Conformità normativa semplificata

Diverse leggi e normative considerano il backup, il Recovery e la resilienza elementi fondamentali di un buon programma di sicurezza informatica. Tra queste figurano il Regolamento generale sulla protezione dei dati (GDPR), l’Health Insurance Portability and Accountability Act (HIPAA), gli standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS), la Direttiva NIS 2 (Network and Information Systems 2), la Legge sulla sicurezza informatica dello Stato di New York (NYCRR 500), il California Consumer Privacy Act (CCPA) e il Digital Operational Resilience Act (DORA). Si consiglia di consultare i propri team legali e di conformità per determinare quali di queste normative possano essere applicabili alla propria attività.

Alcune normative ben note sono il Regolamento generale sulla protezione dei dati (GDPR), il California Consumer Privacy Act (CCPA) e l’Health Insurance Portability and Accountability Act (HIPAA).

Ogni organizzazione dovrebbe consultare avvocati e revisori in merito alle normative specifiche. Tuttavia, un buon punto di partenza per un programma sarebbe quello di condurre valutazioni e audit regolari delle pratiche di protezione dei dati, implementare e monitorare i controlli di sicurezza e avvalersi dell’aiuto di professionisti IT e della sicurezza (interni all’organizzazione o tramite fornitori di servizi) per verificare che le misure di sicurezza siano applicate e funzionino correttamente. Si raccomanda inoltre un approccio basato sul rischio, in cui le organizzazioni valutino i requisiti normativi e il possibile rischio di perdita in caso di violazione o non conformità rispetto allo sforzo necessario per implementare i controlli.

Il Digital Operational Resilience Act, o DORA, è un regolamento dell’UE rivolto alle banche e agli enti finanziari ed è stato emanato per contribuire a definire gli standard di sicurezza informatica e di resilienza informatica. Abbiamo osservato che molti team di conformità utilizzano il DORA come guida, indipendentemente dal settore, ma vi invitiamo a consultare i vostri team legali e di conformità per ottenere indicazioni adeguate alla vostra organizzazione.

Iniziate analizzando le tipologie di dati e i rischi presenti all’interno della vostra organizzazione, prestando particolare attenzione ai dati sensibili e soggetti a regolamentazione. Potrete quindi definire obiettivi di sicurezza chiari e misurabili che contribuiscano a mitigare e ridurre al minimo tali rischi. Da lì, potrete sviluppare e applicare politiche di governance dei dati relative alla proprietà, al trattamento e al ciclo di vita dei dati. Ciò può includere aspetti quali i controlli di accesso per persone o gruppi, le modalità di protezione, condivisione e backup dei dati, nonché le procedure di eliminazione dei dati una volta che non sono più rilevanti o necessari.

L’e-discovery consiste nell’identificazione, conservazione, raccolta, elaborazione, revisione e produzione di informazioni archiviate elettronicamente (ESI) in risposta a controversie, indagini o altre richieste legali. Comporta la ricerca, l’analisi e l’estrazione di dati rilevanti da fonti di dati in tempo reale e di backup, nonché il controllo di tali dati per impedirne l’alterazione o la cancellazione.