Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
La mancata adozione di misure di sicurezza informatica può esporre l'azienda a responsabilità penale e amministrativa. È fondamentale adottare un modello di organizzazione e gestione efficace per tutelare l'azienda.
Il D.Lgs. n. 138/2024, che recepisce la Direttiva NIS2, amplia il perimetro soggettivo a tutte le realtà sopra i 50 dipendenti o i 10 milioni di euro di fatturato e determina una discontinuità qualitativa, considerato che la cyber security, ritenuta fino ad oggi una misura esclusivamente difensiva, viene reputata ora atto gestorio di competenza esclusiva e non delegabile dell’organo amministrativo. In quest’ottica va letto l’articolo 23 del D.Lgs. 138/2024 che impone agli organi di amministrazione l’obbligo di approvare le misure di gestione dei rischi, sovrintendere alla loro attuazione e seguire una formazione specialistica. Disposizione saldata con l’articolo 2086, secondo comma, c.c., che impone il dovere di istituire un assetto organizzativo adeguato alla natura dell’impresa, anche in funzione della rilevazione tempestiva della crisi e della perdita della continuità aziendale.
Di fronte alla mancata adozione di adeguate misure informatiche, siamo in presenza non soltanto di una violazione amministrativa, ma anche di violazione dei doveri di diligente gestione sanciti dall’articolo 2392 c.c.. Se la decisione è stata presa senza analisi tecniche, senza valutare i rischi o senza conoscere la reale situazione informatica, gli amministratori non possono giustificare i tagli al budget sostenendo che si tratta di una libera scelta aziendale.
Considerate le sovrapposizione di norme, è necessario che l’incidente che comprometta l’integrità dei dati e blocchi un servizio essenziale costringa i vertici a gestire flussi di comunicazione paralleli e stringenti verso autorità differenti.
Da una parte, la mancata o tardiva gestione coordinata di queste comunicazioni moltiplica l’esposizione sanzionatoria, dall’altra può essere interpretata in sede penale come un indice di colpa grave dovuto all’inadeguatezza dell’assetto organizzativo interno. Ecco perché è importante adottare una procedura rigorosamente formalizzata per ogni delibera legata al budget IT, che sia supportata da pareri scritti redatti dal CISO e da consulenti legali esterni. Parimenti occorre tracciare dettagliatamente a verbale del Consiglio di Amministrazione non solo la discussione in merito alle minacce informatiche, ma anche l’accettazione consapevole dei rischi residui di cybersecurity.
Fondamentale è anche dotarsi di un protocollo unico aziendale, concepito per innescare tempestivamente e in via parallela le notifiche obbligatorie verso l’ACN, il Garante per la Protezione dei Dati Personali e le specifiche Autorità di Vigilanza di settore, idoneo ad assicurare il pieno rispetto dei termini perentori imposti dalle diverse discipline di legge.
Come è noto la responsabilità amministrativa degli enti ex D.Lgs. 231/2001 si affianca ed è automa rispetto alla responsabilità penale della persona fisica. Nel catalogo dei reati presupposto i delitti informatici sono disciplinati dall’art. 24 bis . Con la Legge 17 luglio 2024, n. 90 sono state raddoppiate le quote pecuniarie per i delitti di cui all’articolo 24-bis, comma 1 e incrementate quelle del comma 2. Significativa è l’introduzione nel codice penale del reato di estorsione informatica ex art. 629, terzo comma, c.p., finalizzato a reprimere anche gli attacchi ransomware. Se commesso nell’interesse o a vantaggio della società, l’estorsione informatica espone l’ente a una sanzione autonoma da trecento a ottocento quote, con l’applicazione di misure interdittive non inferiori a due anni.
E’ importante rilevare come la giurisprudenza di legittimità consideri come criterio di imputazione oggettiva dell’interesse o vantaggio dell’ente la quantificazione del risparmio di spesa. La Suprema Corte ha, tra l’altro, confermato che anche un risparmio minimo, derivante dalla decisione di non acquistare licenze software aggiornate, di evitare corsi di formazione obbligatori per il personale o di non implementare sistemi di rilevamento delle intrusioni, è sufficiente a integrare la responsabilità dell’ente ex D.Lgs. 231/2001 e a giustificare provvedimenti di sequestro preventivo dei beni.
In base a quanto stabilito dall’articolo 6 del D.Lgs. 231/2001 l’adozione di un Modello di Organizzazione, Gestione e Controllo efficace dovrebbe costituire lo scudo protettivo per l’esonero da responsabilità dell’ente. Occorre,tuttavia, distinguere due situazioni differenti. Nel caso in cui la società sia del tutto priva di un Modello 231 o disponga di una struttura puramente formale e generica, la commissione di un crimine informatico da parte di un dipendente trascina inevitabilmente l’ente in giudizio per l’imputazione oggettiva. Differente è l’ipotesi in cui l’ente si sia dotato di un Modello 231 estremamente dettagliato e analitico, capace di mappare in modo impeccabile i rischi informatici, la gestione degli accessi e i relativi piani di incident response, senza, tuttavia, che a tale formale adozione sia seguita la concreta implementazione operativa o lo stanziamento dei budget necessari. In tal caso, ovvero se l’organo amministrativo approva le linee guida tecniche ma decide poi di non finanziare i necessari sistemi di rilevamento o ignora le vulnerabilità documentate, la compliance cessa di operare come esimente per configurare una vera e propria responsabilità anche penale, omissiva ex articolo 40, comma 2, c.p. a carico degli amministratori.
Nel corso di un giudizio penale, per smententire la presunta mancanza di controlli e dimostrare la piena correttezza del proprio operato, è necessario aver gestito in modo rigoroso le prove digitali e rispettato le procedure.
In primo luogo occorre individuare e congelare immediatamente tutti i supporti coinvolti, dagli hard disk ai server in cloud, fino ai registri di sistema. Per evitare che i dati vengano modificati o cancellati per errore tali elementi vanno isolati dalla rete.
Momento successivo è quello relativo alla creazione di una copia forense, ossia una duplicazione esatta e identica all’originale. Fase in cui devono essere impiegati strumenti che impediscano qualsiasi scrittura sui dati e si generi un codice identificativo univoco, una sorta di impronta digitale matematica. Davanti al giudice è necessario che il codice garantisca che la copia usata nelle analisi sia rimasta perfettamente identica all’originale.
Fondamentale è, infine, la c.d. catena di custodia. L’azienda deve registrare in un verbale dettagliato tutti i passaggi relativi alla raccolta egli elementi di prova. Se la catena si interrompe o presenta lacune, l’aquisione prodotta perde valore legale.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/