43 / 68
logie in grado di contrastare le minacce
che si affacciano all’orizzonte. Sarebbe
davvero possibile ridurre i danni arrecati
dal cybercrime se ci fosse una maggiore
consapevolezza da parte dei decision ma-
ker aziendali quando si tratta di decidere
i budget da dedicare alla security.
L’Europa scende in campo
Una situazione che di certo rivoluzio-
nerà il concetto di cyber sicurezza e per
conseguenza anche l’attenzione econo-
mica delle aziende è il regolamento eu-
ropeo sul trattamento dei dati personali
che andrà a stravolgere la relazione tra
i vari comparti aziendali nonché la rela-
zione tra gestione dei dati e tutela de-
gli stessi. Il regolamento europeo sulla
protezione dei dati personali è già stato
pubblicato in Gazzetta Ufficiale Europea
ma da qui al 25 maggio 2018 (data in cui
sarà ufficialmente applicato) le azien-
de non solo si aspettano delucidazioni
ulteriori ma anche chiarimenti su come
comportarsi.“Si pensi solo alla metodo-
logia con cui andare a quantificare l’a-
spetto sanzionatorio. Si ricordi, infatti,
che le sanzioni possono arrivare fino al
4% del fatturato annuo di un’azienda!”
spiega Stefano Minini è Risk & Advisory
Services Partner di BDO Italia, esperto
su queste tematiche. Un altro aspetto
importante riguarda gli investimenti in
sicurezza informatica, che non sarebbe-
ro più solo appannaggio dei responsabili
informatici, ma dovrebbero interessare
anche CDA e rappresentanti legali del-
le società. “Si pensi alla perdita di parti
significative di dati a causa di attacchi
cibernetici o errori umani dettati dalla
superficialità nel trattamento del dato”,
spiega Minini. Un aspetto molto impor-
tante contenuto nel nuovo regolamento
Ue è il registro del trattamento. Il tema è
fare valutazione di tutti i dati a disposi-
zione delle aziende, sia di natura fisica,
sia di natura informatizzata e censirne
anche il trattamento. Quindi, il legislato-
re dovrà definire quali sono i dati da ge-
stire e a quali trattamenti sono soggetti,
quali le funzioni aziendali che gestisco-
no i dati e gli asset con cui gli stessi so-
no gestiti. “La novità sta nel fatto che le
aziende, oltre al registro del trattamen-
to e all’identificazione con cui i dati sono
gestiti, dovranno essere in grado di inse-
rire i rischi a cui questi dati potrebbero
essere potenzialmente esposti. Qualsiasi
attività gestionale relativa ai dati può es-
sere orientata correttamente solo se l’a-
zienda ha una fotografia chiara dei dati
che sono gestiti nell’ambito dell’attività
d’impresa. Come dice il Regolamento UE
all’articolo 32 bisogna adottare misure
tecnologiche e organizzative adeguate
ai livelli di rischio: la profondità delle mi-
sure da adottare è funzione dei profili di
rischio propri di ogni comparto produtti-
vo. Nei settori ‘data intensive’ gli investi-
menti sono già partiti mentre in settori
più tradizionali dovranno essere oggetto
di policy da parte dei CDA nei prossimi
mesi. In contesti a basso rischio, a parità
di conseguenze in caso di perdita dei da-
ti, le misure tecniche e organizzative da
adottare per la protezione dei dati sa-
ranno di più semplice implementazione
rispetto a contesti molto più sensibili. Si
pensi a un’azienda che opera in ambito
distributivo sia attraverso canali tradi-
zionali, sia online: potenzialmente adot-
terà strumenti di relazione con i clienti
basati sull’evoluzione dei canali online
e social networking complessi”, confer-
ma Minini. Ciò che sembra certo è che le
aziende non possono aspettare fino al
25 maggio 2018 per adeguarsi, ma devo-
no partire ora, almeno con la valutazio-
ne dei rischi.
marzo 2017
43