Quando i funzionari della pubblica sicurezza di Shenzhen hanno individuato 19 falle nella sicurezza informatica delle attività di Walmart in Cina, hanno emesso un avviso ufficiale, sostenendo che il più grande rivenditore al dettaglio del mondo avesse violato le leggi nazionali in materia di sicurezza informatica. Le autorità cinesi non hanno comminato alcuna sanzione, ma hanno comunque ordinato a Walmart di colmare le lacune. Quell'ordine era un avvertimento, e non solo per Walmart.
Le multinazionali che operano nella seconda economia mondiale sono ora in stato di massima allerta, poiché si trovano ad affrontare un controllo più rigoroso per garantire il rispetto delle nuove leggi in materia di sicurezza informatica e tutela della privacy.
Le nuove norme sulla protezione dei dati sono entrate in vigore nell’autunno del 2021, ma, secondo gli osservatori, Pechino non ha ancora fornito molti dettagli al riguardo. La controversa Legge sulla sicurezza dei dati (DSL) e la Legge sulla protezione dei dati personali (PIPL) definiscono alcune metodologie e norme di alto livello in materia di gestione e protezione dei dati destinate alle agenzie governative, alle aziende e alle organizzazioni, limitando in particolare i trasferimenti di dati al di fuori della Cina. L’ultima volta che è stata avviata un’iniziativa simile risale al 2017 , con l’entrata in vigore della Legge sulla sicurezza informatica della Repubblica Popolare Cinese ( ), che imponeva l’archiviazione dei dati a livello locale in Cina e introduceva controlli di sicurezza a carico delle imprese. Ciò ha causato una grande confusione a causa della sua ambiguità.
Per le multinazionali, la questione non riguarda semplicemente ciò che accade loro in Cina. Il fatto è che destreggiarsi tra normative globali disparate in materia di conformità e integrità dei dati è diventato sempre più complesso
e costoso.
«Elaborare un programma che sia conforme alle normative a livello globale è un vero e proprio rompicapo», afferma Kenneth Citarella, amministratore delegato senior responsabile delle indagini presso Guidepost Solutions, società che offre soluzioni di conformità e consulenza in materia di sicurezza e tecnologia. Da quando l’Unione Europea ha adottato il suo fondamentale Regolamento generale sulla protezione dei dati (GDPR) nel 2016, sono entrate in vigore leggi rigorose in materia di protezione dei dati anche negli Stati Uniti, in Russia e in Cina.
«È un vero e proprio rompicapo elaborare un programma che sia conforme a livello globale.»Kenneth Citarella, amministratore delegato senior responsabile delle indagini presso Guidepost Solutions
La “proliferazione normativa” in materia di protezione dei dati sta aumentando i costi delle attività commerciali a livello globale e sta mettendo in evidenza la necessità di una visione completa e in tempo reale dell’intero profilo di rischio di un’azienda, al fine di gestire in modo efficace la conformità agli standard internazionali più recenti.
«Se si considera la conformità dal punto di vista con cui gli esperti di sicurezza stanno iniziando a considerarla, essa rappresenta una minaccia», afferma J.R. Cunningham, CSO di Nuspire, un fornitore di servizi di sicurezza con sede negli Stati Uniti che opera per conto di multinazionali. «Se non si rispetta la normativa, ciò costituisce una minaccia per il vostro marchio.» «Ciò comporta un potenziale di perdita di entrate e una passività finanziaria».
La portata della conformità a livello globale
Negli ultimi anni, i giganti dell’alta tecnologia quali Facebook, Google e
Apple sono stati oggetto di un’attenta sorveglianza e hanno ricevuto sanzioni da parte delle autorità di regolamentazione europee a causa delle modalità con cui trattano i dati personali degli utenti. Recentemente, l’autorità austriaca per la protezione dei dati ha accusato Google Analytics di aver violato il “ GDPR ”, in quanto avrebbe trasferito dati relativi al sito web negli Stati Uniti senza adeguate misure di protezione.
": se non si rispetta la normativa, ciò costituisce una minaccia per il proprio marchio." Ciò comporta un potenziale di perdita di entrate e una passività finanziaria.”J.R. Cunningham, Direttore della sicurezza (CSO), Nuspire
Naturalmente, la pressione derivante dall’obbligo di rispettare le normative in materia di privacy e sicurezza informatica non riguarda solo le grandi aziende occidentali. Tutte le aziende del mondo sono tenute a rispettare il regolamento “ GDPR ” qualora operino in Europa. Devono inoltre rispettare le normative vigenti in altre giurisdizioni, come il California Consumer Privacy Act (CCPA), che impone restrizioni sul trattamento dei dati a tutte le aziende operanti in uno Stato in cui hanno sede molte delle più grandi aziende tecnologiche del mondo.
Non è possibile stabilire se l’attenzione rivolta dalla Cina alle multinazionali come Walmart sia in parte una ritorsione nei confronti delle indagini condotte dal governo statunitense su TikTok, la società cinese di social media in rapida crescita, con oltre 1 miliardo di utenti in tutto il mondo.
Al momento non è chiaro se le multinazionali presenti in Cina saranno soggette a sanzioni nel caso in cui si verifichino attacchi “zero-day” riusciti, derivanti dall’attacco hacker “ Log4j ” o dai numerosi attacchi ransomware “ ” che hanno compromesso le attività aziendali in tutto il mondo. «Tali norme non sono state ancora definite nei dettagli: tutti stanno aspettando che si concretizzi la situazione», afferma Citarella di Guidepost.
[Leggi anche: Linee guida per affrontare la vulnerabilità Log4j e prepararsi alla prossima]
L’organizzazione di Citarella si occupa, ad esempio, di indagare su operazioni di trading e transazioni per conto di clienti bancari internazionali; le giurisdizioni nazionali rivestono un ruolo fondamentale nel determinare quali dati la sua società possa raccogliere e con chi possa condividerli. Egli afferma che il processo di conformità inizia chiedendosi cosa stia facendo un’azienda con i dati e se questi ultimi vengano trasferiti oltre confine. «Bisogna entrare nei minimi dettagli», afferma.
Non esistono software già pronti in grado di automatizzare tali decisioni, ma vi sono misure che le aziende possono adottare per monitorare i rischi in tempo reale e garantire la conformità. Citarella raccomanda le seguenti strategie:
- Comprendete gli standard di sicurezza dall’origine fino alla fine della catena di fornitura dei dati, in particolare se state trasferendo i dati a un’altra azienda.
- Verifichi chi siano i Suoi utenti autorizzati e ne effettui la verifica.
- Limiti l'accesso a esclusivamente ai dati di cui l'utente ha bisogno.
Il raggiungimento della conformità ai rischi in tempo reale dipende da ulteriori elementi di sicurezza dei dati, tra cui: endpoint la valutazione del rischio in tempo reale, la scansione remota autenticata dei dispositivi di rete, un approccio segmentato al benchmarking dei rischi all’interno di un’azienda, solidi controlli di accesso basati sui ruoli e l’applicazione automatizzata delle patch .
[Leggi anche: Che cos’è la gestione delle vulnerabilità?]
Le sfide e i problemi legati alla conformità «crescono proporzionalmente alle dimensioni dell’azienda», afferma Cunningham di Nuspire. «Più complesso è l’utilizzo che fate dei dati personali, maggiori sono le risorse che dovete impiegare per garantire la conformità alle leggi sulla privacy.»
Non c'è privacy senza sicurezza informatica
La tendenza globale è chiara: i governi non lasciano più la tutela della privacy e la sicurezza informatica esclusivamente nelle mani delle imprese. La posta in gioco è troppo alta. A seguito dell’attacco del 2021 alla Colonial Pipeline, l’Amministrazione per la sicurezza dei trasporti degli Stati Uniti (TSA) ha emanato nuove norme in materia di sicurezza informatica e verifiche relative alle condutture. La conformità non è più facoltativa e le aziende rischiano sanzioni in caso di mancato rispetto delle nuove normative.
«[Dobbiamo] prendere sul serio la questione della riservatezza dei dati. Non riusciremo a sfuggire a questa situazione.”Charles Denyer, ex consulente per la sicurezza informatica del Dipartimento della Difesa ed esperto di sicurezza nazionale
Oltre a comportare il pagamento di sanzioni, una gestione inadeguata dei dati dei consumatori e dei clienti, ad esempio, potrebbe compromettere la copertura assicurativa in materia di sicurezza informatica di un’azienda, afferma Cunningham. «Il settore assicurativo sta iniziando a prestare attenzione e a porre domande molto dettagliate alle aziende prima di sottoscrivere polizze assicurative contro gli attacchi informatici di tipo “ ”», afferma. Inoltre, le compagnie assicurative desiderano verificare che “siano state adottate misure di sicurezza informatica e di tutela della privacy prima di stipulare una polizza”.
Dopotutto, sostiene Cunningham, «non esiste privacy senza sicurezza informatica». Questo rapporto simbiotico ha portato a un “miglioramento netto del livello di sicurezza delle organizzazioni che detengono dati personali che devono essere protetti”. «Ma, ancora una volta, ciò comporta certamente un costo.»
Una delle voci di spesa più consistenti è quella legale.
«Le organizzazioni che devono comprendere queste rigide leggi sulla protezione dei dati stanno sostenendo costi legali aggiuntivi», afferma Charles Denyer, ex consulente per la sicurezza informatica del Dipartimento della Difesa ed esperto di sicurezza nazionale con sede ad Austin, in Texas. «La complessità risiede nella comprensione delle normative e dei costi connessi, sia quelli una tantum che quelli ricorrenti.»
[Leggi anche: 6 priorità in materia di sicurezza informatica per il 2022]
In definitiva, avverte Denyer, le organizzazioni «devono prendere sul serio la questione della riservatezza dei dati nel mondo di oggi». Un programma sulla protezione dei dati deve disciplinare le modalità con cui un’azienda utilizza, archivia, condivide e elimina i dati provenienti sia dall’interno che dall’esterno della propria organizzazione. Il controllo, afferma, non potrà che aumentare. «Non riusciremo a sfuggire a questa situazione.»
