Azienda Hackerata e Titolare Arrestato: Quando la Cyber

Salve a tutti, imprenditori e professionisti. Immaginate questo scenario: la vostra azienda subisce un attacco hacker e, invece di ottenere supporto, vi ritrovate dalla parte sbagliata della legge. Questo non è un film, ma una possibilità reale. Vediamo come e perché.

Indice

• Il Caso di Fyre Media
• Come si Arriva all'Arresto
• Misure Preventive
• La Necessità di una Polizza Cyber Risk
• Conclusione

Il Caso di Fyre Media

Nel 2017, il fondatore della Fyre Media, Billy McFarland, è stato arrestato per frode. Mentre il caso non era strettamente legato alla cyber sicurezza, l'assenza di adeguate misure di sicurezza ha aggravato la sua situazione legale.

Come si Arriva all'Arresto

1. Violazione dei Dati: Un attacco hacker espone dati sensibili di clienti o partner.
2. Inadempienze Legali: Mancanza di conformità a regolamenti come GDPR o altre leggi locali.
3. Responsabilità Diretta: In alcuni casi, la legge potrebbe considerare il titolare o la dirigenza responsabile per la negligenza.

Misure Preventive

1. Auditing: Verifica regolare dei sistemi di sicurezza e conformità alle leggi vigenti.
2. Piani di Risposta: Avere un piano d'azione in caso di violazione dei dati.
3. Copertura Assicurativa: Una polizza cyber risk può mitigare le conseguenze finanziarie e legali.

La Necessità di una Polizza Cyber Risk

In un mondo dove la responsabilità legale si allarga, avere una polizza cyber risk non è più un optional, ma un imperativo. Può proteggervi da risvolti finanziari e, in alcuni casi, legali.

Conclusione

La sicurezza cibernetica non è solo una questione tecnica ma anche legale. Ignorare questo aspetto potrebbe portarvi a confrontarvi con la legge in modi che non avreste mai immaginato. Una polizza cyber risk è fondamentale per navigare in questo intricato panorama legale.

Subire un attacco non è, di per sé, un illecito

Il punto va chiarito perché genera allarme inutile: essere vittima di un attacco informatico non espone di per sé a responsabilità. Ciò che può esporre è non aver adottato misure adeguate e, soprattutto, la gestione successiva all'incidente.

Il GDPR non impone un elenco di tecnologie obbligatorie: chiede misure tecniche e organizzative adeguate al rischio, valutate rispetto allo stato dell'arte, ai costi e alla natura dei dati trattati. Un'azienda piccola non deve avere le difese di una banca, ma deve poter dimostrare di aver fatto una valutazione ragionevole e di aver agito di conseguenza.

Dove si concentrano le contestazioni

• Mancata notifica. In caso di violazione di dati personali che comporti un rischio per i diritti degli interessati, la notifica al Garante va fatta entro 72 ore dalla scoperta. Se il rischio è elevato, va informato anche l'interessato. Il ritardo o l'omissione sono contestabili in modo autonomo rispetto all'incidente.
• Assenza di misure di base. Nessun backup, sistemi non aggiornati da anni, credenziali condivise, dati non cifrati: sono le circostanze che trasformano l'incidente in una contestazione.
• Mancanza di documentazione. Registro dei trattamenti, valutazione dei rischi, nomine dei responsabili, istruzioni al personale. In sede di verifica, ciò che non è documentato equivale a ciò che non è stato fatto.
• Occultamento. Ignorare l'incidente o minimizzarlo con gli interessati aggrava sistematicamente la posizione.

Cosa fare nelle prime 72 ore

1. Isolare i sistemi coinvolti e avviare l'analisi, senza distruggere le tracce.
2. Ricostruire quali dati sono stati coinvolti e quante persone riguardano.
3. Valutare la notifica al Garante e documentare la valutazione anche se si conclude che non va fatta: la motivazione va messa per iscritto.
4. Informare gli interessati quando il rischio per i loro diritti è elevato.
5. Presentare denuncia alla Polizia Postale.
6. Aprire la denuncia di sinistro alla compagnia, se esiste una copertura cyber.

Il ruolo dell'assicurazione, e i suoi limiti

Le polizze cyber possono coprire le spese di assistenza legale, la gestione della crisi, i costi di notifica e la responsabilità civile verso i terzi danneggiati. È importante sapere però che le sanzioni amministrative non sono sempre assicurabili: la loro copertura dipende dall'ordinamento applicabile e dalle condizioni della singola polizza, e in diversi casi è espressamente esclusa.

È esattamente il tipo di dettaglio da verificare nelle Condizioni di Assicurazione prima della sottoscrizione, insieme ai requisiti minimi di sicurezza da cui dipende l'operatività della garanzia.