La pubblicazione documenti riservati online può provocare danni economici, reputazionali e personali.
Può inoltre esporre informazioni aziendali, dati dei clienti, segreti commerciali o comunicazioni interne.
La prima reazione deve essere rapida, ma non improvvisata.
Un intervento disordinato può infatti cancellare tracce utili, alterare le prove o ampliare involontariamente la diffusione del materiale.
Prima fase: confermare la pubblicazione di documenti riservati online
Il primo passo consiste nel verificare che il documento sia realmente disponibile online.
Occorre individuare l’indirizzo esatto della pagina, del profilo o del servizio che ospita il contenuto.
È importante annotare anche la data e l’ora del primo ritrovamento.
La verifica dovrebbe essere effettuata da almeno due persone autorizzate, così da ridurre il rischio di errore.
Bisogna distinguere tra una pubblicazione effettiva e un semplice messaggio che segnala, senza prove, la presenza di documenti riservati.
Non cancellare subito le tracce
La rimozione immediata del contenuto può essere necessaria per ridurre l’esposizione.
Prima di procedere, però, è opportuno raccogliere le informazioni essenziali.
Cancellare il post, chiudere un account o modificare una pagina senza aver documentato la situazione può rendere più difficile ricostruire l’accaduto.
La priorità è quindi creare una copia documentale dello stato dei contenuti nel momento in cui vengono scoperti.
Questa attività deve essere svolta senza interagire inutilmente con l’autore della pubblicazione.
Quali elementi documentare
Per ogni contenuto occorre annotare l’URL completo.
Devono essere registrati anche il nome del profilo o del sito, la piattaforma utilizzata e l’eventuale identificativo del post.
È utile acquisire schermate complete, includendo data, ora, barra degli indirizzi e contesto visibile.
Le immagini devono essere conservate nel formato originale, senza ritagli o modifiche.
Vanno inoltre salvati eventuali file allegati, messaggi, email, commenti e collegamenti presenti nella pagina.
Quando possibile, è utile calcolare un’impronta digitale del file, come l’hash, per dimostrare che il documento esaminato non è stato modificato.
Costruire una prima cronologia
Una corretta cronologia aiuta a comprendere quando il documento è comparso online.
Occorre indicare chi ha scoperto la pubblicazione e con quale dispositivo o account.
Devono essere annotate le successive attività svolte, comprese le richieste di rimozione e le risposte ricevute.
La timeline dovrebbe distinguere tra fatti verificati, ipotesi e informazioni ancora da confermare.
Questa distinzione è fondamentale per evitare conclusioni premature sull’autore della diffusione.
Limitare la propagazione del documento
Dopo la prima acquisizione delle prove, bisogna valutare come ridurre la diffusione del materiale.
Non è opportuno inoltrare il documento a colleghi o conoscenti se non è necessario.
La condivisione interna deve essere limitata alle persone incaricate della gestione dell’incidente.
È preferibile utilizzare canali aziendali sicuri e già autorizzati.
Non bisogna pubblicare nuovamente il file per dimostrare che è stato trovato online.
Anche una ripubblicazione con finalità di denuncia può aumentare il numero di copie disponibili.
Chiedere la rimozione con metodo
La richiesta di rimozione deve essere inviata al gestore della piattaforma o al titolare del sito.
Quando possibile, deve indicare l’URL, il nome del contenuto e la ragione della richiesta.
È opportuno specificare che il materiale contiene informazioni riservate o dati personali pubblicati senza autorizzazione.
La comunicazione deve essere formulata in modo preciso e non aggressivo.
Una copia della richiesta e della risposta deve essere conservata nella documentazione dell’incidente.
Se il contenuto è indicizzato dai motori di ricerca, può essere necessario presentare richieste separate al sito ospitante e al motore di ricerca.
Verificare l’eventuale presenza di dati personali nei documenti riservati online
La pubblicazione di documenti riservati può costituire anche una violazione di dati personali.
Il Garante Privacy considera tra le violazioni la divulgazione non autorizzata di dati personali, oltre al furto, alla perdita o all’alterazione delle informazioni.
Data breach: indicazioni del Garante per la protezione dei dati personali
Data breach: indicazioni del Garante per la protezione dei dati personali
Bisogna quindi verificare se i documenti contengono nomi, indirizzi, numeri di telefono, dati sanitari, informazioni finanziarie o altri elementi riferibili a persone fisiche.
La valutazione deve considerare anche la quantità di documenti pubblicati e il numero potenziale di soggetti coinvolti.
Non ogni pubblicazione comporta automaticamente un obbligo di notifica.
La decisione deve però essere assunta dopo una valutazione documentata del rischio.
Valutare il termine delle 72 ore
Quando si verifica una violazione di dati personali che può comportare un rischio per i diritti e le libertà delle persone, il titolare deve valutare la notifica al Garante.
Il Garante indica che la notifica deve essere effettuata, ove possibile, entro 72 ore dal momento in cui il titolare è venuto a conoscenza della violazione.
Le notifiche tardive devono essere accompagnate dai motivi del ritardo.
Anche quando non viene effettuata una notifica, la violazione deve essere documentata e conservata nel registro previsto dal titolare.
Se il rischio per le persone è elevato, può essere necessario informare direttamente gli interessati con modalità adeguate.
Mettere in sicurezza i sistemi
La pubblicazione online può essere il risultato di un errore, di un accesso non autorizzato o della compromissione di un account.
È quindi opportuno verificare gli accessi recenti ai sistemi utilizzati per archiviare o condividere i documenti.
Devono essere controllati gli account amministrativi, le sessioni attive e le autorizzazioni concesse a collaboratori e fornitori.
Le credenziali eventualmente compromesse devono essere sostituite secondo le procedure aziendali.
Prima di cancellare log o dispositivi, è necessario valutare la loro utilità per l’analisi dell’incidente.
Le linee guida dell’Agenzia per la Cybersicurezza Nazionale richiamano l’importanza di acquisire log, artefatti, evidenze e una timeline degli eventi.
Linee guida ACN sulla gestione degli incidenti informatici
Organizzare l’attività investigativa
La prima risposta investigativa deve essere affidata a un gruppo ristretto.
Nel gruppo possono essere coinvolti il responsabile aziendale, il referente informatico, il consulente privacy e, quando necessario, un investigatore o un esperto di informatica forense.
Ogni persona deve avere un compito definito.
Qualcuno deve occuparsi della conservazione delle prove.
Un altro referente può gestire i rapporti con la piattaforma e con i fornitori tecnologici.
La direzione deve invece coordinare le decisioni urgenti e le eventuali comunicazioni esterne.
Evitare accuse non dimostrate
La presenza online di un documento non dimostra automaticamente chi lo abbia pubblicato.
Il file potrebbe essere stato sottratto da un account, inoltrato da un destinatario autorizzato o caricato dopo una compromissione informatica.
Anche il nome di un profilo non costituisce, da solo, una prova certa dell’identità della persona.
Le ipotesi devono essere separate dagli elementi oggettivi.
Un rapporto investigativo efficace deve indicare ciò che è stato osservato, come è stato acquisito e quali verifiche restano da svolgere.
Quando rivolgersi alle autorità
Se la pubblicazione di documenti riservati online sembra collegata a un accesso abusivo, a una minaccia, a un’estorsione o alla diffusione illecita di dati, è opportuno valutare tempestivamente il coinvolgimento delle autorità competenti.
La Polizia Postale mette a disposizione servizi per segnalazioni e denunce relative ai reati telematici.
Polizia Postale: segnalazioni e denunce per reati telematici
Polizia Postale: segnalazioni e denunce per reati telematici
La documentazione dovrebbe essere consegnata mantenendo i file originali e indicando le modalità con cui sono stati acquisiti.
È consigliabile non modificare i documenti, non rinominarli inutilmente e non sovrascrivere i metadati originali.
Il valore di una relazione iniziale
Al termine della prima fase è utile predisporre una relazione sintetica.
Il documento dovrebbe contenere la descrizione dell’evento, gli URL individuati, gli orari, le persone coinvolte e le attività eseguite.
Devono essere indicati anche i contenuti esposti e il livello di diffusione conosciuto.
La relazione iniziale non deve anticipare conclusioni investigative non ancora dimostrate.
Deve invece servire a orientare le decisioni successive e a mantenere ordinata la gestione dell’incidente.
Conclusioni
La pubblicazione di documenti riservati online richiede una risposta rapida, ma soprattutto ordinata.
La priorità consiste nel confermare l’accaduto, conservare le prove e limitare la propagazione del materiale.
Subito dopo bisogna verificare la sicurezza degli account, valutare la presenza di dati personali e definire gli eventuali adempimenti.
Un’attività investigativa ben organizzata consente di ricostruire la dinamica con maggiore precisione.
Permette inoltre di distinguere un errore umano da una sottrazione deliberata o da una compromissione informatica.
Soluzioni Investigativepuò aiutarti in queste situazioni.
