Tutela dei dati personali nell’ambito della cybersecurity. Il caso phishing

La tutela dei dati personali

Dipartimento di Economia, Ingegneria, Società e Impresa

Corso di Laurea in Scienze Politiche e delle Relazioni Internazionali

Investigazioni e Sicurezza nell’ambito della cybersecurity.

La tutela dei dati personali

Il caso phishing.

Insegnamento Istituzioni di Diritto Privato

Relatore Candidato

Prof. Andrea Genovese Eleonora Perone 801000

Anno Accademico 2020-2021

Andrea Genovese 09.12.2021 16:22:02 UTC

Indice

• Introduzione ....................................................................................................... 3
• Capitolo I Cybersecurity
• 1.1. La sicurezza informatica. .......................................................................................... 7
• 1.2. La cybersecurity e l’Unione europea. ................................................................... 9
• 1.3. L’Italia nello scenario europeo e situazione odierna. ..................................... 12
• Capitolo II Privacy e protezione dei dati personali
• 2.1. Origini e sviluppo. .................................................................................................... 18
• 2.2. Nuova visione della protezione dei dati: il GDPR. ......................................... 23
• 2.3. I diritti dell’interessato. ........................................................................................... 29
• 2.4. La direttiva NIS. ........................................................................................................ 34
• Capitolo III La tutela dei dati personali e il web
• 3.1. La gestione dei dati in internet e la loro sicurezza. ......................................... 39
• 3.2. I cookie. ....................................................................................................................... 43
• 3.3. La crittografia. ........................................................................................................... 44
• 3.5. Un caso pratico: il phishing, “pescatori di dati personali”. ........................... 47
• Conclusioni ...................................................................................................... 51
• Bibliografia ...................................................................................................... 56

Alla voglia di volare, leggera e fragile alla voglia di raggiungere qualsiasi obiettivo per sentirmi viva e per splendere.

1

“La sicurezza, è diventata una caratteristica costante e fondamentale del mondo moderno. Un mondo moderno che per dirla come Bauman è un mondo liquido. Si parla di modernità liquida come nuovo genere di modernità intendendola come individualizzata, privatizzata, incerta, flessibile, vulnerabile. Cittadini, lavoratori, consumatori, navigatori della Rete sono sempre in movimento spesso privi di certezze ma accettano il rischio che i loro movimenti vengano monitorati, tracciati, localizzati e profilati. Anche l’esigenza di sicurezza e la necessità di privacy scivolano a poco a poco in uno stato fluido. L’esigenza di sicurezza e l’aumento della capacità di sorveglianza sui dati personali dilaga”.

Discorso trascritto in occasione del convegno “E-privacy” del 2 luglio 2015 presso l’aula dei gruppi parlamentari della Camera dei deputati.

2

Introduzione

Le nuove tecnologie hanno spalancato le porte a nuove opportunità. Prodotti e servizi nuovi prendono parte integrante della quotidianità e fanno crescere la nostra dipendenza tecnologica. Quanti più dati personali mettiamo online e quanto più siamo connessi, tanto più è probabile essere vittima di una qualche forma di criminalità o di attacchi informatici.

Il lavoro è incentrato sulla cybersecurity che non ha una definizione convenzionale e universale; essa designa il complesso di tutele e misure adottate per difendere i sistemi informativi e i relativi utenti da accessi non autorizzati, attacchi e danni al fine di assicurare la riservatezza, l’integrità e la disponibilità di dati. Nella cibersicurezza rientrano la prevenzione e l’individuazione degli incidenti informatici, la risposta agli stessi e il successivo recupero.

Sempre nel primo capitolo si parlerà dell’azione dell’UE in materia di cibersicurezza; gradualmente, infatti, si è capita l’importanza di questa tematica ed i paesi si sono avvalsi di politiche, normative e risorse finanziarie per accrescere la ciberresilienza. Questa è la prerogativa degli stati membri che ancora devono sicuramente migliorare e collaborare fra di loro per una maggiore fiducia. Si forniranno gli elementi fondamentali dell’approccio europeo alla cybersecurity: il perimetro concettuale e l’ordine di priorità delle differenti minacce.

Successivamente si riassumeranno e valuteranno le iniziative intraprese a livello di Unione Europea (UE). Alla fine del primo capitolo si analizzerà la collocazione dell’Italia in termini di rispondenza al quadro europeo ed internazionale e verrà fatto il punto sull’emergenza Covid-19 che sicuramente ha contribuito a migliorare la situazione. Con l’adozione delle tecnologie emergenti quali intelligenza artificiale, 5G, IoT le organizzazioni si sono viste di fronte nuove minacce; attacchi sempre più sofisticati che possono coinvolgere migliaia di utenti interconnessi ed offrire nuove opportunità ai cyber criminali di accedere in maniera illecita ai dati critici per l’azienda e dati sensibili per il personale. Sono nate potenziali nuove vulnerabilità all’interno degli asset informatici aziendali e gli attacchi informatici si avvalgono di tecniche e strumenti sempre più imprevedibili e sofisticati per esfiltrare dati sensibili e compromettere sistemi informatici senza essere rilevati.

3

L’importanza della tutela dei dati personali non si è compresa subito tuttavia; con lo sviluppo della tecnologia i dati hanno cominciato a diffondersi sempre di più. Il problema come si capirà gradualmente non è l’uso della tecnologia di per sé, ma l’uso che se ne fa a creare un problema per i singoli individui.

Per questo si passa alla spiegazione del nuovo Regolamento europeo sul trattamento e la gestione dei dati dei cittadini europei che è diventato applicabile il 25 maggio 2018 prendendo il posto del Codice della Privacy (D. Lgs. n.196/2003). Il Regolamento, insieme alla Direttive UE 2016/680 e 681, fa parte del pacchetto di riforma europea sulla protezione dei dati, nello specifico, per il trattamento dei dati personali svolti nelle attività di indagine per il perseguimento dei reati.

Verrà fatto un excursus su quelle che sono le tappe importanti in merito al diritto della privacy, si spiegherà come si è giunti al GDPR e perché si parla di codice novellato. Il Data Protection Regulation ha portato con sé una serie di innovazioni in tema di trattamento dei dati. Ebbene, a distanza, ormai, di quasi tre anni dall’entrata in vigore del suddetto regolamento, proviamo a ripercorrere, seppur brevemente, l’iter normativo che ha portato all’adozione del GDPR e che tipo di impatto ha avuto il diritto nella tutela della privacy del singolo individuo.

Il percorso verso il GDPR è nato dall’esigenza di aggiornare la disciplina in materia di cybersecurity, facendo della tutela dei dati un diritto fondamentale del cittadino europeo. Numerosi sono progressi tecnologici ed informatici a cui abbiamo assistito negli ultimi anni, a cui fanno seguito gli incrementi degli attacchi informatici compiuti con tecniche di phishing e social engineering.

4

Così come il GDPR, anche la direttiva NIS è uno dei più importanti strumenti legislativi dell’Unione Europea in materia di cybersecurity. Il NIS obbliga l’adozione di misure tecniche e organizzative adeguate alla gestione dei rischi e alla prevenzione degli incidenti informatici a due categorie in particolare: gli operatori di servizi essenziali e gli operatori di servizi digitali. GDPR e NIS sono due normative volte a tutelare differenti beni giuridici, ma potrebbero risultare, nella pratica, parzialmente sovrapponibili.

Per ultimo viene posta l’attenzione sulla tutela dei dati personali in relazione a internet. In un contesto come quello dei social network, nel momento in cui si vanno ad inserire le informazioni personali, queste non solo sono visibili da tutta la comunità, ma il proprietario del social network può perdere qualsiasi controllo delle informazioni personali. Il potere di controllo dell’interessato viene sostanzialmente svuotato, una volta prelevate: foto personali, video o dati anagrafici. Proprio a tal proposito si parla dei cookie che sono frammenti di dati sugli utenti che vengono memorizzati sul dispositivo e utilizzati per migliorare la navigazione. Chiaramente verrà presentata anche l’altra faccia della medaglia a proposito dei rischi che questo salvataggio dei dati comporta. Un’altra tecnica alla base della protezione dei dati è la crittografia grazie alla quale le informazioni non vengono rubate, violate o lette per scopi malevoli.

Per ultimo, sempre in relazione ai dati personali che sembrerebbero il nuovo petrolio, viene illustrato un caso pratico: il phishing.

5

“La nostra tecnologia è diventata così potente che stiamo diventando un pericolo per noi stessi”.

Carl Sagan

6

Capitolo I Cybersecurity

1.1. La sicurezza informatica

Con il termine sicurezza informatica si intende l’insieme delle analisi delle minacce, delle vulnerabilità e del rischio associato agli asset digitali o telematici al fine di proteggerli da possibili attacchi (interni o esterni) che potrebbero provocare danni diretti o indiretti, come tali intollerabili (per esempio economico, reputazionale, politico-sociale). Il termine è spesso sostituito con il neologismo cybersecurity, che rappresenta una sottoclasse del più ampio concetto di information security. Nell’utilizzare questa espressione s’intende, in particolare, un approccio mirato ad enfatizzare non tanto le misure di prevenzione (ovvero quelle misure che agiscono riducendo la probabilità di accadimento di una minaccia), quanto quelle di protezione, ossia quelle misure che agiscono riducendo la gravità del danno realizzato da una minaccia.

In altre parole, cybersecurity si focalizza sul “cosa fare dopo il realizzarsi di un incidente di sicurezza e come”. L’importanza conseguita oggi dalla società dell’informazione porta alla necessità di garantire la sicurezza del contesto digitale, all’interno del quale tali dati vengono trattati.

La capillare diffusione dei personal computer nel tessuto sociale e la creazione di banche dati sempre più efficienti nell’attività di aggregazione di informazioni e della loro elaborazione hanno determinato un bisogno di sicurezza che talvolta trascende in veri e propri stati d’ansia 1. Il mutamento tecnologico provoca cambiamenti economici e trasformazioni nelle istituzioni sociali. Allo stesso tempo, i cambiamenti sociali e culturali modificano i contesti digitali: la fiducia o la diffidenza nei confronti del nuovo mondo globalizzato sono in grado di condizionare l’evoluzione dell’ambiente telematico 2.

1 Cfr. G. Pascuzzi, Il diritto nell’era digitale, Il Mulino, Bologna, 2016, pp. 59-65.

7

Con il termine sicurezza si può, in prima battuta, intendere una situazione di affidabilità che induce un soggetto a sentirsi protetto rispetto all’ambiente esterno e difeso in situazioni di pericolo e di aggressioni che possano compromettere la sua sfera d’azione. L’analisi di questo concetto può essere affrontata sul piano informatico ma anche su quello sociale, economico e giuridico 3.

In via stipulativa, è possibile affermare che la cybersecurity riguarda l’insieme di precauzioni ed interventi “che si possono prendere per proteggere il ciberdominio 4, in campo sia civile che militare, nei confronti delle minacce associate o che possono nuocere alle loro reti e infrastrutture di informazione interdipendenti” 5, al fine di preservare la disponibilità ed integrità delle reti e delle infrastrutture e la riservatezza delle informazioni ivi contenute.

Questa precisazione risulta essere opportuna per chiarire il significato del concetto di cybersecurity nel contesto europeo, considerata la riscontrata ambiguità del termine a livello generale.

Infatti, ad oggi non esiste una definizione di cybersecurity universalmente accettata o normativamente imposta e questo contribuisce a complicare non solo l’attività di raccordo politico, ma anche quella di ricerca scientifica.

2 N. Negroponte, Essere digitali, Sperling & Kupfer, Milano, 1995, p. 241.

3 K.A. Taipale, Technology, Security and Privacy: The fear of Frankenstein, The Mythology of Privacy and the Lessons of King Ludd, in International Journal of Communications Law & Policy, 8, 2005.

4 Si tratta di un dominio globale e dinamico, soggetto a un cambiamento continuo, caratterizzato dall’uso combinato di uno spettro elettronico ed elettromagnetico, con lo scopo di creare, immagazzinare, modificare, scambiare, condividere ed estrarre, utilizzare, eliminare informazioni, gestire e compromettere beni fisici.

5 Commissione europea, Strategia dell’Unione europea per la cibersicurezza: un ciberspazio aperto e sicuro, JOIN (2013), 7 febbraio 2013, p. 3, nota 4.

8

1.2. La cybersecurity e l’Unione europea

In seguito alla crescente e sempre più significativa penetrazione delle tecnologie dell’informazione e delle comunicazioni in tutte le funzioni della società moderna, il tema della cybersecurity ha gradualmente acquisito un’importanza strategica, ai fini della sicurezza nazionale e della crescita economica degli stati. Le nuove minacce che emergono dal cyberspazio mettono a dura prova la capacità degli stati di fronteggiarle adeguatamente, necessitando di un continuo adeguamento normativo e della pronta predisposizione degli opportuni strumenti di contrasto 6.

La cibernetica, quindi, è la nostra nuova dimensione. Se, da un lato, lo sviluppo del settore ICT ha incrementato le opportunità lavorative, dall’altro è cresciuto il tasso di rischio 7. Nessuno può dirsi esente dalla vulnerabilità, le economie dei paesi in primis.

Il crimine informatico costituisce la piaga maggiore della sicurezza delle reti e delle informazioni ed è in continua crescita. Le politiche europee e degli stati membri dovrebbero proteggere lo spazio cibernetico al fine di assicurare la crescita economica e favorire l’uso consapevole e responsabile dei mezzi informatici da parte degli utenti.

La sicurezza della rete e dei sistemi ICT per il legislatore europeo sono una priorità e ancora molto è il lavoro da fare sia in Europa che in Italia. La Commissione europea si prefigge di sviluppare le capacità e la cooperazione in materia di cybersicurezza, di rafforzare il ruolo dell’UE quale attore della stessa e di integrare questo aspetto nelle altre politiche.

6 C. Cencetti, Nuova cultura, Cybersecurity: Unione Europea e Italia prospettive a confronto, 2004.

7 Acronimo di Information Communication Technology, è la scienza che studia in modo integrato i sistemi di elaborazione, trasformazione e trasmissione dell’informazione.

9

Per l’Unione europea la prima priorità riguarda il concetto di resilienza 8, ossia la capacità di una rete o di un sistema di preservare le proprie capacità ed i propri servizi, in caso di attacco. In modo tale che, indipendentemente dai tempi, di norma solleciti, di intervento delle autorità, gli attacchi non influiscono comunque in modo significativo sulla funzionalità dei sistemi informatici e sulla sicurezza dei dati personali dagli stessi trattati.

La seconda priorità consiste nella lotta massiva al cybercrime, il quale rappresenta oggi la causa maggiore di perdite di tipo economico, soprattutto a danno del settore privato. Consiste in un’attività criminosa, caratterizzata dall’abuso di componenti della tecnologia dell’informazione. Ridurre il cybercrime è probabilmente l’obiettivo più urgente in questo ambito, poiché è necessario per garantire la protezione dei cittadini, dal punto di vista economico e non solo. Frodi telematiche, violazione dei dati personali, furto della proprietà intellettuale e dell’identità digitale, spionaggio industriale: questi fenomeni sono all’ordine del giorno e causano danni economici estremamente rilevanti e probabilmente sottostimati.

La terza priorità apre all’ambizione di creare una politica di cyber defence (cyber-defence policy) ossia un meccanismo di difesa della rete informatica che include la risposta alle azioni, la protezione delle infrastrutture critiche e la garanzia delle informazioni per organizzazioni, enti governativi e altre possibili reti.

La quarta priorità rammenta l’importanza di progredire dal lato tecnologico, per essere in grado di gestire le situazioni di crisi grazie alle risorse tecnologiche.

8 La cyber resilience è la capacità di un’organizzazione di fornire continuamente i servizi, le operazioni e i risultati previsti nonostante il verificarsi di eventi informatici.

10

La quinta priorità proietta la questione della cybersecurity sul piano internazionale, a testimonianza del fatto che solo una proficua collaborazione a livello globale può portare a risultati importanti, nella sfida contro le minacce asimmetriche provenienti dal cyber spazio (international cyberspace policy). Ormai la guerra tradizionale si verifica sempre meno, in co