La sicurezza dei dati personali e più in generale del patrimonio informativo dell’azienda, alla luce del GDPR, è un obiettivo al quale finalmente anche le PMI stanno guardando, come già fanno da tempo le più grandi organizzazioni.
Il Regolamento UE e i suoi evidenti effetti, non ultimo la maggiore notorietà dei data breach, hanno senz’altro contribuito ad accrescere la sensibilità su questo tema, accelerando un processo di consapevolezza che parte da lontano.
Indice degli argomenti
GDPR e sicurezza dei dati personali: l’analisi del rischio
La diffusione di tecnologie informatiche, non sempre gestite con la dovuta attenzione e competenza all’interno delle aziende e ancora di più nella sfera privata, fa il passo con l’aumento di vulnerabilità e di conseguenti rischi per i dati trattati.
Nella vita quotidiana sappiamo come proteggere i nostri beni: quali sono le cose che ci appartengono, quale è il loro valore e quali comportamenti adottare per difendere i nostri beni più preziosi.
Non si può dire la stessa cosa per i “beni” informatici, ma soprattutto per le informazioni memorizzate e trattate con i nostri dispositivi e applicativi software. Non è così semplice dare un valore alle informazioni che abbiamo memorizzate, al lavoro che abbiamo svolto per raccoglierle e di conseguenza valutare le conseguenze economiche – ma non solo – che deriverebbero da un danno su tale patrimonio.
È ormai chiaro che uno dei “must” del GDPR si chiama analisi del rischio. Non si pretende che all’interno delle PMI si adottino complicate metodiche di risk analysis degne di master post-universitari, ma una adeguata identificazione delle minacce e delle probabilità che queste si verifichino, è doverosa per tutti.
GDPR e sicurezza dei dati personali: identificazione degli asset
Il punto di partenza di una qualsiasi metodologia di analisi del rischio è l’identificazione dei propri asset. Se vogliamo stabilire il valore di un bene informatico e dei dati con esso gestiti, dobbiamo tener conto dei possibili danni diretti e indiretti e in questo modo stilare una classifica dei beni da proteggere secondo la loro criticità. Solo a questo punto saremmo pronti per decidere che tipo di protezioni adottare, così come indicato dall’articolo 32 del GDPR:
“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio”
Check list di controllo degli asset
Proponiamo per questo una semplice check list di controllo dell’hardware e software presenti nella propria organizzazione, e delle loro configurazioni in ottica di adeguate misure di sicurezza.
Asset hardware
- Protezione fisica:
- presenza di CED o sala server;
- locale chiuso;
- collocazione idonea;
- modalità di accesso;
- misure antincendio;
- misure anti intrusione;
- misure anti allagamento;
- continuità alimentazione elettrica;
- sistemi di allarme e relative notifiche;
- fornitori esterni coinvolti, componenti ridondanti.
- Componenti di rete:
- tipologia rete locale;
- tipologia rete geografica;
- descrizione infrastrutture utilizzate per la gestione delle trasmissioni Internet/Intranet dell’organizzazione e le comunicazioni di posta elettronica;
- configurazioni VPN;
- certificati digitali;
- crittografia delle comunicazioni.
- Protezione perimetrale:
- presenza di firewall;
- tipologia;
- caratteristiche;
- numero apparati e relative configurazioni;
- gestione interna o in outsourcing.
- Protezione della navigazione:
- presenza di proxy;
- gestione del traffico;
- regole di navigazione;
- web filtering;
- navigazione differenziata per gruppi di utenti;
- gestione log di navigazione.
- Apparati di comunicazione:
- numero e tipologia di cellulari aziendali;
- centralino analogico;
- centralino virtuale o PBX;
- VoIP;
- Cloud Voice;
- sistemi di videoconferenza;
- dispositivi non aziendali;
- sistemi MDM;
- policy BYOD.
- Componenti server:
- numero e tipologia server (fisici, virtuali, marca, modello, anno di installazione);
- funzione del server (es. Domain Controller, File Server, Console Antivirus, Application Server ecc.);
- sistema operativo installato;
- tipologia di manutenzione hardware (tempi di intervento, accessi remoti ecc.);
- utenze amministrative;
- gestione log accesso.
- Componenti client:
- numero e tipologia di client (fissi e portatili);
- configurazione media delle macchine a livello di sistema operativo e software;
- frequenza di aggiornamento dei sistemi operativi;
- configurazione utente (administrator, super user, user);
- dispositivi collegati e collegabili;
- tipologia di manutenzione hardware.
- Stampanti, scanner e altri apparati condivisi:
- numero e tipologia;
- modalità di gestione;
- controllo delle stampe;
- sistemi di holding della stampa;
- tipologia di manutenzione hardware.
Asset software
- OS & dominio:
- configurazione MS Active Directory;
- gestione profili utenti e gruppi;
- profili di accesso differenziati a risorse di rete;
- password policy;
- altre policy di dominio (es. screen saver a tempo);
- cessazione utenti;
- modalità patching e aggiornamenti.
- Applicativi gestionali (ERP, CRM, Payroll & HR):
- produttore;
- nome e versione;
- tipologia di installazione (client/server, SaaS ecc.);
- tipologia di manutenzione;
- supporto da remoto;
- profili utente differenziati;
- processi di creazione e assegnazione profili;
- password policy;
- cessazione utenti;
- modalità patching e aggiornamenti.
Servizi
- Posta elettronica:
- presenza di un Mail Server (interno o esterno) oppure servizio SaaS o cloud;
- tipologia di client utilizzato;
- tipologia caselle (POP, IMAP, Exchange ecc.);
- indirizzi di funzione o personali;
- funzioni di antivirus, antispam e content filtering sulla posta;
- password policy;
- funzioni di Data Loss Prevention o archiviazione sicura.
- Intranet/Extranet:
- presenza di applicazioni Intra/Extranet;
- modalità di accesso;
- scopo dell’utilizzo;
- persone che possono utilizzarli.
- Antivirus, Anti malware, Endpoint security:
- tipo di software;
- versione;
- gestione download e installazione aggiornamenti;
- frequenza degli aggiornamenti;
- utilizzo di funzioni antispam;
- gestione scansioni.
- Backup:
- strumenti per il backup (es. server dedicato, NAS, altri apparati);
- software utilizzato;
- notifiche sull’esito;
- frequenza del backup;
- tipo di backup (totale, differenziale o incrementale);
- retention dei dati;
- oggetto del backup (DB, cartelle dati, configurazioni);
- luogo conservazione supporti esterni se presenti;
- test sull’integrità dei supporti;
- ciclo di riutilizzo dei supporti;
- test di ripristino;
- procedure di Disaster Recovery o Business Continuity;
- controlli e test effettuati;
- eventuali norme ISO e certificazioni di riferimento.
- Sito Internet:
- gestione interna o esterna (ISP);
- owner inserimento contenuti;
- responsabilità degli aggiornamenti;
- cookie policy.
- SysLog:
- gestione e registrazione dei log degli amministratori;
- forma, tempi e luogo di conservazione;
- reportistica, autorizzazioni all’accesso.
GDPR e sicurezza dei dati: considerazioni finali
Un’attenta analisi degli asset presenti nell’organizzazione e delle relative misure di sicurezza (presenti e mancanti), unita ad una esaustiva rilevazione dei dati personali trattati (registro dei trattamenti), costituirà una buona base per rilevare il livello di rischio.
È importante ricordare che ai sensi del GDPR vanno presi in considerazione i rischi per i diritti e le libertà delle persone fisiche e non quelli per il business aziendale o la sicurezza in generale delle informazioni, che va comunque considerata in un’ottica di sistema di gestione integrato del quale la data protection fa sicuramente parte.
