Audit Standard: ISO/IEC 27701:2019, ISO/IEC27001:2013, BS 10012:2017 E Altri

Perchè

Tra le misure di accountability, che possono essere messe in atto dal Titolare del trattamento, un osto di rilievo è rappresentato dalla implementazione di sistemi di gestione basati su standard internazionali eventualmente certificabili. Tra gli standard di riferimento:

  • la ISO/IEC 27001:2013 – Sistemi di gestione della sicurezza dell’informazione – Requisiti
  • la ISO/IEC 27701:2019 – Security techniques — Extension to ISO/IEC 27001 and ISO/IEC 27002 for privacy information management — Requirements and guidelines
  • altri standard della famiglia ISO/IEC 27000 (come ad esempio ISO/IEC 27018: 2014 Information technology — Security techniques — Code of practice for protection of personally identifiable information (PII) in public clouds acting as PII processors)
  • la BS 10012:2017 – Personal Information Management System

Rimandiamo alla sezione dedicata ai servizi il dettaglio di quelli che sono le caratteristiche di questi standard ed alle schede di dettaglio.

Effettuare audit, di prima e/o di seconda parte, a fronti di questi riferimenti internazionali significa poter valutare l’adeguatezza del modello di sistema di gestione della protezione dei dati personali applicato volto a:

  • dare garanzie all’interessato sulla capacità dell’Organizzazione di rispettare i suoi diritti e i principi alla base della protezione dei dati personali
  • fornire al Titolare del trattamento ed al Responsabile della protezione garanzie sull’adeguatezza delle misure applicate
  • fornire, come Responsabile del trattamento, al Titolare, delle garanzie sul livello di protezione che applica ai dati trattati.

Questi audit, che sono condotti basandosi sulle linee guida UNI EN ISO 19011:2018, possono essere effettuato in tutte le Organizzazioni e non necessariamente in solo quelle che possiedono un sistema di gestione basato su uno degli standard indicati o tanto meno certificate secondo tali criteri. Infatti, i criteri possono essere valutati:

  • in fase di assessment per comprendere quanto il modello di gestione applicato si avvicini o meno allo/agli standard
  • in fase di valutazione dell’adeguatezza del sistema di gestione della protezione dei dati rispetto allo/agli standard
  • in fase di preparazione ad audit di 2^ o di 3^ parte rispetto alla/alle norme indicate.

contesto

La presenza di un Sistema di gestione per la sicurezza delle informazioni (SGSI), anche se non certificato, viene considerato dal Garante una prova di esistenza di controlli di sicurezza adeguati. Il vantaggio per l’Organizzazione è di evitare adempimenti documentali aggiuntivi (che sarebbero ridondanti) inoltre essa è in grado, in occasione di ispezioni del Garante, di dimostrare di essere in possesso di “prove formalmente adeguate”. La materia è in rapida evoluzione nella letteratura e fra i professionisti, ma in ogni caso, questi audit possono essere svolti in ogni Organizzazione in modo indipendente dalla dimensione e dal settore in cui opera. Possono essere anche pianificati ed eseguiti in realtà che già possiedono un sistema di gestione basato su uno standard come la UNI EN ISO 9001:2015 (basata sull’Annex SL) favorendo, in tal modo, la programmazione di audit combinati.

Sarebbe, peraltro, utile che tale prassi venisse favorita dalle direzioni delle Organizzazioni, rendendo il processo di audit più efficiente.

Tali audit possono anche essere effettuati da un Titolare del trattamento, rispetto ad un fornitore nel ruolo di Responsabile del trattamento, anche se sarebbe opportuno che tale attività venisse svolta a seguito di specifiche clausole contrattuali.

dettagli

Tra gli elementi di dettaglio da considerare nel corso di tale audit è fondamentale individuare le funzioni da intervistare, tra queste il Titolare del trattamento che ha in carico compiti fondamentali quali, limitandosi alla attività di audit a fronte di standard di sistemi di gestione:

  • approvare le procedure relative all’esecuzione, pianificazione e monitoraggio del Programma di audit e delle azioni risultanti
  • rendere disponibile il budget per la pianificazione e l’esecuzione degli audit (risorse, formazione, esperti tecnici, trasferte)
  • dare il mandato per la pianificazione e lo svolgimento delle attività di audit, il che comporta l’individuazione e la nomina di una figura di riferimento per la programmazione, coordinamento e monitoraggio delle attività
  • approvare il Programma di audit
  • rendere disponibili le risorse adeguatamente formate per eseguirlo e monitorarlo
  • prendere in carico (rendendo disponibile il budget) le eventuali azioni emerse a seguito di un audit.

esempi

Diverse aziende clienti si chiedono, come Consultia S.r.L.  di pianificare ed effettuare audit rispetto agli standard indicati. Alcuni casi recenti:

  • Impresa manifatturiera nel settore della lavorazione dei metalli, dopo aver subito un Data Breach che ha minato la sicurezza dei dati in loro possesso coperti da segreto industriale e che si erano impegnati a tenere riservati nei confronti dei loro clienti, hanno voluto comprendere lo stato delle misure a protezione dei sistemi informativi applicati avendo come standard di riferimento la ISO/IEC 27001:2013. Abbioamo quindi pianificato ed effettuato tale audit I risultati sono stati piuttosto scoraggianti; la direzione ha voluto quindi procedere ad implementare un sistema di gestione della sicurezza delle informazioni senza peraltro arrivare alla sua certificazione, ritenendo quest’ultima una misura troppo impegnativa e gravosa.
  • Residenza sanitaria, sempre attenta a proteggere i dati dei propri ospiti, da anni ha implementato un sistema di gestione integrato; alcuni anni fa ci chiede di estenderlo con le misure previste anche dalla BS 10012:2017: Abbiamo proceduto e quindi , dopo una attività di assessment, seguita da una specifica azione di formazione ed un adeguato tempo per la messa a regime del sistema, abbiamo effettuato un audit a fronte dello standard, integrato con il sistema di gestione aziendale. I risultati sono stati molto validi. Ogni anno procediamo ad effettuare tale audit ed il rapporto viene consegnato al DPO come elemento per la valutazione delle misure messe in campo dalla struttura.
  • Un laboratorio che effettua screening genetici pre-concepimento già certificato ISO/IE 27001:2013, ha implementato e sta monitorando attraverso attività di audit semestrali il suo sistema di gestione della sicurezza dei dati personali a fronte della ISO/IEC 27701:2019. I risultati sono molto positivi; grazie ai risultati di audit sono stati individuati una serie di ambiti di miglioramento del sistema di gestione che sono stati affrontati riducendo i rischi e potenziando le misure in essere identificando quelle più efficienti.

organizzazione

L’organizzazione di questi audit si basa sulla sequenza di passaggi come prevede la UNI EN ISO 19011:2018. Per pianificare tale audit è necessario procedere alla analisi della documentazione (procedura ed istruzioni se possibile integrate con gli altri sistemi di gestione), predisporre il piano di audit e preparare la documentazione di lavoro. Nel corso dell’audit in campo devono essere intervistate tutte le funzioni aziendali, coinvolte nei processi che impattano sullo standard di riferimento, considerando l’ottica del “ciclo di vita” che caratterizza le norme della famiglia ISO/IEC 27000. Al termine dell’audit viene predisposto il rapporto. Questo documento viene consegnato al: Titolare del trattamento, al DPO ed alle funzioni che sono state coinvolte nell’attività di audit.

Qualora ci si trovi di fronte a Non Conformità o Raccomandazioni derivanti dal mancato adempimento delle disposizioni dello standard, nel Rapporto di audit dev’essere riportato il riferimento e, nel caso in cui la criticità sia anche a fronte di un requisito della normativa cogente, è opportuno che sia incluso anche l’estratto dell’apparato sanzionatorio. Il Rapporto può contenere anche altre informazioni quali: le criticità emerse nel corso dell’audit, attività non svolte corredate dalle motivazioni, temi per approfondimenti in successivi audit, valutazioni sul livello di preparazione e disponibilità degli auditati.

Il percorso indicato è molto simile nel caso di audit di seconda parte verso il Responsabile del trattamento, condotto dal Titolare sulla base degli standard riconosciuti, eventualmente integrati con quelli definiti nella documentazione contrattuale.

Un caso dal libro

Set di domande trasversali in fase di audit alle attività di competenza della funzione risorse umane:

  • Descrizione di funzione e formazione – La descrizione della funzione contempla le responsabilità relative alla privacy? La formazione in materia di privacy è stata svolta dalla risorsa? Sia iniziale, che continua, che in caso di modifiche ai processi, cambio di mansione. È necessario effettuare delle integrazioni? Le risorse sono consapevoli delle misure tecniche ed organizzative la cui applicazione è a loro carico? Il “Regolamento sull’utilizzo dei sistemi informatici” è noto ed applicato?
  • Ambiente di lavoro – Chiavi, smart card, altri dispositivi per garantire l’accesso controllato ai locali dove opera la persona, sono distribuiti in modo controllato alle sole persone autorizzate? Gli armadi sono chiusi? Quando previsti, sono utilizzati sistemi di protezione dei contenuti degli armadi? Come sono gestiti gli accessi di altri soggetti (addetti alla pulizia dei locali, custode, addetti alle manutenzioni)? Il locale è ordinato?
  • Postazione di lavoro – La postazione di lavoro si presenta ordinata? Sono presenti e/o facilmente accessibili documenti contenenti dati personali o comunque contenenti dati ad accesso controllato?
  • Registro dei trattamenti – L’autorizzato tratta i dati previsti nell’elenco delle banche dati? Il registro è aggiornato? Sono state aggiunte nuove banche dati, nuovi trattamenti, nuove tipologie di dati? I dati particolari, biometrici, genetici sono trattati secondo le Procedure previste dalla normativa? Le Procedure di crittografia sono applicate quando necessario? Sono raccolti dati giuridici? Nel caso, è rispettato quanto previsto dall’art. 2-octies del D.Lgs. 101/2018?
  • Sistemi informatici prima parte – L’accesso ai sistemi informatici è congruente rispetto al ruolo ricoperto? Sono stati aggiunti privilegi? In caso positivo, sono stati autorizzati? È ancora necessario che siano concessi o sono venute a mancare le condizioni iniziali? E’ attivo l’antivirus?
  • Sistemi informatici seconda parte – E’ applicata la policy prevista per l’uso dei PC, portatili e tablet in dotazione all’autorizzato? Sono salvati dati personali in locale? I criteri di naming dei file e di archiviazione delle cartelle e-mail è adeguato? Rispetta le regole definite dall’IT?
  • Risorse esterne – Viene fatto ricorso a risorse esterne a cui affidare dati? In caso positivo queste risorse sono state nominate responsabili del trattamento? La nomina è congruente con la tipologia di dati trattati?
  • Miglioramento – gli indicatori relativi alla funzione, in materia di privacy, sono definiti e monitorati? In caso di scostamenti dai valori prefissati, sono state attivate azioni? Sono attivi degli obiettivi in materia di privacy a carico della funzione intervistata? Il loro stato di avanzamento è monitorato? (…).
  • Data Breach – La procedura di Data Breach, per le parti di interesse dell’intervistato è nota? Esistono dei casi in cui è stata applicata? O simulata? Sono state avviate NC ed AC?

Privacy & Audit – F. Emegian, M. Perego – Wolters Kluwer, Milano 2019