Framework Nazionale per la Cybersecurity e la Data Protection 11 Protezione dei dati 12 Protezione delle reti 13 14 Prevenzione e mitigazione 15 La configurazione iniziale di tutti i sistemi e dispositivi è svolta da personale esperto, responsabile per la configurazione sicura degli stessi. Le credenziali di accesso di default sono sempre sostituite. Sono eseguiti periodicamente backup delle informazioni e dei dati critici per l’azienda (identificati al controllo 3). I backup sono conservati in modo sicuro e verificati periodicamente. Le reti e i sistemi sono protetti da accessi non autorizzati attraverso strumenti specifici (es: Firewall e altri dispositivi/software anti-intrusione). In caso di incidente (es. venga rilevato un attacco o un malware) vengono informati i responsabili della sicurezza e i sistemi vengono messi in sicurezza da personale esperto. Tutti i software in uso (inclusi i firmware) sono aggiornati all’ultima versione consigliata dal produttore. I dispositivi o i software obsoleti e non più aggiornabili sono dismessi. 2.3.1 Inventario dispositivi e software Nella tematica di sicurezza “Inventario dispositivi e software” troviamo i primi quattro Controlli Essenziali, la cui relazione con la nuova versione del Framework Nazionale è riassunta nella Tabella 3. La tabella mostra gli elementi del Framework su cui ciascun controllo ha un impatto. Tra questi elementi sono stati evidenziati in giallo quelli introdotti nella nuova versione del Framework. In particolare, le subcategory DP-ID.AM-7 e DP-ID.AM-8. La subcategory DP-ID.AM-7 riguarda la definizione di ruoli e responsabilità inerenti alla data protection. È evidente, quindi, come tale subcategory sia relazionata al Controllo Essenziale 4, che prevede la nomina di un referente che sia responsabile non solo della protezione dei sistemi informatici, ma anche delle informazioni. Infatti, se da un lato, tale controllo riguarda evidentemente la nomina di una figura con responsabilità inerenti alla cybersecurity, va anche notato che una corretta protezione delle informazioni non può prescindere dalla tutela dei dati personali contro trattamenti illeciti e violazioni che possano ledere i diritti e le libertà delle persone, oltre che risultare in ingenti sanzioni. La subcategory DP-ID.AM-8, riguarda l’individuazione e catalogazione dei trattamenti di dati personali. Questa subcategory è relazionata al Controllo Essenziale 3. Infatti, quest’ultimo richiede l’individuazione delle informazioni, dei dati e dei sistemi critici per l’azienda. Dato l’impatto che una eventuale violazione o trattamento illecito di dati personali può avere sugli individui e sull’azienda stessa in seguito a eventuali sanzioni, appare evidente come i dati personali debbano essere considerati dati critici per l’azienda e in quanto tali vadano individuati e catalogati al pari delle altre tipologie di dato e dei sistemi critici per l’azienda. 19