{"id":12475,"date":"2020-10-12T07:45:38","date_gmt":"2020-10-12T05:45:38","guid":{"rendered":"https:\/\/www.cyberlaws.it\/?p=12475"},"modified":"2020-10-10T21:05:06","modified_gmt":"2020-10-10T19:05:06","slug":"modello-organizzativo-rischi-privacy","status":"publish","type":"post","link":"https:\/\/www.cyberlaws.it\/en\/2020\/modello-organizzativo-rischi-privacy\/","title":{"rendered":"Il modello organizzativo per la gestione dei rischi in ambito IT"},"content":{"rendered":"

Il modello organizzativo per la gestione dei rischi<\/h2>\n

Tra centralizzazione e decentralizzazione del controllo<\/h3>\n

di Carlo A.M. Corazzini<\/strong> e Giulia M. Amato<\/strong><\/h5>\n
\n

Una corretta gestione del rischio si traduce, in termini funzionali, nella necessit\u00e0 di adottare specifiche misure di tipo tecnico e predisporre un adeguato sistema di presidi e punti di controllo per la gestione e mitigazione dei rischi IT e relativi alla protezione dei dati personali.<\/p>\n

La predisposizione di un modello organizzativo, per\u00f2, non pu\u00f2 prescindere da un\u2019attenta valutazione (da condursi secondo un approccio c.d. \u201cricorsivo\u201d) dell\u2019organizzazione, dei process owner<\/em> e dei processi aziendali esposti a rischio, attesa la necessit\u00e0 che ogni modello sia \u201critagliato\u201d sulla specifica realt\u00e0 organizzativa in cui \u00e8 destinato ad essere implementato.<\/p>\n

In questa sede, pertanto, ci soffermeremo, seppur a grandi linee e senza alcuna pretesa di esaustivit\u00e0, sulle possibili configurazioni dei modelli organizzativi diffusi in ambito IT e Privacy per cercare di fornire una breve panoramica dei vantaggi\/limiti dei modelli maggiormente diffusi nella prassi.<\/p>\n

1. La funzione dei modelli organizzativi nel vigente quadro normativo in ambito IT<\/h3>\n

La Direttiva (UE) 2016\/1148 (\u201cDirettiva NIS<\/strong>\u201d), il D.L. n. 105\/2019, il Regolamento (UE) 2016\/679 (\u201cGDPR<\/strong>\u201d) e il D.lgs. 196\/2003 (\u201cCodice Privacy<\/strong>\u201d) costituiscono il \u201cframework\u201d normativo di base da tenere in considerazione nel momento in cui si affrontano i temi connessi alla Security & Data Protection<\/em> in senso lato e che, per una corretta gestione del rischio, richiedono la predisposizione di adeguate misure di sicurezza sotto il profilo sia tecnico che organizzativo.<\/p>\n

Per quanto di interesse in questa sede, occorre ricordare che la necessit\u00e0 di predisporre misure organizzative a presidio degli interessi tutelati costituisce il comune denominatore delle norme sopra richiamate. Si pensi, ad esempio, all\u2019obbligo imposto dalla Direttiva NIS (art. 12)[1]<\/a> per gli Operatori di Servizi Essenziali (\u201cOSE\u201d), i quali sono tenuti ad adottare misure organizzative adeguate e proporzionate alla gestione dei rischi, alla sicurezza delle reti e dei sistemi informativi o di policy<\/em> per la prevenzione e gestione degli incidenti informatici. Sulla stessa linea si pone anche il D.L. 105\/2019 (art. 1, co. 3)[2]<\/a>, convertito con modificazioni dalla L. n. 133\/2019, che impone l\u2019adozione di misure riguardanti la struttura organizzativa deputata al presidio della sicurezza o le politiche di gestione del rischio. In ambito privacy, infine, il GDPR (artt. 24, 25 e 32[3]<\/a>) e, in particolare, l\u2019art 2-quaterdecies<\/em> del Codice Privacy attribuiscono al titolare del trattamento, sotto la propria responsabilit\u00e0 e nell\u2019ambito del proprio assetto organizzativo, il potere di attribuire ai soggetti coinvolti nei processi aziendali specifici compiti e funzioni connesse al trattamento.<\/p>\n

Mutuando un concetto cardine della normativa privacy, \u00e8 possibile sostenere che una corretta ed effettiva gestione dei rischi in tali ambiti implica, nel rispetto del principio di accountability<\/em>, un\u2019attenta analisi degli aspetti tecnici e la predisposizione di adeguate misure sotto il profilo organizzativo. L\u2019adozione delle misure organizzative, infatti, \u00e8 di rilevanza centrale in quanto consente di sfruttare e, al tempo stesso, preservare l\u2019utilit\u00e0 delle misure tecniche implementate e impedisce \u2013 o quantomeno contiene \u2013 il rischio di errori che possano esporre i sistemi a vulnerabilit\u00e0 (es. dovuti al c.d. \u201cfattore umano\u201d), pur in presenza di misure di sicurezza tecnicamente ineccepibili.<\/p>\n

Nell\u2019ottica dell\u2019accountability<\/em>, quindi, si comprende l\u2019importanza di formalizzare e documentare tutti gli adempimenti e le attivit\u00e0 preordinate alla protezione degli interessi oggetto di tutela normativa (es. protezione e integrit\u00e0 dei sistemi, riservatezza, tutela e garanzia dei servizi essenziali, ecc.). Da qui la necessit\u00e0 di costruire e formalizzare un sistema organizzativo, misura di sicurezza di base per consentire alle organizzazioni di: (i) monitorare in maniera ricorsiva gli ambiti di rischio sottesi a un determinato processo; (ii) adottare tutte le misure necessarie e\/o adeguate per la mitigazione dei rischi rilevati e, in caso di controlli, (iii) dimostrare le valutazioni condotte, le misure adottate e la loro verificabilit\u00e0<\/p>\n

L\u2019adozione di un modello organizzativo, con individuazione di ruoli e funzioni dei soggetti coinvolti, pertanto, ha la funzione di:<\/p>\n