Emergenza e Gestione della Privacy

L'emergenza è iniziata. E adesso i tuoi incaricati, sanno chi chiamare? Conoscono la catena della gestione della privacy o hanno solo firmato la ricevuta di un documento?

Un dipendente scopre di aver inviato dati al destinatario sbagliato. Un cliente segnala che alcuni documenti sono accessibili online. Il gestionale si blocca e sullo schermo compare una richiesta di riscatto. Tre episodi diversi, una sola reazione possibile che non può essere: “Aspetta, sentiamo qualcuno”.

Chi chiamare? Il tecnico, il DPO, l'avvocato, il titolare, l’amico smanettone? Chi è il sostituto se la persona è in ferie o in aereo? Chi ha il potere di sospendere un servizio, sapendo che fermarlo costa e non fermarlo può costare di più? E chi coordina tutti gli altri, mentre ciascuno fa la cosa giusta per evitare che vada nella direzione sbagliata?

La Necessità di un Assetto Organizzativo Adeguato

La checklist segna "procedura presente". Il documento esiste, è firmato, è archiviato. Ma il dipendente davanti al problema non sa che cosa fare. E la checklist non lo può sapere, perché non è stata scritta pensando ai nomi di chi lavora in quel momento.

La compliance ha i suoi strumenti, e sono necessari. Ma la domanda che si pone qui è un'altra, ed è una domanda di governance. Non chiede se la procedura c'è. Chiede se funziona.

L'articolo 2086 secondo comma, del codice civile impone all'imprenditore che opera in forma societaria o collettiva di istituire un assetto organizzativo, amministrativo e contabile adeguato alla natura e alle dimensioni dell'impresa, anche in funzione della rilevazione tempestiva della crisi.

Due parole pesano più delle altre. Adeguato e tempestiva. E per crisi non si intende solo quella economica o finanziaria.

Adeguato non significa documentato. Un assetto è adeguato se regge quando serve, non se fa bella figura in un faldone. Tempestiva, poi, è una parola che nei rapporti finanziari si misura in trimestri e negli incidenti si misura in minuti. Un data breach, un attacco ransomware, una fuga di documenti sono criticità serie che mettono alla prova in poche ore la stessa cosa che un default dell'impresa mette alla prova in pochi mesi: la capacità dell'organizzazione di accorgersi, decidere e agire.

Il GDPR concede un massimo di settantadue ore per notificare una violazione al Garante. Per i soggetti che rientrano nel perimetro NIS2 il preallarme va dato entro ventiquattro e gli organi di amministrazione rispondono direttamente delle misure adottate. Ma nessun termine comincia a correre in modo utile se l'informazione si ferma alla prima scrivania. Un'impresa che non sa chi chiamare non perde tempo. Perde il controllo del tempo.

Il collegamento con il 2086 sta tutto qui: nella distanza fra la documentazione e il funzionamento reale dell'organizzazione. Ruoli, istruzioni e responsabilità non bastano scritti. Devono poter essere attivati nella realtà, da persone reali, in condizioni reali, cioè sotto pressione e con qualcuno assente.

Esiste un test semplice, che non richiede consulenti né software. Lo può fare l'amministratore delegato domani mattina: “Hai mai chiesto a un tuo dipendente che cosa farebbe nei primi dieci minuti di un incidente?”

Non al responsabile IT. Non al DPO. A un dipendente qualunque, quello dell'ufficio acquisti o della reception. Se risponde con un nome, un numero e un'azione, l'assetto esiste. Se risponde “chiamerei qualcuno”, l'assetto esiste solo sulla carta. Se risponde “non lo so”, il problema non è suo. È del consiglio di amministrazione, che ai sensi dell'articolo 2381 del Codice civile deve valutare l'adeguatezza di quell'assetto e che, il giorno dopo l'incidente, dovrà spiegare perché lo considerava adeguato.

I manuali di istruzioni vanno bene. La domanda è se qualcuno li sa applicare. Un piano di risposta agli incidenti che nessuno ha mai provato è un'ipotesi, non una misura.

L'articolo 25 del GDPR ci ha abituati a due espressioni: protezione dei dati fin dalla progettazione e per impostazione predefinita. Sono nate per i trattamenti. Funzionano per l'intera organizzazione.

By design significa che i ruoli si progettano prima dell'emergenza. Chi decide, chi sostituisce, chi comunica, chi può fermare cosa. Non si improvvisa una catena di comando mentre il server cifra i file.

By default significa che la reazione corretta è quella che scatta senza bisogno di pensarci. Il comportamento giusto deve essere il più facile, non il più virtuoso.

E vale per ogni funzione aziendale, non solo per la sicurezza informatica. L'amministrazione che riceve una mail con il cambio di IBAN di un fornitore. Le risorse umane che trovano un fascicolo personale nella cartella condivisa sbagliata. Il commerciale che si accorge che un cliente ha ricevuto l'offerta di un altro. La produzione che vede un macchinario connesso comportarsi in modo anomalo.

Ogni reparto ha i suoi primi dieci minuti. Ogni reparto deve sapere chi chiamare.

Questo è il frame che definisco Cybermetrica: non una checklist in più, ma un metodo per misurare quanto l'organizzazione che c'è sulla carta coincide con quella che si muove davvero. La compliance verifica che le regole esistano. La governance verifica che qualcuno le sappia usare quando serve. La differenza fra le due è esattamente la distanza che separa un incidente gestito da un incidente subito.

Un consiglio di amministrazione può leggere cento pagine di procedure e non sapere nulla della propria organizzazione. Oppure può fare una sola domanda, alla persona giusta, e scoprire tutto.

La prima prova della tua organizzazione potrebbe essere un dipendente che sa chi chiamare.