Il 25 maggio 2018 entrerà in vigore il nuovo regolamento europeo in materia di protezione dei dati personali (Regolamento UE 2016/679). Le aziende e gli studi professionali (ma non solo) dovranno adeguarsi alle nuove regole passando dal soddisfacimento meramente formale dei requisiti indicati nel disciplinare tecnico allegato al Decreto Legislativo n. 196 del 2003 (c.d. Codice Privacy) ad una valutazione e gestione del rischio, assumendosi la responsabilità di definire le misure di sicurezza idonee alla tutela dei dati personali trattati.
Si tratta di un cambiamento organizzativo, se non addirittura culturale, all’interno delle organizzazioni definendo un piano di Risk Assessment che studi strategie di gestione e identificazione dei rischi, stimandone conseguenze e gravità.
Approfittando dell’adeguamento normativo, le aziende e gli studi professionali hanno l’opportunità di implementare o migliorare il sistema di protezione di quei dati considerati sensibili non solo dal punto di vista legislativo ma in riferimento a quelle informazioni ritenute importanti e strategiche, anche indirettamente, la cui diffusione o perdita potrebbe cagionare danno all’organizzazione.
Alcuni strumenti cardine di tale processo sono:
- La redazione di un regolamento interno sull’utilizzo dei dispositivi informatici, che permetta agli operatori di apprendere procedure certe a tutela delle operazioni svolte durante le attività
- L’implementazione di procedure per la “cancellazione sicura” delle informazioni al fine di impedire che dati sensibili vengano estrapolati da dispositivi dismessi.
- Garantire la protezione dei PC portatili, supporti rimuovibili (chiavette usb), smartphone e tablet, applicando misure per limitare i danni in caso di furto o smarrimento quali la cifratura dei dispositivi.
- Impedire l’utilizzo di dispositivi personali o di provenienza incerta che potrebbero essere veicolo di infezioni che potrebbero propagarsi all’interno della rete aziendale.
- Una conoscenza completa delle politiche di backup e ripristino, cruciale per assicurare il riavvio completo in tempi brevi dell’infrastruttura IT, tramite operazioni tassative di verifica della congruità dei dati copiati, la predisposizione di processi multipli di backup anche in remoto o in Cloud, frequenze di esecuzione mirate definite nel Piano “Risk & Disaster Management”, e l’uso di supporti di archiviazione diversi in base all’importanza e alla velocità di aggiornamento dei dati.
Adeguando le organizzazioni agli adempimenti di legge si permetterà ai manager di conoscere più approfonditamente e migliorare i processi aziendali, ponendo le basi per una migliore governance in tutti i settori del proprio business.
La Commissione IET
