Responsabilità amministrativa enti: la legge 231/01 e i reati informatici

Il Decreto Legislativo 231/01 ha introdotto una fondamentale innovazione nel contesto giuridico italiano, stabilendo la responsabilità amministrativa degli enti e delle società per determinati reati, noti come “reati presupposto,” commessi da individui che occupano posizioni di rappresentanza, amministrazione o direzione, o da soggetti sottoposti alla loro supervisione nel proprio interesse o a proprio vantaggio.
Potrebbe interessarti anche: La responsabilità amministrativa degli enti

1. I reati informatici

L’importanza di delineare chiaramente il tipo di rapporto che può generare la responsabilità dell’ente diventa ancora più significativa con l’approvazione della Legge 48/2008, che ha ratificato la Convenzione di Budapest del Consiglio d’Europa sul cybercrime. Questa ratifica ha esteso la responsabilità degli enti ai reati informatici, aggiungendo una nuova dimensione a questa materia.
I reati informatici inclusi nel Decreto possono essere suddivisi in tre categorie principali:

1. Danneggiamento di hardware, software e dati: Questi reati riguardano l’accesso non autorizzato ai sistemi informatici, l’intercettazione o l’interruzione di dati attraverso l’installazione di specifici software o hardware. È importante notare che l’aggravante si applica quando tali reati coinvolgono sistemi informatici di pubblica utilità.
2. Detenzione e diffusione di software e attrezzature informatiche: Questa categoria punisce coloro che possiedono o diffondono software o attrezzature utilizzabili per commettere reati informatici di cui sopra.
3. Violazione dell’integrità dei documenti informatici e della firma digitale: Questi reati riguardano la manipolazione non autorizzata di documenti digitali e la falsificazione di firme digitali.

Spesso, questi reati sono interconnessi tra loro, e prevenirli rappresenta una sfida complessa. Sono spesso commessi da individui che sfruttano le proprie competenze informatiche e approfittano delle vulnerabilità nella rete aziendale. L’avvento della digitalizzazione ha rivoluzionato il mondo aziendale, imponendo alle aziende una crescente informatizzazione. Questa trasformazione è diventata un requisito essenziale per ottimizzare l’organizzazione dei processi interni. Tuttavia, l’uso dell’informatica e del mondo virtuale ha anche comportato rischi, poiché la protezione cibernetica non è sempre stata adeguatamente allineata con l’evoluzione dei processi produttivi.
La crescente criminalità online ha reso i reati informatici una minaccia non solo interna alle aziende, ma anche esterna. Gli attacchi cibernetici e le violazioni dei dati aziendali da parte di hacker sempre più esperti sono diventati allarmanti. In risposta a ciò, i dirigenti aziendali hanno dovuto riconoscere la necessità di non solo proteggere la rete interna dell’azienda ma anche di adottare misure di tutela verso l’esterno.
Il legislatore ha riconosciuto agli enti la possibilità di evitare o mitigare la responsabilità per reati specifici, noti come “reati presupposto,” attraverso l’adozione di un modello organizzativo che comprenda linee guida e protocolli volti a prevenire tali reati. Nel contesto della preparazione del Modello 231, la gestione dei rischi connessi al mondo dell’informatica si basa principalmente su tre pilastri fondamentali: prevenzione, controlli, formazione.

Potrebbero interessarti anche:

• Lineamenti generali sulla responsabilità amministrativa
• La particolare tenuità del fatto non si applica in materia di responsabilità amministrativa degli enti

2. Prevenzione

A livello di prevenzione, è fondamentale che ogni azienda stabilisca regole comportamentali e di sicurezza dedicate sia agli utenti interni che a quelli esterni. Per quanto riguarda gli utenti interni, è cruciale inizialmente definire i livelli di accesso in base alla confidenzialità delle informazioni e alla responsabilità di ciascun individuo. Una politica di sicurezza del sistema informatico (ICS policy) ben strutturata regolamenta l’accesso ai documenti e alle informazioni aziendali e il loro utilizzo. Al fine di garantire l’affidabilità e la sicurezza dei sistemi informativi interni, ogni azienda dovrebbe includere almeno le seguenti disposizioni nell’ICS policy:

• Protezione da software dannosi tramite l’uso di antivirus e il monitoraggio/aggiornamento costante.
• Esecuzione regolare di backup dei dati aziendali e dei software utilizzati.
• Sicurezza nelle comunicazioni con terze parti, compreso il regolamento sull’uso di dispositivi rimovibili come le chiavette USB e la tracciatura delle attività svolte su applicazioni, sistemi e reti, con protezione contro gli accessi non autorizzati.
• Monitoraggio periodico dei log che registrano le attività degli utenti, le eccezioni e gli eventi relativi alla sicurezza, con accesso ai servizi di rete consentito solo a utenti specificamente autorizzati e restrizioni sull’accesso alla rete.
• Revisione periodica dei diritti di accesso degli utenti, sia in base a intervalli temporali prestabiliti che in caso di cambiamenti nel rapporto che giustifica l’accesso.
• Periodico rinnovo delle credenziali degli utenti e segmentazione della rete per garantire il rispetto delle norme di controllo degli accessi alle applicazioni aziendali.
• Chiusura automatica delle sessioni inattive dopo un determinato periodo di tempo e l’adozione di regole di sicurezza, come il clear screen, per i dispositivi di elaborazione utilizzati.
• Implementazione e sviluppo dei controlli crittografici per proteggere le informazioni e gestire le chiavi crittografiche.
• Esecuzione regolare di test di sicurezza informatica per proteggersi dalle minacce informatiche.

Per quanto riguarda gli utenti esterni, è consigliabile adottare misure quali la richiesta di abilitazione preventiva da parte del responsabile aziendale competente e la creazione di una rete separata per i soggetti esterni, diversa da quella utilizzata dal personale aziendale. È inoltre importante applicare le procedure di sicurezza stabilite per lo scambio di informazioni tramite strumenti di comunicazione come le chiavette USB o i CD-ROM.

3. Controlli

Nell’ambito della gestione dei rischi legati alla sicurezza informatica, è cruciale implementare una serie di controlli per garantire la protezione dei dati aziendali e prevenire possibili minacce. Ecco alcuni aspetti chiave da considerare.
Nominare un Amministratore di Sistema
L’azienda dovrebbe designare un amministratore di sistema esperto in IT responsabile del monitoraggio dei sistemi informativi aziendali. Questa figura dovrebbe gestire tutte le segnalazioni provenienti dalle diverse funzioni aziendali.
Audit Interni
È fondamentale programmare audit interni periodici, inclusi penetration test ed esercitazioni di ingegneria sociale. Questi controlli aiutano a identificare e correggere potenziali vulnerabilità nei sistemi informativi aziendali.
Aggiornamento costante
Un aspetto critico della sicurezza informatica è il controllo dell’aggiornamento delle minacce e delle patch di sicurezza da installare. Monitorare attentamente queste modifiche può prevenire l’introduzione di vulnerabilità non intenzionali.
Tutti questi strumenti e misure di controllo sono altamente efficaci anche nella protezione contro le minacce esterne. L’implementazione del Modello 231 può essere un prezioso strumento per affrontare le minacce informatiche provenienti dall’esterno.
Negli ultimi anni, si sono verificati sempre più reati nel cyberspazio, alcuni dei quali non rientrano nell’elenco del D. Lgs. 231/01 ma che hanno comunque gravi conseguenze economiche e sulla reputazione aziendale. Questi includono attacchi di phishing, cyber-laundering e diffamazione online. Gli autori di tali reati sono spesso anonimi e difficili da rintracciare, poiché possono trovarsi in paesi stranieri.
Pertanto, l’aumento delle misure di prevenzione e controllo contenute nel Modello 231, compresi gli strumenti di contrasto alle minacce esterne, è vantaggioso per le aziende che cercano una protezione completa e la continuità delle loro attività. Le aziende dovrebbero anche stabilire una procedura di disaster recovery per gestire incidenti e anomalie legate alla sicurezza informatica e garantire la continuità aziendale e il ripristino della normale operatività dopo un eventuale incidente.

4. Formazione

La formazione è un elemento cruciale per garantire la sicurezza informatica all’interno dell’azienda. L’Ente è tenuto ad adottare un programma di sensibilizzazione sulla sicurezza delle informazioni con l’obiettivo di rendere i dipendenti e, se del caso, i fornitori, consapevoli delle loro responsabilità per la sicurezza delle informazioni e dei mezzi con cui tali responsabilità vengono assolte.
Obiettivi del Programma di Sensibilizzazione sulla Sicurezza Informatica dovrebbero essere i seguenti.
Consapevolezza delle responsabilità: Il programma dovrebbe chiarire le responsabilità di ciascun dipendente e fornitore per la sicurezza delle informazioni e come queste responsabilità vengono attuate all’interno dell’azienda.
Aggiornamenti regolari: Le attività di sensibilizzazione dovrebbero essere pianificate regolarmente, in modo che coprano tutti i dipendenti e fornitori, compresi i nuovi ingressi. Inoltre, il programma dovrebbe essere aggiornato regolarmente per riflettere le politiche e le procedure organizzative più recenti.
Apprendimento dagli incidenti: cosiddetto lesson learned. Il programma dovrebbe basarsi su esperienze passate, compresi incidenti o casi simili di quasi reati in ambito di sicurezza delle informazioni. Questi casi possono servire da casi studio per illustrare le minacce e le conseguenze dei comportamenti non sicuri.
Figure di riferimento: È importante avere figure aziendali specifiche che siano formate per gestire segnalazioni di anomalie interne e riconoscere le minacce informatiche. Questi referenti per la sicurezza informatica sono fondamentali per una risposta tempestiva a eventi dannosi.
Benefici di una adeguata formazione aziendale
Miglioramento della collaborazione: La formazione contribuisce a una migliore collaborazione nella gestione di dati ed informazioni all’interno dell’azienda. Tutti i dipendenti dovrebbero comprendere l’importanza della sicurezza delle informazioni.
Tempestività d’intervento: La formazione aiuta a individuare e rispondere tempestivamente a eventi dannosi, sia essi accidentali o fraudolenti. La prontezza nell’azione può ridurre notevolmente le conseguenze di un attacco informatico.
Cultura aziendale per la sicurezza informatica: La formazione contribuisce a diffondere una cultura aziendale focalizzata sulla sicurezza informatica. Questa cultura aziendale promuove comportamenti sicuri tra i dipendenti, il che è essenziale per una protezione efficace contro il cybercrime.

Volume consigliato