Outdated Drivers Are Slowing You Down
One free scan finds every outdated or missing driver and matches the right update for your exact hardware.Free scan · exact hardware matchWindows Errors? Fix Them Before They Spread
Repair common Windows errors and clear accumulated junk for a smoother, more stable PC - no reinstall needed.Free scan · no reinstallNo: un ransomware non obbliga automaticamente ogni azienda a fermare tutte le attività o ad avvisare indistintamente ogni cliente e fornitore. Si può proseguire con le attività che restano sicure, purché non ostacolino il contenimento. Le notifiche, però, non si possono rinviare o omettere quando ricorrono i presupposti previsti da privacy, regole di settore, NIS2 o contratti.
Continuare a lavorare durante un attacco: quando può essere sicuro?
La scelta non è semplicemente tra «azienda aperta» e «azienda chiusa»: occorre distinguere le attività e i sistemi. Un processo che non dipende da infrastrutture compromesse può forse proseguire; usare un sistema sospetto, collegare dispositivi non verificati o far transitare dati attraverso canali coinvolti può invece favorire la propagazione dell’attacco o compromettere il recupero.
| # | Preview | Product | Price | |
|---|---|---|---|---|
| 1 |
|
The Small Business IT and Security Survival Kit: A Plain-English Checklist to protect your Network,... | $9.99 | Buy on Amazon |
As an Amazon Associate I earn from qualifying purchases.
Le norme citate sotto disciplinano specifici obblighi di notifica, ma non fissano una regola generale che imponga a tutte le imprese di spegnere ogni attività durante un ransomware. La continuità operativa va coordinata con il contenimento da chi guida la risposta, coinvolgendo sicurezza e IT, direzione e, quando pertinente, legale e responsabile privacy. Non è una valutazione tecnica o legale del singolo incidente.
Quick wins for a faster PC:
Scan for outdated or missing drivers - takes under a minuteDriver Scan →Clear out junk files and repair common Windows errorsFree Scan →- Separare i sistemi e i processi sospetti da quelli che si ritiene possano funzionare in sicurezza, seguendo il piano di risposta dell’organizzazione.
- Valutare le conseguenze di una prosecuzione e di un’interruzione: propagazione, perdita di dati, sicurezza delle persone e impatto sui servizi erogati.
- Registrare le decisioni e i relativi orari, preservando le evidenze necessarie per ricostruire l’incidente.
Chi deve essere informato, e in quali casi?
«Clienti e fornitori» non è un unico gruppo con un solo obbligo. La notifica a un’autorità, l’avviso alle persone i cui dati sono coinvolti, la comunicazione ai destinatari di un servizio e l’avviso a un partner contrattuale rispondono a presupposti diversi.
#1 Best Overall
| Destinatario | Quando valutare l’avviso | Riferimento o verifica |
|---|---|---|
| Autorità di controllo privacy | Se una violazione di dati personali presenta un rischio per i diritti e le libertà delle persone; si applicano le condizioni e i termini GDPR. | GDPR, in particolare articolo 33. |
| Persone interessate | Se la violazione è suscettibile di presentare un rischio elevato per i loro diritti e libertà, salvo le eccezioni previste. | Indicazioni della Commissione europea e articolo 34 GDPR. |
| Destinatari di un servizio | Per un’entità soggetta alla NIS2, ove appropriato, se un incidente significativo può pregiudicare la fornitura del servizio. | Direttiva NIS2, articolo 23. |
| Clienti, fornitori o partner contrattuali | Quando sono coinvolti, devono collaborare alla risposta oppure il contratto o una regola settoriale richiede un avviso. Per un responsabile del trattamento può inoltre valere l’obbligo di informare il titolare. | Esaminare ruolo nel trattamento, contratto e disciplina applicabile; per il rapporto responsabile-titolare, articolo 33 GDPR. |
La tabella non determina quale autorità, canale o termine si applichi a una specifica impresa italiana: settore, ruolo, perimetro normativo e accordi possono cambiare la risposta. Un avviso operativo ai destinatari del servizio, inoltre, non equivale a una comunicazione generalizzata a tutti i clienti e fornitori.
Se i dati sono cifrati ma non risulta un furto, è una violazione GDPR?
Può esserlo. La violazione di dati personali non riguarda soltanto la riservatezza: può compromettere anche integrità o disponibilità. Dati personali resi inaccessibili dalla cifratura, o alterati, richiedono quindi una valutazione anche se non è stata accertata un’esfiltrazione. La Commissione europea illustra la definizione e gli adempimenti nella sua guida sulle violazioni dei dati.
Notifica all’autorità di controllo
Il titolare del trattamento deve notificare la violazione all’autorità di controllo senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, a meno che sia improbabile un rischio per i diritti e le libertà delle persone. Il termine di 72 ore è quello stabilito dall’articolo 33 GDPR, non una stima del tempo necessario a completare l’indagine. Se non è possibile fornire tutte le informazioni insieme, il GDPR consente di trasmetterle gradualmente senza ulteriore ingiustificato ritardo. La base normativa è il testo del GDPR.
The Tool Desk
Outbyte PC Repair FREERepair Windows errors before they cause bigger problemsFix Now →Outbyte Driver Updater FREEFix the driver behind crashes, sound loss and screen glitchesFind Drivers →Se agisce come responsabile del trattamento, l’organizzazione informa il titolare senza ingiustificato ritardo: questo obbligo non va confuso con quello del titolare di notificare l’autorità.
Comunicazione alle persone interessate
È una valutazione distinta dalla notifica all’autorità. Quando la violazione è suscettibile di presentare un rischio elevato per i diritti e le libertà delle persone, il titolare comunica la violazione agli interessati senza ingiustificato ritardo, salvo le eccezioni previste dal GDPR. L’incertezza iniziale non giustifica il silenzio automatico: occorre valutare prontamente il rischio e usare, quando necessario, una comunicazione pubblica o una misura equivalente per raggiungere le persone interessate. La Commissione riassume gli obblighi nella propria guida agli obblighi GDPR.
Independent reader supportYour contribution helps us test, update, and keep practical guides available for everyone.Quando la NIS2 può richiedere notifiche e avvisi?
La NIS2 non riguarda indistintamente tutte le imprese e non considera automaticamente significativo ogni ransomware. La direttiva descrive come significativo un incidente che ha causato o può causare grave perturbazione operativa dei servizi o perdite finanziarie per l’entità, oppure che ha colpito o può colpire altre persone fisiche o giuridiche causando danni considerevoli, materiali o immateriali. La valutazione dipende quindi dall’impatto concreto e dal servizio interessato, non dal solo nome dell’attacco. Si vedano la direttiva e le linee guida della Commissione sull’applicazione dell’articolo 4.
Le tappe previste per le entità in ambito
Per gli enti soggetti alla direttiva, la procedura per un incidente significativo prevede notifiche progressive. I termini stabiliti dalla NIS2 sono:
- Entro 24 ore dalla conoscenza dell’incidente significativo: un preallarme, senza indebito ritardo.
- Entro 72 ore dalla conoscenza: la notifica dell’incidente, con una valutazione iniziale di gravità e impatto.
- Di norma entro un mese: il rapporto finale. Se l’incidente è ancora in corso alla scadenza, è previsto un rapporto sullo stato e il rapporto conclusivo entro un mese dalla gestione dell’incidente.
Sono scadenze della procedura NIS2, non una regola applicabile a qualunque azienda italiana dopo qualunque attacco. Per stabilire se l’impresa rientra nel perimetro e quale procedura nazionale seguire, vanno verificati settore, ruolo e disciplina italiana applicabile.
Avviso ai destinatari del servizio
Per le entità interessate, la NIS2 prevede, ove appropriato e senza indebito ritardo, di avvisare i destinatari dei servizi quando un incidente significativo può pregiudicare la fornitura. La direttiva non trasforma questo obbligo in un avviso automatico a ogni fornitore commerciale o cliente contrattuale. La comunicazione dovrebbe essere utile a chi riceve il servizio: chiarire cosa non è disponibile, quali precauzioni adottare, dove seguire gli aggiornamenti e quali canali alternativi usare, quando disponibili.
Come organizzare le prime decisioni senza aspettare un quadro perfetto
- Attivare la risposta all’incidente. Designare chi coordina le decisioni e coinvolgere le competenze tecniche, la direzione e le funzioni privacy o legali pertinenti.
- Contenere e preservare le evidenze. Isolare i sistemi sospetti secondo le procedure aziendali; registrare orari, sistemi interessati e decisioni. Non lasciare che le attività mantenute operative interferiscano con il contenimento.
- Valutare i dati e le persone coinvolte. Verificare se dati personali possono essere stati resi indisponibili, alterati o esposti, e quali conseguenze ciò può avere per le persone.
- Verificare ambito e ruoli. Stabilire se l’organizzazione è titolare o responsabile del trattamento, se è soggetta alla NIS2 o ad altre regole settoriali, e quali obblighi contrattuali possono richiedere collaborazione o comunicazioni.
- Decidere quali attività possono proseguire. Basare la scelta su sistemi affidabili, dipendenze operative e possibili danni a persone o destinatari del servizio; documentare il motivo e coordinarla con chi guida il contenimento.
- Inviare le comunicazioni dovute nei tempi applicabili. Non aspettare una ricostruzione tecnica completa se ciò farebbe perdere un termine previsto. Aggiornare le informazioni quando emergono fatti verificati, distinguendoli da ciò che è ancora incerto.
Per un caso concreto in Italia, la valutazione deve considerare le norme nazionali e settoriali in vigore e i canali competenti, oltre ai testi UE. Questo articolo offre orientamento generale e non sostituisce consulenza legale né la gestione tecnica dell’incidente.
Quick Recap
Product prices and availability are accurate as of the date/time indicated and are subject to change. Any price and availability information displayed on Amazon at the time of purchase will apply.
