![\"aruba](\"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-content\/uploads\/2020\/03\/aruba-pec-problemi-1024x260.png\" "\\"\\"")
<\/figure><\/div>\n\n\n\nAdesso s\u00ec ma dalla met\u00e0 dell’anno scorso non lo era affatto. Ecco alcuni stralci di quello che scrive il Garante.<\/p>\n\n\n\n
Prescritte ad un gestore misure urgenti per la sicurezza del servizio pec
<\/strong>Il provvedimento a tutela degli utenti reso noto solo oggi per impedire lo sfruttamento delle vulnerabilit\u00e0 rilevate nel corso di un’ispezione<\/em><\/p>…<\/p>
A seguito delle vulnerabilit\u00e0 rilevate durante un accertamento ispettivo in merito alla gestione del servizio pec, condotto nella seconda met\u00e0 del 2019, l\u2019Autorit\u00e0 ha adottato un provvedimento urgente per evitare che diverse categorie di interessati coinvolti (intestatari delle caselle pec, mittenti e destinatari dei messaggi, soggetti i cui dati sono presenti all\u2019interno dei messaggi o degli allegati) fossero esposti a gravi rischi per i diritti e le libert\u00e0 derivanti da possibili utilizzi impropri di dati personali o da furti d\u2019identit\u00e0.<\/p>
La pubblicazione del provvedimento \u00e8 stata per\u00f2 posticipata per dare modo alla societ\u00e0 di implementare le misure prescritte e impedire che le vulnerabilit\u00e0 rilevate potessero essere sfruttate da eventuali malintenzionati. La societ\u00e0 ha dichiarato di aver adempiuto, nei termini previsti, alle prescrizioni impartite.<\/p>
Dagli accertamenti \u00e8 emerso che circa 560.000 utenti utilizzavano ancora, per l\u2019accesso alla propria casella pec, la password iniziale, scelta per loro da uno degli 8.900 partner della societ\u00e0 (come ordini professionali, Pa e soggetti privati) senza che fosse imposto, come avrebbe dovuto, l\u2019obbligo di modifica al primo accesso. Le procedure informatiche adottate contenevano, poi, ulteriori gravi vulnerabilit\u00e0. Ad esempio, le password tecniche di gestione di alcuni servizi informatici erano riportate in chiaro nei log di tracciamento delle operazioni, aumentando cos\u00ec considerevolmente la possibilit\u00e0 di accessi illeciti, sia da parte di soggetti interni non autorizzati che in caso di attacco informatico.<\/p>
Un\u2019altra criticit\u00e0 riguardava la possibilit\u00e0 di consultare ed esportare, da rete internet, i log dei messaggi scambiati da oltre 6 milioni di caselle pec. Tale operazione era per altro effettuabile da un\u2019utenza, con elevati privilegi di amministrazione (superadmin), utilizzata da pi\u00f9 persone, in violazione dei pi\u00f9 elementari principi di sicurezza del trattamento (che richiedono invece l\u2019attribuzione a ogni operatore di credenziali individuali) e senza un\u2019adeguata valutazione dei rischi connessi alla possibilit\u00e0 di accedere a queste informazioni, anche al di fuori della rete aziendale.<\/p>
Il Garante ha quindi imposto ad Aruba Pec S.p.a. la modifica obbligatoria delle password di accesso alle caselle di posta certificata rilasciate in modo non sicuro, la ridefinizione delle modalit\u00e0 di tracciamento, prevedendo che i log prodotti non contengano informazioni non indispensabili per le finalit\u00e0 di controllo e sicurezza, nonch\u00e9 un intervento sulle modalit\u00e0 di consultazione ed esportazione dei log dei messaggi inviati o ricevuti da tutte le caselle pec.<\/p>
…<\/p><\/blockquote>\n\n\n\n