Amministratore di sistema - Principali reati informatici Ver.2013
Download as PPS, PDF2 likes2,356 views
Illustrazione del provvedimento Garante Privacy del 27/11/2008 e dei principali reati informatici
![Frode informatica (art. 640 ter c.p.)
chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o
intervenendo senza diritto con qualsiasi modalit su dati, informazioni o programmi contenuti in un
sistema informatico o telematico o ad esso pertinenti, procura a se o ad altri un ingiusto profitto con
altrui danno, 竪 punito con la reclusione da sei mesi a tre anni e con la multa da euro 516 a euro 1032. La
pena 竪 della reclusione da uno a cinque anni e della multa da euro 309 a euro 1549 se ricorre una delle
circostanze previste dal n.1 del secondo comma dellart. 640 ovvero se il fatto 竪 commesso con abuso
della qualit di operatore del sistema. []
Pasquale Lopriore
Responsabile del Sistema di protezione dei
dati personali](https://image.slidesharecdn.com/amministratoredisistemaads2013-140129021928-phpapp02/85/Amministratore-di-sistema-Principali-reati-informatici-Ver-2013-23-320.jpg)
More Related Content
What's hot (20)
Similar to Amministratore di sistema - Principali reati informatici Ver.2013 (20)
More from Pasquale Lopriore (12)
Amministratore di sistema - Principali reati informatici Ver.2013
- 1. Amministratore di Sistema AdS Illustrazione del provvedimento Garante Privacy del 27/11/2008 e dei principali reati informatici Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 2. Argomenti Definizione di AdS Compiti e funzioni degli AdS Adempimenti da eseguire Registrazione degli accessi Principali reati informatici Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 3. Definizione di AdS Codice per la protezione dei dati personali definisce: Titolare, Responsabile, Incaricato Manca l'Amministratore di Sistema Viene definito nel provvedimento del 27/11/2008. Lintento del Garante 竪 quello di ricomprendere tutti i soggetti che hanno un'effettiva capacit di azione sulle informazioni Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 4. Definizione di AdS Figure professionali finalizzate alla gestione e alla manutenzione di un impianto di elaborazione o di sue componenti. Altre figure equiparabili dal punto di vista dei rischi relativi alla protezione dei dati: amministratori di basi di dati; amministratori di reti e di apparati di sicurezza; amministratori di sistemi software. Devono essere ricompresi anche soggetti che non sono preposti ordinariamente a operazioni che implicano una comprensione del dominio applicativo. Non rientrano invece nella definizione quei soggetti che solo occasionalmente intervengono (p.es., per scopi di manutenzione a seguito di guasti o malfunzioni) sui sistemi di elaborazione e sui sistemi software. (FAQ n.1) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 5. Definizione di AdS Attivit tecniche che comportano il trattamento dei dati personali: Salvataggio dei dati (backup/recovery); Organizzazione dei flussi di rete; Gestione dei supporti di memorizzazione; Manutenzione hardware. In molti casi un'effettiva capacit di azione su informazioni va considerata a tutti gli effetti alla stregua di un trattamento di dati personali. Anche quando l'amministratore non consulti "in chiaro" le informazioni medesime. Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 6. Valutazione del titolare dei dati Valutazione delle attribuzioni di funzioni tecniche propriamente corrispondenti o assimilabili a quelle di amministratore di sistema, laddove queste siano esercitate in un contesto che renda ad essi tecnicamente possibile l'accesso, anche fortuito, a dati personali. Responsabilit del titolare dei dati In caso di incauta o inidonea designazione degli AdS, abbiamo delle responsabilit di ordine penale e civile (artt. 15 e 169 del Codice). Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 7. Adempimenti da adottare 1. Valutazione delle caratteristiche soggettive 2. Designazioni individuali 3. Elenco degli amministratori di sistema 4. Verifica delle attivit 5. Registrazione degli accessi Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 8. 1. Valutazione delle caratteristiche soggettive - Conoscenza della normativa vigente - Conoscenza delle best practices di riferimento in materia di gestione sicura dei sistemi informatici - Consapevolezza relativamente ai rischi di sicurezza derivanti da errori/violazioni nellambito della gestione dei sistemi Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 9. Applicazione dellart. 2104 c.c. 束Il prestatore di lavoro deve usare la diligenza richiesta dalla natura della prestazione dovuta, dall'interesse dell'impresa e da quello superiore della produzione nazionale. Deve inoltre osservare le disposizioni per l'esecuzione e per la disciplina del lavoro impartite dall'imprenditore e dai collaboratori di questo dai quali gerarchicamente dipende.損 La violazione dell'obbligo di diligenza e dell'obbligo di osservanza comporta l'applicazione di misure disciplinari art. 2106 c.c. e l'obbligo di risarcire i danni subordinato all'esistenza della colpa lieve art. 1229 c.c., e pu嘆 dar luogo, in casi estremi, al licenziamento (es.: se il lavoratore costantemente, violando istruzioni impartitegli, reca danno all'attivit produttiva). Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 10. 2. Designazioni individuali - Specifico atto di per ogni AdS - Elencazione analitica degli ambiti di operativit consentiti in base al profilo di autorizzazione assegnato Separazione della gestione IT in ambiti di operativit Definizione di profili di autorizzazione Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 11. 3. Elenco degli amministratori di sistema Redazione di un documento interno: - Determinazione dei sistemi che trattano dati dei lavoratori - Aggiornamento dellelenco degli amministratori -Conoscibilit degli amministratori che operano su sistemi che trattano dati dei lavoratori Servizi in outsourcing Acquisizione degli identificativi degli AdS che operano nellambito di servizi affidati in outsourcing Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 12. 4. Verifica delle attivit - Audit Almeno cadenza annuale i titolari o i responsabili del trattamento devono verificare le attivit degli AdS. La rispondenza alle misure organizzative, tecniche e di sicurezza rispetto ai trattamenti dei dati personali previste dalle norme vigenti. Non deve essere un controllo sulle attivit professionali vietato dallart. 4 L. n. 300/1970 Adempimenti: Redazione di un verbale di controllo. Redazione di regole di condotta (Linee guida del Garante per posta elettronica e internet Del. n. 13 del 1属 marzo 2007) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 13. 5. Registrazione degli accessi Adozione di sistemi idonei alla registrazione degli accessi logici (autenticazione informatica) ai sistemi di elaborazione e agli archivi elettronici da parte degli amministratori di sistema. Le registrazioni (access log) devono avere caratteristiche: Completezza; Inalterabilit; Possibilit di verifica della loro integrit. Le registrazioni devono comprendere i riferimenti temporali e la descrizione dell'evento che le ha generate e devono essere conservate per un congruo periodo, non inferiore a sei mesi. Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 14. 5. Registrazione degli accessi Faq del Garante pubblicate il 25 Maggio del 2010, in merito allapplicazione pratica delle misure da adottare, chiarendo in particolare che: Non 竪 necessario tracciare tutto quello che fa lamministratore, ma solo gli eventi di Logon, Logoff e tentativi di accesso. (FAQN属 22) Bisogna tenere traccia degli accessi sui server, sui client (FAQ N属 4 ) ed anche sui Database (FAQ N属19) Non 竪 necessario tracciare gli accessi degli amministratori agli applicativi (FAQ N属22) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 15. Reati penali Accesso abusivo a sistema informatico o telematico (art. 615 ter) Frode informatica (art. 640 ter) Danneggiamento di informazioni, dati e programmi informatici (artt. 635 bis e ter) Danneggiamento di sistemi informatici e telematici (artt. 635 quatere quinques) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 16. Art. 615-ter Accesso abusivo ad un sistema informatico o telematico. Chiunque abusivamente si introduce in un sistema informatico o telematico protetto da misure di sicurezza ovvero vi si mantiene contro la volont espressa o tacita di chi ha il diritto di escluderlo, 竪 punito con la reclusione fino a 3 anni. Elemento fondamentale 竪 limpiego di misure di sicurezza. Anche con ladozione di una protezione semplice costituita da una parola chiave. Reato di pericolo Il pericolo 竪 rappresentato dal rischio che chi accede abusivamente al sistema possa impadronirsi o comunque visionare quanto custodito al suo interno. Si consuma con il semplice accesso al sistema e non con lutilizzo delle informazioni o disturbando il regolare funzionamento del sistema Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 17. Domicilio informatico Bene tutelato Riservatezza delle comunicazioni o delle informazioni trasmesse tramite sistemi informatici. Domicilio informatico Non pu嘆 considerarsi una mera specificazione del domicilio tutelato dallart. 614 c.p., ma deve essere inteso quale proiezione spaziale della persona indicante un nuovo bene protetto. Riservatezza informatica Indisturbata fruizione del sistema informatico o telematico. (Tribunale di Rovereto sent. 9 gennaio 2004) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 18. Giurisprudenza Il reato di accesso abusivo ad un sistema informatico sussiste ogni volta che vengono sorpassati gli ostacoli che presiedono laccesso al sistema. Non presupponendo necessariamente che il reo sia in grado di poter richiamare e disporre dei dati e dei programmi contenuti nel computer violato. (Tribunale di Bologna Sent. 22/12/2005) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 19. Giurisprudenza Ai fini della configurabilit del reato la violazione dei dispositivi di sicurezza non rileva di per s竪, ma solo come manifestazione di una volont contraria a quella di chi dispone del sistema. Ne consegue che commette il delitto di cui all'art. 615 ter c.p. anche colui che, autorizzato all'accesso per una finalit (controllo della funzionalit del programma informatico), utilizzi il titolo di legittimazione per copiare i dati gestiti da detto programma. (Cass. Pen. sez. V, 14 ottobre 2003, n. 44362) Non costituisce accesso abusivo ai sensi dellart. 615 ter c.p. la condotta del dipendente, autorizzato alluso del sistema informatico, che consulta dati relativi ad un settore diverso da quello di sua competenza in assenza di un divieto espresso di accedere a quel determinato settore e in assenza di finalit personale o di terzi estranee allente di appartenenza. (Tribunale di Viterbo, sent. del 5 luglio 2005) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 20. Fattispecie del reato 2 orientamenti giurisprudenziali: Accesso lecito del soggetto abilitato effettuato per finalit diverse a quelle dell'ufficio e perfino illecite. Accesso illecito anche chi, autorizzato all'accesso per una determinata finalit, utilizzi il titolo di legittimazione per una finalit diversa. Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 21. Fattispecie del reato Nuovo orientamento giurisprudenziale Valutazione non delle finalit ma del dato oggettivo (Cass. S.U. n. 4694/12 del 27 ottobre 2011) La questione non pu嘆 essere riguardata sotto il profilo delle finalit perseguite da colui che accede o si mantiene nel sistema, in quanto la volont del titolare del diritto di escluderlo si connette soltanto al dato oggettivo della permanenza dell'agente nel sistema informatico. Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 22. Fattispecie del reato Nuovo orientamento giurisprudenziale Profilo oggettivo dell'accesso e del trattenimento nel sistema informatico si riscontra: sia quando violi i limiti risultanti dal complesso delle prescrizioni impartite dal titolare del sistema; sia quando ponga in essere operazioni ontologicamente diverse da quelle di cui 竪 incaricato ed in relazione alle quali l'accesso era consentito. Il dissenso del dominus ioci viene desunto dalla oggettiva violazione delle disposizioni del titolare in ordine all'uso del sistema. ((Cassazione Pen. n属 15054 del 18.04.2012) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 23. Frode informatica (art. 640 ter c.p.) chiunque, alterando in qualsiasi modo il funzionamento di un sistema informatico o telematico o intervenendo senza diritto con qualsiasi modalit su dati, informazioni o programmi contenuti in un sistema informatico o telematico o ad esso pertinenti, procura a se o ad altri un ingiusto profitto con altrui danno, 竪 punito con la reclusione da sei mesi a tre anni e con la multa da euro 516 a euro 1032. La pena 竪 della reclusione da uno a cinque anni e della multa da euro 309 a euro 1549 se ricorre una delle circostanze previste dal n.1 del secondo comma dellart. 640 ovvero se il fatto 竪 commesso con abuso della qualit di operatore del sistema. [] Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 24. Frode informatica (art. 640 ter c.p.) - Fattispecie del reato La norma individua due precise condotte criminose (Cass. Pen. 24 febbraio 2011, n. 9891): 1.Alterazione (sia hardware che software) del funzionamento di un sistema informatico/telematico; 2.Lintervento senza diritto in qualunque modo su dati, informazioni o programmi contenuti in un sistema informatico/telematico , procura a s辿 o ad altri un ingiusto profitto con danno altrui. Tali condotte devono procurare a se o ad altri un ingiusto profitto con danno altri (a differenza dei Delitti di danneggiamento informatico (artt. 635 bis - ter quater - quinquies c.p.) Il reato si consuma nel momento in cui lagente consegue lingiusto profitto con correlativo danno patrimoniale altrui (Cass. pen. 3065/1999) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 25. Frode informatica (art. 640 ter c.p.) - Modalit operative Le modalit operative della condotta in esame possono essere differenti interventi criminosi: intervento sui dati inseriti nel computer. I dati potrebbero essere manipolati dal soggetto attivo (alterazione o immissione abusiva). In questo caso esiste concorso di reato con lart. 491bis (delitto di falso informatico); intervento sul programma operativo del sistema. Il <<software>> viene alterato affinch辿 il computer (o il sistema) operi in modo differente da come 竪 stata progettata al fine di compiere illeciti (frodi); intervento sulle informazioni, ovvero sulla correlazioni fra i dati contenuti in un elaboratore o in un sistema. La detenzione delle password, che consente l'accesso al sistema informatico senza manometterlo, non determinano "il diritto" di modificare i dati presenti (es. la posizione contributiva dei contribuenti effettuando degli sgravi non dovuti e non giustificati dalle evidenze in possesso dell'Agenzia delle Entrate) (Cass. Pen. n属 13475 del 22.03.2013) Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 26. Danneggiamento di informazioni, dati e programmi informatici (artt. 635 bis e ter) Chiunque distrugge, deteriora, cancella, altera o sopprime informazioni, dati o programmi informatici altrui 竪 punito, a querela della persona offesa, con la reclusione da sei mesi a tre anni. (Art. 635 BIS) Se utilizzati dallo Stato o da altro ente pubblico o ad essi pertinenti, o comunque di pubblica utilit, 竪 punito con la reclusione da uno a quattro anni. (Art. 635 TER) Si prevede come aggravante se il fatto 竪 commesso con abuso della qualit di operatore del sistema. Il delitto di danneggiamento tutela il diritto allintegrit delle cose mobili e immobili altrui, nella struttura o nella loro utilizzabilit, dalle aggressioni che ne determinano la distruzione, la dispersione, il deterioramento o linservibilit. Nellintento di reprimere la violenza informatica sono state, altres狸, introdotte quattro peculiari fattispecie criminose che puniscono le condotte di danneggiamento lesive di informazioni, dati e programmi informatici, nonch辿 di sistemi informatici o telematici. Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 27. Giurisprudenza Sussiste il reato di danneggiamento informatico anche quando i file cancellati possono essere recuperati. La locuzione 'cancellazione' deve essere interpretata - dice la Cassazione nella accezione informatica e non semantica del termine, ossia come la "rimozione da un certo ambiente di determinati dati, in via provvisoria attraverso il loro spostamento nell'apposito cestino o in via 'definitiva' mediante il successivo svuotamento dello stesso". Del tutto irrilevante, ai fini della sussistenza del reato, il fatto che i files cancellati possano essere recuperati ex post attraverso una specifica procedura tecnico-informatica. Cass., Sez. V, 18 novembre 2011 Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali
- 28. Grazie per lattenzione Pasquale Lopriore Responsabile del Sistema di protezione dei dati personali