Ottobre è il mese europeo della cybersicurezza (European Cybersecurity Month o ECSM) che si sostanzia in una campagna di sensibilizzazione sui temi della sicurezza online, la cui prima edizione risale al 2012.
L’anno scorso il tema principale è stato il phishing, che consiste nell’apertura di una mail che invita ad accedere ad un link richiedendo l’inserimento di credenziali di accesso, questa è una delle forme che può assumere il phishing. Un’altra minaccia informatica di cui si sente parlare spesso è il ransomware, oggetto del presente articolo.
La parola ransomware deriva dall’unione di ransom che in inglese significa riscatto e malware cioè un software dannoso. Il ransomware è un tipo di software dannoso che blocca agli utenti l’accesso ai dati (cifrando i file), per poi far comparire un messaggio di richiesta di un riscatto per ripristinarne l’accesso.
Il software dannoso si introduce nel pc attraverso:
- Allegati di e-mail malevoli;
- Link di phishing;
- Download di software
Il criminale informatico richiede il pagamento di un riscatto per consentire il ripristino dell’accesso ai dati; tuttavia, il versamento della somma richiesta non offre alcuna garanzia di recupero effettivo degli stessi.
Questa violazione dei dati comporta una mancanza di disponibilità dei dati, con conseguente perdita della continuità operativa. La mancata disponibilità dei dati impedisce inoltre l’esercizio di alcuni diritti dell’interessato tra i quali l’accesso ai dati nonché la modifica dei dati che lo riguardano.
Per proteggersi da queste minacce informatiche è utile mettere in atto alcune misure tecniche e organizzative, quali per esempio:
- Effettuare backup regolari dei dati;
- Aggiornare i sistemi operativi e i software;
- Utilizzare antivirus e altri sistemi di protezione aggiornati;
- Diffidare di e-mail, SMS, link e allegati sospetti (nelle mail verificare sempre attentamente l’indirizzo del mittente);
- Formare i collaboratori e dipendenti sulle minacce informatiche e come evitarle.
È fondamentale garantire la continuità operativa dello studio, ecco perché diventa essenziale prevenire queste minacce informatiche e implementare le misure tecniche e organizzative adeguate a contrastarle; tali misure sono indicate nella valutazione d’impatto. Tale documento diventa il centro di una strategia aziendale ed è necessario che venga aggiornato periodicamente. È importante ricordare che il CNDCEC nel documento “La gestione della privacy negli studi professionali alla luce della normativa ISO/IEC 27701:2025” riprende il concetto della sicurezza dei dati come strategia d’impresa.
Valutare le tecnologie adottate all’interno dello studio, identificando i rischi correlati e definendo le misure tecniche e organizzative necessarie a contenerli, significa trasformare un obbligo formale in un processo strategico di gestione del rischio.
La tecnologia fa parte sempre di più della vita quotidiana e lavorativa, sapersi proteggere permette in ambito lavorativo di proteggere anche i dati dei clienti. Un professionista che tratta numerosi dati personali e soprattutto dati particolari artt. 9 e 10 deve prestare molta attenzione, valutare i rischi della propria organizzazione attraverso la valutazione d’impatto e mettere in atto tutte le misure tecniche e organizzative possibili per ridurre e gestire l’impatto dei rischi.
Giulia Zecca – Centro Studi CGN
