Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Stefano Gazzella : 24 Aprile 2024 07:33
Nel caso di una violazione di sicurezza da cui possa derivare una compromissione dei dati personali (sì, questa è la definizione di data breach), informare gli interessati è una misura di mitigazione sempre efficace. Nell’ipotesi più comune delle organizzazione colpite da un attacco informatico, fra l’altro, una parte degli interessati coincide con il personale che opera sui dati e dunque una corretta informazione circa l’accaduto consente di svolgere un intervento di di sensibilizzazione (che è praticamente come la cyberawareness, ma senza slide prezzolate e scintillanti) per la diffusione di una cultura di sicurezza condivisa.
Tutto questo non comporta ovviamente la condivisione di informazioni o documenti riservati, bensì una decisione strategica di empowerment: rendere consapevole ogni autorizzato all’accesso ai dati di almeno tre cose. La prima: non sottovalutare mai le minacce, ritenendo che la propria organizzazione ne sia immune o al di fuori. La seconda: le conseguenze a cui conducono delle vulnerabilità irrisolte. La terza: la portata delle misure di mitigazione che è possibile predisporre in seguito ad una violazione di sicurezza.
Il contenuto informativo della comunicazione per il personale interno dovrà dunque essere distinto rispetto a quello destinato a coloro che hanno la sola veste di interessati. Certamente, ci sono degli elementi comuni: ad esempio entrambe le comunicazioni devono avere un punto di contatto da indicare per richiedere maggiori informazioni o chiarimenti a riguardo o inviare segnalazioni, nonché chiarire l’accaduto. Il personale interno dovrà essere destinatario, se del caso, di istruzioni di sicurezza aggiuntive e della timeline per la gestione dell’incidente (ad es. gli step di ripristino operativo).
Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)
Il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi (o persone di qualsiasi età) alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Se l’organizzazione ha designato il DPO, è bene non solo comunicare il contatto ma anche chiarire la sua funzione e la riservatezza professionale cui è tenuto nello svolgimento dei suoi compiti in modo tale da poter agevolare così l’invio di feedback e segnalazioni.
Per quanto riguarda i tempi di comunicazione, certamente un’informazione tempestiva rende più efficaci gli effetti di mitigazione ma sacrificare completezza per celerità non è affatto una buona idea in quanto comporta il rischio di ingenerare confusione.
In caso di un data breach che esponga gli interessati ad un alto rischio, è proprio la norma che richiede che la violazione vada comunicata all’interessato. Quando la violazione dei dati personali è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento comunica la violazione all’interessato senza ingiustificato ritardo.
art. 34 par. 1 GDPR
Sebbene la norma non indichi – al contrario di quanto avviene per la notifica all’autorità di controllo prescritta dal precedente art. 33 GDPR – un termine esatto, questo adempimento deve comunque seguire logiche di efficace tutela degli interessati coinvolti. Ragionando in modo sistematico si può sostenere che il limite temporale dovrebbe dunque essere entro le 72 ore, dal momento che fra le misure da indicare all’autorità di controllo rientra anche tale comunicazione. Ma ad oggi, tale indicazione non è ancora stata fornita. Nonostante copiosi esempi di data breach in cui la comunicazione è stata intempestiva, incompleta o ben lungi dall’essere poco chiara, completa e comprensibile.
Il contenuto della comunicazione viene inoltre già definito dalla legge, ma allo stesso possono essere ovviamente aggiunte informazioni ulteriori. Anzi: devono. Altrimenti la tutela dell’interessato proprio nel momento più critico ed emergenziale rischia di diventare un mero adempimento burocratico. Con tutte le conseguenze del caso, fra cui la più eclatante è impedirgli di poter svolgere in autonomia una valutazione dei rischi e adottare ogni misura utile per tutelarsi dalle conseguenze negative dell’evento occorso.
Stefano GazzellaLo sviluppo di supercomputer per l’intelligenza artificiale sta entrando in una nuova orbita: in termini di scala, costi e consumi energetici e infrastrutture e megaprogetti. Uno studio condott...
Il 25 Aprile, data simbolo della Liberazione italiana dal fascismo, ci ricorda il valore della libertà, conquistata con il sacrificio di partigiani e combattenti. In un’era dominata dal di...
In un mondo dove ogni giorno si registrano migliaia di attacchi informatici, molte aziende continuano a sottovalutare l’importanza della cybersecurity, affidandosi a “sedicenti esperti&#...
AI, AI e ancora AI. E sembra che l’intelligenza artificiale giorno dopo giorno ci porti innovazioni sia come difesa ma soprattutto, come attacco. L’intelligenza artificiale è gi...
Il collettivo di ricerca in sicurezza informatica HackerHood, parte dell’universo della community di Red Hot Cyber, ha recentemente scoperto due nuove vulnerabilità ...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
