Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La perdita di un supporto rimovibile può compromettere riservatezza e disponibilità. Il tipo di protezione deve essere verificato: una cartella nascosta o un file rinominato non rendono i dati inintelligibili a chi trova il dispositivo.
La situazione.
Scenario illustrativo fittizio. Un tecnico porta da un cliente una chiavetta con file di manutenzione e non la ritrova al rientro. Ricorda di avervi copiato anche un elenco di contatti e una scansione di un documento ricevuta per una pratica. Non esiste un inventario del supporto e la protezione indicata come «password» non è stata testata.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
L’assenza di inventario rende incerto il contenuto: la ricostruzione deve usare copie di origine e attività recenti.
- 02
Il documento identificativo ha un potenziale di abuso diverso da un semplice nominativo professionale.
- 03
Occorre verificare se il supporto fosse cifrato e se conservasse dati presenti anche altrove.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
La prima difficoltà è conoscere l’esposizione senza leggere il supporto perduto. Si può ricostruire quali file siano stati copiati attraverso le sorgenti, i log tecnici disponibili e il confronto con chi lo utilizzava. Le incertezze devono essere riportate nella valutazione, non trasformate in una conclusione ottimistica. Il registro dei breach è utile proprio per distinguere fatti, verifiche e ipotesi.
Una protezione nominata «password» non dice da sola se i file siano davvero inaccessibili senza la chiave. La valutazione richiede informazioni tecniche proporzionate e considera possibili abusi, riconoscibilità delle persone e presenza di documenti identificativi. Gli obblighi di notifica e comunicazione dipendono dal rischio secondo gli articoli 33 e 34 GDPR, mentre l’accaduto e le decisioni vanno comunque documentati.
Cosa fare, in pratica.
- 01
Segnalare immediatamente la perdita al referente previsto, annotando ultimo utilizzo, luoghi plausibili e persone che potrebbero aver avuto accesso al supporto.
- 02
Ricostruire il contenuto da cartelle di origine e attività svolte, evitando di raccogliere indiscriminatamente nuovi documenti personali per completare l’indagine.
- 03
Verificare la reale tecnologia di cifratura e la custodia della chiave: se manca una prova attendibile, esplicitare il limite nell’analisi del rischio.
- 04
Valutare insieme esposizione e perdita di disponibilità, decidendo gli adempimenti senza attendere indefinitamente il possibile ritrovamento della chiavetta.
- 05
Ridurre i supporti non gestiti, predisporre dispositivi cifrati e procedure che impediscano di trasportare documenti personali non necessari alla singola attività.
L’errore da evitare.
Concludere che i file non fossero importanti perché la chiavetta era usata normalmente per manutenzione, senza ricostruire le copie aggiunte.
Tre verifiche da portare con te.
- Contenuto ricostruito con limiti espliciti.
- Protezione tecnica verificata, non soltanto dichiarata.
- Uso futuro dei supporti ridotto e governato.
La classificazione di un dispositivo non sostituisce l’analisi dei dati che contiene. La minimizzazione riduce anche le conseguenze degli smarrimenti.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.