Attacchi ransomware e il silenzio degli indecenti

Stefano Gazzella : 28 Settembre 2022 08:00

Autore: Stefano Gazzella

Un attacco ransomware è un’evenienza oramai tutt’altro che remota, considerata la frequenza con cui organizzazioni pubbliche e privati si trovano a dover fare i conti con il data breach realizzato sia dall’indisponibilità che dall’esfiltrazione di dati personali.

In caso di successiva pubblicazione, inoltre, si realizza l’ulteriore minaccia della diffusione dei dati con il più elevato elemento di rischio associato alla circostanza di perdita della confidenzialità.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Fin troppo spesso l’informazione che viene fornita agli interessati tanto nell’ipotesi che si ritenga ricorrere l’ipotesi di rischio elevato che impone una comunicazione ai sensi dell’art. 34 GDPR o meno, è la notizia del blocco dei sistemi con indisponibilità temporanea in tutto o in parte dei servizi, di una tempestiva denuncia presentata alle autorità competenti e dell’aver notificato il data breach al Garante Privacy.

Ovviamente accompagnando il tutto con una rassicurazione circa i lavori in corso per il ripristino operativo dei sistemi e le investigazioni sull’incidente di sicurezza occorso.

Ebbene, tale azione si rivela insufficiente in un’ottica di tutela sostanziale degli interessati coinvolti dalla violazione ed è ancor più grave nel caso in cui ricorra l’obbligo di cui all’art. 34 GDPR che indica “almeno le informazioni e le misure” che già sono state rese note all’autorità di controllo provvedendo alla notifica entro le 72 ore prescritte dall’art. 33 GDPR.

Fornire agli interessati anche mediante pubblicazione sul portale web o sui canali social un punto di contatto presso cui ottenere informazioni, descrivere le probabili conseguenze della violazione dei dati personali e le misure di mitigazione adottate può consentire loro di provvedere in autonomia all’adozione di cautele per contrastare i pericoli e soprattutto prevenire rischi ulteriori.

Al contrario, viene mantenuto uno stato di carente consapevolezza circa gli impatti del data breach proprio presso i soggetti che la norma stessa in materia di protezione dei dati personali è destinata a tutelare.

Nel momento in cui la violazione diventa oggetto di notizia, si può assistere a tre differenti linee d’azione. Decenza suggerisce che si possa produrre un comunicato mediante cui rendere le informazioni omesse fino a tale momento, evenienza riscontrata in virtuosità pur tardive. Indecenza esige invece che il silenzio perduri, nella speranza che l’evento si diluisca fintanto che non faccia più notizia nonostante la pubblicazione dei dati nel dark web.

Ancor peggio c’è infine la scelta sciagurata che fa guardare al proverbio per cui il silenzio è d’oro e la parola d’argento per cui sarebbe stato preferibile tacere.

Non solo non vengono rese informazioni, ma si svolgono tentativi maldestri di damage control diretti a colpevolizzare chi fa divulgazione responsabile e tendono a sminuire l’accaduto. Questa azione non va a tutela della reputazione dell’organizzazione colpita dal ransomware e contribuisce a generare confusione sull’accaduto.

Confusione che, alla pari del silenzio, costa. E il conto lo pagano gli interessati.

Stefano Gazzella
Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore