sezione più o meno grande comprende una sezione più o meno grande di un insieme di computer locali. di un insieme di computer locali.

La sua funzionalità principale in sostanza è La sua funzionalità principale in sostanza è quella di creare un filtro sulle connessioni quella di creare un filtro sulle connessioni entranti ed uscenti, in questo modo il entranti ed uscenti, in questo modo il dispositivo innalza il livello di sicurezza dispositivo innalza il livello di sicurezza della rete e permette sia agli utenti interni della rete e permette sia agli utenti interni che a quelli esterni di operare nel massimo che a quelli esterni di operare nel massimo della sicurezza.della sicurezza.

Un worm è una particolare categoria di Un worm è una particolare categoria di malwaremalware in grado di autoreplicarsi. È in grado di autoreplicarsi. È simile ad un virus, ma a differenza di simile ad un virus, ma a differenza di questo non necessita di legarsi ad altri questo non necessita di legarsi ad altri eseguibili per diffondersi.eseguibili per diffondersi.

Tipicamente un worm modifica il Tipicamente un worm modifica il computer che infetta, in modo da venire computer che infetta, in modo da venire eseguito ogni volta che si avvia la eseguito ogni volta che si avvia la macchina e rimanere attivo finché non si macchina e rimanere attivo finché non si spegne il computer o non si arresta il spegne il computer o non si arresta il processo corrispondente. Il worm tenta di processo corrispondente. Il worm tenta di replicarsi sfruttando Internet in diverse replicarsi sfruttando Internet in diverse maniere, spesso i mezzi di diffusione sono maniere, spesso i mezzi di diffusione sono più di uno per uno stesso worm.più di uno per uno stesso worm.

Il mezzo più comune impiegato dai worm Il mezzo più comune impiegato dai worm per diffondersi è la posta elettronica: il per diffondersi è la posta elettronica: il programma malizioso ricerca indirizzi e-programma malizioso ricerca indirizzi e-mail memorizzati nel computer ospite ed mail memorizzati nel computer ospite ed invia una copia di se stesso come file invia una copia di se stesso come file allegato (attachment) a tutti o parte degli allegato (attachment) a tutti o parte degli indirizzi che è riuscito a raccogliere. indirizzi che è riuscito a raccogliere.

Norme sulla sicurezza Norme sulla sicurezza informaticainformatica

Riferimenti normativi sulla sicurezza InforRiferimenti normativi sulla sicurezza Informaticamatica

Reati di criminalità informaticaReati di criminalità informatica La legge sulla privacyLa legge sulla privacy Cosa si rischia se non si rispettano le Cosa si rischia se non si rispettano le

norme sulla protezione e sul trattamento norme sulla protezione e sul trattamento dei dati personalidei dati personali

Definizione legale di sicurezza informaticaDefinizione legale di sicurezza informatica

Riferimenti normativi sulla Riferimenti normativi sulla Sicurezza InformaticaSicurezza Informatica

L’evoluzione tecnologica e l’uso sempre più L’evoluzione tecnologica e l’uso sempre più diffuso di strumenti informatici in tutti i diffuso di strumenti informatici in tutti i settori di attività, hanno spinto negli anni il settori di attività, hanno spinto negli anni il legislatore ad adeguare progressivamente legislatore ad adeguare progressivamente il sistema legislativo vigente, ai il sistema legislativo vigente, ai cambiamenti imposti dall’emergere di nuovi cambiamenti imposti dall’emergere di nuovi e sempre più sofisticati strumenti e sistemi e sempre più sofisticati strumenti e sistemi di scambio delle informazioni, al fine di di scambio delle informazioni, al fine di tenere conto delle mutate realtà che la tenere conto delle mutate realtà che la tecnologia ha inevitabilmente comportato.tecnologia ha inevitabilmente comportato.

Di seguito vengono elencati, in ordine Di seguito vengono elencati, in ordine cronologico, i principali riferimenti normativi cronologico, i principali riferimenti normativi riguardanti la sicurezza informatica:riguardanti la sicurezza informatica:

Norme sulla sicurezza

1993: Legge 23/12/93 n. 547 Integrazione del 1993: Legge 23/12/93 n. 547 Integrazione del codice penale con l’introduzione dei reati di codice penale con l’introduzione dei reati di criminalità informatica;criminalità informatica;

1996: Legge 31/12/96 n. 675 Tutela dei dati 1996: Legge 31/12/96 n. 675 Tutela dei dati personali (legge sulla privacy)personali (legge sulla privacy)

1999: Decreto del Presidente della Repubblica 1999: Decreto del Presidente della Repubblica 28/07/99 n. 318 Regolamento per l’individuazione 28/07/99 n. 318 Regolamento per l’individuazione delle misure minime di sicurezza per il trattamento delle misure minime di sicurezza per il trattamento dei dati personali (regolamento previsto dalla legge dei dati personali (regolamento previsto dalla legge 675/96);675/96);

2002: Direttiva del Presidente del Consiglio dei 2002: Direttiva del Presidente del Consiglio dei ministri 16 gennaio 2002 Sicurezza informatica e ministri 16 gennaio 2002 Sicurezza informatica e delle telecomunicazioni nelle Pubbliche delle telecomunicazioni nelle Pubbliche Amministrazioni;Amministrazioni;

2003: Decreto Legislativo 30/6/03 n. 196 Codice in 2003: Decreto Legislativo 30/6/03 n. 196 Codice in materia di protezione dei dati personali (abroga ed materia di protezione dei dati personali (abroga ed estende la legge sulla Privacy del ’96 e il suo estende la legge sulla Privacy del ’96 e il suo regolamento sulle misure minime di sicurezza).regolamento sulle misure minime di sicurezza).

Reati di criminalità Reati di criminalità informaticainformatica

Nel 1993 la storia informatica entra Nel 1993 la storia informatica entra ufficialmente nei codici del nostro ufficialmente nei codici del nostro sistema legislativo nel quale è stata sistema legislativo nel quale è stata promulgata la legge 23 dicembre 1993 promulgata la legge 23 dicembre 1993 n. 547, che ha modificato e integrato il n. 547, che ha modificato e integrato il codice penale e quello di procedura penale, codice penale e quello di procedura penale, introducendo i reati di criminalità informatica. introducendo i reati di criminalità informatica. In questa legge veniva così attribuita una In questa legge veniva così attribuita una importanza giuridica agli strumenti e sistemi importanza giuridica agli strumenti e sistemi informatici e telematici, che fino ad allora non informatici e telematici, che fino ad allora non erano stati considerati alla stessa stregua dierano stati considerati alla stessa stregua dialtri altri mezzi. mezzi.

Norme sulla sicurezzaNorme sulla sicurezza

Con questa legge vengono effettuate molte Con questa legge vengono effettuate molte importanti equiparazioni dei sistemi informatici: importanti equiparazioni dei sistemi informatici: vengono ad esempio modificati alcuni articoli del vengono ad esempio modificati alcuni articoli del codice penale estendendo alcuni reati inerenti codice penale estendendo alcuni reati inerenti violenza alle cose, anche all’alterazione o violenza alle cose, anche all’alterazione o distruzione dei programmi informatici, nonché alle distruzione dei programmi informatici, nonché alle azioni volte al malfunzionamento di sistemi azioni volte al malfunzionamento di sistemi informatici e telematici. Viene sancita informatici e telematici. Viene sancita l’applicazioni delle disposizioni concernenti gli atti l’applicazioni delle disposizioni concernenti gli atti pubblici e le scritture, anche ai documenti pubblici e le scritture, anche ai documenti informatici; si introduce il concetto di “domicilio informatici; si introduce il concetto di “domicilio informatico”; v iene equiparata la corrispondenza informatico”; v iene equiparata la corrispondenza informatica o telematica a quella epistolare, informatica o telematica a quella epistolare, telegrafica e telefonica; viene punito il furto e la telegrafica e telefonica; viene punito il furto e la diffusione di password. diffusione di password.

La legge sulla PrivacyLa legge sulla Privacy In termini di riservatezza e privacy, la legislazione In termini di riservatezza e privacy, la legislazione

vigente non mira ad impedire il trattamento dei vigente non mira ad impedire il trattamento dei dati personali, bensì a regolamentarlo, dati personali, bensì a regolamentarlo, permettendo all’interessato di conoscere la finalità permettendo all’interessato di conoscere la finalità del trattamento dei suoi dati e subordinandone la del trattamento dei suoi dati e subordinandone la legittimità, al consenso informato della persona.legittimità, al consenso informato della persona.

La legge 31 dicembre 1996 n. 675, comunemente La legge 31 dicembre 1996 n. 675, comunemente nota come “legge sulla privacy” finalizza alla nota come “legge sulla privacy” finalizza alla tutela delle persone rispetto al trattamento dei tutela delle persone rispetto al trattamento dei dati personali. Questa legge prevedeva al suo art. dati personali. Questa legge prevedeva al suo art. 15, l’emanazione di un regolamento riguardante le 15, l’emanazione di un regolamento riguardante le misure minime di sicurezza per il trattamento dei misure minime di sicurezza per il trattamento dei dati personali. Tale regolamento veniva pubblicato dati personali. Tale regolamento veniva pubblicato con il Decreto del Presidente della Repubblica 28 con il Decreto del Presidente della Repubblica 28 luglio 1999 n. 318.luglio 1999 n. 318.


A decorrere dal 1° gennaio 2004 la legge 675/96 è A decorrere dal 1° gennaio 2004 la legge 675/96 è stata stata

abrogata e sostituita dal Decreto legislativo 30 abrogata e sostituita dal Decreto legislativo 30 giugno 2003 giugno 2003

n. 196 – “Codice in materia di protezione dei dati n. 196 – “Codice in materia di protezione dei dati personali”, il personali”, il

quale estende la legge sulla privacy del 1996 e il suo quale estende la legge sulla privacy del 1996 e il suo regolamento del 1999 sulle misure minime di regolamento del 1999 sulle misure minime di

sicurezza.sicurezza.

Uno dei primi aspetti è comprendere il significato Uno dei primi aspetti è comprendere il significato dei termini “ trattamento”, “dati identificativi” e dei termini “ trattamento”, “dati identificativi” e soprattutto “dati personali” e “dati sensibili”.soprattutto “dati personali” e “dati sensibili”.

““trattamentotrattamento”: qualunque operazione o complesso ”: qualunque operazione o complesso di operazioni, effettuanti anche senza l’ausilio di di operazioni, effettuanti anche senza l’ausilio di strumenti elettronici, concernenti la raccolta, la strumenti elettronici, concernenti la raccolta, la registrazione, l’organizzazione, la conservazione, registrazione, l’organizzazione, la conservazione, la consultazione, l’elaborazione, la modificazione, la consultazione, l’elaborazione, la modificazione, la selezione, l’estrazione, il rafforzo, l’utilizzo, la selezione, l’estrazione, il rafforzo, l’utilizzo, l’interconnessione, il blocco, la comunicazione, la l’interconnessione, il blocco, la comunicazione, la diffusione, la cancellazione e la distruzione dei diffusione, la cancellazione e la distruzione dei dati, anche se non registrati in una banca dati;dati, anche se non registrati in una banca dati;

““dato personaledato personale”: qualunque informazione relativa ”: qualunque informazione relativa a persona fisica, persona giuridica, ente o a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche associazione, identificati o identificabili, anche indirettamente mediante riferimento a qualsiasi indirettamente mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di altra informazione, ivi compreso un numero di identificazione personale;identificazione personale;

““dato personaledato personale”: qualunque informazione relativa ”: qualunque informazione relativa a persona fisica, persona giuridica, ente o a persona fisica, persona giuridica, ente o associazione, identificati o identificabili, anche associazione, identificati o identificabili, anche indirettamente mediante riferimento a qualsiasi indirettamente mediante riferimento a qualsiasi altra informazione, ivi compreso un numero di altra informazione, ivi compreso un numero di identificazione personale;identificazione personale;

““dati identificatividati identificativi”: i dati personali che permettono ”: i dati personali che permettono l’identificazione diretta dell’interessato;l’identificazione diretta dell’interessato;

““dati sensibilidati sensibili”: i dati personali idonei a rilevare ”: i dati personali idonei a rilevare l’origine razziale ed etnica, le convinzioni religiose, l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali idonei politico o sindacale, nonché i dati personali idonei a rilevare lo stato di salute e la vita sessuale.a rilevare lo stato di salute e la vita sessuale.

La finalità della legge riguarda la garanzia che il La finalità della legge riguarda la garanzia che il

trattamento dei dati personali si svolga nel rispetto trattamento dei dati personali si svolga nel rispetto

dei diritti, delle libertà fondamentali e della dignità dei diritti, delle libertà fondamentali e della dignità

dell’interessato, con particolare riferimento alla dell’interessato, con particolare riferimento alla

riservatezza e protezione dei suoi dati personali. riservatezza e protezione dei suoi dati personali.

Riassumendo gli aspetti della legge, possiamo Riassumendo gli aspetti della legge, possiamo

evidenziare 3 aspetti fondamentali:evidenziare 3 aspetti fondamentali: Il diritto di accesso della persona ai dati che lo Il diritto di accesso della persona ai dati che lo

riguardano;riguardano; La legittimità e le finalità del trattamento dei La legittimità e le finalità del trattamento dei

dati personali;dati personali; Il consenso informato dell’interessato.Il consenso informato dell’interessato.

Cosa si rischia se non si Cosa si rischia se non si rispettano le norme sulla rispettano le norme sulla

protezione e sul trattamento protezione e sul trattamento dei dati personalidei dati personali

Le sanzioni possono essere sia di carattere Le sanzioni possono essere sia di carattere risarcitorio che di risarcitorio che di

carattere amministrativo e penale.carattere amministrativo e penale.

Aspetto risarcitorioAspetto risarcitorio: è previsto l’art. 15 che : è previsto l’art. 15 che cita: “chiunque cagioni danno ad altri per cita: “chiunque cagioni danno ad altri per effetto del trattamento di dati personali è effetto del trattamento di dati personali è tenuto al risarcimento ai sensi dell’art. tenuto al risarcimento ai sensi dell’art. 2050 del codice civile”. 2050 del codice civile”.


Sanzioni amministrativeSanzioni amministrative: L’omessa o : L’omessa o inidonea informativa all’interessato, inidonea informativa all’interessato, sanzionata dall’art. 161, prevede multe da sanzionata dall’art. 161, prevede multe da 3.000 a 18.000 euro che possono arrivare 3.000 a 18.000 euro che possono arrivare fino a 30.000 euro nei casi di dati sensibili fino a 30.000 euro nei casi di dati sensibili giudiziari o di trattamenti che presentano giudiziari o di trattamenti che presentano rischi specifici.rischi specifici.

Sanzioni penaliSanzioni penali: sono stabilite dall’art. 167 : sono stabilite dall’art. 167 che riguarda il trattamento illecito di dati e che riguarda il trattamento illecito di dati e nel quale, se dal fatto deriva nocumento, è nel quale, se dal fatto deriva nocumento, è prevista la reclusione da un minimo di 6 prevista la reclusione da un minimo di 6 mesi ad un massimo di 3 anni, in funzione mesi ad un massimo di 3 anni, in funzione degli articoli violati e della tipologia di degli articoli violati e della tipologia di violazione.violazione.

Definizione “legale” di Sicurezza Informatica

Sicurezza tecnica

Sicurezza logistica

Sicurezza legale

Sicurezza applicazioni

Sicurezza dei programmi

Sicurezza dei dati

Sicurezza fisica


Progetto realizzato da :Progetto realizzato da :

Sinatra StefaniaSinatra Stefania

Sicurezza Informatica. Come nasce il problema di sicurezza informatica? Fino a pochi anni fa,...

Documents

Transcript of Sicurezza Informatica. Come nasce il problema di sicurezza informatica? Fino a pochi anni fa,...