Protezione dei dati: da un approccio reattivo a uno proattivo
Ripensare i rischi legati alla privacy nell’azienda moderna
Key Points
- La maggior parte dei programmi sulla privacy continua ad avere un approccio reattivo, concentrandosi sulla gestione delle violazioni e delle richieste delle autorità di regolamentazione piuttosto che sulla riduzione proattiva dei rischi e delle esposizioni legati ai dati.
- Nonostante anni di regolamentazione, i tassi di conformità hanno subito una battuta d’arresto poiché le organizzazioni si affidano a strumenti di conformità di tipo reattivo anziché adottare strategie proattive di governance e gestione dei rischi.
- I programmi proattivi in materia di privacy monitorano costantemente le minacce, automatizzano la classificazione dei dati, individuano tempestivamente le anomalie e integrano il principio della “privacy by design”, riducendo sia i rischi che la complessità operativa.
- Una vera tutela della privacy richiede una visibilità completa dei dati e un'analisi approfondita degli stessi, che consentano alle organizzazioni di prevenire gli incidenti e ridurre i costi, anziché limitarsi a reagire ai problemi solo dopo che si sono verificati.
La maggior parte dei programmi sulla privacy è concepita in modo errato. Si concentrano sulla gestione delle violazioni piuttosto che sulla loro prevenzione, sulla risposta alle richieste DSAR piuttosto che sulla riduzione al minimo dell’impronta dei dati che rende complesse tali richieste. È giunto il momento di cambiare le carte in tavola.
La fase di stabilizzazione della conformità
Nonostante siano ormai diversi anni che il GDPR sia in vigore, circa il 30% delle imprese europee non è ancora conforme alla normativa. Le aziende statunitensi stanno registrando un graduale miglioramento: al secondo trimestre del 2024 il 30% di esse è pienamente conforme, in aumento rispetto al 28% del primo trimestre. Ma “lentamente” è la parola chiave. Entro il 2026, si prevede che le organizzazioni di medie dimensioni operino almeno al Livello 3, avvalendosi di documentazione standardizzata, pratiche proattive e ruoli di governance ben definiti. Le aziende puntano ai livelli 4 e 5 attraverso un’automazione che prevede metriche avanzate, tra cui i tassi di completamento delle valutazioni d’impatto sulla protezione dei dati e il monitoraggio delle violazioni.
Allora, perché questa stagnazione? Poiché la maggior parte delle organizzazioni sta cercando di risolvere un problema di governance ricorrendo a strumenti di conformità. Si limitano a reagire quando invece dovrebbero agire in modo proattivo.
Come si presenta una politica proattiva in materia di privacy
I programmi di protezione della privacy più all’avanguardia non attendono che si verifichino degli incidenti. Essi:
- Monitorare costantemente eventuali fughe di dati e violazioni delle politiche aziendali
- Classificare automaticamente i dati per individuare quali siano sensibili e dove siano archiviati
- Individuare le anomalie nei modelli di accesso ai dati prima che si trasformino in violazioni
- Garantire la privacy integrandola nei sistemi sin dall’inizio, anziché considerarla un aspetto secondario
Il divario in materia di intelligence
La gestione dei rischi legati alla privacy richiede visibilità, non solo su dove sono archiviati i dati, ma anche su come vengono trasferiti, chi vi accede e quando diventano vulnerabili. Il 68% dei professionisti della protezione dei dati ha assunto responsabilità in materia di governance dell'intelligenza artificiale. Le organizzazioni oberate da team sempre più a corto di risorse, da volumi di dati ingenti e da sistemi frammentati non riusciranno mai a individuare i rischi né a rispettare le scadenze.
Riformulare il problema
La conformità alle norme sulla privacy è fondamentalmente una questione di ricerca e di governance. Le organizzazioni non possono proteggere, ridurre al minimo o produrre ciò che non riescono a individuare. Non possono individuare eventuali esposizioni se non sanno dove si trovano i dati sensibili. E non possono prevenire le violazioni se la loro unica strategia consiste nel reagire a esse solo a posteriori.
L'imperativo strategico
La privacy reattiva è una privacy costosa. Ogni notifica di violazione comporta sanzioni pecuniarie, spese legali e danni alla reputazione. Ogni ritardo nella risposta a una richiesta DSAR comporta il rischio di provvedimenti normativi. Ogni mancata applicazione del principio di minimizzazione dei dati aumenta la vostra superficie di attacco.
Le organizzazioni che ottengono risultati positivi in materia di privacy non sono quelle dotate dei team di conformità più numerosi. Sono proprio loro a disporre della migliore infrastruttura in materia di analisi dei dati e governance.
La domanda successiva
La tutela della privacy deve evolversi da un semplice esercizio di conformità a una disciplina di gestione continua del rischio. Tutto ciò parte dalla visibilità, richiede l’automazione e trova il proprio successo nell’integrazione tra sicurezza, IT, aspetti legali e operazioni aziendali. La domanda che ogni organizzazione dovrebbe porsi è: siamo noi a gestire la privacy, o è la privacy a gestire noi?
Individuate potenziali casi di divulgazione dei dati o violazioni delle politiche prima che abbiano ripercussioni sulle vostre finanze e sulla vostra reputazione.
Si abboni a Cyber Resilience Insights per altri articoli come questi.
Riceva tutte le ultime notizie e le analisi del settore della cybersecurity direttamente nella sua casella di posta elettronica.
Iscriviti con successo
Grazie per essersi iscritto per ricevere gli aggiornamenti del nostro blog
Ci terremo in contatto!