Se qualcuno accede senza autorizzazione alla casella email aziendale, bisogna notificare un data breach al Garante?
Non necessariamente, ma una casella email compromessa deve essere trattata come una possibile violazione di dati personali. Occorre verificare se terzi non autorizzati abbiano potuto accedere a dati di clienti, dipendenti, fornitori o altri interessati, quali informazioni fossero presenti nell’account e quali conseguenze potrebbero derivarne. Se la violazione può comportare un rischio per i diritti e le libertà delle persone, può essere necessaria la notifica al Garante; se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati.
La scena può essere molto semplice.
Un cliente, un fornitore o un collega telefona e dice: “Ho ricevuto una strana email dal tuo indirizzo. Sei stato tu a mandarla?”
La risposta è no.
La prima reazione è quasi inevitabile: cambiare la password.
È giusto farlo, ma potrebbe non essere sufficiente.
Perché la domanda più importante non è soltanto: “Qualcuno sta usando il mio indirizzo email?”
È: “Qualcuno potrebbe aver avuto accesso a ciò che conservo nella mia casella di posta?”
Ed è qui che un incidente informatico apparentemente circoscritto può trasformarsi in un problema di protezione dei dati personali.
Una mail sospetta non significa automaticamente che la casella sia stata violata
Prima di tutto bisogna ricostruire tecnicamente l’accaduto.
Un messaggio apparentemente proveniente da un determinato indirizzo può essere frutto, ad esempio, di tecniche di spoofing senza che vi sia stato necessariamente un accesso effettivo alla mailbox.
Ma può anche essere il segnale di una compromissione reale dell’account.
Per questo la prima fase non dovrebbe consistere nel decidere immediatamente se notificare o meno il Garante.
Dovrebbe consistere nel capire cosa è successo.
Le linee guida europee sulla gestione delle violazioni insistono proprio sulla necessità di attivarsi a fronte di un primo segnale, svolgere rapidamente le verifiche e stabilire se una violazione dei dati personali sia effettivamente avvenuta.
Quando un accesso alla posta elettronica diventa un data breach?
Il GDPR considera violazione di dati personali una violazione di sicurezza che comporti, accidentalmente o illecitamente, distruzione, perdita, modifica, divulgazione non autorizzata o accesso non autorizzato a dati personali. Il Garante indica espressamente tra gli esempi l’accesso o l’acquisizione di dati da parte di terzi non autorizzati.
Quindi, se un soggetto estraneo è riuscito a entrare nella casella email e questa contiene dati personali, può essersi verificato un data breach anche se:
- nessun documento risulta cancellato;
- nessun file è stato modificato;
- non si sa con certezza se qualche allegato sia stato scaricato;
- la casella è tornata rapidamente sotto controllo.
Il punto è la possibile compromissione della riservatezza dei dati.
Il problema non è soltanto chi è entrato. È cosa ha trovato.
Ed è qui che la situazione diventa molto più interessante dal punto di vista della compliance.
Una casella di posta elettronica raramente contiene soltanto email correnti.
Con il tempo può diventare un archivio.
Dentro possono esserci:
- copie di documenti di identità;
- buste paga;
- curriculum;
- coordinate bancarie;
- certificati;
- documenti fiscali;
- contratti;
- pratiche relative a clienti;
- documentazione del personale;
- dati relativi alla salute;
- informazioni su contenziosi;
- allegati contenenti dati riservati.
Più materiale viene conservato nel tempo, più aumenta il numero delle persone potenzialmente coinvolte nell’incidente e maggiore può diventare la complessità della valutazione del rischio.
Ed è qui che il data breach incontra un altro tema spesso trascurato: la data retention.
Il vero problema potrebbe essere nato anni prima del data breach
La violazione informatica può essere avvenuta oggi.
Ma una parte delle sue conseguenze può dipendere da decisioni prese molto tempo prima.
Per esempio:
Perché nella casella è ancora conservata la copia del documento di identità di una persona con cui l’azienda non ha più rapporti da anni?
Oppure:
Perché le buste paga di ex dipendenti sono ancora disponibili nella mailbox personale di un responsabile?
Il GDPR impone il principio di limitazione della conservazione: i dati personali devono essere conservati per un periodo non superiore a quello necessario alle finalità per cui sono trattati. Il Garante ricorda inoltre che il titolare deve essere in grado di dimostrare il rispetto di questo e degli altri principi fondamentali del trattamento.
Questo significa che “conserviamo tutto, potrebbe sempre servire” non è una vera politica di conservazione.
Conservare tutto per sicurezza può aumentare il rischio
È un paradosso piuttosto comune.
Si conserva tutto per paura di perdere informazioni.
Ma ciò che viene conservato deve anche essere protetto.
E se un sistema viene compromesso, tutto ciò che contiene entra potenzialmente nel perimetro dell’incidente.
Una mailbox contenente tre mesi di corrispondenza e una contenente dieci anni di documentazione non pongono lo stesso problema.
Non perché una sia necessariamente conforme e l’altra no.
Ma perché la seconda può rendere molto più difficile stabilire:
- quali categorie di dati siano coinvolte;
- quante persone siano interessate;
- quali conseguenze possano derivarne;
- chi debba essere eventualmente informato;
- quanto sia elevato il rischio.
La gestione della conservazione dei dati è quindi anche una misura di riduzione dell’impatto potenziale di una futura violazione.
“Non sappiamo se i documenti siano stati aperti”: allora non c’è data breach?
Non necessariamente.
In molti incidenti informatici non è possibile sapere con certezza che cosa abbia visualizzato o copiato l’attaccante.
Le linee guida europee ricordano, ad esempio, che in alcuni attacchi l’esfiltrazione dei dati può avvenire senza lasciare necessariamente tracce complete nei log. La valutazione deve quindi considerare le informazioni tecniche disponibili, il tipo di accesso, la durata dell’incidente, i dati potenzialmente raggiungibili e le misure di protezione applicate.
L’assenza di una prova certa del download non equivale automaticamente alla prova che nessuno abbia avuto accesso ai dati.
Per questo bisogna ricostruire, per quanto possibile:
- quando è iniziata la compromissione;
- da quali dispositivi o indirizzi IP sono avvenuti gli accessi;
- quali cartelle erano disponibili;
- se erano presenti regole di inoltro automatico;
- se vi sono stati download o esportazioni;
- se altri account utilizzavano le stesse credenziali;
- se erano presenti sistemi di autenticazione a più fattori.
Le 72 ore partono dal momento dell’attacco?
Non necessariamente.
Il GDPR lega il termine alla conoscenza della violazione.
Il titolare deve notificare al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui viene a conoscenza del data breach, salvo che sia improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche.
Questo è importante.
Il momento in cui un corrispondente segnala: “Ho ricevuto una mail sospetta dal tuo account” non significa necessariamente che da quel preciso istante parta automaticamente il termine per una notifica.
Ma significa certamente che è arrivato un segnale che non dovrebbe essere ignorato.
L’organizzazione deve attivarsi rapidamente per capire se si tratta davvero di una violazione.
Le linee guida europee chiariscono che è consentito un breve periodo di investigazione per accertare se il data breach sia effettivamente avvenuto; una volta acquisita sufficiente consapevolezza della violazione, scattano gli obblighi previsti dal GDPR.
Ogni data breach deve essere notificato al Garante?
No.
Ed è importante evitare anche l’errore opposto: notificare automaticamente qualsiasi incidente informatico.
Il Garante chiarisce che la notifica non è necessaria quando sia improbabile che la violazione comporti un rischio per i diritti e le libertà delle persone fisiche.
Occorre quindi svolgere una valutazione.
Tra gli elementi da considerare possono esserci:
- tipo di dati coinvolti;
- quantità dei dati;
- numero degli interessati;
- facilità con cui possono essere identificati;
- possibili conseguenze economiche o reputazionali;
- rischio di furto d’identità;
- presenza di dati particolarmente delicati;
- caratteristiche delle persone coinvolte;
- misure di protezione applicate ai dati.
Una mailbox con una limitata corrispondenza aziendale non presenta necessariamente lo stesso rischio di una casella che contiene documenti di identità, informazioni bancarie, cedolini e documentazione sanitaria.
E quando bisogna informare direttamente le persone coinvolte?
La comunicazione agli interessati segue una soglia più elevata.
Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il GDPR prevede, salvo specifiche eccezioni, anche la comunicazione agli interessati.
Quindi abbiamo tre livelli distinti:
- L’incidente deve essere analizzato e documentato.
- Se può comportare un rischio, può rendersi necessaria la notifica al Garante.
- Se il rischio è elevato, può essere necessaria anche la comunicazione agli interessati.
Confondere questi tre passaggi porta facilmente a decisioni sbagliate.
Se decidiamo di non notificare, possiamo semplicemente chiudere il caso?
No.
Il GDPR richiede al titolare di documentare le violazioni dei dati personali, indipendentemente dal fatto che siano state notificate o meno al Garante. Il Garante richiama espressamente l’obbligo di mantenere evidenza delle violazioni e delle valutazioni effettuate.
Questo è il cuore dell’accountability.
Non basta arrivare alla conclusione: “Secondo noi non era grave.”
Bisogna essere in grado di ricostruire:
- cosa è successo;
- quando è stato scoperto;
- quali dati erano coinvolti;
- quale rischio è stato individuato;
- quali misure sono state adottate;
- perché si è deciso di notificare o di non notificare.
La compliance, in questo senso, non consiste nell’avere sempre la stessa risposta.
Consiste nell’avere un processo che consenta di prendere una decisione motivata e dimostrabile.
Cosa dovrebbe fare l’azienda nelle prime ore?
Davanti al sospetto di compromissione di una casella email, possono essere necessari almeno questi passaggi:
- mettere in sicurezza l’account, cambiando credenziali e verificando i sistemi di autenticazione;
- controllare accessi, log, dispositivi collegati ed eventuali regole di inoltro;
- preservare le evidenze dell’incidente;
- stabilire se vi sia stato realmente un accesso non autorizzato;
- mappare i dati personali che potevano essere presenti nella casella;
- individuare categorie e numero degli interessati potenzialmente coinvolti;
- valutare il rischio per i loro diritti e libertà;
- documentare l’incidente e la valutazione svolta;
- decidere tempestivamente se sia necessaria la notifica al Garante e, nei casi di rischio elevato, la comunicazione agli interessati.
Le indicazioni dell’EDPB sottolineano proprio l’importanza di processi interni capaci di rilevare gli incidenti, indirizzarli rapidamente verso i soggetti responsabili e consentire una valutazione tempestiva del rischio.
Ma soprattutto: dopo l’incidente bisogna guardare alla data retention
Una volta risolto il problema tecnico, rimane una domanda scomoda: perché tutti quei documenti erano ancora lì?
È probabilmente la domanda più utile dell’intero incidente.
La risposta non è necessariamente “dovevamo cancellare tutto”.
Alcuni dati devono essere conservati per obblighi di legge, esigenze contrattuali, difesa di diritti o altre finalità legittime.
Ma conservare il dato non significa necessariamente conservarne copie indefinite in ogni luogo nel quale sia transitato.
Una cosa è avere una politica di conservazione.
Un’altra è lasciare che documenti e allegati rimangano per anni:
- nelle mailbox individuali;
- nelle cartelle download;
- nei computer personali;
- nelle cartelle condivise;
- nei backup;
- nei dispositivi mobili.
Il principio di limitazione della conservazione richiede che il periodo sia collegato alle finalità effettive del trattamento e che il titolare possa dimostrare le proprie scelte organizzative.
La casella email non dovrebbe diventare l’archivio storico dell’azienda
Questo è forse il punto più difficile da affrontare operativamente.
La posta elettronica nasce per comunicare.
Nella pratica viene spesso utilizzata anche per conservare documenti.
E proprio questa sovrapposizione può creare problemi.
Un sistema documentale organizzato consente di stabilire:
- dove deve essere conservato un documento;
- chi può accedervi;
- per quanto tempo;
- quando deve essere cancellato;
- quali copie temporanee possono essere eliminate.
La mailbox, invece, tende a conservare tutto in ordine cronologico.
Senza una politica precisa, il criterio di conservazione diventa semplicemente: “È ancora nella posta.”
Dal punto di vista della data protection è un criterio molto debole.
