• Antonio De Bonis

Cybercrime o hacktivismo: come agire a tutela dei dati.


Partiamo dalle corrette definizioni:

  • con cybercrime ci si riferisce alla criminalità cibernetica, ossia al complesso delle attività aventi finalità criminali in campo informatico. Si può trattare di truffe, frodi telematiche, di furto di identità o della generica sottrazione indebita di informazioni;

  • con hacker ci si riferisce a quegli individui, esperti o comunque dotati di adeguate conoscenze informatiche, che impiegano tale expertise al fine di risolvere un problema. Il termine ha un'accezione negativa nel riferirsi a chi sfrutta le proprie competenze per compiere azioni illecite, in danno o attraverso sistemi informatici, ma anche positiva facendo riferimento ai professionisti che ci aiutano a testare le varie strutture aziendali dei clienti.

Ciò premesso, non ci stancheremo mai di sottolinearlo, il primo baluardo per fronteggiare una possibile minaccia cibernetica passa da un'adeguata gestione delle procedure e politiche di risk management coordinata con la necessaria privacy compliance.


In relazione al caso di queste ore di attacco informatico al sistema digitale della Regione Lazio, connesso alla gestione della campagna vaccinale SARS COVID 19, è evidente quali siano le minacce che inevitabilmente incombono sui fruitori-pazienti: si pensi ai milioni di dati sanitari e quindi per natura sensibili a tale campagna collegati.


Ora, la responsabilità per tale incidente, per altro già segnalato al Garante italiano per la Privacy come data breach, a chi va imputata? In questo caso, criminale e non accidentale è emersa con evidenza una lacuna sulla gestione del rischio, ma si rifletta anche sulle perdite quotidiane di dati sanitari per banali ragioni di omonimia, errori nell'invio dei referti, smarrimento delle cartelle cliniche, pubblicazione non autorizzata, e così via.


Non si tratta certo di ergersi a detentori della migliore pratica per fronteggiare questo genere di incidenti; tuttavia, nascondere o sottostimare il problema sarebbe segno di maggiore saccenza.


Come sempre la soluzione di un problema prima che dalle risposte deve partire dalle giuste domande.


In questa sede ci preme evidenziare quella che riteniamo l'architrave di qualsiasi politica di sicurezza per qualsivoglia organizzazione, pubblica o privata:

  • è stata organizzata una politica di formazione o alfabetizzazione del personale e dei cittadini sulle minacce informatiche connesse alla propria attività digitale?

In tempi in cui circostanze esterne hanno impresso una forte accelerazione alla costruzione di un ecosistema nazionale cibernetico degno di fronteggiare la competizione mondiale è imprescindibile procedere ad un'alfabetizzazione digitale degli utenti ed alla formazione di chiunque, e per qualsiasi ragione interagisca con un computer.


In particolare, data la delicatezza della materia trattata, il personale sanitario, pubblico e privato deve essere prontamente aggiornato su questa materia, e senza soluzione di continuità, data la costante evoluzione delle tecniche criminali in campo digitale.


La prima strada percorsa dai cybercriminali è quella del social engineering, ossia dello sfruttamento a proprio vantaggio dell'ignoranza digitale delle vittime.


Questo tema merita, comunque successive riflessioni parlando di social engineering e humint.



13 visualizzazioni0 commenti