Nel contesto attuale sempre maggiori sono i casi di cyber attack nonché di altri tipi di accesso illecito ai dati aziendali, anche da parte di soggetti che sono a diverso titolo in contatto con l’azienda.
Tali eventi rischiano di compromettere i dati dell’organizzazione, comportando danni materiali, a livello organizzativo e operativo, nonché reputazionale.
Individuare, indirizzare e segnalare tempestivamente un incidente di sicurezza, come una violazione di dati personali, appare quindi fondamentale al fine di minimizzare il rischio per l’ente.
Le stesse normative, quali il Regolamento GDPR, la Direttiva NIS 2 e, per gli operatori finanziari, il Regolamento DORA, impongono di gestire adeguatamente tali incidenti, al fine di mantenere il pieno controllo sui rischi privacy e ICT, nonché di segnalarli alle Autorità competenti.
Il corso, dopo aver approfondito il framework normativo di riferimento, si soffermerà sui ruoli e sulle funzioni specifiche dell’ente, anche apicali, deputate alla gestione degli incidenti di sicurezza, nonché sul processo di gestione e di segnalazione degli stessi alle Autorità competenti.
Tematiche oggetto di attenzione e discussione
- Framework normativo, fra DORA, NIS2 e GDPR
- La definizione di incidenti di sicurezza ICT ed i metodi più comuni di estorsione informatica (ramsomwere, DDoS, Doxxing)
- Casistica di data breach: focus sulle operazioni di tracciamento illecito effettuate dagli incaricati della banca
- La governance dell’incidente ICT o del data breach
- Il necessario coinvolgimento del C.d.A.
- Il ruolo del Responsabile della sicurezza ICT
- La centralità del DPO in caso di data breach
- Le diverse fasi nella gestione dell’incidente e gli errori da evitare
- L’identificazione e l’analisi: i criteri di classificazione degli incidenti ICT
- La valutazione d’impatto per tipologia e gravità: modalità di determinazione di costi e perdite dell’incidente ICT e del data breach
- L’attività di cyber forensics
- La procedura di notifica dell’incidente ICT e/o del data breach alle Autorità di competenza
- L’importanza dell’Information Sharing: i meccanismi di condivisione delle informazioni in base a DORA
- La gestione della c.d. “cyber-estorsione”: gli obblighi di trasparenza verso i clienti e la trattativa con i cybercriminali
- La configurazione penalistica delle condotte degli amministratori che pagano il “riscatto”
- Il problema reputazionale e le policy di risarcimento dei danni subiti dai clienti