La Giornata mondiale della privacy, che si celebra ogni anno il 28 gennaio, serve a ricordare l’importanza della protezione dei dati personali nell’era digitale odierna. Con il progresso tecnologico e la crescente diffusione delle informazioni personali online, sia i singoli individui che le organizzazioni devono adottare misure adeguate per salvaguardare i propri dati.
Le nuove normative, come il DORA (Digital Operational Resiliency Act), impongono alle organizzazioni di elaborare piani per la gestione dei rischi, la segnalazione degli incidenti e i test di resilienza. Tali normative definiscono le politiche relative alla gestione dei dati, tra cui la crittografia, la localizzazione dei dati e il loro ciclo di vita. Gartner prevede che «entro il 2023, il 65% della popolazione mondiale vedrà i propri dati personali disciplinati da varie normative sulla privacy, e le aziende avranno bisogno di soluzioni flessibili in grado di adattarsi alla molteplicità delle normative». Orientarsi in questo contesto complesso può rappresentare una sfida sia per i singoli individui che per le aziende.
La privacy dei dati consiste nel proteggere le informazioni personali e nel garantire alle persone il controllo sulle modalità di raccolta, utilizzo e conservazione dei propri dati. D’altra parte, la protezione dei dati si riferisce alle misure tecniche e organizzative messe in atto per proteggere i dati (compresi i dati personali) da accessi, utilizzi, alterazioni o distruzioni non autorizzati. La protezione dei dati comprende la privacy dei dati e altri ambiti, tra cui il Backup and Recovery, il Recovery di emergenza, la sicurezza dei dati e una serie di altri settori.
Per aiutare ad affrontare questa complessità, dedichiamo un po’ di tempo all’esame dei 10 argomenti principali da tenere in considerazione nella gestione della privacy e della protezione dei dati.
1. Strategia
di protezione dei dati 2. Crittografia
3. Autenticazione
multipla 4. Archiviazione
immutabile 5. Sovranità
dei dati 6. Governance e individuazione
dei dati 7. Classificazione dei dati
8. Conservazione
dei dati 9. Test dei piani di resilienza e risposta
agli incidenti 10. Valutazione dei rischi
1. Strategia sulla protezione dei dati
Le organizzazioni dovrebbero iniziare elaborando o aggiornando un piano relativo alla riservatezza dei dati, al Backup and Recovery, nonché al Recovery in caso di disastri, nell’ambito di una strategia complessiva di protezione dei dati. Un piano di protezione dei dati affidabile presenta molteplici aspetti e si collega in modo specifico alla tutela dei dati personali che i clienti hanno condiviso con la vostra organizzazione.
2. Crittografia
La crittografia è una caratteristica fondamentale della protezione dei dati e della tutela dei dati personali. Consentire la crittografia dei dati sia inattivi che in transito aiuta a prevenire l’accesso non autorizzato alle informazioni personali. Ciò è particolarmente importante per le organizzazioni che gestiscono grandi quantità di dati personali, come gli operatori sanitari e gli istituti finanziari. I dati non risiedono più solo nei nostri data center aziendali, poiché la maggior parte delle organizzazioni dispone di uno o più cloud pubblici in cui sono archiviati carichi di lavoro e dati. Garantire la sicurezza dei dati tramite la crittografia per tutto il loro ciclo di vita contribuisce a mitigare il rischio di potenziali attacchi.
3. Autenticazione a più fattori
Oltre a proteggere i dati tramite la crittografia, le organizzazioni devono salvaguardare i propri sistemi dagli attacchi malevoli. L’utilizzo dell’autenticazione multipla (MPA) nei sistemi di protezione dei dati garantisce che le operazioni critiche richiedano approvazioni multiple da parte di utenti preventivamente autorizzati. Spesso sottovalutato, questo è uno dei modi più semplici per impedire operazioni quali l’esfiltrazione o la cancellazione dei dati.
4. Archiviazione immutabile
L’archiviazione immutabile consente di registrare dati, privati o di altro tipo, che non possono essere ulteriormente modificati o cancellati. L’impossibilità di manomettere o alterare i dati garantisce il mantenimento della loro integrità. I requisiti relativi all’archiviazione immutabile stanno rapidamente diventando una componente standard delle normative sulla governance dei dati, come il GDPR, l’HIPAA e altre. Se abbinata alla MPA, questa soluzione consente di creare livelli di archiviazione dei dati altamente sicuri, ideali per la conservazione di dati riservati e privati.
5. Sovranità dei dati
Le organizzazioni dovrebbero tenere conto delle normative relative all’archiviazione dei dati personali quando sviluppano una strategia di protezione dei dati. Ciò include l’ubicazione dell’archiviazione dei dati e la conformità alle normative in materia di sovranità dei dati. Ad esempio, un carico di lavoro basato sul cloud su GCP in Europa o contenente dati di cittadini dell’UE deve essere conforme alle normative dell’Unione Europea. Indipendentemente dalla sede in cui risiedono i dati personali, anche se temporaneamente, potrebbe essere richiesto che si trovino in una regione specifica in base ai requisiti normativi. Commvault contribuisce a risolvere questo problema nella sua ultima versione, consentendo ai clienti di selezionare la regione specifica da utilizzare per l’archiviazione delle istantanee e la protezione dei dati, anziché ricorrere a più regioni, soluzione che comporta costi maggiori e potrebbe essere soggetta a requisiti normativi diversi.
6. Gestione e individuazione dei dati
In un recente sondaggio, il 57% dei CISO ammette di non sapere dove si trovino alcuni o tutti i propri dati, né come siano protetti! Man mano che la quantità di dati personali continua a crescere, il numero delle normative aumenta in modo esponenziale e ci si trova disorientati su cosa e come proteggere i propri dati. Di conseguenza, le organizzazioni devono comprendere i propri dati, dove si trovano e quali sono i rischi. Essere in grado di stabilire le priorità dei dati in base alle politiche, alle priorità e alle normative applicabili della propria organizzazione è fondamentale per proteggerli. Non è possibile proteggere ciò di cui non si conosce l’esistenza!
7. Classificazione dei dati
Sapere quali dati esistono e dove si trovano è solo una parte della soluzione. Le organizzazioni devono valutare quali dati siano dati personali dei clienti, dati critici per l’azienda, ecc., in termini di importanza per la propria attività e per i propri clienti. Proteggere solo i dati on-premise potrebbe significare trascurare alcuni dati critici dei clienti presenti nella vostra soluzione CRM basata su SaaS. A tal proposito, per garantire la protezione dei vostri dati dovete affidarvi a soggetti diversi dal vostro fornitore SaaS o persino dai vostri provider di cloud IaaS. Questi ultimi possono fornire alcuni SLA e un certo livello di ridondanza, ma ciò non sostituisce un solido piano di protezione dei dati. La gestione della classificazione dei dati non è un’operazione da svolgere una tantum, dato che il volume dei dati cresce ogni anno in modo esponenziale.
8. Fidelizzazione
È fondamentale sapere quali dati esistono e quanto siano importanti, ma per quanto tempo rimangono rilevanti? Si tratta di una domanda a cui è difficile rispondere per la maggior parte delle organizzazioni, e che si ripropone ogni anno quando si acquistano sistemi di archiviazione sempre più capienti per ospitare i dati aziendali. La capacità di assegnare una durata prevista ai dati può influire in modo significativo sui profitti della vostra organizzazione e proteggere i dati personali dei vostri clienti. Disporre di sistemi in grado di individuare, classificare e impostare automaticamente i tempi di conservazione ridurrà la probabilità di proliferazione dei dati, ridurrà il tempo necessario per recuperare i dati inutilizzati e ridurrà i costi. Se state cercando un ottimo punto di partenza per gestire in modo efficiente la governance, i rischi e la conformità, leggete l’approccio unico di Commvault alla gestione unificata dei dati.
9. Verifica del piano di resilienza e di risposta agli incidenti
Il collaudo del piano di resilienza, spesso denominato “runbook”, è un aspetto della strategia di protezione dei dati che viene spesso trascurato. La creazione o l’aggiornamento di un piano obsoleto può richiedere tempo e impegno. Collaborare con fornitori di soluzioni o aziende specializzate nella protezione strategica dei dati, che vantano esperienza nella creazione di tali piani, può ridurre notevolmente il tempo necessario per aggiornarli. Sebbene possa sembrare banale pensare che i “runbook” siano ormai superati, ho constatato che, quando si verifica un vero e proprio evento di DR (disaster recovery) o un attacco ransomware, essi rappresentano la risorsa fondamentale da avere nel proprio arsenale di strumenti. Un ritmo regolare di aggiornamenti crea una struttura organizzativa pronta ad affrontare di petto le minacce alla sicurezza dei dati.
10. Valutazione dei rischi
Come già accennato in merito al runbook, è opportuno valutare la possibilità di collaborare con fornitori strategici per effettuare una valutazione dei rischi con cadenza semestrale o annuale. Le revisioni programmate possono contribuire a consolidare una mentalità orientata alla protezione e alla riservatezza dei dati. Il vantaggio di collaborare con fornitori affermati nel campo della protezione e della riservatezza dei dati è che questi sono sempre aggiornati sulle ultime minacce alla sicurezza e sulle relative strategie di mitigazione.
Mettendo in pratica questa serie di considerazioni e aggiornando regolarmente il vostro piano di resilienza, potrete avere la certezza che i dati personali siano al sicuro e conformi alle più recenti normative sulla privacy. Se non sapete da dove iniziare, ma avete bisogno dell’aiuto di un’azienda in grado di rispondere a tutte queste domande.
Commvault è qui per aiutarti! Aggiungiamo continuamente nuove funzionalità, tra cui i nostri ultimi miglioramenti in materia di sovranità dei dati a livello regionale per le istantanee di backup, le certificazioni di settore, le funzionalità di archiviazione immutabile e molto altro ancora.
Visita la nostra community per saperne di più o prova subito il servizio su https://www.commvault.com/request-demo
