Ordinanza ingiunzione o revoca n. 196 del 21/03/2024

Regione Lazio - violazione della sicurezza del trattamento dopo attacco ransomware al data center LAZIOcrea

Il provvedimento riguarda la Regione Lazio, in qualità di titolare del trattamento, per i trattamenti di dati personali svolti tramite LAZIOcrea S.p.a. quale responsabile, a seguito di un attacco ransomware che ha reso indisponibili numerosi sistemi informativi regionali, inclusi servizi sanitari e trattamenti di dati relativi alla salute.

Origine dell’istruttoria e accertamenti svolti

Il procedimento origina dalla notifica di violazione dei dati personali trasmessa dalla Regione ai sensi dell’art. 33 GDPR, poi integrata, relativa a un attacco informatico che ha colpito il data center gestito da LAZIOcrea. L’Ufficio ha richiesto chiarimenti sulle misure di sicurezza adottate e ha svolto attività ispettiva presso la Società nei mesi successivi.

Dalla documentazione acquisita è emerso che:

• l’attacco è iniziato il 31 luglio 2021 ed è stato rilevato nelle prime ore del 1° agosto 2021;
• il malware apparteneva alla famiglia RansomEXX/Defray777;
• l’accesso iniziale è avvenuto tramite credenziali sottratte da un account usato per il lavoro da remoto;
• l’attacco ha interessato lo strato di virtualizzazione del data center, con conseguente indisponibilità di numerosi server virtuali;
• i servizi critici di emergenza e alcuni sistemi segregati non risultano essere stati interrotti.

Trattamenti coinvolti e impatto della violazione

La violazione ha determinato la temporanea indisponibilità di molti sistemi regionali, alcuni dei quali trattavano dati sulla salute degli assistiti del servizio sanitario regionale. Sono stati coinvolti, tra gli altri, sistemi per:

• prenotazioni sanitarie e vaccinazioni Covid-19;
• anagrafe vaccinale regionale;
• teleconsulto;
• deposito e consultazione dei referti;
• ricetta digitale;
• pagamenti e gestione di prestazioni sanitarie;
• portali e servizi regionali connessi.

Il Garante ha qualificato l’indisponibilità dei dati come violazione dei dati personali, sia perché direttamente provocata dall’attacco, sia perché aggravata dalla decisione di spegnere tutti i sistemi server in assenza di una segregazione adeguata delle reti e per evitare la propagazione del malware.

Misure dichiarate da Regione e LAZIOcrea

Nel corso dell’istruttoria sono state illustrate varie misure già esistenti o successivamente adottate. In particolare, LAZIOcrea ha rappresentato:

• la presenza di procedure di backup, business continuity, disaster recovery, incident management e gestione delle violazioni;
• l’uso di Active Directory e di accessi remoti tramite VPN;
• l’assenza, al momento dei fatti, di autenticazione multifattore per l’accesso VPN;
• password policy differenziate, con password più robuste per gli account amministrativi;
• misure di segregazione di alcuni sistemi critici;
• un sistema SIEM e Microsoft Defender ATP, ma non presidiati H24 all’epoca dell’incidente;
• un sistema di backup giornaliero, senza procedure dettagliate formalizzate come poi richiesto;
• il successivo rafforzamento con autenticazione a doppio fattore, nuovi sistemi di backup e ulteriori misure di segmentazione e monitoraggio.

La Regione ha richiamato anche la certificazione ISO 27001 di LAZIOcrea e gli ulteriori adeguamenti programmati o adottati nel POA 2021.

Valutazione del Garante sulle violazioni contestate

L’Autorità ha ritenuto che il trattamento fosse stato effettuato in violazione:

• dell’art. 5, par. 1, lett. f), GDPR, per difetto di integrità e riservatezza;
• dell’art. 32 GDPR, per mancata adozione di misure tecniche e organizzative adeguate a garantire sicurezza, resilienza, rilevazione tempestiva delle violazioni e ripristino;
• dell’art. 25, par. 1, GDPR, per insufficiente protezione dei dati fin dalla progettazione.

Il Garante ha evidenziato che, in un contesto che coinvolgeva milioni di interessati e dati anche sanitari, erano richiesti standard di sicurezza elevati. In particolare, ha considerato non adeguati:

• il mancato presidio H24 degli alert di sicurezza, che ha ritardato la conoscenza della violazione;
• l’assenza di MFA per gli accessi VPN;
• l’insufficiente segregazione delle reti, che ha consentito il movimento laterale e la compromissione di circa 180 sistemi;
• la presenza di un server con sistema operativo obsoleto e non più aggiornabile, sfruttato nella fase finale dell’attacco;
• la gestione dei backup ritenuta non allineata alle migliori pratiche del settore per il contesto trattato.

Certificazioni e ruolo del responsabile del trattamento

Il provvedimento dedica ampio spazio alla questione delle certificazioni ISO 27001/27017/27018 richiamate dalla Regione. Il Garante ha chiarito che tali certificazioni, pur potendo costituire un elemento utile di prova, non equivalgono automaticamente alla conformità al GDPR e non esonerano il titolare dal verificare l’effettiva adeguatezza delle misure rispetto ai trattamenti affidati.

È stato inoltre ribadito che la responsabilità del titolare non si esaurisce con la nomina del responsabile: la Regione doveva continuare a vigilare sull’adeguatezza delle misure tecniche e organizzative durante l’intero periodo in cui LAZIOcrea trattava i dati per suo conto.

Esclusione delle misure correttive e sanzione

Pur avendo rilevato l’illiceità del trattamento, il Garante ha osservato che erano state nel frattempo adottate misure idonee a superare le criticità, sicché non ha applicato ulteriori misure correttive ex art. 58, par. 2, GDPR.

Ha invece irrogato, ai sensi degli artt. 58, par. 2, lett. i), e 83 GDPR, nonché dell’art. 166 Codice privacy, una sanzione amministrativa pecuniaria di euro 120.000. Nella quantificazione sono stati considerati:

• la natura e gravità della violazione, data dalla numerosità dei servizi colpiti e dalla presenza di dati particolari e sanitari;
• l’elevato numero di interessati coinvolti;
• la precedente destinataria di provvedimenti correttivi e sanzionatori;
• la tempestiva notifica dell’incidente;
• la cooperazione con l’Autorità e l’adozione successiva di misure di rimedio.

Dispositivo finale

Il Garante ha quindi:

• dichiarato l’illiceità del trattamento da parte della Regione Lazio per violazione degli artt. 5, par. 1, lett. f), 25, par. 1, e 32 GDPR;
• ordinato il pagamento della sanzione di euro 120.000;
• ricordato la facoltà di definizione agevolata ex art. 166, comma 8, Codice privacy;
• disposto la pubblicazione integrale del provvedimento sul sito dell’Autorità;
• previsto l’annotazione nel registro interno del Garante.