Sentiamo parlare spesso di backup dati, ma conosciamo veramente il significato e ciò che si nasconde dietro questo argomento nel rispetto dei principi introdotti dal GDPR?
Con questo articolo vogliamo aiutarti a fare chiarezza ma soprattutto, quello che più conta, guidarti verso una scelta più responsabile e migliore per la tua realtà aziendale.
Cos’è il backup dati
La procedura di backup, composta da un disegno di hardware e software e intelletto, ha la funzione di tutelare al meglio i dati e le informazioni aziendali da qualsiasi evento esterno e interno all’azienda.
Perché è necessario fare backup e salvataggio dati?
Avere un backup dei dati aziendali, che rispetta la disciplinare GDPR e ben organizzato, ci tutela in potenziali situazioni di Recovery e in caso di procedura di ripristino degli stessi dati e informazioni e in modo tale che il loro recupero sia più indolore possibile.
Grazie al backup è possibile evitare potenziali ritorsioni legali causate dal danneggiamento o cattiva gestione dei dati personali di terze parti.
Se vuoi qualche consiglio su come farlo in sicurezza puoi rivolgerti a noi. Riceverai una prima consulenza gratuita.
Cosa devi sapere su backup dati e GDPR
Il GDPR, ovvero il regolamento per la protezione dei dati personali, non affronta mai in maniera diretta il backup dati aziendali, l’importanza di avere copie di riserva e, ancora più vitale in molti casi, di implementare un indice di RETENTION.
Uno dei primi valori a cui le aziende fanno più attenzione, soprattutto durante il percorso di adeguamento alla nuova normativa europea, è proprio l’argomento backup.
Le domande da porsi sono quasi sempre le stesse:
- Vengono eseguiti i backup dati aziendali?
- Si eseguono con regolarità?
- Sono regolamentati da una politica interna?
- Su quali supporti vengono eseguiti?
- Dove vengono conservati tali supporti?
- In caso di perdita, che valore di RETENTION è presente?
Il perché preoccuparsi di avere copie di riserva dei dati è molto semplice e definito dalla lettera c), comma 1 dell’art. 32 del GDPR:
“Qualunque azienda che possiede e tratta dati personali, deve predisporsi ed essere in grado di ripristinare tempestivamente la disponibilità e l’accesso dei dati personali in caso di incidente fisico o tecnico.”
L’incidente e il salvataggio dati
Cosa succede quando si verifica una situazione di incidente che coinvolge i vostri dati aziendali?
In maniera tempestiva ci si mobilita al fine di un ripristino parziale, o quanto meno accettabile, ricorrendo a copie di riserva dei dati.
Ma quale è il vero problema principale?
Tra il tempo T dell’incidente e il tempo T-ξ, nel quale è stato eseguito l’ultimo backup, l’azienda può aver incrementato i propri dati che saranno sistematicamente cambiati.
Se parliamo di aziende con migliaia di clienti e dati e soprattutto con più sedi sparse nel mondo, la faccenda può diventare molto critica. Solitamente ci si muove su ξ andando a limitare il danno.
Se vogliamo parlare di sincronizzazione fra le varie copie, in realtà, quella perfetta non esiste, e quindi un’attività di recupero tra il contenuto dei dati in T-ξ e T è sempre vitale.
Per tanto, al backup inteso come insieme di policy, strumenti e procedure per produrre copie di riserva dei propri dati aziendali, occorre aggiungere strumenti e procedure di ripristino.
Inoltre, il regolamento GDPR prevede, alla lettera d), comma 1 dell’art. 32, che le misure di sicurezza tecniche e organizzative, tra le quali il backup e il ripristino dati, siano testate (che vuol dire provate), verificate (cioè corrispondenti all’obiettivo) e valutate (cioè esaminate negli eventuali margini di miglioramento) regolarmente nella loro efficacia.
Altre possibili conseguenze dell’incidente
Diversamente, succede di frequente che molte aziende si focalizzino esclusivamente sui backup, dimenticandosi totalmente di cosa può accadere dopo un particolare incidente.
Purtroppo non basta avere un backup dati salvato in chi sa quale location per risolvere il tutto in maniera indolore.
A parte le conseguenze che possono pesare in maniera devastante sul proprio business, è bene conoscere le problematiche che possono scatenarsi con il ripristino dati affrettato e mal gestito che infrange i principi previsti dal GDPR e quindi i diritti degli interessati.
Non si può dimenticare che, soprattutto per le piccole e medie imprese, violare i principi del regolamento GDPR o ledere i diritti dell’interessato, può essere economicamente molto più gravoso di ritardare la consegna di un ordine o sospendere le funzionalità di consultazione del sito. Il rischio, in questo caso, è una sanzione amministrativa che può arrivare sino a 20.000.000 euro.
Ripristinare il database salvato la settimana precedente sui sistemi in esercizio non è esattamente l’azione più utile.
Mantieni la calma e, prima di procedere, rifletti e fatti alcune domande:
- I dati personali da ripristinare sono minimi rispetto alla finalità che perseguo oggi?
- I dati che vogliamo ripristinare sono dati corretti e aggiornati?
- I dati personali che stiamo ripristinando, sono in chiaro o sono realmente pseudonimizzati?
- Con questo ripristino c’è il rischio di modificare dati già rettificati in origine?
- Vi è possibilità di ripristinare dati di cui era stata richiesta una specifica cancellazione?
- Sono presenti dati di cui era stata richiesta una limitazione al trattamento?
- Si rischia di ripristinare un dato dove ci era stato revocato il consenso al trattamento?
Più semplicemente, tra tempo T-ξ ed il tempo T può essere successa qualsiasi cosa.
In particolare, può verificarsi che il diretto interessato abbia eseguito una richiesta di esercizio di un diritto che rende l’attività di ripristino molto rischiosa.
Per esempio: un cliente può aver richiesto l’esercizio del diritto alla cancellazione (art. 17 del GDPR) il giorno dopo l’esecuzione del backup dati; a fronte di tale richiesta, i dati personali del cliente vengono cancellati definitivamente dal sistema in esercizio.
Tuttavia, a seguito di un incidente, può essere necessario ripristinare il backup che, sfortunatamente, contiene ancora i dati personali del cliente. Tra questi anche l’indirizzo email che viene nuovamente raggiunto dalla newsletter periodica inviata a tutta la clientela.
È verosimile che il cliente si rivolga al Garante per la Protezione dei Dati Personali e che la sanzione non tardi ad arrivare.
Qualche ipotesi risolutiva per il backup dati aziendali
Evitando le strategiche e sofisticate attività di backup e di ripristino dati che le grandi aziende utilizzano, suggeriamo qualche ipotesi risolutiva a coloro che non dispongono di risorse umane e strumentali utili per evitare gli inconvenienti causati da possibili incidenti.
1 – Eseguire le richieste “a blocchi”
Il primo suggerimento è di non rispondere immediatamente alle richieste di esercizio dei diritti; il regolamento GDPR prevede che queste siano eseguite senza ingiustificato ritardo, ma se il backup dati viene eseguito settimanalmente (o con maggiore frequenza) è possibile accumulare le richieste ed eseguirle tutte poco prima del backup.
Il ritardo di esecuzione può essere ampiamente giustificato, documentandolo opportunamente, con la garanzia di effettività dell’esercizio dei diritti a favore degli interessati. Tuttavia, chi dovesse optare per questa soluzione ha il dovere di informare immediatamente l’interessato del momento, leggermente differito, in cui diventerà effettiva la sua richiesta.
2 – Backup incrementale immediato
Si può ipotizzare di configurare il software applicativo per scatenare un backup incrementale immediato (e circoscritto alle sole strutture logiche interessate) al momento dell’esecuzione di una richiesta di esercizio di un diritto da parte dell’interessato.
Non è una soluzione semplice e può richiedere una significativa manutenzione evolutiva del software.
3 – Registro per l’esercizio dei diritti
Un registro per l’esercizio dei diritti, manuale o disponibile in formato elettronico su un apparato elaborativo separato dai sistemi core, può essere una soluzione semplice e immediata.
In caso di ripristino di un backup dati effettuato al tempo T-ξ, occorre consultare il registro e verificare quali operazioni sono state eseguite in corrispondenza di richieste di esercizio dei diritti fino al tempo T dell’incidente; a quel punto, basterà replicarle senza rischiare di ledere gli interessati.
Technoinside si occupa di salvataggio e ripristino dati aziendali, evitandone la dispersione anche a seguito di sfortunati incidenti. Rivolgiti a noi per la sicurezza dei tuoi dati.
Se hai bisogno di ulteriori informazioni sulle attività di backup nel rispetto dei principi previsti dal regolamento GDPR, compila il form e contattaci. Riceverai una prima consulenza gratuita.
