La sicurezza nel regolamento 679/2016 (GDPR)
0 likes1,661 views
Una serie di considerazioni sulle misure tecnologiche e organizzative richieste dal nuovo regolamento fatte a partire dall'articolo 32
More Related Content
What's hot (19)
Similar to La sicurezza nel regolamento 679/2016 (GDPR) (20)
More from EuroPrivacy (6)
La sicurezza nel regolamento 679/2016 (GDPR)
- 1. La sicurezza nel GDPR: dall'analisi dei rischi alla disclosure dei data breach. Alessandro Vallega - Europrivacy, Clusit, Oracle Il nuovo regolamento europeo in materia di trattamento dati personali: gli elementi di maggiore rilevanza 17 gennaio 2017, Milano EUROPRIVACY.INFO @EUROPRIVACY
- 2. @EUROPRIVACY SICUREZZA 32 DEL GDPR misure tecniche e organizzative adeguate
- 3. @EUROPRIVACY SICUREZZA 32 DEL GDPR misure tecniche e organizzative adeguate 5 - Principi applicabili al trattamento 24 - Responsabilit del titolare del trattamento 25 - Protezione dei dati fin dalla progettazione e protezione per impostazione predefinita 28 - Responsabile del trattamento (OBBLIGO) 34 - Comunicazione di una violazione dei dati personali all'interessato (OPPOR.) 83 - Condizioni generali per infliggere sanzioni amministrative pecuniarie
- 4. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento.
- 5. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. MISURE ADEGUATE
- 6. @EUROPRIVACY ADEGUATO AL RISCHIO Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. MISURE ADEGUATE
- 7. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
- 8. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
- 9. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
- 10. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
- 11. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 1 TECNOLOGIA A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE
- 12. @EUROPRIVACY Art 32.1 Tenendo conto dello stato dell'arte e dei costi di attuazione, nonch辿 della natura, dell'oggetto, del contesto e delle finalit del trattamento, come anche del rischio di varia probabilit e gravit per i diritti e le libert delle persone fisiche, il titolare del trattamento e il responsabile del trattamento mettono in atto misure tecniche e organizzative adeguate per garantire un livello di sicurezza adeguato al rischio, che comprendono, tra le altre, se del caso: a) la pseudonimizzazione e la cifratura dei dati personali; b) la capacit di assicurare su base permanente la riservatezza, l'integrit, la disponibilit e la resilienza dei sistemi e dei servizi di trattamento; c) la capacit di ripristinare tempestivamente la disponibilit e l'accesso dei dati personali in caso di incidente fisico o tecnico; d) una procedura per testare, verificare e valutare regolarmente l'efficacia delle misure tecniche e organizzative al fine di garantire la sicurezza del trattamento. 1 TECNOLOGIA A TITOLO DI ESEMPIO DI NUOVO IL RISCHIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA ADEGUATO AL RISCHIO MISURE ADEGUATE REQUISITI
- 13. @EUROPRIVACY Art 32.2 Nel valutare l'adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati. Art 32.3 L'adesione a un codice di condotta approvato di cui all'articolo 40 o a un meccanismo di certificazione approvato di cui all'articolo 42 pu嘆 essere utilizzata come elemento per dimostrare la conformit ai requisiti di cui al paragrafo 1 del presente articolo. Art. 32.4 Il titolare del trattamento e il responsabile del trattamento fanno s狸 che chiunque agisca sotto la loro autorit e abbia accesso a dati personali non tratti tali dati se non 竪 istruito in tal senso dal titolare del trattamento, salvo che lo richieda il diritto dell'Unione o degli Stati membri ANCORA REQUISITIANCORA REQUISITICODICI DI CONDOTTACERTIFICA- ZIONI
- 14. @EUROPRIVACY SICUREZZA 32 DEL GDPR REQUISITI DI NUOVO IL RISCHIO ADEGUATO AL RISCHIO MISURE ADEGUATE ANCORA REQUISITIANCORA REQUISITI CODICI DI CONDOTTA CERTIFICA- ZIONE REQUISITI REQUISITI 1 TECNOLOGIA A TITOLO DI ESEMPIO COSTO DELLE MISURE EVOLUZIONE TECNOLOGICA
- 15. @EUROPRIVACY SICUREZZA 32 DEL GDPR 1. Bisogna fare lanalisi del rischio3. Abbiamo chiari i requisiti ma non le soluzioni 2. Bisogna conoscere la tecnologia di sicurezza
- 16. @EUROPRIVACY Come ci aiuteranno le certificazioni e i codici di condotta? Cosa ci chiederanno lispettore del Garante e il perito del tribunale in merito alle misure di sicurezza?
- 17. @EUROPRIVACY Loro faranno riferimento ad alcune best practices di sicurezza come: Strong / Multilevel / Federated Authentication Adaptive / Fine Grained Access Control / Authorization Segregation of Duties Need to Know / Least Privilege Accountability / Log Management Encryption Anonymization and Pseudinymization Segregation of Environment Secure Configuration Management Hardening Attestation & Role Management
- 18. @EUROPRIVACY Noi purtroppo sappiamo che c竪 ampio margine di miglioramento nei nostri reparti IT Password di gruppo e condivise Ampio accesso a produzione, tollerato o previsto Copie di produzione per sviluppo e test Nessun log o scarso e inefficace, nessuna analisi e alerting Niente patching e sistemi operativi obsoleti Privilegi eccessivi degli account Nessuna cifratura Assente controllo accessi Gestione frammentaria dellidentit Scarsa separazione dei compiti, delle reti e degli ambienti Il rapporto Clusit sulla Sicurezza ICT in Italia ne descrive gli effetti e le cause. Nelledizione del 2016 abbiamo descritto i Most Common Mistakes della gestione dei dati nei DBMS
- 19. @EUROPRIVACY DOCUMENTARE IL PROCESSO DI MIGLIORAMENTO E TENERNE SCRUPOLOSA TRACCIA PER POTER DIMOSTRARE LA CONFORMITA (ART. 24) TENEREILREGISTRODEITRATTAMENTI (ART.30) IDENTIFICAZIONEDELLE APPLICAZIONIEDEI DATABASE GESTIRE LE IDENTITA PROTEGGERE I DATI ADEGUARE IL PROCESSO DI GESTIONE DEGLI INCIDENTI (NOTIFICA E COMUNICAZIONE DELLE VIOLAZIONI ART. 33 / 34) INTEGRARE LO ISMS AZIENDALE (INFORMATION SECURITY MANAGEMENT SYSTEM) FARE LANALISI DEI RISCHI (E FARE LA VALUTAZIONE DIMPATTO SULLA PROTEZIONE DEI DATI ART.35) CONTROLLARE I PROFILI AUTORIZ- ZATIVI DEGLI UTENTI / IT E ADMIN IMPORRE IL PRINCIPIO DEL NEED TO KNOW GESTIRE REPOSITORY DI IDENTITA ON PREMISE E NEL CLOUD RACCOGLIERE E ANALIZZARE I LOG INTEGRARE IL SISTEMA AZIENDALE DI GESTIONE DEI RISCHI CIFRARE I DATI (ART 32) MASCHERARE I DATI (CONSID. 26) Da dove iniziare per rimediare?
- 20. @EUROPRIVACY DOCUMENTARE IL PROCESSO DI MIGLIORAMENTO E TENERNE SCRUPOLOSA TRACCIA PER POTER DIMOSTRARE LA CONFORMITA (ART. 24) TENEREILREGISTRODEITRATTAMENTI (ART.30) IDENTIFICAZIONEDELLE APPLICAZIONIEDEI DATABASE GESTIRE LE IDENTITA PROTEGGERE I DATI ADEGUARE IL PROCESSO DI GESTIONE DEGLI INCIDENTI (NOTIFICA E COMUNICAZIONE DELLE VIOLAZIONI ART. 33 / 34) INTEGRARE LO ISMS AZIENDALE (INFORMATION SECURITY MANAGEMENT SYSTEM) FARE LANALISI DEI RISCHI (E FARE LA VALUTAZIONE DIMPATTO SULLA PROTEZIONE DEI DATI ART.35) CONTROLLARE I PROFILI AUTORIZZATIVI UTENTI / IT E ADMIN IMPORRE IL PRINCIPIO DEL NEED TO KNOW GESTIRE REPOSITORY DI IDENTITA ON PREMISE E NEL CLOUD RACCOGLIERE E ANALIZZARE I LOG INTEGRARE IL SISTEMA AZIENDALE DI GESTIONE DEI RISCHI CIFRARE I DATI (ART 32) MASCHERARE I DATI (CONSID. 26) Da dove iniziare per rimediare? ALCUNE DELLE MISURE TECNICHE ADEGUATE ALCUNE DELLE MISURE ORGANIZZATIVE ADEGUATE
- 21. @EUROPRIVACY Approfittiamo del GDPR per fare meglio lIT
- 22. @EUROPRIVACY Approfittiamo del GDPR per fare meglio lIT e grazie per lattenzione Alessandro Vallega LinkedIn Twitter U3L4 alessandro.vallega@oracle.com www.europrivacy.info Disclaimer: Lavoro in Oracle ma le opinioni espresse in questa presentazione sono le mie...