Social Security USA, dati a rischio: perché è un allarme?

## Allarme Sicurezza Sociale: Dati di Milioni di Americani a Rischio

Un allarme inquietante scuote il panorama della sicurezza dei dati negli Stati Uniti. Secondo una denuncia di un informatore, il Dipartimento per l’Efficienza Governativa (DOGE) avrebbe trasferito una copia di un vasto database della Social Security su un server cloud vulnerabile. Questo database, noto come NUMIDENT, contiene informazioni sensibili di oltre 300 milioni di americani, tra cui nomi, date di nascita, cittadinanze, etnie, numeri di telefono, indirizzi e altri dati personali.
La denuncia, presentata da Charles Borges, chief data officer della Social Security Administration (SSA), all’Office of Special Counsel e a membri del Congresso, solleva gravi preoccupazioni sulla sicurezza di queste informazioni. Borges sostiene che l’azione di DOGE costituisce una violazione di leggi, regole e regolamenti, abuso di autorità, grave negligenza e creazione di una minaccia sostanziale e specifica per la salute e la sicurezza pubblica.

## Il Database NUMIDENT e i Rischi Potenziali

Il database NUMIDENT contiene tutte le informazioni necessarie per le domande di rilascio della Social Security card negli Stati Uniti. Al suo interno sono custoditi quasi 550 milioni di numeri di Social Security. La copia di questo database su un server cloud da parte di DOGE, secondo la denuncia, è avvenuta senza adeguati controlli di sicurezza indipendenti, inclusa la tracciabilità di chi accede ai dati e come li utilizza.

Susan Landau, professoressa di cybersecurity e policy alla Tufts University, ha definito l’azione di DOGE un “atto da cowboy”, sottolineando che la mossa di esporre informazioni così sensibili a un rischio del genere è inaudita. Se queste informazioni venissero compromesse, truffatori potrebbero estorcere o ingannare individui in modo più convincente, creando profili olistici per impersonare entità ufficiali o attirare persone in schemi Ponzi. Landau ha anche avvertito del potenziale danno se nazioni come Cina o Russia accedessero al cloud della Social Security di DOGE.

## La Risposta del Governo e le Preoccupazioni Legali

La Social Security Administration ha dichiarato di prendere sul serio tutte le denunce degli informatori e ha assicurato che i dati personali sono archiviati in ambienti sicuri con solide misure di protezione. Tuttavia, la denuncia di Borges evidenzia la mancanza di controlli di sicurezza indipendenti per il server DOGE e l’assenza di meccanismi di audit e supervisione verificati.

Herbert Lin, fellow in cyber policy and security alla Stanford University, ha espresso preoccupazione per il fatto che l’accesso ai dati della Social Security sia stato esteso ai dipendenti di DOGE e non sia più accessibile solo tramite canali federali. Lin ha anche sollevato la questione della legalità della capacità di DOGE di interferire con le agenzie federali, sottolineando che la sua autorità non deriva da un atto del Congresso.

## Le Accuse di Violazione e le Richieste di Intervento

La denuncia di Borges accusa il Chief Information Officer della SSA, Aram Moghaddassi, di aver violato le politiche dell’agenzia per creare una copia live delle informazioni della Social Security del paese in un ambiente cloud che elude la supervisione, in violazione di molteplici statuti federali.

Secondo la denuncia, al personale di DOGE è stato concesso un “accesso improprio ed eccessivo” a più database con informazioni sensibili. Un giudice federale aveva bloccato il loro accesso ai dati della SSA a marzo, ma la Corte Suprema ha annullato tale sentenza a giugno. In seguito alla decisione dell’alta corte, il personale di DOGE ha richiesto di spostare il database della SSA, noto come “Numident”, su un server cloud privato a cui solo il personale di DOGE poteva accedere “senza alcun meccanismo di sicurezza o supervisione indipendente in violazione delle leggi e creando enormi vulnerabilità”, afferma la denuncia. ## Sicurezza dei Dati Personali: Un Imperativo Non Negozabile
La vicenda solleva interrogativi cruciali sulla protezione dei dati personali dei cittadini e sulla responsabilità delle agenzie governative nel garantire la sicurezza di tali informazioni. La scalabilità e l’automazione dei processi, pur offrendo vantaggi in termini di efficienza, non devono mai compromettere la sicurezza e la privacy dei dati.

La trasformazione digitale in atto richiede un approccio olistico alla sicurezza, che comprenda non solo misure tecnologiche avanzate, ma anche una rigorosa supervisione, audit indipendenti e una cultura della responsabilità a tutti i livelli. La fiducia dei cittadini nelle istituzioni dipende dalla capacità di queste ultime di proteggere i loro dati personali da accessi non autorizzati e utilizzi impropri.
## Riflessioni sull’Automazione e la Sicurezza dei Dati

L’automazione, in termini semplici, è l’utilizzo di tecnologie per eseguire compiti con minima o nessuna assistenza umana. Nel contesto della gestione dei dati governativi, l’automazione può accelerare i processi e ridurre gli errori. Tuttavia, come dimostra questa vicenda, l’automazione senza adeguate misure di sicurezza può trasformarsi in un’arma a doppio taglio.

Un concetto avanzato di automazione applicabile a questo scenario è l’automazione della sicurezza. Questo approccio prevede l’utilizzo di strumenti e processi automatizzati per identificare, prevenire e rispondere alle minacce alla sicurezza dei dati. L’automazione della sicurezza può includere, ad esempio, la scansione automatica delle vulnerabilità, il monitoraggio continuo degli accessi ai dati e la risposta automatica agli incidenti di sicurezza.
Questa vicenda ci invita a riflettere sul delicato equilibrio tra efficienza e sicurezza nell’era digitale. L’automazione e la scalabilità sono strumenti potenti, ma devono essere utilizzati con saggezza e responsabilità, tenendo sempre al primo posto la protezione dei dati personali dei cittadini. La trasformazione digitale non deve mai avvenire a scapito della sicurezza e della privacy.