Sanzione all’Ordine degli Psicologi: un richiamo forte sul fronte della sicurezza informatica

Il Garante per la protezione dei dati personali ha recentemente sanzionato l’Ordine degli Psicologi della Lombardia per 30.000 euro, a seguito di un attacco ransomware che ha colpito i sistemi dell’Ente tramite un attacco brute force sul protocollo RDP.

La violazione è stata giudicata particolarmente grave non solo per l’esfiltrazione dei dati, ma soprattutto per la mancanza di misure tecniche e organizzative adeguate atte a prevenire, rilevare e gestire l’incidente.

Cosa è successo

L’attacco è stato portato a termine tramite una connessione RDP (Remote Desktop Protocol) esposta su Internet e protetta solo da credenziali deboli, facilmente violate tramite brute force.

Una volta dentro, i criminali informatici hanno cifrato i dati presenti sui sistemi, causando l’interruzione dei servizi e la perdita temporanea di informazioni.

Le indagini hanno evidenziato che:

• Il server di ingresso aveva un sistema operativo obsoleto, con vulnerabilità note.
• Non era attivo alcun sistema di autenticazione a più fattori (MFA).
• Non erano presenti sistemi di rilevamento anomalie né soluzioni di Data Loss Prevention (DLP).
• L’Ordine si è difeso sostenendo di avere risorse limitate, ma il Garante ha ribadito che la protezione dei dati non può essere sacrificata per motivi economici.

Il Garante ha chiarito che la scarsità di risorse economiche non giustifica la mancata adozione di misure di sicurezza adeguate, e ha ribadito che la protezione dei dati deve essere integrata nella progettazione dei sistemi (privacy by design) e proporzionata ai rischi attuali, ormai sempre più concreti ed evoluti.

Il vero tema: la protezione dei dati è un obbligo, non una scelta

In un contesto in cui gli attacchi informatici sono sempre più mirati, sofisticati e frequenti, non basta più “fare qualcosa” per la sicurezza: bisogna fare il necessario e il proporzionato rispetto ai rischi reali.

La direttiva europea NIS2 rappresenta oggi il punto di riferimento fondamentale per chiunque voglia proteggere i propri sistemi, garantire la continuità operativa e dimostrare conformità alle normative.

Firewall, MFA, sistemi di monitoraggio, gestione delle vulnerabilità, aggiornamenti costanti e risposta agli incidenti non sono strumenti opzionali: sono basi minime di una sicurezza informatica moderna e credibile.

Adeguarsi alla NIS2 non significa solo rispettare la legge: significa tutelare i propri dati, la propria reputazione e la fiducia dei clienti.

Come evitare di trovarsi nella stessa situazione

Per non finire sotto attacco – o sotto sanzione – è essenziale:

1. Implementare l’autenticazione a più fattori (MFA) su tutti i sistemi critici.
2. Evitare l’uso di sistemi obsoleti o non aggiornati.
3. Non esporre protocolli ad alto rischio (come RDP) senza protezioni forti.
4. Installare sistemi di monitoraggio e alert automatici per identificare accessi sospetti o comportamenti anomali.
5. Adottare un piano di risposta agli incidenti e testarlo periodicamente.
6. Allinearsi ai requisiti della direttiva NIS2, per avere un quadro chiaro e aggiornato delle misure da adottare.

E tu, sei sicuro di essere al sicuro?

L’attacco subito dall’Ordine degli Psicologi può sembrare un caso isolato, ma in realtà è emblematico di un rischio crescente che coinvolge PMI, enti pubblici e professionisti.

Da anni M2 Informatica supporta organizzazioni pubbliche e private nel rafforzare le proprie difese informatiche, adottando misure che rispondono ai criteri del GDPR, agli standard ISO 27001 e alle indicazioni della direttiva NIS2.
 

Hai dubbi sulla sicurezza della tua infrastruttura?

Contattaci per una valutazione gratuita: possiamo aiutarti a identificare vulnerabilità, adeguarti alla normativa e proteggere davvero i tuoi dati.