RSA, leader mondiale in ambito cybersecurity grazie alle sue soluzioni di Business-Driven Security, ha annunciato la disponibilità di nuovi prodotti che aiuteranno le aziende ad affrontare molte delle sfide legate alla conformità alle norme sulla privacy dei dati imposte dal Regolamento Generale sulla Protezione dei Dati dell’Unione Europea (GDPR).
L’offering di RSA Archer per la governance dei dati e la gestione dei programmi di privacy può essere abbinato a RSA NetWitness, per accelerare la risposta alle violazioni, e a RSA SecurID, per garantire un ulteriore controllo delle identità e degli accessi ai dati per ulteriori funzionalità di conformità.
Il GDPR costringe le aziende in tutto il mondo ad analizzare e rivedere il proprio approccio alla gestione e protezione dei dati in uno scenario cyber sempre più interconnesso. Un recente sondaggio promosso da PwC ha rivelato che oltre la metà delle multinazionali americane afferma che il GDPR è la loro principale priorità nell’ambito della protezione dei dati.
LA PRIVACY DEI DATI È UN RISCHIO DI BUSINESS
“Eravamo abituati a un mondo nel quale gli executive gestivano il business, l’IT si occupava dell’infrastruttura, la sicurezza definiva il perimetro e la compliance stabiliva le regole, ma normative come il GDPR stanno abbattendo quelle vecchie separazioni”, ha commentato Rohit Ghai, Presidente di RSA. “Il GDPR traduce il concetto di cyber-rischio sul piano del business, cambiando completamente le modalità con cui le aziende si rapportano ai dati dei propri clienti”.
- Il caso d’uso RSA Archer Data Governance aiuta le organizzazioni a documentare meglio i requisiti di governance dei dati per migliorare il supporto alle normative basate sui dati, come HIPAA, GLBA e GDPR.
- Il caso d’uso RSA Archer Privacy Program Management consente alle organizzazioni di gestire in modo olistico i programmi di privacy e allineare i processi alle normative, comprese le valutazioni sulla privacy e il monitoraggio dei casi di regolamentazione.
In definitiva, il GDPR non è solo un problema di governance, risk management e compliance (GRC), ma riguarda l’intera impresa e costringe le aziende ad adottare una posizione più solida in termini di sicurezza in quattro aree critiche: Risk Assessment, Breach Readiness, Data Governance e Compliance Management.
RISK ASSESMENT: COMPRENDERE IL RISCHIO INFORMATICO E DI BUSINESS
L’articolo 32 del GDPR illustra gli elementi di un processo di assesment della sicurezza per assicurare la corretta progettazione e implementazione dei controlli e dei rischi. Un efficace processo di valutazione dei rischi accelera l’individuazione del legame tra i rischi e controlli interni, riducendo le lacune nella conformità al GDPR e migliorando le strategie di mitigazione dei rischi, fornendo alle aziende anche una strategia che permetta loro di migliorare propria postura in termini di cybersecurity.
La RSA Archer Suite consente alle organizzazioni di gestire molteplici dimensioni del rischio con soluzioni basate su standard di mercato e su best practice in un’unica piattaforma software configurabile e integrata. Altri casi d’uso che supportano i processi critici correlati al GDPR includono:
- RSA Archer Security Incident Management consente di indirizzare il flusso, solitamente cospicuo, di alert di sicurezza e di implementare e governare un processo per scalare, investigare e risolvere gli incidenti di sicurezza.
- RSA Archer Security Operations and Breach Management estendono i processi legati alla gestione degli incidenti di sicurezza, aggiungendo il workflow sulla gestione di potenziali crisi o breach, oltre a supportare la gestione dell’intero team di security operation.
- RSA Archer Issues Management aiuta le organizzazioni a gestire le problematiche generate dagli assessment dei rischi, dei controlli e dagli audit.
- RSA Archer IT Risk Management velocizza l’identificazione dei rischi IT legati alla conformità al GDPR e migliora le strategie di mitigazione dei rischi di un’organizzazione.
- RSA Archer IT & Security Policy Program Management fornisce il framework per aiutare le organizzazioni a creare un sistema scalabile e flessibile per documentare e gestire le policy e le procedure di un’organizzazione in modo da supportare la compliance al GRPR.
- RSA Archer IT Controls Assurance fornisce il framework e la relativa tassonomia per aiutare le organizzazioni a documentare sistematicamente lo scenario di controllo del GDPR, consentendo alle organizzazioni di valutare e segnalare le performance e l’efficacia dei controlli a livello gerarchia e di processi di business.
- RSA Archer Third Party Catalog supporta la documentazione delle relazioni e dei rapporti con le terze parti, al fine di tracciare i soggetti esterni legati al GDPR.
BREACH RESPONSE: UN’EFFICACIA RISPOSTA RICHIEDE VISIBILITA’
Obiettivo principale dei team di sicurezza è ovviamente prevenire le violazioni, ma purtroppo queste possono sempre accadere. L’articolo 33 del GDPR definisce i requisiti specifici per la notifica di una violazione dei dati personali all’autorità di controllo, aspetto che richiede una comprensione piena di tutti i dettagli che hanno caratterizzato la breach dei dati.
Inoltre, il GDPR richiede la capacità di gestire la notifica all’autorità, generalmente entro 72 ore dalla scoperta della breach. Presentata a luglio, la nuova release della suite RSA NetWitness Suite, è in grado di scandagliare l’intera infrastruttura IT per identificare gli indicatori di un attacco sfruttando l’analisi comportamentale e il machine learning per comprendere meglio lo scopo e la natura della breach, migliorando la visibilità sulla sequenza di attacco e rendendo più rapida la notifica.
DATA GOVERNANCE SIGNIFICA IDENTITY MANAGEMENT
Un altro elemento critico della conformità al GDPR è controllare chi ha accesso ai dati personali. Le organizzazioni devono proteggere le informazioni di identificazione personale (PII) e devono essere in grado di dimostrare la dovuta scrupolosità nel tenere registri accurati delle attività di elaborazione, comprese le categorie di dati personali trattati, le finalità di elaborazione, i trasferimenti a paesi terzi al di fuori dello spazio economico europeo nonché le misure di sicurezza tecniche e organizzative pertinenti.
La suite RSA SecurID, che comprende RSA SecurID Access e RSA Identity Governance e Lifecycle, abilita organizzazioni di ogni dimensione e maturità di ridurre al minimo il rischio legato alle identità e di consentire un accesso semplice e sicuro ai propri dipendenti. Sfruttando tecniche di risk analytics coadiuvate da informazioni di contesto, SecurID® assicura l’accesso corretto alle persone autorizzate, da qualsiasi punto e da qualsiasi dispositivo. Questi prodotti svolgono un ruolo fondamentale per supportare le organizzazioni ad affrontare la necessità fondamentale di identity e di access assurance.
PROGRAM MANAGEMENT: LA COMPLIANCE NON È IL PUNTO D’ARRIVO
Un programma di compliance management crea un ambiente scalabile e flessibile per documentare e gestire le policy, le procedure, gli standard e i controlli legati al GDPR. Tuttavia, lo status di conformità al GDPR, come la sicurezza aziendale, può cambiare da un momento all’altro e rappresenta un obiettivo dinamico.
La RSA Risk and Cyber Security Practice offre una gamma di servizi strategici, progettati per aiutare i clienti a sviluppare un approccio alla sicurezza di tipo business-driven, per creare un security operation center (SOC) avanzato e rivitalizzare il proprio programma di GRC. A completamento di un robusto offering, RSA fornisce anche il supporto per le fasi di implementazione e post-implementazione in modo che i clienti possano massimizzare l’investimento esistente nei prodotti RSA.
- RSA Risk Management Practice fornisce servizi strategici di consulenza per ottimizzare il programma di governance, risk e compliance di un’organizzazione. Offre, inoltre, personale qualificato per pianificare, implementare, distribuire e aggiornare i prodotti e i servizi RSA, inclusa la Suite di RSA Archer.
- RSA Advanced Cyber Defense Practice supporta i team di sicurezza a sviluppare processi, procedure, workflow e automazioni che facilitano una risposta pronta e decisiva alle breach e ad altri incidenti cyber.
- RSA Incident Response Practice supporta le organizzazioni nel rispondere alle breach di sicurezza nell’ottica di soddisfare il requisito di notificare entro 72 ore l’incidente avvenuto, come richiesto dal GDPR.
- RSA Identity Assurance Practice aiuta le organizzazioni a pianificare e implementare programmi completi per la gestione degli accessi ai dati più rilevanti ai fini del GDPR. Con una comprensione reale di chi accede e a cosa, le organizzazioni possono prendere decisioni consapevoli sugli accessi, predisporre una migliore attività di analisi del rischio e soddisfare i mandati di compliance.
Grazie a un processo strutturato e gestito che consente di affrontare le problematiche individuate durante i test di controllo, le organizzazioni ottengono visibilità sui rischi e possono affrontarli tempestivamente. Le organizzazioni potranno così reagire più rapidamente alle problematiche emergenti, creando un ambiente maggiormente proattivo e resiliente e riducendo allo stesso tempo i costi legati alla conformità al GDPR.
