Blog

Nel 2021 abbiamo avuto valori in crescita sugli attacchi
informatici: in Italia è stato raggiunto il 40% in più,
con il deprimente primato in Europa, e anche il 2022 si è
presentato già come un anno altrettanto difficile.

I “criminali informatici” (comunemente definiti Hacker) hanno
operato perlopiù con la richiesta di riscatto (il ransomware),
e con la pretesa del “pagamento per non divulgazione” del
contenuto trafugato (esempi noti e recenti sono ASL6 di Padova,
SIAE, MONCLER, San Carlo, Bricofer…).
Altra “novità” dell’anno è stata rappresentata dagli attacchi
alla supply chain (catena di fornitura). In altre parole,
attaccando un fornitore “debole” si è in grado di raggiungere i
clienti dello stesso, compromettendone le informazioni/dati (vedi Direttiva
NIS della precedente Newsletter).
Questi attacchi possono generare il fermo azienda e la relativa
improduttività, il mancato fatturato e in alcuni casi anche la
perdita di immagine e di credibilità.

Quali sono le differenze tra attacchi informatici, incidenti
di sicurezza e data breach?
Attacchi informatici
Tentativo malevolo e intenzionale da parte di un
individuo o di un’organizzazione di violare il sistema
informativo di un altro individuo o azienda. Gli attacchi
informatici, se vanno a buon fine, sono causa di incidenti e/o data
breach.
Incidenti di sicurezza
Evento che ha una significativa probabilità o sta già
avendo un impatto negativo sul business del soggetto interessato.
C’è il rischio concreto di compromettere le operazioni commerciali
dell’azienda e minacciare la sicurezza delle informazioni.
Data breach
Violazione di sicurezza che comporta (accidentalmente o in
modo illecito) la distruzione, la perdita, la modifica, la
divulgazione non autorizzata o l’accesso ai dati personali
trasmessi, conservati o comunque trattati. Una violazione dei
dati personali può compromettere la riservatezza, l’integrità o la
disponibilità di dati personali.

Come potete mettervi in sicurezza e difendervi da questi
eventi?
Di certo non è sufficiente un semplice dispositivo o un semplice
software anti-malware, ma si tratta di una costante ricerca di
un eccellente livello di sicurezza ottenuto anche a livello
organizzativo; una corretta gestione delle attività di trattamento
delle informazioni è alla base di ogni principio di sicurezza.
Il GDPR pone obiettivi di sicurezza per i dati
personali, rispetto a quattro fattori: riservatezza, integrità,
disponibilità e resilienza dei sistemi.
Le norme di riferimento sono la ISO/IEC 27001, che
contiene i requisiti per impostare e gestire un sistema di gestione
della sicurezza delle informazioni  rispetto a riservatezza,
integrità e disponibilità, la ISO/IEC 27701, che fornisce
una linea guida per le organizzazioni che desiderano implementare un
sistema di gestione delle informazioni personali in conformità a
quanto stabilito dal GDPR, e la ISO/IEC 27035, che fornisce
una linea guida a copertura dei processi per una gestione efficace
degli incidenti, delle vulnerabilità e degli eventi di sicurezza,
prevedendo misure preventive e correttive in risposta a qualsiasi
tipo di attacco informatico.

Per essere più pratici, avete la necessità di un piano
di risposta agli incidenti di sicurezza informatica,
ovvero di un insieme di istruzioni per aiutare i vostri
collaboratori (e voi stessi) a individuare eventuali incidenti di
sicurezza informatica, reagire ad essi e riprendersi in seguito
all’attacco.
In questo modo, sarete più preparati a gestire attacchi informatici,
nel rispetto delle normative previste.