Furto del computer aziendale: quando bisogna avvisare il Garante

Cosa fare appena scopri il furto

1. Fatti raccontare i fatti e annota l’ora

   Quando e dove è sparito il computer, se era acceso, in sospensione o spento, e quando il dipendente ti ha avvisato: da qui partono le 72 ore.

2. Chiudi gli accessi del computer

   Dal pannello di amministrazione o con il tecnico: disconnetti il dispositivo da posta, cloud e gestionale, revoca le sessioni aperte, cambia la password dell’utente e quelle salvate sul computer. Fallo prima di tutto il resto.

3. Blocca o cancella da remoto, se puoi

   Se il computer è gestito a distanza, invia il comando di blocco o di cancellazione e annota se e quando arriva la conferma.

4. Verifica la cifratura e il backup

   Chiedi al tecnico la prova che il disco era cifrato (dall’inventario o dalla console di gestione) e dove si trova la chiave di ripristino. Controlla quando è stato fatto l’ultimo backup di quei dati.

5. Fai l’elenco dei dati

   Cosa c’era sul disco e cosa si poteva aprire da lì: archivi di clienti, buste paga, cartelle cliniche, documenti, IBAN, posta. Con numeri approssimativi.

6. Decidi, scrivi e denuncia

   Valuta il rischio, annota tutto nel registro con la decisione e i motivi, notifica al Garante se serve. Presenta denuncia di furto e conserva la copia.

Perché il furto di un computer è un data breach

Per il GDPR una violazione di dati personali non è solo un attacco informatico: è anche la perdita di dati o l’accesso di chi non è autorizzato. Il furto di un computer con dati di persone produce di solito due problemi insieme:

• riservatezza: il ladro, o chi comprerà il computer, può leggere i file;
• disponibilità: se quei dati non erano altrove, l’azienda non li ha più.

Non conta se il ladro voleva solo il computer da rivendere: conta cosa potrebbe succedere alle persone i cui dati erano dentro. La procedura generale, dal portale del Garante al testo della comunicazione alle persone, è in data breach: cosa fare nelle prime 72 ore; qui vediamo cosa cambia quando a sparire è un computer.

La cifratura del disco: perché cambia tutto

La password per entrare nel computer protegge solo l’accesso dalla tastiera. Chi ruba il computer può smontare il disco, collegarlo a un altro computer e leggere tutti i file, senza conoscere la password. Con la cifratura del disco, invece, i dati sono trasformati in modo da risultare illeggibili senza la chiave: chi stacca il disco trova solo dati senza senso.

Il GDPR cita la cifratura tra le misure di sicurezza e dice che non serve avvisare le persone se i dati erano stati resi incomprensibili a chi non è autorizzato, per esempio con la cifratura. Le linee guida dei Garanti europei fanno due esempi quasi identici, con esito opposto:

I sistemi operativi più diffusi hanno la cifratura del disco integrata, ma non va data per scontata: bisogna verificarla e poterla dimostrare. Un elenco dei computer con lo stato della cifratura, tenuto dal tecnico, è la prova che serve nel registro.

Quando la cifratura non basta

La cifratura protegge davvero solo se la chiave resta segreta. Ci sono situazioni frequenti in cui la protezione è più debole:

• Computer acceso o in sospensione: la protezione è piena quando il computer è spento. Se era solo con il coperchio chiuso o con la sessione aperta, chi lo prende si trova davanti la schermata di blocco o, peggio, il desktop. Gli esempi europei in cui basta il registro parlano di dispositivi spenti.
• Chiave insieme al computer: la chiave di ripristino stampata e tenuta nella borsa, o la password su un foglietto sotto la tastiera, annullano la cifratura.
• Password debole: se per accedere basta una password corta o prevedibile, il ladro può provare a indovinarla. Le regole per sceglierle sono in password aziendali: le regole minime.
• Chiave compromessa dopo: se in seguito scopri che la chiave o la password erano note a terzi, la valutazione cambia e la notifica può diventare necessaria anche a distanza di tempo.

Anche quando la cifratura regge, resta la disponibilità: se sul computer c’era l’unica copia dei dati, per esempio i fascicoli di uno studio mai salvati sul server, le persone possono subire un danno perché quei dati non ci sono più. Per questo il backup conta quanto la cifratura: vedi backup aziendale: come capire se ti salverebbe davvero.

Non solo il disco: posta, cloud e password salvate

Un computer di lavoro è anche una chiave d’accesso ai servizi dell’azienda. Spesso il programma di posta è già collegato, la cartella del cloud si sincronizza da sola, il browser ricorda le password del gestionale e della banca. Se il computer non era cifrato, o era acceso, chi lo ha in mano può entrare in tutti questi servizi.

Per questo la prima cosa da fare, prima ancora di valutare il rischio, è chiudere le porte:

• disconnetti il dispositivo dall’account di posta e dal cloud, e revoca le sessioni attive;
• cambia la password dell’utente e tutte quelle salvate sul computer, partendo da posta, gestionale e home banking;
• controlla che non siano state create regole di inoltro automatico della posta o nuovi accessi dopo l’ora del furto;
• se il computer usava un accesso remoto alla rete dell’ufficio (VPN), revoca le sue credenziali.

Se trovi accessi dopo l’ora del furto, la violazione riguarda anche i servizi in cui il ladro è entrato.

Blocco e cancellazione da remoto: utili, ma non una prova

Il comando di blocco o di cancellazione da remoto funziona solo quando il computer si collega a internet: se il ladro lo tiene spento o toglie il disco, non parte. Invialo comunque e annota l’ora. Se arriva la conferma di cancellazione, scrivila nel registro, perché riduce il rischio; se non arriva, non puoi contarci per decidere di non notificare.

Notificare o no: come si decide

Pesano anche il numero di persone, la facilità con cui si possono identificare e la possibilità di usare i dati per truffe o furti d’identità. Il Garante mette a disposizione sul suo sito uno strumento di autovalutazione. Nel dubbio la scelta prudente è notificare: una notifica non necessaria non è sanzionata, una mancata notifica sì, fino a 10 milioni di euro o al 2% del fatturato mondiale.

Registro, notifica e comunicazione

Qualunque sia la decisione, il furto va scritto nel registro delle violazioni: data e ora del furto e della segnalazione, quale computer, stato della cifratura e del backup, dati coinvolti, misure prese (accessi revocati, password cambiate, comando di cancellazione), decisione e motivi. Allega la copia della denuncia e la prova della cifratura. Il registro va tenuto con gli altri documenti privacy: vedi nomine e registri.

Se serve la notifica, si fa online sul portale del Garante entro 72 ore, anche con informazioni incomplete da integrare dopo. Se il rischio è elevato, scrivi alle persone coinvolte con parole semplici: cosa è successo, quali loro dati, cosa possono fare, come diffidare di email e telefonate che citano i loro dati. Come compilare il modulo e cosa scrivere è spiegato in data breach: le prime 72 ore.

Se il computer conteneva dati che tratti per conto dei clienti, per esempio sei un consulente, un tecnico o una software house, tu sei il loro responsabile del trattamento: devi avvisare ciascun cliente senza ingiustificato ritardo, e la decisione sulla notifica spetta a loro.

Denuncia e assicurazione

Presenta denuncia ai Carabinieri o alla Polizia, con modello e numero di serie del computer. La copia serve per il registro e per l’assicurazione: molte polizze per l’ufficio o per i rischi informatici coprono il furto dei dispositivi, ma chiedono la denuncia e un avviso entro pochi giorni. Se è sparito anche un telefono di lavoro, vedi telefono rubato o perso. Per evitare il prossimo caso: cifratura verificata su ogni portatile, chiavi di ripristino custodite dall’azienda, portatile spento fuori ufficio e dati salvati sul server; le altre misure sono nella guida alla sicurezza informatica.

Un esempio concreto

Martina lavora in uno studio di consulenza del lavoro con sei persone. Venerdì alle 19 le rubano il portatile dall’auto, lasciato acceso in sospensione nella borsa. Avvisa il titolare, Stefano, alle 20.

• Venerdì sera: Stefano annota l’ora, chiama il tecnico, che disconnette il portatile da posta e cloud, cambia le password di Martina e invia il comando di cancellazione. Le 72 ore scadono lunedì alle 20.
• Sabato: il tecnico conferma che il disco era cifrato e la chiave è salvata nell’account dello studio. Sul portatile però c’era una copia locale delle buste paga di 40 aziende clienti, e il computer era in sospensione. La cancellazione non risulta eseguita.
• Lunedì mattina: con il consulente privacy valutano che, per le buste paga, il rischio non si può considerare improbabile. Martina presenta denuncia. Lo studio, che tratta quei dati per conto delle aziende clienti, le avvisa subito con i fatti utili alla notifica, che spetta a loro come titolari.
• Dopo: lo studio annota tutto nel registro, toglie le copie locali delle buste paga e introduce la regola di spegnere il portatile fuori ufficio.

Cosa fa il consulente privacy su Intervento

Descrivi quando è avvenuto il furto, che computer era, se era cifrato e acceso, quali dati conteneva e di quante persone. L’orientamento gratuito ti dice subito se sembra servire la notifica e quanto tempo ti resta. Con l’Analisi ottieni una lettura automatica dei documenti che carichi, come la denuncia o il rapporto del tecnico. Con l’Esperto un consulente privacy verificato ti risponde per iscritto: valutazione del rischio, se notificare, cosa scrivere nel registro e, se serve, alle persone. Con il livello Soluzione, su preventivo, ti segue nella notifica e nella revisione delle misure sui dispositivi.