Source: https://www.coretech.it/it/service/articoli/articoli.php?ID=1177
Timestamp: 2020-08-04 05:45:44+00:00

Document:
GDPR e la sicurezza dei dati, nuovi obblighi - CoreTech
GDPR e la sicurezza dei dati nuovi obblighi
21/11/17 Avvocato Giuseppe Serafini Blog
https://www.coretech.it/it/service/articoli/articoli.php?ID=1177&from=share_button&shareid=1da6c03b5a3389d89cb947886e514dc0e4d858ee6c6e8193aa769498cbe8fd4d
Di Avv. Giuseppe Serafini – Law Firm
Sponsored GFI SOFTWARE - GFI Partner Forum Italia - 16/11/2017
Change Management; Cyber Crime; Loss; Ethical Hacking; IoT; Information Security; ISO/IEC 27000; 27001; 27037; PDCA; Penetration Testing; Terms & Conditions May Apply; Vulnerability Assessment; PCI - DSS; RoE; Corporate Forensics; Black Box; Data Protection Policy; NIST; Cod. Pen. Risk Mitigation; Digital Forensics; Data Protection; OWASP; Out of Jail; SQL Injection; Kali Linux; Computer Security Incident Response Team; CSIRT; Privacy Shield; Digital Evidence; Data Protection Officer; Privacy Impact Analysis; Cyber War; Tallin Manual; Attack Surface; NIS Directive; Cyber Security Awareness Program; Wassenaar Arrangement; Cipher Block; Cryptography; Cass. S.U. 28/07/2016”; Cybersecurity Report (CIS); Critical Infrastructure Cybersecurity (NIST); CERTFin; Cyber Weapon; DPIA.
Art.1 (R). - Oggetto e finalitá.
Art.1 (D). - Oggetto e Ambito di applicazione
La presente direttiva stabilisce misure volte a conseguire un livello comune elevato di sicurezza della rete e dei sistemi informativi nell'Unione così da migliorare il funzionamento del mercato interno.
EU GDPR - Reg. 679/2016 - (Data Protection)
Registro dei Trattamenti - (Art. 30);
Sicurezza - (Art. 32);
Data Breach Notification - (Art. 33 e ss);
Privacy Impact Assessment - (Art.35);
Consultazione Preventiva - (Art.36);
Data Protection Officer - (Art. 37 - 39);
NIS Dir. (UE) 2016/1148 (Network Information Security)
CSIRT - ENISA;
Operatori Servizi Essenziali - (All. II);
Fornitori Servizi Digitali - (All. III);
WP29 - Guidelines
Provv. Garante & Codice Privacy
Posta Elettronica ed Internet;
Data Breach - Videosorveglianza;
Cod. Pen. - (Cyber Crimes)
Cod. Proc. Pen. (Digital Forensics)
ISO/IEC 27000 Family;
NIST 800 Series;
Cloud Control Matrix - (CSA);
PCI - DSS / PA - DSS. / OWASP – Top Ten Vulnerability.
Misure Minime Sicurezza ICT PA - SANS
Extra-territorialitá;
Cyber (Forensics) Security
Art. 99 - R. Entrata in vigore e applicazione.
Art. 21 - D. - Sanzioni.
Gli Stati membri stabiliscono le norme relative alle sanzioni da irrogare in caso di violazione delle disposizioni nazionali di attuazione della presente direttiva e adottano tutti i provvedimenti necessari per la loro applicazione. Le sanzioni previste sono effettive, proporzionate e dissuasive.
Gli Stati membri notificano tali norme e provvedimenti alla Commissione entro il 9 maggio 2018 e provvedono a darle immediata notifica di ogni successiva modifica.
Art. 24 (R). - Responsabilità del titolare del trattamento
Tenuto co nto della natura, dell'ambito di applicazione, del contesto e delle finalità del trattamento, nonché dei rischi aventi probabilità e gravità diverse per i diritti e le libertà delle persone fisiche, il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire, ed essere in grado di dimostrare, che il trattamento è effettuato conformemente al presente regolamento.
Norme entro il 9 maggio 2018.
Strategia Nazionale in materia di sicurezza della rete e dei sistemi informativi;
Art. 14 e 16 - tenuto conto delle conoscenze più aggiornate in materia (Parametro dell’obbligo di sicurezza).
N.I.S. Directive.
Ogni Stato membro designa uno o più CSIRT che sia conforme ai requisiti di cui all'allegato I, punto 1, che si occupi almeno dei settori di cui all'allegato II e dei servizi di cui all'allegato III e abbia il compito di trattare gli incidenti e i rischi secondo una procedura ben definita. È possibile creare un CSIRT all'interno dell'autorità competente (IT-CERT - CERT-PA).
Identificazione dei servizi essenziali (Allegato III);
Settore Bancario (CERTFIN);
Notifica degli incidenti;
Strategia Nazionale in materia di sicurezza della Rete e dei Sistemi Informativi (Autoritá Nazionale di Controllo);
Cooperazione tra Autoritá Nazionali e tra queste ed ENISA;
Rete di Gruppi di Intervento per la Sicurezza Informatica (CSIRT).
Art. 4. c.1. nr. 2 - Sicurezza della rete e dei sistemi informativi.
La capacità di una rete e dei sistemi informativi di resistere, a un determinato livello di riservatezza, a ogni azione che comprometta la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati conservati o trasmessi o trattati e dei relativi servizi offerti o accessibili tramite tale rete o sistemi informativi.
b) il monitoraggio del loro comportamento nella misura in cui tale comportamento ha luogo all’interno dell'Unione.
Art. 25 - Privacy By Design - By Default.
(…) sia al momento di determinare i mezzi del trattamento sia all'atto del trattamento stesso il titolare del trattamento mette in atto misure tecniche e organizzative adeguate, quali la pseudonimizzazione, volte ad attuare in modo efficace i principi di protezione dei dati;
Il titolare del trattamento mette in atto misure tecniche e organizzative adeguate per garantire che siano trattati, per impostazione predefinita, solo i dati personali necessari per ogni specifica finalità del trattamento (…).
Art. 28 - Responsabile del trattamento.
Tratti i dati su istruzione documentata;
NDA (Employees);
Adozione misure Art. 32;
Sub_Processor;
Garanzie sufficienti per mettere in atto misure tecniche e organizzative adeguate in modo tale che il trattamento soddisfi i requisiti del presente regolamento e garantisca la tutela dei diritti degli interessati;
Reg. E.U. 27.04.2016 Nr. 679. C (81)
Il titolare del trattamento dovrebbe ricorrere unicamente a responsabili del trattamento che presentino garanzie sufficienti, in particolare in termini di conoscenza specialistica, affidabilità e risorse, per mettere in atto misure tecniche e organizzative che soddisfino i requisiti del presente regolamento, anche per la sicurezza del trattamento.
L’esecuzione dei trattamenti da parte di un responsabile del trattamento dovrebbe essere disciplinata da un contratto o da altro atto giuridico a norma del diritto dell'Unione o degli Stati membri che vincoli il responsabile del trattamento al titolare del trattamento.
Reg. E.U. 27.04.2016 Nr. 679.
Art. 32 - Sicurezza del Trattamento.
2. Nel valutare l’adeguato livello di sicurezza, si tiene conto in special modo dei rischi presentati dal trattamento che derivano in particolare dalla distruzione, dalla perdita, dalla modifica, dalla divulgazione non autorizzata o dall'accesso, in modo accidentale o illegale, a dati personali trasmessi, conservati o comunque trattati.
Art. 31 - Codice Privacy
Data Protection Security Management System.
Art. 30 - Registri delle attività di trattamento.
Considerando - Art. 33
(88). Nel definire modalità dettagliate relative al formato e alle procedure applicabili alla notifica delle violazioni di dati personali:
è opportuno tenere debitamente conto delle circostanze di tale violazione, ad esempio stabilire se i dati personali fossero o meno protetti con misure tecniche adeguate di protezione atte a limitare efficacemente il rischio di furto d'identità o altre forme di abuso.
(33.3). La notifica di cui al paragrafo 1 deve almeno:
a) descrivere la natura della violazione dei dati personali compresi, ove possibile, le categorie e il numero approssimativo di interessati in questione (...);
Incident Response - Digital Forensics
Any data stored or transmitted using a computer that support or
refuse a theory of how an offense occurred or that address critical elements of the offense such as intent or alibi.
Articolo 39 - Compiti del responsabile della protezione dei dati.
a) informare e fornire consulenza (…) in merito agli obblighi derivanti dal presente regolamento nonché da altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati;
b) sorvegliare l'osservanza del presente regolamento, di altre disposizioni dell'Unione o degli Stati membri relative alla protezione dei dati nonché delle politiche (…) in materia di protezione dei dati personali, compresi l'attribuzione delle responsabilità, la sensibilizzazione e la formazione del personale che partecipa ai trattamenti e alle connesse attività di controllo;
d) cooperare con l'autorità di controllo; e e) fungere da punto di contatto per l'autorità di controllo per questioni connesse al trattamento, tra cui la consultazione preventiva di cui all'articolo 36 (…).
Articolo 37 - Designazione del responsabile della protezione dei dati.
c) le attività principali del titolare del trattamento o del responsabile del trattamento consistono nel trattamento, su larga scala, di categorie particolari di dati personali di cui all’articolo 9 o di dati relativi a condanne penali e a reati di cui all'articolo 10.
Data Protection Impact Assessment - (DPIA)
Quando un tipo di trattamento, allorché prevede in particolare l'uso di nuove tecnologie, considerati la natura, l’oggetto, il contesto e le finalità del trattamento, può presentare un rischio elevato per i diritti e le libertà delle persone fisiche, il titolare del trattamento effettua, prima di procedere al trattamento, una valutazione dell'impatto dei trattamenti previsti sulla protezione dei dati personali.
35.7 DPIA
DPIA - (Valutazione Impatto Privacy)
What does a DPIA address? A single processing operation or a set of similar processing operations.
a) When is a DPIA mandatory? Where a processing is “likely to result in a high risk”.
b) When isn’t a DPIA required? When the processing is not "likely to result in a high risk", or has already been authorized, or has a legal basis.
3. How to carry out a DPIA?
a) At what moment should a DPIA be carried out? Prior to the processing.
b) Who is obliged to carry out the DPIA? The data controller, with the DPO and the data processor(s)
c) What is the methodology to carry out a DPIA? Different methodologies but common criteria.
d) Should the DPIA be published? Yes, either in full or in part, and it must be communicated to the supervisory authority in case of prior consultation.
4. When shall the supervisory authority be consulted? When residual risks are high.
UNIMI - Cloud, Data Protection, Digital Forensics.
BSI ISO / IEC 27001:2013 Lead Auditor.
Data Protection Officer & Privacy Expert.
European Certificate on Cybercrime Evidence.
Digital Forensics Expert Witness - (Procura della Repubblica).
Docente Uni-PG / Scuola Forense Perugia.
CSIG - Perugia.
ISACA - Roma Chapter.
F.A. - Digital Forensics Alumni.
S.A. - Cloud Security Alliance.
CLUSIT - Associazione Italiana per la Sicurezza Informatica.
(ISC)2 - Int. Inf. Systems Security Certification Consortium.

References: Cass. 

Art.1

Art.1

Art. 99

Art. 21

Art. 24

Art. 14

Art. 4

Art. 25

Art. 28
 Art. 32

Art. 32

Art. 31

Art. 30
 Art. 33

Articolo 39

Articolo 37