Sicurezza dei trattamenti di dati personali e information security: necessari idonei processi organizzativi
Come noto, ogni trattamento di dati personali deve avvenire nel rispetto dei principi fissati all’articolo 5 del Regolamento UE 2016/679 (Gdpr), e tra questi troviamo il principio di integrità e riservatezza secondo il quale i dati personali devono essere trattati in maniera da garantire un'adeguata sicurezza, compresa la protezione, mediante misure tecniche e organizzative adeguate, da trattamenti non autorizzati o illeciti e dalla perdita, dalla distruzione o dal danno accidentali. Il tema della sicurezza dei trattamenti è strettamente connesso con quello della information security.
(Nella foto: l'Avv. Marco Soffientini, Data Protection Officer di Federprivacy)
La ISO/IEC 27000 definisce la information security (sicurezza delle informazioni) come la preservazione della riservatezza, integrità e disponibilità delle informazioni, noto anche con l'acronimo RID.
La riservatezza è la proprietà di una informazione di non essere disponibile a individui non autorizzati. Molto spesso associamo il concetto di riservatezza a quello di segretezza, ma la riservatezza non comporta necessariamente il dovere di non rivelare ad alcuno l'informazione. Infatti può essere necessario stabilire chi ha il diritto di accedervi.
In questo senso, se pensiamo all'ufficio del personale sicuramente sono trattate informazioni riservate ma persone diverse sono autorizzate ad accedervi. Un sistema correttamente configurato dovrebbe prevedere, oltre ad una classificazione delle informazioni, specifici privilegi di accesso, ossia ciascun soggetto autorizzato non dovrebbe accedere a tutti i dati ma solo ad una parte di essi, limitatamente a quelli che sono necessari per lo svolgimento delle mansioni che gli sono state assegnate. Un classico esempio è rappresentato dalle cartelle sanitarie dei dipendenti che possono essere lette solo dal medico competente.
Il concetto di integrità attiene alla completezza dell'informazione e cioè al fatto che l'informazione non sia alterata. Un tipico esempio di violazione del principio di integrità e la cancellazione di un'informazione.
Infine, la proprietà della disponibilità attiene alla accessibilità e utilizzabilità dell'informazione. La disponibilità dell'informazione non deve essere intesa come messa a disposizione dell'informazione sine die ma, al contrario che le informazioni devono essere disponibili a coloro che le richiedono e ne hanno il diritto entro termini stabiliti.
Molti autori aggiungono a questa definizione ulteriori proprietà quali: autenticità, completezza e non ripudiabilità.
A ben vedere tutti questi concetti sono, però riconducibili sempre alla proprietà dell’integrità. Così una informazione non autentica equivale ad una informazione modificata senza autorizzazione, mentre una informazione incompleta equivale ad una informazione che ha subito una cancellazione totale o parziale, mentre una informazione è ripudiabile quando non reca la firma del suo autore.
Un evento dannoso può avere impatti su uno o più dei parametri RID appena visti. A titolo esemplificativo si pensi al furto delle credenziali di autenticazione, un evento facilmente riconducibile ad una lesione della riservatezza, ma qualora le credenziali siano il mezzo per accedere ai dati rappresenterebbe anche una lesione della integrità degli stessi e qualora non siano più accessibili anche della disponibilità.
In conclusione, la sicurezza delle informazioni è un tema di fondamentale importanza ai fini della sicurezza dei trattamenti e può essere raggiunto attraverso idonei processi organizzativi.
