Un recente sondaggio condotto da Eurobarometro e pubblicato dalla Commissione Europea il 30 settembre ha rivelato che tre lavoratori su quattro nell’Unione Europea si sono imbattuti in email, messaggi o link sospetti sul posto di lavoro. Questi risultati emergono in concomitanza con l’inizio del Mese Europeo della Cybersecurity (ECSM), periodo in cui la Autorità Greca per la Protezione dei Dati (HDPA) ha colto l’occasione per ribadire l’importanza di proteggere i dati personali come elemento centrale nella lotta contro le minacce informatiche.
Minacce informatiche nella vita lavorativa
Il sondaggio suggerisce che le minacce informatiche sono ormai una costante nella vita lavorativa, evidenziando un divario tra ciò che i dipendenti conoscono sui rischi digitali e le pratiche che adottano realmente. Infatti, il 39% dei lavoratori ha dichiarato di aver ricevuto messaggi fraudolenti o di essere stato indirizzato a siti web falsi progettati per rubare dati o ottenere accessi non autorizzati. Inoltre, il 18% ha segnalato tentativi di furto di dati personali, il 17% ha subito attacchi malware, mentre il 16% ha incontrato tentativi di ottenere password. Un ulteriore 15% ha dichiarato di aver già avuto a che fare con truffe basate sull’intelligenza artificiale, una tipologia di minaccia in rapida crescita poiché gli strumenti AI consentono agli attaccanti di creare messaggi, immagini e video sempre più credibili.
Conoscenza e comportamenti
Nonostante l’83% dei lavoratori affermi che un attacco informatico può avere conseguenze gravi e il 72% dichiari di poter identificare un’email sospetta, solo il 54% verifica l’identità del mittente prima di cliccare su un link. La situazione è ancor più preoccupante per quanto riguarda il contenuto generato o alterato tramite AI, infatti meno della metà (48%) afferma di poter riconoscere un video deepfake.
Obblighi di notifica in caso di violazione
In occasione del Mese Europeo della Cybersecurity, la HDPA ha richiamato l’attenzione delle organizzazioni pubbliche e private sui loro obblighi in caso di violazione. Secondo l’Articolo 33 del Regolamento generale sulla protezione dei dati (GDPR), è necessario notificare l’autorità competente. Tuttavia, affrontare il problema tecnico e avvisare il regolatore non è sempre sufficiente. In alcuni casi, le organizzazioni sono tenute a informare anche le persone coinvolte.
Quando i cittadini devono essere avvisati
In base all’Articolo 34 del GDPR, le organizzazioni devono informare le persone senza indugi eccessivi quando una violazione potrebbe compromettere gravemente i loro diritti e libertà, il che include rischi come frodi finanziarie, furti d’identità o esposizione di informazioni personali sensibili. Una comunicazione tempestiva è fondamentale per consentire alle persone di proteggersi prima che i danni si aggravino, ad esempio cambiando password o monitorando messaggi sospetti.
Importanza della trasparenza
Informare le persone riguardo a una violazione non è solo un obbligo legale, ma è anche cruciale per gestire le conseguenze di un attacco informatico. Nascondere un incidente o ritardare la notifica, senza una buona ragione, può esporre ulteriormente gli interessati, privandoli della possibilità di proteggersi in tempo. La trasparenza è anche alla base della fiducia tra un’organizzazione e i cittadini, clienti o dipendenti i cui dati vengono trattati.
Prepararsi per le sfide del cyberspazio
La HDPA sta esortando le organizzazioni pubbliche e private a valutare quanto siano pronte ad affrontare un incidente informatico. Ciò implica aggiornare i piani di risposta agli incidenti, formare regolarmente il personale e integrare la protezione dei dati in ogni fase della gestione di un incidente. Con tre lavoratori su quattro già esposti a messaggi o link sospetti, la HDPA sottolinea che la cybersecurity non può più essere considerata solo una questione tecnica, ma deve diventare una responsabilità quotidiana per le organizzazioni, fondamentale per la protezione del pubblico.
