Gli attacchi informatici e le violazioni dei dati rappresentano chiaramente enormi rischi per le organizzazioni. È importante fare tutto il possibile per prevenire incidenti, ma è altrettanto importante avere un piano in caso di disastro (“disaster recovery”).
Ciò che questo piano consiste in varierà da impresa a impresa, ma dovrebbe sempre contenere questi quattro passaggi essenziali:
1. Contenere la violazione
Una volta che un’organizzazione ha notato che è stata violata, deve identificare come è avvenuto l’incidente. Ciò consentirà allo staff di sicurezza dell’organizzazione di intraprendere qualsiasi azione appropriata per prevenire ulteriori danni.
In molti casi, ciò significa disconnettere i sistemi dell’organizzazione da Internet, ma farlo non è sempre appropriato. Se la violazione è stata causata da un database che non è protetto da password o da un addetto che perde un disco rimovibile, ecc., la disconnessione dei sistemi interromperà inutilmente il business e probabilmente causerà il panico tra il personale.
2. Valuta i rischi
Una volta che la minaccia è stata contenuta, le organizzazioni dovrebbero richiedere del tempo per valutare l’entità del danno e considerare come procedere. Dovrebbero scoprire:
Che tipo di dati è coinvolto;
Quanto sono sensibili i dati coinvolti;
Approssimativamente quanti dati delle persone sono interessati;
Chi è interessato (clienti, personale, fornitori, ecc.);
Se le informazioni contengono informazioni finanziarie o altri dati ad alto rischio;
Se i dati rubati sono crittografati; e
Se l’organizzazione ha eseguito il backup dei dati.
3. Informare i regolatori e gli interessati
A seconda delle risposte a tali domande, le organizzazioni dovranno informare le autorità regolatrici come il Garante Privacy e/o le persone interessate, di cui sono stati ciolati i dati. I requisiti di notifica variano a seconda del Paese e del settore, quindi è importante avere queste informazioni a portata di mano.
Il regolamento generale sulla protezione dei dati dell’UE (GDPR), che entrerà in vigore il 25 maggio 2018, unifica i requisiti di notifica per qualsiasi violazione che coinvolga i dati personali dei residenti dell’UE.
4. Prepararsi per il futuro
Dopo che un’organizzazione ha risposto all’incidente, dovrebbe intraprendere azioni appropriate per prevenire future violazioni. Dovrebbe utilizzare le informazioni raccolte in risposta all’incidente come punto di partenza per indagare ulteriormente, identificando in che modo le sue misure di sicurezza informatica possano essere migliorate.
Ciò potrebbe includere investire in migliori tecnologie di sicurezza, aggiornare le sue politiche sulla privacy o rendere il proprio personale più consapevole delle proprie responsabilità in materia di sicurezza informatica.
Quest’ultimo punto è cruciale, perché i dipendenti di un’organizzazione sono spesso la sua più grande vulnerabilità. I corsi di formazione per la consapevolezza del personale non richiedono molto tempo e possono migliorare notevolmente la comprensione da parte dei dipendenti dei rischi di sicurezza delle informazioni e dei requisiti di conformità.Investire nella formazione per la consapevolezza del personaleSe stai considerando di investire nella formazione per la consapevolezza del personale, con corsi come quello sulla consapevolezza del personale sulla sicurezza delle informazioni. Questo corso fornisce maggiori dettagli su come le organizzazioni dovrebbero rispondere alle violazioni dei dati e riguarda:
Programma antivirus;
Password inadeguate;
Phishing;
I backup;
Sicurezza delle informazioni fisiche e digitali.
A meno di 160 giorni dall’applicabilità del Regolamento Europeo sul Trattamento dei Dati, EU 679/16, uno spunto per le aziende in Europa ed in Italia su come trattare dati in modo conforme al GDPR . Per ulteriori info sulla protezione ed assicurazione dei dati clicca qui
source: Fonte : Luke Irwin – IT G European Blog
