Security e safety: gli effetti sulle persone

Il considerando 85 del Regolamento (UE) 2016/679, regolamento generale sulla protezione dei dati (GDPR), riconosce che una violazione dei dati personali può causare danni fisici alle persone.

Red Hot Cyber propone il tema della convergenza fra security e safety. Mi interessa per le decisioni che richiede a chi dirige un servizio, quando un incidente informatico può compromettere la sicurezza delle persone.

L'articolo 32, paragrafo 1, lettera b), del GDPR riguarda anche l'integrità e la disponibilità dei sistemi di trattamento, nel quadro delle misure di sicurezza adeguate al rischio. Una perdita di disponibilità può impedire di utilizzare informazioni necessarie per svolgere un'attività in sicurezza.

Per i soggetti essenziali e importanti, il decreto legislativo 4 settembre 2024, n. 138 (disciplina NIS 2), all'articolo 24, comma 2, prevede misure per proteggere i sistemi informativi e di rete e il loro ambiente fisico, che comprendono la gestione degli incidenti e la continuità operativa.

Le due discipline hanno presupposti e obblighi diversi. Il collegamento con la safety richiede di valutare le conseguenze dell'incidente sul servizio e sulle attività che dipendono da quel sistema.

Io partirei da questo passaggio nel riesame di un incidente: coinvolgere chi gestisce i sistemi e chi risponde dell'attività interessata per decidere a quali condizioni il servizio possa proseguire o riprendere. Il ripristino tecnico è una delle verifiche; resta da accertare che le informazioni utilizzate siano affidabili e che la ripresa sia sicura per chi lavora e per chi riceve il servizio.