Protezione dei dati con il software di videoconferenza Zoom

Negli ultimi due anni, l'uso delle videoconferenze, in particolare con il software Zoom, è aumentato in modo considerevole. Negli uffici e nelle aule scolastiche è difficile garantire un'esperienza di lavoro a distanza piacevole e, al contempo, mantenere una comunicazione efficiente con i compagni di classe e i colleghi.

Pertanto, è spesso auspicabile ricorrere a servizi per videoconferenze, conferenze online, lezioni, riunioni o webinar, come ad esempio Zoom. Quando si utilizza uno strumento di questo tipo, tuttavia, è necessario rispettare i requisiti del GDPR in materia di Privacy e Protezione dei dati devono essere rispettate, anche in tempi di crisi. Nella scelta della soluzione adeguata, un’azienda o un’organizzazione dovrebbe esaminare e valutare attentamente gli aspetti giuridici e tecnici, nonché documentare il processo decisionale.

Durante l'utilizzo di Zoom vengono trattati diversi tipi di dati. Spetta all'utente decidere quante informazioni identificative fornire. L'indicazione del nome è generalmente richiesta per avviare una riunione online o per accedere alla sala riunioni. Al momento della creazione di un account o dell'aggiunta di ulteriori dati personali, Zoom tratta i seguenti dati:

• Dati utente:
  Nome, cognome, numero di telefono (facoltativo), indirizzo e-mail, password (se “Accesso singolo” non viene utilizzato), immagine del profilo (facoltativa), reparto (facoltativo)

• Metadati della riunione:
  Argomento, descrizione (facoltativa), indirizzi IP dei partecipanti, informazioni sul dispositivo/hardware.
• Se si registra (opzionale):
  File MP4 contenente tutte le registrazioni video, audio e delle presentazioni, file M4A contenente tutte le registrazioni audio, un file di testo con la cronologia della chat della riunione online.
• Quando si chiama per telefono:
  o Informazioni sul numero della chiamata in entrata e in uscita, sul nome del Paese, sull'ora di inizio e di fine. Se necessario, ulteriori dati sulla connessione, come ad esempio il Indirizzo IP del dispositivo.

Nell’aprile 2020, la Federal Trade Commission (FTC) ha criticato Zoom per la sua definizione vaga di “end-to-end”Crittografia (E2E) e l'archiviazione ipocrita delle chiavi crittografiche. Zoom ha successivamente aggiunto le impostazioni E2E per consentire che i dati rimangano tra due utenti Zoom. Tuttavia, questa impostazione non è attivata di default e deve essere attivata manualmente nelle impostazioni di Zoom.

Un altro problema riscontrato da Zoom era rappresentato dai cosiddetti “Zoom-bombing”, che consentivano a chiunque in possesso di un codice ID Zoom di partecipare a una chiamata. Ciò ha spinto Zoom ad aggiungere una funzione di sala d’attesa, che consente all’amministratore di far partecipare gli utenti alla chiamata uno alla volta, nonché di effettuare chiamate protette da password, ecc. Poiché la password di Zoom poteva essere violata in meno di 30 minuti, Zoom ha sostituito la password a sei cifre con caratteri alfanumerici e password generate dall’amministratore.

Sono stati individuati molti altri problemi di sicurezza: la vendita a Facebook dei dati degli utenti che si sono registrati sulla piattaforma social tramite Zoom e il software scaricabile sui dispositivi iOS, nonché la possibilità di attivare le videocamere dei partecipanti e di aggiungere forzatamente gli utenti a una chiamata. Anche le chat rappresentavano un problema, poiché gli hacker potevano manipolarle e creare file GIF dannosi, che nel frattempo sono stati vietati. Altri tipi di file che gli hacker inviavano agli utenti tramite la chat erano, ad esempio, file compressi come i file .zip, Untitled.html, Untitled.Properties, Untitled.rtf e Untitled.txt. L’amministratore può comunque decidere quali tipi di file possono essere inviati nella chat.

Le videoconferenze per le aziende non devono necessariamente rappresentare un rischio per la sicurezza. Oltre all'ubicazione della Server e il fornitore di servizi, nella scelta del software appropriato si devono considerare anche i seguenti aspetti:

• Esiste una versione Business dello strumento desiderato? Queste versioni offrono spesso standard di sicurezza ancora più elevati. È consentito l'uso aziendale?
• Il sistema di videoconferenza offre procedure e opzioni di configurazione che garantiscono la tutela dei dati personali (art. 25, comma 2, del RGPD)?
• La trasmissione avviene in forma crittografata? In che modo vengono crittografate le informazioni (ad esempio, end-to-end)?
• È un'esplicita Consenso necessari per la trasmissione o la registrazione sullo schermo?
• Le trascrizioni e le registrazioni delle conversazioni vengono cancellate al termine della conversazione? In caso contrario, è possibile modificare questa impostazione?
• Vengono creati profili di comportamento dei partecipanti? Se sì, è possibile disattivare questa funzione?
• In tutti i casi Tracciamento-, di monitoraggio, registrazione, condivisione dello schermo e registrazione: si raccomanda di verificare sempre se tali funzioni siano strettamente necessarie e/o se possano essere disattivate nelle impostazioni

Sebbene Zoom sia stata più volte oggetto di critiche, l’azienda collabora costantemente con i ricercatori nel campo della sicurezza per individuare eventuali vulnerabilità e ha risolto la maggior parte dei problemi di sicurezza più allarmanti. Gli utenti dovrebbero comunque prestare attenzione alle e-mail di phishing contenenti inviti a Zoom, inviate con oggetti comuni come “Zoom invite” e che invitano i clienti ad accedere. Si raccomanda inoltre agli amministratori e agli utenti di Zoom di creare riunioni protette da password, di utilizzare la funzione “sala d’attesa” e di bloccare la sessione non appena tutti i partecipanti sono presenti.

Tuttavia, è sempre meglio rivolgersi agli esperti di protezione dei dati di 2BAdvice per assicurarsi che gli strumenti utilizzati dai vostri dipendenti siano conformi agli standard di protezione dei dati.