Stefano Gazzella : 24 Aprile 2024 07:33
Nel caso di una violazione di sicurezza da cui possa derivare una compromissione dei dati personali (sì, questa è la definizione di data breach), informare gli interessati è una misura di mitigazione sempre efficace. Nell’ipotesi più comune delle organizzazione colpite da un attacco informatico, fra l’altro, una parte degli interessati coincide con il personale che opera sui dati e dunque una corretta informazione circa l’accaduto consente di svolgere un intervento di di sensibilizzazione (che è praticamente come la cyberawareness, ma senza slide prezzolate e scintillanti) per la diffusione di una cultura di sicurezza condivisa.
Tutto questo non comporta ovviamente la condivisione di informazioni o documenti riservati, bensì una decisione strategica di empowerment: rendere consapevole ogni autorizzato all’accesso ai dati di almeno tre cose. La prima: non sottovalutare mai le minacce, ritenendo che la propria organizzazione ne sia immune o al di fuori. La seconda: le conseguenze a cui conducono delle vulnerabilità irrisolte. La terza: la portata delle misure di mitigazione che è possibile predisporre in seguito ad una violazione di sicurezza.
Il contenuto informativo della comunicazione per il personale interno dovrà dunque essere distinto rispetto a quello destinato a coloro che hanno la sola veste di interessati. Certamente, ci sono degli elementi comuni: ad esempio entrambe le comunicazioni devono avere un punto di contatto da indicare per richiedere maggiori informazioni o chiarimenti a riguardo o inviare segnalazioni, nonché chiarire l’accaduto. Il personale interno dovrà essere destinatario, se del caso, di istruzioni di sicurezza aggiuntive e della timeline per la gestione dell’incidente (ad es. gli step di ripristino operativo).
 CALL FOR SPONSOR - Sponsorizza la Graphic Novel Betti-RHC Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì. |
Se l’organizzazione ha designato il DPO, è bene non solo comunicare il contatto ma anche chiarire la sua funzione e la riservatezza professionale cui è tenuto nello svolgimento dei suoi compiti in modo tale da poter agevolare così l’invio di feedback e segnalazioni.
Per quanto riguarda i tempi di comunicazione, certamente un’informazione tempestiva rende più efficaci gli effetti di mitigazione ma sacrificare completezza per celerità non è affatto una buona idea in quanto comporta il rischio di ingenerare confusione.
In caso di un data breach che esponga gli interessati ad un alto rischio, è proprio la norma che richiede che la violazione vada comunicata all’interessato. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.
art. 34 par. 1 GDPR
Sebbene la norma non indichi – al contrario di quanto avviene per la notifica all’autorità di controllo prescritta dal precedente art. 33 GDPR – un termine esatto, questo adempimento deve comunque seguire logiche di efficace tutela degli interessati coinvolti. Ragionando in modo sistematico si può sostenere che il limite temporale dovrebbe dunque essere entro le 72 ore, dal momento che fra le misure da indicare all’autorità di controllo rientra anche tale comunicazione. Ma ad oggi, tale indicazione non è ancora stata fornita. Nonostante copiosi esempi di data breach in cui la comunicazione è stata intempestiva, incompleta o ben lungi dall’essere poco chiara, completa e comprensibile.
Il contenuto della comunicazione viene inoltre già definito dalla legge, ma allo stesso possono essere ovviamente aggiunte informazioni ulteriori. Anzi: devono. Altrimenti la tutela dell’interessato proprio nel momento più critico ed emergenziale rischia di diventare un mero adempimento burocratico. Con tutte le conseguenze del caso, fra cui la più eclatante è impedirgli di poter svolgere in autonomia una valutazione dei rischi e adottare ogni misura utile per tutelarsi dalle conseguenze negative dell’evento occorso.
Stefano GazzellaPiaccia o meno, l’invio di un’email a un destinatario errato costituisce una violazione di dati personali secondo il GDPR. Ovviamente, questo vale se l’email contiene dati personali o se altrime...
Nel gergo dei forum underground e dei marketplace del cybercrime, il termine combo indica un insieme di credenziali rubate composto da coppie del tipo email:password. Non si tratta di semplici elenchi...
Sulla veranda di una vecchia baita in Colorado, Mark Gubrud, 67 anni, osserva distrattamente il crepuscolo in lontananza, con il telefono accanto a sé, lo schermo ancora acceso su un’app di notizie...
Anthropic ha rilasciato Claude Opus 4.5 , il suo nuovo modello di punta, che, secondo l’azienda, è la versione più potente finora rilasciata e si posiziona al vertice della categoria nella program...
Il lavoro da remoto, ha dato libertà ai dipendenti, ma con essa è arrivata anche la sorveglianza digitale. Ne abbiamo parlato qualche tempo fa in un articolo riportando che tali strumenti di monitor...
