Stefano Gazzella : 22 Dicembre 2023 08:28
Subire un attacco informatico e un conseguente data breach può capitare? Certamente. Esistono dei fattori da dover considerare per ritenere la propria postura di sicurezza come adeguata? Anche qui: certamente. Ciò non toglie alcuna responsabilità all’azione dei cybercriminali, ma non si può escludere che in alcuni casi la vittima non abbia adottato un approccio risk-based nel predisporre le proprie contromisure di sicurezza.
Facendo qualche passo indietro, ciò che caratterizza il buon esito di un attacco informatico può essere sintetizzato facendo riferimento a quattro fattori principali: opportunità, capacità e motivazione dell’attaccante, vulnerabilità. Quando si intende agire in modo preventivo sui rischi, ciò su cui deve focalizzare l’attenzione e la massima priorità è ovviamente un intervento sui fattori controllabili lasciando che gli ulteriori compongano il quadro d’insieme e consentano una migliore comprensione sistematica.
Capacità e motivazione dell’attaccante sono fattori su cui non è possibile intervenire ma che possono essere comunque oggetto di previsione con un’analisi di contesto. Per quanto riguarda invece l’opportunità, è possibile svolgere un’azione parziale con un ragionamento strategico che può riguardare l’organizzazione stessa dei dati e che deve contemplare anche una domanda fondamentale:
Se tutti i miei layer di sicurezza dovessero fallire, qual è il “bottino” per il cybercriminale?
Sponsorizza la prossima Red Hot Cyber Conference!
Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.
Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.
Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber.Supporta RHC attraverso:
- L'acquisto del fumetto sul Cybersecurity Awareness
- Ascoltando i nostri Podcast
- Seguendo RHC su WhatsApp
- Seguendo RHC su Telegram
- Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
Non serve seguire pedissequamente il criterio della Legge di Murphy per cui se qualcosa può andar male lo farà, ma declinarlo in modo opportuno. E dunque avere cognizione del livello massimo di compromissione che si può subire. Fatto ciò, è possibile svolgere dei ragionamenti volti alla riduzione dell’impatto che possono comprendere anche decisioni in ordine ad una minore quantità di dati custoditi, al coinvolgimento di terze parti e ulteriori misure che andranno, di fatto, ad intervenire sulle conseguenze del data breach.
Ciò che è più controllabile dall’organizzazione che svolge un’analisi dei rischi è invece lo stato delle vulnerabilità che però richiede richiede un continuo riesame, come peraltro è chiarito dall’art. 32 GDPR che contempla fra le misure esemplificative di sicurezza anche:
[…] una procedura per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.[…]
Attenzione però a non incorrere in un errore che definire cognitivo è un eufemismo. Ritenere infatti che subire un data breach dimostri di per sé l’inadeguatezza delle misure di sicurezza predisposte e dunque costituisca in modo automatico una violazione è un modo manieristico per rendere manifesta la propria profonda ignoranza della materia e dei più elementari concetti di gestione del rischio. La fallacia logica è infatti quella del “Post hoc, ergo propter hoc” o “correlation implies causation” per gli anglofoni, per cui si ritiene che una successione temporale di eventi ne determini un rapporto di causalità.
Vero è che nel momento in cui una misura di sicurezza fallisce, siamo tutti certi che a livello retorico si può argomentare tutto e il contrario di tutto. Ma quel che contano sono i fatti e gli obblighi cogenti. La norma, ma più in generale ogni buona pratica, prevede che l’adeguatezza delle misure venga valutata secondo un giudizio prognostico preventivo, che è l’esito di un processo decisionale che comprende delle fasi di individuazione e valutazione dei rischi e delle contromisure, con accettazione finale di un rischio residuo.
Un conto però è il mancato intervento nell’individuazione e risoluzione di una vulnerabilità, un altro sarà la sproporzione fra capacità dell’attaccante e difensore. E qui interviene, in soccorso, una corretta postura che abbia contemplato il fallimento di ogni layer di sicurezza e di conseguenza esponga al minore danno possibile l’organizzazione e gli interessati cui sono riferiti i dati personali.
Un metro di valutazione è inoltre nella gestione dell’evento di violazione: dal remediation plan, alla comunicazione interna ed esterna nei confronti degli stakeholder.
Gestire una violazione dei dati personali è infatti una questione di responsabilità, tanto a livello di governance che sul fronte operativo. Una corretta comunicazione interna con un linguaggio condiviso, così come l’esistenza di procedure chiare e controllate sono elementi imprescindibili perchè le policy vengano adottate secondo criteri di effettività che caratterizzano le relative istruzioni e procedure.
E nel caso in cui il data breach per l’appunto capiti, l’assunzione di responsabilità è imprescindibile ma va ben oltre un “Ci scusiamo per il fatto occorso”, ma richiede un’azione diretta nell’immediato a provvedere alla migliore tutela possibile per gli interessati (ad esempio con una comunicazione corretta e tempestiva ai sensi dell’art. 34 GDPR, se del caso e l’adozione di misure di mitigazione) ma anche ad un’azione programmatica per quell’approccio di tipo lesson learned che, sul piano pratico, comporta l’adozione di misure affinché vengano eliminati o ridotti attraverso interventi di gestione quei fattori che hanno contribuito all’evento di violazione.
Altrimenti, sarà una storia destinata a ripetersi. E non può essere sempre colpa soltanto dei cybercriminali.
Cisco ha reso note due vulnerabilità critiche che interessano i propri firewall Secure Firewall Adaptive Security Appliance (ASA) e Secure Firewall Threat Defense (FTD), oltre ad altri prodotti di re...
Il ricercatore Nicholas Zubrisky di Trend Research ha segnalato una vulnerabilità critica nel componente ksmbd del kernel Linux che consente ad aggressori remoti di eseguire codice arbitrario con i m...
Il Dipartimento di Giustizia degli Stati Uniti e la polizia britannica hanno incriminato Talha Jubair, 19 anni, residente nell’East London, che gli investigatori ritengono essere un membro chiave di...
Una vulnerabilità zero-day, monitorata con il CVE-2025-20352, è stata resa pubblica da Cisco nei suoi diffusissimi software IOS e IOS XE; tale vulnerabilità risulta essere sfruttata attivamente. L�...
Gli sviluppatori di Kali Linux hanno rilasciato una nuova release, la 2025.3, che amplia le funzionalità della distribuzione e aggiunge dieci nuovi strumenti di penetration testing. L’aggiornamento...