Il panico da 72 ore

Capita sempre di beverdì.. Ops, venerdì. È quasi una legge fisica, questa: il sistemista sta chiudendo il portatile, sono le 17:30 di un venerdì di agosto, e squilla il telefono. Un database non risponde. Le tabelle sono sparite, sovrascritte, oppure, peggio ancora, un server sta mandando dati verso un IP che nessuno riconosce, da qualche parte all'estero.

Da lì il weekend è finito. Ufficialmente. Parte un conto alla rovescia che non perdona: 72 ore.

Se ne parla proprio in questi giorni perché l'European Data Protection Board ha appena chiuso la consultazione pubblica sulle nuove linee guida per il modello europeo di notifica delle violazioni, pensato per essere più rigido e uguale in tutta Europa. Basta notifiche vaghe scritte tanto per, basta prendere tempo. L'Unione vuole procedure rapide e tracciabili, punto.

Il timer che nessuno legge bene

Quasi tutti pensano che l'articolo 33 del GDPR conceda tre giorni per sistemare il problema. Non è così, e non lo è mai stato.

Le 72 ore non partono da quando risolvi il problema. Partono da quando hai la ragionevole certezza che qualcosa sia andato storto, e a quel punto il Garante va avvisato, che tu abbia già capito tutto o no. Non ti chiedono di aver già ripristinato i backup, o di aver stanato l'hacker. Ti chiedono di dire cosa è successo, quali dati sono coinvolti, che rischio corrono le persone, e cosa stai facendo per limitare il danno.

Ecco la prima trappola, quella vera: se non sai cosa è uscito dai tuoi server, come fai a dire quanto è grave?

"Dai, erano solo dati interni"

È la reazione più comune. La conosco bene: "Dai bro, riavviamo il server, ripristiniamo il backup di ieri e non diciamo niente a nessuno, tanto chi vuoi che se ne accorga."

Male. Molto male. A parte che è un illecito, con multe fino a 10 milioni di euro o al 2% del fatturato globale, è anche un errore di calcolo: quando qualcuno entra nei tuoi sistemi, quasi mai si limita a cifrare i dati. Se li porta via. Esfiltrazione, la chiamano gli addetti ai lavori, che è solo un modo elegante per dire "te li hanno rubati, non solo bloccati".

E a quel punto devi capire una cosa scomoda:

se quei dati rubati mettono a rischio le persone coinvolte, non basta avvisare il Garante. Devi avvisare anche loro, direttamente, come dice l'articolo 34 del GDPR. Se sono uscite credenziali, dati bancari, documenti d'identità, il rischio di furto d'identità o di un phishing costruito su misura è altissimo. Fare finta di niente non fa sparire il problema. Lo trasforma in un disastro doppio: tecnico e reputazionale insieme.

Come si sopravvive al venerdì pomeriggio?

La buona notizia è che non serve un miracolo dell'ultimo minuto. Serve aver fatto i compiti prima, quando tutto era ancora tranquillo.

Un Incident Response Plan vero.

Non il PDF che qualcuno ha scritto due anni fa e che oggi fa più che altro da fermaporta. Deve dire, nero su bianco, chi stacca i server dalla rete. Chi chiama i legali. Chi va a guardare i log. E chi, con la fortuna che si merita, deve scrivere la bozza da mandare al Garante. Con la NIS2, per molte aziende, questo non è più un optional: è un obbligo.

La DPIA e sapere dove stanno i tuoi dati.

Se hai fatto sul serio la Valutazione di Impatto sulla Protezione dei Dati (in pratica: la mappa di dove sono i dati sensibili e come sono protetti) e tieni aggiornato il Registro dei Trattamenti, in caso di guaio sai già dove guardare. Capisci la gravità in due ore, non in due giorni passati a cercare a tentoni.

Il Registro dei Breach, anche quando "non è successo niente".

Non tutti gli incidenti finiscono con una notifica al Garante: se l'attacco viene bloccato in tempo, o se i dati rubati erano comunque illeggibili perché ben cifrati, magari la notifica non serve. Ma l'articolo 33 comma 5 ti obbliga comunque a scrivere tutto nel registro interno: cosa è successo, che effetto ha avuto, perché hai deciso di non notificare. Il giorno in cui arriva un'ispezione, è quel foglio a salvarti.

Il nuovo modello dell'EDPB va esattamente in questa direzione: meno improvvisazione, più procedure scritte prima che servano davvero.

E alla fine i più bravi non sono quelli che non vengono mai attaccati. Non esistono, quelli. Sono quelli che il venerdì pomeriggio, quando arriva la chiamata, sanno già cosa fare, invece di guardare lo schermo con la faccia da pesce lesso.

Nota di trasparenza: Le informazioni contenute in questo articolo hanno finalità esclusivamente divulgative e informative e non costituiscono consulenza legale, societaria o professionale formale. In caso di presunto o accertato data breach, si invita a consultare tempestivamente il proprio DPO (Data Protection Officer) o un consulente legale specializzato.