Dal 2018 (con la piena applicazione del Gdpr), ad oggi le notifiche di data breach al Garante Privacy italiano sono state 4.778, sia da soggetti pubblici sia privati. Non può esserci protezione dei dati senza cybersecurity e viceversa. Di questo ne abbiamo parlato con Agostino Ghiglia, componente del Garante per la protezione dei dati personali.
Key4biz. Quali sono i settori più scoperti e meno preparati? E quali sono ad oggi quelli più a rischio?
Agostino Ghiglia. Senza dubbio il settore sanitario, messo a dura prova dalla pandemia, è stato nel corso del 2020 il bersaglio preferito di mirati attacchi informatici che, in termini numerici, sono stati 20.777 tramite malware e 2.063 attraverso ransomware, secondo l’ultimo report di Trend Micro. L’Italia, lo scorso aprile, risultava al terzo posto a livello globale per attacchi malware, dopo Stati Uniti e Giappone. Ad oggi dunque il comparto meno preparato risulta essere proprio quello sanitario che, tra l’altro, paga il prezzo di gran lunga più caro dal momento che la spesa per i data breach è notevolmente aumentata. È evidente che il comparto sanitario risulta essere quello più bersagliato a causa della quantità e qualità dei dati custoditi e che, ovviamente, hanno un notevole valore economico. Gli attacchi criminali non mirano solo a bloccare i sistemi dietro la richiesta di un riscatto, ma soprattutto a capitalizzare i dati sensibili. È fondamentale per questo motivo che le strutture sanitarie prevedano un piano operativo d’azione che racchiuda sia una difesa in ambito tecnologico che un piano formativo del personale dal momento che il più delle volte gli attacchi vengono veicolati con precise comunicazioni e-mail.
Ricordiamo che le strutture sanitarie devono adottare, nel pieno rispetto dei princìpi di correttezza e trasparenza, tutte le misure tecniche e organizzative necessarie non solo a proteggersi da attacchi informatici, ma anche a evitare violazioni di dati personali, in particolare quelli più delicati come quelli relativi allo stato di salute, troppo spesso causate da inadeguate procedure gestionali.
Key4biz. Quanto è rimportante investire in cyber sicurezza e quali sono i punti chiave?
Agostino Ghiglia. L’incremento delle minacce cibernetiche e la conseguente necessità di sviluppare meccanismi di tutela sempre più stringenti ha assunto un ruolo preminente nel dibattito pubblico e giuridico globale. In Italia è stato sviluppato un assetto maggiormente incisivo nel settore, sia con apposite infrastrutture normative (ricordiamo il Perimetro di Sicurezza Nazionale Cibernetica e la embrionale Agenzia per la Cybersicurezza Nazionale (ACN) che attraverso il recepimento delle iniziative eurounitarie. La consapevolezza dei pericoli legati al fenomeno degli attacchi informatici ha infatti portato a sostituire l’approccio di contrasto occasionale con una strategia normativa capace di assicurare la sicurezza cibernetica preventiva, limitando le possibilità di attacco e riducendo gli eventuali danni che possono essere subiti. Ma per aumentare il livello di resilienza cibernetica, è fondamentale non solo investire sul fattore tecnologico ma anche cercare di coordinare tutti gli attori coinvolti, al fine di evitare inutili duplicazioni dei costi, favorire lo scambio di informazioni e accelerare i tempi di realizzazione. Questo, tuttavia, a volte risulta non semplice da realizzare, dato che gli Stati sono spesso restii a rilevare informazioni riservate che riguardano i propri assetti strategici. È ormai chiaro però che la lotta al cybercrime e la protezione delle infrastrutture critiche informatizzate richiedono un adeguato coordinamento anche transfrontaliero, sia da un punto di vista normativo che operativo e procedurale. Si pensi che nel vecchio Continente gli attacchi informatici e la criminalità informatica sono in aumento non solo in termini di quantità ma anche di sofisticazione; un trend destinato ad aumentare nel prossimo futuro se si considera che nel 2025 si prevedono oltre 25 miliardi di apparecchi connessi.
Key4biz. Quali sono i pericoli, che pochi sanno, legati al data breach?
Agostino Ghiglia. Ricordiamo innanzitutto che il cosiddetto data breach è una violazione della riservatezza, integrità e/o disponibilità delle informazioni. Le cause principali di questi incidenti di sicurezza sono rappresentate da errori umani, attacchi intenzionali o dalla mancata applicazione degli aggiornamenti di sicurezza. Sicuramente l’impatto di una violazione interessa, prima di tutto, i diritti e le libertà degli interessati. Ma può anche determinare complicazioni legali, finanziarie, di reputazione e perdita di fiducia nonché di risorse. Non si può infatti sottovalutare l’aumento dei costi di un data breach che le aziende hanno dovuto sostenere, anche sull’onda dei veloci cambiamenti causati dalla pandemia.
Secondo un’indagine di IBM Security è emerso che in Italia, nel 2020, il costo totale delle violazioni di dati è salito a 3,03 milioni di euro e il costo per ogni informazione rubata a 135 euro. Nel solo 2020, in Italia sono stati rubati in totale 24mila record. I settori che hanno subito maggiori attacchi informatici sono stati i servizi finanziari (171 euro per informazione rubata), il settore energetico (165 euro) e quello farmaceutico (164 euro), mentre il tempo necessario per identificare e contenere una minaccia informatica tocca la soglia dei 250 giorni, anche se il trend è lievemente in discesa.
Il Garante per la Privacy, nel corso del 2020, ha ricevuto 1.387 notifiche di violazioni dei dati personali, di cui il 71% da parte di soggetti privati.
Key4biz. Quanto hanno contribuito smart working e pandemia?
Agostino Ghiglia. È fuori discussione che l’aumento dei cyber attacchi – e conseguentemente del mercato della sicurezza informatica – sia anche il risultato della pandemia, caratterizzata da un incremento delle attività da remoto e da un utilizzo più massiccio e costante di sistemi informatici.
La pandemia non ha fatto altro che acuire le evidenti difficoltà delle aziende in ritardo nella trasformazione digitale. D’altronde le aziende che non hanno neppure intrapreso il processo di digitalizzazione o lo hanno incominciato solo recentemente – in seguito alla pandemia- sono le più esposte ad attacchi informatici con un conseguente aumento dei costi. È emerso che la causa principale delle violazioni ha riguardato le credenziali utente rubate. L’82% degli utenti riconosce di utilizzare la medesima password per più account. Dato che, una volta rubato, genera con più facilità nuove e più vaste violazioni. Al contempo, i dati personali degli utenti (nome, e-mail, password) sono stati tra le informazioni più esposte nel 44% delle violazioni analizzate. Tutto ciò in futuro potrebbe determinare un effetto a catena, con username e password rubate che diventano potenziali agganci per realizzare nuove aggressioni.