L’adozione di sistemi di autenticazione per accesso a reti o dati è andata consolidandosi nel nostro Paese grazie alla “famigerata” legge privacy, dove all’Allegato B si prescrive alle aziende l’obbligo di adottare credenziali di autenticazione, ad esempio password, che ogni incaricato deve preservare e mantenere segrete . Eppure aumentano le sentenze emesse in materia di divulgazione, diffusione o cessione di credenziali di autenticazione, in particolare nell’ambiente lavorativo. L’ultima pronuncia emessa dalla Corte di Cassazione (Sezione del Lavoro) sembra di rilievo, in quanto dimostra come la sola comunicazione di password senza autorizzazione possa giustificare un licenziamento con biglietto di sola andata.
Nei fatti, Caio lavoratore dipendente della Ditta Beta, comunicava ad un ex collega (ex dipendente della Ditta Beta stessa) le proprie credenziali di autenticazione per accedere alla rete. In sostanza, mediante l’utilizzo delle credenziali di autenticazione di Caio, Tizio accedeva esclusivamente a statistiche ed illustrazioni pubblicitarie del prodotto commercializzato dalla Ditta Beta. Ebbene, queste condotte sono state oggetto di contestazione da parte della Ditta Beta la quale al termine dei vari gradi relativi al processo dinnanzi al Giudice del lavoro, ha ottenuto ragione circa la giustezza del licenziamento di Caio.
Accertato nei fatti che la password di accesso alla rete era stata comunicata da Caio a Tizio (e non che quest’ultimo avesse utilizzato canali diversi per procurarsela) la Cassazione ha rinvenuto nella condotta del dipendente Caio una forma di inadempimento talmente grave da giustificare in proporzione il licenziamento attuato.
Il diritto applicabile
È incredibile come ad oggi continuino ad emergere fatti molto simili a quelli che hanno visto coinvolti la Ditta Beta, Caio e Tizio. Difatti, sempre più frequentemente le password di accesso a connessioni e dati sono utilizzate maldestramente da chi ne dovrebbe mantenere cura e segretezza; la causa di questo modo di pensare e sottovalutare i rischi che potrebbero derivare dalla comunicazione non autorizzata delle credenziali di accesso, spesso non è da attribuirsi al dipendente però, ma proprio al datore di lavoro .
Difatti, se da una parte oggettivamente il lavoratore deve prendere atto che le credenziali di autenticazione altro non sono che una risorsa aziendale messa a disposizione dalla struttura lavorativa e che la loro destinazione deve essere prettamente connessa al motivo per cui sono state introdotte, dall’altra il datore di lavoro omette talvolta ingenuamente talvolta dandolo per scontato, di informare e formare i propri dipendenti del motivo che sta alla base di una gestione dei dati o delle reti protetta da password.
Oggi la tanto criticata legge sulla privacy (il decreto legislativo n. 196/2003) è un “perno” non trascurabile mediante il quale cercare di imporre un po’ di evoluzione nella mentalità degli italiani, che sottovalutano i rischi a cui sono esposti i loro dati (sia in qualità di titolari dei trattamenti sia in qualità di intestatari dei dati stessi) e le falle di sicurezza esistenti nei sistemi informatici aziendali.
Il punto critico della sicurezza informatica in Italia
Potrà momentaneamente lasciare perplessi quello che sto per scrivere, ma posso tranquillamente affermare che in Italia le password non sono l’ultimo dei problemi in ambito di sicurezza, ma il primo. Ebbene sì! Come formatrice in ambito di privacy, ho a che fare con enti pubblici ed aziende, e se il back-up, i sistemi anti-intrusione e l’antivirus sono ormai familiari e imprescindibili nel privato e nel pubblico per conservare sicurezza ed integrità di dati, progetti ed informazioni, il “pianeta password” resta incontrollabile, troppo spesso “auto-gestito” dai dipendenti che frequentemente ignorano la ratio che sta alla base dell’utilizzazione di una password sul posto di lavoro!
Quando durante la formazione ripeto “mi raccomando: non usate come password il vostro nome o cognome, o il nome del cane, del gatto o la data di nascita di vostro figlio” gran parte dei presenti mi guarda con sguardo colpevole, ed io capisco benissimo che bypassare la loro password sarebbe una sciocchezza! Ma questo perché succede in un comune, come in un ospedale come in una azienda privata? Semplicemente perché il titolare della struttura non investe “nell’informatizzazione della mentalità” delle persone. Informatizzarsi non vuol dire solo cambiare il parco macchine, ma spiegare perché è meglio un sistema operativo di un altro, perché alterare una misura di sicurezza è rischioso, perché urlarsi da una stanza all’altra la password di accesso alla rete non può rappresentare un’abitudine!
Le sentenze sono un campanello di allarme
Le sentenze che si stanno originando nelle aule di tribunale italiane sono sintomatiche dello status di superficialità ed ignoranza (nel senso proprio dell’ignorare) della centralità delle credenziali di autenticazione quali elemento primario della sicurezza aziendale.
Caio che comunica a Tizio la propria password affinché quest’ultimo si introduca nel sistema aziendale per visionare dei dati, è sostanzialmente un soggetto che ha ignorato i rischi a cui andava incontro: non sapendo che è possibile verificare da dove avvengono le connessioni alla rete nonché chi è l’intestatario di quella password di accesso. Altrettanto Tizio ha ignorato che, utilizzando la password comunicata da Caio, poteva incorrere in un reato penale di accesso abusivo, dove l’abusività è data dalla consapevolezza di entrare in un sistema da cui il titolare lo ha a suo tempo escluso.
Manca una cultura del diritto informatico . Mancano le basi e da queste mancanze nascono sentenze che i giornali titolano talvolta increduli delle conseguenze, talvolta entusiasti della notizia legata alla nuova tecnologia come se fosse un fatto isolato e straordinario. Ma il futuro è adesso ed adesso bisogna imparare a gestire l’informatizzazione, anche nelle situazioni che si danno per scontate.
Avv. Valentina Frediani
www.consulentelegaleinformatico.it
www.consulentelegaleprivacy.it
Ti potrebbe interessare
26 set 2006