SOLUTION BRIEF

FACILITARE LA PREPARAZIONE ALLE SFIDE DELLA VALUTAZIONE DEI RISCHI

E DELLA CONFORMITÀ IMPOSTE DAL GDPR CON RSA SECURITY

PER AFFRONTARE I TEMPI INCALZANTI DELLA CONFORMITÀ AL GDPR

PREPARARSI AL GDPR È ESSENZIALEIl GDPR dell'UE impone alle organizzazioni obblighi fra loro correlati per il trattamento dei dati personali dei cittadini residenti nell'UE, tra cui:

• Adozione di policy e procedure volte a garantire e dimostrare che i dati PII siano trattati conformemente al regolamento

• Adozione di policy e procedure volte a garantire e dimostrare che i dati PII siano trattati conformemente al regolamento

• Tenuta della documentazione relativa alle operazioni di trattamento

• Valutazione dei rischi per la sicurezza dei dati personali sia in formato cartaceo che elettronico, tra cui loro distruzione accidentale o illecita, perdita, alterazione, divulgazione non autorizzata, accesso ad essi, dati personali trasmessi, archiviati o altrimenti trattati

• Implementazione di idonei controlli tecnici e organizzativi volti a garantire un livello di sicurezza adeguato al rischio

• Implementazione di procedure volte a verificare l'efficacia dei controlli e in linea con i risultati della valutazione dei rischi

• Valutazione dell'impatto della protezione dei dati sul trattamento pianificato dei dati personali altamente sensibili

• Comunicazione trasparente ai residenti nell'UE al momento della raccolta dei dati e alla successiva richiesta di informazioni

• In caso di monitoraggio di persone su vasta scala o di trattamento di categorie di dati personali speciali, nomina di un responsabile della protezione dei dati a cui è affidata la responsabilità di monitorare la conformità dell'organizzazione ai requisiti del GDPR dell'UE

SOLUTION BRIEF

2

Il Regolamento generale sulla protezione dei dati (GDPR) dell'Unione europea (UE) entrerà pienamente in vigore nel maggio 2018 e comporterà notevoli cambiamenti per le organizzazioni che trattano informazioni di identificazione personale (PII, Personally Identifiable Information) di residenti europei. Il suo obiettivo è rafforzare la protezione dei dati PII all'interno dell'UE e ovunque vengano trasferiti all'esterno dell'EU. L'ambito di applicazione del GDPR comprende tutte le aziende con sede nell'UE, nonché qualsiasi azienda che controlli o tratti dati personali relativi a soggetti residenti nell'UE. Questi requisiti si applicano indipendentemente dalla sede dell'organizzazione e pertanto il GDPR rappresenta un requisito di conformità realmente globale.

L'inosservanza dei requisiti previsti dal GDPR può comportare notevoli conseguenze negative. Per i casi di mancata realizzazione e mantenimento della conformità, sono infatti previste sanzioni fino al 4% delle entrate annue mondiali dell'organizzazione o fino a 20 milioni di euro, quale che sia l'importo maggiore. Senza un approccio olistico alla conformità al GDPR, le organizzazioni potrebbero esaurire prematuramente le risorse umane e di capitale disponibili e impiegare un tempo inutilmente lungo per prepararsi a questo regolamento di imminente introduzione.

Il GDPR e in generale la legislazione e le direttive sulla privacy impongono sfide specifiche alle organizzazioni. Tutte le principali iniziative di conformità richiedono un approccio completo per identificare i requisiti dei controlli (implicitamente o esplicitamente indicati nella legislazione), organizzare le risorse necessarie per implementarli e quindi elaborare una strategia per misurare e generare report sulla conformità continua a tali requisiti. La sfida per la maggior parte delle organizzazioni è data dal fatto che, considerati singolarmente, gli obblighi di conformità sono gestibili ma, nel momento in cui viene imposto ad esse un numero sempre maggiore di requisiti, la pressione a cui sono sottoposte per soddisfarli può influire sulle operazioni di business.

L'articolo 32 del GDPR definisce gli elementi del processo di valutazione dei rischi per la sicurezza al fine di garantire che i controlli siano progettati e implementati in modo appropriato. In generale, un processo di valutazione dei rischi efficace consente di accelerare l'identificazione del collegamento tra rischi e controlli interni. Processi del genere aiutano a ridurre le lacune di conformità al GDPR e a migliorare le strategie di riduzione dei rischi. Strettamente correlate al processo di valutazione dei rischi sono le iniziative di conformità continua volte a garantire che i controlli siano progettati ed eseguiti in maniera efficace conformemente ai requisiti previsti dal GDPR per i controlli organizzativi e tecnici.

Una gestione del programma di conformità deve fornire il framework necessario per definire un ambiente scalabile e flessibile che consenta di documentare e gestire le policy e le procedure dell'organizzazione per dimostrare la conformità al GDPR. In questo ambito sono incluse la documentazione di policy e standard, l'assegnazione delle relative proprietà e il mapping delle policy rispetto alle principali aree del business, agli obiettivi e ai controlli. Attraverso l'implementazione di un programma per le policy di conformità al GDPR, le organizzazioni hanno la possibilità di gestire in modo efficace l'intero processo del ciclo di vita di sviluppo delle policy, nonché le deroghe alle policy, la conferma e l'accettazione delle policy, e possono dimostrare il modo in cui l'ambiente di controllo sia in correlazione con le policy e le procedure stabilite.

SOLUTION BRIEF

3

Grazie a un processo organizzato e gestito per l'identificazione dei rischi, il coordinamento delle iniziative di conformità e l'escalation dei problemi, è possibile ottenere piena visibilità sui rischi e sulle attività di chiusura e risoluzione dei rischi relativi ai dati PII e infine dare dimostrazione delle attività di conformità al GDPR in modo tempestivo. Le organizzazioni saranno quindi in grado di risolvere più rapidamente i problemi emergenti, creando un ambiente maggiormente proattivo e resiliente e al contempo riducendo i costi della conformità al GDPR.

RSA: A SUPPORTO DI UN APPROCCIO OLISTICO ALLA GESTIONE DELLA VALUTAZIONE DEI RISCHI E DELLA CONFORMITÀRSA offre soluzioni di Business-Driven Security™ che mettono in correlazione il contesto aziendale con i processi di sicurezza per aiutare le organizzazioni a gestire i rischi e a proteggere le risorse più preziose. Le soluzioni RSA sono progettate per consentire di individuare gli attacchi avanzati e contrastarli in modo efficace, gestire le identità e l'accesso degli utenti e ridurre i rischi per il business: tutti passaggi essenziali per permettere alle organizzazioni di sviluppare una strategia olistica in risposta al GDPR.

Nel contesto dei requisiti del GDPR, esaminiamo più in dettaglio il portafoglio di prodotti e servizi RSA e il modo in cui tali offerte possono aiutare le organizzazioni a prepararsi per il GDPR.

RSA ARCHER SUITERSA Archer® Suite è una soluzione GRC (Governance, Risk and Compliance) leader del settore, progettata per consentire alle organizzazioni di gestire molteplici dimensioni di rischio con soluzioni basate su best practice e standard di settore, su un'unica piattaforma software integrata e configurabile. Offre un'ampia gamma di use case progettati per svolgere un ruolo chiave nell'aiutare le organizzazioni a stabilire e mantenere la conformità al GDPR.

RSA ARCHER DATA GOVERNANCERSA Archer Data Governance è progettato per fornire un framework che consenta di identificare, gestire e implementare controlli appropriati per le attività di trattamento dei dati personali. RSA Archer Data Governance consente alle organizzazioni di mantenere un inventario accurato delle attività di gestione, stabilire e applicare controlli documentati sull'utilizzo dei dati PII, nonché gestire i requisiti di retention dei dati.

RSA ARCHER PRIVACY PROGRAM MANAGEMENTRSA Archer Privacy Program Management è progettato per consentire alle organizzazioni di raggruppare le attività di trattamento allo scopo di eseguire valutazioni dell'impatto della protezione dei dati e tenere traccia delle comunicazioni normative e di violazione dei dati alle autorità competenti. Il Chief Privacy Officer, i Data Privacy Officer (DPO) e i team addetti alla sicurezza possono inoltre sfruttare i vantaggi di un repository centrale delle informazioni necessarie per dimostrare l'impegno rivolto alla conformità al GDPR nell'ambito del programma di privacy dell'organizzazione.

SOLUTION BRIEF

4

ISSUES MANAGEMENTRSA Archer Issues Management è progettato per svolgere un ruolo importante nel programma GDPR di un'organizzazione, consentendo la gestione dei problemi generati a seguito delle valutazioni dei rischi e dei controlli e degli audit. Le organizzazioni possono creare viste consolidate e workflow per la gestione di risultati, piani di correzione ed eccezioni. Issues Management definisce inoltre una gerarchia di business per stabilire la struttura aziendale delle responsabilità.

IT RISK MANAGEMENTRSA Archer IT Risk Management consente alle organizzazioni di catalogare in modo completo le gerarchie organizzative, i processi di business e gli asset IT coinvolti nella gestione, nel trattamento, nello storage e nella trasmissione dei dati dei residenti nell'UE. Il suo obiettivo è aiutare a garantire che tutte le connessioni business-critical vengano documentate e comprese nel contesto appropriato degli obblighi normativi dell'organizzazione e stabilisce inoltre la struttura per documentare i rischi IT applicabili. Le valutazioni semplificate favoriscono un'identificazione dei rischi IT in tempi più rapidi, mentre il collegamento tra rischi e controlli interni agevola la comunicazione dei requisiti di controllo IT, riducendo le lacune di conformità al GDPR e migliorando le strategie di riduzione dei rischi. Questo agile framework consente di rimanere al passo con i cambiamenti dei requisiti e di concentrare le risorse sui rischi di maggiore impatto per l'IT.

IT & SECURITY POLICY PROGRAM MANAGEMENTRSA Archer IT & Security Policy Program Management fornisce il framework di cui le organizzazioni hanno bisogno per sviluppare un ambiente scalabile e flessibile che consenta di documentare e gestire le policy e le procedure volte a garantire la conformità al GDPR. In questo ambito sono incluse la documentazione di policy e standard, l'assegnazione delle relative proprietà e il mapping delle policy rispetto alle principali aree del business, agli obiettivi e ai controlli. L'implementazione di un programma per le policy di conformità al GDPR consente alle organizzazioni di gestire in modo efficace l'intero processo del ciclo di vita di sviluppo delle policy, nonché le deroghe alle policy, la conferma e l'accettazione delle policy, e permette di dimostrare il modo in cui l'ambiente di controllo sia in correlazione con le policy e le procedure stabilite.

IT CONTROLS ASSURANCERSA Archer IT Controls Assurance fornisce il framework e la tassonomia necessari alle organizzazioni per documentare in maniera sistematica le attività di controllo previste dal GDPR, consentendo di eseguire valutazioni e report sulle prestazioni dei controlli a livello di gerarchia e processi aziendali. Grazie al workflow e ai processi semplificati per il test dei controlli IT, è possibile implementare processi di valutazioni standardizzati per i controlli manuali e integrare i risultati dei test eseguiti dai sistemi automatizzati. I problemi individuati durante le valutazioni della conformità possono essere centralizzati, con la possibilità di tenere traccia e generare report delle lacune di conformità e delle attività di correzione. Migliorando il collegamento tra requisiti di conformità e controlli interni, le organizzazioni possono ottimizzare le operazioni di comunicazione e generazione di report sugli obblighi di conformità al GDPR, utilizzando un linguaggio e una tassonomia comuni.

RSA RISK AND CYBERSECURITY PRACTICERSA offre una vasta gamma di servizi strategici progettati per aiutare a sviluppare una strategia di Business-Driven Security, creare un security operations center avanzato e dare nuova linfa al programma GRC (Governance, Risk and Compliance). Per completare la nostra solida offerta di prodotti, offriamo inoltre il supporto per l'implementazione e post-implementazione, in modo da consentirti di ottimizzare i tuoi investimenti nei nostri prodotti.

RSA RISK MANAGEMENT PRACTICEUn ottimo punto di partenza per la valutazione della propria organizzazione in relazione alle best practice per la sicurezza è RSA Risk Management Practice. Pensato per offrire una varietà di servizi di consulenza strategici, aiuta a ottimizzare il programma GRC (Governance, Risk and Compliance) dell'organizzazione. Offre inoltre servizi di assistenza e aumento del personale per aiutare a pianificare, implementare, distribuire e aggiornare i prodotti e i servizi RSA, tra cui la soluzione RSA Archer Governance Risk and Compliance.

CONCLUSIONIIn tutto il mondo, le organizzazioni stanno attualmente valutando l'impatto del GDPR sul business, sulla privacy dei dati e sulle operazioni di gestione. La scadenza di maggio 2018 è ormai vicina e ogni organizzazione che opera nell'UE o tratta dati PII di residenti nell'UE deve implementare ulteriori processi, policy e tecnologie per evitare le pesanti sanzioni imposte dal regolamento. Implementando dapprima un approccio standardizzato alla valutazione dei rischi e quindi definendo un programma di conformità volto a proteggere i dati PII dei residenti nell'UE, le organizzazioni possono stabilire il framework necessario per conformarsi a questo regolamento. Dotata di un solido ambito di prodotti e servizi mirato ai processi di valutazione dei rischi e gestione della conformità, RSA può essere un partner strategico per aiutare qualsiasi tipo di organizzazione nel percorso verso la conformità ai requisiti del GDPR.

Copyright 2017, Dell Inc. o sue società controllate. Tutti i diritti riservati. Dell, EMC e gli altri marchi sono marchi di Dell Inc. o di sue società controllate. Gli altri marchi possono essere di proprietà dei rispettivi proprietari. Pubblicato in Italia. 08/17, Solution Brief, H16552

Dell Inc. o le sue società controllate ritengono che le informazioni contenute nel presente documento siano esatte alla data di pubblicazione. Le informazioni sono soggette a modifica senza preavviso.

SOLUTION BRIEF

5