La news pubblicata sul sito del Garante lo scorso 28 ottobre riguarda la:

• creazione di una task force interdipartimentale per affrontare il fenomeno crescente degli accessi abusivi alle banche dati pubbliche e private.

Il Presidente Pasquale Stanzione ha sottolineato l'impegno continuo del Garante nel rafforzare le misure di sicurezza tecniche e organizzative, evidenziando le azioni ispettive già avviate e l'importanza di proteggere le banche dati da utilizzi illeciti.

Stanzione ha inoltre richiamato l'attenzione sull'aumento delle segnalazioni riguardanti la rivendita di informazioni riservate, spesso ottenute attraverso meccanismi opachi e servizi di investigazione privata.

La task force ha il compito di individuare soluzioni tempestive e garantire una maggiore protezione dei dati personali, tenuto conto del numero e entità dei data breach.

In Italia, i data breach nella Pubblica Amministrazione hanno assunto particolare rilevanza.

Tra i casi più gravi figura quello di Postel Spa, società del gruppo Poste Italiane, colpita nel 2023 da un attacco informatico che ha portato all’esfiltrazione e alla pubblicazione sul dark web di dati personali di circa 25.000 individui. Le informazioni sottratte includevano dati sensibili, come quelli sanitari e giudiziari. A seguito dell'incidente, il Garante della Privacy ha imposto una sanzione di 900.000 euro, evidenziando l’inadeguatezza delle misure di sicurezza adottate.

Il Rapporto Clusit 2024 ha documentato:

• un incremento del 65% degli attacchi informatici contro la Pubblica Amministrazione rispetto al 2022.

Questi attacchi, spesso attribuibili a cybercrime e hacktivismo, si avvalgono di tecniche avanzate come ransomware e malware, con impatti critici sui sistemi e sui dati.

Le analisi hanno sottolineato una particolare vulnerabilità dei settori strategici, evidenziando l’urgenza di investire in formazione, strumenti di prevenzione e misure di sicurezza avanzate per contrastare queste minacce.

I dati sottratti sono destinati ad una particolare tipologia di mercato: il “mercato dei dati personali", che si alimenta dei dati trafugati a soggetti pubblici e privati. Una volta esfiltrati, questi dati vengono spesso scambiati o venduti nel dark web, un'area nascosta di Internet che consente l'anonimato agli hacker. Le informazioni trafugate, come numeri di carte di credito, dati sanitari e altre informazioni personali, sono sfruttate per attività fraudolente e altre operazioni illecite.

Il dark web, in particolare, ha registrato un aumento significativo nella circolazione di dati sensibili rubati, tra cui indirizzi email, numeri di telefono e dettagli bancari, utilizzati per commettere truffe e altre frodi.

Il Garante ha sottolineato l'importanza di monitorare costantemente l'accesso ai database per prevenire abusi. In particolare, il Garante ha affermato che “Negli ultimi anni, dalle segnalazioni ricevute, risulta un incremento del fenomeno collegato alla rivendita di informazioni riservate presenti nelle banche dati pubbliche da parte di società private -... - che, anche avvalendosi di agenzie di investigazione privata, offrono servizi di ‘informazioni investigate’ a chiunque ne abbia interesse, anche attraverso opachi meccanismi di reperimento dei dati” (News 28 ottobre).

Per difendere i dati personali e l’architettura informatica nel contesto particolarmente vulnerabile in precedenza descritto, occorre implementare la capacity building della pubblica amministrazione in materia di sicurezza tecnica, organizzativa e informatica, specie per quanto concerne le misure di sicurezza che il Garante ha indicato con riferimento alle banche dati pubbliche.

Le misure di sicurezza consigliate dal Garante per la protezione dei dati personali sono state incluse in vari documenti ufficiali, come le Linee guida e i provvedimenti in tema di gestione delle banche dati pubbliche. Tra le raccomandazioni, l'Autorità sottolinea l'importanza di adottare sistemi di monitoraggio costante che rilevino anomalie negli accessi e nelle operazioni, contribuendo a scoprire vulnerabilità potenzialmente sistemiche.

Inoltre, il Garante suggerisce di evitare la duplicazione di banche dati per limitare il perimetro di vulnerabilità, un aspetto cruciale per la protezione dei dati sensibili.

Un altro punto fondamentale riguarda la prevenzione delle violazioni, che deve essere perseguita come obiettivo a lungo termine, considerando il valore critico che la protezione dei dati personali ha per la sicurezza del sistema democratico.

Per rafforzare la protezione dei dati, il Garante raccomanda anche investimenti strutturali in formazione e in misure di sicurezza mirate, enfatizzando la necessità di garantire la sicurezza delle infrastrutture e dei sistemi dove i dati personali sono trattati e conservati.

Questi concetti sono trattati, in particolare, nei provvedimenti del Garante relativi alla gestione delle banche dati pubbliche, come quello del 2 luglio 2015, che stabilisce misure di sicurezza specifiche per la PA, incluse politiche di accesso e tracciamento delle operazioni sui dati​.

Il provvedimento del Garante per la protezione dei dati personali del 2 luglio stabilisce misure di sicurezza mirate per la gestione delle banche dati pubbliche. Tra le principali indicazioni:

1. Controllo degli accessi: Le amministrazioni pubbliche devono implementare politiche di accesso rigorose, con la designazione di incaricati e responsabili del trattamento, per garantire che solo il personale autorizzato possa accedere ai dati sensibili. L'accesso deve essere monitorato e tracciato, e ogni operazione deve essere associata a un codice identificativo.
2. Gestione delle informazioni: È fondamentale selezionare con attenzione i dati da condividere e l'accesso deve essere limitato alla finalità istituzionale, evitando che i dati vengano utilizzati per scopi non previsti. Inoltre, si deve adottare una politica di "minimizzazione dei dati" per ridurre il rischio di esposizione.
3. Prevenzione di duplicazioni: Il provvedimento sottolinea la necessità di evitare la duplicazione delle banche dati, per limitare le aree vulnerabili e ridurre il rischio di violazioni.
4. Monitoraggio e audit: È essenziale effettuare controlli periodici per assicurarsi che le politiche di accesso siano rispettate e che le finalità per cui i dati sono stati concessi siano ancora valide.

In sintesi, il Garante richiede alle PA di adottare misure di sicurezza più severe, di monitorare costantemente gli accessi e le operazioni, e di garantire una gestione rigorosa dei dati sensibili per proteggere la privacy dei cittadini e prevenire incidenti informatici.

Per ulteriori dettagli, va consultato il documento completo sul sito del Garante (Misure di sicurezza e modalità di scambio dei dati personali tra amministrazioni pubbliche - 2 luglio 2015 [4129029])

LINK: https://www.garanteprivacy.it/home/docweb/-/docweb-display/docweb/4129029