Attacco hacker ai sistemi informatici della Regione Lazio: sanzioni del Garante privacy

Tratto da www.garanteprivacy.it – Newsletter del 10/04/2024

Con tre sanzioni di 271mila, 120mila e 10mila euro, irrogate rispettivamente a LAZIOcrea (società che gestisce i sistemi informativi regionali), alla Regione Lazio e alla ASL Roma 3, il Garante Privacy ha definito i procedimenti aperti dopo l’attacco informatico al sistema sanitario regionale avvenuto nella notte tra il 31 luglio e il 1° agosto del 2021. Il data breach – causato da un ransomware introdotto nel sistema attraverso un portatile in uso a un dipendente della Regione – ha bloccato l’accesso a molti servizi sanitari impedendo, tra l’altro, la gestione delle prenotazioni, i pagamenti, il ritiro dei referti, la registrazione delle vaccinazioni. Asl, aziende ospedaliere, case di cura non hanno potuto utilizzare alcuni sistemi informativi regionali, attraverso i quali sono trattati i dati sulla salute di milioni di assistiti, per un arco temporale che è andato da poche ore (48) ad alcuni mesi. [VEDI PROVVEDIMENTI doc. web n. 10002324, 10002533, 10002287]

Dagli accertamenti e dalle ispezioni effettuate dall’Autorità è emerso che LAZIOcrea e Regione Lazio, pur con differenti ruoli e livelli di responsabilità, sono incorse in numerose e gravi violazioni della normativa privacy, dovute in prevalenza all’adozione di sistemi non aggiornati e alla mancata adozione di misure di sicurezza adeguate a rilevare tempestivamente le violazioni di dati personali e a garantire la sicurezza delle reti informatiche.

L’inadeguata sicurezza dei sistemi ha determinato, nel corso dell’attacco informatico, l’impossibilità per le strutture sanitarie regionali di accedere al sistema ed erogare alcuni servizi sanitari ai loro assistiti. In particolare, l’indisponibilità dei dati è stata determinata dall’attacco informatico, che ha reso inaccessibili circa 180 server virtuali, nonché dalla scelta di LAZIOcrea di spegnere tutti i sistemi, non essendo in grado di determinare quali fossero quelli compromessi, né di evitare un’ulteriore propagazione del malware. Inoltre, LAZIOcrea non ha posto in essere le azioni necessarie per una gestione corretta del data breach e delle sue conseguenze, in particolare nei confronti dei soggetti per i quali svolge compiti da responsabile del trattamento (a partire dalle numerose strutture sanitarie coinvolte).

La Regione Lazio, dal canto suo, in qualità di titolare del trattamento, avrebbe dovuto esercitare in maniera più efficace la vigilanza su LAZIOcrea, quale suo responsabile del trattamento, assicurando un livello di sicurezza adeguato ai rischi nonché la protezione dei dati fin dalla progettazione.

Nel definire l’ammontare delle sanzioni il Garante ha tenuto conto della natura e della gravità delle violazioni, nonché del grado di responsabilità, in particolare, di soggetti come LAZIOcrea e la Regione Lazio.

Alla Asl Roma 3 che, diversamente da altre strutture sanitarie, non ha notificato il data breach determinato dall’indisponibilità dei dati sulla salute degli assistiti trattati nell’ambito di alcuni sistemi, il Garante ha applicato la sanzione di 10mila euro.

Data breach: il Garante sanziona UniCredit per 2,8 milioni di euro. Multa di 800mila euro anche alla società incaricata di effettuare i test di sicurezza

Tratto da www.garanteprivacy.it – Newsletter del 07/03/2024

Le banche devono adottare tutte le necessarie misure tecnico-organizzative e di sicurezza per evitare che i dati dei propri clienti possano essere sottratti illecitamente. Lo ha affermato il Garante per la privacy nel sanzionare UniCredit banca per una violazione di dati personali (data breach) avvenuta nel 2018, che ha coinvolto migliaia di clienti ed ex clienti.

Dalle verifiche effettuate dall’Autorità – a seguito della ricezione della notifica di data breach da parte della banca – è emerso che la violazione era avvenuta a causa di un attacco informatico massivo, perpetrato da cybercriminali, al portale di mobile banking. L’attacco aveva causato l’acquisizione illecita del nome, cognome, codice fiscale e codice identificativo di circa 778mila clienti ed ex clienti e, per oltre 6.800 dei clienti “attaccati”, aveva comportato anche l’individuazione del PIN di accesso al portale. I dati erano resi disponibili nella risposta HTTP fornita dai sistemi della banca al browser di chiunque provasse ad accedere, anche senza riuscirvi, al portale di mobile banking.

Nel corso della complessa attività istruttoria, il Garante ha rilevato diverse violazioni della normativa privacy. In particolare, l’Autorità ha accertato che la banca non aveva adottato misure tecniche e di sicurezza in grado di contrastare efficacemente eventuali attacchi informatici e di impedire ai propri clienti di utilizzare PIN deboli (come ad es. quelli composti da sequenze di numeri o coincidenti con la data di nascita). Nel definire l’importo della sanzione a 2 milioni e 800 mila euro, il Garante ha considerato l’elevato numero dei soggetti coinvolti dalla violazione dei dati personali, la gravità della stessa e la capacità economica della banca. Sono invece state considerate attenuanti la tempestiva adozione di misure correttive, le iniziative di informazione e supporto poste in essere nei confronti della clientela e la circostanza che la violazione non ha riguardato i dati bancari.

Con l’adozione di un secondo provvedimento l’Autorità è intervenuta anche nei confronti di NTT Data Italia, sanzionando la società con una multa di 800mila euro. Dalle verifiche effettuate dal Garante, in particolare è emerso che NTT Data Italia aveva comunicato ad UniCredit l’avvenuta violazione dei dati personali dei propri clienti oltre il termine previsto dal Regolamento e solo dopo che la banca ne era venuta a conoscenza tramite i propri sistemi di monitoraggio interno.

Inoltre, NTT Data Italia aveva affidato l’esecuzione delle attività di vulnerability assessment e penetration testing in subappalto ad un’altra società, senza l’autorizzazione preventiva alla banca in qualità di titolare del trattamento, che invece aveva espressamente vietato l’affidamento a terze parti di tali attività.

Data breach: Garante privacy sanziona Inail per 50mila euro

Tratto da www.garanteprivacy.it – GPDP Newsletter del 30/05/2022

L’ente ha subito tre violazioni di dati sugli infortuni dei lavoratori

Tutti gli enti pubblici, in particolare quelli con rilevanti competenze istituzionali, devono adottare adeguate misure tecniche e organizzative per evitare violazioni dei dati personali. Lo ha ribadito il Garante per la privacy nel sanzionare l’Inail, che ha registrato tre incidenti informatici che hanno comportato l’accesso non autorizzato ai dati di alcuni lavoratori, in particolare quelli sulla salute e sugli infortuni subiti.

Dall’istruttoria del Garante è emerso che, almeno in tre diverse occasioni, lo “Sportello Virtuale Lavoratori” gestito dall’Ente avrebbe consentito ad alcuni utenti di consultare accidentalmente le pratiche di infortunio e malattia professionale di altri lavoratori. In un caso, peraltro, l’incidente si è verificato a seguito dell’esecuzione di una versione non aggiornata dello “Sportello Virtuale Lavoratori”, a causa di un errore umano.

Nel provvedimento, l’Autorità ha rimarcato che un Ente con così significative competenze istituzionali, che comportano il trattamento di dati particolarmente delicati riferibili a interessati anche vulnerabili, è tenuto ad adottare, in linea con il principio di responsabilizzazione richiesto dal Gdpr, misure tecniche e organizzative che assicurino su base permanente la riservatezza dei dati trattati, nonché l’integrità dei relativi sistemi e servizi.

Il Garante per la privacy, tenuto conto della piena collaborazione offerta dalla pubblica amministrazione nel corso dell’istruttoria e del numero esiguo di persone coinvolte nei data breach individuati, ha comminato all’Ente una sanzione di 50.000 euro.

Data breach: le istruzioni dei Garanti privacy Ue per gestire le violazioni di dati

Tratto da www.garanteprivacy.it

Adottate le nuove linee guida, avviata una consultazione pubblica europea

Come procedere in caso di attacchi ransomware, di esfiltrazione di dati, di perdita o furto di dispositivi e documenti cartacei? A questa e ad altre domande rispondono le linee guida, adottate dall’Edpb (Comitato europeo per la protezione dei dati), per aiutare imprese e pubblica amministrazione ad affrontare correttamente le violazioni dei dati e definire i processi di gestione del rischio.

Le “Guidelines 01/2021 on Examples regarding Data Breach Notification”, approvate nella riunione plenaria del 14 gennaio scorso, si basano sull’analisi dei casi più significativi di violazione dei dati – affrontati dai Garanti privacy nazionali, incluso quello italiano – subiti da banche, ospedali, medie imprese, municipalità, società che offrono servizi online di vario genere.

Sul documento l’Edpb ha avviato una consultazione pubblica per un periodo di sei settimane (fino al 2 marzo 2021).

Le linee guida presentano, per ciascuna casistica, esempi di buone o cattive pratiche, raccomandano modalità di identificazione e valutazione dei rischi (evidenziando i fattori che meritano particolare considerazione), indicano in quali casi chi tratta i dati deve notificare la violazione all’Autorità Garante e, se necessario, informare le persone coinvolte.

Tra le mancanze più frequenti ricordati dalle Linee guida vi è, ad esempio, l’omessa cifratura dei dati che consente a chi li acquisisce in maniera fraudolenta di consultare informazioni riservate. Potrebbe facilitare violazioni anche la non corretta gestione dell’autenticazione degli utenti a siti web, magari a causa dell’utilizzo di password deboli o conservate in chiaro. Nel settore bancario, potrebbe causare enormi danni l’impiego di identificativi di sessione all’interno degli indirizzi web degli utenti, informazioni che facilitano l’accesso illecito a contenuti che dovrebbero rimanere protetti. Drammatiche potrebbero essere le conseguenze di un attacco ransomware (un virus informatico che rende inservibili i dati fino al pagamento di un eventuale riscatto) ai referti e ad altri documenti dei pazienti di un ospedale, a meno che la struttura sanitaria non abbia provveduto a effettuare un backup separato dei dati. Non bisogna sottovalutare anche i problemi che può causare una semplice e-mail spedita ai destinatari sbagliati.

Il testo, che integra e aggiorna gli orientamenti già forniti negli anni passati dal Gruppo “Articolo 29”, proprio per offrire un contributo concreto a imprese e Pa, analizza anche le misure adottate dai titolari del trattamento, prima di aver subito un data breach, per prevenire o attenuare i rischi di una potenziale violazione dei dati. E propone una lista di misure di prevenzione ai vari problemi rilevati.

Software non aggiornato, quanto mi costi?

Tratto da LineaEDP

Autore: Redazione LineaEDP – 04/12/2020

Secondo un’indagine Kaspersky, le PMI con software obsoleti subiscono il 53% in più di danni economici in caso di violazione dei dati

Secondo un recente report di Kaspersky intitolato: “How businesses can minimize the cost of a data breach”, in caso di violazione dei dati le enterprise europee che utilizzano tecnologie obsolete subiscono il 23% delle perdite economiche in più rispetto alle aziende che aggiornano i propri software in modo tempestivo.

Per le PMI la differenza è ancora più netta, arrivando fino al 53%. Avere in uso software datati e non aggiornati è un problema abbastanza comune tra le imprese, infatti, quasi la metà delle organizzazioni europee (44%) utilizza almeno una tecnologia obsoleta nelle proprie infrastrutture.

Tutti i software presentano qualche vulnerabilità ma patch e aggiornamenti regolari possono minimizzare il rischio che vengano sfruttate. Per questo motivo si consiglia sempre agli utenti di installare le ultime versioni dei software non appena queste vengono rilasciate, anche se a volte richiedono molto tempo alle imprese.

Tenuto conto che in Europa il 44% delle aziende utilizza almeno una qualche forma di tecnologia obsoleta risulta fondamentale che le imprese diano la priorità al rinnovo dei software e si dimostrino disposte a investire per ottenere un risparmio economico sul lungo termine.

Software e OS non aggiornati: le perdite in euro

Nel caso in cui a subire una violazione dei dati sia un’impresa che utilizza tecnologia obsoleta come ad esempio sistemi operativi non aggiornati, vecchi software e dispositivi mobile non supportati, la perdita economica si attesta a 753.500 euro, il 23% in più dei costi per le aziende con tecnologie completamente aggiornate la cui perdita è di 610.000 euro. Guardando alle PMI con tecnologia obsoleta il danno economico totale è di 86.000 euro, ovvero il 53% in più rispetto ai 56.000 euro delle PMI che hanno installato tutti gli aggiornamenti necessari.

Tra le ragioni che vengono fornite per giustificare il mancato aggiornamento delle tecnologie, quella più comunemente segnalata è l’incompatibilità degli aggiornamenti con i software aziendali (46%). Questa motivazione può essere molto importante per le organizzazioni che sviluppano software internamente per soddisfare le loro esigenze o quando si utilizzano applicazioni molto specifiche con supporto limitato. Gli altri motivi segnalati appaiono più concreti: i dipendenti spesso si rifiutano di lavorare utilizzando le nuove versioni dei software (46%). In alcuni casi, le tecnologie non vengono aggiornate perché appartengono ai membri della C-suite (25%).

Come sottolineato in una nota ufficiale da Sergey Martsynkyan, Head of B2B Product Marketing di Kaspersky: «Qualsiasi costo aggiuntivo può rivelarsi un problema per le aziende, soprattutto in questo periodo. La situazione economica mondiale è instabile a causa della pandemia ed è prevista una diminuzione degli investimenti nel settore IT e nella cybersecurity. Per questo motivo nel report di quest’anno “IT Security Economics” abbiamo voluto indagare come le aziende possano ridurre i danni in caso di incidenti di sicurezza informatica. Il report argomenta in modo approfondito l’importanza della questione legata ai software obsoleti. Anche se è impossibile sbarazzarsene da un giorno all’altro, esistono alcune misure da prendere per minimizzare il rischio. Le imprese non solo possono risparmiare denaro, ma possono anche evitare altre potenziali conseguenze – il che è cruciale per qualsiasi azienda».

Come risparmiare denaro e ridurre i rischi di data breach

Per risparmiare denaro e ridurre al minimo il rischio di violazione dei dati come conseguenza delle vulnerabilità dei software, Kaspersky suggerisce di adottare le seguenti misure:

Assicurarsi che l’azienda utilizzi l’ultima versione dei sistemi operativi e delle applicazioni scelte, abilitando le funzionalità di autoaggiornamento in modo che il software sia sempre aggiornato.

Se non è possibile aggiornare il software si consiglia, insieme ad altre misure, di gestire questo vettore di attacco separando in modo intelligente i nodi vulnerabili dal resto della rete.

Attivare la funzione di vulnerability assessment e di gestione delle patch della soluzione di protezione degli endpoint. In questo modo è possibile eliminare automaticamente le vulnerabilità nel software dell’infrastruttura, installare le patch in modo proattivo e scaricare gli aggiornamenti essenziali del software.

È importante aumentare la consapevolezza riguardo la sicurezza e le competenze pratiche in materia di sicurezza informatica per i manager IT, in quanto sono in prima linea quando si tratta di aggiornamenti dell’infrastruttura informatica. Un corso di formazione online sulla cybersecurity può essere d’aiuto.

I sistemi IT critici e le tecnologie dei sistemi operativi devono essere sempre protetti indipendentemente dall’eventuale disponibilità di aggiornamenti dei software. Questo vuol dire che dovrebbero consentire solo attività prestabilite dai sistemi. KasperskyOS supporta questo concetto, conosciuto anche come cyber-immunity, che viene utilizzato per costruire sistemi IT secure by design.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Software e OS non aggiornati: le perdite in euro

Come risparmiare denaro e ridurre i rischi di data breach

Categorie