Da mesi, il GDPR (General Data Protection Regulation) è tra i temi più dibattuti in tema di Sicurezza informatica aziendale. È entrato infatti in vigore il 25 maggio 2018, in tutti i Paesi membri dell’Unione Europea, il Regolamento UE 2016/679, che disciplina il trattamento e la circolazione dei dati relativi le persone fisiche e giuridiche, ovvero sia i cittadini e le organizzazioni. L’obiettivo? Creare uno standard più semplice per il trattamento dei dati, regalare ai cittadini europei un senso di fiducia nelle nuove tecnologie e – soprattutto – sensibilizzare la aziende affinché riservino alla privacy la massima importanza in tema di Sicurezza informatica aziendale. Perché è proprio questo, che il GDPR prevede: la definizione dei limiti del trattamento automatizzato dei dati personali e la definizione dei parametri per il trasferimento degli stessi fuori dall’Europa, ma anche l’imposizione di rigide regole in caso quei dati venissero violati. Come adeguarsi al GDPR? Per farlo, le aziende devono nominare i loro titolari del trattamento dei dati, a cui spetterà il compito di comunicare al Garante le eventuali violazioni dei dati e di reagire ai data breach che le hanno consentite.
Disaster Recovery e Business Continuity nella sicurezza informatica aziendale
Ci sono però altri due concetti, a cui il GDPR viene spesso associato: il Disaster Recovery e la Business Continuity. Questo perché, il GDPR, ha come primario obiettivo per la sicurezza informatica aziendale la reazione in caso di violazione di sicurezza, illecita o accidentale, dei dati raccolti dall’azienda; e quindi in caso questi vengano persi, modificati o divulgati senza autorizzazione. La notifica di tale violazioni, secondo la nuova normativa, deve avvenire senza ingiustificato ritardo e, ove possibile, entro 72 ore dal momento in cui se ne è venuti a conoscenza. Ma non devono essere solamente notificate, le violazioni: devono anche essere affrontate, ed è qui che si inseriscono i concetti di Disaster Recovery e di Business Continuity. Se il primo indica le misure tecniche utili ad affrontare un eventuale disastro (dall’attacco hacker all’errore umano, dal furto alla catastrofe ambientale) che colpisca i sistemi informativi aziendali, il secondo termine raggruppa invece le procedure e i processi volti a garantire la continuità dell’azienda e ad evitare che questa interrompa la sua attività. Quando si parla dunque di come adeguarsi al GDPR, si parla anche delle procedure strategiche, tattiche e operative che l’azienda mette in atto qualora i suoi dati vengano violati, per riparare al danno e per non interrompere la sua attività.
Sicurezza informatica aziendale: come reagire al data breach
Come si previene e si gestisce la perdita o la distruzione dei dati personali? Adottando un protocollo di risposta, la cui validità venga verificata periodicamente, ottenendo una copertura assicurativa che risponda in caso di violazione, tenendo un registro dei data breach ed effettuando indagini che ne individuino la natura e la portata. È un concetto fondamentale, infatti, quello del protocollo di risposta. Un concetto che raggruppa tutte le procedure di sicurezza informatica aziendale da seguire per gestire e/o risolvere gli episodi di violazione, in collaborazione – a discrezione dell’azienda o dell’ente pubblico – con i call center, i sistemi di monitoraggio o di risoluzione dei casi di furto d’identità, e i servizi di assistenza. Un concetto che, nell’ambito del come adeguarsi al GDPR, riveste un’importanza primaria.
