Riepilogo
I consumatori sono più consapevoli e preoccupati della privacy dei dati che mai. E stanno iniziando a fare domande: perché questo marchio monitora il mio utilizzo di Internet, o vende i miei dati personali, o mappa il mio viso senza il mio permesso? In questo episodio, esploriamo una nuova indagine ISACA su quasi 2.000 professionisti della privacy e della sicurezza informatica per scoprire chi sta dando priorità alla privacy dei dati, chi no e come le aziende possono adottare una migliore “privacy by design”.
HOST: Doug Thompson, direttore dell’ingegneria delle soluzioni tecniche e capo architetto dell’istruzione, Tanium
GUEST: Safia Kazi, consulente professionale per la privacy, ISACA
Mostra note
Dai un'occhiata al sondaggio di ISACA, a questi articoli su Focal Point, la nuova rivista online di notizie sulla sicurezza informatica di Tanium, e al nostro esclusivo webinar su come il NIST Privacy Framework può aiutare le organizzazioni pubbliche e private a proteggere i dati sensibili.
- Rapporto sulla privacy nella pratica 2023 | ISACA
- Che cos'è la gestione della privacy dei dati?
- Ciò che Latanya Sweeney sa sulla privacy dei dati ti darà problemi
- Il lavoro da remoto aumenta le preoccupazioni sulla privacy dei dati
Trascrizione
La seguente intervista è stata modificata per chiarezza.
Safia Kazi: Vivo nello stato dell’Illinois, che ha una legge sulla privacy biometrica molto forte. E l'altro giorno ho ricevuto un assegno da Facebook per qualcosa che hanno fatto - non so cosa, ma lo prendo. Penso che ciò significhi che la persona media a cui non importa affatto della privacy ora sta iniziando a preoccuparsi.
Doug Thompson: 650 milioni di dollari. Questo è quanto la società madre di Facebook, Meta, ha accettato di pagare l'anno scorso per risolvere le accuse di aver raccolto illegalmente dati biometrici dalle persone che utilizzavano il suo sito web. E proprio questo inverno, la Corte Suprema dell’Illinois ha stabilito che il gigante del fast-food White Castle avrebbe dovuto affrontare rivendicazioni simili per la presunta scansione delle impronte digitali dei lavoratori senza il loro consenso. La catena di hamburger ha detto che la sentenza potrebbe costare loro più di $ 17 miliardi. Ci sono molti cursori.
Ciao, sono Doug Thompson, e oggi su Let’s Converge, parliamo di privacy dei dati e delle conseguenze dolorose del pubblico di non prenderla sul serio. In Europa da diversi anni sono in vigore forti leggi sulla privacy dei dati e ora vari stati degli Stati Uniti stanno discutendo l’approvazione di una legislazione simile. E le aziende si affannano a tenere il passo.
Safia Kazi, consulente professionale per la privacy presso ISACA, l’Associazione per il controllo e l’audit dei sistemi informatici. Safia è qui per discutere di un nuovo sondaggio di ISACA chiamato Privacy in Practice 2023, in cui sono stati intervistati quasi 2.000 professionisti della privacy e della sicurezza per scoprire chi sta dando priorità alla privacy dei dati, chi no e come le aziende possono migliorare la privacy-by-design. Come va oggi, Safia?
Kazi: Sono bravissima. Grazie per avermi invitato.
Thompson: Sai, parliamo molto di violazioni della sicurezza in questo podcast, ma ciò che molte persone non capiscono è ciò che deriva da una violazione: una perdita di privacy. Ed è qui che entri in gioco tu e di cosa si occupa la tua organizzazione.
Kazi: Sì, assolutamente. Quindi hai ragione. Molte persone pensano alla sicurezza, ma potrebbero non pensare necessariamente alle implicazioni sulla privacy di una violazione della sicurezza. A volte mi chiedono qual è la differenza tra sicurezza e privacy? Non sono sinonimi? A cui dico che non si può assolutamente avere privacy senza sicurezza, ma si potrebbero avere misure di sicurezza fantastiche e fare un pessimo lavoro di privacy. La privacy è un sottoinsieme della sicurezza? Un po’, ma non proprio. I due, naturalmente, vanno molto mano nella mano. E sono sicuro che mentre parliamo dei risultati del nostro sondaggio di oggi, vedrai che i professionisti della privacy e della sicurezza lavorano a stretto contatto per proteggere al meglio la privacy delle persone che stanno fornendo le loro preziose informazioni.
Thompson: Bene, iniziamo con quello. Voglio dire, ogni mese otteniamo un nuovo titolo perché alcune società stanno pagando multe ora. Ci sono grandi dollari associati a questa perdita di privacy.
Kazi: È interessante. Qui negli Stati Uniti, abbiamo uno strano mosaico di leggi sulla privacy in cui, a seconda dello stato in cui vivi, potresti avere più protezioni di qualcuno che vive a poche ore da te. Questo ovviamente rende anche molto difficile per le organizzazioni, che hanno un obiettivo mobile di ciò che è la conformità e ciò che devono fare. Recentemente l’Iowa ha approvato una legge sulla privacy.
Penso che i consigli di amministrazione stiano iniziando a capire che la privacy è qualcosa a cui devono pensare solo perché abbiamo tutti visto i titoli negativi delle organizzazioni che non rispettano la privacy e le enormi multe che devono pagare. E questo non dice nulla del danno reputazionale che colpisce la loro linea di fondo. ISACA ha condotto un sondaggio sullo stato della privacy e in questo abbiamo scoperto che, rispetto all'anno scorso, i consigli di amministrazione sembrano aver intensificato la situazione. Sembra che i finanziamenti e le risorse per la privacy stiano migliorando. Stiamo assistendo a un aumento delle dimensioni del personale addetto alla privacy. Le persone che lavorano nella privacy hanno meno probabilità di dire di sentirsi a corto di personale. Sono meno propensi a dire che il loro budget per la privacy è sottofinanziato. E nel complesso, sembra che sempre più persone credano che i loro consigli di amministrazione stiano dando la giusta priorità alla privacy rispetto allo scorso anno.
Thompson: Con alcune di queste aziende più piccole, sono più sfidate di alcune di queste aziende più grandi e dotate di risorse adeguate?
Kazi: Penso di sì. Molte volte non hanno un team dedicato alla privacy. Hanno una persona di sicurezza che è quindi incaricata di fare anche la privacy oltre a tutto il loro lavoro di sicurezza. E sono sicuro che, come i nostri ascoltatori sanno, i team di sicurezza stanno già avvertendo il crollo della carenza di personale e devono fare molto con pochissime risorse. Quindi, quando si aggiungono le attività sulla privacy, ciò rende tutto ancora più complesso. Quindi direi assolutamente che le organizzazioni più piccole stanno sicuramente lottando con questo.
Thompson: Ora, quando parli di privacy by design, e io lavoravo per Microsoft , dove parlavamo di sicurezza by design quando abbiamo iniziato il sistema operativo, e questo ha davvero cambiato le regole del gioco, ma quando parli di privacy, è più che controlli tecnici che vanno di pari passo. Quindi spiega il pezzo di design di questo. Che aspetto ha?
Kazi: Giusto. La privacy by design è pensare all'utente. Questa è una delle cose fondamentali. Ovviamente sono i sistemi che state costruendo, ma sono anche gli utenti che useranno ciò che state costruendo. Ci sono sette principi chiave della privacy by design, e il primo è proattivo, non reattivo. Preventiva, non correttiva. Fondamentalmente la privacy non è un bolt-on. Ci stai pensando da prima ancora di iniziare a costruire le cose. Si tratta della privacy come impostazione predefinita. Le persone non dovrebbero aver bisogno di fare nulla per far sì che il loro ambiente sia uno che protegge la privacy. Dovrebbe essere incorporato nel design. È qui che otteniamo più di quel pezzo tecnico di privacy. Riguarda anche la piena funzionalità, la somma positiva, non la somma zero. Non dovremmo avere bisogno di sacrificare la sicurezza per la privacy o l’usabilità per la privacy. Realisticamente, possiamo avere privacy e raggiungere altri obiettivi.
Kazi: Si tratta anche di sicurezza end-to-end e protezione dell’intero ciclo di vita. Questo è fondamentale quando pensiamo ai dati che abbiamo. Per quanto tempo lo teniamo? Come lo proteggiamo? Anche quando abbiamo finito di usarlo, abbiamo bisogno di tenerlo? Si tratta di visibilità e trasparenza, quindi comunicare in modo chiaro e garantire che tutti nell'organizzazione e le persone che forniscono i loro dati sappiano cosa stanno facendo. E poi l'ultimo (e uno dei miei principi preferiti) è l'idea di rispettare la privacy degli utenti. Mantieni la centralità dell’utente. Se pensi all'utente, svilupperai sistemi facili da negoziare dal punto di vista della privacy. E se venite violati, cosa che sfortunatamente probabilmente accadrà a un certo punto, potete davvero limitare il danno che sta accadendo perché l'impostazione predefinita è che state proteggendo la privacy e non state raccogliendo quantità eccessive di informazioni, il che può davvero aiutare l'interessato che è compromesso.
Thompson: Quindi, leggendo il sondaggio, ho scoperto che almeno il 60% delle imprese sta iniziando a praticare questa privacy by design almeno frequentemente, sai. Forse non sempre, ma rispetto ad altre statistiche, sembra che stiamo andando nella giusta direzione. Ma che dire di quelle persone che sono nella categoria "raramente" o "mai", qual è la loro barriera? È una barriera all'ingresso, o è solo, sai, si nascondono sotto una roccia, o cosa?
Kazi: Sono sicuro che ci sono alcune persone che si nascondono sotto una roccia, ma onestamente penso che un sacco di esso è solo una mancanza di risorse. Penso che molte persone sappiano che dovrebbero fare privacy by design il più spesso possibile, ma non possono.
Thompson: E la sicurezza e la continuità aziendale, sai, hanno un backup o hanno un piano di disaster recovery, ma se non viene testato, è un po 'inutile. Quindi, nel caso della privacy, c'è una cosa simile in cui gettiamo uno scenario, forse facciamo un trapano da tavolo o qualcosa del genere? Ehi, abbiamo avuto questa fuga di dati. Esiste un modo per farlo?
Kazi: Potenzialmente. Ho sentito alcune persone dire che la loro organizzazione cerca di fare esercizi di simulazione sulla privacy. Personalmente penso che ci sia una sfida più grande. Abbiamo chiesto ai nostri intervistati se avete subito una violazione materiale della privacy? E quasi il 20% ha detto, non lo sappiamo. Questo, per me, dimostra che non conosci i tuoi dati. Penso che significhi che sappiano, ok, abbiamo avuto una violazione della sicurezza, ma quali dati erano? Erano informazioni personali? Cosa è stato assunto? Cosa è stato visto? Per capire come rispondere a una violazione, la prima cosa che puoi fare è capire i tuoi dati in modo che se un sistema è compromesso, sai quali dati sono compromessi e quale potrebbe essere l'impatto sui tuoi soggetti.
Thompson: E questo risale al pezzo di design di questo. Se sai quali silos e in quali aree si trovano i tuoi dati e quali sono, che tipo di dati, allora è un po' più facile triangolare, OK, cosa abbiamo perso da quel sondaggio? Assolutamente. Ci sono organizzazioni che puoi assumere per venire e aiutarti a fare come una consulenza o qualcosa del genere?
Kazi: Assolutamente sì. Molti dei nostri intervistati hanno dichiarato di affidarsi a consulenti o appaltatori esterni per aiutarli nelle attività relative alla privacy. Penso che questo possa essere utile. Un'altra cosa che le organizzazioni stanno facendo è cercare internamente di vedere se hanno persone che sono forse esperte su determinate tecnologie o determinati sistemi, ma non sono esperte in materia di privacy e possono ricevere formazione sul lavoro. Questo può essere un ottimo modo per non doversi preoccupare di pubblicare una descrizione del lavoro e potenzialmente spendere sei mesi cercando di trovare la persona giusta per un ruolo. Ma sì, ci sono assolutamente agenzie di consulenza che possono aiutare le persone con i loro compiti relativi alla privacy
Thompson: Quindi mi stai ricordando che stavo guardando nel sondaggio e parli di chi è responsabile della privacy, ed era ovviamente il chief privacy officer in co quello che non ho visto è una specie di sicurezza. Questo è il lavoro di tutti, vero?
Kazi: Sono assolutamente d’accordo. Voglio dire, una parte dipenderà dal modo in cui è strutturata la tua organizzazione, da chi dipende da chi. Ma sono assolutamente d’accordo. Penso che la privacy sia un po’ il lavoro di tutti. Sapete, stavamo parlando di alcune organizzazioni più piccole: potrebbero avere difficoltà, quindi cosa possono fare? Fornire formazione sulla consapevolezza della privacy a tutti i membri dell’organizzazione. Può sembrare piccolo, ma solo una volta all’anno, se lo dici alle persone, verifichiamo chi sta chiamando, se sta cercando di ottenere informazioni personali … Qualcosa di così piccolo può effettivamente fare molto per proteggere la privacy del soggetto dei dati.
Thompson: Cosa ti ha sorpreso nel sondaggio, se non altro?
Kazi: L'unica cosa che mi ha davvero sorpreso è che più persone non hanno detto che hanno intenzione di utilizzare l'intelligenza artificiale per attività legate alla privacy. Quindi il 11% dei nostri intervistati ha dichiarato di averlo fatto, il 20% ha dichiarato di aver pianificato di farlo nei prossimi 12 mesi, che, cosa abbastanza interessante, l'anno scorso il 20% ha detto la stessa cosa. Non so se si tratti delle stesse persone, ma il 38% ha dichiarato di non avere piani per l’IA per questa funzione. Questo mi ha sorpreso, perché forse quando le persone pensano all'IA, pensano alle immagini stock di formaggio che si ottengono quando si cerca l'IA di un robot che cammina. Ma davvero non stai usando l'intelligenza artificiale nei tuoi sistemi per Detect informazioni personali o informazioni sensibili come le date di nascita? Soprattutto considerando le sfide del personale che alcune organizzazioni si trovano ad affrontare e il crescente numero di richieste di accesso ai dati, sono rimasto davvero sorpreso dal fatto che più persone non abbiano detto che si affideranno all’IA o che si affideranno già all’IA.
Thompson: Beh, so che hai il tipo distopico di Skynet e non lo vogliamo qui e l'altro, come hai detto, sono i piccoli robot. Quindi andiamo dall'altra parte: cosa è stato incoraggiante in quello che hai trovato?
Kazi: Penso che l'unica cosa che è stata davvero incoraggiante è stata vedere che le persone che lavorano in privacy non si sentono così sopraffatte come hanno fatto in questo periodo l'anno scorso. E abbiamo visto che i finanziamenti sono migliori, il personale è migliore, tutto questo sembra essere un po 'meglio. L'unica cosa che vorrei vedere un po' di miglioramento è che stavamo parlando di formazione sulla consapevolezza della privacy. Ci siamo chiesti: come valuti quanto è buono il tuo training di sensibilizzazione? E meno di un quarto dei nostri intervistati ha dichiarato di fare test pre e post. La maggior parte delle persone lo tratta semplicemente come un esercizio di spunta, [registrando] quante persone lo hanno fatto. Non credo che sia una grande metrica. È un buon allenamento? Qualcuno ha imparato qualcosa?
Le persone stanno anche esaminando il numero di reclami che ricevono sulla privacy e il numero di incidenti di privacy che si verificano, che per me è troppo reattivo a quel punto. Il danno è stato fatto; hai aspettato che accadesse qualcosa di brutto per migliorare la tua formazione sulla consapevolezza della privacy. Quindi direi che è un'area in cui mi piacerebbe vederci maturare un po', essere solo un po' più proattivi nel modo in cui guardiamo all'efficacia della formazione sulla consapevolezza della privacy.
Thompson: Sì, ottenendo la rubrica di cui misurare. Questo è sempre, è un po 'arte e scienza che va con esso, e varia in base all'organizzazione o verticale o cose del genere. Qualcuno in un governo statale e locale avrà una cosa un po 'diversa rispetto a un luogo commerciale. Diciamo che sono in un'organizzazione più piccola e la privacy è qualcosa che voglio prendere in consegna - so che non stiamo facendo un buon lavoro, ma ho bisogno di ottenere un po 'di copertura aerea. Quali sono alcune buone risorse o cose che potrebbero fare come leader per prendere quel mantello, caricare quella collina.
Kazi: Ho menzionato un buon addestramento sulla privacy, ma penso che faccia un ulteriore passo avanti: invece di dire che le informazioni personali dovrebbero essere protette, forse renderle un po 'più reali. Possiamo vedere gli impatti reali di persone che sono state danneggiate a causa di potenziali stalking o semplicemente per avere troppe informazioni là fuori. Questo può renderlo un po 'più interessante, ma aiuta anche le persone a capire perché la privacy è così importante. Non è solo un’informativa sulla privacy su una pagina web; in realtà si tratta di dati che rappresentano gli esseri umani, le loro vite e le loro famiglie. E penso che quando iniziamo a vedere la privacy da quella prospettiva, anche le persone che non lavorano nella privacy possono iniziare a vedere che è qualcosa di cui dovrebbero preoccuparsi. Perché per alcune persone potrebbe effettivamente significare la differenza tra la vita e la morte.
Per quanto drammatico possa sembrare, con tutte le informazioni disponibili su chiunque siano disponibili da una ricerca molto rapida su Google o forse anche da una rapida ricerca su ChatGPT, è incredibilmente importante capire che ci sono molte informazioni su di noi. Quindi, come organizzazioni, se possiamo agire in modo da limitare il danno che può derivare agli interessati, avremo un vantaggio competitivo significativo. E soprattutto un'organizzazione che sta lottando per trovare il proprio punto d'appoggio o che ha a che fare con molta concorrenza, se sei uno che protegge la privacy e dà davvero priorità ai tuoi utenti, alla fine sarà un enorme vantaggio competitivo.
Thompson: Questo è un criterio di acquisto per me e mia moglie – guardiamo, OK, come usiamo i servizi perché loro, sai, o non usiamo alcuni servizi … perché non si sono presi cura di cose in passato.
Kazi: Vivo nello stato dell’Illinois, che ha una legge sulla privacy biometrica molto forte, e proprio l’altro giorno ho ricevuto un assegno da Facebook per qualcosa che hanno fatto – non so cosa, ma lo prendo. Penso che ciò significhi che la persona media a cui non importa affatto della privacy ora sta iniziando a preoccuparsi. Ho persone che sono mie amiche e mi hanno detto, ho ricevuto un assegno da Facebook, di cosa si trattava? E anche se possono essere OK con ottenere il controllo, stanno iniziando a pensare alla privacy e capire, beh aspetta, cosa significa se un sito di social media ha una mappatura del mio viso e non me ne ha chiesto, o non me ne ha parlato? Quindi penso che la persona media inizierà a preoccuparsi sempre di più.
Thompson: Hai sollevato un punto a cui non avevo pensato prima, da una prospettiva generazionale. Ci sono quelli di noi che sono cresciuti prima o che hanno costruito Internet lungo la strada e l'hanno messo insieme, e abbiamo una prospettiva diversa della privacy rispetto ai miei figli o nipoti. In che modo ciò influisce su quali normative vengono messe in atto? È qualcosa che è lungo la strada, avremo un problema più grande con esso, o cosa?
Kazi: Potenzialmente. In generale, i bambini non sono adeguatamente protetti come dovrebbero. Non c'è niente che impedisca a un bambino di 8 anni di dire di avere più di 18 anni e di creare un account sui social media, giusto? Non c’è davvero nessuna verifica. Penso che ci sia anche una domanda più ampia perché ora c'è una generazione che è cresciuta con tutta la sua vita, potenzialmente pre-nascita, online, proprio dal momento in cui i loro genitori hanno scoperto che aspettavano, hanno pubblicato su Facebook, e quando sono nati e tutte le loro pietre miliari. E onestamente non so quali siano le implicazioni di questo. Proprio di recente c'è stato, credo che sia stato un ragazzo di una famiglia di YouTube che voleva chiedere danni perché la loro vita da bambino è stata trasmessa online. Detto questo, non ci sono davvero leggi o regolamenti in vigore, per quanto ne so, che proteggono le persone le cui vite sono online in questo modo quando sono bambini e quando sono i loro genitori a prendere queste decisioni per loro. Quindi è qualcosa che penso dovrebbe probabilmente cambiare, perché non sappiamo nemmeno quale sarà l’impatto tra pochi anni.
Thompson: Beh, e parlando di cambiamento e tornando alla domanda originale, penso che queste siano alcune delle cose che probabilmente stanno arrivando, forse non immediatamente o velocemente come vorremmo. Ma quali sono alcune delle cose che vedi che potrebbero essere ostacoli più grandi [in arrivo] prima?
Kazi: Penso che un'altra cosa che stiamo iniziando a vedere di più è la repressione della privacy, i modelli oscuri. Quindi queste sono solo cose che ti ingannano ad agire in un modo che non faresti, come quelle avvisi di Cookie confusi in cui [devi] accettare o puoi fare clic per saperne di più, e poi devi fare clic un migliaio di volte per dire di non tenermi traccia. Questo è un esempio di un modello scuro. Se si rende più facile fare clic su Accetta piuttosto che su Rifiuta, un numero sufficiente di persone farà semplicemente clic su Accetta. Molte leggi e regolamenti sulla privacy non ne parlano specificamente. Tuttavia, abbiamo visto l'anno scorso, alcuni procuratori generali degli stati hanno citato in giudizio Google a causa dei modelli oscuri in Google Maps e non essendo completamente trasparenti su ciò che il tracciamento stava avvenendo.
Mentre penso che molte leggi e regolamenti sulla privacy abbiano fatto un buon lavoro nel cercare di ottenere il consenso delle persone, alcune organizzazioni si sono rivolte a ingannare le persone per ottenere il loro consenso. E penso che probabilmente vedremo più enfasi sui dark pattern della privacy e ci assicureremo che quando le persone danno il loro consenso per il monitoraggio, sappiano a cosa si stanno iscrivendo e le organizzazioni comunichino in modo chiaro.
Thompson: Sono contento che tu abbia dato un nome a qualcosa che è stato un flagello della mia esistenza per un po 'con i clic e cose del genere, proprio come l'accordo di licenza con l'utente finale e roba che nessuno può leggere perché è lungo 8.000 pagine e basta cliccare e non lo sappiamo. Dobbiamo semplificare queste cose e renderle molto chiare, tipo, andrei da loro e direi di spiegarmi come se fossi una quinta elementare, fammi capire, giusto, cos'è? Io sarei tutto per questo. Aiutiamoci a cambiare le cose. Perché ci sono solo alcune cose di cui non credo abbiano bisogno. Ma io sono della generazione che aveva ancora un libretto per il mio conto di risparmio. Lo sai .
Kazi: Beh, sai, c’è stato un disegno di legge l’anno scorso – non so cosa sia successo con esso – ma c’era un disegno di legge per creare fondamentalmente informazioni sulla privacy in stile etichetta nutrizionale. Ecco cosa stiamo monitorando e una cosa molto veloce e facile da capire. Penso che sarebbe stato fantastico. Perché, hai ragione, per sederci e leggere i termini di servizio di tutto, dovremmo prendere tutti due settimane di riposo dal lavoro. Voglio dire, non è realistico.
Thompson: Va bene. Bene, grazie per aver condiviso la tua esperienza e per avere qualche informazione in più su questo sondaggio. Penso che sia fantastico comprendere meglio ciò che sta accadendo e apprezzo il tuo tempo e apprezzo ciò che tu e la tua organizzazione state facendo.
Kazi: Grazie mille per avermi invitato.
Thompson: Ho parlato con Safia Kazi, consulente professionale per la privacy presso ISACA.
Se desideri saperne di più sulla privacy dei dati, dai un’occhiata a Focal Point, la rivista online di notizie sulla sicurezza informatica di Tanium, abbiamo collegamenti a diversi articoli nelle note della mostra, o visita tanium.com. Per ascoltare altre conversazioni con i migliori leader aziendali ed esperti di sicurezza di oggi, assicurati di iscriverti a Let’s Converge sulla tua App podcast preferita. Questo aiuta davvero a ottenere visibilità. Se ti è piaciuto questo episodio, ti preghiamo di darci una valutazione a cinque stelle.
Grazie per aver ascoltato. Non vediamo l’ora di condividere ulteriori informazioni sul prossimo episodio di Let’s Converge.
