News - Responsabilità Sociale (235)

Il punto debole della tecnologia? Le persone. Anche negli studi professionali le strategie di difesa dagli attacchi informatici e dai furti di dati si basano - oltre che sulle protezioni tecnologiche - soprattutto sulla formazione del personale. Ed è proprio il training il capitolo più corposo delle linee guida per la cybersecurity negli studi legali elaborate dall’Iba (International bar association), l’ associazione che riunisce i legali di tutto il mondo.

L’obiettivo di partenza è quello di tutelare le realtà professionali medio-piccole, compresi i singoli professionisti, che non hanno né la disponibilità economica né la preparazione tecnica per dotarsi di strumenti potenti in grado di fronteggiare gli attacchi degli hacker. «Gli studi più piccoli tendono a considerarsi bersagli minori di questi attacchi - si legge nel documento - ma al contrario gli hacker hanno proprio loro nel mirino perché sanno che le loro difese sono più facili da aggirare».
Anche per questo motivo le linee guida Iba suggeriscono agli studi legali (ma di fatto il consiglio si adatta a qualsiasi altra professione) di investire piuttosto nella formazione del personale, che ha costi più contenuti e risultati duraturi nel tempo.

Diffuse già in versione cartacea durante il congresso Iba a Roma in ottobre, ora le linee guida sono disponibili sul sito in versione “personalizzabile”. Incrociando i dati relativi alla dimensione dello studio e alla tipologia di intervento si può cioè ottenere uno schema su misura con i suggerimenti di azioni da intraprendere, sempre graduate a seconda della grandezza dimensionale. Ovviamente quello che per una piccola realtà è solo auspicabile, per una media struttura (che nel modello Iba equivale a uno studio con più di 40 persone) può diventare obbligatorio.

Secondo le linee guida il training del personale deve partire dall’uso corretto delle password, comprese quelle personali. Al di là delle raccomandazioni più ovvie sulla necessità di non trascriverle su fogli accessibili, o di evitare l’uso di nomi e dati personali per costruirle, il documento fornisce anche suggerimenti meno consueti. Al personale viene raccomandato innanzitutto di distinguere le password private da quelle di lavoro evitando il riuso su più siti. Se poi si deve accedere a un sito in modo solo occasionale meglio inventare una sequenza casuale di caratteri e puntare in caso di un secondo accesso sul reset, piuttosto che sulla memorizzazione.

Da tenere sotto controllo anche tutto ciò che viene postato dai professionisti o dai dipendenti sui social media. Non tutti realizzano, ad esempio, che persino le foto dell’ufficio possono fornire agli hacker (e non solo) una miniera di informazioni sulla dislocazione fisica degli spazi. Anche per quanto riguarda l’arrivo di mail sospette, il personale andrebbe istruito in dettaglio. Non solo con l’invito a non aprire allegati o cliccare su link pericolosi: lo studio potrebbe fare un passo avanti se chiedesse allo staff di non cancellare la mail ma di segnalarla magari creando un indirizzo dedicato. Questo permetterebbe agli esperti di analizzare meglio i rischi ma anche - si legge nelle note - «di capire come hanno fatto certe mail sospette a superare le barriere di sicurezza». Per verificare il grado di preparazione del personale si potrebbe anche simulare un test con una finta mail di phishing o sospetta. A costi contenuti.

Decisamente abbordabili anche per i piccoli studi le azioni di miglioramento delle password e di introduzione di autenticazioni multilivello (considerate indispensabili sulle applicazioni più comuni quali Gmail, Yahoo, LinkedIn etc). La creazione di una policy aziendale per la cybersecurity è un processo che secondo l’Iba dovrebbe essere risparmiato solo al professionista singolo, mentre a tutti si consiglia di proteggersi attraverso una polizza assicurativa che può aiutare a coprire le spese oltre che della perdita dei dati anche legate alla violazione della privacy, al contenzioso e alla diminuzione degli incassi. Così come tutti sono invitati a identificare quali dati sensibili sono trattati dallo studio e a quale livello di protezione. Ma in questo caso l’obbligo è già scritto nero su bianco nelle leggi.

AdA

fonte Sole24Ore 6/19 VU

Scarica le linee guida IBA (International bar association)

Responsabilità dell’ente più stringente se il reato è commesso da una figura apicale all’interno della società, che non ha adottato un adeguato modello organizzativo. La Corte di cassazione, con la sentenza 54640, respinge il ricorso di una Spa, coinvolta nel reato di tentata corruzione commesso dal responsabile di un suo centro operativo, che lavorava a stretto contatto con la Pa, elargendo delle somme a pubblici funzionari per mantenere “buoni rapporti”. Somme inserite tra le spese di rappresentanza. La Cassazione conferma la responsabilità dell’azienda, in base all’articolo 5 del Dlgs 231 del 2001, ricordando che per l’ente scatta il “coinvolgimento” per i reati commessi nel suo interesse o vantaggio da chi riveste una posizione apicale o da persone sottoposte alla vigilanza dei vertici. Con una distinzione. Nel caso di figure apicali (articolo 6) l’ente per evitare la responsabilità deve dimostrare di aver adottato e attuato dei modelli organizzativi, utili a prevenire reati come quelli commessi nello specifico, in assenza dei quali scatta la responsabilità. Inoltre l’ente deve provare di aver affidato compiti di vigilanza sull’osservanza dei modelli a un organismo dell’ente dotato di autonomi poteri. E solo la prova che il modello predisposto è stato eluso in modo fraudolento salva la società dalla condanna, agli effetti della 231.

Nel caso di reato commesso da un soggetto non in posizione apicale (articolo 7) l’ente è responsabile se il reato è reso possibile da una carente vigilanza, esclusa però dall’adozione dell’attuazione del modello organizzativo: questo basta a considerare il reato al di fuori della sfera di operatività e interferenza dell’ente.

Chiarito dunque che per allontanare la sanzione serve la prova di aver predisposto modelli efficaci, i giudici sottolineano come i rischi di condotte illecite vadano prevenuti anche in base al tipo di impresa. Nello specifico le cautele sono mancate, mentre erano più che mai opportune in una società che si rapportava con la pubblica amministrazione e dunque non era affatto estranea al rischio corruttivo.

In più le condotte “disinvolte” dell’imputato che intratteneva rapporti con pubblici ufficiali o incaricati di pubblico servizio erano note ai vertici. E l’azione disciplinare adottata nei suoi confronti non dimostra il previo esercizio di un’effettiva azione di direzione e controllo, basata su chiare regole cautelari.

AdA

fonte Sole24Ore 337/18 PM

Dopo il documento dedicato al settore costruzioni, è stata pubblicata la nuova prassi di riferimento UNI/PdR 51:2018 “Responsabilità sociale nelle Micro e Piccole Imprese (MPI) e nelle imprese artigiane, ovvero imprese a valore artigiano - Linee guida per l’applicazione del modello di responsabilità sociale secondo UNI ISO 26000” realizzata da UNI in collaborazione con Confartigianato Lombardia.

Le MPI e le imprese artigiane possono considerarsi imprese sociali perché, grazie alle strette relazioni fra di loro e alle profonde radici nella comunità locale, costruiscono un sistema di valori comuni. Di fatto l’impresa svolge una funzione sociale, perché ciò che compie non riguarda solo sé stessa. Questo stretto contatto con il territorio costituisce un sistema aperto, non composto di “cose”, ma di uomini al suo interno.

Tra i temi fondamentali della responsabilità sociale individuati dalla norma UNI ISO 26000 la governance ricopre un ruolo centrale. Il modello di governance delle imprese a valore artigiano, grazie al legame stretto che intrattengono sia con i diversi soggetti pubblici e privati che operano nel territorio e sia con le altre imprese, con cui hanno un rapporto di concorrenza-cooperazione, è multistakeholder. Le aziende di minore dimensione riescono, infatti, a interagire in modo dialettico con gli stakeholder interni ed esterni, in risposta al continuo divenire dei bisogni e conseguentemente del variegato assetto della domanda di beni e servizi.

Il bilanciamento dei poteri e la distinzione dei ruoli rispetto ai propri stakeholder è prova del loro dinamismo. Queste imprese, inoltre, hanno una maggiore propensione a diffondere le informazioni in modo chiaro e trasparente grazie a un condizionamento reciproco con i clienti/consumatori. Infine un’altra caratteristica del modello di governance delle imprese a valore artigiano, che dimostra la loro vicinanza alle tematiche della responsabilità sociale, è il controllo sociale interno, che spesso è insito nell’approccio familiare di tali imprese, e che evita il diffondersi di un approccio opportunistico e speculativo in senso deteriore.

La prassi è il punto di arrivo del percorso iniziato da Confartigianato Imprese Lombardia con il progetto “A.RES - Artigiani RESponsabili”, realizzato nell’ambito dell’Accordo di programma Convenzione Artigianato, e che ha portato allo sviluppo di due strumenti operativi a supporto delle MPI e delle imprese artigiane: il “Cruscotto della RSI”, quale strumento di supporto alla valutazione del grado di responsabilità sociale dell’impresa e la “Carta dei Valori”, Manifesto etico dell’impresa finalizzato a comunicare i lavori dell’impresa agli stakeholder.

Con questa prassi di riferimento, Confartigianato Imprese Lombardia intende patrimonializzare quanto sviluppato con il progetto A.RES e sostenere il percorso delle imprese a valore artigiano verso una visione di Responsabilità Sociale d’Impresa più sistematica ed esplicita, pianificata e gestita con strumenti manageriali, fino a diventare strategia per lo sviluppo d’impresa.

Il documento è strutturato in modo tale da essere utilizzato in combinazione con quanto già previsto nella UNI/PdR 18:2016 “Responsabilità sociale delle organizzazioni - Indirizzi applicativi alla UNI ISO 26000”.

Scarica la UNI/PdR 51:2018

D’ora in poi, pubbliche amministrazioni e aziende italiane che effettuano trattamenti di dati volti ad offrire beni e servizi anche a persone residenti in altri Paesi dell’Unione avranno uno strumento in più per applicare correttamente il nuovo Regolamento Europeo sulla protezione dei dati. Il Garante per la privacy ha predisposto, come stabilito per le Autorità di controllo nazionali dal Gdpr, un elenco delle tipologie di trattamento che i soggetti pubblici e privati dovranno sottoporre a valutazione di impatto. L’elenco recepisce le osservazioni del Comitato europeo per la protezione dei dati al quale era stato sottoposto dal Garante per il prescritto parere.

La valutazione di impatto è obbligatoria quando il trattamento dei dati - per l’uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto o le finalità - può presentare un  rischio elevato per i diritti e le libertà delle persone.  Nell’elenco il Garante ha indicato, tra gli altri,  trattamenti valutativi o di scoring su larga scala, trattamenti automatizzati volti ad assumere decisioni che producono effetti giuridici o incidono in modo significativo sulla persona, trattamenti sistematici di dati biometrici e di dati genetici, trattamenti effettuati con l’uso di tecnologie innovative (IoT, intelligenza artificiale, monitoraggi effettuati da dispositivi indossabili). L’elenco, in corso di pubblicazione nella Gazzetta ufficiale, non è esaustivo ed è stato adottato applicando il “meccanismo di coerenza”, uno strumento volto ad assicurare un’applicazione coerente ed uniforme del Regolamento generale sulla protezione dei dati in tutta l’Unione Europea.

Oltre che per i trattamenti indicati nell’elenco, occorre ricordare che Pa e aziende hanno  l’obbligo di adottare una valutazione di impatto sulla protezione dei dati anche quando ricorrano due o più criteri individuati dal Gruppo di lavoro articolo 29 nelle Linee guida in materia di valutazione di impatto nel 2017 (WP 248, rev. 01) e fatte proprie dal Comitato europeo per la protezione dei dati il 25 maggio 2018, oppure quando un titolare ritenga che un trattamento che soddisfa anche solo uno dei criteri richieda una valutazione di impatto. Tra i criteri individuati nelle Linee guida figurano, ad esempio, la valutazione (comprensiva di profilazione) sul rendimento professionale, la salute, le preferenze personali; il monitoraggio sistematico delle persone; il trattamento che impedisce agli interessati di esercitare un diritto o di avvalersi di un servizio o di un  contratto.

AdA