Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime, Analisi Vulnerabilità e Intelligenza Artificiale
L'articolo analizza l'impatto della normativa NIS2 sulla gestione integrata di vulnerabilità, data breach e segnalazioni whistleblowing, evidenziando le sovrapposizioni con GDPR, DORA e il Decreto 231. Vengono illustrate le scadenze obbligatorie per le notifiche al CSIRT e al Garante, le sanzioni economiche per amministratori e le migliori pratiche per proteggere l'identità dei segnalanti. Si propone un modello di coordinamento basato su piattaforme cifrate, scissione procedurale dei dati e coinvolgimento del DPO, con l’obiettivo di ridurre i rischi di cyber‑attacchi e le responsabilità legali.
Con il tempo la legge sulla sicurezza informatica si è trasformata da un insieme di regole separate ad un unicum che deve essere valutato nel suo complesso. L’integrazione tecnologica di aziende ed enti pubblici ha fatto si che il legislatore, abbandonando i controlli isolati, ha finito per introdurre un sistema di gestione unico, in modo che quando si verifica un’emergenza o arriva una segnalazione interna, diverse normative scattano contemporaneamente.
Partiamo dal fatto che la legge sul whistleblowing impone a tutte le realtà pubbliche e private con almeno 50 dipendenti di attivare canali sicuri e riservati per le segnalazioni interne, proteggendo chi segnala da qualsiasi ritorsione. Ciò posto vediamo come a questa disposizione si affianchi la disciplina di recepimento della Direttiva NIS2, che obbliga le aziende strategiche a gestire i rischi informatici, avvisare tempestivamente il CSIRT Italia in caso di attacco e attribuisce una responsabilità diretta ai vertici aziendali. Quando siamo di fronte a banche, assicurazioni o al settore finanziario trova applicazione il Regolamento DORA, che fissa regole stringenti sulla tenuta delle reti e sui test di resistenza dei sistemi.
Il GDPR e il Codice Privacy disciplinano la tutela delle informazioni personali con l’obbligo tassativo di segnalare ogni furto o perdita di dati al Garante entro 72 ore. In ambito societario particolare attenzione va prestata al Decreto 231, secondo cui i reati informatici possono far scattare sanzioni dirette per l’azienda, rendendo necessaria una comunicazione costante con l’Organismo di Vigilanza. Il quadro normativo così delineato trova oggi il suo completamento con le norme sull’intelligenza artificiale e l’AI Act. E’ agevole rilevare, quindi, come anche un singolo attacco hacker possa tradursi nello stesso momento in una falla NIS2 o DORA, un data breach per la privacy, una segnalazione di whistleblowing e una violazione rilevante ai fini della responsabilità aziendale 231.
Quando si gestisce un’emergenza informatica il punto estremamente delicato è costituito dal contrasto che si viene a creare tra la protezione di chi segnala e i tempi strettissimi imposti dalla legge. Il problema si pone ,infatti, quando un dipendente scopre una grave falla di sicurezza o un attacco con riscatto e invia il report tramite il canale di whistleblowing, poiché si può creare un corto circuito tra obblighi diversi.
Da un lato, nel whistleblowing chi riceve la segnalazione ha 7 giorni per confermarne la presa in carico e fino a 3 mesi per fare i controlli, dovendo garantire il segreto assoluto sull’identità del segnalante. Dall’altro, invece, le regole sulla cybersicurezza NIS2 impongono di lanciare un primo allarme al CSIRT Italia entro appena 24 ore dall’incidente e un report completo entro 72 ore. Parimenti anche il GDPR prevede che la notifica del data breach al Garante Privacy avvenga entro le 72 ore. Qualora il responsabile del whistleblowing ritenesse di dover tenere ferma la pratica per verificare l’identità o i fatti con i propri tempi, ci troveremmo di fronte ad un organizzazione che sfora le scadenze tassative, esponendo l’azienda e i vertici a responsabilità immediate.
Come se ciò non bastasse, c’è il pericolo, tutt’altro che remoto, di una fughe di notizie. Prendiamo il cado di un dipendente che una volta individuata una falla gravissima ritenga che ci sia un pericolo imminente e decida di renderla pubblica. Da questo punto di vista si osserva come una diffusione non coordinata dei dettagli tecnici possa esporre immediatamente l’organizzazione a cyberattacchi di massa, ricatti informatici e enormi danni di immagine. Il sistema di Coordinated Vulnerability Disclosure introdotto dalla NIS2 e gestito dall’Agenzia per la Cybersicurezza Nazionale ha proprio la funzione di evitare questa confusione pericolosa, consentendo di segnalare il problema in modo protetto, dando ai tecnici il tempo di creare una patch di sicurezza prima che la vulnerabilità diventi di dominio pubblico.
Risulta ormai evidente che la sicurezza informatica non sia più una semplice questione tecnica da delegare all’ufficio IT, ma un vero e proprio dovere di gestione societaria. Il nuovo assetto normativo stabilisce in modo chiaro che il Consiglio di Amministrazione, l’Amministratore Delegato e i Direttori Generali hanno una responsabilità diretta. Questi soggetti hanno il compito di approvare le strategie di protezione, verificare l’adozione delle misure di sicurezza e partecipare a corsi di formazione specifici. Ne consegue che qualora l’attacco ottenga il risultato prefissato a causa di una carenza di controlli, i vertici rispondono personalmente per mancata vigilanza. Il divieto di scaricare interamente la gestione dei rischi informatici sui soli tecnici è previsto anche dalle norme del settore finanziario
Sanzioni economiche pesantissime che si sommano tra loro sono previste quando l’emergenza informatica viene gestita in modo superficiale o in ritardo. La NIS2 prevede multe fino a 10 milioni di euro o al 2 per cento del fatturato globale per le aziende essenziali, e fino a 7 milioni per quelle importanti. Sanzioni fino all’1 per cento del fatturato medio giornaliero per i fornitori critici di servizi informatici sono previste dal Regolamento DORA. Vi sono poi le sanzioni del GDPR sulla privacy, che possono raggiungere i 20 milioni di euro o il 4 per cento del fatturato, nonché le multe ANAC per chi svela l’identità del whistleblower o ignora le sue segnalazioni.
Particolare attenzione va prestata alle sanzioni personali per gli amministratori. Le Autorità di vigilanza possono sospendere temporaneamente i dirigenti dalle loro funzioni fino a quando l’azienda non si mette del tutto in regola. Inoltre, i soci e i creditori possono fare causa agli amministratori per i danni causati al patrimonio aziendale, accusandoli di non aver gestito la società con la dovuta diligenza.
Se si vogliono impedire ricatti, bloccare le fughe di notizie e schivare sanzioni, in ambito aziendale occorre riuscire a costruire una struttura di protezione integrata. Importante indicazione proviene dall’ANAC che ha chiarito come le classiche e-mail aziendali e la PEC non siano più considerate sufficienti a garantire l’anonimato di chi segnala un problema in quanto servono piattaforme informatiche dedicate e cifrate. Per evitare di intaccare la riservatezza occorre che chi accede a questi sistemi non lasci tracce o indirizzi IP registrati nei log della rete aziendale.
Strategia che si deve fondare sul meccanismo della Scissione Procedurale dei Dati. Di fronte all’invio di un report cifrato, il responsabile lo deve analizzare insieme a un consulente tecnico indipendente legato dal segreto professionale. Nell’ipotesi di un attacco grave o di una violazione di dati, il responsabile deve estrarre soltanto le informazioni tecniche essenziali e cancellare ogni riferimento all’identità del segnalante. Il documento ottenuto e depurato dagli elementi detti viene inviato subito ai referenti di sicurezza e al DPO per lanciare le notifiche ufficiali alle Autorità entro i limiti delle 24 e 72 ore, mentre l’identità del whistleblower resta al sicuro e blindata nella piattaforma.
Si tratta di protezione che deve coprire anche l’intera catena dei fornitori di servizi software e IT. Stando alle recenti norme devono essere mappati tutti i fornitori critici e aggiornati i contratti, inserendo obblighi precisi, come la segnalazione immediata dei problemi informatici e l’accettazione di controlli periodici. Con uno scenario che diventa sempre più complesso è fondamentale che ogni organizzazione approvi formalmente queste procedure in Consiglio di Amministrazione, adotti piattaforme avanzate, aggiorni il Modello 231 e garantisca una formazione continua ai propri dirigenti per dimostrare di aver fatto tutto il possibile per proteggere l’azienda.
Sono ufficialmente aperte le adesioni al Program Sponsor della Red Hot Cyber Conference 2027, la sesta edizione dell’evento annuale gratuito promosso dalla community di Red Hot Cyber per diffondere cultura, competenze e consapevolezza sui temi della cybersecurity, dell’innovazione e delle tecnologie digitali. La Conference si terrà a Roma, martedì 18 e mercoledì 19 maggio 2027, presso l’Auditorium del Seraphicum, nel cuore del quartiere EUR, con una giornata dedicata ai workshop pratici e alle attività tecniche e una seconda giornata interamente dedicata alla conferenza.
Anche per il 2027, le aziende potranno scegliere di sostenere concretamente il progetto attraverso il Program Sponsor, partecipando alla crescita di un appuntamento che mette in relazione professionisti, aziende, istituzioni, studenti, ricercatori e appassionati di tecnologia. Il programma prevede la possibilità di aderire come Sponsor Sostenitore, una formula pensata per le aziende che desiderano essere tra le prime realtà a credere e contribuire alla realizzazione della nuova edizione, oppure attraverso i tre consueti livelli di sponsorizzazione Platinum, Gold e Silver. Ogni livello di sponsorizzazione acquistato, sarà accompagnato da un pacchetto Advertising, con l'opportunità di visibilità attraverso articoli, banner e contenuti all’interno del circuito editoriale di Red Hot Cyber.
Le aziende interessate a conoscere le formule disponibili, il Media Kit e tutte le opportunità previste dal Program Sponsor 2027 possono richiedere informazioni scrivendo a [email protected].