Il Gdpr e la sicurezza informatica

Senza una normativa unica che obblighi tutti a porre al centro dei loro processi decisionali la sicurezza informatica, siamo sempre in una situazione frammentata. Come un castello medievale, dove le mura e il fossato fossero amministrati da autorità diverse.

Eppure, se analizziamo con attenzione, un privato quanto un pubblico, trattano dati e questi sono sia personali che non. Ma non sono separabili in un sistema informatico. Anche se dovessi avere server dove distribuisco i dati secondo la distinzione “personali e anonimizzati”, questi sono sempre dentro una rete aziendale (anche pubblica). Le difese perimetrali come endpoint sarebbero sempre le stesse e non potrebbero essere inferiori alla adeguatezza necessaria per proteggere i dati.

Una normativa principale, che guida tutti i processi decisionali di pianificazione della sicurezza informatica esiste, quindi, e forse molti lo hanno capito, anche solo come effetto delle misure che bisogna adottare per proteggere i dati.

Due sono i riferimenti che bisognerebbe prendere in considerazione. Prima di tutto l’art.5 del GDPR, e quindi il principio di accountability, di responsabilizzazione. L’imprenditore o il dirigente della PA, se sono responsabili della protezione dei dati personali, di fatto sono responsabili di tutto il sistema di protezione dei dati, personali e non, perché non sono scindibili e non avrebbe senso scindere i due temi dalla sicurezza informatica.

Il tutto come sappiamo si integra con l’art.32 del GDPR.

“Tenendo conto dello stato dell’arte e dei costi di attuazione, nonché della natura, dell’oggetto, del contesto e delle finalità del trattamento, come anche del rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio (…)”.

L’art.32 è uno dei più importanti e fondamentali articoli del GDPR, perché impone al titolare del trattamento dei dati di adottare misure di sicurezza e questo impatta su tutto il sistema informativo. Anche i dati anonimizzati ne giovano, anche i dati “non personali”, spesso parte del know-how aziendale. Non è possibile proteggere una parte del valore di una organizzazione e lasciare non protetto il resto. Inoltre, la stessa determinazione dell’art.32 imponendo misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio sta sintetizzando in poche righe alcuni dei cardini della Sicurezza Informatica.

Questo implica che una normativa unica per tutti, pubblico e privato, un insieme di regole di alto profilo che impongono di adottare misure di sicurezza Informatica ci sono e sono contenute nel GDPR.

Questo impone a sua volta, sempre coerentemente con le disposizioni del GDPR, il rispetto degli standard, l’uso di certificazioni, e tutta una serie di modalità di lavoro che hanno come conseguenza finale la messa in sicurezza del sistema informatico e informativo.