Con l'avvicinarsi della pausa estiva molte organizzazioni riducono il personale presente in azienda o sospendono temporaneamente le proprie attività. Parallelamente diminuiscono il presidio dei sistemi informatici, la capacità di monitorare eventuali anomalie e la rapidità diintervento in caso di incidente.

‍I cybercriminali conoscono bene queste dinamiche e pianificano frequentemente le proprie campagne di attacco nei periodi di ferie, durante i ponti o nei giorni festivi, quando è più probabile che un accesso non autorizzato, un ransomware o un tentativo di phishing rimangano inosservati per diverse ore o addirittura per alcuni giorni.

‍Le statistiche più recenti confermano questa tendenza: oltre la metà degli attacchi ransomware viene sferrata durante weekend e periodi festivi, sfruttando la ridotta presenza del personale e i tempi di risposta più lunghi. In tali circostanze, il ritardo nell'individuazione di un incidente può determinare un aggravamento significativo delle conseguenze, con perdita di dati, interruzione dell'operatività aziendale e possibile compromissione dei dati personali trattati.

‍

Dal punto di vista della protezione dei dati personali, la chiusura aziendale non comporta alcuna sospensione degli obblighi previsti dal Regolamento (UE) 2016/679 (GDPR).

Il Titolare del trattamento è infatti tenuto ad adottare misure tecniche ed organizzative adeguate a garantire un livello di sicurezza proporzionato ai rischi del trattamento, assicurando la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi utilizzati. Qualora durante il periodo di ferie si verifichi una violazione dei dati personali (data breach), gli obblighi previsti dal GDPR rimangono invariati e il Titolare dovrà valutare tempestivamente l'evento, adottare le necessarie misure di contenimento e, nei casi previsti, procedere alla notifica al Garante entro 72 ore dalla conoscenza della violazione.

Per questo motivo è opportuno che, prima della chiusura estiva, ogni organizzazione effettui alcune verifiche preventive.

Sotto il profilo organizzativo è consigliabile individuare almeno un referente reperibile per la gestione di eventuali incidenti informatici, verificare che siano aggiornati i contatti del fornitore IT, dell'amministratore di sistema e degli eventuali consulenti incaricati della sicurezza informatica, revocare gli accessi di dipendenti o collaboratori che non operano più per l'organizzazione e sensibilizzare il personale sui tentativi di phishing che in questo periodo risultano particolarmente frequenti. È inoltre buona prassi configurare le risposte automatiche alle e-mail evitando di riportare informazioni dettagliate sull'organizzazione interna, sulla durata delle assenze o sui nominativi delle persone sostitutive, poiché tali informazioni possono essere utilizzate per predisporre attacchi mirati.

‍

Dal punto di vista tecnico è opportuno verificare che i sistemi aziendali siano aggiornati, che i backup siano stati eseguiti correttamente e risultino effettivamente utilizzabili in caso di necessità, e che siano attive le principali misure di protezione degli accessi ai dati e ai servizi aziendali.

È inoltre consigliabile accertarsi che eventuali anomalie o incidenti possano essere rilevati e gestiti tempestivamente anche durante il periodo di chiusura.

I rischi derivanti da una gestione non adeguata della sicurezza durante il periodo di ferie non riguardano esclusivamente la protezione dei dati personali, ma anche la continuità operativa dell'organizzazione. Un accesso abusivo ai sistemi, la compromissione di una casella di posta elettronica, un attacco ransomware o la sottrazione di credenziali possono comportare l'interruzione o il rallentamento delle attività aziendali, rendere temporaneamente indisponibili documenti e applicazioni essenziali, compromettere i rapporti con clienti e fornitori e causare significativi danni economici e reputazionali.

La protezione dei dati personali non può essere considerata un'attività limitata alla normale operatività aziendale.

Anche i periodi di chiusura richiedono un'adeguata pianificazione delle misure di sicurezza, affinché l'organizzazione sia in grado di prevenire, rilevare e gestire tempestivamente eventuali incidenti.

Per il datore di lavoro ciò significa esercitare un'efficace governance dei processi aziendali, assicurando che responsabilità, procedure e misure di sicurezza rimangano operative anche in assenza del personale.

Una verifica preventiva prima della pausa estiva non rappresenta quindi un semplice adempimento, ma uno strumento concreto di gestione del rischio, utile a garantire la continuità operativa, tutelare i dati personali e dimostrare l'adozione di misure tecniche e organizzative adeguate, in conformità ai principi di responsabilizzazione (accountability) e di sicurezza del trattamento previsti dal GDPR.

‍

‍

‍

‍