Il Data protection day, celebrato sabato 28 gennaio, porta a riflettere sul tema della tutela dei dati su due fronti. Da un lato è importante ricordare come proteggere i dati personali sia un mezzo per difendere la libertà, la democrazia e la dignità delle persone. Dall’altro, non va trascurato l’aspetto puramente pratico e cioè come si fa in concreto la protezione dei dati.
Un tema prioritario per le aziende di ogni dimensione, in quanto oltre alla necessità di adeguarsi alla normativa di settore, rappresentata in primis dal GDPR, permette anche di prevenire situazioni di potenziale rischio per la propria organizzazione.
Gli effetti della sottrazione dei dati da parte di cyber criminali, ad esempio, sono evidentemente rilevanti sul fronte economico, ma anche reputazionale, e se è chiara l’impossibilità di evitare a priori incidenti di sicurezza, è altrettanto rilevante quanto un’adeguata prevenzione attraverso le giuste misure di protezione in compliance alle norme sia l’arma più efficace. Capire da dove iniziare, quali sono gli aspetti più importanti e le soluzioni da implementare, è complesso: ecco qualche consiglio da alcune realtà che si occupano di questo ogni giorno. Un vademecum utile per individuare gli step di protezione da adottare.
Indice degli argomenti
Adotta un’efficace strategia dei dati
Studiare e implementare una strategia resiliente dei dati permette alle aziende di gestire le informazioni applicando il principio della privacy by design e di conseguenza adottando misure tecniche e organizzative volte alla tutela dei dati. Ricordiamo che privacy by design significa prevedere gli aspetti legati alla protezione dei dati sin dalla progettazione di un processo ed è un concetto espresso chiaramente dalla normativa, all’articolo 25 del GDPR,
Secondo la società di software statunitense Cloudera, è utile seguire quattro passaggi per adottare un’efficace approccio strategico. Spiega in una nota ufficiale l’azienda che il primo passo è “Definire una strategia dei dati, classificarli e documentare il loro utilizzo”, cui segue la valutazione della strategia “per verificare la conformità alle normative sulla privacy”. In seguito è importante “adattare l’architettura dei dati per garantire il supporto per casi d’uso nuovi ed esistenti” e infine “Implementare la strategia dei dati su una piattaforma aziendale, in modo che possano essere gestiti in modo coerente da un unico luogo”.
Su quest’ultimo punto, anche OpenText ritiene che “uno dei principali problemi relativi ai dati personali è che si trovano spesso distribuiti su archivi diversi, gestiti da singole business unit e isolati dal resto dell’azienda: tale organizzazione delle informazioni a silos, non connessi con i sistemi aziendali, rende difficile implementare una strategia di governance integrata”, aspetto che invece deve essere prioritario. Infatti, la mancanza di integrazione comporta anche che le aziende non sappiano “quali e quanti dati personali siano in loro possesso, poiché anni e anni di dati vengono archiviati in ambienti diversi e non gestiti”.
Classificare i dati: il ruolo dell’intelligenza artificiale
Per far fronte a queste situazioni, OpenText suggerisce di adottare soluzioni di Information Governance che permettono di tracciare e archiviare i dati, oltre a sistemi di AI e machine learning per individuare possibili rischi e aumentare i livelli di protezione e di migliorare la compliance.
La società di sicurezza cloud ZScaler in un comunicato sottolinea l’importanza della classificazione dei dati a fini di protezione. Il primo passo per compiere questo processo “consiste nel decidere quali dati sono o non sono privati, in modo da poterli classificare. I dati contrassegnati come privati o pubblici, ad esempio, possono essere filtrati da un chatbot opportunamente addestrato prima di essere elaborati”. La priorità per le aziende dunque per la società “è stabilire quali dati raccogliere e conservare nei propri sistemi e come utilizzarli e proteggerli. La classificazione dei dati dovrebbe avere la massima priorità come base per un uso sensato e responsabile delle possibilità offerte dall’intelligenza artificiale. Solo quando i dati sono adeguatamente categorizzati, l’intelligenza artificiale sarà in grado di segmentarli correttamente”.
Resilienza e saggio uso del backup
Non bisogna scordare di adottare un’adeguata strategia di resilienza. In una nota OpenText sottolinea che la resilienza informatica dovrebbe entrare nella cultura aziendale “non solo tramite l’implementazione di framework che prevedano una solida protezione multi-layer, ma anche grazie a un approccio che metta l’organizzazione nelle condizioni di ripristinare le proprie attività nel caso gli attacchi informatici abbiano avuto successo”.
Un utile strumento per essere resilienti e procedere al ripristino delle attività è il backup. Il provider di memoria Kingston technology in una nota ufficiale dedicata al data protection day ha stilato il vademecum del backup ideale, riassumibile in questi punti:
- Primo step, pianificare su che cosa si desidera fare il backup
- Va bene fare il backup sul cloud, ma non dovrebbe essere l’unica soluzione: scegliere il dispositivo esterno più adatto alle proprie necessità
- Automatizzare il backup impostando la frequenza con cui si gradisce che venga effettuato
- Utile anche differenziare: tre copie dei file in due dispositivi diversi di cui uno custodito in un luogo sicuro.
Analytics per l’accesso sicuro e controllato ai dati
Al di là dell’impostazione dei classici livelli di accesso e relativi controllo, è importante sapere che le analytics possono supportare la compliance aziendale in materia di data protection. Adam Mayer, director di Qlik che si occupa di business intelligence, ha spiegato in una nota che “I programmi di analytics possono aiutare i team IT a visualizzare chi ha accesso a quali informazioni e se queste sono effettivamente rilevanti per il loro ruolo. Ad esempio, è possibile riunire set di dati eterogenei sugli accessi degli utenti e liste HR di chi ha lasciato il lavoro, verificare chi ha iniziato un determinato task e chi lo ha invece modificato, garantendo così che le persone non detengano l’accesso a informazioni non più appropriate per il loro ruolo. Questo aiuta le aziende a introdurre una vera e propria intelligenza nella gestione della privacy dei dati, riducendo il rischio di errore umano e snellendo i processi di gestione per i team IT”.
