Orientarsi tra le normative sulla protezione dei dati e sulla privacy

Le aziende raccolgono e gestiscono più dati che mai. Man mano che l'uso della tecnologia si espande in tutte le funzioni aziendali, questa marea di dati non fa che crescere.

Gli enti governativi e gli organismi di settore emanano e aggiornano continuamente le noramtive relative alla protezione dei dati e alla privacy. Alcuni hanno implementato leggi che prevedono multe salate a fronte delle non conformità, mentre altri propongono semplicemente delle linee guida da seguire. In ogni caso, in linea di massima l'obiettivo è comune: incoraggiare le aziende a seguire le best practice per la raccolta, l'archiviazione, la gestione e la protezione dei dati.

Anche se stare al passo con tutte le normative sui dati può sembrare impegnativo, non deve esserlo per forza, dal momento che ci sono molte sovrapposizioni. Scopri come garantire la compliance ai regolamenti nuovi ed esistenti.

EBOOK

 

I principali regolamenti sulla protezione e sulla privacy dei dati

Uno dei principali problemi legati alla protezione dei dati e alla privacy è il numero di normative esistenti. Ricordare tutti gli acronimi e il loro significato è già abbastanza difficile, ma conoscere tutti i dettagli, i requisiti e le conseguenze aumenta notevolmente la complessità.

È fondamentale capire che tutti i framework condividono principi e requisiti simili per la protezione dei dati. Per molti versi, sono complementari tra loro. Prima di esaminare i punti in comune, analizziamo alcuni dei principali regolamenti:

Regolamento generale sulla protezione dei dati

Il Regolamento Generale sulla Protezione dei Dati (GDPR) è uno dei più importanti atti normativi dedicati alla privacy e alla protezione dei dati in Europa. Disciplina le modalità con cui le aziende raccolgono, utilizzano e condividono i dati personali dei residenti nell'Unione europea (UE). Il GDPR è noto in tutto il mondo, soprattutto perché si applica a livello internazionale a tutte le aziende che trattano i dati dei residenti UE, e ha definito un parametro di riferimento per le sanzioni in caso di non conformità: fino al 4% del fatturato annuo o 20 milioni di euro, a seconda di quale sia il valore più alto.

OPUSCOLO

 

Direttiva sulle reti e sui sistemi informativi

La Direttiva sulle reti e sui sistemi informativi (NIS2) è un'espansione di una precedente direttiva UE sulla cybersecurity, la NIS1. Obbliga gli Stati membri a regolamentare le pratiche di privacy dei dati e di cybersecurity delle organizzazioni che forniscono servizi essenziali o che operano infrastrutture critiche all'interno dell'UE. La direttiva tocca anche aspetti della sicurezza fisica, come la sicurezza perimetrale, l'accesso agli edifici, la gestione dei visitatori e il disaster recovery. Puoi valutare il tuo sistema attuale con questa guida.

WHITE PAPER

 

ISO 27001

ISO 27001 è il principale standard internazionale per la gestione della sicurezza delle informazioni. Stabilisce un framework con requisiti specifici per aiutare le aziende a gestire i rischi legati alla sicurezza delle informazioni e a proteggersi in modo efficace. Sebbene i requisiti ISO non siano obbligatori, molte aziende ottengono la certificazione per migliorare la gestione del rischio e mostrare ai partner commerciali e ai clienti che prendono sul serio la sicurezza dei dati. 

Regolamento sull'intelligenza artificiale dell'Unione europea

Il Regolamento sull'intelligenza artificiale dell'Unione Europea (L'AI Act) disciplina le modalità di sviluppo e utilizzo dei sistemi AI. L'obiettivo è garantire che i sistemi di intelligenza artificiale presenti nell'UE siano sicuri, trasparenti, tracciabili, non discriminatori e sostenibili dal punto di vista ambientale. Applica diverse categorie di rischio alle applicazioni AI e prevede sanzioni per la non conformità fino a 35 milioni di euro o al 7% del fatturato annuo mondiale, a seconda di quale importo sia maggiore.

Altri esempi di normative sulla protezione dei dati e sulla privacy nel mondo

• Data Protection Act, Regno Unito
• Personal Information Protection and Electronic Documents Act (PIPEDA), Canada
• Bundesdatenschutzgesetz (BDSG), Germania
• Lei Geral de Proteção de Dados (LGPD), Brasile
• Legge federale sulla protezione dei dati (LPD), Svizzera
• California Privacy Rights Act (CPRA), California, Stati Uniti
• Health Insurance Portability and Accountability Act (HIPAA), Stati Uniti

BLOG

 

I principi fondamentali delle normative sulla protezione dei dati

Ogni legge, regolamento o direttiva ha requisiti specifici che possono o meno applicarsi alla tua azienda e alle tue attività. Tuttavia, se la tua azienda sta già investendo nella procedure legate alla protezione dei dati e alla privacy, o se sta pensando di farlo in modo proattivo, è probabile che tu sia sulla strada giusta per raggiungere la compliance.

Le aziende responsabili fanno la cosa giusta. Comprendono il valore e l'urgenza di mantenere sicuri tutti i dati in loro possesso, siano essi propri o appartenenti a fornitori, partner o clienti. Si impegnano a condurre valutazioni, investire negli strumenti e implementare processi in linea con i principi fondamentali della normative sulla protezione dei dati e sulla privacy. Non perché siano obbligate a farlo, ma perché sanno che in questo modo potranno mantenere la continuità aziendale e la fiducia di partner e clienti.

Quali sono i principi fondamentali di protezione dei dati alla base della maggior parte delle normative in materia? Ecco un breve riepilogo:

✓ Permesso di raccolta e utilizzo

Devi ottenere le autorizzazioni corrette per la raccolta e l'utilizzo dei dati, in linea con uno scopo o un obiettivo legittimo.

✓ Limitazione dell'archiviazione e dell'utilizzo

Devi limitare i dati che conservi e utilizzare o memorizzare solo quelli necessari per soddisfare requisiti o obiettivi specifici.

✓ Trasparenza e precisione

Devi essere trasparente sulle tue pratiche relative ai dati e assicurarti che le informazioni siano accurate in modo da poterle gestire correttamente.

✓ Protezione e sicurezza

Devi adottare misure adeguate per proteggere e mettere al sicuro i dati, garantendo l'accesso solo alle persone per le quali è necessario.

✓ Diritti individuali

Devi rispettare i diritti delle persone sui propri dati, compresi quelli che riguardano l'accesso, la rettifica, la cancellazione e altro ancora.

✓ Accountability

Devi assumerti la responsabilità del trattamento dei dati, anche attraverso l'adozione di misure e registri adeguati che mostrino come gestisci i dati e cosa fai per garantire il rispetto dei principi relativi alla protezione dei dati e alla privacy.

AGGIUNGI AI PREFERITI

 

3 convinzioni errate sulle normative in materia di privacy e dati

Seguire le best practice e conoscere i dettagli dei regolamenti sulla protezione dei dati è un passo nella giusta direzione, ma possono comunque sorgere dubbi e confusione. Domande quali"Si tratta di una legge o di una linea guida sulla protezione dei dati?" "È necessario che i dati risiedano nel nostro Paese?" o "Questo requisito è una nostra responsabilità?" sono alcune delle più comuni.

Comprendere la differenza tra regolamenti, direttive e linee guida

Nell'ultimo periodo, la Direttiva NIS2 ha creato molta agitazione. Qualche anno fa è successo lo stesso con il GDPR. Nei prossimi anni, probabilmente ci saranno altre novità al centro dell'attenzione.

WEBINAR

 

Anche se è fondamentale rimanere aggiornati su ciò che accade, non è necessario lasciarsi trasportare dall'entusiasmo. Questo è particolarmente vero se stai già applicando le best practice per la sicurezza dei dati e la privacy e se hai scelto partner affidabili. Adottare un approccio pratico e completo alla protezione dei dati può essere molto utile per garantire la compliance.

Inoltre, è importante ricordare che non tutti i framework sono leggi. Ad esempio, il GDPR è un regolamento legalmente vincolante in tutti gli Stati membri dell'UE, mentre la NIS2 è una direttiva. Ciò significa che definisce i requisiti che gli Stati membri devono soddisfare, ma consente ai membri di trasporre tali obblighi nelle proprie leggi nazionali. Tra gli Stati membri, possono esserci differenze nelle modalità di attuazione e applicazione della NIS2.

Infatti, molti enti di certificazione nazionali in tutta Europa, come l'ANSSI in Francia, il BSI in Germania, GovPass nel Regno Unito e Rijkspas nei Paesi Bassi, hanno adottato variazioni dei requisiti NIS2. Ciascuno di questi Paesi segue la Direttiva NIS2, adattandola però alla propria situazione specifica. E anche se ciascun adattamento prevede misure di cybersecurity complete, c'è un'attenzione particolare alla certificazione della robustezza dei sistemi di controllo accessi fisici.

L'implementazione di un sistema di controllo accessi ad alta sicurezza con moduli I/O supportati e sicuri può aiutare a rispettare le severe normative europee sulla cybersecurity. Un sistema di controllo accessi ad alta affidabilità offre protocolli completamente crittografati e funzionalità avanzate di cybersecurity, dalle credenziali e dai lettori fino ai controller e al software. Tutto questo consente un controllo sicuro delle porte, assicurando allo stesso tempo che le informazioni sensibili rimangano all'interno di un perimetro protetto per ridurre il rischio di intercettazioni dei dati o clonazioni delle credenziali.

PRODOTTI

 

Infine, c'è la ISO 27001, che è sia uno standard che una certificazione. Anche se non è obbligatoria per legge, la conformità allo standard ISO 27001 può aiutare le aziende a soddisfare diversi requisiti di conformità, perché le raccomandazioni si allineano bene con quelle delineate nel GDPR, nella Direttiva NIS2 e in altre normative simili.

La familiarità con ISO 27001 ti aiuterà a orientarti meglio tra le aspettative e i requisiti man mano che verranno pubblicate nuove normative o linee guida.

La verità sulla governance dei dati e sulla geografia

Oggi, sempre più aziende adottano soluzioni cloud o implementano deployment ibridi e si chiedono se sia necessario conservare i dati all'interno del proprio Paese per rispettare i regolamenti. Ecco la risposta breve: la maggior parte dei dati non è soggetta a restrizioni di residenza e può essere esportata e gestita in altri Paesi, a patto che vengano adottate determinate misure di privacy e sicurezza.

 

Esistono però alcune eccezioni. Ad esempio, alcuni tipi di dati gestiti da operatori in settori altamente regolamentati (come banche, enti pubblici e infrastrutture critiche) possono essere soggetti a vincoli di residenza dei dati a causa della sensibilità delle loro operazioni. In altri casi, alcune organizzazioni possono semplicemente preferire o avere una policy che prevede di mantenere i dati all'interno di determinati confini geografici, anche se non è obbligatorio per legge.

Anche i dati personali sono soggetti a una regolamentazione rigorosa ma nella maggior parte dei paesi non esistono requisiti normativi che impongano che i dati personali risiedano all'interno dei confini nazionali. L'importante è che siano gestiti e protetti in modo da rispettare le normative vigenti nel Paese di origine.

Ecco perché è fondamentale lavorare con un vendor affidabile. I vendor informati e competenti dovrebbero essere in grado di offrire data center in più sedi, per soddisfare le esigenze e preferenze, aiutando a determinare la soluzione migliore per le tua aziende, tenendo conto di eventuali requisiti aziendali e normativi specifici.

Conoscere i ruoli e le responsabilità

Nella supply chain, è probabile che ci siano svariate aziende con ruoli diversi che trattano i tuoi dati. Anche se la decisione finale su chi può accedere a cosa spetta a te, i partner che scegli hanno anche la responsabilità di garantire che i tuoi dati siano gestiti e protetti in modo adeguato.

Ad esempio, in qualità di responsabile del trattamento dei dati, è tuo compito essere diligente e verificare i channel partner e i vendor con cui lavori. È fondamentale confermare a quali dati hanno accesso e come intendono gestirli, archiviarli e proteggerli. Sei anche responsabile della valutazione continua delle loro procedure per assicurarti che rispettino le best practice e onorino i loro impegni.

Ma non è tutto a carico tuo. Questi vendor e partner tecnologici agiscono generalmente come responsabili del trattamento dei dati. Ciò significa che diventano responsabili dei contenuti tecnologici e che devono garantire la trasparenza sul modo nel quale gestiranno e proteggeranno i dati. Devono assumersi la responsabilità di qualsiasi azione propria (o dei propri fornitori) che possa avere un impatto sulla tua azienda o che non sia allineata con gli impegni presi nei tuoi confronti.

L'impatto delle soluzioni tecnologiche sulla compliance

Non tutte le soluzioni di sicurezza fisica sul mercato sono costruite per supportare le best practice di cybersecurity e privacy. Alcuni sistemi più datati e disconnessi non sono stati progettati per soddisfare i requisiti e i framework normativi attuali.

Se la conformità a queste normative è una priorità, è importante scegliere una piattaforma di sicurezza fisica unificata progettata per la cybersecurity e la privacy dei dati. Altri fattori, come le pratiche di AI responsabile e i servizi cloud che offrono aggiornamenti automatici di cybersecurity, possono aiutarti a raggiungere i tuoi obiettivi di compliance.

Ecco come:

Strumenti built-in per la privacy e la protezione dei dati

Le soluzioni di sicurezza fisica progettate per la cybersecurity e la privacy offrono strumenti che aiutano a migliorare la resilienza informatica e a mantenere i dati al sicuro. La crittografia, l'autorizzazione e l'autenticazione possono aiutarti a proteggere i dati ed evitare che cadano nelle mani sbagliate,

mentre gli strumenti e i servizi più avanzati segnalano le potenziali vulnerabilità e semplificano gli aggiornamenti. Altre funzionalità possono consentire di limitare l'accesso e i privilegi degli utenti e fornire punteggi di sicurezza per aiutarti a raggiungere la piena resilienza del sistema.

HUB

 

Un approccio unificato alla sicurezza fisica

Una piattaforma di sicurezza fisica unificata aiuta a implementare una strategia unica e globale per la protezione dei dati e la privacy. Avere una sola piattaforma semplifica il processo, aiutandoti a standardizzare le misure di cybersecurity in tutti i tuoi sistemi di sicurezza fisica.

Una piattaforma unificata evita di perdere tempo per controllare sistemi separati, monitorarne lo stato, garantire l'igiene informatica o gestire i controlli per la privacy. Invece, potrai gestire le impostazioni di sicurezza, privacy e protezione dei dati per tutti i tuoi sistemi attraverso un'unica interfaccia.

EBOOK

 

Installazioni cloud e ibride

Le soluzioni cloud-based liberano i team IT e di sicurezza dai costanti oneri associati alla manutenzione e all'hardening. Che si tratti di un'installazione cloud o o hybrid-cloud , potrai supervisionare da remoto i controlli di integrità del sistema e della privacy ovunque ti trovi. Inoltre, raggiungerai livelli di automazione più elevati per garantire una maggiore resilienza informatica.

Scegliere una soluzione di sicurezza fisica as-a-Service (PSaaS) permetterà al tuo sistema di ricevere automaticamente tutte le ultime versioni e correzioni. Inoltre, ti consentirà di accedere alle più recenti funzionalità di cybersecurity e privacy non appena saranno disponibili Questo aiuta a garantire che i sistemi di sicurezza fisica siano sempre aggiornati e protetti dalle vulnerabilità.

PRODOTTI

 

L'importanza di un approccio responsabile all'AI

L'intelligenza artificiale (AI) è in grado di elaborare un volume di dati molto elevato in breve tempo. Questo ha portato a una crescita dell'interesse per l'AI in molti settori, compreso quello della sicurezza fisica. ma se non vengono gestite in modo responsabile, le tecnologie basate sull'AI possono essere sviluppate o utilizzate in modi che violano la privacy, arrivando anche a produrre pregiudizi e discriminazioni o risultati e decisioni distorti.

Per questo motivo, sono state emanate diverse normative che disciplinano le innovazioni basate sull'AI e le aziende devono prestare attenzione alle soluzioni che scelgono e implementano. Per chi vuole garantire la compliance normativa, è fondamentale scegliere vendor che diano priorità all'AI responsabile.

Per Genetec, l'AI responsabile significa garantire che le nostre tecnologie AI siano sviluppate tenendo conto di principi specifici:

Privacy e governance dei dati:

• Assumersi la responsabilità dell'uso dell'AI nello sviluppo delle nostre soluzioni
• Utilizzo esclusivo di dataset conformi alle normative vigenti in materia di protezione dei dati
• Protezione dei dati e privacy al centro di tutto ciò che facciamo

Affidabilità e sicurezza:

• Valutazione rispetto a come ridurre i pregiudizi e migliorare l'accuratezza nello sviluppo dei modelli AI
• Impegno costante a rendere i risultati dell'AI trasparenti

Intervento umano:

• Priorità alle decisioni incentrate sull'uomo
• Garantire che i modelli AI non possano prendere decisioni critiche in autonomia

BLOG

 

Come scegliere il vendor giusto per garantire la conformità normativa

I dati sono ovunque. Non c'è alternativa: viviamo in un mondo connesso e guidato dai dati. Le nuove normative sulla protezione dei dati e sulla privacy potranno sembrare opprimenti, ma sono chiaramente necessarie.

Le aziende responsabili sanno che questi framework e standard sono ben allineati alle procedure aziendali più critiche. Dopotutto, la conformità non comporta altro che un approccio pragmatico e completo alla protezione dei dati e della privacy, oltre alla collaborazione con vendor di fiducia.

BLOG

 

Garantire la conformità ai framework in continua evoluzione non dipende solo dalla tecnologia che scegli, ma anche dalle persone con cui collabori. È fondamentale avere al proprio fianco partner che valorizzano e danno priorità alla conformità a queste normative.

Avranno le risorse, la tecnologia, le conoscenze legali, i contratti e le partnership necessari per aiutarti a mantenere una supervisione adeguata, indipendentemente dall'evoluzione dei regolamenti e saranno anche in grado di fornire un elenco delle certificazioni ottenute da enti e autorità sia per i loro prodotti che per le loro procedure aziendali. Queste certificazioni sono fondamentali per valutare l'impegno di un vendor nei confronti di queste tematiche.