Misure di sicurezza: molti consulenti privacy commettono un errore metodologico fatale, ovvero trattano l’Articolo 32 come un catalogo tecnico. Copiano la lista delle misure fornite dall’MSP (firewall, MFA, backup) e la incollano nel registro.
Ma il GDPR non chiede una lista di tool. Chiede di dimostrare l’adeguatezza rispetto allo “stato dell’arte”. E qui nasce il problema: come giustifichi un investimento di 5.000€ in sicurezza per un cliente che ne avrebbe bisogno di 50.000€ per essere davvero “aggiornato”?
Il “best effort” non è una strategia difendibile
Davanti a un’ispezione, la frase “abbiamo fatto il possibile con il budget a disposizione” equivale a un’ammissione di colpa. Il Garante non accetta limiti finanziari come scusante per una protezione inadeguata. Il tuo compito come consulente è documentare il processo di selezione:
- perché è stata scelta quella specifica misura?
- quali erano le alternative offerte dallo stato dell’arte?
- come viene testata l’efficacia (non solo l’esistenza) della misura?
Se non c’è una procedura di verifica periodica (testing), la misura di sicurezza tecnicamente non esiste. È solo un’intenzione.
Misure organizzative: oltre la firma sulle istruzioni
Le “misure organizzative” sono spesso il punto debole della consulenza. Firmare una lettera di incarico non è una misura di sicurezza; è un adempimento formale. La vera misura organizzativa è il controllo del privilegio.
- Segregation of Duties (SoD): chi controlla i controllori? Se l’amministratore di sistema può cancellare i propri log di accesso, hai una falla di sicurezza strutturale, a prescindere da quanto sia costoso il tuo firewall.
- Offboarding procedurizzato: il rischio più alto non è l’hacker russo, è l’ex dipendente che ha ancora le chiavi della VPN perché nessuno ha revocato l’accesso entro 15 minuti dal licenziamento.
La gestione delle “Eccezioni Ragionate”
Un bravo consulente sa che la perfezione tecnica è impossibile. La vera Accountability sta nel documentare le eccezioni. Se un cliente non può implementare la crittografia su un vecchio database legacy, non devi ignorare il problema: devi documentare la misura compensativa. Questo trasforma una vulnerabilità in una scelta gestionale consapevole e difesa.
GDPRlab 2.0: gestire l’evidenza, non solo il documento
In questa nuova versione della piattaforma, abbiamo eliminato la “compilazione passiva”. GDPRlab 2.0 serve a dare un corpo probatorio a ciò che dichiari:
- registro del testing: non limitarti a censire il backup. La piattaforma ti permette di tracciare le prove periodiche di ripristino. Se non c’è il log del test, il sistema ti avvisa che la misura non è difendibile;
- correlazione rischio/misura: ogni vulnerabilità rilevata nella DPIA deve trovare una risposta diretta nelle misure di sicurezza. Se il legame si interrompe, la tua analisi perde valore legale;
- certificazione della ratio: GDPRlab ti obbliga a documentare il perché dietro la scelta tecnica. Questo crea quella “memoria difensiva” necessaria per spiegare al Garante, a distanza di anni, la logica dello Stato dell’Arte applicata in quel momento;
- standardizzazione MSP: per chi gestisce parchi macchine complessi, GDPRlab centralizza le misure comuni, permettendoti di aggiornare lo “Stato dell’Arte” su tutto il portfolio clienti con un unico processo validato.
La conformità non si misura in numero di documenti prodotti, ma in solidità delle scelte documentate.
