Ordinanza ingiunzione o revoca n. 444 del 17/07/2024

Azienda ULSS 6 Euganea - data breach ransomware e misure di sicurezza inadeguate

Il provvedimento riguarda l’Azienda ULSS 6 Euganea e un grave incidente informatico di tipo ransomware che ha interessato i sistemi informativi aziendali, con coinvolgimento anche di dati relativi alla salute di numerosi interessati. Il procedimento è stato avviato a seguito della notifica di violazione ai sensi dell’art. 33 GDPR, integrata da successive comunicazioni, e di un’attività ispettiva svolta dal Garante.

Origine del procedimento e ricostruzione del fatto

L’Azienda ha comunicato di essere stata colpita da un attacco hacker che aveva compromesso la disponibilità di diversi applicativi e, in seguito, ha fornito ulteriori dettagli tecnici tramite incident report e second opinion di Yarix s.r.l. Dalla ricostruzione è emerso che gli attaccanti avevano effettuato accessi iniziali tramite VPN, si erano mossi lateralmente nella rete, avevano cifrato sistemi e macchine virtuali e, in base alle analisi successive, vi erano anche indizi di possibile esfiltrazione di dati. L’Azienda ha progressivamente circoscritto il perimetro della violazione, riducendo il numero di interessati e di file coinvolti rispetto alle prime stime.

Dati coinvolti e impatto del breach

Il Garante ha valorizzato la natura dei dati trattati, comprensivi di dati relativi alla salute ai sensi dell’art. 4, par. 1, n. 15, GDPR e del considerando 35. L’evento ha interessato un numero molto elevato di interessati e documenti, con potenziale esposizione anche sul dark web. L’Azienda ha poi effettuato comunicazioni agli interessati ai sensi dell’art. 34 GDPR, con modalità differenziate: comunicazioni individuali a dipendenti coinvolti in documenti identificativi o altri documenti personali, e comunicazione generalizzata per gli interessati non raggiungibili singolarmente.

Misure in essere al momento dell’incidente

Nel corso dell’istruttoria l’Azienda ha descritto un contesto organizzativo complesso, derivante dall’unificazione di più ex ULSS e da un processo di consolidamento dei sistemi informativi rallentato anche dalla pandemia. Tra le misure dichiarate vi erano antivirus, web filtering, backup giornalieri, vulnerability assessment periodici, gestione dei log affidata a terzi, nomine privacy e procedure di data breach. Tuttavia, al momento del fatto:

• non era attiva l’autenticazione multifattore per l’accesso VPN;
• la segmentazione delle reti risultava solo parziale;
• il monitoraggio sistemistico era presente ma non una control room;
• la conservazione e disponibilità dei log non erano sufficienti per ricostruire integralmente l’attacco.

Valutazioni del Garante sulla violazione degli artt. 5 e 32 GDPR

L’Autorità ha ritenuto che il titolare non avesse adottato misure adeguate per:

• rilevare tempestivamente la violazione, anche alla luce di accessi anomali, orari notturni, provenienza estera e operazioni sospette sugli account;
• garantire in modo adeguato la sicurezza della rete, anche tramite una segmentazione più efficace, firewalling e controlli sulle VPN.

Il Garante ha osservato che le linee guida AgID sulle misure minime non esauriscono l’obbligo di valutazione concreta imposto dall’art. 32 GDPR, soprattutto in un contesto sanitario di grande scala e ad alto rischio. In altri termini, il richiamo a misure minime o a interventi pianificati non basta a escludere la responsabilità se, al momento dell’incidente, la sicurezza non era adeguata al rischio effettivo.

Difese dell’Azienda e loro valutazione

L’Azienda ha sostenuto che il ritardo nell’implementazione di alcune misure dipendesse dalla complessità del processo di unificazione, dai vincoli autorizzativi e finanziari imposti dalla CRITE e dal fatto che il contesto tecnologico dell’epoca non richiedesse necessariamente soluzioni più evolute come MFA su tutte le VPN o una control room avanzata. Ha inoltre richiamato la collaborazione prestata, i ripristini effettuati e le attività di formazione e riorganizzazione avviate dopo l’incidente.

Il Garante ha considerato tali elementi, ma ha ritenuto che non fossero sufficienti a superare i rilievi, poiché l’obbligo di sicurezza va commisurato al rischio concreto e richiede una valutazione dinamica e continua, non cristallizzata al momento iniziale di progettazione del trattamento.

Sanzione, criteri di quantificazione e pubblicazione

L’Autorità ha qualificato la violazione come grave, tenendo conto:

• della natura dei dati coinvolti;
• dell’elevato numero di interessati;
• del carattere non intenzionale della violazione da parte del titolare, pur essendo l’evento dovuto a condotte dolose di terzi;
• della cooperazione dell’Azienda con l’Autorità;
• della precedente adozione di un provvedimento sanzionatorio per violazioni pertinenti.

In applicazione degli artt. 58, par. 2, lett. i), e 83 GDPR, è stata irrogata una sanzione amministrativa pecuniaria di 22.000 euro per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR. È stata inoltre disposta la pubblicazione integrale del provvedimento sul sito del Garante ai sensi dell’art. 166, comma 7, del Codice privacy. Il provvedimento richiama infine la facoltà di definizione agevolata entro 30 giorni con pagamento della metà della sanzione e la possibilità di ricorso all’autorità giudiziaria ordinaria nei termini di legge.