Il GDPR, all’articolo 32, richiede al titolare e al responsabile del trattamento di adottare misure tecniche e organizzative adeguate a garantire “un livello di sicurezza adeguato al rischio”, incluse “la capacità di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico”. Questo riferimento normativo, per quanto molto sintetico, richiama in realtà un intero impianto metodologico che nel mondo della sicurezza delle informazioni e della continuità operativa è ben consolidato: la Business Impact Analysis (BIA), la Business Continuity (BC) e il Disaster Recovery (DR).
Questi tre strumenti, spesso citati insieme ma con finalità distinte, fondamentali anche per il Data Protection Officer, permettono a un’organizzazione di conoscere i propri processi critici, prepararsi a gestire eventi avversi e ripristinare rapidamente sistemi e dati, riducendo al minimo l’impatto su persone fisiche i cui dati vengono trattati. Questo articolo ne illustra le definizioni, la struttura di base e l’utilità pratica in un contesto mirato di data protection, prendendo anche sputo dalla
Business Impact Analysis (BIA) - La BIA è il processo di analisi che identifica e valuta gli effetti (impatti) che l’interruzione dei processi aziendali critici potrebbe avere sull’organizzazione, in termini operativi, economici, legali, reputazionali ed ovviamente anche sulla protezione dei dati personali trattati.
Nell’ambito privacy, la BIA consente di rispondere a domande come: quali trattamenti di dati personali sono supportati da quali processi e sistemi? Cosa succede se un determinato sistema che tratta dati personali diventa indisponibile per un’ora, un giorno, una settimana? Quali conseguenze si producono per gli interessati (ad esempio impossibilità di erogare una prestazione sanitaria, blocco di pagamenti, esposizione di dati sensibili)?
Una BIA tipicamente si articola nei seguenti passaggi:
-
individuazione dei processi e dei trattamenti critici che comporta la mappatura dei processi di business e dei relativi trattamenti di dati personali, in coerenza con il registro delle attività di trattamento (art. 30 GDPR);
-
identificazione delle risorse a supporto, come ad esempio, sistemi informativi, infrastrutture, fornitori terzi, personale coinvolto;
-
valutazione degli impatti nel tempo che prende forma attraverso la stima del danno (organizzativo, economico, reputazionale, per gli interessati) al crescere della durata dell’interruzione;
-
determinazione dei parametri di recupero, tra cui:
-
RTO (Recovery Time Objective): tempo massimo tollerabile di interruzione prima che l’impatto diventi inaccettabile;
-
RPO (Recovery Point Objective): quantità massima di dati (in termini temporali) che è accettabile perdere in caso di incidente;
-
MTD (Maximum Tolerable Downtime): durata massima di indisponibilità dei sistemi sostenibile dall’organizzazione;
- prioritizzazione dei processi che si traduce nella classificazione per criticità, utile a orientare gli investimenti e le priorità di ripristino.
La BIA fornisce la base conoscitiva su cui costruire misure di sicurezza proporzionate al rischio (art. 32 GDPR) e si collega strettamente alla valutazione d’impatto sulla protezione dei dati (DPIA, art. 35), poiché entrambe richiedono di ragionare in termini di probabilità e gravità del danno per gli interessati. Senza una BIA, qualunque piano di continuità o di disaster recovery rischia di essere costruito su priorità arbitrarie anziché su un’effettiva valutazione del rischio.
Business Continuity (BC) - La Business Continuity, formalizzato in un Business Continuity Plan BPC, è l’insieme di politiche, procedure e strumenti che consentono a un’organizzazione di continuare a operare, sia pure in modalità ridotta o alternativa, durante e dopo un evento perturbativo (guasto tecnico, cyber-attacco, calamità naturale, indisponibilità di personale o fornitori, ecc.).
Mentre la BIA “fotografa” il rischio e ne stima le conseguenze, il BC definisce come agire concretamente per garantire la continuità delle attività essenziali.
Un piano di continuità operativa comprende generalmente:
-
governance e ruoli che comprende: comitato di crisi, referenti per ciascun processo critico, catena di comunicazione interna ed esterna;
-
strategie di continuità, tramite l’individuazione di: soluzioni alternative per mantenere attivi i processi critici (siti di backup, procedure manuali temporanee, ridondanza dei sistemi, contratti con fornitori di emergenza);
-
procedure operative di risposta, come: azioni immediate da intraprendere al verificarsi dell’evento, con particolare attenzione alla tutela della riservatezza, integrità e disponibilità dei dati personali anche durante la fase di emergenza;
-
piano di comunicazione che comporta la definizione di modalità e tempistiche di informazione verso dipendenti, clienti, fornitori, autorità di controllo;
- test e aggiornamento periodico tramite lo svolgimento di esercitazioni per verificare l’efficacia del piano e adeguarlo a cambiamenti organizzativi o tecnologici.
Il BC assicura che, anche in condizioni di crisi, l’organizzazione mantenga il controllo sui trattamenti in corso, eviti trattamenti non autorizzati e sia in grado di rispettare gli obblighi di notifica delle violazioni nei tempi previsti dal GDPR Un BC ben strutturato riduce quindi non solo il danno economico, ma anche il rischio giuridico e reputazionale connesso a una gestione disordinata dell’incidente.
Disaster Recovery (DR) - Il Disaster Recovery è la componente più tecnica e infrastrutturale della continuità operativa: riguarda specificamente il ripristino di sistemi informativi, infrastrutture IT e dati a seguito di un evento disastroso (guasto hardware, attacco ransomware, incendio, alluvione, errore umano, ecc.). Il DR si formalizza in un Disaster Recovery Plan (DRP), che può essere considerato un sotto-piano operativo del più ampio Business Continuity Plan.
Un piano di DR comprende tipicamente:
-
inventario di sistemi e dati critici, con relativa classificazione di criticità (derivata dalla BIA) e misure di mitigazione come: strategie tecniche di ripristino, ad esempio: backup periodici, siti di disaster recover, soluzioni cloud, procedure di ripristino step-by-step per ciascun sistema;
-
definizione di RTO e RPO per singolo sistema, coerenti con quanto emerso dalla BIA;
-
ruoli e responsabilità tecniche dei team IT/security incaricati dell’esecuzione del ripristino;
-
procedure di verifica dell’integrità dei dati ripristinati, cruciali per assicurare che i dati personali recuperati siano completi, accurati e non alterati;
- test periodici del piano - un piano mai testato è un piano la cui efficacia è solo presunta.
Il DR è lo strumento che dà concreta attuazione al principio di disponibilità dei dati personali richiamato dall’art. 32 GDPR. Un’efficace capacità di disaster recovery consente di limitare la durata di un’eventuale violazione di dati (data breach da indisponibilità), riducendo la probabilità che l’incidente debba essere qualificato come “rischio elevato” per i diritti e le libertà degli interessati, con conseguente obbligo di comunicazione diretta agli stessi.
Come si integrano: una visione d’insieme - I tre strumenti non sono alternativi, ma sequenziali e complementari:
-
la BIA analisi propedeutica - risponde alla domanda: "cosa succederebbe se...?" analizza e quantifica il rischio;
-
la BC cornice organizzativa e di governance - risponde alla domanda: "come continuiamo a operare durante l’evento?" definisce le strategie organizzative complessive;
- il DR braccio operativo tecnico - risponde alla domanda: "come ripristiniamo tecnicamente i sistemi e i dati?" attua la componente tecnica del piano di continuità.
In sintesi, un’organizzazione che possiede solo un DRP ma non ha svolto una BIA rischia di investire risorse su sistemi non prioritari; un’organizzazione che ha un BCP ma nessun DR rischia di avere piani teorici privi di reale capacità di ripristino.
L’applicazione della UNI EN ISO 22301:2019 “Sicurezza e resilienza - Sistemi di gestione per la continuità operativa – Requisiti” fornisce indicazioni operative per l’implementazione di un sistema di gestione basato su uno standard riconosciuto.
Perché sono strumenti utili (non solo obbligatori) - Dal punto di vista del trattamento dei dati personali, disporre di BIA, BC e DR aggiornati e periodicamente testati comporta benefici concreti, poiché consente di assicurare una conformità sostanziale, e non meramente formale, agli articoli 5, 24, 32, 33 e 34 del GDPR, dimostrabile anche in sede di accountability, cioè in applicazione del principio di responsabilizzazione.
La disponibilità di strumenti adeguati contribuisce inoltre a ridurre i tempi di gestione di un data breach, incidendo direttamente sulla capacità dell’organizzazione di rispettare il termine di 72 ore previsto per la notifica e permette di limitare il danno agli interessati, in coerenza con i principi di integrità e disponibilità dei dati.
BIA, BC e DR supportano anche le valutazioni d’impatto sulla protezione dei dati, fornendo elementi concreti per stimare la probabilità e la gravità dei rischi, e rafforzano complessivamente la resilienza organizzativa, con ricadute positive sulla continuità del business, sulla reputazione e sui rapporti con fornitori e clienti.
Conclusione - BIA, BC e DR non sono adempimenti burocratici separati, ma tre livelli di uno stesso percorso di gestione del rischio, che nel contesto della protezione dei dati personali assumono un valore particolare: garantire che, anche di fronte a un evento avverso, i dati delle persone fisiche restino disponibili, integri e protetti, e che l’organizzazione sia in grado di reagire in tempi e modalità coerenti con gli obblighi normativi.
Fonte: FEDERPRIVACY