Cybersecurity e sicurezza dei dati

Assistiamo il Cliente a verificare se è soggetto al Cyber Resilience Act (CRA) e, in caso positivo, ad adeguarvisi. Teniamo conto della tipologia di prodotti con elementi digitali realizzati o distribuiti dal Cliente e del suo ruolo nella catena di fornitura, considerando che essa può riguardare singole linee di prodotto o l’intero portafoglio. Ove richiesto dal Cliente, come primo deliverable offriamo una gap analysis rispetto ai requisiti di cybersicurezza applicabili, in cui individuiamo gli scostamenti in termini di sicurezza dei prodotti e di gestione delle vulnerabilità, definiamo il piano d’azione e le misure correttive e supportiamo il Cliente negli obblighi documentali e di conformità previsti dal Regolamento

Si veda sezione dedicata

Diamo supporto alle imprese rientranti nel suo perimetro di applicazione ad adeguarsi al Regolamento DORA in materia di resilienza operativa digitale nell’ambito dell’erogazione dei servizi finanziari. Personalizziamo il servizio in ragione del ruolo del Cliente (entità finanziaria o fornitore ICT di entità finanziaria) e della complessità del suo assetto tecnologico. Interveniamo su singoli ambiti o sull’intero framework di resilienza. Svolgiamo una gap analysis rispetto ai requisiti del Regolamento, valutiamo il sistema di gestione dei rischi ICT, i presidi di test e di segnalazione degli incidenti e la gestione dei rapporti con i fornitori terzi critici, definendo il piano d’azione conseguente e le misure correttive. La priorità è ottenere un impianto di resilienza operativa conforme e presidiato, che riduce l’esposizione a incidenti, contestazioni e sanzioni e rafforza la continuità dei servizi finanziari.

Diamo consulenza nella messa a punto di misure di sicurezza a protezione dei dati. Il servizio è personalizzato in ragione della natura dei dati trattati, dell’assetto tecnologico e del settore di attività del Cliente, e può riguardare singoli trattamenti o l’intero sistema informativo. Individuiamo le misure tecniche e organizzative adeguate anche ai sensi dell’art. 32 GDPR, definiamo le procedure di gestione degli incidenti e delle violazioni, supportiamo la scelta e la configurazione delle soluzioni di protezione (controlli di accesso, cifratura, backup) e verifichiamo nel tempo la loro efficacia. Inoltre, predisponiamo le procedure di gestione degli incidenti e delle violazioni di dati personali (artt. 33 e 34 GDPR), le policy sull’uso degli strumenti aziendali e le regole per l’autenticazione informatica e la gestione delle credenziali, curando la conservazione sicura delle password, la cifratura dei dati e gli altri controlli tecnici applicabili

Eroghiamo sessioni di sensibilizzazione del personale sui temi della cybersicurezza, dedicate a singole funzioni o all’intera popolazione aziendale. I programmi di awareness possono essere correlati a campagne di simulazione di phishing condotte con tecniche di ethical hacking ed integrati da un supporto nel monitoraggio dei comportamenti a rischio, nella misurazione del livello di consapevolezza raggiunto e nella definizione delle azioni correttive e formative conseguenti. Predisponiamo contenuti (materiale di sensibilizzazione di taglio divulgativo, simulazioni di situazioni possibili con personaggi di fantasia, testi normativi navigabili con l’ipertesto) destinati a confluire in piattaforme di e-learning con animazioni, sonoro, questionari a risposte multiple e con randomizzazione delle domande.
Siamo attivi anche nell’e-learning “chiavi in mano”, mediante una consolidata collaborazione con il nostro partner tecnologico Mediamed Interactive, con possibilità di offrire prodotti basati sulle più evolute e diffuse piattaforme di formazione a distanza consentendo al Cliente di fruire sia di prodotti standard a catalogo, sia di corsi tagliati su misura.
L’utilità della sensibilizzazione è ridurre il fattore di rischio umano, spesso principale vettore degli incidenti, rafforzando al contempo la cultura della sicurezza e la tenuta complessiva del sistema di controllo

Supportiamo il Cliente nella designazione degli amministratori di sistema, nella raccolta e nell’analisi dei log di accesso, nella definizione di metodologie di verifica del rispetto delle istruzioni impartite e degli obblighi previsti dal provvedimento del Garante, individuando eventuali anomalie e definendo le azioni correttive. Un controllo periodico dell’operato degli amministratori di sistema riduce l’esposizione a usi impropri, contestazioni e sanzioni e rafforza la tenuta complessiva del sistema di controllo.

Possiamo assistere il Cliente nella valutazione della sicurezza di singole applicazioni che trattano dati personali. Il servizio è personalizzato in ragione del numero e della criticità delle applicazioni e del settore di attività del Cliente, e può riguardare singoli applicativi o l’intero parco applicativo. Nell’erogarlo, valutiamo le misure di sicurezza adottate tramite checklist dedicate, individuiamo i gap rispetto alle linee guida ENISA e allo standard ISO/IEC 27001:2022 e definiamo le priorità di intervento e le misure correttive. Analisi come queste possono offrire una fotografia chiara del livello di sicurezza applicativa e un piano di miglioramento sostenibile, che riduce l’esposizione a vulnerabilità, contestazioni e sanzioni e rafforza la tenuta complessiva del sistema di controllo.

Siamo attrezzati a dare supporto nell’attuazione del principio di protezione dei dati e sicurezza fin dalla progettazione (art. 25 GDPR). Interventi in questo ambito sono svolti in sinergia con il Cliente e suoi eventuali fornitori e tengono conto della natura del progetto, del contesto IT e del settore di attività del Cliente. Possiamo dare supporto su singole iniziative o sull’intero ciclo di sviluppo di prodotti e servizi. Di solito, l’intervento comprende la valutazione di fattibilità, l’analisi del contesto tecnologico e dei flussi di dati, l’individuazione delle soluzioni tecniche e organizzative da adottare fin dalle prime fasi e il supporto nell’implementazione. L’utilità della protezione dei dati personali fin dalla progettazione è di prevenire criticità, costi di adeguamento successivi ed offrire al Cliente un apparato robusto in ottica di accountability in modo da ridurre l’esposizione a contestazioni e sanzioni e rafforzando la conformità dei prodotti e dei servizi sin dall’origine.

Affianchiamo il Cliente nella gestione delle problematiche di cybersicurezza e degli incidenti attraverso un’assistenza continuativa. Il servizio può riguardare il singolo evento o un presidio stabile di risposta agli incidenti. Mettiamo a disposizione una hotline dedicata, supportiamo l’analisi tecnica dell’attacco, l’adozione tempestiva delle azioni di contenimento e ripristino e la gestione delle violazioni di dati personali, curando le valutazioni e le notifiche previste dagli artt. 33 e 34 GDPR. Un’interazione continuativa col Cliente in questo ambito agevola una risposta rapida e coordinata agli incidenti, limita i danni, riduce l’esposizione a contestazioni e sanzioni e rafforza la resilienza complessiva dell’organizzazione.

Diamo consulenza nella messa a punto di procedure di continuità operativa e disaster recovery. Analizziamo i processi critici e i relativi impatti (business impact analysis), definiamo le strategie di continuità e ripristino, predisponiamo i piani di business continuity e disaster recovery richiesti dalla normativa, anche in allineamento allo standard ISO 22301, e ne supportiamo il collaudo periodico. Anche se l’obiettivo primario per il Cliente è rafforzare la propria resilienza complessiva, raggiungendo una buona capacità di reagire e di riprendere l’operatività in caso di incidente di sicurezza, un intervento solido e ben indirizzato in questi ambiti ha anche il pregio di ridurre l’esposizione a contestazioni e sanzioni.

Per la cybersecurity e la sicurezza dei dati, il servizio di Legal Desk offerto da netforLegaL ha un forte orientamento operativo. Come per l’assistenza legale, il nostro obiettivo è fare in modo che il Cliente possa contare costantemente sulla nostra disponibilità e, soprattutto, celerità. Il Servizio soddisfa l’esigenza di affidare in outsourcing la risoluzione delle problematiche legali nei contesti aziendali meno complessi e può rappresentare anche un valido supporto dell’ufficio legale interno nelle realtà più articolate.
L’intervento di un pool di professionisti senior – organizzati per aree di specializzazione – consente al Cliente di capitalizzare le esperienze consulenziali garantendo un costante aggiornamento normativo nel proprio settore di attività. Inoltre, l’approccio multidisciplinare assicura interessanti economie di scala.

Tra le nostre aree di intervento:

• Adeguamento alle misure di sicurezza ex art. 32 GDPR e ai principi di security by design;
• Supporto alla conformità ai quadri normativi di cybersicurezza (CRA, NIS2, DORA);
• Security assessment dei fornitori esterni e verifica dell’operato degli Amministratori di Sistema;
• Valutazione di sicurezza delle applicazioni e dei sistemi informativi;
• Cybersecurity awareness e formazione del personale;
• Gestione dei data breach e attivazione di hotline dedicate;
• Business continuity e disaster recovery (ISO 22301).

Il Servizio vede impegnato per ciascun Cliente un “legale di contatto”, che coordina gli interventi ed ha un rapporto costante con l’azienda. La presenza di tale figura determina:

• La crescita del rapporto fiduciario con il Cliente;
• La progressiva personalizzazione del servizio in virtù della sempre maggiore conoscenza acquisita del contesto aziendale;
• La garanzia di un presidio legale costante, che svolga anche attività di impulso verso il Cliente.

Relativamente alle modalità di offerta, la metodologia proposta è quella tipica dell’help desk: ossia, massima libertà e flessibilità per il Cliente di definire a monte un proprio budget annuo da destinare all’iniziativa in modo da sfruttarne al massimo le economie di scala.

Il tutto con il risultato atteso di trasformare quello che fino ad oggi – forse – è stato percepito come il costo della conformità normativa, in una assicurazione – o un investimento – nella serenità di fare le cose bene.