Ah, l’amministratore di sistema. Old but gold. Figura che nell’organigramma privacy risale ad un provvedimento del Garante Privacy del 27 novembre 2008, modificato il 25 giugno 2009 e rimasto pressoché intatto fino ad oggi. Il tutto, nonostante il nuovo quadro normativo introdotto dal GDPR e, soprattutto, le rilevanti modifiche del contesto tecnologico e del ruolo del sysadmin.

Certo, la definizione di amministratore di sistema pecca di un certo grado di vaghezza:

figura professionale dedicata alla gestione e alla manutenzione di impianti di elaborazione con cui vengano effettuati trattamenti di dati personali, compresi i sistemi di gestione delle basi di dati, i sistemi software complessi quali i sistemi ERP (Enterprise resource planning) utilizzati in grandi aziende e organizzazioni, le reti locali e gli apparati di sicurezza, nella misura in cui consentano di intervenire sui dati personali.

Il comune denominatore di questa categoria di operatori è però individuato nella capacità di accedere in modo privilegiato a risorse del sistema informativo e dati personali. Quindi si può dire che ci troviamo di fronte ad una definizione volutamente ampia. Molto ampia. Forse troppo.

Ma volendo guardare alla sostanza, il concetto che si segue è che da grandi poteri derivano grandi responsabilità. Le quali, però, in ragione del quadro normativo in materia di protezione dei dati personali, comportano precisi obblighi di gestione in capo al titolare del trattamento. Che si traducono in misure da adottare.

Tutti questi obblighi permangono con l’applicazione del GDPR per espressa previsione dell’art. 22 co. 4 d.lgs. 101/2018, il quale prevede che i provvedimenti del Garante continuino ad applicarsi in quanto compatibili con il Regolamento.

Anzi, possiamo dire che in questo caso, ne escono rafforzati nelle proprie coordinate essenziali.

La designazione dell’amministratore di sistema.

All’interno delle misure e accorgimenti prescritti all’interno del provvedimento, al punto 4.2 è previsto l’obbligo di designazione individuale di ciascuno dei soggetti che svolgono le funzioni di amministratore di sistema, con l’elencazione analitica degli ambiti di operatività consentiti in base al profilo di autorizzazione assegnato.

Questa misura non è altro che una specificazione delle disposizioni degli artt. 29 e 32 par. 4 GDPR, che, rispettivamente, prevedono l’obbligo per il titolare di istruire i soggetti autorizzati all’accesso e di controllare che i soli soggetti istruiti abbiano accesso ai dati personali e svolgano operazioni di trattamento. Più in generale rientrano nelle misure organizzative di cui deve dotarsi il titolare per garantire un livello di sicurezza adeguato dei trattamenti.

In particolare, la designazione dell’amministratore di sistema è riconducibile nell’attribuzione di funzioni e compiti prevista dall’art. 2-quaterdecies Codice Privacy. Che nei contenuti minimi deve avere quanto previsto all’interno del citato punto del provvedimento, andando così a chiarire l´ambito di operatività in termini generali, per settori o per aree applicative. A ciò devono poi essere aggiunte tutte le istruzioni necessarie allo svolgimento delle operazioni, andando a specificare quali sono consentite nonché le eventuali condizioni per svolgere determinate attività.

Nel caso in cui un responsabile del trattamento svolga attività come amministratore di sistema, l’accordo di cui all’art. 28 GDPR andrà così integrato con la precisazione degli obblighi del provvedimento ivi inclusa la designazione individuale di tali soggetti. Che per buona prassi è bene che il titolare fornisca come modello allegato.

Gestire gli amministratori di sistema.

Andando un passo oltre, gli obblighi specifici riguardanti gli amministratori di sistema rientrano in una gestione degli accessi e dei privilegi. Attenzione, però, a ricordare che le misure indicate determinano delle soglie minime, ma non è detto che siano sufficienti. Come ricorda il Garante Privacy, infatti, adottare le misure “a catalogo” non significa avere un livello di sicurezza adeguato. Questo è infatti possibile raggiungerlo e comprovarlo solo attraverso un’analisi dei rischi.

Il provvedimento indica alcuni punti fondamentali di gestione, quali:

• la valutazione delle caratteristiche soggettive;
• la designazione individuale;
• la tenuta di un elenco aggiornato degli amministratori di sistema;
• la verifica delle attività svolte;
• la registrazione degli accessi.

Ciascuno di questi aspetti è bene che venga approfondito e declinato correttamente, tenendo conto del contesto organizzativo e secondo quell’approccio risk-based su cui si fonda il sistema del GDPR.

Insomma: gli amministratori di sistema continuano ad esistere anche con il GDPR e la gestione del loro operato è e rimane una responsabilità ineliminabile in capo al titolare del trattamento.

Responsabilità che permane nonostante qualsivoglia clausola di esenzione o limitazione di responsabilità si voglia imporre o far sottoscrivere, perché deriva direttamente dal Regolamento il quale non ammette alcuna deroga a riguardo.

L'articolo Che fine ha fatto l’amministratore di sistema con il GDPR? proviene da il blog della sicurezza informatica.

La Community di Red Hot Cyber ha avuto l’opportunità di partecipare a “Oltre lo schermo”, l’importante iniziativa della Polizia Postale dedicata ai giovani del 2 ottobre, con l’obiettivo di invitarli a vivere la realtà oltre i confini dei social network. Un evento che conferma come, ormai da alcuni anni, la cyber security awareness sia diventata un pilastro fondamentale nei percorsi di formazione giovanile.

L’Auditorium Parco della Musica di Roma, gremito da oltre 1.200 studenti provenienti dalla capitale e dalla sua provincia, ha fatto da cornice all’incontro promosso dalla Polizia di Stato, in collaborazione con Google e One More Pictures. L’iniziativa rientra nella 13ª edizione di “Una Vita da Social”, la storica campagna educativa itinerante che porta nelle scuole italiane strumenti e riflessioni per un utilizzo sicuro e consapevole del web.

Il focus di quest’anno è stato il confronto tra i modelli di perfezione proposti dai social e l’identità dei più giovani, con particolare attenzione alla body positivity e alla riscoperta del valore delle relazioni autentiche nella vita reale.

Il messaggio delle istituzioni

Ad aprire l’incontro, il Capo della Polizia Vittorio Pisani che ha ricordato ai ragazzi di non farsi condizionare dall’identità digitale:

“I rapporti umani sono quelli che arricchiscono davvero e vi preparano a fare la differenza nella vita quotidiana e nel futuro mondo del lavoro”.

Il prefetto ha ringraziato gli insegnanti, riconoscendo il loro compito fondamentale nel trasmettere valori e responsabilità alle nuove generazioni. Anche l’on. Federico Mollicone ha sottolineato, con un messaggio il valore sociale ed educativo del tema, definendo l’educazione digitale una sfida decisiva per il futuro.

Storie ed emozioni: il cortometraggio (IM)PERFETTA

Il momento più atteso è stato la proiezione del cortometraggio “(IM)PERFETTA”, prodotto da One More Pictures con Rai Cinema e presentato alla Mostra del Cinema di Venezia.

La storia di una ragazza che, dopo una delusione amorosa, si rifugia nei social inseguendo un ideale di perfezione, ha emozionato gli studenti. La protagonista scopre infine che la vera unicità sta nelle imperfezioni, ciò che rende autentici e irripetibili.

Scritto da Margherita Pezzella, il corto ha stimolato un confronto sincero, in cui molti giovani si sono riconosciuti. Magistrale il finale del corto nel quale la protagonista, come un novello Amleto, fissa le pillole dimagranti prima della sfumatura finale lasciando allo spettatore sempre presente lo spettro della tentazione mai sopita delle scorciatoie (ingannevoli) verso il risultato.

Testimonianze e ospiti

A rendere speciale l’evento, la partecipazione del cast del film, di artisti, sportivi e personalità del mondo della comunicazione. Non sono mancati i videomessaggi dei calciatori di A.S. Roma e S.S. Lazio, che hanno invitato i ragazzi a credere nel sacrificio, nel lavoro di squadra e nel valore della vita reale rispetto a quella virtuale.

Il conduttore radiofonico Renzo Di Falco e la Dottoressa Roberta Mestichella hanno guidato la giornata con energia, lasciando spazio a riflessioni e interventi anche in collegamento: da New York con Marco Camisani Calzolari, esperto di comunicazione digitale, e da un set cinematografico in Trentino Alto Adige.

Educazione digitale e responsabilità condivisa

Il confronto tra istituzioni e aziende ha ribadito la necessità di un’alleanza tra pubblico e privato.

Barbara Strappato, direttrice della Prima Divisione della Polizia Postale, e Martina Colasante di Google Italia hanno sottolineato l’impegno per sviluppare tecnologie sicure e costruite su misura per i più giovani.

Il produttore Carlo Raffronti ha ricordato che oggi il rischio è l'”analfabetismo digitale”, invitando i ragazzi a domandarsi sempre perché un contenuto viene loro proposto online.

Quasi tutti gli ospiti del talk hanno posto l’accento sul valore delle emozioni reali, più durature di quelle virtuali.

Un invito a scegliere quindi la realtà e ad utilizzare i social responsabilmente

Il filo conduttore dell’evento è stato chiaro: educazione, rispetto e accettazione di sé e degli altri come strumenti per contrastare fenomeni come il cyberbullismo. “Non esistono scorciatoie” hanno ricordato gli sportivi di Roma e Lazio presenti con un video messaggio, “servono sacrificio e dedizione, nello sport come nella vita”.

Durante i vari speech della giornata, ogni partecipante ha ricevuto un kit con materiali informativi: un quaderno Comix, un volantino della Polizia Postale con utili consigli per una navigazione sicura e il “The Future Report” di Google, ricerca veramente accurata sugli adolescenti europei e il loro rapporto con internet e l’intelligenza artificiale.

Più che un evento, un messaggio alle nuove generazioni ed ai loro genitori

“Oltre lo schermo” non è stato solo un momento di riflessione, ma un invito a vivere la tecnologia senza subirla, a non lasciarsi ingannare dalle illusioni dei social e a dare valore alle relazioni autentiche.

Perché, come ha ricordato uno dei relatori, “ciò che conta davvero è quello che pensano di voi le persone che vi conoscono nella vita reale, coloro che vi vogliono bene, non i commenti sui social”.

L'articolo Oltre lo schermo: l’evento della Polizia Postale per una vita sana oltre i social proviene da il blog della sicurezza informatica.

While not everyone agrees on the installation of wind turbines in their proverbial back yards, one thing not up for debate is that there is a drive to build them bigger, and bigger. Big turbines means big blades, and big blades need to be transported… somehow. If air freight is going to stay relevant to the industry, we’re gonna need a bigger airplane.

A startup called Radia has a plan for that plane, and it is a doosie. The “WindRunner” would clock in at a massive 108 meters (354 feet) long, but with a wingspan of just 80 m (262 ft). That’s very, very long, but it might not be the largest airplane, depending how you measure it. Comparing to the 88 m wingspan for the late, lamented An-225 Mriya, you can expect a lower payload capacity, but heavy payloads aren’t the point here. Wind turbine blades really aren’t that heavy. They’re big, or they can be — the WindRunner is designed to fit a single 105 m blade within its long fuselage, or a pair of 90 m blades.

You can tell it has one job; there’s just 3 m difference in length between the blade and the plane. Image: Radia.
That’s very little clearance, which is why the cockpit sits up top in a bulge that makes the thing look a bit like an enormous Carvair, for anyone who remembers that old prop-job — except for the H-tail, that is. That’s for a different reason than the An-225’s use of the same feature, which was to keep the tails out of the wash of a back-mounted “Buran” space shuttle. With the WindRunner, the H-tail is simply so the tail will not be too tall to fit existing airport infrastructure. The Lockheed Constellation used a triple-tail for the same reason, way back when.
The Carvair, another cargo hauler with exactly one job. It was actually based on a DC-4, and not a Convair, but for a car carrier the name fits.
Image: Eduard Marmet, CC3.0
The aircraft will of course be short-runway and rough-field capable, capable of taking off and landing on dry packed dirt or gravel in just 1,800 m, or 6000 ft — a little more than 10x its own enormous length. The payload it hauls into those rough fields will break no records at only 72.6 tonnes; Mriya could do 250 tonnes, but again, heavy lift isn’t the goal here.

This plane has a very specific mission, to the point that we argue it might just qualify as a hack. It will be interesting to see if Radia can sign enough customers to get one (or more) built.

hackaday.com/2025/10/03/giant-…

Il giornalista della BBC Joe Tidy si è trovato in una situazione solitamente nascosta nell’ombra della criminalità informatica. A luglio, ha ricevuto un messaggio inaspettato sull’app di messaggistica Signal da una persona sconosciuta che si è identificata come “Syndicate“.

La persona si è offerta di partecipare a un piano criminale: se Tidy avesse ceduto l’accesso al suo computer, avrebbe ricevuto una parte del riscatto richiesto alla società. Inizialmente, l’offerta era del 15% della somma possibile, ma in seguito è aumentata al 25%, con la promessa che questo “accordo” sarebbe stato sufficiente per vivere agiatamente.

I criminali hanno spiegato il loro interesse per la collaborazione citando i benefici che avevano ricevuto in passato da tali accordi. Syndicate, che ha persino cambiato nome durante le comunicazioni, ha affermato che i dipendenti dell’azienda spesso accettano di aiutare gli hacker.

Hanno citato come prova gli attacchi a un’organizzazione sanitaria britannica e a un’agenzia di servizi di emergenza americana. Inoltre, solo pochi giorni prima, un esperto IT era stato arrestato in Brasile per aver venduto le sue credenziali agli hacker. Secondo la polizia, la banca ha subito perdite per circa 100 milioni di dollari, una storia che ha rafforzato il senso di urgenza.

La fonte si è identificata come un “responsabile delle comunicazioni” del gruppo Medusa, noto come una delle organizzazioni più attive che operano secondo il modello “ransomware-as-a-service”. Qualsiasi criminale affiliato può utilizzare la piattaforma Medusa per gli attacchi. Secondo CheckPoint, il nucleo del gruppo opera dalla Russia o dai paesi alleati ed evita gli attacchi all’interno della CSI, concentrandosi sulle aziende straniere. In un avviso ufficiale, le autorità statunitensi hanno riferito che Medusa ha attaccato più di 300 organizzazioni in quattro anni. Il sito web darknet del gruppo elenca decine di aziende colpite, ma i loro nomi sono oscurati.

Durante le trattative, Syndicate ha continuato ad aumentare la pressione. Hanno affermato di sapere che gli stipendi alla BBC non erano particolarmente alti e si sono offerti di “andare in pensione alle Bahamas” dopo un attacco hacker andato a buon fine. Come “garanzia di onestà”, gli hacker hanno promesso un deposito di 0,5 Bitcoin, circa 55.000 dollari.

Hanno richiesto un login, un codice di autenticazione a due fattori e hanno persino inviato un frammento di codice complesso con la richiesta di eseguirlo su un laptop aziendale e di riportare i risultati. Ciò avrebbe permesso loro di valutare il loro livello di accesso e pianificare ulteriori interventi all’interno dell’infrastruttura.

Syndicate ha insistito affinché la conversazione venisse spostata su Tox, un messenger attivamente utilizzato dai criminali informatici, e ha inviato link alle pagine di Medusa su forum chiusi.

Quando il giornalista, consultandosi con i colleghi, ha iniziato a prendere tempo, l’altra persona ha perso la pazienza. Ha fissato una scadenza e presto è passata a una tattica diversa. Il telefono di Tidy è stato bombardato da notifiche pop-up che gli chiedevano di confermare l’accesso al suo account BBC. Questo metodo è noto come MFA bombing: la vittima riceve decine o centinaia di notifiche push e alla fine potrebbe toccare “conferma”, accidentalmente o per stanchezza. Uber è stata hackerata in modo simile nel 2022, ad esempio.

Tidy non rispose e contattò urgentemente il team di sicurezza informatica della BBC. Per mitigare il rischio, fu temporaneamente disconnesso dai sistemi aziendali: niente email, niente servizi interni, niente strumenti di accesso. Quella stessa sera, un messaggio inaspettatamente calmo da Syndicate si scusò: “Il team si scusa. Stavamo testando la pagina di accesso della BBC e ci scusiamo se questo ha causato problemi”. Nonostante la pressione, l’hacker continuò a proporre un accordo, ma non ricevendo risposta, cancellò il suo account Signal e scomparve.

L’accesso del giornalista ai sistemi è stato successivamente ripristinato e la sicurezza del suo account è stata rafforzata. Questa esperienza ha dimostrato come le minacce reali non provengano solo da attacchi tecnici sofisticati, ma anche da attacchi mirati ai dipendenti.

Anche chi non ha diritti privilegiati sulla rete aziendale può essere un bersaglio per il reclutamento . La storia di Tidy è diventata un chiaro esempio di come i gruppi criminali utilizzino una combinazione di promesse, manipolazione e tecniche per aggirare la sicurezza interna e costringere le organizzazioni a pagare un riscatto.

L'articolo Ti offrono 55.000 euro per l’accesso al tuo Account dell’ufficio. Cosa dovresti fare? proviene da il blog della sicurezza informatica.