Il GDPR tratta diverse volte il termine e il concetto di rischio, il cui significato può variare a seconda del processo di gestione della conformità al regolamento che l’azienda contestualizza. Quali sono le tipologie di rischi a cui sono esposte le aziende? Come valutarli e come gestirli al meglio?
Nella valutazione delle misure tecniche ed organizzative da adottare, in generale le aziende dovrebbero tenere conto dei vari rischi che si possono presentare, i quali sono di diverse tipologie: rischi strategici, operativi, rischi di mancata compliance alle norme del GDPR, ecc. Tutti rischi che possono trovare un risvolto concreto ad esempio nella perdita o distruzione dei dati, oppure ancora nella modifica dei dati personali a seguito di interventi non autorizzati.
Metodologia per l’analisi e la valutazione dei rischi
Per cercare di gestire al meglio i vari rischi, è fondamentale in primis individuarli, analizzarli e in un secondo momento affrontarli e, se necessario, porvi rimedio. La maggior parte delle volte questo processo però non è così lineare come descritto; pertanto occorre tenere presente che ci sono diversi fattori che potrebbero ostacolare la corretta gestione dei rischi: si tratta di vincoli dettati dal mercato, piuttosto che da limiti tecnologici, organizzativi, economici e di conoscenza dell’azienda.
La fase di analisi e valutazione dei rischi è fondamentale per la gestione degli stessi e per svolgerla correttamente è buona prassi dotarsi di una metodologia ben definita che si può suddividere in diverse fasi.
Si parte innanzitutto dall’identificazione dei processi aziendali, dei registri del trattamento e dai dati personali trattati. Successivamente sarà necessario identificare gli assets, gli ambienti applicativi e tecnologici a supporto dei servizi e dei processi.
Andranno valutati gli impatti che potrebbero derivare da una perdita o riduzione della riservatezza dei dati trattati e la probabilità futura di accadimento delle singole minacce.
Alla fine verrà calcolato il rischio per ogni trattamento, prodotto tra i risultati di impatto e le probabilità di accadimento.
Tali attività precedentemente descritte possono essere raggruppate sotto le fasi di analisi e gestione dei rischi, attraverso le quali, rispettivamente, vengono identificate le minacce e la vulnerabilità del trattamento, vengono definite le misure tecniche ed organizzative di sicurezza più efficaci e coerenti con le problematiche individuate, con l’obiettivo e con le risorse disponibili per fronteggiare il rischio.
La classificazione dei dati e benefici dell’analisi dei rischi
Si può constatare quindi che la classificazione dei dati è fondamentale affinché tutta l’analisi e la valutazione dei rischi sia oggettiva, completa ed efficace. In questa direzione, l’azienda dovrebbe riuscire a raccogliere, catalogare, monitorare e utilizzare tutti i dati di cui dispone per poter prevenire i rischi, eventualmente correggere gli errori e valutare i miglioramenti.
Un’azione di questo tipo, sull’approccio risk based introdotto dal GDPR, ha costretto numerose aziende ad adottare processi di analisi dei rischi e ciò ha avuto sicuramente un risvolto positivo sia in riferimento alla sicurezza, che all’organizzazione dell’azienda stessa. Con tali processi, infatti, si va delineando il concetto di standardizzazione delle metodologie e degli strumenti che permette di classificare le minacce, i rischi e consente di stabilire delle procedure per farvi fronte, considerando inoltre la conseguente unione delle modalità di valutazione dei rischi per la rispondenza ai diversi obiettivi del GDPR.
Il processo di analisi e valutazione del rischio, quindi, grazie al monitoraggio continuo che porta ad un miglioramento generale, e grazie alla raccolta di feedback, rappresenta l’opportunità di trasformare un processo di compliance in uno strumento fondamentale per la sicurezza aziendale.
Team Privacy CGN
