Quando un'organizzazione scopre di aver subito una violazione dei dati, la reazione più comune è cercare il guasto nel reparto informatico. Eppure i numeri raccontano una storia diversa. In Italia il costo di un data breach si aggira in media intorno ai 3 milioni di euro per organizzazione, mentre la media globale rilevata dall'ultimo Cost of a Data Breach Report di IBM è di 4,44 milioni di dollari, in calo del 9% rispetto ai 4,88 milioni del 2024. Gli Stati Uniti restano il Paese più oneroso, con una media record di 10,22 milioni di dollari.
Il punto è un altro. Dietro queste cifre non c'è quasi mai un singolo cedimento tecnologico, ma una catena di scelte organizzative: controlli deboli, gestione dei fornitori lasciata al caso, esposizione del cloud, supervisione carente. La domanda giusta non è quale software abbia fallito, ma dove si sia interrotta la responsabilità. È questa la chiave di lettura che cambia il modo di affrontare il tema: il costo di una violazione è in larga parte una questione di governance, non di tecnica.
💶 Perché il conto è così salato
Il peso economico di una violazione dipende da quanto rapidamente e in modo ordinato l'organizzazione riesce a reagire, e questo dipende dalle strutture che ha costruito prima dell'incidente. Un'azienda che non sa dove risiedono i propri dati, quali fornitori vi accedono e chi deve decidere cosa nelle prime ore, moltiplica i costi del breach ben oltre il danno tecnico iniziale. La ISO 27001, spesso citata come rimedio, non è una soluzione informatica: è un sistema di gestione della sicurezza, che presidia procedure, ruoli e responsabilità. Comprarla come si compra un antivirus significa fraintenderne la natura.
Gli elementi che, nella pratica, fanno lievitare il costo di una violazione sono ricorrenti e riguardano l'organizzazione prima ancora dell'infrastruttura:
- una supervisione debole sulla catena dei fornitori, dove la responsabilità si spezza proprio nei passaggi tra soggetti diversi e nessuno presidia l'intero flusso
- controlli interni non allineati al rischio effettivo, con misure formali sulla carta ma non verificate nella realtà operativa
- l'assenza di un processo di risposta definito, che costringe a improvvisare quando il tempo è la risorsa più scarsa
👤 Il fattore umano, il punto più esposto
C'è un dato che ridimensiona l'idea della violazione come evento puramente tecnologico: circa il 74% delle violazioni coinvolge un elemento umano. Si tratta di errori, credenziali sottratte, abuso di privilegi, phishing. Quest'ultimo, oggi rafforzato dall'intelligenza artificiale che rende i messaggi ingannevoli sempre più credibili, resta tra le cause principali insieme al ransomware. Le minacce interne e l'uso improprio degli accessi pesano più delle vulnerabilità software.
La conseguenza è concreta. Investire in nuovi strumenti senza lavorare sulle persone lascia scoperto proprio il fronte da cui entra la maggior parte degli attacchi. La consapevolezza dei collaboratori, costruita attraverso una formazione continua e non episodica, incide sul rischio più di molte soluzioni acquistate a scatola chiusa: è il primo controllo, ed è quello che si può migliorare con maggiore rapidità.
📜 Cosa impone il GDPR quando i dati vengono violati
Il Regolamento europeo fissa regole precise e tempi stretti. In presenza di una violazione che comporti un rischio per i diritti e le libertà delle persone, il titolare deve notificarla al Garante entro 72 ore dal momento in cui ne viene a conoscenza. Un dettaglio spesso sottovalutato: le 72 ore si contano sul calendario, quindi comprendono notti, weekend e festivi. Se il termine viene superato, la notifica deve essere accompagnata dalle ragioni del ritardo. Quando il rischio per gli interessati è elevato, va informata anche la persona coinvolta, senza ingiustificato ritardo, in un linguaggio chiaro. Ogni violazione, infine, va annotata in un registro interno, comprese quelle che si decide di non notificare.
A questo quadro si affianca la NIS2. Le entità classificate come essenziali o importanti hanno obblighi paralleli di segnalazione al CSIRT nazionale, con un early warning entro 24 ore dalla conoscenza dell'incidente significativo e una notifica più dettagliata entro le 72 ore. In molti casi, per lo stesso evento, servono due segnalazioni distinte, con contenuti, formati e scadenze differenti: una al Garante sul piano della protezione dei dati, una al CSIRT sul piano della sicurezza delle reti.
⚖️ Il rischio sanzionatorio e la posizione di chi si è preparato
Le violazioni degli obblighi di notifica possono comportare sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo, secondo l'articolo 83.4 del GDPR. Il Garante, nella prassi, tratta la notifica tardiva o assente come circostanza aggravante nel calcolo della sanzione. L'enforcement recente conferma l'attenzione dell'Autorità su più fronti: telemarketing e catene di lead illecite, intelligenza artificiale generativa e web scraping, biometria, monitoraggio dei lavoratori tramite metadati, cookie e dark pattern.
La differenza, davanti a una violazione, la fa la preparazione. Chi arriva all'incidente con un processo di risposta già definito e documentato affronta l'evento in una posizione diversa rispetto a chi improvvisa, e può far valere circostanze attenuanti. Mappare i trattamenti, tenere aggiornati i piani di risposta, provare il flusso delle 72 ore con esercitazioni, disporre di template pronti e definire nei contratti con i fornitori tempi di escalation vincolanti sono le attività che riducono l'impatto economico di un breach. È il lavoro quotidiano di chi presidia la governance privacy di un'organizzazione: non una spesa tecnologica in più, ma la capacità di reagire in modo coordinato quando conta. La resilienza, in fondo, non si installa. Si costruisce.
#databreach #governance #nis2
