Categoria: Software

EDPS investiga la telemetria di Office

EDPS – European Data Protection Supervisor (Garante Europeo della protezione dei dati) ha messo sotto indagine Microsoft, in relazione alle funzioni di telemetria di Office 2016 e del correlato servizio Office 365.

L’indagine ha avuto avvio da una valutazione effettuata dalla Autorità di controllo olandese, la quale ha commissionato una DPIA – Data Protection Impact Assessment, nella quale si sono evidenziate attività incompatibili con il GDPR.

Nell’ottimo assessment tecnico effettuato, si è evidenziato un invio di dati diagnostici abnorme (oltre 25.000 tipologie diverse di eventi), la presenza di metadati relativi all’utente e della intestazione delle e-mail, oltre a parti dei contenuti dei testi, specialmente quando sono usati correttore automatico e traduttore.

Sono stati elencati otto punti maggiori di incompatibilità con il Regolamento UE 679/2016:

  • mancanza di trasparenza ed informazione all’utente;
  • impossibilità, per gli utenti, di impostare – o disabilitare del tutto – le funzioni di telemetria;
  • illegale acquisizione e memorizzazione di dati personali speciali/sensibili/classificati;
  • incorretta qualifica di Microsoft come data processor;
  • insufficiente controllo sui sub-processors e sulla relativa elaborazione dei dati;
  • inapplicazione del criterio di limitazione allo scopo (telemetria); a mio parere anche inapplicazione del criterio di minimizzazione e di privacy by design;
  • trasferimento illecito di dati personali al di fuori dello spazio europeo;
  • periodo di data retention indefinito.

Microsoft ha comunicato che sta lavorando per risolvere tutti i punti contestati; fornirà una documentazione esaustiva sulla tipologia di dati raccolti da Office, opzioni chiare e semplici per permettere all’utente o all’amministratore di decidere tipologie e quantità di dati, e uno strumento che permetterà ad amministratori ed utenti di visualizzare i dati raccolti (a mio parere la più grave lacuna attualmente presente).

Segnalo come Microsoft, in passato, sia già stata oggetto di contestazioni simili, in relazione alle funzioni di telemetria di Windows (specialmente il 10).

Update: oggi (15 maggio) una mia installazione di Office 2016 ha chiesto di scegliere quali dati diagnostici condividere: obbligatori e facoltativi; viene proposto un link alla informativa estesa.

Windows 10 PRIVACY

A tutti coloro che non amano essere profilati dal proprio PC, segnalo uno dei migliori programmi per disabilitare le “funzioni di telemetria” di Windows 10.

Si tratta di WPD, Windows Privacy Dashboard; l’interfaccia è -purtroppo – solo in inglese ma le funzioni sono autoesplicative.

Segnalo che il programma permette di scegliere quali funzioni disabilitare e che tale operazioni potrebbero compromettere alcune funzionalità del sistema operativo (sino al completo malfunzionamento di tutto il sistema); pertanto applicate le modifiche, a vostro rischio e pericolo, solo dopo aver effettuato (ed aver verificato) un backup completo del sistema.

In ogni caso, la soluzione definitiva al problema è passare ad altro sistema operativo, certamente Linux based.

Exodus – spyware all’italiana

Gli “addetti ai lavori”, da ieri, non parlano d’altro; un software creato per intercettazioni di stato, il cosidetto captatore informatico (sic!) è uscito dal vaso di Pandora.

Per ulteriori informazioni tecniche potete visitare la pagina di analisi predisposta dalla crew Security Without Borders, mentre per i vari commenti degli esperti basta cercare sui motori di ricerca (consiglio QWANT).

Permettetemi alcune considerazioni che non sono state troppo evidenziate:

  • in Italia, chi controlla i controllori (traduzione – la sicurezza e le caratteristiche del software e della infrastruttura di sostegno del famoso captatore informatico, per il quale sono state spese delle belle sommette dei contribuenti)?
  • che figura ci fa Google, con le circa venticinque copie di software dotato di “malware approssimativo“, presenti nel suo store?
  • e quale proposito avranno avuto coloro che hanno installato una delle “APP mascherate”, dalle funzionalità assolutamente inutili?

Segnalo, a chi di dovere, che un cellulare aziendale colpito da Exodus è un limpido caso di Data-Breach (aziendale).

Da tempo consiglio alle aziende di evitare l’ambiente Android quando la sicurezza della propria organizzazione ha fondamentale importanza.

Mi auguro che la Magistratura di Napoli ed il Garante Privacy facciano chiarezza e chiedano regole stringenti (al Governo) per evitare ulteriori casi paradossali.

Aggiornamento: il presidente della Autorità di Controllo italiana ha rilasciato una intervista nella quale qualifica come “gravissimo l’accaduto“, manifesta la propria preoccupazione sulla mancanza di “garanzie elevate per tutelare la libertà dei cittadini” incolpevoli. Comunque, non sono così certo che si sia trattato di un “mero errore nel funzionamento di un captatore informatico” (tradotto=trojan di Stato).

Perchè aggiornare il sistema operativo?

Domanda ricorrente: ma perchè debbo aggiornare i miei rodati PC Windows XP, che funzionano benissimo, con l’ultima versione di Windows? Windows 10 non ci gira, quindi debbo anche riacquistare l’hardware!

Risposta: perchè spesso vengono alla luce gravissime falle nel sistema operativo, come questa a danno di Windows 7 32 bit – peraltro ancora aggiornato sino a gennaio 2020.

Ovviamente tutti gli OS Microsoft – ma anche tutti gli altri OS – che non siano più mantenuti ed aggiornati, non sono adeguati a mantenere in sicurezza gli eventuali dati personali contenuti nel sistema informativo.

A meno che non siate una banca e Microsoft vi offra ancora supporto – a caro prezzo – per Windows XP “Bancomat OS”.