Violazione accidentale dei dati sul posto di lavoro: cosa fare nelle prime 72 ore

Se causi una violazione accidentale dei dati sul posto di lavoro, segnalala immediatamente all’interno dell’azienda, di solito al tuo responsabile, al team IT o al responsabile della protezione dei dati. Non cercare di risolvere il problema in segreto e non aspettare di renderti conto della gravità della situazione. Nel Regno Unito e nell’Unione Europea, un’organizzazione ha 72 ore di tempo dal momento in cui viene a conoscenza di una violazione per notificarla all’autorità garante della protezione dei dati, qualora vi siano persone a rischio. Negli Stati Uniti, le scadenze dipendono dallo Stato e dal settore, ma il conteggio del tempo inizia comunque nel momento in cui l’organizzazione ne viene a conoscenza. Ogni ora di esitazione da parte di un dipendente riduce il tempo a disposizione.

La maggior parte delle violazioni dei dati non è opera di hacker. Tutto inizia con un semplice errore: un’e-mail inviata alla persona sbagliata, un foglio di calcolo allegato per sbaglio, un portatile dimenticato in treno. Questo articolo spiega cosa si intende per violazione dei dati, illustra alcuni esempi comuni, descrive passo dopo passo le prime 72 ore, illustra le norme in materia di segnalazione nel Regno Unito, nell’Unione Europea e negli Stati Uniti e spiega come garantire che le persone segnalino gli errori invece di nasconderli.

Cosa si intende per violazione dei dati?

Per violazione dei dati personali si intende qualsiasi incidente di sicurezza che comporti la perdita, la distruzione, l’alterazione, la divulgazione o l’accesso non autorizzato ai dati personali. Non importa se si tratti di un atto intenzionale o di un incidente, né è necessario che sia collegato a un attacco informatico. Se una persona non autorizzata potesse visualizzare, modificare o perdere i dati relativi a qualcuno, si tratta di una violazione.

Inoltre, una violazione non riguarda solo le fughe di dati. Anche l’eliminazione di un file di un cliente senza un backup o la perdita di accesso ai dati a causa di un ransomware rientrano in questa categoria, poiché i dati non sono più disponibili per chi ne ha bisogno. Molti degli incidenti più gravi, come quelli riportati nella nostra panoramica sui più grandi attacchi informatici nei Paesi Bassi, sono iniziati proprio con questo tipo di violazione della disponibilità.

Esempi comuni di violazioni accidentali dei dati sul posto di lavoro

• Email inviata al destinatario sbagliato. La funzione di completamento automatico seleziona la “Sarah” sbagliata e una sintesi delle buste paga finisce fuori dall’organizzazione. Le autorità preposte alla protezione dei dati su entrambe le sponde dell’Atlantico indicano le email inviate per errore tra le cause più comuni delle violazioni segnalate.
• CC anziché BCC. Una newsletter o un aggiornamento per i clienti viene inviata con gli indirizzi e-mail di tutti i destinatari visibili a tutti gli altri.
• Allegato sbagliato. Qualcuno intende inviare un modello, ma invia invece la versione compilata con nomi, indirizzi o dati medici.
• Un link di condivisione troppo accessibile. Un documento viene condiviso con “chiunque disponga del link” e il link finisce in un’e-mail inoltrata o in un canale pubblico.
• Dispositivi smarriti o rubati. Un portatile, un telefono o una chiavetta USB non crittografati scompaiono mentre torni a casa.
• Carta e schermi. Stampe lasciate sulla stampante, file in un sacco della spazzatura, uno schermo con i dati dei clienti visibili ai visitatori.
• Cadere nella trappola di un’e-mail di phishing. Un dipendente inserisce le proprie credenziali di accesso su una pagina contraffatta e un malintenzionato ottiene l’accesso a una casella di posta piena di dati personali.

Cosa fare nelle prime 72 ore dopo una violazione dei dati

1. Segnalatelo internamente, immediatamente. Il dipendente che ha notato l’errore ne informa il proprio responsabile, il reparto IT o il responsabile della protezione dei dati. I termini legali decorrono dal momento in cui l’organizzazione ne viene a conoscenza, quindi ogni giorno di silenzio all’interno del team è un giorno perso.
2. Limitare i danni. Se possibile, richiamare l'e-mail, chiedere al destinatario di cancellarla e di confermarlo per iscritto, revocare il link di condivisione, cancellare da remoto i dati dal dispositivo smarrito o reimpostare la password compromessa.
3. Accertare cosa è successo. Quali dati sono stati coinvolti, quante persone sono state interessate, quanto sono sensibili e chi potrebbe averli visti? I dati relativi alla salute, a quelli finanziari e a quelli sui minori hanno un peso maggiore.
4. Valuta il rischio per le persone coinvolte. Ciò potrebbe comportare frodi relative all’identità, discriminazione, perdite finanziarie o disagio? Tale valutazione determina se sia necessario informare l’autorità di vigilanza e le persone interessate, in base alle norme illustrate di seguito.
5. Informare le autorità competenti, se necessario. Presentare la notifica entro i termini previsti, anche se non si conoscono ancora tutti i dettagli; di solito è possibile integrare le informazioni in un secondo momento. Spiegare alle persone coinvolte cosa è successo e cosa possono fare per proteggersi.
6. Registratela, anche se non la segnalate. Tenete un registro interno di ogni violazione, indicando i fatti, le conseguenze e le misure adottate. Ai sensi del GDPR ciò è obbligatorio, anche per le violazioni che avete deciso di non segnalare.
7. Tirane insegnamento. Individua la causa e correggi la procedura: un’impostazione di completamento automatico, una politica di condivisione, simulazioni di phishing per il team che è caduto nella trappola della pagina di accesso fasulla.

Norme in materia di segnalazione delle violazioni dei dati nel Regno Unito, nell’Unione europea e negli Stati Uniti

Le procedure sopra descritte sono valide ovunque, ma i termini di legge e i soggetti a cui riferire dipendono dal luogo in cui si opera e dal settore di appartenenza.

• Regno Unito. Ai sensi del GDPR del Regno Unito, una violazione che possa comportare un rischio per le persone deve essere segnalata all’Information Commissioner’s Office (ICO) entro 72 ore dal momento in cui se ne viene a conoscenza. Se il rischio per gli interessati è elevato, è inoltre necessario informarli senza indebito ritardo.
• Unione europea. Il GDPR prevede lo stesso termine di 72 ore, con l’obbligo di notificare l’incidente all’autorità nazionale per la protezione dei dati. Le organizzazioni soggette alla direttiva NIS2 potrebbero inoltre essere tenute a segnalare gli incidenti significativi al proprio CSIRT nazionale o all’autorità competente: un allarme preventivo entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.
• Stati Uniti. Non esiste un’unica legge federale in materia di violazioni dei dati. Ogni Stato ha una propria normativa in materia di notifica, con scadenze che vanno da “senza indebito ritardo” a un numero fisso di giorni. A queste si aggiungono le norme settoriali, come l’HIPAA per il settore sanitario, che richiede la notifica entro 60 giorni, e la norma della SEC che impone alle società quotate in borsa di rendere noti gli incidenti rilevanti entro quattro giorni lavorativi.
• In ogni regione. Anche i contratti hanno la loro importanza. Spesso i clienti e i partner richiedono che la notifica avvenga entro un determinato numero di ore, talvolta inferiore al termine previsto dalla legge.

Lavorate a livello transfrontaliero? Nell’UE, le organizzazioni con sede principale si rivolgono solitamente a un’unica autorità di riferimento. Negli Stati Uniti, invece, è lo Stato in cui risiedono le persone interessate a stabilire le norme, pertanto una singola violazione può comportare diverse notifiche.

Perché i dipendenti nascondono i propri errori e come porre rimedio a questa situazione

Il rischio maggiore nella gestione delle violazioni dei dati non è l'errore in sé, ma il silenzio che ne segue. Un dipendente che ha inviato un file all'indirizzo sbagliato spesso spera che nessuno se ne accorga, soprattutto se teme una reprimenda. Quando la violazione viene alla luce, il termine è ormai scaduto e il danno si è già diffuso.

Le organizzazioni che gestiscono bene le violazioni rendono la segnalazione facile e sicura. Le persone sanno esattamente a chi rivolgersi, la prima reazione è “grazie per avercelo segnalato” e gli errori vengono discussi come problemi di processo piuttosto che come fallimenti personali. La formazione aiuta in due modi: mostra ai dipendenti come si presenta una violazione, in modo che possano riconoscerla, e trasforma la segnalazione in un’abitudine consolidata anziché in una confessione imbarazzante.

Il consiglio: prevenire le violazioni con brevi sessioni di formazione settimanali

Guardey aiuta i dipendenti a evitare gli errori quotidiani all’origine della maggior parte delle violazioni. Ogni settimana ricevono una sfida della durata di circa tre minuti, sul proprio laptop o tramite l’app mobile per iOS e Android, su argomenti quali l’invio sicuro dei dati, la condivisione dei file, il riconoscimento del phishing e la segnalazione degli incidenti. La gamification, con classifiche e serie di risultati consecutivi, mantiene vivo il coinvolgimento degli utenti; le simulazioni di phishing mettono alla prova quanto appreso; infine, i report pronti per gli audit mostrano i progressi compiuti in materia di GDPR, NIS2 e ISO 27001. Oltre 500 organizzazioni, tra cui il Parlamento europeo, utilizzano già Guardey. Scopri di più sulla nostra formazione sulla consapevolezza della sicurezza o scopri il nostro approccio alla consapevolezza sulla privacy.

Collaborate con un partner IT? In che modo gli MSP possono aiutarvi prima e dopo una violazione della sicurezza

Molte piccole e medie imprese non gestiscono autonomamente i propri sistemi IT, ma si affidano a un fornitore di servizi gestiti (MSP): un’azienda IT che si occupa dei loro sistemi, della sicurezza e dell’assistenza a fronte di un canone mensile. Quando si verifica una violazione, questa è solitamente la prima domanda che viene posta: è possibile richiamare l’e-mail, cancellare i dati dal portatile, quali caselle di posta sono state violate? Se collaborate con un MSP, chiedete se la prevenzione delle violazioni e la formazione sulla sicurezza informatica fanno parte del vostro pacchetto. Per gli MSP, aggiungere questa misura di prevenzione è un passo logico per i clienti che hanno appena scoperto quanto possa costare una sola e-mail inviata per errore.

Guardey è disponibile attraverso diversi canali, tra cui e92plus, un distributore a valore aggiunto specializzato nella sicurezza informatica per MSP e rivenditori nel Regno Unito, in Irlanda, nel Benelux e nei Paesi nordici. Gli MSP beneficiano di una fatturazione mensile basata sul consumo e di un unico portale partner per gestire le licenze di tutti i propri clienti, con il supporto di responsabili dedicati ai partner MSP e di un supporto marketing per lanciare un nuovo servizio sul mercato. Ciò consente a un MSP di combinare strumenti di protezione dei dati e formazione in un’unica offerta gestita.

Domande frequenti sulle violazioni accidentali dei dati

Si può essere licenziati per una violazione accidentale dei dati sul posto di lavoro?

Un errore in buona fede segnalato immediatamente raramente costituisce motivo di licenziamento, anche se ciò dipende dalle circostanze, dalla normativa locale in materia di lavoro e dalle politiche del tuo datore di lavoro. Nascondere una violazione, ignorare procedure chiare o ripetere lo stesso errore viene considerato molto più grave. Segnalare tempestivamente l’accaduto è quasi sempre la cosa migliore che tu possa fare, sia per l’organizzazione che per te stesso.

Ogni violazione dei dati deve essere segnalata?

No. Ai sensi del GDPR e del GDPR del Regno Unito, una violazione deve essere segnalata all’autorità competente solo se è suscettibile di comportare un rischio per le persone. Negli Stati Uniti, sono solitamente le leggi statali a definire quali tipi di dati comportano l’obbligo di notifica. Ogni violazione deve comunque essere registrata internamente, comprese le ragioni per cui non è stata segnalata.

Quali sono alcuni esempi di violazioni del GDPR?

Esempi tipici sono l’invio di dati personali al destinatario sbagliato, l’uso del campo “CC” anziché “BCC”, la condivisione di un file tramite un link pubblico, lo smarrimento di un computer portatile non crittografato, il lasciare incustoditi dei documenti stampati e il consentire a un malintenzionato di accedere a una casella di posta tramite phishing. Nella maggior parte dei casi, la causa è da ricercarsi in un errore umano piuttosto che in un guasto tecnico.

Come si prevengono le fughe accidentali di dati?

Abbinate alcune misure di sicurezza tecniche, quali l’invio ritardato, la crittografia e i link di condivisione con restrizioni, a una formazione regolare. I dipendenti che si esercitano a riconoscere le situazioni di rischio commettono meno errori e segnalano quelli che si verificano con maggiore rapidità.

Nessuna organizzazione riuscirà mai a azzerare gli errori. La differenza sta in ciò che accade nei minuti successivi a un errore: se il dipendente risponde al telefono o chiude il portatile e spera per il meglio. Quel riflesso è qualcosa che si può allenare.