GDPR (Regolamento UE 2016/679) e Codice della privacy (D.Lgs. 2003/196 modificato dal D.Lgs. 2018/101)
Prima di poter stabilire quale livello di sicurezza sia adeguato per la tua attività, devi riesaminare i dati personali in tuo possesso e valutarne i rischi.
È necessario considerare tutte le procedure coinvolte durante la raccolta, l'archiviazione, l'utilizzo, la condivisione e l'eliminazione dei dati personali. Inoltre, considera quanto sono sensibili o riservati i dati e quali danni o preoccupazioni potrebbero essere causati agli interessati, oltre al danno reputazionale alla tua azienda, in caso di violazione della sicurezza.
Una volta compiuti i passaggi descritti nei punti precedenti è quindi possibile iniziare a scegliere le misure di sicurezza appropriate per le proprie esigenze.
Inoltre, nell'ambito di un approccio di protezione dei dati fin dalla progettazione (privacy by design), è necessario condurre una valutazione dell'impatto sulla protezione dei dati (DPIA) in circostanze specifiche per valutare i rischi per la privacy. È necessario effettuare una DPIA prima di iniziare qualsiasi tipo di trattamento che "rischia di comportare un rischio elevato". Ciò significa che, sebbene non abbia ancora valutato il livello effettivo di rischio, è necessario passare in rassegna quei fattori che presentano il potenziale per un impatto diffuso o grave sugli individui.
Una politica aziendale ti consentirà di affrontare i rischi per la sicurezza in modo coerente. Può far parte di una politica generale di gestione o essere incardinata in una politica autonoma supportata da azioni specifiche.
La tua politica aziendale dovrebbe definire chiaramente l'approccio alla sicurezza insieme alle responsabilità per la sua realizzazione e attuazione.
È necessario disporre di metodi per esaminare e approvare le politiche e le procedure prima di attuarle e di eseguire delle revisioni quando oppportuno.
È buona norma predisporre uno standard, che delinei la modalità concordata che tutte le politiche, procedure e documenti di orientamento devono seguire e comunicarlo ai dirigenti e al personale interessato.
È buona norma indicare una persona o un settore della propria attività con la responsabilità quotidiana per lo sviluppo, la realizzazione e il controllo della propria politica di sicurezza. Questi dovrebbe avere l'autorità e le risorse necessarie per adempiere a tale responsabilità in modo efficace. Per le organizzazioni più grandi, è comune nominare degli amministratori per la sicurezza e l'uso dei sistemi aziendali.
Senza una chiara responsabilizzazione per la sicurezza dei sistemi e dei processi specifici, la tua sicurezza complessiva non sarà gestita o coordinata correttamente e diventerà rapidamente inefficace e obsoleta.
Molte piccole aziende esternalizzano alcune o tutte le loro esigenze di trattamento dei dati a servizi esterni, incluso il cloud.
È necessario un contratto scritto, o altro atto legalmente valido, tra te (in qualità di titolare del trattamento) e il fornitore o responsabile del servizio. Tali contratti devono includere almeno alcune clausole specifiche, compresi gli standard di sicurezza. In qualità di titolare del trattamento, sei responsabile della conformità generale al GDPR e della dimostrazione di tale conformità. Tuttavia i responsabili del trattamento hanno alcune responsabilità e obblighi legali diretti. Devi essere sicuro che tutti i responsabili di cui ti avvali trattino i dati personali per tuo conto in modo sicuro, in linea con i requisiti del GDPR.
È necessario scegliere una terza parte, fornitore o responsabile del trattamento, che fornisca garanzie sufficienti sulle sue misure di sicurezza. Per assicurarti che dispongano di adeguati dispositivi di sicurezza potresti, ad esempio, riesaminare eventuali valutazioni di sicurezza elaborate da loro e, se del caso, visitare le loro sedi.
Il contratto con il responsabile del trattamento deve includere una clausola che lo obbliga a eliminare o restituire, secondo la tua volontà, tutti i dati personali che ha trattato per tuo conto. Il contratto deve inoltre garantire che elimini le copie esistenti dei dati personali a meno che la legislazione dell'UE o degli Stati membri non richieda che vengano archiviati.
Se si utilizza un fornitore di servizi o un responsabile del trattamento per cancellare i dati e smaltire o riciclare le apparecchiature ICT, assicurati che lo facciano in modo adeguato. Sarai ritenuto responsabile se i dati personali da te raccolti vengono estratti dalle tue vecchie apparecchiature e rivenduti.
È necessario informare tutto il personale delle proprie responsabilità in materia di sicurezza, compreso l'uso appropriato dei sistemi aziendali e delle apparecchiature ICT. Dovresti anche formare il tuo personale per riconoscere minacce comuni come e-mail di phishing e infezioni da malware e su come riconoscere e segnalare violazioni dei dati personali.
È necessario garantire che il personale con specifiche responsabilità di sicurezza o con accesso privilegiato ai sistemi aziendali sia adeguatamente formato e qualificato.
È necessario pianificare la formazione in modo che abbia luogo nel momento o immediatamente dopo la nomina, con aggiornamenti a intervalli regolari e ogni volta che sia necessario. Dovresti anche rafforzare la formazione usando metodi diversi, tra cui poster, intranet, circolari e riunioni.
Misure di sicurezza ben progettate non funzioneranno se il personale non conosce o non segue le politiche e le procedure aziendali. È necessario rendere tali politiche e procedure disponibili a tutto il personale utilizzando intranet, librerie fisiche e virtuali o tramite volantini e cartelloni.
È buona pratica far circolare le novità e qualsiasi aggiornamento tramite bollettini o newsletter.
Dovresti collocare adeguate protezioni agli ingressi che includano porte e serrature, e proteggere i locali con allarmi, illuminazione di sicurezza o videosorveglianza mediante TVCC. Dovresti anche controllare l'accesso all'interno dei locali e supervisionare i visitatori. È necessario collocare i server in una stanza separata e proteggerli con controlli aggiuntivi.
Tutto il personale deve bloccare gli archivi cartacei e i dispositivi informatici mobili quando non in uso. Inoltre, è necessario incoraggiare il personale a raccogliere prontamente documenti da stampanti, fax e fotocopiatrici e spegnere i dispositivi al di fuori dell'orario di lavoro. Preferibilmente sarebbe necessario realizzare una stampa sicura dei documenti.
Tutto il personale deve smaltire in modo sicuro i dati cartacei utilizzando un distruggi documenti. Se si utilizzano i servizi di terze parti per cancellare i dati e smaltire o riciclare i computer, devi assicurarti che lo facciano in modo adeguato. Potresti essere ritenuto responsabile se i dati personali da te raccolti vengono estratti dalle tue vecchie apparecchiature e rivenduti.
È importante gestire attivamente tutto l'hardware e il software utilizzato dall'azienda. Dovresti individuare e descrivere tutte le apparecchiature, i server e i dispositivi mobili per ufficio o domestici che si stanno utilizzando per elaborare o archiviare dati personali in un inventario o registro hardware appropriato. L'inventario delle risorse deve includere anche informazioni sul fatto che il dispositivo sia un dispositivo portatile o personale. Allo stesso modo, dovresti anche individuare e descrivere tutti i sistemi e le applicazioni che elaborano o archiviano i dati personali in un registro software appropriato che includa i dettagli sulla licenza del software, le ultime versioni distribuite e tutte le patch applicate.
Quindi, per ciascuna delle risorse identificate, è necessario assegnare la proprietà della risorsa e stabilire la categoria di sicurezza.
Dovresti individuare, descrivere e attuare le regole per l'uso accettabile di hardware o software, sistemi o applicazioni, che elaborano o archiviano dati.
Questi inventari ti aiuteranno a creare liste bianche di dispositivi, applicazioni e software approvati. Dovresti inoltre eseguire periodiche valutazioni del rischio degli inventari, o registri, delle risorse hardware e software e controlli fisici per garantire l'accuratezza dell'inventario delle risorse hardware.
Devi disporre di procedure per garantire che tutti i dipendenti (personale stabile e temporaneo) e gli addetti di terze parti restituiscano le risorse hardware al termine del loro rapporto di lavoro, contratto o accordo.
Il lavoro mobile può comportare la memorizzazione e il transito di dati personali al di fuori dei confini sicuri della tua attività. I dispositivi mobili, ad esempio laptop, notebook, tablet e smartphone sono vulnerabili a furti e smarrimenti e sussistono rischi di riservatezza quando si utilizzano dispositivi in luoghi pubblici.
Dovresti pertanto valutare i rischi del lavoro mobile, incluso il lavoro remoto in cui i dispositivi mobili possono connettersi alla rete aziendale, ed elaborare una politica che stabilisca le regole per l'autorizzazione e la gestione del lavoro mobile e domestico.
L'installazione predefinita delle apparecchiature ICT può includere vulnerabilità come account guest o amministrativi non necessari, password predefinite ben note agli aggressori e software preinstallato ma non necessario. Queste vulnerabilità possono offrire agli autori di attacchi l'opportunità di ottenere un accesso non autorizzato ai dati personali conservati nei sistemi aziendali.
Dovresti configurare in modo sicuro le apparecchiature ICT al momento dell'installazione. Mantenere un inventario delle apparecchiature ICT ti aiuterà a identificare e rimuovere hardware e software non necessari o non autorizzati.
I supporti rimovibili, ad esempio CD, DVD, unità USB, smartphone, sono altamente vulnerabili al furto o alla perdita e l'uso incontrollato può portare alla violazione dei dati.
Se è necessario archiviare i dati personali su supporti rimovibili, dovresti utilizzare una soluzione software in grado di impostare autorizzazioni o restrizioni sia per i singoli dispositivi che per intere categorie.
Dovresti ridurre al minimo e crittografare i dati personali.
La direzione dovrebbe autorizzare l'accesso ai sistemi che contengono dati personali e limitare le autorizzazioni dell'utente al minimo assoluto, cosiddetto privilegio minimo. Dovresti assegnare a ciascun utente il proprio nome utente e password per garantire la sua responsabilizzazione.
Le credenziali di accesso degli utenti, come nome utente e password, sono particolarmente utili per gli aggressori. Un attacco di forza bruta (brute force) alle password è una minaccia comune, quindi è necessario imporre password complesse e limitare il numero di tentativi di accesso non riusciti.
Dovresti facilitare e incoraggiare attivamente il personale a scegliere una password complessa.
È inoltre necessario verificare l'attività dell'utente per rilevare eventuali usi anomali.
Avere più password per sistemi diversi può essere difficile da ricordare per il personale, tuttavia è importante che le password non vengano annotate o registrate in posizioni o sistemi accessibili.
Dovresti disabilitare prontamente le password quando il personale cambia servizio o lascia la propria attività.
I computer possono essere infettati da malware, ad esempio virus, worm, trojan, spyware, tramite allegati e-mail, siti web e supporti rimovibili. Ciò può comportare la perdita o la corruzione dei dati personali.
Dovresti installare un software di protezione antimalware che esegue regolarmente la scansione della rete e dei computer per rilevare e prevenire le min threats. È necessario mantenere aggiornato il software e istruire il personale sulle minacce comuni.
Dovresti eseguire backup regolari per ripristinare i dati personali in caso di incidenti o guasti hardware. L'estensione e la frequenza dei backup dovrebbe riflettere la sensibilità e la riservatezza dei dati personali e quanto siano cruciali per l'operatività della tua azienda. In linea di principio è consigliabile conservare i backup in un luogo sicuro, lontano dai locali aziendali e testare periodicamente il ripristino dei dati personali per verificarne l'efficacia.
Il monitoraggio e la registrazione possono aiutare la tua azienda a rilevare e rispondere alle minacce esterne e a qualsiasi uso inappropriato delle risorse informative da parte del personale.
Dovresti controllare continuamente il traffico di rete in entrata e in uscita per identificare attività insolite, ad esempio massici trasferimenti di dati personali, o tendenze che potrebbero indicare un attacco. I tuoi sistemi dovrebbero essere in grado di registrare chi ha avuto accesso alle risorse contenenti dati personali in modo da poter eseguire un monitoraggio regolare per garantire che solo i membri del personale autorizzati hanno avuto accesso alle informazioni.
Il monitoraggio e la registrazione devono rispettare tutti i vincoli legali e normativi, inclusa la legislazione sulla protezione dei dati. Ad esempio, dovresti informare il personale di qualsiasi azione di controllo nei suoi confronti.
I prodotti software più diffusi contengono vulnerabilità tecniche che possono essere sfruttate dagli aggressori per ottenere l'accesso non autorizzato ai dati personali conservati nei tuoi sistemi.
Dovresti utilizzare le ultime versioni di sistemi operativi, browser per la navigazione web e applicazioni e assicurarti di aggiornarle periodicamente per prevenire lo sfruttamento di vulnerabilità a cui non si è posto rimedio.
Gli aggressori possono ottenere l'accesso non autorizzato ai dati personali se non si protegge il confine tra la propria rete di computer e internet.
Dovresti installare un firewall per monitorare e limitare il traffico di rete in base a un insieme di regole stabilito. Un firewall ben configurato è la tua prima linea di difesa contro gli attacchi esterni e può aiutare a prevenire la violazione dei dati, ad esempio bloccando malware o tentativi di hacking.
È inoltre necessario ridurre al minimo l'impatto delle violazioni dei dati segmentando e limitando l'accesso ai componenti di rete che contengono dati personali. Ad esempio, il server web deve essere separato dal server principale. Se il tuo sito web è compromesso, l'attaccante non avrà accesso diretto all'archivio dati centrale.
Il GDPR introduce l'obbligo per tutte le organizzazioni di segnalare determinati tipi di violazioni dei dati personali al Garante per la protezione dei dati personali e, in alcuni casi, agli interessati.
Una violazione dei dati personali indica una violazione della sicurezza accidentale o illegale che porti alla distruzione, perdita, alterazione, divulgazione o accesso non autorizzato ai dati personali.
Le violazioni dei dati personali possono derivare da un furto, un attacco ai tuoi sistemi, l'uso non autorizzato di dati personali da parte di un addetto o da perdita accidentale o guasto dell'apparato.
Devi assicurarti che il tuo personale comprenda cosa costituisce una violazione dei dati personali e che è ben oltre la semplice perdita di dati personali.
Devi assicurarti di disporre di una procedura interna di segnalazione delle violazioni. Ciò faciliterà il processo decisionale in merito alla necessità di informare il Garante per la protezione dei dati personali o gli interessati.
Devi notificare al Garante per la protezione dei dati personali una violazione dei dati personali a meno che non sia improbabile che possa comportare un rischio per i diritti e le libertà degli interessati.
Se non adeguatamente considerata è probabile che una simile violazione abbia un effetto dannoso rilevante sugli individui. Ad esempio discriminazioni, danni alla reputazione, perdite finanziarie, perdita di riservatezza o qualsiasi altro svantaggio economico o sociale significativo.
Devi valutare tutto questo caso per caso. Ad esempio, se è necessario informare il Garante in merito a una perdita dei dati di un cliente nel caso in cui la violazione lascia esposte le persone al furto di identità, la perdita o l'alterazione inappropriata di un elenco telefonico del personale non comporta di norma tale azione.
La notifica di violazione deve contenere:
Devi segnalare una violazione al Garante senza indebito ritardo, non oltre 72 ore dopo esserne venuto a conoscenza. Se impieghi più tempo devi motivare il ritardo. Potrebbe non essere sempre possibile indagare a fondo su una violazione entro tale periodo di tempo e pertanto è possibile fornire informazioni in più fasi.
Laddove è probabile che una violazione comporti un rischio elevato per i diritti e le libertà delle persone coinvolte, è necessario informare gli interessati direttamente e senza indebito ritardo.
È necessario descrivere, in un linguaggio chiaro e semplice, la natura della violazione dei dati personali e almeno:
Anche se non è necessario segnalare una violazione devi comunque tenerne traccia, compresi i dettagli, i suoi effetti e le azioni correttive intraprese. Questo fa parte del tuo obbligo generale di rispettare il principio di responsabilizzazione e consente di verificare la conformità della tua organizzazione agli obblighi di notifica ai sensi del GDPR.
Comunque si verifichi una violazione, è importante affrontarla in modo efficace e trarne insegnamento per il futuro. È necessario disporre di una procedura per esaminare quanto accaduto e attuare piani di recupero.
Se possibile è necessario monitorare il tipo, il volume e il costo degli incidenti per individuare le tendenze e aiutare a prevenire le recidive.
Ricorda che il risultato del test dipende dalle tue risposte alle domande che fanno riferimento ai diversi aspetti del trattamento dei dati personali. Serve pertanto a misurare la tua attenzione nei confronti dei diritti degli interessati e, anche se l'esito complessivo è positivo, ciò non significa che la tua attività sia realmente allineata alla norma.
Un mancato allineamento alle prescrizioni normative, anche solo per uno degli aspetti indagati nel corso del test, potrebbe comportare sanzioni. Per questo motivo è consigliabile prestare la massima attenzione ai punti sensibili individuati, per rimediare alle criticità emerse.
Domanda 1: Gestione del rischio
Domanda 2: Politica di sicurezza delle informazioni
Domanda 3: Responsabilità della sicurezza dei dati
Domanda 4: Esternalizzazione
Domanda 5: Formazione e consapevolezza
Domanda 1: Aree sicure
Domanda 2: Archiviazione sicura
Domanda 3: Smaltimento sicuro
Domanda 1: Gestione delle risorse
Domanda 2: Procedure di lavoro domestiche e mobili
Domanda 3: Configurazione sicura
Domanda 4: Supporti rimovibili
Domanda 5: Controlli di accesso dell'utente
Domanda 6: Sicurezza della password di sistema
Domanda 7: Protezione da malware
Domanda 8: Backup e ripristino
Domanda 9: Monitoraggio
Domanda 10: Gestione delle patch
Domanda 11: Firewall di perimetro
Domanda 1: Gestione degli incidenti
Domanda 2: Segnalazione violazioni
Domanda 3: Indagine sulle cause e mitigazione
Migliore esperienza per i tuoi clienti, meno grattacapi per la tua organizzazione.
Disponibile immediatamente in modalità desktop e web.