Misure di sicurezza (art. 32 GDPR)

Art. 32 GDPR

Sicurezza trattamento

• Obbligo

Titolare e responsabile

• Entrambi

Principio

Misure appropriate

• Al rischio

Stato arte tecnico

• Costi

Natura trattamento

• Finalità

Misure tecniche

Esempi

• Pseudonimizzazione
• Crittografia
• Backup
• Test di resistenza

Misure organizzative

Esempi

• Policy
• Formazione
• Controllo accessi
• Procedure

Pseudonimizzazione

Sostituire identificatori

• Con codici

Riduce rischi

• Breach

Crittografia

Dati in transito

• TLS/SSL

Dati a riposo

• AES-256

Chiavi

• Gestite bene

Capacità ripristino

Backup

• Periodici

Disaster recovery

• Piano

RTO/RPO

• Obiettivi

Test periodici

Vulnerability assessment

• Annuali

Penetration test

• Rischio alto

Simulazioni

• Incidenti

Verifica efficacia

Audit interni

• Regolari

Compliance review

Rischio

Valutazione

• Metodologie riconosciute

Continua

• Aggiornata

Risk assessment

Metodi

• ISO 31000
• NIST

Matrice

• Rischio

Elementi rischio

Identificazione asset

Minacce

Vulnerabilità

Impatto

Probabilità

Classificazione rischi

Basso

Medio

Alto

Critico

Misure

• Proporzionate

Rischi tipici

Divulgazione non autorizzata

Perdita dati

Modifica illecita

Distruzione accidentale

Accesso non autorizzato

Data breach — categorie

Riservatezza

• Divulgazione

Integrità

• Alterazione

Disponibilità

• Perdita accesso

Esempi misure

Controllo accessi

• Ruoli

Password policies

• Complesse

Segregation of duties

• Diviso

Logging

• Tracciabilità

Logging

Log di accesso

• Conservati

Anomalie

• Rilevate

Tempo sufficiente

SIEM

Security Information Event Management

• Strumento

Monitoraggio

Backup

3-2-1 regola

• 3 copie, 2 media, 1 off-site

Cifrati

• Obbligatori

Disaster recovery

Piano

• Obbligatorio
• Per PA

Test periodici

Business continuity

Pianificata

• Continuità

BCM

Formazione

Personale tutto

• Periodica

Phishing test

• Utili

Procedure scritte

Gestione

• Incidenti

Accessi

• Revoca

Contratti con fornitori

Misure garantite

• Art. 28

Audit

• Diritti

Cloud

Verifiche

• Certificazioni

Accordi

• SLA

Crittografia

• End-to-end preferibile

Certificazioni

ISO 27001

• Sicurezza

ISO 27701

• Privacy

SOC 2

Responsabilità

Titolare

• Primaria

Responsabile

• Coobbligato

Violazione e responsabilità

Misure inadeguate

• Aggravante
• Sanzione

Adeguamento proporzionale

Costi vs rischi

• Bilanciamento

Rischio

• Guida

State of the art

Tecniche aggiornate

• Obbligo

Evoluzione

• Continua

Sanzione inadeguatezza

Art. 83.4

• Fino 10 milioni

O 2% fatturato

Data breach correlato

Spesso da misure carenti

• Sanzioni accumulate

Videosorveglianza

Accessi protetti

• Password

Crittografia stream

• Raccomandata

Conservazione sicura

Body-cam

Memoria protetta

• Crittografata

Accesso

• Dopo servizio

Database PA

Pseudonimi

• Dove possibile

Accessi

• Ruoli precisi

Email PA

Cifrata

• Preferibile

PEC obbligatoria

• Talvolta

Smart working

VPN

• Obbligatoria

MFA

• Consigliata

MFA (Multi-Factor Authentication)

Secondo fattore

• Password + SMS

O app

• Authenticator

Zero Trust

Paradigma moderno

• Non fidarsi

Verificare sempre

ENISA

European Union Agency Cybersecurity

• Linee guida

Standard

Buone pratiche

Principio minimo

• Accessi

Rotazione password

• Periodica

Log

• Monitorati

Incidente di sicurezza

Procedure

• Dettagliate

Responsabilità

• Chiare

CSIRT

Team

• Risposta incidenti

Nazionale

• Coordinamento

Operativa

24/7

• Necessaria

Disponibilità

Valutazione periodica

Almeno annuale

• Audit

Aggiornamento

• Misure

Polizia Locale

Dati sensibili

• Trattati

Misure rafforzate

• Doverose

Accesso veicoli targhe

Sistema ANPR

• Controlli

Privacy misure

Sistema sanzioni

Banche dati

• Accessi motivati

Tracciabilità

Pagamenti

Dati carta

• PCI-DSS

Standard

• Settore pagamenti

Conclusioni

Pilastro GDPR

• Sicurezza

Per IT

• Settore dedicato

Per organizzazioni

• Cultura sicurezza

Per PL

• Compliance operativa