La metodologia Agile è un approccio al processo di sviluppo del software che si concentra sulla flessibilità, la collaborazione e la consegna incrementale di prodotti funzionanti. È stato introdotto per affrontare le limitazioni delle metodologie di sviluppo software tradizionali, come il modello Waterfall, che spesso tendono ad essere rigide e poco adattabili ai cambiamenti.

Ecco alcuni concetti chiave della metodologia Agile:

• Iterazione e Incremento: Invece di sviluppare il software in un’unica grande iterazione, l’approccio Agile prevede di suddividere il lavoro in piccole iterazioni, chiamate “sprint”. Ogni sprint di solito dura da una a quattro settimane e produce un incremento di funzionalità utilizzabile.
• Priorità delle esigenze del cliente: L’Agile mette un forte accento sul coinvolgimento del cliente durante tutto il processo di sviluppo. Le esigenze e i requisiti del cliente sono presi in considerazione in modo continuo e possono essere adattati durante il progetto.
• Collaborazione e comunicazione: L’Agile promuove la comunicazione e la collaborazione regolari tra i membri del team di sviluppo, così come con il cliente. Ciò significa che i membri del team lavorano insieme per affrontare le sfide e prendere decisioni.
• Team auto-organizzati: Le squadre Agile sono incoraggiate a essere auto-organizzate, il che significa che sono responsabili della pianificazione, dell’esecuzione e del controllo del proprio lavoro. Questo favorisce un ambiente in cui i membri del team si sentono responsabilizzati e motivati.
• Adattabilità al cambiamento: L’Agile riconosce che i requisiti e le priorità possono cambiare nel corso del progetto. Quindi, è progettato per essere flessibile e in grado di adattarsi a nuove informazioni e requisiti.

Ci sono diverse metodologie specifiche all’interno dell’approccio Agile, tra cui Scrum, Kanban, e XP (Extreme Programming), ognuna con le proprie pratiche e strumenti. In questo approfondimento andremo ad analizzare una delle metodologie più popolari: lo Scrum. 

Metodologia agile: lo SCRUM

La metodologia SCRUM è un framework che viene utilizzato da un team per gestire progetti complessi affinché si possa estrarre maggior valore possibile attraverso soluzioni iterative.

I pilastri di SCRUM

Scrum è inquadrato all’interno dell’ambito delle metodologie agili e si basa sulla flessibilità nell’adottare cambiamenti e sulla cooperazione di un gruppo di persone che condividono le loro competenze. Il punto di forza di tale metodologia è l’approccio empirico: la conoscenza deriva dall’esperienza, pertanto le decisioni vengono prese partendo da ciò che si è osservato.

I pilastri e le caratteristiche più importanti di questa metodologia  sono :

• Trasparenza: tutto il team coinvolto ha conoscenza delle varie fasi del progetto e di cosa accade.
• Ispezione: per rendere trasparenti questi elementi, deve essere ispezionato e valutato l’avanzamento verso gli obiettivi concordati al fine di rilevare problemi indesiderati.
• Adattamento: se e quando c’è qualcosa da cambiare, i materiali prodotti devono essere adattati e tutto il team di adegua per raggiungere l’obiettivo dello Sprint.

Prima di andare a definire cosa sia lo Sprint, è necessario fornire una spiegazione riguardo le tre figure più importanti del metodo SCRUM:

1. Il Product Owner è responsabile di massimizzare il valore del prodotto, definendo e prioritizzando le funzionalità da sviluppare, e lavora a stretto contatto con il team Scrum e gli stakeholder per garantire che il prodotto soddisfi le esigenze degli utenti.
2. Il Scrum Master si occupa di far comprendere a tutti la teoria e le pratiche SCRUM.
3. Lo SCRUM Team è composto da un Scrum Master, un Product Owner e dai Devoloper ( coloro che hanno il compito di creare qualsiasi aspetto di un increment usabile ad ogni Sprint). È un’unità coesa di professionisti che valuta le attività del Product backlog senza alcuna influenza esterna. Il loro filo conduttore è la responsabilità condivisa.

Le fasi del processo SCRUM.

Torniamo a parlare di Sprint (Iterazione). Esso è il cuore pulsante dello SCRUM perché tutto ciò che accade per dare valore, avviene all’interno di uno Sprint. La durata massima è di un mese poiché avere Sprint più lunghi può causare la perdita di feedback preziosi da parte del cliente.

La fase successiva è Lo Sprint planning che dà il via allo Sprint, stabilendo il lavoro da svolgere. Tutto il team deve avere un obiettivo (lo Sprint Goal) e deve collaborare per definire il suo valore e/o aumentarlo attraverso una discussione.

Il Daily SCRUM, invece, ha lo scopo di ispezionare l’avanzamento verso lo Sprint Goal e di adattare lo Sprint backlog secondo le esigenze. È una riunione che dura massimo 15 minuti a cui devono necessariamente partecipare i Developer dello Scrum team. Il fine è quello di migliorare le comunicazioni e promuovere un rapido processo decisionale, eliminando la necessità di ulteriori meeting.

La Sprint Review è il penultimo degli eventi dello Sprint, ha una durata massima di quattro ore per uno Sprint di un mese. Il suo scopo è ispezionare cosa sia stato portato a termine o modificato nel contesto dello Sprint.

La Sprint Retrospective è l’ultima fase della metodologia SCRUM e si prefigge di pianificare modi per incrementare la qualità e l’efficacia. È una grande opportunità di autovalutazione per lo SCRUM team il quale si confronta su quali siano stati i miglioramenti o i problemi emersi e di come siano o non siano stati risolti.

Gli Artefatti SCRUM

Nel contesto di Scrum, gli artefatti sono documenti o oggetti che vengono utilizzati per facilitare la pianificazione, la comunicazione e il monitoraggio del progresso del lavoro nel corso di un progetto. Ci sono tre artefatti principali in Scrum:

Product Backlog:

• Descrizione: Il Product Backlog è una lista prioritizzata di tutte le funzionalità, le caratteristiche, gli aggiornamenti e le correzioni di bug che potrebbero essere necessari per un prodotto. È una sorta di “coda” delle cose da fare.
• Proprietario: Il Product Owner è responsabile del Product Backlog. È il suo compito prioritizzare gli elementi in base al valore che portano al cliente.
• Criteri di priorità: Gli elementi più in alto nella lista hanno una priorità maggiore e devono essere dettagliati meglio. Gli elementi più in basso nella lista possono essere meno definiti.
• Aggiornamento e raffinamento: Il Product Backlog viene continuamente aggiornato e raffinato in risposta ai feedback del cliente e ai cambiamenti nelle esigenze del prodotto.

Sprint Backlog:

• Descrizione: Lo Sprint Backlog è una selezione di elementi dal Product Backlog che il team si impegna a completare durante uno specifico sprint. Contiene solo gli elementi che il team ritiene possano essere completati entro la durata dello sprint.
• Responsabile: Il team è responsabile del proprio Sprint Backlog. Il Product Owner può fornire orientamenti, ma il team è libero di organizzare il lavoro come ritiene più appropriato.
• Pianificazione dello sprint: Lo Sprint Backlog viene creato durante la pianificazione dello sprint, che è un incontro iniziale in cui il team seleziona gli elementi dal Product Backlog e stabilisce come li realizzeranno.
• Aggiornamento quotidiano: Durante lo sprint, il team tiene incontri giornalieri di Scrum per aggiornarsi sullo stato del lavoro e per adattare il piano in base alle nuove informazioni.

Increment:

• Descrizione: L’incremento di prodotto è il risultato del lavoro dello sprint. È un’evoluzione del prodotto che include tutte le funzionalità completate e pronte per la consegna.
• Requisito: Ogni incremento deve soddisfare i criteri di definizione di completamento (Definition of Done) definiti dal team e accettati dal Product Owner.
• Presentazione e revisione: Alla fine di ogni sprint, il team presenta l’incremento di prodotto al Product Owner e, se del caso, al cliente, per ottenere feedback e accettazione.

Questi artefatti sono fondamentali per il funzionamento di Scrum, in quanto aiutano a definire, organizzare e tracciare il lavoro durante il ciclo di sviluppo. Ogni artefatto ha un ruolo specifico nel processo di Scrum e contribuisce a mantenere la trasparenza e la chiarezza nel lavoro del team.

Concludendo è necessario sottolineare quanto sia essenziale definire chiaramente la metodologia Scrum o Agile in un contratto poiché fornisce una base solida per il successo del progetto. Un contratto dettagliato stabilisce le aspettative, i ruoli, le responsabilità e i criteri di consegna, riducendo ambiguità e conflitti. Inoltre, favorisce la collaborazione e la trasparenza tra le parti coinvolte, promuovendo una cultura di adattamento continuo e miglioramento. Questo approccio contrattuale crea un ambiente di fiducia e chiarezza, fondamentale per ottenere appieno i vantaggi delle metodologie agili, dove la flessibilità e la comunicazione sono centrali per il successo.

Elementi di base

Cosa significa fare startup oggi è sicuramente una domanda semplice che però necessita di una risposta molto articolata. 

Sicuramente non vuol dire avere molto tempo libero e dormire sonni tranquilli ed altrettanto certamente non vuol dire essere rilegati a fare un lavoro sgradevole e sottopagato.

Fare startup oggi è diventato indubbiamente più facile di ieri, se per startup intendiamo quella cerchia di attività imprenditoriali nella loro fase iniziale, il cui oggetto sociale sia legato alla sfera dell’innovazione; e, oggi, fare innovazione è più facile grazie alla proliferazione di Fondi pubblici, VC e business angels. Purtroppo, in Italia, siamo ancora lontani dalla risoluzione del problema dell’accesso al credito per questo tipo di imprenditorialità, anche in virtù del malcostume di alcuni investitori a chiedere poco e pretendere molto (troppo) dai founders.

Oltre ad essere migliorato sensibilmente l’accesso al credito, si deve registrare un piccolo miglioramento anche nell’offerta di servizi per le startup. Questo evento si deve all’azione congiunta svolta dalla nascita di diversi incubatori e di società private i cui servizi sono stati migliorati e calibrati sulle necessità specifiche dell’imprenditorialità innovativa nei suoi primi anni di vita.

Al di là dell’ecosistema che solo in parte qualifica cosa significhi fare startup oggi, queste poche righe nascono per dare una risposta a quali siano gli elementi di base necessari per creare l’alchimia di una startup, rinviando ad altri interventi su questo blog gli approfondimenti in relazione a materie specifiche legate a questo tema.

L’idea

Sicuramente per poter pensare anche solo lontanamente a una startup è necessario avere un’idea. Avere un’idea non vuole dire avere un’intuizione. Un’intuizione è “un atto conoscitivo semplice, istantaneo, sinottico; designa perciò una forma di conoscenza immediata, in contrapposto a ogni conoscenza di carattere discorsivo”; mentre un’idea è un termine molto più complesso che va declinato all’interno del settore dove si cala e, nel significato più ampio e generico, costituisce la rappresentazione di un oggetto nella mente: la nozione che la mente riceve di una cosa reale o immaginaria, frutto della propria coscienza.

Un’idea è qualcosa di più complesso dell’intuizione, si sviluppa da essa ma ne costituisce uno stato più evoluto dove l’intuizione viene filtrata ed elaborata sulla base delle proprie conoscenze e competenze uscendone modificata e, per questo, migliorata rispetto allo stato iniziale.

A volte è necessario attendere mesi prima che un’intuizione si tramuti in un’idea, poiché il processo di elaborazione viene ripetuto ciclicamente, talvolta arricchendolo con il contributo dei primi embrionali elementi del “team” che vedremo in seguito.

Le competenze

Inutile girarci intorno, affinchè il processo di trasformazione di un’intuizione in un’idea dia degli ottimi frutti, è necessario avere le competenze necessarie per il settore che si vuole approcciare. Quasi certamente sarà necessario approfondire tecnicamente le tematiche del settore scelto, in virtù di eventuali protocolli specifici del tema che si vuole trattare, per evitare che le stesse costituiscano un ostacolo allo sviluppo del business model.

Studiare e lavorare sulla materia sono certamente elementi preliminari alla costituzione di una startup, tuttavia, è praticamente impossibile coprire tutte le competenze specifiche necessarie per ogni singolo elemento legato al business model ed è qui che emerge la necessità del prossimo elemento fondamentale, il “team”.

Il team

Il team vede il suo valore manifestarsi già nelle primissime fasi di sviluppo di una startup ma, in realtà ha solo iniziato il suo rapporto con la startup perché sarà fondamentale in ogni singola fase del suo sviluppo.

Scegliere i membri del team è molto difficile e ci sono diverse scuole che in maniera più o meno condivisibile si esprimono sul tema; per questo eviteremo di dilungarci troppo soffermandoci solo un momento per citare un elemento senza il quale, al di là delle scuole, non è certamente possibile formare un team: la fiducia.

Fra i membri del team è necessario che si vada al di là del semplice rispetto, è necessario che ci sia fiducia affinché tutti siano in grado di esprimere al massimo il proprio valore, individuale e come membro del team.

I team è il volano dell’idea, amplifica la portata delle conoscenze e competenze dalle quali viene filtrata l’idea, la quale emerge da questo processo enormemente arricchita e pronta ad essere calendarizzata nelle sue diverse fasi di progettazione e sviluppo, la roadmap.

La roadmap

Fondamentale fin dai primi momenti successivi alla definizione di un’idea è la creazione di una checklist di azioni necessarie per la progressione nella progettazione e nello sviluppo dell’idea e la calendarizzazione di ciascuna azione. 

La roadmap ha un ruolo cardine in relazione alla distribuzione delle diverse azioni poiché costituisce anche un elemento di raccordo nel caso un’azione necessiti dell’intervento di soggetti diversi rispetto a quelli originariamente previsti o, nel caso che più azioni convergano per una fase successiva congiunta. Inutile dire quanto sia necessario il rispetto dei tempi fissati nella roadmap e la loro eventuale ri-calendarizzazione nel caso di eventi imprevisti e/o sopraggiunti.

È facilmente intuibile come la roadmap non sia un documento rigido ma, un documento estremamente fluido che deve potersi adattare agli imprevisti, ai rallentamenti e ai pivot, fino alle varie diramazioni che l’idea potrebbe prendere e che potrebbero non convergere su un unico business model.

Gli Advisors

Ultimo elemento di base per la creazione di una startup sono gli Advisors. Gli advisors hanno la funzione di guidare l’azione dei founders e quella del team in generale; si differenziano da quest’ultimo poiché le loro competenze sono fondamentali ma, ai margini dello sviluppo del core business; ne costituiscono una conditio sine qua non per il suo setup ma sono estranee al processo di erogazione del servizio o di vendita del bene.

La motivazione della necessità della loro presenza è lampante, come immediati sono i benefici che ne colgono le startup quando riescono ad inserire nel loro network degli advisor professionisti per ciascuna necessità elementare per una startup: legale, fiscale, finanziaria, di progetto, tecnica.

Fare startup oggi

Per poter fare startup oggi sono estremamente fondamentali questi elementi: L’idea, Le competenze, Il team, La roadmap e Gli advisors. Senza questi elementi essenziali è difficile se non impossibile in condizioni normali di mercato riuscire a superare le fasi iniziali che contraddistinguono la vita di una startup.

Una volta aggregati questi elementi, dopo aver mosso i primi passi nello sviluppo del core business, sarà possibile procedere ad un round di finanziamento della startup, ovvero il suo pre-seed. Tale eventualità è esclusa nel caso la startup pianifichi di portare avanti le fasi iniziali di progettazione e sviluppo del core business con propri mezzi economici o mediante eventuali finanziatori che abbiano fatto ingresso nell’unico momento precedente, ovvero quelli di validazione dell’idea.

Le problematiche etiche derivanti dall’uso della data augmentation, o generazione di dati sintetici, nel campo della medicina sono sempre più evidenti. Questa tecnica, che viene anche chiamata synthetic data generation, è un processo in cui vengono creati dati artificiali al fine di arricchire un set di dati di partenza o di superare alcune limitazioni. Questo tipo di tecnologia viene particolarmente usata nel caso in cui debbano essere allenati modelli di AI per il riconoscimento di malattie rare, su cui i dati a disposizione per il training sono scarsi. Tramite la data augmentation, altri dati possono essere artificialmente, rimanendo comunque rappresentativi del campione di partenza.  

Dal punto di vista tecnico, la data augmentation viene effettuata utilizzando algoritmi che modificano i dati esistenti o generano nuovi dati basati su quelli esistenti. Ad esempio, nel contesto dell’elaborazione delle immagini, le immagini originali possono essere modificate ruotandole, sfocandole, aggiungendo rumore o cambiando il contrasto. In questo modo, si ottengono diverse varianti di un’immagine originale che possono essere utilizzate per addestrare modelli di intelligenza artificiale. L’utilizzo di questa tecnologia rende sempre più efficace l’utilizzo di AI per il riconoscimento di patologie, come ad esempio alcuni tipi di tumori rari.

Tuttavia, ci sono diverse problematiche etiche che sorgono dall’uso della data augmentation nella medicina. Una delle principali preoccupazioni riguarda la qualità dei dati generati. Se i dati di partenza non sono rappresentativi della popolazione o se contengono errori o bias, l’applicazione della data augmentation potrebbe amplificare tali problematiche. Ad esempio, se il set di dati originali riguarda solo maschi bianchi caucasici, c’è il rischio che il risultato della data augmentation abbia un bias verso tali soggetti, trasferendo le disuguaglianze presenti nei dati originali ai dati generati.

La replicazione dei bias è certamente la questione più critica a riguardo della data augmentation. Se il modello di intelligenza artificiale viene addestrato su dati generati in modo non rappresentativo o con bias intrinseci, il modello stesso potrebbe perpetuare tali bias durante il processo decisionale. Per questo motivo, nella synthetic data generation, la qualità del dataset di partenza è una problematica ancor più critica di quanto non sia in generale per l’artificial intelligence.

La privacy dei dati è un’altra problematica da considerare. L’utilizzo della data augmentation richiede l’accesso ai dati sensibili dei pazienti, che potrebbero includere informazioni personali o riservate. È fondamentale garantire che questi dati vengano adeguatamente protetti e utilizzati solo per scopi specifici. Per affrontare queste preoccupazioni, sono state proposte soluzioni come il federated learning e la multiparty computation. Questi approcci consentono di addestrare modelli di intelligenza artificiale senza dover trasferire i dati sensibili in un unico luogo, proteggendo così la privacy dei pazienti.

Il federated learning è un approccio innovativo all’addestramento dei modelli di intelligenza artificiale che affronta le problematiche legate alla privacy dei dati. Invece di trasferire i dati sensibili dei singoli utenti o dei dispositivi a un server centrale, il federated learning consente di addestrare i modelli direttamente sui dispositivi degli utenti.

Il processo di federated learning funziona nel seguente modo: inizialmente, viene creato un modello globale che viene distribuito a tutti i dispositivi degli utenti partecipanti. Successivamente, questi dispositivi addestrano il modello utilizzando i propri dati locali senza condividerli con il server centrale. Durante l’addestramento locale, i modelli sui dispositivi vengono costantemente aggiornati e migliorati.

Successivamente, invece di inviare i dati grezzi al server centrale, solo i parametri aggiornati del modello vengono inviati e aggregati in un nuovo modello globale. Questa aggregazione avviene in modo sicuro e privato, garantendo che i dati personali non vengano esposti o compromessi.

Infine, è importante sottolineare che ci sono molte altre problematiche etiche correlate all’uso della data augmentation nella medicina. Ad esempio, c’è il rischio che la generazione di dati sintetici possa portare a una semplificazione eccessiva dei problemi medici complessi, ignorando la complessità delle situazioni reali. Nel contesto della futuro AI Act, e delle “Ethics Guidelines for Trustworthy AI” della Commissione Europea, si configura come sempre più fondamentale l’analisi di tecnologie così complesse, e dall’impatto così vasto, come i sistemi di AI al supporto delle decisioni in campo medico. 

La vulnerabilità di Log4j e il suo impatto su Minecraft

Minecraft, il popolarissimo videogioco sandbox creato da Mojang Studios, ha affascinato milioni di giocatori in tutto il mondo con la sua creatività senza limiti e i suoi ampi mondi virtuali. Tuttavia, alla fine del 2021, una vulnerabilità in una libreria di log ampiamente utilizzata, chiamata Log4j, ha minacciato la stabilità del gioco e, cosa più allarmante, la sicurezza dell’intero Internet. In questo post ci addentreremo nei dettagli della vulnerabilità Log4j, esploreremo il modo in cui ha colpito Minecraft e discuteremo le lezioni apprese da questa crisi di cybersicurezza.

La vulnerabilità Log4j: Una breve panoramica

Log4j è un’utilità di registrazione open-source basata su Java e sviluppata dalla Apache Software Foundation. È ampiamente utilizzata dagli sviluppatori per registrare gli eventi di sistema e monitorare le applicazioni software. Nel dicembre 2021 è stata scoperta in Log4j una vulnerabilità critica nota come Log4Shell (CVE-2021-44228). 

Questa vulnerabilità consentiva agli aggressori di eseguire da remoto un codice arbitrario sui sistemi interessati semplicemente inviando una stringa appositamente creata all’applicazione vulnerabile.

La gravità della vulnerabilità di Log4j derivava dal suo uso diffuso e dalla facilità con cui poteva essere sfruttata. Nel giro di pochi giorni dalla sua scoperta, la vulnerabilità è stata sfruttata da attori malintenzionati, portando a diffusi attacchi a varie organizzazioni, tra cui agenzie governative e aziende private.

Minecraft e la vulnerabilità Log4j

Minecraft, che gira su Java e utilizza Log4j per le registrazioni, è stato uno dei bersagli più importanti della vulnerabilità Log4Shell. Non appena la vulnerabilità è stata resa pubblica, gli hacker hanno iniziato a prendere di mira i server Minecraft, sfruttando la falla Log4j per eseguire codice dannoso, rubare dati sensibili e interrompere le operazioni dei server.

La situazione si è ulteriormente complicata a causa dell’enorme base di giocatori di Minecraft e dell’enorme numero di server ospitati dalla comunità, molti dei quali gestiti da hobbisti con conoscenze limitate in materia di sicurezza informatica. Questo ha reso difficile per Mojang Studios e per la più ampia comunità di Minecraft rispondere in modo rapido ed efficace alla minaccia.

Come Minecraft ha reagito alla minaccia

Mojang Studios, lo sviluppatore del gioco, e Microsoft, la sua società madre, sono intervenuti immediatamente per risolvere la vulnerabilità di Log4j. Hanno rilasciato una serie di patch sia per i server ufficiali del gioco sia per il software lato client per ridurre il rischio di sfruttamento. Inoltre, hanno fornito indicazioni chiare alla comunità su come aggiornare i server e proteggere gli utenti.

Tuttavia, la risposta non è stata priva di difficoltà. A causa della natura decentralizzata dei server Minecraft, molti server ospitati dalla comunità sono stati lenti nell’applicare le patch, lasciandoli esposti ad attacchi continui. In alcuni casi, gli aggressori hanno approfittato di questo ritardo creando patch false contenenti malware, aggravando ulteriormente il problema.

Le conseguenze e le lezioni apprese

La vulnerabilità di Log4j in Minecraft ci ricorda le potenziali conseguenze di una singola vulnerabilità software nel nostro mondo digitale interconnesso. Sebbene non siano state segnalate distruzioni diffuse a causa dell’exploit Log4j in Minecraft, l’incidente ha evidenziato l’importanza di solide pratiche di cybersicurezza nei giochi e non solo.

Ecco alcune lezioni chiave che possiamo trarre dalla crisi di Minecraft Log4j:

1. Aggiornare regolarmente il software e applicare le patch di sicurezza: Assicurarsi che il software sia aggiornato con le ultime patch di sicurezza è fondamentale per prevenire lo sfruttamento delle vulnerabilità. Nel caso di Minecraft, l’applicazione delle patch ufficiali rilasciate da Mojang Studios avrebbe evitato molti dei problemi incontrati dai server ospitati dalla comunità.
2. Aumentare la consapevolezza delle migliori pratiche di cybersecurity: Molti amministratori di server e utenti potrebbero non essere consapevoli dell’importanza di applicare le patch o dei potenziali pericoli derivanti dal download di patch non ufficiali. La sensibilizzazione alle migliori pratiche di sicurezza informatica può contribuire a ridurre i rischi associati a incidenti come la vulnerabilità di Log4j.
3. Rafforzare la collaborazione tra gli sviluppatori e la comunità: L’incidente di Minecraft Log4j ha sottolineato la necessità di una migliore comunicazione e collaborazione tra gli sviluppatori di software, come Mojang Studios, e la più ampia comunità di utenti. Promuovendo un forte rapporto con gli utenti e incoraggiando il feedback, gli sviluppatori possono affrontare più efficacemente i problemi di sicurezza e fornire un supporto tempestivo durante le crisi.
4. Sottolineare l’importanza della sicurezza a più livelli: Sebbene la risoluzione della vulnerabilità di Log4j in Minecraft sia stata fondamentale, è essenziale ricordare che nessuna singola misura di sicurezza è infallibile. L’adozione di un approccio alla sicurezza a più livelli, che combina diverse misure difensive, può aiutare a proteggere le risorse e i sistemi digitali da potenziali attacchi.
5. Incoraggiare le gli audit sui software open-source: La vulnerabilità di Log4j è rimasta inosservata per anni, nonostante l’uso diffuso della libreria. Incoraggiare e finanziare verifiche regolari del software open-source può aiutare a identificare e correggere le vulnerabilità prima che possano essere sfruttate da soggetti malintenzionati.
6. Promuovere una cultura della divulgazione responsabile delle vulnerabilità: la tempestiva divulgazione pubblica della vulnerabilità di Log4j da parte dei suoi scopritori ha permesso agli sviluppatori e alle organizzazioni di agire rapidamente per risolvere il problema. Incoraggiare una cultura di divulgazione responsabile delle vulnerabilità, in cui i ricercatori di sicurezza e le organizzazioni collaborano per rimediare alle vulnerabilità prima di renderle pubbliche, può aiutare a prevenire l’armamento di tali falle.

Conclusione

La vulnerabilità di Log4j in Minecraft ha dimostrato il profondo impatto che una singola falla del software può avere sul mondo digitale. Sebbene l’incidente non abbia portato alla distruzione di Internet come lo conosciamo, ha evidenziato l’importanza di solide pratiche di sicurezza informatica e la necessità di collaborazione tra sviluppatori, utenti e comunità di sicurezza informatica. Imparando da questa esperienza e adottando misure proattive per proteggere le nostre risorse digitali, possiamo sperare di ridurre i rischi associati alle future minacce alla sicurezza informatica.

Gli interventi legislativi in materia di tutela del consumatore sono in netto ritardo rispetto alla realtà degli eventi che vede sempre più accelerarsi acquisti nel web3, in particolar modo considerata l’espansione di acquisto di NFT.

Gli obblighi informativi previsti dal Codice del Consumo e dal diritto europeo impongono ai professionisti che forniscono beni o servizi ai consumatori di fornire informazioni agli stessi in linguaggio chiaro e comprensibile, prima della conclusione del contratto.

L’assolvimento di tale obbligo può rivelarsi complesso in virtù del carattere innovativo di questi beni e comprendere per il consumatore cosa acquista realmente, senza un’adeguata opera di informazione preventiva potrebbe dar vita a un numero sempre maggiore di contenziosi.

Il legislatore europeo ha adottato norme specifiche applicabili ai contratti di fornitura di contenuti digitali, con la Direttiva (UE) 2019/771, recepita dal nostro ordinamento con il d.lgs. n. 170/21 che modifica il Codice del Consumo.

La nuova disciplina si occupa espressamente di “beni con elementi digitali” e cioè quei beni dotati di una componente digitale in assenza della quale non possono funzionare. La componente digitale può essere interna al bene, incorporata, o esterna, interconnessa, ma in entrambi i casi deve presentare il carattere della essenzialità per il bene, che non deve poter svolgere le proprie funzionalità senza l’elemento digitale.

Nello specifico contesto di vendita di beni digitali i nuovi requisiti soggettivi e oggettivi di conformità impongono che le caratteristiche del contenuto digitale devono corrispondere, rispettivamente, a quanto previsto dal contratto e a quanto si possa ragionevolmente ed oggettivamente attendere dal contenuto digitale stesso.

La direttiva europea inoltre stabilisce che il venditore deve garantire che al consumatore siano forniti gli aggiornamenti, compresi quelli di sicurezza, necessari per mantenere tali beni conformi per il periodo di tempo che il consumatore può ragionevolmente aspettarsi, tenuto conto del tipo e della finalità dei beni e degli elementi digitali, nonché delle circostanze e della natura del contratto.

Il venditore dovrà quindi assolvere uno stringente obbligo informativo circa gli aggiornamenti disponibili in modo da andare esente da responsabilità per difetto di conformità nel caso in cui il consumatore, nonostante l’informazione ricevuta, non provveda agli aggiornamenti o installazioni necessarie.

Nel caso specifico di acquisto di NFT può ravvisarsi la non-conformità del bene quando il contenuto non è disponibile o è alterato.

Dubbi interpretativi circa la non conformità del bene invece si ravvisano quando l’NFT non presenti le caratteristiche di rarità promesse; la scarsità che attiene l’NFT è infatti fondamentale per la quantificazione del suo valore, e un grado di rarità nettamente inferiore rispetto a quanto atteso dal consumatore potrebbe rendere il bene non idoneo all’uso e pertanto non conforme secondo i requisiti soggettivi. 

Le condizioni contrattuali di vendita dell’NFT dovrebbero pertanto stabilire con precisione quale grado di rarità dovrà essere garantito in futuro per l’NFT alienato, e rispettare il requisito di buona fede e trasparenza contrattuale riguardo a molteplici altri questioni, spesso sottovalutate, quali, a mero titolo di esempio le eventuali conseguenze in caso di fallimento della blockchain e l’azione di risarcimento del danno.

Altra questione che sarà dirimente per l’applicazione delle tutele previste dalla normativa di protezione per il consumatore è risolvere, negli acquisti di NFT, la qualifica di consumatore.

Il codice del consumo, all’art. 3 definisce consumatore o utente “la persona fisica che agisce per scopi estranei all’attività imprenditoriale, commerciale, artigianale o professionale eventualmente svolta”.

Nella prassi tuttavia assistiamo a un sempre più largo uso di NFT a scopo pubblicitario o di marketing, e la categoria degli acquirenti si divide in occasionali e acquirenti “speculativi” o “da collezione”, i quali potrebbero non essere considerati consumatori ma bensì “professionisti”.

Questa prima distinzione sarà la base per gli interpreti del diritto per l’applicazione di molteplici altre questioni che attualmente non trovano applicazione pratica in quanto le norme europee sulla tutela dei consumatori sono state concepite per la conclusione di contratti “tradizionali”, non tramite smart contract: si pensi alla questione delle c.d. clausole vessatorie e all’impossibilità della doppia sottoscrizione di clausole richiesta dall’art. 1341 c.c.; oppure al c.d. foro del consumatore, ad oggi è arduo stabilire il domicilio dell’acquirente/consumatore nel mondo crypto, proprio per l’anonimia che caratterizza gli ambienti blockchain.

Il nuovo Regolamento dell’Unione europea relativo ai mercati delle cripto-attività (Markets in Crypto-Assets Regulation, c.d. « MiCA ») potrebbe in parte fornire una soluzione, in quanto vieta l’anonimia dei possessori delle cripto-attività per l’ammissione a piattaforme di negoziazione, ma gli NFT saranno esclusi dall’ambito di applicazione, a meno che rientrino nelle categorie di cripto-attività esistenti. 

La Commissione europea avrà il compito di preparare una valutazione globale e, se lo ritiene necessario, una proposta legislativa specifica, proporzionata e orizzontale per creare un regime per gli NFT e affrontare i rischi emergenti di questo nuovo mercato.

Acquisto di NFT e diritto di recesso

Altra questione dirimente per la tutela del consumatore e gli acquisti nel web3, riguarda il diritto di recesso.

Ai sensi della direttiva 2011/83/UE sui diritti dei consumatori, il consumatore deve essere informato della possibilità e sulle modalità di esercizio il diritto di recesso, ovvero la facoltà di recedere da un contratto a distanza entro quattordici giorni, senza dover fornire alcuna giustificazione. 

Lo smart contract con cui viene solitamente venduto un NFT non permette l’esercizio del diritto di recesso, non essendo possibile arrestarne l’esecuzione per inadempimento o in caso di ripensamento.

Lo smart contract infatti utilizza la formula “if this/then that”, in forza della quale, al verificarsi di un dato evento (this), si producono certi effetti (that), i quali sono predeterminati dalle parti medesime, sulla base di istruzioni rigide.

Nella prassi applicativa pertanto assistiamo a numerose transazioni a cui si affiancano condizioni contrattuali generali che esplicitamente escludono il diritto di recesso.

Tale esclusione viene giustificata facendo ricadere l’ipotesi di acquisto NFT nelle eccezioni previste nell’art. 59, lettere a), b) i), m) ed o) del D.Lgs. n. 206/2005 (Codice del Consumo). 

Al riguardo si ricorda che il diritto di recesso è escluso (lett. a) nei contratti di servizi dopo la completa prestazione del servizio se l’esecuzione è iniziata con l’accordo espresso del consumatore e con l’accettazione della perdita del diritto di recesso a seguito della piena esecuzione del contratto da parte del professionista e (lett. b) nel caso in cui il bene del prezzo sia legato a fluttuazioni nel mercato finanziario che il professionista non è in grado di controllare e che possono verificarsi durante il periodo di recesso.

Inoltre, il diritto di recesso è escluso (lett. i) con riferimento alla fornitura di registrazioni audio o video sigillate o di software informatici sigillati che sono stati aperti dopo la consegna, o  (lett. m) con riferimento ai contratti conclusi in occasione di un’asta pubblica.

Altra eccezione (lett. o) si ha per fornitura di contenuto digitale (come l’NFT) mediante un supporto non materiale (come ad es. una chiave privata per un NFT o altro codice di riscatto dell’NFT) se l’esecuzione è iniziata e, se il contratto impone al consumatore l’obbligo di pagare, qualora siano soddisfatte tre condizioni cumulative: 

• il consumatore ha dato il suo previo consenso espresso a iniziare la prestazione durante il periodo di diritto di recesso;
• il consumatore ha riconosciuto di perdere così il proprio diritto di recesso;
• il professionista ha fornito la conferma della conclusione del contratto in conformità con le modalità previste dalla direttiva 2011/83/UE per i contratti a distanza.

Una possibile soluzione per permettere ai consumatori di esercitare il diritto di ripensamento potrebbe ricercarsi nel nuovo standard di NFT, che permetterebbe di garantire i relativi acquisti contro le truffe (meglio noti come “rug-pull”) nonché la possibilità di chiederne il rimborso in caso di recesso entro la scadenza del termine stabilito.

Con il termine rug-pull (letteralmente, “tiro del tappeto”) si indica un tipo di truffa che si verifica generalmente quando gli sviluppatori di un progetto, dopo aver creato il token crittografico, ne aumentano il valore al fine di attrarre il maggior numero di investitori possibili, per poi prelevare tutti i fondi ed abbandonare il progetto fraudolento.

Quando si parla di uno standard per NFT invece, si ricorda che ci si riferisce all’identificazione univoca di un token rispetto ad altri dello stesso smart contract, denominato “ERC-721”, introdotto, come noto nel 2017, da Ethereum, quale primo protocollo per la creazione di NFT e sino ad oggi il più utilizzato che rappresenta un bene unico ed infungibile.

La pubblicazione di un nuovo standard anti rug-pull, ERC-721R, ufficialmente rilasciato in data 11 aprile 2022 e volto, tra le altre cose, a contrastare i progetti fraudolenti nel settore degli NFT, potrebbe conferire all’utente un diritto di ripensamento rispetto al proprio acquisto e, quindi, vedersi rimborsato il prezzo corrisposto per l’NFT coniato (mintato).

In particolare, tale meccanismo avviene tramite un vincolo sul deposito delle somme poste a garanzia dallo smart contract. Tali fondi possono essere prelevati, dai creatori, solo dopo il decorso di un periodo di tempo (come i 14 giorni previsti per il diritto di recesso negli acquisti al di fuori dei locali commerciali) che consente agli acquirenti di restituire il proprio NFT e di ricevere un rimborso dal contratto intelligente sottoscritto.

Questa nuovo standard rappresenta una possibilità sia in termini di apertura verso soluzioni innovative riguardanti il diritto di ripensamento da parte dell’utente e il conseguente esercizio del diritto di recesso, sia in termini di garanzia verso alcune pratiche fraudolente: pur essendo l’acquisto dell’NFT irreversibile, se durante tale periodo di tempo i creatori decidono di fare rug-pull, gli acquirenti potranno richiedere il rimborso dei loro fondi entro la scadenza del periodo di attesa, perdendo solo le gas fees sostenute per i costi di transazione.

L’utilizzo di tale nuovo protocollo per la generazione di NFT, oltre che più vantaggioso per gli acquirenti, in quanto limiterebbe eventuali perdite alle sole commissioni per elaborare e convalidare le transazioni sulla blockchain, presenta una concreta opportunità per i fornitori di servizi commerciali per la promozione delle proprie attività anche nel mondo delle criptoattività, creando fiducia nel mercato ed attraendo un maggior numero di investitori.