L'articolo 32 del GDPR chiede misure adeguate contro la distruzione e la perdita dei dati, e non distingue fra un attacco informatico e un incendio nel locale archivi. Se i tuoi backup stanno su un supporto fisico, quel supporto è una misura di sicurezza, e come tale va scelto, documentato e verificato. Questa guida serve a mettere in fila le prove che ti verranno chieste.
Che cosa chiede davvero l’articolo 32
Il testo parla di misure tecniche e organizzative adeguate al rischio, e fra i rischi elenca espressamente la distruzione e la perdita accidentale dei dati, non solo l'accesso non autorizzato. Un incendio che rende illeggibili i nastri di backup è, in termini di regolamento, una perdita di disponibilità: la stessa categoria di un attacco che cifra i dischi.
Da qui discendono tre conseguenze pratiche che spesso si perdono.
La prima: la misura va scelta in proporzione al rischio, e la proporzione va motivata. Non esiste un obbligo di comprare un armadio certificato, esiste l'obbligo di dimostrare che la misura adottata è adeguata a quello che custodisci.
La seconda: la scelta va documentata. Una misura adeguata di cui non resta traccia, in sede di verifica, equivale a una misura assente.
La terza: le misure vanno riesaminate. Il regolamento chiede una verifica periodica della loro efficacia, non un acquisto una tantum.
Se il tema è la protezione dei documenti cartacei più che dei supporti digitali, il percorso è quello del data breach sugli archivi cartacei, che segue le stesse regole con vincoli diversi.
Perché la protezione fisica è una misura tecnica a pieno titolo
C'è un equivoco diffuso: che la sicurezza dei dati sia una faccenda di firewall e cifratura, e che l'armadio sia arredamento.
La cifratura protegge la riservatezza. Non protegge la disponibilità: un disco cifrato che passa i 60 gradi è illeggibile esattamente come uno in chiaro, e la chiave non serve a niente. Le tre proprietà che il regolamento chiede di tutelare, cioè riservatezza, integrità e disponibilità, hanno misure diverse, e la terza dipende in buona parte da dove tieni i supporti.
Il numero che decide è uno solo: i supporti digitali si danneggiano oltre i 52 gradi, mentre un armadio per documenti mantiene l'interno sotto i 170. Non è una differenza di qualità, è una differenza di obiettivo, e la spiegazione completa sta nella guida alla scelta dell'armadio ignifugo per dati.
Come si valuta il rischio senza inventare i numeri
Il metodo è semplice e vale la pena usarlo davvero, invece di citarlo:
Il punto delicato non è la formula: sono i due numeri che ci metti dentro, e quelli non possono venire da un articolo. Vengono dalla tua azienda.
La probabilità si stima a partire da elementi verificabili: la classe di rischio incendio del locale dalla valutazione dei rischi che già hai, la presenza di impianti elettrici o di materiale combustibile nello stesso ambiente, lo storico degli eventi nella tua sede.
L'impatto si calcola sommando tre voci che l'azienda conosce: il costo del fermo operativo per il tempo di ripristino stimato, il costo del recupero dei dati o della loro ricostruzione, e le conseguenze contrattuali verso i clienti per i quali sei responsabile del trattamento. Il fermo operativo è anche la grandezza da cui parte il capitolo fisico del piano di continuità ISO 22301.
Il risultato non è una previsione: è un ordine di grandezza, e serve a rispondere a una domanda sola, cioè se la misura che stai valutando è proporzionata. Se il rischio annuo calcolato è di poche centinaia di euro e la misura ne costa migliaia, la sproporzione va motivata. Se è il contrario, hai la motivazione scritta della spesa, che è esattamente quello che ti serve in sede di verifica.
Quanto costa davvero, e perché conviene guardare il listino
Su questo punto le stime approssimative fanno più danno dei numeri mancanti, perché portano a rinunciare a una misura che si poteva permettere.
Per la copia locale serve un armadio certificato per i supporti digitali, in classe DIS: a catalogo le classi DIS sono certificate secondo la NT FIRE 017. Il prezzo aggiornato lo trovi sulla scheda del prodotto, che è l'unico posto dove ha senso leggerlo.
Il confronto che conta non è fra il prezzo dell'armadio e zero: è fra il prezzo dell'armadio e il costo di ricostruire i dati che ci metteresti dentro.
Armadi ignifughi certificati in classe DIS
Armadio ignifugo per supporti magnetici Technomax SDBK-SDE
Armadio ignifugo per supporti magnetici Technomax TDBK-TDE
La regola 3-2-1 vale anche per i supporti fisici
La regola è nota a chi si occupa di backup: tre copie dei dati, su due supporti diversi, di cui una fuori sede. Quello che si perde per strada è che riguarda anche la sicurezza fisica, non solo la strategia di copia.
Le tre copie hanno senso se non condividono lo stesso rischio. Due dischi nella stessa stanza sono due copie di un unico rischio: lo stesso incendio, lo stesso allagamento, lo stesso furto. È il motivo per cui la copia fuori sede non è un lusso, ed è anche il motivo per cui l'armadio certificato serve anche a chi ha una copia in cloud: il ripristino da remoto ha tempi che il ripristino locale non ha, e nelle prime ore dopo un sinistro la copia fisica integra è ciò che tiene aperta l'azienda.
Tradotto in una decisione: la copia locale sta in un armadio DIS, la copia fuori sede è davvero fuori sede, e la terza è quella che verifichi. Per la copia locale, fra gli armadi ignifughi in catalogo il Technomax Combi è certificato NT FIRE 017 in classe S 90 e S 120 DIS per i supporti dati, e nelle stesse durate in classe P per la carta.
La distruzione dei supporti è parte della stessa conformità
È la metà dimenticata del problema. Il regolamento chiede di proteggere i dati finché servono e di eliminarli in modo sicuro quando non servono più, e un supporto dismesso e buttato in un cassonetto è una violazione a tutti gli effetti.
Tre punti che riguardano chiunque abbia backup su supporti fisici:
- un disco riscritto o formattato non è un disco cancellato, e i dati restano recuperabili con strumenti ordinari;
- la distruzione fisica va documentata, con un verbale che dica che cosa è stato distrutto, quando e da chi;
- se la affidi a un fornitore, quel fornitore tratta dati per tuo conto, e il rapporto va regolato come tale.
Il criterio è lo stesso della protezione: non basta averlo fatto, deve restarne una prova.
Che cosa verificare, e ogni quanto
La verifica periodica dell'efficacia delle misure non è un adempimento formale: è la parte che, in un controllo, distingue una policy scritta da una policy applicata.
Il controllo annuale della sicurezza fisica dei dati
La targa dell’armadio è ancora leggibile e coerente
Sigla, ente certificatore, numero e anno. Va confrontata con quanto dichiarato nella documentazione interna.
I supporti custoditi sono quelli che credi
Un armadio che contiene backup di sei mesi fa protegge dati di sei mesi fa. Va verificato che la rotazione avvenga davvero.
La leggibilità dei supporti è stata provata
Almeno un ripristino di prova all'anno. Un backup mai riletto è un'ipotesi di backup, non una copia.
La chiave o il codice sono nelle mani giuste
Chi ha accesso, con quale autorizzazione, e che cosa succede quando quella persona cambia ruolo o lascia l'azienda.
Il punto di installazione non è cambiato attorno all’armadio
Un deposito di cartoni accanto a un armadio ignifugo cambia il carico d'incendio del locale, e quindi il presupposto della valutazione.
La documentazione è aggiornata alla situazione reale
Valutazione del rischio, scelta della misura, verbali di verifica e di distruzione. È quello che viene chiesto per primo.
Come si dimostra tutto questo a un’ispezione
Il principio di responsabilizzazione del GDPR ribalta l'onere: non è chi controlla a dover provare che sei inadempiente, sei tu a dover dimostrare di essere conforme.
Quello che serve, in pratica, sono quattro documenti, e nessuno dei quattro è lungo:
- la valutazione del rischio relativa ai supporti fisici, con la stima che hai fatto e i criteri che hai usato;
- la scelta della misura, con la motivazione della proporzionalità e la certificazione del prodotto adottato;
- il registro delle verifiche, cioè i controlli periodici con data ed esito;
- i verbali di distruzione dei supporti dismessi.
Se lavori in un settore con obblighi di conservazione specifici, questi quattro si innestano su quelli, non li sostituiscono. Per gli studi professionali il quadro è quello che abbiamo descritto negli archivi cartacei degli studi legali, dove alla protezione si aggiunge il segreto professionale.
Faq – Domande frequenti
Il GDPR obbliga ad avere un armadio ignifugo?
No, non esiste un obbligo di prodotto. L'articolo 32 chiede misure tecniche e organizzative adeguate al rischio, e la protezione fisica dei supporti rientra fra quelle tecniche. L'obbligo è dimostrare che la misura adottata è proporzionata a quello che custodisci, non acquistare un modello specifico.
Se i dati sono cifrati, la protezione fisica serve ancora?
Sì. La cifratura protegge la riservatezza, cioè impedisce che qualcuno legga i dati. Non protegge la disponibilità: un supporto cifrato danneggiato dal calore è illeggibile anche per te, e la chiave non serve a nulla. Il regolamento chiede di tutelare entrambe.
Come si stabilisce se una misura è proporzionata?
Confrontando il rischio economico stimato, cioè probabilità dell'evento per impatto, con il costo della misura. I due numeri li mette l'azienda: la probabilità si ricava dalla valutazione dei rischi che hai già, l'impatto dal costo del fermo e del recupero. Il risultato non è una previsione, è la motivazione scritta della tua scelta.
Che cosa devo poter esibire in caso di controllo?
Quattro documenti: la valutazione del rischio sui supporti fisici, la scelta della misura con la sua motivazione e la certificazione del prodotto, il registro delle verifiche periodiche con data ed esito, e i verbali di distruzione dei supporti dismessi.
Basta formattare un disco dismesso prima di buttarlo?
No. Un disco formattato o riscritto non è un disco cancellato: i dati restano recuperabili con strumenti ordinari. Serve una distruzione sicura, documentata da un verbale che indichi che cosa è stato distrutto, quando e da chi. Se te ne occupa un fornitore, quel fornitore tratta dati per tuo conto e il rapporto va regolato.
Ogni quanto vanno verificate le misure?
Il regolamento chiede una verifica periodica dell'efficacia, senza fissare una frequenza. Per la sicurezza fisica dei supporti un controllo annuale è la prassi ragionevole, e deve comprendere almeno un ripristino di prova: un backup mai riletto è un'ipotesi di backup, non una copia.
Se ho una copia in cloud, l’armadio serve lo stesso?
Dipende dai tempi che puoi permetterti. Il ripristino da remoto ha tempi che quello locale non ha, e nelle prime ore dopo un sinistro la copia fisica integra è ciò che tiene aperta l'attività. La regola 3-2-1 chiede comunque copie che non condividano lo stesso rischio: due supporti nella stessa stanza sono due copie di un rischio solo.
