, , , , , , , , , , ,

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Cinquanta sfumature di rosso sangue e tutela dei dati sanitari fra accessibilità e riservatezza. Esempio di un caso pratico 

Di Giacomo Conti

Spesso, quando si affronta il tema dei dati particolari o sensibili ai sensi dell’articolo 9 del GDPR, si cade nell’errore sistematico di considerare il “dato particolare” come un unico, grande calderone indistinguibile.

Questo approccio porta molte organizzazioni ad applicare misure di sicurezza e protocolli organizzativi identici per ogni tipologia di trattamento, ignorando le sfumature di rischio che ogni informazione porta con sé.

Abbiamo rilevato, nella pratica professionale, una generale tendenza, ma non assoluta, a trattare ogni singola informazione sanitaria come se fosse un segreto di Stato. Questo approccio difensivo sta alimentando una burocrazia uniforme che, paradossalmente, rischia di creare un dannosissimo e falso senso di protezione. Lo scarso senso di sicurezza, accompagnato spesso a una scarsa conoscenza del contesto aziendale di riferimento e dall’adozione di procedure non adeguate, è idoneo a creare, molte volte, maggiori rischi di quelli della mancata adozione di una misura di sicurezza.

La realtà professionale ci insegna però che non tutti i dati sono creati uguali, nemmeno quando la norma li etichetta con lo stesso rigore. Per comprendere l’impatto sociale e umano di questo concetto, basta analizzare la differente portata di una violazione della riservatezza a seconda del contenuto del dato. Se un data breach rivela accidentalmente il gruppo sanguigno di un interessato, ci troviamo certamente di fronte a un’irregolarità normativa, ma raramente questa avrà impatti devastanti sulla sfera privata dell’individuo. Al contrario, la diffusione non autorizzata di una diagnosi di HIV o di patologie soggette a un forte stigma sociale può tradursi in una condanna immediata all’isolamento, in discriminazioni sul posto di lavoro o nella rottura irreversibile di rapporti personali. In questi casi, la protezione del dato non è solo un freddo requisito legale, ma si pone a presidio diretto della dignità individuale.

Tuttavia, limitare la protezione alla sola “riservatezza” è il secondo, grande errore che riscontriamo quotidianamente nella gestione della compliance. Ci si preoccupa ossessivamente che il dato non venga “visto” da soggetti non autorizzati, ma si dimentica che la sicurezza informatica e giuridica si regge su un treppiede indissolubile: Riservatezza, Integrità e Disponibilità.

Per visualizzare il rischio, occorre immaginare lo scenario peggiore in un contesto ospedaliero. Se un database viene manomesso o il personale inserisce un dato non esatto o aggiornato e, di conseguenza, il gruppo sanguigno di un paziente viene modificato, la privacy del paziente resta tecnicamente intatta perché nessuno ha “letto” il dato indebitamente. Eppure, se l’integrità del dato è compromessa, una trasfusione basata su quell’informazione errata può rivelarsi letale, al punto di provocare la morte del paziente.

Allo stesso modo, se un attacco informatico rende inaccessibili le informazioni sulle allergie farmaceutiche proprio durante un’emergenza medica, la riservatezza dell’interessato sarà protetta dal più impenetrabile dei muri digitali, ma la mancanza di disponibilità del dato metterà a rischio la sua stessa vita. In un simile frangente, il fatto che nessuno possa leggere la cartella clinica non rappresenta un successo della privacy, ma un drammatico fallimento della protezione altrettanto sanzionabile da parte del Garante della Protezione dei Dati Personali.

Applicare il “rigore nella norma” significa proprio questo, ossia, uscire dalla logica dell’adempimento formale e difensivo per iniziare a pesare il rischio reale derivante dal trattamento del dato sanitario.

In pratica, ciò comporta che un dato medico debba essere, prima di tutto, esatto e accessibile al personale autorizzato. Ne consegue che una burocrazia eccessiva che renda inaccessibile l’informazione può produrre danni speculari, se non superiori, rispetto a una divulgazione non autorizzata.

Proteggere i dati particolari, in conclusione, non significa solo chiudere una porta o un server a chiave, ma garantire che, quando quella chiave serve, la serratura giri perfettamente e che ciò che troviamo dietro la porta sia esattamente l’informazione che ci aspettiamo di trovare.

 

/da
, , , ,

INSIDER HACKER, RISORSE UMANE E ASSETTI ORGANIZZATIVI. I PERICOLI PER LA SICUREZZA POSTI DAI DIPENDENTI.

di Nadia Zabbeo

 

L’art. 32 del GDPR impone al titolare di mettere in atto misure tecniche e organizzative adeguate a garantire un livello di sicurezza adeguato al rischio, che riguardano non solo gli asset tecnologici, ma anche le risorse umane.

Le misure organizzative non devono, quindi, limitarsi alla semplice modifica dell’organigramma con l’inserimento delle divisione privacy.

Il dipendente è, molto spesso, “l’anello debole della catena” nella protezione dei dati in azienda.

L’errore umano, infatti, può essere dovuto ad una mancanza di idonea cultura e formazione o mancanza di chiare istruzioni da parte del titolare (carenze organizzative), altre per disonestà o per spirito di ritorsione nei confronti dell’organizzazione aziendale.

Quest’ultima affermazione merita indubbiamente una considerazione a sé stante in quanto, secondo il Verizon Insider Threat Report, i dipendenti sono spesso gli autori di data breach rendendosi colpevoli consapevolmente o meno, di azioni illecite quali: accessi abusivi; violazione e diffusione di dati comuni e particolari mettendo a repentaglio le misure di sicurezza adottate dall’azienda.

Il report di Verizon ha messo in evidenza che, tra altre cause (negligenza, distrazione, competenze non idonee, scopi di lucro), l’insider che abusa dei privilegi di accesso per compire azioni illecite è spesso un dipendente insoddisfatto, che si ritiene in qualche modo leso nei suoi diritti, o non sufficientemente considerato e, di conseguenza, desideroso di arrecare danno all’organizzazione.

Il contratto di assunzione non è solo una formalità burocratica e una definizione di qualifica, job description, retribuzione che regola solo aspetti economici, ma ha forti ripercussioni psicologiche sul soggetto assunto che si forma aspettative di carriera in sede di assunzione piuttosto che durante l’esecuzione del rapporto o durante gli avanzamenti di carriera.

Pertanto, una promessa disattesa, la mancanza di prospettive di carriera, di avanzamenti o incrementi salariali, o, nel peggiore dei casi, oggetto di mobbing/bossing generano insoddisfazione e, per l’effetto, un potenziale inside hacker.

L’utilizzo di molestie psicologiche per indurre un dipendente alle dimissioni è espressione di una carenza culturale e organizzativa ed opera in base a modelli che enfatizzano valori estremamente accentrati ai vertici in modalità top-down suscettibile, peraltro, di conseguenze significative per il datore di lavoro e per l’ente sul piano civile e penale.

In casi come questi, ci troviamo di fronte, quasi sempre, a modello organizzativi obsoleti, spesso funzionali con enfatizzazione di ruoli di comando e di potere, molto gerarchici, con numerosi ruoli di staff privi di ogni iniziativa decisionale e compiti di ausilio operativo, mansioni ripetitive e alienanti. Il modello organizzativo funzionale è il più “datato” ma anche il più conosciuto ed adottato specie dalle PMI, tuttavia, è destinato ad entrare in crisi con il GDPR.

Per avere una catena solida a livello di sicurezza e di valore occorre rafforzare gli “anelli deboli”.

Questi vengono sfruttati, infatti, dai pirati informatici come vulnerabilità e le azioni intraprese da questi criminali possono riguardare, anche, la corruzione dei dipendenti scontenti.

È necessario, pertanto, riprogrammare l’organizzazione, cominciando  dall’analisi di clima condotta attraverso l’ausilio di consulenti esterni che abbiano un approccio “olistico” e competenze che  spaziano dall’organizzazione aziendale, alla gestione risorse umane fino ad una approfondita conoscenza del  GDPR.

/da
, , , , ,

Il caso Faceapp. Molto rumore per nulla?

Oggi Bill ha installato una nuova app sul suo smartphone: dicono possa prendere il suo volto e renderlo più vecchio, una sorta di predizione del futuro.

La installa senza indugio e si diletta con essa per giorni; usa le sue foto da bambino, quelle di lui alle medie e, perché no, anche quelle odierne; vuole vedersi da vecchio e pensare che sarà un uomo tutto sommato bello, ancora affascinante.

Il giorno dopo essersi sbizzarrito, però, Bill viene a scoprire dei retroscena spaventosi, a dir poco allarmanti: l’app, con sede in San Pietroburgo, utilizza le sue foto in modo “perpetuo, planetario, irrevocabile, senza obbligo di pagare alcuna royalty”.

Bill si collega dunque su Facebook e legge molti stati colmi di terrore e di rabbia scritti da utenti che, nel proprio profilo, specificano orientamento sessuale, data di nascita, indirizzo, dove studiano, cosa studiano, i locali e le persone che frequentano, i film che guardano, i partiti che votano.

Bill nota che c’è una grande attenzione da parte del pubblico inerente la questione, tanto da fargli credere che gli internauti abbiano preso più coscienza circa la rilevanza della propria privacy.

Ecco quindi che scorre la home di Facebook alla ricerca di qualche post che tratti dell’inquietante scoperta effettuata da alcuni ricercatori della Microsoft, i quali hanno dimostrato come i siti pornografici raccolgono i dati di navigazione degli utenti per poi venderli a Google e Facebook, o della sconcertante scoperta che Youtube (leggi Google, ndr) effettua un’indebita profilazione dei minori al fine di renderli oggetto di marketing diretto, ma, con grande rammarico, non ne trova nessuno.

La sorella di Bill appare preoccupata: “Chissà che fine orribile faranno le foto mie e delle mie amiche, una volta nelle mani dei russi!”. Bill prova dunque a spiegarle che le sue foto sono già in giro per il Pianeta da quando partecipò alla “Ten Years Challenge” qualche tempo fa, ma non riesce: la sorella è troppo impegnata a chiedere ad Alexa la posizione della farmacia più vicina che venda farmaci per combattere la candida.

Bill allora manda un messaggio a un suo amico che ha appena pubblicato uno stato carico di odio contro i russi e FaceApp; cerca di spiegargli che non è sensato imbracciare la vecchia carabina del nonno per ottenere giustizia per questo indecente attentato alla propria riservatezza, se prima non smette di sbloccare il suo smartphone tramite il riconoscimento facciale.

Bill sa che i suoi dati più sensibili sono già stati abbondantemente carpiti in malafede dalle multinazionali della Silicon Valley, le quali si autoproclamano gli araldi della tutela della privacy del mondo intero e che impongono termini di utilizzo del tutto simili a quelli di FaceApp .

Bill sa che quando si utilizza un servizio gratuito la moneta di scambio sono i suoi dati personali, pertanto usa questi strumenti con molta attenzione, ma non chiude il cancello ora che il bue è scappato.

Sii come Bill.

 

di Giordano Serra

/da