Pensieri d’estate: Synlab ha rotto!

Pensieri d’estate: Synlab ha rotto!

Questo articolo riguarda il data breach Synlab ed è stato preceduto da altri sullo stesso tema:

https://bernieri.blogspot.com/2024/07/il-silenzio-degli-innocenti.html

https://bernieri.blogspot.com/2024/05/ce-no-meglio-ci-sarebbe-posta-per-te.html

https://bernieri.blogspot.com/2024/05/extinction-event.html 

(originariamente pubblicato su https://ransomfeed.it/index.php?page=blog) 

https://bernieri.blogspot.com/2024/05/la-sanita-deve-fare-meno-dei-dati.html 

(originariamente pubblicato su https://ransomfeed.it/index.php?page=blog) 

 

Ormai è una saga.

14 agosto... mi immagino un surreale dialogo interno al board Synlab:

“Chi vuoi che legga le PEC nella settimana di ferragosto?”

“Giusto! Mandiamola adesso così viene sommersa da altra fuffa, passa sotto silenzio, nessuno se ne accorge e la sfanghiamo…”

“Geniale!”

Beh, qualcuno che legge c’è.

SYNLAB: qualcosa si è rotto. 

“Annunciazione, annunciazione”, dopo un immane data breach, dopo mesi di ostinato silenzio, dopo l’invio di infinite richieste e solleciti, finalmente Synlab ha dato segni di vita, non necessariamente vita intelligente, ed ha inviato una splendida letterina che, tuttavia, non ha aggiustato le cose.

Ciascuno faccia le proprie considerazioni, le mie sono quelle di un DPO coinvolto sia a livello personale che professionale e non mi sento affatto accondiscendente.

Synlab ha rotto il silenzio?

In senso tecnico certamente sì, il silenzio è stato rotto: Synlab è uscita da uno stato di assenza totale di comunicazioni grazie all’invio di un messaggio. In questo modo non è più possibile sostenere che l’azienda sia completamente inerte.

Tuttavia esistono vari strumenti per decodificare gli eventi e la realtà che ci circonda: oltre all’atto meramente tecnico di inviare un segnale, esiste un piano semantico. In questa prospettiva il segnale, per essere tale, dovrebbe avere un significato.

Ecco, nel caso Synlab, la lettera inviata non ha alcun significato proprio: parole vuote e, certamente, prive di valore e delle informazioni attese dalle vittime del data breach.

Sempre in senso semantico, siamo di fronte ad una comunicazione priva di un vero e proprio contenuto specialmente se messa in relazione al contesto, se rapportata ai passaggi che hanno portato a questo evento. Questa vacuità genera indirettamente un contenuto e dice, più o meno, questo:  “non ce ne frega niente di ciò che ci hai chiesto. Ti rispondiamo con una supercazzola anche perchè tu sei stupido e non sei in grado di accortgertene. Inoltre ce ne fottiamo allegramente delle regole e delle leggi.”

Ho commentato ogni passaggio della risposta inviata da Synlab come glossa al documento originario.

Qui il PDF.

Nel commento non ho incluso alcuna informazione costruttiva o correzione poiché non desidero sovrappormi ai colleghi che stanno cercando di assistere l’azienda. Intravedo il loro profondo disagio.

Per non offuscare il punto di vista del DPO occorre soprassedere sui refusi e sugli evidenti problemi sintattici del testo.

Il documento è stato inviato anche in versione “brevis” come risposta a chi ha inviato una richiesta ma non risulta essere presente negli archivi Synlab. Purtroppo, questa versione è altrettanto problematica rispetto a quella più verbosa poichè conclama una menzogna: nel momento in cui Synlab prende in carico una richiesta ed invia la risposta “brevis”, si realizza un trattamento di dati personali, la loro archiviazione e conservazione, pertanto non è lecito scrivere che “All’esito delle analisi delle nostre banche dati, non risultato trattamenti di dati personali relativi alla Sua persona.”

Nei confronti di una persona i cui dati non sono presenti nei database synlab, sarebbe stato necessario chiarire che, a seguito della gestione della richiesta, i dati personali vengono trattati a tale scopo e che saranno trattati per poter dimostrare di aver adempiuto al dovere di riscontro gravante sul titolare.

Quindi sì, il silenzio è stato rotto, ma la situazione è immutata, se non addirittura peggiorata sotto il profilo comunicativo. Non ravviso alcun contenuto che risponda alle domande poste, che possa soddisfare l’esercizio del diritto di accesso ai dati, che assolva all’obbligo di comunicazione agli interessati coinvolti in un data breach.

Male, direi.

Forse sarebbe stato meglio inviare una promozione per esami diagnostici scontati o gli auguri di buone ferie: sarebbe stato un dileggio ma, per lo meno, non avrebbe aggiunto ulteriori violazioni ad una situazione già decisamente compromessa.

Synlab ha rotto le palle?

È una considerazione molto soggettiva, c’è chi ha una soglia del dolore abbastanza alta e esistono persino i masochisti. I gusti sono gusti.

Per quanto mi riguarda penso che sia stato superato il punto di non ritorno. 

Non si può fare la vittima e lamentare un elevatissimo numero di richieste, prenderlo come scusa per ritardare le risposte e poi, dopo cotanto impegnativo lavoro, inviare una comunicazione che non ha nulla di specifico… questo significa prendere per il culo la gente.

Dopo aver letto la risposta di Synlab, una persona di buonsenso e solida pazienza, a questo punto della vicenda, dovrebbe dire parole poco gradite al clero e inappropriate per una educanda svizzera.

Non penso che le sanzioni siano una soluzione e non amo le rappresaglie ma, di fronte a questo scempio e alla strafottenza dell’impunità, auspico un severo intervento da parte del Garante e farò quanto possibile per attivare e seguire da vicino il procedimento.

Dopo due domande aperte ad ogni possibile risposta, penso sia necessario fissare due evidenze fattuali:

1. Synlab ha rotto il patto sociale violando la legge.

Le norme e le leggi hanno una precisa funzione: regolano la nostra esistenza permettendoci di essere ragionevolmente sereni nelle attività quotidiane. Il barista non ci avvelenerà utilizzando caffè mischiato a rifiuti tossici, il bancario non si intascherà i soldi che intendiamo versare sul conto corrente, l’automobile in custodia dal meccanico non verrà utilizzata dal suo garzone per andare in vacanza, il dentista ci curerà al meglio della sua arte senza espiantare un organo per rivenderlo. 

Le regole non impediscono affatto comportamenti scorretti, ma li qualifica come illeciti e chi viola le norme diventa un criminale e, pertanto, può essere denunciato, giudicato e sanzionato.

Oltre all’aspetto punitivo, esistono anche conseguenze civiche: chi viola le norme e calpesta i diritti delle persone dovrebbe essere isolato ed evitato da tutti. Spetta a ciascuno di noi aprire gli occhi per fare le scelte più consapevoli ed informate.

Il tema è stato esplorato e mirabilmente sintetizzato da Kubrick in un famoso dialogo di Full Metal Jacket:

“If it wasn't for dickheads like you, there wouldn't be any thievery in this world, would there?”

“Sono le teste di cazzo come te che al mondo incrementano la razza dei ladri, è vero o no?”

2. Synlab ha rotto la fiducia.

Sbagliare è lecito, chiunque si può imbattere in un fornitore pettinato e patinato senza intravedere lo schifo sottostante. In questi casi il sacrificio di alcuni deve essere monito per tutti e ciascuno deve prenderne atto:  dopo che gli eventi hanno messo in luce il marcio, non è più possibile vivere spensierati perchè imbattersi nello stesso fornitore problematico diventa una scelta o addirittura una colpa. 

Oggi è necessario fare i conti con la realtà.

Per quanto mi riguarda, tutto ciò significa semplicemente depennare Synlab dalla lista dei miei possibili fornitori.

"There's no fate but what we make for ourselves"

Prosit

SEI UN PROFESSIONISTA?

SI FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere? bene... allora mi devi una birra.

NO Se sei arrivato fino a qui meriti un plauso. Complimenti! Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi: - Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone - Con una donazione. Questo aiuterà me.

👇 👇 Clicca qui 👇 👇

 

 

Pensieri d’estate: il tasto dolente.

Pensieri d’estate:  il tasto dolente.

Agosto è arrivato con il tipico sollievo che accompagna il termine di una grande fatica, dopo un inatteso pit stop causato dal Covid e la conseguente brusca interruzione della tournée estiva che, come di consueto, mi ha portato in giro per l’Italia e mi ha fatto incontrare migliaia di persone.

Questo è ciò che vedo se alzo gli occhi dal computer:

Ora respiro, attorno a me c’è silenzio, posso riprendere il filo dei miei pensieri e provare a metabolizzare i ricordi, le esperienze e le emozioni vissute e accumulate in modo alluvionale durante questo fantastico ”tourbillon de la vie”.

Mi immagino una montagna di sfere colorate, in stile Inside Out, e mi sorprendo del fatto che tra le tante ce ne sia una che ruzzola fuori dalla catasta in modo ricorrente, come se desiderasse essere presa in considerazione prima delle altre pur senza avere la pretesa di essere più importante.

Una mattina mi reco dal cliente per il consueto audit e per la formazione programmata. Inizio curiosando, giro, mi intrufolo, smanetto, sposto, apro, ispeziono, verifico e dialogo con tutti prendendo appunti. Noto un UPS che emette un breve fischio che si ripete, sempre uguale, ogni 4 secondi. Dopo pochi minuti già non ne potevo più di quel segnale.

Guardo meglio e vedo il display che riporta un guasto alla batteria. Poverino, sta facendo il suo mestiere, è fastidioso ma non è colpa sua, lo hanno progettato così.

Parlando con il personale scopro che quel fischio martirizza lavoratori e clienti da diversi mesi e che nessuno ha fatto nulla. Raccolgo preghiere di intercessione affinché venga mandato qualcuno a risolvere il problema del fischio che sta portando molte persone sull’orlo della disperazione.

Dopo mezz'ora di fischio metto da parte la mia terzietà e mi faccio coinvolgere, rimbocco le maniche e mi acquatto per vedere meglio… e premo un ammiccante pulsantino accanto al display. 

Silenzio.

Un silenzio assordante che si è fatto immediatamente notare e che ha portato tutti i presenti a curiosare increduli e verificare con mano l’atto di magia che ha sconfitto il mostro.

Dopo questa premessa verrebbe subito alla mente la storiella dell’ingegnere che fattura 2 € per aver girato una vite e altri 9.998 € per aver saputo quale vite girare, ma non è stato il mio primo pensiero. Tuttora non lo ritengo il centro della questione.

La situazione è ben più complessa e svela un piccolo mondo che possiamo trovare, identico, quasi ovunque, un problema comune alle aziende Zen.

 

It is not my job - Abbiamo lavoratori bravissimi nel loro mestiere, ma incapaci di gestire ciò che non li compete, timorati di ogni tecnologia al punto da evitare di leggere un display e premere un pulsante di tacitazione.

Zero security - Abbiamo un UPS non funzionante che, in caso di blackout, non farà il proprio lavoro, compromettendo i sistemi, i dati, la continuità operativa del lavoro.

Fire and forget - Abbiamo un’azienda, avvertita del guasto, che ha inviato un tecnico per risolvere la questione ma che non verifica né dà alcun seguito a questa iniziativa, forse fidandosi troppo dei propri collaboratori.

I'd like to help you with this but… - Abbiamo un tecnico incapace di vedere oltre il proprio compito, incurante delle implicazioni del fischio, del guasto dell’UPS e distaccato al punto tale da ritenersi soddisfatto dalla mera compilazione del rapporto di intervento.

System Failure - Abbiamo un sistema che non funziona, bloccato a causa della propria stessa rigidità e complessità e, come conseguenza, abbiamo malfunzionamenti, disagio, senso di approssimazione e trascuratezza.

Tutto ciò non sarebbe dovuto esistere, l’azienda ha speso soldi e risorse per evitare questo scenario ma il risultato è estremamente deludente.

Il mio estemporaneo passaggio ha risolto la parte più fastidiosa della vicenda, il fischio, ma non penso di aver apportato alcun effettivo miglioramento, anzi, forse ho peggiorato le cose. In assenza di quel logorante buzzer, si allontanerà ancora di più il momento della sostituzione dell’UPS e tutto ciò che può aver bisogno del suo fulmineo intervento rimarrà a lungo senza protezione.

Sono certo che nessun lavoratore si lamenterà dell’UPS guasto, anche perché non dà più alcun fastidio.

Il tecnico continuerà ad attendere con pazienza l’approvazione del preventivo di spesa che giace sotto una catasta di altre incombenze di più alto rango.

L’azienda proseguirà la propria attività confidando nel fatto che tutto funzioni alla perfezione, che i sistemi siano protetti, che la continuità operativa sia garantita, che i soldi stanziati per le manutenzioni siano stati un ottimo investimento.

L’azienda Zen, in salute, serena e focalizzata sul business. Secondo l’antica medicina cinese, un buon medico è tale se cura in modo da mantenere uno stato di benessere. La comparsa di una malattia attesta l’incapacità del medico.

Se l’azienda Zen applicherà questo principio, potremmo avere un problema di attribuzione delle responsabilità perché nessuno metterà in discussione il sistema nel suo complesso. Più probabilmente si cercherà il “medico” che non ha curato il sistema mentre era in salute, permettendo così che si verificasse la tragedia… 

In pratica, ci sarà un tecnico IT sul banco degli imputati, ma non è lui la persona da biasimare.

Il mio passaggio darà luogo ad una piccola relazione dai contenuti inattesi, ben diversa da ciò che si potrebbe attendere il lavoratore stressato dal fischio e certamente sarà un sollievo per il reparto IT. 

Non segnalerò né l'UPS rotto né il fastidioso buzzer, bensì un intero sistema che necessita un miglioramento radicale, un meccanismo inceppato che vanifica ogni sforzo e mortifica il risultato.

Da “It is not my job” si dovrà passare ad un senso di responsabilità collettiva: non è rilevante “chi avrebbe dovuto farlo” ma ciascuno si dovrà riconoscere tra le persone che avrebbero potuto fare la differenza.

Da “Zero security” si dovrà passare alla consapevolezza che l’intero sistema è resistente tanto quanto lo è il suo anello più debole. 

Da “Fire and forget” si dovrà passare ad un sistema che attribuisca e tracci i compiti, documenti ogni passaggio e permetta di ricostruire a posteriori con precisione ogni evento.

Da “I'd like to help you with this but…” si dovrà passare ad un sistema proattivo all’interno del quale ciascuno si senta un ingranaggio necessario ad un grande e complesso meccanismo.

Da “System Failure” si dovrà passare ad un sistema degno di questo nome.

Il tutto con una inconfessabile speranza: non vedere mai più un problema "risolto" con un cartello come questo.

Prosit.

SEI UN PROFESSIONISTA?

SI FANTASTICO! Fammi sapere come la pensi, il confronto è essenziale per migliorarsi. Se non hai tempo per farlo, rifletti su questo: il mio contributo ti ha aiutato? Ha evitato che facessi una sconfinata figura di merda con un cliente? Ti ha permesso di fare bella figura in una riunione? Ti ha agevolato nella stesura di un parere? bene... allora mi devi una birra.

NO Se sei arrivato fino a qui meriti un plauso. Complimenti! Se ti è piaciuto l'articolo, se ti ha dato spunti utili per la tua vita privata o professionale, prendi in considerazione l'idea di ringraziarmi e puoi farlo in due modi: - Condividendo il mio lavoro sui tuoi social. Questo aiuterà altre persone - Con una donazione. Questo aiuterà me.

👇 👇 Clicca qui 👇 👇