Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Stefano Gazzella : 7 Ottobre 2022 08:00
Autore: Stefano Gazzella
Per quanto nella gestione di un data breach il silenzio sia un’indecenza, anche svolgere delle comunicazioni inesatte, incomplete e generalmente non conformi alle prescrizioni dell’art. 34 GDPR è una delle worst practices tristemente diffuse che vanno ad impattare sugli interessati.
Potendo purtroppo ricorrere ad un ampio e vario catalogo di incidenti di sicurezza – per lo più derivanti da minacce di tipo ransomware – in costante aggiornamento, è stato possibile riscontrare una vera e propria Hall of Shame delle peggiori scelte in tale ambito. Il tutto viene dettato dalla volontà di allontanare ogni responsabilità che si pone in palese conflitto con quel principio di accountability che presiede l’azione del titolare del trattamento anche e soprattutto nella gestione dei momenti critici, in cui deve sempre essere orientata alla ricerca della migliore tutela possibile per l’interessato andando così ad integrare l’azione di damage control.
Acquista il corso Dark Web & Cyber Threat Intelligence (e-learning version)
Il Dark Web e la Cyber Threat Intelligence rappresentano aree critiche per comprendere le minacce informatiche moderne. Tra ransomware, data breach e attività illecite, le organizzazioni devono affrontare sfide sempre più complesse per proteggere i propri dati e le infrastrutture. Il nostro corso “Dark Web & Cyber Threat Intelligence” ti guiderà attraverso i meccanismi e le strategie utilizzate dai criminali informatici, fornendoti competenze pratiche per monitorare, analizzare e anticipare le minacce.
Accedi alla pagina del corso condotto dall'Prof. Pietro Melillo sulla nostra Academy e segui l'anteprima gratuita.
Per un periodo limitato, potrai utilizzare il COUPON CTI-16253 che ti darà diritto ad uno sconto del 20% sul prezzo di copertina del corso
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ma quali sono gli errori più ricorrenti e comuni? Ecco un sintetico podio rappresentativo, cui sicuramente se ne possono aggiungere altri per frequenza e gravità d’impiego.
Eccessiva genericità nella descrizione dell’evento. Quante volte si assiste ad un comunicato del tipo: “I nostri sistemi sono stati oggetto di un attacco”, senza alcuna specifica circa le sorti dei dati compromessi? Se l’attacco ha esfiltrato dei dati, o se c’è stata una minaccia di pubblicazione degli stessi, è bene che gli interessati potenzialmente coinvolti ne siano consapevoli affinché possano adottare in autonomia degli accorgimenti a protezione.
Certo, è possibile che alcuni dettagli emergano solo in corso di investigazione, ma molto spesso il comunicato iniziale è destinato a non trovare alcun aggiornamento e dunque continua ad esprimere quell’originario sentore di indeterminata vaghezza.
Sminuire l’accaduto. Molto spesso la chiosa dei comunicati consiste in un “Non ci sono evidenze circa la compromissione di dati sensibili”, “I sistemi saranno presto ripristinati” o “La violazione è stata oggetto di denuncia alle autorità competenti”, il cui effetto al più può consistere nel fornire una parvenza di rassicurazione e dunque va a ridurre o distorse la percezione di rischio degli interessanti. Nel peggiore dei casi può essere sintomatico di una grave mancanza di consapevolezza da parte dell’organizzazione nella gestione dei rischi.
Non indicare le conseguenze della violazione. Omissione altrettanto ricorrente riguarda l’indicazione delle probabili conseguenze della violazione dei dati personali, spesso figlia di una volontà all’origine di mantenere la comunicazione vaga o di voler sminuire l’accaduto. Eppure, è altrettanto grave dal momento che produce l’effetto di rendere impossibile all’interessato di comprendere la portata dei pericoli cui può essere esposto. Oppure è un elemento indiziario circa l’incapacità dell’organizzazione di comprendere la portata del data breach e poter efficacemente predisporre delle misure di contenimento e mitigazione.
Stefano Gazzella