Perchè sulla nuova normativa GDPR stiamo sbagliando quasi tutto? perchè non l’abbiamo capita.

In quel tempo, le prime normative sulla sicurezza e completezza legale dei siti si limitavano ad esigere la presenza di una pagina per il trattamento dei dati, con l’indicazione e i contatti diretti del titolare. Gli e-commerce dovevano avere la pagine con le politiche di reso e di restituzione, o le condizioni di vendita belle chiare.

Poi, venne il periodo del “bannerino sui cookie“. I cookie che tracciavano il comportamento degli utenti, andavano segnalati con un apposito banner e chi visitava il nostro sito doveva dare esplicito consenso. Fu un periodo “terribile”: domande, richieste, confusione. Su questo Alground intervenì con una intervista esclusiva con il Garante delle Privacy. “Basterà lo scroll della pagina per avere un consenso? o ci vuole un click?” Poi i banner iniziarono a diffondersi e d’altra parte, di ferali multe non se ne sono viste.

Ma il GDPR va ancora oltre. Il regolamento europeo (onestamente difficilissimo da capire) applicato ai siti web, fa sostanzialmente due cose: la prima, estende il concetto di richiesta di permesso molto più in là dei cookie per coinvolgere tutta la gamma completa degli strumenti di monitoraggio. Secondo, sposta completamente la responsabilità ai titolari dei siti. Niente più scuse.

GDPR: amputare i siti o sperare nei tool? Eh no…

Il problema è che stiamo reagendo male. Il primissimo approccio che si legge nei gruppi Facebook o nei blog è “se tolgo questo banner posso non metterlo?” “Se disattivo questo plugin posso fare a meno di richiedere il permesso?“. Insomma, alcuni pensano che la soluzione sia nell‘amputare i propri portali per svicolare dal problema. Ma non è possibile: anche il più elementare degli e-commerce richiede una sfilza di permessi talmente ampia che è impensabile di seguire questa strada.

Bisogna adeguare i siti al GDPR senza sacrificarli.

Poi esistono le soluzioni standard. Todolist da seguire, tool automatici, immensi libri e guide che promettono di aiutare l’utente a mettere il sito a norma. Ma anche questa strada non vale. Non è come per il bannerino dei cookie che basta mettere tutto dentro un plugin e sei a posto. In questo caso la normativa GDPR è talmente complessa e lo spettro dei consensi da ottenere tanto ampio, che non è minimamente pensabile di poter fare qualcosa in automatico.

In questo modo si finirà per essere in regola solamente con una parte del GDPR. Questa o quella normativa, questa o quella pagina della legge. Ma la messa a norma definitiva non si ottiene così.

L’unico vero metodo, difficile da accettare perchè non è adatto agli “impazienti” e la stragrande maggioranza dei webmaster lo sono, è quello di personalizzare.

E’ necessario avere un sito a norma con un adeguamento adatto al TUO settore, calibrato per il TUO sito e per le specifiche attività che solamente TU segui. Non ci sono ricette generalizzate, esiste solo una analisi e una stima precisa, con dei consulenti in grado di interpretare il regolamento e adattarlo alla specifica situazione.

Come una lista della spesa che cerchi di soddisfare i gusti di tutta una città: impossibile, perchè ognuno ha i suoi gusti e il suo proprio modo di cucinare.

Personalizzazione, questa è la chiave, l’unica funzionante.

Allarme per i router, i dispositivi che instradano il traffico dei dati delle nostre connessioni internet. Un nuovo malware ha infettato e compromesso in pochissimo tempo oltre 500.000 router in giro per il mondo.

I ricercatori della Cisco hanno spiegato che il malware, chiamato VPN Filter, si sta diffondendo rapidamente in tutto il mondo a partire dall’Ucraina, che sembra essere la terra natale del virus. Gli esperti spiegano che il malware è in grado di mettersi silenziosamente in ascolto di tutto il traffico e dei dati che vengono scambiati, rubando le credenziali di accesso ai siti internet. Ma il malware ha anche delle capacità “distruttive” che permettono al pirata informatico di danneggiare irrimediabilmente il router della vittima a distanza e in pochi minuti.

Anche se non è pronta una lista completa, ai dispositivi vulnerabili all’attacco di VPN Filter appartengono le marche Linksys, Mikrotik, Netgear, e TP-link. I router più esposti al rischio sono quelli casalinghi e per i piccoli uffici.

“Sia le capacità che la diffusione di questa operazione sono piuttosto preoccupanti” spiegano gli esperti. “Secondo le testimonianze dei nostri clienti, stimiamo che il numero di dispositivi infetti sia di almeno 500.000 in almeno 54 nazioni”.

Pericoloso, distruttivo e si diffonde rapidamente

I ricercatori non sanno precisamente come faccia questo virus a infettare così tanti dispositivi in così poco tempo, ma la Cisco ha osservato che questi router sono affetti da diverse vulnerabilità i cui dettagli sono stati comunicati da tanto tempo pubblicamente e che non sono stati adeguatamente corretti.

Al momento, sebbene l’identificazione della sorgente del virus non sia per niente facile, gli esperti della Cisco hanno osservato che l’organizzazione dell’attacco fa chiaramente pensare ad un gruppo di hacker particolarmente efficienti, con l’obiettivo di creare una rete di dispositivi compromessi per vere e proprie campagne di furto dei dati e dietro di loro, si vede chiaramente la mano di hacker dell’est europa.

In particolare il codice di questo virus ricorda diverse versioni del malware BlackEnergy , che è stato responsabile di diversi attacchi in Ucraina negli ultimi anni. Inoltre gli esperti hanno osservato che VPN Filter, un malware potenzialmente distruttivo, sta infettando i router ucraini in maniera veramente allarmante con l’obiettivo di attaccare le infrastrutture portanti della nazione.

Per rimanere al sicuro,  i consulenti della Cisco, raccomandano agli amministratori e ai proprietari di piccoli router casalinghi o di piccoli uffici di resettare i dispositivi periodicamente e riportarli alle impostazioni iniziali per limitare la presenza del malware.  Nel frattempo, le case di sicurezza stanno lavorando ad una soluzione permanente che potrà essere distribuita agli utenti attraverso un aggiornamento del firmware del router.

Cosa succede quando l’autenticazione a due fattori, il metodo di sicurezza che invia un sms di conferma sul proprio cellulare, si incontra con un gruppo di hacker guidato da Kevin Mitnick, il pirata informatico numero uno al mondo? Semplicemente, l’autenticazione a due fattori alza bandiera bianca.

Le aziende e i consumatori vengono costantemente invitati ad adottare l’autenticazione a due fattori per aumentare la sicurezza dei login ai vari servizi di cui hanno bisogno. Ma questo tipo di tecnologia, che a prima vista potrebbe sembrare invulnerabile, non è priva di punti deboli.

I pirati informatici stanno infatti trovando dei metodi efficaci per ingannare il sistema, utilizzando l’ingegneria sociale, ovvero delle tecniche che ingannando la vittima e la portano a compiere degli errori per poter sferrare attacchi informatici.

Un nuovo meccanismo di aggressione, realizzato da un gruppo di hacker guidato da Kevin Mitnick, l’hacker più famoso di tutti i tempi, ha dimostrato la sua efficacia nel bucare il sistema di autenticazione a due fattori.

Così Mitnick ha bucato l’autenticazione a due fattori

Tutto si basa su uno strumento che venne sviluppato originariamente dall’hacker Kuba Gretzky, che pubblicò un lungo post nel suo blog aprendo la strada alla nuova tecnologia. Il meccanismo si basa sul typosquatting, una pratica in cui gli hacker creano degli indirizzi URL che sembrano in tutto e per tutto simili a quelli originali, e che riprendono siti web che le persone conoscono e di cui si fidano, ma che sono in realtà pericolosi.

Mitnick ha iniziato la sua dimostrazione aprendo una falsa mail da LinkedIn e visualizzando un indirizzo URL malevolo che differiva solo millimetricamente da uno reale. Coloro che si sono lasciati trarre in inganno dal trucco e hanno cliccato sul link presente all’interno della mail sono stati redirezionati una pagina di login dove dovevano inserire il loro username, la loro password ed eventualmente un codice di autenticazione che veniva inviato allo smartphone.

Quello che ha cambiato le carte in tavola è stata la possibilità da parte del pirata informatico di visualizzare in una finestra separata non solo i dati inseriti a schermo dalla vittima, ma anche il codice a 6 cifre che gli era stato appena spedito sul cellulare.

In realtà, gli hacker non utilizzano esattamente le 6 cifre, in quanto non è possibile riutilizzare un codice due volte e se la vittima lo inserisce prima del pirata informatico, questo scade, lasciando l’hacker nell’impossibilità di accedere.

Quello che gli esperti sono stati in grado di fare, è stato piuttosto intercettare i cookie di sessione, (dei piccoli codici per l’identificazione dell’utente ndr). Attraverso la registrazione di questi cookies un pirata informatico non ha più nemmeno bisogno del nome utente e della password o del codice per accedere all’account.

Si può semplicemente inserire la chiave di questo cookie nel browser come se si fosse nei panni dell’utente. Dopodiché, avviando il tool di Gretzky e aggiornando la pagina, si riesce ad entrare nell’account pur senza aver ricevuto il codice di conferma su un dispositivo fisico.

Il sistema non funziona su vasta scala… per fortuna

“Non è la prima volta che l’autenticazione a due fattori viene superata”, racconta Stu Sjouwerman, fondatore e CEO della KnowBe4. “Ci sono almeno 10 modi differenti di superare un autenticazione a due fattori. – spiega Sjouwerman – Sono stati tutti quanti sviluppati in breve tempo e sono conosciuti nel settore, ma non sono stati ancora pubblicizzati alla stragrande maggioranza degli hacker, e per ora sono appannaggio solo di pochi pirati informatici, fra i più esperti.”

Perchè questi attacchi non sono stati utilizzati su vasta scala? Il punto è che per eseguire una procedura di questo tipo bisogna essere degli hacker particolarmente abili, e bisogna preparare manualmente il codice per la specifica persona che si sta attaccando. E’ insomma un attacco one-on-one e non può essere organizzato su vasta scala per coinvolgere una massa di utenti in poco tempo.

Questa, per ora, l’unica salvezza: ma se un domani dovesse essere individuato un metodo per automatizzare il sistema, la sicurezza informatica si troverebbe priva di uno degli strumenti più diffusi ed efficaci… e sarebbe una catastrofe.

Amazon sta vendendo una sistema di riconoscimento facciale alle forze di polizia americana nelle cittadine di Oregon e Orlando per pochi dollari al mese.

Secondo alcuni documenti che sono stati ottenuti dalla organizzazione per le libertà civili della California del nord, Amazon ha sviluppato e sta vendendo una tecnologia conosciuta come Rekognition, assieme ad altri servizi di consulenza per l’identificazione delle persone.

Così il riconoscimento facciale di Amazon ci identifica uno per uno

I documenti rilasciati indicano nel dettaglio come funziona il software di Amazon: si tratta di un programma in grado di identificare fino a 100 persone all’interno di una folla di migliaia. Ad esempio, l’ufficio di polizia dell’Oregon ha costruito un database di 300.000 immagini di sospetti criminali che Rekognition è stato incaricato di cercare durante manifestazioni ed altri eventi pubblici. Lo stesso meccanismo potrebbe essere installato direttamente su piccole videocamere in dotazione ai poliziotti per identificare immediatamente dei sospettati di cui non potrebbero ricordare i dettagli a memoria.

Al momento attuale non si sa ancora quanti criminali siano stati identificati con questo metodo e quanto Rekognition abbia concretamente aiutato la polizia, né quanto siano accurati i suoi risultati. Ma sembra che la polizia non si stia basando interamente su questo strumento per decidere se fermare o meno una persona, ma che si tratti semplicemente di uno strumento aggiuntivo che può aiutarli nel loro lavoro.

Il servizio sembrerebbe costare dai sei ai dodici dollari al mese.

Amazon ha rilasciato il software Rekognition nel novembre del 2016, con la promessa che i suoi clienti avrebbero potuto sfruttare le tecnologie di intelligenza artificiale per analizzare miliardi di immagini e video ogni giorno, a puri scopi di sicurezza. Allo stesso modo i marketer potrebbero utilizzare il software di riconoscimento facciale per personalizzare la pubblicità,  mentre gli sviluppatori di applicazioni per gli incontri potrebbero appoggiarsi al programma per identificare contenuto esplicito o indesiderato condiviso dagli utenti.

L’allarme: violazione della privacy e schedatura senza controllo

Ma a lanciare l’allarme è Nicole Ozer, direttore del gruppo per le libertà civili e tecnologiche della California del nord. “Una volta che un sistema di controllo così potente è stato costruito e sviluppato, non si può più tornare indietro. Potenzialmente, il programma potrebbe essere utilizzato per tracciare dissidenti politici e persone che protestano, o immigrati e spiare chiunque nei paraggi.”

Le due città americane hanno adottato questa tecnologia senza aver avviato alcun confronto con i cittadini nè diramato alcun avviso. Per questo motivo un gruppo di attivisti per i diritti politici ha scritto nei giorni scorsi una lettera chiedendo ad Amazon di interrompere il programma in quanto potrebbe ledere i diritti di riservatezza di tutta la comunità. “Chiediamo che Amazon interrompa questo tipo di collaborazione con il governo, che mette a grave rischio la privacy di tutta la comunità”, si legge nella lettera.

Zahra Billoo, responsabile dei diritti degli islamici americani, uno dei firmatari della lettera che chiede la sospensione del software, spiega che molte persone potrebbero essere fermate perchè riconosciute da Rekognition, ma che queste non avrebbero ancora una condanna definitiva e sarebbero di fatto innocenti fino a prova contraria. Questo significa che un loro inserimento all’interno del database sarebbe una violazione dei diritti civili, in quanto inclusi in un sistema di sorveglianza anche se ancora tecnicamente innocenti e senza avere ancora alcuna condanna passata in giudicato.

Secondo Billoo, Amazon sta contribuendo a questa serie di violazioni rendendo più facile per i poliziotti scannerizzare persone senza dei minimi diritti di privacy.

Amazon: nessuna violazione, nessun abuso

Il portavoce di Amazon, Nina Lindsey ha però cercato di calmare immediatamente gli animi. “Amazon –  spiega la responsabile –  rispetta tutte le leggi attualmente in vigore e fa un uso responsabile della tecnologia” riferendosi alla Amazon Web Services, la compagnia di software Cloud che si dedica allo sviluppo del programma di riconoscimento facciale. “Nel momento in cui i nostri servizi vengono utilizzati in maniera abusiva da un nostro cliente, interrompiamo immediatamente la possibilità di appoggiarsi alla nostra tecnologia.”

La portavoce ha precisato che la tecnologia di riconoscimento facciale di Amazon ha molti risvolti positivi e che i clienti, le forze di polizia, la stanno utilizzando per individuare persone in luoghi pubblici e per ricercare bambini scomparsi. Ad esempio, durante il matrimonio reale dello scorso fine settimana, alcune divisioni della polizia hanno utilizzato il software Rekognition per identificare gli ospiti del matrimonio, e verificarne la sicurezza.

Nel frattempo, il deputato americano Jeff Talbot ha studiato il funzionamento del programma e ha sottolineato come in realtà le immagini contenute nel database del software siano già pubbliche, e che il programma si limita semplicemente a permettere ai poliziotti di scannerizzare le persone istantaneamente per comparare il loro volto con l’elenco degli attuali sospettati, il che potrebbe essere un contributo molto valido per la sicurezza pubblica.

“Il nostro obiettivo è quello di informare gli agenti di polizia per risolvere i crimini. Non si tratta di uno strumento di sorveglianza di massa o di controllo indiscriminato” – spiega ancora Amazon.

La tecnologia, comunque, sta attirando nuovi clienti. La Axon, produttrice di pistole elettriche e di videocamere indossabili per la polizia, ha dichiarato interesse nell’utilizzare il metodo di riconoscimento facciale sviluppato da Amazon, ricevendo dagli attivisti della privacy analoghe critiche.

Sembra quindi non fermarsi la pioneristica corsa di Amazon. La società guidata da Jeff Bezos, è una delle più grandi compagnie che sta investendo e vendendo intelligenza artificiale come il riconoscimento facciale e lo scanning di immagini per clienti business. Microsoft offre un servizio Rivale chiamato Facial Recognition AI: sembra che quest’ultimo meccanismo abbia addirittura l’abilità di scansire le emozioni sui volti delle persone nel momento in cui lasciano gli Store e i magazzini ufficiali della azienda, ai fini dello studio del comportamento dei clienti.

Cosa accadrebbe se un controllore del garante della Privacy o un altro funzionario controllasse il tuo e-commerce per verificare se è un sito web a norma di legge? dal Trattamento dei dati all’uso dei cookie, fino alla protezione dei dati personali, la soddisfazione dei vari requisiti ed obblighi di legge (tipo la Partita IVA in Home Page) e dulcis in fundo, l’adeguamento al GDPR. Sono molti i particolari in cui ci si potrebbe perdere.

L’ipotesi è reale: utilizzare un e-commerce per incrementare i guadagni è sicuramente un’ottima mossa, ma potresti essere soggetto ad un controllo da parte del garante della privacy o della finanza, che prendono siti web a campione per effettuare che siano a norma.

E non solo, una semplice segnalazione da parte di un tuo concorrente potrebbe portare un ispettore a verificare il tuo negozio online.

E sai cosa potrebbe succedere? Che se trova qualcosa “fuori posto” ti multa!

Prima di iniziare a sviluppare il tuo business su internet, infatti, devi ricordarti di adempiere a tutte le disposizioni previste dalla legge, altrimenti rischierai sanzioni anche molto pesanti.

VUOI CONTROLLARE SE IL TUO SITO E’ A NORMA?
CONTATTACI

In questo articolo ti spiegheremo esattamente cosa un ispettore controllerebbe del tuo sito

Sito web a norma di legge: cosa controllerebbe un ispettore

La prima cosa che verrebbe controllata sono i dati e dalle informazioni principali che deve contenere la prima pagina.

Essi, infatti, sono ritenuti fondamentali per consentire l’identificazione dell’azienda che vende sul web.

Un controllore cercherebbe da subito:

• Nome (denominazione o ragione sociale)
• Domicilio e sede legale
• Numero di iscrizione RAE o del Registro d’Imprese
• Numero partita iva.

Fondamentale è ricordarti anche di predisporre sempre una comunicazione efficace con il consumatore (sentenza C-298/07 del 2008 Corte di Giustizia Europea).

Un sito web a norma di legge: Trattamento dei dati dei clienti

La seconda cosa che verrebbe verificata sarebbe la presenta dei requisiti di legge in materia di protezione dei dati personali, legge che impone che chiunque sia titolare di un sito web debba pubblicare su di esso l’informativa sulla privacy dei dati personali.

Ciò vuol dire che nella seconda pagina del tuo sito di e-commerce dovrai inserire le norme che regolano la gestione dei dati raccolti attraverso di esso, oltre che una serie di informazioni riguardanti la tua azienda ed il responsabile del trattamento dei dati.

La normativa sui cookie

Elemento importante che farebbe immediatamente allarmare un ispettore: la normativa sui cookie: la cookie policy è fondamentale quando gestisci un sito di commercio elettronico.

Essa stabilisce che tutti i titolari di un e-commerce sono tenuti ad inserire al suo interno una pagina specifica che chiarisca l’uso dei cookie.

Nello specifico, le normative devono essere due ed inserite rispettivamente come banner in home ed in una pagina dedicata.

A tali obblighi legislativi si aggiungono anche:

• Gli obblighi informativi prima dell’acquisto (pre-contrattuali ed in fase di ordine);
• Pagamenti e consegne (da inserire nel footer);
• La politica di reso (dedicare una pagina del sito);
• Il diritto di recesso (pagina dedicata);
• Conclusione.

Ricorda che è fondamentale prestare attenzione a tutti questi aspetti, per essere certo che il tuo sito web rispetti appieno la normativa europea di riferimento.

Sito web a norma di legge: cosa prevede la normativa europea sul commercio elettronico

Tieni presente che quando si parla di e-commerce, ci si riferisce ad una forma di commercio di beni e servizi, che viene effettuata online ed attraverso particolari piattaforme web.

Le aziende che vendono sul web, inoltre, possono avere come target di riferimento i privati oppure altre aziende.

Ti renderai conto che non potrebbe mai essere una forma di attività libera da ogni tipo di regolamentazione, giusto?

Sicuramente la normativa europea che regola i siti e-commerce non è semplice da comprendere, perché coinvolge varie discipline.

Ci riferiamo:

• Al trattamento ed alla protezione dei dati personali;
• Alla tutela dei consumatori
• Al diritto di recesso
• Alla privacy
• All’uso dei cookie
• Alle informazioni obbligatorie da fornire ai consumatori.

Rileggi con attenzione questi punti, che fanno riferimento ad una serie di decreti legislativi riguardanti il commercio elettronico, perché ognuno di essi può essere oggetto di controllo da parte di un ispettore.

Più avanti ti illustreremo quali sono gli adempimenti fondamentali di cui tener conto, in modo da evitare di incorrere in visite indesiderate e conseguenti multe salate.

VUOI CONTROLLARE SE IL TUO SITO E’ A NORMA?
CONTATTACI

L’ adeguamento alla normativa del GDPR

È doveroso soffermarci brevemente anche sull’adeguamento alla normativa del GDPR (General Data Protection Regulation).

Parliamo di un regolamento europeo, le cui disposizioni sono integralmente obbligatorie ed automaticamente vincolanti sia per i privati che per le Autorità Pubbliche.

Esso è un atto generale con effetti diretti, in quanto non richiede un intervento da parte degli Organi giudiziari per avere efficacia.

Tale regolamento ha come oggetto la protezione delle persone fisiche con particolare riferimento al trattamento dei dati personali ed alla loro libera circolazione all’interno dell’Unione Europea.

L’introduzione del GDPR è arrivata dalla necessità di aggiornare la disciplina riguardante la tutela e protezione dei consumatori ed alla luce delle importanti modifiche tecnologiche ed informatiche che si sono verificate in questi ultimi anni.

Questo provvedimento, dunque, mira a garantire certezza, trasparenza ed uniformità nei trattamenti e nelle responsabilità.

Dall’entrata in vigore di tale normativa, che sarà applicabile in via diretta in tutti i Paesi dell’Unione Europea il prossimo 25 maggio, la protezione dei dati personali e la loro libera circolazione sarà garantita da misure più rigorose.

In quali multe e sanzioni si può incorrere

Ti invitiamo a dare uno sguardo alle sanzioni in cui potresti incorrere, qualora il tuo sito non risultasse conforme alla normativa.

Ad esempio, la mancata pubblicazione della partita iva in home page può essere multata con una sanzione che va da un minimo di 258 euro e fino ad un massimo di 2065 euro.

L’omissione dell’informativa sulla privacy o il suo inserimento errato, invece, è punibile con una multa da 6 mila a 36 mila euro!

E gli importi aumentano ancora di più se non rispetti la legge sui cookie. Pensa che l’installazione dei cookie senza consenso, ti obbliga a versare una multa che va dai 10 mila ai 120 mila euro.

Ma non è ancora finita…le multe per l’omessa o incompleta notifica al Garante, ti potrebbe costare dai 20 mila ai 120 mila euro!

Quindi, occhio ai prossimi suggerimenti che stiamo per fornirti, onde evitare l’esborso di somme molto consistenti.

Hai paura di non essere a posto?

Se sai di non essere in regola con il tuo e-commerce oppure hai il minimo dubbio di aver trascurato uno dei punti che abbiamo appena evidenziato, rivolgiti a professionisti del settore.

Noi di Alground, ad esempio, siamo un portale di sicurezza informatica, nonché, esperti in messa in sicurezza dei siti ed in data protection, in quanto intervistiamo e contattiamo spesso il garante della privacy.

Se vuoi essere sicuro di avere un sito web a norma di legge, contattaci subito per una prima consulenza gratuita!

Hai paura che il tuo sito non sia a norma?

Te lo controlliamo noi gratuitamente e ti indichiamo tutto il necessario per non prendere multe.