GDPR: il primo passo per mettersi in regola? Sapere dove si è vulnerabili

Il GDPR sarà in vigore dal 25 maggio: Manuel Cacitti, CEO di Securbee, ricorda: "Molto spesso le aziende scoprono di gestire dei dati personali che nemmeno sapevano di avere"

Pubblicato il 21 maggio 2018

Mancano solo pochi giorni ed entrerà in vigore il GDPR, il Regolamento europeo per la protezione dei dati personali. Dal 25 maggio chi non si adegua sarà passibile di sanzioni, teoricamente fino a 20 milioni di euro e fino al 4% del fatturato per le violazioni più gravi. Ma è un dato di fatto che molte aziende non siano pronte: “Manca ancora il giusto grado di consapevolezza, in particolare nelle realtà piccole e medie che operano in settori distanti dall’informatica e dalla tecnologia. Alcune addirittura sono convinte che il GDPR non le riguardi, ma è sbagliato: qualsiasi impresa tratta dati personali, a partire da quelli dei dipendenti, fino a quelli di fornitori e clienti”. A spiegarlo è Manuel Cacitti, consulente strategico fra i maggiori esperti italiani del settore, nonché fondatore e CEO di Securbee, società di Udine che si occupa di servizi di sicurezza informatica nata a fine 2017.

Negli ultimi mesi Securbee, che collabora con una cinquantina di clienti soprattutto nel Nord e Nord-Est, è stata sommersa di richieste da parte di aziende di ogni settore che stanno correndo ad adeguarsi alle nuove regole. Tanto che la società, che al momento conta cinque dipendenti, ha attivato la ricerca di altri tre esperti di IT e di diritto, proprio per far fronte alla crescente domanda di consulenza e servizi nell’ambito della sicurezza e della protezione dei dati.
“Ovviamente chi si è mosso all’ultimo momento non sarà pronto per il 25 maggio, ma non è questo il problema più grave” spiega Cacitti. “È però il momento di cogliere l’occasione per intervenire in un ambito che, se non affrontato con serietà, può compromettere business e competitività”. Tra furti di dati, spionaggio e ransomware (cioè quando un computer viene “preso in ostaggio” e viene chiesto un riscatto per ridarne il controllo al proprietario), si stima che in Italia il cybercrimine causi danni per 10 miliardi di euro l’anno (Rapporto Clusit 2018): “E non c’è solo il danno economico diretto” sottolinea Cacitti “ma anche quello reputazionale presso clienti, partner e fornitori che subiscono interruzioni del servizio o scoprono che i dati che li riguardano sono stati persi o trafugati”.

La prima cosa da fare per mettersi in regola, quindi, è capire dove si è carenti rispetto al regolamento. Per questo Securbee ha messo a punto un servizio di GDPR Check Assessment che ha l’obiettivo di determinare il grado di conformità di un’organizzazione rispetto a quanto previsto dalla normativa. “Si parte acquisendo informazioni e documenti che aiutano a capire come vengono gestiti i dati personali in azienda” spiega il CEO di Securbee. “Per esempio codici di condotta, informative, documenti programmatici sulla sicurezza, regolamenti interni sull’uso di computer, telefoni ecc.”. Si passa poi alle interviste con responsabili delle varie aree (finanza, amministrazione, IT, HR e direzionale) per verificare le procedure in essere (flusso buste paga, CRM, dati dei dipendenti). Da qui parte l’attività di data mapping che permette di scoprire quanti e quali dati personali ci sono effettivamente nell’organizzazione e come vengono trattati: “Molto spesso l’azienda scopre di gestire dei dati personali che nemmeno sapeva di avere!” commenta Cacitti.

Alla fine della valutazione, Securbee consegna un report di 40-70 pagine sul grado di conformità al GDPR che contiene proposte di miglioramenti, osservazioni e raccomandazioni. Che ha un grande vantaggio: è basato su competenze trasversali (legali, tecnologiche, organizzativo-procedurali). “Abbiamo scelto questo approccio” spiega Cacitti “perché per il cliente significa meno stress, meno complessità da gestire e risparmio, al contrario di quanto avviene di solito facendo fare valutazioni separate per i vari ambiti”. Le informazioni sono organizzate in modo chiaro, anche attraverso dei grafici comprensibili non solo al reparto tecnico dell’azienda, ma a tutto il management. “Perché la sicurezza informatica” conclude Cacitti “è una questione prima di tutto culturale, che richiede consapevolezza e condivisione a ogni livello dell’azienda”.

L’AI enterprise si scontra con nuovi limiti: ricerca NTT Data sulle barriere legate a privacy e sovranità dei dati
NTT Data ha pubblicato la ricerca A Playbook for Private and Sovereign AI (Guida pratica per l’AI privata e sovrana) che sintetizza il “Report globale 2026 sull’intelligenza artificiale”, evidenziando come l’intelligenza artificiale aziendale stia superando i limiti dell’architettura e...
Manifatturiero italiano sotto attacco: ecco il paradosso che i dati non raccontano
“Never touch a running system”: è il principio non scritto che governa la gestione dei macchinari in molti stabilimenti italiani. Non per resistenza al cambiamento, ma perché ogni intervento può avere un costo operativo immediato e, a volte,...
Cybersecurity: il 2026 sarà l’anno dell’industrializzazione del cybercrime
Il 2026 sarà l’anno in cui il cybercrime diventerà completamente industrializzato. Il dato emerge da “The AI-fication of Cyberthreats – Trend Micro Security Predictions for 2026”, l’ultimo studio dedicato alle minacce informatiche di TrendAI, business unit di...
Incidenti informatici in aumento nel primo semestre 2025 secondo i dati del Rapporto Clusit
Nei primi sei mesi del 2025 sono stati 2.755 gli incidenti cyber rilevati nel mondo dai ricercatori di Clusit, Associazione Italiana per la Sicurezza Informatica (Lo studio si basa sull’analisi di incidenti cyber di pubblico dominio, che hanno...
Security Summit Streaming Edition 2025: le nuove sfide della cybersecurity
Gli incidenti, le finalità e le tecniche utilizzate, i settori più colpiti e le nuove minacce emergenti: a Security Summit Streaming Edition 2025 si partirà dai dati del Rapporto Clusit, alla sua seconda edizione del 2025, per l’analisi...
I deepfake sono ormai lo standard per frodi, furti di identità e truffe alle aziende
Gli strumenti di intelligenza artificiale generativa sono sempre più potenti, convenienti e accessibili e i cybercriminali li utilizzano ormai in ogni tipologia di attacco, dalle frodi aziendali alle estorsioni e furti di identità. Lo rivela “Deepfake it...
Sanità bersaglio dei cybercriminali: dati presentati da Clusit
La sanità continua a essere tra gli obiettivi privilegiati degli attacchi informatici a livello mondiale. Secondo i più recenti dati Clusit, l’Associazione Italiana per la Sicurezza Informatica, presentati nel corso di Healthcare Security Summit, nel 2024 sono...
Cybersecurity, in Italia nel 2024 più attacchi e minacce sofisticate
Nel corso del 2024 le minacce informatiche che hanno colpito l’Italia si sono fatte più numerose, più sofisticate e, soprattutto, più mirate. È il quadro che emerge dal primo ‘Cyber Security Report’ pubblicato da Tim e dalla...
Ma Starlink, ovvero il dominio americano sui dati, è davvero indispensabile per l’UE?
Starlink, la rete satellitare di Elon Musk che connette telematicamente tutto il mondo a buon mercato, sta iniziando a invadere l’Italia. Per ora è ancora un fenomeno di nicchia, ma destinato a esplodere. Nelle aree rurali e...
Cybersecurity: il 2025 sarà l’anno dei gemelli digitali cattivi
Nel 2025 gli attacchi informatici che sfruttano l’intelligenza artificiale diventeranno sempre più personalizzati e colpiranno attraverso truffe e attacchi di phishing altamente sofisticati. I cybercriminali utilizzeranno le informazioni trafugate online per addestrare i LLM a imitare gli...