La privacy ha assunto nuove dimensioni nel mondo iperconnesso. La crescente frequenza di violazioni informatiche impone ai governi una riflessione per elaborare potenziali politiche e regolamenti.
Il maggiore esempio è il Regolamento generale sulla protezione dei dati della Commissione europea (GDPR 679:2016) che diverrà applicabile dal mese di maggio e con il quale si intende rafforzare e rendere più omogenea la protezione dei dati personali di cittadini (e residenti) dell’Unione Europea, sia all’interno che all’esterno dei confini UE. Le implicazioni saranno globali.

La necessità di proteggere i dati personali sta crescendo con urgenza con la trasformazione digitale di tutti i settori. Un crescente numero di organizzazioni sta elaborando dati personali, in quantità sempre maggiore. Le Aziende, ai fini di una corretta gestione dei dati e delle informazioni, non possono ignorare le conseguenze derivanti da eventuali violazioni dei propri sistemi.

La cyber-security, cioè quell’insieme di accorgimenti e misure che garantiscono una gestione sicura all’interno del cyber-spazio, è ormai un’esigenza di tutte le aziende. L’approccio di sistema è fondamentale dal momento che la sicurezza informatica si lega all’operatività generale delle imprese e ha a che fare con tutta la filiera. A tal proposito le organizzazioni dovrebbero porsi due domande fondamentali:

  • quali informazioni possiedono;
  • qual è il ciclo di vita di queste informazioni.

Gli accorgimenti da prevedere sono sia di carattere tecnologico che di tipo gestionale. Per questa ragione la cyber-security si configura come una importante componente del più generale approccio di sistema includendo la componente umana e quella organizzativa.

Al momento non esistono certificazioni afferenti al tema della cyber-security che si possano conseguire per dimostrare la conformità ai requisiti del GDPR. Tuttavia, all’interno della galassia delle norme ISO esiste lo standard ISO/IEC 27001, l’unica norma internazionale soggetta a verifica e certificabile che definisce i requisiti per un SGSI (Sistema di Gestione della Sicurezza delle Informazioni). La Norma è pensata e strutturata al fine di garantire la gestione della sicurezza nella tecnologia dell’informazione, proteggendo le informazioni dando fiducia a tutti gli stakeholder.

La Norma è costruita secondo il modello HLS (High Level Structure) cioè la struttura condivisa tra tutti i nuovi sistemi di gestione e già definita dallo standard UNI EN ISO 9001. Tale struttura comune ha lo scopo di integrare i contenuti chiave dei sistemi di gestione, per facilitarne l’impiego e il controllo da parte delle aziende certificate.

La 27001 si compone di due parti: la prima parte descrive i requisiti di sistema; la seconda (Annesso A) elenca 114 contromisure utili a salvaguardare di informazioni che le aziende si trovano a gestire. Tali contromisure sono in buona parte relative all’aspetto tecnologico ma coprono anche i temi della sicurezza fisica e della sicurezza nelle relazioni con terze parti, nonché i fattori umani e organizzativi.

La famiglia delle norme ISO 27000, ad oggi pubblicate, si può raggruppare come segue:

la ISO/IEC 27000 – “Information technology — Security techniques — Information security management systems – Overview and vocabulary ” che definisce la terminologia di riferimento; la ISO/IEC 27001 – “Information security management system – Requirements” che stabilisce i requisiti generali ed è il documento normativo al quale un’organizzazione che intenda certificarsi deve far riferimento; e infine la ISO/IEC 27006 – “Information technology – Security techniques – Requirements for bodies providing audit and certification of information security management systems ” che è lo standard di riferimento per gli organismi di certificazione.

Esistono poi le relative linee guida: la ISO/IEC 29151 | ITU-T X.1058 “Information technology – Security techniques – Code of practice for personally identifiable information protection, fornisce un prezioso punto di riferimento a governi e industria perché presenta un codice di buone pratiche per garantire la protezione dei dati personali. Essa stabilisce gli obiettivi dei controlli sulla protezione dei dati, specifica quali controlli sono richiesti e fornisce le linee guida per la loro attuazione; la linea guida mostra anche come la disposizione di tali controlli possa soddisfare i requisiti identificati dalla valutazione di impatto e dei rischi rilevanti per la protezione dei dati personali. Infine, esiste la ISO/IEC JTC 1/SC 27 “IT Security techniques” che si basa sulla norma ISO/IEC 27001 (UNI CEI EN ISO/IEC 27001:2017 “Tecnologie Informatiche – Tecniche di sicurezza – Sistemi di gestione della sicurezza dell’informazione – Requisiti”) con indicazioni aggiuntive specifiche per la protezione dei dati personali.

Le linee guida basate su ISO / IEC 27002, tengono conto dei requisiti per l’elaborazione di informazioni personali che possono essere applicabili nel contesto dell’ambiente del rischio informativo di un’organizzazione. Pertanto, la ISO / IEC 29151: 2017 definisce obiettivi di controllo, controlli e linee guida per soddisfare i requisiti identificati da una valutazione del rischio e di impatto connessi alla protezione delle “informazioni personali identificabili”. Questa norma potrebbe essere usata dalle organizzazioni già certificate ISO/IEC 27001 per estendere la propria Dichiarazione di applicabilità (o Statement of applicability) e potrebbe portare a certificazioni ISO/IEC 27001 basate “sui controlli riportati dalle ISO/IEC 27001 e ISO/IEC 29151” e, pertanto, specificamente volte alla Data Protection.

In conclusione, un ISMS conforme allo standard ISO 27001 permette alle aziende di fare un enorme passo in avanti in previsione del raggiungimento della conformità richiesta dal GDPR, evitando il rischio di trovarsi impreparate al momento dell’introduzione di misure che potrebbero avere un profondo impatto sul proprio modo di operare e di gestire le informazioni.