Il Comitato Europeo per la protezione dei dati (EDPB) ha pubblicato le sue linee guida sugli esempi di notifiche di violazione dei dati, adottate in seguito alla discussione durante la plenaria di dicembre e che riguardano raccomandazioni e migliori pratiche più specifiche in merito alla gestione delle violazioni dei data breach e alla valutazione dei rischi.
Gli incidenti specifici di interesse all’interno della guida includono attacchi ransomware, errori umani, dispositivi smarriti o rubati e altro ancora.
Indice degli argomenti
Data breach: cosa dice il GDPR
Il Regolamento UE 679/2016 (cd. “GDPR”) introduce, in alcuni casi, l’obbligo di notificare una violazione dei dati personali alla competente Autorità Nazionale di Controllo (Garante per la protezione dei dati personali in Italia) e di comunicare la violazione alle persone i cui dati personali sono stati lesi dalla violazione (artt. 33 e 34).
Il Gruppo di lavoro Articolo 29 ha già prodotto una guida generale sulla notifica della violazione dei dati nell’ottobre 2017, analizzando le sezioni pertinenti del GDPR (Linee guida sulla notifica di violazione dei dati personali sotto Regolamento 2016/679, WP 250) (di seguito “Linee guida WP250). Tuttavia, per sua natura e tempistica, questa linea guida non ha affrontato tutte le questioni pratiche in modo sufficientemente dettagliato.
Pertanto, è sorta la necessità di una guida orientata alla pratica e basata sui casi, che utilizza le esperienze acquisite dalle Autorità Nazionale di Controllo in materia a livello europeo da quando il GDPR è applicabile.
Le Linee guida n. 01/2021 elaborate dall’EDPB intendono integrare le Linee guida WP 250 e riflettere le esperienze comuni delle varie Autorità Competenti europee in materia da quando il GDPR è diventato applicabile.
Lo scopo è aiutare i titolari del trattamento dei dati a decidere come per gestire le violazioni dei dati e quali fattori considerare durante risk assessment.
Le violazioni possono essere classificate in base ai seguenti tre noti principi di sicurezza delle informazioni:
- “violazione della riservatezza” laddove vi sia una divulgazione non autorizzata o accidentale di, o accesso a dati personali;
- “violazione di integrità” in caso di alterazione non autorizzata o accidentale dei dati personali;
- “violazione di disponibilità” in caso di perdita accidentale o non autorizzata di accesso o distruzione di dati personali.
Una violazione può potenzialmente avere una serie di effetti negativi significativi sugli individui, che possono risultare in danni fisici, materiali o immateriali. Il GDPR spiega che ciò può includere la perdita di controllo sui propri dati personali, limitazione dei propri diritti, discriminazione, furto di identità o frode, perdita finanziaria, danno alla reputazione e perdita di riservatezza dei dati personali, dati protetti dal segreto professionale.
Uno degli obblighi più importanti del titolare del trattamento è quello di valutare questi rischi per i diritti e le libertà degli interessati e attuare adeguate tecniche e misure organizzative per affrontarli.
Di conseguenza, il GDPR richiede al titolare del trattamento di:
- documentare eventuali violazioni dei dati personali, compresi i fatti relativi alla violazione dei dati personali, i suoi effetti e le azioni correttive intraprese;
- notificare la violazione dei dati personali all’Autorità di controllo, a meno che non sia improbabile che la violazione dei dati abbia luogo in un rischio per i diritti e le libertà delle persone fisiche;
- comunicare la violazione dei dati personali all’Interessato quando è probabile che la violazione dei dati personali comportare un rischio elevato per i diritti e le libertà delle persone fisiche.
In particolare, quindi, l’EDPB si concentra su alcuni casi specifici di data breach indicando le procedure corrette da seguire per procedere con la sua notifica. Analizziamoli nel dettaglio.
Data breach per attacco ransomware
Una causa frequente di notifica di violazione dei dati è un attacco ransomware subito dal titolare del trattamento.
In questi casi, un codice dannoso crittografa i dati personali e successivamente l’attaccante chiede al titolare un riscatto in cambio del codice di decrittazione.
Questo tipo di attacco può essere generalmente classificato come violazione di disponibilità, ma spesso potrebbe verificarsi anche una violazione della riservatezza.
Caso 1: ransomware con backup adeguato e senza esfiltrazione
I sistemi informatici di una piccola azienda manifatturiera sono stati esposti a un attacco ransomware e i dati archiviati in quei sistemi erano crittografati. Il titolare del trattamento ha utilizzato la crittografia dei dati inattivi, quindi tutti i dati a cui il ransomware ha avuto accesso sono stati archiviati in forma crittografata utilizzando una crittografia all’avanguardia. La chiave di decrittazione non è stata compromessa durante l’attacco, ovvero l’attaccante non ha potuto né accedervi né utilizzarlo indirettamente. Di conseguenza, l’aggressore ha avuto accesso solo a dati personali crittografati dati.
In particolare, né il sistema di posta elettronica dell’azienda, né i sistemi client utilizzati per accedervi sono stati colpiti. L’azienda utilizza l’esperienza di una società di sicurezza informatica esterna per indagare sull’incidente. Log che tengono traccia di tutti i flussi di dati in uscita dall’azienda (inclusa la posta elettronica in uscita) sono disponibili. Dopo aver analizzato i log e i dati raccolti dai sistemi di rilevamento l’azienda ha implementato, un’indagine interna supportata dalla società di sicurezza informatica esterna ha determinato con la certezza che l’autore ha solo crittografato i dati, senza esfiltrarli.
I dati personali interessati dalla violazione riguardano clienti e dipendenti dell’azienda, poche decine di persone in tutto. Un backup è stato prontamente disponibili e i dati sono stati ripristinati poche ore dopo l’attacco. La violazione non è risultata qualsiasi conseguenza sull’operatività quotidiana del titolare del trattamento. Non c’è stato alcun ritardo nei pagamenti o nel gestire le richieste dei clienti.
In questo caso, dalla definizione di “violazione dei dati personali” sono emersi i seguenti elementi:
- una violazione di sicurezza ha comportato l’alterazione illecita e l’accesso non autorizzato ai dati personali archiviati.
Azioni necessarie | ||
Documentazione interna | Notifica Autorità Competente | Comunicazione Interessato |
Sì | No | No |
Caso 2: ransomware senza un backup adeguato
Uno dei computer utilizzati da un’azienda agricola è stato esposto a un attacco ransomware e il suo i dati sono stati crittografati dall’aggressore.
L’azienda utilizza il supporto di una società di cyber security esterna per monitorare la propria rete. I registri che tengono traccia di tutti i flussi di dati in uscita dall’azienda (incluse e-mail in uscita) sono disponibili.
Dopo aver analizzato i log e i dati gli altri sistemi di rilevamento hanno raccolto l’indagine interna aiutata dalla società di sicurezza informatica ha stabilito che l’autore ha solo crittografato i dati, senza esfiltrarli. I registri non mostrano alcun flusso di dati in uscita nella tempistica dell’attacco. I dati personali interessati dalla violazione riguardano i dipendenti e i clienti della società, poche decine di individui in tutto.
Nessun backup era disponibile in formato elettronico. La maggior parte dei dati è stata ripristinata dalla carta backup. Il ripristino dei dati ha richiesto 5 giorni lavorativi e ha comportato lievi ritardi nella consegna di ordini ai clienti.
Questo caso serve da esempio per un attacco ransomware con rischio per i diritti e le libertà dei dati soggetti, ma non raggiungendo un rischio elevato. Dovrebbe essere documentato a norma dell’articolo 33, paragrafo 5 del GDPR e notificato all’Autorità competente ai sensi dell’articolo 33, paragrafo 1 del GDPR. L’organizzazione può anche aver bisogno (o essere richiesta dall’Autorità competente) aggiornare e correggere la gestione della sicurezza dei dati personali organizzativi e tecnici e la mitigazione dei rischi in termini di misure di sicurezza e di procedure.
Azioni necessarie | ||
Documentazione interna | Notifica Autorità Competente | Comunicazione Interessato |
Sì | Sì | No |
Caso 3: Ransomware con backup adeguato e senza esfiltrazione in un ospedale
Il sistema informativo di un ospedale è stato esposto a un attacco ransomware ed una parte significativa dei suoi dati è stata crittografata dall’attaccante.
L’Azienda si avvale delle competenze di una società di sicurezza informatica esterna per monitorare la propria rete. I registri che tracciano tutti i flussi di dati in uscita della Società (inclusa la posta elettronica in uscita) sono disponibili.
Dopo aver analizzato i log e i dati i sistemi di rilevamento hanno determinato che l’autore ha crittografato solo i dati senza esfiltrarli. I registri mostrano il flusso di dati in uscita nel periodo di tempo dell’attacco. I dati personali interessati dalla violazione riguardano i dipendenti ei pazienti, che rappresentavano migliaia di individui.
I backup erano disponibili in un modulo elettronico. La maggior parte dei dati è stata ripristinata ma questa operazione è durata 2 giorni lavorativi e ha portato maggiori ritardi nel trattamento dei pazienti con intervento annullato/rinviato, e ad un abbassamento del livello di servizio per indisponibilità degli impianti.
Questo caso serve da esempio per un attacco ransomware con alto rischio per i diritti e le libertà dei dati soggetti. Dovrebbe essere documentato a norma dell’articolo 33, paragrafo 5, del GDPR e notificato all’Autorità competente in conformità con articolo 33 del GDPR e comunicati agli interessati ai sensi dell’articolo 34 del GDPR.
L’Azienda ha bisogno di aggiornare e correggere la gestione e il rischio per la sicurezza dei dati personali sotto gli aspetti organizzativi e tecnici.
Azioni necessarie | ||
Documentazione interna | Notifica Autorità Competente | Comunicazione Interessato |
Sì | Sì | Sì |
Ransomware: cosa impariamo dagli esempi dell’EDPB
Un attacco ransomware è solitamente un segno di una o più vulnerabilità del sistema informatico del Titolare del trattamento. Questo vale anche nei casi di ransomware in cui i dati personali sono stati crittografati, ma non esfiltrati. Indipendentemente dall’esito e dalle conseguenze dell’attacco, l’importanza di una valutazione onnicomprensiva del sistema di sicurezza dei dati – con particolare enfasi sulla sicurezza informatica – non può essere sottolineato abbastanza.
I punti deboli identificati e le falle di sicurezza devono essere documentati e affrontato senza indugio.
Le misure consigliabili sono quelle riportate di seguito, tenendo conto che l’elenco non è affatto esclusivo o completo. Piuttosto, l’obiettivo è quello di fornire idee di prevenzione e possibili soluzioni. Ogni attività di trattamento è diversa, quindi il titolare del trattamento dovrebbe prendere la decisione su quali misure si adattano di più alla situazione data):
- mantenere attivo il firmware, il sistema operativo e il software applicativo sui server, sui computer client componenti di rete e qualsiasi altra macchina sulla stessa LAN (compresi i dispositivi Wi-Fi) aggiornati;
- garantire che siano in atto misure di sicurezza IT appropriate, assicurandosi che siano efficaci e mantenere regolarmente aggiornati quando l’elaborazione o le circostanze cambiano o si evolvono;
- l’esistenza di una procedura di backup aggiornata, sicura e testata;
- un software antimalware appropriato, aggiornato, efficace e integrato;
- un firewall appropriato, aggiornato, efficace e integrato e di rilevamento delle intrusioni;
- formazione dei dipendenti sui metodi per riconoscere e prevenire gli attacchi informatici;
- sottolineare la necessità di identificare il tipo di codice dannoso per vedere le conseguenze;
- crittografia forte e autenticazione a più fattori, in particolare per l’accesso amministrativo ai sistemi IT;
- gestione appropriata di chiavi e password;
- test di vulnerabilità e penetrazione su base regolare;
- istituire un Computer Security Incident Response Team (CSIRT) o Computer Emergency Response Team (CERT) all’interno dell’organizzazione, o aderire a un CSIRT/CERT collettivo;
- Recovery Plan e un Business Continuity Plan, e assicurarsi che questi siano accuratamente testati.
Data breach per errore umano
In questo caso, l’EDPB propone ai titolari del trattamento l’esempio di dati personali sensibili inviati per errore a destinatari errati.
Dati personali altamente riservati inviati via posta per errore
Due ordini di scarpe sono stati confezionati da un’azienda di vendita al dettaglio. A causa di un errore umano due fatture di imballaggio sono state confuse con il risultato che sia i prodotti e le relative bolle di imballaggio sono stati inviati per sbagliato ad altra persona. Ciò significa che i due clienti hanno ricevuto gli ordini l’uno dell’altro, comprese le fatture di imballaggio contenente i dati personali. Il titolare del trattamento, venuto a conoscenza della violazione, li ha inviati ai destinatari giusti.
Nel caso di specie, il titolare del trattamento dovrebbe provvedere alla restituzione gratuita degli articoli e delle fatture di accompagnamento, e dovrebbe anche richiedere ai destinatari errati di distruggere/cancellare tutte le eventuali copie delle fatture contenenti l’altrui dati personali.
Anche se la violazione stessa non pone un rischio elevato per i diritti e le libertà delle persone interessate, e quindi la comunicazione agli interessati non è prevista dall’articolo 34 del GDPR, la comunicazione della violazione ai soggetti interessati non possono essere evitati, poiché la loro cooperazione è necessaria per mitigare il rischio.
Data breach per attacchi di ingegneria sociale
L’ultimo esempio pratico proposto dall’EDPB riguarda un tipico attacco di social engineering mirato al furto di identità.
Furto di identità
Il contact center di una società di telecomunicazioni riceve una telefonata da qualcuno che si atteggia a cliente. Il presunto cliente chiede all’azienda di cambiare l’indirizzo e-mail a cui le informazioni di fatturazione devono essere inviate da lì in poi.
Il lavoratore del contact center convalida l’identità del cliente richiedendo alcuni dati personali, come definiti dalle procedure della società. Il chiamante indica correttamente il codice fiscale e l’indirizzo postale del cliente richiesto (perché aveva accesso a questi elementi).
Dopo la convalida, l’operatore effettua la richiesta e modifica e, da lì in poi, i dati di fatturazione vengono inviati al nuovo indirizzo di posta elettronica.
La procedura non prevede alcuna notifica al precedente contatto di posta elettronica. Il mese successivo il legittimo cliente contatta l’azienda, chiedendo perché non riceve la fatturazione al suo indirizzo e-mail, e rifiuta ogni sua chiamata chiedendo il cambio del contatto email.
Successivamente, l’azienda realizza che l’informazione è stata inviata a un utente sbagliato.
Questo caso serve da esempio sull’importanza delle misure organizzative e tecniche di sicurezza implementate dal titolare del trattamento.
La violazione, dal punto di vista del rischio, presenta un livello di rischio elevato, in quanto i dati di fatturazione possono fornire informazioni sulla vita privata dell’interessato (ad es. abitudini, contatti) e potrebbe comportare danni materiali (es. stalking, rischio per l’integrità fisica).
I dati personali ottenuti durante questo attacco possono essere utilizzati anche per facilitare l’acquisizione dell’account in questa organizzazione o sfruttare ulteriori misure di autenticazione in altre organizzazioni. In considerazione di questi rischi, l’opportuna misura di autenticazione dovrebbe soddisfare un livello elevato, a seconda di quali dati personali possono essere elaborati come risultato dell’autenticazione.
Di conseguenza, sono necessarie sia una notifica all’Autorità competente che una comunicazione all’interessato da parte del Titolare del trattamento.
Azioni necessarie | ||
Documentazione interna | Notifica Autorità Competente | Comunicazione Interessato |
Sì | Sì | Sì |
