La dismissione dei componenti hardware a norma di Gdpr
Un aspetto spesso trascurato afferente alla protezione dei dati riguarda la dismissione (decommissioning) dei componenti hardware, siano essi di proprietà dell’azienda o, come spesso avviene, noleggiati.
(Nella foto: Monica Perego, docente al Corso 'Sistemi di Gestione della sicurezza delle informazioni')
In questo articolo vogliamo approfondire alcuni aspetti organizzativi, considerando che i supporti elettronici, indipendentemente dalla presenza di dati, devono essere smaltiti secondo quanto previsto dal Decreto Legislativo 49/14 modificato dal Decreto Legislativo 118/2020.
Smaltire hardware al termine del loro ciclo di vita (EOL) - La dismissione dell’HW ha alla base molteplici motivazioni:
- necessità di disporre di sistemi informativi più performanti in linea con le politiche di sviluppo delle organizzazioni;
- il caso in cui l’HW non possa più essere adeguatamente aggiornato, via via che vengono identificate nuove vulnerabilità o minacce alla sicurezza, ovvero quando l'uso di controlli (es. la segregazione da altre risorse informative) non è un'opzione praticabile.
In termini generali, devono essere stabiliti processi e politiche, documentati attraverso procedure, per l'uso e lo smaltimento sicuro delle apparecchiature mantenute e utilizzate all’interno ed all’esterno dell’organizzazione.
Questo prevede la messa a punto di misure specifiche, che possono essere:
- dirette (ovvero che impattano direttamente sui processi), come ad esempio: “Gestione degli asset (programma di asset management)“che copra l’intero ciclo di vita dall’acquisto alla dismissione delle apparecchiature e “Migrazione dei sistemi”;
- indirette, ovvero relative ai processi di supporto, come ad esempio “Criteri di scelta e qualifica dei fornitori” (compresi quelli di noleggio/smaltimento HW).
Per tali procedure, e più in generale per le prassi adottate, devono essere considerati dei punti di attenzione:
Aspetti generali
- identificare il responsabile della gestione dello smaltimento dell’HW;
- indipendentemente dalla tipologia di hardware esso non deve ovviamente essere smaltito come un comune rifiuto, ma devono essere seguite le normative previste per la gestione dei rifiuti elettronici.
La gestione degli asset da dismettere
- gli asset da considerare comprendono sia quelli presenti internamente all’organizzazione, sia quelli consegnati ai dipendenti (smart-working) e ad altri soggetti, tra cui agenti e collaboratori esterni, ed anche quelli presenti presso altre organizzazioni (es. clienti, fornitori, partner di progetto, contitolari);
- la gestione deve considerare le varie tipologia di HW da dismettere (server, portatili affidati al personale, memorie presenti nelle multifunzione, supporti di backup, supporti contenenti dati biometrici, ecc.) per le quali possono essere previste procedure diverse;
- devono essere documentati i luoghi di stoccaggio dell’HW da dismettere, i periodi di stoccaggio, le strutture di contenimento, i criteri di ispezione quando le apparecchiature sono in attesa dello smaltimento;
- devono essere documentate le informazioni relative ai sistemi dismessi (verbali), ed a quelli che vengono conservati in attesa di valutazione (es. eliminare, riparare, cedere, rivendere, ridistribuire, restituire). Le politiche devono, se del caso, prevedere modalità e criteri di cancellazione degli archivi (ad esempio, software di eliminazione, distruzione fisica delle unità di memoria a stato solido – SSD - e di quelle a disco fisso - HDD), anche tramite l’eventuale coinvolgimento di fornitori certificati, in relazione ai dati contenuti negli archivi; modalità e criteri possono riguardare anche gli aspetti relativi al riutilizzo, ritiro, vendita, cessione/regalo, ai dipendenti o a terzi, o ancora trasferimento ad un altro soggetto (es. società di leasing/noleggio); ciò in alternativa alla dismissione sicura dell’HW;
- deve essere valutata la necessità di effettuare controlli anticontraffazione, che devono comprendere la gestione dell'obsolescenza delle parti elettroniche (ricambi);
- è necessaria la rimozione dei tag dagli asset prima della loro dismissione (es. etichette con lo stato di classificazione ed altre informazioni che possono permettere di risalire al contenuto, al proprietario, alla configurazione e più in generale ad ogni informazione che possa permettere di risalire all’utilizzo originale dell’apparecchiatura).
Fornitori di servizi di smaltimento/noleggio
- selezionare i fornitori del servizio di smaltimento sulla base dei criteri di qualifica, effettuare valutazioni ad intervalli di tali fornitori;
- selezionare i fornitori del servizio di noleggio HW e riparazione, sulla base dei criteri di qualifica, effettuare valutazioni ad intervalli di tali fornitori.
Impatto su altri processi
- la destinazione finale dell’HW (cessione, distruzione, ecc.) deve essere comunicata all’amministrazione, in modo che aggiorni l’inventario (HW e SW); misura analoga nel caso di furto/smarrimento dell’HW; lo stesso per quanto concerne le licenze SW;
- prima dell’eliminazione dell’HW deve essere valutata, in relazione ai tempi di conservazione definiti, l’eliminazione/archiviazione dei dati e delle informazioni che sono presenti; se è prevista una migrazione di dati, devono essere definiti piani e procedure adeguati per garantire la disponibilità ed integrità dei dati;
- le procedure devono contemplare anche l’eliminazione del SW (in particolare quello disponibile con licenze) e l’aggiornamento dell’inventario delle licenze, compresa l’eventuale comunicazione ai fornitori di SW;
- se del caso, le regole per lo smaltimento devono considerare anche: accordi di licenza o altri accordi con gli sviluppatori, contratti con i clienti e/o normative applicabili; se l’HW è di proprietà del cliente e lo smaltimento fosse regolato da istruzioni (ad esempio come parte integrante dell’atto di designazione a responsabile), queste devono essere applicate e, se del caso, documentate;
- nel caso in cui fosse prevista la dismissione di una serie di apparati o di un’intera sala server è necessario mettere a punto un piano mirato. Ovviamente laddove dovesse essere smantellato un intero datacenter le procedure divengono estremamente più complesse, ma non sono oggetto di questo articolo.
In base al principio dell’accountability previsto dal GDPR, un'analisi dell'impatto eseguita sull'intera rete è un passaggio fondamentale del processo di dismissione nella sua accezione più ampia, per comprendere tutti gli effetti che la rimozione avrà sulla rete e su altre applicazioni. A seconda delle dimensioni dell'organizzazione e della scelta di internalizzare o esternalizzare le attività afferenti alla gestione dell’HW, le procedure possono assumere diversi livelli di complessità, richiedendo anche soluzioni personalizzate. Se del caso deve essere garantita la catena di custodia.
Conclusione - Le procedure di dismissione dell’HW prevedono una serie di misure che, per quanto debbano essere proporzionate alla tipologia di dati presenti nelle memorie, sono ben più complesse di quanto si possa genericamente ipotizzare. Fondamentale, nei casi più critici, è il presidio della catena di custodia.
