GDPR e Cybersecurity

GDPR e CyberSecurity – 12 Punti Fondamentali

• 1-IDENTIFICAZIONE: è richiesta l’identificazione dei dati personali e la valutazione dei rischi associati al loro trattamento.
• 2-VULNERABILITY ASSESSMENT: l’articolo 32 del GDPR richiede che le organizzazioni che gestiscono dati personali eseguano regolarmente analisi delle vulnerabilità sui propri sistemi e sulle proprie reti per identificare eventuali falle di sicurezza che potrebbero essere sfruttate da un attaccante.
• 3-MISURE DI SICUREZZA: il GDPR richiede che le organizzazioni adottino una serie di misure tecniche di sicurezza come firewall, IPS, IDS, EDR.
• 4-PROTEZIONE: è richiesta la protezione dei sistemi informatici e delle applicazioni che gestiscono i dati personali con password sicure, crittografia e altre misure di sicurezza adeguate.
• 5-AUTENTICAZIONE: è richiesta l’Adozione di un sistema di autenticazione forte per l’accesso ai dati personali (MFA).
• 6-TRASFERIMENTO: è necessario garantire la protezione dei dati personali in caso di trasferimento degli stessi verso paesi terzi.
• 7-AGGIORNAMENTO: il GDPR richiede la Regolare manutenzione dei sistemi informatici e delle applicazioni che gestiscono i dati personali.
• 8-BACKUP: sempre nell’articolo 32 del GDPR si afferma che le organizzazioni devono garantire “la capacità di ripristinare la disponibilità dei dati personali e l’accesso ad essi in tempi adeguati in caso di incidente fisico o tecnico”.
• 9-LOG AMMINISTRATORE: le organizzazioni sono tenute ad avere un registro delle informazioni dettagliate sulle attività degli utenti e degli amministratori di sistema per i sistemi e per le applicazioni che gestiscono i dati personali.
• 10-FORMAZIONE: è necessario che il personale che tratta i dati personali sia adeguatamente istruito, formato e sensibilizzato ai rischi associati al trattamento.
• 11-SUPPLY CHAIN: L’adeguata gestione della supply chain implica l’adozione di misure di sicurezza per garantire la protezione dei dati personali durante il trattamento da parte dei fornitori e dei subappaltatori.
• 12-INCIDENT RESPONSE: è necessario definire un piano d’azione dettagliato che identifichi le azioni da intraprendere in caso di incidente informatico e le risorse necessarie per gestirlo.