La sicurezza nella pratica.

La revisione degli accessi deve identificare persone, ruoli, sistemi e autorizzazioni. Concordare autenticazione multifattore, privilegi, gestione dei segreti e revoca. Prima dell’accettazione richiedere evidenze di configurazione e data dell’ultima verifica.

Per ogni flusso documentare cifratura in transito e a riposo, dispositivi, chiavi e conservazione. Includere log, backup e accessi del supporto. Registrare eccezioni e responsabili: una politica da sola non dimostra l’attuazione.

Le verifiche dipendono dal rischio del sistema. Il perimetro deve indicare revisione architetturale, controlli automatici, dati di valutazione e test indipendenti necessari. Specificare esecutori, ambienti, criteri di accettazione ed effetto dei rilievi aperti sul rilascio.

Il luogo in cui i dati possono essere elaborati è una decisione sull'architettura presa alla prima revisione di ogni mandato, scritta nel registro dell'architettura e applicata dalla progettazione piuttosto che da un documento politico. Il registro nomina il territorio legale di ogni componente che detiene i dati del cliente, l'entità che lo gestisce e le persone che possono accedervi. Se un componente si trova in un territorio non scelto dal cliente, la progettazione è sbagliata.

Separare orchestrazione e dati del cliente può ridurre l’esposizione, ma il confine va verificato. Identità, prompt, telemetria e supporto possono contenere dati personali. Documentare ogni flusso transfrontaliero e le relative protezioni tecniche e contrattuali.

Svizzera, Unione europea, Stati Uniti, infrastruttura interna e cloud sovrano sono opzioni da valutare. La disponibilità dipende da componenti, licenze e capacità operativa. Mappare anche chiamate ai modelli, identità, log, backup e supporto remoto.

La privacy è progettata piuttosto che dichiarata. Ogni mandato che riguarda i dati personali inizia con una mappa dei dati e, laddove è probabile che il trattamento presenti un rischio elevato, una valutazione d’impatto sulla protezione dei dati scritta come un documento di progettazione piuttosto che come un ripensamento sulla conformità. La valutazione nomina le finalità, le basi giuridiche, i periodi di conservazione e i diritti degli interessati, e viene aggiornata quando cambia il sistema.

I dati personali sono ridotti al minimo al confine: redatti o pseudonimizzati prima che raggiungano un modello a meno che lo scopo non richieda diversamente, e mai utilizzati per addestrare o valutare un modello che serve a qualcun altro. Suggerimenti, risultati, trascrizioni e registrazioni vengono conservati solo per il periodo concordato con il mandato e il programma di eliminazione viene implementato, testato ed evidenziato anziché descritto.

Quando l'azienda tratta i dati personali per conto di un cliente, lo fa in qualità di responsabile del trattamento ai sensi di un accordo sul trattamento dei dati che nomina i sub-responsabili del trattamento, i territori, le misure di sicurezza e i diritti di audit. Laddove l'azienda sia titolare del trattamento, così come per le richieste inviate tramite il presente sito, l'informativa privacy definisce integralmente il trattamento.

Preparate un registro dei fornitori di hosting, modelli, identità, comunicazioni e assistenza. Indicate ruolo, finalità, territori, ulteriori fornitori e garanzie contrattuali. Concordate esame e comunicazione delle modifiche. Richiedete il registro completo prima di condividere dati; il sito non ne dimostra l’esistenza per il progetto.

Fornitori, finalità, luoghi di trattamento e garanzie devono essere indicati prima di condividere dati. Un registro vuoto non dimostra l’assenza di terzi.

Il piano degli incidenti deve indicare contatti, gravità, notifiche e ripristino, documentando gli ultimi test e le questioni aperte.

I clienti vengono informati degli incidenti che riguardano i loro dati entro il periodo fissato nel loro contratto e in ogni caso entro il tempo richiesto dalla legge applicabile, con ciò che è noto, ciò che non è ancora noto e ciò che si sta facendo. Laddove una violazione dei dati personali debba essere segnalata a un'autorità di controllo, l'azienda supporta la segnalazione del cliente con le prove di cui ha bisogno. Ogni incidente si conclude con una revisione scritta, condivisa con il cliente interessato, che nomina la causa e il cambiamento che ne impedisce il ripetersi.

Il contratto deve nominare responsabili, sostituti disponibili, accessi e obblighi di passaggio di consegne. Risorse e continuità dipendono dal perimetro e devono essere documentate prima dell’avvio.

Sedi dei backup, obiettivi di ripristino e test devono essere registrati per sistema. Un secondo fornitore o territorio è usato solo se i requisiti concordati lo consentono.

L'uscita è prevista all'inizio di ogni impegno. Fonte, modelli, suggerimenti, indici, documentazione e dati vengono forniti in formati aperti su richiesta e alla fine; viene offerto un periodo transitorio alle condizioni esistenti; e la cancellazione delle copie aziendali è certificata per iscritto.

Gli obblighi dipendono da cliente, utilizzo e giurisdizioni. Identificare leggi e requisiti di vigilanza, associarli ai controlli proposti e registrare evidenze e lacune. Citare un quadro non dimostra conformità o certificazione.

I quadri sono qui citati per nome e obbligo. L'azienda non rivendica una certificazione che non possiede e la sezione delle certificazioni di seguito è compilata in base alla documentazione piuttosto che alle ambizioni.