Giornata mondiale della crittografia 2023

Oggi si celebra il Global Encryption Day 2023 (Giornata mondiale della crittografia 2023).

Il tema è quanto mai attuale, fondamentale e da noi considerato universalmente di primario rilievo.

Lo scopo di questo breve contributo è di richiamare l’attenzione di tutti sull’importanza della crittografia quale valido strumento per proteggere le informazioni.

Riteniamo che sia sempre necessaria una continua sensibilizzazione degli utenti sulla necessità di proteggere le informazioni personali, in modo che possa aumentare la loro consapevolezza.

L’impiego della crittografia non riguarda soltanto gli adulti ma anche i ragazzi.

Si sente molto spesso e sempre più di frequente parlare di sicurezza informatica o di cybersecurity.
In termini generali si dovrebbe riflettere sul concetto di sicurezza e domandarsi quanto ci si sente sicuri. Difficilmente si potrebbe rispondere di essere totalmente sicuri. Chiunque, infatti, adotta sistemi per proteggersi, dalla serratura della porta di casa, alle chiusure delle auto, ai sistemi di allarme, alle videocamere, ecc. Ciò denota una consapevolezza generalizzata della insicurezza che induce a utilizzare sistemi di protezione di beni e persone.

L’adozione di sistemi idonei alla protezione, in genere, dimostra che si ha una percezione chiara da un lato della esistenza di minacce e rischi, dall’altro di vulnerabilità a cui siamo esposti.

In effetti, la consapevolezza di essere vulnerabili accresce il bisogno di adottare misure idonee a limitare le possibilità di essere oggetto di invasioni non autorizzate nelle nostre sfere. La consapevolezza dell’esistenza di vulnerabilità è strettamente connessa alla presenza di rischi che si vuole eliminare o quanto meno sensibilmente ridurre (installo una porta blindata per ridurre il rischio che qualcuno possa accedere facilmente).

A nostro avviso non è corretto affermare di “non avere nulla da nascondere” quale presupposto per non preoccuparsi di adottare la crittografia o proteggere le proprie informazioni personali. Infatti, tale affermazione evidenzia soprattutto una mancata consapevolezza dei numerosi rischi esistenti e delle possibili conseguenze.

Il tema della sicurezza informatica è molto importante e spesso non si riesce a percepire la reale necessità di provvedervi.
Alcune volte ci si chiede quale sia la fonte normativa vale a dire se esista una legge che impone un obbligo in tal senso.
In realtà, ci sono diversi provvedimenti normativi a livello europeo in materia di sicurezza (si vedano i numerosi Acts e la strategia digitale europea).

A queste norme vanno aggiunte quelle in materia di protezione dei dati personali.

Intendiamo fare riferimento all’art. 32 del GDPR che riguarda la sicurezza del trattamento e stabilisce con quali modalità essa vada attuata.

Molto spesso si ritiene che sicurezza sia un sinonimo di protezione dei dati, o addirittura che il rispetto delle norme tecniche e giuridiche sulla sicurezza sia utile alla valutazione di conformità anche alla normativa in materia di protezione dei dati personali.
In realtà, così non è.
Il contesto della protezione dei dati personali include anche la sicurezza ma non è vero il contrario.
Il concetto è espresso dalla seguente disequazione:

Uno degli aspetti di maggior rilievo per la sicurezza delle informazioni è la crittografia o cifratura.

Più specificamente, il Regolamento UE 2016/679 (GDPR) in diverse parti fa riferimento alla “cifratura”.

Infatti, il Considerando(83) la richiama quale misura per mantenere la sicurezza e prevenire trattamenti in violazione allo stesso GDPR; la cifratura, inoltre, è indicata all’art. 6(4)(e), norma fondamentale sulla liceità del trattamento.
L’art. 32 sulla sicurezza del trattamento indica tra le misure tecniche e organizzative la cifratura e la pseudonimizzazione.
Il successivo art. 34 (Comunicazione di una violazione dei dati personali all’interessato), nel caso di data breach, esclude la comunicazione all’interessato se il titolare del trattamento ha messo in atto misure tecniche e organizzative di protezione quali la cifratura.

Ciò posto, ribadiamo, ancora una volta, che l’utilizzo della crittografia è di primaria importanza.

Com’è noto siamo particolarmente sensibili al tema della comunicazione digitale e sul punto abbiamo già scritto numerosi contributi sulla necessità della crittografia che, per comodità del lettore, riportiamo di seguito:

• Comunicazione digitale consapevole nel rispetto della privacy e delle app o dei servizi che si scelgono
• La privacy nella comunicazione a mezzo email: dovremmo utilizzare la crittografia by default
• Le Privacy Enhancing Technologies (PETs): categoria sempre attuale - parte 1
• Le Privacy Enhancing Technologies (PETs): categoria sempre attuale - parte 2
• XMPP: il protocollo per la comunicazione sicura che rispetta la privacy
• SimpleX Chat: un’app per la messaggistica istantanea che rispetta la privacy
• Session: app di messaggistica basata su blockchain che protegge la privacy dell’utente
• Nym Mixnet: una delle Privacy Enhancing Technologies (PETs)?

Si registra un crescente aumento dell’utilizzo di soluzioni di sicurezza in ambito applicativo con il primario obiettivo di garantire la privacy degli utenti.

Consideriamo valori aggiunti l’investimento sulla sicurezza e l’adozione di misure tecniche per le applicazioni.

Tuttavia, ci preme sottolineare - quanto meno in questa sede e con riserva di maggiori approfondimenti - che orientarsi verso un consistente incremento della sicurezza non vuol dire risolvere correttamente la complessità dei temi relativi alla protezione dei dati personali e alla privacy.
Sarebbe errato qualificare gli aspetti della riservatezza e della protezione delle persone fisiche con riguardo al trattamento dei dati personali unicamente in chiave di sicurezza.

La protezione dei dati personali e la privacy hanno proprie norme giuridiche da rispettare che non possono essere sostituite dall’impiego di soluzioni di sicurezza.

Riteniamo che la scelta delle applicazioni da parte degli utenti dipenda in primis dalla fiducia riposta negli sviluppatori per la completezza e l’efficienza del software, nonché per le modalità utilizzate tra le quali la trasparenza (open source) che mette in condizioni chiunque di acquisire consapevolezza sui singoli processi.

(*) Image from Global Encryption Coalition