Cybersecurity e responsabilità aziendale

Pur avendo adottato le misure di sicurezza per il trattamento dei dati personali, un’azienda inglese è stata  sanzionata dal Garante a seguito di un attacco informatico.  

La sanzione è stata inflitta dall’Information Commissioner’s Office (ICO) del Regno Unito alla società Interserve Group Limited. L’ICO ha multato Interserve per 4,4 milioni di sterline (circa 5,1 milioni di euro) a seguito di un attacco informatico che ha compromesso i dati personali di circa 113.000 dipendenti.  

L’attacco è stato facilitato dall’apertura di una e-mail di phishing contenente un malware, che ha permesso agli aggressori di accedere ai sistemi aziendali e criptare una vasta gamma di informazioni sensibili.  

I FATTI IN BREVE 

Un impiegato di una società inglese ha ricevuto da un presunto fornitore una email contenente un sollecito di pagamento relativo a una fattura; ha inoltrato l’email a un collega dell’amministrazione, che ha scaricato e aperto il file ZIP allegato all’email. In realtà la mail era una mail di phishing: l’allegato non conteneva alcuna fattura, ma attivava il download del malware che si introduceva nel PC dell’impiegato amministrativo, e apriva un canale di accesso per l’attaccante.  

Nonostante l’antivirus installato nel PC dell’impiegato amministrativo segnalasse la rimozione del file infetto, non era stata svolta alcuna azione da parte dell’organizzazione per verificare l’effettiva e completa eliminazione del malware dal PC.  

In realtà l’attaccante, tramite la backdoor, è riuscito ad accedere all’intera rete aziendale e ad avviare la criptazione di tutti i dati (relativi a clienti, fornitori e dipendenti) presenti nei server aziendali, tra cui numeri di telefono, Indirizzi email, dettagli dei conti bancari, data di nascita, informazioni sulla formazione, origine etnica, convinzioni religiose, dettagli su disabilità, salute e malattie professionali.  

Il Garante inglese ha quindi sanzionato l’organizzazione con una multa da 4.4 milioni di sterline, equivalenti a circa 5.1 milioni di euro. L’ICO ha rilevato che, sebbene l’azienda disponesse di politiche di sicurezza, queste non erano state implementate efficacemente né supportate da una formazione adeguata del personale. 

“Secondo IBM, il costo medio di una violazione dati nel 2023 ha raggiunto i 4,45 milioni di dollari per azienda.” 

Accanto alla sanzione del Garante, è interessante evidenziare anche il costo economico che un’azienda può subire in seguito a un data breach (costi di ripristino, perdita di reputazione, risarcimenti ai clienti, ecc.). 

Cosa insegna questa sanzione?  

Non basta avere policy di sicurezza: bisogna applicarle e testarle con audit regolari. 
La formazione dei dipendenti è essenziale per prevenire attacchi di phishing.
Le aziende devono avere protocolli chiari per gestire e rispondere agli incidenti informatici per ridurre i rischi anche finanziari che ne derivano

Investire nella cybersecurity non è un’opzione, è un obbligo per proteggere i dati aziendali e la reputazione dell’impresa.

Ecco 3 soluzioni pratiche che un’azienda dovrebbe adottare per mettersi al riparo da rischi simili: 

✔ Audit di sicurezza periodici per verificare l’applicazione delle policy.
✔ Simulazioni di attacchi phishing per testare la prontezza dei dipendenti.
✔ Implementazione di sistemi di rilevamento avanzati oltre al semplice antivirus.