Data breach invisibili nelle aziende: come riconoscerli e gestirli

Nel dibattito sulla sicurezza informatica, l’attenzione si concentra quasi sempre sui grandi attacchi: le campagne ransomware che paralizzano ospedali, i furti di dati bancari, le intrusioni nei sistemi delle infrastrutture critiche. Eppure, la statistica quotidiana delle violazioni di dati racconta una storia molto diversa. La stragrande maggioranza dei data breach notificati alle autorità europee ha origine interna alle organizzazioni e non deriva da attacchi esterni sofisticati.

L’e-mail con la lista dei dipendenti inviata al cliente sbagliato. Il collaboratore che fotografa un documento riservato con il proprio smartphone. Il commerciale che salva sul proprio Google Drive personale il database dei prospect aziendale. Il sistema di videosorveglianza a cui ha accesso un fornitore senza accordo di designazione. Il tirocinante che, a fine stage, si porta via copia del CRM. Questi scenari banalissimi nella loro quotidianità sono violazioni di dati personali a tutti gli effetti e richiedono la medesima risposta di un attacco hacker.

La pericolosità del data breach invisibile non risiede solo nell’evento in sé, ma nella catena di conseguenze che si innesca quando l’organizzazione non lo riconosce, non lo documenta e non lo gestisce: sanzioni amministrative elevate, azioni risarcitorie degli interessati, danni reputazionali amplificati dall’omessa notifica.

Cosa prevede il GDPR sulle violazioni di dati personali

L’articolo 4, paragrafo 12, del Regolamento (UE) 2016/679 definisce la violazione di dati personali come «una violazione della sicurezza che comporta accidentalmente o in modo illecito la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l’accesso ai dati personali trasmessi, conservati o altrimenti trattati». La definizione è volutamente ampia e tecnologicamente neutrale: non distingue tra violazione interna ed esterna, non richiede l’utilizzo malevolo dei dati, non presuppone l’intervento di un terzo.

Il Considerando 85 precisa che una violazione può, se non affrontata in modo adeguato e tempestivo, provocare danni fisici, materiali o immateriali alle persone fisiche: perdita del controllo dei propri dati, discriminazione, furto d’identità, perdite finanziarie, danno alla reputazione. Non è necessario che il danno si sia verificato: è sufficiente il rischio che si verifichi.

Le Linee guida 01/2021 dell’EDPB distinguono tre tipologie fondamentali di violazione:

• Violazione della riservatezza: divulgazione o accesso non autorizzato a dati personali.
• Violazione dell’integrità: modifica non autorizzata o accidentale di dati personali.
• Violazione della disponibilità: perdita, inaccessibilità o distruzione accidentale di dati personali.

Questa tripartizione ha implicazioni operative decisive: un ransomware che cifra i dati senza esfiltrarli configura una violazione di disponibilità anche in assenza di pubblicazione esterna. La cancellazione accidentale di un database non ripristinabile da backup è una violazione a tutti gli effetti. La modifica non autorizzata dei dati anagrafici di un paziente è una violazione di integrità con potenziali conseguenze letali.

Notifica del data breach entro 72 ore

In presenza di una violazione di dati personali, il titolare del trattamento è tenuto a notificarla all’autorità di controllo competente entro 72 ore dal momento in cui ne viene a conoscenza. Il termine è tassativo e decorre non dalla scoperta certa della violazione, ma dal momento in cui il titolare ha “a sufficienza di certezza” che una violazione si sia verificata. La notifica tardiva è autonomamente sanzionabile indipendentemente dalla gravità della violazione sottostante.

L’art. 33 prevede una deroga all’obbligo di notifica quando è improbabile che la violazione presenti un rischio per i diritti e le libertà delle persone fisiche. La soglia non è la certezza dell’assenza di danno, bensì la probabilità. L’onere della valutazione e della sua documentazione ricade sempre sul titolare.

Consiglio pratico — Come gestire le 72 ore

Ora 0: il sospetto incidente viene segnalato al responsabile IT o al DPO.

Entro 2 ore: avvio dell’analisi preliminare per stabilire se si tratta di una violazione.

Entro 24 ore: prima valutazione documentata del rischio, anche in forma provvisoria.

Entro 48 ore: decisione definitiva sulla necessità di notifica.

Entro 72 ore: invio della notifica al Garante tramite il portale telematico (garanteprivacy.it).

Se i dati non sono ancora completi al momento della notifica, è possibile inviare una notifica in più fasi, indicando che l’indagine è ancora in corso. Meglio notificare in modo incompleto entro 72 ore che notificare in modo completo oltre il termine.

Comunicazione agli interessati e rischio elevato

Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare è tenuto a comunicarla anche agli interessati coinvolti, senza ingiustificato ritardo. Le tre esimenti dall’obbligo di comunicazione diretta cifratura efficace, misure correttive che azzerano il rischio, sforzo sproporzionato con comunicazione pubblica alternativa non sono applicabili automaticamente: richiedono sempre una valutazione documentata.

Il testo della comunicazione deve: (1) descrivere la natura della violazione in termini comprensibili; (2) indicare nome e recapiti del DPO o del punto di contatto; (3) descrivere le probabili conseguenze; (4) indicare le misure adottate; (5) fornire indicazioni sulle azioni protettive che l’interessato può intraprendere (es. cambio password, blocco carta, allerta sull’uso dell’identità).

Evitare linguaggio tecnico, burocratico o minimizzante. Il Garante ha contestato comunicazioni che omettevano informazioni rilevanti o tendevano a ridimensionare l’impatto dell’incidente.

Conservare copia di tutte le comunicazioni inviate come prova di accountability.

Data breach invisibili più frequenti nelle organizzazioni

La tipologia più frequente in assoluto nei registri delle violazioni europee. Un dipendente invia un’e-mail con dati personali in allegato buste paga, cartelle cliniche, elenchi di clienti a un destinatario errato, spesso per autocompletamento del campo «A». Il rischio dipende dalla natura dei dati, dal numero di interessati coinvolti, dalla probabilità che il destinatario accidentale utilizzi le informazioni.

Indicazione EDPB (Linee guida 01/2021, Scenario 1): se il destinatario è un terzo non correlato e l’e-mail contiene categorie particolari di dati (art. 9 GDPR) o riguarda un numero elevato di interessati, la notifica al Garante è quasi sempre obbligatoria. Se il destinatario appartiene alla stessa organizzazione e i dati vengono immediatamente eliminati con conferma scritta, il rischio può essere classificato come basso e documentato nel registro senza notifica.

Configurare il client di posta aziendale con un ritardo di invio di 30–60 secondi, che consente di richiamare il messaggio prima della consegna definitiva.

Attivare avvisi automatici di indirizzo esterno: «Stai inviando a un destinatario fuori dall’organizzazione? conferma».

Vietare contrattualmente e proceduralmente l’invio di allegati con categorie particolari di dati senza cifratura. Esistono strumenti che sono accessibili anche per le PMI.

Implementare soluzioni DLP (Data Loss Prevention) sui sistemi di posta per bloccare automaticamente l’invio di file contenenti pattern riconoscibili come codici fiscali o numeri di carta.

Accessi abusivi interni e violazioni di riservatezza

Il dipendente che consulta i dati di un collega, di un ex coniuge, di un cliente VIP o di una persona nota è una delle casistiche più ricorrenti in ambito sanitario, bancario e HR. Tecnicamente configura un accesso non autorizzato, ovvero una violazione di riservatezza. La difficoltà per il titolare risiede nell’individuazione: richiede log di accesso granulari, sistemi SIEM e procedure di incident management che la maggior parte delle PMI non ha implementato.

Il Garante ha sanzionato diversi enti per accessi abusivi non rilevati o rilevati tardivamente. La mancata implementazione di sistemi di rilevamento non è solo un problema di sicurezza: è di per sé una violazione dell’art. 32 GDPR.

Misure preventive operative

Implementare il principio del minimo privilegio: ogni utente accede solo ai dati strettamente necessari per la propria funzione. Revisione semestrale dei profili di accesso.

Attivare log granulari di accesso ai sistemi che trattano categorie particolari di dati. I log devono contenere: chi, cosa, quando, da dove.

Configurare alert automatici per pattern anomali: accessi a orari insoliti, accessi massivi, accessi a dati di persone non correlate al ruolo dell’utente.

Prevedere nel regolamento aziendale e nel disciplinare informatico la fattispecie dell’accesso abusivo, le relative conseguenze disciplinari e l’obbligo di segnalazione.

App consumer, shadow IT e dati fuori controllo

WhatsApp Business, Telegram, Signal, WeTransfer: l’uso di applicazioni consumer per condividere dati professionali riservati è diffusissimo nelle PMI e nei settori sanitario, legale e immobiliare. I dati escono dal perimetro aziendale, vengono trattati su infrastrutture di terzi senza designazione ex art. 28 GDPR, senza cifratura controllata dal titolare, in violazione delle policy aziendali.

Meta Platforms Inc. (WhatsApp) ha sede legale negli USA. L’utilizzo di WhatsApp Business per trasmettere dati di clienti o pazienti europei comporta un trasferimento verso paese terzo che richiede basi giuridiche adeguate ex artt. 44–49 GDPR (Standard Contractual Clauses e Transfer Impact Assessment). In assenza di questi strumenti, ogni singola trasmissione costituisce una violazione autonoma degli artt. 44–49 GDPR.

Adottare piattaforme di messaggistica aziendali certificate: Microsoft Teams, Google Chat con account aziendale, tutte con possibilità di designare il fornitore ex art. 28 e con server europei.

Inserire nel disciplinare informatico il divieto esplicito di condivisione di dati personali tramite app di messaggistica personali, con esempi concreti (cartelle cliniche, buste paga, dati di clienti).

Configurare soluzioni MDM (Mobile Device Management) che impediscano il trasferimento di file aziendali su app non autorizzate.

Prevedere sessioni di formazione specifiche sul tema shadow IT: molti dipendenti non sanno di stare commettendo una violazione.

Ransomware, dwell time e obblighi di rilevamento

I ransomware moderni seguono un pattern bifasico: prima la fase di esfiltrazione (dwell time), che può durare settimane o mesi, durante la quale l’attaccante naviga nella rete, esfiltra dati e individua i backup; poi la fase di cifratura e richiesta di riscatto. Per tutto il periodo di dwell time, l’organizzazione non percepisce la violazione.

Dal punto di vista GDPR, il momento rilevante per il computo delle 72 ore è quello in cui il titolare viene a conoscenza della violazione. L’assenza di sistemi di monitoraggio non è una scusante: evidenzia l’inadeguatezza delle misure di sicurezza ex art. 32 GDPR e aggrava la posizione del titolare in sede sanzionatoria.

Misure preventive operative

Implementare un sistema EDR (Endpoint Detection and Response) su tutti i dispositivi aziendali: rileva comportamenti anomali del software in tempo reale, anche prima della fase di cifratura.

Eseguire backup 3-2-1: tre copie dei dati, su due supporti diversi, di cui uno offline. Testare il ripristino da backup almeno ogni trimestre. Un backup non testato è un backup non attendibile.

Segmentare la rete aziendale per limitare la possibilità del ransomware di spostarsi lateralmente tra reparti.

Attivare l’autenticazione a più fattori (MFA) su tutti gli accessi remoti e sulle console di amministrazione: il vettore di ingresso più comune del ransomware è la compromissione di credenziali RDP o VPN.

Dispositivi smarriti e breach sottovalutati

Laptop rubato in stazione, chiavetta USB dimenticata sul taxi, smartphone smarrito con accesso alla posta aziendale senza PIN: è una delle tipologie di breach più sottovalutate, eppure estremamente frequenti. Il rischio dipende interamente dalle misure adottate sul dispositivo.

Misure preventive operative

Cifratura obbligatoria del disco rigido su tutti i dispositivi aziendali (BitLocker per Windows, FileVault per macOS). Se il dispositivo è cifrato e la chiave non è compromessa, la violazione può essere classificata a rischio trascurabile, con applicazione dell’esimente ex art. 34 GDPR.

Adottare soluzioni MDM con funzionalità di remote wipe: in caso di smarrimento, il dispositivo può essere cancellato da remoto entro poche ore.

Vietare la memorizzazione di dati personali su supporti rimovibili non cifrati. Se necessario, utilizzare chiavette con cifratura hardware.

Definire una procedura di segnalazione della perdita: il dipendente deve sapere che deve segnalare immediatamente la scomparsa di qualsiasi dispositivo aziendale.

Breach dei fornitori e responsabilità del titolare

Un responsabile del trattamento ex art. 28 GDPR che subisce una violazione coinvolge automaticamente anche il titolare. Il breach di un fornitore cloud, di un CRM in SaaS, di un servizio di pagamento o di un consulente esterno con accesso ai sistemi aziendali è un breach del titolare. Molte aziende non hanno questa consapevolezza e si trovano esposte a notifiche tardive senza poterle evitare.

Scenario frequente

Un fornitore di software gestionale in cloud subisce un attacco ransomware. I dati dei clienti del titolare sono cifrati e inaccessibili per cinque giorni. Il fornitore notifica l’incidente al titolare il giorno 4. Il titolare ha quindi meno di 24 ore per notificare al Garante. Questo scenario — sempre più comune — espone il titolare a sanzioni per notifica tardiva anche se non ha alcuna colpa nell’evento originario.

Misure preventive operative

Inserire in ogni contratto ex art. 28 GDPR una clausola che impone al responsabile del trattamento di notificare qualsiasi violazione al titolare entro 24 ore dalla scoperta (non 72: quelle sono le ore del titolare verso il Garante).

Mantenere un registro aggiornato di tutti i fornitori con accesso a dati personali, con indicazione dei dati trattati, dei sistemi accessibili e del referente per la sicurezza.

Svolgere audit periodici sui fornitori critici, almeno annuali, con verifica della compliance GDPR, delle misure di sicurezza e dei piani di business continuity.

Richiedere ai fornitori la nomina formale di un referente per gli incidenti di sicurezza e un SLA di risposta definito contrattualmente.

Registro delle violazioni GDPR: cosa documentare

L’art. 33, par. 5, GDPR impone al titolare di documentare qualsiasi violazione di dati personali, compresi i fatti inerenti, le conseguenze e i provvedimenti adottati — anche quando non viene effettuata la notifica al Garante. Il Registro delle Violazioni è obbligatorio e non discrezionale. Un registro assente o lacunoso è di per sé una violazione dell’art. 5, par. 2, GDPR (principio di accountability).

Consiglio pratico — Formato e conservazione del Registro

Il registro può essere in formato Excel, SharePoint o uno strumento GRC dedicato. Non esiste un formato imposto dal Garante, ma deve essere sempre aggiornato, datato e accessibile in caso di ispezione.

Limitare l’accesso in scrittura al DPO, al responsabile IT e al responsabile della conformità. Mantenere un log delle modifiche al registro stesso.

Conservare il registro per almeno 3 anni dalla data dell’incidente (termine di prescrizione delle sanzioni amministrative ex art. 83 GDPR), preferibilmente 5 anni per allineamento alla prescrizione ordinaria.

Valutazione del rischio e criteri operativi

La decisione di notificare o meno al Garante deve essere preceduta da una valutazione del rischio strutturata e documentata. L’EDPB nelle Linee guida 01/2021 propone un framework basato su variabili interdipendenti. Una violazione che coinvolge una sola persona con dati sanitari in mano a soggetti sconosciuti può richiedere notifica immediata; una che coinvolge migliaia di indirizzi e-mail senza altri dati può in certe circostanze non richiedere notifica al Garante, pur richiedendo sempre documentazione nel registro.

L’ENISA ha sviluppato un tool online gratuito per la valutazione del rischio dei data breach, basato sulle Linee guida EDPB 01/2021 (disponibile su enisa.europa.eu). Il tool assegna un punteggio di rischio da 1 a 10 sulla base dei fattori descritti nella tabella sopra e fornisce una raccomandazione automatica sulla necessità di notifica. Si tratta di un supporto alla decisione, non di un sostituto della valutazione documentata richiesta dall’art. 33 GDPR.

Sanzioni e fattori aggravanti nei data breach

L’analisi dei provvedimenti sanzionatori adottati dal Garante italiano e dalle autorità europee consente di identificare pattern ricorrenti che aggravano le sanzioni in materia di data breach. I criteri per la quantificazione ex art. 83 GDPR includono: natura, gravità e durata della violazione; carattere doloso o negligente; misure adottate per attenuare il danno; grado di cooperazione con l’autorità; categorie di dati coinvolte; recidiva.

I Fattori aggravanti consolidati dalla prassi sanzionatoria sono:

1. Mancata o tardiva notifica al Garante: autonomamente sanzionabile, spesso con importi superiori alla violazione sottostante.
2. Assenza di registro delle violazioni o registro lacunoso: viola il principio di accountability ex art. 5(2) GDPR.
3. Misure di sicurezza inadeguate preesistenti: l’art. 32 richiede misure ‘adeguate’, la cui assenza aggrava sempre la responsabilità.
4. Mancata cooperazione con l’autorità in sede ispettiva.
5. Violazioni reiterate: la recidiva è esplicitamente richiamata dall’art. 83 tra i criteri di quantificazione.
6. Omessa comunicazione agli interessati pur in presenza di rischio elevato.

Le priorità operative per prevenire i breach invisibili

Priorità 1 — Mappare per anticipare

Il Registro dei trattamenti ex art. 30 GDPR deve riflettere fedelmente i flussi reali di dati, inclusi i sistemi shadow IT, le app di messaggistica in uso, i cloud personali dei dipendenti, i fornitori con accesso ai sistemi. Un trattamento non censito nel registro non può essere gestito in caso di breach.

Azione concreta: condurre ogni anno un data flow audit che includa interviste ai responsabili di reparto per identificare trattamenti non censiti.

Priorità 2 — Procedure prima che accada

Adottare una procedura scritta di gestione degli incidenti, basata su ISO/IEC 27035, che copra chi fa cosa nei primi 30 minuti, nelle prime 24 ore, nelle prime 72 ore dalla scoperta.

Azione concreta: affiggere in tutti i reparti un promemoria con tre istruzioni: (1) FERMA l’attività che ha causato l’incidente; (2) NON cancellare nulla; (3) CHIAMA subito il referente interno. La semplicità salva le 72 ore.

Priorità 3 — Formare in modo continuo e contestuale

La formazione annuale generalista non è sufficiente. Occorrono moduli formativi specifici per funzione HR, IT, commerciale, sanitario con scenari realistici del proprio settore.

Azione concreta: includere in ogni sessione formativa almeno un esercizio di riconoscimento: ‘Quale di questi cinque scenari è un data breach che devo segnalare?’ con discussione guidata. La capacità di riconoscimento è la misura più sottovalutata e più efficace contro i breach invisibili.

Priorità 4 — Investire sulle misure tecniche di rilevamento

Cifratura dei dati at-rest e in-transit; gestione granulare degli accessi con revisione periodica; log management con retention adeguata; EDR su tutti gli endpoint; MFA su tutti gli accessi remoti.

Azione concreta per le PMI: partire da tre misure ad alto impatto e costo contenuto — (1) BitLocker su tutti i laptop; (2) MFA su Microsoft 365 o Google Workspace; (3) backup automatico giornaliero con verifica mensile del ripristino. Queste tre misure eliminano o riducono drasticamente il rischio delle tipologie di breach più comuni.

Priorità 5 — Creare una cultura della segnalazione

Il principale ostacolo alla corretta gestione dei breach invisibili è culturale: il dipendente che ha sbagliato teme le conseguenze disciplinari e non segnala.

Azione concreta: adottare una safe harbour policy interna: chi segnala spontaneamente e tempestivamente un incidente non è soggetto a procedimento disciplinare, salvo dolo. Comunicarla esplicitamente in sede di formazione. Il costo di un breach non segnalato supera di decine di volte il costo disciplinare dell’errore segnalato.

Priorità 6 — Testare con simulazioni periodiche

La procedura di incident response non testata è carta straccia. Occorre condurre almeno due simulazioni all’anno su scenari realistici: email errata, accesso abusivo, ransomware, perdita di dispositivo.

Azione concreta: simulare un breach il venerdì pomeriggio il momento statisticamente più critico e misurare: (1) tempo dal rilevamento alla segnalazione interna; (2) qualità e completezza della documentazione prodotta; (3) rispetto delle tempistiche procedurali. Usare i risultati per migliorare la procedura.

Il ruolo del DPO nella gestione dei data breach

Il Responsabile della Protezione dei Dati svolge un ruolo che va ben oltre la funzione consultiva. L’art. 39 GDPR assegna al DPO compiti specifici che si declinano in tre fasi nella gestione dei breach:

1. Fase preventiva: verifica dell’adeguatezza delle misure di sicurezza, supervisione delle procedure di incident response, pianificazione delle simulazioni, formazione del personale, consulenza nelle DPIA.
2. Fase di gestione dell’incidente: supporto alla valutazione del rischio, supervisione della compilazione del registro, consulenza sulla decisione di notifica e sui contenuti della comunicazione agli interessati. Il DPO deve essere coinvolto ‘il prima possibile’ (EDPB GL 01/2021).
3. Fase post-incidente: supervisione dell’analisi causa-radice, verifica dell’implementazione delle misure correttive, aggiornamento del piano di sicurezza e del piano formativo.

Checklist di autovalutazione per le organizzazioni

Utilizzare questa checklist per una rapida autovalutazione.

Perché i data breach invisibili richiedono una risposta organizzata

I data breach invisibili sono la forma di violazione più diffusa, meno gestita e più pericolosa per le organizzazioni nel contesto normativo attuale. La loro invisibilità non è una caratteristica intrinseca: è il risultato di processi inadeguati, cultura organizzativa non matura e misure tecniche insufficienti. Il GDPR, con il suo impianto di accountability, non ammette l’ignoranza come esimente: il titolare che non vede i propri breach è responsabile di non averli cercati.

La sfida non è costruire fortezze inespugnabili, ma sviluppare sistemi nervosi sensibili e reattivi: capaci di rilevare, classificare, contenere e documentare ogni anomalia nel trattamento dei dati personali. La resilienza nel vocabolario del GDPR come di NIS2 è la capacità di rispondere agli incidenti in modo misurabile, documentato e migliorativo. E si costruisce prima che l’incidente accada.