Suggerimenti e linee guida ENISA per la sicurezza dei siti delle PMI

Come sappiamo il testo del GDPR (il Regolamento EU per la protezione dei dati personali) responsabilizza i titolari del trattamenti ad implementare idonee misure tecniche ed organizzative per la sicurezza delle informazioni.

Ma quali sono le idonee misure di sicurezza? Ovviamente dipende dal tipo di dati trattati, dai rischi per i diritti e le libertà degli interessati ma anche dalle possibilità del titolare, è ovvio ad esempio che una grande banca possa e debba implementare misure di sicurezza di gran lunga superiori a quelle di una piccola azienda artigianale.

Nel corso del tempo il Garante e l’ENISA (l’Agenzia Europea per la Sicurezza Informatica) offrono suggerimenti e linee guida per supportare i titolari di PMI nell’individuazione di appropriate misure di sicurezza.

Relativamente ai siti internet, l’ENISA al punto 11 della guida per le PMI (vai alla guida) afferma come sia “essenziale per le PMI assicurarsi che i loro siti web online siano configurati e tenuti in modo sicuro e che i dati personali o finanziari, come i dati delle carte di credito, siano protetti in modo adeguato. Ciò comporterà la realizzazione di test periodici della sicurezza sui siti web per individuare potenziali carenze a livello di sicurezza e di verifiche periodiche per garantire che il sito sia tenuto e aggiornato correttamente.”.

“Configurati e tenuti in modo sicuro”, significa principalmente porre attenzione al servizio di hosting che scegliamo per i nostri siti dovrà essere conforme al GDPR e naturalmente avere servizi di backup, ma anche soluzioni di firewall e di monitoraggio che scoraggino e rilevano eventuali attacchi.

I “test periodici di sicurezza”, sono più efficaci se effettuati da terze parti e potranno evidenziare eventuali falle la cui risoluzione mette al sicuro il sistema informatico di tutta l’azienda. “Periodici” significa almeno una o due volte l’anno.

“L’aggiornamento” del sito, del CMS dei plug in ecc… è necessario proprio perché le patch risolvono le falle scoperte nel corso del tempo.

Contattaci per un check up di sicurezza sul tuo sito, a distanza di 4 anni dall’entrata in vigore del GDPR è difficile giustificare in sede di accertamento delle autorità che non si effettuino regolarmente interventi per testare la sicurezza  dei siti o delle applicazioni web.