Risposta agli incidenti di sicurezza

1. Rilevazione

Le azioni sensibili (login, contatto studente, export dati) vengono scritte nell’audit log in sola aggiunta: le voci non vengono modificate né cancellate e le righe sono conservate 24 mesi. Override del match e revoca delle credenziali sono definite come azioni di audit ma oggi nulla le scrive. L’apertura di un incidente resta una decisione umana: non esiste un trigger automatico collegato a questi pattern.

2. Escalation in tempo reale

Oggi non esiste alcuna escalation automatica. lib/incident-response.ts definisce quattro livelli di severità (low / medium / high / critical) e può scrivere su un canale Slack on-call, ma il webhook che gli serve (SLACK_INCIDENT_WEBHOOK_URL) non è impostato e nessuna parte dell’applicazione lo chiama. Gli incidenti vengono aperti da una persona che legge l’audit log.

3. Classificazione (EDPB Guidelines 01/2021)

• Confidenzialità — dati divulgati a parti non autorizzate.
• Integrità — dati alterati in modo non autorizzato.
• Disponibilità — dati inaccessibili ai titolari legittimi.
• Intrusione sospetta — pattern di abuso rilevato ma non ancora confermato.

4. Notifica al Garante (Art. 33)

Per le violazioni di dati personali che probabilmente comportano un rischio per i diritti e le libertà delle persone fisiche, notifichiamo al Garante per la Protezione dei Dati Personali entro 72 ore dalla scoperta. La notifica viene predisposta a partire dalle righe di audit log relative all’incidente.

Garante: garanteprivacy.it

5. Comunicazione agli utenti (Art. 34)

Quando la violazione comporta un rischio elevato per i diritti degli utenti, li notifichiamo direttamente via email — descrivendo la natura della violazione, i dati interessati, le misure adottate e i punti di contatto. Nessuna comunicazione finché non sono stati limitati gli effetti.

6. Post-mortem e prevenzione

Per ogni incidente classificato medium o superiore conduciamo un post-mortem entro 14 giorni: cause radice, controlli mancanti, azioni correttive. I post-mortem rimangono interni per ragioni di sicurezza; un riassunto aggregato viene pubblicato annualmente nel report sicurezza.