Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Un Data Breach può avvenire senza ransomware, blocchi o segnali evidenti: gli hacker possono restare nascosti e sottrarre dati per mesi. L’azienda deve valutare rapidamente l’accaduto, rispettare il termine di 72 ore per il Garante e documentare con prove forensi cosa è successo e quali danni sono realmente dimostrabili.
Come in molte cose anche nel mondo degli attacchi informatici si assiste ad un cambiamento nel modo di agire degli hacker. Si registra da tempo, accanto al blocco immediato dei computer con richieste di riscatto, ad intrusioni invisibili e prolungate nel tempo. Parliamo dei casi in cui i criminali penetrano nei sistemi aziendali e vi rimangono nascosti per mesi senza fermare il lavoro o cifrare i documenti, con l’unico scopo di scaricare di nascosto elenchi di clienti, informazioni personali e segreti commerciali.
Sul piano normativo il prelievo nascosto costituisce comunque a tutti gli effetti una violazione dei dati personali prevista dal GDPR. E’ utile rammentare, infatti, come non serva che i computer si blocchino o che l’attività si fermi, perché il solo fatto che un estraneo abbia scaricato informazioni riservate rappresenta già un illecito.
A seguito di questi attacchi diventa difficoltoso dimostrare cosa sia effettivamente successo. Non sempre le società conservano i registri delle attività informatiche o si trovano a dover fronteggiare hacker che cancellano le proprie impronte digitali. Nella mia esperienza professionale posso affermare che spesso la direzione aziendale sia consapevole del fatto che un estraneo è entrato nella rete, ma non possieda la prova matematica che abbia anche scaricato i file. Di fronte a questo dubbio diventa difficile decidere se avvisare subito le Autorità o stabilire sul come difendersi se clienti e dipendenti chiedono un risarcimento economico.
Per comprendere la portata dell’obbligo di comunicazione ricordiamo che normativa europea impone a chi gestisce i dati di avvisare il Garante della Privacy senza ritardi e se possibile entro 72 ore da quando viene a sapere dell’attacco. Parimenti è stato chiarito come un’azienda è considerata davvero consapevole dell’accaduto non di fronte al primo sospetto tecnico, ma quando ha una ragionevole certezza che le informazioni sono state compromesse.
Questo significa che devono essere svolti controlli interni rapidi e non che si possa prendere tempo a piacimento rispetto all’obbligo di comunicazione. Se,quindi, ci troviamo di fronte ad un sicuro accertamento che l’hacker è penetrato , la circostanza che non si sappia ancora quanti file siano stati rubati non ferma il conteggio delle 72 ore. In casi come questo deve essere inviata una prima segnalazioni immediata, facendosi carico di una nuova comunicazione ove saranno aggiunti i dettagli tecnici .
Il non avere i registri informatici o strumenti per controllare gli accessi non è una scusa valida per giustificare un ritardo ed anzi il Garante reputa una colpa grave dell’azienda la mancanza di strumenti di controllo con la conseguenza che le difese inadeguate comportano il rischio di sanzioni con multe elevate.
La pericolosità del furto invisibile di dati sta nel fatto che espone l’azienda da un lato alle sanzioni del Garante della Privacy, dall’altro alle richieste di risarcimento per i danni subiti da parte di clienti o dipendenti.
Poiché la norma presume che la colpa in casi come questi sia dell’azienda, chi gestisce i dati potrà evitare il risarcimento dei danni solo nel caso in cui sia in grado di dimostrare che l’attacco è avvenuto per cause del tutto indipendenti dalla propria responsabilità. Da questo punto di vista soccorre quanto affermato dalla Corte di Giustizia Europea che ha chiarito come subire un attacco non significa automaticamente che le difese dell’azienda fossero scarse, in quanto la normativa non pretende sistemi del tutto imbattibili ma misure adeguate ai rischi del momento.
Se da un lato a volte capita che si chieda il risarcimento per lo spavento o per l’ansia di un futuro uso illecito delle proprie informazioni, dall’altro i giudici europei hanno chiarito come la semplice violazione della privacy non dia diritto a un risarcimento automatico e che il danno psicologico o morale vada provato con fatti concreti. Aggiungiamo infine che il risarcimento serve solo a riparare un danno reale subito dalla persona e non a punire l’azienda con somme simboliche.
Non vi è dubbio che il furto invisibile dei dati mette i vertici aziendali di fronte a una scelta complessa poiché se da un lato l’invio di una segnalazione troppo affrettata rischia di sembrare un’ammissione di colpa da usare poi contro l’azienda nelle cause di risarcimento, dall’altra tacere espone la società a forti multe se l’attacco diventa di dominio pubblico.
Personalmente ritengo procedere secondo una strategia ben precisa. Attraverso una comunicazione al Garante entro le 72 ore si segnalano solo i fatti certi, spiegando con chiarezza che si tratta di una segnalazione prudenziale in attesa delle verifiche tecniche. Le stime sui clienti o sui dipendenti coinvolti devono essere indicate come provvisorie per non essere usate come prove di colpevolezza.
Nel caso, attraverso analisi successive, si abbia la prova che non c’è stato alcun furto o che non vi sono rischi, la scelta di non fare la segnalazione ufficiale va motivata in una relazione interna scritta con data certa e inserita nel registro aziendale degli incidenti. Si tratta di documento che può rivelarsi particolarmente utile in caso di un’eventuale ispezione. Poiché i report informatici interni creati direttamente dall’azienda hanno poco valore legale perché potrebbero essere modificati, è importante far estrarre una copia forense inalterabile dei dati da periti esterni con marca temporale. Una volta ottenuta tale copia forense una denuncia immediata può essere decisiva per far comprendere come l’azienda sia la vittima del reato e che ha fatto tutto il possibile per chiarire i fatti con la massima serietà.
