Ordinanza ingiunzione o revoca n. 194 del 21/03/2024

LAZIOcrea S.p.a.: data breach ransomware, ritardo nelle notifiche e misure di sicurezza inadeguate

Il provvedimento riguarda l’attacco informatico subito dal data center regionale del Lazio, gestito da LAZIOcrea S.p.a. quale responsabile del trattamento per la Regione Lazio, il Consiglio regionale e numerosi enti sanitari. L’incidente, originato da un ransomware, ha reso indisponibili sistemi e servizi anche essenziali, con impatto su trattamenti di dati personali, inclusi dati relativi alla salute.

Origine dell’istruttoria e fatti accertati

L’Autorità avvia il procedimento a seguito di notizie stampa e delle notifiche di violazione trasmesse da Regione Lazio e Consiglio regionale. Dalle verifiche emerge che l’attacco è iniziato il 31 luglio 2021 ed è stato percepito nelle prime ore del 1° agosto 2021, quando alcune macchine virtuali sono risultate inutilizzabili.

LAZIOcrea riferisce che:

• l’attacco ha comportato la disattivazione di alcuni sistemi informatici e l’indisponibilità temporanea di servizi, dati e informazioni;
• sono state avviate analisi forensi, attività di bonifica e ripristino;
• i servizi essenziali di emergenza e urgenza non sarebbero stati interrotti perché segregati;
• non vi sarebbe stata esfiltrazione di dati, almeno secondo le verifiche svolte.

L’istruttoria coinvolge circa 35 soggetti tra titolari del trattamento e strutture sanitarie interessate.

Trattamenti coinvolti e natura dei dati

Il provvedimento ricostruisce un perimetro molto ampio di trattamenti, relativi sia alla Regione Lazio sia a numerosi enti sanitari e ospedalieri. Tra i servizi coinvolti figurano, tra gli altri:

• prenotazioni sanitarie e CUP;
• vaccinazioni e anagrafe vaccinale;
• teleconsulto e tele-refertazione;
• referti radiologici e di laboratorio;
• gestione trasfusionale;
• ricetta dematerializzata;
• sistemi di sorveglianza e di emergenza sanitaria.

Il Garante sottolinea che si trattava anche di dati relativi alla salute, dunque di categorie particolari di dati personali, trattati su larga scala e con un impatto potenzialmente significativo sui diritti degli interessati.

Violazioni contestate e norme richiamate

L’Autorità contesta a LAZIOcrea, in relazione alle attività svolte come titolare e come responsabile del trattamento:

• la violazione dell’art. 33, par. 1, GDPR, per la tardiva notifica della violazione all’Autorità;
• la violazione dell’art. 33, par. 5, GDPR, per insufficiente documentazione dell’incidente;
• la violazione dell’art. 33, par. 2, GDPR, per tardiva informazione ai titolari del trattamento;
• la violazione dell’art. 5, par. 1, lett. f), GDPR, e dell’art. 32 GDPR, per misure non adeguate a garantire integrità, riservatezza, disponibilità e resilienza.

In fase istruttoria era stata richiamata anche la possibile violazione dell’art. 25, par. 1, GDPR; nel provvedimento finale, però, il Garante afferma che, alla luce delle memorie e delle misure nel frattempo adottate, i rilievi su questo profilo risultano superati.

Sono richiamati anche:

• art. 33, par. 4, GDPR, sulla notifica per fasi;
• art. 33, par. 5, GDPR, sulla documentazione delle violazioni;
• art. 32 GDPR, sulla sicurezza del trattamento;
• art. 25, par. 1, GDPR, sulla protezione dei dati fin dalla progettazione;
• le Linee guida EDPB 9/2022 sulla notifica dei data breach;
• le Linee guida 01/2021 sui casi di violazione;
• le Linee guida 4/2019 sull’art. 25 GDPR.

Valutazioni sulla notifica della violazione all’Autorità

Secondo il Garante, LAZIOcrea è venuta a conoscenza dell’incidente il 1° agosto 2021, ma ha notificato la violazione solo successivamente.

L’Autorità ritiene che:

• il ritardo non sia giustificato dalla necessità di avere informazioni complete;
• il GDPR consenta una notifica per fasi, ma non di oltrepassare il termine di 72 ore senza adeguata giustificazione;
• il fatto che l’attacco fosse complesso non esoneri dall’obbligo di notificare tempestivamente almeno gli elementi disponibili;
• la notifica sia il principale strumento per consentire al Garante di intervenire tempestivamente.

Il Garante osserva anche che già le linee guida del 2017 chiarivano che l’indisponibilità dei dati per un certo periodo può costituire violazione, anche in assenza di esfiltrazione.

Valutazioni sulla documentazione dell’incidente

Il Garante ritiene non adeguata la documentazione tenuta dalla società ai sensi dell’art. 33, par. 5, GDPR.

In particolare, nel registro degli incidenti e nella documentazione acquisita risultavano mancanti o imprecise diverse informazioni rilevanti, tra cui:

• data e ora di chiusura e di risoluzione dell’incidente;
• soggetto che ha rilevato l’evento;
• altre organizzazioni contattate;
• descrizione completa dell’incidente;
• misure di risposta adottate;
• conseguenze per gli interessati;
• ragionamento alla base delle decisioni assunte;
• motivi del ritardo nella notifica.

Il Garante osserva inoltre che la stessa procedura interna di LAZIOcrea prevedeva un registro e un rapporto di analisi più completi rispetto a quanto effettivamente prodotto.

Informazione tardiva ai titolari del trattamento

In qualità di responsabile del trattamento, LAZIOcrea avrebbe dovuto informare senza ingiustificato ritardo i titolari per conto dei quali trattava i dati.

Il Garante ritiene invece che la società:

• abbia informato la Regione Lazio e gli altri titolari con ritardo, spesso solo dopo richieste specifiche;
• abbia inviato comunicazioni generiche e non sufficientemente circostanziate;
• non abbia indicato sempre con precisione i sistemi e i servizi coinvolti, rendendo più difficile la valutazione del rischio da parte dei titolari.

L’Autorità esclude che fosse sufficiente il solo fatto che i titolari fossero al corrente dell’indisponibilità dei servizi: spetta infatti al responsabile fornire tempestivamente i dettagli dell’incidente necessari per gli adempimenti ex artt. 33 e 34 GDPR.

Valutazioni sulla sicurezza del trattamento

Sul piano dell’art. 32 GDPR, il provvedimento rileva diverse criticità.

Monitoraggio e rilevazione degli alert

Il 31 luglio 2021 i sistemi di sicurezza avevano generato un numero molto elevato di allarmi, ma il presidio non era H24. Il Garante ritiene che l’assenza di un monitoraggio continuo abbia impedito una tempestiva rilevazione dell’incidente.

Accesso remoto e autenticazione

L’accesso VPN avveniva con username e password, senza autenticazione a più fattori. Il Garante considera questa carenza significativa, soprattutto alla luce del contesto e della natura dei dati trattati.

Segmentazione e segregazione delle reti

La società aveva adottato alcune misure di segregazione, ma non sufficienti a impedire la propagazione del malware. Il Garante osserva che le reti delle postazioni di lavoro dei dipendenti regionali e della società non erano adeguatamente separate dai sistemi server, e che il malware ha raggiunto circa 180 sistemi.

Obsolescenza dei sistemi

È ritenuto problematico l’uso di software e sistemi operativi obsoleti su alcuni server, in particolare un server indicato come punto di snodo dell’attacco, sul quale non erano più disponibili patch di sicurezza del produttore. L’obsolescenza, unita alla mancata segregazione, ha favorito l’attacco.

Backup e resilienza

Il sistema di backup in uso non era supportato da procedure specifiche adeguate al contesto; il nuovo sistema e le nuove modalità di gestione vengono adottati solo dopo l’incidente. Il Garante osserva che le misure preesistenti non erano in linea con le migliori pratiche per un data center che tratta dati anche sanitari su larga scala.

Esito dell’attacco e impatto sugli interessati

L’effetto concreto dell’incidente è stato l’indisponibilità di numerosi sistemi informativi delle strutture sanitarie laziali per periodi variabili, da poche ore fino ad alcuni mesi.

Il provvedimento elenca diversi sistemi e funzioni rimasti indisponibili o parzialmente compromessi, tra cui:

• prenotazioni e accettazioni;
• sistemi di vaccinazione;
• referti e laboratori;
• telemedicina e teleconsulto;
• gestione trasfusionale;
• anagrafe vaccinale;
• ricetta dematerializzata;
• sistemi di sorveglianza e flussi informativi.

L’Autorità ritiene che l’indisponibilità sia stata causata sia direttamente dal ransomware sia indirettamente dalla scelta di spegnere i sistemi per contenere la propagazione, scelta resa necessaria anche dalla non adeguata segregazione delle reti.

Valutazione sull’art. 25 GDPR

Pur avendo contestato inizialmente anche una violazione del principio di protezione dei dati fin dalla progettazione, il Garante ritiene nel merito che le memorie difensive abbiano chiarito le valutazioni svolte dalla società sull’adeguatezza e l’efficacia delle misure adottate in relazione ai trattamenti di titolarità. Su questo specifico profilo, dunque, i rilievi risultano superati.

L’Autorità precisa comunque che anche il responsabile del trattamento, pur non essendo destinatario diretto dell’art. 25, ha un ruolo essenziale nell’orientare soluzioni tecniche coerenti con la protezione dei dati.

Misure adottate dopo l’incidente

Dopo l’attacco, LAZIOcrea dichiara di aver adottato o avviato varie misure correttive, tra cui:

• costituzione di un team di crisi;
• coinvolgimento di consulenti esterni specializzati in incident response e cyber security;
• introduzione dell’autenticazione a due fattori per l’accesso remoto;
• rafforzamento delle regole di filtering;
• individuazione e segregazione dei server ancora basati su sistemi obsoleti;
• adozione di un nuovo sistema di backup;
• progressivo ripristino dei sistemi, anche in ambiente cloud;
• installazione di nuove workstation e riorganizzazione dell’infrastruttura.

Il Garante prende atto che tali misure sono state adottate e ritiene, anche per questo, non necessario imporre ulteriori misure correttive ex art. 58, par. 2, GDPR.

Quantificazione delle sanzioni

Il Garante applica quattro sanzioni distinte, in ragione delle diverse violazioni e dei diversi ruoli rivestiti da LAZIOcrea:

• 16.000 euro per la violazione degli artt. 33, parr. 1 e 5, GDPR, come titolare;
• 25.000 euro per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR, come titolare;
• 90.000 euro per la violazione dell’art. 33, par. 2, GDPR, come responsabile;
• 140.000 euro per la violazione degli artt. 5, par. 1, lett. f), e 32 GDPR, come responsabile.

L’importo complessivo è quindi di 271.000 euro.

Nel calcolo il Garante considera, tra gli altri elementi dell’art. 83, par. 2, GDPR:

• natura, gravità e durata delle violazioni;
• numero di interessati coinvolti;
• categoria dei dati, inclusi dati sulla salute;
• livello di responsabilità;
• cooperazione con l’Autorità;
• assenza di precedenti provvedimenti;
• bilancio della società;
• livello di gravità ritenuto basso per le violazioni commesse come titolare e alto per quelle commesse come responsabile.

Dispositivo

Il Garante:

• dichiara l’illiceità del trattamento effettuato da LAZIOcrea S.p.a. per violazione degli artt. 5, par. 1, lett. f), 32 e 33, parr. 1, 2 e 5, GDPR, nei termini indicati in motivazione;
• ordina il pagamento della sanzione amministrativa pecuniaria di 271.000 euro;
• consente la definizione agevolata ex art. 166, comma 8, Codice privacy, con pagamento entro 30 giorni di un importo pari alla metà della sanzione;
• ingiunge il pagamento entro 30 giorni dalla notificazione in mancanza di definizione;
• dispone la pubblicazione integrale del provvedimento sul sito del Garante e l’annotazione nel registro interno dell’Autorità.

È inoltre indicata la possibilità di ricorso davanti all’autorità giudiziaria ordinaria entro i termini di legge.