Le minacce informatiche provengono da molte fonti, ognuna delle quali cerca di ottenere informazioni personali (PI) per benefici o sfruttamento. Man mano che le intrusioni diventano sempre più sofisticate, sono necessarie maggiori tutele normative e interne in risposta.
La privacy su internet è un sottoinsieme del più ampio mondo della privacy dei dati che copre la raccolta, l’uso e la conservazione sicura dei PI in generale. Uno studio del Pew Research Institute ha scoperto che il controllo dei PI online è “molto importante” per il 74% degli americani. Secondo un altro studio del Pew, l’86% degli americani ha intrapreso azioni per mantenere la propria privacy – cancellando i cookie, criptando le e-mail e proteggendo il proprio indirizzo IP.
Le impronte digitali sono ovunque. Ogni volta che visitate un sito web, inserite i dati della vostra carta di credito o di debito, vi registrate per un account, date la vostra e-mail, compilate moduli online, pubblicate sui social media o memorizzate immagini o documenti nel cloud storage, state rilasciando informazioni personali nel cyberspazio. Chi, oltre al destinatario, riceverà o avrà accesso alle informazioni che hai fornito? Saranno condivise con altre parti? Il tuo PI potrebbe essere condiviso in modi che non ti aspetti o di cui non sei consapevole. Le vostre informazioni possono essere a rischio perché anche i migliori programmi di sicurezza delle informazioni non sono garantiti al 100%.
Leggi sulla privacy in internet
Il potenziale di violazione della privacy online è cresciuto significativamente nel corso degli anni. Non esiste un’unica legge che regoli la privacy online. Invece, si applica un mosaico di leggi federali e statali. Alcune leggi federali chiave che riguardano la privacy online includono:
- Il Federal Trade Commission Act (FTC) – regola le pratiche commerciali sleali o ingannevoli. La FTC è il principale regolatore federale nell’area della privacy e porta avanti azioni esecutive contro le aziende. Questo include il mancato rispetto delle politiche sulla privacy pubblicate e la mancata protezione adeguata delle informazioni personali.
- Electronic Communications Privacy Act (ECPA) – protegge alcune comunicazioni via cavo, orali ed elettroniche dall’intercettazione, accesso, uso e divulgazione non autorizzati.
- Computer Fraud & Abuse Act (CFAA) – rende illegali alcune attività legate al computer che coinvolgono l’accesso non autorizzato di un computer per ottenere determinate informazioni, frodare o ottenere qualcosa di valore, trasmettere oggetti dannosi, o il traffico di password del computer. La legge è stata emendata sei volte.
- Children’s Online Privacy Protection Act (COPPA) – richiede a certi siti web e fornitori di servizi online di ottenere il consenso verificabile dei genitori prima di raccogliere, utilizzare o divulgare informazioni personali da minori di età inferiore ai 13 anni. Richiede anche che i siti web pubblichino una politica sulla privacy online, raccolgano solo le informazioni personali necessarie, e creino e mantengano misure di sicurezza ragionevoli.
- Controlling the Assault of Non-Solicited Pornography and Marketing Act (CAN-SPAM Act) – regola l’invio di email commerciali non richieste e proibisce informazioni di intestazione fuorvianti e righe oggetto ingannevoli. Richiede anche che i mittenti divulghino certe informazioni, includano un valido meccanismo di opt-out, e crea sanzioni civili e penali per le violazioni.
- Financial Services Modernization Act (GLBA) – regola la raccolta, l’uso e la divulgazione di informazioni personali raccolte o detenute da istituzioni finanziarie e richiede avvisi ai clienti e un programma scritto di sicurezza delle informazioni.
- Fair and Accurate Credit Transactions Act (FACTA) – richiede alle istituzioni finanziarie e ai creditori di mantenere programmi scritti di prevenzione del furto di identità.
Molti stati hanno anche adottato leggi che riguardano la privacy online, per esempio, statuti di protezione dei consumatori, leggi che proteggono alcune categorie di PI, leggi sulla sicurezza delle informazioni e leggi sulla notifica delle violazioni dei dati.
Oltre al rispetto di queste leggi e all’implementazione di solidi programmi di sicurezza delle informazioni, ci sono passi che le organizzazioni possono fare per aiutare a mitigare le minacce alla cybersecurity.
Come sei esposto e come proteggerti online
Le informazioni personali di clienti, clienti e dipendenti in tuo possesso possono essere soggette a una violazione dei dati in una miriade di modi. Indirizzi e-mail, dati bancari, password, indirizzi fisici, numeri di telefono e altro ancora possono inavvertitamente trovare la strada per truffatori, hacker, commercianti indesiderati e altro. La maggior parte dei dipendenti dell’area legale e di conformità hanno poche idee su come implementare la protezione dei dati dalle minacce di Internet. Cosa fare?
Un playbook delle minacce per la vostra organizzazione
Una cosa che la vostra organizzazione può fare è sviluppare un playbook di riferimento rapido sulla privacy di Internet che sia facilmente disponibile per i dipendenti. Può fornire minacce e best practice da seguire per la vostra area specifica:
Ecco cinque delle più significative minacce online alla privacy dei dati provenienti dal web e le best practice per gestirle:
- Pratiche di navigazione web non sicure
Molti utenti non controllano i siti in cui trovano informazioni. Ci sono spesso segni che i siti che visitate possono essere maligni e chiedere il vostro PI: offerte gratuite, URL abbreviati, pagine socialmente architettate per ingannare gli utenti a creare un account e scaricare malware da loro.
Cosa potete fare
Mantenete il vostro anti-virus aggiornato. Usa il browser internet più sicuro — Google Chrome o Microsoft Edge sono le due scelte migliori. Scansiona i file con il tuo software antivirus prima di scaricarli. Non riutilizzare le password per più siti web. Attivate il blocco dei pop up del vostro browser.
- Cookies e web tracking
I cookies sono file scaricati sul vostro browser da un sito web che contengono dati identificativi unici sul sito. Tuttavia, non contengono alcuna informazione personale o codice software. Quando un sito web “vede” i dati che ha impostato in un cookie, sa che il browser è uno che lo ha contattato in precedenza.
Possono essere utili per cose come mantenere i tuoi dati di login per un sito in modo da non doverli inserire di nuovo. I cookie possono anche essere usati per tracciare le vostre attività e catturare le vostre abitudini di acquisto per poi essere condivisi con terze parti indesiderate affiliate al sito.
Cosa potete fare
Impostare il vostro browser per cancellare i cookie ogni volta che finite la navigazione o impostare i cookie “opt out” sul vostro browser in modo che i cookie non siano ammessi affatto nel vostro browser.
- Tracciamento dell’indirizzo IP
La legge COPPA afferma specificamente che gli indirizzi IP sono informazioni personali poiché sono informazioni su un individuo identificabile associato ad essi. Un indirizzo IP (Internet Protocol) è un’etichetta numerica dietro i familiari indirizzi web che vediamo ogni giorno. Identifica un dispositivo su internet. Gli hacker spesso passano attraverso gli indirizzi IP come primo punto di attacco.
Partiti indesiderati possono rintracciare il tuo PI cercando l’indirizzo del tuo sito web se è elencato in WHOIS, il database centrale che contiene tutti gli indirizzi web su internet. Le informazioni sulla proprietà sono facilmente disponibili qui.
Cosa puoi fare
Se hai creato un sito web, puoi richiedere un elenco WHOIS privato al gestore del database, Network Solutions. Il loro nome, indirizzo e altre informazioni sulla proprietà appariranno al posto del tuo.
Quando lavori sul tuo computer personale, puoi usare uno strumento VPN (Virtual Private Network). Uno buono è IP Vanish. Si accede alla VPN come intermediario. Dopo quel punto, il tuo indirizzo IP è criptato e passa attraverso il provider VPN a Internet.
I dipendenti o i clienti a casa hanno indirizzi IP “affittati” con i loro modem via cavo e account ISP. Il tuo IP non cambierà finché non spegnerai il tuo modem. Spegnetelo ogni volta che ne sentite il bisogno.
- Utilizzare HTTP invece di HTTPS Connessioni Web Server criptate
I dati personali che scorrono tra la macchina di un utente e un sito web utilizzando il semplice protocollo HTTP possono essere monitorati da altre aziende o potenzialmente intercettati e rubati da hacker malintenzionati (spesso chiamato “man-in-the-middle”). È qui che entra in gioco il Secure Sockets Layer (SSL).
Cosa puoi fare
HTTPS o Secure Sockets Layer (SSL) codifica le informazioni inviate tra un sito web e la macchina di un utente. Quando acquisti o inserisci informazioni personali sui siti web, controlla sempre la presenza di un “https://” o dell’icona di un lucchetto nella barra dell’URL del tuo browser per verificare che un sito sia sicuro prima di inserire qualsiasi informazione personale. Quando vedi HTTPS invece di HTTP nella barra degli indirizzi del tuo browser, saprai che si tratta di un sito sicuro!
Se stai ospitando un sito web, considera l’implementazione di SSL sul tuo server web per garantire la privacy dei dati tra te e i clienti. Aiuterà anche a mitigare le minacce dirette di hacking. Dovrai trovare un’autorità di certificazione digitale (CA) come Verisign per aiutarti a impostarlo.
- La minaccia del cloud
Il cloud computing è l’ultima e più grande ondata tecnologica che porta nuovi problemi per la privacy dei dati. Questo è particolarmente vero quando si cede il controllo amministrativo e tecnologico a una parte esterna. Questo di per sé è una grande minaccia.
Un fornitore di cloud può essere carente nei processi di backup, pratiche di sicurezza, controlli dei dipendenti, interfacce applicative & API per citarne solo alcuni. Inoltre, non si sa mai chi ha le “chiavi del regno” per vedere tutti i vostri dati lì dentro. Spaventoso.
Cosa puoi fare
Sia tu che il fornitore di cloud sono responsabili della sicurezza, non solo quest’ultimo. Se stai memorizzando dati nel cloud storage o usi una piattaforma cloud per ospitare un sito web, ci sono alcune cose da considerare:
- Trova dal provider chi è responsabile di ogni controllo di sicurezza del cloud.
- Addestrare qualcuno all’uso degli strumenti di identità e accesso forniti dal provider in modo da poter controllare da soli chi ha accesso ai dati e alle applicazioni.
- Assicurarsi che il provider abbia tutti i vostri dati che sono memorizzati con loro criptati
- I principali provider di cloud offrono tutti strumenti di registrazione. Usali per abilitare la registrazione e il monitoraggio della sicurezza per monitorare qualsiasi tentativo di accesso non autorizzato e altri problemi.
Una combinazione di regolamenti governativi e pratiche individuali responsabili può solo contrastare potenziali minacce informatiche, non eliminarle. La vostra area legale & di conformità può fare la sua parte implementando un’analisi completa delle minacce e misure di risposta.
0 commenti