La Settimana della privacy dei dati è un evento annuale che mira a sensibilizzare l’opinione pubblica sull’importanza della privacy e della sicurezza dei dati. L’obiettivo della Settimana della privacy dei dati è quello di informare i singoli cittadini e le organizzazioni sull’importanza di proteggere i dati personali e di fornire loro gli strumenti e le risorse necessari per farlo in modo efficace.

We’ve brought together three opinion leaders to discuss the key data privacy challenges that face businesses around the world and how to overcome them.

Bill Mew, Data Privacy Champion and CEO of the Crisis Team is joined by Jakub Lewandowski – Global Data Governance Officer, Commvault and Thomas Bryant – Product Marketing Director, Commvault as they discuss;

• Tendenze e sfide attuali in materia di privacy e sicurezza dei dati
• Leggi e normative relative alla privacy dei dati, quali il Regolamento generale sulla protezione dei dati (GDPR) nell’Unione Europea e il California Consumer Privacy Act (CCPA) negli Stati Uniti, nonché il DORA e la NIS2
• Best Practices for protecting data – including a modern (and tested) data protection strategy and conducting regular risk assessments
• The current state of Data Privacy policy and legislation compliance/ enforcement  

Scopri di più su questi argomenti nella nostra serie di articoli del blog dedicata alla Settimana della privacy dei dati, ora disponibile

• 5 normative fondamentali in materia di protezione dei dati
• Le 10 principali priorità delle organizzazioni in materia di privacy e protezione dei dati nel 2023
• Campanello d’allarme: Il problema dell’applicazione della sicurezza privata

La Giornata mondiale della privacy, che si celebra ogni anno il 28 gennaio, serve a ricordare l’importanza della protezione dei dati personali nell’era digitale odierna. Con il progresso tecnologico e la crescente diffusione delle informazioni personali online, sia i singoli individui che le organizzazioni devono adottare misure adeguate per salvaguardare i propri dati.

New regulations, such as DORA (Digital Operational Resiliency ACT), mandate that organizations create plans for risk management, incident reporting, and resilience testing. These regulations outline policies for data management, including encryption, data locality, and data lifecycles. Gartner prevede, “by 2023, 65% of the world’s population will have its personal data covered under various privacy regulations, and companies need flexible solutions that can adapt to the multitude of legislation.” Navigating this complex environment can be challenging for both individuals and companies.

Data Privacy is protecting personal information and giving individuals control over how their data is collected, used, and stored.  On the other hand, data protection refers to the technical and organizational measures put in place to protect data (including personal data) from unauthorized access, use, alteration, or destruction. Data protection encompasses Data Privacy and other areas, including backup & recovery, disaster recovery, data security, and a host of other areas.

To help address that complexity, let’s spend some time reviewing the Top 10 topics to consider when managing Data Privacy and Data Protection.

1.Data Protection Strategy
2.Crittografia
3.Multi-Person Authentication
4.Archiviazione Immutabile
5.Sovranità dei dati
6.Data Governance & Discovery
7.Classification of data
8.Conservazione dei dati
9.Resilience plan testing & incident response
10.Risk Assessment

1. Data Protection Strategy

Organizations should start by creating or updating a Data Privacy, Backup & Recovery, and Disaster Recovery plan as part of an overall data protection strategy. There are many facets to a reliable data protection plan and how it specifically relates to protecting the private data your customers have shared with your organization.

2. Encryption

La crittografia è una caratteristica fondamentale della protezione dei dati e della tutela dei dati personali. Consentire la crittografia dei dati sia inattivi che in transito aiuta a prevenire l’accesso non autorizzato alle informazioni personali. Ciò è particolarmente importante per le organizzazioni che gestiscono grandi quantità di dati personali, come gli operatori sanitari e gli istituti finanziari. I dati non risiedono più solo nei nostri data center aziendali, poiché la maggior parte delle organizzazioni dispone di uno o più cloud pubblici in cui sono archiviati carichi di lavoro e dati. Garantire la sicurezza dei dati tramite la crittografia per tutto il loro ciclo di vita contribuisce a mitigare il rischio di potenziali attacchi.

3. Multi-person authentication

Oltre a proteggere i dati tramite la crittografia, le organizzazioni devono salvaguardare i propri sistemi dagli attacchi malevoli. L’utilizzo dell’autenticazione multipla (MPA) nei sistemi di protezione dei dati garantisce che le operazioni critiche richiedano approvazioni multiple da parte di utenti preventivamente autorizzati. Spesso sottovalutato, questo è uno dei modi più semplici per impedire operazioni quali l’esfiltrazione o la cancellazione dei dati.

4. Immutable Storage

L’archiviazione immutabile consente di scrivere dati, privati o di altro tipo, che non possono essere ulteriormente modificati o cancellati. L’impossibilità di manomettere o alterare i dati garantisce il mantenimento dell’integrità degli stessi. I requisiti relativi all’archiviazione immutabile stanno rapidamente diventando una componente standard delle normative sulla governance dei dati, come il GDPR, l’HIPAA e altre. Se abbinata alla MPA, questa soluzione consente di creare livelli di archiviazione dei dati altamente sicuri, ideali per la conservazione di dati riservati e privati.

5. Data Sovereignty

Organizations should consider regulations surrounding private data storage when developing a data protection strategy. This includes the location of data storage and compliance with regulations regarding data sovereignty. For example, a cloud-based workload on GCP in Europe or containing EU citizens’ data must comply with EU regulations. Anywhere that private data may reside, even if temporary, may be required to be in a specific region under regulatory requirements. Commvault helps to address this concern in its latest release, allowing customers to select which specific region they will leverage for snapshot & data protection storage vs. multiple regions that cost more and may have different regulatory requirements.

6. Data Governance & Discovery

In a recent survey, il 57% dei CISO admit they don’t know where some or all their data is or how it is protected! As this amount of private data continues to grow, the sheer number of regulations expands exponentially, and we are confused about what and how we should protect our data.  As a result, organizations need to understand their data, where it is, and what is at risk.  Being able to prioritize data based on your organization’s policies, priorities, and applicable regulations is critical to protecting the data. You cannot protect what you don’t know about!

7. Classification of data

Sapere quali dati esistono e dove si trovano è solo una parte della soluzione. Le organizzazioni devono valutare quali dati siano dati privati dei clienti, critici per l’azienda, ecc., in termini di importanza per la propria attività e per i propri clienti. Proteggere solo i dati on-premise potrebbe significare trascurare alcuni dati critici dei clienti presenti nella vostra soluzione CRM basata su SaaS. A tal proposito, per garantire la protezione dei vostri dati dovete affidarvi a soggetti diversi dal vostro fornitore SaaS o persino dai vostri provider di cloud IaaS. Questi ultimi possono fornire alcuni SLA e un certo livello di ridondanza, ma ciò non sostituisce un solido piano di protezione dei dati. La gestione della classificazione dei dati non è un’operazione da svolgere una tantum, dato che il volume dei dati cresce ogni anno in modo esponenziale.

8. Retention

It is paramount to know what data exists and how important it is, but how long does it stay relevant? This is a hard question to answer for most organizations and one that can be seen every year when buying ever-increasing storage systems to house corporate data. The ability to assign an expected lifespan to data can significantly impact your organization’s bottom line AND protect your customers’ private data. Having systems in place to automatically find, classify, and set retention will reduce the likelihood of data sprawl, reduce the amount of time to recover unused data, and reduce costs. If you are looking for a great place to start efficiently managing your governance, risk, and compliance, read through Commvault’s unique approach to gestione unificata dei dati.

9. Resilience plan testing & incident response

Resilience plan testing often referred to as a runbook, is an often-overlooked area of a data protection strategy. Creating or updating an outdated plan can take time and effort. Partnering with solution providers or strategic data protection companies with experience in creating a plan can significantly reduce the time it takes to get current. While it may be trivial to think runbooks are passe, I’ve found that when an actual DR event or ransomware attack hits, they are the GO-TO asset you want in your arsenal of tools. A regular cadence of updates creates an organizational posture that is ready to face data security threats head-on.

10.  Risk Assessment

As mentioned with runbook, consider working with strategic vendors to perform a risk assessment semi-annually or annually. Scheduled reviews can help build the muscle memory for a solid data protection and data privacy mindset. The benefit of working with well establish data protection & data privacy vendors is they are up to date on the latest security threats and mitigation strategies.

By implementing this list of considerations and routinely refreshing your resilience plan, you can be confident that personal information is secure and compliant with the latest privacy regulations. If you aren’t sure where to start but need help from a company that can answer all these questions.

Commvault è qui per aiutarti! Aggiungiamo continuamente nuove funzionalità, tra cui i nostri ultimi miglioramenti in materia di sovranità dei dati a livello regionale per le istantanee di backup, le certificazioni di settore, le funzionalità di archiviazione immutabile e molto altro ancora.

Head over to our community to Per saperne di più or take a test drive today https://www.commvault.com/request-demo

Happy 2023 Data Privacy Week!

Just as everyone started to get more or less cozy with the regulatory landscape in data privacy/protection and individuals and businesses learned to navigate the shallow waters of data subject requests, risk management, and impact assessments – BOOM – another tidal wave of regulatory requirements and new challenges rushed in!

2023 is the perfect moment to start internalizing new acronyms (get ready for #NIS2, #DORA, #DPDPB, #CPRA, #CCPA, #CPA, #CDPA, #UCPA, #VCDPA, #ADPPA, #PrivacyPenaltyBill) and legislative acts they stand for.

L’obiettivo alla base delle imminenti modifiche è quello di rafforzare e migliorare la sicurezza informatica delle varie organizzazioni e gestire in modo più efficace i rischi informatici in continua evoluzione.

Ecco una panoramica generale di alcuni sviluppi giuridici in tutto il mondo:

• EU – Directive (EU) 2022/2555 on measures for a high common level of cybersecurity across the Union (NIS2)
• EU – Regulation on digital operational resilience for the financial sector (DORA)
• US – State & Federal privacy laws
• India – Digital Personal Data Protection Bill (DPDPB)
• Australia – Privacy Penalty Bill & overhaul of the Privacy Act 1988

NIS2

According to ENISA, the general spending on cybersecurity is 41 % lower by organisations in the EU than by their US counterparts. With the arrival of NIS2, this ratio is expected to shift to cover this enormous gap at least partially. Conservative estimates are that NIS2 entry in force will translate into a ~22% increase in ICT spending over a 3–4-year period.

La direttiva NIS2 è stata pubblicata poco prima della fine dell’anno e gli Stati membri dell’UE hanno ora 21 mesi di tempo per recepire nella legislazione nazionale i requisiti e i meccanismi in essa descritti. La direttiva NIS del 2016 – nonostante alcune lacune – ha costituito una pietra miliare per il potenziamento delle capacità degli Stati membri in materia di sicurezza informatica. Ora, la NIS2 amplierà l’ambito di applicazione e l’elenco delle organizzazioni interessate. Si prevede che ben 160 000 organizzazioni saranno soggette a questa nuova normativa, tra cui i fornitori di servizi digitali (piattaforme e servizi di data center), i fornitori di reti e servizi di comunicazione elettronica, il settore manifatturiero, quello alimentare e il settore pubblico.

NIS2 aims to strengthen cybersecurity postures by, amongst other: improving cybersecurity governance, addressing the security of supply chains, streamlining reporting obligations (early warnings/shortened notification periods), and introducing more stringent supervisory measures and stricter enforcement requirements.

Cosa puoi fare in questo momento?

• First, try to understand which obligations will apply to your organization and in which compliance bucket your organization will fall into: “Essential Entity,” “Important Entity,” or maybe “other.”
• Successivamente, verifica se è possibile creare sinergie e sfruttare le misure tecniche e organizzative già implementate nel corso di precedenti iniziative di conformità (ad esempio, GDPR, NIS1, ecc.)
• Iniziate a cercare i partner giusti in grado di supportare adeguatamente i vostri sforzi di conformità. Coinvolgete i vostri fornitori nella discussione dell’approccio più adatto alla vostra organizzazione.
• Infine, ma non meno importante, iniziate a pianificare un aumento della spesa per colmare eventuali lacune residue. La mancata conformità potrebbe comportare sanzioni amministrative fino a 10 milioni di euro o fino al 2% del fatturato annuo globale totale dell’organizzazione.

DORA

DORA aims to achieve “a high common level of digital operational resilience,” mitigating cyber threats and ensuring resilient operations across the EU financial sector. It will become directly applicable from Jan 17th, 2025. It will impact the financial sector (banks, insurance companies, investment firms) and its ICT providers (i.e., cloud platforms) – roughly around 22 000 organizations.

I nuovi requisiti imposti dal DORA si tradurranno, in sostanza, nella revisione e nell’aggiornamento delle pratiche di gestione del rischio. I clienti del settore finanziario dovranno trasferire il maggior numero possibile di rischi normativi ai fornitori di ICT oppure adottare diverse strategie di mitigazione del rischio. In ogni caso, i fornitori di ICT dovranno essere in grado di garantire il rispetto dei requisiti del DORA. L’intero settore dovrà inoltre rivalutare i rapporti contrattuali con i fornitori. Il DORA introdurrà requisiti per i contratti tra le società finanziarie e i loro fornitori di ICT critici, tra cui l’ubicazione in cui vengono trattati i dati, le descrizioni degli accordi sul livello di servizio, gli obblighi di rendicontazione, i diritti di accesso e le circostanze che potrebbero portare alla risoluzione del contratto.

In a separate post – Commvault’s Product Team will perform a more technical deep-dive into DORA’s requirements related to detection (art. 10), response and recovery (art. 11), and backup (art. 12).

US data privacy laws – CPRA/CCPA, CPA, CDPA, UCPA, VCDPA, ADPPA

As of January 1st, 2023, California Privacy Rights Act (CPRA) amendments to the California Consumer Privacy Act 2018 went into effect. Many temporary exemptions in place expire, imposing additional obligations on companies dealing with California residents’ personal information, e.g., regarding employment-related personal data, opt-out from selling personal information.

2023 is also the year when the Colorado Privacy Act (CPA), The Connecticut Data Privacy Act (CDPA), The Utah Consumer Privacy Act (UCPA), and The Virginia Consumer Data Privacy Act (VCDPA) will become effective. Legislative fragmentation risk is imminent and substantial, and this is the kind of risk that caused the European Union to harmonize the regulatory approach. Let us see whether the same will be true in 2023 in the case of the American Data Privacy and Protection Act (‘ADPPA’) – a proposal for a federal and general data privacy law.

India – DPDPB

Indian legislators plan to introduce a very ambitious Digital Personal Data Protection Bill (DPDPB) this year. When enacted, long-awaited legislation will undoubtedly impact all kinds of organizations due to India’s role as a tech powerhouse and a global outsourcing hub.

Australia – Privacy Penalty Bill & overhaul of the Privacy Act

Australian authorities announced yet another complete overhaul of the Privacy Act dated 1988. The current legislation was summarized as “out of date and not fit for purpose in the digital age.”

Nel frattempo, sempre nel 2022, l’Australia ha approvato il “Privacy Penalty Bill”, che ha inasprito le sanzioni in materia di privacy portandole a livelli paragonabili a quelli introdotti dal GDPR (fino a 50 milioni di AUD) e ha ampliato i poteri normativi dell’Ufficio del Commissario australiano per l’informazione (OAIC) e dell’Autorità australiana per le comunicazioni e i media (ACMA).

Summary

Il tempo che scorre inesorabile per la conformità ha appena ricominciato a ticchettare. I team interfunzionali, composti da professionisti dei settori IT, conformità, privacy, legale e da analisti aziendali, dedicheranno molto tempo all’analisi dell’impatto della valanga di novità legislative emerse alla fine dello scorso anno e che si concretizzeranno nel corso del 2023.

Tenete presente che gli sviluppi legislativi qui presentati potrebbero essere più esaustivi. Potete stare certi, tuttavia, che diventeranno argomenti di discussione ricorrenti non solo nel 2023, ma anche negli anni a venire.

Nell’ambito di una serie di tre articoli dedicati alla Giornata della protezione dei dati 2023 (si vedano gli articoli correlati diJakub LewandowskieThomas Bryant ), Bill Mew argues that there is a real enforcement problem – it’s like the ‘Wild West’ out there.

Le politiche, i quadri normativi e le regole sono utili solo se vengono rispettati, proprio come le normative e le leggi non hanno alcun senso se non vengono applicate. Il problema nel campo della protezione dei dati e della sicurezza informatica è che, laddove le regole dovrebbero essere applicate, vengono spesso ignorate, e laddove sono state introdotte delle leggi, occorre garantirne una maggiore applicazione.

I CISO (Chief Information Security Officer) hanno un compito ingrato. Il personale è solitamente riluttante a rispettare le misure di “igiene informatica” che un CISO cerca di far applicare, ma quando la loro mancanza di disciplina porta a una violazione, questi colleghi sono fin troppo pronti ad attribuire la colpa al CISO. Come se non bastasse, mentre ci sono normative costose e complesse da rispettare e regole rigide sulla segnalazione delle violazioni, le autorità, lungi dall’aiutare a gestire eventuali incidenti o a catturare i veri criminali, si limitano a utilizzare le segnalazioni per valutare l’assegnazione delle multe.

Functional, Cultural Mismatch

Se interpellati, la maggior parte dei dipendenti concorderebbe sul fatto che le minacce informatiche rappresentano un problema significativo, ma nel loro lavoro quotidiano si concentrano su indicatori di ROI (ritorno sull’investimento) incentrati sui ricavi o sui profitti. Sono proprio questi gli indicatori in base ai quali vengono valutate le loro prestazioni individuali e di reparto e su cui si basano le politiche di incentivazione a livello aziendale.

The CISO is instead focused on return on risk (ROR). Based on the allocated budget and the organisation’s risk appetite, the CISO focuses on maximising security and minimising risk.

The mismatch between the CISO’s ROR orientation and just about everyone else’s ROI orientation can put the CISO at odds with the rest of the management team. They may not only become isolated (what I term CISOlation) but can also be a scapegoat when things go wrong – even when warnings are ignored.

Perverse regulatory incentives

In an accompanying article, Jakub Lewandowski [LINK] has explored the raft of new privacy and cybersecurity laws expected to add to a considerable regulatory burden. The problem is that regulation without enforcement is not just pointless but counter-productive. After all, only responsible companies will comply with these regulations, and for them, it represents a cost or compliance tax. Meanwhile, irresponsible ones often choose not to abide by the rules. If they believe that there is little or no risk of enforcement, then this is a cost-saving and risk-free source of competitive advantage.

La mancata conformità è un fenomeno diffuso e proviene dai vertici aziendali, come dimostrano i frequenti titoli dei giornali relativi a incidenti relativi ai dati che coinvolgono le Big Tech o alle multe loro inflitte. Tali multe non sembrano avere un effetto deterrente, ma vengono invece considerate un costo aggiuntivo di gestione da parte delle Big Tech e di molte altre aziende che hanno avuto la sfortuna di subire un incidente relativo ai dati.

Again, responsible firms that did their best to take reasonable measures but were unfortunately unable to prevent mistakes or attacks run the risk of being fined once they notify the local regulator. Meanwhile, irresponsible ones who choose not to comply will simply avoid reporting incidents and attempt to cover them up instead to avoid fines. Fines have, therefore, become more of a indicatore in ritardo delle disgrazie subite dalle aziende responsabili rather than of misbehaviour by irresponsible ones.

Record of Regulatory Inaction

Most BigTech firms, attracted by a favourable tax regime, have opted to base their European headquarters in Ireland. The local regulator, DPC Ireland, is therefore responsible for ensuring that they comply with GDPR and other such regulations. Whether down to inadequate funding, reluctance to rock the boat, or simply out-gunned and out-lobbied by the BigTech firms, DPC Ireland has been seen as ineffective in holding them to account.

In one notable case, measures it failed to take against Facebook were eventually resolved in the European High Court under the Schrems I and Schrems II rulings. When it still failed to take action and apply these rulings, DPC Ireland was sanctioned by the European Parliament in a voto di 451 a 1. Quando ulteriori pressioni da parte delle autorità di regolamentazione del resto d’Europa l’hanno costretta, dopo un ritardo di due anni, a intervenire, la sanzione inflitta a Facebook era talmente bassa da dover essere aumentata (di dieci volte) su insistenza delle altre autorità di regolamentazione.

The EU Ombudsman Emily O’Reilly eventually opened an inquiry into the European Commission’s monitoring of how data protection rules are applied in Ireland. Eight months later, the Irish Council of Civil Liberties (ICCL) criticised the EU for its continued failure to properly monitor Ireland’s GDPR enforcement while “the fundamental rights of all Europeans hang in the balance.” There are now moves afoot to strip Ireland of its responsibility for regulating the BigTech firms and centralise such enforcement instead.

Ineffective Global Policing

Meanwhile, the number and sophistication of cyber-attacks are increasing exponentially, as is the cost of remediation. The World Economic Forum (WEF) has recently not only called for more widespread use of cybersecurity ‘fire drills’ to test cybersecurity and incident response capabilities but is also championing the need for global rules to crack down on cybercrime.

Si stima che i danni causati da tutte le forme di criminalità informatica, compresi i costi di Recovery e risanamento, abbiano raggiunto un totale di 3.000 miliardi di dollari nel 2015 e di 6.000 miliardi di dollari nel 2021, e che potrebbero arrivare fino a 10.500 miliardi di dollari all’anno entro il 2025.

Cyber insurance isn’t the answer. Rapidly increasing premiums mean that it is out of reach to most buyers, but even those who can afford it often find it’s not worth it. At the same time, cyber insurance cannot be expected to cover systemic problems, and in any case, it has the perverse effect of potentially making bad problems even worse.

While almost all nations have signed up for United Nations agreements on combatting crime, including quella informatica, some nations turn a blind eye and instead provide safe havens for cybercriminals to operate from. While most quella informatica originates from countries like Russia, Iran, or North Korea, such activities are not confined to these rogue nations and continue closer to home. In addition, countries like China have significant espionage operations, and the United States is responsible for a great deal of global mass surveillance – all of which contravenes GDPR and a host of other laws.

We need to start with mandatory data breaches and cyber theft reporting. This has begun in the US with 2022’s il “Cyber Incident Reporting for Critical Infrastructure Act” and in the EU with 2018’s la Direttiva sulla sicurezza delle reti e dei sistemi informativi. Still, there are also a numerose altre normative that mandate telecom payment services, medical device manufacturers, and critical infrastructure providers to report breaches.

Once we have better data on the problem, we can focus on improving international investigation, prosecution, and adjudication efficiency and effectiveness. The United Nations Office on Drugs and Crime is promoting a Cybercrime Programme which has the following aims:

• Maggiore efficienza ed efficacia nelle indagini, nel perseguimento penale e nel giudizio dei reati informatici, in particolare lo sfruttamento sessuale e gli abusi sui minori online, nel rispetto di un solido quadro di riferimento in materia di diritti umani.
• Una risposta efficiente ed efficace a lungo termine da parte dell’intero governo alla criminalità informatica, che comprenda il coordinamento a livello nazionale, la raccolta di dati e quadri giuridici efficaci, al fine di garantire una risposta sostenibile e una maggiore deterrenza.
• Rafforzamento della comunicazione a livello nazionale e internazionale tra il governo, le forze dell’ordine e il settore privato, con una maggiore consapevolezza da parte del pubblico dei rischi legati alla criminalità informatica.

These are laudable goals. However, we are a long way from victims of crime being able to pick up the phone to police at the local, national, or international level with any expectation of getting either practical assistance or justice. The reality is that when it comes to cybercrime, aside from private sector incident response specialists, you’re on your own.

• Il personale adotta raramente misure adeguate in materia di sicurezza informatica
• Le autorità di regolamentazione non agiscono in modo proattivo nell’individuare e contrastare le violazioni
• I criminali stanno acquisendo sempre più sicurezza, aggressività e sofisticazione
• La polizia non è in grado di intervenire contro i criminali che operano da luoghi sicuri
• E i CISO finiscono per essere il capro espiatorio di turno quando le cose vanno male

In this ‘Wild West’ environment, there isn’t any cavalry going to the rescue, so you are expected to be adequately armed and ready to defend yourself. Take hints from Thomas Bryant’s article and learn how to deal with it best. There is no substitute for getting your cybersecurity and incident response right.