Segnalazione Incidenti per Violazioni Sicurezza e Riservatezza: Quando e Come Segnalare
I requisiti di segnalazione incidenti per violazioni sicurezza o riservatezza non sono universali — sono definiti dalle policy della tua organizzazione, regolamenti di settore (HIPAA, GDPR, FERPA, PCI-DSS), e obblighi contrattuali.
Principio Generale
Se un incidente potenzialmente compromette la riservatezza, integrità, o disponibilità di informazioni sensibili, dovrebbe essere segnalato. Erra per cautela.
Eventi Trigger Comuni Richiedenti Segnalazione
- Accesso Non Autorizzato: Qualcuno ha visualizzato, copiato, o accesso dati senza autorizzazione.
- Perdita o Furto: Laptop, telefono, chiavetta USB, cartaceo contenenti PHI/PII persi o rubati.
- Violazione Sicurezza: Hacking, malware, phishing, compromissione credenziali, vulnerabilità sfruttata.
- Violazione Privacy: Informazione divulgata a destinatario non autorizzato (email indirizzata male, fax, verbale).
- Violazione Riservatezza: Violazione NDA, privilegio avvocato-cliente, trade secrets, dati proprietari.
- Misconfigurazione Sistema: Database esposto pubblicamente, bucket S3 aperto, permessi indirizzati male.
Processo Segnalazione
- Immediato: Notifica supervisore, manager, o designated security/privacy officer.
- Rapporto Formale: Completa modulo incident report organizzazione (cosa, quando, dove, chi, dati coinvolti, azioni intraprese).
- Preserva Prove: Non pulire dispositivi, cancellare log, o "risolvere" il problema prima revisione forense.
- Follow Up: Collabora con indagine; implementa azioni correttive.
Timeline Regolatorie (Esempi)
- HIPAA: Violazione ≥500 individui → report a HHS entro 60 giorni; individui colpiti senza ritardo ingiustificato.
- GDPR: Report ad autorità vigilanza entro 72 ore da consapevolezza.
- Leggi Statali Violazioni: Variano (es. CA: "nel tempo più expedito").
Quando in dubbio, segnalalo. Il tuo supervisore o privacy officer determinerà se report regolatorio formale è richiesto. Il silenzio crea responsabilità; la segnalazione permette contenimento.