I passaggi fondamentali per una gestione efficace delle violazioni dei dati

Avere un piano di gestione delle violazioni dei dati garantisce che ci siano le persone giuste e le procedure adeguate per affrontare efficacemente una minaccia.

Immagina il panico che si scatena quando viene scoperta una massiccia fuga di dati, magari una che va avanti da mesi. Nel 2017, Equifax ha allertato il mondo sul furto di diversi milioni di record di dati che erano sotto la sua custodia.

Il furto è stato reso possibile da una vulnerabilità in Apache Struts, un framework di sviluppo molto diffuso. Equifax era a conoscenza della vulnerabilità, ma il dipendente incaricato di applicare la patch non l’ha fatto. Ne è seguita una serie di eventi sfortunati, tra cui l’incapacità degli strumenti di scansione delle patch di individuare ulteriori vulnerabilità, aggravata da diversi errori umani da parte degli operatori.

Da allora, Equifax ha speso circa 1,4 miliardi di dollari (1 miliardo di sterline) per potenziare la propria sicurezza. L’azienda è stata inoltre multata di mezzo milione di sterline dall’Information Commissioner’s Office (ICO) del Regno Unito, mentre l’ex CIO di Equifax è stato condannato a quattro mesi di reclusione per aver sfruttato la violazione a proprio vantaggio. La violazione dei dati di Equifax è stata un vero incubo per le aziende.

Mettendoci “nei panni degli altri” possiamo capire come ogni reparto di un’organizzazione gestisca in modo efficace le violazioni dei dati. Riflettendo su come ogni reparto possa contribuire a ridurre l’intensità della catena di eventi che porta a una violazione dei dati, è possibile gestire l’esposizione dei dati in modo più efficace.

Come e perché gestire le violazioni dei dati

Le violazioni dei dati riguardano tutti all’interno di un’organizzazione. Allo stesso modo, tutti possono contribuire a prevenirle o a ridurne al minimo l’impatto. Di seguito trovi una panoramica delle diverse responsabilità relative a cinque aree chiave di un’organizzazione e del tipo di compiti che ciascuna di esse ha nella gestione di una violazione dei dati.

Il team per gli incidenti di sicurezza

La gestione e la prevenzione delle violazioni dei dati sono il fulcro del team che si occupa degli incidenti di sicurezza. Questo team è sempre più sollecitato, visto che le violazioni dei dati aumentano sia in numero che in gravità. Il suo ruolo è fondamentale nella gestione di una violazione dei dati e il team si affida a un processo solido che lo aiuti in questo compito. Il team di sicurezza dovrebbe poter attingere a un piano di risposta agli incidenti e a un piano di ripristino di emergenza per aiutarlo a contenere la violazione. Questi piani aiutano a definire le azioni da intraprendere una volta che si verifica una violazione.

Le fasi tipiche del contenimento e della gestione delle violazioni includono:

Conferma la violazione

Potrebbe sembrare un passo ovvio, ma assicurati che la violazione sia effettivamente avvenuta e verifica se ha un impatto su dati riservati o sensibili. I dati raccolti durante l’analisi della violazione ti serviranno nel caso in cui la violazione sia così grave da richiedere la segnalazione a un’autorità di controllo. Le informazioni da raccogliere e documentare includono:

• • Come è stata individuata la violazione

• • Dove è successo

• • Chi è coinvolto (includi eventuali fornitori dell’ecosistema)

• • Chi ha segnalato la violazione?

• • Le date in cui si sono verificate eventuali violazioni

• • Che livello di rischio comporta la violazione per l’organizzazione, i clienti, ecc.

• • La falla è stata ormai completamente risolta?

Come è avvenuta la violazione?

Un’analisi della violazione non è necessaria solo per motivi di conformità, ma può anche aiutarti a ridurre il rischio di future esposizioni dei dati. Le dinamiche delle violazioni sono diverse. I dati possono essere esposti attraverso una serie di meccanismi sia accidentali che dolosi. Identifica questi meccanismi: si è trattato di un’esposizione accidentale da parte di un dipendente o di un attacco hacker doloso? Capire i vettori e le tattiche usate può aiutarti a ridurre l’esposizione e a mitigare l’attacco.

Il tipo di dati interessati

Essere in grado di identificare il livello di rischio dei dati coinvolti è fondamentale sia per la notifica della violazione che per la conformità, oltre che per capire l’impatto complessivo sull’azienda. Documenta il tipo e il livello di rischio dei dati oggetto della violazione. Un’organizzazione dovrebbe già aver sviluppato un sistema di classificazione basato su uno standard come l’ISO 27001. Questo standard definisce quattro categorie di dati:

1. 1. Riservato (solo i dirigenti di alto livello possono accedervi)

1. 1. Accesso limitato (la maggior parte dei dipendenti può accedervi)

1. 1. Interno (tutti i dipendenti hanno accesso)

1. 1. Informazioni pubbliche (accessibili a tutti)

Contenimento e recupero

Una volta individuata una violazione, è fondamentale contenerla il più velocemente possibile. Le azioni intraprese durante l’analisi della violazione permetteranno di definire una strategia di contenimento. Le violazioni che coinvolgono i dipendenti potrebbero richiedere una revisione della formazione sulla sicurezza informatica. Quelle causate da hacker esterni malintenzionati richiederanno un’analisi più approfondita dei sistemi e l’adozione di misure di mitigazione. È necessario predisporre piani di ripristino per ridurre al minimo l’impatto della violazione.

Aspetti legali e di conformità

Tutta la documentazione raccolta sulla violazione viene utilizzata dai dipartimenti legale e di compliance per gestire le conseguenze dell’evento. I team legali e di compliance decideranno se la violazione rientra nell’ambito di applicazione dell’obbligo di notifica; ad esempio, ai sensi della Sezione 67 del Data Protection Act del 2018 del Regno Unito (DPA 2018), la notifica della violazione dei dati deve essere inviata all’ICO entro 72 ore dal momento in cui l’azienda viene a conoscenza della violazione. Tutte le prove documentate relative alla violazione – dove, perché e come è stata mitigata – raccolte dal team di sicurezza, verranno utilizzate in questa comunicazione. Potrebbe anche essere necessario informare chiunque sia stato coinvolto. Questo potrebbe richiedere la pubblicazione di una lettera di comunicazione completa sul sito web dell’azienda.

Regole di notifica

La chiave per gestire correttamente una violazione dei dati dal punto di vista legale è decidere con cognizione di causa se e quando segnalare la violazione all’autorità di controllo. Domande come «c’è l’obbligo normativo di segnalare la violazione?» possono essere valutate solo da personale qualificato e competente. Questa decisione potrebbe richiedere di rendere pubblica la violazione: ciò ha ovvi effetti a lungo termine sulla reputazione e probabilmente coinvolgerà il reparto marketing per ridurre al minimo l’impatto sul marchio. Ecco alcuni esempi di comunicazioni pubbliche relative a violazioni:

La violazione dei dati di Equifax

Violazione dei dati di CapitalOne

Violazione della sicurezza su Twitter

Le regole sulla notifica delle violazioni variano a seconda delle diverse normative. Ad esempio, secondo il Regolamento generale sulla protezione dei dati (GDPR) dell’UE, la notifica di una violazione deve avvenire entro 72 ore dall’accertamento della violazione stessa. Tuttavia, ai sensi del Regolamento sulla privacy e le comunicazioni elettroniche (PECR, normativa che si applica ai fornitori di servizi Internet e di telecomunicazioni), una violazione dei dati personali deve essere segnalata all’ICO entro e non oltre 24 ore dalla sua individuazione.

Lo staff

Coinvolgendo il personale nel processo di gestione delle violazioni, lo rendi una risorsa in prima linea nella lotta contro gli attacchi informatici. Il personale e i sistemi di sicurezza coprono un ampio spettro di potenziali vulnerabilità, dall’esposizione accidentale dei dati al phishing, fino alla collusione con hacker esterni.

Secondo il Rapporto 2020 di Verizon sulle violazioni dei dati (DBIR), circa il 17% delle violazioni dei dati è dovuto semplicemente a errori. Ad esempio, il fatto che i dipendenti condividano le password o le riutilizzino su più applicazioni è una pratica di sicurezza scorretta.

Il phishing è ancora l’arma preferita dai cybercriminali; i phisher adorano spacciarsi per marchi come Microsoft per indurre gli utenti a rivelare le credenziali aziendali. La formazione sulla sicurezza informatica insegna ai dipendenti i tanti modi positivi in cui possono contribuire a mantenere un buon livello di sicurezza in azienda.

Per quanto riguarda la gestione delle violazioni, la consapevolezza del personale deve arrivare a comprendere le proprie responsabilità nell’ambito delle varie normative, come garantire che i dati dei clienti siano rispettati e utilizzati nei limiti previsti da leggi come il DPA 2018 e il GDPR. Capendo dove potrebbe verificarsi una violazione, insieme alle responsabilità previste dalle varie normative di riferimento, un’organizzazione può coinvolgere il personale nel processo di gestione delle violazioni.

È importante, però, formare il personale in modo adeguato. Alcuni dipendenti, come quelli del settore tecnico, potrebbero aver bisogno di una formazione specifica in materia di sicurezza e/o di ottenere una certificazione.

I nuovi assunti devono essere inseriti nei programmi di formazione sulla sicurezza dell’azienda fin dal primo giorno. È necessario effettuare revisioni periodiche della formazione sulla sicurezza del personale in ambiti quali:

• • Phishing

• • Buone pratiche di sicurezza

• • Consapevolezza delle responsabilità in materia di sicurezza dei dati

…dovrebbe essere un processo continuo per rimanere efficace.

La formazione sulla sicurezza dovrebbe essere integrata nella politica di sicurezza aziendale come parte del processo di gestione delle violazioni dei dati.

Fornitori terzi

Gli ecosistemi dei fornitori possono essere complessi e coinvolgere anche soggetti di quarto e quinto livello. Un recente rapporto di Accenture,“State of Cyber Resilience 2020”, ha rilevato che il 40% delle violazioni della sicurezza ha origine da attacchi indiretti a livello di catena di fornitura. La gestione del rischio legato ai fornitori fa parte di una gestione efficace delle violazioni dei dati. Le violazioni legate ai fornitori vanno considerate da due punti di vista. Oltre a fare un’analisi delle vulnerabilità dei collegamenti con i fornitori per mitigare gli attacchi informatici, quando si verifica una violazione, bisogna analizzare l’ecosistema dei fornitori per capire se la violazione ha un impatto anche su di loro.

Il Consiglio

Un rapporto del governo britannico intitolato“Cyber Security Breaches Survey 2021”ha rilevato che il 77% delle aziende ritiene che la sicurezza informatica sia una priorità assoluta per i propri amministratori o dirigenti senior. A causa della grande risonanza delle violazioni dei dati, sempre più consigli di amministrazione includono ora esperti nel campo della sicurezza. Quando si verifica una violazione dei dati, un consiglio di amministrazione ben informato può aiutare il resto dell’organizzazione a gestire l’incidente, assicurandosi che vengano rispettati i requisiti normativi e che ci sia un budget a disposizione per gestire la violazione e mitigare il rischio di ulteriori attacchi.

I dipendenti sanno cosa fare in caso di violazione dei dati?

Mettere in atto misure per la gestione delle violazioni dei dati è un compito che coinvolge tutta l’azienda. Uno degli aspetti fondamentali per garantire una gestione efficace delle violazioni dei dati è il modo in cui formi il tuo personale. La pertinenza è fondamentale per assicurarti che la gestione degli incidenti funzioni per la tua organizzazione. Ogni organizzazione deve sviluppare il proprio approccio, pertinente e unico, alla segnalazione e alla gestione di una violazione della sicurezza.

Per ottimizzare la consapevolezza bisogna partire dalle persone e dai processi. Ogni aspetto, dal più piccolo dettaglio al quadro generale, deve essere trattato in modo sufficientemente approfondito da garantire che la tua politica di risposta agli incidenti sia solida e comprensibile a tutto il personale. Ciò deve includere:

Comunicazioni: dai numeri di telefono utilizzati all’indirizzo e-mail o a qualsiasi altro sistema usato per segnalare una violazione

Ruoli e responsabilità: ecco chi sono i responsabili degli incidenti e quali sono i loro compiti

Azioni: chi fa cosa, quando e come svolge il proprio ruolo per aiutare a gestire una violazione dei dati

Rimedio: come risolvere la violazione e cosa abbiamo imparato, compresi eventuali aggiornamenti alla formazione sulla sicurezza informatica

Nelle grandi multinazionali, questi canali di comunicazione devono estendersi a tutta l’organizzazione, unendo i vari reparti e uffici dell’azienda.

Tutti devono aderire a questo piano, dai dipendenti ai dirigenti fino ai membri del consiglio di amministrazione.