Quando un’organizzazione scopre di aver perso il controllo dei propri dati, la prima domanda del team tecnico è “come lo conteniamo?”. La prima domanda dell’area conformità è un’altra: “chi dobbiamo avvisare, e quanto tempo ci resta?”. Le due domande convivono nella stessa stanza di crisi, e la seconda tende ad avere risposte molto più rigide di quanto si immagini.
Il punto è che non esiste un unico orologio. Un’azienda con sede in Spagna, operatività finanziaria in Argentina e un fornitore sanitario negli Stati Uniti può essere soggetta, per lo stesso incidente, a tre scadenze parallele. Confonderle, o scoprirle il giorno della violazione, è uno dei modi più costosi per mancare un requisito di conformità.
Questo articolo ordina i quadri normativi più citati sulla notifica delle violazioni dei dati per scadenza, destinatario e presupposto, così che l’orologio non ti colga di sorpresa.
Che cosa conta come violazione di sicurezza, e perché non è la stessa cosa di un incidente?
Conviene distinguere due termini che l’operatività quotidiana tende a confondere. Un incidente di sicurezza è qualsiasi evento che intacca la disponibilità, l’integrità o la riservatezza delle informazioni: un server fuori uso, un tentativo di accesso fallito, un’e-mail sospetta segnalata in tempo. Una violazione di sicurezza è l’incidente che compromette effettivamente dati personali, per distruzione, perdita, alterazione, divulgazione o accesso non autorizzato.
La distinzione non è cosmetica. L’obbligo di notifica scatta con la violazione, non con l’incidente. Ed è qui che compare la sfumatura che genera più discussioni nei comitati. L’orologio normativo non parte quando risolvi l’incidente, ma quando vieni a conoscenza che c’è stata una violazione. Il GDPR usa esattamente questa formula, “dopo esserne venuto a conoscenza”, nel suo articolo 33.
Questo impone un cambio di mentalità. La rilevazione tempestiva smette di essere solo una buona pratica tecnica e diventa il punto in cui inizia a decorrere un termine legale.
Quando parte l’orologio delle 72 ore del GDPR?
Il Regolamento generale sulla protezione dei dati dell’Unione Europea stabilisce due obblighi distinti, ciascuno con un destinatario diverso.
L’articolo 33 obbliga il titolare del trattamento a notificare la violazione all’autorità di controllo competente, come il Garante per la protezione dei dati personali, senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui ne è venuto a conoscenza. Se la notifica arriva più tardi, va corredata delle ragioni del ritardo.
L’articolo 34 copre un altro fronte, la comunicazione alle persone interessate. Qui non c’è un orologio in ore ma un criterio di rischio. Gli interessati vengono avvisati solo quando la violazione comporta un rischio elevato per i loro diritti e le loro libertà, e in quel caso la comunicazione deve avvenire senza ingiustificato ritardo.
C’è un’eccezione che si dimentica spesso, ed è che non ogni violazione va notificata. Se è improbabile che la violazione comporti un rischio per i diritti delle persone, l’articolo 33 consente di non notificare l’autorità, pur richiedendo di documentare la decisione. Quella documentazione è esattamente ciò che un auditor chiederà di vedere in seguito.
Lo stesso incidente, orologi diversi: come confrontare i quadri normativi
Uno stesso gruppo aziendale può dover rispondere a più autorità contemporaneamente. La tabella seguente ordina quattro quadri di riferimento per ciò che conta davvero in una stanza di crisi: chi avvisare, in quanto tempo e che cosa fa scattare l’obbligo.
| Quadro normativo | Chi va notificato | Termine | Che cosa fa scattare l’obbligo | Le persone interessate? |
|---|---|---|---|---|
| GDPR (Unione Europea) | Autorità di controllo (es. il Garante o l’AEPD, Agencia Española de Protección de Datos) | 72 ore dalla conoscenza | Ogni violazione, salvo sia improbabile che comporti un rischio | Sì, senza ingiustificato ritardo, solo se il rischio è elevato |
| BCRA, settore finanziario argentino (Comunicazioni “A” 7724 e “A” 8280) | Banca Centrale (BCRA, Banco Central de la República Argentina) | Notifica iniziale entro la prima ora per un cyber-incidente critico, più aggiornamenti e report di chiusura | Un cyber-incidente che intacca l’erogazione dei servizi, l’integrità o la riservatezza | Il fulcro della norma è l’autorità di vigilanza; la comunicazione al cliente segue le regole di tutela dell’utente finanziario |
| HIPAA (USA, settore sanitario) | Individui interessati e il Dipartimento della Salute (HHS, Department of Health and Human Services); i media se sono 500 o più | Entro 60 giorni dalla scoperta (per meno di 500 persone, report annuale all’HHS) | Accesso, uso o divulgazione non consentiti di informazioni sanitarie protette | Sì, agli individui, entro 60 giorni |
| Cile (Legge 21.719 e Legge quadro 21.663) | Agenzia per la protezione dei dati; CSIRT nazionale per gli enti soggetti al quadro di cybersecurity | Senza ingiustificato ritardo nella legge sui dati; 72 ore per gli enti coperti dalla Legge 21.663 | Una violazione che distrugge, diffonde, perde o altera dati personali | Sì, agli interessati, se il rischio è elevato |
Tre letture saltano fuori dalla tabella. La prima è la dispersione dei termini, perché dalla prima ora dell’autorità finanziaria argentina ai 60 giorni di HIPAA ci sono due ordini di grandezza di differenza. La seconda è che il destinatario cambia con il quadro normativo, dato che alcuni danno priorità all’autorità di vigilanza e altri alla persona interessata. La terza è che i quadri più recenti, come quello cileno, si stanno allineando al modello del GDPR, così il criterio delle “72 ore e notifica basata sul rischio” sta diventando uno standard di riferimento regionale.
Una sfumatura per non leggere male la tabella. Il quadro della Banca Centrale argentina non è una legge generale sulla protezione dei dati, ma una regolamentazione settoriale di cybersecurity per istituti finanziari e prestatori di servizi di pagamento. Convive con il regime generale sui dati personali, non lo sostituisce. Per questo uno stesso istituto finanziario può dover un report all’autorità di vigilanza entro la prima ora e, in parallelo, valutare la notifica secondo il quadro di protezione dei dati che gli si applica.
Chi effettua la notifica, e con quali evidenze?
La notifica non la scrive il firewall. La mette insieme una persona, quasi sempre sotto pressione e con informazioni incomplete. Nella maggior parte dei quadri la responsabilità formale ricade sul titolare del trattamento o sul suo responsabile della protezione dei dati, ma in pratica la notifica dipende dal fatto che diverse aree abbiano fatto la loro parte prima: la sicurezza per caratterizzare l’incidente, il legale per interpretare il quadro applicabile, il business per dimensionare l’impatto.
Il contenuto minimo che quasi tutte le autorità si aspettano è simile: la natura della violazione, le categorie e il numero approssimativo di persone interessate, le probabili conseguenze e le misure adottate o proposte. La Legge cilena 21.719, per esempio, impone di registrare esattamente questi elementi.
Quel registro è la parte che si sottovaluta. Un’organizzazione che decide in modo fondato di non notificare una violazione a basso rischio deve poter mostrare il ragionamento che l’ha portata a quella decisione. L’evidenza della decisione pesa quanto la decisione stessa. È lo stesso principio che vale per il resto del programma di conformità. Ciò che non è documentato, agli occhi di un auditor, non è accaduto. In SMARTFENSE lo vediamo nel terreno più quotidiano della dimostrazione della conformità nella Cybersecurity awareness, dove il registro tracciabile di ogni azione è ciò che trasforma una policy in evidenza difendibile.
Dal quadro all’operatività, prima che suoni l’orologio
Conoscere i termini non serve a nulla se l’organizzazione li scopre il giorno della violazione. La differenza tra rispettare un requisito e mancarlo si decide settimane prima dell’incidente, in scelte che raramente sembrano urgenti.
Vale la pena ridurre il quadro a quattro domande operative a cui un comitato dovrebbe saper rispondere a mente fredda:
- Sappiamo quali quadri ci si applicano, per paese e per settore? Un gruppo con operatività multinazionale ha bisogno di una mappa degli obblighi, non di un elenco generico. L’orologio del settore finanziario argentino non è lo stesso di un fornitore sanitario soggetto a regole di protezione dei dati sanitari.
- Abbiamo definito il momento della “conoscenza”? Qualcuno deve poter affermare, con riscontri, quando l’organizzazione è venuta a conoscenza della violazione. Da quel momento dipende il conteggio del termine.
- I ruoli sono chiari? Chi caratterizza l’incidente, chi decide se notificare, chi firma la comunicazione all’autorità. Senza quei ruoli assegnati, le prime ore si perdono nel coordinamento.
- Le nostre persone sanno segnalare in fretta? Il termine parte quando l’organizzazione viene a conoscenza, e quella conoscenza nasce spesso da una persona che segnala un’e-mail strana o un accesso anomalo. Un team addestrato a segnalare per tempo dà all’organizzazione ore che poi non si recuperano.
Le prime tre domande sono di governance e si risolvono nella progettazione del programma. Un buon sistema di gestione di normative, policy e procedure mantiene quella mappa viva e tracciabile. La quarta è culturale, ed è quella che impiega più tempo a maturare, perché non si compra. Si costruisce con un programma di Cybersecurity awareness sostenuto nel tempo, allo stesso modo in cui la protezione dei dati richiede la formazione come requisito, non come accessorio.
Il termine è il sintomo, la continuità è l’obiettivo
È allettante leggere la notifica delle violazioni come una formalità: arrivare in tempo, redigere bene, evitare la sanzione. Ma il termine normativo è solo il sintomo visibile di qualcosa di più grande. Un’organizzazione capace di caratterizzare una violazione, decidere chi notificare e farlo entro il termine è, quasi per definizione, un’organizzazione che comprende i propri dati, le proprie dipendenze e i propri rischi.
È la stessa capacità che sostiene la continuità operativa quando l’incidente si aggrava. L’orologio delle 72 ore non misura solo la conformità; misura quanto l’organizzazione è pronta a continuare a operare il giorno in cui qualcosa va storto. Prepararsi al termine, alla fine, è prepararsi al giorno peggiore dell’anno.
Lascia un commento