Il Molise non esiste.
Fuori dal mondo
Cosa è successo?
Stando all'istruttoria e alle decisioni del Garante Privacy, questo tipo di vulnerabilità "non è né di facile rilevazione né di semplice sfruttamento, richiedendo una manipolazione intenzionale della URL e la previa conoscenza della URL di destinazione https://fse.regione.molise.it/fseui/list".
Che dire... abbiamo un Garante decisamente naïf!
Per fortuna, sempre il Garante, poche righe dopo, evidenzia la necessità che i programmatori "impediscano che soggetti terzi potessero, dopo aver superato la procedura di autenticazione informatica, utilizzare funzionalità a cui non erano autorizzati semplicemente modificando alcuni parametri presenti nell'URL".
A mio giudizio, riconoscere e sfruttare questa "vulnerabilità" non sia poi così difficile e il "semplicemente" utilizzato dal Garante demolisce la sua stessa premessa che lascia pensare ad un malefico nerd incappucciato nascosto dietro sordide vpn, con mille lucine lampeggianti e un gatto morto nel freezer.
Comunque sia, a prescindere dal livello di sofisticazione della vulnerabilità, non è stato certo un ostacolo per alcuni utenti che, mossi da semplice curiosità, hanno messo in luce un gigantesco buco nella sicurezza di uno dei database più delicati e sensibili gestiti dalla Regione. Una voragine enorme e un potenziale data breach di portata titanica.
"Il Portale FSE della Regione Molise, a causa di una vulnerabilità, ha consentito a un utente autenticato con il ruolo di assistito, attraverso una manipolazione intenzionale della URL, di effettuare una ricerca dei dati di altri cittadini presenti in Anagrafe Regionale del Molise, in assenza di una verifica dei permessi di autorizzazione attribuiti all’utente per l’accesso a tali dati." Così scrive il Garante.
Il Triangolo
- La Regione Molise, titolare del trattamento, "lui";
- Molise Dati S.p.A., responsabile del trattamento designato dalla Regione Molise, "lei";
- Engineering ingegneria informatica S.p.A., il subappaltatore, sub-responsabile del trattamento, "l'altro".
Un bel quadretto dove, per colpa della scarsa igiene intima de l'altro, anche lui e lei si trovano alle prese con una bella malattia venerea. A poco servono le scenate di gelosia, le recriminazioni, le accuse reciproche, il lancio di piatti e bicchieri, buttare tutto dalla finestra... purtroppo il danno è fatto e, a dirla tutta, la candidosi è solo un effetto: la causa del dramma va cercata altrove.
E pensare che è stata proprio lei a presentargli l'altro!
Il Garante, pur non essendo esperto di venereologia, ha intuito che ci fosse una tresca e ha sanzionato l'intero triangolo:
- lui, per avere una condotta incauta, andando volentieri con il primo che passa
- lei, per non essersi accorto di nulla, disinteressandosi dei fatti propri
- l'altro, per la scarsa igiene intima e la mancanza di precauzioni o protezioni
Fuor di metafora, è stato applicato il principio della responsabilità solidale prevista dal GDPR, un meccanismo in base al quale il titolare conserva sia il governo del trattamento che la responsabilità su di esso, anche se si avvale di partner.
Il Titolare del trattamento deve essere selettivo, deve dare istruzioni dettagliate e deve vigilare. Qualsiasi cosa accada, è colpa sua, o meglio, è anche colpa sua.
La responsabilità solidale non risparmia nemmeno gli intermediari, i responsabili del trattamento. Come dice l'EDPB: sul responsabile del trattamento incombe la responsabilità, nei confronti del titolare del trattamento, di assicurare il rispetto degli obblighi in materia di protezione dei dati da parte degli altri sub-responsabili del trattamento (punto 129). Sebbene la catena possa essere alquanto lunga, il titolare del trattamento mantiene un ruolo centrale nella determinazione della finalità e dei mezzi dello stesso (punto 152) e anche il responsabile del trattamento conserva nei confronti del titolare l’intera responsabilità dell’adempimento degli obblighi dell’altro responsabile (articolo 28, paragrafo 4, del GDPR) (punto 159).
Il Garante
- errori di sviluppo del software e mancanza di adeguati controlli sugli accessi alle risorse web
- assenza di test di sicurezza, come penetration test e vulnerability assessment specifici per individuare tale vulnerabilità
- mancata applicazione del principio di "privacy by design e by default", in quanto il sistema informatico permetteva un accesso non autorizzato ai dati tramite la modifica della URL
- mancata adozione delle misure tecniche e organizzative adeguate per garantire un livello di sicurezza proporzionato al rischio
- carente supervisione sulla adozione delle misure di sicurezza
- mancata verifica dell'affidabilità e capacità del subappaltatore
Non sono stato io!
Grazie per il tuo tempo. Se ti è piaciuto l'articolo o ti ha dato spunti utili, prendi in considerazione l'idea di ringraziarmi.
Puoi farlo in tre modi:
- Condividendo il mio lavoro sui tuoi social. Così facendo aiuterai altre persone,
- Dicendomi cosa ne pensi, mi aiuterai a migliorare,
- Con una donazione. In questo modo aiuterai me.
Se sei un professionista della privacy, fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di mer#a con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere?
Bene... allora mi devi una birra.