Nell’ambito di una serie di tre articoli dedicati alla Giornata della protezione dei dati 2023 (si vedano gli articoli correlati di Jakub Lewandowski e Thomas Bryant), Bill Mew sostiene che esista un vero e proprio problema di applicazione delle norme: là fuori sembra di essere nel “Far West”.
Le politiche, i quadri normativi e le regole sono utili solo se vengono rispettati, proprio come le normative e le leggi non hanno alcun senso se non vengono applicate. Il problema nel campo della protezione dei dati e della sicurezza informatica è che, laddove le regole dovrebbero essere applicate, vengono spesso ignorate, e laddove sono state introdotte delle leggi, occorre garantirne una maggiore applicazione.
I CISO (Chief Information Security Officer) hanno un compito ingrato. Il personale è solitamente riluttante a rispettare le misure di “igiene informatica” che un CISO cerca di far applicare, ma quando la loro mancanza di disciplina porta a una violazione, questi colleghi sono fin troppo pronti ad attribuire la colpa al CISO. Come se non bastasse, mentre esistono normative costose e complesse da rispettare e regole rigide sulla segnalazione delle violazioni, le autorità, lungi dall’aiutare a gestire eventuali incidenti o a catturare i veri criminali, si limitano a utilizzare le segnalazioni per valutare l’assegnazione delle multe.
Disallineamento funzionale e culturale
Se interpellati, la maggior parte dei dipendenti concorderebbe sul fatto che le minacce informatiche rappresentano un problema significativo, ma nel loro lavoro quotidiano si concentrano su indicatori di ROI (ritorno sull’investimento) incentrati sui ricavi o sui profitti. Sono proprio questi gli indicatori in base ai quali vengono valutate le loro prestazioni individuali e di reparto e su cui si basano le politiche di incentivazione a livello aziendale.
Il CISO si concentra invece sul ritorno sul rischio (ROR). In base al budget stanziato e alla propensione al rischio dell’organizzazione, il CISO punta a massimizzare la sicurezza e a ridurre al minimo il rischio.
Il divario tra l’orientamento al ROR (Return on Risk) del CISO e l’orientamento al ROI (Return on Investment) di quasi tutti gli altri può mettere il CISO in contrasto con il resto del team dirigenziale. Non solo rischia di ritrovarsi isolato (fenomeno che definisco “CISOlation”), ma può anche diventare un capro espiatorio quando le cose vanno male, anche quando gli avvertimenti vengono ignorati.
Incentivi normativi perversi
In un articolo correlato, Jakub Lewandowski [LINK] ha analizzato la serie di nuove leggi in materia di privacy e sicurezza informatica che, secondo le previsioni, andranno ad aggravare un onere normativo già considerevole. Il problema è che una regolamentazione priva di misure di applicazione non solo è inutile, ma anche controproducente. Dopotutto, solo le aziende responsabili si atterranno a tali norme e, per loro, ciò rappresenta un costo o una “tassa di conformità”. Nel frattempo, quelle irresponsabili spesso scelgono di non rispettare le regole. Se ritengono che il rischio di essere sottoposte a misure coercitive sia minimo o nullo, allora questa diventa una fonte di vantaggio competitivo che consente di risparmiare sui costi e non comporta alcun rischio.
La mancata conformità è un fenomeno diffuso e ha origine dai vertici aziendali, come dimostrano i frequenti titoli dei giornali relativi a incidenti relativi ai dati che coinvolgono le Big Tech o alle multe loro inflitte. Tali multe non sembrano avere un effetto deterrente, ma vengono invece considerate un costo aggiuntivo di gestione da parte delle Big Tech e di molte altre aziende che hanno avuto la sfortuna di subire un incidente relativo ai dati.
Ancora una volta, le aziende responsabili che hanno fatto del loro meglio per adottare misure ragionevoli, ma che purtroppo non sono riuscite a prevenire errori o attacchi, corrono il rischio di essere multate una volta segnalato l’accaduto all’autorità di regolamentazione locale. Nel frattempo, quelle irresponsabili che scelgono di non conformarsi si limiteranno a non segnalare gli incidenti e cercheranno invece di insabbiarli per evitare le multe. Le multe sono quindi diventate più un indicatore in ritardo delle disgrazie subite dalle aziende responsabili che del comportamento scorretto di quelle irresponsabili.
Cronologia dell’inerzia normativa
La maggior parte delle aziende BigTech, attratte da un regime fiscale favorevole, ha scelto di stabilire la propria sede centrale europea in Irlanda. L’autorità di regolamentazione locale, la DPC Ireland, ha quindi il compito di garantire che tali aziende rispettino il GDPR e altre normative simili. Che sia a causa di finanziamenti insufficienti, della riluttanza a creare scompiglio o semplicemente perché in inferiorità numerica e sopraffatta dalle pressioni delle aziende BigTech, la DPC Ireland è stata considerata inefficace nel far sì che queste ultime rendano conto delle proprie azioni.
In un caso degno di nota, le misure che non era riuscita ad adottare nei confronti di Facebook sono state infine risolte dalla Corte di giustizia dell’Unione europea con le sentenze Schrems I e Schrems II. Quando si è nuovamente rifiutata di agire e di applicare tali sentenze, la DPC irlandese è stata sanzionata dal Parlamento europeo con un voto di 451 a 1. Quando ulteriori pressioni da parte delle autorità di regolamentazione del resto d’Europa l’hanno costretta, dopo un ritardo di due anni, a intervenire, la sanzione inflitta a Facebook era talmente bassa da dover essere aumentata (di dieci volte) su insistenza delle altre autorità di regolamentazione.
Il Mediatore europeo Emily O’Reilly ha infine avviato un’indagine sul monitoraggio da parte della Commissione europea dell’applicazione delle norme sulla protezione dei dati in Irlanda. Otto mesi dopo, il Consiglio irlandese per le libertà civili (ICCL) ha criticato l’UE per la sua continua incapacità di monitorare adeguatamente l’applicazione del GDPR in Irlanda, mentre «i diritti fondamentali di tutti gli europei sono in bilico». Sono ora in corso iniziative volte a privare l’Irlanda della responsabilità di regolamentare le aziende BigTech e a centralizzare invece tale attività di applicazione della normativa.
Un’azione di polizia globale inefficace
Nel frattempo, il numero e la complessità degli attacchi informatici stanno aumentando in modo esponenziale, così come i costi necessari per porvi rimedio. Il Forum economico mondiale (WEF) non solo ha recentemente sollecitato un ricorso più diffuso alle «esercitazioni antincendio» in materia di sicurezza informatica per testare le capacità di sicurezza informatica e di risposta agli incidenti, ma sta anche sostenendo la necessità di norme globali per contrastare la criminalità informatica.
Si stima che i danni causati da tutte le forme di criminalità informatica, compresi i costi di Recovery e risanamento, abbiano raggiunto un totale di 3.000 miliardi di dollari nel 2015 e di 6.000 miliardi di dollari nel 2021, e che potrebbero arrivare fino a 10.500 miliardi di dollari all’anno entro il 2025.
L’assicurazione contro i rischi informatici non è la soluzione. Il rapido aumento dei premi la rende inaccessibile alla maggior parte degli acquirenti, ma anche chi se la può permettere spesso ritiene che non ne valga la pena. Allo stesso tempo, non ci si può aspettare che l’assicurazione contro i rischi informatici copra problemi sistemici e, in ogni caso, ha l’effetto perverso di aggravare ulteriormente situazioni già gravi.
Sebbene quasi tutte le nazioni abbiano aderito agli accordi delle Nazioni Unite sulla lotta alla criminalità, compresa quella informatica, alcune nazioni chiudono un occhio e offrono invece un rifugio sicuro da cui i criminali informatici possono operare. Sebbene la maggior parte dei crimini informatici abbia origine in paesi come la Russia, l’Iran o la Corea del Nord, tali attività non si limitano a queste nazioni canaglia e continuano anche più vicino a noi. Inoltre, paesi come la Cina conducono operazioni di spionaggio su larga scala, mentre gli Stati Uniti sono responsabili di gran parte della sorveglianza di massa a livello globale: tutte pratiche che violano il GDPR e una serie di altre leggi.
Dobbiamo partire dall’obbligo di segnalazione delle violazioni dei dati e dei furti informatici. Questo processo è già stato avviato negli Stati Uniti con il “Cyber Incident Reporting for Critical Infrastructure Act” del 2022 e nell’Unione Europea con la Direttiva sulla sicurezza delle reti e dei sistemi informativi del 2018. Tuttavia, esistono anche numerose altre normative che impongono ai servizi di pagamento, alle telecomunicazioni, ai produttori di dispositivi medici e ai fornitori di infrastrutture critiche l’obbligo di segnalare le violazioni.
Una volta che disporremo di dati più precisi sul problema, potremo concentrarci sul miglioramento dell’efficienza e dell’efficacia delle indagini, dei procedimenti penali e dei giudizi a livello internazionale. L’Ufficio delle Nazioni Unite contro la droga e il crimine sta promuovendo un programma sulla criminalità informatica che persegue i seguenti obiettivi:
- Maggiore efficienza ed efficacia nelle indagini, nel perseguimento penale e nel giudizio dei reati informatici, in particolare lo sfruttamento sessuale e gli abusi sui minori online, nel rispetto di un solido quadro di riferimento in materia di diritti umani.
- Una risposta efficiente ed efficace a lungo termine da parte dell’intero governo alla criminalità informatica, che comprenda il coordinamento a livello nazionale, la raccolta di dati e quadri giuridici efficaci, al fine di garantire una risposta sostenibile e una maggiore deterrenza.
- Rafforzamento della comunicazione a livello nazionale e internazionale tra il governo, le forze dell’ordine e il settore privato, con una maggiore consapevolezza da parte del pubblico dei rischi legati alla criminalità informatica.
Si tratta di obiettivi lodevoli. Tuttavia, siamo ancora molto lontani dal momento in cui le vittime di reati potranno rivolgersi alla polizia a livello locale, nazionale o internazionale con la ragionevole aspettativa di ottenere assistenza concreta o giustizia. La realtà è che, quando si tratta di crimini informatici, a parte gli specialisti della risposta agli incidenti del settore privato, si è lasciati a se stessi.
- Il personale adotta raramente misure adeguate in materia di sicurezza informatica
- Le autorità di regolamentazione non agiscono in modo proattivo nell’individuare e contrastare le violazioni
- I criminali stanno acquisendo sempre maggiore sicurezza, aggressività e sofisticazione
- La polizia non è in grado di intervenire contro i criminali che operano da luoghi sicuri
- E i CISO finiscono per diventare il capro espiatorio di turno quando le cose vanno male
In questo contesto da “Far West”, non c’è nessuna cavalleria in soccorso, quindi ci si aspetta che siate adeguatamente preparati e pronti a difendervi. Prendete spunto dall’articolo di Thomas Bryant e imparate come affrontare al meglio la situazione. Non c’è alternativa a una corretta gestione della sicurezza informatica e della risposta agli incidenti.
