DOMANDA: quali sono le principali criticità nella sicurezza informatica per le PMI?

Risponde Pierpaolo Benzi

Le PMI si trovano ad affrontare varie criticità nella loro strategia di sicurezza informatica, tra cui la mancanza di una chiara password policy. Le indicazioni aggiornate del NIST enfatizzano la necessità di promuovere l'uso di password complesse e la rotazione regolare delle stesse. Inoltre, l'adozione di sistemi di Multi-Factor Authentication (MFA) è diventata fondamentale per proteggere i trattamenti di dati sensibili.

Un'altra problematica cruciale riguarda la crittografia dei dati, sia a riposo che in transito. Le PMI devono garantire che tutte le informazioni sensibili siano adeguatamente crittografate, adottando standard robusti per prevenire accessi non autorizzati. Non meno importante è la gestione delle patch: il ritardo nell'applicazione degli aggiornamenti software può essere considerato negligenza, esponendo le aziende a vulnerabilità.

L'approfondimento: quali misure attuare per garantire la sicurezza?

Risulta fondamentale implementare un approccio Zero Trust nella politica di sicurezza aziendale, che prevede la verifica continua di tutti gli utenti e dispositivi, anche all'interno della rete. L'uso di VPN aziendali aiuta a proteggere la comunicazione interna, ma occorre prestare attenzione ai limiti al controllo dei log per evitare violazioni della privacy degli utenti.

Infine, la sicurezza delle API deve essere una priorità nelle integrazioni tra sistemi. Le API devono garantire autentificazione e autorizzazione adeguate, riducendo la superficie di attacco.

Il dettaglio normativo: quali sono le responsabilità legali per i log di sistema?

Legalmente, la conservazione dei log di sistema deve rispettare il principio di minimizzazione dei dati del GDPR. È necessario determinare quanto tempo è realmente necessario tenere i log per scopi di audit e sicurezza, evitando conservazioni eccessive. PMI e DPO devono sempre tenere presente che la conformità alle normative non deve essere vista come un ostacolo, ma piuttosto come un'opportunità per migliorare le misure di sicurezza.

Se sei un consulente privacy, DPO o semplicemente un appassionato della materia iscriviti ad AIP ed avrai molti vantaggi e la possibilità di confrontarti con un network di professionisti italiani.