L'insider Threat è una minaccia dannosa per un’organizzazione che proviene da persone interne, come dipendenti, ex dipendenti, appaltatori o soci in affari, che dispongono di informazioni interne relative alle pratiche di sicurezza dell’organizzazione, ai dati e ai sistemi informatici. La minaccia può comportare la frode, il furto di informazioni riservate o di valore commerciale, il furto di proprietà intellettuale o il sabotaggio di sistemi informatici.
Il 65% degli oltre mille Data Protection Officer intervistati nel corso di un sondaggio condotto dall’Osservatorio di Federprivacy temono che una possibile situazione d’emergenza come quelle derivanti da ransomware o altri data breach possa scattare a causa dell’impreparazione o dell’incompetenza del personale che tratta dati personali in azienda, e il 58% dei DPO pensano che l’innesco potrebbe essere l’errore umano dall’interno, ovvero il cosiddetto “Insider Threat”.
Poker di rischi per il lavoratore che scippa dati aziendali. C'è il rischio civilistico, quello disciplinare, quello penalistico e quello per violazione della privacy. Proprio quest'ultimo fronte (violazione della privacy) mette anche il datore di lavoro con le spalle al muro, potendosi contestare ai suoi danni una condotta di data breach (violazione dei dati personali). Con il risultato, per il datore di lavoro, di essere, nel contempo, vittima e reo: vittima del dipendente infedele e reo per non aver saputo arginare una violazione della riservatezza. Ma vediamo, dunque, di tratteggiare il quadro delle responsabilità connesse alla indebita fuoruscita di dati dal perimetro aziendale.
Il fatto risale al 15 settembre, ma la notizia è appena emersa: due dipendenti del colosso IT Shopify sono stati accusati del furto di dati da oltre 100 negozi virtuali, possibilmente compromettendo anche le informazioni personali di tutti i clienti che hanno fatto shopping in quegli eCommerce interessati dal Data Breach. La società, specializzata nel realizzare eCommerce – che vanta anche clienti del calibro di Tesla – ha subito risposto alla notizia licenziando i due dipendenti e collaborando attivamente con l’FBI per investigare l’accaduto.
Le aziende investono sempre più risorse in cybersicurezza per proteggere i loro dati, ma non sempre chi li viola è un hacker, e non sempre chi se ne appropria è un malintenzionato che attacca dall’esterno. Anzi, più del 50% delle organizzazioni intervistate nell’ambito di uno studio di Cyber Security Researcher hanno confermato che gli attacchi che hanno subìto a danno dei propri sistemi informatici sono avvenuti dall’interno. Ne è un esempio il caso di un dipendente del reparto IT di un centro di ricerca clinica per la diagnosi di malattie genetiche rare, che prima di lasciare il suo posto di lavoro ha copiato tutte le informazioni sensibili di 10.000 pazienti sia adulti che bambini.
