Dopo un attacco informatico la prima domanda che si pone la direzione è quasi sempre la stessa: di chi è la responsabilità. E la risposta che molti si aspettano — del fornitore, dell’assicurazione, di chi ha attaccato — è quasi sempre sbagliata.
La responsabilità di proteggere i dati resta in capo a chi li tratta, e non si sposta con un contratto né con una polizza. Si possono trasferire alcuni costi, si possono ripartire alcune conseguenze, ma il soggetto che risponde davanti all’autorità è sempre lo stesso.
Vediamo chi risponde di cosa, cosa copre una polizza cyber e cosa no, cosa passa al fornitore nel contratto, e quale parte non si sposta in nessun caso.
Chi risponde di un attacco informatico
Il primo soggetto chiamato a risponderne è l’azienda che tratta i dati, e questo vale anche quando l’attacco è opera di un terzo. Il ragionamento non è che l’azienda abbia colpa dell’attacco: è che aveva l’obbligo di adottare misure adeguate a prevenirlo, e in caso di violazione deve dimostrare di averlo fatto.
Il GDPR lo dice all’articolo 32: misure tecniche e organizzative adeguate al rischio. Adeguate non è un aggettivo generico, è un criterio che si valuta a posteriori, confrontando quello che l’azienda aveva in funzione con quello che era ragionevole aspettarsi per la sua dimensione e il suo settore.
A questo si aggiungono gli obblighi di notifica: al Garante entro settantadue ore quando la violazione comporta un rischio per le persone, e agli interessati quando quel rischio è elevato. Per i soggetti che rientrano nella direttiva NIS 2 ci sono in più le finestre verso il CSIRT Italia, e la responsabilità è esplicitamente attribuita agli organi di amministrazione.
Nessuno di questi obblighi si può delegare. La delega riguarda l’attuazione, non la responsabilità.
La posizione del dipendente
Un dipendente può risponderne, ma i casi sono più circoscritti di quanto si pensi.
Chi commette deliberatamente un illecito — esfiltra dati, danneggia sistemi, viola accessi — risponde delle proprie azioni sul piano disciplinare e penale. Chi invece sbaglia in buona fede è un caso diverso: se ha cliccato su un’email costruita bene, la domanda che si pone chi indaga non è perché ha cliccato, ma perché quel messaggio è arrivato fino a lui e perché quel clic ha prodotto conseguenze.
L’azienda che vuole invocare la responsabilità di un dipendente deve poter dimostrare di averlo formato e di avergli dato regole chiare. Senza quella prova, l’errore individuale diventa una carenza organizzativa dell’azienda, ed è precisamente il punto su cui si concentra chi valuta l’adeguatezza delle misure.
È il motivo per cui i registri di formazione non sono burocrazia: sono la differenza fra un errore isolato e una lacuna strutturale.
La formazione documentata è ciò che distingue l’errore di una persona da una carenza dell’organizzazione.
I percorsi della Cyberment Academy partono dalle tecniche che arrivano davvero nelle caselle aziendali, e producono i registri e le verifiche che servono come evidenza.
Cosa passa al fornitore, e cosa no
Quando l’infrastruttura o i dati sono gestiti da un fornitore esterno, una parte della responsabilità si può ripartire. Ma si ripartisce solo per quello che il contratto dice, e nella misura in cui lo dice.
Le clausole che contano sono quelle sulla sicurezza — cosa il fornitore si impegna a garantire —, quelle sulla notifica — entro quanto vi avvisa e con quale livello di dettaglio —, e quelle sui limiti di responsabilità, che in molti contratti standard sono fissati a una frazione del canone annuale.
Quel massimale è la cifra che state effettivamente trasferendo, e nella maggior parte dei casi non copre il danno reale di una violazione. Vale la pena leggerlo prima di firmare, non dopo.
C’è poi un aspetto che sfugge quasi sempre: sul piano della protezione dei dati personali, l’azienda che decide come e perché trattare i dati resta il titolare, anche quando li fa gestire a un terzo. Il fornitore è responsabile del trattamento, e le due posizioni non sono interscambiabili. Davanti al Garante risponde il titolare, che potrà poi rivalersi sul fornitore secondo il contratto.
Ed è lo stesso ragionamento che si ritrova nei questionari di sicurezza che i clienti mandano ai fornitori: chi li invia sta cercando di dimostrare di aver verificato chi tratta i suoi dati.
Cosa copre una polizza cyber
Una polizza cyber trasferisce dei costi, non delle responsabilità. È una distinzione che sembra formale e non lo è.
Le coperture tipiche riguardano le spese di gestione dell’incidente, la perdita economica da interruzione dell’attività, le spese legali, e in alcuni casi le sanzioni dove sono assicurabili. Sono voci concrete e in molte situazioni fanno la differenza fra un incidente gestibile e uno che compromette l’azienda.
Ma quasi tutte le polizze contengono condizioni che l’assicurato deve rispettare per essere coperto, e le più ricorrenti riguardano proprio la sicurezza: sistemi aggiornati, autenticazione a più fattori sugli accessi remoti, backup verificati, e in molti casi verifiche periodiche documentate.
Questo capovolge il ragionamento dell’articolo che state leggendo nella sua versione precedente. La polizza non sostituisce le misure di sicurezza: le presuppone. E in fase di liquidazione la compagnia chiede di dimostrare che erano in funzione al momento dell’incidente.
Le condizioni cambiano da contratto a contratto, quindi vanno lette con il vostro broker. Il principio però è costante: un’azienda che non può documentare le proprie verifiche di sicurezza è un’azienda che rischia di scoprire i limiti della propria copertura nel momento peggiore.
La parte che non si trasferisce
Mettendo insieme i tre pezzi, quello che resta sempre in capo all’azienda è questo.
| Elemento | Perché non si sposta |
|---|---|
| L’obbligo di adottare misure adeguate | È in capo a chi decide come trattare i dati. Nessun contratto lo sposta, e nessuna polizza lo sostituisce |
| La notifica alle autorità | I termini decorrono da quando l’azienda viene a conoscenza dell’incidente, anche se l’ha scoperto un fornitore |
| La prova di quello che era in funzione | La chiedono l’autorità, l’assicuratore e i clienti. Se non esiste un documento, non esiste la prova |
| Il rapporto con i clienti | Chi ha subito la perdita dei propri dati si rivolge a voi, non al vostro fornitore né alla vostra compagnia |
| La continuità dell’attività | Un risarcimento arriva dopo. I giorni di fermo li vive l’azienda |
La terza riga è quella che si dimostra o non si dimostra, e su cui si può agire in anticipo. Non è una questione di quanto un’azienda investe in sicurezza: è una questione di cosa riesce a mettere sul tavolo quando qualcuno glielo chiede.
Un report di analisi delle vulnerabilità con una data, un perimetro definito e l’indicazione di cosa è stato corretto è quel documento. Vale davanti al Garante, in fase di liquidazione di un sinistro, e in un questionario di fornitura. Vale in tre situazioni diverse, e in tutte e tre serve prima, non dopo.
Quando qualcuno vi chiede cosa avevate in funzione, serve un documento.
Il Vulnerability Assessment restituisce lo stato dei sistemi a una data certa, le vulnerabilità rilevate e le priorità di intervento: l’evidenza che autorità, assicuratori e clienti chiedono.
- Autore articolo
- Gli ultimi articoli
Nata a Taranto nel 1996 e diplomata in “Amministrazione finanza e marketing articolazione relazioni internazionali”. Ho seguito svariati corsi di formazione e ho avuto diverse esperienze lavorative nel mondo del marketing online e della comunicazione. Ad oggi sono scrittrice e mi occupo, oltre che dei social media, anche di seo, web/graphic design e fotografia.