Unità 5.5. Esercizi Pratici
Scenario aziendale 1
Notifica di violazione entro 72 ore
A causa di una fuga di dati, un’azienda di logistica nazionale ha scoperto che alcuni dati personali di 150.000 clienti diversi del suo portafoglio clienti erano stati compromessi. Tra questi dati personali figurano nome, numero di cellulare e indirizzo di consegna. In questo caso, il GDPR richiede che le aziende informino le parti interessate o le autorità di regolamentazione specifiche di una violazione entro 72 ore. L’addetto all’inserimento dei dati o il dipendente responsabile dell’azienda deve ricevere un modulo compilato e inviato per la notifica della violazione dei dati. Tuttavia, è necessario consultare un avvocato per determinare quali informazioni richiedono una notifica anticipata. La capacità dell’azienda di gestire efficacemente il processo al suo interno può essere facilitata anche dall’esistenza di un piano di risposta alla violazione dei dati che l’azienda sviluppa internamente in preparazione di un tale incidente.
Business Scenario 2
Report Finanziario
È risaputo che il reparto contabile di un’azienda è l’unità più importante responsabile delle decisioni finanziarie. Di conseguenza, è essenziale che le informazioni di questo reparto siano mantenute riservate e accessibili solo alle persone autorizzate. In questo caso, supponiamo che il reparto contabilità abbia una cartella, nota come “Cartella di monitoraggio delle prestazioni”. Questa cartella contiene informazioni relative ai dipendenti dei diversi reparti dell’azienda, come lo stipendio mensile, i bonus mensili in base alle prestazioni, l’analisi e la valutazione dei risultati salariali futuri, ecc.
Se l’azienda dispone di una gestione efficace dei registri, è possibile salvare anche le voci dei registri per monitorare immediatamente chi ha effettuato l’accesso alla cartella e le relative transazioni. Ad esempio, gli amministratori di sistema possono essere avvisati, grazie alla registrazione, quando un dipendente del reparto contabilità modifica o cancella informazioni in questa cartella senza autorizzazione. A questo punto, l’amministratore può anche verificare facilmente chi ha effettuato l’accesso. Sia l’attuale GDPR che gli standard applicabili richiedono la gestione dei log per prevenire la fuga di informazioni e le violazioni aziendali.
Business Scenario 3
Necessità di GDPR
Le istituzioni sono considerate responsabili ai sensi del GDPR se offrono beni o servizi a persone nell’Unione Europea che hanno il controllo dei dati personali o tengono traccia del comportamento di queste persone. Nel testo del GDPR, il termine “monitoraggio del comportamento” si riferisce ai metodi tecnologici per determinare le preferenze e le abitudini dei consumatori monitorando le attività Internet delle persone. Pur svolgendo la propria attività al di fuori dell’UE, l’azienda si è resa conto che il GDPR si applicherà alle aziende che vendono ai clienti dell’UE. In poche parole, se la vostra piccola o media impresa tratta dati personali, deve rispettare il GDPR. Tuttavia, se il trattamento dei dati personali non è una parte centrale della vostra PMI e la sua attività principale non comporta rischi per le persone, alcune responsabilità del GDPR non saranno applicabili (ad esempio, la nomina di un responsabile della protezione dei dati (“DPO”).
Caso di Studio 1
Company Profile
Risolvere le sfide della protezione dei dati nella contabilità aziendale.
Profilo dell’azienda
Challenge
Uno studio contabile indipendente in crescita con circa 100 dipendenti e quattro sedi in due contee. Grazie alle acquisizioni, negli ultimi anni l’azienda è cresciuta in dimensioni e competenze, rendendo necessaria l’aggiunta di nuove procedure e l’integrazione dell’infrastruttura IT esistente.
Sfida
L’azienda raccoglie, elabora e archivia regolarmente dati sensibili dei clienti (come pensioni personali, ecc.) perché è specializzata in contabilità, tasse e consulenza aziendale. L’azienda deve sempre sapere esattamente quali dati conserva e dove li conserva per proteggere i dati sensibili da eventuali perdite.- L’azienda aveva valutato la propria protezione dei dati in base al programma Cyber Essentials, oltre che al GDPR, e stava cercando di migliorare ulteriormente la propria sicurezza in base allo standard CIS. Durante la pandemia COVID-19, l’iniziativa di lavorare da casa ha reso urgente la necessità di fornire ai dipendenti applicazioni fuori ufficio per garantire la continuità del lavoro e dei permessi retribuiti. L’utilizzo di applicazioni più vecchie e specifiche del settore, accessibili tramite desktop remoto, presenta ulteriori problemi di sicurezza per i team IT rispetto alle applicazioni basate su cloud. per i team IT rispetto alle applicazioni basate su cloud, progettate con un occhio di riguardo alla sicurezza.
Soluzione
È necessaria una valutazione della sicurezza informatica dell’azienda. Questa dovrebbe essere effettuata valutando la propensione dell’azienda al rischio informatico e la sua attuale posizione di sicurezza. Le aziende devono quindi stabilire rapporti e intraprendere azioni per garantire la resilienza informatica.