Scenario illustrativo: persone e organizzazioni sono ipotetiche. Non è un incarico o un risultato attribuito allo studio.
LA RISPOSTA IN BREVE
La cifratura è un’importante salvaguardia, non una parola da inserire nel registro per evitare ogni controllo. Serve verificarne l’effettiva attivazione, la protezione delle chiavi e lo stato del computer al momento dello smarrimento.
La situazione.
Scenario illustrativo fittizio. Una consulente dimentica sul treno il portatile aziendale contenente bozze contrattuali e copie di documenti clienti. Il reparto informatico afferma che i dischi sono cifrati. Non è però subito chiaro se il computer fosse spento o soltanto sospeso e se le credenziali dei servizi cloud fossero rimaste utilizzabili.
PRIMA DI DECIDERE
Tre fatti da mettere a fuoco.
- 01
Devono esistere evidenze della cifratura di quel dispositivo, non soltanto una politica generale dell’azienda.
- 02
Chiavi di recupero e password non devono essere conservate nella stessa borsa o insieme al computer.
- 03
File locali, sessioni cloud e possibilità di indisponibilità definitiva sono questioni diverse da esaminare.
Valuta insieme questi elementi prima di scegliere le azioni.
Come impostare la valutazione.
L’articolo 32 GDPR richiama misure adeguate al rischio, fra cui la cifratura quando appropriata. Nell’analisi del breach conta se le informazioni possano risultare effettivamente inintelligibili a chi trovi il dispositivo. Una cifratura robusta con chiavi protette può ridurre fortemente il rischio di accesso, ma l’organizzazione deve poter sostenere questa conclusione con elementi tecnici pertinenti.
La decisione sugli adempimenti considera anche lo stato della sessione e la disponibilità dei dati. Il fatto che la cifratura possa rilevare per le condizioni dell’articolo 34 non significa che l’episodio vada escluso dalla documentazione interna. La valutazione della notifica all’autorità segue i propri presupposti; non si ricava automaticamente dal fatto che una comunicazione alle persone possa non essere necessaria.
Cosa fare, in pratica.
- 01
Identificare dispositivo, assegnatario e categorie di file, conservando i dati dell’inventario e le evidenze disponibili di cifratura e gestione centralizzata.
- 02
Revocare sessioni, token e accessi compatibili con il rischio del caso, senza presumere che la sola modifica della password elimini ogni sessione persistente.
- 03
Attivare localizzazione o cancellazione remota soltanto attraverso gli strumenti aziendali previsti, registrando limiti e riscontri della loro esecuzione.
- 04
Verificare copie di sicurezza, eventuali originali presenti soltanto sul portatile e conseguenze della loro perdita per clienti o altre persone coinvolte.
- 05
Motivare il rischio residuo e gli adempimenti decisi, aggiornando la valutazione se il dispositivo viene ritrovato aperto o emergono accessi successivi sospetti.
L’errore da evitare.
Usare «computer cifrato» come risposta standard senza controllare configurazione concreta, chiavi, sospensione e credenziali ancora attive.
Tre verifiche da portare con te.
- Evidenza della cifratura e delle chiavi disponibile.
- Sessioni e token valutati oltre alle password.
- Disponibilità dei dati e rischio residuo documentati.
Una misura efficace deve essere dimostrabile sul dispositivo interessato. La procedura di smarrimento deve collegare sicurezza tecnica e valutazione privacy.
Fonti e riferimenti.
Collegamenti alle fonti istituzionali utilizzate per il quadro di riferimento. Controlla versione, ambito e regole complementari applicabili.