GDPR e Cyber Security: come funziona in pratica la protezione dei dati

Molte aziende continuano a considerare il GDPR solo un adempimento legale, ma nei fatti è diventato uno dei framework di cyber security più influenti in assoluto. Oggi determina il modo in cui le imprese proteggono i dati personali, gestiscono il rischio informatico e costruiscono la propria resilienza operativa lungo tutto il perimetro tecnologico.

Le organizzazioni si trovano ad affrontare minacce informatiche sempre più sofisticate: ransomware, phishing, furto di credenziali, minacce interne e attacchi alla supply chain. Con l'intensificarsi dei controlli da parte delle autorità in settori come finanza, sanità, retail, manifattura ed energia, le imprese sono sempre più chiamate a dimostrare una solida governance della sicurezza e pratiche di protezione dei dati adeguate.

Il GDPR impone di adottare misure tecniche e organizzative capaci di proteggere efficacemente i dati personali. Nella pratica ciò si traduce in soluzioni di crittografia, controllo degli accessi, monitoraggio, resilienza, test, archiviazione sicura, pianificazione della risposta agli incidenti e valutazione continua del rischio. Soluzioni che non possono più considerarsi solo buone prassi IT facoltative, ma diventano veri e propri obblighi normativi.

Questo articolo illustra i principali requisiti di sicurezza del GDPR, esaminando i seguenti temi:

• Significato concreto del GDPR per i team di cyber security
• Incidenza pratica dell'articolo 32 sulle operazioni di sicurezza quotidiane
• Soluzioni capaci di rafforzare la resilienza informatica e ridurre il rischio normativo

Cos'è il GDPR e cosa disciplina

Il Regolamento generale sulla protezione dei dati (GDPR) costituisce il quadro normativo europeo per la tutela dei dati personali. Si applica a qualsiasi organizzazione che tratti dati personali di soggetti dell'UE o del Regno Unito, indipendentemente da dove l'organizzazione abbia sede ed è stato recepito nell'ordinamento britannico come UK GDPR.

La nozione di dato personale va ben oltre nomi e indirizzi e-mail. Ai sensi dell'articolo 4 del GDPR, possono rientrarvi indirizzi IP, identificativi di dispositivo, dati delle risorse umane, informazioni finanziarie, dati sanitari, dati di geolocalizzazione, comportamenti di navigazione e dati biometrici, ogni volta che siano riconducibili a una persona identificabile.

Alcune categorie di dati sono considerate particolarmente sensibili e richiedono una tutela rafforzata (articolo 9): informazioni sulla salute, dati biometrici a fini identificativi, opinioni politiche e religiose e altre forme di dati personali sensibili. Il GDPR disciplina le modalità di raccolta, conservazione, utilizzo, condivisione e cancellazione dei dati personali. Riconosce inoltre agli interessati diritti specifici sulle proprie informazioni: il diritto di accesso, rettifica e cancellazione (il cosiddetto "diritto all'oblio"), oltre ad altri diritti come la portabilità dei dati e la limitazione del trattamento.

Per i team IT e di sicurezza il GDPR ha un'importanza fondamentale, perché collega direttamente la protezione dei dati alla sicurezza operativa. Le organizzazioni devono essere in grado di dimostrare che i dati personali sono protetti da:

• Accessi non autorizzati
• Divulgazioni accidentali
• Furti
• Alterazioni
• Distruzione
• Perdita di disponibilità

Così la cyber security non è più una questione puramente tecnica, ma un rischio aziendale di competenza del vertice, anche per via delle ingenti sanzioni e dei danni reputazionali che una violazione può comportare.

Il GDPR e le altre normative europee di cyber security

Il GDPR non sostituisce le normative settoriali in materia di cyber security, ma si affianca a esse all'interno di un quadro regolatorio più ampio. Altri framework, come la Direttiva NIS2 e il Digital Operational Resilience Act (DORA), affrontano aspetti diversi del rischio informatico, tra cui la protezione dei servizi critici e la resilienza operativa in settori specifici.

Queste normative operano su livelli distinti: il GDPR si concentra sulla protezione dei dati personali, mentre le altre puntano alla resilienza dei sistemi, alla sicurezza delle infrastrutture e ai rischi propri di ciascun settore. Per molte organizzazioni questo significa integrare la protezione dei dati nei più ampi requisiti di cyber security e di conformità, anziché trattarla come un'attività a sé stante.

Articolo 32 del GDPR: la sicurezza del trattamento

L'articolo 32 rappresenta il cuore degli obblighi di cyber security previsti dal GDPR. Impone alle organizzazioni di adottare "misure tecniche e organizzative adeguate" a garantire un livello di sicurezza proporzionato al rischio.

Alla base dell'articolo 32 c'è un approccio alla sicurezza fondato sul rischio. Anziché prescrivere un insieme fisso di controlli, richiede di valutare la sensibilità dei dati trattati, l'ampiezza delle attività svolte e il potenziale impatto di una violazione sugli interessati. Le misure di sicurezza vanno poi progettate e mantenute in funzione di tali rischi.

Il GDPR, quindi, non fornisce una checklist di conformità predefinita. A un operatore sanitario globale che gestisce cartelle cliniche sensibili si richiederanno controlli più rigorosi rispetto a una piccola realtà che tratta semplici recapiti, in ragione sia della natura dei dati sia delle possibili conseguenze di una violazione.

Cosa si intende per "misure tecniche e organizzative adeguate"

In concreto, le misure "adeguate" combinano controlli tecnici e processi organizzativi — crittografia, autenticazione a più fattori, gestione degli accessi, backup e ripristino, gestione delle vulnerabilità, monitoraggio della sicurezza, risposta agli incidenti, pianificazione della resilienza e formazione del personale — applicati in coerenza con lo specifico profilo di rischio dell'organizzazione.

È il segno di un'evoluzione più ampia del GDPR: dalla conformità una tantum a una responsabilità continua, in cui non basta dimostrare che le misure di sicurezza esistono, ma occorre provare che vengono attivamente mantenute e migliorate nel tempo. L'aspetto decisivo, infatti, non è la semplice presenza dei controlli, ma la capacità di dimostrarne efficacia, proporzionalità e applicazione costante.

Le organizzazioni devono condurre valutazioni del rischio, documentare le proprie scelte e riesaminare periodicamente i controlli, affinché restino allineati a minacce in continua evoluzione. I requisiti di cyber security non sono statici: controlli ritenuti sufficienti pochi anni fa potrebbero non bastare più, perché le autorità insistono sempre più sul miglioramento continuo e sulla responsabilizzazione, anziché su un adempimento isolato.

Riservatezza, integrità e disponibilità

Gli obblighi di sicurezza del GDPR ruotano attorno a tre principi fondamentali: riservatezza, integrità e disponibilità. Insieme, definiscono come i dati personali debbano essere protetti nella pratica.

La riservatezza garantisce che i dati personali siano accessibili soltanto alle persone autorizzate. Le organizzazioni vi provvedono di norma con autenticazione a più fattori, controlli degli accessi basati sui ruoli, crittografia e segmentazione della rete, affiancati dal principio del privilegio minimo e da configurazioni sicure.

L'integrità mira a proteggere i dati da alterazioni o danneggiamenti non autorizzati. A questo scopo si ricorre spesso a registri di audit, processi di gestione delle modifiche e monitoraggio dell'integrità dei file, oltre a controlli che impediscono modifiche accidentali.

La disponibilità assicura che dati e sistemi restino accessibili quando servono. Richiede infrastrutture resilienti, strategie di backup e una pianificazione efficace del ripristino in caso di emergenza.

Tra i tre, la disponibilità è spesso quella più sottovalutata. Per il GDPR, gli attacchi ransomware che rendono indisponibili i dati personali possono configurarsi come violazioni che comportano l'obbligo di notifica anche in assenza di sottrazione di dati: la sola perdita di disponibilità è sufficiente a costituire una violazione ai sensi dell'articolo 4, punto 12.

Crittografia, pseudonimizzazione e protezione dei dati

La crittografia è espressamente richiamata nell'articolo 32 perché è uno dei modi più efficaci per ridurre il rischio di accessi non autorizzati. I dati in transito sulle reti vanno protetti con protocolli di crittografia moderni, mentre quelli archiviati su computer, laptop, unità rimovibili, server, backup e ambienti cloud vanno crittografati con soluzioni robuste, come i dispositivi dotati di crittografia hardware, perché la protezione sia davvero efficace.

Questo vale in particolare per chi lavora da remoto o in mobilità, dove smarrimento e furto dei dispositivi restano una causa frequente di esposizione dei dati. Con la crescente diffusione di ambienti ibridi e cloud, la conformità al GDPR richiede inoltre di mettere in sicurezza gli endpoint remoti, le piattaforme di collaborazione, gli ambienti di archiviazione in cloud e le applicazioni SaaS di terze parti, ricorrendo alla crittografia hardware per attenuare i rischi legati al trattamento dei dati al di fuori delle reti aziendali sicure.

I dispositivi di storage dotati di crittografia hardware offrono una protezione aggiuntiva per i dati sensibili utilizzati oltre il perimetro aziendale, soprattutto per chi lavora da remoto, per i team che operano sul campo e per le organizzazioni che trattano informazioni regolamentate in contesti distribuiti, dove la sicurezza fisica dei dispositivi resta un fattore di rischio rilevante.

La crittografia, da sola, non basta. La conformità al GDPR si fonda su una sicurezza stratificata. Servono anche una solida gestione degli accessi, monitoraggio, capacità di risposta agli incidenti, formazione del personale e processi di test continui, così che i controlli restino efficaci a fronte di minacce in evoluzione.

La pseudonimizzazione è un'altra tecnica importante. Consiste nel sostituire, rimuovere o trasformare le informazioni identificative, in modo che i dati personali non possano essere ricondotti a un soggetto specifico senza informazioni aggiuntive. Tali informazioni aggiuntive sono conservate separatamente e protette con misure tecniche e organizzative adeguate.

Test, monitoraggio e valutazione continua

L'articolo 32 impone di testare e valutare regolarmente le misure di sicurezza, per verificare come i dati vengono raccolti, protetti e conservati. In concreto, ciò comprende scansioni delle vulnerabilità, penetration test, monitoraggio continuo, audit di sicurezza, esercitazioni di risposta agli incidenti e test di ripristino dei backup, tutti finalizzati a verificare che i controlli restino efficaci nel tempo.

È un aspetto cruciale, perché un'organizzazione non sarebbe in grado di segnalare né di contenere gli incidenti, se prima ancora non è in grado di rilevarli. Un monitoraggio efficace e una buona visibilità sono essenziali per individuare tempestivamente le attività sospette, limitare le interruzioni operative e adempiere agli obblighi di notifica alle autorità, soprattutto quando è richiesta una comunicazione rapida della violazione.

Molte organizzazioni allineano oggi i propri programmi GDPR a framework riconosciuti come ISO/IEC 27001, ISO/IEC 27701, il NIST Cybersecurity Framework o Cyber Essentials. Questi framework aiutano a costruire processi di governance della sicurezza strutturati e ripetibili, fermo restando che vanno comunque adattati allo specifico profilo di rischio GDPR dell'organizzazione.

Incidenza del GDPR sulle strategie di cyber security

Il GDPR ha cambiato radicalmente il modo in cui le organizzazioni affrontano la cyber security e uno dei mutamenti più significativi riguarda la responsabilizzazione. Oggi non è più sufficiente dichiarare la propria conformità: bisogna essere in grado di dimostrarla. Questo comporta la tenuta di valutazioni del rischio, documentazione di sicurezza, registri dei trattamenti, procedure di risposta agli incidenti e processi di controllo dei fornitori, con chiara evidenza di come le decisioni in materia di sicurezza vengano prese e riesaminate.

Il GDPR rafforza inoltre l'importanza di una sicurezza basata sul rischio. Gli investimenti in sicurezza devono riflettere l'esposizione dell'organizzazione a minacce e vulnerabilità e la sensibilità dei dati trattati, in modo che i controlli siano proporzionati ai rischi individuati.

Altrettanto centrale è diventata la gestione del rischio legato a terze parti. Se un fornitore o un prestatore di servizi tratta dati personali per conto dell'organizzazione, la responsabilità di garantire adeguate misure di salvaguardia resta in capo a quest'ultima. Per questo la due diligence sui fornitori e la supervisione contrattuale sono oggi elementi centrali di molti programmi di conformità al GDPR, insieme al monitoraggio continuo delle prestazioni e del livello di sicurezza dei responsabili del trattamento.