Misure tecniche per il Corso di Perfezionamento per la formazione del DPO

Oggi ho tenuto la docenza di una parte del modulo VI del “Corso di perfezionamento universitario in materia di protezione dei dati personali per la formazione del Data Protection Officer (DPO) – Profili applicativi” per il Dipartimento di Giurisprudenza dell’Università degli Studi di Torino parlando agli allievi delle Misure di sicurezza tecniche che è necessario adottare secondo le indicazioni del GDPR.

Corso DPO Università di Torino

Durante la lezione sono stati affrontati argomenti come l’analisi dei rischi e le misure tecniche adeguate di protezione del dato personale che il GDPR prescrive per prevenire data breach e compromissione ai dati, in particolare quelli accessibili dall’esterno o dall’interno del perimetro di rete. Si è parlato di tecniche di anonimizzazione e pseudonimizzazione, cifratura e hash, firewall e sistemi di rilevamento e prevenzione delle intrusioni, segregazione dei ruoli ed endpoint protection orientati alla corretta gestione dell’accountability richiesta dal GDPR. Si è fatto accenno anche alle tecniche di forensic readiness e digital forensics finalizzate a predisporre i sistemi e i dati per attività d’informatica forense in caso di data breach.

Il Corso di Perfezionamento per la Formazione del Data Protection Officer, organizzato dall’Università degli Studi di Torino, della durata di 76 ore totali, vede docenti del calibro del Prof. Francesco Pizzetti, Prof. Sergio Foà, Prof. Alberto Oddenino, Avv. Mauro Alovisio, Prof. Raffaele Caterina, Prof. Massimo Durante, Prof. Alessandro Mantelero, Prof. Ugo Pagallo, Prof. Raffaele Caterina, Ing. Giuseppe D’Acquisto, Prof. Raffaele Caterina, Prof.ssa Anna Maria Poggi, Avv. Laura Marengo, , Ing. Enzo Veiluva, Prof. Guido Boella, Prof. Enrico Gross, Avv. Fabio Rastrelli e il Prof. Marco Orofino.

Gli argomenti trattati durante il Corso di Perfezionamento per la formazione del DPO sono svariati, concetto di privacy e il quadro normativo UE, i Principi e le cause di legittimazione, Consenso, Informativa, Diritti dell’interessato, Titolare del trattamento, contitolare, responsabile del trattamento e la figura del DPO nel mondo delle imprese, Tutela speciale per categorie particolari di dati personali alla luce della legislazione nazionale, I diritti tecnologici sui propri dati, La valutazione di impatto privacy, i principi di privacy by design, privacy by default, I registri del trattamento, codici di condotta, certificazioni, sigilli e marchi, Data Security, pseudonimizzazione, cifratura e Data Breach, Il Trasferimento dei dati transfrontaliero e l’autorità capofila, La circolazione dei dati personali. Il trasferimento verso Paesi non UE, La tutela, Fake news, Scuola, formazione e educazione alla lettura delle informazioni e uso dei social media, Sanzioni amministrative, GDPR nel mondo industriale, Misure di sicurezza organizzative, Misure di sicurezza tecniche, Titolare del trattamento, contitolare, responsabile del trattamento e la figura del DPO nel mondo della pubblica amministrazione, Sanzioni penali e reati informatici, Le autorità di controllo degli Stati Membri, il Comitato europeo e l’EDPS, Protezione dei dati personali e sistema bancario-creditizio, GDPR e intelligenza artificiale, GDPR e organizzazione sanitaria, Il valore economico dei dati personali.

Scuola Superiore di Magistratura - Cryptocurrency e Blockchain

Cryptocurrency e Blockchain presso la Scuola Superiore di Magistratura

Giovedì 6 giugno 2019 alle ore 15.30 sarò fra i relatori della conferenza “Cryptocurrency e Blockchain: profili civilistici e penalistici” organizzata dalla Scuola Superiore di Magistratura, Struttura Territoriale di Formazione, Distretto della Corte d’Appello di Caltanissetta, presso l’Aula Magna “Saetta e Livatino” del Palazzo di Giustizia di Caltanissetta.

Scuola Superiore di Magistratura - Cryptocurrency e Blockchain

Il seminario, avente codice corso D19331, sarà coordinato dal Referente SSM di Caltanissetta Dott. Simone PETRALIA e seguirà la seguente scaletta:

Saluti e introduzione

  • S.E. dott.ssa Maria Grazia VAGLIASINDI, Presidente Corte di Appello di Caltanissetta
  • Avv. Pierluigi ZODA, Presidente COA Caltanissetta
  • Dott. Salvatore DILENA, Presidente dell’Ordine dei Dottori Commercialisti ed Esperti Contabili di Caltanissetta
  • Notaio Alfredo GRASSO, Consiglio Notarile di Caltanissetta

Relazioni

  • Dott. Paolo DAL CHECCO, Consulente Informatico Forense: “Bitcoin e criptomonete: introduzione, aspetti tecnici e potenzialità investigative”
  • Dott. Samuele TOMASI, Notaio in Militello Val di Catania: “Blockchain e smart contracts. Tra nuove frontiere e certezza del diritto”
  • Dott. Fabio DI VIZIO, Sostituto Procuratore presso il Tribunale di Firenze: “Lo statuto penale delle valute virtuali”
  • Dott.ssa Laura LA ROCCA, Consigliere presso la Banca d’Italia – UIF – Divisione Normativa e Rapporti Istituzionali: “Cryptocurrency e prevenzione del riciclaggio e del finanziamento del terrorismo”

Conclusioni

  • S. E. dott.ssa Lia SAVA, Procuratore Generale presso Corte di Appello di Caltanissetta

Il corso è patrocinato dall’Ordine dei Dottori Commercialisti e degli Esperti Contabili di Caltanissetta, dal Consiglio Notarile dei Distretti Riuniti di Caltanissetta e Gela, dall’Ordine degli Avvocati di Caltanissetta e dalla Fondazione Scuola Forense Nissena.

Il corso è accreditato dall’Ordine degli avvocati e dall’Ordine dei Dottori Commercialisti ed Esperti Contabili di Caltanissetta e comporterà il riconoscimento di n. 3 crediti formativi, utili all’assolvimento degli obblighi di formazione professionale. Il corso è altresì accreditato dal Consiglio Notarile e comporterà il riconoscimento di n. 4 CFP

ONIF - Convegno su Informatica Forense a Firenze

Seminario ONIF su Informatica Forense a Firenze

Venerdì 31 maggio 2019 si terrà a Firenze il seminario organizzato dall’Osservatorio Nazionale d’Informatica Forense ONIF dal titolo “Orizzonte 2020 Informatica Forense a supporto di Autorità Giudiziaria, Studi Legali, Aziende, Forze dell’Ordine e Privati”. La conferenza avrà luogo nella Sala Verde presso il Palazzo Incontri, in Via de Pucci 1 e durerà tutta la mattinata del 31 maggio, con coffe break offerto dall’Associazione ONIF per i partecipanti.

ONIF - Convegno su Informatica Forense a Firenze

Durante il seminario verranno trattati diversi argomenti relativi alle attività di perizia informatica e indagini digitali che i consulenti informatici forensi trattano quotidianamente durante il loro rapporto con l’Autorità Giudiziaria, gli Studi Legali, le Forze dell’Ordine, le aziende o i privati per cui prestano il loro servizio. In particolare, verranno approfonditi argomenti di attualità come la problematica della cloud forensics all’interno delle attività di mobile forensics, il rispetto per la Legge 48/2008, il registro olandese degli esperti NRGD, la manomissione di messaggi Whatsapp, l’utilità della digital forensics nella gestione di data breach e violazione dei dati e le tecniche di video forensics e perizia tecnica su immagini e video.

Il programma del convegno sull’Informatica Forense e Digital Forensics organizzato da ONIF a Firenze e moderato dalla Giornalista Dott.ssa Valentina Roselli è il seguente:

9:00 – Registrazione
9:15 – Apertura lavori: Banca Intesa Sanpaolo, Fondazione Forense di Firenze e Dott. Nanni Bassetti, Segretario Nazionale ONIF
9:30 – Le nuove regole e la revisione dell’albo CTU del Tribunale di Firenze, Ufficio di Presidenza del Tribunale di Firenze
10:00 – Il Netherlands Register of Court Experts (NRGD), Dott. Mattia Epifani
10:30 – Legge 48/2008, attesa quanto ignorata: dieci anni di casi reali, Ing. Paolo Reale e Avv. Elisabetta Guarnieri
11:00 – Break
11:20 – Analisi di dispositivi mobile: stato attuale, integrazione con il cloud e difficoltà future, Ing. Michele Vitiello e Dr. Paolo Dal Checco
11:40 – Rilevamento e conseguenze delle manomissioni sui messaggi WhatsApp Dott. Andrea Lazzarotto
12:00 – Digital Forensics Data Breach: perché gestire la violazione dei dati in maniera forense, Dott. Alessandro Fiorenzi
12:20 – Immagini e video digitali come fonte di prova, Dott. Massimo luliani
12:40 – Saluti e chiusura

La brochure del seminario sull’Informatica Forense organizzato da ONIF a Firenze è disponibile per il download al seguente link.

Brochure del seminario su Informatica Forense ONIF a FirenzeScarica

Si prega chi fosse interessato a partecipare all’evento di utilizzare, per l’iscrizione, il modulo presente sul sito EventBrite così da allocare i posti che sono, purtroppo, limitati a causa della dimensione della sala.

AIEA - Mobile Forensics a Torino

Seminario su smartphone forensics per AIEA a Torino

Venerdì 10 maggio 2019 dalle ore 11:30 alle 13:00 si terrà a Torino la Sessione di Studio con approfondimento sulle attività di perizia informatica e indagine digitale su smartphone e cellulari, dal titolo “Dammi il tuo smartphone e ti dirò chi sei…”. Il seminario si terrà presso il Collegio Universitario Renato Einaudi – Sezione Crocetta – in
Corso Lione 24, a Torino.

AIEA - Mobile Forensics a Torino

L’amico Mattia Epifani ci parlerà della storia della mobile forensics e di come si è evoluta fino ai giorni nostri, raggiungendo livelli di complessità notevoli dovuti al sempre più presente cloud, cifratura e protezioni da parte dei produttori che rendono difficile talvolta accedere ai dati delle applicazioni. Mattia Epifani mostrerà come è facile, su alcuni dispositivi, sbloccare la protezione del pin o della password di accesso e entrare nello smartphone potendone visionare e acquisire i contenuti nella loro interezza.

Il mio intervento verterà su alcuni esempi pratici di acquisizione di smartphone Android e iPhone tramite strumentazione open source, che seppur in modo limitato permette di raggiungere un buon livello di completezza e correttezza in termini informatica forense e livello di dettaglio. Mostrerò come è possibile, ad esempio, acquisire in maniera forense chat Whatsapp cifrate e decifrarle successivamente estraendo poi i messaggi o le conversazioni d’interesse, il tutto utilizzando strumenti gratuiti e open source come la live distro Tsurugi Linux per informatica forense.

Verranno infine presentate alternative alla mobile forensics tradizionale, come chip off, jtag, strumenti di sblocco di pin e password come Grayshift e CAS della società Cellebrite con approfondimenti sulle analisi di chat, social network e cloud.

Paolo Dal Checco a Le Iene per la truffa dei Rolex

Collaborazione con Le Iene per il servizio sulla truffa dei Rolex

Oggi è andato in onda il servizio per Le Iene al quale ho collaborato supportando Luigi Pelazza con alcune ipotesi sulle modalità tecniche con le quali viene perpetrata la truffa dei Rolex, oggetto del servizio TV visionabile a questo link sul sito Mediaset.

La truffa descritta nel servizio de Le Iene dall’inviato Luigi Pelazza funziona in questa maniera: la vittima mette in vendita un Rolex e viene contattata dal potenziale compratore che si offre di acquistare a prezzo pieno pagando con assegno circolare. I due s’incontrano presso la banca del compratore ed entrano per far verificare l’assegno alla direttrice, che procede alla verifica chiamando il numero di telefono della banca emittente e chiedendo conferma al direttamente direttore. Il direttore delle banca emittente conferma che l’assegno è coperto e il venditore lascia il Rolex al compratore trattenendo l’assegno che però, una volta tentato l’incasso, risulterà falso nonostante la banca emittente – che a questo punto abbiamo intuito non era realmente lei al telefono – ne avesse confermato la copertura.

Paolo Dal Checco a Le Iene per la truffa dei Rolex

Gli aspetti tecnici della truffa dei Rolex riguardano la deviazione di chiamate telefoniche verso il numero di telefono dei truffatori, all’insaputa della direttrice della banca del venditore che è convinta di parlare con un suo collega presso la banca emittente dell’assegno. La direttrice della banca ricevente chiama infatti il numero corretto, al quale risponde normalmente la banca emittente ma, durante la truffa, viene attivata una sorta di redirezione del numero chiamato verso un’utenza scelta dai truffatori. Non si tratta quindi in questo caso di sostituzione (o spoofing, tecnicamente) del numero chiamante, bensì d’intromissione nel numero chiamato.

Poiché vi è alta probabilità che le banche si avvalgano di numerazioni e linee VoIP, si ritiene probabile che l’attacco sia avvenuto sul portale di gestione delle utenze VoIP o persino direttamente sul server PBX VoIP (es. Asterisk) impostando un inoltro chiamata oppure facendo override temporaneo sull’utenza stessa. Le ipotesi investigative sono molte e, tecnicamente, le modalità con le quali può avvenire una sostituzione di utenza telefonica chiamata sono molte, solamente una perizia informatica sui sistemi VoIP sarebbe in grado di fornire una risposta esatta. Si va dal phishing che può aver permesso ai truffatori di accedere al portale di VoIP Management, a un attacco al PBX locale della filiale o al server VoIP della rete bancaria, lato GUI/la web frontend oppure lato SSH con modifica diretta dei file di configurazione (più difficile da identificare).

Resta il fatto che una semplice conferma telefonica, a questo punto, non è più sufficiente per garantire l’originalità di un dato. Non lo è se siamo noi i chiamati (sappiamo bene che lo spoofing del numero chiamante è banale) ma neanche se a chiamare siamo noi e risponde qualcun altro (sappiamo ora che anche sostituirsi al destinatario di una chiamata non è, in alcuni casi, troppo complesso). In genere, una perizia telefonica è in grado di accertare almeno i contorni di eventuali truffe, raggiri e identificare il reato commesso, così da poter produrre una perizia forense a fini giudiziari.