Misure tecniche e organizzative correlate

I seguenti esempi di misure tecniche e organizzative concretizzano ulteriormente il concetto di sicurezza nel GDPR.

Misure a sostegno dell’integrità

Una delle misure tecniche classiche per sostenere l’integrità è l’elaborazione transazionale. È meglio conosciuta dai sistemi di gestione di basi di dati, ma è possibile anche in altre impostazioni^[1]. Le transazioni sono importanti quando un’operazione che porta il sistema da uno stato coerente ad un altro è composta da più passi di elaborazione (cioè, non è “atomica”). Una transazione fa in modo che tutti questi passi o nessuno siano applicati, anche se il sistema dovesse bloccarsi nel mezzo. Garantisce quindi che il sistema rimanga sempre in uno stato coerente.
Le incongruenze possono sorgere a causa di errori di trasmissione in linee di comunicazione rumorose. La misura tecnica di correzione^[2] degli errori in avanti che è incorporata nei moderni protocolli di comunicazione supporta quindi l’integrità dei dati durante il trasferimento.
Una misura tecnica comune per rilevare cambiamenti indesiderati negli insiemi di dati utilizza i checksum (alias hash o digest). In particolare, un checksum di un insieme di dati viene calcolato quando si sa che è in uno stato coerente. In momenti successivi, il checksum dell’insieme di dati può essere nuovamente calcolato e confrontato con quello iniziale per rilevare cambiamenti e corruzione.
L’integrità è una questione importante nella distribuzione del software, in particolare se il software viene scaricato automaticamente su una rete. Gli aggiornamenti automatici dei sistemi operativi sono un primo esempio. Per supportare l’integrità del software, vengono spesso utilizzate misure tecniche come l’autenticazione delle fonti sulla rete e la firma digitale del software. La firma digitale è spesso usata anche per i file di dati.

Misure a sostegno della riservatezza

Una misura organizzativa progettuale a sostegno della riservatezza è un’analisi delle conseguenze che le divulgazioni indesiderate a varie parti possono avere per gli interessati. Questo è paragonabile alla sicurezza informatica dove si identificano gli asset critici dell’organizzazione che hanno bisogno di una protezione particolare.
La riservatezza impone al titolare del trattamento di attuare misure di protezione contro il trattamento non autorizzato (cfr. art. 5(1)(f) GDPR). Come sottolineato negli artt. 29 e 32(4) GDPR, questo include che i dipendenti trattino i dati personali solo su istruzione e secondo le istruzioni del titolare del trattamento. Ci sono una moltitudine di misure organizzative che supportano questo requisito, tra cui le seguenti:
- Verifica dei nuovi dipendenti per garantire le competenze necessarie per eseguire le istruzioni dei titolari del trattamento;
- Il mezzo legale “garantisce che le persone autorizzate a trattare i dati personali si siano impegnate alla riservatezza o siano sottoposte a un adeguato obbligo di riservatezza per legge”. (La formulazione è tratta dall’art. 28(3)(b) che si riferisce alle persone che lavorano per i responsabili del trattamento, ma è ugualmente applicabile alle persone che lavorano per il titolare del trattamento).
- In questo senso, anche i contratti con eventuali responsabili del trattamento(vedi Art. 28(3) GDPR) che trasmettono i requisiti di riservatezza devono essere considerati come misure.
- Formazione dei dipendenti su come eseguire le istruzioni;
- Punti di contatto interni per i dipendenti che vogliono chiarire come eseguire le istruzioni;
- Manuali che descrivono le istruzioni (manuali di processo);
- Supervisione e controllo della qualità.
Ciò che vale per le istruzioni alle risorse umane vale anche per le istruzioni alle risorse tecniche, cioè al software. L’attuazione di misure di protezione contro il trattamento non autorizzato significa che i titolari del trattamento devono accertare che il software corrisponda effettivamente alle loro istruzioni. Ci sono diverse misure per questo scopo, tra cui le seguenti:
- Specificazione di requisiti precisi come input per offerte o sviluppo personalizzato di software;
- Test di accettazione formale da parte del titolare del trattamento;
- Analisi delle nuove versioni del software per accertare che la funzionalità cambiata corrisponda ancora alle istruzioni del titolare del trattamento e che non si sia insinuata una funzionalità aggiuntiva (function creep) che corrisponde a un’elaborazione non autorizzata dal titolare del trattamento.
Un’importante misura tecnica è il controllo dell’accesso che fa sì che solo il personale autorizzato possa accedere ai sistemi e ai dati per scopi autorizzati. Il controllo degli accessi può comportare una moltitudine di misure, tra cui le seguenti:
- Emissione di credenziali di autenticazione.
- Configurazione dei diritti e delle condizioni di accesso.
- Gestione del ciclo di vita delle credenziali e dei diritti di accesso, compresa la scadenza e il rinnovo, la revoca (ad esempio, quando i dipendenti vanno via), la concessione e la revoca dei diritti di accesso temporanei (ad esempio, quando i dipendenti sono malati).
- Audit regolari dell’efficacia generale del sistema di controllo degli accessi.
Esiste un’ampia gamma di misure tecniche volte a impedire a persone non autorizzate (interne o esterne) di accedere ai dati. Di solito si parla di protezione dei dati a riposo, in transito e in uso. I primi due aspetti richiedono generalmente la crittografia.
C’è una grande quantità di misure per impedire alle persone non autorizzate di accedere a sistemi e reti. Alcuni esempi sono i seguenti:
- Hardening dei sistemi operativi;
- Applicazione tempestiva di patch e aggiornamenti critici per la sicurezza;
- Firewall;
- Installazione di software anti-malware;
- Funzionamento dei sistemi di rilevamento delle intrusioni;
Quando si sviluppa il software, sono disponibili molte misure per prevenire l’accesso non autorizzato al software e ai sistemi, tra cui la sanificazione dell’input, le misure di prevenzione per i tipi noti di attacchi come il cross site scripting, i metodi che impediscono i buffer overflow, la randomizzazione della memoria, ecc.
Alcune misure non sono in grado di prevenire direttamente l’elaborazione non autorizzata, ma agiscono come deterrenti aiutando a rilevare tali azioni, determinare chiaramente la responsabilità e consentire di ritenere responsabili le persone che hanno agito senza autorizzazione. Tali misure comportano generalmente la registrazione o la creazione di audit trail.
Una misura importante associata alla fine della vita dei componenti di archiviazione include la distruzione completa e sicura di tutti i dati prima dello smaltimento.

Misure a sostegno della disponibilità e della resilienza

Una misura organizzativa a tempo di progettazione è l’analisi dell’impatto della perdita accidentale sui soggetti dei dati. Questo mira a identificare gli asset che devono essere protetti da misure di disponibilità.
Un’altra misura di design-time riguarda la portabilità dei dati e studia la disponibilità di adeguati formati standardizzati leggibili dalla macchina che sono disponibili e le possibilità di trasferire automaticamente i dati a un altro titolare del trattamento (vedi Art. 20(2) GDPR). 20(2) GDPR).
Un tipo molto comune di misure a sostegno della disponibilità è la ridondanza dello storage. Esempi ben noti sono i seguenti:
- Archiviazione RAID;
- Backups;
- Storage remoto a supporto del disaster recovery.
Oltre alla memorizzazione dei dati, la ridondanza può essere importante anche nei sistemi di elaborazione. Le misure di ridondanza includono quanto segue:
- Configurazioni Master/Slave con fail-over;
- Server farm e configurazioni cloud;
- Strategie di migrazione dei processi basate sulla virtualizzazione.

Per esempi di elaborazione transazionale al di fuori dei DBMS, vedere per esempio https://en.wikipedia.org/wiki/Tuxedo_(software) e https://docs.oracle.com/cd/E13222_01/wls/docs81/jta/trxejb.html (entrambi visitati l’ultima volta il 20/05/2020). ↑
Vedi per esempio, https://en.wikipedia.org/wiki/Forward_error_correction (ultima visita 20/05/2020). ↑