Recommended Free Tools
iTechGuides is reader-supported. When you buy through links on our site, we may earn an affiliate commission. As an Amazon Associate I earn from qualifying purchases. Learn more
Non c’è una regola generale che obblighi ogni azienda a fermare tutto o ad avvisare subito ogni cliente e fornitore dopo un ransomware. Si può proseguire con le attività che restano sicure, purché non intralcino il contenimento. Ma decidere di non fare un annuncio indiscriminato è diverso dal tacere quando una notifica è dovuta: gli obblighi dipendono dai dati coinvolti, dai rischi per le persone e per i servizi, dall’ambito normativo e dai contratti.
Continuare a lavorare durante un ransomware: quando è ragionevole?
Le regole UE considerate non impongono a tutte le imprese di spegnere ogni sistema o sospendere ogni attività in caso di ransomware. La continuità, però, non può essere decisa come se l’attacco fosse soltanto un problema di produttività: deve procedere insieme al contenimento e alla valutazione dei rischi.
La domanda pratica è quali processi possano continuare senza dipendere da sistemi compromessi, diffondere l’attacco o esporre altre persone. La decisione dovrebbe coinvolgere chi guida la risposta, i responsabili IT e sicurezza, la direzione e, secondo il caso, le funzioni legale e privacy. Vanno considerate anche le conseguenze di un’interruzione per chi dipende dal servizio.
What’s actually slowing this PC down?
Pick the symptom - the matching free tool is one click away.
- Proseguire: attività basate su sistemi ritenuti affidabili e che non ostacolano isolamento, indagine o ripristino.
- Limitare o sospendere: processi collegati a sistemi sospetti o per i quali la prosecuzione può aggravare l’impatto o compromettere il contenimento.
- Documentare: sistemi isolati, verifiche, decisioni, motivazioni e relativi orari, così da ricostruire l’incidente e le valutazioni effettuate.
La decisione va aggiornata man mano che emergono fatti nuovi. La continuità non giustifica il rinvio di una comunicazione che la legge o un contratto richiede tempestivamente.
Un ransomware può essere un data breach anche senza prova di furto?
Sì. Una violazione di dati personali non riguarda soltanto la riservatezza: può compromettere anche l’integrità o la disponibilità dei dati. Perciò la cifratura o l’indisponibilità di dati personali richiede una valutazione GDPR anche se non è ancora emersa prova che l’attaccante li abbia copiati. La Commissione europea spiega come riconoscere una violazione e quali passi valutare.
Per il titolare del trattamento, la notifica all’autorità di controllo è dovuta se la violazione presenta un rischio per i diritti e le libertà delle persone. Va fatta senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui il titolare ne è venuto a conoscenza; l’eccezione è quando è improbabile che la violazione presenti un rischio. L’articolo 33 del GDPR stabilisce il criterio e il termine.
La comunicazione alle persone interessate è una decisione distinta: è richiesta quando è probabile un rischio elevato per i loro diritti e libertà, salvo le eccezioni previste dal regolamento. L’incertezza iniziale non va trasformata in silenzio automatico; occorre valutare tempestivamente il rischio e, se necessario, informare in modo efficace, anche con una comunicazione pubblica o una misura equivalente. La guida della Commissione sugli obblighi GDPR tratta anche la notifica delle violazioni.
Quick wins for a faster PC:
Clear out junk files and repair common Windows errorsFree Scan →Scan for outdated or missing drivers - takes under a minuteDriver Scan →Repair Windows errors before they cause bigger problemsFix Now →Se l’azienda tratta dati per conto di un altro soggetto, il responsabile del trattamento deve informare il titolare senza ingiustificato ritardo. Questo obbligo non significa che ogni fornitore commerciale debba ricevere un avviso per qualsiasi attacco.
Quando si applicano le notifiche NIS2?
NIS2 non si applica indistintamente a tutte le imprese e non rende significativo ogni ransomware. La procedura riguarda gli incidenti significativi per le entità rientranti nel suo ambito. La direttiva considera significativo un incidente che ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per l’entità, oppure che ha colpito o può colpire altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli. Contano quindi le caratteristiche dell’incidente e il suo impatto, non soltanto la presenza di ransomware.
Per le entità in ambito, le comunicazioni previste dall’articolo 23 della direttiva NIS2 sono scandite così:
- Preallarme: senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo.
- Notifica: entro 72 ore dalla conoscenza, con una valutazione iniziale della gravità e dell’impatto.
- Rapporto finale: di norma entro un mese. Se l’incidente è ancora in corso alla scadenza, è previsto un rapporto sullo stato e il rapporto conclusivo entro un mese dalla gestione dell’incidente.
La direttiva prevede inoltre, ove appropriato e senza indebito ritardo, di avvisare i destinatari dei servizi quando un incidente significativo può pregiudicarne la fornitura. Le linee guida della Commissione sull’applicazione dell’articolo 4 NIS2 chiariscono che si parla dei destinatari del servizio e che la valutazione riguarda la gravità dell’interruzione o un danno considerevole. Non è un obbligo di avviso indistinto a ogni fornitore commerciale.
Clienti, fornitori e autorità: chi può dover essere informato?
“Avvisare tutti” non è una categoria giuridica unica. Prima di inviare comunicazioni, distinguere il destinatario e il motivo dell’avviso: una notifica all’autorità, un’informazione alle persone i cui dati sono a rischio e un aggiornamento agli utenti di un servizio rispondono a presupposti diversi.
| Destinatario | Quando valutare la comunicazione | Che cosa verificare |
|---|---|---|
| Autorità di controllo privacy | Quando la violazione di dati personali presenta un rischio per i diritti e le libertà delle persone. | Se dati personali sono stati compromessi, anche quanto a disponibilità o integrità, e qual è il rischio. |
| Persone interessate | Quando è probabile un rischio elevato per i loro diritti e libertà, fatti salvi i casi di eccezione previsti dal GDPR. | Chi può essere coinvolto e se l’avviso è necessario per informarlo efficacemente. |
| Destinatari di un servizio | Per un’entità soggetta a NIS2, ove appropriato, se un incidente significativo può pregiudicare la fornitura. | Quale servizio è colpito e quale impatto concreto ricade sui suoi destinatari. |
| Fornitori, partner e clienti contrattuali | Quando devono collaborare alla risposta, sono coinvolti nel trattamento dei dati o lo richiedono contratto o norme settoriali. | Ruoli privacy, clausole applicabili, necessità di cooperazione e obblighi specifici. |
Un cliente può essere destinatario di un servizio, persona interessata o controparte contrattuale: il ruolo concreto conta più dell’etichetta. Anche un fornitore può essere responsabile del trattamento, ma il suo obbligo di informare il titolare non equivale a un obbligo generale dell’azienda di avvisare tutti i fornitori.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Cosa fare se i fatti non sono ancora chiari
Le scadenze e le valutazioni possono iniziare mentre l’indagine è in corso. Non è necessario attendere una ricostruzione perfetta per avviare il processo di risposta e stabilire se una notifica sia dovuta.
- Contenere: isolare i sistemi sospetti secondo il piano di risposta, coordinando l’intervento con chi dirige l’incidente.
- Conservare le evidenze: registrare orari, sistemi coinvolti, decisioni e informazioni raccolte, senza trascurare le esigenze dell’indagine.
- Valutare i dati: verificare se dati personali possono essere stati cifrati, alterati, resi indisponibili o esposti; l’assenza iniziale di prova di esfiltrazione non chiude la valutazione.
- Verificare l’ambito: accertare se l’organizzazione rientra in NIS2 e se si applicano obblighi settoriali o clausole contrattuali.
- Valutare l’impatto sui destinatari: identificare i servizi compromessi e le persone o organizzazioni che possono subirne le conseguenze.
- Decidere e comunicare: coinvolgere le funzioni competenti e inviare le notifiche dovute nei tempi applicabili, aggiornando le valutazioni quando arrivano nuovi elementi.
Per un’azienda italiana, appartenenza al perimetro NIS2, autorità e canali nazionali competenti, disciplina settoriale e obblighi contrattuali vanno verificati sul caso concreto. I testi UE e le indicazioni citate non determinano da soli l’applicabilità a una specifica impresa né sostituiscono una valutazione tecnica o legale dell’incidente.
Do these 3 things before closing this tab:
1Fix the driver behind crashes, sound loss and screen glitches2Repair Windows errors before they cause bigger problems3Scan for outdated or missing drivers - takes under a minuteQuick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
