Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca

Informare gli interessati è una misura di mitigazione per ogni data breach.

Stefano Gazzella : 24 Aprile 2024 07:33

Nel caso di una violazione di sicurezza da cui possa derivare una compromissione dei dati personali (sì, questa è la definizione di data breach), informare gli interessati è una misura di mitigazione sempre efficace. Nell’ipotesi più comune delle organizzazione colpite da un attacco informatico, fra l’altro, una parte degli interessati coincide con il personale che opera sui dati e dunque una corretta informazione circa l’accaduto consente di svolgere un intervento di di sensibilizzazione (che è praticamente come la cyberawareness, ma senza slide prezzolate e scintillanti) per la diffusione di una cultura di sicurezza condivisa.

Tutto questo non comporta ovviamente la condivisione di informazioni o documenti riservati, bensì una decisione strategica di empowerment: rendere consapevole ogni autorizzato all’accesso ai dati di almeno tre cose. La prima: non sottovalutare mai le minacce, ritenendo che la propria organizzazione ne sia immune o al di fuori. La seconda: le conseguenze a cui conducono delle vulnerabilità irrisolte. La terza: la portata delle misure di mitigazione che è possibile predisporre in seguito ad una violazione di sicurezza.

Il contenuto informativo della comunicazione per il personale interno dovrà dunque essere distinto rispetto a quello destinato a coloro che hanno la sola veste di interessati. Certamente, ci sono degli elementi comuni: ad esempio entrambe le comunicazioni devono avere un punto di contatto da indicare per richiedere maggiori informazioni o chiarimenti a riguardo o inviare segnalazioni, nonché chiarire l’accaduto. Il personale interno dovrà essere destinatario, se del caso, di istruzioni di sicurezza aggiuntive e della timeline per la gestione dell’incidente (ad es. gli step di ripristino operativo).


Scarica Gratuitamente Byte The Silence, il fumetto sul Cyberbullismo di Red Hot Cyber

«Il cyberbullismo è una delle minacce più insidiose e silenziose che colpiscono i nostri ragazzi. Non si tratta di semplici "bravate online", ma di veri e propri atti di violenza digitale, capaci di lasciare ferite profonde e spesso irreversibili nell’animo delle vittime. Non possiamo più permetterci di chiudere gli occhi». Così si apre la prefazione del fumetto di Massimiliano Brolli, fondatore di Red Hot Cyber, un’opera che affronta con sensibilità e realismo uno dei temi più urgenti della nostra epoca. Distribuito gratuitamente, questo fumetto nasce con l'obiettivo di sensibilizzare e informare. È uno strumento pensato per scuole, insegnanti, genitori e vittime, ma anche per chi, per qualsiasi ragione, si è ritrovato nel ruolo del bullo, affinché possa comprendere, riflettere e cambiare. Con la speranza che venga letto, condiviso e discusso, Red Hot Cyber è orgogliosa di offrire un contributo concreto per costruire una cultura digitale più consapevole, empatica e sicura.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Se l’organizzazione ha designato il DPO, è bene non solo comunicare il contatto ma anche chiarire la sua funzione e la riservatezza professionale cui è tenuto nello svolgimento dei suoi compiti in modo tale da poter agevolare così l’invio di feedback e segnalazioni.

    Per quanto riguarda i tempi di comunicazione, certamente un’informazione tempestiva rende più efficaci gli effetti di mitigazione ma sacrificare completezza per celerità non è affatto una buona idea in quanto comporta il rischio di ingenerare confusione.

    Quando la comunicazione agli interessati è obbligatoria da GDPR.

    In caso di un data breach che esponga gli interessati ad un alto rischio, è proprio la norma che richiede che la violazione vada comunicata all’interessato. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.

    art. 34 par. 1 GDPR

    Sebbene la norma non indichi – al contrario di quanto avviene per la notifica all’autorità di controllo prescritta dal precedente art. 33 GDPR – un termine esatto, questo adempimento deve comunque seguire logiche di efficace tutela degli interessati coinvolti. Ragionando in modo sistematico si può sostenere che il limite temporale dovrebbe dunque essere entro le 72 ore, dal momento che fra le misure da indicare all’autorità di controllo rientra anche tale comunicazione. Ma ad oggi, tale indicazione non è ancora stata fornita. Nonostante copiosi esempi di data breach in cui la comunicazione è stata intempestiva, incompleta o ben lungi dall’essere poco chiara, completa e comprensibile.

    Il contenuto della comunicazione viene inoltre già definito dalla legge, ma allo stesso possono essere ovviamente aggiunte informazioni ulteriori. Anzi: devono. Altrimenti la tutela dell’interessato proprio nel momento più critico ed emergenziale rischia di diventare un mero adempimento burocratico. Con tutte le conseguenze del caso, fra cui la più eclatante è impedirgli di poter svolgere in autonomia una valutazione dei rischi e adottare ogni misura utile per tutelarsi dalle conseguenze negative dell’evento occorso.

    Stefano Gazzella
    Privacy Officer e Data Protection Officer, è Of Counsel per Area Legale. Si occupa di protezione dei dati personali e, per la gestione della sicurezza delle informazioni nelle organizzazioni, pone attenzione alle tematiche relative all’ingegneria sociale. Responsabile del comitato scientifico di Assoinfluencer, coordina le attività di ricerca, pubblicazione e divulgazione. Giornalista pubblicista, scrive su temi collegati a diritti di quarta generazione, nuove tecnologie e sicurezza delle informazioni.

    Lista degli articoli
    Visita il sito web dell'autore

    Articoli in evidenza

    I gestori di password più diffusi, tra cui LastPass, 1Password e Bitwarden sono vulnerabili al clickjacking
    Di Redazione RHC - 28/08/2025

    Un esperto di sicurezza ha scoperto che sei dei gestori di password più diffusi, utilizzati da decine di milioni di persone, sono vulnerabili al clickjacking, un fenomeno che consente agli aggres...

    Vulnerabilità critiche in NetScaler ADC e Gateway. Aggiorna subito! Gli attacchi sono in corso!
    Di Redazione RHC - 28/08/2025

    NetScaler ha avvisato gli amministratori di tre nuove vulnerabilità in NetScaler ADC e NetScaler Gateway, una delle quali è già utilizzata in attacchi attivi. Sono disponibili aggiornam...

    Tentativo di phishing contro PagoPA? Ecco come ho fatto chiudere in 3 ore il sito malevolo
    Di Davide Santoro - 28/08/2025

    Grazie alla nostra community recentemente sono venuto a conoscenza di un tentativo di phishing contro PagoPA e ho deciso di fare due cose. Per prima cosa attivarmi in prima persona per arrecare un dan...

    Microsoft Teams in panne: bloccata l’apertura dei documenti Office incorporati
    Di Luca Galuppi - 28/08/2025

    Un giovedì nero per milioni di utenti Microsoft Teams in tutto il mondo. Una funzionalità chiave della piattaforma di collaborazione – l’apertura dei documenti Office incorpora...

    ChatGPT “Ha insegnato a mio figlio come morire”! La causa dei genitori di Adam Reid ad OpenAI
    Di Redazione RHC - 28/08/2025

    È stata intentata una causa contro OpenAI in California , sostenendo che ChatGPT abbia spinto un sedicenne al suicidio. I genitori di Adam Reid, deceduto l’11 aprile 2025, hanno affermato ...