Oggi, considerata l’ampia diffusione di tecnologie e modelli di business sempre più basati sulla rete, il cyber risk rappresenta un punto critico nel processo di analisi e riduzione dei rischi cui un’azienda può incorrere nella conduzione della propria attività.
Pertanto, oltre ai rischi tradizionali, che è necessario indicare nel Documento di Valutazione dei Rischi (DVR), di cui all’art. 28 del D.lgs. 81/2008, l’obbligo della redazione del citato documento da parte del datore di lavoro riguarda tutti i rischi in materia di sicurezza e salute nei luoghi di lavoro, compresi anche quelli di natura cibernetica, perché questi ultimi possono compromettere la stabilità stessa dell’azienda.
Indice degli argomenti
Valutazione del cyber risk per i danni ai dati aziendali
Giova ricordare che per valutazione dei rischi s’intende una valutazione globale e documentata di tutti i rischi per la salute e sicurezza dei lavoratori presenti nell’ambito dell’organizzazione in cui essi prestano la propria attività, finalizzata a individuare le adeguate misure di prevenzione e di protezione e a elaborare il programma delle misure atte a garantire il miglioramento nel tempo dei livelli di salute e sicurezza.
Infatti, oltre ai danni sui beni materiali (PC, server, rete o qualsiasi altro dispositivo elettronico), che possono derivare da eventi dannosi come l’incendio, il terremoto, il furto, uno sbalzo di tensione ecc., danni ancor più gravi possono riguardare la distruzione accidentale o illecita, perdita, alterazione, rivelazione non autorizzata dei dati protetti, trasmessi, memorizzati o comunque elaborati all’interno e all’esterno dell’azienda.
Per quest’ultimo aspetto, si pensi a tutte quelle condotte che possono essere realizzate nello spazio cibernetico o tramite esso che si sostanziano, in particolare, nelle azioni di singoli individui o organizzazioni, statuali e non, pubbliche o private, finalizzate all’acquisizione e al trasferimento indebito di dati, alla loro modifica o distruzione illegittima, ovvero a danneggiare, distruggere o ostacolare il regolare funzionamento delle reti e dei sistemi informativi o dei loro elementi costitutivi.
Come le aziende possono tutelarsi da questi rischi
Un’azienda, per tutelarsi da questa tipologia di rischi, può anche affidarsi alle risorse della rete internet prediligendo il cloud computing, che è un paradigma di erogazione di servizi offerti su richiesta da un fornitore a un cliente finale come l’archiviazione, l’elaborazione o la trasmissione dati, a partire da un insieme di risorse preesistenti, configurabili e disponibili in remoto sotto forma di architettura distribuita.
Servizi che riguardano non solo l’elaborazione in cloud di mail, ma anche la gestione di servizi di conservazione dei dati (backup online), di contabilità, anagrafe, prenotazione, word processing e così via che possono comportare rischi per i dati personali inviati a terze parti.
In questo caso, la gestione dei dati potrebbe essere compromessa dalle seguenti criticità:
- i dati non risiedono più sui server del titolare ma sono allocati su quelli del fornitore di cloud, che potrebbe utilizzare server collocati fisicamente al di fuori dello spazio economico europeo SEE;
- l’infrastruttura di gestione del cloud è condivisa con diversi committenti per cui va garantita la separazione almeno logica dei dati e la sicurezza degli stessi;
- la velocità di connessione che impatta sulla qualità del servizio, può incidere sulla sicurezza delle comunicazioni.
Pertanto, se da un lato il cloud computing offre numerosi vantaggi alle aziende, comporta anche rilevanti questioni giuridiche in materia di valutazione dei rischi, sicurezza dei dati e del loro trattamento. Ciò implica un’attenta analisi e studio sui contenuti dei contratti per l’acquisizione dei servizi richiesti e sulla tutela dei dati da trattare secondo quanto previsto dalla normativa vigente in materia.
Dati in cloud: manca un chiaro quadro normativo
Purtroppo, nonostante l’evoluzione tecnologica, il legislatore non ha ancora chiaramente definito entro quali limiti debbano essere stipulati i citati accordi anche a tutela degli interessi dei terzi.
La certificazione ISO/IEC 27001 (Sicurezza dei Sistemi informativi), non essendo obbligatoria, serve solo a dimostrare nei confronti della clientela che l’azienda, per la tutela dei dati, segue le linee guida stabilite dalla citata norma ISO.
Pertanto, occorrerebbe stabilire i criteri necessari a garantire quelle misure minime e generali come standard e non come eccezione o lasciate al libero accordo tra le parti in causa.
Maggiore attenzione nell’assunzione del rischio cyber
Dunque, le aziende e i singoli soggetti che intendono usufruire di tali servizi digitali devono porre maggiore attenzione alla stipulazione del contratto circa l’assunzione del rischio cyber.
In questo caso, in relazione alla valutazione del rischio cibernetico, c’è da chiedersi quale ruolo dovrà assumere il datore di lavoro e quali responsabilità avrà nei confronti della propria azienda essendo il responsabile del DVR, secondo quanto previsto dal D.lgs. 81/2008. In tale ambito, la valutazione del rischio cibernetico può essere considerata una parte integrativa del DVR?
In caso affermativo, vi è necessità di istituire ex novo un Documento di Valutazione del Rischio Cibernetico (DVRC), comprensivo delle misure di prevenzione da adottare dal punto di vista fisico e logico. Pertanto, sarà necessario indicare anche il Titolare del trattamento dei dati che, ai sensi dell’art. 26 del D.lgs. 51/2018, ha l’obbligo di notificare al Garante della privacy l’eventuale violazione dei dati personali che può compromettere la riservatezza, l’integrità o la disponibilità di dati personali.
Conclusioni
Giova ricordare, infine, che ai sensi dell’art. 2087 del c.c., il datore di lavoro deve garantire la massima sicurezza tecnologicamente fattibile, adeguatamente allo sviluppo scientifico e tecnologico raggiunto anche in materia di sicurezza cibernetica.
Trattasi comunque di un obbligo preventivo generale, che impone al datore di lavoro il positivo apprestamento di tutti i necessari mezzi idonei ai fini della sicurezza.
Correlato a questi obblighi è l’onere del datore di lavoro di attuare la migliore scienza, esperienza e tecnologia sugli aspetti rischiosi del lavoro, facendo eventualmente ricorso ad esperti qualora sia privo della necessaria competenza.
Come afferma la Suprema Corte: “In materia di sicurezza del lavoro il datore di lavoro è tenuto ad uniformarsi alla migliore scienza ed esperienza del momento storico in quello specifico settore; e, nel caso in cui per i suoi limiti individuali non sia in grado di conoscere la miglior scienza ed esperienza, consapevole di tali limiti, deve avere l’accortezza di far risolvere da altri i problemi tecnici che non è in grado di affrontare personalmente” (Cass. sez. IV pen. 16 giugno 1995 n. 6944, Vescovi ed altri, in Diritto e Pratica del lav., n. 32, 1995, p. 2120).
In conclusione, il tema resta aperto e meritevole dei dovuti approfondimenti non soltanto sul piano normativo, ma anche sulla piena operatività circa la tutela della sicurezza cibernetica delle aziende.
