Cyber-criminalità d’impresa: gli step a tutela della cyber security

Da poco meno di vent’anni, anche le persone giuridiche possono subire sanzioni pecuniarie come conseguenza di reati, quando questi sono commessi da persone legate all’ente da un rapporto funzionale.

Tra i reati dai quali nasce tale responsabilità, elencati nel Decreto Legislativo n.231 del 2001 e ampliati da legislatore ad ogni modifica legislativa, sono presenti anche i delitti informatici, reati compiuti tramite un sistema informatico o aventi di mira tale sistema.

Il delitto informatico più conosciuto è l’“accesso abusivo ad un sistema informatico o telematico” di cui all’art. 615 ter del codice penale.

Lungi dall’essere solo il “reato degli hacker”, l’accesso abusivo è più frequente di quanto si pensi: qualunque dipendente potrebbe realizzarlo.

Come tutelare l’azienda da procedimenti penali a suo carico?

Quali sono gli step per creare e mantenere un modello di organizzazione idoneo per proteggersi dai delitti informatici?

Scarica il whitepaper per scoprirlo

L’ente o l’azienda può evitare di rispondere del reato commesso dai suoi dipendenti, adoperandosi attivamente cercando di fare il possibile affinché il reato non si realizzi.

Di fronte al Giudice dovrà infatti provare di aver preventivamente adottato ed efficacemente attuato, prima della commissione del fatto, modelli organizzativi e di gestione (cosiddetti MOG) idonei ad individuare e prevenire reati della specie di quello verificatosi. Dovrà inoltre dimostrare di aver affidato ad un proprio organismo (cosiddetto Organismo di Vigilanza, ODV) il compito di vigilare sul funzionamento e l’osservanza di tali modelli e di curarne il loro aggiornamento. Sarà inoltre necessario dimostrare che le persone hanno commesso il reato eludendo fraudolentemente i modelli di organizzazione e di gestione e che non vi sia stata omessa o insufficiente vigilanza da parte dell’organismo di controllo.

Le attività richieste sono le seguenti:

1. Adozione del Modello di Organizzazione e Gestione, che per essere efficace deve essere anticipato da un’adeguata analisi e gestione dei rischi, mappando le aree aziendali sensibili (attraverso modelli di Risk Management) e attribuendo un livello di importanza, per poi redigere specifici protocolli e un sistema di controllo preventivo. L’attività di risk assessment viene generalmente svolta da un team di esperti, che comprendano al loro interno advisors con competenze in materia di risk management, oltre che avvocati o giuristi specializzati in diritto penale e fiscalisti
2. Nomina ed avvio delle attività dell’Organismo di Vigilanza, per verificare l’efficienza e l’efficacia del MOG e verifica il rispetto delle procedure previste dal modello, con propositività rispetto a eventuali aggiornamenti.
3. Adozione e pubblicazione di un Codice Etico, un documento ufficiale che contiene i principi etici della società e i criteri di condotta nelle relazioni con dipendenti, Clienti e tutti gli stakeholder.
4. Mantenimento continuo, ovvero l’implementazione in concreto del MOG, il monitoraggio continuo, l’aggiornamento delle misure, la conoscibilità all’esterno, la formazione del personale (dipendenti e management), l’esecuzione di Audit, l’esistenza di un sistema sanzionatorio realmente applicato.

Di fronte al continuo mutamento tecnologico e alla digital transformation che le aziende stanno vivendo,  è estremamente importante effettuare una attività diagnostica di risk assessment che tenga in considerazione il rapporto tra delitti informatici e strumenti informatici, anche di nuova generazione utilizzati dall’azienda. 

L’importanza di rivolgersi a un team di advisory specializzato in Information Security, Governance & Compliance

La realizzazione di un reato in azienda può essere fonte di un notevole danno economico e reputazionale per l’impresa. Per evitare di subire un procedimento penale o di vedersi intaccata la propria immagine sul mercato, è necessario impiegare adeguate risorse e competenze al fine di adottare procedure interne idonee ad impedire in particolare i delitti informatici.

Nel prevedere controlli idonei ad evitarli, è importante sia pianificare un adeguato programma di security awareness che implementare e attuare policy e verifiche di audit sui sistemi informativi che impediscano by default, la commissione del reato stesso.