Un progetto di Cybersecurity awareness viene approvato due volte. La prima lo valuta l’area sicurezza, che guarda architettura, integrazioni e controlli. La seconda lo valuta chi risponde dei dati personali dell’organizzazione, e quella persona chiede altro.
Quella seconda conversazione arriva sempre con le stesse quattro domande. Quali nostri dati finiscono lì, dove vengono conservati, per quanto tempo e chi li guarda. Si risponde con un termine di conservazione, il nome di una regione o un meccanismo. Quando quello che arriva è una dichiarazione di buone intenzioni, la risposta non esiste ancora.
Quello che segue è come rispondiamo noi a quelle quattro domande sulla conservazione dei dati del programma di awareness, con i termini e le regioni pubblicati. L’esercizio serve per valutare qualsiasi piattaforma.
Quali dati entrano nel programma e quali dati genera il programma?
Sono due insiemi distinti e conviene non mescolarli, perché hanno origine, proprietario e rischio diversi.
Il primo arriva dall’organizzazione e sono tre campi, nome, cognome e indirizzo email. È il minimo perché esista un pubblico e perché un risultato sia attribuibile a qualcuno. Qualsiasi altro attributo, come l’area o il ruolo, entra solo se l’organizzazione vuole segmentare con quello. Nulla di questo lo crea la piattaforma, arriva dalla directory aziendale per importazione o per sincronizzazione, e il proprietario resta il cliente.
Il secondo lo genera la misurazione e prima non esisteva. È composto da un messaggio consegnato, un’apertura, un click, una segnalazione tramite il pulsante, una formazione completata con data e argomento, e un punteggio di rischio per persona, per gruppo e per organizzazione. Quell’insieme resta spesso fuori dall’analisi del comitato privacy ed è il più delicato dei due, perché descrive il comportamento di una persona identificabile davanti a uno stimolo. La costruzione di un punteggio di rischio umano affidabile inizia dal decidere quali segnali entrano lì e quali no.
La distinzione ha una conseguenza pratica. Sul primo insieme si discute di volume e sincronizzazione. Sul secondo si discute di finalità, termine di conservazione e visibilità, che sono le tre cose che un DPO (Data Protection Officer) vorrà per iscritto.
La piattaforma memorizza la password digitata nella simulazione?
No, e il meccanismo conta più dell’affermazione. È la domanda che mi hanno fatto più volte durante le implementazioni, e il modo peggiore di rispondere è chiedere fiducia.
Le trappole di una simulazione di phishing si configurano per consentire o per impedire l’inserimento delle credenziali. Quando lo impediscono, il collaboratore che arriva al sito simulato trova il campo della password disabilitato, e quello dell’utente accetta un solo carattere. Non c’è nulla da digitare e quindi nulla che viaggi.
Quando lo consentono, il form può avere un numero indeterminato di campi, ma solo due entrano nella decisione, user e password, identificati dall’attributo name. All’invio si verifica che entrambi contengano dati. Se entrambi hanno contenuto, la campagna lo registra come dati inseriti, indipendentemente da cosa è stato digitato. Se uno è vuoto, la pagina si ricarica. I dati viaggiano su HTTPS e non vengono memorizzati, né analizzati, né manipolati in nessun momento.
Il risultato è una metrica binaria. La piattaforma sa che una persona ha consegnato una credenziale, mai quale. Questo basta per misurare il comportamento, che è l’unica cosa che la simulazione andava a cercare, ed elimina alla radice la domanda scomoda su cosa succederebbe se quel database uscisse. Vale la stessa logica di cosa deve essere configurato prima di credere al tasso di click, una metrica serve quando sai esattamente cosa la produce.
Dove risiedono quei dati e quale parte del percorso esce dall’Europa?
La piattaforma è localizzata a Dublino, in Irlanda. La regione è EU (Ireland) eu-west-1. I database usano PostgreSQL in alta disponibilità e ogni cliente ha il proprio schema, separato e indipendente dagli altri. Esiste uno schema condiviso che contiene i contenuti predefiniti, e le informazioni riservate di ogni organizzazione vivono nel suo, che è lo stesso principio di isolamento alla base dell’operatività multitenant.
A riposo i database sono cifrati con AES-256 e le chiavi sono gestite da Amazon attraverso il suo servizio di gestione delle chiavi. In transito tutte le comunicazioni passano su TLS 1.2 e 1.3. Gli ambienti di sviluppo e test sono indipendenti da quello di produzione, e il database di produzione non viene mai usato in un altro ambiente.
Fin qui la risposta suona come “tutto è in Irlanda”, e conviene precisare fino a dove arriva. Lo storage, l’ambiente di esecuzione e lo strumento di gestione dei log sono lì. L’invio delle email è diviso tra due fornitori, uno nella stessa regione europea e uno negli Stati Uniti. L’importazione e l’autenticazione degli utenti e le notifiche ai collaboratori si appoggiano a servizi che operano negli Stati Uniti. L’autenticazione tramite Auth0 resta in Europa.
Nulla di tutto questo è una scoperta, è pubblicato nella politica dei subprocessori di dati, che dettaglia anche quale dato concreto tocca ogni fornitore e concede al cliente trenta giorni per opporsi a un nuovo subprocessore. I trasferimenti fuori dallo Spazio Economico Europeo sono coperti da clausole contrattuali standard o da norme vincolanti d’impresa, secondo l’accordo sul trattamento.
La domanda utile non si risolve con un sì o un no. Serve precisare quale dato esce, verso dove, per quale funzione e con quale strumento giuridico. Un fornitore che risponde alla prima versione con un sì secco probabilmente non ha letto la propria architettura, e anche questo è un’informazione per chi sta preparando il suo questionario di sicurezza per i fornitori.
Quale termine di conservazione dei dati vale per ogni cosa?
Non c’è un termine unico, ci sono diversi orologi che corrono in parallelo, e nessuno dice “per sempre”.
- Backup. Giornalieri, cifrati e separati per ogni cliente, archiviati in modo ridondante su istanze Amazon S3 e Google Cloud Storage EU
eu-west-1. Si conservano 90 giorni e vengono verificati con ripristini controllati periodici. - Log di sistema. Restano in un registro centralizzato per un anno, per analisi successive se servono.
- Dati del servizio alla fine della sottoscrizione. Il cliente ha 30 giorni per esportare le informazioni o chiederne la cancellazione. Superato quel termine, tutti i dati del servizio vengono eliminati.
- Registri di audit. Non hanno un termine proprio pubblicato. Fanno parte dei dati del servizio, quindi la loro uscita è governata dallo stesso termine di trenta giorni del punto precedente.
C’è un calcolo che quasi nessuno fa. I termini del fornitore sono il tetto di quello che la tua organizzazione può promettere al proprio comitato. Se la tua policy interna dice che il risultato di una campagna si conserva dodici mesi, e il backup del fornitore lo trattiene altri novanta giorni a partire dall’ultima copia, il termine reale di conservazione è la somma dei due. Quello è il numero da portare nella policy interna.
Chi guarda il risultato di un collaboratore e cosa resta registrato di quello sguardo?
Prima la ripartizione dei ruoli, perché definisce chi decide. SMARTFENSE è titolare del trattamento dei dati personali dei propri clienti, partner e dipendenti. Rispetto ai dati che sono responsabilità del cliente, assume il ruolo di responsabile del trattamento e opera sempre per conto e su istruzione di quel cliente. In pratica, la decisione su chi vede il risultato di una persona all’interno di un’organizzazione resta a quella organizzazione.
Quello che la piattaforma aggiunge è il registro. Tutte le attività degli utenti finali, degli utenti amministrativi e del sistema restano registrate. Lì compare quale utente ha completato quale contenuto, in quale data e su quale argomento, la creazione o l’eliminazione di una campagna, che non è possibile cancellare né nascondere, e anche quando è stata inviata un’email, quando è stata eseguita un’importazione automatica di utenti e quando sono state esportate informazioni. I registri sono dettagliati e inalterabili, protetti da un sistema anti-tampering, e non si possono modificare in alcun modo.
Quel design viene difeso di solito come requisito di audit. Il suo effetto più importante punta nella direzione opposta. Il registro protegge le persone misurate, perché anche l’esportazione del risultato di una persona lascia una traccia, e l’amministratore che si porta via un report resta registrato con la stessa precisione del collaboratore che ha fatto click. Un programma che può dimostrare chi ha guardato cosa è in condizioni migliori di sostenere le evidenze che gli verranno chieste rispetto a uno che può dimostrare solo risultati.
Cosa succede quando qualcuno chiede la cancellazione dei suoi dati?
Il diritto alla cancellazione del GDPR non è assoluto. L’articolo 17 riconosce il diritto e al paragrafo 3 elenca i casi in cui non si applica, tra questi l’adempimento di un obbligo legale che richieda il trattamento di quei dati.
Per chi sceglie una piattaforma questo diventa una capacità concreta. Bisogna poter dare seguito alla richiesta di una persona senza rompere le evidenze che un audit chiederà dopo, e serve qualcosa di più fine di un pulsante che cancella tutto. Cosa si conserva, e su quale base giuridica, lo decide l’organizzazione in quanto titolare del trattamento. Quello che la piattaforma deve fornire è l’esecuzione.
Cosa ti porti il giorno in cui decidi di andare via?
La prova finale di qualsiasi accordo sui dati è l’uscita, e si misura in termini di tempo.
Alla fine del servizio ci sono 30 giorni per esportare le informazioni o chiederne la cancellazione, e il formato di uscita è risolto dall’API della piattaforma, che espone le stesse aree di dati usate dal programma mentre è attivo. Davanti a una violazione dei dati confermata, la notifica arriva entro 48 ore. Tutto questo è nell’accordo sul trattamento dei dati, un documento pubblico che si può leggere prima della firma.
Conviene guardare cosa si porta via. Un programma di tre anni produce uno storico di campagne, formazioni completate e punteggi che è, allo stesso tempo, l’evidenza di conformità di quei tre anni. Uscire senza quello storico significa ricominciare il prossimo audit da zero, con l’onere della prova a sfavore. Quella conversazione conviene farla alla firma, mentre è ancora una clausola negoziabile.
Domande frequenti
Quali dati personali servono a una piattaforma di Cybersecurity awareness?
Tre campi, nome, cognome e indirizzo email. È il minimo perché esista un pubblico e perché un risultato sia attribuibile a qualcuno. Qualsiasi altro attributo, come l’area o il ruolo, entra solo se l’organizzazione vuole segmentare con quello. Quei dati arrivano dalla directory aziendale del cliente, la piattaforma non li crea. Quello che la piattaforma crea davvero sono i dati di comportamento, che prima della misurazione non esistevano.
Le password digitate dai collaboratori in una simulazione di phishing vengono memorizzate?
No. Nelle trappole configurate senza inserimento di credenziali, il campo della password è disabilitato e quello dell’utente accetta un solo carattere. In quelle che consentono l’inserimento, si verifica soltanto se i campi user e password contengono dati e il risultato viene registrato come dati inseriti, indipendentemente da cosa è stato digitato. Quei dati non vengono memorizzati, né analizzati, né manipolati.
Dove risiedono i dati di un programma di Cybersecurity awareness di SMARTFENSE?
Lo storage, l’ambiente di esecuzione e la gestione dei log si trovano nella regione EU (Ireland) eu-west-1, con uno schema di database indipendente per ogni cliente, cifratura AES-256 a riposo e TLS 1.2 o 1.3 in transito. Altre componenti del servizio operano fuori dallo Spazio Economico Europeo, e ognuna è dichiarata con il suo fornitore e il suo paese nella politica dei subprocessori.
Per quanto tempo si conservano i dati delle campagne di awareness?
I tempi cambiano per tipo di dato. I backup sono giornalieri e vengono conservati 90 giorni. I log di sistema restano in un registro centralizzato per un anno. Alla fine della sottoscrizione il cliente ha 30 giorni per esportare le informazioni o chiederne la cancellazione, e superato quel termine tutti i dati del servizio vengono eliminati.
Si può cancellare tutto di una persona quando lo chiede?
L’articolo 17 del GDPR riconosce il diritto alla cancellazione e al paragrafo 3 elenca le eccezioni, tra queste l’adempimento di un obbligo legale che richieda il trattamento di quei dati. Quale caso si applichi lo decide l’organizzazione, nel suo ruolo di titolare del trattamento.
Se stai valutando piattaforme di Cybersecurity awareness, chiedi le quattro risposte per iscritto prima della demo tecnica. Regione di hosting, termini di conservazione per tipo di dato, ripartizione dei ruoli e condizioni di uscita. Le nostre sono pubblicate e si possono confrontare con quelle di chiunque altro.
Lascia un commento