Le policy di data security sono spesso confuse con le politiche di sicurezza delle informazioni. Queste ultime si concentrano tipicamente su tutti gli aspetti dell’information security, inclusi dispositivi, applicazioni, dipendenti, fornitori e altre risorse interne ed esterne, oltre ai dati. Al contrario, le politiche di data security si concentrano specificamente sulla protezione dei dati, dei database e del contenuto correlato ai dati.
Queste policy vanno a delineare processi specifici come l’inventario e la classificazione dei dati, nonché misure di sicurezza e controlli, inclusi crittografia, backup e controllo degli accessi.
Creare e implementare una politica di sicurezza dei dati a livello aziendale è fondamentale, così come è centrale aggiornarla con regolarità.
Cos’è una politica di sicurezza dei dati?
Una politica di sicurezza dei dati è un documento formale che descrive come un’organizzazione protegge i suoi dati. Fornisce linee guida sull’uso sicuro, la gestione e il monitoraggio dei dati all’interno dell’organizzazione.
L’obiettivo finale è proteggere i dati sensibili garantendo l’accesso, la trasmissione e l’archiviazione autorizzata dei dati, rispettando al contempo i requisiti di conformità con le normative vigenti e di settore.
Perché le policy di data security sono importanti?
Le politiche di sicurezza dei dati sono importanti per i seguenti motivi:
- Specificano come un’organizzazione intende gestire la sicurezza dei propri dati.
- Documentano formalmente tutti i controlli e le procedure di sicurezza dei dati.
- Aiutano a prevenire accessi non autorizzati ai dati dell’organizzazione.
- Aiutano i team di sicurezza a identificare e correggere vulnerabilità, configurazioni errate e altri problemi di sicurezza.
- Descrivono le responsabilità dei dipendenti per l’accesso e la protezione dei dati aziendali.
- Aiutano a dimostrare la conformità con standard e regolamenti sulla privacy e la sicurezza dei dati, come ISO 27001, ISO 27002, NIST, PCI DSS, GDPR.
Elementi chiave di una politica di sicurezza dei dati
Sebbene le policy di data security possano variare da un’azienda all’altra, generalmente includono i seguenti elementi:
- Scopo. Introduce la policy, spiega perché esiste e cosa mira a raggiungere.
- Ambito. Fornisce informazioni sui dati, le persone e i sistemi a cui si applicano le politiche.
- Ruoli e responsabilità. Elenca chi gestisce, aggiorna e mantiene i dati, così come gli elementi e i componenti della politica, e le loro responsabilità.
- Obiettivi. Spiega perché è necessaria questa politica.
- Strategia e focus. Descrive la strategia per raggiungere gli obiettivi, nonché eventuali framework e standard di sicurezza IT a cui la policy si allinea, come l’ ISO 27000, NIST, eccetera
- Processi. Delinea la policy e i processi correlati, nonché come verranno affrontate le violazioni e gli aggiornamenti della policy. Include strumenti e tecnologie utilizzati per garantire la sicurezza dei dati.
- Policy correlate. In quest’ambito possono rientrare policy quali: una politica di classificazione dei dati che definisce categorie e criteri per classificare i dati; una politica di conservazione dei dati che delinea per quanto tempo mantenere i dati e come smaltirli; una politica di sicurezza delle email con le linee guida per proteggere le comunicazioni email; un piano di risposta agli incidenti con istruzioni su come rispondere e limitare gli effetti degli incidenti di sicurezza; una politica di backup dei dati che definisce i passaggi per eseguire il backup e archiviare i dati; una politica sulle password che delinea le regole per la creazione e l’uso delle password; una politica di accesso remoto con linee guida per accedere in modo sicuro ai dati e ai sistemi da località remote; una politica su come possono essere utilizzati i sistemi, i dati e i servizi di un’organizzazione (qui possono rientrare anche considerazioni sull’uso dell’intelligenza artificiale).
- Gestione e revisione degli audit. Dettaglia il programma e la frequenza degli aggiornamenti e delle revisioni della policy.
- Versioning. Elenca gli aggiornamenti effettuati, cosa è stato cambiato e da chi.
Come creare una policy di data security
Le organizzazioni con policy formali di cybersecurity o di information security hanno tipicamente già gli elementi principali necessari.
Le migliori pratiche per creare una politica di sicurezza dei dati includono:
- Creare un team. Sviluppare la politica con un team di persone che possano affrontare i processi operativi, legali, di compliance e altri controlli associati alla sicurezza dei dati.
- Determinare l’ownership della policy. Va stabilito chi è l’owner della policy, chi la rivede e aggiorna e chi è responsabile dell’audit.
- Fare un inventario dei dati. Catalogare i dati nell’organizzazione, inclusi chi possiede, gestisce e mantiene i dati, dove si trovano e chi può leggerli, modificarli e cancellarli.
- Classificare i dati e determinare i requisiti di sicurezza. Organizzare i dati in categorie e tag – ad esempio, pubblici, riservati, sensibili, personali, eccetera. Condurre una valutazione del rischio per identificare le minacce alle categorie di dati e dare priorità alle misure di sicurezza.
- Identificare sistemi, processi e tecnologie per proteggere i dati. Definire procedure e implementare strumenti adeguati per la protezione delle informazioni sensibili da violazioni dei dati, attacchi ransomware, altri malware e attacchi informatici. Inoltre, prevenire la perdita di dati e il loro utilizzo improprio. In quest’ambito rientrano molteplici aspetti quali ad esempio: controlli di accesso (IAM, MFA, sicurezza password), crittografia (gestione delle chiavi e dei certificati), sicurezza di rete (XDR, firewall, gestione patch), sicurezza degli end point e sicurezza mobile (EDR, antivirus), backup e ripristino, risposta agli incidenti, responsabilità degli utenti
- Preparare e distribuire una bozza della policy. È importante usare un linguaggio non da tecnici e coinvolgere le altre aree aziendali.
- Definire un piano di revisione. Stabilire un programma di revisione per garantire che la policy rifletta accuratamente lo stato attuale dei dati e della sicurezza dell’organizzazione, nonché il panorama delle minacce in evoluzione. Definire procedure per testare e convalidare l’efficacia dei protocolli e dei controlli di sicurezza dei dati.
- Distribuire la policy e formare gli utenti. Condurre training sulla consapevolezza della sicurezza per garantire che i dipendenti comprendano la policy e le loro responsabilità. Coordinate con le risorse umane per garantire una conformità uniforme.
- Integrare la policy di data security con altre attività di protezione dei dati.
- Revisionare e aggiornare regolarmente la policy.
