Nell’ambito di una serie di tre articoli dedicati alla Giornata della protezione dei dati 2023 (si vedano gli articoli correlati diJakub LewandowskieThomas Bryant), Bill Mew sostiene che esista un vero e proprio problema di applicazione delle norme: là fuori sembra di essere nel “Far West”.
Le politiche, i quadri normativi e le regole sono utili solo se vengono rispettati, proprio come le normative e le leggi non hanno alcun senso se non vengono applicate. Il problema nel campo della protezione dei dati e della sicurezza informatica è che, laddove le regole dovrebbero essere applicate, vengono spesso ignorate, e laddove sono state introdotte delle leggi, occorre garantirne una maggiore applicazione.
I CISO (Chief Information Security Officer) hanno un compito ingrato. Il personale è solitamente riluttante a rispettare le misure di “igiene informatica” che un CISO cerca di far applicare, ma quando la loro mancanza di disciplina porta a una violazione, questi colleghi sono fin troppo pronti ad attribuire la colpa al CISO. Come se non bastasse, mentre ci sono normative costose e complesse da rispettare e regole rigide sulla segnalazione delle violazioni, le autorità, lungi dall’aiutare a gestire eventuali incidenti o a catturare i veri criminali, si limitano a utilizzare le segnalazioni per valutare l’assegnazione delle multe.
Disallineamento funzionale e culturale
Se interpellati, la maggior parte dei dipendenti concorderebbe sul fatto che le minacce informatiche rappresentano un problema significativo, ma nel loro lavoro quotidiano si concentrano su indicatori di ROI (ritorno sull’investimento) incentrati sui ricavi o sui profitti. Sono proprio questi gli indicatori in base ai quali vengono valutate le loro prestazioni individuali e di reparto e su cui si basano le politiche di incentivazione a livello aziendale.
Il CISO si concentra invece sul ritorno sul rischio (ROR). In base al budget stanziato e alla propensione al rischio dell’organizzazione, il CISO punta a massimizzare la sicurezza e a ridurre al minimo il rischio.
Il divario tra l’orientamento al ROR (Return on Risk) del CISO e l’orientamento al ROI (Return on Investment) di quasi tutti gli altri può mettere il CISO in contrasto con il resto del team dirigenziale. Non solo rischia di ritrovarsi isolato (fenomeno che definisco “CISOlation”), ma può anche diventare un capro espiatorio quando le cose vanno male, anche quando gli avvertimenti vengono ignorati.
Incentivi normativi perversi
In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is thatuna normativa senza applicazione non solo è inutile, ma anche controproducente. Dopotutto, solo le aziende responsabili si attengono a tali normative e, per loro, ciò comporta un costo o un onere di conformità. Al contrario, quelle irresponsabili spesso scelgono di non rispettare le regole. Se ritengono che il rischio di essere sottoposte a provvedimenti sia minimo o inesistente, questa diventa per loro una fonte di vantaggio competitivo che consente di risparmiare sui costi e non comporta alcun rischio.
La mancata conformità è un fenomeno diffuso e proviene dai vertici aziendali, come dimostrano i frequenti titoli dei giornali relativi a incidenti relativi ai dati che coinvolgono le Big Tech o alle multe loro inflitte. Tali multe non sembrano avere un effetto deterrente, ma vengono invece considerate un costo aggiuntivo di gestione da parte delle Big Tech e di molte altre aziende che hanno avuto la sfortuna di subire un incidente relativo ai dati.
Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of aindicatore in ritardo delle disgrazie subite dalle aziende responsabilirather than of misbehaviour by irresponsible ones.
Cronistoria dell’inerzia normativa
La maggior parte delle aziende BigTech, attratte da un regime fiscale favorevole, ha scelto di stabilire la propria sede centrale europea in Irlanda. L’autorità di regolamentazione locale, la DPC Ireland, ha quindi il compito di garantire che tali aziende rispettino il GDPR e altre normative simili. Che sia a causa di finanziamenti insufficienti, della riluttanza a creare scompiglio o semplicemente perché in inferiorità numerica e sopraffatta dalle pressioni delle aziende BigTech, la DPC Ireland è stata considerata inefficace nel far sì che queste ultime rendano conto delle proprie azioni.
In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in avoto di 451 a 1. Quando ulteriori pressioni da parte delle autorità di regolamentazione del resto d’Europa l’hanno costretta, dopo un ritardo di due anni, a intervenire, la sanzione inflitta a Facebook era talmente bassa da dover essere aumentata (di dieci volte) su insistenza delle altre autorità di regolamentazione.
The EU Ombudsman Emily O’Reilly eventuallyha avviato un’indagineinto the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, theIl Consiglio irlandese per le libertà civili (ICCL) ha criticato l’UEfor its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.
Un’azione di polizia globale inefficace
Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of“esercitazioni antincendio” in materia di sicurezza informaticato test cybersecurity and incident response capabilities but is also championing thenecessità di norme globalito crack down on cybercrime.
Si stima che i danni causati da tutte le forme di criminalità informatica, compresi i costi di Recovery e risanamento, abbiano raggiunto un totale di 3.000 miliardi di dollari nel 2015 e di 6.000 miliardi di dollari nel 2021, e che potrebbero arrivare fino a 10.500 miliardi di dollari all’anno entro il 2025.
Cyber insurancenon è la risposta. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’snon ne vale la pena.At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect ofrischiando di aggravare ulteriormente problemi già gravi.
While almost all nations have signed up for United Nations agreements on combatting crime, includingquella informatica, alcune nazioni chiudono un occhio e offrono invece un rifugio sicuro da cui i criminali informatici possono operare. Sebbene la maggior parte dei crimini informatici abbia origine in paesi come la Russia, l’Iran o la Corea del Nord, tali attività non si limitano a queste nazioni canaglia e continuano anche più vicino a noi. Inoltre, paesi come la Cina conducono operazioni di spionaggio su larga scala, mentre gli Stati Uniti sono responsabili di gran parte della sorveglianza di massa a livello globale: tutte pratiche che violano il GDPR e una serie di altre leggi.
We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’sil “Cyber Incident Reporting for Critical Infrastructure Act”and in the EU with 2018’sla Direttiva sulla sicurezza delle reti e dei sistemi informativi. Still, there are also anumerose altre normativethat mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.
Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. TheUfficio delle Nazioni Unite contro la droga e il crimineis promoting a Cybercrime Programme which has the following aims:
- Maggiore efficienza ed efficacia nelle indagini, nel perseguimento penale e nel giudizio dei reati informatici, in particolare lo sfruttamento sessuale e gli abusi sui minori online, nel rispetto di un solido quadro di riferimento in materia di diritti umani.
- Una risposta efficiente ed efficace a lungo termine da parte dell’intero governo alla criminalità informatica, che comprenda il coordinamento a livello nazionale, la raccolta di dati e quadri giuridici efficaci, al fine di garantire una risposta sostenibile e una maggiore deterrenza.
- Rafforzamento della comunicazione a livello nazionale e internazionale tra il governo, le forze dell’ordine e il settore privato, con una maggiore consapevolezza da parte del pubblico dei rischi legati alla criminalità informatica.
Si tratta di obiettivi lodevoli. Tuttavia, siamo ancora molto lontani dal momento in cui le vittime di reati potranno chiamare la polizia a livello locale, nazionale o internazionale con la ragionevole aspettativa di ottenere assistenza concreta o giustizia. La realtà è che, quando si tratta di crimini informatici, a parte gli specialisti della risposta agli incidenti del settore privato, si è lasciati a se stessi.
- Il personale adotta raramente misure adeguate in materia di sicurezza informatica
- Le autorità di regolamentazione non agiscono in modo proattivo nell’individuare e contrastare le violazioni
- I criminali stanno acquisendo sempre maggiore sicurezza, aggressività e sofisticazione
- La polizia non è in grado di intervenire contro i criminali che operano da luoghi sicuri
- E i CISO finiscono per essere il capro espiatorio di turno quando le cose vanno male
In questo ambiente da “Far West”, non c’è nessuna cavalleria che venga in soccorso, quindi ci si aspetta che tu sia adeguatamente armato e pronto a difenderti. Prendi spunto daThomas Bryant’s article and learn how to deal with it best. There isNiente può sostituire una solida sicurezza informaticaand incident response right.
