Molte aziende dipendono ormai completamente dai dati archiviati sui propri server di rete, PC, laptop, dispositivi mobili e provider di servizi cloud. È probabile che alcuni di questi dati contengano informazioni personali e/o informazioni aziendali riservate.
In questo articolo esamineremo alcuni degli aspetti da considerare quando si esamina la sicurezza dei sistemi informatici in relazione ai controlli di accesso. Il Regolamento generale sulla protezione dei dati (GDPR) stabilisce il principio di sicurezza, che stabilisce l'obbligo di adottare "misure tecniche e organizzative adeguate" durante il trattamento sicuro dei dati personali. Questo principio è ribadito anche nel sesto principio del Data Protection Act (DPA) del 2018, che rafforza il GDPR e stabilisce anche il "requisito che i dati personali siano trattati in modo sicuro".
Per questo motivo, impedire l'accesso non autorizzato o accidentale ai dati personali da te trattati è un passo importante verso la conformità.
Sicurezza di accesso
Un buon controllo degli accessi ai computer e alla rete riduce al minimo il rischio di furto o uso improprio dei dati.
I controlli di accesso possono essere suddivisi in due aree principali:
- accesso fisico – controlli su chi può entrare nei locali e chi può accedere ai dati personali
- accesso logico: controlli per garantire che i dipendenti abbiano accesso solo al software, ai dati e ai dispositivi appropriati e necessari per svolgere il loro ruolo specifico.
Accesso fisico
Oltre ad avere controlli di accesso fisici come serrature, allarmi, illuminazione di sicurezza e telecamere a circuito chiuso, ci sono altre considerazioni da fare, come ad esempio il modo in cui viene controllato l'accesso ai locali.
Ai visitatori non dovrebbe essere consentito di aggirarsi se non sotto stretta sorveglianza.
Assicurarsi che gli schermi dei computer non siano visibili dall'esterno.
Utilizzare criteri di rete per garantire che le postazioni di lavoro e/o i dispositivi mobili siano bloccati quando sono incustoditi o non vengono utilizzati.
Garantire che, in caso di smarrimento di un dispositivo mobile, sia possibile immobilizzarlo da remoto.
I dispositivi mobili, essendo di piccole dimensioni, sono oggetti ad alto rischio, pertanto i dati sensibili dovrebbero essere sempre crittografati e l'accesso al servizio dovrebbe essere controllato tramite un codice PIN o una password.
Potrebbe essere necessario disabilitare o limitare l'accesso ai dispositivi USB e ai lettori e scrittori ottici.
Potrebbe essere necessario bloccare le porte di rete tramite server Radius o altro hardware di rete per impedire che apparecchiature non autorizzate vengano collegate alla rete tramite un cavo.
Infine, le informazioni su supporto cartaceo devono essere smaltite in modo sicuro.
Accesso logico
È necessario impiegare tecniche di accesso logico per garantire che il personale non abbia più accesso di quanto necessario per svolgere il proprio ruolo.
I dati sensibili dovrebbero essere crittografati e l'accesso a tali dati dovrebbe essere controllato tramite la sicurezza di rete, gli elenchi di controllo degli accessi e i profili utente.
Potrebbe inoltre essere necessario limitare l'accesso a determinate applicazioni e cartelle in base all'utente.
Infine, potrebbe essere necessario bloccare determinati dispositivi su determinate macchine, tramite criteri di gruppo in Windows o tramite un'applicazione di gestione di terze parti.
Password
È buona norma adottare una politica sulle password composta da nome utente e password.
Questi aiutano a identificare un utente sulla rete e consentono di assegnare le autorizzazioni appropriate.
Tuttavia, affinché le password siano efficaci, devono :
- essere relativamente lungo (ad esempio otto caratteri o più)
- contengono una combinazione di caratteri alfabetici, numerici e speciali (come &^”)
- essere cambiata regolarmente tramite opzioni di rinnovo automatico della password
- essere rimosso o modificato quando un dipendente se ne va
- essere utilizzato su singoli file come fogli di calcolo o documenti elaborati da elaboratori di testo che contengono informazioni personali
- essere crittografati all'interno dei tuoi sistemi utilizzando un algoritmo di crittografia potente
e NON dovrebbe
- essere una password generale (vale a dire la stessa per tutte le applicazioni o per tutti gli utenti)
- essere scritto su post-it attaccati alla tastiera o allo schermo
- sono costituiti da parole o frasi comuni, oppure dal nome dell'azienda.
- essere inviata via e-mail, a meno che non si tratti semplicemente di una password temporanea (senza informazioni di supporto come, a cosa serve e qual è il nome utente)
- non essere archiviati come testo normale nei tuoi sistemi.
Controllo degli accessi
Sebbene non siano un requisito legale del GDPR, la registrazione e il monitoraggio dei dati (e delle modifiche apportate agli stessi) contribuiranno notevolmente a supportare la conformità all'articolo 32 del GDPR.
L'audit del trattamento dei dati ti consentirà di esaminare, segnalare e dimostrare:
- chi ha avuto accesso ai dati e quando
- con quale frequenza si accede ai dati e se questa quantità di accesso è appropriata
- in caso di perdita accidentale di dati, verificare quali modifiche sono state apportate e da chi.
Sebbene sia il GDPR che il DPA 2018 non indichino le misure esatte da adottare, dovresti prendere in considerazione l'utilizzo di una soluzione tecnica adatta alle tue esigenze e a quelle dei dati che stai elaborando.
