On 30/11/2016 16:00, Fabio Pietrosanti (naif) - lists wrote:

On 11/29/16 12:26 PM, Andrea Glorioso wrote:

...

"Perché non si può uccidere l'innovazione."

(Cose sentite da una decina d'anni a questa parte, quando appunto su a Bruxelles si cercava di ragionare su come assicurarsi che l'industria delle TIC fosse sostenibile. All'epoca, alcuni avevano già previsto ciò che oggi Bruce Schneier e altri vanno a dire al Congresso degli Stati Uniti, ovvero che Internet non è più solo foto di gattini, e per inciso non lo era nemmeno dieci anni fa quando Schneier & co dicevano cose un po' diverse di oggi.)

Comunque io ero e resto convinto che (1) le responsabilità civili e penali, specialmente per dolo o colpa grave e/o per attività in cui è richiesta più della cura del "pater familias" (se è ancora questa la terminologia usata) non sono automaticamente obliterate da EULA fantasiose, e che (2) chi richiede software (che sia embedded o meno) per attività tipo gestire le turbine di una centrale nucleare, ha i soldi e le leve politiche per richiedere eccome al "vendor" l'assunzione di responsabilità precise in caso di malfunzionamento. Bisogna vedere se ne ha l'intelligenza e la volontà. Ci vorrei aggiungere una riflessione che parte da questo tuo spunto.

C'è software e software, ovvero ci sono software a rischio sistemico (es: Internet Explorer, Chrome, Acrobat Reader, Mac OS X, etc) e software che no (Impara a Cucinare 3.2, DisegnareGiardini 2.0) .

Per il mondo delle banche la regolamentazione è stata differenziata fra quelle a rischio sistemico (es: Unicredit) e quelle che no (es: Cassa rurale di Cantù).

Secondo questa riflessione, penso che debbano esserci delle responsabilità ben definite, aldilà delle EULA, per i software vendor che producono e distribuiscono software a rischio sistemico.

Per rischio sistemico intendo una definizione, che può essere più o meno articolata, di software diffusi su più dell'x% dei dispositivi in mano a cittadini ed aziende (es: =>5% dei dispositivi?) .

Per un software che è così ampiamente diffuso, avrebbe senso introdurre dei criteri di responsabilità civile laddove vi siano delle falle di sicurezza e come sia possibile risolvere queste falle (vedi: impossibilità di aggiornare iPhone4 per il risolvere problemi di sicurezza ad esempio).

Ma questo lo dovrebbe fare "il legislatore"(c).

Che ne dis?

se il kernel GNU/Linux fosse a rischio sistemico, sarebbe giusto rinegoziare tutto?(ed anche praticabile?) abbiamo bisogno di freak controllare la responsabilita di gnu.org per il middle layer GNU? Se un appliance FreeNAS ci distrugge i dati per i soliti motivi entropici con chi ce la prendiamo con iXsystems o con la FreeBSD foundation o con Oracle (per lo ZFS)? Forse uno spartiacque del tipo: mission critical vs tutto il resto dove il distributore è chiamato in causa a garante della catena e risponde in solido buone pensate salut

Sempre sullo stesso argomento, un recente evento dell'Atlantic Council (basato a Washington, DC): +++ http://www.csmonitor.com/World/Passcode/2016/1202/Should-companies-be-held-l... Should companies be held liable for software flaws? December 2, 2016 —With more cars and medical devices connecting to the internet, what happens if automakers and health care companies don't start prioritizing digital security? Many cybersecurity experts worry that faulty code in the so-called Internet of Things (IoT) won't just cause systems to malfunction and freeze. Instead, they say, flaws inside connected cars or pacemakers could lead to serious injury or death. As a result, leading digital security experts are calling on US policymakers to hold manufacturers liable for software vulnerabilities in their products in an effort to prevent the bugs commonly found in smartphones and desktops from pervading the emerging IoT space. But can that strategy work? Or will more government regulation stifle innovation? Those were the big questions at an event Wednesday at the Atlantic Council in Washington. Passcode was a media partner of the event. Here are a few things we learned: About video ads 1. Everything is a computer. Act like it To lay the legal foundation for the Digital Age, policymakers need to start wrapping their minds around the idea that we're living in an era of technology, where everything we depend on is a computer that may be connected to the internet, says cryptographer Bruce Schneier, a fellow at Harvard Law School's Berkman Klein Center for Internet and Society. "The way to think about the world is that we’re creating technology where everything is a computer," he said. "Your smartphone is a computer that makes calls. Your car is a 100-computer network with an engine. That’s the Internet of Things." Though the US government hasn't adopted regulations for the burgeoning space, the Obama administration last month released guidelines for IoT devices that called on engineers to build secure features into the design of connected products. That followed a similar strategy from the Department of Homeland Security that said manufacturers should prioritize security features for the most harmful functions that could be breached. But creating a legal regime that determines who's responsible for security flaws in those computers or software, Mr. Schneier says, will require the country to enact consumer protection laws that can more effectively respond to rapid changes in technology. More safety regulation is needed, he added, because consumers still might buy harmful products if they tend to work well, regardless of the potential dangers to their safety. "The market can’t fix this because neither the buyer and the seller care," he said. "Until now, we've given programmers the right to code the world that they saw fit. We need to figure out the policy." 2. Data rules everything around you In the era of big data, companies can measure many digital security metrics, from the cost of cyberattacks to the susceptibility of employees to phishing and other hacking tricks. But there's still not enough data on IoT breaches, because its spread is so new, says John Soughan, who heads up business in the cyberinsurance division at Zurich North America, a Switzerland-based insurance company. "Right now, there’s not enough data around what are the causes of these breaches, all of the liabilities in there. That’s problematic for insurance companies, because that’s part of the market," he said. "That’s why we're supportive of efforts to collect breach data to make sure we know what the cost of that risk is." The lack of information on data breaches is also problematic as courts begin to determine how to settle cases where consumers are harmed by internet-connected products. Since there's been few efforts to categorically track the harmful impact of faulty internet-connected products, legal cases against manufacturers are often based on ambiguous threats, which may not be enough to get a ruling – let alone create a precedent for future cases. What's more, added Wendy Knox Everette, a legal fellow at the technology-focused law firm ZwillGen, "the amorphous threat of some future non-physical harm is not enough for a court to address right now." 3. Learn to live with risk Even if there is a legal framework for IoT that's designed to protect consumers, people still may need to accept some risk with these types of devices, the experts said. "We don’t want perfectly unbreakable door locks because they’d be too expensive. We choose to bear that risk," said Eli Dourado, director of the Technology Policy Program at George Mason University's Mercatus Center. "You never get rid of externalities. We’re trying to get to the most efficient result – the least harm." So to strike a balance between keeping consumers secure and enabling technology to advance, experts say, policymakers would do well to find ways to get the riskiest products off the market. "The IoT makes people think about software liability," said Ms. Everette. "Instead of being locked inside desktop computers, [software] is now inside physical devices that can now interact with us and possibly harm us... . You can buy knives, but we no longer have lawn darts on the market. That’s a really good way to see how product liability helps you determine your risk." Sent from my iPad On Wed, Nov 30, 2016 at 19:32 Andrea Glorioso <andrea@digitalpolicy.it> wrote:

Personalmente, e avendoci lavorato per un po' (ma diversi anni fa) ritengo che a fronte di tecnologie oggettivamente complesse (ma non necessariamente più complesse di un'automobile moderna) vi siano svariate soluzioni possibili, dell'assunzione di responsabilità di un "principal" (e.g. azienda che produce distribuzioni GNU/Linux), agli strumenti assicurativi (che anni fa non erano possibili perché le compagnie assicurative, pur essendo interessate al potenziale mercato, non avevano a disposizione i dati attuariali necessari, poiché le aziende ICT si rifiutavano di fornire il benché minimo numero in materia di bug / falle eccetera), all'esenzione di responsabilità per chi produce software senza scopo di lucro.

Ma ci vogliono la visione e la volontà, che all'epoca mancavano, almeno da parte dell'industria. Poi mi hanno messo a fare altro, quindi non so bene cosa sia successo di recente. :)

Sul rischio sistemico, la recente Direttiva NIS (Network and Information Security) introduce già obblighi di e.g. breach notification per le aziende (incluse quelle IT) il malfunzionamento dei cui prodotti o servizi possa avere un impatto significativo a livello nazionale o europeo.

Naturalmente, durante le negoziazioni di quella Direttiva (e altre) si è assistito al fenomeno del "Lobbista di Schrödinger", ovvero il lobbista che sostiene al tempo stesso che l'azienda X è troppo importante per l'economia nazionale / europea perché gli stupidi legislatori possano pensare di regolamentarla in qualsivoglia modo, ma è anche così poco importante che le sue azioni non possono in alcun caso avere un impatto negativo sulle suddette economie. Ho sentito dire che Giacobbo ci sta preparando uno speciale di Voyager.

Ciao,

Andrea

On Wed, Nov 30, 2016 at 13:21 mutek@riseup.net <mutek@riseup.net> wrote:

On 30/11/2016 16:00, Fabio Pietrosanti (naif) - lists wrote:

...

On 11/29/16 12:26 PM, Andrea Glorioso wrote:

...

"Perché non si può uccidere l'innovazione."

(Cose sentite da una decina d'anni a questa parte, quando appunto su a Bruxelles si cercava di ragionare su come assicurarsi che l'industria delle TIC fosse sostenibile. All'epoca, alcuni avevano già previsto ciò che oggi Bruce Schneier e altri vanno a dire al Congresso degli Stati Uniti, ovvero che Internet non è più solo foto di gattini, e per inciso non lo era nemmeno dieci anni fa quando Schneier & co dicevano cose un po' diverse di oggi.)

Comunque io ero e resto convinto che (1) le responsabilità civili e penali, specialmente per dolo o colpa grave e/o per attività in cui è richiesta più della cura del "pater familias" (se è ancora questa la terminologia usata) non sono automaticamente obliterate da EULA fantasiose, e che (2) chi richiede software (che sia embedded o meno) per attività tipo gestire le turbine di una centrale nucleare, ha i soldi e le leve politiche per richiedere eccome al "vendor" l'assunzione di responsabilità precise in caso di malfunzionamento. Bisogna vedere se ne ha l'intelligenza e la volontà. Ci vorrei aggiungere una riflessione che parte da questo tuo spunto.

C'è software e software, ovvero ci sono software a rischio sistemico (es: Internet Explorer, Chrome, Acrobat Reader, Mac OS X, etc) e software che no (Impara a Cucinare 3.2, DisegnareGiardini 2.0) .

Per il mondo delle banche la regolamentazione è stata differenziata fra quelle a rischio sistemico (es: Unicredit) e quelle che no (es: Cassa rurale di Cantù).

Secondo questa riflessione, penso che debbano esserci delle responsabilità ben definite, aldilà delle EULA, per i software vendor che producono e distribuiscono software a rischio sistemico.

Per rischio sistemico intendo una definizione, che può essere più o meno articolata, di software diffusi su più dell'x% dei dispositivi in mano a cittadini ed aziende (es: =>5% dei dispositivi?) .

Per un software che è così ampiamente diffuso, avrebbe senso introdurre dei criteri di responsabilità civile laddove vi siano delle falle di sicurezza e come sia possibile risolvere queste falle (vedi: impossibilità di aggiornare iPhone4 per il risolvere problemi di sicurezza ad esempio).

Ma questo lo dovrebbe fare "il legislatore"(c).

Che ne dis?

se il kernel GNU/Linux fosse a rischio sistemico, sarebbe giusto rinegoziare tutto?(ed anche praticabile?) abbiamo bisogno di freak controllare la responsabilita di gnu.org per il middle layer GNU? Se un appliance FreeNAS ci distrugge i dati per i soliti motivi entropici con chi ce la prendiamo con iXsystems o con la FreeBSD foundation o con Oracle (per lo ZFS)? Forse uno spartiacque del tipo: mission critical vs tutto il resto dove il distributore è chiamato in causa a garante della catena e risponde in solido buone pensate salut _______________________________________________ nexa mailing list nexa@server-nexa.polito.it https://server-nexa.polito.it/cgi-bin/mailman/listinfo/nexa