Dal 25 maggio 2018 sarà direttamente applicabile in tutti gli Stati membri il Regolamento Ue 2016/679, noto come GDPR (General Data Protection Regulation) – relativo alla protezione delle persone fisiche con riguardo al trattamento e alla libera circolazione dei dati personali. L’occasione è opportuna per ricordare l’importanza della sicurezza dei dati anche per gli studi legali, in considerazione del fatto che le responsabilità di coloro che non adottano precauzioni adeguate per la sicurezza informatica sono tutt’altro che da sottovalutare.
Gli studi legali sono un attraente obiettivo dei ladri informatici
Gli studi legali diventano obiettivo sempre più allettante dei ladri informatici: i cyber criminali, infatti, anziché attaccare direttamente i clienti, preferiscono attaccare i loro partner legali, depositari delle loro informazioni più confidenziali.
Ecco perché, alla luce delle crescenti preoccupazioni al riguardo, molti clienti pretendono che gli studi legali seguano protocolli di sicurezza informatica forti, talvolta che ricalchino perfino quelli adottati all’interno della propria azienda.
Del resto, anche quando uno studio legale non sia detentore di informazioni tali da attirare lo spionaggio industriale, basta ricordare che solo a dicembre dello scorso anno nel dark web è stato trovato un mega archivio da 1,4 miliardi di credenziali, in chiaro, risultato del lavoro di aggregazione di dati provenienti da ben 252 violazioni.
Il fattore umano è la causa maggiore di violazioni informatiche e perdite di dati negli studi legali.
Poiché i dati dei clienti vengono trattati sempre con maggiore frequenza attraverso sistemi informatici, gli strumenti di sicurezza informatica diventano cruciali nella loro protezione. Meglio noti come firewalls, antivirus, cloud storage, password, VPN, la scelta di tali sistemi, come anche il loro utilizzo e la loro gestione, è ciò che determina la sicurezza di un sistema.
E se la violazione dei sistemi informatici deve sostanzialmente attribuirsi all’adozione di una versione gratuita dell’antivirus anziché di una versione professionale, alla gestione inoculata delle password o delle e-mail, alla perdita o condivisione dei propri dispositivi, a problemi di autentificazione e, soprattutto, all’abilitazione dei malware nascosti nelle email o nei siti web, è facile comprendere come il fattore umano sia il primo pericolo nella perdita dei dati.
Un’ottima conoscenza degli strumenti di protezione informatica e del loro corretto utilizzo da parte di tutti i membri di uno studio legale diventa cruciale. Gli avvocati devono sviluppare una cultura tale per cui la sicurezza informatica diventa la prima cosa da tenere in mente nel momento in cui si interfacciano con il mondo informatico attraverso l’utilizzo di un dispositivo, fisso o mobile, che ne consenta l’accesso.
Adottare un programma di sicurezza informatica
Affidarsi ad un professionista che valuti i sistemi di sicurezza adottati dallo studio e ne verifichi l’efficienza è sempre la cosa migliore. Se le dimensioni della realtà interessata lo consentono, un altro buon investimento è quello di dotarsi di una figura apposita a cui demandare i compiti di sviluppo, aggiornamento e verifica dei sistemi di sicurezza e che faccia da tramite tra coloro che sviluppano e aggiornano tali strumenti (tecnici informatici) e coloro che poi li utilizzano (i componenti dello studio). Tale figura rappresenterà la guida attraverso la quale sviluppare una forte cultura sulla sicurezza informatica.
Rischi connessi alle e-mail
Bisogna prestare attenzione all’apertura delle e-mail quando il mittente è sconosciuto. Mai aprire gli allegati di mittenti non sicuri. Se possibile, verificare che il mittente abbia realmente voluto inviarci qualcosa, oppure verificare se l’oggetto della e-mail è pertinente. Assicurarsi che le informazioni del mittente siano correttamente associate al suo indirizzo e-mail e verificare che l’oggetto non contenga errori di battitura o informazioni non corrette.
Bisogna prestare attenzione anche all’invio delle e-mail. È possibile che vengano accidentalmente trasmesse informazioni sensibili sepolte in fondo alla catena. È buona norma scrivere una e-mail da capo e non rispondere a quella ricevuta. Stesso discorso al momento in cui si risponde. Non cliccare “rispondi a tutti“ a meno che non lo si voglia realmente. Si potrebbero condividere informazioni senza volerlo.
Evitare di allegare files. È buona norma condividere l’allegato attraverso il cloud, inviando al destinatario solo il link per accedervi. Indipendentemente dagli altri vantaggi del cloud, quello più importante in questi casi è che è uno strumento eccellente per tenere i dati al sicuro. È gestito ininterrottamente da esperti e richiede l’autenticazione per accedere ai files.
È sempre opportuno di tanto in tanto verificare se l’e-mail risulta compromessa.
Autenticazione
Da giugno 2017, tutto ciò che abbiamo considerato un’ottima password è storia informatica. I tempi dei caratteri non alfanumerici, di una sola digitazione, delle lettere maiuscole e minuscole e del cambiarle spesso sono finiti. Oggi le password devono essere almeno di otto caratteri. E cambiare spesso la password non equivale a cambiare solo l’ultimo numero della sequenza. Sono questi gli errori che hanno mietuto più vittime di attacchi.
Oggi il concetto di password è stato sostituito da quello di “passphrase”, in considerazione del fatto che più è lunga, più la password è sicura. È buona norma anche testare la sicurezza di una password.
Mai utilizzare la password o la passphrase per account multipli, ma adottarla, al limite, come password manager. Si tratta di un software che genera passwords multiple per accounts differenti e le memorizza al nostro posto. A questo punto, basta ricordarne una soltanto per accedere a tutte le altre.
Mai condividere la passwords o i codici di accesso, nemmeno con i colleghi o gli assistenti più stretti.
Patching/Updating
Mai ignorare le notifiche di aggiornamenti dei software, i quali sistemano notevoli bachi dei programmi e dei sistemi operativi e rimuovono files obsoleti. Il proposito più importante degli aggiornamenti, infatti, è migliorare il sistema di sicurezza. Gli hackers sono in continua evoluzione, per cui è indispensabile stare al loro passo.
Dispositivi mobili
Il conto da pagare per aver dimenticato lo smartphone o il tablet al ristorante potrebbe essere ben più salato del solo costo del dispositivo, soprattutto se verrà venduto a coloro che sono proprio alla ricerca di dati. Ricordarsi di criptare sempre sia il dispositivo, che i dati stessi.
Connessione internet
Non fidatevi della connessioni wi-fi gratuite. I ladri informatici sfruttano spesso questi sistemi per aumentare le probabilità di accesso ai dati. In tal caso è opportuno usare un VPN (virtual private network), creato da una connessione pubblica. I VPN sono criptati e forniscono un alto grado di sicurezza.
Spegnere il computer
La divisione informatica dall’FBI suggerisce che è più sicuro tenere il computer spento quando non è in uso, per interrompere ogni tipo di connessione con il mondo esterno.
Backup
Nulla potrà restituirci i dati persi o danneggiati da un virus, se non una copia degli stessi. Assicurarsi di eseguire il back up su un sistema diverso da quello in cui i dati sono conservati, come del contenuto del back up. Non utilizzare mai un dispositivo USB di una persona sconosciuta. Potrebbe contenere malware.
Social Media
Anche attraverso Facebook è possibile impiantare un virus da diffondere a milioni di utenti con lo scopo di controllare accounts o accedere ai dati personali. Un hacker può fingere di essere lo stesso social networking e chiederti di seguire istruzioni per violare il tuo sistema informatico.
Conclusioni
L’avvocato deve assistere un cliente con competenza. Il che significa che deve non solo conoscere le norme, essere abile e ragionevolmente preparato per il caso specifico, ma anche aggiornarsi sui rischi associati alla tecnologia, per padroneggiare gli strumenti di uso quotidiano attraverso i quali cura gli interessi della propria clientela e fare, di conseguenza, sforzi ragionevoli per impedire che questi strumenti favoriscano la divulgazione involontaria o non autorizzata a informazioni relative alla rappresentazione di un cliente.
A maggior ragione se si considera il fatto che, oggigiorno, è disponibile una moltitudine di informazioni sulla sicurezza informatica e la possibilità di affidarsi a professionisti di cybersicurezza. Non è più credibile che un avvocato sia immune dall’istituzione di protocolli e soluzioni di sicurezza informatica. È ragionevole aspettarsi che un avvocato sia perfettamente a conoscenza degli strumennti di sicurezza informatica e che adotti ogni sistema atto a prevenire violazioni della sicurezza.
Ultimi post di Lucio Di Biase (vedi tutti)
- La scuola è responsabile per la chiusura violenta del coperchio del cestino - 9 Giugno 2020
- L’importanza della sicurezza informatica negli studi legali - 14 Aprile 2018
- La scuola non è responsabile dei danni che l’alunna si procura durante la corsa campestre - 12 Luglio 2017
- Rumori in condominio e responsabilità penale da emissioni acustiche - 15 Febbraio 2017