Successfully reported this slideshow.
We use your LinkedIn profile and activity data to personalize ads and to show you more relevant ads. You can change your ad preferences anytime.

La sicurezza nel regolamento 679/2016 (GDPR)

1,348 views

Published on

Una serie di considerazioni sulle misure tecnologiche e organizzative richieste dal nuovo regolamento fatte a partire dall'articolo 32

Published in: Software
  • Be the first to comment

  • Be the first to like this

La sicurezza nel regolamento 679/2016 (GDPR)

  1. 1. La sicurezza nel GDPR: dall'analisi dei rischi alla disclosure dei data breach. Alessandro Vallega - Europrivacy, Clusit, Oracle Il nuovo regolamento europeo in materia di trattamento dati personali: gli elementi di maggiore rilevanza 17 gennaio 2017, Milano EUROPRIVACY.INFO @EUROPRIVACY
  2. 2. @EUROPRIVACY SICUREZZA 32 DEL GDPR misure tecniche e organizzative adeguate
  3. 3. @EUROPRIVACY SICUREZZA 32 DEL GDPR misure tecniche e organizzative adeguate 5 - Principi applicabili al trattamento 24 - Responsabilità del titolare del trattamento 25 - Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita 28 - Responsabile del trattamento (OBBLIGO) 34 - Comunicazione di una violazione dei dati personali all'interessato (OPPOR.) 83 - Condizioni generali per infliggere sanzioni amministrative pecuniarie
  4. 4. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
  5. 5. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. MISURE ADEGUATE
  6. 6. @EUROPRIVACY ADEGUATO AL RISCHIO Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. MISURE ADEGUATE
  7. 7. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
  8. 8. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
  9. 9. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
  10. 10. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
  11. 11. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 1 TECNOLOGIA A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
  12. 12. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacità di assicurare su base permanente la riservatezza, l'integrità, la disponibilità e la resilienza dei sistemi e dei servizi di trattamento; c) la capacità di ripristinare tempestivamente la disponibilità e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 1 TECNOLOGIA A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE REQUISITI
  13. 13. @EUROPRIVACY Art 32.2 Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. Art 32.3 L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 può essere utilizzata come elemento per dimostrare la conformità ai requisiti di cui al paragrafo 1 del presente articolo. Art. 32.4 Il titolare del trattamento e il responsabile del trattamento fanno sì che chiunque agisca sotto la loro autorità e abbia accesso a dati personali non tratti tali dati se non è istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri ANCORA REQUISITIANCORA REQUISITICODICI DI CONDOTTACERTIFICA- ZIONI
  14. 14. @EUROPRIVACY SICUREZZA 32 DEL GDPR REQUISITI DI NUOVO IL RISCHIO ADEGUATO AL RISCHIO MISURE ADEGUATE ANCORA REQUISITIANCORA REQUISITI CODICI DI CONDOTTA CERTIFICA- ZIONE REQUISITI REQUISITI 1 TECNOLOGIA A TITOLO DI ESEMPIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA
  15. 15. @EUROPRIVACY SICUREZZA 32 DEL GDPR 1. Bisogna fare l’analisi del rischio3. Abbiamo chiari i requisiti ma non le soluzioni 2. Bisogna conoscere la tecnologia di sicurezza
  16. 16. @EUROPRIVACY Come ci aiuteranno le certificazioni e i codici di condotta? Cosa ci chiederanno l’ispettore del Garante e il perito del tribunale in merito alle misure di sicurezza?
  17. 17. @EUROPRIVACY Loro faranno riferimento ad alcune best practices di sicurezza come: • Strong / Multilevel / Federated Authentication • Adaptive / Fine Grained Access Control / Authorization • Segregation of Duties • Need to Know / Least Privilege • Accountability / Log Management • Encryption • Anonymization and Pseudinymization • Segregation of Environment • Secure Configuration Management • Hardening • Attestation & Role Management
  18. 18. @EUROPRIVACY Noi purtroppo sappiamo che c’è ampio margine di miglioramento nei nostri reparti IT • Password di gruppo e condivise • Ampio accesso a produzione, tollerato o previsto • Copie di produzione per sviluppo e test • Nessun log o scarso e inefficace, nessuna analisi e alerting • Niente patching e sistemi operativi obsoleti • Privilegi eccessivi degli account • Nessuna cifratura • Assente controllo accessi • Gestione frammentaria dell’identità • Scarsa separazione dei compiti, delle reti e degli ambienti Il rapporto Clusit sulla Sicurezza ICT in Italia ne descrive gli effetti e le cause. Nell’edizione del 2016 abbiamo descritto i “Most Common Mistakes” della gestione dei dati nei DBMS
  19. 19. @EUROPRIVACY DOCUMENTARE IL PROCESSO DI MIGLIORAMENTO E TENERNE SCRUPOLOSA TRACCIA PER POTER DIMOSTRARE LA CONFORMITA’ (ART. 24) TENEREIL“REGISTRODEITRATTAMENTI” (ART.30) IDENTIFICAZIONEDELLE APPLICAZIONIEDEI DATABASE GESTIRE LE IDENTITA’ PROTEGGERE I DATI ADEGUARE IL PROCESSO DI GESTIONE DEGLI INCIDENTI (NOTIFICA E COMUNICAZIONE DELLE VIOLAZIONI ART. 33 / 34) • INTEGRARE LO ISMS AZIENDALE (INFORMATION SECURITY MANAGEMENT SYSTEM) FARE L’ANALISI DEI RISCHI (E FARE LA VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI ART.35) • CONTROLLARE I PROFILI AUTORIZ- ZATIVI DEGLI UTENTI / IT E ADMIN • IMPORRE IL PRINCIPIO DEL “NEED TO KNOW” • GESTIRE REPOSITORY DI IDENTITA’ ON PREMISE E NEL CLOUD • RACCOGLIERE E ANALIZZARE I LOG • INTEGRARE IL SISTEMA AZIENDALE DI GESTIONE DEI RISCHI • CIFRARE I DATI (ART 32) • MASCHERARE I DATI (CONSID. 26) Da dove iniziare per rimediare?
  20. 20. @EUROPRIVACY DOCUMENTARE IL PROCESSO DI MIGLIORAMENTO E TENERNE SCRUPOLOSA TRACCIA PER POTER DIMOSTRARE LA CONFORMITA’ (ART. 24) TENEREIL“REGISTRODEITRATTAMENTI” (ART.30) IDENTIFICAZIONEDELLE APPLICAZIONIEDEI DATABASE GESTIRE LE IDENTITA’ PROTEGGERE I DATI ADEGUARE IL PROCESSO DI GESTIONE DEGLI INCIDENTI (NOTIFICA E COMUNICAZIONE DELLE VIOLAZIONI ART. 33 / 34) • INTEGRARE LO ISMS AZIENDALE (INFORMATION SECURITY MANAGEMENT SYSTEM) FARE L’ANALISI DEI RISCHI (E FARE LA VALUTAZIONE D’IMPATTO SULLA PROTEZIONE DEI DATI ART.35) • CONTROLLARE I PROFILI AUTORIZZATIVI UTENTI / IT E ADMIN • IMPORRE IL PRINCIPIO DEL “NEED TO KNOW” • GESTIRE REPOSITORY DI IDENTITA’ ON PREMISE E NEL CLOUD • RACCOGLIERE E ANALIZZARE I LOG • INTEGRARE IL SISTEMA AZIENDALE DI GESTIONE DEI RISCHI • CIFRARE I DATI (ART 32) • MASCHERARE I DATI (CONSID. 26) Da dove iniziare per rimediare? ALCUNE DELLE MISURE TECNICHE ADEGUATE ALCUNE DELLE MISURE ORGANIZZATIVE ADEGUATE
  21. 21. @EUROPRIVACY Approfittiamo del GDPR per fare meglio l’IT
  22. 22. @EUROPRIVACY Approfittiamo del GDPR per fare meglio l’IT e grazie per l’attenzione Alessandro Vallega LinkedIn Twitter U3L4 alessandro.vallega@oracle.com www.europrivacy.info Disclaimer: Lavoro in Oracle ma le opinioni espresse in questa presentazione sono le mie...

×