Sicurezza dei dati: Tutto quello che i team di compliance devono tenere a mente

Data la portata della minaccia, è diventato essenziale per i team IT e di compliance promuovere e mantenere una cultura della sicurezza informatica a livello di organizzazione che includa checklist complete sulla sicurezza dei dati conformi alle normative globali. In caso contrario, le conseguenze finanziarie sarebbero catastrofiche.

Il report di IBM ha rilevato che solo un terzo delle aziende colpite da una violazione dei dati ha scoperto la violazione attraverso i propri team di sicurezza, evidenziando la necessità di migliori valutazioni del rischio e rilevamento delle minacce. Le valutazioni periodiche dei rischi per la sicurezza IT sono di fondamentale importanza per valutare sistemi, processi e tecnologie per identificare potenziali rischi e punti deboli.

Quando si valutano le soluzioni digitali di compliance, comprese le soluzioni di whistleblowing, le aziende devono essere consapevoli di dove vengono archiviati ed elaborati i dati più sensibili. Oltre ai moderni software di compliance, dovrebbero essere introdotte anche checklist per la sicurezza dei dati per salvaguardare sistemi e dati. Queste devono concentrarsi su aree quali processi, policy di sicurezza, protezione dei dati e account utente.

Quando si tratta di una checklist per la sicurezza dei dati, la protezione dei dati è di fondamentale importanza. Le organizzazioni devono valutare la propria infrastruttura e i propri processi di archiviazione dei dati identificando al contempo tutte le informazioni vulnerabili. Nell’ambito di questo processo, le aziende dovrebbero rivedere e rivalutare regolarmente le policy e le procedure relative alla condivisione o al trasferimento di informazioni, un’area che spesso può rivelarsi un anello debole in un quadro di sicurezza informatica.

Gli audit esterni e la certificazione degli standard di sicurezza possono aiutare le aziende a mantenere i più alti livelli di sicurezza dei dati e fornire rassicurazione ai principali stakeholder. Ad esempio, ISAE 3000 Tipo I e II sostiene gli standard più elevati in termini di trattamento e protezione dei dati personali. ISAE Tipo 1 dimostra che un’organizzazione dispone dei controlli e delle procedure corretti mentre il Tipo 2 garantisce che vengano seguiti. La certificazione ISAE 3000 dimostra che l’entità tratta i dati correttamente ed è pienamente conforme al GDPR.

Purtroppo, gli elevati standard aziendali possono venire meno, soprattutto nel campo della sicurezza IT. In effetti, una checklist per la sicurezza dei dati funziona in modo più efficace all’interno di un’organizzazione che ha costruito una cultura della sicurezza informatica di successo. Oltre agli aspetti tecnici della sicurezza IT, è anche importante fornire una formazione approfondita ai dipendenti per garantire che siano consapevoli delle conseguenze del mancato utilizzo della checklist. Dipendenti che seguono pratiche di sicurezza adeguate, comprendono le checklist, sono pronti a identificare potenziali minacce alla sicurezza informatica e mantengono standard elevati.

Da un punto di vista tecnico, la sicurezza IT dovrebbe essere uno sforzo continuo, soprattutto perché le minacce sono in continua evoluzione e diventano sempre più sofisticate. I penetration test da parte di esperti indipendenti dovrebbero essere eseguiti regolarmente per garantire che un’azienda possa rispondere alle minacce più recenti e mantenere i più alti livelli di sicurezza possibili.

Dato che le API (interfacce di programmazione delle applicazioni) facilitano il trasferimento di dati (spesso privati) tra il sistema di un’azienda e i suoi utenti, possono rivelarsi problematiche. Le API sono parte integrante della moderna infrastruttura IT e, sebbene presentino enormi vantaggi in aree come la condivisione dei dati, comportano rischi per la sicurezza come attacchi denial-of-service, iniezioni di codice o autenticazioni rubate. Di conseguenza, si consiglia alle aziende di mettere in atto una strategia completa di sicurezza API per garantire le migliori pratiche. Dovrebbe essere adottata anche un’archiviazione separata dei dati dei clienti.

Infine, quando si tratta di sicurezza IT di massimo livello, le organizzazioni possono perseguire ulteriori standard di certificazione. Questi possono aiutare un’azienda a dimostrare proattività, migliorare la reputazione aziendale e mettere a proprio agio i clienti se vengono elaborati dati riservati. Ad esempio, ISO 27001 è uno standard internazionale leader sulla sicurezza delle informazioni che aiuta a proteggere dati personali e preziosi, aiutando al contempo le aziende a rispondere ai rischi per la sicurezza in continua evoluzione.

Qualsiasi quadro di riferimento e checklist sulla sicurezza IT deve essere in linea con gli standard internazionali e i requisiti normativi. Ciò può rivelarsi complesso per le aziende, soprattutto quando le attività vengono svolte in più sedi, mentre le sanzioni per la non conformità possono essere paralizzanti.

Ad esempio, il GDPR impone alle aziende di adottare misure per proteggere e trattare in modo sicuro i dati personali dei cittadini dell’UE. Sebbene la legge non imponga una serie specifica di misure di sicurezza informatica, ci si aspetta comunque che le aziende esercitino un livello adeguato di mitigazione del rischio. In caso contrario si rischiano pesanti sanzioni. Nel settembre 2023, TikTok ha ricevuto una sanzione pari a 345 milioni di euro dalla Commissione irlandese per la protezione dei dati per non aver protetto le informazioni personali dei bambini e aver violato il GDPR.

Come accennato in precedenza, le aziende possono ottenere la certificazione per dimostrare di essere compliant al GDPR con adeguate misure di sicurezza informatica, normative sulla gestione dei dati, policy interne e specifiche procedure. Lo stesso vale per leggi internazionali simili sulla privacy dei dati, come il California Consumer Privacy Act (CCPA), entrato in vigore nel 2018 e modellato sul GDPR.

È anche importante menzionare la Direttiva UE sul Whistleblowing, entrata in vigore in tutta Europa, che prevede obblighi rigorosi in materia di protezione dei dati. Sebbene le varie leggi a livello nazionale abbiano gli stessi requisiti di base, ci sono alcune differenze tra i paesi di cui le aziende devono essere consapevoli.

Altrove, le aziende che non prestano attenzione alla conformità IT possono anche incorrere in aree come l’Americans with Disabilities Act (e i suoi equivalenti internazionali) che prevede che i siti web soddisfino gli standard di accessibilità attraverso quattro principi fondamentali: essere percepibili, utilizzabili, comprensibili e robusti.