Articolo Pubblicazioni
Accessi abusivi alle banche dati: i controlli tecnici contro il dossieraggio
di Vincenzo Calabrò · Pubblicato il 18 novembre 2024
Abstract
Nel corso del 2024 diverse inchieste giudiziarie hanno riguardato accessi abusivi a banche dati pubbliche e private, compiuti in molti casi da persone che disponevano di credenziali legittime. L’articolo non entra nel merito delle vicende, ancora oggetto di indagine, e si concentra sulle misure tecniche e organizzative che permettono di prevenire e rilevare gli accessi non giustificati, con riferimento all’articolo 615-ter del codice penale.
Il problema
Le banche dati delle amministrazioni e delle grandi aziende contengono informazioni su milioni di persone, come dati anagrafici, fiscali, bancari, sanitari, giudiziari, di traffico telefonico. Migliaia di dipendenti vi accedono ogni giorno per lavoro. Le inchieste emerse nel 2024, che riguardano interrogazioni compiute senza motivo d’ufficio e talvolta la cessione dei dati a terzi, mostrano un problema strutturale. In molti sistemi un’utenza autorizzata può consultare qualsiasi record, senza dover giustificare la ricerca e senza che nessuno se ne accorga. Le indagini sono in corso e la responsabilità delle persone coinvolte sarà accertata nelle sedi giudiziarie.
Che cosa dice la legge
L’articolo 615-ter del codice penale punisce chi si introduce abusivamente in un sistema informatico protetto o vi si mantiene contro la volontà di chi ha il diritto di escluderlo. Le Sezioni Unite della Cassazione hanno chiarito nel 2011 e nel 2017 che commette il reato anche chi, pur abilitato, accede per finalità diverse da quelle per cui la facoltà di accesso gli è stata attribuita. Sono previste aggravanti quando il fatto è commesso da un pubblico ufficiale con abuso dei poteri o quando riguarda sistemi di interesse pubblico. La legge 90 del 2024 ha inasprito le pene per diverse ipotesi aggravate. Per le organizzazioni si aggiungono gli obblighi del GDPR, che impone misure tecniche e organizzative adeguate e la notifica delle violazioni dei dati.
Accesso solo se serve
La prima difesa è ridurre ciò che ciascuno può vedere. Il principio del minimo privilegio e quello della necessità di conoscere si traducono in alcune scelte:
- profili di accesso costruiti sulle funzioni effettive, con limitazioni per tipo di dato, territorio di competenza o pratica assegnata;
- richiesta di una motivazione o del riferimento a una pratica per ogni interrogazione su persone, registrata insieme alla ricerca;
- limiti al numero di interrogazioni per utente e per periodo, con blocco o allarme oltre la soglia;
- mascheramento dei dati non necessari nelle schermate di consultazione;
- revisione periodica dei profili, con eliminazione delle abilitazioni non più giustificate dopo cambi di ufficio o di mansione.
Registrare tutto, e guardare i log
Ogni interrogazione deve lasciare una traccia con utente, data e ora, postazione, criteri di ricerca e record visualizzati. I log vanno conservati in un sistema separato, con garanzie di integrità, e per un periodo coerente con i tempi in cui un abuso viene di solito scoperto, che possono essere anni. Il Garante lo chiede dal 2008 per gli amministratori di sistema, ma il principio vale per ogni utente con accesso a dati delicati.
I log hanno valore solo se qualcuno li analizza. Gli strumenti di analisi del comportamento degli utenti permettono di individuare schemi anomali:
- ricerche su persone note, come politici, imprenditori, personaggi dello spettacolo, o su colleghi e familiari;
- volumi di interrogazioni molto superiori alla media dell’ufficio;
- ricerche fuori dall’orario di lavoro o da postazioni insolite;
- sequenze di ricerche su persone collegate tra loro senza una pratica che le giustifichi;
- esportazioni massive o stampe di grandi quantità di record.
Le utenze privilegiate
Amministratori di database, tecnici dei fornitori e personale di assistenza possono spesso leggere i dati direttamente, aggirando le applicazioni e quindi i controlli. Per queste utenze servono strumenti di gestione degli accessi privilegiati, con credenziali custodite in un sistema centrale, accesso concesso per il tempo necessario e su richiesta motivata, registrazione delle sessioni e approvazione per le operazioni più delicate. Le query dirette sui dati personali andrebbero eccezionali e sempre tracciate.
Le banche dati delle forze di polizia e della giustizia
Un caso particolare riguarda le banche dati usate per finalità di polizia e giustizia, come quelle che raccolgono precedenti, segnalazioni di operazioni sospette, dati fiscali e patrimoniali. Qui la consultazione è spesso legata a indagini riservate, e chiedere una motivazione dettagliata può sembrare in contrasto con la segretezza. La soluzione è registrare un riferimento al procedimento o alla pratica, verificabile a posteriori da un organo di controllo indipendente, senza rivelarne il contenuto a chi gestisce il sistema. Il controllo successivo, a campione e su segnalazione degli strumenti di analisi, diventa allora il presidio principale.
Controlli organizzativi
Le misure tecniche funzionano se accompagnate da regole chiare. Il personale deve sapere che ogni accesso è registrato e verificato, quali usi sono vietati e quali conseguenze disciplinari e penali comportano. Le verifiche periodiche a campione, con richiesta di giustificare specifiche interrogazioni, hanno un forte effetto deterrente. I contratti con i fornitori che accedono ai dati devono prevedere gli stessi obblighi e la possibilità di controllo.
Dalla prevenzione all’indagine
Quando un abuso viene scoperto, i log diventano prova. Devono quindi essere completi, sincronizzati nell’orario, protetti da alterazioni e accompagnati dalla documentazione dei profili assegnati in ciascun periodo. Senza questi elementi è difficile dimostrare che un accesso era ingiustificato, e altrettanto difficile, per chi è accusato ingiustamente, dimostrare il contrario.
Vedi anche: l’articolo del 2008 Amministratori di sistema e log degli accessi, l’articolo del 2026 Il ciclo di vita dell’identità come superficie d’attacco e l’articolo del 2025 Legge 90/2024.
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn