Conservazione delle password

Conservazione delle password

Il Garante Privacy ha pubblicato, il 1° marzo 2024, le linee guida e le FAQ  in materia di conservazione delle password, messe a punto nel dicembre 2023 con l’Agenzia per la cybersicurezza nazionale (ACN). Le FAQ si rivolgono alle imprese e fornicono importanti indicazioni sulle misure tecniche da adottare per innalzare il livello di sicurezza. Le password giocano un ruolo determinante nel proteggere la vita delle persone nel mondo digitale.

Ricordiamo, che molte violazioni dei dati personali sono strettamente collegate alle modalità di protezione delle password. Troppo spesso furti di identità sono causati dall’utilizzo di credenziali di autenticazione informatica archiviate in database non adeguatamente protetti con funzioni crittografiche.

Attacchi informatici

Gli attacchi informatici sfruttano la cattiva abitudine degli utenti di utilizzare la stessa password per l’accesso a diversi servizi online, con la conseguenza che la compromissione delle credenziali di autenticazione di un singolo servizio potrebbe causare l’accesso non autorizzato a una pluralità di sistemi. Studi di settore dimostrano che il furto di username e password consente ai cybercriminali di commettere numerose frodi a danno delle vittime. I dati rubati vengono utilizzati per entrare illecitamente nei siti di intrattenimento (35,6%), nei social media (21,9%) e nei portali di e-commerce (21,2%). In altri casi, permettono di accedere a forum e siti web di servizi a pagamento (18,8%) e finanziari (1,3%).

Contenuto delle nuove Linee Guida

Le Linee Guida sono rivolte a tutte le imprese e le amministrazioni che, in qualità di titolari o responsabili del trattamento, conservano sui propri sistemi le password dei propri utenti, le quali si riferiscono a un numero elevato di interessati (es. gestori dell’identità digitale SPID o CieID, gestori PEC, gestori di servizi di posta elettronica, banche, assicurazioni, operatori telefonici, strutture sanitarie, etc.), a soggetti che accedono a banche dati di particolare rilevanza o dimensioni (es. dipendenti di pubbliche amministrazioni), oppure a tipologie di utenti che abitualmente trattano dati sensibili o giudiziari (es. professionisti sanitari, avvocati, magistrati).

Importante da segnalare, i criteri che stabiliscono il perimetro dei soggetti che sono tenuti ad adottare adeguate misure tecniche di protezione delle password.
Il Garante individua delle condizioni al ricorrere delle quali è raccomandato il potenziamento della protezione delle password:
–    trattamenti di un numero elevato di soggetti, in termini assoluti o in percentuale della popolazione di riferimento a livello locale, regionale e nazionale;
–    banche dati di particolare rilevanza o dimensioni (es. dipendenti di pubbliche amministrazioni o grandi imprese od organizzazioni);
–    utenti che sistematicamente trattano dati particolari o giudiziari (es. professionisti sanitari, avvocati).

A questo si aggiungono le raccomandazioni sulle funzioni crittografiche ritenute attualmente più sicure per la conservazione delle password. Questo per evitare che le credenziali di autenticazione (username e password) possano venire violate e finire nelle mani di cybercriminali, per essere poi messe online o utilizzate per furti di identità, richieste di riscatto o altri tipi di attacchi. Pertanto, la conservazione delle password si applicano anche in caso di utilizzo di una procedura di autenticazione a più fattori (c.d. strong authentication).

Leggi le FAQ: https://www.gpdp.it/temi/cybersecurity/password/conservazione-delle-password

(Fone Garante Privacy)