Direttiva NIS2 e Sicurezza dei Dati: Il Ruolo di Distruggi documenti e Degausser
Impronte digitali ai tornelli, Garante privacy multa azienda sanitaria
Direttiva NIS2: Cos'è e Perchè la Sicurezza Fisica dei Dati (Shredder e Degausser) è Obbligatoria per la Compliance
La transizione digitale ha reso la cybersecurity la priorità assoluta per aziende e pubbliche amministrazioni. In questo scenario, la Direttiva NIS2 (UE 2022/2555) rappresenta il nuovo pilastro della resilienza informatica europea.
Tuttavia, quando si parla di “sicurezza informatica”, si tende a pensare solo a firewall, antivirus e patch di sistema. Si dimentica spesso che la sicurezza dei dati inizia (e finisce) dalla loro eliminazione fisica.
In questo articolo vedremo cos’è la NIS2 e perchè i distruggi documenti professionali e i degausser sono strumenti indispensabili per evitare sanzioni milionarie e garantire la piena compliance.
Cos'è la Direttiva NIS2 e chi coinvolge?
La NIS2 è la direttiva dell’Unione Europea che stabilisce misure comuni di cybersicurezza ad alto livello in tutta l’UE. Rispetto alla precedente versione, la NIS2 amplia enormemente il raggio d’azione, eliminando la distinzione basata sulla dimensione aziendale per molti settori critici.
Oggi, le aziende vengono divise in due macro-categorie:
Soggetti Essenziali
Energia, trasporti, settore bancario, salute, infrastrutture digitali, pubblica amministrazione
Soggetti Importanti
Servizi postali, gestione dei rifiuti, chimica, alimentare, produzione manifatturiera e fornitori di servizi digitali
Nota per le PMI: Se la tua azienda è un fornitore diretto (ad esempio di logistica, manutenzione o servizi IT) di un “Soggetto Essenziale”, sei automaticamente coinvolto nei requisiti di sicurezza della catena di approvvigionamento (supply chain security) della NIS2.
I pilastri della NIS2: Non c'è Cybersecurity senza Sicurezza Fisica
L’articolo 21 della Direttiva NIS2 impone ai soggetti obbligati di adottare misure tecniche, operative e organizzative “proporzionate al rischio”. Tra queste, i punti chiave includono:
Politiche di sicurezza dei servizi informativi
Gestione degli asset e protezione dei dati
Sicurezza della catena di approvvigionamento
Controllo dei flussi di dati e dei supporti dismessi
Pratiche di igiene informatica e formazione
Consapevolezza del personale sul trattamento dei dati sensibili
È proprio nella gestione del ciclo di vita dei dati (Data Lifecycle Management) e nella protezione degli asset che la sicurezza logica deve fondersi con la sicurezza fisica. Un dato protetto da crittografia a 256-bit diventa vulnerabile se il disco fisso che lo conteneva viene gettato intatto.
Il ruolo dei Distruggi documenti nella compliance NIS2
Nonostante la digitalizzazione, la carta rimane uno dei veicoli principali di data breach (violazione dei dati). Report finanziari, credenziali scritte su fogli, dati sanitari o progetti industriali stampanti rappresentano un rischio enorme.
La NIS2 richiede un controllo rigoroso sul flusso delle informazioni. Utilizzare un distruggi documenti professionale con livelli di sicurezza adeguati (normativa DIN 66399, preferibilmente da P-4 a P-7 per dati altamente confidenziali) permette di:
Prevenire il "Trash Diving"
Evitare che estranei recuperino documenti sensibili dai cassonetti aziendali
Garantire la tracciabilità
Integrare la distruzione immediata dei documenti nei processi operativi aziendali, riducendo l'errore umano
Dimostrare l'Accountability
In caso di audit, dimostrare di avere procedure attive per l'eliminazione sicura del materiale cartaceo
Il ruolo dei Degausser per la distruzione dei supporti magnetici
Cosa succede quando un server viene aggiornato, un computer aziendale viene dismesso o un hard disk si guasta? La semplice formattazione o la cancellazione logica dei file non è sufficiente e i dati rimangono recuperabili con software specializzati.
Il degausser (lo smagnetizzatore) è lo strumento definitivo per la compliance NIS2 per quanto riguarda i supporti magnetici (Hard disk meccanici, nastri LTO, floppy).
Come funziona
Genera un potentissimo campo magnetico che azzera completamente la polarità del supporto, rendendo i dati irrecuperabili al 100% e rendendo il disco stesso inutilizzabile
Perchè è fondamentale per la NIS2
La direttiva richiede la resilienza e la gestione sicura degli asset. Un degausser permette di bonificare gli hard disk direttamente all'interno del perimetro aziendale, prima che i supporti vengano affidati a terzi per il riciclo o lo smaltimento dei RAEE, eliminando il rischio di furto di dati durante il trasporto
Le sanzioni della NIS2: Il costo della non-compliance
Ignorare la sicurezza fisica dei dati può costare caro. La NIS2 introduce sanzioni amministrative severe, modellate sul framework del GDPR:
Per i Soggetti Essenziali
Sanzioni fino a 10 milioni di euro o al 2% del fatturato globale annuo (se superiore)
Per i Soggetti Importanti
Sanzioni fino a 7 milioni di euro o al 1,4% del fatturato globale annuo (se superiore)
Inoltre, la direttiva prevede la responsabilità diretta degli organi di gestione (CEO e CdA), che possono essere sospesi dalle cariche dirigenziali in caso di gravi e reiterate inadempienze.
Conclusioni: Una checklist per la tua azienda
Per essere pronti alla NIS2, la protezione dei dati deve essere totale. Ecco i passi pratici da seguire per integrare la sicurezza fisica nella tua strategia di compliance:
Mappatura degli asset
Identifica dove risiedono i dati (server, PC, archivi cartacei)
Punti di raccolta sicuri
Installa distruggi documenti dedicati negli uffici chiave (HR, Amministrazione, R&D)
Procedura di dismissione IT
Implementa l'uso del degausser per ogni memoria magnetica prima che lasci l'azienda
Formazione del personale
Istruisci i dipendenti sul fatto che un dato non più utile deve essere distrutto fisicamente, mai semplicemente cestinato
Visita il nostro e-shop per scoprire la nostra gamma di distruggi documenti certificati DIN 66399 e degausser professionali ad alta intensità per mettere in sicurezza la tua azienda in linea con i requisiti NIS2.
- cancellazione sicura dati, degausser, Direttiva NIS2 compliance, distruggi documenti professionali, NIS2, protezione dati aziendali., sicurezza delle informazioni
- Blog
Impronte digitali ai tornelli, Garante privacy multa azienda sanitaria
Impronte digitali ai tornelli, Garante privacy multa azienda sanitaria
- 0 comments
- Aprile 12, 2021
Contrastare l’assenteismo con le impronte digitali è vietato in Italia. Non lo sapeva l’Azienda sanitaria provinciale di Enna, che è stata sanzionata con 30mila euro dal Garante privacy per aver rilevato l’ingresso in ufficio di 2mila dipendenti con le impronte digitali, memorizzandole in forma crittografata sul badge di ciascun lavoratore.
- Azienda sanitaria, Garante Privacy, Impronte digitali, Privacy, Sanzione azienda sanitaria
- Blog
Didattica a distanza: come gestire la privacy
Didattica a distanza: come gestire la privacy
- 0 comments
- Novembre 10, 2020
Didattica a distanza: come gestire la privacy
- Blog
Distruzione materiale sensibile: necessità e obblighi
Distruzione materiale sensibile: necessità e obblighi
- 0 comments
- Novembre 5, 2020
Perché è importante per un’azienda distruggere i documenti contenenti dati sensibili? A quali rischi un’azienda può incorrere se non lo fa?
Per distruzione dei documenti intendiamo quel processo che prevede la distruzione dei documenti cartacei tagliandoli in piccoli pezzi. Anche se il pensiero comune è quello che la maggior parte del materiale informativo venga contenuto su supporti informatici, le aziende hanno ancora l’esigenza, in quantità variabile, di distruggere materiale cartaceo contenente dati sensibili. Parliamo ad esempio di contratti commerciali, informazioni bancarie, fatture ecc…
Nello specifico le informazioni che necessitano di essere eliminate in modo sicuro sono:
- Informazioni riservate: tutte quelle informazioni che corrono il rischio di essere impropriamente divulgate.
- Dati personali: qualunque informazione relativa a persona fisica, persona giuridica, ente o associazione che viene identificata o è identificabile, anche indirettamente, tramite riferimenti a qualsiasi altra informazione compreso un numero di identificazione personale.
- Dati sensibili: dati personali che possono rivelare l’origine razziale ed etnica, le convinzioni religiose, filosofiche o di altro genere, le opinioni politiche, l’adesione a partiti, sindacati, associazioni od organizzazioni a carattere religioso, filosofico, politico o sindacale, nonché i dati personali che possono rivelare lo stato di salute e la vita sessuale.
La necessità di distruggere i documenti nasce principalmente per due motivi: contrastare le forme di spionaggio industriale e tutelare la privacy dei clienti e dei dipendenti. Per quanto concerne lo spionaggio, la distruzione è rimandata alla scelta dell’azienda, mentre la tutela della privacy è disciplinata dal decreto legislativo 196/2003 che obbliga l’azienda a seguire precise procedure pena severe sanzioni e ammende di migliaia di euro.
Una macchina distruggi-documenti è la soluzione più sicura sia per tutelare la propria azienda dal rischio di spionaggio industriale, sia per consentire il rispetto della legislazione in tema di protezione dei dati personali. Come per tutte le attrezzature aziendali, è importante però identificare quella più adatta per la propria struttura e per le proprie esigenze, garantendo sempre un buon livello di sicurezza.
Ermes Srl offre una vasta gamma di distruggi-documenti adatta ad ogni esigenza e ambiente di lavoro.
Per maggiori informazioni, visita la pagina dedicata.
- Blog
Convivenza tra privacy e scienza
Convivenza tra privacy e scienza
- 0 comments
- Ottobre 29, 2020
Le limitazioni relative al trasferimento dei dati imposte dall’attuale normativa della privacy rischia di essere un ostacolo per la ricerca scientifica contro il COVID-19?
- Blog
Smart working e protezione dei dati
Smart working e protezione dei dati
- 0 comments
- Ottobre 21, 2020
Smart working e protezione dei dati
- GDPR, protezione dati, smartworking
- Blog
La privacy al tempo del coronavirus: suggerimenti per una corretta gestione dei dati personali
La privacy al tempo del coronavirus: suggerimenti per una corretta gestione dei dati personali
- 0 comments
- Ottobre 14, 2020
La privacy al tempo del coronavirus
- Blog
Esami medici, in Italia dati online in chiaro di quasi 6 milioni di pazienti
Esami medici, in Italia dati online in chiaro di quasi 6 milioni di pazienti
- 0 comments
- Ottobre 10, 2019
Greenbone Networks, una società tedesca che si occupa di sicurezza informatica, ha analizzato tra luglio e settembre scorso le misure di sicurezza di 2.300 database medici di tutto il mondo, scoprendo che 590, quindi quasi uno su quattro, sono in chiaro e completamente esposti online. Nel complesso parliamo di ben 24 milioni di dati relativi a pazienti di 52 Paesi diversi e, tra questi, indovinate un po’ chi spicca negativamente in Europa? Esatto, l’Italia. Secondo Greenbone infatti nel nostro Paese sarebbero oltre 5,8 milioni le radiografie incustodite online, tra l’altro salvate assieme a dati fortemente sensibili come nome e cognome del paziente, motivo dell’esame etc. Una situazione di assoluta gravità, tanto da spingere il Garante per la privacy ad avviare un’indagine.
Ma se in Italia con 102.893 data set esposti non ce la passiamo bene, nel mondo ci sono diverse altre nazioni che mostrano scarsa attenzione a questi dati. Restando alla sola Europa infatti la Francia con 5,3 milioni di esami in chiaro non è messa molto meglio di noi, mentre la Repubblica Ceca consente accesso libero a ben 97mila database medici. Male anche Stati Uniti (13, 7 milioni di database), Turchia (4,9 milioni) e Sudafrica (2,3 milioni).
Il problema a quanto pare risiederebbe nei PACS, i sistemi di archiviazione utilizzati solitamente da ospedali e ambulatori per salvare le cartelle cliniche dei pazienti e renderle disponibili in formato digitale per la consultazione da parte di altri medici e basati su protocollo DICOM (Digital Imaging and Communications in Medicine). “Che i server PACS siano vulnerabili agli attacchi o comunque accessibili non è una novità” scrive Greenbone nella sua ricerca “ma nessuna ricerca ha cercato di verificare l’ampiezza e la profondità del problema. […] Questa esposizione di dati a livello globale riguarda tanto le regole di protezione dei dati in Europa (GDPR) che le norme statunitensi (HIPAA), oltre a tutta una serie di regolamentazioni di altri Paesi”.
Non è un problema da poco. Secondo Greenbone infatti questo genere di dati sarebbe facilmente commerciabile sul cosiddetto dark web e, benché ogni singolo data set avrebbe un valore relativamente scarso, pari a circa 50 dollari, globalmente il loro traffico potrebbe generare ricavi per 1,2 miliardi di dollari. Il Governo italiano in carica fortunatamente ha avviato le procedure per stabilire chi è dentro il cosiddetto “perimetro cibernetico nazionale” che imporrà tutta una serie di nuove linee guida a enti pubblici e aziende private in modo da garantire nuovi strumenti di difesa e best practice contro eventuali attacchi informatici. Alla luce di queste ultime scoperte però anche un iter di un anno sembra forse eccessivamente lungo.
- Blog
Gli incidenti informatici? Per metà causati dai dipendenti
Gli incidenti informatici? Per metà causati dai dipendenti
- 0 comments
- Agosto 23, 2019
Nonostante la persistente crescita dell’automatizzazione, il fattore umano è ancora in grado di mettere a repentaglio i processi industriali.
Secondo un report di Kaspersky Lab, lo scorso anno gli errori o le azioni accidentali da parte dei dipendenti sono stati la causa del 52% degli incidenti che hanno interessato i sistemi Operational Technology e le reti dei sistemi di controllo industriale (OT/ICS).
Nel nuovo “State of Industrial Cybersecurity 2019”, questa problematica è parte di un contesto ben più ampio e articolato. Infrastrutture industriali sempre più complesse richiedono protezione e competenze all’avanguardia.
Anche in presenza di tali tendenze, le aziende si trovano di fronte alla mancanza di professionisti in grado di gestire le nuove cyberminacce e alla scarsa preparazione da parte dei propri dipendenti.
Nel 2019, l’ARC Advisory Group, per conto di Kaspersky, ha condotto un sondaggio sullo stato della cybersicurezza dei sistemi di controllo industriale (ICS), nonché sulle priorità, le preoccupazioni e le sfide che ciò comporta per tali organizzazioni.
Ebbene, lo studio aiuta a comprendere le misure e i processi coinvolti nella prevenzione di incidenti informatici in infrastrutture critiche e imprese. 282 aziende e organizzazioni in tutto il mondo sono state intervistate, insieme a 20 rappresentanti del settore.
Si evince che sul podio delle preoccupazioni per i manager, in seguito a un incidente, ci sono il danneggiamento della reputazione, il danno fisico o addirittura la morte, la rottura di infrastrutture e dell’hardware.
Quali le priorità per risolvere tale trend? Dedicare un budget di cybersecurity alle OT/ICS, incrementare gli sforzi economici per le operazioni di difesa.
Ovviamente Kasperksy Lab può aiutare in tale percorso di adozione, con il suo know-how in materia di difesa aziendale, con una serie di piattaforme pensate appositamente per proteggere i network e i perimetri industriali.
- GDPR
- Blog
Falla nel sistema biometrico, a rischio oltre 1 milione di impronte digitali
Falla nel sistema biometrico, a rischio oltre 1 milione di impronte digitali
- 0 comments
- Agosto 19, 2019
Una gravissima falla ha esposto le impronte digitali di più di 1 milione di persone, nonché le password non crittografate, informazioni sul riconoscimento facciale e altri dati personali. A fare la scoperta su Biostar 2, un sistema di biometria estremamente diffuso, adottato da moltissime banche, ma anche dalla polizia britannica e da altre aziende private del settore della sicurezza., sono stati due ricercatori di sicurezza israeliani di vpmentor, Noam Rotem e Ran Locar.
Il sistema, sviluppato dall’azienda di sicurezza Suprema, utilizza le impronte digitali e la tecnologia di riconoscimento facciale per consentire alle persone l’accesso a determinati edifici. Lo scorso mese la piattaforma è stata integrata in un altro sistema di accesso, AEOS, utilizzato da 5.700 organizzazioni in 83 Paesi.
I due ricercatori israeliani si sono imbattuti nella falla durante una scansione di rete ordinaria condotta la scorsa settimana. In questo modo si sono accorti che il database di Biostar 2 era pubblicamente disponibile e che manipolando URL e criteri di ricerca erano in grado di accedere a quasi 28 milioni di record, per un totale di 23 GB di dati, comprese le impronte digitali, i dati di riconoscimento facciale, password e altre informazioni sensibili.
A quanto dichiarato da Rotem al The Guardian, la falla consentirebbe di modificare dati e aggiungere nuovi utenti, che avrebbero il permesso di aggiungere la propria impronta digitale al sistema di controllo degli accessi di qualsiasi struttura faccia uso di Biostar 2.
Secondo quanto affermato dai due esperti di sicurezza, la cosa più grave non è la vastità del database e la quantità di dati esposti, ma la natura stessa dei dati, che avrà certamente conseguenze negative in futuro, in quanto se un utente può cambiare una password non può ovviamente possibile sostituire le proprie impronte digitali.
Secondo la ricostruzione proposta dai due ricercatori il team ha anche fatto numerosi tentativi per entrare in contatto con Suprema prima di prendere la decisione di divulgare tutto attraverso la stampa, senza mai ottenere risposta. Tuttavia, il responsabile marketing di Suprema, Andy Ahn, ha dichiarato al Guardian che la società nel frattempo ha già corretto la vulnerabilità procedendo a una “valutazione approfondita” della ricerca di vpnmentor, e renderà noto al più presto la presenza di eventuali minacce per i propri clienti.
Fonte: The Guardian
- GDPR
- Blog