Mentre l’informazione è concentrata sul possibile cambio ai vertici delle Ferrovie dello Stato, stiamo apprendendo (piuttosto timidamente) in queste ore che c’è stato un grave data breach che ha riguardato Trenitalia.
Ancora una volta, un’infrastruttura critica per il nostro Sistema Paese è stata oggetto di un attacco che non può essere minimizzato né derubricato a semplice “incidente informatico”.
Cybersecurity e Data Protection: l’Urgenza di una Sinergia Interdisciplinare
Si tratta di una violazione che colpisce il cuore della nostra resilienza nazionale, con implicazioni che vanno ben oltre i dati compromessi.
Questo caso dimostra, con evidenza drammatica, quanto sia urgente e non più rinviabile elevare a livelli altissimi l’attenzione sulla data protection e sulla security.
Non si tratta di compartimenti stagni, ma di due discipline che devono necessariamente collaborare in modo sinergico, attraverso la costituzione di team interdisciplinari capaci di presidiare non solo la componente tecnologica – pur fondamentale – ma soprattutto il fattore umano, che resta l’anello più debole della catena della custodia dei dati.
Obblighi del GDPR e Trasparenza: Cosa Manca nella Comunicazione di Trenitalia
È bene che oggi si stia procedendo con la massima trasparenza nel comunicare l’accaduto e nell’allertare tutti i soggetti coinvolti nel data breach.
Si tratta di un dovere ex artt. 33-34 GDPR, ma anche istituzionale e deontologico: cittadini, imprese e professionisti devono essere messi nelle condizioni di difendersi da prevedibili tentativi di phishing e di social engineering che sfrutteranno questa breccia.
A livello di completezza e trasparenza della comunicazione inoltrata, ci sarebbe tuttavia qualcosa da migliorare: ad esempio, sarebbe un diritto degli interessati poter contattare agevolmente il DPO o conoscere con precisione la data dell’evento.
Il Paradosso Digitale: Pretendiamo Sicurezza ma Esponiamo i Nostri Dati
Ma occorre anche avere il coraggio della schiettezza. Noi viviamo in un paradosso tutto contemporaneo: mentre ci indigniamo giustamente per violazioni di sistemi “protetti”, quotidianamente pubblichiamo sui social network, in modo del tutto volontario e spesso spensierato, una mole enorme di dati personali – anche intimi – che meriterebbero ben altra riservatezza.
Esponiamo abitudini, relazioni, luoghi, opinioni, foto, geolocalizzazioni e informazioni sensibili con una disinvoltura che, in altri contesti, troveremmo sconcertante.
Questo è il paradosso dei nostri tempi: pretendiamo sicurezza dalle istituzioni e dalle infrastrutture, ma siamo i primi a indebolire collettivamente la nostra stessa resilienza digitale, e con essa anche le infrastrutture di cui facciamo parte.
Verso una Vera Cultura della Sicurezza Nazionale
La vera cultura della sicurezza non può essere solo reattiva, né demandata esclusivamente a firewall e protocolli crittografici. Deve essere culturale, prima ancora che tecnica: deve partire dalla consapevolezza individuale e organizzativa, dalla formazione continua, dalla responsabilità condivisa.
La protezione delle infrastrutture – a maggior ragione di quelle critiche ed essenziali – è un investimento strategico sulla sovranità e sulla sicurezza nazionale e riguarda (e dipende da) tutte e tutti noi.
Attendiamo adesso maggiori dettali e magari prese di posizione del Garante della protezione dei dati e dell’Agenzia per la Cybersicurezza nazionale.
