Exprivia S p A : ICT Security Magazine - La CyberSecurity per i droni

19/01/2022ictsecuritymagazine.com

Argomento: Exprivia: si parla di noi

EAV: € 972

Utenti unici: 9.867

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-per-i-droni/

Riproduzione autorizzata Licenza Promopress ad uso esclusivo del destinatario Vietato qualsiasi altro uso

https://www.ictsecuritymagazine.com/articoli/la-cybersecurity-per-i-droni/

La CyberSecurity per i droni

La CyberSecurity per i droni - ICT Security Magazine18 Gennaio 2022

La CyberSecurity per i droni Introduzione

La progressiva integrazione dei droni nello spazio aereo civile europeo e l'emergere di numerose applicazioni di questi strumenti (dalle attività ricreative ai servizi, fino ai campi della fotografia, della logistica e della sorveglianza delle infrastrutture) hanno portato alla reale necessità, da un lato, di concentrarsi sulle sfide che il loro utilizzo su larga scala potrebbe comportare per la tutela della privacy, delle libertà civili e politiche di ciascuno e, dall'altro, valutare le misure necessarie per garantire il rispetto dei diritti fondamentali e la protezione dei dati.

Diversi sono, infatti, i rischi per la tutela della privacy che possono derivare dal trattamento di dati (come immagini, suoni e dati di geolocalizzazione relativi a una persona fisica identificata o identificabile) effettuato con i dispositivi a bordo di un drone. Tali rischi possono andare dalla mancanza di trasparenza sui tipi di trattamento, a causa alla difficoltà di vedere i droni da terra, sino alla difficoltà, in ogni caso, di sapere quali siano le apparecchiature a bordo destinate al trattamento di dati, quali siano i fini per cui vengono raccolti i dati personali e da chi. Inoltre, le potenzialità dei droni e la possibilità di interconnetterne più di uno facilita ancor di più la loro capacità di ottenere punti di osservazione unici. Ad esempio, grazie alla possibilità di evitare ostacoli o superare barriere o recinzioni, facilitando la raccolta di

un'ampia varietà di informazioni con un alto rischio di raccolta dati in blocco e possibili usi illeciti per molteplici scopi.

Rischi ancora maggiori per i diritti e le libertà delle persone sorgono laddove il trattamento di dati personali mediante droni sia effettuato ai fini di contrasto della criminalità.

Prima di utilizzare un drone è necessario rispettare una serie di obblighi e nello specifico:

verificare, ove consentito l'utilizzo di droni, se sia necessaria una specifica autorizzazione da parte delle autorità dell'aviazione civile (AAC); individuare i criteri più idonei di liceità del trattamento;

rispettare i principi di limitazione delle finalità, minimizzazione dei dati e proporzionalità (selezionando le tecnologie e le misure più appropriate per evitare la raccolta di dati personali non necessari);

soddisfare, nel modo più idoneo alla fattispecie in esame, il principio di trasparenza (informando gli interessati del trattamento effettuato);

adottare tutte le opportune misure di sicurezza;

garantire l'eliminazione o l'anonimizzazione dei dati personali non strettamente necessari.

• inoltre necessario considerare la possibilità di interconnettere più droni al fine di sorvegliare una vasta area. Sciami di droni con canali di comunicazione in tempo reale che li collegano tra loro e con terze parti comportano rischi ancora maggiori per la protezione dei dati; in quanto potrebbero facilmente consentire una sorveglianza coordinata, ovvero il controllo del movimento

Riproduzione autorizzata Licenza Promopress ad uso esclusivo del destinatario Vietato qualsiasi altro uso

di persone o veicoli su vaste aree.	serie di limitazioni come la Visual Line Of
Vi è quindi un alto rischio che il trattamento	Sight (VLOS), l'altezza massima di 120 metri e
dei dati personali da parte dei droni diventi	la massa massima al decollo inferiore a 25 kg.
segreto e causi significative interferenze nella	Il regolamento include "operations over
sfera più privata delle persone. Allo stesso	people" (OOP). La categoria aperta è
tempo, date le attrezzature messe a bordo	suddivisa in 3 sottocategorie rilevanti per
potenzialmente sofisticate e la facilità con cui	l'OOP indicate di seguito:

• dati personali raccolti possono essere A1 - consente il sorvolo di persone isolate, collegati ad altre informazioni, vi è un con droni con una massa sotto i 250gr nelle maggior rischio di "function creep"; ovvero il classi C0 e 900gr in C1. È richiesta la

rischio di modifica o estensione dell'uso per	formazione online. (Sorvolare persone ma non
scopi incompatibili.				assembramenti di persone);
Inoltre, il potenziale impatto dell'intrusione	A2 - consente di volare vicino alle persone,
nella privacy è aggravato dall'ampia varietà di	per droni con una massa massima di 4kg in
individui ed entità coinvolti nell'uso dei droni.	classe C2. È richiesta una formazione online
Anche i produttori di droni, ad esempio, hanno	più una formazione pratica auto-dichiarata
un ruolo da svolgere nella fase di	(Volare vicino le persone);
progettazione di tali dispositivi, considerando	A3- consente voli solo lontano dalle persone e
che le caratteristiche operative possono, in	dagli aeroporti, per droni con una massa
misura minore o maggiore, prestarsi ad	massima di 25kg, classe C3 e C4. È richiesta
applicazioni invadenti per la privacy (ad	anche la formazione online. (Volare lontano
esempio, nel caso di piccoli o droni di medie	dalle persone).
dimensioni in grado di volare all'interno di	Categoria specifica (Specific Category) - Droni
edifici).					civili
Regole di base e regolamenti sui droni		La categoria specifica copre tutte le
Regolamento europeo				operazioni che non rientrano nelle categorie
EASA (European Union Aviation Safety	aperte	e	certificate.	Richiede
Agency)					un'autorizzazione operativa basata sul rischio
Il regolamento di base è stato attuato	rilasciata dall'autorità dello Stato membro
attraverso due regolamenti, di seguito.		competente. Gli esempi includono oltre la
Regolamento (UE) 2019/947 e Regolamento	"Visual Line Of Sight" anche alcune operazioni
(UE) 2019/945				di delivery dei droni.
Il Regolamento 2019/947 fornisce regole e	Il metodo di compliance accettato utilizzato
procedure incentrate sulle operazioni e basate	dagli Stati membri è lo Specific Operation Risk
sul rischio per le operazioni con i droni.	Assesmsment (SORA) sviluppato dalle autorità
Definisce tre categorie di operazioni UAS:	congiunte per la regolamentazione dei sistemi
Aperte, Specifiche e Certificate sviluppate	senza pilota (JARUS). Affronta il rischio
parallelamente alle categorie JARUS A, B e C.	terrestre e aereo e combina i due per creare
Categoria aperta (Open Category) - Droni	un livello di garanzia e integrità specifico
civili					(SAIL) tra I e VI. Un livello di rischio di VII o
Nella	categoria	aperta,	non	esiste	superiore sposta l'operazione nella categoria
un'approvazione operativa ma	piuttosto una	certificata superiore. Il SORA definisce anche

Riproduzione autorizzata Licenza Promopress ad uso esclusivo del destinatario Vietato qualsiasi altro uso

adeguate misure di mitigazione		Operazioni di tipo 3 - come per le operazioni
Morier, che è stato Presidente della JARUS dal	di tipo 2 con velivoli VTOL con pilota a bordo,
2017 al 2019, elabora: "Per evitare	comprese le operazioni fuori dallo spazio
l'applicazione sistematica di SORA, sono stati	aereo U-Space
definiti scenari standard (operazioni a basso	Il Regolamento 2019/ 945 stabilisce i requisiti
rischio), che consentono di fornire una	per la progettazione e la fabbricazione di
Dichiarazione	di	conformità	anziché	sistemi aeronautici senza equipaggio (UAS)
un'autorizzazione formale. Sono state inoltre	destinati a essere utilizzati secondo le regole
definite Pre-Determined Risk Assessments	e le condizioni definite nel regolamento di
(PDRA). Se un'operazione soddisfa questi	esecuzione (UE) 2019/947 e di componenti
requisiti,	è	ancora	necessaria	aggiuntivi per l'identificazione a distanza.
un'autorizzazione,	ma dovrebbe essere	Definisce inoltre il tipo di UAS la cui
ottenuta più facilmente. Le autorizzazioni	progettazione,	produzione	e	manutenzione
nella categoria specifica sono valide in tutti i	sarà oggetto di certificazione. Stabilisce
Paesi dell'UE, ma potrebbe essere necessario	norme sulla messa a disposizione sul mercato
verificare le misure di mitigazione legate alla	di UAS, kit di accessori e componenti
geografia e al tempo".		aggiuntivi per l'identificazione a distanza e
BVLOS (Beyond Visual line of Sight) è	sulla loro libera circolazione nell'Unione.
consentito in categorie specifiche e	Il presente regolamento, infine, fissa anche le
certificate, a seconda del risk assessment.	norme per gli operatori UAS di paesi terzi,
Categoria certificata (Certified Category) -	quando effettuano un'operazione UAS ai sensi
Droni civili				del regolamento di esecuzione (UE) 2019/947
Nella categoria certificata, i droni sono	all'interno del single European sky airspace.
certificati, gli operatori ricevono un certificato	Figure 1 - Categoria Open, Specific e Certified
e il pilota ha una licenza. Questo è molto	L'immagine		mostra	chiaramente	come
simile ai voli dell'aviazione con equipaggio. Le	vengono identificate le operazioni. Con questo
operazioni certificate sono state classificate in	nuovo regolamento, il fatto che si stia
3 tipologie:				pilotando un UAS (Unmanned Aircraft System)
Operazioni di tipo 1- Instrument flight rules	per motivi di lavoro o hobby non è più
(IFR) operazioni per droni che trasportano	rilevante, conta solo se ciò che stai facendo
merci nelle classi di spazio aereo A-C (ICAO	può essere in qualche modo pericoloso.
airspace classification) e decollano e/o	JARUS
atterrano negli aeroporti che rientrano nel	Le Joint Authority for Rulemaking on
regolamento di base.			Unmanned Systems (JARUS) sono un gruppo di
Operazioni di tipo 2 - droni che decollano e/o	esperti di 60 autorità aeronautiche nazionali
atterrano in ambienti congestionati utilizzando	mondiali (NAA) e 2 organizzazioni regionali
rotte predefinite nello spazio aereo U-space.	per	la	sicurezza	aerea	(EASA	ed
Questi includono le operazioni di aeromobili	EUROCONTROL), il cui obiettivo è sviluppare
VTOL (Vertical Take-Off and Landing) senza	regole armonizzate per gli UAS. Il concetto di
equipaggio che trasportano passeggeri (ad	regolazione incentrata sulle operazioni con le
esempio aerotaxi) o merci (ad esempio servizi	tre categorie (aperta, specifica e certificata) è
di consegna di merci).		stato	sviluppato all'interno	delle categorie

Riproduzione autorizzata Licenza Promopress ad uso esclusivo del destinatario Vietato qualsiasi altro uso

JARUS.

La missione di JARUS è sviluppare requisiti tecnici e operativi per il funzionamento sicuro, protetto ed efficiente degli UAS, per fungere da riferimento comune per l'uso nei rispettivi regolamenti e linee guida dei membri JARUS, facendolo in modo efficace ed efficiente, evita la duplicazione di sforzi con altre organizzazioni aeronautiche internazionali.

JARUS è responsabile dello sviluppo della metodologia per Specific Operations Risk Assessment (SORA). È stato approvato dall'Agenzia europea per la sicurezza aerea (EASA) come mezzo di conformità accettabile (AMC) per soddisfare i requisiti dei regolamenti europei UAS (Basic Regulation, Implementing Act, Delegated Act e Annexes).

EUROCONTROL

Nell'ambito delle proprie attività volte

all'integrazione sicura degli UAS, EUROCONTROL ha condotto diversi webinar basati su alcuni temi caldi nel dominio UAS, con la partecipazione delle parti interessate più rilevanti nelle diverse sessioni. L'obiettivo di questi webinar era quello di sviluppare linee guida che non fossero direttamente correlate a un particolare regolamento.

EUROCAE (European Organisation for Civil Aviation Equipment)

EUROCAE è il leader europeo nello sviluppo di standard industriali riconosciuti a livello mondiale per l'aviazione. EUROCAE sviluppa standard per l'industria che:

si basano sull'esperienza all'avanguardia dei suoi membri affrontando le slide globali dell'aviazione;

sono idonei allo scopo per essere adottati a livello internazionale;

supportano i processi operative, di sviluppo e normativi.

Regolamento italiano

Regolamento UAS-IT: integrazione di ENAC al

regolamento droni EASA

Il 1° gennaio 2021 è entrato in vigore il Regolamento UAS-IT, che disciplina gli aspetti di competenza dell'Autorità nazionale per le operazioni con droni che non rientrano nelle disposizioni del Regolamento di esecuzione (UE) 2019/497.

Requisiti del pilota

In termini pratici il regolamento UAS-IT, ad una prima lettura, non fa altro che ribadire ciò che è già contenuto nel regolamento europeo in quanto non aggiunge nessun requisito aggiuntivo per il pilota di droni che opera nelle Open Category, per i droni privi di marcatura CE.

Rimangono validi i requisiti relativi ad altezza, distanza da infrastrutture e persone non informate.

Assicurazione

Secondo l'art. 27 dell'UAS-IT non è consentito condurre operazioni con un UAS se un'assicurazione relativa alla responsabilità verso terzi, adeguata allo scopo e con massimali non inferiori ai parametri minimi di cui alla tabella dell'art. 7 del Regolamento (CE) 785/2004.

Registrazione

Secondo quanto previsto dal regolamento di cui all'art. 6, gli operatori UAV sono tenuti a registrarsi sul portale D-Flight, anche ai fini dell'identificazione e imputazione di responsabilità civile e penale, e ad apporre il codice identificativo QR sull'UAV.

Sicurezza

La sicurezza riguarda il contrasto di tutte le azioni dolose intraprese per compiere un attacco deliberato attraverso l'utilizzo di un UAV: un'area in cui ricade il terrorismo, ad esempio. Ma anche spionaggio, aggressione, utilizzo dell'UAV per testare le difese di una struttura per poi compiere atti illeciti come intrusioni, furti, danneggiamenti. È chiaro che

Riproduzione autorizzata Licenza Promopress ad uso esclusivo del destinatario Vietato qualsiasi altro uso