Garante privacy: sanzioni alla regione Lazio per l’attacco ransomware

Il Garante per la Protezione dei Dati Personali ha irrogato tre sanzioni significative, rispettivamente di 271mila euro a LAZIOcrea, società che gestisce i sistemi informativi della Regione Lazio, 120mila euro alla Regione Lazio e 10mila euro alla ASL Roma 3, a conclusione dei procedimenti aperti dopo l’attacco ransomware al sistema sanitario regionale avvenuto nella notte tra il 31 luglio e il 1° agosto del 2021.
Per approfondimenti sui data breach consigliamo l’e-book: Casi e questioni di data breach – e-Book in formato zip

1. L’incidente ransomware critico

La notte tra il 31 luglio e il 1° agosto 2021, un attacco informatico da manuale ha colpito il sistema sanitario della Regione Lazio. Un ransomware, un tipo di malware che crittografa i file dell’utente richiedendo un riscatto per la loro decifrazione, è stato il vettore dell’assalto. Questo particolare tipo di attacco è particolarmente pericoloso poiché sfrutta vulnerabilità spesso trascurate e può propagarsi rapidamente attraverso le reti, paralizzando interi sistemi. Il ransomware che ha colpito la Regione Lazio è partito dal computer di un dipendente, bloccando l’accesso a molti servizi sanitari per un tempo che è andato da alcune ore ad alcuni mesi, impedendo la gestione delle prenotazioni, il ritiro dei referti e la gestione delle vaccinazioni contro il Covid-19. Asl, aziende ospedaliere, case di cura non hanno potuto utilizzare alcuni sistemi informativi regionali, attraverso i quali sono trattati i dati sulla salute di milioni di assistiti. 
L’attacco alla Regione Lazio ha suscitato un grande clamore mediatico, conquistandosi le prime pagine di molti giornali e venendo etichettato come “attacco senza precedenti”. Tuttavia, lungi dall’essere stato un attacco nuovo, si è trattato di un ransomware già noto nell’ambito della cybersecurity, entrato nel sistema attraverso una campagna di phishing ben riuscita e a causa delle scarse protezioni del sistema.
I ransomware, come quello utilizzato nell’attacco, sono notoriamente insidiosi. Sono programmi dannosi che, una volta entrati nel sistema, cifrano i dati, rendendoli inutilizzabili. Gli hacker dietro tali attacchi poi richiedono tipicamente un pagamento, solitamente in criptovalute, per la chiave di decrittazione. La pericolosità del ransomware risiede nella sua capacità di colpire rapidamente e inaspettatamente, sfruttando spesso punti deboli come errori umani o lacune nella sicurezza del software.
Alla vicenda abbiamo dedicato l’articolo: Data Breach alla regione Lazio: la gravità dipende dalla reazione

2. Le sanzioni del Garante: valutazioni e responsabilità

Le sanzioni imposte dal Garante sono state calcolate in base alla natura, alla gravità delle violazioni e al grado di responsabilità.
LAZIOcrea è stata gravata dalla sanzione maggiore per non aver adeguatamente aggiornato i propri sistemi e per la mancata implementazione di misure di sicurezza adeguate. La Regione Lazio, essendo il titolare del trattamento dei dati, è stata ritenuta responsabile per non aver esercitato un’adeguata vigilanza sul proprio responsabile del trattamento. La sanzione minore alla ASL Roma 3, invece, è stata attribuita per la mancata notifica tempestiva del data breach.
Per approfondimenti sui data breach consigliamo l’e-book: Casi e questioni di data breach – e-Book in formato zip

3. Le criticità rivelate dall’incidente

Questo attacco ha messo a nudo la vulnerabilità di enti che gestiscono dati di particolare sensibilità e rilevanza. La decisione di spegnere circa 180 server per prevenire ulteriori danni ha interrotto servizi essenziali, sottolineando l’importanza di avere piani di risposta agli incidenti e sistemi di rilevamento e mitigazione degli attacchi. L’incidente rivela che la gestione delle crisi informatiche deve essere agile, proattiva e supportata da protocolli solidi che non compromettano la continuità operativa delle strutture critiche.

Potrebbero interessarti anche:

• Attacco ASL 1 Abruzzo e gravità del danno: nuovi scenari CGUE
• Attacco hacker in Italia e nel mondo: perché è grave
• Garante sanziona Asl Napoli 3 per violazione principio privacy by design

4. Oltre le sanzioni: costruire un sistema cyber-resiliente

È imperativo che le istituzioni sanitarie rivedano i loro approcci alla sicurezza dei dati, integrando la cybersecurity come parte integrante del loro funzionamento quotidiano. La formazione del personale, gli aggiornamenti regolari dei sistemi e l’adozione di strumenti di sicurezza avanzati dovrebbero diventare prassi comune, non eccezioni.
Il Garante, con queste sanzioni, non solo punisce, ma lancia un chiaro messaggio al settore: la sicurezza dei dati personali e la salute dei cittadini sono indissolubilmente collegate. Le istituzioni devono elevare il proprio livello di preparazione, trasformando la sicurezza dei dati in un imperativo strategico non più rimandabile.