La norma ISO 27001 è un ben noto framework che aiuta le aziende nella protezione di tutte le informazioni all’interno dei processi aziendali. La ISO 27001 copre tutte le informazioni aziendali e non si applica solamente ai dati personali, pertanto in ottica GDPR, avere un sistema di gestione delle informazioni certificato non garantisce la compliance con il GDPR.
La famiglia ISO/IEC 27000 porta con sé molte linee guida che aiutano nell’implementazione del sistema, in particolare la ISO 27018 stabilisce obiettivi di controllo, controlli e linee guida comunemente accettati per attuare misure di protezione delle informazioni di identificazione personale in ambito cloud. Molti dei controlli incrociati tra ISO 27001 e ISO 27018 aiutano notevolmente nel raggiungimento della compliance.
Vediamo quali.
- Valutazione dei rischi: nella ISO 27001 la valutazione e il trattamento dei rischi è criterio fondamentale per il raggiungimento e la soddisfazione dello standard. Il GDPR, secondo il principio di accountability, stabilisce che chi tratti dati personali debba effettuare valutazione dei rischi che incombono sui dati personali, soprattutto nei casi in cui siano previste nuove tecnologie (art.35), creando un parallelismo con le richieste della ISO 27001. ISO 27001 che prevede di base un controllo specifico (Annex 8.2.1 classificazione delle informazioni) dove la richiesta è che le informazioni debbano essere classificate in relazione al loro valore, ai requisiti cogenti e alla criticità in caso di divulgazione o modifica non autorizzata, con i dati personali che ovviamente rivestono una priorità critica all’interno del sistema.
- Conformità: la ISO 27001 richiede (controllo 18.1.1) l’identificazione delle leggi applicabili al sistema di gestione, questo comporta che sia obbligatorio per rispondere al requisito che vi sia un elenco di requisiti legislativi, statutari e regolamentari a cui il sistema deve rispondere. Se l’azienda deve rispondere ai requisiti cogenti imposti dal GDPR, anche per la 27001 dovranno essere presenti determinate azioni. Se addirittura l’azienda non è sotto l’influenza del GDPR, sarà in ogni caso il controllo 18.1.4 a richiedere l’implementazione di una politica che protegga le informazioni di identificazione personali. Per i fornitori di servizi in cloud, il controllo 11.1 della ISO 27018 richiederà invece la presenza di accordi per il trasferimento internazionale di dati (in analogia con quanto richiesto sempre dal GDPR).
- Gestione delle violazioni: nei controlli 16.1 la ISO 27001 prevede l’implementazione di controlli che permettano la gestione degli incidenti e una migliore gestione della risposta agli stessi. Parallelamente il GDPR impone la comunicazione all’autorità entro 72 ore nei casi di violazione dei dati personali con anche la comunicazione agli interessati circa la violazione subita. La ISO 27018 prevede addirittura nel controllo 9.1 raccomandazioni specifiche per la gestione degli incidenti.
- Privacy by design: il requisito già espresso nel GDPR è fondamentale nella gestione di un sistema ISO 27001, regolato dai controlli 14.x come parte integrante. La 27018 raccomanda invece la gestione dei file inserendo sempre anche la cancellazione sicura degli stessi come requisito.
- Rapporti con i fornitori: nella ISO 27001 il controllo 15.1 indirizza il rapporto con i fornitori che trattano informazioni in maniera precisa, la 27018 addirittura raccomanda la definizione precisa delle responsabilità dei fornitori, subappaltatori e clienti. Il GDPR richiede anche in questo caso la creazione di accordi formali nel trattamento di dati personali da parte dei fornitori.
È sufficiente l’adozione della ISO 27001?
Sicuramente, oltre all’implementazione dei controlli tecnici sui sistemi, un’organizzazione con un SGSI basato su ISO 27001 ha un metodo di lavoro meno esposto a violazioni di dati e attori in gioco decisamente più attenti e consapevoli dei rischi nonché più formati sulle azioni da intraprendere nel caso in cui tali situazioni possano verificarsi. L’integrazione delle richieste del GDPR in un SGSI sarà sicuramente molto più semplice se non addirittura già implementata e solamente da formalizzare. Le linee guida della famiglia ISO 27000 sono un’ottima base di partenza nell’allinearsi alle richieste del GDPR ed in particolare la ISO 27018 offre notevoli spunti di implementazione.
Considerare il GDPR come un sistema di gestione trattamentocentrico aiuta sicuramente l’organizzazione a visualizzare azioni e reazioni da mettere in atto durante tutto il flusso della gestione dei dati personali, dall’acquisizione fino alla conclusione della finalità.
Conclusioni
L’implementazione della ISO 27001 copre la maggior parte dei requisiti del GDPR dell’UE; tuttavia, alcuni controlli dovrebbero essere adattati per includere i dati personali nel suo sistema di gestione della sicurezza delle informazioni. L’organizzazione che desidera implementare un SGSI e allo stesso tempo conformarsi al GDPR dovrebbe iniziare da una GAP analysis e determinare obiettivi, situazione attuale rispetto ai requisiti e tutte quelle azioni che potrebbero mancare o essere implementate nel proprio workflow aziendale.
Oltre a quanto previsto per l’implementazione della ISO 27001, alcune misure ulteriori devono essere incluse affinché un’organizzazione, titolare del trattamento o responsabile del trattamento, possa garantire la conformità con il GDPR, come le procedure per garantire l’esercizio dei diritti dei dati soggetti, meccanismi per il trasferimento di dati al di fuori dell’UE, contenuto minimo della eventuale valutazione d’impatto sulla protezione dei dati e procedure da seguire in caso di violazione dei dati personali. Tutti questi controlli possono essere facilmente integrati nel sistema di gestione della sicurezza delle informazioni, consentendo la garanzia della conformità legale e il miglioramento continuo, anche maggiormente rispetto a quanto previsto dal semplice GDPR in quanto un SGSI certificato sarà sottoposto a controlli di sorveglianza da parte di ente terzo che verificherà annualmente oltre al mantenimento dei requisiti anche il continuo miglioramento.
