Ordinanza ingiunzione o revoca n. 621 del 17/10/2024

Sanzione per data breach e carenze di sicurezza nell'Azienda Ospedaliero-Universitaria di Alessandria

Il provvedimento riguarda l’Azienda Ospedaliero-Universitaria SS. Antonio e Biagio e Cesare Arrigo di Alessandria, destinataria di un’ordinanza-ingiunzione a seguito di un attacco informatico ransomware che ha interessato l’infrastruttura IT e un sistema di file sharing contenente anche dati particolari, inclusi dati relativi alla salute. Il procedimento origina dalla notifica di violazione ex art. 33 GDPR e dagli approfondimenti svolti dall’Autorità mediante attività ispettiva.

Origine dell’evento e trattamento coinvolto

L’Azienda ha comunicato al Garante un attacco ransomware riconducibile al gruppo "Ragnar Locker", che aveva colpito postazioni di lavoro e file server. L’attacco, secondo quanto rappresentato, non ha interessato gli applicativi sanitari centrali né ha causato disservizi nell’erogazione delle prestazioni, ma ha riguardato la riservatezza dei dati presenti nelle cartelle condivise. Tra i dati potenzialmente coinvolti vi erano dati anagrafici, di contatto, di accesso e soprattutto dati relativi alla salute di pazienti, dipendenti e consulenti; l’Azienda ha anche evidenziato la possibile presenza di minori tra gli interessati.

Accertamenti ispettivi e criticità riscontrate

Nel corso dell’istruttoria il Garante ha verificato che l’intrusione sarebbe stata favorita da più vulnerabilità di natura tecnica e organizzativa. In particolare, l’Azienda non disponeva di un sistema di log management idoneo a rilevare tempestivamente le attività malevole; la rete era descritta come sostanzialmente "flat", senza adeguata segmentazione logica o fisica tra postazioni di lavoro e server; l’accesso remoto in VPN non prevedeva autenticazione a più fattori; le utenze di manutenzione erano spesso generiche e con privilegi amministrativi elevati; le password policy non erano recepite da configurazioni di sistema; risultavano inoltre protocolli e componenti obsoleti, nonché una vulnerabilità del firewall perimetrale.

Valutazione giuridica del Garante

L’Autorità ha ritenuto che i fatti integrassero la violazione del principio di integrità e riservatezza di cui all’art. 5, par. 1, lett. f), GDPR e degli obblighi di sicurezza previsti dall’art. 32 GDPR. In particolare, è stata censurata la mancata adozione di misure adeguate a: individuare tempestivamente la violazione, garantire la segmentazione e la segregazione delle reti, assicurare una protezione robusta degli accessi remoti e mantenere aggiornata l’infrastruttura tecnologica. Il Garante ha richiamato anche le Linee guida 9/2022 sulla notifica delle violazioni dei dati personali e il Considerando 87 GDPR, valorizzando la necessità di una capacità effettiva di rilevazione e reazione agli incidenti.

Misure adottate dopo l'attacco

Dopo il data breach l’Azienda ha avviato numerose misure di contenimento e remediation: attivazione della MFA sui servizi esposti all’esterno, revisione e drastica riduzione degli account amministrativi, nuova progettazione delle VPN, rafforzamento del firewall, attivazione di SIEM e SOC, consolidamento dei backup, sostituzione dell’infrastruttura di file sharing, segmentazione della rete con nuove VLAN e ACL, aggiornamento degli apparati e della piattaforma antivirus, oltre a formazione diffusa sulla cyber awareness e revisione del regolamento interno sull’uso dei servizi ICT.

Sanzione irrogata e criteri di quantificazione

Tenuto conto della gravità elevata della violazione, della natura particolarmente sensibile dei dati coinvolti e dell’ampiezza potenziale degli interessati, il Garante ha applicato la sanzione amministrativa pecuniaria di euro 25.000,00 ai sensi dell’art. 83 GDPR. Nella quantificazione sono stati considerati anche elementi attenuanti: la notifica dell’evento da parte dell’Azienda, l’assenza di reclami o segnalazioni, la cooperazione con l’Autorità e gli sforzi intrapresi per ridurre la replicabilità dell’evento, nonché il contesto emergenziale legato alla pandemia e al rallentamento dei processi di adeguamento.

Ulteriori disposizioni

Il provvedimento dispone la pubblicazione dell’ordinanza-ingiunzione sul sito internet del Garante, la pubblicazione del provvedimento e la relativa annotazione nel registro interno dell’Autorità. È altresì indicata la possibilità di ricorso avanti l’autorità giudiziaria ordinaria nei termini di legge.