Ho letto che sono previste sanzioni più pesanti per i reati informatici e che è stata estesa la responsabilità per le imprese. Lavorando all'interno del'organizzazione It di una grande azienda, vorrei capire meglio di cosa si tratta.
E' vero. Con la ratifica della Convenzione di Budapest, sono stati individuati nuovi "crimini" informatici. Il riferimento è la Legge 18 marzo 2008, n. 48 (pubblicata in Gazzetta Ufficiale 4 aprile 2008, n. 80) che ratifica appunto la Convenzione del Consiglio d’Europa di Budapest sulla criminalità informatica, che il nostro paese aveva sottoscritto nel 2001.
Una conseguenza che riveste particolare importanza è sicuramente l’estensione della responsabilità amministrativa della persone giuridiche ai reati informatici, pertanto aumenta la responsabilità delle imprese nel caso non adottino misure preventive idonee ad evitare che gli addetti interni della società commettano reati informatici: per l’azienda si determina così una responsabilità patrimoniale anche di rilevante entità. In particolare, i reati informatici di cui le aziende possono essere chiamate a rispondere sono i seguenti:
- Attentato a impianti di pubblica utilità compreso il danneggiamento o la distruzione di sistemi informatici o telematici di pubblica utilità;
- Falsità in un documento informatico pubblico o privato;
- Accesso abusivo ad un sistema informatico o telematico;
- Detenzione e diffusione abusiva di codici di accesso a sistemi informatici o telematici;
- Diffusione di apparecchiature, dispositivi o programmi informatici diretti a danneggiare o interrompere un sistema informatico o telematico;
- Intercettazione, impedimento o interruzione illecita di comunicazioni informatiche o telematiche;
- Installazione di apparecchiature atte ad intercettare, impedire o interrompere comunicazioni informatiche o telematiche;
- Danneggiamento di informazioni, dati e programmi informatici;
- Danneggiamento di informazioni, dati e programmi informatici utilizzati dallo Stato o da altro ente pubblico o comunque di pubblica utilità;
- Danneggiamento di sistemi informatici o telematici;
- Truffa del certificatore di firma elettronica.
Con la ratifica, il legislatore ha introdotto importanti varianti al Codice Penale, al Codice di Procedura Penale, al Codice della Privacy ed al Dlgs nr. 231/2001.
Giusto per fornire qualche esempio, il furto di identità o l’uso di false generalità nei confronti di chi deve certificare l’identità del titolare di una firma elettronica, viene sanzionato con la pena della reclusione fino ad un anno.
Sono previste sanzioni anche per il certificatore di firma elettronica che si rende responsabile del mancato rispetto delle regole normative relative al rilascio dei certificati.
Ancora, con l’articolo 640 quinquies, è stato introdotto il reato di truffa del certificatore di firma elettronica qualificata, una nuova fattispecie di frode informatica, commessa da colui che presta servizi di certificazione di firma elettronica. Costituirà reato, quindi, oltre che il procurarsi malware e virus, anche la creazione, il commercio, ecc., di dongle, skimmer ecc.
Vengono introdotte norme più severe, che prevedono onerose sanzioni di tipo patrimoniale, nei confronti di quelle imprese che non pongono in essere idonee misure di prevenzione dei crimini informatici commessi da personale inquadrato nell’organico societario.
"Sostanzialmente - afferma Mario Leone Piccinni, Maggiore dela Guardia di Finanza - la nuova previsione normativa impone alle imprese di fare propri schemi di gestione interna validi ed efficaci ma che siano soprattutto in grado di evitare, in modo analogo a quanto accaduto con il noto caso Parmalat, che amministratori, dirigenti e dipendenti con ruoli di responsabilità all’interno della struttura societaria, possano rendersi responsabili di reati, commessi mediante le strutture aziendali, a vantaggio dell’ente stesso".
"E' consigliabile, quindi, che i responsabili delle imprese pongano maggiore sforzo organizzativo e rivedano i processi di gestione interna dei sistemi informatici e fare in modo che, concretamente, i livelli di sicurezza certificati nell’ambito delle policy aziendali, trovino riscontro, nella realtà, nei processi gestionali e produttivi quotidianamente adoperati. Dal punto di vista tecnico, sarebbe opportuna la redazione di security policies basate su documenti dotati di stime in grado di eliminare anche il solo rischio della commissione di reati informatici".
