Sicurezza dei dati e data breach: le regole per le imprese

Password mai in chiaro. Le password degli utenti vanno conservate con tecniche crittografiche robuste e aggiornate. Il Garante ha sanzionato una società che ne teneva una parte in chiaro e un'altra con algoritmi superati, oltre a credenziali di sistemi non più in uso.

Ognuno vede solo quello che gli serve. Gestionali, protocollo e cartelle condivise vanno configurati per ruolo, con registrazione degli accessi e avvisi sugli accessi anomali. Documenti disciplinari e dati del personale richiedono percorsi riservati.

Attenzione a chi si spaccia per tecnico. In uno dei casi più gravi gli attaccanti si sono finti tecnici dell'assistenza e si sono fatti dare l'accesso dai punti vendita. La formazione del personale e la verifica di chi chiede accessi fanno parte delle misure di sicurezza.

Aree riservate con verifica dell'identità. Un'area clienti in cui basta il codice fiscale di qualcuno e un'email qualsiasi per registrarsi a suo nome espone i dati di tutti i clienti.

Notifica al Garante entro 72 ore. Una violazione che può creare rischi per le persone va notificata al Garante entro 72 ore da quando te ne accorgi, con la procedura online (articolo 33 del GDPR). Anche la perdita di un oggetto fisico, come un documento o un campione, è un data breach.

Avvisare le persone coinvolte. Se il rischio è elevato, le persone vanno informate senza ingiustificato ritardo (articolo 34). Il Garante ha sanzionato chi lo ha fatto dopo due mesi per timore del danno di immagine.

Un registro interno delle violazioni. Ogni violazione va documentata, anche quella che non richiede la notifica: cosa è successo, le conseguenze e le misure prese (articolo 33, paragrafo 5).