March 2013 - nexa - server-nexa.polito.it

Subject: Re: R: Interpreazione giuridica su diritti di accesso dei servizi segreti

by Giuseppe Vaciago

Mi permetto solo un paio di piccole precisazioni circa il posto sul DPCM 24 gennaio 2013. La normativa sulla data retention è stata dichiarata illegittima dalla Corte Costituzionale tedesca, rumena, ceca in quanto in palese violazione dell'articolo 8 ECHR (rectius privacy). E' interessante la lettura ottimistica per cui la data retention determini i tempi di cancellazione, ma va ricordato che per molti Paesi non solo europei non si dovrebbe neanche procedere alla conservazione dei dati. Inoltre, i grandi provider americani hanno una posizione piuttosto severa circa la retention dei dati per finalita' di giustizia (30 giorni) e lo sanno bene i pubblici ministeri italiani esperti in materia: (http://www.coe.int/t/dghl/cooperation/economiccrime/cybercrime/cy_octopus20…) Diverso sicuramente l'atteggiamento circa la retention per finalità commerciali. Condivido invece che il decreto sia ben diverso dal CISPA, ma neanch'io voglio tediare oltre. Giuseppe Vaciago Il giorno 31/mar/2013, alle ore 12:00, nexa-request(a)server-nexa.polito.it ha scritto: > > non sono d'accordo che sia analogo al CISPA in primo luogo perche' la' > non c'e' una norma sulla privacy e nemmeno sulla data retention che > prescriva dopo quanto tempo i log vanno aggregati, anonimizzati e > cancellati (si puo' tenere qualunque cosa per sempre) e in secondo luogo > perche riguardava tutti, non solo gli operatori di tlc: qualunque > soggetto privato o pubblico (ovvero chiunque) > > secondo me c'e' differenza. IMHO una cosa e' chiedere solo ad operatori > che hanno solo alcuni dati conservati in modi e tempi assai limitati, ed > altra cosa e' poter chiedere qualunque cosa a chiunque per qualunque > dato conservato per un lasso di tempo indefinito > --------------------------------------- Studio Legale Vaciago Piazza San Pietro in Gessate 2 20122 Milano Tel. + 39 02 87.38.84.23 Fax. + 39 02 87.38.73.59 Cel. + 39 348 38.31.924 Mail: giuseppe.vaciago(a)studiovaciago.it Questo messaggio di posta elettronica contiene informazioni di carattere confidenziale rivolte esclusivamente al destinatario sopra indicato. E' vietato l'uso, la diffusione, distribuzione o riproduzione da parte di ogni altra persona. Nel caso aveste ricevuto questo messaggio di posta elettronica per errore, siete pregati di segnalarlo immediatamente al mittente e distruggere quanto ricevuto (compresi i file allegati) senza farne copia. Qualsivoglia utilizzo non autorizzato del contenuto di questo messaggio costituisce violazione dell'obbligo di non prendere cognizione della corrispondenza tra altri soggetti, salvo piu' grave illecito, ed espone il responsabile alle relative conseguenze. Confidentially notice. This e-mail transmission may contain legally privileged and/or confidential information. Please do not read it if you are not the intended recipient(S). Any use, distribution, reproduction or disclosure by any other person is strictly prohibited. If you have received this e-mail in error, please notify the sender and destroy the original transmission and its attachments without reading or saving it in any manner.

March 31, 2013

Considerazioni di Berkeley su Google apps outsourcing.

by Marco Baldassari

Ringrazio JC per la segnalazione: http://blogs.berkeley.edu/2013/03/06/the-good-not-so-good-and-long-view-on-… Considerazioni molto interessanti e quesiti concreti che sarebbe bene porre in tema di big data mining e data privacy assurance. La considerazione finale però contraddice l'esposizione: Google will have few if any incentives to develop privacy-enhancing technologies for our communications platform, such as a workable encryption infrastructure. As it stands, the contract creates no incentives or requirements for development of such technologies, and in fact, such development runs counter to Google’s interests. Lo stesso autore menziona la two-factor authentication e l'adozione di standard governativi e bancari di protezione dei dati, inclusa l'opzione di escludere la possibilità di deep data mining. A mio modesto parere si dovrebbero meglio definire e standardizzare questi diversi livelli di protezione dei dati in modo da renderli standard opzioni di mercato. Questo dovrebbe fare la unione europea, invece di perdere tempo nella guerra contro i cookies. Se lo stesso autore ammette che la two-factor authentication non viene usata in Berkeley (contraddicendo le esposte esigenze di data security) significa invece che Google e altri fornitori centrali di servizi di outsourcing diffuso, come Amazon, Microsoft e molti altri stanno rendendo disponibili a tutti le migliori tecnologie di protezione dei dati. Google ha anche implementato variazioni alla vm java per garantire con la sandbox una separatezza dei dati e la stessa google ha il peso per indirizzare lo sviluppo di chi agisce sui dati come Cisco Systems e VMware. In sostanza ne beneficiamo tutti, anche a livello consumer. :-) Buona Pasqua! MAB

March 31, 2013

Re: [nexa] R: Interpreazione giuridica su diritti di accesso dei servizi segreti

by Guido Scorza

Fulvio, innanzitutto grazie delle precisazioni e buona Pasqua again! Non conosco, a fondo, l'iter del decreto ma la mia riflessione nasceva dalla lettura dell'art. 11 che dice:" 1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, (...) secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione: (...) c) forniscono informazioni agli organismi di informazione per la sicurezza e consentono ad essi l'accesso alle banche dati d'interesse ai fini della sicurezza cibernetica di rispettiva pertinenza, nei casi previsti dalla legge n. 124/2007". Probabilmente - letto quanto scrivi - sbagliando ma ho sin qui ritenuto che nessun nuovo obbligo di informazione - men che meno massivo o generalizzato - fosse stato introdotto. Se così non fosse e se chicchessia avesse effettivamente acquisito un diritto di accesso indiscriminato ad informazioni personali, liberamente utilizzabili sotto il labile cappello della tutela della sicurezza nazionale sarebbe un fatto gravissimo ma...credo che sarebbe facile porre "fuori legge" il decreto... Finita la Pasqua prometto di approfondire anche con il Garante privacy...ed essere così in grado di contribuire in modo più costruttivo al dibattito in lista. Per ora ancora auguri a te ed a tutti! g Il giorno 30/mar/2013, alle ore 19:50, "Fulvio Sarzana" <fulvio.sarzana(a)lidis.it> ha scritto: > Cari Amici e Colleghi, innanzitutto auguri! > > Sono stato evocato nella lista per il mio pezzo sul Fatto, a proposito del nuovo dpcm Monti sulla sicurezza e, devo necessariamente, fare qualche osservazione. > > Innanzitutto il pezzo ha un taglio giornalistico perché, ovviamente è pubblicato in un contesto divulgativo e non accademico. > > Il richiamo che suggerisce il Collega Blengino alla legge 3 agosto del 2007, n 124, e che dovrebbe consentirci di stare tranquilli, è alla norma che ha istituito il nuovo sistema dei nuovi servizi di sicurezza, con le relative competenze. > > La norma citata, che stabilisce i poteri dei nuovi servizi, consentiva ( sino ad oggi) solo alle pubbliche amministrazioni o esercenti servizi di pubblica utilità, la possibilità di scambiarsi informazioni attraverso una convenzione con gli organi di sicurezza. > > Il tutto peraltro, solo dopo l’emanazione di un regolamento, sentiti gli operatori interessati, e nel pieno rispetto in primis del codice privacy. > > La norma NON prevedeva assolutamente l’obbligo per gli operatori privati, di dare accesso agli organismi per la sicurezza dello stato alle proprie banche dati, in assenza di un procedimento giudiziario che avrebbe viceversa determinato la necessità di adottare le norme del codice di procedura penale, > > Oggi invece, con il dpcm sulla sicurezza informatica i servizi di sicurezza ( ma non solo, nell’ordine il consigliere militare del presidente del Consiglio, il Comitato Interministeriale per la sicurezza pubblica, il Dipartimento di sicurezza più diversi altri enti) avranno il diritto di richiedere l’accesso diretto alle banche dati delle Telco e degli ISP, senza passare per la Magistratura, per gli scopi non di repressione di uno o più reati, ma, per esigenze generiche di “sicurezza” informatica e telematica. > > E, si badi bene senza nessun regolamento adottato in contradditorio con gli operatori e, senza nessun richiamo alle norme sulla privacy. > > Inoltre, qui non si parla si scambio di informazioni o di obbligo di notificare a questi enti il security breach in caso di eventi in grado di compromettere la sicurezza, che è quello, per rispondere a Guido, che ci chiede la UE con la nuova proposta di direttiva del febbraio 2013. > > L’Europa vuole un contesto sicuro, richiede agli operatori l’obbligo di notificare le violazioni di sicurezza, ma certo non si sogna di richiedere ai provider di mettere a disposizione le proprie banche dati ai servizi di sicurezza. > > Inoltre differentemente da quello che ci chiede l’Europa, che ha stanziato linee di credito di finanziamento importanti per queste misure, l’Italia, in virtù della clausola di invarianza finanziaria, ha deciso di far ricadere l’onere di implementazione di queste comunicazioni ( e dei canali sicuri di trasmissione dati) integralmente sugli operatori privati. > > Che quindi devono dare l’accesso, e lo devono anche pagare. > > > Quello che più o meno alcuni di voi, ivi compreso un nostro caro amico ed esperto prestato per qualche mese ( o ceduto a titolo definitivo non si sa ) al Parlamento, definisce sul suo blog una cosa da non preoccuparsi, visto che, sempre secondo il nostro amico, si tratterebbe solo della Data retention che tutti i provider fanno, ha scatenato in America una battaglia durissima tra le organizzazioni di tutela dei diritti civili tra le quali l’Electronic Frontier foundation l’AClu, Avaaz e tante altre organizzazioni, e I repubblicani al Congresso che, avevano proposto il CISPA, ovvero il Cyber Intelligence security and protection act. > > La norma, avversatissima, consentiva agli organi dell’intelligence statunitense di richiedere l’accesso alle banche dati dei providers e di condividere con gli organismi dell’intelligence le relative informazioni, > esattamente ciò che stabilisce oggi il dpcm Monti sulla cyber sicurezza. > > Obama ha poi posto il veto sulla norma, che è stata però riproposta nel febbraio di quest’anno, emanando al contempo un ordine presidenziale, del pari criticato, ma molto più soft. > > > Ma qui siamo in Italia, e molto spesso, gli opinion makers della rete ( al netto naturalmente di tutti coloro che leggono questa lista) , in temi cosi tecnici, fanno una grande fatica, o, si accorgono con un certo ritardo, vedi AGCOm e diritto d’autore, dei rischi per le libertà civili, connessi a determinate iniziative legislative ( o regolamentari). > > La norma italiana che voi vedete oggi approvata ha avuto una lunga gestazione, attraversando almeno tre governi, con diverse versioni che però non avevano mai incluso il settore privato tra i destinatari degli obblighi di condivisione delle informazioni. > > All’ultimo minuto una “manona” governativa, successiva al viaggio che il nostro premier ( oramai in prorogatio perenne) ha fatto in Usa a febbraio del 2012, ha introdotto, mutuandolo dal CISPA, gli obblighi di accesso alle banche dati delle telco a spese delle stesse anche in Italia. > > Non posso qui entrare ulteriormente nel merito, ma sono d’accordo con l’analisi del Collega Pietrosanti sui rischi che la nuova norma invada il campo di applicazione tipico delle acquisizioni di informazioni > Rilevanti per procedimenti giudiziari che devono spettare esclusivamente alla magistratura. > > Non solo infatti i dati relativi al cd data retention sono considerati a tutti gli effetti dati personali dal nuovo plesso normativo comunitario in tema di privacy in via di definizione presso la Ue, ma la possibilità > di accedere al profilo di un utente in via preventiva attraverso i log detenuti dai provider, e la loro modificabilità, può determinare facilmente la creazione di un “profilo” personale con il quale ad esempio “ricattare” > un soggetto ritenuto scomodo o, che ha deciso di entrare in politica, o che potrebbe accedere a determinate cariche. > > Mi scuso se vi ho tediato, e vi saluto caramente > Buona Pasqua > > fulvio > > > > > > > Da: nexa-bounces(a)server-nexa.polito.it [mailto:nexa-bounces@server-nexa.polito.it] Per conto di Guido Scorza > Inviato: sabato 30 marzo 2013 14.18 > A: Carlo Blengino > Cc: nexa(a)server-nexa.polito.it > Oggetto: Re: [nexa] Interpreazione giuridica su diritti di accesso dei servizi segreti > > +1, per fortuna! > Si tratta, d'altra parte, di indicazioni UE. > Il brivido, però, ci offre l'occasione per farci gli auguri! > > Buona Pasqua, > > gs > > Il giorno 30/mar/2013, alle ore 12:59, Carlo Blengino <blengino(a)penalistiassociati.it> ha scritto: > > Il problema esiste (bigbusiness+bigbrother), ma mi pare posto in modo un pò troppo "giornalistico" nel pezzo del bravo Sarzana. > La disposizione non deroga alle norme usuali (e dunque alle garanzie) se non nei limiti di cui alla legge 3/08/2007 n. 124 che di fatto autorizza, a determinate e rigorose condizioni, i componenti di alcuni organismi per la sicurezza anche a commettere reati... D'altra parte difficilmente un atto amministrativo come un DPCM potrebbe superar di un balzo il framework legislativo e costituzionale. Vero che in questo momento l'impalcatura istituzionale pare traballare molto, ma non arriverei ad ipotizzare un salto nelle fonti del diritto così clamoroso. Spero.... > Questa la mia opinione. > C. > > Inviato da iPad2 > > > Il giorno 29/mar/2013, alle ore 18:20, "Fabio Pietrosanti (naif)" <lists(a)infosecurity.ch> ha scritto: > > Ciao, > > nell'articolo http://www.ilfattoquotidiano.it/2013/03/29/governo-attraverso-servizi-di-si… viene indicato che i servizi segreti avranno accesso a basi dati con informazioni sui cittadini italiani di operatori di telecomunicazioni e utility elettriche. > > Chiedo una interpretazione ai giuristi della lista in relazione a questo articolo, cioè per identificare effettivamente a quali informazioni i nostri servizi segreti potranno avere accesso nel futuro prossimo. > > L'articolo 11, citato nell'articolo, in riferimento alla norma http://www.astrid-online.it/Documenti/Servizi-di/DPCM-24-gennaio-2013.pdf dice: > > ================================================================ > Art. 11 Operatori privati > > 1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, quelli che gestiscono infrastrutture critiche di rilievo nazionale ed europeo, il cui funzionamento e' condizionato dall'operativita' di sistemi informatici e telematici, ivi comprese quelle individuate ai sensi dell'art. 1, comma 1, lett. d), del decreto del Ministro dell'interno 9 gennaio 2008, secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione: > > c) forniscono informazioni agli organismi di informazione per la sicurezza e consentono ad essi l'accesso alle banche dati d'interesse ai fini della sicurezza cibernetica di rispettiva pertinenza, nei casi previsti dalla legge n. 124/2007; > ================================================================ > > Dovremmo interpretare "banche dati d'interesse ai fini della sicurezza cibernetica" . > > L'interpretazione immediata che io ne do' è data da dati di tipo tecnico, come logs di apparati di sicurezza e di sistemi informativi che consentano ai servizi nostrani di avere un presidioni del cyberspazio potendo creare una sorta di "SOC" nazionale che ricevere e correla dati di dettaglio sugli attacchi informatici, realizando un SIEM https://en.wikipedia.org/wiki/Security_information_and_event_management . > > Questi dati tecnici sono scarsamente lesivi della privacy dei cittadini ed effettivamente realizzano una grande utilità a livello di protezione e cyber intelligence nazionale. > > Tuttavia posso vedere una interpretazione allargata, che invece mette a rischio effettivo la privacy dei cittadini. > A titolo di esempio si potrebbe ritenere "d'interese ai fini della sicurezza cibernetica" la possibilità di accedere ai dati anagrafici e ai metadati di connessione dei clienti di un operatore di telecomunicazione, al fine di identificare l'intestazione di un indirizzo IP, poichè utili all'interno di attività di intelligence su tematiche di cybersecurity. > > Di fatto, nel caso di legittimazione di una interpretazione più ampia come l'esempio portato qui sopra, si fornirebbe un accesso totale e "senza mandato" a dati anagrafici, tabulati telematici e tabulati telefonici. > > Se volessimo effettuare una interpretazione ancora più ampia, potremmo definire il sistema di posta elettronica di un operatore di telecomunicazione una "base dati" che è "di interesse" ai fini delle attività di investigazione e intelligence per la "sicurezza cibernetica" . > > Con questa ulteriore interpretazione, si andrebbe ad autorizzare l'intelligence nazionale, ad esempio ad accedere a tutte le caselle di libero.it o virgilio.it . > > Cari giuristi nexiani, che ne pensate? > > -- > Fabio Pietrosanti > HERMES - Centro Studi Trasparenza e Diritti Umani in Rete > http://logioshermes.org > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

March 31, 2013

Re: [nexa] R: Interpreazione giuridica su diritti di accesso dei servizi segreti

by Stefano Quintarelli

Il 30/03/2013 19:50, Fulvio Sarzana ha scritto: > Quello che più o meno alcuni di voi, ivi compreso un nostro caro amico ed esperto prestato per qualche mese ( o ceduto a titolo definitivo non si sa ) al Parlamento, definisce sul suo blog una cosa da non preoccuparsi, visto che, sempre secondo il nostro amico, si tratterebbe solo della Data retention che tutti i provider fanno, ha scatenato in America una battaglia durissima tra le organizzazioni di tutela dei diritti civili tra le quali l’Electronic Frontier foundation l’AClu, Avaaz e tante altre organizzazioni, e I repubblicani al Congresso che, avevano proposto il CISPA, ovvero il Cyber Intelligence security and protection act. -- l'amico sono io ;-) io ho scritto che idati in possesso degli operatori sono quelli che sono tenuti a tenere in funzione delle normative che prevedono per l'appunto la conservazione di dati con tempi e modi rigorosi. ho detto anche che tanti soggetti privati, che stanno in luoghi dove la privacy non c'e', hanno ben piu' dati, e li usano. > esattamente ciò che stabilisce oggi il dpcm Monti sulla cyber > sicurezza. non sono d'accordo che sia analogo al CISPA in primo luogo perche' la' non c'e' una norma sulla privacy e nemmeno sulla data retention che prescriva dopo quanto tempo i log vanno aggregati, anonimizzati e cancellati (si puo' tenere qualunque cosa per sempre) e in secondo luogo perche riguardava tutti, non solo gli operatori di tlc: qualunque soggetto privato o pubblico (ovvero chiunque) secondo me c'e' differenza. IMHO una cosa e' chiedere solo ad operatori che hanno solo alcuni dati conservati in modi e tempi assai limitati, ed altra cosa e' poter chiedere qualunque cosa a chiunque per qualunque dato conservato per un lasso di tempo indefinito cmq. IANAL > All’ultimo minuto una “manona” governativa, successiva al viaggio che > il nostro premier ( oramai in prorogatio perenne) ha fatto in Usa > a febbraio del 2012, ha introdotto, mutuandolo dal CISPA, gli BTW a me risulta che sia di fine gennaio http://www.governo.it/Presidenza/Comunicati/testo_int.asp?d=70337 ma cmq. non credo che sia un atto preparato da Monti in persona e non credo che occorra andare a prenderlo fisicamente in USA.. ciao, s. -- my calendar: http://doodle.com/quinta http://blog.quintarelli.it

March 31, 2013

R: Interpreazione giuridica su diritti di accesso dei servizi segreti

by Fulvio Sarzana

Cari Amici e Colleghi, innanzitutto auguri! Sono stato evocato nella lista per il mio pezzo sul Fatto, a proposito del nuovo dpcm Monti sulla sicurezza e, devo necessariamente, fare qualche osservazione. Innanzitutto il pezzo ha un taglio giornalistico perché, ovviamente è pubblicato in un contesto divulgativo e non accademico. Il richiamo che suggerisce il Collega Blengino alla legge 3 agosto del 2007, n 124, e che dovrebbe consentirci di stare tranquilli, è alla norma che ha istituito il nuovo sistema dei nuovi servizi di sicurezza, con le relative competenze. La norma citata, che stabilisce i poteri dei nuovi servizi, consentiva ( sino ad oggi) solo alle pubbliche amministrazioni o esercenti servizi di pubblica utilità, la possibilità di scambiarsi informazioni attraverso una convenzione con gli organi di sicurezza. Il tutto peraltro, solo dopo l’emanazione di un regolamento, sentiti gli operatori interessati, e nel pieno rispetto in primis del codice privacy. La norma NON prevedeva assolutamente l’obbligo per gli operatori privati, di dare accesso agli organismi per la sicurezza dello stato alle proprie banche dati, in assenza di un procedimento giudiziario che avrebbe viceversa determinato la necessità di adottare le norme del codice di procedura penale, Oggi invece, con il dpcm sulla sicurezza informatica i servizi di sicurezza ( ma non solo, nell’ordine il consigliere militare del presidente del Consiglio, il Comitato Interministeriale per la sicurezza pubblica, il Dipartimento di sicurezza più diversi altri enti) avranno il diritto di richiedere l’accesso diretto alle banche dati delle Telco e degli ISP, senza passare per la Magistratura, per gli scopi non di repressione di uno o più reati, ma, per esigenze generiche di “sicurezza” informatica e telematica. E, si badi bene senza nessun regolamento adottato in contradditorio con gli operatori e, senza nessun richiamo alle norme sulla privacy. Inoltre, qui non si parla si scambio di informazioni o di obbligo di notificare a questi enti il security breach in caso di eventi in grado di compromettere la sicurezza, che è quello, per rispondere a Guido, che ci chiede la UE con la nuova proposta di direttiva del febbraio 2013. L’Europa vuole un contesto sicuro, richiede agli operatori l’obbligo di notificare le violazioni di sicurezza, ma certo non si sogna di richiedere ai provider di mettere a disposizione le proprie banche dati ai servizi di sicurezza. Inoltre differentemente da quello che ci chiede l’Europa, che ha stanziato linee di credito di finanziamento importanti per queste misure, l’Italia, in virtù della clausola di invarianza finanziaria, ha deciso di far ricadere l’onere di implementazione di queste comunicazioni ( e dei canali sicuri di trasmissione dati) integralmente sugli operatori privati. Che quindi devono dare l’accesso, e lo devono anche pagare. Quello che più o meno alcuni di voi, ivi compreso un nostro caro amico ed esperto prestato per qualche mese ( o ceduto a titolo definitivo non si sa ) al Parlamento, definisce sul suo blog una cosa da non preoccuparsi, visto che, sempre secondo il nostro amico, si tratterebbe solo della Data retention che tutti i provider fanno, ha scatenato in America una battaglia durissima tra le organizzazioni di tutela dei diritti civili tra le quali l’Electronic Frontier foundation l’AClu, Avaaz e tante altre organizzazioni, e I repubblicani al Congresso che, avevano proposto il CISPA, ovvero il Cyber Intelligence security and protection act. La norma, avversatissima, consentiva agli organi dell’intelligence statunitense di richiedere l’accesso alle banche dati dei providers e di condividere con gli organismi dell’intelligence le relative informazioni, esattamente ciò che stabilisce oggi il dpcm Monti sulla cyber sicurezza. Obama ha poi posto il veto sulla norma, che è stata però riproposta nel febbraio di quest’anno, emanando al contempo un ordine presidenziale, del pari criticato, ma molto più soft. Ma qui siamo in Italia, e molto spesso, gli opinion makers della rete ( al netto naturalmente di tutti coloro che leggono questa lista) , in temi cosi tecnici, fanno una grande fatica, o, si accorgono con un certo ritardo, vedi AGCOm e diritto d’autore, dei rischi per le libertà civili, connessi a determinate iniziative legislative ( o regolamentari). La norma italiana che voi vedete oggi approvata ha avuto una lunga gestazione, attraversando almeno tre governi, con diverse versioni che però non avevano mai incluso il settore privato tra i destinatari degli obblighi di condivisione delle informazioni. All’ultimo minuto una “manona” governativa, successiva al viaggio che il nostro premier ( oramai in prorogatio perenne) ha fatto in Usa a febbraio del 2012, ha introdotto, mutuandolo dal CISPA, gli obblighi di accesso alle banche dati delle telco a spese delle stesse anche in Italia. Non posso qui entrare ulteriormente nel merito, ma sono d’accordo con l’analisi del Collega Pietrosanti sui rischi che la nuova norma invada il campo di applicazione tipico delle acquisizioni di informazioni Rilevanti per procedimenti giudiziari che devono spettare esclusivamente alla magistratura. Non solo infatti i dati relativi al cd data retention sono considerati a tutti gli effetti dati personali dal nuovo plesso normativo comunitario in tema di privacy in via di definizione presso la Ue, ma la possibilità di accedere al profilo di un utente in via preventiva attraverso i log detenuti dai provider, e la loro modificabilità, può determinare facilmente la creazione di un “profilo” personale con il quale ad esempio “ricattare” un soggetto ritenuto scomodo o, che ha deciso di entrare in politica, o che potrebbe accedere a determinate cariche. Mi scuso se vi ho tediato, e vi saluto caramente Buona Pasqua fulvio Da: nexa-bounces(a)server-nexa.polito.it [mailto:nexa-bounces@server-nexa.polito.it] Per conto di Guido Scorza Inviato: sabato 30 marzo 2013 14.18 A: Carlo Blengino Cc: nexa(a)server-nexa.polito.it Oggetto: Re: [nexa] Interpreazione giuridica su diritti di accesso dei servizi segreti +1, per fortuna! Si tratta, d'altra parte, di indicazioni UE. Il brivido, però, ci offre l'occasione per farci gli auguri! Buona Pasqua, gs Il giorno 30/mar/2013, alle ore 12:59, Carlo Blengino <blengino(a)penalistiassociati.it> ha scritto: Il problema esiste (bigbusiness+bigbrother), ma mi pare posto in modo un pò troppo "giornalistico" nel pezzo del bravo Sarzana. La disposizione non deroga alle norme usuali (e dunque alle garanzie) se non nei limiti di cui alla legge 3/08/2007 n. 124 che di fatto autorizza, a determinate e rigorose condizioni, i componenti di alcuni organismi per la sicurezza anche a commettere reati... D'altra parte difficilmente un atto amministrativo come un DPCM potrebbe superar di un balzo il framework legislativo e costituzionale. Vero che in questo momento l'impalcatura istituzionale pare traballare molto, ma non arriverei ad ipotizzare un salto nelle fonti del diritto così clamoroso. Spero.... Questa la mia opinione. C. Inviato da iPad2 Il giorno 29/mar/2013, alle ore 18:20, "Fabio Pietrosanti (naif)" <lists(a)infosecurity.ch> ha scritto: Ciao, nell'articolo http://www.ilfattoquotidiano.it/2013/03/29/governo-attraverso-servizi-di-si… viene indicato che i servizi segreti avranno accesso a basi dati con informazioni sui cittadini italiani di operatori di telecomunicazioni e utility elettriche. Chiedo una interpretazione ai giuristi della lista in relazione a questo articolo, cioè per identificare effettivamente a quali informazioni i nostri servizi segreti potranno avere accesso nel futuro prossimo. L'articolo 11, citato nell'articolo, in riferimento alla norma http://www.astrid-online.it/Documenti/Servizi-di/DPCM-24-gennaio-2013.pdf dice: ================================================================ Art. 11 Operatori privati 1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, quelli che gestiscono infrastrutture critiche di rilievo nazionale ed europeo, il cui funzionamento e' condizionato dall'operativita' di sistemi informatici e telematici, ivi comprese quelle individuate ai sensi dell'art. 1, comma 1, lett. d), del decreto del Ministro dell'interno 9 gennaio 2008, secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione: c) forniscono informazioni agli organismi di informazione per la sicurezza e consentono ad essi l'accesso alle banche dati d'interesse ai fini della sicurezza cibernetica di rispettiva pertinenza, nei casi previsti dalla legge n. 124/2007; ================================================================ Dovremmo interpretare "banche dati d'interesse ai fini della sicurezza cibernetica" . L'interpretazione immediata che io ne do' è data da dati di tipo tecnico, come logs di apparati di sicurezza e di sistemi informativi che consentano ai servizi nostrani di avere un presidioni del cyberspazio potendo creare una sorta di "SOC" nazionale che ricevere e correla dati di dettaglio sugli attacchi informatici, realizando un SIEM https://en.wikipedia.org/wiki/Security_information_and_event_management . Questi dati tecnici sono scarsamente lesivi della privacy dei cittadini ed effettivamente realizzano una grande utilità a livello di protezione e cyber intelligence nazionale. Tuttavia posso vedere una interpretazione allargata, che invece mette a rischio effettivo la privacy dei cittadini. A titolo di esempio si potrebbe ritenere "d'interese ai fini della sicurezza cibernetica" la possibilità di accedere ai dati anagrafici e ai metadati di connessione dei clienti di un operatore di telecomunicazione, al fine di identificare l'intestazione di un indirizzo IP, poichè utili all'interno di attività di intelligence su tematiche di cybersecurity. Di fatto, nel caso di legittimazione di una interpretazione più ampia come l'esempio portato qui sopra, si fornirebbe un accesso totale e "senza mandato" a dati anagrafici, tabulati telematici e tabulati telefonici. Se volessimo effettuare una interpretazione ancora più ampia, potremmo definire il sistema di posta elettronica di un operatore di telecomunicazione una "base dati" che è "di interesse" ai fini delle attività di investigazione e intelligence per la "sicurezza cibernetica" . Con questa ulteriore interpretazione, si andrebbe ad autorizzare l'intelligence nazionale, ad esempio ad accedere a tutte le caselle di libero.it o virgilio.it . Cari giuristi nexiani, che ne pensate? -- Fabio Pietrosanti HERMES - Centro Studi Trasparenza e Diritti Umani in Rete http://logioshermes.org <http://logioshermes.org/> _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa _______________________________________________ nexa mailing list nexa(a)server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

March 30, 2013

[Humor] Video: "The First Honest Cable Company"

by J.C. DE MARTIN

http://youtu.be/0ilMx7k7mso A un recente incontro a cui ho partecipato alcuni europei lodavano la situazione regolamentaria TLC USA.... In effetti, guardando il video si capisce perché :-) juan carlos

March 30, 2013

HBR: "Open Data Has Little Value If People Can't Use It"

by J.C. DE MARTIN

Open Data Has Little Value If People Can't Use It by Craig Hammer | 11:00 AM March 29, 2013 Open data could bethe gamechanger <http://www.ted.com/talks/sanjay_pradhan_how_open_data_is_changing_internati…>when it comes toeradicating global poverty <http://www.youtube.com/watch?v=XRoJBFB1tls>. In the last two years,central and local governments and multilateral organizations <http://www.data.gov/opendatasites>around the world have opened a range of data --- information on budgets, infrastructure, health, sanitation, education, and more --- online, for free. The data are not perfect, but then perfection is not the goal. Rather, the goal is for this data to become/actionable intelligence/: a launchpad for investigation, analysis, triangulation, and improved decision making at all levels. While the "opening" has generated excitement from development experts, donors, several government champions, and the increasingly mighty geek community, the hard reality is that much of the public has been left behind, or tacked on as an afterthought. So how can we support "data-literacy" across the full spectrum of users, including media, NGOs, labor unions, professional associations, religious groups, universities, and the public at large? Here's one approach. It's time and resource intensive, but crucial --- institutionalizing data literacy across societies. Stay with me on this. I'm not suggesting that everyone on planet Earth should be trained in statistical analysis, visualization and app development. Rather, let's work more with journalists and civic groups. Knight FellowJustin Arenstein <https://twitter.com/justinarenstein>calls these folks "mass mobilizers" of information. O'Reilly Media'sAlex Howard <https://twitter.com/justinarenstein>points to these groups in particular because they can helpdemystify data <http://radar.oreilly.com/2012/12/six-ways-data-journalism-is-making-sense-o…>, to make it understandable by populations and not just statisticians. Bono calls thisfactivism <http://www.ted.com/talks/bono_the_good_news_on_poverty_yes_there_s_good_new…>. [...] Continua qui: http://blogs.hbr.org/cs/2013/03/open_data_has_little_value_if.html

March 30, 2013

"The good, not so good, and long view on Bmail"

by J.C. DE MARTIN

Riflessioni sui pro e i contro di dare in outsourcing la posta elettronica di un'università (in questo caso Berkeley). juan carlos The good, not so good, and long view on Bmail Chris Hoofnagle <http://blogs.berkeley.edu/author/choofnagle/>, director of BCLT's privacy programs | 3/6/13 |7 comments <http://blogs.berkeley.edu/2013/03/06/the-good-not-so-good-and-long-view-on-…>|Leave a comment <http://blogs.berkeley.edu/2013/03/06/the-good-not-so-good-and-long-view-on-…> Chris Hoofnagle /Many campuses have decided to outsource email and other services to "cloud" providers. Berkeley has joined in by migrating student and faculty to bMail, operated by Google. In doing so, it has raised some anxiety about privacy and autonomy in communications. In this post, I outline some advantages of our outsourcing to Google, some disadvantages, and how we might improve upon our IT outsourcing strategy, especially for sensitive or especially valuable materials./ *Why outsourcing matters* Many of us welcome possible alternatives to CalMail, which experienced an embarrassing, protracted outage in fall 2011. Many of us welcomed the idea of migrating to Gmail, because we use it personally, have found it user-friendly and reliable, and because it is provided by a hip company that all of our students want to work for. But did we really look before we leaped? Did we really consider the special context of higher education, one that requires us to protect both students and faculty from outside meddling and university-specific security risks? Before deciding to outsource, we have to be sure that there are service providers that understand our obligations, norms, and the academic context. [...] Continua qui: http://blogs.berkeley.edu/2013/03/06/the-good-not-so-good-and-long-view-on-…

March 30, 2013

Re: [nexa] Interpreazione giuridica su diritti di accesso dei servizi segreti

by Guido Scorza

+1, per fortuna! Si tratta, d'altra parte, di indicazioni UE. Il brivido, però, ci offre l'occasione per farci gli auguri! Buona Pasqua, gs Il giorno 30/mar/2013, alle ore 12:59, Carlo Blengino <blengino(a)penalistiassociati.it> ha scritto: > Il problema esiste (bigbusiness+bigbrother), ma mi pare posto in modo un pò troppo "giornalistico" nel pezzo del bravo Sarzana. > La disposizione non deroga alle norme usuali (e dunque alle garanzie) se non nei limiti di cui alla legge 3/08/2007 n. 124 che di fatto autorizza, a determinate e rigorose condizioni, i componenti di alcuni organismi per la sicurezza anche a commettere reati... D'altra parte difficilmente un atto amministrativo come un DPCM potrebbe superar di un balzo il framework legislativo e costituzionale. Vero che in questo momento l'impalcatura istituzionale pare traballare molto, ma non arriverei ad ipotizzare un salto nelle fonti del diritto così clamoroso. Spero.... > Questa la mia opinione. > C. > > Inviato da iPad2 > > > Il giorno 29/mar/2013, alle ore 18:20, "Fabio Pietrosanti (naif)" <lists(a)infosecurity.ch> ha scritto: > >> Ciao, >> >> nell'articolo http://www.ilfattoquotidiano.it/2013/03/29/governo-attraverso-servizi-di-si… viene indicato che i servizi segreti avranno accesso a basi dati con informazioni sui cittadini italiani di operatori di telecomunicazioni e utility elettriche. >> >> Chiedo una interpretazione ai giuristi della lista in relazione a questo articolo, cioè per identificare effettivamente a quali informazioni i nostri servizi segreti potranno avere accesso nel futuro prossimo. >> >> L'articolo 11, citato nell'articolo, in riferimento alla norma http://www.astrid-online.it/Documenti/Servizi-di/DPCM-24-gennaio-2013.pdf dice: >> >> ================================================================ >> Art. 11 Operatori privati >> >> 1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, quelli che gestiscono infrastrutture critiche di rilievo nazionale ed europeo, il cui funzionamento e' condizionato dall'operativita' di sistemi informatici e telematici, ivi comprese quelle individuate ai sensi dell'art. 1, comma 1, lett. d), del decreto del Ministro dell'interno 9 gennaio 2008, secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione: >> >> c) forniscono informazioni agli organismi di informazione per la sicurezza e consentono ad essi l'accesso alle banche dati d'interesse ai fini della sicurezza cibernetica di rispettiva pertinenza, nei casi previsti dalla legge n. 124/2007; >> ================================================================ >> >> Dovremmo interpretare "banche dati d'interesse ai fini della sicurezza cibernetica" . >> >> L'interpretazione immediata che io ne do' è data da dati di tipo tecnico, come logs di apparati di sicurezza e di sistemi informativi che consentano ai servizi nostrani di avere un presidioni del cyberspazio potendo creare una sorta di "SOC" nazionale che ricevere e correla dati di dettaglio sugli attacchi informatici, realizando un SIEM https://en.wikipedia.org/wiki/Security_information_and_event_management . >> >> Questi dati tecnici sono scarsamente lesivi della privacy dei cittadini ed effettivamente realizzano una grande utilità a livello di protezione e cyber intelligence nazionale. >> >> Tuttavia posso vedere una interpretazione allargata, che invece mette a rischio effettivo la privacy dei cittadini. >> A titolo di esempio si potrebbe ritenere "d'interese ai fini della sicurezza cibernetica" la possibilità di accedere ai dati anagrafici e ai metadati di connessione dei clienti di un operatore di telecomunicazione, al fine di identificare l'intestazione di un indirizzo IP, poichè utili all'interno di attività di intelligence su tematiche di cybersecurity. >> >> Di fatto, nel caso di legittimazione di una interpretazione più ampia come l'esempio portato qui sopra, si fornirebbe un accesso totale e "senza mandato" a dati anagrafici, tabulati telematici e tabulati telefonici. >> >> Se volessimo effettuare una interpretazione ancora più ampia, potremmo definire il sistema di posta elettronica di un operatore di telecomunicazione una "base dati" che è "di interesse" ai fini delle attività di investigazione e intelligence per la "sicurezza cibernetica" . >> >> Con questa ulteriore interpretazione, si andrebbe ad autorizzare l'intelligence nazionale, ad esempio ad accedere a tutte le caselle di libero.it o virgilio.it . >> >> Cari giuristi nexiani, che ne pensate? >> >> -- >> Fabio Pietrosanti >> HERMES - Centro Studi Trasparenza e Diritti Umani >> in Rete >> http://logioshermes.org >> _______________________________________________ >> nexa mailing list >> nexa(a)server-nexa.polito.it >> https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

March 30, 2013

Re: [nexa] Interpreazione giuridica su diritti di accesso dei servizi segreti

by Carlo Blengino

Il problema esiste (bigbusiness+bigbrother), ma mi pare posto in modo un pò troppo "giornalistico" nel pezzo del bravo Sarzana. La disposizione non deroga alle norme usuali (e dunque alle garanzie) se non nei limiti di cui alla legge 3/08/2007 n. 124 che di fatto autorizza, a determinate e rigorose condizioni, i componenti di alcuni organismi per la sicurezza anche a commettere reati... D'altra parte difficilmente un atto amministrativo come un DPCM potrebbe superar di un balzo il framework legislativo e costituzionale. Vero che in questo momento l'impalcatura istituzionale pare traballare molto, ma non arriverei ad ipotizzare un salto nelle fonti del diritto così clamoroso. Spero.... Questa la mia opinione. C. Inviato da iPad2 Il giorno 29/mar/2013, alle ore 18:20, "Fabio Pietrosanti (naif)" <lists(a)infosecurity.ch> ha scritto: > Ciao, > > nell'articolo http://www.ilfattoquotidiano.it/2013/03/29/governo-attraverso-servizi-di-si… viene indicato che i servizi segreti avranno accesso a basi dati con informazioni sui cittadini italiani di operatori di telecomunicazioni e utility elettriche. > > Chiedo una interpretazione ai giuristi della lista in relazione a questo articolo, cioè per identificare effettivamente a quali informazioni i nostri servizi segreti potranno avere accesso nel futuro prossimo. > > L'articolo 11, citato nell'articolo, in riferimento alla norma http://www.astrid-online.it/Documenti/Servizi-di/DPCM-24-gennaio-2013.pdf dice: > > ================================================================ > Art. 11 Operatori privati > > 1. Gli operatori privati che forniscono reti pubbliche di comunicazione o servizi di comunicazione elettronica accessibili al pubblico, quelli che gestiscono infrastrutture critiche di rilievo nazionale ed europeo, il cui funzionamento e' condizionato dall'operativita' di sistemi informatici e telematici, ivi comprese quelle individuate ai sensi dell'art. 1, comma 1, lett. d), del decreto del Ministro dell'interno 9 gennaio 2008, secondo quanto previsto dalla normativa vigente, ovvero previa apposita convenzione: > > c) forniscono informazioni agli organismi di informazione per la sicurezza e consentono ad essi l'accesso alle banche dati d'interesse ai fini della sicurezza cibernetica di rispettiva pertinenza, nei casi previsti dalla legge n. 124/2007; > ================================================================ > > Dovremmo interpretare "banche dati d'interesse ai fini della sicurezza cibernetica" . > > L'interpretazione immediata che io ne do' è data da dati di tipo tecnico, come logs di apparati di sicurezza e di sistemi informativi che consentano ai servizi nostrani di avere un presidioni del cyberspazio potendo creare una sorta di "SOC" nazionale che ricevere e correla dati di dettaglio sugli attacchi informatici, realizando un SIEM https://en.wikipedia.org/wiki/Security_information_and_event_management . > > Questi dati tecnici sono scarsamente lesivi della privacy dei cittadini ed effettivamente realizzano una grande utilità a livello di protezione e cyber intelligence nazionale. > > Tuttavia posso vedere una interpretazione allargata, che invece mette a rischio effettivo la privacy dei cittadini. > A titolo di esempio si potrebbe ritenere "d'interese ai fini della sicurezza cibernetica" la possibilità di accedere ai dati anagrafici e ai metadati di connessione dei clienti di un operatore di telecomunicazione, al fine di identificare l'intestazione di un indirizzo IP, poichè utili all'interno di attività di intelligence su tematiche di cybersecurity. > > Di fatto, nel caso di legittimazione di una interpretazione più ampia come l'esempio portato qui sopra, si fornirebbe un accesso totale e "senza mandato" a dati anagrafici, tabulati telematici e tabulati telefonici. > > Se volessimo effettuare una interpretazione ancora più ampia, potremmo definire il sistema di posta elettronica di un operatore di telecomunicazione una "base dati" che è "di interesse" ai fini delle attività di investigazione e intelligence per la "sicurezza cibernetica" . > > Con questa ulteriore interpretazione, si andrebbe ad autorizzare l'intelligence nazionale, ad esempio ad accedere a tutte le caselle di libero.it o virgilio.it . > > Cari giuristi nexiani, che ne pensate? > > -- > Fabio Pietrosanti > HERMES - Centro Studi Trasparenza e Diritti Umani > in Rete > http://logioshermes.org > _______________________________________________ > nexa mailing list > nexa(a)server-nexa.polito.it > https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa

March 30, 2013