La notizia dei backup ritrovati sta facendo il giro del web, polarizzando le reazioni fra due opposti: manifesta incredulità e credule manifestazioni di entusiasmo.
Analizzare correttamente l’accaduto e il contesto dell’incidente prevede ovviamente un approccio di pensiero critico, ben oltre una tifoseria aprioristica e senza cognizione di causa. Ad esempio, quella “ricerca del colpevole” che, con un considerevole esercizio di stile di sciacallaggio mediatico, ha voluto esporre l’operatore in smart working il cui account – stando alle notizie e dall’investigazione in corso – è stato l’anello debole da cui è derivata la compromissione dei sistemi.
Molto si è voluto dire circa una presunta navigazione su siti porno come fonte del problema, scegliendo così, per ignoranza o malafede, gli occhiali del bigottismo digitale. Ironicamente, si può ricordare che internet is for porn. Meno ironicamente, che la leva per forzare il fattore umano non può essere ridotta ad un singolo sito o categoria di siti, dal momento che i metodi di ingegneria sociale dietro agli attacchi di tipo ransomware possono abbracciare un’ampia gamma di vettori e tecniche.
Ancora: si guarda al dito – o più propriamente all’unghia – dell’operatore in smart working, e non ad una responsabilità di organizzazione: sensibilizzare, formare e predisporre misure per prevenire incidenti e violazioni. Non su un piano formale bensì sostanziale, reso da un’analisi dei rischi continuamente verificata, riesaminata ed aggiornata, che va a formare un piano di disaster recovery efficace.
Adesso però viene da chiedersi come, una volta che sistemi e dati sono ripristinati, si intenda procedere per la chiusura dell’incidente. La speranza è che si voglia seguire quell’approccio di tipo lesson learned, non soltanto sotto il profilo tecnico dell’incidente ma anche sotto quello della gestione, soprattutto dal punto di vista delle comunicazioni istituzionali rese. Il timore è che si possa invece voler svilire l’accaduto, sgonfiandolo dopo l’eccesso di averlo considerato addirittura di matrice terroristica, e che tutto vada lentamente a dissolversi in un placido, inerte oblio.
Certamente, i negazionisti della privacy diranno che la campagna vaccinale ora deve proseguire e che dunque ha priorità su tutto, e non c’è tempo per “burocrazie”, o “formalismi”, quali un data breach. Come se occuparsi dell’incidente, e delle conseguenze che potrebbe avere nei confronti degli interessati possa rappresentare un ostacolo. Anzi, forse è l’unico modo per evitare che un evento simile non possa ripetersi. E magari capire se dei dati sono stati esfiltrati, e da questi può derivare un rischio concreto tanto per gli interessati che per i sistemi informatici.
