Proteggere i dati in 14 passi

Garantire la protezione dei dati e il loro trattamento in conformità al GDPR è obbligatorio per tutte le aziende ed è particolarmente delicato nelle realtà in cui i sistemi informatici gestiscono dati sanitari.
Abbiamo creato di seguito un vademecum con 14 provvedimenti basilari che ogni azienda deve assicurare:

1. Password temporanea sicura da fornire ai neo-assunti con obbligo imposto dal sistema di modificarla al primo accesso;
2. Scadenza password obbligatoria (tipicamente almeno 90 giorni);
3. Impossibilità di rinnovare la password usando semplicemente la vecchia già in uso;
4. Criteri di costruzione della password che aiutino la risorsa a sceglierne una adeguatamente sicura (minimo 8 o 16 caratteri con presenza di simboli, numeri e caratteri maiuscoli);
5. Disattivazione temporanea dell’account dopo un certo numero di tentativi non andati a buon fine (tipicamente 3 tentativi);
6. Adottare un protocollo SSL (HTTPS) obbligatoriamente se lavora con applicazioni WEB, ma utile anche se si lavora su reti intranet;
7. Disattivare tramite policy di rete le funzioni che memorizzano la password nel browser a meno che il terminale sia in uso esclusivo e dedicato;
8. Verifica ciclica (mensile) degli accessi avvenuti al sistema\software. Il sistema deve poter consentire di reperire i file di log di accesso agilmente al vostro Amministratore di Sistema;
9. Adeguata analisi della distribuzione dei permessi di accesso alle funzioni del software soprattutto se soggette al trattamento di dati sensibili. I sistemi devono agevolare il lavoro del DPO generando un file riepilogativo e facilmente consultabile di come è avvenuta tale distribuzione;
10. Archiviazione automatica dei dati non in uso (es. archiviazione dei dati sensibili dopo un numero di giorni dalla dimissione dell’utente);
11. Evitare di dare i diritti di stampa quando non strettamente necessario. Talvolta la fuga di informazioni avviene semplicemente dimenticando fogli stampati in luoghi non protetti;
12. Verifica ciclica degli account (data ultimo accesso) per disattivare gli account che non usano il sistema da più di 90 giorni. Oppure applicazione di un protocollo interno per il corretto monitoraggio degli account a rischio obsolescenza;
13. Se i dispositivi contengono dati sensibili (soprattutto i dispositivi mobili) accertarsi che vengano sempre riposti in luoghi protetti e che sono sempre custoditi;
14. Impostare un tempo di sessione (spegnimento display o savescreen) adeguato all’uso che eviti di mostrare troppo a lungo dati potenzialmente sensibili (un PC dovrebbe avere una sessione di 15 minuti e un Tablet\Smartphone di 5 minuti).

Questi 14 punti rappresentano alcuni dei provvedimenti minimi attuabili, la questione è però molto più ampia e tocca tutti i livelli aziendali e i processi di gestione di dati e informazioni e non solo il software!