Nell’ultima settimana è esplosa una notizia che riguarda da vicino centinaia di aziende italiane e la solidità del nostro sistema finanziario: Monte dei Paschi di Siena (MPS), una delle principali banche del Paese, è stata vittima di un grave attacco informatico che ha portato a una fuga di dati sensibili. Secondo le prime ricostruzioni trapelate lunedì 17 giugno 2024, un gruppo criminale ha forzato i sistemi del celebre istituto bancario, riuscendo a sottrarre informazioni personali e dettagli bancari appartenenti sia a clienti privati sia ad aziende. La ferita alla reputazione di MPS è immediata, ma l’episodio illumina anche la necessità urgente di rivedere strategie, processi e approcci aziendali in materia di sicurezza delle informazioni e compliance normativa.
## Cosa è successo: dettagli dell’attacco informatico a MPS
Il gruppo di hacker, attivo sul dark web e già noto alle forze dell’ordine europee, ha sfruttato una vulnerabilità nei sistemi informatici per accedere alle banche dati interne. Nei forum underground sono poi apparsi gli annunci di vendita dei dati rubati: numeri di conto, anagrafiche, email, dettagli sulle operazioni aziendali. L’azienda ha dovuto allertare migliaia di utenti e clienti business, avvisando delle potenziali ripercussioni e spiegando le iniziative intraprese per contenere il danno: chiusura immediata di alcuni canali, reset forzato delle credenziali e una verifica di sicurezza su tutti gli account potenzialmente compromessi.
Questa circostanza, che avviene proprio mentre l’Europa rafforza le proprie normative cyber (si pensi all’imminente attuazione della direttiva NIS 2), diventa per tutte le imprese lo spunto per una riflessione urgente: come mettere davvero in sicurezza i dati, garantendo la conformità alle leggi (come GDPR) e evitando danni economici, operativi e d’immagine?
## Le conseguenze di un data breach: non solo sanzioni, ma perdita della fiducia
Un attacco informatico come quello che ha colpito MPS svela tutti i rischi a cui le imprese sono oggi esposte: sanzioni milionarie da parte del Garante Privacy (per mancato rispetto del GDPR), risarcimenti verso clienti e partner, interruzioni di servizio, e soprattutto una reputazione compromessa. Il valore più delicato oggi non è solo il capitale finanziario, ma la fiducia degli stakeholder: quando questa viene violata, ricostruirla può richiedere anni.
Per le aziende, la posta in gioco non è soltanto la tenuta della sicurezza informatica, ma la sostenibilità stessa del proprio business. Ogni realtà che gestisce dati personali o aziendali, soprattutto nei settori finance, assicurativo, sanitario e manifatturiero, deve ormai dotarsi di processi solidi, tecnologie all’avanguardia e una cultura diffusa della sicurezza digitale.
## Compliance, GDPR e NIS 2: cosa impongono oggi le normative?
L’Europa ha scelto da tempo la strada della regolamentazione rigorosa, adottando standard stringenti per la gestione dei dati personali e la cyber resilience. Il GDPR (Regolamento Generale sulla Protezione dei Dati) stabilisce obblighi precisi in termini di tutela dei dati, notifiche di data breach, formazione del personale e trasparenza verso gli utenti:
– Notifica obbligatoria delle violazioni entro 72 ore dal rilevamento;
– Valutazione d’impatto sulla privacy per ogni nuovo trattamento tecnologico;
– Designazione del Data Protection Officer (DPO) in caso di trattamenti di dati su larga scala;
– Sanzioni fino a 20 milioni di euro o al 4% del fatturato annuo globale.
Ma il quadro si è ulteriormente evoluto con l’arrivo della Direttiva NIS 2, che rafforza gli obblighi di cybersicurezza per le infrastrutture critiche e per tutte le imprese fornitrici di servizi essenziali — incluse le banche. Questa normativa:
– Estende l’obbligo di gestire i rischi cyber a tutta la catena di fornitura;
– Impone la nomina di responsabili cyber anche nei board aziendali;
– Definisce standard minimi di sicurezza tecnica e procedure di audit periodici;
– Prevede un coordinamento europeo per la gestione di crisi informatiche.
## Il ruolo della cultura aziendale e della formazione: la prima linea di difesa
Se i sistemi tecnologici sono il muro, è la cultura delle persone a essere la vera chiave della difesa. L’attacco a MPS — secondo diverse fonti — potrebbe aver avuto origine anche da una componente di social engineering, ovvero la manipolazione di un dipendente per ottenere accesso ai dati. Nessun firewall può sostituire la consapevolezza del rischio da parte di tutti i collaboratori: formazione ricorrente, simulazioni di phishing, aggiornamenti costanti sulle policy di sicurezza sono oggi indispensabili come, e più, dei sistemi tecnici.
Le aziende virtuose hanno ormai inserito nel proprio modello organizzativo sessioni di formazione obbligatorie, campagne di sensibilizzazione e processi di verifica periodica. Questi investimenti si dimostrano decisivi nel ridurre i rischi e, in caso d’incidente, nel consentire una gestione più rapida ed efficace della crisi.
## Dalla gestione dell’emergenza all’approccio proattivo: come cambiano le strategie
L’attacco a Monte dei Paschi suggerisce che le misure reattive non sono più sufficienti. Le aziende devono progettare, fin dall’inizio, una sicurezza basata su:
– Security by Design: soluzioni digitali e applicazioni costruite fin dalla nascita per proteggere i dati;
– Monitoraggio continuo e detection automatica delle anomalie;
– Sistemi di backup approvati e testati regolarmente;
– Piani di risposta e business continuity già rodati e condivisi con tutta l’organizzazione.
Una nuova generazione di cyber risk management dovrà inoltre integrare la valutazione dei fornitori (supplier risk), poiché il perimetro di rischio si allarga a ogni partner, appaltatore, software provider. L’avvento dell’intelligenza artificiale — sebbene sia a sua volta fonte di nuove vulnerabilità — offre anche strumenti avanzati di previsione e risposta tempestiva alle minacce, se ben controllati e integrati nei workflow aziendali.
## Come prevenire il prossimo Data Breach: checklist aziendale
1. **Aggiornamento costante delle infrastrutture IT:** patch e software devono essere sempre aggiornati, eliminando punti deboli noti.
2. **Formazione obbligatoria di tutto il personale:** campagne anti-phishing, awareness e simulazioni periodiche.
3. **Mappatura e classificazione dei dati:** sapere dove risiedono i dati più critici aiuta a proteggerli meglio.
4. **Revisione dei processi di supply chain:** audit sulla sicurezza dei partner e fornitori.
5. **Test periodici di sicurezza e vulnerabilità:** penetration test e assessment tecnici sulle reti.
6. **Gestione proattiva degli incidenti:** predisporre e aggiornare un piano di risposta agli attacchi.
7. **Nomina di responsabili privacy, DPO e cybersecurity manager:** guidano la compliance a livello strategico.
## In conclusione: la sicurezza è una sfida aperta
Il caso Monte dei Paschi di Siena è l’ennesima dimostrazione che la sicurezza informatica va concepita come processo continuo, che coinvolge tecnologia, persone e governance. Investire su questi tre pilastri significa proteggere non solo i dati, ma l’avvenire stesso della propria azienda.
Nel prossimo futuro, con l’entrata in vigore della NIS 2 e l’evoluzione del GDPR, la soglia minima di protezione richiesta si alzerà ancora. Le imprese, grandi o piccole, possono restare al passo solo con una strategia coerente, guidata da leadership consapevoli dell’importanza della cybersecurity e della privacy.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio