Archivi categoria: Databreach

Data breach: Garante, le comunicazioni agli utenti non devono essere generiche

Le comunicazioni agli utenti dei data breach non devono essere generiche e devono fornire precise indicazioni su come proteggersi da usi illeciti dei propri dati, primo fra tutti il furto di identità. È quanto affermato dal Garante per la privacy nel provvedimento adottato nei confronti di uno tra i principali fornitori nazionali di servizi di posta elettronica.

La società dovrà effettuare una nuova comunicazione sul data breach subito nei mesi scorsi, che aveva provocato l’accesso fraudolento alle caselle di posta elettronica di circa un milione e mezzo di propri utenti. La nuova comunicazione dovrà contenere una descrizione della natura della violazione e delle sue possibili conseguenze e dovrà fornire agli utenti precise indicazioni sugli accorgimenti da adottare per evitare ulteriori rischi. Nel caso specifico, ad esempio, dovrà essere spiegato agli utenti di non utilizzare più le credenziali compromesse e di modificare la password utilizzata per l’accesso a qualsiasi altro servizio online se uguale o simile a quella violata.

La decisione è stata presa dall’Autorità nell’ambito di un procedimento avviato a seguito della notifica di data breach trasmessa al Garante dall’azienda. Nella notificazione dell’incidente di sicurezza, la società ha dichiarato che il 20 febbraio scorso le analisi tecniche avevano evidenziato un accesso fraudolento tramite un hotspot della rete Wifi, dal quale era derivata la violazione di circa un milione e mezzo di credenziali di utenti che avevano avuto accesso tramite webmail.

Per contenere le possibili conseguenze del data breach la società aveva “forzato” gli utenti a reimpostare la password e predisposto una pagina apposita sul proprio sito per informare della violazione, in attesa di inviare una mail a tutti agli interessati colpiti dall’incidente. Mail effettivamente inviata, ma che, dagli atti acquisiti dal Garante nel corso di un’ispezione, è risultata carente e non in linea con quanto previsto dalla normativa sulla tutela dei dati personali. La società, infatti, aveva inviato due diverse comunicazioni a seconda che l’utente avesse provveduto o meno a effettuare il cambio della password entro le 48 ore successive all’avviso dell’avvenuto data breach.

In entrambi i casi la violazione era descritta come “attività anomala sui sistemi” e a chi aveva cambiato la password non veniva suggerita alcuna ulteriore azione correttiva, affermando che il cambio di password aveva reso inutilizzabili le credenziali precedenti; a chi, invece, non aveva provveduto alla modifica si suggeriva solamente di cambiare la password per “eliminare il rischio di accesso indesiderato alla casella mail”. Informazioni ritenute dall’Autorità insufficienti, a fronte dei possibili e gravi rischi ai quali sono stati esposti gli utenti.

 

10 consigli pratici per una migliore registrazione delle violazioni dei dati

10 consigli pratici per una migliore registrazione delle violazioni dei dati
Sulla base dei risultati della ricerca, l’AP viene fornito con 10 suggerimenti pratici per una migliore registrazione delle violazioni dei dati:

Descrivere in modo chiaro e completo incidenti, conseguenze e misure correttive;
Fare una distinzione esplicita tra misure correttive e preventive. Registra sempre le misure correttive nel registro di violazione dei dati. Può essere utile includere queste misure nel ciclo plan-do-check / learn-act;
Evitare la frammentazione delle registrazioni; crea una registrazione ben organizzata che viene inserita allo stesso livello di dettaglio dei dettagli per ogni unità organizzativa. Considerare, ad esempio, rendere la registrazione trasparente a tutti i dipendenti in modo che possano consultare la panoramica della registrazione prima di registrare qualcosa da soli;
Registrare per caso se il responsabile della protezione dei dati (FG) è coinvolto e, in tal caso, in quale misura. Ogni organizzazione governativa ha un FG.
Registrare per caso se la violazione dei dati è stata segnalata all’AP e ai soggetti coinvolti e spiegare perché ciò è accaduto o meno;
Sii trasparente nei confronti delle persone interessate se c’è stata una violazione dei dati. Comunicare in modo efficace e tempestivo su questo. Conservare la prova di tale notifica e registrarla nella registrazione. 
Preparare un manuale o fornire formazione per i dipendenti che completano la registrazione della violazione dei dati. Questa istruzione può essere parte di una procedura di segnalazione documentata per l’obbligo di segnalazione di violazione dei dati.
Registrare quali altre organizzazioni sono state coinvolte in una violazione (ad esempio co-processori, processori o sub-processori). Ciò è utile se un’organizzazione stipula nuovi accordi con il processore con i relativi processori.
Valutare la classificazione delle violazioni dei dati in base alla natura, alle conseguenze e alle parti coinvolte e alle possibili misure;
Discutere regolarmente la registrazione della violazione dei dati al livello giusto all’interno dell’organizzazione come parte di un ciclo di pianificazione-controllo / apprendimento. In questo modo le organizzazioni possono imparare dagli errori. Il FG può svolgere un ruolo attivo in queste discussioni.

Fonte: Simone Chiarelli

Come scrivere correttamente la #procedura gestione #data #breach: un esempio concreto

La procedura di gestione data breach è un elemento fondamentale della documentazione privacy secondo il Reg. Ue 2016/679. Si tratta di un elemento portante del sistema GDPR aziendale.
Vediamo come deve essere correttamente strutturata questa procedura, fornendoti un esempio concreto che puoi scaricare dal seguente link:
Accedi a www.clubdpo.com

Identificazione delle vulnerabilità della violazione dei dati per limitare la responsabilità

La gestione delle informazioni della tua azienda per ridurre al minimo il rischio legale creato da attacchi informatici e violazioni dei dati è sempre più importante.

dpocorso

È importante avere una visione chiara dell’intero panorama delle minacce relativi ai dati aziendali.

Da un lato gli attacchi informatici, che godono di una maggiore risonanza mediatica. Dall’altra non meno importanti sono “incidenti” come lo smarrimento di un computer o la cancellazione accidentale di un file, per i danni che possono provocare come conseguenza di una violazione dei dati.

Gli incidenti che possono causare una violazione dei dati possono essere accidentali o intenzionali, provocati da persone note della tua azienda (minacce interne) o da “entità” estranee (minacce esterne).

Le violazioni accidentali possono includere la perdita di documenti o attrezzature (come telefoni cellulari o laptop), l’invio di dati alla persona sbagliata, l’accesso non autorizzato a dischi condivisi o applicazioni aziendali e guasti alle apparecchiature (inclusi computer, software o server). Le persone conosciute dalla tua azienda, come dipendenti o partner, possono anche causare violazioni intenzionali rubando o divulgando dati nel tentativo di avere un profitto o sabotare l’azienda.

D’altro canto, le minacce esterne sono più spesso intenzionali e includono tentativi di rubare i dati hackerando o utilizzando tattiche di phishing per installare malware.