Dal ransomware al data breach. Un viaggio necessario che deve essere gestito

Stefano Gazzella : 2 Aprile 2023 09:18

Si tratta di un viaggio che molte organizzazioni – talvolta a sorpresa e sempre malvolentieri – sono costrette ad affrontare nel momento in cui subiscono un attacco informatico che impiega questo tipo di malware.

Abbiamo già parlato del fenomeno del silenzio degli indecenti annoverandolo come una delle peggiori modalità di incident response.

Inoltre, se la tendenza consolidata è oramai quella della tecnica di double extortion, allora è opportuno che la strategia del silenzio venga sostituita al più presto da un’adeguata capacità di gestione dell’incidente.

CALL FOR SPONSOR - Sponsorizza la Graphic Novel Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"?  Conosci il nostro corso sul cybersecurity awareness a fumetti?  Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.  Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected] Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

E capire così se e quando si realizza un data breach.

La gestione di un incidente di sicurezza

Per quale motivo gestire un incidente di sicurezza? Innanzitutto, l’adozione di una procedura efficace per la gestione dell’incidente informatico è un obbligo richiamato da più norme. Alcuni esempi sono: il GDPR, che prevede di verificare la sussistenza di obblighi di notifica – e provvedere a riguardo – entro 72 ore; la NIS, con la notifica senza indebito ritardo al CSIRT ora rafforzato con la NIS 2 che prevede un early warning entro le 24 ore; le disposizioni relative al Perimetro Nazionale di Sicurezza Cibernetica che prevedono una notifica degli incidenti entro 72 ore. E se l’organizzazione non ha adottato delle misure tecniche e organizzative per la gestione della violazione di sicurezza non c’è possibilità alcuna di rispettare né i termini di notifica né tantomeno di avere un livello sufficiente di informazioni da comunicare alle autorità destinatarie.

Spostando lo sguardo al di là degli adempimenti agli obblighi dettati dalla legge, o anche in forza delle norme ad adesione volontaria (emblematica la ISO 27001:2022), si guarda su un piano pratico. E dunque ci si chiede se le organizzazioni abbiano interesse a proteggere i propri asset strategici, fra cui rientrano le basi dati. A onor del vero, prima ci si dovrebbe chiedere se hanno consapevolezza del valore strategico dei dati personali e non che detengono. E se così è – perché difficilmente può essere altrimenti – allora è necessario avere una capacità di rilevazione e analisi dell’incidente informatico, anche nell’ottica di reagire con una risposta efficace e realizzare quel lesson learned che fa parte del miglioramento continuo della sicurezza. In questo caso specifico nell’ipotesi di occorrenza di un evento critico.

Ogni ransomware è un data breach?

Tanto considerato, e guardando l’attacco ransomware con gli occhiali del GDPR, qualora siano coinvolti dei database contenenti dati personali (anche comuni quali e-mail, nomi e cognomi, o numeri identificativi ricollegabili a degli operatori, o altrimenti account utenti di rete interna) allora è un data breach. Anche nell’ipotesi di indisponibilità temporanea, piena recovery dei dati e nessuna esfiltrazione. Semplicemente, se non si ravvede un rischio consistente (o “non improbabile”) per gli interessati, sarà necessaria soltanto una registrazione interna. Nelle ipotesi di rischio, o rischio elevato, dovranno adempiersi gli obblighi di notifica al Garante e comunicazione agli interessati. Anche perché, in caso di omessa registrazione interna non solo si va a violare l’obbligo di cui all’art. 33.5 GDPR, ma viene anche meno quella documentazione dell’incidente necessaria per applicare eventuali strategie e analisi di medio o lungo periodo.

Stefano Gazzella
Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

Lista degli articoli
Visita il sito web dell'autore