Il Regolamento UE 2016/679 (GDPR) richiede la modifica delle procedure attualmente adottate dalle imprese nel trattamento dei dati personali.
In particolare, gli articoli 25 e 32 del Regolamento stabiliscono le modalità con le quali i titolari del trattamento devono:
- adempiere ai propri obblighi nei confronti degli interessati, introducendo anche nuovi obblighi;
- adottare incombenti organizzativi, introducendone anche di nuovi.
L’adeguamento agli articoli suddetti impone di intervenire su aspetti tecnici e organizzativi.
In particolare, gli interventi richiedono:
- competenze nel settore delle tecnologie informatiche;
- uso di prodotti per la protezione e classificazione dei dati;
- verifica statica e dinamica delle vulnerabilità del software;
- verifica delle compliance del software libero;
- revisione delle procedure organizzative.
Le competenze sono necessarie per dare una risposta concreta ai requisiti richiesti dalle norme del Regolamento Generale sulla Protezione dei Dati ed in particolare ai seguenti aspetti:
- protezione dei dati fin dalla progettazione (art. 25);
- data loss e leak prevention (DLP) sia per le funzioni sia per le modalità (artt. 25 e 32);
- application security (art. 25);
- sicurezza del trattamento dei dati (art. 32 commi 1 e 2).
Indice degli argomenti
GDPR e sicurezza del trattamento: attività per l’adeguamento
Per facilitare le interpretazioni di ciò che la legge richiede, di seguito sono rappresentati, in uno schema su due colonne, a sinistra gli articoli di legge, a destra la traduzione in linguaggio informatico.
Schema di traduzione della legge in linguaggio informatico.
Volendo descrivere quanto rappresentato nella figura precedente, possiamo iniziare a delineare un percorso di attività per affrontare un progetto organico.
Valutare l’adeguatezza in fase di progettazione (art. 25)
Occorre eseguire una verifica:
- degli strumenti di sviluppo e di collaudo del software;
- dei sistemi di protezione, cifratura e mascheratura dei dati.
Sovente le attività di collaudo del software utilizzano dati copiati dall’ambiente di esercizio della produzione senza che questi siano stati oggetto di mascheratura per differenziare l’interessato.
Determinare i mezzi del trattamento in fase di sviluppo e di esercizio (art. 25 e 32)
I mezzi del trattamento sono i programmi software che devono essere sviluppati secondo criteri di qualità; questi si identificano con:
- istruzioni non vulnerabili;
- procedure per i test logici e fisici sia dell’uso dei dati sia delle debolezze del software (ad esempio: non alterazione dei dati, cancellazione involontaria, ecc.).
Per verificare e valutare regolarmente l’efficacia delle misure tecniche ed organizzative sia nel ciclo di vita di sviluppo del software sia durante il regolare svolgimento in un ambiente di esercizio, sarebbe opportuno utilizzare strumenti che permettano:
- la riduzione o annullamento della vulnerabilità delle istruzioni software in fase di sviluppo con strumenti di:
- analisi statica (Static Application Security Testing);
- test dinamico (Dynamic Application Security Testing);
- test PT (Penetration Testing);
- test interattivo (Interactive Application Security Testing);
- la riduzione o annullamento della vulnerabilità delle istruzioni software in fase di esercizio con strumenti di:
- protezione runtime (Runtime Application Self Protection);
- protezione del Web (Web Application Firewall);
- il controllo degli accessi e dei profili delle utenze con strumenti di:
- identificazione e controllo degli accessi;
- raccolta e classificazione dei dati (impostazione predefinita);
- l’analisi dei log e di monitoraggio.
Acquisire strumenti per la sicurezza dei dati
Tali strumenti permettono di mettere in pratica la pseudonimizzazione, la minimizzazione e la cifratura dei dati (art. 32);
Gestire la disponibilità del dato (art. 32)
Procedure e programmi di backup e restore; strumenti di analisi dei log e di monitoraggio di gestione dei dati e delle reti e della corretta affidabilità dei programmi (art. 32).
Gestire la Resilienza dei sistemi software, hardware e servizi di trattamento (art. 32)
Procedure e programmi di backup e restore, strumenti di analisi dei log e di monitoraggio dei sistemi di ripartenza o recovery.
Analisi dei processi DLP sia per le funzioni logiche sia per le modalità
A questo punto, è necessario svolgere l’attività di analisi per alcune famiglie di rischi cui i dati possono essere soggetti.
Dal comma 2 dell’articolo 32 del regolamento:
“Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione (loss), dalla perdita (loss), dalla modifica (loss), dalla divulgazione (leak; estrusione) non autorizzata o dall’accesso (leak; intrusione), in modo accidentale o illegale, a dati personali trasmessi (in movimento), conservati (a riposo) o comunque trattati (in uso)”
è possibile derivare i punti focali che la legge stabilisce ai fini di un’analisi attenta dei rischi; in particolare si possono stabilire gli aspetti tecnici da prendere in considerazione durante uno specifico trattamento.
Nel testo sono stati evidenziati i punti focali e accanto ad essi, fra parentesi, la correlazione con l’insieme delle tecniche per la gestione della sicurezza informatica dei dati; tale tecnica è definita DLP (Data Loss Prevention).
Il DLP, pertanto, identifica una serie di attività, tecniche e tipologie di prodotti che si traducono in trattamenti necessari a tutelare il dato e ad assicurarne l’uso corretto.
Le principali attività appartenenti al processo di gestione della sicurezza si possono ricondurre a:
- rilevamento perdita di informazioni e prevenzione (ILDP);
- prevenzione perdita di informazioni (ILP);
- monitoraggio dei contenuti e filtraggio (CMF);
- protezione delle informazioni e controllo (IPC);
- sistema di prevenzione di estrusione (EPS);
- sistema di prevenzione delle intrusioni (IPS).
Il rilevamento è un’attività, svolta attraverso l’uso di prodotti, che permette di individuare anomalie in tutto il sistema informatico; tali evidenze si riferiscono alla continuità del servizio (mancanza di corrente elettrica, guasti hardware, interruzioni della rete, mancanza di raffrescamento delle sale tecnologiche, ecc.), alle azioni intrusive o estrusive non autorizzate, malfunzionamenti software o trattamenti, azioni non corrette sui dati (in uso o a riposo).
La prevenzione (punti 2, 5 e 6) ha lo scopo di assicurare che non siano trasmesse (in movimento) informazioni personali o aziendali senza autorizzazione. Inoltre, rientrano al suo interno anche le tecnologie per il controllo del contenuto dei messaggi compresi gli allegati, allo scopo di bloccare anche l’intrusione di virus.
Quindi è possibile semplificare il suddetto elenco in questo modo:
Processo di Monitoraggio
Include:
- le attività di analisi delle segnalazioni che provengono dal rilevamento;
- i sistemi di prevenzione di intrusione, di estrusione e della continuità del servizio;
- i sistemi di protezione ovvero di gestione della sicurezza degli accessi perimetrali e interni e di trattamento dei dati.
Tra i prodotti software per il DLP è importante considerare quei prodotti che classificano i dati in base alle regole di business; tale classificazione impone una profilazione degli accessi in funzione del grado di riservatezza e della criticità, impedendo accessi non autorizzati e coerenza con le politiche di Business Continuity e Disaster Recovery (salvataggio e ripristino dei dati).
Ciclo di vita del trattamento dei dati
Se in precedenza è stato descritto un percorso di attività per affrontare un progetto organico, adesso è necessario tradurre in uno schema i punti caratteristici degli articoli di legge, descrivendo un iter attraverso cui una pratica deve passare per essere considerata conforme.
La finalità di questa pratica è di fatto un ciclo di vita, opportunamente organizzato in fasi temporali, che esaurientemente facilita l’adeguamento al Regolamento del sistema di gestione dei dati all’interno di una organizzazione.
Tale ciclo racchiude l’analisi e la definizione di processi, azioni e modalità del trattamento dei dati.
I dati devono essere oggetto dei seguenti processi:
- classificazione;
- protezione;
- monitoraggio.
In dati personali possono subire in maniera accidentale o illegale le seguenti azioni:
- distruzione (loss);
- perdita (loss);
- modifica (loss);
- divulgazione (leak; estrusione) non autorizzata verso l’esterno dell’azienda;
- accesso (leak; intrusione) non autorizzata;
durante le seguenti modalità:
- trasmissione (in movimento);
- conservazione (a riposo);
- trattamento (in uso).
Processi e modalità di trattamento dei dati
In sintesi, di seguito si forniscono due elenchi riassuntivi dei processi e delle modalità.
Elenco dei macro processi DLP
- definizione delle policy aziendali per il rischio Loss (Perdita) e Leak (Furto) partendo dalla progettazione iniziale;
- valutazione degli aspetti organizzativi (ruoli, personale, mansioni);
- identificazione dei dati aziendali all’interno di storage di rete (SAN/NAS, file server) database, e endpoint (workstation, laptop);
- classificazione dei dati;
- definizione dei requisiti di memorizzazione e salvataggio (backup, ecc.) di tutti i dati;
- prevenzione perdita di informazioni (ILP);
- protezione delle informazioni e controllo (IPC);
- change management del software;
- controllo e monitoraggio dei contenuti e Filtraggio (CMF);
- rilevamento perdita di informazioni e prevenzione (ILDP);
- sistema di prevenzione delle estrusioni (EPS) e intrusioni (IPS);
- rapporti sugli incidenti.
Elenco dei tipi di sistemi DLP
- network DLP (dati in movimento);
- endpoint DLP (dati in uso);
- identificazione dei dati;
- rilevamento fuga di dati (Leak);
- dati a riposo;
- dati in uso;
- dati in movimento.
GDPR e sicurezza del trattamento: valutare l’adeguatezza degli strumenti e dei sistemi
Al fine di ottenere un quadro complessivo dello stato in cui si trova l’intero sistema informatico, è opportuno compilare una tabella, simile a quella suggerita nell’immagine sottostante, allo scopo di verificare l’esistenza di lacune all’interno dell’organizzazione ovvero se non sono presenti strumenti preposti a soddisfare lo specifico requisito richiesto dall’articolo di legge.
Uno schema di tabella utile per verificare l’esistenza di lacune all’interno dell’organizzazione in merito alla sicurezza del trattamento dati.
A scopo informativo, si riportano di seguito le indicazioni del Regolamento di esecuzione (UE) 2018/151 della Commissione del 30 gennaio 2018 per fornire una traccia utilizzabile ai fini del calcolo del rischio:
| Dal comma 1: Elementi per la sicurezza delle reti e dei sistemi informativi e del loro ambiente fisico |
| mappatura dei sistemi informativi e la definizione di una serie di politiche adeguate in materia di gestione della sicurezza informatica, comprese l’analisi dei rischi, le risorse umane, la sicurezza delle operazioni, l’architettura di sicurezza, la gestione del ciclo di vita dei dati e dei sistemi protetti e, se del caso, la crittografia e la sua gestione; |
| disponibilità di una serie di misure volte a proteggere le reti e i sistemi informativi dei fornitori di servizi digitali dai danni attraverso il ricorso a un approccio globale ai pericoli basato sui rischi, che affronti ad esempio gli errori di sistema, gli errori umani, gli atti dolosi o i fenomeni naturali; |
| definizione e mantenimento di politiche adeguate al fine di assicurare l’accessibilità e, se del caso, la tracciabilità delle forniture critiche utilizzate nella prestazione dei servizi; |
| disponibilità di una serie di misure volte ad assicurare che l’accesso fisico e logico alle reti e ai sistemi informativi, ivi inclusa la sicurezza amministrativa di tali reti e sistemi, sia autorizzato e limitato sulla base di esigenze aziendali e di sicurezza. |
| Dal comma 2: Per quanto riguarda il trattamento degli incidenti, le misure adottate dal fornitore di servizi digitali comprendono |
| il mantenimento e la prova di processi e procedure di individuazione per assicurare l’individuazione tempestiva e idonea degli eventi anomali; |
| i processi e le politiche per la segnalazione degli incidenti e l’individuazione delle debolezze e vulnerabilità nei propri sistemi informativi; |
| una risposta conforme alle procedure stabilite e la comunicazione dei risultati ottenuti con la misura adottata; |
| la valutazione della gravità dell’incidente, la documentazione delle conoscenze acquisite grazie all’analisi dell’incidente e la raccolta di informazioni pertinenti da utilizzare eventualmente come prova e per sostenere un processo di costante miglioramento. |
| Dal comma 3: La gestione della continuità operativa è la capacità di un’organizzazione di mantenere o, se del caso, ripristinare l’erogazione di servizi a livelli predefiniti accettabili in seguito a un incidente perturbatore e comprende |
| la definizione e l’uso di piani di emergenza basati sull’analisi dell’impatto sulle attività aziendali volti a garantire la continuità dei servizi erogati dai fornitori di servizi digitali e valutati e testati regolarmente, ad esempio mediante esercitazioni; |
| la capacità di ripristino di emergenza, valutata e testata regolarmente, ad esempio mediante esercitazioni. |
| Dal comma 4: Il monitoraggio, l’audit e i test comprendono la definizione e il mantenimento di politiche relative |
| alla conduzione di una sequenza pianificata di osservazioni o misurazioni per valutare se le reti e i sistemi informativi funzionano come previsto; |
| all’ispezione e alla verifica per controllare se una norma o una serie di orientamenti sono applicati, se le registrazioni sono accurate e se gli obiettivi di efficienza ed efficacia sono raggiunti; |
| a un processo finalizzato a rivelare i difetti dei meccanismi di sicurezza di una rete o di un sistema informativo che proteggono i dati e mantengono la funzionalità prevista. Tale processo comprende i processi tecnici e il personale coinvolto nel flusso di operazioni. |
| Dal comma 5: I fornitori di servizi digitali provvedono a rendere disponibile la documentazione adeguata per consentire all’autorità competente di verificare la conformità con gli elementi di sicurezza di cui ai paragrafi 1, 2, 3, 4 e 5 |
