Come passare dalla data protection alla data governance

Data protection indica il complesso delle attività realizzate per garantire la conformità dell’azienda alle disposizioni normative in materia di protezione dei dati personali.
Data governance evoca invece un ambito più ampio, meno esplorato e sicuramente meno regolamentato, quello delle infinite possibilità di utilizzare i dati personali gestiti dall’azienda per sviluppare nuove modalità di gestione per azioni di business più’ mirate e specifiche.

Sembrano due aspetti simili ma sono i lati diversi della stessa medaglia. Non ci può essere consapevole e matura data governance in azienda se non sia stata prima perfezionata una data protection solida e completa. Non è un passaggio banale. Sviluppare infatti progetti per l’utilizzo dei dati senza avere realizzato un presidio stabile relativo alla conformità espone l’azienda a rischi considerevoli di violazione della normativa.  
 
Così come per arrivare a un soddisfacente e rassicurante gestione degli obblighi in materia di tutela e protezione dei dati personali è fondamentale innescare un processo di miglioramento continuo, allo stesso modo il passaggio alla data governance presuppone una serie di interventi articolati.
 
Sicuramente la più importante area di azione da quanto va sotto il nome di cybersecurity. Nella fase di costruzione del sistema di protezione e tutela dei dati personali, il lavoro di assessment e remediation sui sistemi deve essere integrato con le verifiche di accessibilità dall’esterno e robustezza in caso di accessi non consentiti. Si tratta quindi di svolgere una considerevole opera di bonifica dei software e hardware in funzionamento.
 
Il primo passo riguarda la necessaria inventariazione della situazione esistente sulla base di alcuni criteri. Occorre distinguere i sistemi in due categorie principali: i cosiddetti Internet-facing rispetto a quelli non-internet-facing. Il  presidio dei sistemi internet-facing è prioritario. L’inventario deve procedere definendo dei cluster di sistemi in funzione della natura, qualità e quantità dei dati contenuti e gestiti da ciascuno di essi. Assumono una importanza prioritaria quei sistemi che contengono ed utilizzano sia una elevata mole di dati personali sia dati particolarmente sensibili. Può spesso essere utile associare a queste informazioni la frequenza di accesso da parte di utilizzatori (esterni o interni) a ciascuno dei sistemi come ulteriore indicatore.
 
Tanto maggiore è poi la complessità organizzativa dell’azienda tanto più è necessaria l’individuazione dei business owner interni utilizzatori di ciascun sistema e del partner esterno coinvolto nella progettazione/sviluppo e/o uso del sistema. Disgiungere le funzioni privacy/data protection e information technology da quelle reali utilizzatrici dei sistemi e molte volte committenti verso vendor esterni espone infatti al rischio di dovere ricorrere a interventi più radicali, contrattuali e di progettazione software, che spesso si rivelano onerosi ed inefficaci.  
 
Individuati i sistemi ed i rispettivi business owner va verificato il livello di indispensabilità e funzionalità in termini di business. Prima di procedere alla bonifica, è opportuno effettuare un intervento eliminazione selettiva dei sistemi con bassa indispensabilità/basso numero di accessi-mese/basso numero di dati gestiti. Da questa fase possono derivare sia cospicui risparmi sia una benefica semplificazione della situazione esistente.
 
Solo dopo si può definire il perimetro dei sistemi su cui eseguire una vera e propria verifica di robustezza tecnica, che si articola in due principali passaggi per singolo sistema:

i) effettuazione di vulnerability assessment e penetration test;

ii) definizione di remediation plan.

In parallelo a questi test, può risultare spesso utile avviare veri e propri audit di cybersecurity su partner esterni incaricati di gestire in outsourcing eventuali sistemi e/o applicazioni. È opportuno predisporre un Registro dei sistemi (in/out) messi in sicurezza e del piano finalizzato a definire eventuali interventi di insourcing.

Diverse possono essere le linee guida per la definizione di queste iniziative di insourcing; il grado di vulnerabilità complessiva rilevato a valle delle analisi svolte, l’attrattività dei dati detenuti e gestiti, l’essenzialità e criticità rispetto sia alla mission dell’azienda, sia allo svolgimento del business, e la complementarietà ed integrabilità con i sistemi on air all’interno dell’azienda.

Approvate le linee guida di eventuale insourcing si tratta di avviare le procedure per la messa on air di “nuovi” sistemi definendo:

• studi di fattibilità tecnica e pre-progettazione (HLD – High Level Design);
  
• verifica di sostenibilità finanziaria dei progetti di insourcing;
  
• studi e progetti di dettaglio (LLD – Low Level Design) prima di testing e messa on air.
  

Parallelamente alle iniziative di insourcing e/o di verifica ed adeguamento dei sistemi gestiti in outsourcing da vendor esterni, è necessaria una attività di revisione contrattuale con partner esterni. In assenza di opportune misure di prevenzione del rischio cyber tutte le fasi di gestione del dato personale, la raccolta, lo stoccaggio, la gestione risulterebbero prive di quella garanzia di impenetrabilità e regolare utilizzo.

Ecco quindi che il lavoro svolto all’interno dell’azienda da chi si occupa di gestione dei dati personali si arricchisce di una nuova competenza o, in ogni caso, di una nuova e necessaria cooperazione e collaborazione con chi si occupa di Information Technology.  Dopo tutto ciò, è possibile sviluppare una più consapevole strategia per il governo, l’organizzazione, l’analisi e l’utilizzo dei dati correttamente disponibili.

Si passa quindi da una strategia solo reattiva a una proattiva: ciascuna ha un ambito e portata distinte.

La strategia reattiva nella gestione dei dati si articola sostanzialmente su tre direttrici fondamentali:

i) la compliance alla regolamentazione vigente;

ii) i sistemi di detection e monitoraggio di situazioni ed eventi di frode; iii) la messa in sicurezza dei flussi di informazione e dati all’interno dell’azienda.

La strategia proattiva si differenzia dalla precedente perché mirata ad una gestione del dato per finalità di business, tramite l’avvio di azioni  a supporto delle attività di marketing, commerciali e di operation.

Trovare il giusto equilibrio tra azione e reazione è ovviamente un esercizio delicato che dipende anche molto dalla complessità dell’azienda e dalla duplice sensibilità di chi la gestisce. (riproduzione riservata)