Le misure di sicurezza per proteggere i dati

A tre anni dall’entrata in vigore del GDPR, sempre più si è diffuso il binomio privacy-misure di sicurezza; del resto, siamo nel bel mezzo della digitalizzazione, occorre dunque proteggere i nostri dati con misure appropriate e commisurate.

Partiamo da alcune premesse, quando si affronta il tema delle misure di sicurezza si parla necessariamente di:

• RID: preservare riservatezza, integrità e disponibilità;
• Accountability: responsabilizzazione;
• Security Awereness: livello di consapevolezza;
• Approccio olistico della sicurezza: si tratta di un processo che coinvolge rispettivamente, persone e tecnologia;

DISPOSIZIONI NORMATIVE A RIGUARDO:

Come prima disposizione il Regolamento (UE) 2016/679; in particolare:

 Art. 32:

” Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio …”;

Art.40: Adesione a codici di condotta;

Art. 42: Meccanismi di certificazione;

Come altre disposizioni normative possiamo citare il NIST Cybersecurity Framework, un connubio perfetto tra GDPR e ISO:27001;

Prima di implementare delle misure di sicurezza occorre sapere che le stesse si distinguono in misure passive (preventive: antivirus, firewall, backup…), ovvero misure che vanno a proteggere i nostri apparati in maniera sistematica, nascono esattamente con quella funzione; le misure di sicurezza attive, invece, sono quelle che testano l’efficacia delle misure passive introdotte, come ad esempio attività do Vulnerability Assessment e Penetration test.

Passiamo al novero di alcune misure di sicurezza di tipo passivo, tra le più importanti troviamo:

Antivirus

Software finalizzato a prevenire, rilevare ed eventualmente rendere inoffensivi codici dannosi e malware per un computer; Un antivirus da solo, per quanto affidabile ed efficiente, non è una protezione totale contro la totalità dei virus informatici esistenti al mondo.

Firewall

E’ un componente hardware e/o software di difesa perimetrale di una rete, può anche svolgere funzioni di collegamento tra due o più segmenti di rete, fornendo dunque una protezione in termini di sicurezza informatica della rete stessa.

Backup

Con backup, nella sicurezza informatica, si indica la messa in sicurezza delle informazioni di un sistema informatico (o un semplice computer) attraverso la creazione di ridondanza delle informazioni stesse (una o più copie di riserva dei dati), da utilizzare come recupero (ripristino) dei dati stessi in caso di eventi malevoli accidentali o intenzionali o semplice manutenzione del sistema.

Sistemi di log e monitoraggio

Gestione dei log (log management): indica l’insieme di attività legate alla raccolta e all’analisi dei dati tracciati nei messaggi di log e rappresenta una registrazione completa degli eventi che accadono in qualunque contesto di sicurezza informatica. L’attività di log management può essere obbligatoria nei seguenti casi:

• Adeguamento al provvedimento sugli Amministratori di Sistema (n.300, 24 dicembre 2008);
• Adesione a meccanismi di certificazione;

Resta consolidato che l’attività di log management è sempre consigliata.

SPUNTI DI RIFLESSIONE E CONCLUSIONI

Valutare accuratamente le misure di sicurezze incide su:

• Consapevolezza dei propri sistemi;
• Sicurezza dei dati e delle informazioni;
• Evitare violazioni (data breach);
• Gestione dei rischi;
• Accresce security awareness;
• Miglioramento continuo;