DOMANDA: quali sono le principali criticità associate all'implementazione della sicurezza informatica nelle PMI?

Risponde Alessandro Papini

L'implementazione di un sistema di sicurezza informatica efficace nelle PMI presenta diverse criticità. Principalmente, si riscontrano la mancanza di risorse finanziarie, la carenza di competenze specializzate e l'incapacità di adattare le politiche di cybersecurity alle esigenze quotidiane dell'azienda. Le piattaforme cloud, l'uso di dispositivi IoT e la digitalizzazione dei processi aziendali aumentano le superfici di attacco, rendendo le PMI vulnerabili a minacce avanzate. È fondamentale, quindi, adottare un approccio zero trust, che presuppone il non fidarsi di nulla e di nessuno, sia interno che esterno all'organizzazione, implementando, ad esempio, sistemi di autenticazione multifattoriale (MFA) per tutti i trattamenti di dati sensibili.

L'approfondimento: quali sono le misure operative più efficaci?

Adottare una password policy in linea con le indicazioni del NIST, richiede di impostare requisiti minimi per la creazione di password robusti e di facilitarne la sostituzione periodica. Non meno rilevante è la criptografia dei dati sia a riposo che in transito, che rappresenta una barriera essenziale contro l'accesso non autorizzato. La pianificazione di backup regolari e la verifica della loro conformità al GDPR garantiscono la preservazione dei dati contro eventuali perdite. La gestione tempestiva delle patch è fondamentale per mitigare vulnerabilità; il ritardo in questo processo deve essere considerato una forma di negligenza.

Il dettaglio normativo: quali sono gli aspetti legali da considerare?

Il GDPR non stabilisce un periodo fisso per la conservazione dei log di sistema, ma sottolinea l'importanza di garantirne la sicurezza e la necessità di adeguate politiche aziendali. Ogni azienda deve definire un piano di retention basato sui principi di minimizzazione e limitazione della conservazione, assicurando che i log vengano utilizzati esclusivamente per scopi legittimi. Infine, con la crescita dell'IoT in azienda, è imperativo mappare ogni dispositivo connesso per identificare le superfici di attacco potenziali e applicare controlli di sicurezza appropriati affinché il rischio venga gestito in modo proattivo.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.