Votul electronic: soluție sau problemă?

Editorial

Vizualizari: 487

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Consecventa eșecurilor Ministerul Afacerilor Externe în organizarea alegerilor pentru românii aflați în afara granițelor țării a redeschis discuțiile privind votul electronic.

Alegerile europarlamentare din luna mai a acestui an s-au desfășurat cu mare dificultate pentru majoritatea romanilor stabiliți în afara țării. Mii de oameni au fost nevoiți să stea ore întregi la cozi interminabile în speranța că vor apuca sa-și exercite unul dintre drepturile civice  fundamentale ale unei democrațiile moderne: dreptul de vot.

Frustrarea resimțită în ziua alegerilor europarlamentare a readus în discuție necesitatea votului electronic. Astfel, o petitie privind introducerea votului electronic a fost semnată de aproape 70.000 de persoane.

Conform inițiatorului petiției “Introducerea votului electronic la distanță este o necesitate pentru România. Votul electronic la distanță ar face posibil un proces electoral simplu, corect și fără blocaje atât pentru cetățenii care locuiesc în România, cât și pentru cei plecați peste hotare.”.

Tehnologia blockchain pentru votul electronic

Eșecul sistemelor de vot electronic introduse în alte țări, datorită erorilor sau a vulnerabilităților este motivul pentru care o astfel de decizie trebuie analizată în amănunt. Petiția menționată anterior propune ca soluție pentru introducerea votului electronic utilizarea tehnologiei blockchain, care prezintă “un grad ridicat de securitate și performanță”.

Ce spuneau specialiștii în 2015:

Nu este pentru prima dată când subiectul votului electronic este dezbătut. În aprilie 2015 Societatea Academică Română împreună cu Academia de Advocacy a organizat o consultare publică pe tema votului electronic. În cadrul acestei dezbateri, susținătorii votului electronic au invocat argumente emoționale în timp ce persoanele cu experiență în securitate IT au ezitat ori s-au împotrivit.

Asociația pentru Tehnologie și Internet (ApTI), în umbra reînvierii discuțiilor despre votul electronic, a reamintit print-o postare pe facebook, punctul sau de vedere foarte bine argumentat, susținut în cadrul dezbaterii menționate mai sus, invocând 3 riscuri îngrijorătoare:

1. Calculatorul de la care votul prin Internet se transmite nu poate fi sigur. Aceasta depinde doar de măsurile de securitate ale calculatorului folosit pentru a vota (care sunt aproape imposibil de verificat pentru fiecare calculator în parte). Infectarea calculatoarelor cu sisteme de operare Windows (care sunt majoritate) este extrem de ușoară, de multe ori de-a dreptul trivială.

Explicat simplu: Tu votezi candidatul A și de pe calculatorul tău pleacă ca ai votat candidatul B.

  1. Conexiunea prin care trimiți votul nu este sigura. Exista posibilitatea criptării end-to-end, dar tehnologiile de criptare nu au fost niciodată și nu au cum să fie, chiar și din punct de vedere teoretic, infailibile. Membrii comunității de securitate informatică știu asta de multă vreme iar pentru restul populației aceste lucruri au fost dovedite de ultimele revelații ale lui Snowden: comunicațiile pot fi accesate și modificate cel puțin de NSA și alte agenții de securitate externe.

Explicat simplu: Tu votezi candidatul A și de pe calculatorul tău pleacă ca ai votat candidatul A, dar ajunge la final ca ai votat candidatul B.

  1. Calculatorul care primește votul cu software-ul care contorizează poate că e sigur (deși orice expert de securitate informatică va spune că nici un calculator conectat la rețea nu poate fi sigur). Softul de primire și contorizare a voturilor este imposibil de audiat perfect, astfel încât rezultatul votului poate fi ușor falsificat (indiferent de software-ul folosit), în special de națiuni care angajează hackeri (vezi incidentele recente cu Rusia sau chiar Coreea de Nord).

Explicat simplu: Tu votezi candidatul A și de pe calculatorul tău pleacă ca ai votat candidatul A, ajunge la calculatorul care face contorizarea că ai votat candidatul A. Cu toate acestea, în contorizarea voturilor, unde cineva cu interes a avut acces, se notează că a fost votat B.

ApTI a mai semnalat și alte probleme conexe:

  • secretul votului nu poate fi asigurat. Explicat simplu: Tu votezi candidatul A și cineva poate ști ca ai votat candidatul A.
  • sistemul pe hârtie permite re-verificarea procesului și rezultatelor sistemului de votare de la un capăt la celalalt, pe când sistemul electronic nu permite această facilitate, datele electronice fiind în esența lor volatile, deci este foarte improbabila verificarea lui. Explicat simplu: Cum poți verifica că cei care au votat candidatul A au fost înregistrați ca votând A.
  • autentificare: cum trimiți datele de acces în sistem astfel încât nimeni sa nu aibă acces la ele în afara alegătorului? Experiența cu Posta Romana pentru trimiterea cardurilor de sănătate (total nesigură) ne arată că statul român nu are o minima competența în acest sens.
  • usability: Cum te asiguri că software-ul este făcut suficient de "pe înțelesul tuturor" astfel încât cel care votează A să înțeleagă că votează A și nu B.
  • observatori: Cum găsești niște observatorii care chiar pot sa auditeze tot sistemul de la un capăt la altul -
  • tech support: Cum poți sa asiguri răspunsurile tehnice corecte și inteligibile la întrebările primite de la toți cei interesați?

Concluzia celor de la ApTI era, la acel moment că “Nivelul tehnic actual nu permite asigurarea unui sistem electronic de vot (și cu atât mai puțin a unui sistem de vot prin internet) la un nivel de siguranță măcar acceptabil”. Credeți că între timp s-a schimbat ceva? Repostarea poziției ApTI privind votul electronic ne oferă un semnal evident: NU!

Ce spun experții străini:

Expertul în securitate cibernetica Kathleen Fisher, profesor și președinte al departamentului de informatică din Tufts, explică într-o înregistrare video disponibilă pe Youtube de ce tehnologia votării trebuie să rămână primitivă. Conform acesteia, aproape toate metodele electronice disponibile de vot sunt într-un fel sau altul în măsură să fie piratate: fie aparatul în sine sau de programul de numărare a voturilor de la final.

Cu siguranță evoluția fulminantă a tehnologiei poate face ca astăzi să fie realizabil ceea ce acum 4 ani era imposibil. Tot mai multe companii de top investesc în tehnologii blockchain dar oare exista ceva ce poate fi 100% sigur în mediul online sau totul este o utopie, asa cum ne avertizează experții în securitate?

Ce au decis autoritățile naționale?

Conform Agerpres, Comisia juridică și cea pentru administrație publică vor întocmi un raport referitor la mai multe inițiative depuse în Parlament privind votul prin corespondentă și votul electronic, această reglementare urmând să fie adoptată până la sfârșitul sesiunii de plenul Camerei Deputaților. „Raportul urmează să fie transmis și aprobat de plenul Camerei Deputaților până la sfârșitul sesiunii parlamentare.(...) Ne dorim ca acesta să fie aplicat și la alegerile prezidențiale”, a declarat, luni, secretarul Camerei Olguţa Vasilescu.

Având în vedere că sunt mai puțin de 6 luni până la alegerile prezidențiale, o astfel de decizie aparent pripita s-ar putea dovedi a fi extrem de periculoasă.

Ce treabă are votul electronic cu protecția datelor personale?

Anonimitatea votului este una din principalele sale virtuții. Dacă, în cazul unei erori de sistem sau a unei vulnerabilități, s-ar afla pe cine ați pus stampila, ați fi indiferenți? Oare poate votul electronic sa ne garanteze anonimitatea absolută a votului nostru? Putem noi oare să fim siguri că o “mica” vulnerabilitate nu va înclina balanța votului într-o parte sau alta? Om trai și om vedea însă, până atunci, parcă tot hârtia pare să fie soluția cea mai sigură.

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

ALERTĂ DE FRAUDA către toți cetățenii, emisă de ANAF

Editorial

Vizualizari: 2955

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Printr-un comunicat de presă publicat ieri (13.06.2019) pe site-ul său, Agenția Națională de Administrare Fiscală atrage atenția contribuabililor asupra unei posibile fraude care se derulează în prezent.

În ce consta înșelăciunea?

Persoanele fizice sunt informate prin sms sau prin e-mail că au de primit bani de la ANAF. Pentru a intra în posesia respectivei sume de bani, aceștia trebuie să acceseze o adresa de internet unde li se cere să completeze un formular cu o serie de date personale inclusiv conturile bancare și PIN-urile acestora.

ANAF ne sfătuiește să nu accesăm link-uri din sms-uri primite în numele său, pentru că Agenția nu transmite informații nesolicitate prin sms. Mai mult, ANAF atrage atenția că  portalul oficial al instituției este www.anaf.ro.

Prin urmare, dacă primiți un sms în numele ANAF, cu siguranță este o tentativa de frauda. În cazul în care veți primi un e-mail ce pare veni din partea ANAF, verificați cu atenție adresa expeditorului, asigurându-vă că aceasta este de @anaf.ro iar eventualele link-uri să conducă către o pagină din portalul oficial al instituției este www.anaf.ro.

Cum ne protejăm de aceste înșelăciuni?

Vă atragem atenția că astfel de încercări de fraudă, deși nu sunt o noutate, continua să facă facă victime printre utilizatorii mai puțin vigilenți. Gândiți de doua ori înainte să dați un click sau să transmiteți date personale, în special atunci când vi se oferă gratuități sau chiar sume de bani. În general ofertele care par prea bune încât să poată să fie refuzate ascund pericole.

În cazul în care un e-mail, un apel telefonic sau un SMS, vă trezește suspiciuni, verificați sursele și interlocutorii înainte de a lua decizii pe care este foarte posibil să le regretați ulterior.

Mai mult, în cazul în care depistați o tentativă de fraudă, vă încurajăm să o raportați Centrului Național de Răspuns la Incidente de Securitate Cibernetică (CERT-RO) care a lansat în luna mai a acestui an numărul unic 1911, apelabil din toate rețelele, la care pot fi raportate incidentele de securitate cibernetică de către persoanele fizice, juridice și instituțiile publice. Prin intermediul serviciului de call-center veți beneficia de asistență primară și consiliere pentru diagnosticare și remediere.

În primele cinci zile de la operaționalizarea numărului unic 1911, 87 de alerte unice de securitate cibernetică au fost raportate către CERT-RO.

„Statistic, cele mai numeroase, aproximativ 30% sunt tip fraude (phishing, sextortion, etc), conținut abuziv aproximativ 14% (spam, mesaje comerciale nedorite, etc), alături de alerte privind sisteme compromise (neactualizate, configurate necorespunzător sau neactualizate), încercări automate de spargere a parolelor, furt de informație, precum și un atac de tip ransomware (criptarea datelor de pe hard-disk).” declara ministrul Comunicațiilor Alexandru Petrescu.

Mai multe informații despre numărul 1911 găsiți aici

Atacatorii vor schimba mereu modul de operare, pentru a încerca să va ducă în eroare. Un astfel de exemplu este reinventarea metodei “Accidentul”, pusă în scenă de o echipa mixta, formata din romani și bulgari. Aceștia se recomandau polițiști și rugau diverse persoane (victimele) să accepte să dea bani unor ”infractori” pentru a-i prinde în flagrant. Naivi, oamenii care credeau că dau o mână de ajutor poliție, au rămas fără bani.

În urmă cu doua luni vă prezentam cele mai frecvente amenințări de securitate, o colecție de 26 de pericole descrise de care trebuie sa ne ferim și pe care trebuie să  învățăm să le putem identifica. Va recomandăm să fiți vigilenți și să vă informați constant asupra pericolelor existente. Urmărind știrile platformei noastre sau informările săptămânale ale CERT.RO, veți putea afla care sunt ultimele amenințări identificate de experții în securitate.

LATER EDIT

Pe pagina sa de Facebook, CERT-RO ne asigură că "s-au efectuat toate demersurile necesare blocării acelui site care găzduiește această tentativă de păcăleală, iar Google a inclus deja o avertizare pentru cei care accesează acel link.

Iată ce vă sfătuiește CERT-RO să faceți dacă ați fost victime ale acestei fraude:
1️⃣ să verificați tranzacțiile de pe contul bancar anexat cardului, pentru eventuale plăți suspecte,
2️⃣ să notificați acest lucru cât mai rapid băncii emitente a cardului, pentru a-l bloca și emite altul, cu alte date,
3️⃣ să depuneți o plângere la cea mai apropiată secție de Poliție, în cazul în care au suferit pagube financiare în urma unui astfel de incident.

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

Sunt angajații un risc de securitate?

Editorial

Vizualizari: 880

Facebooktwittergoogle_plusredditpinterestlinkedinmail

Da, angajații reprezintă unul dintre cele mai mari riscuri în ceea ce privește securitatea unei unei organizații. Și nu spunem noi asta mergând pe principiul 80/20 al lui Pareto, transpus în business (80% din probleme sunt cauzate de 20% dintre angajați), ci studiul State of Cybersecurity 2019 realizat de ISACA.

Analiza răspunsurilor a peste 1500 de respondenți din întreaga lume ne prezintă câteva elemente asupra cărora orice top level manager ar trebui să reflecte înainte de a adopta strategia de securitate a afacerii sale.

Primul lucru care ne-a atras atenția este faptul că 15% dintre amenințările de securitate înregistrate de o organizație provin din rândul propriilor angajați, aceștia clasându-se pe podiumul riscurilor, fiind surclasați doar de infractori cibernetici și hackeri.

De ce sunt vulnerabile companiile la amenințările interne?

Lipsa programelor de conștientizare, a procedurilor clare, a unui program adecvat de instruire al angajaților ii pune pe aceștia în situația de a nu fi conștienți de greșelile pe care le pot face. Astfel, aceștia vor trata cu superficialitate și lipsa de responsabilitate fluxurile de date din organizație, acesta fiind drumul cel mai scurt către incidentele de securitate.

Revenind la studiul ISACA, 57% dintre respondenți consideră că programele de training pentru angajați sunt cea mai buna soluție pentru diminuarea riscurilor privind securitatea organizației, în timp ce 36% dintre aceștia considera ca externalizarea serviciilor de specialitate în domeniul securității cibernetice ar conduce la o mai buna gestionare a amenințărilor la securitatea organizației.

Interesant este faptul că 60% dintre respondenți admit că bugetul alocat securității cibernetice este insuficient pentru a asigura un grad adecvat de protecție, deși  recunosc că este foarte probabil să fie ținta unui atac cibernetic în decursul acestui an.

33% dintre directori vă vor concedia dacă veți cauza un incident de securitate

Un studiu interesant, realizat de Nominet, ne arată faptul că angajații care cauzează accidental un incident de securitate se pot confrunta cu mari probleme. Mai exact,  33% dintre directorii de companii chestionați au declarat că vor rezilia contractul angajaților dacă aceștia vor cauza un incident de securitate.

Sa fie oare acesta caza pentru numărul mic de incidente de securitate raportate? Revenind la studiul ISACA, aflăm că 3 din 4 indecente nu sunt raportate sau gravitatea lor este mult subdimensionată.

Cu alte cuvinte noi nu vom afla decât de bresle care nu mai au loc sub covor, asta pentru că marea majoritate a organizațiilor încearcă să le ascundă existenta sau gravitatea pentru a evita sancțiunile financiare, costurile de remediere sau cele asociate prejudiciilor de imagine.

Ce concluzii putem trage?

Carența unei culturi a responsabilității, în rândul angajaților, privind protecția datelor personale este un factor de risc. Acesta poate fi diminuat substanțial în urma instituirii unor programe de instruire cu privire la importanța protecției datelor în concordanță cu practicile generale și politicile specifice activității companiei.

Responsabilizarea angajaților din perspectiva protecției datelor personale va aduce un plus de valoare companiei. Un angajat conștient și informat este un angajat vigilent și care acționează cu responsabilitate, riscurile unei erori umane scăzând, în același timp în care randamentul muncii crește. Mai mult, identificarea rapidă a eventualelor breșe de securitate și respectarea protocolului de răspuns la incidente va minimiza pierderile companiei.

Costurile cu neinstruirea personalului pot fi foarte mari

Răspunderea este a angajatorului:“Datorită raportului de prepușenie dintre operator și salariații cu atribuții în domeniul protecției datelor personale, operatorul, adică societatea, va suporta povara costurilor asociate unei eventuale reclamații. Vina unui incident de securitate (breșă) ce privește datele personale, aruncată pe umerii un angajat neinstruit, nu exonerează în nici un fel responsabilitatea operatorului (angajatorului). Referitor la instruirea GDPR a angajaților, Cristina ne atrage atenția asupra faptului că acesta “trebuie să fie un proces ciclic (bianual sau cel puțin anual) pentru a putea fi sincronizat cu evoluția perpetuă a amenințărilor. Mai mult, instruirea GDPR a personalului ar trebui solicitată pentru fiecare modificare adusă fluxurilor de date și proceselor sau a legislației aplicabilă”, afirmă Cristina Mătasă, Consultant GDPR.

 

Iți plac articolele dpo-NET.ro? Poți fi la curent cu toate aceste noutăți dacă ne urmărești zilnic pe paginile noastre de LinkedIn sau Facebook. 

Prima amendă GDPR în Belgia a fost aplicată unui primar

Autoritatea de supraveghere din Belgia a impus prima penalizare financiară de la intrarea în vigoare a GDPR, ne informează Comitetul European pentru Protecția Datelor. Probabil mulți dintre cititori […]

Când încep certificările GDPR în România ?

Certificarea GDPR se dovedește a NU fi unul dintre subiectele de interes pentru entitățile implicate în domeniul protecției datelor cu caracter personal, în ciuda faptului că instituirea unor […]

Care sunt conceptele cheie și scopul GDPR?

Scurt istoric Comisia Europeană a propus în 2012 Regulamentul general privind protecția datelor pentru a sprijini evoluția economiei digitale europene. Unul dintre obiectivele acestora a fost să permită […]

S-a lansat Ghidul Operatorilor privind monitorizarea video!

Data Protection Commission (DPC), autoritatea națională de supraveghere din Irlanda, a publicat de curând Ghidul de utilizare a sistemelor de monitorizare video dedicat celor care prelucrează date colectate […]

O radiografie obiectivă a primului an de GDPR

Mâine se împlinește un an de la aplicarea Regulamentului general privind protecția datelor personale (GDPR), moment prielnic pentru noi toți de a realiza o scurtă retrospectivă și de […]

De câți DPO are nevoie România ?

În cadrul unui eveniment privat la care au luat parte experți în protecția datelor în vederea realizării unui bilanț după un an de GDPR, reprezentantul Autorității Naționale de […]

Hitler ar fi iubit rețelele de socializare

Bob Iger, Directorul Executiv al Disney, a criticat în termeni foarte duri platformele de social media afirmând chiar că „Hitler ar fi iubit rețelele de socializare pentru ca […]

După primul an GDPR în România, e timpul să încetăm cu dezinformările!

„GDPR-ul nu este o revoluţie, este o evoluţie!”, aşa îmi încep majoritatea cursurilor încercând să explic că acest pachet de reglementări legislative există înca din 1995 şi a […]

Filmele interactive aduc noi provocări în domeniul protecției datelor

Mi-am petrecut weekendul captivat de filmele interactive în care am eu posibilitatea de a schimba scenariul si finalul filmului în functie de propriile mele alegeri. Trebuie sa recunosc […]

ASCPD: Știrile false, adevărate bombe invizibile

În contextul Zilei Internaționale a Păcălelilor, anunțul Asociației Specialiștilor în Confindențialitate și Protecția Datelor (ASCPD) prin care se anunța lansarea pe data de 1 Aprilie 2019 a unei […]

BREXIT-ul și datele personale

O poveste cu iz de drama și efecte istorice Care este legătura între Brexit și datele personale? De curând am urmărit cu mare interes filmul Brexit: The Uncivil War, […]

Facebook sau Fakebook ? Despre eliminarea comportamentului inadecvat coordonat din România

Conform unui comunicat de presa din 7 Martie 2019, semnat de Nathaniel Gleicher, șeful pentru cyber-security al Facebook, au fost eliminate mai multe Pagini, grupuri și conturi care […]

Pași repezi pentru o Dictatură Digitală în China ?

Sistemul de credit social al Chinei a fost comparat cu Black Mirror, Big Brother și alte povești S.F. la care vă puteți gândi acum însă realitatea este mai […]

Noi obligatii legale pentru spitalele si clinicile medicale publice si private

Potrivit dispozițiilor legii naționale de transpunere a Directivei (UE) 2016/1148 a Parlamentului European și a Consiliului din 6 iulie 2016 privind măsuri pentru un nivel comun ridicat de […]

Intimitatea și sistemul de sănătate

Prin intimitate înțelegem dreptul unui individ sau al unui grup de a se bucura de neintruziunea celorlalți, inclusiv dreptul de a hotărî ce informații despre ei pot fi […]

Cine poate filma și publica în scop jurnalistic ?

Cine este jurnalist ? Cine poate filma și publica în scop jurnalistic ? Înregistrarea în spațiul public reprezintă o prelucrare de date cu caracter personal ? Persoana publică […]