Con l’aumentare della sofisticazione degli attacchi ransomware e di altre minacce alla sicurezza informatica, le aziende si trovano ad affrontare una nuova e preoccupante sfida: l’aumento delle azioni legali collettive che seguono una violazione dei dati.
Come se i ritardi nella produzione e il danno d’immagine causati da tali attacchi non fossero già abbastanza gravi, ora i dirigenti devono anche considerare il rischio di finire in tribunale. Da un recente sondaggio condotto dall’ tra i responsabili interni del contenzioso di aziende multinazionali è emerso che le questioni relative alla sicurezza informatica e alla protezione dei dati costituiranno i principali fattori all’origine di nuove controversie nei prossimi anni.
All’aumento del numero di azioni collettive si accompagna il forte aumento dell’importo degli accordi transattivi. Nel 2020, uno dei casi più clamorosi e costosi — un attacco informatico ai danni della società di rating Equifax — ha portato a un’azione collettiva che si è conclusa con un accordo transattivo di 700 milioni di dollari, di cui 425 milioni destinati al risarcimento dei consumatori.
Anche altre azioni collettive relative a violazioni dei dati hanno portato a accordi transattivi di notevole entità: Capital One ha raggiunto un accordo transattivo di 190 milioni di dollari a seguito di una massiccia violazione dei dati che ha interessato 2019 persone; Uber ha accettato di pagare 148 milioni di dollari per risolvere un contenzioso civile legato a una violazione dei dati che ha interessato 2016 persone; e, più recentemente, T-Mobile ha accettato di pagare 350 milioni di dollari per risolvere le accuse secondo cui non avrebbe impedito una violazione dei dati che ha interessato 76 milioni di americani. (Il termine fissato dall’ entro il quale tali persone potevano presentare una richiesta di risarcimento era a gennaio.)
Tali cifre dimostrano chiaramente, se mai ce ne fosse bisogno, che dare priorità alla sicurezza informatica è più fondamentale che mai, osserva Mike Morgan, socio e responsabile per gli Stati Uniti del dipartimento globale di privacy e sicurezza informatica presso lo studio legale internazionale McDermott Will & Emery. «Le violazioni della sicurezza informatica rappresentano un rischio per tutte le organizzazioni, e questo vale ormai da molti anni», afferma. «Ma con il passare del tempo, la portata del rischio è aumentata in modo significativo.»
E i consigli di amministrazione più avveduti ne stanno prendendo atto.
Una serie di eventi ha portato la questione della sicurezza informatica all’attenzione dei consigli di amministrazione, afferma Cynthia Clark, esperta di governance aziendale, autrice di * * , *Giving Voice to Values in the Boardroom* e docente di management presso la Bentley University. «Si è verificata una convergenza di settori in precedenza molto distanti tra loro, che ora si rafforzano a vicenda — intelligenza artificiale (AI), apprendimento automatico (machine learning), robotica, nanotecnologia, biotecnologia — che ha effettivamente portato a una maggiore consapevolezza in materia di sicurezza informatica a livello di consiglio di amministrazione», afferma. «Ma ritengo che vi sia una certa discrepanza tra la consapevolezza di tale questione e la responsabilità che ne deriva in seno al consiglio di amministrazione.»
Le seguenti misure possono aiutare i consigli di amministrazione a rafforzare il proprio impegno in materia di sicurezza informatica, a proteggersi da azioni legali collettive e a prepararsi a un contesto giuridico in evoluzione.
Garantire la presenza di competenze solide in materia di sicurezza informatica all’interno del consiglio di amministrazione
Nel documento “ marzo 2022”, la Securities and Exchange Commission (SEC) degli Stati Uniti ha proposto nuove norme che imporrebbero alle società quotate in borsa di fornire informazioni standardizzate in merito alla strategia di sicurezza informatica, alla gestione dei rischi, alla segnalazione degli incidenti e alla governance. Tali norme imporrebbero inoltre alle società quotate in borsa di rendere noti i membri del consiglio di amministrazione in possesso di competenze in materia di sicurezza, nonché la natura di tali competenze.
«. Mi aspetto che vi siano numerose controversie legali e azioni di applicazione normativa incentrate sulla questione se un determinato soggetto disponga o meno di un livello ragionevole di sicurezza informatica.»Mike Morgan, socio e responsabile per gli Stati Uniti del dipartimento globale di privacy e sicurezza informatica presso McDermott Will & Emery
Da un recente sondaggio condotto dal Wall Street Journal su 1.000 delle 3000 società dell’indice Russell 102 è emerso che poco meno del 15% ha dichiarato di avere un amministratore con competenze in materia di sicurezza informatica. Clark afferma che questo è un esempio del divario esistente tra la consapevolezza che la sicurezza informatica sia una questione importante e la responsabilità in merito all’interno dei consigli di amministrazione.
«I consigli di amministrazione possono colmare tale divario riconoscendo quanto sia diffusa la questione della sicurezza informatica», afferma. «Devono cercare attivamente persone con questa esperienza, e ce ne sono molte in giro.» Queste persone devono comprendere i requisiti normativi , la differenza tra privacy e sicurezza, e possedere eccellenti capacità comunicative, aggiunge. Oggi è fondamentale poter discutere di come tali questioni influenzino il modello di business dell’organizzazione, così come lo è la necessità di sintetizzare le informazioni relative alla sicurezza informatica nei momenti di crisi.
Il presidente della SEC, Gary Gensler, afferma che gli investitori desiderano saperne di più su come gli emittenti stanno gestendo i crescenti rischi legati alla sicurezza informatica. «Ritengo che sia le aziende che gli investitori trarrebbero vantaggio dal fatto che tali informazioni fossero richieste in modo coerente, comparabile e utile ai fini decisionali», ha osservato Gensler in un comunicato stampa della SEC . «Se [la proposta venisse] adottata, rafforzerebbe la capacità degli investitori di valutare le pratiche in materia di sicurezza informatica delle società quotate in borsa e la segnalazione degli incidenti.» La presenza di competenze in materia di sicurezza informatica potrebbe influire sulla decisione di intentare un’azione collettiva nei confronti di un’organizzazione: un consiglio di amministrazione ben strutturato, ad esempio, potrebbe confutare le accuse di negligenza qualora si verificasse una violazione, mentre la mancanza di competenze in materia di sicurezza informatica all’interno del consiglio potrebbe costituire un fattore determinante per l’avvio di un’azione collettiva.
Promuovere una cultura della sicurezza informatica
L’importanza del consiglio di amministrazione in materia di sicurezza informatica non può essere sottolineata abbastanza, afferma Morgan. Il consiglio di amministrazione gestisce le risorse necessarie per garantire che la propria organizzazione disponga di adeguate funzioni informatiche e di sicurezza delle informazioni, ed è inoltre l’organo che promuove una cultura di trasparenza e di discussioni franche riguardo al proprio livello di maturità in materia di sicurezza informatica, afferma.
«La cultura aziendale spesso nasce dalla convinzione, da parte del consiglio di amministrazione e dei vertici aziendali, che la sicurezza informatica sia davvero fondamentale. «Se tale decisione viene trasmessa a tutti i livelli dell’organizzazione — ad esempio ai reparti legale, di gestione dei rischi, contrattuale e alle operazioni di vendita — ciò consente a tali funzioni di agire con maggiore determinazione», afferma. «Con il passare del tempo, vedrete le organizzazioni maturare.» Le voci si fanno più decise e si registrano progressi significativi, come ad esempio la conclusione di vendite con questi gruppi in una fase più precoce del processo. “Si sviluppa una sensibilità verso queste tematiche che prima non esisteva, poiché è evidente che si tratta di questioni importanti per l’alta dirigenza e il consiglio di amministrazione.”
Condurre discussioni sulle misure ragionevoli in materia di sicurezza informatica
Poiché gli impieghi dell’intelligenza artificiale nella sicurezza informatica e i progressi nel campo dei dati diventano sempre più potenti, i consigli di amministrazione dovrebbero prepararsi a condurre un numero maggiore di discussioni in merito alle misure di controllo adottate a fini di protezione, afferma Morgan. In base alle nuove norme della SEC, ad esempio, le società saranno tenute a sviluppare e mantenere pratiche di sicurezza informatica “ragionevoli”, sebbene la SEC non definisca cosa sia ragionevole e cosa non lo sia. Morgan sostiene che questa zona grigia sarà probabilmente al centro delle future cause legali.
«Mi aspetto che vi siano numerose controversie legali e provvedimenti di applicazione normativa incentrati sulla questione se un determinato soggetto disponga di misure di sicurezza informatica adeguate», afferma. “Nel corso di tali discussioni, si discuterà su quali standard debbano essere applicati per determinare cosa sia ragionevole e cosa no, e in che misura la questione della ragionevolezza sia determinata dalla via di attacco piuttosto che dalla sicurezza informatica complessiva di un’organizzazione.”
Man mano che i casi di violazione dei dati continuano a verificarsi — e che il numero di accordi transattivi relativi ad azioni collettive per violazioni di dati su larga scala continua ad aumentare — il rischio derivante da misure di sicurezza inadeguate diventerà sempre più evidente per i responsabili delle decisioni, afferma. «Ciò significa che sarà necessario approfondire ulteriormente la discussione su tali questioni.»
Effettuare un’analisi autocritica
Un’analisi autocritica consiste in un’indagine sul programma di sicurezza informatica di un’organizzazione volta a individuare i punti deboli e le modalità per migliorarne la maturità in materia di sicurezza informatica. Secondo Morgan, una parte consistente dell’analisi autocritica verte su ciò che è possibile fare per impedire un attacco, aspetto che riveste particolare importanza nel contesto dei contenziosi in materia di sicurezza informatica.
«Mentre aziende come Equifax, T-Mobile e altri colossi del settore fanno notizia, anche le piccole e medie imprese sono a rischio.»
«Una delle questioni che emerge nei procedimenti giudiziari riguarda la misura in cui la controparte legale della vostra organizzazione — che si tratti di un attore, dell’avvocato dell’attore o di un’autorità di regolamentazione — possa avere accesso all’analisi autocritica che la vostra organizzazione effettua sul proprio programma di sicurezza informatica», afferma. «L’attenzione rivolta al contrasto degli attacchi è molto importante dal punto di vista giuridico, poiché contribuisce a rendere irrilevanti potenziali richieste di provvedimenti inibitori volte a ottenere ordinanze volte a risolvere il problema o a migliorare la situazione dal punto di vista della sicurezza informatica.»
Morgan sostiene che effettuare un’analisi autocritica sia una buona pratica che le organizzazioni dovrebbero prendere in considerazione.
E non sono solo le grandi aziende a dover intensificare i propri sforzi per prevenire le controversie legali o per essere pronte ad affrontarle. Mentre aziende come Equifax, T-Mobile e altri colossi del settore fanno notizia, anche le piccole e medie imprese sono a rischio.
Un esempio calzante: l’Hope College, un piccolo istituto cristiano di arti liberali con corsi di laurea quadriennali situato a Holland, nel Michigan, che ora deve affrontare due distinte azioni legali collettive, intentate nell’ultima settimana del 2022. Le cause legali, nelle quali si accusa l’istituto scolastico di negligenza e di non aver informato le vittime con sufficiente tempestività — consentendo così che «le loro lesioni si aggravassero e il danno si estendesse» — riguardano una violazione dei dati avvenuta a settembre che potrebbe aver compromesso le informazioni riservate di oltre 155.000 persone. Un altro esempio ammonitore che illustra l’importanza di rafforzare le difese.
Introducendo competenze in materia di sicurezza informatica nei consigli di amministrazione, promuovendo una cultura della sicurezza informatica ai vertici aziendali, discutendo misure di sicurezza ragionevoli e analizzando in modo critico e introspettivo i processi di sicurezza informatica dell’organizzazione, le aziende possono aumentare la consapevolezza, diffondere le migliori pratiche e costruire una base di sicurezza più solida per far fronte a eventuali contenziosi futuri.
