Appunti Codice penale, Diritto d'autore, GDPR

Lezione “Normativa”

Corso di “Sicurezza dei sistemi informatici in Internet” 2021/22, prof. Massimo Carnevali, Università degli Studi di Ferrara

Indice

• Codice penale 1
• Normative per gli amministratori di sistema 2
• Misure e accorgimenti per l’amministratore di sistema (in riferimento al GDPR) 2
• Diritto d’autore italiano 3
• Software open source 3
• Creative Common (CC) 3
• Vantaggi e svantaggi 4
• Altri tipi di CC 5
• GDPR 5
• Titolare del trattamento dei dati (Data controller) 6
• Responsabile del trattamento dei dati (Data Processor) 6
• Violazione dei dati (Data breach) 7

Codice penale

In riferimento al codice penale italiano, sono importanti in ambito informatico gli articoli:

• 615 ter: accesso abusivo, ossia si entra in un sistema informatico protetto oppure si resta dentro al sistema senza averne il diritto. Condanna da 1 a 3 anni. La denuncia parte in automatico in caso di attacco verso enti pubblici (PA, banche, sanità, gestori telefonici...), altrimenti richiede querela di parte entro 3 mesi da quanto ce ne accorge: un attacco verso un privato richiede di esporre denuncia.
• 615 quater: possesso e uso di credenziali per uso di attacco. La sola detenzione non autorizzata non basta, serve l'intento di usarle prima o poi.
• 615 quinques: creazione e diffusione di malware a scopo di danno o profitto (Es. attacco DoS: fare danni in modo che la macchina non possa lavorare).

Nel caso venga ceduta una password a qualcuno che poi le usa si parla di favoreggiamento: per essere accusati di favoreggiamento non serve che ci sia il danneggiamento, ma basta l'atto di cercare di farlo (anche se si è stati bloccati durante l'attacco, si è punibili perché ci si ha provato).

Nel caso chi commetta il reato sia un amministratore di sistema si ha anche un'aggravante, con la pena che passa alla reclusione da 1 a 5 anni o addirittura da 3 a 8 anni.

Normative per gli amministratori di sistema

• Identificazione e nomina degli amministratori di sistema: persone a cui il datore di lavoro cede le password di admin e root.
• Valutazione delle caratteristiche personali: si ritiene che sia una persona adatta e adeguata.
• Diverso profilo giuridico: dopo la nomina, si ha un'aggravante in caso di reato.
• Tenuta dei log delle operazioni svolte (inalterabile): tutte le azioni eseguite dall'admin dovrebbero essere registrate e incancellabili.
• Accesso nominale e non generico: No root, admin ecc., bisogna sapere esattamente chi accede al sistema.
• Problema in caso di servizi in outsourcing, insourcing, cloud ecc: in caso di servizi esterni non è possibile sapere bene chi sono gli admin. In caso di insourcing, il server è all'interno dell'azienda ma viene un admin dall'esterno che lo gestisce.

Misure e accorgimenti per l’amministratore di sistema

In riferimento al GDPR

Gli “amministratori di sistema" sono coloro che svolgono mansioni in rapporto a sistemi di elaborazione e banche di dati e hanno rilevanza rispetto ai trattamenti di dati personali.

Ritenuta la necessità di promuovere l’adozione di specifiche cautele nello svolgimento delle mansioni svolte dagli amministratori di sistema, i titolari sono tenuti ad adottare misure di sicurezza "idonee e preventive" in relazione ai trattamenti svolti, dalla cui mancata o non idonea predisposizione possono derivare responsabilità anche di ordine penale e civile.

L’individuazione dei soggetti idonei a svolgere le mansioni di amministratore di sistema riveste una notevole importanza e costituisce una delle scelte fondamentali che contribuiscono a incrementare la complessiva sicurezza dei trattamenti svolti, e va perciò curata in modo particolare evitando incauti affidamenti.