Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
Dopo un attacco ransomware, chi deve pagare i danni? Aziende e fornitori IT possono finire in tribunale per stabilire le responsabilità. La giurisprudenza sta mettendo sotto pressione i provider, soprattutto in caso di gravi negligenze su backup, aggiornamenti e sicurezza. Anche i contratti e la NIS2 diventano decisivi.
La gestione delle intrusioni informatiche ha subito una forte trasformazione a seguito dell’incremento degli attacchi ransomware. Ci è resi conto, infatti, che tali attacchi non portano solamente problematiche di carattere tecnico ma anche legale. Nella mia esperienza sul campo al fianco di aziende colpite e fornitori IT, ho constatato come, innanzi ad aggressioni informatiche che determinano blocco dei computer e dati cifrati, i danni sono immediati e diversi. Si registrano perdite economiche conseguenti al fermo della produzione, decremento di clienti, nonché il rischio di sanzioni o estorsioni. Se da un lato, quindi, l’azienda è chiamata immediatamente a gestire l’emergenza per ripristinare il funzionamento dei sistemi, dall’altro va alla ricerca del responsabile di quanto accaduto.
E’ questa la fase in cui si vuole individuare il c.d. “colpevole contrattuale”. L’azienda che ha subito l’attacco cerca di capire se vi sia responsabilità di quanto accaduto nell’attività dei propri fornitori IT e sulla società di cybersecurity gestita, accusandoli, sovente, di non aver apprestato adeguate tutele a protezione dei sistemi e di essere stati, quindi, negligenti o aver addirittura commesso errori gravi.
Per quanto concerne i fornitori di servizi informatici, questi tentano di tutelarsi attraverso clausole scritte nei contratti. Tra le difese possibili vi è quella di aver onorato il contratto essendosi impegnati solo a fare “del loro meglio”, senza poter garantire una protezione assoluta, oppure si giustificano affermando che l’attacco informatico è stato un evento imprevedibile e impossibile da fermare.
La materia risulta ancora più delicata a seguito della Direttiva NIS2, che obbliga le aziende a verificare la sicurezza di tutti i propri fornitori. Attualmente molte società per ridurre i rischi giuridici inseriscono nei contratti regole e penali sempre più severe, prevedendo l’obbligo di segnalazione di problemi entro pochissime ore.
Quando a seguito di un attacco informatico sorge un contenzioso tra azienda e fornitore ci si chiede se il fornitore debba esclusivamente dimostrare di aver lavorato con attenzione o piuttosto garantire che i sistemi funzionino e i dati siano al sicuro.
La difesa dei fornitori di servizi informatici è stata per lungo tempo quella di sostenere di avere un’obbligazione di soli “mezzi” ovvero di mettere impegno e competenza qualificata ma di non poter garantire al 100% che un attacco non avvenga“. Tale atteggiamento è d’altra parte in linea con l’articolo 1176 c.c. che impone ai professionisti di agire con la massima diligenza e secondo le migliori regole del settore, ma non di dover garantire il risultato.
Da un po’ di tempo a questa parte si registra un orientamento diverso da parte degli organi giudicanti. Secondo tale recente impostazione chi acquista un servizio di cybersecurity o di salvataggio dei dati (backup) non lo fa per pagare un’attività generica, ma per ottenere un risultato preciso ovvero lavorare senza interruzioni e non perdere i propri dati.
In quest’ottica si colloca la sentenza del Tribunale di Milano n. 2821 del 2023, la quale ha stabilito che i contratti per la gestione di sistemi informatici complessi impongono un’obbligazione “di risultato”. Stando a tale orientamento se un attacco ransomware distrugge i dati o i backup dell’azienda, la legge presumerà in automatico la responsabilità del fornitore IT e, quindi, sarà compito di quest’ultimo l’onere di dimostrare di aver fatto tutto perfettamente o che l’attacco è stato un evento del tutto imprevedibile e impossibile da evitare.
Il fornitore informatico se vuole evitare il rischio di pagare risarcimenti milionari in caso di problemi deve inserire nei contratti alcune clausole che limitano la propria responsabilità. Si cerca , quindi, di fissare un tetto massimo ai rimborsi, ad esempio cifre pari a qualche mese di canone, oppure si esclude il risarcimento per i danni indiretti come il blocco della produzione o il danno d’immagine.
Occorre , tuttavia, ricordare che l’articolo 1229 c.c. prevede la nullità di qualsiasi patto contrattuale che limiti o escluda la responsabilità se il fornitore ha agito con dolo oppure con colpa grave.
Quando ci si trova innanzi ad un attacco ransomware, il contenzioso si concentra sulla gravità dell’errore commesso. Ecco perché se il problema deriva da una svista da poco, le limitazioni nel contratto restano valide, cosa che non si verifica in caso di colpa grave in quanto le clausole di protezione cadono e la società informatica deve risarcire l’intero danno subito dall’azienda.
Considerato che la colpa grave si verifica quando si ignorano le regole base del proprio mestiere, nell’ambito della cybersecurity questa viene riconosciuta, ad esempio, quando ci si dimentica di installare aggiornamenti di sicurezza urgenti, non si controlla mai se il salvataggio dei dati funziona o se si ignorano gli allarmi di intrusione. Da questo punto di vista è bene sottolineare come non sia un’adeguata difesa quella dove i fornitori si giustificano affermando che le protezioni avanzate costavano troppo rispetto al valore del contratto. Gli organi giudicanti, infatti, hanno in diverse pronunce chiarito come il risparmio economico non giustifica la mancanza delle misure di sicurezza fondamentali e ,quindi, la scelta di risparmiare sulle protezioni di base viene considerata una grave negligenza, cancellando ogni scudo contrattuale.
Quando si affronta una causa avente ad oggetto gli effetti di un attacco informatico è fondamentale la qualità delle prove digitali estratte dai computer, come le registrazioni delle attività e i report tecnici dei sistemi. Le registrazioni valgono come prova piena soltanto se la controparte non ne contesta la fedeltà alla realtà, ma è stato chiarito dalla la Corte di Cassazione come l’eventuale contestazione debba essere motivata in modo estremamente preciso e dettagliato sul piano tecnico.
Se si vuole rendere inattaccabili i dati informatici prodotti, ed al contempo contrastare con successo contestazioni, occorre congelarli usando strumenti di validazione legale come le marche temporali e i sigilli elettronici qualificati, seguendo procedure internazionali trasparenti che garantiscano l’integrità del reperto fin dal primo momento. Per evitare che determinate azioni possano incidere sull’esito della futura causa, determinando la distruzione delle prove, occorre evitare errori già nelle prime ventiquattr’ore dall’attacco, ad esempio il riavvio affrettato dei server da parte di personale non specializzato con conseguente cancellazione delle tracce in memoria.
Personalmente suggerisco di tutelarsi a livello contrattuale ben prima che si verifichi un problema, prevedendo moduli scritti di rifiuto delle protezioni per dimostrare che eventuali carenze erano state sollecitate dal cliente, oppure inserendo tempi rigidi di ripristino, penali immediate e l’obbligo di segnalazione tempestiva dell’incidente per non trovarsi impreparati in un eventuale contenzioso.
Betti RHC, la prima graphic novel al mondo dedicata alla cybersecurity awareness, ha finalmente il suo sito ufficiale. Uno spazio tutto suo dove scoprire il progetto, sfogliare le copertine degli episodi e immergersi nel mondo di Betti: la giovane laureanda in informatica che, dopo la morte misteriosa del padre, si trasforma nell'hacker più potente del mondo. Una storia avvincente che, episodio dopo episodio, affronta una minaccia digitale diversa — dal phishing al ransomware, fino al cyberbullismo — e insegna a riconoscerla e a difendersi, senza che sembri mai una lezione.
Sul sito trovate tutto ciò che rende Betti un progetto diverso dal solito: la sua filosofia, le anteprime delle tavole e il racconto di come nasce ogni volume. Perché dietro Betti RHC c'è solo lavoro umano: ogni tavola è disegnata interamente a mano dagli artisti del Gruppo Arte di Red Hot Cyber, senza alcun uso di intelligenza artificiale. E a garantire che ogni storia sia realistica e tecnicamente corretta c'è la supervisione degli hacker etici del gruppo HackerHood, che mantengono il racconto fedele al mondo reale della sicurezza informatica.
C'è spazio anche per le aziende, che possono usare Betti come strumento di awareness diverso dai soliti corsi: acquistare i volumi, personalizzarli con il proprio brand o sponsorizzare nuovi episodi. E come primo regalo, l'episodio "Byte the Silence", dedicato al cyberbullismo, è scaricabile gratuitamente per uso personale.
Perché la miglior difesa, in fondo, è una bella storia. 👉 Scopri tutto su https://betti.redhotcyber.com/