22 Framework Nazionale per la Cybersecurity e la Data Protection particolare, il penultimo riguarda le azioni da intraprendere in caso di incidenti cyber. Esso prevede che in caso di incidente vengano informati i responsabili della sicurezza e che i sistemi vengano messi in sicurezza da personale esperto. Nell’ambito di una gestione non solo della sicurezza cyber, ma anche della data protection, tra i responsabili chiamati a coordinare le azioni di risposta agli incidenti dovrebbe essere presente anche un responsabile per la data protection (figura che può o meno coincidere con quella di responsabile della sicurezza). In caso di incidente tale figura dovrebbe essere tempestivamente informata per accertare se ci sia stata o meno una violazione di dati personali ed eventualmente intraprendere le azioni di risposta, tra cui quelle previste dalla normativa applicabile, quali ad esempio, informare le autorità di riferimento ed eventualmente comunicare la violazione ai diretti interessati (ossia le persone fisiche identificate o identificabili dai dati violati). La Tabella 5 riassume la relazione tra i Controlli Essenziali della tematica “Prevenzione e mitigazione” e il Framework Nazionale per la Cybersecurity e la Data Protection. In particolare, rispetto alla precedente versione del Framework, il Controllo Essenziale 14 ha un impatto anche sulla subcategory DP-RS.CO-6 (evidenziata in giallo). Si tratta di una subcategory introdotta nella nuova versione del Framework che riguarda la risposta agli incidenti che si configurano come violazioni di dati personali. Essa prevede di informare le autorità di riferimento e gli interessati, se del caso. Tabella 5: Relazione tra i Controlli Essenziali in "Prevenzione e mitigazione" con il Framework Nazionale per la Cybersecurity e la Data Protection. FUNCTION CATEGORY SUBCATEGORY Communications (RS.CO): Le attività di risposta sono coordinate con le parti interne ed esterne (es. eventuale supporto da parte degli organi di legge o dalle forze dell'ordine). DP-RS.CO-6: Gli incidenti che si configurano come violazioni di dati personali sono documentati ed eventualmente vengono informati le autorità di riferimento e gli interessati Mitigation (RS.MI): Vengono eseguite azioni per prevenire l'espansione di un evento di sicurezza, per mitigare i sui effetti e per risolvere l'incidente. RS.MI-1: In caso di incidente vengono messe in atto procedure atte a contenerne l'impatto RS.MI-2: In caso di incidente vengono messe in atto procedure atte a mitigarne gli effetti RS.MI-3: Le nuove vulnerabilità sono mitigate o documentate come rischio accettato RESPOND (RS) CONTROLLO 14 - In caso di incidente (es. venga rilevato un attacco o un malware) vengono informati i responsabili della sicurezza e i sistemi vengono messi in sicurezza da personale esperto. 15 - Tutti i software in uso (inclusi i firmware) sono aggiornati all’ultima versione consigliata dal produttore. I dispositivi o i software obsoleti e non più aggiornabili sono dismessi.