Le aziende interconnesse di oggi devono affrontare un numero sempre crescente di minacce alla sicurezza informatica e di requisiti di conformità normativa. Da un punto di vista tecnico, la conformità IT consiste nel modo in cui la vostra organizzazione allinea i propri sistemi e le proprie pratiche informatiche (IT) alle leggi, alle normative di settore e agli standard pertinenti.
Un solido approccio alla conformità informatica è fondamentale per affrontare questa sfida sempre più impegnativa, sia dal punto di vista informatico che normativo. Ammettiamolo: le conseguenze della mancata conformità sono gravi e vanno da multe ingenti e azioni legali a danni irreparabili alla reputazione della vostra azienda.
Questa guida illustra le differenze fondamentali tra conformità IT e conformità in materia di sicurezza IT, spiega perché dare priorità alla conformità IT sia essenziale per il successo della vostra organizzazione attraverso l’analisi di esempi concreti, fornisce una panoramica dei principali tipi di conformità da conoscere e approfondisce poi quali siano gli elementi essenziali per la creazione di un programma di conformità IT efficace.
Definizione di conformità IT
In sostanza, la conformità IT consiste nell’allineare i sistemi, i processi e le politiche IT della vostra organizzazione alle leggi, alle normative di conformità e agli standard di settore pertinenti, attraverso l’implementazione di misure di sicurezza adeguate, la tenuta di registri accurati e lo svolgimento di verifiche periodiche e la redazione di rapporti sullo stato di conformità.
I requisiti di conformità informatica possono variare notevolmente a seconda del settore, dell’ubicazione e del tipo di dati trattati. Ad esempio:
- Le organizzazioni sanitarie devono attenersi alla legge sulla portabilità e la responsabilità in materia di assicurazione sanitaria (HIPAA) al fine di tutelare la privacy dei pazienti
- Gli istituti finanziari devono attenersi allo standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS) per garantire la sicurezza delle transazioni con carta di credito
- Le organizzazioni che collaborano con il Dipartimento della Difesa degli Stati Uniti devono soddisfare i requisiti previsti dalla Certificazione del Modello di Maturità in materia di Sicurezza Informatica (CMMC) dell’ al fine di salvaguardare le informazioni non classificate soggette a controllo (CUI)
Il mancato rispetto di tali requisiti può comportare sanzioni significative, azioni legali e danni alla reputazione.
Conformità informatica e conformità in materia di sicurezza
Sebbene l'informatica e la conformità in materia di sicurezza siano strettamente correlate, non sono la stessa cosa.
Il termine “ ” in ambito IT si riferisce generalmente a leggi, regolamenti e linee guida in materia di sicurezza informatica specifici relativi all’ambiente IT di un’organizzazione. Ciò comporta la garanzia che i sistemi e i processi siano conformi a specifici standard stabiliti dagli organismi di regolamentazione, quali le leggi sulla protezione dei dati come l’ GDPR, le normative finanziarie quali l’ PCI DSS e altre normative specifiche del settore come l’HIPAA. La conformità informatica si concentra in genere sulla gestione dei sistemi e dei dati degli utenti al fine di soddisfare i requisiti legali e normativi.
D'altra parte, la conformità in materia di sicurezza informatica IT security compliance è considerata un sottoinsieme della conformità informatica, poiché si concentra sulle misure di sicurezza utilizzate per proteggere le risorse e le informazioni sensibili della vostra organizzazione dalle minacce. Attraverso l’adesione a protocolli di sicurezza quali SOC 2, a standard quali NIST e (conformità CIS), nonché a framework quali (MITRE ATT&CK) e (Zero Trust), la conformità in materia di sicurezza mira a proteggere i dati e l’infrastruttura IT attraverso misure volte a garantire la funzionalità operativa e l’affidabilità, a identificare e correggere le vulnerabilità e a impedire accessi non autorizzati.
Tuttavia, vi sono notevoli punti di convergenza tra i due concetti: molti standard di conformità informatica, quali l’ GDPR e e l’HIPAA, presentano importanti aspetti relativi alla sicurezza che impongono alle organizzazioni di attuare misure di sicurezza specifiche per proteggere i dati sensibili. L’adozione di solide pratiche di sicurezza può inoltre aiutare le organizzazioni ad adempiere ai propri obblighi di conformità, riducendo il rischio di violazioni dei dati e di altri incidenti di sicurezza.
Sia la conformità informatica che quella in materia di sicurezza sono fondamentali e si rafforzano a vicenda, consentendo alle organizzazioni di operare in modo sicuro e nel rispetto della legge nell’odierno panorama digitale. Sebbene gli standard di conformità prevedano linee guida rigorose, essi forniscono alle imprese indicazioni preziose sulle migliori pratiche in materia di sicurezza informatica e protezione dei dati.
Perché è importante la conformità informatica?
I rischi legati alla mancata conformità sono significativi e possono avere conseguenze di vasta portata per le organizzazioni. Tra i rischi più rilevanti figurano:
- Minacce alla sicurezza informatica: Le organizzazioni non conformi sono più vulnerabili agli attacchi informatici, poiché potrebbero non disporre delle misure di sicurezza necessarie per proteggersi dalle minacce in continua evoluzione. Secondo i risultati emersi dal “ ” 2024 Thales Data Threat Report, il 31% delle organizzazioni intervistate che non hanno superato un audit di conformità negli ultimi dodici mesi ha subito anche una violazione dei dati nello stesso anno.
- Sanzioni legali e pecuniarie: Il mancato rispetto dei requisiti di conformità può comportare multe salate, azioni legali e altre sanzioni. Ad esempio, alla voce “ GDPR”, le organizzazioni possono incorrere in sanzioni fino a 20 milioni di euro o pari al 4% del fatturato annuo globale, a seconda di quale dei due importi sia maggiore.
- Interruzione dell’attività: In caso di violazione dei dati, la mancata conformità può incidere negativamente sui profitti della Sua azienda. Lo studio condotto dall’ 2023 IBM e dal Ponemon Institute ha rilevato che i costi di notifica (le attività che consentono alle organizzazioni di informare gli interessati, le autorità di controllo e altre terze parti in merito a una violazione) sono aumentati del 19,4% nel corso del 2022, mentre i costi di individuazione e gestione dell’incidente (ovvero indagini, audit, gestione delle crisi, ecc.) sono aumentati del 9,7%.
Esempi di sanzioni per inadempienza
A volte, anche i marchi che conosciamo e di cui ci fidiamo commettono gravi errori in materia di conformità informatica. Di seguito sono riportati alcuni esempi concreti di inadempienze in materia di conformità verificatisi negli ultimi anni, che contribuiscono a sottolineare l’importanza di dare priorità alla conformità informatica:
- Nell’ambito del caso “ gennaio 2023”, , la Commissione europea ha inflitto a Meta una sanzione di 390 milioni di euro per aver violato il regolamento GDPR , utilizzando dati personali per la pubblicità mirata senza il dovuto consenso degli utenti. A maggio, l’Autorità europea per la protezione dei dati ( GDPR ) ha inflitto a Meta una sanzione record pari a 1,2 miliardi di euro per aver messo a rischio i dati dei cittadini dell’Unione europea (UE) trasmettendoli negli Stati Uniti.
- Nel 2022, Robinhood Crypto ha accettato di versare 30 milioni di dollari al Dipartimento dei Servizi Finanziari dello Stato di New York per aver gestito in modo inadeguato i rischi di conformità nei propri programmi antiriciclaggio e di sicurezza informatica.
- Nel 2021, l’Ufficio del Controllore della Valuta degli Stati Uniti ha inflitto a Morgan Stanley, società del gruppo “ ”, una sanzione di 60 milioni di dollari per non aver supervisionato adeguatamente la dismissione di due centri dati.
- Il 6 settembre 2018, British Airways (BA) ha annunciato che si è verificata una violazione dei dati che ha interessato il sito 22 giugno e 5 settembre. BA ha impiegato 76 giorni per Detect l'attacco. Magecart, un gruppo specializzato nello skimming delle carte di credito legato alla Russia, ha ottenuto l’accesso a un gateway di accesso remoto Citrix utilizzando le credenziali di accesso che BA aveva fornito alla società di movimentazione merci Swissport.
Secondo l’Information Commissioner’s Office (ICO), l’autenticazione a più fattori (MFA) non ha protetto l’account Swissport compromesso. Una volta entrato nella rete di BA, l’autore dell’attacco ha individuato un account di amministratore di dominio con privilegi ( ) e credenziali di accesso che garantivano un accesso praticamente illimitato. L’autore dell’attacco ha quindi iniziato a setacciare i server e ha individuato file in chiaro non crittografati contenenti i dati delle carte di pagamento, che BA aveva erroneamente registrato e conservato a partire dal 2015.
Nella propria comunicazione di sanzione, l’ICO ha rilevato un aspetto positivo: il periodo di conservazione dei dati dei registri era di soli 95 giorni, pertanto l’autore dell’attacco ha potuto accedere solo a circa 108.000 potenziali carte di pagamento. Tuttavia, l’autore dell’attacco ha sfruttato un’altra falla di BA: una vulnerabilità JavaScript ben documentata presente sul sito dedicato ai pagamenti di BA. Magecart ha manomesso il sito e ha sottratto i dati delle carte di credito di circa 400.000 clienti di BA. Il sito Wired ha riferito che il sito web dedicato ai pagamenti contenente il codice JavaScript problematico è stato aggiornato l'ultima volta nel 2012. L’ICO è rimasta talmente sconcertata dal fatto che BA non abbia adottato misure di sicurezza facilmente disponibili per individuare e risolvere tempestivamente le proprie vulnerabilità in materia di sicurezza che ha comminato la multa più elevata mai inflitta fino ad oggi: £20 milioni di.
“Considerato singolarmente, questo errore potrebbe essere ritenuto piuttosto banale. Tuttavia, il fatto che [la violazione] sia rimasta inosservata per così tanto tempo e che [lo] script non fosse stato aggiornato suggerisce l’esistenza di un problema più sistemico di governance informatica presso BA – il che significa che è improbabile che si tratti di una vulnerabilità isolata. Un monitoraggio efficace avrebbe individuato tempestivamente la questione.”Andrew Dwyer, ricercatore in materia di sicurezza informatica presso l’Università di Oxford
10 tipi comuni di standard di conformità informatica
Le organizzazioni devono conformarsi a un’ampia gamma di standard di conformità informatica, a seconda del settore in cui operano, della loro ubicazione e delle tipologie di dati che trattano.
Tra gli standard più diffusi figurano:
- Legge sulla portabilità e la responsabilità in materia di assicurazione sanitaria (HIPAA)
L’HIPAA è una legge statunitense che stabilisce gli standard di riservatezza e sicurezza per le informazioni sanitarie protette (PHI). Si applica agli operatori sanitari, ai piani sanitari, alle camere di compensazione sanitarie e ai partner commerciali con cui le entità soggette alla normativa intrattengono rapporti. - Il Regolamento generale sulla protezione dei dati (GDPR)
GDPR è una normativa completa in materia di protezione dei dati che si applica alle organizzazioni che trattano i dati personali dei cittadini dell’Unione Europea, indipendentemente dalla sede in cui l’organizzazione ha sede. Tale normativa impone alle organizzazioni di ottenere il consenso esplicito al trattamento dei dati, di garantire alle persone il diritto di accedere ai propri dati e di cancellarli, nonché di segnalare le violazioni dei dati entro 72 ore. - Lo standard di sicurezza dei dati del settore delle carte di pagamento (PCI DSS)
PCI Gli standard di sicurezza DSS tutelano le transazioni con carta di credito e si applicano a qualsiasi organizzazione che accetti, elabori, conservi o trasmetta dati relativi alle carte di credito. - Legge Sarbanes-Oxley (SOX)
La legge SOX è una normativa statunitense che stabilisce i requisiti in materia di rendicontazione finanziaria e controlli interni per le società quotate in borsa. Esso impone di tenere una contabilità accurata, di attuare controlli interni e di valutare e riferire regolarmente in merito all’efficacia di tali controlli. - Legge Gramm-Leach-Bliley (GLBA)
La GLBA è una legge statunitense che impone agli istituti finanziari di tutelare la privacy e la sicurezza dei dati dei clienti attraverso misure di sicurezza, quali i controlli di accesso e le valutazioni dei rischi. Tale normativa impone alle organizzazioni di fornire informative sulla privacy e opzioni di rinuncia. - Legge federale sulla gestione della sicurezza delle informazioni (FISMA)
La FISMA è una legge statunitense che stabilisce i requisiti in materia di sicurezza delle informazioni per le agenzie federali, tra cui valutazioni dei rischi, piani di risposta agli incidenti e relazioni periodiche sullo stato di conformità. - FedRAMP FedRAMP è un programma del governo degli Stati Uniti volto a standardizzare le procedure obbligatorie di valutazione della sicurezza, autorizzazione e monitoraggio per le agenzie federali che utilizzano servizi cloud per elaborare, archiviare o trasmettere dati federali.
- Service Organization Control (SOC) 2
Lo standard SOC 2 è uno standard volontario di conformità in materia di protezione dei dati, elaborato dall’American Institute of Certified Public Accountants (AICPA) per le organizzazioni di servizi. Si basa su cinque principi fondamentali: sicurezza, disponibilità, integrità del trattamento, riservatezza e tutela della privacy. - ISO 27001
ISO La norma 27001 è uno standard internazionale relativo al sistema di gestione della sicurezza delle informazioni (ISMS). Fornisce un quadro di riferimento per l’identificazione, la valutazione e la gestione dei rischi relativi alla sicurezza delle informazioni. La certificazione attesta l'attuazione di adeguati controlli di sicurezza e l'impegno dell'organizzazione a migliorare. - L’Istituto Nazionale di Standard e Tecnologia (NIST)
NIST è un’agenzia non normativa del Dipartimento del Commercio degli Stati Uniti che sviluppa standard, linee guida e migliori pratiche in materia di sicurezza informatica. Utilizzato in numerosi settori industriali, il quadro di riferimento per la sicurezza informatica “ NIST ” offre un approccio volontario e basato sul rischio alla gestione dei rischi legati alla sicurezza informatica.
Lista di controllo del programma di conformità informatica
Sebbene i requisiti specifici di conformità varino a seconda dello standard e del settore, esistono diversi elementi fondamentali indispensabili per un programma di conformità IT efficace:
- Risk valutazione: Valutate regolarmente i vostri sistemi e processi IT per individuare potenziali rischi di non conformità e vulnerabilità.
- Politiche e procedure: Sviluppare e attuare politiche di sicurezza e procedure di gestione dei rischi chiare, in linea con i pertinenti standard di conformità IT.
- Formazione e sensibilizzazione del personale: Organizzare regolarmente programmi di formazione e sensibilizzazione per garantire che il personale comprenda l’importanza delle politiche di conformità informatica e il proprio ruolo fondamentale.
- Controlli di accesso: Assicurarsi che solo le persone autorizzate possano accedere a dati e sistemi sensibili utilizzando l’autenticazione a più fattori (MFA), controlli di accesso basati sui ruoli e revisioni periodiche degli accessi.
- Ripristino di emergenza e prevenzione della perdita di dati ( ): Gli standard di conformità in materia di ripristino di emergenza mirano a ridurre al minimo l’impatto sulle attività aziendali derivante da guasti alle infrastrutture, richiedendo alla vostra organizzazione di implementare solidi processi di backup e ripristino.
- Crittografia e protezione dei dati: I dati sensibili devono essere crittografati sia durante il trasferimento che in fase di archiviazione, al fine di proteggerli da accessi o divulgazioni non autorizzati.
- Risposta agli incidenti e segnalazione: Elaborare un piano per l’individuazione, l’analisi e la gestione di potenziali incidenti. Si prega di includere le procedure per la segnalazione delle violazioni della sicurezza alle autorità competenti e alle parti interessate.
- Monitoraggio e verifica continui: Monitorate i vostri sistemi e processi IT per individuare eventuali problemi relativi alla gestione della conformità e conducete regolarmente verifiche di conformità per valutare l’efficacia del vostro programma.
- Visibilità degli endpoint: Le informazioni in tempo reale sullo stato delle vostre risorse IT vi consentono di identificare e risolvere potenziali problemi di conformità prima che si aggravino.
Come è possibile ridurre il rischio di non conformità?
Per ridurre i rischi è necessario istituire un solido programma di conformità informatica che sia in linea sia con le politiche interne sia con i requisiti normativi esterni, attraverso audit periodici, un monitoraggio continuo e l’aggiornamento delle pratiche di conformità, al fine di stare al passo con l’evoluzione degli standard e delle tecnologie. La formazione dei dipendenti sulle politiche di conformità informatica, la tenuta di una documentazione chiara e l’attuazione di un’efficace governance dei dati possono contribuire a ridurre ulteriormente i rischi.
Grazie a una gestione proattiva della conformità informatica, le organizzazioni possono evitare costose sanzioni, tutelare la propria reputazione e garantire la fiducia dei clienti e delle parti interessate. Ricordate che la conformità non è un’attività da svolgere una tantum, bensì un processo continuo che richiede diligenza, capacità di adattamento e un approccio proattivo e olistico.
[Leggi anche: Conformità e gestione del rischio: definizioni e differenze]
Assumete il controllo, ottimizzate i vostri processi e garantite una gestione completa dei rischi e della conformità con Tanium Risk & Compliance. La nostra soluzione esegue in pochi minuti una scansione di tutti i Suoi dispositivi endpoint per individuare eventuali lacune di sicurezza e rischi di non conformità. In questo modo, potrete passare in modo rapido e senza soluzione di continuità dalla valutazione alla mitigazione e alla correzione all’interno di un’unica piattaforma. È inoltre possibile ottimizzare le attività di conformità automatizzando i processi chiave, quali le valutazioni delle vulnerabilità, la gestione delle patch e l’applicazione delle configurazioni, con la possibilità di applicare controlli agli endpoint gestiti e non gestiti, sia che si trovino in sede che in remoto.
L'AEM rappresenta una categoria emergente di automazione basata sull'intelligenza artificiale e il nostro obiettivo è quello di combinare componenti essenziali quali l' , la gestione unificata dell' endpoint , l' e l'intelligenza artificiale composita, al fine di fornire funzionalità complete e autonome. Scoprite di più su come la visione di Tanium 'in materia di gestione autonoma degli endpoint (AEM) rivoluzionerà il modo in cui la vostra organizzazione gestisce gli endpoint IT. Integrando dati in tempo reale e approfondimenti basati sull’intelligenza artificiale di , che automatizzano e suggeriscono azioni in base agli obiettivi e alla tolleranza al rischio della vostra organizzazione, potrete prendere decisioni più informate ed efficienti, ridurre il carico di lavoro manuale e potenziare le vostre capacità operative e di sicurezza.
