Concetti e terminologia della GDPR

Terminologia del GDPR

Il 25 maggio, giorno dell’entrata in vigore del General Data Protection Regulation (GDPR) – il nuovo regolamento sulla privacy – è alle porte. In questo periodo si è cercato di capire cosa cambia e come andar d’accordo con il nuovo dispositivo, dissipando “paure”, indicando processi e soluzioni informatiche utili al raggiungimento della conformità di legge, la “famosa” compliance aziendale.

Facendo il punto della situazione, è quindi utile adesso, assimilare la terminologia del GDPR. Ciò consentendo ad ognuno di individuare il proprio ruolo sulla scena dell’attuazione del nuovo regolamento; di comprendere quali diritti e doveri ci riguardano in via preventiva, quali azioni mettere al più presto in pratica per arrivare pronti al 25 maggio!

Chi è il “soggetto interessato”? Chi sono e che differenza c’è fra il “Responsabile del trattamento” e il “Titolare del trattamento”? Cosa sono i “Dati personali”? Cosa si intende quando si parla di “Diritto all’oblio”, alla cancellazione? In che misura la legge coinvolge i responsabili e i titolari del trattamento rispetto alla “Violazione dei dati personali”? Cosa significano le locuzioni “Privacy by default” “Privacy by design” e principio di “Accountability”?

Avere ben chiare le risposte a queste domande consente di affrontare il processo di conformità alla nuova legge con coscienza, consapevolezza e successo.

Soggetto interessato

È qualsiasi cittadino UE (anche che si trovi al di fuori degli stati membri), identificabile tramite i propri dati personali. L’interessato, ad esempio, è il consumatore che effettua un acquisto online, il paziente di un sistema sanitario, il cittadino che accede ai sevizi della pubblica amministrazione online, l’utente delle applicazioni di social media e in generale qualsiasi persona fisica che fornisca informazioni personali per poter utilizzare dei prodotti/servizi.

Titolare del trattamento

È l’azienda che opera entro i confini della UE o al di fuori della UE ma che ha relazioni commerciali con i cittadini UE e che acquisisce dati sensibili sui cittadini UE nel corso della propria attività. Così secondo la legge n. 675/1996

il “titolare” è la persona fisica [dove per persona fisica si intende in questo caso il libero professionista, il piccolo imprenditore etc] o giuridica, la pubblica amministrazione e qualsiasi altro ente, associazione od organismo cui competono le scelte di fondo sulle finalità e sulle modalità del trattamento dei dati, anche per ciò che riguarda la sicurezza[1].

Responsabilità del titolare del trattamento è anche quella di scegliere partner in grado di erogare soluzioni conformi alla normativa.

Alcune esempi sono le aziende che ricevono informazioni su ordini online, indirizzi e carte di pagamento dai clienti o i fornitori di servizi sanitari che conservano la documentazione dei pazienti.

Responsabile del trattamento

È ad esempio, il tuo fornitore di servizi cloud! Il Responsabile del trattamento si configura come contraente per un Titolare del trattamento. È quindi il fornitore di servizi per un’altra azienda, la quale anch’essa offre servizi ai cittadini UE. Anche il responsabile del trattamento acquisisce dati sensibili sulle persone. Gli esempi includono anche aziende che offrono servizi di hosting delle applicazioni, fornitori di storage e fornitori di servizi cloud come il backup.

Dati personali

Sono dati personali le informazioni che identificano o rendono identificabile una persona fisica e che possono fornire dettagli sulle sue caratteristiche, le sue abitudini, il suo stile di vita, le sue relazioni personali, il suo stato di salute, la sua situazione economica, ecc..[2]

Particolarmente importanti sono: i dati identificativi come ad esempio i dati anagrafici; i dati sensibili come quelli che rivelano religione, opinioni politiche, lo stato di salute e la vita sessuale; i dati giudiziari che rivelano ad esempio l’esistenza di determinati provvedimenti giudiziari soggetti ad iscrizione nel casellario giudiziale…

La definizione fornita dalla UE è anche più ampia di quella di altri governi e include nome, indirizzo email, post dei social media, informazioni fisiche, fisiologiche o genetiche, informazioni mediche, ubicazione, dati bancari, indirizzo IP, cookie, identità culturale ecc. del cittadino UE.

Diritto all’oblio

È il diritto di ogni cittadino UE, dunque del soggetto interessato, di chiedere che siano cancellati e non più sottoposti a trattamento i propri dati personali. Le persone possono richiedere la cancellazione definitiva e completa di tutti i loro dati personali raccolti e/o archiviati dal titolare del trattamento. Ciò può avvenire ad esempio: quando il trattamento violi una disposizione del Regolamento stesso; quando le finalità per cui i dati sono stati raccolti o trattati siano terminate; quando l’interessato abbia ritirato il proprio consenso al trattamento dei propri dati.

Violazione dei dati personali

Il nuovo regolamento impone alle aziende, titolari del trattamento dei dati personali, di comunicare all’autorità di controllo, entro 72 ore dalla venuta a conoscenza dell’accaduto la violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o comunque trattati.

Privacy by default e privacy by design

Sono i due fari guida nella dinamica di definizione delle politiche sulla sicurezza dei dati. Sono i concetti dai quali muove il GDPR. Il regolamento introduce il concetto di Privacy by default per sottolineare la necessità della tutela della vita privata dei cittadini “di default” appunto: come impostazione predefinita. Con ciò si richiede alle aziende l’adozione di un processo di raccolta dei dati che ne tuteli la diffusione. Il processo di adozione dei dati si verifica ad esempio in occasione di registrazione a servizi telematici o della stipula di contratti. Così come in ogni caso ciascun interessato rende noti i propri dati ad un terzo (titolare e/o responsabile del trattamento).

Ciò si lega ai principi generali della protezione dei dati, quali la minimizzazione dei dati e la limitazione delle finalità.

La privacy by default comporta, da una parte, che i sistemi informatici utilizzati garantiscano conformità alla legge anche rispetto a come questi vengono impostati e che determinate informazioni vengano protette in modo rafforzato. Dall’altra parte comporta l’utilizzo di determinate impostazioni in automatico di maggiore tutela per l’utente: queste impostazioni vengono affidate a chi “costruisce” il sistema informatico.

Per privacy by design si intende, invece, la necessità di tutelare il dato sin dalla progettazione di sistemi informatici che ne prevedano l’utilizzo. L’attuale codice della privacy contiene in nuce la definizione delle PET – Privacy enabling technologies – che costituiscono il fondamento della privacy by design. Significa che i programmi informatici e i sistemi informativi devono essere configurati riducendo al minimo l’utilizzazione di dati personali e di dati identificativi. Ciò consente di escludere il trattamento dei dati quando le finalità perseguite nei singoli casi possono essere realizzate mediante, rispettivamente, dati anonimi o opportune modalità che permettano di identificare l’interessato solo in caso di necessità.

Accountability

Si può tradurre in italiano con “responsabilizzazione” dei titolari e responsabili del trattamento dei dati. Il GDPR pone con forza l’accento su questo concetto. Esso rappresenta l’adozione di comportamenti proattivi e tali da dimostrare la concreta adozione di misure finalizzate ad assicurare l’applicazione del regolamento. Da questo approccio muovono le attività connesse ai criteri di privacy by default e privacy by design. Pertanto, tale principio richiede un’analisi preventiva e un impegno applicativo da parte dei titolari che devono sostanziarsi in una serie di attività specifiche e dimostrabili[3]

 

[1] http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/39785. Vedi anche: http://www.garanteprivacy.it/web/guest/home/docweb/-/docweb-display/docweb/49205

[2] http://www.garanteprivacy.it/web/guest/home/diritti/cosa-intendiamo-per-dati-personali

[3] http://www.garanteprivacy.it/approccio-basato-sul-rischio-e-misure-di-accountability-responsabilizzazione-di-titolari-e-responsabili

Email aziendale: Office 365 oppure G Suite?

Quale email aziendale soddisfa meglio le nostre esigenze di business, Exchange Online oppure Gmail? Microsoft oppure Google?

G Suite, il figlio di Google

Partiamo da Gmail di G Suite, la suite che include il servizio di posta professionale Gmail. G Suite, oltre alla casella di posta professionale personalizzabile da 30 GB, comprende anche uno spazio di archiviazione e condivisione, Drive da 30 GB, un servizio per la redazione di documenti online (e soltanto online), Fogli e un servizio per la comunicazione chat, video e voce, Hangouts.

L’interfaccia web di posta Gmail per aziende è pressoché simile a quella di qualsiasi account Gmail; consente di creare alias email di gruppo e di disporre di calendari intelligenti.  E’ possibile accedervi da client desktop come Microsoft Outlook, Apple Mail e Mozilla Thunderbird. Per gli utenti di Outlook, ad esempio, è possibile sincronizzare email, eventi e contatti da e verso G Suite, per non perdere le avanzate funzionalità che Outlook da sempre offre ai suoi utilizzatori.

Exchange Online, sicurezza targata Microsoft

A differenza di Gmail, Exchange Online è un servizio di posta ospitata acquistabile anche separatamente da Office365. In questo caso, troviamo Exchange Online all’interno della suite di Microsoft a partire dal piano Office 365 Business Essentials. Quest’ultimo, oltre alla casella di posta professionale personalizzabile di Exchange Online da 50 GB (!) minimo (99 GB per i piani Enterprise), include uno spazio di archiviazione e condivisione da 1 TB (5 TB per i piani Enterprise) con OneDrive, Office Online per la redazione e condivisione di documenti, fogli di calcolo e presentazioni, Skype for Business per la comunicazione chat, voce e video in HD. Pensato per le videoconferenze, consente la partecipazione di 250 utenti esterni (tramite l’invio di un semplice link di partecipazione), oltre che interni. In più Office365 offre un’area di lavoro interna, Teams, basata sulla chat, per rendere più smart la comunicazione e condivisione interna di progetti, contenuti e strumenti.

Naturalmente, Exchange Online è perfettamente integrato con Outlook, dispone di calendari intelligenti e condivisibili, di lista contatti e consente di creare alias email di gruppo gratuiti. In più, a differenza di Gmail, consente di inviare file di grandi dimensioni (150 MB!) e dispone di opzione di archiviazione illimitata. In questo caso la sicurezza è targata Microsoft: con filtro EOP (Exchange Online Protection) incluso, è un ambiente protetto da spam, phishing e malware.

Costi delle licenze

Per quanto riguarda i prezzi, i due non differiscono in maniera sostanziale. G Suite piano Basic è fornito al costo di € 4 al mese o 40 € all’anno più IVA. Office 365 Business Essentials, invece, è acquistabile a 4,20 € al mese (più IVA) per utente/mese acquistabile anche annualmente (senza vincoli di costo sul mensile se acquistato da partner Microsoft). Entrambi sono quindi flessibili dal lato dei pagamenti. Office 365 è venduto dai partner Microsoft alle aziende tramite sottoscrizioni su base mensile, senza vincolo di abbonamento.  Se invece si è interessati solo al servizio di posta elettronica professionale, è possibile acquistare Exchange Online (Piano 1) al costo di 3,20 € per utente al mese con impegno annuale. Altro aspetto interessante dei servizi Office 365 è la possibilità di combinare i piani acquistati, a seconda delle proprie esigenze di business.

La differenza è invece sostanziale rispetto alle potenzialità del servizio offerto da entrambi, sicuramente superiore nell’offerta di Microsoft. Difatti, a fronte di una spesa equiparabile, con Office 365 ed Exchange Online si ha la possibilità di avere uno spazio di archiviazione e condivisione molto più ampio. Google offre uno spazio su Drive di 30GB, facendo pagare l’aumento di spazio con il piano business (8 € ad utente/mese). Microsoft, invece, offre uno spazio su One Drive di 1 TB (minimo) a partire dal piano Essentials e 5 TB nei piani Enterprise, praticamente illimitato! Stesso discorso vale per lo spazio della casella di posta: 50 GB per Exchange Online (minimo) contro i 30 GB di Gmail. Senza dimenticare che Exchange Online consente di inviare file grandi fino 150 MB e garantendo un ambiente profondamente protetto, così come lo è tutta la suite.

Differenza tra i Piani di Office 365

Sicurezza informatica

Altro aspetto fondamentale quando parliamo di email aziendale. Gmail prevede un livello di sicurezza con un normale filtro antispam: Google utilizza le sue capacità di apprendimento automatico per rilevare gli accessi sospetti e bloccare i tipi più avanzati di spam.

Exchange Online, invece, dispone per ogni cassetta postale di un filtro di protezione da malware e posta indesiderata altamente qualificato, Exchange Online Protection. EOP è un servizio di filtraggio della posta elettronica basato sul cloud che contribuisce a proteggere l’organizzazione da spam, phisching e malware. Include funzionalità in grado di tutelare l’organizzazione dalle violazioni dei criteri di messaggistica. EOP è in grado di semplificare la gestione dell’ambiente di messaggistica e ridurre molti dei problemi legati alla gestione dei componenti hardware e software locali.

In fine è possibile aggiungere un’ulteriore filtro advanced Threat Protection (ATP) di Exchange Online in grado di individuare spam cryptolocker a monte, garantendo così alle imprese una massima efficienza e un risparmio su eventuali costi di intervento e di inattività, “al costo di un caffé”.

Office 365 oppure G Suite? Exchange Online o Gmail? A voi la scelta!

Regolamento GDPR: Nuova legge UE sulla privacy

GDPR: cosa di intende per Regolamento GDPR?

Nascita e definizione della legge

In pochi sanno che il GDPR General Data Protection – Regolamento GDPR UE 2016/679, la nuova legge in materia di protezione dei dati personali, è già attiva. Il regolamento, infatti, è stato già adottato il 27 Aprile 2016. Verrà applicato a partire dal 25 Maggio 2018. È questo un cambiamento importante, che interesserà profondamente aziende di ogni tipo e di ogni dimensione. Ogni organizzazione, all’interno del proprio ambito di riferimento, si trova a ricevere, scambiare, gestire e trattenere dati personali.

Cambiamenti generali e obiettivi del Regolamento GDPR

La nuova GDPR si impone alle aziende e sostituisce ormai la vecchia direttiva sulla protezione dei dati (Direttiva 995/46/EC) del 1995. Essa consta di 90 articoli. Essi specificano le nuove richieste per la gestione dei dati personali di cittadini UE e il rafforzo della relativa struttura organizzativa. Uno degli obiettivi della Commissione Europea è quello di semplificare ed unificare il contesto formativo in materia di trattamento dei dati personali, unificando i regolamenti entro l’UE e dall’UE.

Il GDPR affronta anche il tema dell’esportazione dei dati personali al fuori dell’UE. Inoltre, con il Regolamento GDPR l’Europa intende restituire ai cittadini il controllo dei propri dati personali. Dunque, in generale esso fornisce una nuova e ampia definizione dei dati personali. Imponendo processi specifici, tipi di comunicazione e caratteristiche tecnologiche che le aziende dovranno attuare per conformarsi.

Il GDPR include numerosi requisiti relativi a raccolta, archiviazione e uso delle informazioni personali, tra cui le modalità per:

  • Identificare e proteggere i dati personali nei sistemi
  • Soddisfare nuovi requisiti di trasparenza
  • Rilevare e segnalare violazioni dei dati personali
  • Formare personale e dipendenti che si occupano di privacy

Regolamento GDPR e aziende: come bisognerà regolarsi?

Le aziende che elaborano dati personali provenienti da oltre 5000 cittadini UE avranno una serie più ampia di requisiti da rispettare. Ad esempio la nomina obbligatoria di un responsabile della protezione dei dati (DPO).

In particolare, la sicurezza dei dati raccolti deve essere garantita dal titolare del trattamento e dal responsabile del trattamento. Entrambi sono chiamati a mettere in atto misure tecniche e organizzative idonee per garantire un livello di sicurezza adeguato al rischio. L’ambito d’intervento principale sarà quindi proprio quello informatico. I processi informatici utilizzati dovranno garantire un livello di protezione molto alto e dovranno essi stessi essere conformi alla legge.

Dopo la piena adozione ogni azienda dovrà quindi sollecitarsi ad adottare le misure più adeguate al raggiungimento degli obiettivi di conformità. A meno che non vorrà incorrere in pesanti sanzioni e procedimenti penali, anche questi rivisti dal nuovo regolamento, con conseguenti perdite in termini economici e di reputazione.

L’ammodernamento della legislazione in tema di privacy e quindi l’adempimento del GDPR non sarà di facile adozione ma sarà necessario.

Considerando i molti aspetti coinvolti dalla nuova legge europea, sarà utile iniziare a preparare il proprio ambiente e rivedere le procedure di gestione dei dati e della privacy. Senza rischiare di trovarsi impreparati alla sua entrata in vigore. Evitando inutili, affannose ed onerose corse contro il tempo.

Verso la conformità: passaggi fondamentali

Le aziende potranno iniziare ad utilizzare (o ad utilizzare meglio) i giusti strumenti e servizi informatici, ottimizzandone processi ed implementazioni. Per orientarsi nel percorso verso la conformità sarà utile concentrarsi su 4 passaggi fondamentali:

  1. Rilevamento (delle minacce; dell’uso accidentale/intenzionale improprio dei dati raccolti)
  2. Protezione a più livelli dei dati
  3. Gestione dei dati scambiati/raccolti/trattenuti
  4. Segnalazione 

Vi forniremo via via indicazioni utili in grado di accompagnarvi in questo processo di apprendimento. Infine, vogliamo segnalarvi, già da ora, che i prodotti e i servizi Cloud Microsoft (come Office 365 e relativi), così come WatchGuard dispongono già di pacchetti capaci di assicurare la conformità al GDPR. Questi sono concepiti proprio nell’ottica della responsabilità condivisa, in materia di protezione dei dati personali, con i partner e con i clienti.

Allerta Wanna Cry: conoscerlo per difendersi

Allerta Wanna Cry: conoscerlo per difendersi
Sempre tenendo in considerazione le informazioni utili e le raccomandazioni fatte nel precedente articolo e cioè quali pratiche applicare per rispondere preventivamente ad agli attacchi di Wanna Cry, conosciamolo da vicino.

Conoscere “i nemici” ci consente non solo di sapere quali interventi adottare ma anche quali azioni applicare quotidianamente. In azienda, per fare ciò è necessario conoscere bene la propria infrastruttura IT. Troppo spesso, nell’utilizzo degli strumenti informatici, ci esponiamo inconsapevolmente a rischi, proprio perché non riusciamo ad averne avvertenza.

Prima di parlare dettagliatamente di questo virus, vogliamo quindi ricordare quali sono le azioni da non fare per evitare di esporsi a rischi di questo genere.

La parola d’ordine, anche in questo caso sarà: AGGIORNARE!

Lo ripetiamo: è necessario adottare il prima possibile la versione aggiornata dei software in uso a partire dal sistema operativo (Windows 10!) senza tralasciare di aggiornare qualsiasi software in grado di maneggiare contenuti esterni (sì, vi tocca aggiornare tutto!).

A livello aziendale, tale processo si esplicherà nel rendere efficiente e snello il processo di aggiornamento stesso. In questo caso snellezza ed efficienza si traducono in servizi Cloud, di per sé sempre aggiornati all’ultima versione. Ciò consente di installare il prima possibile e in modo completo le patch di sicurezza.

La cosa da non fare è quindi quella di smanettare aggirando o disabilitando le impostazioni di aggiornamento automatico, che permettono al sistema di essere sempre protetto con le ultime patch di sicurezza non appena rilasciate.

 In particolare le aziende, inoltre, non devono utilizzare il protocollo SMBv1 (Microsoft ha sconsigliato l’utilizzo di SMBv1, laddove possibile). Sui sistemi su cui non sia possibile intervenire con aggiornamenti, provvedere quindi a disabilitare il protocollo SMBv1.

Inoltre, in ambito aziendale è bene che tali comportamenti atti a preservare la sicurezza dell’intera organizzazione si diffondano ad ogni settore ed ogni livello. A tal proposito, ci vengono certamente in aiuto i servizi di Office 365, che mostrano un pannello di amministrazione capace di offrire il comando e la visualizzazione delle azioni fatte tramite l’intera piattaforma Office 365. Inoltre, con Office 365 piano E5 (o acquistandolo separatamente) è possibile avere un servizio a supporto della sicurezza aziendale. Si chiama Threat Intelligence ed è molto utile per l’analisi ed il monitoraggio degli attacchi, consentendo di strutturare una strategia di difesa persistente.
Wanna Cry ransomware: cos’è e cosa fa
La recente campagna ransomware ha avuto un impatto globale. Questa assume, però, caratteri differenti dalle precedenti per due ragioni. La sua pericolosità risiede, infatti, nell’aver combinato in un solo attacco due tipologie di malware:

  1. Un codice di tipo ransomware encryption che agisce in modo classico nel cifrare i file del PC della vittima chiedendo poi il relativo riscatto;
  2. Un codice di tipo worm che ha la capacità di propagarsi automaticamente all’interno di una rete tipicamente aziendale.

Ciò permette al primo codice di essere copiato e quindi di infettare tutti i PC che riesce a contattare se vulnerabili, anche rispetto alla vulnerabilità di rete utilizzata (ad esempio l’EternalBlue).

È questo un modo molto ingegnoso, che consente la propagazione dell’infezione da ransomware, che finora dipendeva solamente dall’adescamento degli utenti tramite email di phising con allegati o link pericolosi (vettori primari dell’infezione).

È quindi sufficiente che un solo collaboratore sia rimasto vittima dell’apertura di un allegato infetto, per scatenare l’”epidemia” nella propria azienda, con un impatto tanto più elevato quanto più sistemi sono accesi e vulnerabili, dunque non aggiornati rispetto alla patch MS17-010. Inoltre, tale infezione è naturalmente propagabile anche tramite strumenti utilizzati da collaboratori esterni: ecco perché è necessario dotarsi di sistema di sicurezza efficienti come quelli consigliati nel precedente articolo.

Quanto detto fa pensare ad attacco di tipo globale e non mirato alle sole singole aziende già colpite. Naturalmente, saranno le indagini che si sono attivate a tale scopo a chiarire ciò. Al momento però, tale campagna sembrerebbe soltanto orientata ad aumentare la propagazione dell’infezione da ransomware. Esso purtroppo ha potuto avere un impatto significativo nelle realtà aziendali dotate di sistemi obsoleti e/o con processi non efficienti (o addirittura assenti) di aggiornamento dei sistemi.

Come dichiarato da Feliciano Intini sul blog Microsoft NonSoloSecurity, attualmente, la nota positiva di questa vicenda è che la prima variante di WannaCry/WannaCrypt non è stata attrezzata con funzionalità in grado di carpire credenziali o loro derivati (hash) una volta infettato il sistema vittima. Ciò può essere segno della non volontà di approfittare dell’infezione ransomware per predisporre un attacco persistente. Questo discorso è valido, però, per la prima variante del virus e non esclude che ciò possa accadere da qui in avanti. Anzi, a questo punto purtroppo tale rischio è plausibilmente molto alto. L’efficace approccio phishing>ransomware+worm utilizzato da Wanna Cry può essere verosimilmente usato per realizzare la base per attacchi persistenti, molto più pericolosi da rilevare.

Contratto il ransomware, esso fa scattare i propri lucchetti e da quel momento in poi si è in fase di emergenza, impossibilitati ad utilizzare il pc e privi dei propri file, in certi casi anche importanti. A quel punto diventa inutile pensare ai mancati aggiornamenti, alla mancata attenzione e ai mancati backup.

Dopo aver predisposto gli interventi urgenti contro questa prima ondata di virus è perciò necessario approcciare alla sicurezza aziendale in maniera consapevole e sistematica. La consapevolezza di quel che si fa online, unitamente all’utilità di software antivirus e ad una necessaria informazione quotidiana, consentono di evitare la maggior parte dei rischi.

5 punti per proteggersi da WannaCry

5 punti per proteggere i sistemi aziendali da WannaCry prevenendo i suoi attacchi

Anche se al momento l’attacco di WannaCry è stato bloccato, è facile aspettarsi una seconda versione capace di aggirare il tipo di blocco operato. In generale, dunque, è necessario mettersi al sicuro da questo virus in maniera preventiva.

Azioni  da effettuare per i clienti Windows:

  1. Aggiornare con urgenza i sistemi operativi, adottando appena possibile le versioni più recenti del software in uso. Per quanto riguarda i sistemi operativi Microsoft vi consigliamo di adottare al più presto Windows 10 per i client e Windows Server 2016 per i server.
  2. Proteggere le proprie cassette postali adottando filtri capaci di rilevare attacchi 0-Day e spam cryptolocker con Office 365 Advanced Threat Protection. ATP è l’unico filtro capace di bloccare a monte comunicazione “infetta”, tramite un sofisticato sistema che funziona come una camera di “detonazione”. Ciò è necessario perché le email di phiscing con allegati infetti e link pericolosi, sono il vettore di attacco primario dei virus.
  3. Aggiornare i sistemi anti malware che funzionano “a valle”in grado di rilevare la minaccia una volta nota. Dunque, aggiornare Windows Defender, aggiornamento già disposto da venerdì 12 maggio.
  4. Adottare sistemi e soluzioni di Windows Defender Advanced Threat Protection. Essi consentono tipicamente di rilevare e fermare “a monte” l’attività anomala del codice worm, che tenta l’automatica propagazione tramite la rete. Questa attività malevola è rilevabile solo da moderne soluzioni di endpoint protection di tipo anti- APT, come Advanced Threat Protection, detto filtro ATP, appunto.
  5. Implementare sistemi e servizi che consentono il versioning: utilizzando sistemi di archiviazione documentale basate sul cloud compunting come OneDrive for Business. Ciò vi consentirà di recuperare la versione originale dei file, prima che essi vengano cifrati dal ransomware. Questo perché i servizi Office 365 e OneDrive for Business, offrono la possibilità di mantenere (e condividere) lo storico delle versioni (versioning), facendo sì che ogni modifica apportata al documento non annulli la versione precedente. Inoltre, l’adozione di Virtual Machine ospitate dalla piattaforma Azure nella modalità IaaS garantisce che le stesse siano fornite perfettamente aggiornate con le necessarie patch di sicurezza.

Perché scegliere Windows 10

In ultimo, mentre le versioni precedenti di Windows sono più esposte a WannaCry, Windows 10 al momento è stato considerato quasi immune. Il virus sfrutta esploit già collaudati ed efficaci sulle versioni più datate di Windows, magari non adeguatamente aggiornate. Windows 10, invece, è strutturalmente più robusto e ha trasformato la modalità di aggiornamento verso gli utenti finali, rendendo obbligatoria l’istallazione della patch di sicurezza quando rilasciate, il secondo martedì del mese.