Data Security Privacy 2025 2.0
Data Security Privacy 2025 2.0
1. Introduzione
Nell'era digitale, i dati rappresentano una risorsa fondamentale per le aziende, soprattutto per quelle con una
forte vocazione informatica. La loro integrità, accessibilità e sicurezza sono essenziali per garantire il
successo e la competitività di qualsiasi organizzazione.
• Protezione da perdite e danni: i dati possono essere compromessi da errori umani, attacchi
informatici, guasti hardware o obsolescenza tecnologica. Un'adeguata gestione riduce il rischio di
perdite e garantisce la loro disponibilità.
• Conformità normativa: molte aziende sono obbligate a conservare i dati per periodi specifici, in
conformità alle normative vigenti (GDPR, D.Lgs. 196/2003 aggiornato dal D.Lgs. 101/2018).
• Efficienza operativa: un accesso rapido e sicuro ai dati migliora la produttività e ottimizza i processi
aziendali.
• Vantaggio competitivo: un'azienda con un'efficace gestione dei dati può ottenere un importante
vantaggio rispetto alla concorrenza, grazie all'analisi e all'ottimizzazione dei processi.
Problematiche emergenti
• Aumento esponenziale dei dati: la crescita costante del volume di dati rende sempre più complessa
la loro gestione.
Fortunatamente, esistono diversi strumenti e procedure per proteggere i dati, che vedremo in seguito.
Non tutti i dati sono uguali. È importante identificare i dati critici, ovvero quelli che sono più importanti e
sensibili, per proteggerli adeguatamente.
Competenze da sviluppare:
Tipologie di Backup
• Backup Incrementale: salva solo le modifiche rispetto all'ultimo backup (di qualsiasi tipo).
2. Selezione dei dati: il cliente o il responsabile IT sceglie quali dati includere nel backup.
• 2 supporti differenti
• Software di Backup: Windows "Backup e Ripristino", macOS "Time Machine", Acronis True Image,
EaseUS Todo Backup.
Sicurezza Informatica
• Controllo degli accessi: Limita i permessi ai soli utenti autorizzati (least privilege).
• Data Breach: Violazione dei dati sensibili che richiede una notifica immediata secondo GDPR.
• Titolare del trattamento (CEO, dirigente scolastico): decide come e perché trattare i dati.
• DPO (Data Protection Officer): obbligatorio per enti pubblici e aziende con trattamento su larga scala.
4. Tecnologie e Strumenti
5. Normativa Italiana
• Garante della Privacy: Autorità che vigila sulla protezione dei dati in Italia.
[Vedi modello che spiega come informare il cliente privacy e sicurezza in appendice]
La sicurezza dei dati non dipende solo dall'adozione di strumenti tecnologici avanzati, ma anche dalla
preparazione e consapevolezza del personale.
• Sensibilizzare i dipendenti sulle minacce informatiche più comuni (phishing, malware, ransomware,
ingegneria sociale).
• Fornire procedure chiare per la gestione sicura dei dati personali e aziendali.
• Istruire il personale sull’uso sicuro di strumenti di backup e protezione dei dati.
• Garantire la conoscenza delle normative vigenti (ancora GDPR, D.Lgs. 196/2003) e delle responsabilità
individuali nel trattamento delle informazioni.
Conseguenze della Mancanza di Formazione
Se il personale non è adeguatamente formato sulla sicurezza e sulla conservazione dei dati, si possono
verificare diversi problemi:
• La mancata protezione dei dispositivi mobili (es. laptop, smartphone) aumenta il rischio di accessi non
autorizzati in caso di smarrimento o furto.
• La diffusione di malware tramite email o dispositivi USB infetti può compromettere l’intera rete
aziendale.
• Il mancato rispetto delle procedure di trattamento dei dati può portare a responsabilità dirette per i
dirigenti e i responsabili IT.
Per ridurre i rischi associati alla scarsa formazione, le aziende dovrebbero implementare:
• Sessioni di formazione periodiche: aggiornamenti costanti sulle minacce emergenti e sulle migliori
pratiche di sicurezza.
• Linee guida aziendali chiare: procedure scritte e facilmente accessibili su backup, gestione delle
credenziali e protezione dei dati.
• Politiche di accesso basate sul principio del Least Privilege: ogni dipendente deve avere solo i
permessi strettamente necessari per le proprie attività.
Andrea, un libero professionista, contatta Acme S.r.l. per segnalare un problema con il proprio PC aziendale,
essenziale per la sua attività. Nel dispositivo sono presenti dati sensibili relativi alla sua clientela, tra cui
documenti fiscali e informazioni personali. Prima di procedere con la riparazione, sia Andrea che Acme devono
seguire specifiche procedure per garantire la sicurezza dei dati e il rispetto delle normative sulla privacy.
Passaggi da Seguire
1. Contatto con Acme: Andrea telefona ad Acme per segnalare il guasto e richiedere assistenza tecnica.
2. Dichiarazione dei dati contenuti: Specifica che il dispositivo contiene dati sensibili e richiede
informazioni sulle modalità di intervento e protezione dei dati.
3. Conferma delle procedure: Dopo aver ricevuto tutte le informazioni necessarie, Andrea fornisce il
proprio consenso scritto per l’accesso ai dati del dispositivo.
4. Eventuale richiesta di backup: Se non ha un backup recente, Andrea può richiedere ad Acme di
eseguirne uno prima della riparazione.
1. Prima Analisi
• Diagnosi remota: Se possibile, il tecnico utilizza un software di accesso remoto sicuro (es. TeamViewer
con VPN) per effettuare una prima analisi.
• Raccolta minima di informazioni: Il tecnico si limita ad acquisire solo i dati necessari per
comprendere il problema, evitando l’accesso diretto a dati sensibili.
2. Decisione e Preventivo
• Valutazione del problema: Il tecnico individua la causa del malfunzionamento e valuta la necessità di
intervento.
• Soluzioni alternative: Se la riparazione in sede non è fattibile o conveniente, Acme propone opzioni
come la sostituzione del dispositivo o il recupero dati su un nuovo supporto.
3. Riparazione in Sede
• Collaudo post-riparazione: Al termine dell’intervento, il tecnico testa il dispositivo per assicurarsi che
il problema sia risolto.
• Cancellazione sicura dei dati temporanei: Se il tecnico ha dovuto accedere a dati sensibili, questi
vengono eliminati definitivamente.
5. Documentazione e Archiviazione
• Registrazione nel registro dei trattamenti dati: Se applicabile, Acme aggiorna il registro del
trattamento dati ai sensi del GDPR.
Errori da Evitare
• Codice in materia di protezione dei dati personali: D.Lgs. 196/2003 e successive modifiche.
• Regolamento Generale sulla Protezione dei Dati (GDPR): Regolamento (UE) 2016/679.
Un'azienda subisce un attacco ransomware che blocca l’accesso ai file aziendali, con richiesta di riscatto per
lo sblocco dei dati.
1. Isolamento della Rete: Scollegare immediatamente i dispositivi infetti per evitare la propagazione.
4. Segnalazione alle Autorità: Se l'attacco comporta una violazione di dati personali, è obbligatorio
notificare il Garante per la Privacy entro 72 ore.
Classe 4G – a.s. 24-25 M.L.Silva pag 6 di 10
5. Analisi della Vulnerabilità: Identificare la causa dell'attacco e migliorare la sicurezza per prevenire
futuri incidenti.
Errori da Evitare
• Pagare il riscatto agli hacker (non garantisce il recupero dei dati e incentiva i criminali).
• Ripristinare i dati senza verificare che il backup sia integro e non compromesso.
Un dipendente perde un laptop contenente dati aziendali riservati, incluse credenziali di accesso ai sistemi.
2. Modifica delle Credenziali: Cambiare immediatamente le password di tutti gli account accessibili dal
laptop.
3. Notifica al DPO: Segnalare l'incidente al Responsabile della Protezione dei Dati (DPO) se il laptop
conteneva dati personali.
4. Verifica dei Dati Sensibili: Determinare se i dati erano crittografati e adottare misure per ridurre il
rischio di violazione.
Errori da Evitare
4. Caso di Studio: Dipendente che Condivide Dati Sensibili via Email Personale
Un dipendente invia documenti aziendali contenenti dati sensibili utilizzando la propria email personale, senza
crittografia.
1. Formazione sulla Sicurezza: Educare il personale sulle procedure corrette per il trattamento dei dati.
2. Restrizioni IT: Impostare policy aziendali che impediscano l’invio di documenti aziendali via email non
autorizzata.
Errori da Evitare
• Non avere una policy chiara sulla gestione dei dati sensibili.
• Consentire l’uso di email personali per scopi aziendali senza protezione adeguata.
La Posta Elettronica Certificata (PEC) è un sistema di posta elettronica che fornisce agli utenti una validità
legale equivalente a una raccomandata con ricevuta di ritorno. Questo significa che il mittente e il
destinatario hanno la certezza della trasmissione e ricezione del messaggio, inclusi eventuali allegati.
La PEC è regolamentata dal DPCM 6 maggio 2009 e dal Codice dell’Amministrazione Digitale (D.Lgs.
82/2005), che stabilisce l’equiparazione della PEC a una comunicazione scritta ufficiale.
1. Per i privati cittadini: Non esiste un obbligo specifico di controllo periodico, ma se utilizzi la PEC per
comunicazioni ufficiali, è tua responsabilità monitorarla per evitare di perdere notifiche importanti.
o Le imprese e i professionisti iscritti ad albi o registri ufficiali (ad es. Ordini professionali)
sono obbligati a possedere una PEC e a mantenerla attiva.
o Le comunicazioni inviate alla PEC hanno valore legale e si presumono conosciute dal
destinatario una volta recapitate, indipendentemente dalla lettura effettiva.
o Questo significa che la mancata consultazione della PEC non costituisce una
giustificazione valida in caso di scadenze o obblighi amministrativi (es. avvisi dell’Agenzia delle
Entrate, notifiche giudiziarie, comunicazioni dalla Camera di Commercio).
• Acme riceve la PEC e conserva la ricevuta di avvenuta consegna come prova legale dell’autorizzazione.
• Attivare notifiche email o SMS per sapere quando arriva un nuovo messaggio PEC.
• Controllare la PEC almeno una volta alla settimana (per i privati) o quotidianamente (per
professionisti e aziende).
• Archiviare i messaggi importanti, poiché alcuni gestori PEC li cancellano dopo un certo periodo.
Classe 4G – a.s. 24-25 M.L.Silva pag 8 di 10
3. Firma Digitale
La Firma Digitale è un sistema crittografico che garantisce autenticità, integrità e non ripudio di un
documento elettronico, rendendolo equivalente a una firma autografa su carta.
1. Firma Elettronica Semplice (FES): Non ha valore probatorio forte, usata per firme elettroniche
standard.
2. Firma Elettronica Avanzata (FEA): Garantisce l’identità del firmatario, spesso usata in contratti digitali.
3. Firma Elettronica Qualificata (FEQ): Emessa da un ente certificatore accreditato (es. Aruba, Infocert)
e legalmente vincolante in tutta l’UE (eIDAS Reg. UE 910/2014).
Normativa di riferimento
La firma digitale è regolata dal Codice dell’Amministrazione Digitale (CAD - D.Lgs. 82/2005) e dal
Regolamento eIDAS (UE 910/2014).
• Firma il documento con un software di firma digitale certificato (es. ArubaSign, Dike).
Io sottoscritto Andrea Rossi, nato a Milano il 10/10/1990, autorizzo Acme S.r.l. a effettuare un intervento
tecnico remoto sul mio PC.
L’utilizzo della PEC o della Firma Digitale permette ad Andrea di autorizzare in modo sicuro e legalmente
valido l’intervento remoto di Acme, garantendo protezione e conformità alle normative vigenti. Ogni azienda
dovrebbe prevedere queste modalità per evitare contestazioni o problemi legali. Inoltre, per professionisti e
imprese, la consultazione periodica della PEC è essenziale per evitare sanzioni o mancate risposte a
comunicazioni ufficiali.
ACME S.r.l.
Via Esempio, 123 - 00100 Città
Telefono: 0123-456789
Email: [email protected]
Sito Web: www.acmesrl.it
• Indirizzo: ________________________________________________
• Telefono: ______________________
• Email: ________________________
Servizi Richiesti
• Riparazione hardware
• Ripristino software
• Recupero dati
o Acme S.r.l. si impegna a proteggere i dati personali e aziendali contenuti nel dispositivo.
o Se richiesto, verrà effettuato un backup preventivo dei dati prima di qualsiasi intervento.
o Il cliente dichiara di essere a conoscenza che in alcuni casi la riparazione può comportare la
perdita di dati e solleva Acme S.r.l. da qualsiasi responsabilità in caso di assenza di backup
preventivo.
o Eventuali pezzi di ricambio verranno ordinati solo previa approvazione del preventivo da parte
del cliente.
3. Costi e Pagamento
o La diagnosi ha un costo di XX,XX€ (IVA inclusa), che verrà detratto dal totale se il cliente accetta
il preventivo di riparazione.
o Acme S.r.l. non è responsabile di eventuali danni derivanti da usura, utilizzo improprio o
interventi di terze parti successivi alla riparazione.
o Il dispositivo dovrà essere ritirato entro 30 giorni dalla comunicazione di avvenuta riparazione.
Dopo tale termine, verranno applicati costi di giacenza.
In conformità al Regolamento Generale sulla Protezione dei Dati (GDPR - Reg. UE 2016/679), autorizzo Acme
S.r.l. al trattamento dei miei dati personali per finalità legate all'erogazione del servizio richiesto.