La sicurezza prima di tutto! Nozioni di base sulla sicurezza digitale preventiva

Questo workshop introduce le/i partecipanti alle basi della sicurezza digitale preventiva e alle misure di consapevolezza dei rischi da applicare al proprio contesto. Fornisce inoltre i principi e i criteri principali per valutare e decidere quali strumenti digitali scegliere in base a specifiche situazioni ed esigenze individuali o di gruppo/team.

Attività di apprendimento

Apertura (15 minuti)

Istruzioni

• Sollecita l'attenzione, se necessario, ponendo una domanda o commentando un argomento rilevante, un'immagine, ecc.

• Presentati e illustra gli obiettivi del workshop.

• Facoltativo: introduci la fonte del materiale del workshop (Tactical Tech).

• Illustra al gruppo il programma del workshop.

• Suggerisci regole di base per il workshop: come ti aspetti che le/i partecipanti agiscano e reagiscano, quali sono le norme di rispetto reciproco, ecc. A seconda del tempo che trascorri con loro, se stai conducendo una formazione più lunga, potresti anche considerare di lavorare su un Codice di Condotta redatto insieme al gruppo, oppure un accordo condiviso (vedi alcuni suggerimenti nella sezione "Shared Agreements / Accordi condivisi" della guida di Tactical Tech al curriculum Genere e Tecnologia.

Istruzioni

• Sollecita un rapido giro di presentazioni chiedendo ad ogni partecipante di rispondere a un paio di domande su di sé, sul proprio lavoro e sulle principali aspettative relative al workshop.

• In alternativa, puoi scegliere un esercizio rompighiaccio che incoraggi la creatività del gruppo facendo disegnare le risposte o le idee su una lavagna online o, se in presenza, chiedendo di eseguire alcune attività. Per trovare spunti, vai alla sezione “Rompighiaccio” della guida per la facilitatrice / il facilitatore di ETI.

Valutazione del rischio (1 ora e 15 minuti)

Istruzioni

Fai una breve presentazione di apertura incentrata sui punti essenziali:

• L’approccio La sicurezza prima di tutto! - Si dovrebbe prestare attenzione alla sicurezza e alla privacy prima di avviare un progetto o un'indagine/ricerca, e adottarla come misura preventiva e continua piuttosto che come soluzione a una crisi di sicurezza.

• Il principio del Non nuocere - Si dovrebbero sempre pianificare le proprie azioni in modo da aumentare l'impatto positivo e ridurre il potenziale impatto negativo sulle persone con cui si lavora, sui problemi su cui si indaga e su di sé.

Strumenti / Materiali

• "Tabella di autovalutazione della sicurezza digitale” (file Word).

Istruzioni

[10 minuti] Chiedi al gruppo di riflettere individualmente sul proprio lavoro e di compilare un foglio che includa le quattro sezioni seguenti:

1. Le azioni che si eseguono come parte del proprio lavoro. - Per guidare le/i partecipanti, puoi condividere verbalmente alcuni esempi, come: Ricerca online (ricerca desktop) Ricerca offline Comunicazione: posta, telefono, online, offline Archiviazione di informazioni e dati sui dispositivi Trasferimento di informazioni e dati Collaborazione in remoto Viaggi: locali e oltre confine * Intervistare le fonti, trattare con soggetti vulnerabili, ecc.

*2. Strumenti/Tecniche/Dispositivi utilizzati per eseguire queste azioni (dagli strumenti/servizi online ai dispositivi effettivamente utilizzati)

*3. Misure e precauzioni per la sicurezza digitale durante l'esecuzione delle attività.

[5 minuti] Restituzione

• Una volta finito il tempo, chiedi ad alcuni/e volontari/e di condividere ciò che hanno scritto. Puoi domandare a una persona con una funzione diversa o con la stessa funzione ma in un contesto diverso, o chiamare qualcuno con una funzione specifica che desideri evidenziare.

• Concludi l'esercizio sottolineando questi punti:

  • I dati che raccogliamo e desideriamo salvaguardare potrebbero contenere identità altrui, ad esempio persone che intervistiamo, vittime di abusi, informatori, persone che lavorano per un'azienda oggetto di indagine, ecc.

  • Di conseguenza abbiamo una grande responsabilità e dovere di cura non solo verso noi stesse/i ma anche per le altre persone che entrano a far parte del nostro lavoro quotidiano e che possono risentire dei nostri comportamenti.

Strumenti / Materiali

• Breakout-rooms / spazi per il lavoro di gruppo online o in presenza
• File condivisi / lavagna digitale (se online) o fogli di carta e penne (se in presenza)

Istruzioni

[25 minuti]

• Dividi il gruppo in sottogruppi di 3-5 persone. Se online, crea una breakout-room digitale per ogni gruppo / se in presenza, assegna un tavolo separato ad ogni gruppo.

• Ciascun gruppo deve selezionare un caso dall'esercizio precedente (funzione-contesto-strumenti-dati) e lavorare insieme per 15 minuti per identificare le minacce o i rischi impliciti in quel caso/scenario.

• Chiedi ai gruppi di cercare le vulnerabilità relative a metodi di ricerca, dispositivi, software, persone, archiviazione e trasferimento dei dati, ecc.

• I risultati di ogni gruppo possono essere elencati su un file/lavagna/foglio di carta condivisi (più sono i risultati, meglio è).

• Incoraggia i gruppi a cercare di identificare i rischi fisici e digitali, nonché il modo in cui sono interconnessi: non vanno pensati in modo isolato.

• Una volta finito il tempo, il gruppo torna in plenum.

• Una/un rappresentante di ciascun gruppo presenta il caso del proprio team e i rischi individuati. A seconda del numero dei gruppi, si possono dedicare 2-3 minuti a presentazione.

[5 minuti] Restituzione

Concludi l'attività affrontando i seguenti punti:

• Le/i partecipanti potrebbero considerare solo i rischi per sé e meno per le loro fonti o altre persone con cui collaboreranno. Incoraggia a considerare tutte le persone coinvolte.

• Le/i partecipanti potrebbero anche cadere nella trappola di pensare separatamente ai rischi digitali e fisici. Segnala che sono strettamente collegati e che una minaccia digitale potrebbe avere effetti fisici e viceversa.

• Sottolinea che la valutazione del rischio e la consapevolezza della sicurezza non finiscono mai, perché gli eventi sono incontrollabili e le persone sono imprevedibili.

• Il rischio si eredita: non siamo sole/i nel lavoro investigativo ma il nostro rischio è il rischio altrui e viceversa. Questo avviene sempre, indipendentemente dal fatto che si parli di colleghe/i, fonti, soggetti indagati, ecc.

Istruzioni

• Fai una breve presentazione spiegando come valutare i rischi utilizzando la matrice di rischio.
• Puoi fare un semplice esempio per mostrare la matrice, come:

Strumenti / Materiali

• Breakout-rooms / spazi per gruppi di lavoro online o offline
• Stessi file condivisi / lavagna digitale (se online) o fogli di carta come prima (se in presenza).

Istruzioni

• I gruppi si riuniscono nelle stesse formazioni di prima.

• Sulla base dei rischi identificati nella precedente attività di gruppo, chiedi loro di fare un brainstorming su come mitigare/ridurre tali rischi.

Restituzione

• I gruppi condividono alcuni dei modi per la mitigazione del rischio che hanno escogitato.

• Puoi commentare e aggiungere idee.

Strumenti / Materiali

• Lavagna condivisa offline o online (ad esempio Miro o Mural)

Istruzioni

• Chiedi alle/ai partecipanti di pensare alla parola "sicurezza" o "protezione" e a cosa significa effettivamente per loro. Di cosa hanno bisogno per sentirsi al sicuro o protette/i?

• Su una lavagna condivisa, prepara tre caselle di testo o colonne (una per ciascuna delle seguenti domande) e chiedi alle/ai partecipanti di condividere le loro risposte a una delle seguenti domande:

  • Cosa fai ogni giorno per evitare i pericoli e proteggere te stessa/o, la tua proprietà, le tue amicizie o la tua famiglia?

  • Ricorda un'attività che hai svolto che era pericolosa. Cosa hai fatto per restare al sicuro?

  • Quali risorse o attività sono importanti per aiutarti a sentirti al sicuro?

Restituzione

Commenta quanto condiviso nella lavagna evidenziando i seguenti punti:

• La sicurezza olistica include la sicurezza fisica, psico-sociale e digitale.
• La sicurezza non riguarda solo gli aspetti digitali o fisici, ma anche il nostro stato d'animo, i principi e il comportamento generale come individui e in team.
• La sicurezza è personale e soggettiva, la definiamo noi stesse/i.
• Il benessere nostro e altrui dovrebbe essere il riferimento fondamentale per la sicurezza.
• Abbiamo già molte strategie in azione e una notevole resilienza per continuare il nostro lavoro nonostante le sfide che dobbiamo affrontare.

RISORSA:

• Holistic Security Manual di Tactical Tech.

Sicurezza digitale (60 minuti)

Strumenti / Materiali

• Breakout-rooms / spazi per il lavoro di gruppo online o offline
• File condivisi / lavagna digitale (se online) o fogli di carta e penne (se in presenza)

Istruzioni

• Utilizza uno scenario ipotetico e dici al gruppo:

  • "È stato trovato un telefono cellulare incustodito. È sbloccato. Cosa possiamo sapere sul/la proprietario/a del cellulare?"

• Dividi il gruppo in sottogruppi di 3-5 persone.

• Il compito di ogni gruppo è quello di fare un brainstorming e creare l'elenco più lungo possibile di informazioni che possiamo scoprire su questa persona attraverso il suo dispositivo. Chiedi di considerare anche come possiamo trovare tali informazioni, tramite quali azioni o fonti interne al dispositivo.

Restituzione

• Chiedi a uno o due gruppi di presentare il proprio elenco di informazioni e possibili fonti.

• Se necessario, aggiungine altre, ad esempio:

  • l'aspetto del/la proprietario/a tramite foto personali,
  • la sua professione tramite foto di lavoro o account di posta elettronica di lavoro,
  • le sue preferenze tramite i profili online e la cronologia delle ricerche,
  • i progetti futuri tramite la cronologia delle ricerche,
  • le transazioni economiche recenti tramite documenti o e-mail sul dispositivo,
  • lo stato di salute tramite documenti ed e-mail sul dispositivo,
  • dove si trova tramite la cronologia delle posizioni,
  • le possibili relazioni tramite e-mail o cronologia dei messaggi e contatti.
  • ...

Istruzioni

Prima prepara, e poi tieni, una breve presentazione per:

• Spiegare che gli strumenti di sicurezza digitale aiutano a proteggere:

  • Dispositivi e dati
  • Comunicazioni
  • Connessioni di rete
  • Account online

• Delineare e spiegare questi sette principi che Tactical Tech utilizza per valutare e consigliare uno strumento, che deve essere:

  1. Open source
  2. Fidato e verificato
  3. Rodato e stabile, con una comunità attiva basata sulle/sugli utenti e una comunità di sviluppatrici/sviluppatori reattiva
  4. Facile da usare / User-friendly
  5. Multilingua con supporto per la localizzazione
  6. Multipiattaforma (Mac, Windows, Linux, Android)
  7. Dotato di documentazione pubblica

RISORSE:

• Articolo "Technology Is Stupid: How to choose tech for remote working / La tecnologia è stupida: come scegliere la tecnologia per il lavoro a distanza", di Marek Tuszynski, Tactical Tech
• Guida "La sicurezza prima di tutto!", in Esporre l'Invisibile: il kit.

Strumenti / Materiali

• Breakout-rooms, spazi per il lavoro di gruppo o individuale online o offline
• File condivisi o individuali / lavagna digitale (se online) o fogli di carta e penne (se in presenza)

Istruzioni

• Dividi il gruppo in sottogruppi di 2-3 persone o anche individualmente.

• Se online, separa i gruppi nelle breakout-rooms online o concedi del tempo per la ricerca individuale indipendente.

• Chiedi alle/ai partecipanti di dedicare 20 minuti ad analizzare uno strumento di loro scelta (può essere un'app di comunicazione, un servizio cloud, ecc.) sulla base dei 7 principi di cui sopra, e di decidere se si adatta alle loro esigenze o se causa problemi di sicurezza e privacy.

• Una volta finito il tempo, il gruppo torna in plenum.

• Una/un rappresentante di ogni gruppo condivide i risultati del team. Se la ricerca è stata condotta individualmente, chiedi a due o tre partecipanti di presentarne i risultati.

Istruzioni

• Presenta brevemente alcuni degli strumenti che si possono utilizzare e che forniscono un relativo grado di sicurezza insieme ad alcuni pro e contro.

• Sottolinea che ci sono compromessi e compromessi quando si considerano le funzioni, l'usabilità (facilità d'uso) e la sicurezza di uno strumento

• Fai notare che i problemi di sicurezza possono essere raggruppati nelle seguenti categorie:

  • Dati e dispositivi
  • Condivisione e invio di dati
  • Sicurezza online: Account / Browser / Reti private virtuali (VPN) / Comunicazione

RISORSA:

• Guida "La sicurezza prima di tutto!" di Esporre l'Invisibile: il kit

Istruzioni

Facilita una discussione con il gruppo, guidandolo ad affrontare i seguenti punti chiave, che possono essere elencati su slide o su una lavagna:

• È necessario essere flessibili e avere buon senso nella scelta degli strumenti e dei metodi da utilizzare per la sicurezza e la protezione.

• Lo strumento più sicuro non sarà sempre accessibile a tutte le persone coinvolte in un progetto o in una comunicazione.

• Poni questa domanda al gruppo:

  • "Quando vi è capitato di dover utilizzare uno strumento meno sicuro per portare a termine il vostro lavoro?"

• Fai notare che deve esserci un compromesso tra:

  • sicurezza (lo strumento deve mantenere i dati, le fonti e la persona al sicuro)
  • funzionalità (deve fare il lavoro richiesto)
  • usabilità (deve essere facile da usare: chiunque nel gruppo deve poterlo gestire)

• Ricorda che la sicurezza non è solo negli strumenti. Ecco alcune cose da tenere a mente quando si pensa alla sicurezza:

  • cosa si sceglie di condividere,
  • come si comunica,
  • su cosa si clicca (attacchi di phishing),
  • quali servizi si scelgono,
  • con chi si sceglie di condividere.

• Alcune pratiche possono causare più rischi degli strumenti che si utilizzano.

• Di seguito alcune pratiche per mantenere le proprie credenziali e i propri dati al sicuro:

  • usare password lunghe,
  • usare l'autenticazione a due fattori,
  • salvaguardare le password usando i gestori di password,
  • assicurarsi di avere strumenti di ripristino impostati ove possibile, come l'aggiunta di un'e-mail di ripristino,
  • fare un backup dei dati,
  • usare la crittografia dei dati,
  • usare la crittografia end-to-end, che aiuta a garantire che il fornitore di servizi non possa accedere ai contenuti delle/dei clienti
  • essere a conoscenza di chi ha accesso ai propri dati
  • valutare gli strumenti che si utilizzano.

Chiusura (10 minuti)

Strumenti / Materiali

• Drawing pad condiviso / slide / lavagna condivisa (se online)
• Lavagna / lavagna a fogli mobili, post-it, pennarelli (se in presenza)

Istruzioni

• Chiedi al gruppo di creare un poster dei risultati scrivendo nella lavagna condivisa / sul tavolo da disegno le risposte alla seguente domanda:

  • "quali sono i principali risultati del workshop di oggi?"

• Concedi alcuni minuti per scrivere e/o disegnare i propri pensieri e leggere quelli altrui.

Restituzione

• Evidenzia alcuni punti alla lavagna.

Strumenti / Materiali: Nessun materiale necessario.

Istruzioni

• Concludi il workshop e riassumine i contenuti.

• Fai un rapido bilancio della sessione. Ogni partecipante dovrebbe dire:

  • una cosa che ha trovato molto positiva nella sessione
  • una cosa che migliorerebbe per la prossima volta

• Puoi incoraggiare il gruppo a porre domande o dare suggerimenti finali.

• Condividi le informazioni di contatto, se rilevanti, e tutti i dettagli di follow-up.

Risorse aggiuntive

• Articolo "Technology Is Stupid: How to choose tech for remote working / La tecnologia è stupida: come scegliere la tecnologia per il lavoro a distanza", di Marek Tuszynski, Tactical Tech.
• Guida "La sicurezza prima di tutto!", in Esporre l'Invisibile: il kit
• Security-in-a-Box: guide e tutorial sulla sicurezza digitale di Tactical Tech e Front Line Defenders
• "Holistic Security Manual", Tactical Tech
• Guide e tutorial di base sulla sicurezza dell'Electronic Frontier Foundation (EFF)

Contattaci

Per favore, contattaci su “Esporre l’Invisibile” se:

• hai domande sulla struttura dei workshop e sulle linee guida per facilitatrici/facilitatori,

• usi le nostre strutture di workshop e desideri condividere feedback e suggerimenti che possono aiutare a migliorarle,

• adatti le nostre strutture di workshop a uno specifico contesto e desideri condividerne i risultati con noi,

• vuoi proporre nuove attività, suggerimenti o esempi che possono essere aggiunti a quelli già esistenti,

• desideri condividere la tua esperienza e collaborare con noi allo sviluppo e alla sperimentazione di nuovi workshop.

Email di contatto: eti@tacticaltech.org (Chiave GPG/fingerprint: BD30 C622 D030 FCF1 38EC C26D DD04 627E 1411 0C02).

Crediti e licenze

CC BY-SA 4.0

Questo contenuto è prodotto dal progetto di Tactical Tech "Esporre l'Invisibile", e autorizzato dalla Creative Commons Attribution-ShareAlike 4.0 International license

• Autrici e autori del workshop: A. Hayder, Wael Eskandar

• Progettazione didattica: A. Hayder

• Editoriali e contenuti: Christy Lange, Laura Ranca, Wael Eskandar

• Graphic design: Yiorgos Bagakis

• Sviluppo sito web: Laurent Dellere, Saqib Sohail

• Coordinamento e supervisione del progetto: Christy Lange, Laura Ranca, Lieke Ploeger, Marek Tuszynski, Safa Ghnaim, Wael Eskandar

Questa risorsa è stata sviluppata nell'ambito della Collaborative and Investigative Journalism Initiative (CIJI) cofinanziata dalla Commissione Europea nell'ambito del Progetto Pilota: "Supporting investigative journalism and media freedom in the EU" (DG CONNECT).

Questo testo riflette il punto di vista dell'autrice/autore e la Commissione non è responsabile dell'uso delle informazioni in esso contenute.