Quando una PA smarrisce dati sanitari, anagrafici o fiscali, non perde solo “informazioni” — interrompe il patto implicito di fiducia su cui si regge il rapporto tra cittadino e istituzione: io ti affido i miei dati più delicati, tu (PA) li custodisci bene. Le “rotture” di questo patto sono particolarmente visibili nel settore pubblico per gli obblighi di trasparenza che le PA, giocoforza, devono rispettare.
Casi recenti
Per citare i casi più noti, nel 2021 un ransomware paralizzò a lungo i sistemi sanitari della Regione Lazio. Il vettore d’ingresso non fu un exploit sofisticato: fu un portatile in uso a un dipendente regionale, attraverso cui il malware si propagò fino a bloccare prenotazioni, pagamenti, ritiro referti e persino la registrazione delle vaccinazioni in piena pandemia. Il Garante Privacy, al termine degli accertamenti, sanzionò sia la società in-house della Regione sia la Regione stessa, rilevando sistemi non aggiornati e misure di sicurezza inadeguate a rilevare tempestivamente la violazione.
Pochi anni dopo, l’ASL Napoli 3 Sud fu sanzionata con 30.000 euro per non aver protetto adeguatamente i dati sanitari e personali di 842.000 tra assistiti e dipendenti, colpiti da un attacco ransomware che aveva bloccato l’accesso ai database della struttura.
Il filo conduttore non è la sofisticazione degli attaccanti: in più occasioni le autorità hanno segnalato l’assenza di misure basilari, non l’utilizzo di tecniche di attacco sofisticate. È la fragilità strutturale di sistemi che gestiscono dati critici senza gli stessi standard di manutenzione che pretenderemmo, per dire, da una diga o da una struttura sanitaria.
Il pubblico non è peggio del privato
Sarebbe sbagliato, leggere questi casi come una prova di inefficienza tipicamente pubblica. I grandi data breach del settore privato — dalle compagnie assicurative alle piattaforme tecnologiche, fino ai fornitori di servizi cloud — mostrano la stessa distribuzione di cause. Nel 2020 il caso Vastaamo ha rappresentato uno degli episodi più gravi di data breach in ambito di salute mentale in Europa. Vastaamo era una società finlandese che gestiva cliniche e servizi di psicoterapia, raccogliendo dati estremamente sensibili: informazioni anagrafiche, dettagli clinici e contenuti delle sedute. L’infrastruttura IT si è rivelata gravemente inadeguata e i sistemi applicativi non erano sufficientemente protetti, causanto l’esfiltrazione dei database contenenti le note delle sedute portando ad una doppia estorsione: prima verso l’azienda, poi direttamente verso i pazienti, minacciando la pubblicazione online delle loro informazioni più intime. La vicenda ha avuto un gravissimo impatto psicologico sugli interessati, molti dei quali si erano rivolti al servizio proprio per fragilità emotive e condizioni di particolare vulnerabilità. Vastaamo alla bancarotta e alla chiusura delle attività.
Seconda conclusione: la vera barriera non è tecnica, è culturale
Ciò che colpisce, scorrendo i provvedimenti del Garante, è quanto spesso le misure mancanti fossero elementari: aggiornamento dei sistemi, segmentazione della rete, un protocollo di risposta già pronto invece che costruito in emergenza. Nessuna di queste misure richiede investimenti straordinari ma nelle organizzazioni cambiare una procedura consolidata, anche minima, richiede tempo, formazione, e la volontà di ammettere che il modo in cui si è sempre lavorato non basta più.
Il dato come infrastruttura di fiducia si costruisce esattamente qui: non nell’acquisto dell’ultima tecnologia difensiva, ma nella capacità di un’organizzazione di accettare, con la stessa naturalezza con cui aggiorna i propri prodotti o servizi, che la sicurezza è un processo continuo di piccoli cambiamenti — non un progetto da completare una volta per tutte.