Maturity models per misurare la postura aziendale sulla privacy: cosa sono, come applicarli

Il panel “Etica e Responsabilità d’Impresa nella governance dei dati nell’era digitale”, tenutosi durante la Privacy Symposium Conference 2024, è stata l’occasione per chi scrive di lanciare la proposta di analizzare quali possono essere gli strumenti più adatti che possono essere messi in atto per dar vita a un comportamento etico per la governance dei dati da parte di un’impresa che si occupa dello sviluppo di soluzioni software e/o hardware.

Tra i vari strumenti considerati, è stata l’occasione di introdurre l’utilizzo dei maturity models (o modelli di maturità) per misurare la posture e i KPIs di una tale organizzazione relativamente alle attività di privacy e data protection.

Vediamo più in dettaglio di cosa si tratta.

Cosa sono i Modelli di Maturità

I modelli di maturità (o “maturity models”) non costituiscono una novità e da tempo si applicano ai più diversi settori come processi interni, marketing, e cyber security.

Se la maturità viene definita come “lo stato di essere perfetto, completo o pronto” che viene raggiunta attraverso un progresso evolutivo da uno stadio iniziale a uno finale (secondo la definizione classica di Caralli et al., “Maturity Models 101: A Primer for Applying Maturity Models to Smart Grid Security, Resilience, and Interoperability”, Carnegie Mellon University, Software Engineering Institute, Pittsburgh), un modello di maturità è “un insieme di caratteristiche, attributi, indicatori o modelli che rappresentano il progresso in un particolare dominio o disciplina”.

Il loro scopo è aiutare le organizzazioni a valutare e confrontare le proprie pratiche, processi e metodi rispetto a un chiaro insieme di standard o best practices di un determinato dominio o disciplina.

In questo modo, le organizzazioni possono applicare tali modelli per definire il loro attuale livello di maturità e determinare poi il percorso di miglioramento che desiderano raggiungere.

Un modello di maturità rappresenta pertanto un percorso evolutivo suddiviso in una sequenza discreta di livelli di maturità. Il concetto di misurazione della maturità è stato pubblicato dal Software Engineering Institute (SEI) – Carnegie Mellon con l’introduzione del Capability Maturity Model (CMM), e da allora sono stati creati molti modelli di maturità per i più disparati domini.

Il GDPR e i modelli di maturità privacy

Uno degli aspetti che caratterizza l’attuale normativa europea in materia di tutela dei dati personali (o GDPR) è rappresentato dall’attribuzione, in capo al titolare del trattamento, del compito di considerare i rischi derivanti dalle attività di trattamento dei dati personali e, se del caso, applicare le necessarie mitigazioni.

Sono numerosi nel GDPR i riferimenti al rischio e alla gestione del rischio:

1. i considerando 75 e 76 che forniscono indicazioni sui diritti e libertà delle persone fisiche;
2. l’articolo 24, dove in merito alla “responsabilità del titolare del trattamento” evidenzia tra le altre cose come egli debba individuare, valutare e gestire i rischi implementando misure per il contenimento di tali rischi;
3. l’articolo 25, “Protezione dei dati fin dalla progettazione e protezione dei dati per impostazione predefinita” e spesso identificato con il termine “Privacy by Design e by Default”, dove si richiede al titolare del trattamento che la protezione dei dati venga considerata fin dalla progettazione del trattamento, tenendo conto anche dei rischi aventi probabilità e gravità diverse;
4. l’articolo 32, “Sicurezza del Trattamento”, dove tra gli obblighi in capo al titolare e al responsabile del trattamento vi è anche quello di garantire un livello di sicurezza adeguato al rischio;
5. l’articolo 35, “Valutazione d’impatto sulla protezione dei dati”, che richiede al titolare del trattamento l’obbligo di valutazione di impatto, da realizzare secondo una procedura formalizzata qualora, al termine della valutazione del rischio, si riscontri che il trattamento continui a presentare un rischio elevato.

Diventa, quindi, un obbligo per ogni organizzazione dotarsi di un processo continuo di analisi e monitoraggio strutturato in fasi e attività, finalizzato a porre i dati personali al riparo dai rischi di perdita di riservatezza, integrità e disponibilità.

Ecco che, allora, i modelli di maturità si rivelano utili se applicati nel contesto della privacy e della protezione dei dati perché non solo permettono di monitorare l’andamento delle metodologie di compliance di un’organizzazione, ma anche di identificare le aree in cui è possibile migliorare e che richiedono investimenti specifici.

Sono, inoltre, facilmente scalabili poiché solitamente il target, ovvero il livello di maturità che si vuole raggiungere, viene definito sulla base delle caratteristiche e delle aspettative dell’organizzazione stessa.

Come sappiamo, infatti, il rischio, che per sua definizione rappresenta il prodotto tra Impatto e Probabilità, viene solitamente percepito in maniera diversa in base al contesto e all’attività dell’organizzazione stessa.

I principali modelli di maturità applicati alla privacy

Il modello di maturità forse oggi più noto è l’ AICPA/CICA Privacy Maturity Model, sviluppato dall’ American Institute of Certified Public Accountants (AICPA) e dal Canadian Institute of Chartered Accountants (CICA) nel 2011 e basato sui General Accepted Privacy Principles (GAPP).

I GAPP traducono concetti complessi di privacy in obiettivi all’interno di 10 differenti principi – Management, Notice, Choice and consent, Collection, Use, retention and disposal, Access, Disclosure to third parties. Security for privacy, Quality, Monitoring and enforcement.

Ciascun principio è supportato da 73 criteri oggettivi e misurabili che costituiscono la base per una gestione efficace del rischio e della conformità alla privacy.

Il modello identifica cinque diversi livelli di maturità:

1. Ad hoc: le procedure o i processi sono generalmente informali, incompleti e applicati in modo incoerente.
2. Repeatable: esistono procedure o processi; tuttavia, non sono completamente documentati e non coprono tutti gli aspetti rilevanti.
3. Defined: procedure e processi sono completamente documentati e implementati e coprono tutti gli aspetti rilevanti.
4. Managed: vengono condotte revisioni per valutare l’efficacia dei controlli in atto.
5. Optimized: revisione e feedback regolari vengono utilizzati per garantire un miglioramento continuo verso l’ottimizzazione del processo specifico.

Il MITRE Privacy Maturity Model si basa sui concetti contenuti nelle leggi e linee guida applicabili alle organizzazioni statunitensi e su 7 principi – Leadership & Organization, Privacy Risk Management, Engineering & Information Security, Incident Response, Individual Participation Transparency & Redress, Privacy Training & Awareness, Accountability.

Anch’esso definisce cinque differenti livelli di maturità:

1. Ad hoc: i requisiti del programma sulla privacy non sono ancora implementati o documentati in modo affidabile.
2. Defined: i requisiti del programma sono documentati ma potrebbero non essere implementati in modo coerente.
3. Consistently implemented: i requisiti del programma sono stabiliti e vengono applicate pratiche commerciali standard.
4. Managed & Measurable: i requisiti sono gestiti secondo metriche concordate; viene monitorata l’efficacia del processo.
5. Optimized: miglioramento continuo dei processi e monitoraggio automatizzato dell’efficacia.

Il Security & Privacy Capability Maturity Model (SPCMM) mira invece a fornire criteri oggettivi per la valutazione dei controlli di cybersecurity e privacy, mentre il Privacy Capability Maturity Model (PCMM) è stato sviluppato per valutare le capacità organizzative e proteggere la privacy delle informazioni nel settore delle telecomunicazioni.

Il Privacy Maturity Assessment Framework (PMAF), è un altro recente modello di maturità, che è stato sviluppato dal Government Chief Privacy Officer (GCPO) neozelandese nel marzo 2021: esso è meno orientato al business, alle regole e ai rischi rispetto al modello AICPA/CICA e più sulle persone, e considera 9 differenti elementi – Governance leadership and accountability, Culture, Assurance, Information management, Privacy risk assessment, Privacy programme, Business processes, Implementation of the Information Privacy Principles (IPPs), Breach and incident management – che forniscono criteri in base ai quali si può valutare la propria maturità in materia di privacy.

La proposta del CNIL

L’ Autorità Francese per la protezione dei dati personali (“Commission nationale de l’informatique et des libertés” o CNIL) ha recentemente proposto e pubblicato un modello di maturità per la gestione della protezione dei dati.

Ispirandosi all’AICPA/CICA Privacy Maturity Model, il modello proposto dal CNIL identifica 8 diverse attività:

1. definire e implementare procedure di protezione dei dati;
2. promuovere la governance della protezione dei dati;
3. identificare e aggiornare l’elenco dei trattamenti;
4. garantire la conformità legale del trattamento;
5. formare e sensibilizzare;
6. elaborare le richieste degli utenti interni ed esterni;
7. gestire i rischi per la sicurezza;
8. gestire le violazioni dei dati;

e identifica cinque diversi livelli di maturità:

• Livello 0 – Pratica inesistente o incompleta: la protezione dei dati non è conosciuta o supportata all’interno dell’organizzazione e la necessità non è riconosciuta.
• Livello 1 – Pratica informale (alcune azioni isolate): le azioni vengono eseguite utilizzando pratiche di base, implementate in modo informale e in risposta a richieste isolate, senza un reale impegno da parte dei leader dell’organizzazione o un reale coordinamento tra coloro che implementano queste azioni.
• Livello 2 – Pratica ripetibile e coerente (azioni riproducibili): le azioni sono svolte da una persona che ha competenze in materia di protezione dei dati, alcune pratiche sono formalizzate, in modo da poter essere riutilizzate eventualmente da un’altra persona. La protezione dei dati è controllata dalla direzione, ma l’intero business non è coinvolto.
• Livello 3 – Processo Definito (standardizzazione delle pratiche): le azioni vengono svolte secondo un processo definito, standardizzato e formalizzato, le persone che realizzano le azioni hanno le competenze adeguate, l’organizzazione supporta il processo.
• Livello 4 – Processo Controllato (misurazione quantitativa e correzione dei difetti): il processo è coordinato in tutto l’ambito scelto e per ogni esecuzione, vengono regolarmente effettuate misurazioni quantitative e qualitative sull’andamento del processo, e tali indicatori vengono analizzati e utilizzati per apportare miglioramenti.
• Livello 5 – Processo continuamente ottimizzato (miglioramento continuo): il processo viene adattato dinamicamente alla situazione, l’analisi delle misurazioni effettuate e il miglioramento dei processi sono definite, standardizzate e formalizzate, così come il miglioramento dei processi.

Conclusioni

È chiaramente fondamentale avere pratiche, processi e procedure per governare l’etica e il modo in cui i dati vengono trattati dalle organizzazioni, e in questo il regolamento sulla protezione dei dati europeo fornisce già molte indicazioni – privacy by design, valutazioni di impatto, registro dei trattamenti – ma a poco serve mettere in atto queste pratiche senza la capacità di monitorarne l’andamento, valutarne i risultati, l’efficacia e i rischi, e capire dove è necessario migliorare e come.

I modelli di maturità si rivelano un aiuto efficace per le organizzazioni che vogliono misurare la propria compliance e per i DPO, che hanno il compito di affiancare e supportare l’azienda nel costruire la cultura della privacy e far sì che essa sia adeguatamente incorporata all’interno dell’organizzazione, ed è auspicabile che altre Autorità seguano l’esempio del CNIL e forniscano indirizzi e suggerimenti su come utilizzare al meglio questi modelli anche nell’ambito della privacy e della protezione dei dati.