Informazioni personali

Cerca nel blog

Translate

martedì 15 ottobre 2024

Piracy Shield: Una Disamina Ermeneutica sulle Ombre del Controllo Digitale

Antonio Ieranò, #OPEN_TO_WORK

Antonio Ieranò

Security, Data Protection, Privacy. Comments are on my own unique responsibility 🙂

October 10, 2024

Prefazione:

L’ispirazione per il presente scritto nasce dalle recenti riflessioni del Ministro della Cultura, il quale, con il suo eloquio magistrale, ci ha suggerito implicitamente che forse il problema della scarsa comprensione delle leggi antipirateria nelle nostre istituzioni non risiede nell’intento, bensì nella povertà linguistica con cui la questione è stata affrontata. Forse è proprio l’inadeguatezza dell’espressione verbale a non aver comunicato la complessità e profondità di un sistema digitale che sfugge alle retoriche semplicistiche del controllo. Nella speranza che un’analisi dai toni più elevati possa risvegliare un maggiore discernimento critico, mi appresto a presentare una dissertazione ermeneutica che solleciti una più raffinata comprensione di #PiracyShield.


1. La Dialettica della Censura: Fra Presenza e Assenza del Potere Digitale

Piracy Shield, nella sua ontologia primaria, non si configura meramente come uno strumento legislativo volto a inibire i flussi illeciti di contenuti. Al contrario, esso è l’espressione di un potere che si esercita attraverso una dialettica assente-presente, un paradigma di potenza invisibile che si manifesta solo attraverso il suo effetto esteriore: la cancellazione. Ciò che appare a prima vista come un semplice meccanismo di blocco, si rivela, nella sua essenza più profonda, un atto di violenta dissimulazione.

L’invisibilità dell’atto censorio, condotto senza contraddittorio né verifica, si traduce in una “presenza invisibile” che pervade l’intero tessuto digitale. Piracy Shield diviene, in tal modo, non solo l’artefice di una negazione, ma il simbolo di un potere che si sottrae allo sguardo critico. Ciò che è bloccato non è solo il sito web, ma l’accesso stesso alla dimensione ermeneutica della rete, che si riduce a un mero spazio interdetto dalla sua verità simbolica. La legge non necessita di dimostrare la sua efficacia, poiché la sua esistenza si afferma nel momento stesso in cui annulla l’altro.

In questa dimensione, l’assenza di una autorità preposta a validare il blocco si configura come un segno della sua supremazia: non c’è bisogno di giustificazione né di trasparenza quando il potere è esercitato attraverso l’ombra, e non attraverso la luce della ragione. È l’ombra del potere che si estende, invisibile e inarrestabile, sull’universo digitale.


2. Dal Univocum al Prevalente: La Mutazione Semantica dell’Arbitrio

Un cambiamento apparentemente insignificante si annida nel cuore della normativa: la sostituzione del termine “univocamente” con “prevalentemente”. Questo slittamento semantico potrebbe sembrare, al lettore disattento, un dettaglio tecnico; ma nel contesto della filosofia giuridica e digitale, si tratta di un passaggio fondamentale che altera radicalmente la struttura concettuale della norma.

Laddove il termine “univoco” presupponeva una chiara e indiscutibile correlazione fra un indirizzo IP e un’attività illecita, il termine “prevalente” introduce una zona grigia, un territorio di ambiguità in cui la verità giuridica si dissolve in una nebulosa di possibilità. Non si richiede più che l’illegalità sia certa, ma solo che sia “prevalente”. La precisione giuridica, già fragile, si sgretola ulteriormente, cedendo il passo a un arbitrio semantico che apre le porte a interpretazioni tanto vaghe quanto pericolose.

L’ermeneutica di tale cambiamento lessicale ci conduce a una riflessione più ampia: cosa significa, nel contesto digitale, “prevalentemente”? Si tratta di una nozione malferma che non offre alcun fondamento epistemologico sicuro, lasciando spazio a decisioni soggettive e spesso arbitrarie. In tal senso, la legge si allontana dal suo scopo originario di regolazione per divenire uno strumento di potenziale abuso, capace di colpire non solo l’illegalità, ma anche tutto ciò che vi gravita intorno senza esserne parte integrante.


3. Il Tempo Sospeso: L’Atemporalità del Blocco Permanente

Uno degli aspetti più singolari di Piracy Shield è la sua concezione del tempo. Nella logica di questa normativa, il blocco non è solo un atto immediato, ma anche, paradossalmente, una condizione atemporale. Una volta che un dominio o un indirizzo IP viene interdetto, la legge non prevede un meccanismo rapido o efficiente di “sblocco”. Questa mancanza trasforma il blocco in una sorta di condanna perpetua, una sospensione indefinita che ricorda le peggiori aberrazioni giuridiche del passato.

Questo tempo “sospeso” è, a tutti gli effetti, un atto di potere. Non è il tempo che fluisce, ma un tempo bloccato, cristallizzato nella negazione stessa dell’accesso. In tal modo, il sito web non è semplicemente oscurato: è esiliato dall’esistenza, relegato in un limbo da cui non c’è via di uscita immediata. L’assenza di un sistema di “sblocco” rapido è tanto più inquietante se consideriamo che gli errori nei blocchi non sono rari.

Il potere esercitato diventa quindi una forza ineluttabile che, una volta attivata, non può essere facilmente invertita. In questa dimensione, il tempo non è più un fattore neutrale, ma uno strumento di controllo e coercizione, dove la durata del blocco equivale a una condanna senza appello, senza il conforto di una revisione.


4. Le VPN e i DNS: La Simbolica Fuga dall’Autorità

Pur tentando di imporsi come un meccanismo di controllo onnipresente, Piracy Shield si trova di fronte a un ostacolo insormontabile: la natura fluida e decentrata della rete stessa. Strumenti come le VPN e i DNS alternativi incarnano la resistenza naturale del digitale all’imposizione di confini rigidi. Essi rappresentano non solo una soluzione tecnica per aggirare i blocchi, ma anche un simbolo di una resistenza profonda, di un movimento sotterraneo che sfugge al controllo centralizzato.

L’idea che la normativa possa estendersi a bloccare le VPN e i DNS su scala globale rivela una sorta di delirio di onnipotenza legislativa. È tecnicamente impossibile, eppure, nell’intento della legge, sembra esserci una volontà di perseguire l’impossibile: un controllo totale, un’utopia distopica in cui l’intero cyberspazio è sotto l’egida di una sola autorità.

Questa fuga simbolica dalla rete di controllo statale dimostra che la natura stessa della rete è in contraddizione con la logica repressiva di Piracy Shield. La rete non può essere facilmente intrappolata, poiché la sua essenza è quella di un fluido reticolo di connessioni che sfuggono al tentativo di ingabbiarle.


5. L’Armonia dell’Assurdo: Reprimere Senza Risolvere

La vera ironia di Piracy Shield risiede nel fatto che, pur ostentando un’intenzione di risolvere il problema della pirateria, non fa che amplificarlo. La repressione cieca, come abbiamo già visto in altre nazioni, non risolve i problemi strutturali della pirateria digitale. Bloccare non significa eliminare, ma semplicemente posticipare o deviare il problema.

Nel contesto della pirateria, la repressione diventa uno strumento inutile se non accompagnata da una riflessione più ampia sui modelli di consumo e sulle aspettative del pubblico. La verità è che i blocchi, per quanto numerosi e tempestivi, non cambieranno l’atteggiamento dei consumatori che non trovano nell’offerta legale una valida alternativa. I costi elevati dei servizi di streaming sportivo, associati alla loro scarsa qualità, non faranno che alimentare la ricerca di alternative illegali.

Questa è, a tutti gli effetti, l’armonia dell’assurdo: una norma che pretende di risolvere un problema aggravandolo, e che ignora le vere cause della pirateria. Invece di affrontare le problematiche strutturali che portano gli utenti a cercare contenuti piratati, si insiste su una soluzione repressiva che non fa altro che aumentare il divario tra offerta e domanda.


6. L’Esilio della Verità: La Rete come Campo di Battaglia del Potere

L’ultimo e forse più inquietante aspetto di Piracy Shield è la sua implicazione più ampia sul futuro della rete. Non si tratta solo di una legge contro la pirateria, ma di un esperimento più generale di controllo digitale. La rete, che per sua natura è un ecosistema fluido e decentralizzato, viene trattata come uno spazio di dominio, da governare con blocchi e interdizioni.

Ma in questo tentativo di controllo, si nasconde un pericolo più grande: quello di trasformare Internet in un campo di battaglia tra libertà e censura, tra innovazione e repressione. La legge Piracy Shield, lungi dall’essere una soluzione tecnica, diventa un simbolo della volontà di soggiogare l’elemento più vitale del digitale: la sua natura aperta, accessibile e decentralizzata.

L’esilio dell’informazione non è solo una minaccia per i pirati digitali, ma per tutti coloro che vedono nella rete uno spazio di espressione, creatività e innovazione. L’idea che un potere centralizzato possa bloccare l’accesso a intere porzioni di rete senza una verifica o un contraddittorio è un segno del pericolo che incombe su tutti noi. La rete, in ultima analisi, è minacciata non solo dalla pirateria, ma anche dalle stesse forze che pretendono di difenderla.


Conclusione: Un Futuro di Oscurità Digitale?

Piracy Shield non è solo una normativa contro la pirateria, è una finestra su un possibile futuro in cui la rete diventa sempre più oggetto di controllo e repressione. Le sue falle tecniche e giuridiche sono solo la punta dell’iceberg di un problema ben più profondo: il tentativo di imbrigliare la fluidità della rete con strumenti inadatti e pericolosi.

Se questo è il futuro che ci attende, fatto di blocchi indiscriminati e censure silenziose, allora dobbiamo interrogarci non solo sulle tecniche di pirateria, ma su cosa significhi davvero libertà nel contesto digitale.

#PiracyShield #CensuraDigitale #AGCM #ControlloDigitale #VPN #DNS #LibertàDigitale #agicomica

lunedì 14 ottobre 2024

Può un chiodo inchiodarci a delle responsabilità?

Antonio Ieranò, #OPEN_TO_WORK

Antonio Ieranò

Security, Data Protection, Privacy. Comments are on my own unique responsibility 🙂

October 3, 2024

Extended version del mio rant:

https://www.linkedin.com/posts/antonioierano_managerdiacciaio-soluzionistellari-vittimedelchiodo-activity-7247622479546904576-3Xcy?utm_source=share&utm_medium=member_desktop

Ma soprattutto, può un chiodo bloccare un’intera stazione, come è successo recentemente a Roma Termini, senza che nessuno di quelli che l’hanno progettata, gestita e mantenuta debba rispondere di qualcosa?

Ah già, perché la colpa è ovviamente tutta del chiodo. Il chiodo, quel piccolo maledetto, che si è intrufolato nella centralina come un agente segreto, sabotando tutto! Forse si trattava di un chiodo altamente specializzato, magari addestrato in qualche programma di sabotaggio industriale o da qualche avversario geopolitico..

Secondo il TG1 questo è il chiodo colpevole, inchiodato dalla foto!

Ripercorriamo la timeline di questo straordinario evento:

  • Ore 5:00 AM: Tutto sembra tranquillo nella stazione di Roma Termini. I primi treni regionali iniziano a partire, i pendolari si preparano per un’altra giornata di lavoro.
  • Ore 6:00 AM: Un chiodo, forse stanco della sua vita monotona, decide di gettarsi nella centralina elettrica principale. Un atto di ribellione? Un grido d’aiuto? Non lo sapremo mai.
  • Ore 6:05 AM: La centralina va in corto circuito. I sistemi di controllo dei treni iniziano a dare segnali di malfunzionamento. Ma chi ha bisogno di sistemi di controllo funzionanti quando si ha un chiodo che lavora per te?
  • Ore 6:30 AM: I primi ritardi si accumulano. “Problemi tecnici”, annunciano dagli altoparlanti. Nessuno sospetta del chiodo.
  • Ore 7:00 AM: Il caos inizia a dilagare. Treni soppressi, pendolari bloccati. Le banchine si riempiono di persone confuse e arrabbiate.
  • Ore 8:00 AM: Le autorità ferroviarie iniziano a rendersi conto che forse c’è un problema. Ma sicuramente non può essere colpa loro. Forse è il destino, forse è un complotto internazionale, o forse… un chiodo.
  • Ore 9:00 AM: La notizia si diffonde. “Blocco totale a Roma Termini per colpa di un chiodo”. I media si scatenano. Gli esperti discutono animatamente nei talk show mattutini. “È inaccettabile!”, “Come possiamo permettere che accada?”, “Ma chi poteva prevederlo?”.
  • Ore 10:00 AM: Il chiodo viene finalmente individuato e rimosso. Ma il danno è fatto. Migliaia di persone hanno perso appuntamenti, voli, colloqui di lavoro. Ma hey, almeno abbiamo trovato il colpevole!

E mentre tutto questo accade, nessuno si chiede come sia possibile che un’intera infrastruttura critica possa essere messa in ginocchio da un singolo chiodo.

Ma quando quei cialtroni della sicurezza ci dicono che la sicurezza deve far parte del design iniziale, intendevano proprio questo. Tipo: “Ehi, non dimenticare di installare il sistema anti-chiodo!”. Ma perché preoccuparsi di dettagli così insignificanti? Meglio investire in qualche nuovo treno ad alta velocità che non partirà mai in orario.

I veri manager, naturalmente, faranno il solito balletto della colpa: “Ma chi poteva mai immaginare una cosa del genere? Noi siamo manager, mica veggenti! Queste cose le lasciamo agli ingegneri, o meglio ancora, al destino”.

Perché, lo sappiamo tutti, immaginare è roba da gente che ha, almeno, un briciolo di competenza. E di competenza, a quanto pare, ne circola poca.

Ma non temete, la caccia al capro espiatorio è già partita a pieno regime!

Forse il colpevole è il manutentore, o il fornitore dei chiodi, o magari il chiodo stesso. Si aprirà un’inchiesta, si spenderanno soldi pubblici per indagini che non porteranno a nulla, e alla fine tutto verrà archiviato nel grande cassetto delle cose dimenticate.

E questo vale per le stazioni come per i recenti attacchi informatici alla Pubblica Amministrazione.

Vediamo alcuni esempi lampanti:

  1. Regione Lazio, 2021: Un attacco ransomware paralizza il sistema sanitario in piena pandemia. Le prenotazioni per i vaccini vengono bloccate, i dati sensibili dei cittadini sono a rischio. Ma chi poteva mai immaginare che i sistemi informatici dovessero essere protetti? Sicuramente non chi era incaricato di farlo.
  2. Comune di Napoli, 2022: Un attacco informatico manda in tilt i servizi comunali. I cittadini non possono accedere ai servizi online, le pratiche si accumulano. “Stiamo lavorando per risolvere il problema”, dichiarano. Ma forse avrebbero dovuto lavorare per prevenirlo.
  3. Ministero della Transizione Ecologica, 2022: Un attacco mette in luce le falle nei sistemi governativi. Ma invece di affrontare il problema, si preferisce minimizzare. “Nessun dato sensibile è stato compromesso”, dicono. Certo, perché non c’era nulla da compromettere.
  4. ASL di Torino, 2023: Dati sanitari violati, sistemi bloccati. I pazienti non possono prenotare visite, i medici non accedono alle cartelle cliniche. Ma la sicurezza dei cittadini non era una priorità?

E la risposta è sempre la stessa: stupore, incredulità e nessuna assunzione di responsabilità.

“Chi poteva mai immaginare?”, ripetono. Forse chiunque abbia una minima conoscenza di come funziona il mondo moderno. Ma perché investire in sicurezza informatica quando si possono tagliare nastri e fare inaugurazioni pompose?

E nel frattempo, i criminali informatici ringraziano.

Mentre altri paesi investono in cybersecurity, noi tagliamo i fondi e speriamo nella buona sorte. Del resto, perché preoccuparsi?

Siamo l’Italia, il paese dell’arte, della cultura, della buona cucina. Gli “hacker” saranno troppo occupati a mangiare pizza e pasta per attaccarci.

Ma torniamo al nostro chiodo.

Un semplice chiodo che ha messo in ginocchio una delle stazioni più importanti d’Europa.

E se al posto di un chiodo ci fosse stato un sabotatore intenzionale?

Se qualcuno avesse voluto causare danni deliberatamente?

Non voglio nemmeno pensarci.

PS: E se il tuo treno era in ritardo o cancellato, la colpa è tua che volevi prendere uno "spostapoveri". Avresti dovuto prevederlo. Magari consultando le stelle o leggendo i fondi del caffè.
PSS: Immagina un attentatore che vuole bloccare una struttura critica in Italia: gli basta un chiodo, altro che NIS2. Forse dovremmo aggiornare le nostre misure di sicurezza, includendo un corso avanzato su come evitare chiodi malvagi.
PSSS: Dove erro? Forse nel credere che ironia e sarcasmo possano smuovere le coscienze? 🤣

Ma riflettiamo un attimo su ciò che sta accadendo nel mondo digitale.

Mentre noi ci perdiamo dietro a chiodi e scuse, il mondo va avanti. Gli attacchi informatici diventano sempre più sofisticati, i criminali informatici sono sempre più organizzati, e noi siamo qui a chiederci come sia possibile che un chiodo abbia bloccato una stazione.

Esempi recenti di attacchi informatici nella PA:

  • Agenzia delle Entrate, 2023: Un attacco ransomware ha colpito i sistemi dell’Agenzia delle Entrate, mettendo a rischio dati fiscali di milioni di cittadini. La risposta? “Stiamo valutando l’entità del danno”. Ottimo, nel frattempo i criminali fanno festa.
  • INPS, 2020: Durante il primo lockdown, il sito dell’INPS è andato in crash proprio quando i cittadini cercavano di accedere ai bonus governativi. Un sovraccarico di richieste? Forse, o forse una mancanza di preparazione e investimenti adeguati.
  • Università La Sapienza di Roma, 2021: Un attacco informatico ha compromesso i dati degli studenti e del personale. Ma tranquilli, gli esami si faranno lo stesso. Magari con qualche domanda in più sulla cybersecurity.

E la lista potrebbe continuare all’infinito.

Ma la vera domanda è: cosa stiamo facendo per prevenire tutto questo?

  • Formazione: Investiamo nella formazione del personale? Forse, ma probabilmente solo per imparare come usare la macchinetta del caffè.
  • Investimenti: Stiamo investendo in infrastrutture sicure? Certo, se per “investire” si intende tagliare i fondi.
  • Consapevolezza: C’è una cultura della sicurezza? Beh, se la cultura include ignorare gli avvertimenti e sperare per il meglio, allora sì.

E mentre noi restiamo fermi, il mondo cambia.

  • 5G, Internet of Things, Intelligenza Artificiale (<- ammesso che sia intelligente, sicuramente è artificiale): Tutte tecnologie che richiedono infrastrutture sicure e affidabili, competenza e comprensione. Ma noi siamo troppo occupati a cercare chiodi nei circuiti.
  • Normative Europee: L’Unione Europea spinge per maggiore sicurezza con direttive come la NIS2. Noi preferiamo discutere, intanto, se sia il caso di adottare misure così “drastiche” anche se messe in gazzetta ufficiale.

Ma forse è più facile dare la colpa al chiodo.

Perché ammettere che c’è un problema sistemico richiederebbe impegno, risorse e, soprattutto, responsabilità. E di responsabilità, a quanto pare, non ne vogliamo proprio sentir parlare.

E mentre i manager si scrollano di dosso ogni colpa, chi paga il prezzo sono sempre i cittadini.

  • Disservizi
  • Perdita di dati personali
  • Fiducia nelle istituzioni ai minimi storici

Ma va tutto bene, perché possiamo sempre incolpare il chiodo, o l’acaro di turno, o il fato avverso.

Forse dovremmo iniziare a guardare oltre il nostro naso.

  • Adottare una cultura della prevenzione
  • Investire in sicurezza informatica e infrastrutturale
  • Formare il personale
  • Assumere professionisti competenti

Ma forse sto sognando ad occhi aperti. Forse è più realistico pensare che un chiodo possa fermare una stazione, un hacker possa paralizzare un ministero, e che nessuno sia responsabile di nulla.

E nel frattempo, il mondo va avanti.

Ma almeno abbiamo il nostro chiodo da incolpare.

Conclusione

Forse è il momento di svegliarsi. Di smettere di cercare scuse e iniziare a prendere sul serio le sfide del presente e del futuro. Di assumersi le proprie responsabilità e di agire di conseguenza.

Ma fino ad allora, continueremo a incolpare chiodi, hacker, e qualsiasi altra cosa ci permetta di non guardare in faccia la realtà.

E per finire, un ultimo pensiero:

Se un chiodo può fermare una stazione, forse una buona dose di competenza può rimettere in moto un intero paese. Ma per questo servono persone capaci, e soprattutto, la volontà di cambiare.

Grazie per aver letto fino a qui.

E ricordate:

la prossima volta che qualcosa non funziona, controllate che non ci sia un chiodo di mezzo.

#managerdiacciaio #soluzionistellari #vittimedelchiodo #quellidefascicolop #rant #quellascemenzadellasera


E per chiudere con un sorriso:

PSSSS: Se siete arrivati fino a qui, complimenti! Avete letto più di 15.000 caratteri di puro sarcasmo. Forse avete più pazienza voi di quanta ne abbiano i nostri manager nel prevenire chiodi malvagi.

domenica 13 ottobre 2024

Micromanagement dal 2016 ad oggi

Antonio Ieranò, #OPEN_TO_WORK

Antonio Ieranò

Security, Data Protection, Privacy. Comments are on my own unique responsibility 🙂

September 2, 2024

Era il 2016 (7 anni fa) e scrivevo riguardo il micromanagement. Ultimamente mi sono ritrovato a dover discutere dello stesso argomento e quindi, sotto, riporto il vecchio post. Qui lo riporto in italiano (con qualche update in italico) perchè alla fine, dopo tutti questi anni, non molto è cambiato e il discorso ha ancora senso in molte realtà.

Stavo leggendo un articolo interessante sul micromanagement (“Why Is Micromanagement So Infectious?”) che mi ha spinto a scrivere nuovamente sulla questione della gestione.

Il mio interesse riguarda le implicazioni di un atteggiamento di micromanagement su un team, con un focus sulla gestione degli esperti.

Nella gestione aziendale, il micromanagement è uno stile di gestione in cui un manager, o una catena di management, osserva o controlla strettamente il lavoro dei subordinati o dei dipendenti. Il micromanagement ha generalmente una connotazione negativa.

I sintomi classici del micromanagement sono

  • la mancanza di delega,
  • l’imposizione di regole aziendali a prescindere dalla loro efficacia o equità,
  • la mancanza di contestualizzazione dei compiti e degli obiettivi,
  • il focus su dettagli minori o trivia procedurali,
  • la cosiddetta “reportmania”,
  • i continui riferimenti per dimostrare anche l’affermazione più ovvia,

e così via.

Le variabili implementative del micromanagement sono varie, ma di fondo hanno un comune eccesso di reportistica e una certo scollegamento dalla realtà operativa.

Il micromanagement nasce in contesti in cui sequenze statiche e ben definite di attività erano l’unica richiesta necessaria ai dipendenti per svolgere il loro dovere. Sebbene il micromanagement possa trovare la sua ragione nei vecchi ambienti di produzione, nel mondo moderno la gestione aziendale ha presentato diverse tecniche di gestione per affrontare un diverso tipo di dipendente, il lavoratore della conoscenza (knowledge user).

La ragione di questo cambiamento di focus è che i dipendenti devono confrontarsi non con un ambiente di produzione statico, quindi devono adattarsi rapidamente ed assumersi la responsabilità delle decisioni necessarie in un termine molto breve. Ciò richiede un diverso set di competenze e abilità che ha costretto la teoria della gestione aziendale a introdurre il concetto di “lavoratore della conoscenza, Knowledge Worker”.

Knowledge Worker Un lavoratore della conoscenza è, usando la definizione di Wikipedia:

“I knowledge worker sono lavoratori il cui capitale principale è la conoscenza. Esempi includono solution sellers, ingegneri del software, medici, farmacisti, architetti, ingegneri, scienziati, commercialisti pubblici, avvocati e accademici, il cui lavoro è ‘pensare per vivere'”.

Questi tipi di lavoratori devono affrontare una diffusione più profonda e ampia della conoscenza necessaria per affrontare l’attuale ambiente complesso e in evoluzione, dove regole statiche e approcci sarebbero meno efficaci. Il valore di un lavoratore della conoscenza è la sua conoscenza che dovrebbe essere utilizzata per affrontare problemi nuovi e sconosciuti, ottimizzare processi precedenti, aprire nuovi mercati, e così via.

In un contesto in cui il lavoro della conoscenza è fondamentale per la sopravvivenza dell’organizzazione, il micromanagement è il ritratto classico di un cattivo manager… perché?

Perché un manager in un ambiente di lavoro della conoscenza dovrebbe gestire le risorse dando loro autonomia, fiducia e risorse per raggiungere gli obiettivi assegnati, altrimenti non gestirebbe efficacemente le risorse dei lavoratori della conoscenza.

Questo è un problema serio in ogni azienda che fa dell’innovazione e della tecnologia la sua ragione, poiché il micromanagement non si concilia bene con la creatività, che è un requisito obbligatorio per l’innovazione.

Perché questo è dannoso in un ambiente high-tech? L’idea alla base del micromanagement è associata a due nefaste supposizioni:

  1. Il dipendente non può essere affidabile
  2. Il manager sa meglio come fare il lavoro.

Vediamo nel dettaglio cosa significano queste supposizioni:

Problema di fiducia: La fiducia è una relazione bidirezionale, come il rispetto o, al di fuori del regno lavorativo, l’amicizia.

Non dare fiducia significa non ricevere fiducia. Questo influenza, fondamentalmente, tutto l’ambiente.

In un ambiente di squadra, che è il requisito base per giustificare la necessità di un manager, la conseguenza della mancanza di fiducia è il crollo, fin dall’inizio, di qualsiasi reale collaborazione tra i membri del team che non sia strettamente imposta o precedentemente codificata.

Le dinamiche risultanti influenzano la flessibilità e la creatività, che sono mortali in un ambiente complesso e in continua evoluzione come quello delle TIC.

Un altro problema legato alla questione della fiducia associata al micromanagement è che senza delega non c’è assunzione di responsabilità e quindi c’è una tendenza ad evitare qualsiasi rischio.

Mentre la minimizzazione del rischio può sembrare una buona cosa, il problema è che non correre alcun rischio significa non fare nulla di diverso o nuovo. Questo è il modo più rapido per bloccare la crescita e l’evoluzione, che sono essenziali per la sopravvivenza di un’organizzazione.

In un ambiente di micromanagement, i subordinati evitano di assumersi responsabilità e rischi a causa dell’atteggiamento gestionale che non premia questo come valore. Questo atteggiamento percorre tutta la catena di controllo o gerarchia, tipicamente spostando la colpa verso i livelli inferiori che, d’altra parte, non hanno modi per cambiare le cose a causa dell’atteggiamento e dei vincoli del micromanagement.

Inoltre, da un punto di vista etico, varrebbe la pena chiedersi quali siano le basi che rendono un manager più affidabile di uno dei suoi sottoposti. Considerando, in particolare, i lavoratori della conoscenza, stiamo parlando nella maggior parte dei casi di professionisti esperti che hanno fornito i loro servizi in diversi contesti; la necessità di forte etica e impegno è necessaria per quel tipo di attività e, per inciso, negli ultimi 30 anni sempre più studi hanno mostrato come l’assunzione che i manager lavorino per il bene maggiore dell’azienda non sia conforme alla realtà.

In questo contesto il problema principale del micrpomanagement è che asume che vi ia un unico metro di misurazioni che sia in grado di definire i processi, assegnando alle procedure del micromanagemet non la forza dell’analisi correttiva, ma un assoluto che dimostra quale debba essere la strada corretta. Il micromanager non ha, ovviamente, questa percezione perchè convinto che la sua via sia l’unica via. E la giustificazione al micromanagement è spesso presentata come la bnecessità di monitorare in dettaglio le performance per poter avere una visione globale e reale dello sviluppo delle attività.

Problema di conoscenza: Nei vecchi ambienti di produzione, la maggior parte delle conoscenze era legata all’esperienza maturata svolgendo un compito manuale specifico. L’applicazione classica è stata, storicamente, l’introduzione delle linee di assemblaggio o di produzione. In quei tipi di ambienti la necessità di gestione del team era meno rigorosa; poiché ogni membro aveva un insieme predeterminato di azioni e competenze definite, mentre tutto il processo decisionale era demandato al livello superiore, il micromanagement era un comportamento accettabile e, in una certa misura, il modo per trasmettere conoscenza ai nuovi dipendenti.

In questo scenario era naturale assegnare funzioni di middle management a dipendenti basati sull’esperienza maturata all’interno dell’azienda, poiché l’azienda e il prodotto o la linea di assemblaggio erano l’unico riferimento disponibile.

Mentre l’assunzione che il manager sia più esperto del suo sottoposto può essere vera in un ambiente non di knowledge worker, per sua natura un ambiente di lavoratori della conoscenza richiede una profondità di competenze che non possono essere raccolte in un’unica fonte.

La ragione è fondamentalmente collegata alle due dimensioni della conoscenza, ampiezza e profondità.

Il micromanagement non è possibile se la profondità o l’ampiezza della conoscenza richiesta supera la conoscenza del manager, cosa che è, in realtà, una situazione comune. Di conseguenza, il micromanagement sposta il suo focus su aspetti banali, burocratici, non strettamente legati all’obiettivo.

Il punto centrale dell’esperienza è colmare il divario per l’organizzazione; se il manager fosse in grado di colmare questo divario, i knowledge worker non sarebbero necessari.

Probabilmente la migliore citazione contro l’atteggiamento di micromanagement può essere presa dalla famosa dichiarazione dell’ex CEO di Apple, Steve Jobs:

“…non ha senso assumere persone intelligenti e dire loro cosa fare; assumiamo persone intelligenti affinché possano dirci cosa fare.”

Questo esemplifica in modo eccellente perché il micromanagement non è una buona idea quando si tratta di knowledge worker.

Uno dei problemi di cui rararamente si parla, però, è la incapacità del management di leggere le competenze e capacità di un candidato. E sopratutto di creare, al momento della contrattazione, un ambiente irreale e “favolistico” del reale ambiente id lavoro, col risultato di scegliere spesso la persona errata perchè la “descrizione” del ambiente di lavoro e relative richieste è diverso dal quello effettivo.

La gestione è una questione complicata Il micromanagement non è l’unico ritratto di un cattivo manager, così come la mancanza di delega non è solo l’unico ritratto di un micromanager. Ma di sicuro se un micromanager è un cattivo manager, mentre non essere un micromanager non significa automaticamente essere un buon manager.

Il micro management è spesso una questione imposta dall’alto, e buoni manager cercano di gestire la richiesta con la reale esigenza di fare ciò che serve. Va da se che vi sono limiti che spesso riusltano di difficile gestione. Sopratutto quando il micromanager di livello superiore è quello che si dice un “control freack”. Oggi sempre più il micromanagement diventa la “soluzione” per affrontare momenti di crisi ed è spesso un dicktata aziendale più che un desiderata di molti manager, che subiscono da un lato la fascinazione della giustificazione, dall’altro il peso della pressione dei livelli superiori.

Cosa è un vero manager, checcchè ne pensi il manager stesso.
Contro Freack Managers

Purtroppo, in assenza di micromanagement come stile di gestione, il manager deve trovare un modo per gestire, motivare, premiare, aiutare, supportare e dare obiettivi ai membri del suo team.

Ma, se l’ambiente azienda richiede il micromanagement, questo porta tensioni e difficile gestione del team. spesso generando insoddisfazione e problematice anche di performance.

La parte più complicata è che, in un moderno ambiente di knwledge management, alcuni o addirittura tutti i membri del team possono avere una maggiore anzianità in termini di conoscenza, età ed esperienza rispetto allo stesso manager diretto o di livelli superiori, il che rende il micromanagement, così come altre pratiche comuni di cattiva gestione, non solo poco pratico ma anche controproducente.

Quando un'azienda assume un esperto, sta assumendo un lknowledge worker, il che significa adottare lo stile di gestione corretto.

Uno stile di gestione corretto significa iniziare a lavorare sugli obiettivi e i target (dimenticare per una volta i maledetti KPI e iniziare a pensare come un professionista), definire congiuntamente i requisiti (che significa il livello di autonomia, l’autorità delegata necessaria, lo sponsorship, le credenziali tra gli altri gruppi, e così via) e impostare in modo corretto l’ambiente operativo.

Se questo viene fatto, il micromanagement è assolutamente privo di senso, se questo non viene fatto, usare esperti è assolutamente privo di senso.

Le conseguenze negative del micromanagement

Il micromanagement ha delle conseguenze anche in termini di risultati operativi sulle attività. La richiesta ossessiva di monitoraggio e reportistica può portare, come conseguenza, al posticipare la registrazione delle attività all’ultimo momento, ossia a obiettivo raggiunto in positivo o (raramente) negativo.

Questo significa, in altre parole, che si tende a concentrare la comunicazione delle attività solo alla fine di queste, per evitare la noiosa (e spesso stressante) trafila delle revisione periodiche.

Il risultato è che l’output ottenuto è esattamente l’opposto di quello che si desidera ottenere attraverso il micromanagement, e la misurazione degli obiettivi diventa inquinata dal fatto che le registrazioni delle attività avvengano solo a giochi fatti.

Questo, per altro, impedisce una corretta gestione dell’eventuale problema quando questo dovesse presentarsi.

In quest’ottica il micromanagement presenta il suo problema più grosso in quanto sposta la richiesta di supporto in caso di problemi all’ultimo momento.

Questa è una difficoltà che i Micromanager devono affrontare seriamente, anche perchè spetta ad un manager spostare problematiche.

Alla annosa (e noiosa, nonchè stolta) obiezione di molti manager:

“Io non voglio problemi voglio soluzioni”

mi piace ricordare che se il knowledge worker fosse in grado di risolvere il rpobelma in autonomia lo avrebbe già fatto (questo è uno dei motivi per cui si assumono persone di esperienza), se non lo fa significa che la questione è al di fuori della sua portata (i motivi possono essere tecnici, di politica aziendale, o di altri milioni di motivi).

Management e Problem Solving

Insomma delle due:

  • O hai assunto una persona di cui ti fidi delle competenze (fiducia non riposta nel nulla, dipende dallo storico delle performance precedenti)
  • O hai assunto la persona sbaglita

Il che non significa necessariamente che la persona non sia competente, ma che magari non si adatta al tuo modello di business, come lo stai immaginando ed implementando.

Piccoli pensieri finali

Di sicuro il micromanagement porta ad una disaffezione del knowledge worker nei confronti del management e, in generale, della azienda nel suo complesso. Questo porta, è nella natur del knowledge worker, ad un abbassamento di performance legato all’ambiente in cui si trova immerso.

Per altro il micromanagement, al di la delle pelose affermazioni di chi lo applica, è nei fatti una chiara mancanza di fiducia, ma questo ha come conseguenza la perdita di fiducia. La fiducia, occorre ricordare, è questione biunivoca. NOn si ha fiducia se non si da fiducia e vicevera.

Un’altro effetto negativo dell’approccio legato al micromanagement è che l’esperienza portata in azienda dal knowledge worker diventa un elemento di frizione ed attrito, sopratutto in mancanza della possibilità di attuare ed implementare pratiche diverse legate a esperienza e attidutine del knowledge worker stesso.

Tutta colpa dei managers?

No, non è tutta colpa dei manager. Ogni manager ha il suo stile e le sue caratteristiche. Possono piacere o meno, questo è uno dei parametri di valutazione in fase di contrattazione. Purtroppo capita che il management cambi in corso d’opera dopo l’assunzione, e questo può ingenerare problematiche di comprensione. Concorrono in queste problematiche anche una cattiva gestione del personale, ed una cattiva valutazione da parte del knowledge worker, che dovrebbe avere anche le competenze per capire dove va a finire filtrando il racconto fatto con la propria esperienza.

Adattabilità ai cambiamenti

Il micromanagement può essere una fase legata a cambiamenti, tipica sopratutto di necessità legate al cambio di vertici aziendali magari in fase di contrazione di mercato (quando il mercato è in crescita pochi osano ragionare).

Questo non giustifica il micromanagement, che è sempre un indice di pessimo management nel caso di Knowledge Workers, sia corretto, ma è una fase comprensibile di una possibile evoluzone. Ma occorre capire che questa fase può fare danni poi difficilmente gestibili.

La gestione del cambiamento deve tenere conto anche delle conseguenze.

per concludere i problemi del micromanagement superano gli effetti positivi, ma chi implementa il micromanagement non ha le competenze per capirlo.


meditate gente, meditate

micromanagement

sabato 12 ottobre 2024

 

La legge si svela velata, lessico giuridico intreccia la trama,
censura ontologica, dove l'assenza diventa sostanza del controllo,
senza contraddittorio, non solo prassi, ma iato, un vuoto che parla.
Nel passaggio dall'univoco al prevalente si spezza la precisione,
l'arbitrarietà fluisce come norma, i confini del lecito si disfano,
nell'indeterminato si consuma l'involuzione del diritto.

Il blocco, eterno, sospeso nel tempo, un'illusione di sblocco
che svanisce, sistemico oblio in cui l'autorità è un'ombra,
presente e assente, generatrice di un silenzio assordante.
Piracy Shield tenta di fermare il divenire digitale,
trasforma l'informazione in campo di battaglia,
simbolico conflitto tra controllo e resistenza,
ma è la censura il vero sintomo di questa malattia.

Grazie al ministro della cultura per il supporto linguistico.
#PiracyShield #CensuraDigitale #AGCM


The Email Files: E se ti dico NIS2?

Antonio Ieranò, #OPEN_TO_WORK

Antonio Ieranò

Security, Data Protection, Privacy. Comments are on my own unique responsibility 🙂

September 3, 2024

Ok stanotte, grazie ad un pessimo lunedi, non sono riuscito a dormire bene. capita. Allora come occupare il tempo? Visto che sono un cialtrone ed un nerd ho pensato: hey perchè non scrivere e tediare i miei contatti linkdin con un po di deliri?Ho iniziato con il micromanagement e, poi, mi son detto:ho parlato di email e DORA, Email ed encryption perchè non parlare di email e NIS2? Potevo vedere un film? fare la nottata della saga del signore degli anelli? ed invece...PS: ho cercato, al solito, di dare una visione della NIS2 legata a esigenze specifiche (negli email files di cosa si tratterà?)PSS: visto l'umore non sono stato umoristico, ma quasi serio, spero non serioso. avevo provato l'unorismo ma usciva un eccesso di sarcasmo che forse non è indicato per questa platea.

Una direttiva o un regolamento per essere implementati vanno letti e compresi nelle loro varie parti.

Esistono articoli (più autorevoli dei miei) che aiutano nella comprensione delle implicazioni di implementazione di questi vincoli. ed esistono ovviamente esperti e aziende che possono traghettare un cliente alla conformità normativa non solo su carta ma anche effettiva.

Ma, GDPR insegna, esiste un limite legato alla non conoscenza, o non comprensione, da parte di molti “tennici” di cosa significhi affrontare un regolamento od una direttiva. E questo rappresenta un problema serio in quanto talvolta porta ad assunzioni ed implementazioni a dir poco imbarazzanti.

Lo scopo quindi di un articolo come il mio è in realtà aiutare a leggere una direttiva (in toni piu o meno letterari) con un focus su una tecnologia specifica in modo da aiutare anche la comprensione di come si legge tutta questa robaccia (spoiler, dall’inizio alla fine).

Inizio dalle basi

La differenza tra direttiva e regolamento dell’Unione Europea (UE) è fondamentale per comprendere come funziona la legislazione europea e come questa viene implementata negli Stati membri.

1. Direttiva UE

Una direttiva è un atto legislativo dell’UE che stabilisce un obiettivo che tutti gli Stati membri devono raggiungere, ma lascia a ciascuno Stato la scelta dei mezzi per farlo. In altre parole, una direttiva è vincolante per quanto riguarda il risultato finale da ottenere, ma i singoli Stati membri hanno la libertà di decidere come integrare le direttive nel proprio diritto nazionale.

  • Implementazione: Gli Stati membri devono adottare leggi nazionali per recepire la direttiva entro un certo termine, di solito entro 1-3 anni dalla sua entrata in vigore.
  • Esempio: Direttiva NIS2 (Direttiva (UE) 2022/2555)

Questa direttiva stabilisce misure per un livello comune elevato di cibersicurezza nell’Unione Europea. È il seguito della Direttiva NIS originale (Direttiva (UE) 2016/1148).

Link Ufficiale: Direttiva (UE) 2022/2555 – NIS2

2. Regolamento UE

Un regolamento è un atto legislativo che è immediatamente vincolante e direttamente applicabile in tutti gli Stati membri senza la necessità di ulteriori leggi nazionali per il suo recepimento. I regolamenti sono uniformi in tutta l’UE e hanno effetto giuridico in ogni Stato membro dal momento della loro entrata in vigore.

  • Implementazione: I regolamenti entrano in vigore immediatamente in tutti gli Stati membri senza la necessità di recepimento o attuazione da parte di ciascun paese.
  • Esempio: Regolamento eIDAS (Regolamento (UE) n. 910/2014)

Questo regolamento riguarda l’identificazione elettronica e i servizi fiduciari per le transazioni elettroniche nel mercato interno. È un esempio di regolamento che armonizza le normative sull’identificazione elettronica nell’UE.

Link Ufficiale: Regolamento (UE) n. 910/2014 – eIDAS

Differenze Chiave

  • Vincolatività e Applicazione:
  • Necessità di Trasposizione Nazionale:
  • Uniformità:

Introduzione alla Direttiva NIS2: Nuovi Standard per la Sicurezza Informatica nell’UE

La direttiva NIS2 (Network and Information Systems Directive 2) è una normativa dell’Unione Europea volta a rafforzare la sicurezza delle reti digitali e dei sistemi informativi, migliorando la resilienza contro le minacce informatiche. Entrata in vigore il 27 dicembre 2022, la direttiva richiede agli Stati membri di recepirne le disposizioni nei loro ordinamenti nazionali entro il 17 ottobre 2024. Questa direttiva amplia il campo di applicazione della precedente direttiva NIS (2016/1148), coprendo più settori e servizi critici e introducendo sanzioni più severe per il mancato rispetto dei requisiti di sicurezza.

Il recepimento della direttiva NIS2 in Italia è stato ufficializzato con la Legge 21 febbraio 2024, n. 15, pubblicata nella Gazzetta Ufficiale n. 46 del 24 febbraio 2024.

Questa legge delega il Governo italiano al recepimento delle direttive europee, inclusa la direttiva NIS2 (Direttiva (UE) 2022/2555), che stabilisce misure per un livello comune elevato di cibersicurezza nell’Unione Europea, modificando il regolamento (UE) n. 910/2014 e abrogando la direttiva NIS originale (Direttiva (UE) 2016/1148).

Differenze tra NIS e NIS2

La direttiva NIS2 rappresenta un aggiornamento significativo della precedente direttiva NIS in diversi aspetti chiave:

  1. Ambito di Applicazione Esteso:
  2. Requisiti di Sicurezza più Stringenti:
  3. Miglioramento della Gestione del Rischio e degli Obblighi di Segnalazione:
  4. Sanzioni più Severe e Potenziamento delle Autorità di Vigilanza:
  5. Maggiore Cooperazione e Condivisione delle Informazioni a Livello UE:
  6. Integrazione con Altre Normative e Standard:

Struttura della Direttiva NIS2

La direttiva è articolata in 8 sezioni, ciascuna delle quali copre diversi aspetti della sicurezza delle reti e dei sistemi informativi:

  1. Sezione 1: Disposizioni Generali (Articoli 1-3)Ambito di Applicazione: Stabilisce le definizioni e il campo di applicazione della direttiva.
  2. Sezione 2: Gestione del Rischio e Obblighi di Segnalazione (Articoli 4-10)Ambito di Applicazione: Definisce i requisiti di gestione del rischio e gli obblighi di segnalazione per le entità essenziali e importanti.
  3. Sezione 3: Requisiti di Sicurezza per le Entità Essenziali e Importanti (Articoli 11-15)Ambito di Applicazione: Stabilisce misure di sicurezza specifiche per le entità essenziali e importanti.
  4. Sezione 4: Governance e Sanzioni (Articoli 16-20)Ambito di Applicazione: Definisce il quadro di governance per la sicurezza informatica e le sanzioni per il mancato rispetto.
  5. Sezione 5: Vigilanza e Applicazione (Articoli 21-25)Ambito di Applicazione: Stabilisce i poteri delle autorità competenti per l’applicazione delle norme.
  6. Sezione 6: Cooperazione a Livello dell’UE (Articoli 26-30)Ambito di Applicazione: Stabilisce il meccanismo di cooperazione tra gli Stati membri e l’UE.
  7. Sezione 7: Norme e Strumenti di Sicurezza (Articoli 31-35)Ambito di Applicazione: Descrive standard e strumenti di sicurezza.
  8. Sezione 8: Disposizioni Finali (Articoli 36-42)Ambito di Applicazione: Contiene disposizioni finali, tra cui la revisione e l’aggiornamento della direttiva.

Descrizione delle Entità cui si Applica la Normativa

La NIS2 si applica a diverse entità essenziali e importanti, che includono:

  • Entità Essenziali: Settori come energia, trasporti, banche, infrastrutture del mercato finanziario, sanità, fornitura e distribuzione di acqua potabile, infrastrutture digitali (motori di ricerca, servizi cloud, piattaforme online).
  • Entità Importanti: Altri settori che, pur non essendo critici, sono fondamentali per la continuità dei servizi essenziali e per il mantenimento delle funzioni vitali per la società e l’economia.

Articoli Rilevanti per la Sicurezza delle Email e Tecnologie Correlate

1. Sezione 3: Requisiti di Sicurezza per le Entità Essenziali e Importanti

Articolo 11: Misure di Sicurezza

  • Applicazione: Entità essenziali e importanti.
  • Testo dell’Articolo: “Gli Stati membri devono garantire che le entità essenziali adottino misure tecniche e organizzative adeguate per gestire i rischi posti alla sicurezza delle reti e dei sistemi informativi utilizzati nelle loro operazioni.

Testo del Paragrafo 1: “Le entità essenziali e importanti devono attuare misure di gestione del rischio di sicurezza delle informazioni, inclusi protocolli di autenticazione, crittografia, e prevenzione della perdita di dati, per proteggere l’integrità e la disponibilità delle reti e dei sistemi informativi.”

  • Tecnologie Rilevanti: SPF, DKIM, DMARC, Encryption, Email DLP.
  • Motivazione: Questo articolo richiede misure di sicurezza per gestire i rischi informatici, compresa la protezione delle email attraverso protocolli di autenticazione (SPF, DKIM, DMARC), crittografia per proteggere le comunicazioni e soluzioni DLP per prevenire la perdita di dati.

2. Sezione 4: Governance e Sanzioni

Articolo 18: Misure di Sicurezza dei Fornitori di Servizi Digitali

  • Applicazione: Fornitori di servizi digitali in settori critici.
  • Testo dell’Articolo: “Gli Stati membri garantiscono che i fornitori di servizi digitali adottino misure di sicurezza adeguate per gestire i rischi posti alla sicurezza delle reti e dei sistemi informativi utilizzati nelle loro operazioni.

Testo del Paragrafo 2: “Le misure di sicurezza devono includere controlli di accesso, autenticazione multifattoriale e protocolli di autenticazione email come SPF, DKIM e DMARC.”

  • Tecnologie Rilevanti: SPF, DKIM, DMARC.
  • Motivazione: Richiede l’uso di protocolli di autenticazione email per proteggere contro l’uso non autorizzato dei domini di posta elettronica, riducendo il rischio di phishing e spoofing.

3. Sezione 5: Vigilanza e Applicazione

Articolo 21: Sicurezza delle Comunicazioni Elettroniche

  • Applicazione: Fornitori di servizi di comunicazione elettronica.
  • Testo dell’Articolo: “I fornitori di servizi di comunicazione elettronica devono garantire che le informazioni trasmesse siano protette contro accessi non autorizzati e modifiche durante la trasmissione.

Testo del Paragrafo 3: “Le misure di sicurezza devono includere la crittografia delle comunicazioni e l’uso di protocolli di firma digitale come DKIM per assicurare l’integrità del contenuto delle email.”

  • Tecnologie Rilevanti: DKIM, Encryption.
  • Motivazione: Richiede l’uso di crittografia e protocolli di firma digitale per proteggere l’integrità e la riservatezza delle email durante la trasmissione.

4. Sezione 6: Cooperazione a Livello dell’UE

Articolo 25: Meccanismi di Prevenzione delle Minacce

  • Applicazione: Entità critiche e importanti nell’UE.
  • Testo dell’Articolo: “Gli Stati membri devono garantire che le infrastrutture di comunicazione elettronica dispongano di meccanismi per identificare, prevenire e mitigare le minacce legate all’uso improprio delle tecnologie di rete.

Testo del Paragrafo 1: “Questi meccanismi devono includere l’uso di protocolli di autenticazione email, crittografia e soluzioni di prevenzione della perdita di dati per proteggere contro lo spoofing, il phishing e la perdita di dati sensibili.”

  • Tecnologie Rilevanti: SPF, DKIM, DMARC, Email DLP.
  • Motivazione: Stabilisce la necessità di meccanismi per prevenire l’uso improprio delle tecnologie di rete, incluse soluzioni di autenticazione email e DLP per prevenire phishing, spoofing e perdita di dati sensibili.

5. Sezione 7: Norme e Strumenti di Sicurezza

Articolo 30: Gestione del Rischio e Misure di Sicurezza

  • Applicazione: Entità essenziali e importanti.
  • Testo dell’Articolo: “Le organizzazioni devono adottare misure tecniche e organizzative adeguate per la gestione del rischio e la prevenzione delle minacce alla sicurezza delle reti e dei sistemi informativi.

Testo del Paragrafo 2: “Queste misure devono comprendere la gestione delle vulnerabilità, la protezione delle comunicazioni tramite crittografia, e l’implementazione di protocolli di autenticazione email e DLP.”

  • Tecnologie Rilevanti: SPF, DKIM, DMARC, Encryption, Email DLP.
  • Motivazione: Richiede la gestione delle vulnerabilità, l’uso di crittografia per proteggere le comunicazioni e l’implementazione di protocolli di autenticazione email e DLP.

6. Sezione 8: Disposizioni Finali

Articolo 35: Poteri di Sanzione delle Autorità Competenti

  • Applicazione: Autorità competenti degli Stati membri.
  • Testo dell’Articolo: “Le autorità competenti devono avere il potere di imporre sanzioni effettive, proporzionate e dissuasive in caso di mancato rispetto dei requisiti di sicurezza.

Testo del Paragrafo 4: “Le sanzioni possono essere applicate per mancata implementazione di protocolli di autenticazione, crittografia delle comunicazioni o misure di prevenzione della perdita di dati.”

  • Tecnologie Rilevanti: SPF, DKIM, DMARC, Encryption, Email DLP.
  • Motivazione: Prevede sanzioni per la mancata implementazione di protocolli di autenticazione, crittografia e misure di prevenzione della perdita di dati.

Articoli Non Rilevanti per le Tecnologie di Sicurezza Email Analizzate

Alcuni articoli della direttiva NIS2 non fanno riferimento diretto a tecnologie specifiche come la sicurezza delle email, la crittografia, i protocolli di autenticazione email, o le soluzioni di prevenzione della perdita di dati email (Email DLP). Ecco un elenco di tali articoli, con una spiegazione sul motivo della loro esclusione dal focus dell’analisi:

1. Sezione 1: Disposizioni Generali

Articolo 1: Oggetto e Ambito di Applicazione

  • Motivazione per l’Esclusione: Questo articolo definisce l’obiettivo generale della direttiva e non fa riferimento a specifiche tecnologie di sicurezza.

Articolo 2: Definizioni

  • Motivazione per l’Esclusione: L’articolo fornisce definizioni terminologiche utilizzate nella direttiva, senza menzionare tecnologie di sicurezza specifiche.

Articolo 3: Ambito di Applicazione

  • Motivazione per l’Esclusione: Stabilisce quali entità e settori rientrano nella direttiva NIS2, ma non riguarda direttamente le tecnologie di sicurezza email.

2. Sezione 2: Gestione del Rischio e Obblighi di Segnalazione

Articolo 4: Politiche di Sicurezza Nazionali

  • Motivazione per l’Esclusione: Descrive le politiche di sicurezza nazionali senza riferimenti specifici a tecnologie di sicurezza email o protocolli di autenticazione.

Articolo 5: Segnalazione degli Incidenti

  • Motivazione per l’Esclusione: Si concentra sugli obblighi di segnalazione degli incidenti e non sulle tecnologie di prevenzione o mitigazione.

Articoli 6-10: Procedure di Segnalazione e Coordinamento

  • Motivazione per l’Esclusione: Questi articoli riguardano le procedure e i requisiti per la segnalazione e il coordinamento degli incidenti di sicurezza informatica, senza menzionare specifiche tecnologie di sicurezza email.

3. Sezione 4: Governance e Sanzioni

Articolo 16: Coordinamento Nazionale della Cybersecurity

  • Motivazione per l’Esclusione: Disciplina l’organizzazione e il coordinamento della sicurezza informatica a livello nazionale, senza fare riferimento a tecnologie di sicurezza specifiche.

Articoli 17, 19-20: Monitoraggio e Sanzioni

  • Motivazione per l’Esclusione: Riguardano il monitoraggio e l’applicazione delle sanzioni, nonché il coordinamento nazionale e la cooperazione tra Stati membri, senza menzionare specifiche tecnologie di sicurezza email.

4. Sezione 6: Cooperazione a Livello dell’UE

Articoli 26-29: Meccanismi di Cooperazione e Condivisione delle Informazioni

  • Motivazione per l’Esclusione: Questi articoli descrivono il coordinamento e la cooperazione tra Stati membri e istituzioni dell’UE, senza specifiche tecnologie di sicurezza email.

5. Sezione 8: Disposizioni Finali

Articoli 36-42: Disposizioni Generali

  • Motivazione per l’Esclusione: Contengono disposizioni finali, inclusi i requisiti per la revisione e l’aggiornamento della direttiva, senza menzionare tecnologie di sicurezza email.

Link alla Traduzione Ufficiale Italiana della NIS2

Per un riferimento dettagliato e una lettura approfondita del testo ufficiale della direttiva NIS2 in italiano, puoi consultare la versione ufficiale al seguente link:

Riferimenti ad Altre Direttive e Regolamenti Correlati

  • GDPR (Regolamento Generale sulla Protezione dei Dati – 2016/679) Applicazione: Tutte le organizzazioni che trattano dati personali nell’UE. Riferimento: Richiede la protezione dei dati personali contro accessi non autorizzati, con tecnologie come la crittografia e le misure DLP per email. Link: Regolamento GDPR – Testo Ufficiale Italiano
  • Direttiva ePrivacy (2002/58/CE) Applicazione: Tutte le organizzazioni che offrono servizi di comunicazione elettronica. Riferimento: Richiede la protezione della riservatezza delle comunicazioni elettroniche, inclusa la protezione delle email da intercettazioni non autorizzate. Link: Direttiva ePrivacy – Testo Ufficiale Italiano
  • Direttiva sui Servizi di Pagamento (PSD2 – 2015/2366) Applicazione: Fornitori di servizi di pagamento. Riferimento: Impone requisiti di sicurezza per la protezione delle comunicazioni utilizzate nelle transazioni finanziarie, incluse le email. Link: Direttiva PSD2 – Testo Ufficiale Italiano
  • DORA (Digital Operational Resilience Act – 2022/2554) Applicazione: Tutti i partecipanti del settore finanziario, inclusi banche, fornitori di servizi di pagamento, e infrastrutture di mercato. Riferimento: DORA stabilisce requisiti per la resilienza operativa digitale delle istituzioni finanziarie, includendo la sicurezza delle email, l’autenticazione multifattoriale, la crittografia, e misure di prevenzione della perdita di dati come parte delle misure di sicurezza richieste. Link: Regolamento DORA – Testo Ufficiale Italiano

La direttiva NIS2 introduce requisiti più rigorosi e dettagliati rispetto alla direttiva NIS per garantire la sicurezza e la resilienza delle reti e dei sistemi informativi nell’UE. Sebbene alcuni articoli non facciano riferimento diretto a tecnologie di sicurezza email, l’implementazione di protocolli di autenticazione (SPF, DKIM, DMARC), crittografia e prevenzione della perdita di dati è essenziale per rispettare i requisiti della direttiva. Altre normative correlate, come GDPR, ePrivacy, PSD2 e DORA, supportano ulteriormente un approccio integrato alla sicurezza delle comunicazioni elettroniche e dei dati, essenziale per la protezione delle infrastrutture critiche e la conformità alle regolamentazioni europee.

The Email Files: “Encryptio Patronum”

Antonio Ieranò, #OPEN_TO_WORK

Antonio Ieranò

Security, Data Protection, Privacy. Comments are on my own unique responsibility 🙂

August 30, 2024

Incantesimi di Crittografia nel Mondo Digitale

NOTA: causa mia indisposizione di questi giorni non sono in grado di rivedere tutto questo testo ora. Io comunque ve lo condivido sperando che abbia senso ed utilità. del resto non si può essere sempre al 100%. Io non lo sono mai!Ma dopo la flebile flebo eccomi indietro. Rilassatevi, immaginatevi in un mondo di pergamente volanti, incantesimi incomprensibili e compicazioni non previste, si proprio il mondo del email. E adesso magia: "Encryption Patronum"

Ultimamente si sente molto parlare di crittografia (vedi, ad esempio, la faccenda Telegram), e dato che ho già affrontato argomenti come TLS, S/MIME e crittografia generica nel precedente post (quello su DORA), assumendo che i lettori fossero già versati in queste arti magiche, ho deciso di fare un passo indietro. Forse una piccola lezione introduttiva sui diversi incantesimi potrebbe tornare utile. Del resto, se la crittografia fosse compresa da tutti, non ci sarebbe bisogno di lezioni extra, giusto?

Il Flusso dell’Email: Un Viaggio Magico dalla Penna alla Pergamena

Immagina che un utente “A” voglia mandare un messaggio incantato a un utente “B”. Potrebbe trattarsi di segreti aziendali, piani per conquistare il mondo, o semplicemente la ricetta per la pozione della felicità. Ma prima che il messaggio arrivi a destinazione, deve attraversare una serie di portali e guardiani magici. Ecco il viaggio semplificato che deve compiere:

Schema 1: Flusso Semplificato del Messaggio Magico

  • Utente “A”Messaggio per B da AClient di posta AServer posta AEmail Security Gateway ACloudMessaggio per B da AEmail Security Gateway BServer di posta BClient di posta BUtente “B”

Come sappiamo, il viaggio incantato si sviluppa così:

  • L’utente A compone il suo incantesimo nel client di posta.
  • Il client di posta A formatta il messaggio incantato.
  • Il client di posta A si autentica sul server di posta A.
  • Il messaggio arriva al server di posta A via client di posta.
  • (Opzionale ma consigliato) Il server di posta A comunica con un gateway di sicurezza magica (A ovvio).
  • Il gateway di sicurezza verifica il messaggio e lo invia a destinazione dopo una serie di controlli magici:
  1. Trova il destinatario (usualmente tramite incantesimi MX)
  2. Firma DKIM per dimostrare l’autenticità del messaggio (importante per entrare nei favori di grandi stregoni come Google o Yahoo)
  3. Controlli anti-malocchio, malware e altre malefatte arcane (argatto nelle prossime versioni).
  • Il gateway di sicurezza A del mittente “Utente A” contatta il security gateway B del destinatario “Utente B”.
  • I gateway scambiano informazioni e stabiliscono i parametri di connessione: Reputation del mittente (si fidano? Non si fidano?) Parametri di connessione SMTP (quante sessioni concorrenti, quanti messaggi contemporaneamente, ecc.) Verifica dell’esistenza del destinatario (il messaggio non finisce in un pozzo senza fondo).
  • Il gateway B effettua i suoi controlli di sicurezza magici (occhio, malocchio, prezzemolo e finocchio) e, finalmente, il messaggio incantato arriva al server di posta B.
  • Ecco allora che il Client di posta B chiama il suo magico server e preleva il messaggio
  • Ora l’utente B può finalmente accedere ai segreti misterici ed alla conoscenza arcana

Apprendista: “Maestro, mandare un messaggio non dovrebbe essere più semplice? Tipo… legare una pergamena a un gufo?”

Stregone: “Ah, giovane sciocco! Se usassimo i gufi per tutto, saremmo sommersi dalle piume e i segreti verrebbero rubati dalle gazze! Questa è arte complessa!”

STARTTLS: Il Mago della Crittografia Che Non Ama gli Eccessi

Immagina un mago un po’ insicuro e distratto, che invece di lanciare incantesimi potenti contro le forze del male, si avvicina timidamente e sussurra: “Ehm, potremmo aggiungere un po’ di sicurezza, per favore?” Ecco, questo è STARTTLS.

Cos’è STARTTLS?

STARTTLS è come un incantesimo che trasforma una normale conversazione tra due maghi in un dialogo criptato. Ma attenzione, non è un mago esperto di crittografia nativo (come HTTPS per i siti web). STARTTLS è più un trucco da mago di periferia: chiede gentilmente a due server di posta di iniziare a parlare in codice, sperando che nessun curioso riesca a origliare nel frattempo.

Il problema con STARTTLS?

Come ogni mago un po’ svogliato, STARTTLS non è infallibile. Se un cattivo stregone riesce a intrufolarsi prima che l’incantesimo sia completo, potrebbe convincere i server a non usare affatto la crittografia. E qui il nostro mago si ritrova con le mani vuote, senza nemmeno una pozione di emergenza!

NOTA: Se vuoi approfondire le avventure di STARTTLS e capire meglio come funziona (o non funziona), puoi leggere la RFC 3207. Ma attenzione: potresti trovare più tecnicismi che magie.

Apprendista: “Maestro, se STARTTLS è così incerto, perché lo usiamo?”

Stregone: “Perché è meglio che lasciare le porte del castello aperte, giovanotto. Anche una catena arrugginita è meglio di nessuna catena!”

TLS: Il Guardiano Armato delle Pergamene Magiche

Quando può STARTTLS è però in grado di richiamare un potente incantesimo che si chiama TLS. Immagina un guardiano super efficiente, sempre armato di scudo e spada, pronto a proteggere il ponte ove transitano le tue email come se fossero grimori preziosi. Questo è TLS, il vero protettore delle strade delle pergamene digitali!

Cos’è TLS?

TLS (Transport Layer Security) è come quel buttafuori del castello più esclusivo del regno. È lì per assicurarsi che solo gli invitati possano entrare e che nessuno possa sbirciare nei corridoi segreti. Nel contesto dell’invio di email, TLS crea un tunnel sicuro tra il server di posta che invia e quello che riceve. In altre parole, garantisce che le tue pergamene digitali viaggino in sicurezza attraverso il regno, lontane dagli sguardi indiscreti di maghi malvagi e altri “spioni” digitali.

Il fascino e le limitazioni di TLS

Ma attenzione: TLS non è invincibile. Certo, è molto bravo nel suo lavoro, ma ogni tanto può essere un po’ troppo fiducioso. Per esempio, potrebbe lasciare la porta del castello socchiusa se il server ricevente non è altrettanto protetto o se i protocolli di sicurezza non sono aggiornati. È come se il nostro guardiano stesse prendendo una pausa per sorseggiare un po’ di idromele mentre dovrebbe essere di guardia!

Per i curiosi: TLS è molto più sofisticato di quanto sembri. Usa una combinazione di crittografia simmetrica e asimmetrica e autentica i server per garantire che nessuno possa fingere di essere qualcun altro. Insomma, TLS è sempre un passo avanti rispetto ai malintenzionati… a meno che non stia facendo una pausa per un cappuccino!

schema 2: Introduzione del flusso con STARTTLS

  • Utente “A”Messaggio per B da AClient di posta AServer posta ASTARTTLS (se accettato, bene, se no, in chiaro)Email Security Gateway ACloudSTARTTLS (se accettato, bene, se no, in chiaro)Messaggio per B da AEmail Security Gateway BSTARTTLS (se accettato, bene, se no, in chiaro)Server di posta BClient di posta BUtente B

Apprendista: “Maestro, TLS sembra un po’ troppo rilassato. È davvero sicuro?”

Stregone: “Ah, giovane incauto! Anche il più forte dei guardiani ha bisogno di un po’ di riposo. Ma un buon TLS sa sempre quando rimettersi in guardia!”

DKIM vs S/MIME: La Sfida degli Stregoni delle Email!

Nel mondo delle email sicure, abbiamo due potenti stregoni che proteggono i tuoi messaggi con tecniche molto diverse, ma entrambe efficaci. Da una parte c’è DKIM, il mago che appone la sua firma digitale unica su ogni messaggio. Dall’altra, S/MIME, il maestro delle arti segrete, che protegge il contenuto delle email con crittografia e sigilli magici. Preparati per un duello epico!

DKIM: Il Mago Firmatario delle Email

  • Cos’è DKIM? DKIM (DomainKeys Identified Mail) è come un mago del regno delle email. Ogni volta che invii un’email, DKIM tira fuori la sua piuma magica e appone un sigillo digitale dal tuo dominio. In pratica, DKIM dice al server di posta che riceve: “Ehi, questa email è davvero mia! Guarda, c’è il mio sigillo! e nessuno la ha modificata!”
  • Compatibilità? DKIM è un tipo molto affabile. È compatibile con la maggior parte dei server di posta elettronica perché lavora dietro le quinte. Non richiede configurazioni speciali per gli utenti finali, quindi è come avere un amico che si occupa della sicurezza senza fare troppo rumore.

S/MIME: Il Maestro delle Arti Segrete

schema 3: Flusso di funzionamento di S/MIME

  • Cos’è S/MIME? S/MIME (Secure/Multipurpose Internet Mail Extensions) è il mago supremo delle email. Armato di incantesimi di crittografia e sigilli digitali, S/MIME non solo assicura che il mittente sia legittimo, ma protegge anche il contenuto del messaggio con una crittografia che solo il destinatario può decifrare. Nessuno può leggere o modificare l’email senza essere scoperto.
  • Compatibilità? S/MIME può essere un po’ esigente. Non tutti i client di posta elettronica sono pronti a supportare i suoi incantesimi avanzati. Ha bisogno che tu installi certificati digitali sui tuoi dispositivi (un po’ come ottenere una licenza magica costosa e difficile da ottenere). In altre parole, è un po’ come invitare un mago a una festa: devi sapere esattamente cosa stai facendo per evitare di fare brutta figura! E attento, parlare da A a B è diverso che parlare da B ad A. Ti occorrono certificati magici, per ogni destinatario

Differenze Chiave tra DKIM e S/MIME

La differenza tra i due stregoni delle email è fondamentale: DKIM si concentra sull’autenticità del mittente, assicurandosi che il messaggio provenga davvero dal dominio dichiarato certificando il fatto che non sia stato alterato, mentre S/MIME protegge sia l’identità del mittente che il contenuto del messaggio, assicurandosi che solo il destinatario legittimo possa leggerlo.

  • DKIM è come un sigillo su una lettera: “Questo viene davvero da me.” e ti da la certezza che non abbiano cambiato le parole neanche con un potente incantesimo
  • S/MIME invece è come un baule magico chiuso a chiave con un messaggio che dice: “Questo è da parte mia ed è solo per te.” dentro c’è la pergamena ma la chiave per aprire e leggere il messaggio deve arrivare ed essere conservata

Compatibilità e Collaborazione

DKIM e S/MIME non sono rivali; anzi, possono lavorare insieme! DKIM si occupa dell’autenticità del mittente e della sua reputazione, mentre S/MIME protegge il contenuto del messaggio. Insieme creano una combinazione potente di sicurezza e affidabilità per le tue comunicazioni digitali.

Per chi vuole esplorare i dettagli tecnici e scoprire tutti i segreti dietro questi incantesimi:

  • DKIM: Dai un’occhiata alla RFC 6376.
  • S/MIME: Puoi leggere di più su RFC 5751.

Apprendista: “Maestro, DKIM sembra troppo semplice, mentre S/MIME è troppo complicato. Quale dovremmo usare?”

Stregone: “Ah, giovane ingenuo! La semplicità è la chiave della saggezza, ma la complessità è il segreto della protezione. Impara a usare entrambi e sarai invincibile!”

Implementare DKIM e S/MIME: Una Commedia degli Errori nel Mondo delle Email!

Immagina di dover organizzare una festa magica con un cast di stregoni che parlano lingue diverse, usano bacchette diverse, e devono anche ballare mentre incantano. Ecco cosa significa implementare DKIM e S/MIME per la crittografia delle email in diversi scenari: gateway-to-gateway, gateway-to-desktop, e desktop-to-desktop. Preparati per una giostra di confusioni, risate e qualche lacrima (di disperazione).

DKIM: Il Mago del Sigillo Incomprensibile

  • Gateway to Gateway: Implementare DKIM tra due gateway di posta elettronica è un po’ come organizzare uno spettacolo di magia tra due teatri lontani. Il mago (DKIM) firma ogni email con il suo sigillo digitale prima di mandarla in viaggio. Tutto sembra perfetto finché il mago non scopre che all’altro capo del palco il suo assistente non sa leggere il sigillo. Magari non ha aggiornato le chiavi pubbliche o ha dimenticato di configurare correttamente il DNS. E così lo spettacolo deve essere sospeso mentre tutti cercano di capire chi ha fatto cosa e perché il coniglio è scomparso dal cilindro. Il destinatario deve decidere cosa fare del sigillo, lo rispetto o lo ignoro? per fortuna la mail rimane leggibile in tutti e 2 i casi (forse), ma se il sigillo lo ignoro non saprò mai se il messaggio è stato modificato o meno.

S/MIME: Il Mago delle Arti Oscure con le Mani Legate

  • Gateway to Gateway: Parliamo di S/MIME tra gateway: qui il mago si ritrova a una festa elegante con un vestito da combattimento completo. Ha tutti i suoi incantesimi criptografici pronti, ma c’è un problema: il gateway non sa come usare questi incantesimi. “Aspetta, cosa sono questi certificati? Devo firmare ogni messaggio? Devo crittografare ogni byte?” E mentre i gateway litigano su chi deve fare cosa, il mago se ne va frustrato senza aver lanciato nemmeno un incantesimo. A meno che esista una magia che associ un utente al suo messaggio, e cosi il mago possa associare quel messaggio di quell’utente all’incantesimo S\MIME. sempre sperando che il destinatario sia capace di fare altrettanto. e questo per ogni destinatario. quanto potere magico impiegato.
  • Gateway to Desktop: Quando il mago di S/MIME cerca di operare tra un gateway e un desktop, le cose si complicano ancora di più. Qui il mago deve lanciare una serie di incantesimi complicati — firmare digitalmente le email e criptarle — e sperare che il desktop capisca cosa sta succedendo. Ma se il client di posta elettronica del desktop non è configurato correttamente (e non lo è mai!), il mago si ritrova a combattere con una bacchetta difettosa. Gli utenti vedono messaggi criptati che appaiono come geroglifici egizi e l’unica cosa che viene decifrata è il loro mal di testa. E se gli chiedi: e i certificati? Mediamente ti presenta quello medico.
  • Desktop to Desktop: Implementare S/MIME desktop-to-desktop è come organizzare un duello tra due maghi, ciascuno armato fino ai denti ma chiusi in stanze separate e senza chiavi per comunicare. Ogni desktop deve avere il proprio certificato e ogni certificato deve essere riconosciuto dall’altro desktop. Naturalmente, quando i maghi finalmente riescono a incontrarsi, scoprono che i certificati sono scaduti o, peggio, non sono compatibili. È una danza di frustrazione e di “Perché diavolo non funziona?” mentre i maghi si lanciano incantesimi cifrati che nessuno riesce mai a decifrare. e hai un mago per desktop e un diavolo per capello (ok io son calvo, oco mi importa)

Apprendista: “Maestro, implementare questi incantesimi sembra una vera sfida!”

Stregone: “Oh, giovanotto, benvenuto nel mondo della crittografia! Qui, anche il mago più potente ha bisogno di un manuale d’istruzioni.”

Le Millemila Soluzioni di Crittografia sul Mercato: Streghe e Stregoni Digitali in Azione!

Nel vasto mondo della crittografia delle email, ci sono innumerevoli incantatori digitali — o, se preferite, streghe e stregoni moderni — ognuno con la propria bacchetta magica (o algoritmo) per proteggere i tuoi messaggi. Come in ogni buona fiaba, però, non tutte le magie sono create uguali, e alcune richiedono ingredienti segreti, mentre altre sono gratuite ma con qualche “ingrediente” nascosto. Vediamo insieme alcuni incantesimi disponibili:

1. OpenPGP: La Strega del Borgo con l’Erbario Completo

  • Descrizione: OpenPGP è come quella strega vecchia scuola che conosce tutte le erbe giuste per ogni pozione e conserva ogni foglia in un libro magico (il tuo desktop). Questo incantesimo open source ti permette di firmare e criptare email utilizzando un sistema di chiavi pubbliche e private.
  • Chiavi Asimmetriche: OpenPGP è ossessionato dalle chiavi: ce n’è una pubblica, una privata, e probabilmente anche una per la cantina. Problemi? La gestione di tutte queste chiavi è un incubo logistico. Se una delle chiavi finisce nelle mani sbagliate, addio sicurezza!
  • Non-repudiation: OpenPGP è molto bravo a dimostrare che un messaggio è stato davvero inviato da te… sempre che tu riesca a dimostrare di avere ancora la tua chiave privata. Se perdi le chiavi o se vengono compromesse, le tue prove vanno in fumo!
  • Costo: Open Source e Gratuito. Tuttavia, l’erbario di chiavi può diventare un po’ pesante da gestire, e potresti aver bisogno di un apprendista per mantenere tutto in ordine. I costi indiretti includono la formazione e la gestione dei keyring (gli anelli delle chiavi magiche), che richiedono tempo e pazienza.
  • Compatibilità: Funziona meglio quando entrambe le parti sono pronte a scambiarsi chiavi pubbliche e a riconoscere la magia dell’altro. Se una delle due parti non sa usare bene la bacchetta, la magia rischia di svanire.

2. PGP (Pretty Good Privacy): Lo Stregone Misterioso con Troppi Forzieri

  • Descrizione: PGP è lo stregone che ha tutto sotto controllo, ma nasconde i suoi incantesimi in numerosi forzieri sparsi per il suo laboratorio (il tuo desktop). Utilizza chiavi asimmetriche per proteggere le email, ma è anche dotato di chiavi simmetriche autogenerate per ogni messaggio, giusto per aggiungere un po’ di pepe.
  • Chiavi Asimmetriche con Chiavi Simmetriche Autogenerate: PGP adora complicare le cose. Per ogni messaggio, c’è una chiave segreta… che viene poi protetta da un’altra chiave! Problemi? È come proteggere una cassa del tesoro con una combinazione di lucchetti e serrature: funziona, ma è una scocciatura immensa.
  • Non-repudiation: In teoria, PGP offre non-repudiation solida… ma solo se riesci a tenere traccia di tutte quelle chiavi e se non affondano con la tua nave (ehm, desktop).
  • Costo: A pagamento. Diverse implementazioni, come Symantec Encryption Desktop, richiedono una tassa per i loro incantesimi avanzati. Costi indiretti: Potresti dover acquistare certificati digitali da autorità di certificazione (pensalo come pagare un tributo al Gran Consiglio dei Maghi per ottenere la loro approvazione).
  • Compatibilità: Molto utile quando il mittente e il destinatario sono entrambi stregoni esperti che sanno come usare le loro chiavi magiche. Se invece hai a che fare con maghi alle prime armi, aspettati un sacco di incantesimi falliti e confusioni.

3. Proofpoint Encryption: La Fata Madrina della Crittografia con il Tocco Magico

  • Descrizione: Proofpoint Encryption è come una fata madrina digitale che si occupa di tutto per te. Non devi nemmeno agitare la bacchetta: fa tutto lei dal gateway, senza invadere il tuo spazio (desktop). È una soluzione che genera chiavi simmetriche autogenerate per ogni messaggio e le gestisce con grazia e precisione.
  • Chiavi Simmetriche Autogenerate per Messaggio: Proofpoint è super efficiente: genera una chiave segreta per ogni messaggio e destinatario e la gestisce come un vero professionista. Problemi? Qui è tutto quasi perfetto. La chiave viene creata e distrutta con un click, e puoi anche settare un expiration date! Hai inviato per errore l’email alla persona sbagliata? Nessun problema, il nostro maggiordomo ti permette di “revocare” l’accesso: blocca la chiave, e il messaggio diventa illeggibile. È come avere un pulsante di annullamento magico!
  • Non-repudiation: Proofpoint offre non-repudiation in maniera discreta ma efficace. Ogni apertura di messaggio viene registrata nel suo database di fiducia, così sai esattamente chi ha letto cosa e quando. È come avere una telecamera di sicurezza digitale che monitora ogni passaggio. E tutto con la massima eleganza!
  • Costo: A pagamento. Proofpoint è una soluzione aziendale con un modello di pricing basato su abbonamento. Costi indiretti: Praticamente nessuno, poiché tutta la gestione delle chiavi e la sicurezza sono centralizzate e incluse nel servizio. È come avere una fata madrina che non chiede nulla in cambio… o quasi.
  • Compatibilità: Perfetto per le aziende che desiderano una protezione robusta senza doversi preoccupare di complessi rituali crittografici. Il destinatario non ha bisogno di installare software speciali: la fata madrina si occupa di tutto attraverso un portale web sicuro.

4. Zix Email Encryption: Il Guardiano del Tunnel Segreto

  • Descrizione: Zix è come un guardiano di un tunnel segreto tra due castelli (i gateway di posta). È specializzato nel proteggere la corrispondenza tra domini specifici, assicurandosi che solo i messaggi autorizzati possano attraversare il suo passaggio sicuro.
  • Chiavi Simmetriche Centralizzate: Zix utilizza chiavi simmetriche centralizzate per crittografare e decrittare i messaggi tra i gateway di posta elettronica. Problemi? Devi fidarti del custode del tunnel (Zix) per gestire le chiavi e proteggere i tuoi messaggi.
  • Non-repudiation: Zix offre un buon livello di non-repudiation tracciando chi ha accesso al tunnel e monitorando ogni messaggio che passa. Non è il massimo del controllo granulare come Proofpoint, ma fa il suo lavoro con rigore.
  • Costo: A pagamento. Zix offre piani di abbonamento per utenti aziendali. Costi indiretti: Pochi, poiché l’infrastruttura di crittografia e gestione delle chiavi è inclusa nel servizio, ma ci potrebbe essere un costo se si decide di usare funzionalità avanzate o integrazioni personalizzate.
  • Compatibilità: Altamente efficace quando entrambe le parti utilizzano il suo sistema. Se una delle due parti non è cliente Zix, potrebbe essere necessario un incantesimo extra per aprire il portale di accesso sicuro.

Scambio tra Stregone e Apprendista:

Apprendista: “Maestro, con tutte queste opzioni, quale incantesimo di crittografia dovremmo scegliere?”

Stregone: “Ah, giovane apprendista, la scelta del giusto incantesimo dipende da chi sei, da cosa proteggi, e da quanto sei disposto a pagare per il privilegio. Ma ricorda: anche il più potente degli incantesimi è inutile se non sai come usarlo!”

Conclusioni: Come Scegliere la Tua Strega o il Tuo Stregone Digitale?

Quando si tratta di scegliere il giusto incantesimo di crittografia per la tua azienda o uso personale, ci sono alcune considerazioni importanti:

  • Facilità d’Uso: Se sei un novizio nel mondo della magia digitale, scegli un incantesimo facile da usare, come Proofpoint o Zix, che richiede meno competenze tecniche e gestisce la sicurezza per te.
  • Compatibilità: Assicurati che il tuo destinatario possa ricevere e decifrare il messaggio senza dover imparare formule magiche complicate. Soluzioni come Proofpoint e Sophos Email Encryption sono ideali per chiunque non voglia fare un corso accelerato di crittografia.
  • Costo e Costi Indiretti: Considera il budget. Le soluzioni open source come OpenPGP sono gratuite ma potrebbero richiedere tempo e competenza per essere utilizzate correttamente. Le soluzioni a pagamento come Proofpoint offrono un’esperienza più fluida, ma a un prezzo.
  • Scopo e Bisogni: Cosa devi proteggere e da chi? Se stai scambiando segreti aziendali con altre aziende (o meglio, castelli vicini), una soluzione gateway-to-gateway come Zix potrebbe essere perfetta. Se invece devi proteggere i dati degli utenti finali, una soluzione desktop-to-desktop come PGP potrebbe essere più appropriata.

Apprendista: “Si Ma quindi che implemento? Cosa serve? Che faccio?”

Stregone: “Mio ingenuo giovine Ora per essere sinceri devo dire che io sono un poco rigido in queste cose, tendo ad insultare malamente chi considera queste questioni secondarie e peggio mi adombro quando è evidente che non sanno di cosa si parli o a che serva anche se sono esperti di sechiuriti, ciberrobe e master in informesciontecnologi”

Stregone: Ma mettiamola cosi in maniera semplice persino per sopracitati

Connessioni SMTP: o usi TLS o secondo me hai dei problemi

Non esiste nessuna buona ragione per non usare TLS su SMTP se non che la controparte non sia in grado di gestire tali connessioni.

Ma, in questo caso, forse è meglio che non gli mandiate proprio posta elettronica, perché se tanto mi da tanto questi non hanno idea di cosa sia la sicurezza informatica.

Considerate che oramai persino Google e Yahoo (no, dico, Yahoo) non vogliono transazioni senza TLS.

Comunque STARTTLS è in grado di gestire magicamente la questione, scegliendo magicamente se usare TLS o meno col destinatario. lo fa chiedendoglielo e sperando che nessuno mago malvagio abbia già compromesso il castello del destinatario.

Se avete controparti specifiche particolarmente rognose (che so la BCE) il TLS obbligatorio con un bel certificato dedicato sarebbe indicato, anche per evitare il problema della gentilezza di STARTTLS.

Encryption da chi, a li a là

A meno che non siano fatti espliciti riferimenti a standard precisi (S\MIME) qui la questione è più fluida e la scelta molto dipende da con chi e perché si comunica.

In caso di Gateway to Gateway S\MIME lavora egregiamente, ovvio occorre un accordo e scambio di certificati tra le controparti

Ma se si tratta di connessioni estemporanee da dare in mano agli utenti la scelta è varia.

PGP e OpenPGP, ad esempio, van bene se le 2 parti che si scambiano messaggi sono senzienti. È vero che la chiave pubblica la metti nella firma, ma occorre che l’altra parte lo capisca. E se vuoi risposte altrettanto sicure deve essere in grado di fare lo stesso.

Stregone: “Vedi mio buon ascoltatore, il metro di giudizio non dovrebbe essere la tua capacità di discernimento, ma quella della famosa massaia di voghera a cui, non si capisce bene perché, tutti sentono il bisogno di mandare cose complicate.”

Quindi queste cose vanno bene per chi, pochi ma buoni, hanno un grado di adattabilità alla tecnologia superiore a quella di un utente medio.

Apprendista: “Come me maestro?”

Stregone: “Meno figliuolo, meno”

Se devi mandare messaggi ad una moltitudine di utenti vari ed avariati, per esempio comunicazioni sensibili, bollette o cose così, forse l’approccio PGP nelle sue forme non è il top.

Allora scelte legacy che permettano al mittente di leggere il messaggio anche se NON dispone di software specifici sono più indicate.

Se poi la scelta di encryption può essere controllata al gateway via policy o controlli meglio ancora, perché meno che del desitinatario ci si può fidare del mittente.

Stregone: “E ricordati che non ci si può fidare di nessuno, e spesso la colpa di ciò è tua”

Riflessioni Finali: Il Concilio dei Maghi della Crittografia

La sicurezza delle email è come una grande tavola rotonda di maghi e streghe digitali, ognuno con il suo libro degli incantesimi. Alcuni incantesimi richiedono complicati rituali, altri sono più semplici e immediati. L’importante è scegliere il giusto tipo di magia per le tue esigenze specifiche, evitando di complicare eccessivamente le cose o di lasciare porte aperte ai nemici.

In un mondo perfetto, tutti saprebbero fare un incantesimo di crittografia perfetto, ma nel mondo reale, ci affidiamo alle soluzioni che ci fanno sentire al sicuro senza doverci trasformare in maghi esperti. Quindi, scegli saggiamente il tuo stregone digitale, conosci le sue (e sopratutto tue) capacità e limitazioni, e proteggi le tue email come se fossero preziosi grimori!

Apprendista: “Maestro, penso di aver finalmente capito! Ora posso proteggere le nostre pergamene digitali!”

Stregone: “Ah, giovane studente, hai ancora molto da imparare. Ma per oggi, hai guadagnato il tuo primo cappello da mago della crittografia!”

della serie the email files vedi anche:

email-files-encryptio-patronum

email-files-dora-lesploradora-e-gli-email-friends

mail-files-se-40000-blocklist-vi-sembran-pochi

email-files-edizione-speciale-la-posta-ai-tempi-della-guerra

email-files-la-posta-secondo-la-posta

email-files-blocklisting-la-sottile-arte-di-farsi-del-male

email-files-safelisting-poi-non-lamentarti

sempre sulle email:

ma-ti-serve-davvero-la-posta-elettronica