Data Breach: come affrontare una violazione secondo il regolamento privacy Ue Gdpr

Uno dei punti più discussi e temuti del nuovo regolamento Gdpr è il processo di Data Breach, ‘’violazione di sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o trattati’’. La nuova normativa affronta questa tematica da due punti di vista:

1 – Evitare il Data Breach.Le aziende sono tenute a valutare i rischi a cui i dati trattati sono esposti, mettendo in atto tutte le misure ritenute necessarie per aumentare il livello di protezione dei dati.

2 – Gestire il Data Breach. Nel caso in cui avvenga una violazione, il regolamento stabilisce cosa fare e in quanto tempo.

Cosa cambia quindi a partire dal 25 maggio 2018?

1 – Tutti i titolari dovranno notificare all’autorità di controllo le violazioni di dati personali di cui vengano a conoscenza, entro 72 ore dall’avvenuta conoscenza e ‘’senza ingiustificato ritardo’’, se ritengono probabile che da tale violazione derivino rischi per i diritti degli interessati. La comunicazione non è pertanto obbligatoria ma subordinata alla valutazione del rischio.

2 – Tutti i titolari di trattamento dovranno in ogni caso documentare tutte le violazioni di dati personali subite, anche se non notificate all’autorità di controllo, oltre alle circostanze inerenti e i provvedimenti adottati. Su richiesta del garante i titolari sono tenuti a fornire tale documentazione.

3 – La violazione dovrà essere comunicata anche ai soggetti interessati in caso di rischio elevato per i loro diritti e libertà fondamentali. Per definire un rischio elevato possiamo prendere in considerazione parametri come il grado di sensibilità dei dati violati, la facilità di associazione a persone fisiche, il rischio correlati di frodi, il numero di soggetti esposti, la vulnerabilità dei soggetti esposti e via dicendo.

Per evitare e gestire un Data Breach diventa quindi fondamentale conoscere quali minacce ne possono essere la causa, quali sono i veicoli di accesso di queste minacce e quali soluzioni mettere in atto per prevenirle. Ecco un elenco delle 10 principali minacce informatiche che accedono tramite la rete e di come agiscono:

– Denial of service (Dos). Attacco mirato volto a rendere inutilizzabile un servizio (server web) mediante sottomissione di molteplici richieste.

– Credentialreuse.Furto di credenziali finalizzato a diversi tipi di attacchi tra cui la sostituzione di identità / furto informazioni e network hacking.

– Hacking.Attacco di un sistema volto al controllo dello stesso per scopi secondari non autorizzati.

– Ransomware.Attacco mediante malware volto ad infettare una macchina rendendo inaccessibili i dati chiedendo un riscatto.

– Phishing.Attacco mediante falso Link volto al download di software malevolo (malware, trojan, ransomware…).

– Spamming.Ricezione di un elevato numero di email indesiderate e potenzialmente pericolose veicolo di malware. – Spoofing.Ricezione mail da un falso mittente che si presenta come quello originale.

– Spyware.Installazione di app malevole volte al furto di informazioni, tra cui password, indirizzi mail e statistiche d’uso.

– Trojan horses.Installazione di app malevole volte al controllo della macchina infettata.

– Viruses.Installazione di software malevolo volto a compromettere il normale funzionamento di una macchina.

Il processo di Data Breach è evidentemente legato all’ambito informatico, un consulente tecnico specializzato in It Security è la figura idonea per indirizzare l’azienda verso le soluzioni informatiche adatte e definire piani di disaster recovery necessari al ripristino in tempi rapidi. Non solo evitare e gestire ma anche generare adeguata reportistica e indagare cause/effetti di una violazione sono passi necessari verso la compliance.

dott.ssa Susanna Previtali
Easytech Srl