Con il 25 maggio 2018 ormai alle porte, può essere utile riepilogare gli strumenti principali che la rete mette a disposizione per organizzare al meglio le principali attività da compiere al fine di rendere la propria azienda - o attività lavorativa - conforme alle direttive del nuovo Regolamento Europeo sulla Protezione dei Dati, più noto come GDPR.
A chi si fosse perso gli interventi e consigli in ottica di GDPR compliance già pubblicati in questa sede consiglio di recuperare i seguenti articoli:
- GDPR - Cosa è, cosa cambia, come agire, un articolo che riassume le principali novità introdotte dal GDPR e propone una task-list - e relativo piano d'azione - per affrontare le principali operazioni da svolgere al fine di non farsi trovare impreparati.
- Manuale sulla Sicurezza dell'elaborazione dei Dati Personali, a cura di ENISA: un utilissimo prontuario operativo scaricabile gratuitamente, corredato da una serie di appendici che mettono in evidenza le evidenti analogie tra i controlli da effettuare in ottica GDPR e quelli previsti dalle normative ISO 27000.
- Privacy e Data Protection sui Dispositivi Mobili, a cura di ENISA: un altro prontuario di grande utilità, anch'esso scaricabile gratuitamente, che approfondisce l'impatto che la nuova normativa ha sui dispositivi mobili, con particolare riguardo ai due principali pattern di utilizzo: BYOD (acronimo per Bring Your Own Device), che identifica i dispositivi di proprietà del dipendente ma autorizzati all'utilizzo aziendale, e COPE (Corporate-Owned, Personal Enabled), che definisce i dispositivi di proprietà dell'azienda affidati al dipendente e per i quali è previsto anche un utilizzo a scopi personali.
- Video del Garante della Privacy italiano, che mette in luce i principali vantaggi che l'adozione del GDPR comporterà in ottica di rispetto dei diritti e delle libertà di tutti i cittadini dell'area EU.
- La rubrica "Privacy e Compliance" di questo blog, contenente tutti gli articoli pubblicati e in corso di pubblicazione a tema GDPR con approfondimenti e focus su alcuni casi di specie (raccolta dati, profilazione, informative, consensi, centrali di rischi, indagini difensive et al.)
A questi preziosi contributi mi preme aggiungere le seguenti risorse, a mio avviso imprescindibili per ogni Privacy Officer che non voglia farsi trovare impreparato:
- Guida all'applicazione del Regolamento europeo in materia di protezione dei dati personali, a cura del Garante Italiano: a metà tra un manuale e una infografica, si tratta di un documento di estrema utilità per mettere a fuoco i vari ambiti di intervento e fare il punto della situazione.
- Time’s Up! Ready or Not, Here Comes GDPR: webinar a cura di una serie di professionisti (ISC)2 - Chuck Gaughf, Graham Jackson e Bruce Beam - che descrive le principali novità e cambiamenti introdotti dalla normativa.
- GDPR Compliance - Don’t Let Your SIEM Be Your Downfall, altro webinar a cura di (ISC)2 dove Adrian Davis (EMEA) e Matthias Maier (Product Director del noto software Splunk) aiutano a mettere a fuoco uno dei principali rischi connessi all'introduzione del GDPR: la possibilità che i software utilizzati per la raccolta dei log dei nostri sistemi (SIEM, acronimo per Security information and Event Management) vengano trascurati dal Privacy Officer durante la compilazione del registro dei trattamenti e/o della Privacy Impact Assessment.
- Countdown to GDPR: Reduce your Risk, illuminante webcast a cura di Darron Gibbard (Managing Director EMEA North) e Jonathan Armstrong (Partner di Cordery) sui passaggi fondamentali da compiere per un Privacy Officer che non voglia farsi trovare impreparato il 25 maggio: i principali focus su cui concentrare il proprio lavoro, gli interlocutori aziendali da coinvolgere, e altri preziosi consigli volti a ridurre l'esposizione della propria struttura.
- 5 steps to GDPR Compliance: una utile task-list redatta e spiegata da Nitin Agale (Securonix) e Alex Rodrigues (Big Data International) che illustra i principali passaggi da seguire per le aziende che vogliano conformarsi a quanto previsto dalla nuova normativa.
- The GDPR Deadline Readiness and Impact to Global Organizations Outside the EU, webcast in cui Tim White, Director of Product Management di Qualys Inc., riflette e fa riflettere sui principali impatti del GDPR sulle attività delle aziende che operano (anche) al di fuori dell'Unione Europea.
- GDPR Italia - Operatori e Consulenti, il principale gruppo LinkedIn in lingua italiana per professionisti e operatori del settore: la maggior parte dei consigli presenti in questo articolo sono stati pubblicati lì - da chi scrive ovvero da altri addetti ai lavori.
- Prioritization of Vulnerabilities in a Modern IT Environment, webinar a cura di Josh Zelonis (Qualys, Inc.) and Jimmy Graham (Forrester, Inc.): pur se non immediatamente collegato al GDPR, si tratta di un video estremamente utile per riepilogare i passaggi che è opportuno seguire per proteggere adeguatamente il proprio ambiente IT aziendale ed evitare di essere oggetto di possibili Data Breach.
- Le pagine di Wikipedia e Wikipedia Italia dedicate al GDPR, che forniscono una utile sintesi dei principali articoli, temi trattati e scenari applicativi della nuova normativa.
Tutti i webcast e webinar elencati sopra sono accessibili gratuitamente tramite la piattaforma BrightTALK, che in questi ultimi anni è diventato uno strumento formativo indispensabile per chiunque voglia tenere aggiornato il proprio arsenale di competenze informatiche in una realtà altamente dinamica come quella attuale.
Concludiamo l'elenco presentando una serie di guide e documenti pubblicati da alcuni vendor che si occupano di IT Auditing, Data Protection e Sicurezza. Pur trattandosi di risorse di qualità, ci teniamo a presentarle in un elenco separato in quanto inevitabilmente realizzati con l'intento di presentare al lettore la propria tecnologia; è quindi fondamentale leggerle facendo attenzione a separare gli aspetti generali dai suggerimenti commerciali, cosa del resto valida anche per molti dei webinar presentati sopra.
- GDPR Compliance - Guida per adeguamento IT a cura di ManageEngine
- Simple Guide to GDPR Data Protection a cura di Virtru
PIA Software (by CNIL)
Un discorso a parte merita l'interessantissimo progetto PIA Software, un applicativo open-source sviluppato dal CNIL (Commission Nationale de l'Informatique et des Libertés) che consente di creare i Privacy Impact Assessment connessi alle varie tipologie di dati trattati. Il software, distribuito tramite la nota piattaforma GitHub, è disponibile in due modalità: una Portable Version con build native per architetture Windows, Linux e MacOS e una Web Version - composta da un back-end per la centralizzazione del Database e di un client front-end per l'utilizzo tramite browser.
La principale differenza tra le due versioni è che la prima può essere utilizzata in modalità stand-alone, ovvero consentendo la memorizzazione delle proprie PIA sul PC locale, mentre la seconda - particolarmente indicata per le grandi realtà - prevede un repository centralizzato su un server dedicato in tecnologia Ruby on Rails e PostgreSQL (back-end) e un client web dedicato in HTML5, accessibile da qualsiasi browser (front-end).
Portable Version
Web Version
Personalmente ho trovato particolarmente degno di nota il fatto che la Portable Version, pur consentendo la memorizzazione delle PIA nell'ambiente locale, può essere anch'essa collegata al back-end centralizzato - a patto di averlo installato - ed essere così utilizzata in modalità client-server.
Per il momento è tutto: spero che questo articolo possa essere di aiuto per quanti, come me, sono chiamati a coordinare questo storico percorso di adeguamento per la propria azienda e/o per quelle dei propri clienti. Buon lavoro e... in bocca al lupo!
Hai bisogno di organizzare un corso per te o per la tua azienda? Consulta il programma del nostro Corso di Formazione su GDPR e Privacy e/o chiedici un preventivo senza impegno!
