La protezione dei dati sensibili in azienda richiede tre cose: sapere quali sono e dove si trovano, limitare chi può accedervi e poterli recuperare se qualcosa va storto. Per una PMI questo si traduce in una decina di misure minime: inventario dei dati, accessi personali con autenticazione a più fattori, cifratura dei dispositivi, backup isolati, aggiornamenti, regole per posta e fornitori e un piano per gli incidenti.
Di seguito vediamo che cosa conta come «dato sensibile» per un’azienda, dove si trova davvero e come mettere in ordine le priorità senza un reparto di sicurezza interno.
Quali dati sono «sensibili» per un’azienda
L’espressione ha due significati, e in azienda servono entrambi.
Il significato normativo. Il GDPR chiama «categorie particolari» i dati che rivelano origine razziale o etnica, opinioni politiche, convinzioni religiose o filosofiche, appartenenza sindacale, dati genetici, dati biometrici usati per identificare una persona, dati relativi alla salute, alla vita sessuale o all’orientamento sessuale (art. 9). I dati relativi a condanne penali e reati hanno una disciplina a parte (art. 10). Anche una piccola impresa ne tratta: certificati medici, dati per le trattenute sindacali, documenti dei dipendenti.
Il significato operativo. Per un’azienda sono sensibili anche dati che non riguardano persone ma il cui furto o la cui perdita fanno danno: listini e offerte, progetti e disegni tecnici, anagrafiche di clienti e fornitori, coordinate bancarie, contratti, credenziali di accesso. Una parte di queste informazioni è tutelata come segreto commerciale, ma solo se l’azienda le ha sottoposte a misure «ragionevolmente adeguate» a mantenerle segrete (art. 98 del Codice della proprietà industriale).
Dove si trovano davvero
Il primo errore è pensare che i dati stiano «nel gestionale». In una PMI tipica sono distribuiti in molti posti:
- caselle di posta, soprattutto negli allegati;
- cartelle condivise sul server o nel cloud;
- computer portatili e telefoni, anche personali;
- chiavette, dischi esterni, stampe;
- chat di messaggistica usate per lavoro;
- sistemi dei fornitori: commercialista, consulente del lavoro, software in abbonamento.
Basta una tabella semplice con quattro colonne: quale dato, dove si trova, chi vi accede, chi ne è responsabile. È il punto di partenza di ogni misura successiva, perché non si protegge ciò che non si sa di avere.
Le misure minime, in ordine di prioritÃ
Queste dieci misure non richiedono grandi investimenti e coprono i casi più frequenti: credenziali rubate, dispositivi persi, ransomware, errori umani.
| # | Misura | In pratica |
|---|---|---|
| 1 | Inventario dei dati | La tabella del paragrafo precedente, aggiornata almeno una volta l’anno. |
| 2 | Accessi personali | Ogni persona ha il proprio account, niente utenze condivise. Chi lascia l’azienda viene disattivato il giorno stesso. |
| 3 | Autenticazione a più fattori | Attiva su posta, cloud e accessi da remoto. Approfondimento: MFA per la sicurezza informatica aziendale. |
| 4 | Accesso solo a chi serve | Le cartelle con dati del personale, contratti o progetti sono visibili solo a chi ci lavora. |
| 5 | Cifratura dei dispositivi | Portatili e telefoni aziendali cifrati: un dispositivo perso non diventa una fuga di dati. |
| 6 | Backup isolato | Almeno una copia scollegata dalla rete o non modificabile, e una prova di ripristino periodica. Approfondimento: backup aziendale. |
| 7 | Aggiornamenti | Sistemi operativi e applicazioni aggiornati in automatico o entro tempi stabiliti. |
| 8 | Regole per la posta | Niente dati sensibili in allegato non protetto; ogni richiesta di cambio IBAN confermata per telefono. |
| 9 | Fornitori | Elenco di chi tratta dati per conto dell’azienda, con nomina e obblighi di sicurezza scritti. |
| 10 | Piano per gli incidenti | Chi decide, chi si chiama, cosa si scollega. Una pagina basta, purché sia stampata. |
Cosa chiede la normativa
Il GDPR non elenca strumenti obbligatori: chiede misure tecniche e organizzative «adeguate al rischio» (art. 32). Lo stesso articolo indica però gli elementi di riferimento: pseudonimizzazione e cifratura, capacità di garantire riservatezza, integrità e disponibilità dei sistemi, capacità di ripristinare i dati in tempi brevi dopo un incidente e una procedura per verificare periodicamente che le misure funzionino.
Se si verifica una violazione di dati personali che presenta un rischio per le persone, va notificata al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando se ne è venuti a conoscenza (art. 33). Se il rischio è elevato vanno avvisate anche le persone coinvolte (art. 34).
Il rapporto tra regolamento e misure tecniche è approfondito in GDPR e sicurezza informatica per le PMI. Questo articolo ha carattere informativo e non sostituisce una consulenza legale.
Gli errori più comuni
- Affidarsi solo all’antivirus. Protegge il singolo computer, non gli accessi, i backup o la posta.
- Account condivisi. Se più persone usano le stesse credenziali, non si può sapere chi ha fatto cosa né revocare un accesso senza bloccare tutti.
- Backup sullo stesso server dei dati. Un attacco che cifra i dati cifra anche la copia.
- Dati sensibili nelle chat personali. Documenti dei dipendenti o dei clienti scambiati su app di messaggistica private, fuori da ogni controllo aziendale.
- Accessi mai revocati. Ex dipendenti e vecchi fornitori che possono ancora entrare.
- Nessun piano. Durante un incidente si perde tempo a decidere chi chiamare, mentre il termine delle 72 ore corre.
Da dove partire questa settimana
Se l’elenco sembra lungo, tre azioni hanno di solito il miglior rapporto fra impegno e protezione:
- compilare l’inventario dei dati, anche in forma essenziale;
- attivare l’autenticazione a più fattori sulla posta di tutti;
- verificare che esista una copia di backup isolata e provare a ripristinare un file.
Per una verifica più completa, la checklist qui sotto raccoglie 32 controlli in 8 aree e si compila in circa mezz’ora. Per un confronto sui servizi dedicati alle piccole e medie imprese: helmon per le PMI.
