March 2022 - nexa - server-nexa.polito.it

Re: [nexa] Sulla "sovranità digitale" (europea): Kasperky et al...

by Michele Pinassi

Caro Damiano, mi ricollego velocemente alla tua ultima, condivisibile, considerazione per ricordare le conclusioni della (ignorata) Commissione di Inchiesta Parlamentare sulla Digitalizzazione e l'Innovazione nella PA[1], del febbraio 2020 (ma temo che la situazione sia ben poco mutata): "/*Il tentativo di istituire la figura di Chief Digital Officer “a costo zero” è chiaramente fallito.* È di tutta evidenza che le figure necessarie non sono presenti all’interno della PA, nonostante, come detto, la normativa prevedesse figure analoghe sin dal 1993 e quindi non vi è alcuna giustificazione per una mancata politica di assunzione in quasi 25 anni. Il costo, però, di un protrarsi della mancanza di giuste competenze nei livelli apicali, con la conseguente esternalizzazione del know-how e l’impossibilità di una reale interlocuzione tra pari con i fornitori, è un costo di gran lunga superiore a quello necessario ad una deroga del blocco delle assunzioni per figure con adeguate competenze tecnologiche, manageriali e di informatica giuridica. È inutile ricordare che*i costi della mancata transizione alla modalità operativa digitale sono stimabili in miliardi di euro e non è pensabile continuare a sostenerli a causa di una visione miope che pretende di operare una tale trasformazione senza avere la risorsa più importante in questo processo: il capitale umano.*/" Credo non ci sia bisogno di aggiungere altro. Saluti, MP [1] https://docs.italia.it/media/pdf/relazionecommissionedigitale-docs/bozza/re… Il 02/03/22 12:03, Damiano Verzulli ha scritto: > ...tanto per essere chiari: alle raccomandazioni che l'Agenzia per la > Cybersecurity Nazionale ha _CORRETTAMENTE_ emanato un paio di giorni > fa, in relazione alla situazione ucraina [2]... e che sono state > ricevute da molti "tecnici" nei vari Atenei del nostro Paese... il > commento piu' diffuso, raccolto (da me) è: "Ok. tutto vero. Ma... chi > lo fa?". Semplicemente non è rimasto piu' nessuno.... oppure, chi c'è, > è ormai vicino alla pensione... Probabilmente la risposta da dare è: > "chiamate il commerciale Google o Microsoft. Ci penseranno loro". E, > ripeto, parliamo di _ATENEI_. > > Che sia il caso di iniziare a ragionarci sopra? > > Saluti, > DV > -- Michele Pinassi - Responsabile Cybersecurity Ufficio esercizio e tecnologie - CSIRT Università degli Studi di Siena irt(a)unisi.it

March 2, 2022

Sulla "sovranità digitale" (europea): Kasperky et al...

by Damiano Verzulli

Come evidenziato anche dal nostro Stefano Quintarelli [*], le cronache recenti dovrebbero accendere qualche faro sulle implicazioni dettate dall'uso di "software" prodotto da entita' terze. Per dirla con le parole di Stefano (che discuteva di Kaspersky): "/Dopo l’aggressione russa con l’ingiustificata invasione dell’Ucraina, forse si potrebbe porre la questione dell’opportunità di una riflessione a lungo termine in merito a chi affidare la scansione di tutti i contenuti digitali (con antivirus ed altre tecnologie), in particolare di quelli ospitati nelle organizzazioni pubbliche e private che rientrano nel “perimetro cibernetico” italiano./" Ritengo sia riduttivo --pero'--, stante il contesto di questa lista, limitare questo ragionamento solo a Kaspersky. Perche' un software installato su qualche milione di PC Italiani (l'AV di kasperky) "è male".... ed invece un software installato su qualche decina di milioni di smartphone (Android), non dovrebbe meritare almeno la stessa attenzione? Perchè se un ipotetico "click" fatto su una console di gestione (che è evidentemente in esecuzione a Mosca), puo' scatenare quegli antivirus installati (anche in Italia ed in Europa) e... ad esempio, _ELIMINARE_ tutti i file presenti sul sistema locale.... è un fatto che "ci preoccupa" ma.... ...un analogo ipotetico "click", fatto a "Mountain View", che comporterebbe il blocco di tutti gli smartphone.... non produce la stessa sensazione? O anche un "click" che blocchi tutte le caselle di GMAIL... di O365..... tutte le VM ospitate su Azure.... su AWS.... ....oppure lo shutdown di Twitter.... di WhatsApp.... Io auspicherei che le orribili vicende di questi giorni rappresentassero una (tristissima) occasione di riflessione "alta", "seria" ed a "lunghissimo termine" su questi temi. Qualcosa che su questa lista gia' era abbastanza presente con l'etichetta "Sovranita' Digitale". Qualcosa che questo "gruppo" puo' certamente favorire/stimolare. Ma il cammino è ancora molto lungo. ...tanto per essere chiari: alle raccomandazioni che l'Agenzia per la Cybersecurity Nazionale ha _CORRETTAMENTE_ emanato un paio di giorni fa, in relazione alla situazione ucraina [2]... e che sono state ricevute da molti "tecnici" nei vari Atenei del nostro Paese... il commento piu' diffuso, raccolto (da me) è: "Ok. tutto vero. Ma... chi lo fa?". Semplicemente non è rimasto piu' nessuno.... oppure, chi c'è, è ormai vicino alla pensione... Probabilmente la risposta da dare è: "chiamate il commerciale Google o Microsoft. Ci penseranno loro". E, ripeto, parliamo di _ATENEI_. Che sia il caso di iniziare a ragionarci sopra? Saluti, DV [*] https://www.ilpost.it/stefanoquintarelli/2022/02/27/easter-egg-russia-e-kas… [2] https://csirt.gov.it/contenuti/innalzare-la-postura-difensiva-in-relazione-… -- Damiano Verzulli e-mail:damiano@verzulli.it --- possible?ok:while(!possible){open_mindedness++} --- "...I realized that free software would not generate the kind of income that was needed. Maybe in USA or Europe, you may be able to get a well paying job as a free software developer, but not here [in Africa]..." -- Guido Sohne - 1973-2008 http://ole.kenic.or.ke/pipermail/skunkworks/2008-April/005989.html

March 2, 2022

Education for peace, education for people

by Alessandro Brolpito

L'uso delle tecnologie nell' istruzione è il mio ambito di lavoro e di ricerca applicata. Coordino, ma forse dovrei già dire coordinavo, due progetti all'ETF, la mia organizzazione, in Ucraina; in questi giorni, abbiamo provato ad andare avanti ma ormai è diventato praticamente impossibile, con contatti sempre più sporadici. E se ci si sente è per sapere se sono ancora vivi... Tutto si ferma e lascia il posto alla guerra e alla distruzione. Un vero dramma. Continuo a credere che "Education for peace, education for people | ETF (europa.eu) <https://www.etf.europa.eu/en/news-and-events/news/education-peace-education…>" e che non appena ci saranno le condizioni si riprenderà, con sempre più determinazione, ma chissà quando, in che modi e con chi poi? Una riflessione: nella mailing list spesso abbiamo discusso della violazione di diritti, dei pericoli derivanti da un "tecnologismo" sfrenato guidato da pochi, che perde il senso dell'umano e che viola i ns diritti. Tutto vero ma non dimentichiamo cosa siamo riusciti a mettere in piedi, per nulla scontato e da sottovalutare... Alessandro

March 1, 2022

Paper: "Publicizing Corporate Secrets for Public Good"

by J.C. DE MARTIN

*Publicizing Corporate Secrets for Public Good* University of Pennsylvania Law Review, Vol. 171 81 Pages Posted: Christopher Morten Columbia Law School; Yale Law School Date Written: February 13, 2022 Abstract Federal regulatory agencies in the United States hold a treasure trove of valuable information essential to a functional society. Yet little of this immense and nominally “public” resource is accessible to the public. That worrying phenomenon is particularly true for the valuable information that agencies hold on powerful private actors. Corporations regularly shield vast swaths of the information they share with federal regulatory agencies from public view, claiming that the information contains legally protected trade secrets (or other proprietary “confidential commercial information”). Federal agencies themselves have largely acceded to these claims and even fueled them, by construing restrictively various doctrines of law, including trade secrecy law, freedom of information law, and constitutional law. Today, these laws—and fear of these laws—have reduced to a trickle the flow of information that the public can access. This should not and need not be the case. This article challenges the conventional wisdom that trade secrecy law restricts public agencies’ power to publicize private businesses’ secrets. In fact, federal agencies, and regulatory agencies especially, have long held and still hold statutory and constitutional authority to obtain and divulge otherwise secret information on private actors, when doing so serves the public interest. For many regulatory agencies, that authority extends even to bona fide trade secrets. In an age of “informational capitalism,” this disclosure authority makes U.S. federal regulatory agencies uniquely valuable—and perhaps uniquely dangerous. Building on recent work that explores this right in the context of drugs and vaccines, and drawing heavily from scholarship in privacy and information law, the article proposes a practical framework that regulators can use to publicize secret information in a way that maximizes public benefit and minimizes private harm. Rather than endorse unconstrained information disclosure—transparency for transparency’s sake—this article instead proposes controlled “information publicity,” in which regulators cultivate carefully bounded “gardens” of secret information. Within these gardens, agencies admit only certain users and certain uses of information. Drawing on existing but largely overlooked real-world examples, the article shows that regulators can effectively and selectively publicize trade secret information to noncommercial users while thwarting commercial uses. Regulators can protect trade secrets’ integrity vis-à-vis competitors while simultaneously unlocking new, socially valuable uses. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4041556

March 1, 2022