GDPR e sicurezza informatica: gli obblighi che molte aziende ignorano
Quando si parla di GDPR, la maggior parte delle aziende pensa subito al banner dei cookie e all’informativa sulla privacy. Giusto, ma incompleto. Il Regolamento europeo sulla protezione dei dati impone anche una serie di misure tecniche e organizzative di sicurezza informatica che moltissime PMI non hanno ancora implementato.
Il problema non è la malafede: è che nessuno gliel’ha mai spiegato chiaramente. Questo articolo colma quella lacuna.
Cosa dice il GDPR sulla sicurezza dei dati
trattamento devono mettere in atto misure tecniche e organizzative adeguate per garantire
un livello di sicurezza appropriato al rischio, tra cui:
• Pseudonimizzazione e cifratura dei dati personali
• Disponibilità, integrità e riservatezza dei sistemi di trattamento
• Capacità di ripristinare tempestivamente l'accesso ai dati in caso di incidente (backup e
disaster recovery)
• Procedure per testare regolarmente l'efficacia delle misure adottate
La parola "adeguate" non è una scappatoia: il Garante italiano ha applicato sanzioni milionarie
anche a PMI che si erano affidate a soluzioni insufficienti.
Gli obblighi tecnici più spesso ignorati
aziende scoprono che il loro backup non funziona solo quando ne hanno bisogno. Questo è un
inadempimento GDPR oltre che un rischio operativo grave.
minimo privilegio). Account condivisi, password scritte su post-it e accessi generici sono
violazioni documentabili.
di sicurezza che il Garante considera ormai necessaria. Vale in particolare per l'accesso alle
email aziendali, ai gestionali e ai CRM.
applicare gli aggiornamenti di sicurezza in modo sistematico, non solo quando "si ricordano".
e obbligo generale dell'organizzazione. La maggior parte dei data breach avviene per errore
umano: phishing, password deboli, allegati aperti per sbaglio.
In quesTo articolo
◉ Backup 3-2-1
◉ Aggiornamenti
◉ Firewall
◉ Antivirus gestito
◉ Formazione
◉ Password & 2FA
◉ Disaster recovery
Hai questo problema in azienda?
Scrivimi direttamente: ti rispondo io, non un operatore di call center.
Categoria
◉ Sicurezza informatica
Tempo di lettura
5 minuti
Data breach: cosa fare (e cosa NON fare)
• Notifica al Garante entro 72 ore dalla scoperta, se la violazione comporta un rischio per i
diritti degli interessati
• Comunicazione agli interessati se il rischio è elevato
• Registro degli incidenti interno, anche per le violazioni che non richiedono notifica
L'errore più comune: non notificare perché "tanto non lo sa nessuno". Il Garante può venire a
saperlo da terzi, da whistleblower o da indagini su altri soggetti. La mancata notifica aggrava
sempre la sanzione.
Le sanzioni reali per le PMI italiane
per centinaia di milioni di euro. Alcune riguardavano grandi aziende, ma molte hanno colpito
PMI per:
• Mancanza di misure di sicurezza adeguate
• Mancata notifica di data breach
• Conservazione eccessiva dei dati
• Mancanza di formazione del personale
Come possiamo aiutarti
Il nostro servizio CyberWatch include il monitoraggio continuo degli accessi e degli asset IT, con alert immediati in caso di anomalie - esattamente quello che serve per soddisfare i requisiti GDPR sulla rilevazione degli incidenti.
Hai dubbi sulla conformità della tua azienda? Scrivici oppure chiedici una consulenza
per una valutazione iniziale.