{"id":10481,"date":"2019-06-21T08:30:00","date_gmt":"2019-06-21T06:30:00","guid":{"rendered":"https:\/\/www.cyberlaws.it\/?p=10481"},"modified":"2020-02-18T15:24:27","modified_gmt":"2020-02-18T14:24:27","slug":"le-misure-di-sicurezza-dei-dati-personali","status":"publish","type":"post","link":"https:\/\/www.cyberlaws.it\/en\/2019\/le-misure-di-sicurezza-dei-dati-personali\/","title":{"rendered":"Le misure di sicurezza dei dati personali"},"content":{"rendered":"

Le misure di sicurezza dei dati personali<\/h3>\n

di Niccol\u00f2 Nalesso<\/strong><\/h5>\n
\n

Con l\u2019introduzione del Regolamento UE n. 679\/2016 (c.d. GDPR) il Legislatore europeo ha inteso affermare la sicurezza dei dati come condizione di legittimit\u00e0 di ogni trattamento messo in atto[1]<\/a>. E\u2019 stata infatti inserita tra i principi generali di cui all\u2019art 5 par. 1 lett. f), per cui i dati personali devono essere trattati in maniera da garantirne \u201cun\u2019adeguata sicurezza\u2026compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali (\u00abintegrit\u00e0 e riservatezza\u00bb)\u201d. <\/em>Per i soggetti c.d. interessati, ovvero le persone fisiche identificate dai dati personali oggetto del trattamento, \u00e8 quindi possibile agire in giudizio per l\u2019eventuale danno subito a causa di una violazione delle misure adottate dal Titolare del trattamento. E\u2019 stato peraltro evidenziato che l\u2019art 32 non fa riferimento solamente alla categoria dei c.d. interessati, bens\u00ec a qualunque persona fisica i cui diritti sono potenzialmente posti in pericolo dal trattamento dei dati, ponendosi dunque come baluardo delle libert\u00e0 fondamentali e dei diritti umani[2]<\/a>.<\/p>\n

Il principio generale viene poi specificato nell\u2019art 32 del GDPR, per cui: \u201ctenendo conto dello stato dell’arte e dei costi di attuazione, nonch\u00e9 della natura, dell’oggetto, del contesto e delle finalit\u00e0 del trattamento, come anche del rischio di varia probabilit\u00e0 e gravit\u00e0 per i diritti e le libert\u00e0 delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio\u201d. <\/em><\/p>\n

Dalla lettera della norma si evince chiaramente che l\u2019adozione delle misure di sicurezza pu\u00f2 variare per contenuto ed intensit\u00e0, in stretta dipendenza con la valutazione dei rischi effettuata all\u2019origine del trattamento stesso, e con l\u2019eventuale valutazione d\u2019impatto condotta dal Titolare (c.d. DPIA, ex art 35 GDPR)[3]<\/a>.<\/p>\n

L\u2019art 32 elenca, a dire il vero in maniera non esaustiva, alcune possibili misure di sicurezza da adottare. Tra queste, alla lettera a) si riscontrano la pseudonimizzazione e la cifratura dei dati, mentre alle lettere b)-c)-d) sono individuati gli obiettivi che devono essere conseguiti dal Titolare del trattamento, tra cui \u201c<\/em>la <\/em>capacit\u00e0 di assicurare su base\u00a0<\/em>permanente la riservatezza, l’integrit\u00e0, la disponibilit\u00e0 e la resilienza dei sistemi e dei servizi di trattamento\u201d<\/em>, e \u201cla capacit\u00e0 di ripristinare tempestivamente la disponibilit\u00e0 e l’accesso dei dati personali in caso di incidente fisico o tecnico\u201d.<\/em><\/p>\n

A dire il vero, la sicurezza dei dati va oltre la portata di ciascun trattamento, ed attiene direttamente alle tecnologie utilizzate per lo svolgimento dell\u2019attivit\u00e0. Del resto, in linguaggio informatico, la sicurezza dei dati sta ad indicare la necessit\u00e0 di proteggere la riservatezza, l\u2019integrit\u00e0 e la disponibilit\u00e0 degli stessi. Questa triade costituisce la base di ogni strategia di sicurezza e va pertanto conosciuta e tenuta in considerazione da tutte le aziende che hanno implementato un sistema informatico per lo svolgimento del proprio business.<\/p>\n

Un programma di sicurezza delle informazioni inizia con la valutazione del rischio volta ad individuare quali dati debbano essere protetti, quali siano le minacce specifiche contro di essi e quale possa essere il danno all\u2019impresa qualora le minacce si concretizzassero. Va tuttavia ricordato che nessuna politica di sicurezza dar\u00e0 la garanzia assoluta di poter sventare qualsiasi attacco informatico. L\u2019obiettivo ragionevole deve essere quello di abbassare il rischio ad un livello accettabile. Cerchiamo quindi di sintetizzare alcune misure di sicurezza applicabili.<\/p>\n

In primo luogo, \u00e8 consigliabile procedere con una precisa e puntuale classificazione dei dati\u00a0<\/strong>utilizzati, in modo tale che ad ogni voce sia assegnata una valutazione di riservatezza. Per ogni grado di riservatezza possono quindi essere impostate delle autorizzazioni di accesso a seconda delle funzioni aziendali interessate[4]<\/a>, tenendo a mente che ogni programma ed ogni utente del sistema dovrebbero operare utilizzando il minimo insieme di privilegi necessari a portare a termine il proprio compito, cos\u00ec limitando il danno derivante da un incidente o da un errore (principio del minimo privilegio)[5]<\/a>. Andrebbe quindi definita una lista di controllo degli accessi\u00a0<\/strong>(in gergo, ACL) per definire quali utenti o\u00a0processi<\/a>\u00a0aziendali possano accedere a determinate risorse del sistema e quali operazioni specifiche possano compiere.<\/p>\n

Una classificazione di base consiste nel definire le seguenti categorie di riservatezza:<\/p>\n

    \n
  1. informazioni confidenziali<\/em>, nelle quali rientrano i segreti commerciali, il know-how ed i dati personali sensibili trattati dall\u2019azienda, tutti i quali andrebbero condivisi solamente da predeterminati soggetti autorizzati. In tale contesto \u00e8 necessario prestare particolare attenzione alle utenze con privilegi di amministratore, per le quali \u00e8 importante differenziare i profili di autorizzazione e le credenziali di accesso al sistema che, per l\u2019appunto, non devono essere condivise da pi\u00f9 individui[6]<\/a>;<\/li>\n
  2. informazioni private<\/em>, ovvero i dati finanziari dell\u2019azienda e dei suoi dipendenti, clienti e tutte le informazioni che si ritiene di dover utilizzare solamente entro la struttura aziendale;<\/li>\n
  3. informazioni interne<\/em>, nelle quali possono rientrare l\u2019organigramma, le procedure che regolano l\u2019attivit\u00e0 aziendale e quelle informazioni la cui eventuale rivelazione non dovrebbe causare grave nocumento all\u2019impresa;<\/li>\n
  4. informazioni pubbliche<\/em>, che possono essere liberamente comunicate all\u2019esterno[7]<\/a>.<\/li>\n<\/ol>\n

    I dati informatici gestiti dall\u2019azienda possono essere conservati nel server aziendale oppure archiviati in data center esterni. In entrambi i casi, la cifratura\u00a0<\/strong>dei dati aggiunge una linea di difesa che si rivela essenziale in caso di data breach, in quanto consente di occultare i dati impedendo all\u2019aggressore entratone in possesso di poterli visionare.<\/p>\n

    Le misure di sicurezza concernono anche il sistema di autenticazione\u00a0<\/strong>degli utenti\/dipendenti. I fattori di autenticazione si basano su \u201cqualcosa che sai\u201d (PIN, password ecc.), \u201cqualcosa che hai\u201c (badge, key fob ecc.) e \u201cqualcosa che sei\u201d (impronta digitale, retina ecc.). L\u2019integrazione di tali fattori diviene pi\u00f9 necessaria all\u2019aumentare del livello di rischio. Quanto all\u2019utilizzo delle password<\/strong>, in pi\u00f9 occasioni il Garante della Privacy si \u00e8 espresso in favore di alcune caratteristiche delle stesse, quali la lunghezza non inferiore agli otto caratteri alfanumerici, e l\u2019impiego di un controllo automatico di qualit\u00e0 che impedisca l\u2019utilizzo di password eccessivamente deboli[8]<\/a>. E\u2019 altres\u00ec essenziale impostare un numero limite di tentativi di accesso, in modo tale da impedire un attacco c.d. brute force, <\/em>ove un software prova tutte le possibili combinazioni di caratteri e numeri finch\u00e9 non individua quella esatta.<\/p>\n

    E\u2019 altres\u00ec importante tenere traccia degli accessi e delle operazioni effettuate dagli utenti nel sistema informatico attraverso un sistema di gestione dei file di log<\/strong>. Monitorare i file di log permette di determinare se \u00e8 avvenuto un attacco e se le difese implementate sono state efficaci. Gli stessi log necessitano anche di una protezione dagli accessi non autorizzati, dall\u2019alterazione e\/o distruzione.<\/p>\n

    Quanto ai protocolli di rete<\/strong>, \u00e8 oramai assodata la necessit\u00e0 di erogare la totalit\u00e0 dei contenuti del sito web aziendale tramite il protocollo https <\/em>(secure hyper text transport protocol), il quale, attraverso la crittografia asimmetrica, garantisce che i contenuti delle comunicazioni tra l’utente ed il sito web non possano essere intercettati o alterati da terzi. In tal modo si prevengono i comunemente denominati attacchi man in the middle<\/em>, ove l\u2019aggressore intercetta la comunicazione tra le parti per poterla modificare o ritrasmettere a terzi.<\/p>\n

    Nella gestione della rete aziendale, si pu\u00f2 pensare di impostare una segregazione\/segmentazione\u00a0<\/strong>della stessa in modo tale che l\u2019eventuale malware che abbia superato il perimetro di security non sia in grado di paralizzare tutti i dispositivi aziendali connessi. La stessa misura \u00e8 volta ad impedire ai visitatori dei locali dell\u2019azienda di accedere alla rete interna.<\/p>\n

    In tal senso, una delle principali aree di vulnerabilit\u00e0 proviene dagli accessi remoti alla rete aziendale, i quali vengono solitamente concessi a dipendenti in \u201csmart working\u201d ovvero a fornitori IT che richiedono tale accesso per la manutenzione delle apparecchiature. L\u2019accesso remoto dovrebbe avvenire tramite VPN<\/a>\u00a0<\/strong>(Virtual Private Network), ovvero un canale criptato che collega un dispositivo esterno alla rete aziendale. L\u2019utente connesso da remoto diventa parte del network ed avr\u00e0 potenzialmente accesso a tutte le informazioni presenti nella rete interna. Anche in questo caso andrebbero registrate e sottoposte a verifica tutte le attivit\u00e0 di coloro che operano da remoto.<\/p>\n

    Per la gestione di un incidente, \u00e8 invece essenziale aver predisposto un piano di business continuity\u00a0<\/strong>per individuare le misure tecnologiche e logistico\/organizzative che permettono all\u2019azienda di continuare ad operare, mentre un piano di disaster recovery\u00a0<\/strong>va a stabilire delle misure preventive e correttive atte a ripristinare la disponibilit\u00e0 e l\u2019accesso ai sistemi ed alle infrastrutture aziendali.<\/p>\n

    In entrambi i casi va contemplato un piano di backup dei dati\u00a0<\/strong>in modo tale che ove il sistema venga compromesso sar\u00e0 possibile recuperarli. Il backup andrebbe effettuato su base regolare e protetto con delle password complesse.<\/p>\n

    Nella stessa ottica, aver preventivamente svolto dei\u00a0vulnerability assessment\u00a0<\/strong>e dei penetration test<\/strong>, permette all\u2019azienda di testare il proprio sistema di cyber-security alla ricerca di eventuali vulnerabilit\u00e0 sulle quali intervenire in anticipo rispetto a potenziali aggressori.<\/p>\n

    Infine, \u00e8 importante l\u2019utilizzo di prodotti software\u00a0<\/strong>non obsoleti, per i quali vengano costantemente distribuiti dal produttore gli aggiornamenti e le patch di sicurezza necessarie a rimediare alle vulnerabilit\u00e0 informatiche che emergono di volta in volta.<\/p>\n

    \n

    [1]<\/a> F. PIZZETTI, La protezione dei dati personali e la sfida dell\u2019Intelligenza Artificiale<\/em>, in F. PIZZETTI (a cura di), Intelligenza Artificiale, protezione dei dati personali e regolazione<\/em>, Giappichelli, 2018, p. 108.<\/p>\n

    [2]<\/a> F. PIZZETTI, La protezione dei dati personali e la sfida dell\u2019Intelligenza Artificiale<\/em>, in F. PIZZETTI (a cura di), Intelligenza Artificiale, protezione dei dati personali e regolazione<\/em>, Giappichelli, 2018, p. 130.<\/p>\n

    [3]<\/a> Come indicato dal Garante privacy nella Guida al Regolamento in materia di protezione dei dati personali,\u201cnon potranno sussistere dopo il 25 maggio 2018 obblighi generalizzati di adozione di misure minime di sicurezza\u201d<\/em><\/p>\n

    [4]<\/a> Per approfondimenti v. K. D. MITNICK, L\u2019arte dell\u2019inganno \u2013 I consigli dell\u2019hacker pi\u00f9 famoso al mondo<\/em>, Universale Economica Feltrinelli, 2003, pp. 258 ss.<\/p>\n

    [5]<\/a> J. SALTZER, The Protection of Information in Computer Systems<\/em><\/a>, <\/em>1975.<\/p>\n

    [6]<\/a> Vedi il Provvedimento del Garante Privacy del 14.11.2008 in merito alla designazione degli Amministratori di Sistema (AdS), alla necessit\u00e0 di verificare la loro attivit\u00e0 e di registrare i loro accessi al sistema.<\/p>\n

    [7]<\/a> E\u2019 chiaro che tale classificazione rientra in un piano di sicurezza volto a tutelare le informazioni aziendali nella loro totalit\u00e0, indipendentemente dal fatto che esse rientrino o meno nella definizione di dato personale fornita dall\u2019art 4 del Gdpr.<\/p>\n

    [8]<\/a> Vedi, da ultimo, il Provvedimento del Garante Privacy n. 548\/2017.<\/p>\n

    \n

    Autore<\/em><\/strong><\/p>\n